Política de privacidad

Esta política explica, con el detalle que exige el Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD), qué datos se tratan al usar este sitio. La respuesta corta es: prácticamente ninguno, y ninguno relacionado con lo que firmas.

1. Responsable del tratamiento

Titular

Sergio Cordero Rol

NIF

45667361X

Domicilio

Bilbao

Correo

hola@firmalocal.es

Sitio web

https://firmalocal.es

No se ha designado un Delegado de Protección de Datos, al no concurrir ninguno de los supuestos del artículo 37 del RGPD.

2. Tus documentos y tu certificado no salen de tu equipo

Es la afirmación central de este servicio, así que conviene ser preciso sobre qué significa exactamente.

Cuando firmas un PDF en FirmaLocal:

• El documento PDF se lee desde tu disco con la API de ficheros del navegador y se mantiene en la memoria de la pestaña. No se envía a ninguna parte.
• Tu certificado (el fichero .p12 o .pfx) se descifra en el navegador para extraer la clave privada. Ni el fichero ni la clave se envían a ninguna parte.
• La contraseña del certificado se usa únicamente para descifrar el contenedor en memoria. No se guarda, no se registra y no se transmite.
• El PDF firmado se genera en tu navegador y se te ofrece como una descarga local. Tampoco pasa por ningún servidor.

En consecuencia, no existe tratamiento por nuestra parte de los datos personales que pueda contener el documento que firmas, ni de los que figuran en tu certificado (nombre, apellidos, NIF, dirección de correo). No podemos acceder a ellos, no los conservamos y no podríamos entregarlos a un tercero aunque nos fueran requeridos, sencillamente porque nunca llegan a salir de tu equipo.

Cómo comprobarlo tú mismo

No hace falta que nos creas. Puedes verificarlo por tres vías independientes:

1. Desconéctate de internet y firma. La herramienta funciona igual sin conexión. Un servicio que enviara tus ficheros a un servidor no podría hacerlo.
2. Mira el contador de peticiones de red de la página de inicio. Lee las peticiones reales del navegador mediante la API Resource Timing, contando desde el momento en que sueltas un PDF; si algo saliera hacia otro dominio mientras firmas, ese número lo reflejaría.
3. Obsérvalo en directo. Abre las herramientas de desarrollo de tu navegador (pestaña «Red») antes de firmar y comprueba tú mismo que, mientras cargas el certificado y se calcula la firma, no sale ninguna petición con datos hacia ningún servidor.

3. Qué datos se tratan realmente

3.1. Al usar la herramienta de firma

Ninguno. No se recaba ningún dato personal. No hay cuentas de usuario, ni registro, ni formulario de acceso, ni perfilado, ni decisiones automatizadas.

3.2. Almacenamiento local en tu navegador

El sitio guarda un valor técnico en el localStorage de tu navegador. Se quedan en tu equipo: no se envían al servidor ni son accesibles para nosotros.

Clave	Contenido	Para qué
firmalocal:theme	light o dark	Recordar si prefieres el tema claro u oscuro.

No es un dato personal ni permite identificarte: es una preferencia visual. Versiones anteriores del sitio guardaban además un contador de firmas (firmalocal:firmas:AAAA-MM); ya no se usa y la herramienta lo borra automáticamente. Puedes borrar estos datos en cualquier momento desde tu navegador, tal y como se explica en la política de cookies.

3.3. Aviso de novedades (opcional)

Puedes dejar tu correo electrónico para que te avisemos de novedades importantes de FirmaLocal. Es enteramente voluntario: puedes seguir usando el servicio sin dejarlo, y no condiciona el acceso a nada.

• Dato tratado: únicamente tu dirección de correo electrónico.
• Finalidad: avisarte, de forma esporádica, de novedades importantes de FirmaLocal.
• Base jurídica: tu consentimiento expreso (art. 6.1.a RGPD), que otorgas al enviar el formulario y puedes retirar cuando quieras.
• Conservación: hasta que solicites la baja.

Este formulario es el único punto de todo el sitio en el que se envía información que has escrito tú, y sólo si decides rellenarlo. Las únicas otras peticiones que salen del navegador son la de la analítica agregada descrita en el apartado 3.5 y, si llegaste desde un anuncio, la del identificador de clic descrita en el apartado 3.6.

3.4. Datos de conexión del alojamiento

Las páginas de este sitio son ficheros estáticos servidos por Cloudflare Pages (Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, EE. UU.). Como cualquier servidor web, para poder entregarte la página necesita procesar la dirección IP de la conexión y datos técnicos de la petición (fecha, navegador, recurso solicitado). Lo indicamos por transparencia, aunque no elaboramos informes ni perfiles a partir de esa información.

Ese proveedor actúa como encargado del tratamiento. En ningún caso recibe tus documentos ni tu certificado, porque, como se explica en el apartado 2, esos ficheros no se envían.

3.5. Analítica agregada

El sitio utiliza Cloudflare Web Analytics (Cloudflare, Inc.) para saber, de forma agregada, qué páginas y qué guías resultan útiles. Es una herramienta concebida desde el respeto a la privacidad: no utiliza cookies ni ningún otro almacenamiento en tu equipo, no recaba datos personales, no elabora huellas digitales del navegador (fingerprinting) y no sigue a los visitantes entre sesiones ni entre sitios.

Lo que se registra son mediciones agregadas de la visita —página, país, tipo de dispositivo, procedencia y tiempos de carga— sin identificador alguno que permita reconstruir la navegación de una persona concreta ni vincularla a una visita anterior. Cloudflare actúa aquí también como encargado del tratamiento. La medición es del sitio web, no de la herramienta de firma: no observa qué documento abres, ni tu certificado, ni el resultado de la firma, porque nada de eso sale de tu navegador.

3.6. Medición de anuncios

El sitio se anuncia en la Búsqueda de Google. Si llegas haciendo clic en uno de esos anuncios, la dirección de la página incluye un identificador del clic (gclid) generado por Google. Cuando en esa misma sesión completas una firma o te apuntas al aviso de novedades, nuestro servidor registra la tupla tipo de acción, identificador del clic, fecha —y nada más— para saber si el anuncio funcionó.

• Dato tratado: únicamente el identificador del clic, que Google creó y ya iba en la dirección. No se registra dirección IP, navegador, documento, certificado ni ningún dato personal.
• En tu equipo: el identificador se guarda en sessionStorage y desaparece al cerrar la pestaña. El detalle está en el apartado 1.1 de la política de cookies.
• Finalidad: medir si los clics de los anuncios terminan en un uso real del servicio, para decidir con datos si seguir invirtiendo en publicidad.
• Base jurídica: interés legítimo (art. 6.1.f RGPD) en evaluar la eficacia de la propia publicidad, sin recabar datos personales y sin almacenamiento persistente en el equipo del usuario (art. 22.2 LSSI-CE).
• Conservación: máximo 180 días; los registros caducan y se eliminan automáticamente.
• Destinatario: diariamente, Google Ads recibe la lista de identificadores de clic que terminaron en una acción, mediante una descarga autenticada desde nuestro servidor. Google recibe identificadores que su propio sistema generó, no datos tuyos. Puede cesar en cualquier momento cerrando la campaña.

4. Finalidades y bases jurídicas

Tratamiento	Finalidad	Base jurídica
Almacenamiento local técnico	Recordar tus preferencias	Interés legítimo en prestar un servicio funcional (art. 6.1.f RGPD) y art. 22.2 LSSI-CE, por tratarse de almacenamiento estrictamente necesario
Aviso de novedades	Avisarte de novedades importantes de FirmaLocal	Consentimiento (art. 6.1.a RGPD)
Registros del alojamiento	Servir la página y mantener la seguridad del servicio	Interés legítimo (art. 6.1.f RGPD)
Analítica agregada	Conocer el uso del sitio para mejorar su contenido	Interés legítimo (art. 6.1.f RGPD), por tratarse de una medición sin cookies, agregada y sin datos personales
Medición de anuncios	Saber si un clic en un anuncio termina en una firma o en un alta, para valorar la inversión publicitaria	Interés legítimo (art. 6.1.f RGPD): medición de la propia publicidad basada en un identificador de sesión aportado por el propio anuncio, sin datos personales

5. Destinatarios y cesiones

No se ceden datos a terceros, ni se venden, ni se comparten con anunciantes o intermediarios de datos. Los únicos terceros que intervienen son el proveedor de alojamiento y de analítica descrito en los apartados 3.4 y 3.5, el servicio que recibe el formulario de lista de espera, y Google Ads en los términos del apartado 3.6 —que recibe identificadores generados por su propio sistema publicitario, no datos tuyos—. Los dos primeros en calidad de encargados del tratamiento y sujetos a las obligaciones del artículo 28 del RGPD; Google actúa como responsable independiente respecto de los identificadores de clic que su plataforma crea.

6. Transferencias internacionales

El proveedor de alojamiento y de analítica, Cloudflare, Inc., está radicado en Estados Unidos, por lo que puede producirse una transferencia internacional de los datos de conexión descritos en el apartado 3.4 y de las mediciones agregadas del apartado 3.5. Esa transferencia se ampara en la decisión de adecuación de la Comisión Europea de 10 de julio de 2023 relativa al Marco de Privacidad de Datos UE-EE. UU. (EU-U.S. Data Privacy Framework), al que Cloudflare está adherida, y subsidiariamente en las cláusulas contractuales tipo incorporadas a su adenda de tratamiento de datos, conforme al artículo 46.2.c del RGPD.

Los identificadores de clic del apartado 3.6 se comunican a Google Ads (Google Ireland Ltd. y Google LLC), que actúa como responsable independiente. La comunicación se ampara en la misma decisión de adecuación —Google LLC está adherida al Marco de Privacidad de Datos UE-EE. UU.— y, subsidiariamente, en las cláusulas contractuales tipo de los términos del servicio de Google Ads.

7. Plazos de conservación

• Documentos y certificados: no se conservan en ningún plazo, porque nunca se reciben. Al cerrar o recargar la pestaña, la memoria del navegador se libera.
• Almacenamiento local: permanece en tu navegador hasta que lo borres.
• Correo del aviso de novedades: hasta que solicites la baja.
• Analítica agregada: las métricas quedan en el panel de Cloudflare durante el plazo de retención que fija el propio proveedor. Al ser agregadas y no contener datos personales, no son atribuibles a ninguna persona ni antes ni después de ese plazo.
• Medición de anuncios: los registros tipo, gclid, fecha caducan automáticamente a los 180 días.

8. Tus derechos

Puedes ejercer en cualquier momento los derechos que te reconocen los artículos 15 a 22 del RGPD:

• Acceso: saber qué datos tuyos se tratan.
• Rectificación: corregir los que sean inexactos.
• Supresión («derecho al olvido»): pedir que se eliminen.
• Oposición: oponerte a un tratamiento concreto.
• Portabilidad: recibir tus datos en un formato estructurado y de uso común.
• Limitación del tratamiento en los supuestos previstos.
• Retirar el consentimiento prestado para el aviso de novedades, sin que ello afecte a la licitud del tratamiento anterior.

En la práctica, si nunca has dejado tu correo en el aviso de novedades, el único dato que puede existir asociado a tu uso del sitio es el identificador de clic del apartado 3.6 —un identificador creado por Google, no por nosotros—, que puedes suprimir cerrando la pestaña y que caduca solo a los 180 días.

9. Cómo ejercer tus derechos

Escribe a hola@firmalocal.es indicando el derecho que quieres ejercer y adjuntando una copia de tu DNI o documento equivalente, únicamente a efectos de acreditar tu identidad. Responderemos en el plazo máximo de un mes desde la recepción de la solicitud, prorrogable en los términos del artículo 12.3 del RGPD.

Si consideras que tus derechos no han sido debidamente atendidos, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (C/ Jorge Juan 6, 28001 Madrid).

10. Medidas de seguridad

El sitio se sirve exclusivamente por HTTPS. La arquitectura del producto es, en sí misma, la principal medida de seguridad: al no existir una base de datos con documentos ni certificados, no hay un depósito de información sensible que pueda ser comprometido, filtrado o requerido.

Las operaciones criptográficas se realizan con la API Web Crypto del navegador y bibliotecas de código abierto auditables.

11. Cambios en esta política

Esta política puede actualizarse para reflejar cambios en el servicio o en la normativa aplicable. La fecha de la última revisión figura al principio de la página. Si en el futuro se incorporasen otras herramientas de medición o servicios de pago, esta política se actualizaría antes de ponerlos en funcionamiento, y las que requieran consentimiento no se activarían sin recabarlo previamente.