Política de cookies
Inventario actualizado TASK137B. Sin cookies analíticas o de marketing de terceros. Sesión, preferencias admin, borrador local, preferencia up101_stats_consent y eventos first-party solo tras consentimiento.
1. Cookies y tecnologías similares
Las cookies HTTP, sessionStorage/localStorage y los eventos del servidor pueden almacenar o tratar datos en su dispositivo o en el backend. Esta página enumera lo que TravelOS usa realmente.
2. Inventario activo
Versión del inventario 3.0.0-TASK137B (revisión 2026-09-09). • up101_session (http_cookie) — Authenticated admin session Datos: Session token (HttpOnly); hash in DB Duración: SESSION_TTL_HOURS or logout Destinatarios: UP101 application only Consentimiento: no requerido (estrictamente necesario / borrador local / decisión del titular para estadísticas) Categoría: STRICTLY_NECESSARY • up101_csrf (http_cookie) — CSRF protection for admin mutations Datos: CSRF token Duración: Aligned with session Destinatarios: UP101 application only Consentimiento: no requerido (estrictamente necesario / borrador local / decisión del titular para estadísticas) Categoría: STRICTLY_NECESSARY • up101_client_session (http_cookie) — Authenticated client portal session Datos: Client session token (HttpOnly) Duración: Portal session TTL or logout Destinatarios: UP101 application only Consentimiento: no requerido (estrictamente necesario / borrador local / decisión del titular para estadísticas) Categoría: STRICTLY_NECESSARY • up101_client_csrf (http_cookie) — CSRF protection for portal mutations Datos: CSRF token Duración: Aligned with portal session Destinatarios: UP101 application only Consentimiento: no requerido (estrictamente necesario / borrador local / decisión del titular para estadísticas) Categoría: STRICTLY_NECESSARY • up101_client_impersonation (http_cookie) — Read-only admin preview of client portal Datos: Impersonation marker Duración: Preview session Destinatarios: UP101 application only Consentimiento: no requerido (estrictamente necesario / borrador local / decisión del titular para estadísticas) Categoría: STRICTLY_NECESSARY • up101_mfa_pending (http_cookie) — MFA challenge state for Super Admin Datos: Pending MFA challenge id Duración: Short-lived challenge window Destinatarios: UP101 application only Consentimiento: no requerido (estrictamente necesario / borrador local / decisión del titular para estadísticas) Categoría: STRICTLY_NECESSARY • up101_admin_market (http_cookie) — Admin UI market filter preference Datos: Market code Duración: Browser session / preference TTL Destinatarios: UP101 application only Consentimiento: no requerido (estrictamente necesario / borrador local / decisión del titular para estadísticas) Categoría: FUNCTIONAL_PREFERENCE • up101_admin_territory (http_cookie) — Admin UI territory filter preference Datos: Territory code Duración: Browser session / preference TTL Destinatarios: UP101 application only Consentimiento: no requerido (estrictamente necesario / borrador local / decisión del titular para estadísticas) Categoría: FUNCTIONAL_PREFERENCE • up101_audit_form_draft (session_storage) — Restore unfinished public audit form fields after accidental refresh Datos: companyName, website, email only — never consent checkboxes Duración: Max 2 hours from last edit; cleared on successful submit Destinatarios: Local browser only (not sent to analytics) Consentimiento: no requerido (estrictamente necesario / borrador local / decisión del titular para estadísticas) Categoría: STORAGE_DRAFT • up101_first_landing_path (session_storage) — First public path in the visit for inbound attribution Datos: Path string (no email/message) Duración: Browser tab session Destinatarios: Sent with audit/contact submit as firstLandingPath Consentimiento: no requerido (estrictamente necesario / borrador local / decisión del titular para estadísticas) Categoría: STORAGE_DRAFT • up101-admin-sidebar-collapsed (local_storage) — Admin sidebar collapsed preference Datos: boolean UI flag Duración: Until cleared by user Destinatarios: Local browser only Consentimiento: no requerido (estrictamente necesario / borrador local / decisión del titular para estadísticas) Categoría: FUNCTIONAL_PREFERENCE • up101_stats_consent (http_cookie) — Stores optional first-party statistics preference (version + choice). Not a visitor analytics id. Datos: JSON: version, stats boolean, choice, timestamp Duración: 180 days or until cleared Destinatarios: UP101 application only (first-party) Consentimiento: no requerido (estrictamente necesario / borrador local / decisión del titular para estadísticas) Categoría: FIRST_PARTY_STATS • InboundEvent (first-party optional) (server_event) — Optional navigation/funnel measurement (page/CTA/audit start) — gated by prior stats consent; no third-party pixels Datos: kind, path, src/campaign, truncated user-agent, visitClass, statsConsent=true; no IP on events; no form bodies Duración: Operational retention per ROPA / inbound events policy Destinatarios: UP101 hosting (Hostinger VPS Frankfurt) as controller infrastructure Consentimiento: requerido antes de activar Categoría: FIRST_PARTY_STATS
3. Qué no utilizamos
No utilizamos Google Analytics, GTM, Meta Pixel, Hotjar, Matomo, Plausible ni remarketing. No usamos Google Fonts desde CDN. No hay IndexedDB/service worker que almacene datos personales del visitante público.
4. Estadísticas first-party
Los eventos de navegación/funnel son opcionales y permanecen desactivados hasta que acepte las estadísticas en el banner. Tras el consentimiento registramos solo eventos posteriores, sin IP en el evento y sin píxeles de terceros. Cerrar el banner equivale a solo necesarios. El consentimiento de estadísticas no suscribe al marketing por email. Auditorías, login, asistencia y pagos funcionan sin ese consentimiento.
5. Base jurídica y banner
Cookies y almacenamiento estrictamente necesarios: Art. 6.1.b / 6.1.f RGPD (siempre activos). Estadísticas first-party opcionales: consentimiento previo (ePrivacy / Art. 6.1.a). Banner Aceptar / Solo necesarias / Personalizar; enlace Preferencias cookie en el pie. Sin buffer de eventos antes del consentimiento.
6. Gestión
Puede eliminar cookies y almacenamiento desde el navegador. Bloquear cookies esenciales puede impedir el acceso admin/portal. El borrador del audit (sessionStorage) caduca a las pocas horas y se borra tras el envío correcto; no restaura casillas de consentimiento.
7. Responsable
Responsable del tratamiento: UP 101 DI PIZZO MATTEO MARIO Nombre comercial: UP101 Producto: UP101 TravelOS NIF-IVA: 02815530064 (IT02815530064) Domicilio fiscal: Corso Crimea 35 15121 Alessandria (AL) Italia Contacto privacidad: info@up101.dev PEC: matteomariopizzo@pec.it UP101 TravelOS es un producto de UP 101 DI PIZZO MATTEO MARIO (nombre comercial UP101). UP101 Tenerife es un nombre operativo histórico vinculado a Tenerife y no indica una sociedad española separada.
Inventario técnico: docs/legal/COOKIE_INVENTORY.md · código: tracking-inventory.ts