🔒 Legal

Política de privacidad

Cómo cuido tus datos personales en mgut.es.

Última actualización: 15 de septiembre de 2026

Responsable

El responsable del tratamiento es el titular de mgut.es, identificado en el Aviso legal. Me tomo muy en serio tu privacidad. Si tienes cualquier duda o quieres ejercer tus derechos, puedes escribirme a info@mgut.es o usar el formulario de contacto con el tema «Privacidad y protección de datos».

Qué datos trato, para qué y con qué base

Solo trato los datos necesarios para que la web funcione y sea segura. En resumen:

Tu cuenta: usuario, correo y contraseña (guardada cifrada, nunca en claro). Base: la ejecución del servicio que me pides (art. 6.1.b del RGPD).
La seguridad de tu cuenta: los códigos de acceso y de recuperación que te envío por correo, el historial de conexiones con las que entras y tus sesiones abiertas. Base: la ejecución del servicio y mi interés legítimo en proteger tu cuenta (art. 6.1.b y 6.1.f).
La seguridad de la web: datos técnicos de las visitas y de las peticiones sospechosas (IP, navegador, tipo de red, página y hora). Base: mi interés legítimo en mantener la web segura (art. 6.1.f y considerando 49 del RGPD).
Lo que me escribes por el formulario de contacto, para poder responderte. Base: tu petición (art. 6.1.b) y el interés legítimo en proteger el formulario frente a abusos (art. 6.1.f).
Lo que publicas y compartes en la Comunidad y el mapa, con la visibilidad que tú eliges. Se detalla más abajo.

Cuando la base es el interés legítimo, he valorado que no prevalezcan tus intereses y derechos, y puedes oponerte escribiéndome.

Mi compromiso

No comercializo con tus datos. Como autor independiente, no vendo ni cedo tu información con fines comerciales a nadie. Tus datos solo salen de aquí hacia los proveedores que me ayudan a prestar el servicio (ver «Proveedores»), en los casos de abuso que describo en «Abusos, listas de reputación y autoridades», o si una autoridad me lo exige. Los accesos a la base de datos se hacen por motivos de mantenimiento técnico, seguridad y depuración de errores.

Alojamiento

La web está alojada en un proveedor profesional (IONOS) que, como es habitual, registra datos técnicos como la IP en los logs de su servidor por seguridad. Como una dirección IP se considera dato personal bajo el RGPD, te informo de que se recoge esta información con fines de seguridad, tanto si la auditoría técnica la hago yo como si la realiza el propio hosting. Es un tratamiento amparado por el interés legítimo (art. 6.1.f del RGPD).

Las fuentes tipográficas y demás recursos de la web se sirven desde mi propio servidor: al visitar mgut.es tu navegador no descarga nada de Google. Los únicos recursos externos son las imágenes del mapa (ver «Proveedores») y, en algún contenido, imágenes enlazadas de otras webs.

Registro de visitas

Para la seguridad de la web y para saber, de forma agregada, cómo se usa, registro cada visita: IP, navegador, sistema operativo, tipo de dispositivo, idioma, página visitada, página de procedencia, hora y si había sesión iniciada. También clasifico el tipo de red (por ejemplo, VPN, Tor o centro de datos) con listas y bases de datos que están en mi propio servidor: tu IP no se envía a terceros para ello. Este registro se borra solo a las 72 horas. Base: interés legítimo en la seguridad (art. 6.1.f).

Seguridad de tu cuenta

Código por correo al entrar. Cada inicio de sesión exige, además de la contraseña, un código de un solo uso que envío al correo de tu cuenta. De cada código guardo solo una huella cifrada, nunca el código, durante 30 días.
He olvidado mi contraseña. Si lo pides, envío a tu correo un código y un enlace de un solo uso. Al cambiarla, se cierran todas tus sesiones abiertas y te aviso por correo.
«No he sido yo». Todo correo con un código lleva un enlace para avisarme si no lo pediste tú. Al usarlo, comparo la conexión desde la que se pidió el código con la tuya y con las que tu cuenta ya había usado, y si un código para entrar o para cambiar la contraseña se pidió desde una conexión desconocida, la bloqueo 24 horas. Conservo el aviso 24 meses.
Historial de conexiones. Guardo las IP con las que entras a tu cuenta para avisarte de accesos desde direcciones nuevas. Una IP que tu cuenta no vuelve a usar se borra a los 24 meses.
Sesiones. De cada sesión abierta guardo la IP, el navegador y cuándo se usó por última vez, para que puedas verlas y cerrarlas desde tu perfil.

Base: la ejecución del servicio y el interés legítimo en proteger tu cuenta (art. 6.1.b y 6.1.f).

Formulario de contacto

Cuando me escribes guardo tu correo, tu nombre (si lo indicas), el tema y el mensaje, junto con la IP, el navegador, el tipo de red y el tiempo que tardaste en escribirlo, que me sirven para detectar envíos automáticos. Si el formulario te pide superar un reto y conocer sus normas de uso, guardo también qué reto superaste y qué versión de las normas viste. Recibo tu mensaje en mi buzón de correo y lo conservo 24 meses, para poder atender la conversación y cualquier reclamación posterior.

Antes de enviar, tu navegador hace un pequeño cálculo de seguridad. Ese cálculo y el reto no leen ni envían ningún dato de tu dispositivo: ni ubicación, ni pantalla, ni cómo mueves el ratón.

Correo que te envío

Los correos del sistema (códigos, avisos de seguridad, respuestas) salen desde el correo de mi proveedor de alojamiento. De cada envío guardo la dirección, el asunto y si salió bien durante 90 días, para detectar fallos de entrega.

Abusos, listas de reputación y autoridades

Si detecto un uso abusivo de la web —envío de spam, ataques, intentos de entrar en cuentas ajenas, suplantación o incumplimiento grave de los Términos de uso—, podré:

Bloquear la conexión de forma automática y temporal, en toda la web.
Comunicar la IP y los datos técnicos del incidente a servicios de reputación y listas de bloqueo de abusos, como AbuseIPDB o Spamhaus, que ayudan a otros sitios a protegerse.
Denunciarlo ante las autoridades competentes —la Agencia Española de Protección de Datos, la Policía Nacional o la Guardia Civil—, aportando los registros como prueba.

Base: mi interés legítimo en la seguridad de la web y de sus personas usuarias (art. 6.1.f y considerando 49 del RGPD) y, en su caso, el cumplimiento de obligaciones legales (art. 6.1.c). Si alguno de esos servicios está fuera del Espacio Económico Europeo, la comunicación se hará con las garantías del RGPD (decisión de adecuación o cláusulas contractuales tipo). Si crees que un bloqueo es un error, escríbeme a info@mgut.es indicando la IP y la fecha que aparecen en la página de bloqueo.

Automatización y agentes de inteligencia artificial

Para clasificar los mensajes que recibo, detectar spam y abusos y priorizar las respuestas, podré apoyarme en herramientas de automatización (como Make) y en agentes de inteligencia artificial de proveedores externos. Cuando lo haga:

Actuarán como encargados del tratamiento, con contrato y garantías (art. 28 del RGPD), y recibirán solo lo necesario para su tarea.
Tus datos no se usarán para entrenar modelos de terceros.
Las decisiones que te afecten —responderte, retirar contenido, denunciar— las revisa una persona. Los únicos efectos automáticos son los bloqueos temporales de seguridad descritos arriba.
Si el proveedor está fuera del Espacio Económico Europeo, con las garantías del RGPD.

Base: interés legítimo en gestionar las comunicaciones y la seguridad de la web (art. 6.1.f). Más detalles en la Política de Inteligencia Artificial.

Ubicación en el mapa: IP, GPS y dispositivos

Para las herramientas de mapa del sitio (contexto geográfico e histórico) y por seguridad y mantenimiento, estimo una ubicación aproximada a partir de tu dirección IP. Esa estimación se calcula en mi propio servidor, consultando una base de datos de geolocalización local (MaxMind GeoLite2): tu IP no se envía a terceros para ello.

Es una aproximación (a nivel de ciudad o región), no una localización exacta ni en tiempo real. La uso para: (1) reforzar la seguridad de tu cuenta, detectando accesos desde direcciones o zonas no habituales; y (2) ofrecer las herramientas de mapa del sitio. En el mapa solo apareces si tú lo activas expresamente («mostrar en el mapa» en tu perfil); si no lo activas, tu ubicación no se muestra públicamente.

También conservo un historial de las IP con las que accedes a tu cuenta, con el único fin de avisarte y protegerte ante accesos que no reconozcas (ver «Seguridad de tu cuenta»). La base legal es mi interés legítimo en la seguridad (art. 6.1.f del RGPD) y, para mostrarte en el mapa, tu consentimiento (art. 6.1.a), que puedes retirar cuando quieras desactivando esa opción.

Ubicación precisa (GPS), solo si la autorizas. Más allá de la estimación por IP, el mapa admite posición precisa en tiempo real a partir del GPS de un dispositivo. Esto solo ocurre si tú lo autorizas expresamente, vinculando y activando un dispositivo; a partir de ahí, ese dispositivo envía sus coordenadas exactas (latitud y longitud) para mostrarse en el mapa con la visibilidad que definas. Al tratarse de un dato más sensible que la aproximación por IP, su base legal es tu consentimiento (art. 6.1.a del RGPD), que puedes retirar en cualquier momento desactivando o desvinculando el dispositivo; al hacerlo, deja de emitir.

Registro de dispositivos. Cuando autorizas un dispositivo para el mapa, guardo los datos técnicos mínimos para identificarlo y gestionar su permiso (una etiqueta o identificador y su credencial de emisión) junto con la última posición comunicada. Puedes revocar esa autorización cuando quieras. Sin autorización previa, no se registra ningún dispositivo ni se recoge tu ubicación precisa.

Capa de seguridad (solo administración). Con fines de seguridad, la administración del sitio puede visualizar en el mapa IPs geolocalizadas asociadas a incidencias o accesos (por ejemplo, orígenes de ataques detectados por el firewall). Es un uso interno y restringido, amparado por el interés legítimo en la seguridad (art. 6.1.f del RGPD).

Perfil público y Comunidad

La plataforma incluye perfiles y una zona de Comunidad (publicaciones, amistades, grupos, menciones, reacciones y moderación). Conviene empezar por lo más importante: hoy la Comunidad no es pública. Aunque abra el módulo a las personas registradas, abrir no es publicar: todo el contenido de la Comunidad exige haber iniciado sesión, incluidos los perfiles marcados como «público», que en este momento significan «visibles para cualquier usuario registrado» y no para internet. Si algún día decidiera ofrecer una cara pública sin cuenta, lo anunciaría aquí antes de hacerlo.

Dentro de ese marco, tú controlas qué se muestra y a quién con cuatro niveles de visibilidad: privado (solo tú), solo amistades, solo comunidad y público. Publica solo lo que quieras compartir con el resto de personas registradas.

Para que estas funciones operen trato datos como tu nombre público, biografía y ajustes de perfil, tus publicaciones e interacciones (reacciones, favoritos, respuestas), tus relaciones (amistades y grupos) y las menciones y notificaciones que generan (las alertas de tu perfil). La base legal es la ejecución del servicio que solicitas al usar la Comunidad (art. 6.1.b del RGPD) y tu consentimiento para lo que decidas mostrar (art. 6.1.a), que puedes retirar cambiando la visibilidad o eliminando el contenido.

Archivos que subes a la Comunidad

Puedes adjuntar imágenes a tus publicaciones y, si está habilitado, vídeo y audio. Sobre esos archivos:

Heredan la visibilidad de su publicación. No tienen permisos propios: si alguien no puede ver el mensaje, tampoco puede ver la imagen. Se sirven mediante un endpoint con control de acceso que responde «no encontrado» a quien no debe verlos, y se guardan fuera de la carpeta pública del servidor con nombres generados por el sistema.
Les quito los metadatos al subirlos. Una foto de móvil suele llevar EXIF con las coordenadas GPS del lugar donde se hizo, y un vídeo las guarda dentro de su contenedor. Para que no acabes compartiendo sin querer dónde vives, el sistema limpia esos metadatos antes de almacenar el archivo: recodifica o recorta las imágenes JPEG, PNG, WebP y GIF, retira los bloques de datos de usuario en vídeo y audio MP4, MOV y M4A, y elimina las etiquetas ID3 de los MP3. Los formatos WebM y OGG no se procesan (no los generan las cámaras), así que si subes uno de ellos comprueba tú su contenido.
Hay límites de tamaño por archivo, de número por publicación y de espacio total por cuenta. Puedes consultar cuánto llevas usado en Perfil → Mis imágenes, donde también puedes retirar cualquier archivo tuyo.
Se borran contigo. Al eliminar una publicación desaparecen sus archivos, y al eliminar una cuenta desaparece su carpeta completa.

Eres responsable de lo que subas: no incluyas datos sensibles —tuyos o de terceros— ni material sobre el que no tengas derechos. La limpieza de metadatos reduce un riesgo concreto, pero no revisa lo que se ve en la propia imagen.

Reportes y moderación

Cualquier persona registrada puede reportar una publicación que considere inadecuada. Al hacerlo guardo quién reporta, qué publicación, el motivo y el detalle que escribas, para poder revisarlo. La base legal es mi interés legítimo en mantener un espacio sano y cumplir la ley (art. 6.1.f del RGPD).

Dos aclaraciones que me parecen importantes: un reporte no oculta nada por sí solo —no existe ningún umbral automático, siempre decide una persona—, y si se retira una publicación tuya se te avisa mediante una alerta en tu perfil. Los reportes resueltos se conservan como registro de la decisión. Si crees que una retirada es un error, puedes escribirme por el formulario de contacto.

Multimedia

La sección Multimedia permite organizar y reproducir imágenes, vídeo y audio en bibliotecas con distintos niveles de visibilidad. El contenido se sirve mediante endpoints propios con control de acceso y los archivos se guardan fuera de la carpeta pública del servidor. La subida en esta sección es de administración; lo que suben las personas usuarias se describe en «Archivos que subes a la Comunidad». Más detalles en los Términos de uso.

Acceso con Google (en preparación)

Tengo previsto ofrecer «Continuar con Google» como forma de registro e inicio de sesión. Si activo y usas esta opción, Google me facilitará únicamente los datos básicos de tu cuenta necesarios para identificarte —normalmente tu correo verificado y tu nombre—, que empleo para crear o vincular tu cuenta en la web. Nunca recibo tu contraseña de Google. La base legal es la ejecución del servicio que pides al iniciar sesión de este modo (art. 6.1.b del RGPD). El uso que Google haga de tus datos como proveedor de identidad se rige por su propia política de privacidad. Esta función se documentará aquí en detalle cuando esté disponible.

Proveedores

Para prestar el servicio me apoyo en estos proveedores, que tratan datos por mi cuenta o reciben solo lo imprescindible:

IONOS: alojamiento de la web, base de datos y correo electrónico, en la Unión Europea.
MaxMind GeoLite2: base de datos de geolocalización que se consulta dentro de mi servidor; no recibe tu IP.
Mapas: cuando usas el mapa, tu navegador descarga las imágenes del mapa de OpenStreetMap, CARTO y Amazon Web Services (relieve), que reciben tu IP al servirlas, como ocurre al visitar cualquier web.
Google: solo si en el futuro usas «Continuar con Google» (en preparación).
Herramientas de automatización y de IA, en los términos del apartado anterior.

Conservación

Conservo los datos mientras sean necesarios para su finalidad y, después, solo durante los plazos que la ley exija. Los plazos concretos:

Tu cuenta y lo que publicas: mientras la cuenta exista. Si eliminas una publicación o tu cuenta, retiro el contenido asociado salvo lo que deba conservar por obligación legal o como evidencia de seguridad.
Registro de visitas: 72 horas.
Registro de seguridad del cortafuegos: 1 año.
Mensajes del formulario de contacto: 24 meses.
Historial de conexiones de tu cuenta: 24 meses desde el último uso de cada IP.
Avisos «no he sido yo»: 24 meses.
Huellas de los códigos de seguridad: 30 días.
Registro de envíos de correo: 90 días.
Registro de actividad (entradas, cambios de cuenta, moderación): entre 6 meses y 2 años según el tipo; las entradas a la cuenta, 6 meses.
Reportes resueltos: se conservan como registro de la decisión.

Cuando un plazo termina, los datos se borran automáticamente o se anonimizan.

Tus derechos

Puedes ejercer tus derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad escribiéndome a info@mgut.es. Te responderé en el plazo de un mes. Si consideras que no he atendido bien tu solicitud, tienes derecho a reclamar ante la Agencia Española de Protección de Datos (aepd.es).