Política de privacidad

Versión: 24 de septiembre de 2026.

Esta política cubre cuentas, compras, contacto y soporte de Bondry Web, además de licencias, updates y descargas. Bondry, con sede en Brasil, es responsable del tratamiento de estas actividades. Escribe a privacy@bondry.org, abre un ticket de soporte o usa el formulario de contacto. El correo y el formulario están disponibles sin cuenta.

Tu comunidad autoalojada es un entorno separado. Su operador decide el uso de datos de miembros y debe ofrecer su propia información de privacidad. Comprar software no nos designa para alojar o tratar rutinariamente esa base de datos. La información que decidas enviar al soporte sí está cubierta aquí.

1. Información y procedencia

• Cuenta: nombre, correo, identificador de cuenta, idioma, estado de verificación, hash de contraseña y eventos de seguridad. Los secretos de autenticación en dos pasos y códigos de recuperación se almacenan cifrados cuando se activan. No guardamos contraseñas de cuenta en formato legible.
• Compras: detalles de pedidos e ítems, importes, moneda, información tributaria cuando corresponda, referencias de pago, estado e información de reembolsos o disputas. Stripe recibe los datos del checkout y devuelve información de la transacción. Nuestra aplicación no recoge ni almacena números completos de tarjeta ni códigos de seguridad de tarjeta.
• Licencias y descargas: serial, producto, dominios, historial de activación, tokens e identificadores, derecho a updates, versión, registros de descarga e información técnica de instalación. Según la versión del cliente, puede incluir nombre de host, versión PHP, sistema operativo e identificador técnico de instalación.
• Reivindicaciones de marketplace: código de compra Envato enviado y datos devueltos por Envato, como identificador del comprador, ítem, fecha de compra y fin de soporte.
• Contacto y soporte: nombre, correo, asunto, mensajes, adjuntos, pedido o licencia vinculados, correspondencia e información de gestión del caso. Envía ejemplos con datos innecesarios ocultos en lugar de bases de datos completas o credenciales.
• Registros de servicio y seguridad: IP, user agent, identificadores de sesión, ruta de petición, fecha, estado de respuesta, historial de acceso y acciones sensibles de cuenta, procedentes de tu navegador, instalación, infraestructura y controles de seguridad.

Los datos obligatorios de cuenta, pago y licencia permiten la cuenta, compra o autorización correspondiente. Sin ellos quizá no podamos ofrecer esa función. Los detalles opcionales de soporte deben limitarse a lo necesario.

2. Finalidades y bases jurídicas

Cuando se exige base jurídica, tratamos datos para ejecutar un contrato o medidas que solicitas antes de comprar: acceso, entrega, verificación de licencia, descargas, soporte y mensajes transaccionales. Cumplimos obligaciones legales contables, fiscales, de solicitudes lícitas de autoridades y soluciones debidas al consumidor.

Cuando sea legalmente posible, los intereses legítimos fundamentan seguridad, prevención de fraude y uso no autorizado, investigación de incidentes y ejercicio o defensa de reclamaciones. Valoramos necesidad e impacto sobre las personas. Gestionar la relación con la organización que representas también puede basarse en esos intereses.

Si una actividad opcional requiere consentimiento, lo pedimos por separado y permitimos retirarlo. Aceptar términos o esta política no equivale a consentir todo tratamiento. Retirarlo no invalida tratamientos anteriores lícitos ni impide otros con base aplicable.

3. Comprobaciones y controles automatizados

Tu instalación consulta la API para activar, desactivar, validar, buscar updates y acceder a la biblioteca del Designer. Envía credenciales de licencia e información técnica; los endpoints rutinarios no solicitan listas de miembros, publicaciones ni la base de datos comunitaria. Un dominio, host o diagnóstico puede, no obstante, identificar a una persona.

Las reglas verifican firmas, dominios, revocación, pago y vencimiento de updates. Pueden denegar activación o descargas, limitar peticiones o revocar derechos tras reembolsos o disputas. No se utilizan para perfilar miembros con fines publicitarios. Contacta para pedir explicación, corrección y revisión humana de un resultado incorrecto o que te afecte significativamente, y presentar tu posición.

Marcas de origen de la distribución

Los instaladores completos reciben una marca de licencia para ayudar a investigar la redistribución no autorizada. Es un identificador opaco asociado a la licencia, al producto, a la versión y a la descarga en nuestros registros. No contiene el número de serie legible de la licencia. Es seudónimo, no anónimo: podemos asociarlo a una cuenta. No sigue la navegación ni a los miembros de la comunidad y no crea cookies.

Las verificaciones periódicas de licencia pueden enviar el resumen de la marca y los canales recuperados junto con la licencia activa y el dominio. Una discrepancia genera una observación interna para el personal autorizado. Esta observación no almacena la dirección IP; los registros ordinarios de API y descarga siguen sujetos a las demás disposiciones de esta política. Las copias de seguridad, migraciones, cuentas comprometidas o marcas copiadas pueden explicar una discrepancia. Una marca por sí sola nunca provoca un bloqueo, revocación o acusación; cualquier medida requiere investigación humana.

Estos usos apoyan la administración del contrato de licencia y, cuando esté legalmente permitido y sujeto a las garantías de la sección 2, nuestro interés legítimo en investigar la distribución no autorizada. La relación de emisión permanece con los registros de licencia y versión necesarios para los derechos de uso continuados y las investigaciones. Las observaciones rutinarias se eliminan tras 180 días sin una nueva observación. Las pruebas de incidentes y las copias de seguridad siguen la sección 6. Para acceso, rectificación, oposición o consultas, contacte con privacy@bondry.org.

4. Destinatarios

Personal autorizado y proveedores acceden según la necesidad de alojamiento, almacenamiento, correo transaccional, mantenimiento, seguridad y soporte. Los proveedores de copias de seguridad pueden conservar las mismas categorías con acceso restringido. Los permisos de acceso se limitan según la sensibilidad de la información y la finalidad del servicio.

Stripe procesa pagos conforme a su Política de privacidad y funciones contractuales aplicables. Envato recibe los códigos cuya comprobación solicitas y trata datos del marketplace conforme a su Política de privacidad. Los proveedores de alojamiento, correo y copias operan bajo acuerdos adecuados a su función. Puedes solicitar más información sobre destinatarios al contacto de privacidad.

Pueden realizarse comunicaciones necesarias a asesores, autoridades competentes o participantes de una transmisión empresarial, con base jurídica, confidencialidad y límites adecuados. No vendemos información personal ni la compartimos para publicidad conductual entre distintos contextos. Bondry Web no ejecuta scripts publicitarios ni de analítica de terceros.

5. Tratamiento internacional

Los proveedores pueden tratar datos fuera de tu país. Las transferencias que requieran garantías deben usar mecanismos legales, como decisiones de adecuación aplicables o cláusulas contractuales aprobadas, con protecciones adicionales cuando proceda. Según la transferencia, pueden aplicarse el RGPD, las normas británicas y la LGPD y regulación de transferencias de la ANPD brasileñas. Usar el sitio no constituye consentimiento para una transferencia ilícita.

Contacta para conocer lugares y destinatarios relevantes y obtener copia o explicación de garantías, protegiendo la información confidencial. No afirmamos que todo destino tenga decisión de adecuación ni que un proveedor determinado esté certificado.

6. Conservación y cierre de cuenta

Los registros de cuenta y licencia se mantienen según lo necesario para administrar la cuenta y los derechos continuados de licencia. Pedidos, registros fiscales y pruebas pueden permanecer tras el cierre por deberes legales, disputas o plazos de prescripción. Mensajes, tickets, adjuntos y registros de seguridad se conservan según su finalidad, seguimiento y necesidades jurídicas o de seguridad legítimas; la duración depende del registro y asunto.

Los registros de peticiones API de la aplicación tienen borrado programado después de 30 días. Esto no describe registros de alojamiento, auditoría o pruebas preservadas por incidentes u obligaciones legales. Las sesiones vencidas y verificaciones temporales se eliminan mediante limpieza operativa. Las copias siguen ciclos de conservación y pueden permanecer hasta sobrescribirse; las restauraciones deben respetar las restricciones de borrado registradas.

Pedir cierre o supresión no extingue automáticamente una licencia pagada por ejercer derechos de privacidad. Explicaremos los registros mínimos para mantenerla y las consecuencias para el servicio antes de actuar según tus instrucciones. Registros legales o pruebas necesarias para reclamaciones legítimas pueden conservarse con uso restringido. No borramos contenido de tu servidor.

7. Tus derechos

La ley aplicable puede otorgar confirmación y acceso, rectificación, supresión, limitación, portabilidad, información sobre comunicaciones, oposición al interés legítimo, retirada del consentimiento y revisión de decisiones automatizadas. Hay condiciones y excepciones legales; explicaremos negativas o limitaciones y vías para impugnarlas.

Escribe al correo de privacidad o usa el formulario. Podemos pedir verificación proporcional de identidad o poderes de representación. No envíes documentos de identidad sin solicitud específica por un canal adecuado. Las solicitudes son normalmente gratuitas y se atienden en los plazos legales; explicaremos cualquier prórroga o excepción lícita.

Puedes reclamar ante la autoridad competente, incluida la ANPD de Brasil, una autoridad del EEE o el ICO británico cuando corresponda. Las leyes estatales estadounidenses aplicables pueden reconocer derechos de información, corrección, borrado, copia, recurso y exclusión de venta, intercambio, publicidad dirigida o determinados perfiles. No realizamos esas actividades publicitarias ni discriminamos por ejercer derechos protegidos.

8. Cookies y preferencias

Este sitio guarda solo cookies necesarias. Cada una, con su finalidad y duración:

• bondry-session: mantiene tu sesión iniciada y protege las peticiones. Dura la sesión del navegador, hasta el plazo de inactividad configurado.
• XSRF-TOKEN: verificación de petición en los formularios, junto al token del formulario. Misma duración que la sesión.
• locale: recuerda el idioma elegido. Hasta un año.
• theme: recuerda la apariencia elegida, clara, oscura o la del sistema. Hasta un año.
• bondry_privacy_notice: registra que el aviso de privacidad se cerró, para no volver a mostrarlo. Doce meses.
• cookies de hCaptcha: las guarda hCaptcha en las páginas que muestran la verificación antispam, con las finalidades y plazos de su propia política.

Ninguna de estas cookies sirve a publicidad ni a medición de audiencia, y ninguna es opcional para la función que sostiene; por eso un aviso en la primera visita informa de lo que usa el sitio y no hay consentimiento que dar ni retirar. Las páginas alojadas de pago o marketplace pueden usar cookies bajo sus políticas. Un futuro seguimiento no esencial que requiera consentimiento deberá informarse y obtenerlo antes de activarse, y el aviso pasará entonces a ser una elección real.

Puedes borrar o bloquear cookies en el navegador. Bloquear las necesarias puede impedir acceso, checkout o formularios; borrar preferencias reinicia las elecciones. No interpretamos Do Not Track como permiso para rastrear, y aquí no hay venta ni intercambio publicitario que deba desactivar una señal de exclusión.

Medición de audiencia sin cookies

Para entender qué páginas son útiles y qué canales traen clientes, mantenemos estadísticas agregadas en nuestro propio servidor. Esta medición no usa ninguna cookie ni tercero, y no hay identificación del navegador de un día a otro. Parte de ella se ejecuta en el navegador mediante un pequeño script servido desde nuestro propio servidor por Umami, un software de estadísticas de código abierto instalado en la misma máquina que este sitio; los navegadores que envían la señal Do Not Track no son contados por ese script. Por cada página vista guardamos la ruta, el idioma, el sitio de referencia, los parámetros de campaña presentes en el enlace (como utm_source), el tipo de dispositivo (ordenador, móvil o tableta) y un identificador seudónimo diario derivado de la conexión y del navegador con una clave que se descarta cada día, de modo que las visitas no pueden vincularse de un día a otro. Las direcciones IP no se guardan con esta finalidad.

Cuando compras, el origen de la compra, es decir, el sitio de referencia o los parámetros de campaña de la primera visita de la sesión, se conserva junto con el pedido. Las estadísticas se conservan durante 13 meses y luego se eliminan. La base jurídica es nuestro interés legítimo en entender el uso del sitio y el rendimiento de nuestros canales, y ningún tercero recibe estos datos.

hCaptcha

El formulario de contacto, la apertura de tickets y el acceso están protegidos por hCaptcha, un servicio de Intuition Machines, Inc., que actúa como nuestro encargado del tratamiento en esa verificación. Donde aparece la verificación, hCaptcha recibe tu dirección IP y datos del navegador, como agente de usuario, idioma, información de pantalla y dispositivo, y las señales de interacción que necesita para distinguir a una persona de un script automatizado. Las páginas sin la verificación no contactan con ningún tercero.

La base legal es nuestro interés legítimo en la seguridad del servicio y la prevención de abusos: sin esta verificación, los formularios públicos y el acceso quedan expuestos a envíos automatizados y a ataques de credenciales. hCaptcha trata estos datos conforme a su Política de privacidad. Si no puedes completar la verificación, escribe a nuestra dirección de privacidad o por correo; ninguna de las dos vías la exige.

9. Seguridad, menores y cambios

Los controles incluyen acceso restringido, hashes de contraseña, secretos de autenticación cifrados, verificación de peticiones y registros de seguridad. Ningún servicio es totalmente seguro. Comunica accesos sospechosos sin demora. Cuando un incidente exija notificación, se informará a personas afectadas y autoridades según la ley.

Los servicios de compra y cuenta se dirigen a personas con capacidad legal para contratar, no a menores. Contacta por datos de menores facilitados sin la autorización legalmente requerida. Los operadores de comunidades independientes establecen sus propias reglas de edad y avisos.

La fecha identifica esta versión. Los cambios relevantes recibirán aviso adecuado antes de nuevos tratamientos cuando se exija y nuevo consentimiento cuando proceda. Cambiar la política no autoriza por sí solo usos incompatibles de datos ya recogidos.