Documentos legales

Privacidad

Última actualización: 2026-09-30

Esta Política describe qué datos recopila el Servicio Panda Defender, cómo se usan, con quién pueden compartirse y qué derechos tienen los usuarios. Al usar el Servicio, confirmas que has leído y entendido esta Política.

1. Quién es el operador

El Servicio es un proyecto personal. El operador es una persona física (el «operador»). Los datos de contacto para consultas sobre datos personales figuran en la página de contacto.

2. Qué datos recopilamos

2.1. Datos de registro

Correo electrónico y contraseña: la contraseña se guarda solo como hash criptográfico; ni siquiera el operador puede recuperar la original.
ID y nombre de usuario de Telegram: cuando inicias el bot de Telegram @PandaDefenderBot o vinculas Telegram en el área de cliente («Ajustes» → «Vincular Telegram»). Tu número de teléfono no se solicita ni se transmite al Servicio.
Idioma preferido de la interfaz.

2.2. Datos técnicos

Dirección IP y user-agent: se registran en los logs del servidor web y de la aplicación, así como en los registros de sesiones de inicio de sesión y de visitas a determinadas páginas del sitio (en un intento fallido de inicio de sesión, junto con el usuario o correo introducido). Se usan para la seguridad (prevenir ataques de fuerza bruta a contraseñas, spam y ataques), para las sesiones de inicio de sesión y para estadísticas agregadas de visitas. Los plazos de conservación figuran en la sección 7.
La dirección IP externa desde la que se conecta una configuración VPN y la hora de la primera y la última conexión observadas: se registran al comprobar el estado de la conexión y se usan para diagnosticar el servicio.
Cookies: para mantener la sesión iniciada y recordar el idioma y el tema (consulta la sección «Cookies» más abajo).
Lista de sesiones de inicio de sesión en el área de cliente: para cada inicio de sesión, el tipo de dispositivo, el sistema operativo y el navegador (obtenidos del user-agent), el país y la ciudad aproximados (determinados a partir de la dirección IP por Cloudflare), el método de inicio de sesión, la hora del inicio de sesión y de la última actividad. La dirección IP en sí no se guarda en la lista, solo una huella irreversible de su subred. Puedes ver la lista en el área de cliente («Ajustes» → «Seguridad» → «Sesiones») y cerrar allí cualquier sesión; así es fácil detectar un inicio de sesión que no fue tuyo.
Estadísticas agregadas de visitas al sitio, mediante Cloudflare Web Analytics: sin cookies y sin identificadores de usuario; se usan para ver qué páginas se abren y lo rápido que cargan.
Las páginas «Mi IP» y «Test de velocidad»: funcionan en tu navegador y se conectan directamente a servicios de Cloudflare (speed.cloudflare.com, ipv4/ipv6.icanhazip.com y un servidor STUN para la comprobación de WebRTC), que ven tu dirección IP como cualquier sitio web; nuestro servidor responde si tu dirección pertenece a nuestros servidores y la comprueba como se describe en el siguiente punto. Los resultados del test de velocidad se guardan solo en tu navegador.
En la página «Mi IP», nuestro servidor también consulta tu dirección en bases de datos públicas de registro de redes (RDAP, a través de rdap.org), en el DNS inverso y en dos listas negras públicas de spam (SpamCop, Barracuda); estos servicios reciben tu dirección IP (consulta la sección 5). Para la comprobación de DNS, tu navegador solicita un nombre aleatorio de un solo uso bajo dnscheck.pandadefender.com, de modo que vemos qué servidor DNS lo pidió (y si transmitió parte de tu dirección); la red de ese servidor DNS se consulta en las mismas bases de datos de registro. Los resultados se guardan solo en la memoria del servidor (la comprobación de DNS durante 2 minutos, las demás comprobaciones hasta una hora y los datos de registro de redes hasta un día) y no se vinculan a ninguna cuenta.

2.3. Datos del servicio

Historial de compras y pagos: importes, fechas, método de pago, ID de la transacción (txid/invoice id), para resolver posibles disputas financieras, confirmar que los servicios se prestaron y para el soporte.
Hora de la última actividad y acciones en el área de cliente.
Metadatos de las configuraciones: país del servidor, periodo de validez, ID del peer, para el correcto funcionamiento del servicio.
Solicitudes de soporte: el texto de tus mensajes y los archivos que adjuntas (por ejemplo, capturas de pantalla), para responder a la solicitud.

2.4. Qué NO recopilamos

El contenido del tráfico que pasa por la VPN o el proxy.
El historial de navegación ni las consultas DNS de los usuarios.
Números de teléfono, datos de documentos de identidad ni datos biométricos: el Servicio no los solicita.
Datos de pago (número de tarjeta, CVV): los gestionan exclusivamente los proveedores de pago en su lado.

3. Para qué recopilamos datos

Autenticación: para que puedas iniciar sesión en tu cuenta.
Pagos y contabilidad del saldo: para prestar correctamente los servicios de pago.
Seguridad: detección y prevención de abusos (fraude, ataques de fuerza bruta a contraseñas, incumplimiento de los Términos del servicio).
Notificaciones del servicio: por ejemplo, sobre configuraciones que van a caducar o confirmaciones de pago. Algunos de estos mensajes de Telegram (por ejemplo, los avisos de caducidad de configuraciones) pueden desactivarse en el área de cliente: «Ajustes» → «Notificaciones».
Soporte: tramitación de las solicitudes de soporte.
Analítica: agregada, sin identificar a usuarios individuales (número de usuarios activos, planes populares, etc.).

4. Bases legales del tratamiento

Tratamos tus datos con las siguientes bases:

Ejecución del contrato: datos sin los que no se puede prestar el servicio (cuenta, saldo, historial de operaciones);
Consentimiento del usuario: datos facilitados voluntariamente (correo para notificaciones, etc.);
Intereses legítimos: para la seguridad y la prevención de abusos;
Obligaciones legales: cuando la legislación aplicable exige el tratamiento de datos.

5. Subencargados externos

Para el funcionamiento del Servicio usamos los siguientes servicios externos, que pueden recibir un conjunto limitado de datos según lo que necesiten para sus funciones:

Proveedores de pago (pagos con tarjeta bancaria y SBP, pagos con criptomoneda): procesan los pagos. Reciben los datos necesarios para procesar y confirmar un pago y los tratan según sus propias normas. Al servicio de pagos con tarjeta y SBP le transmitimos el importe, el número de pago y un identificador técnico de la cuenta en el Servicio (derivado de tu ID de Telegram o de tu número interno de usuario); no transmitimos tu nombre, número de teléfono, correo ni contraseña. Los datos que introduces en la página de pago (por ejemplo, el número de tarjeta o el número de teléfono para SBP) los recibe y procesa el propio servicio de pagos y no pasan por nuestra infraestructura. Los pagos con criptomoneda a una dirección de monedero quedan registrados en una blockchain pública.
Proveedor de proxies: un servicio externo al que compramos los servidores proxy. Al hacer un pedido recibe el país, el tipo y el plazo; no se le transmiten los datos de tu cuenta. Cuando usas un proxy, la conexión pasa por los servidores del proveedor, por lo que técnicamente este puede ver la dirección IP que se conecta y el tráfico del proxy, y los trata según sus propias normas.
Proveedor de CDN: protección contra DDoS y caché de contenido estático. Ve las direcciones IP y las cabeceras de las solicitudes HTTP de los visitantes del sitio y las trata según su propia política de privacidad.
Proveedores de hosting: alojamiento de servidores. Los datos se guardan en servidores que les alquilamos; no los compartimos con los proveedores de hosting para sus propios fines.
Servicio de correo electrónico: envía los correos del servicio (por ejemplo, un código de confirmación cuando cambias tu correo). Recibe: la dirección del destinatario y el texto del correo.
Servicio de geolocalización de IP: determina el país y la ciudad aproximados de una conexión para ayudar a diagnosticar el servicio. Recibe: la dirección IP que se conecta.
Servicios de consulta de direcciones de la página «Mi IP»: bases de datos públicas de registro de redes (RDAP: rdap.org y los registros regionales de internet a los que transmite la solicitud), las listas de spam SpamCop y Barracuda, y el titular de la zona DNS inversa de tu dirección (normalmente tu proveedor): nuestro servidor les consulta sobre tu dirección cuando abres la página «Mi IP» (consulta la sección 2.2). Reciben: tu dirección IP; las bases de datos de registro también reciben la dirección del servidor DNS que usa tu dispositivo.

Cada subencargado tiene su propia política de privacidad. No compartimos datos con terceros con fines de marketing.

Al recibir quejas fundadas o requerimientos legales de las autoridades competentes, pueden analizarse los datos técnicos disponibles enumerados en la sección 2 que sean necesarios para determinar si hubo un abuso, en la medida en que lo permita la legislación aplicable. Solo estos datos pueden revelarse ante un requerimiento legal de las autoridades competentes; el contenido del tráfico y el historial de navegación no se guardan y, por tanto, no pueden revelarse.

6. Cookies

El sitio y el área de cliente usan las siguientes cookies:

pd-theme — tema elegido (claro/oscuro); se establece cuando cambias el tema y se guarda hasta 1 año;
pd-lang — idioma de la interfaz elegido; se establece cuando eliges un idioma o inicias sesión en el área de cliente y se guarda hasta 1 año;
pd-cookie — recuerda que cerraste el aviso de cookies; se establece cuando haces clic en «Entendido» y se guarda hasta 1 año.

El área de cliente (panel.pandadefender.com) también establece sus propias cookies técnicas, solo para su propia dirección (HttpOnly, Secure):

__Host-pd_panel — mantiene tu sesión iniciada en el área de cliente; hasta 30 días;
__Host-pd_ld — indica que ya iniciaste sesión en tu cuenta desde este navegador, para que las contraseñas incorrectas que otra persona escriba con tu correo no te bloqueen el acceso a tu propia cuenta; no contiene datos de la cuenta, se mantiene después de cerrar sesión y se guarda hasta 180 días;
__Host-pd_tglb — vincula el navegador a un inicio de sesión con Telegram en curso; hasta 1 hora.

Algunas páginas de servicio del sitio que genera el servidor (por ejemplo, la página de pago y las noticias) establecen una cookie técnica session hasta que cierras el navegador, y las cookies lang y theme cuando cambias allí el idioma o el tema (hasta 1 año). El chat de soporte que se abre desde el bot @PandaDefenderBot mantiene tu sesión iniciada con la cookie tgs_sess (HttpOnly, Secure; hasta 30 días).

Los valores pd-theme, pd-lang y pd-cookie también se guardan en el almacenamiento local de tu navegador (localStorage); el área de cliente guarda allí algunos ajustes más de la interfaz. El sitio y el área de cliente también usan el almacenamiento de sesión (sessionStorage), que el navegador borra al cerrar la pestaña: el código de referido de un enlace de referido (pd-ref), el enlace para iniciar sesión con Telegram o vincularlo mientras ese enlace es válido (pd-tglogin) y datos temporales similares de la interfaz. Si no se ha elegido ningún idioma, el sitio lo determina a partir del país de tu conexión mediante el proveedor de CDN; el resultado no se guarda. El proveedor de CDN que protege el sitio puede establecer sus propias cookies técnicas para filtrar las solicitudes automatizadas.

Actualmente no se usan cookies de publicidad ni de seguimiento. Si en el futuro se añade publicidad contextual (por ejemplo, Google AdSense), esta Política se actualizará con un aviso explícito.

7. Plazo de conservación

Datos de la cuenta: mientras exista tu cuenta.
Historial de pagos: hasta 3 años, para resolver posibles disputas financieras y confirmar que los servicios se prestaron.
Correspondencia con el soporte: mientras exista tu cuenta; los archivos adjuntos a las solicitudes se eliminan cuando han pasado 180 días desde que se cerró la solicitud (la limpieza se hace automáticamente en pequeños lotes, así que un archivo puede guardarse algo más de tiempo).
Direcciones IP y user-agents en los logs del servidor web: hasta 15 días; direcciones IP en el log del firewall: hasta 5 semanas.
Direcciones IP y user-agents en los logs de la aplicación y en los registros de sesiones de inicio de sesión y de visitas a páginas, así como las direcciones IP de conexión de las configuraciones: no se ha fijado un plazo de conservación concreto.
Metadatos del servicio de las configuraciones: mientras la configuración esté activa, más un periodo de gracia de hasta 30 días.
Copias de seguridad de la base de datos: los datos eliminados pueden permanecer en ellas hasta que esas copias se eliminen.
La lista de sesiones de inicio de sesión: mientras la sesión esté activa; las sesiones cerradas y caducadas se eliminan pasados 30 días.

8. Transferencias internacionales de datos

Técnicamente, los datos pueden transferirse a través de infraestructura de terceros (CDN/protección contra DDoS, hosting, servicio de correo electrónico) situada fuera del país de residencia del operador. La transferencia se realiza solo en la medida necesaria para el funcionamiento del Servicio y se rige por las políticas de privacidad de los proveedores correspondientes.

9. Tus derechos

Respecto a tus datos personales, tienes derecho a:

Acceso: saber qué datos se guardan sobre ti;
Rectificación: corregir datos desactualizados en el área de cliente («Ajustes») o a través del soporte;
Supresión: solicitar la eliminación de tu cuenta y de los datos asociados a través de la sección «Soporte» del área de cliente o del bot de Telegram @PandaDefenderBot, salvo el historial de pagos, que se guarda hasta 3 años para resolver posibles disputas financieras y confirmar que los servicios se prestaron (consulta la sección 7);
Retirar el consentimiento: para tipos concretos de tratamiento (por ejemplo, las notificaciones por correo);
Obtener una copia: si lo solicitas a través del soporte, te facilitaremos una copia de tus datos.

Envía estas solicitudes a través de la sección «Soporte» del área de cliente o del bot de Telegram @PandaDefenderBot; consulta también la página de contacto. Plazo de respuesta: hasta 30 días desde la recepción de la solicitud.

10. Seguridad

Aplicamos medidas técnicas y organizativas razonables para proteger tus datos:

HTTPS/TLS para todo el tráfico entre el navegador y el servidor;
hash de contraseñas con algoritmos modernos;
acceso administrativo restringido a la base de datos;
actualizaciones periódicas de los componentes del sistema.

Ningún sistema es completamente seguro. Si se produce un incidente que afecte a tus datos, te lo notificaremos en un plazo razonable por correo electrónico o por Telegram.

11. Menores

El Servicio puede usarse a partir de los 18 años o, si la mayoría de edad en el país del usuario se alcanza más tarde, a partir de esa edad. No preguntamos específicamente la edad a los usuarios, pero si sabemos que una cuenta pertenece a un menor, esa cuenta se eliminará.

12. Cambios en la Política

La Política puede actualizarse. La versión vigente se publica siempre en esta página con la fecha de actualización. Intentaremos avisarte con antelación de los cambios importantes por correo electrónico o a través del bot de Telegram.

13. Contacto

Para cualquier cuestión sobre el tratamiento de datos personales y tus derechos, contáctanos a través de la sección «Soporte» del área de cliente o del bot de Telegram @PandaDefenderBot; consulta también la página de contacto.