Política de privacidad

1. Quiénes somos

xscraper opera este sitio y la API. Para cualquier cosa sobre tus datos, escribe a [email protected].

2. Qué guardamos

• Tu cuenta: tu email, tu nombre si añades uno, y si confirmaste el email. La contraseña se guarda solo como un hash argon2, nunca como texto. Si entras con Google, guardamos el ID de tu cuenta de Google y el email y el nombre que nos envía Google.
• Tu saldo de tokens y cuándo recibiste el bono de registro.
• La dirección IP desde la que te registraste. La usamos para limitar cuántos bonos gratis puede obtener una misma red.
• Inicios de sesión: la dirección IP y el nombre del navegador (user agent) de cada sesión, y cuándo se creó y se usó por última vez. Guardamos un hash de la cookie de sesión, no la cookie en sí.
• Claves de API: un hash de la clave, su nombre, cuándo se creó, cuándo se usó por última vez y cuándo caduca. La clave completa se te muestra una sola vez y nunca se guarda.
• Un registro de cada llamada a la API: el endpoint, la hora, el estado, cuánto tardó, los tokens cobrados, los últimos 4 caracteres de la clave y el mensaje de error si falló. Esto es lo que muestra tu página de uso.
• Buscador de ID de Twitter: si consultas un perfil sin cuenta, guardamos un hash con sal de tu dirección IP (en IPv6, de su red /64), no la dirección en sí, para limitar las consultas gratis. Consultar un perfil con la sesión iniciada se registra como cualquier otra llamada a la API.
• Registros técnicos: registros del servidor y registros de las solicitudes que hacen nuestras propias cuentas de X. Pueden contener los parámetros de tus llamadas, como un nombre de usuario o un término de búsqueda. Los usamos para encontrar y corregir fallos.

No recogemos datos de pago: ahora no se pueden comprar tokens.

3. Qué no hacemos

• Ni publicidad, ni scripts de analítica o de seguimiento en este sitio.
• No vendemos ni alquilamos tus datos.
• No enviamos emails de marketing. Solo enviamos los que el servicio necesita: confirmar tu email, restablecer tu contraseña y avisos sobre tu contraseña o tus claves de API.

4. Por qué lo usamos

• Para operar el servicio en el que te registraste: tu cuenta, el inicio de sesión, las claves de API, el saldo de tokens y el historial de uso.
• Para que el servicio sea seguro y justo: límites de tasa, protección del inicio de sesión, comprobaciones de bots, límites a los bonos gratis y a las consultas gratis, y detección de abusos. Es nuestro interés legítimo en operar un servicio seguro.
• Para corregir fallos: los registros técnicos, que solo se guardan poco tiempo.
• Cuando la ley lo exige.

5. Cookies y almacenamiento del navegador

Solo usamos lo que el sitio necesita para funcionar, así que no hay un aviso de cookies. Nada de esto se usa para publicidad o seguimiento.

6. Quién más lo ve

• Nuestro proveedor de alojamiento, cuyos servidores ejecutan el sitio, la API y la base de datos.
• Resend, que entrega nuestros emails. Recibe tu dirección de email y el mensaje.
• Cloudflare, solo en el buscador de ID de Twitter cuando no has iniciado sesión. Su comprobación Turnstile confirma que usa la página una persona, no un bot. Para ello trata tu dirección IP y datos de tu navegador en nuestro nombre, según la política de privacidad de Cloudflare.
• Google, solo si eliges entrar con Google. La política de privacidad de Google se aplica a ese paso.
• Las autoridades, cuando la ley nos obliga a compartirlo.

Cuando llamas a la API, pedimos a X datos públicos con nuestras propias cuentas de X. Tus datos personales no se envían a X. Algunos de estos proveedores pueden tratar datos fuera de tu país. Cuando la ley lo exige, usamos las garantías que ellos ofrecen, como las cláusulas contractuales estándar.

7. Cuánto tiempo lo guardamos

• Tu cuenta, las claves de API y la IP de registro: hasta que eliminas tu cuenta.
• Inicios de sesión: 30 días después del último uso, o hasta que cierres la sesión.
• Enlaces para confirmar el email y para restablecer la contraseña: hasta que se usan, y como máximo 24 horas y 30 minutos, respectivamente.
• Registros de llamadas a la API: 180 días.
• Registros técnicos y los registros de solicitudes de nuestras cuentas de X: 30 días.
• Buscador de ID de Twitter: el hash con sal de tu dirección IP, 30 días.
• Bono de registro: cuando un buzón recibe el bono, guardamos un hash unidireccional de la dirección (no la dirección en sí), así el mismo buzón no puede reclamarlo otra vez después de eliminar su cuenta. La dirección IP guardada con ese dato se borra a las 24 horas.

8. Eliminar tu cuenta

En el panel, abre Ajustes y elige Eliminar cuenta. Tu cuenta, las claves de API, las sesiones y los tokens que queden se borran al momento. Los registros de llamadas pasadas a la API se conservan hasta 180 días bajo un número interno, ya sin vínculo con tu email, y los registros técnicos caducan a los 30 días.

9. Tus derechos

Puedes pedirnos una copia de tus datos, que los corrijamos, que los borremos o que limitemos cómo los usamos. Puedes oponerte a cómo los usamos y pedir tus datos en un formato que puedas llevar a otro sitio. Escribe a [email protected] desde el email de tu cuenta. Respondemos en el plazo de un mes. También puedes reclamar ante la autoridad de protección de datos de tu país.

10. Seguridad

Todo el tráfico usa HTTPS. Las contraseñas, las cookies de sesión y las claves de API se guardan solo como hashes. Los secretos se quitan de los registros antes de escribirlos. Solo las personas que operan el servicio pueden llegar a la base de datos. Ningún sistema es perfectamente seguro: si sabemos de una filtración que te afecte, te lo diremos.

11. Menores

El servicio no está pensado para nadie menor de 16 años. No crees una cuenta si eres más joven.

12. Cambios de esta política

Cuando esta política cambie, actualizamos la fecha de arriba. Si un cambio afecta a cómo usamos tus datos, avisamos por email a quienes tienen cuenta antes de que entre en vigor. Los términos del servicio explican cómo puedes usar el servicio.