política de privacidad

quiénes somos y cómo contactarnos

Hackathon España (spainhackathons.com) es un directorio independiente de hackathons en España y es el responsable del tratamiento de todos los datos descritos a continuación. Es una de las cinco ediciones nacionales del mismo directorio; cada edición funciona en su propio servidor con su propia base de datos, y no se transfiere ningún dato personal entre ellas.

cookies

Este sitio instala cookies propias solo cuando pulsas un botón. El aviso pregunta si podemos comunicar tu visita a Meta para medir nuestros anuncios; tu respuesta se guarda como hx_consent (granted o denied, seis meses, legible solo por nuestro servidor, nunca compartida) para no preguntarte en cada página. Hasta que respondas, nada te rastrea y no se instala ninguna cookie de seguimiento; si rechazas, nada lo hará nunca. En ajustes de cookies ves tu respuesta y la cambias con un clic.

Si aceptas, nuestro servidor instala tres cookies más. hx_id es un número de visitante aleatorio que no contiene nada sobre ti (HttpOnly, seis meses, legible solo por nuestro servidor); Meta nunca lo recibe tal cual, solo su hash SHA-256, como external_id. _fbp es un identificador de navegador que instala este sitio, no Meta: fb.1. seguido del momento en que se creó y un número aleatorio (90 días, no HttpOnly); si ya tienes un _fbp de una visita anterior, se reutiliza. Si llegas desde un anuncio de Meta, _fbc guarda el identificador de clic del anuncio y la hora de tu llegada (90 días). Rechazar, o retirar el consentimiento en ajustes de cookies, borra hx_id, _fbp y _fbc. Ver Meta más abajo.

Al navegar por el sitio, tu propio navegador guarda además otros dos valores pequeños, y ninguno se nos envía nunca:

nl_shown

Almacenamiento de sesión. Registra que la ventana emergente del boletín ya ha aparecido, para que no vuelva a mostrarse mientras tengas la pestaña abierta. Se borra al cerrar la pestaña.

nl_subscribed

Almacenamiento local. Registra que ya te has suscrito, para que la ventana emergente deje de aparecer definitivamente. Se borra siempre que limpies los datos del sitio.

Ambos contienen el valor literal 1. No contienen ningún identificador y solo tu navegador puede leerlos en este sitio.

Por completitud: existe un tercer valor, admin_api_key, que la consola /admin exclusiva del personal guarda en el almacenamiento de sesión para que el revisor no vuelva a teclear su clave en cada acción. Es una credencial nuestra, no información sobre ti, solo la crea alguien que ha tecleado esa clave y ninguna página pública del sitio la establece.

analíticas

En este sitio no hay Google Analytics, ni gestor de etiquetas, ni herramienta de grabación de sesiones, y ningún código de Meta se ejecuta en tu navegador. La medición de anuncios con Meta, descrita en Meta, se hace solo desde nuestro servidor y solo tras tu aceptación. Los pocos scripts que se ejecutan (el buscador, los formularios de suscripción, el asistente de envío) están escritos en línea y solo hablan con la API propia del sitio; a ellos se suma el script de pago de PayPal en la página /submit.

cómo contamos lo que es popular

Sí medimos qué listados se consultan, para saber qué eventos merecen destacarse y si el directorio es útil. Esto ocurre en nuestro servidor, no en tu navegador: no hay script de seguimiento, ni baliza, ni cookie implicados en ese recuento.

Cada listado mantiene cuatro contadores diarios: veces mostrado en una lista, veces enlazado desde una lista, veces que se abrió su página y veces que se siguió su enlace de inscripción. Lo que se almacena es:

Se almacena

Qué evento, qué fecha de calendario (UTC), cuál de los cuatro contadores y un recuento.

No se almacena

Tu dirección IP. La cadena de user-agent de tu navegador. La página desde la que llegaste. Cualquier identificador de sesión o visitante. La hora del día. Cualquier campo de texto libre.

Para evitar contar dos veces a la misma persona en un mismo día, el servidor toma tu dirección IP y el user-agent de tu navegador, los combina y guarda un hash SHA-256 unidireccional y abreviado del resultado. También los usa, en memoria, para descartar el tráfico de bots y rastreadores. La dirección IP y el user-agent en sí nunca se escriben en disco — solo se conserva el hash.

Aquí queremos ser precisos antes que halagadores: ese hash es seudónimo, no anónimo. No puede leerse a la inversa para revelar una dirección IP, pero el mismo visitante produce el mismo hash el mismo día. Eso nos basta para tratarlo como información personal y decirte que existe, para qué sirve y cuándo desaparece. Todo lo que tenga más de 90 días se elimina; para ser exactos sobre el mecanismo, esa limpieza se ejecuta cuando el servicio se reinicia y no mediante un temporizador, por lo que un hash puede sobrevivir a los 90 días tanto tiempo como el servicio haya estado en funcionamiento. Los contadores diarios que quedan después son totales simples, sin nada personal, y los conservamos indefinidamente.

Base jurídica: intereses legítimos: saber qué listados son realmente útiles, usando el método menos identificativo que pudimos implementar, sin cookies ni terceros implicados. Puedes oponerte y pedirnos que dejemos de contarte en cualquier momento, a través de la vía indicada arriba.

el boletín

Si te suscribes, este es todo el registro que creamos:

Tu dirección de correo

En minúsculas y sin espacios extra.

Una marca de tiempo

Cuándo te suscribiste.

Eso es realmente todo: la tabla de la base de datos tiene tres columnas y la tercera es un número de ID. No registramos tu dirección IP, tu navegador ni desde qué página te suscribiste, y los tres formularios de suscripción del sitio se comportan de forma idéntica a este respecto.

Tu dirección se almacena en la base de datos propia de este sitio, en nuestro servidor. No se envía a un proveedor de listas de correo, ni se comparte, ni se vende, ni se usa para crear un perfil. Si más adelante empezamos a enviar correos a través de un proveedor, ese proveedor se nombrará aquí antes de que llegue a él ninguna dirección.

Base jurídica: consentimiento, otorgado al introducir tu dirección. Puedes retirarlo en cualquier momento a través del formulario de envío: borraremos el registro, no solo lo marcaremos. Conservamos las direcciones hasta que te des de baja.

envío de un evento

El formulario de envío recoge los datos del evento: nombre, URL, descripción, organización, ciudad, lugar, dirección, código postal, fechas, precio de la entrada, premio y un enlace a la imagen, además de una dirección de correo de contacto, que es la única parte que constituye necesariamente un dato personal. Si compras un listado destacado, también registramos el ID del pedido de PayPal.

Los datos del evento se publican en este sitio, que es para lo que se envían. Tu correo de contacto no se publica: se usa para ponernos en contacto contigo sobre el listado.

Base jurídica: intereses legítimos y los pasos necesarios para publicar un evento a petición tuya. Los envíos se conservan como registro de lo que se publicó y por qué.

otras empresas que ven algo

Intentamos mantener esta lista tan corta como podemos, pero no está vacía, y fingir lo contrario sería lo más fácil de esta política que dar por sentado:

Google Fonts

Todas las páginas cargan dos tipografías desde los servidores de fuentes de Google, por lo que Google recibe tu dirección IP, tu user-agent y la dirección de la página que estás viendo — en cada visita a una página, antes de que interactúes con nada. Este es el flujo de datos a terceros más significativo del sitio. Tenemos previsto autohospedar las fuentes, lo que lo eliminaría por completo.

Meta (Facebook)

Anunciamos este directorio en Facebook e Instagram y medimos si esos anuncios traen visitas. Ningún código de Meta se ejecuta en tu navegador, y no se comunica nada hasta que aceptas el aviso. A partir de entonces, nuestro servidor envía directamente a la API de Conversiones de Meta (Conversions API): página vista, página de evento abierta, enlace de inscripción seguido, alta en el boletín, un evento que envías con el formulario (ListingSubmitted: el tipo de publicación, nunca tu email de contacto) y el pago de una publicación destacada (Purchase: el precio y el número de pedido de PayPal). Cada envío contiene tu dirección IP, la cadena user-agent de tu navegador, el identificador de clic (_fbc) y el identificador de navegador (_fbp) si existen, y el hash SHA-256 de hx_id como external_id. Un alta en el boletín contiene además tu correo como hash SHA-256 para que Meta pueda asociar el alta a un anuncio —nunca enviamos la dirección en sí—, y las altas, los envíos y los pagos contienen un hash del código de país de este sitio. Nada más de lo que escribas. Para detenerlo: ajustes de cookies, un clic: borra hx_id, _fbp y _fbc y detiene todo envío desde la página siguiente. Eso retira el consentimiento hacia el futuro; lo que Meta ya tiene se rige por las herramientas de Meta. Meta trata estos datos según su propia política de privacidad, en parte fuera de la UE.

PayPal

La página /submit carga el script de pago de PayPal, por lo que PayPal recibe la dirección IP y el user-agent de todos los que abren esa página, paguen o no, y establece sus propias cookies bajo paypal.com. Ninguna otra página lo carga. El pago se gestiona íntegramente en el lado de PayPal: nunca vemos ni almacenamos datos de tarjetas, solo un ID de pedido.

Bunny.net

Aloja el endpoint que recibe los envíos de eventos, como se ha descrito arriba. No interviene en la navegación ordinaria.

Cada una de estas empresas trata los datos según su propia política de privacidad y en su propia infraestructura global. Las tres tienen su sede en Estados Unidos, por lo que cuando reciben tu dirección IP eso constituye una transferencia internacional fuera del EEE, realizada bajo las salvaguardas que cada una de ellas aplique: no estamos en posición de auditar esas salvaguardas ni vamos a afirmar que lo hacemos. El resumen honesto es que evitar la transferencia implica autohospedar las fuentes (previsto) y no abrir /submit. Aparte de estas tres, ningún tercero recibe nada sobre ti.

Dos empresas más están cerca del sitio sin recibir nada sobre tu navegación: el proveedor de servidores que lo aloja y nuestro proveedor de DNS, que responde a la consulta que convierte spainhackathons.com en una dirección antes de que tu navegador nos contacte nunca. El sitio no está detrás de un proxy ni CDN en la ruta de entrega de páginas, por lo que ningún intermediario de ese tipo ve tus visitas a las páginas.

enlaces a organizadores

Los enlaces de inscripción pasan por una dirección /go/ de este sitio. Ese paso suma uno al contador de «enlace de inscripción seguido» descrito arriba y a continuación te reenvía inmediatamente a la página del organizador en Luma o Eventbrite. No almacena nada más. Los enlaces están marcados para que el sitio del organizador no reciba información sobre la página desde la que llegaste.

Una vez que aterrizas en el sitio de un organizador —o en cualquier otro sitio al que enlazamos—, te ampara su política de privacidad, no la nuestra. Las imágenes de los eventos que se muestran aquí se copian y se sirven desde nuestro propio dominio, en lugar de cargarse desde el organizador, por lo que simplemente ver un listado no te revela ante ellos.

registros

La aplicación en sí no guarda archivos de registro de visitantes: ni registro de acceso, ni de solicitudes, ni constancia de qué páginas consultaste. Como en cualquier sitio web, el servidor web y el proveedor de red situados delante pueden conservar registros operativos de corta duración por motivos de seguridad y fiabilidad.

cuánto tiempo conservamos las cosas

Dirección del boletín

Hasta que pidas que te eliminemos. No hay caducidad: preferimos conservar una dirección que aún quieres en la lista a descartarla en silencio.

Envío de evento

Se conserva después de procesarlo, como registro de lo que se publicó y por qué, incluido uno rechazado. Se borra a petición; nada lo purga automáticamente.

Hash de recuento

90 días: consulta la nota anterior sobre la limpieza que se ejecuta al reiniciar y no mediante un temporizador.

Contadores diarios

Indefinidamente. Son totales simples por evento y día, sin nada personal.

cuentas de organizador

Las cuentas de organizador son opcionales. Solo tiene una si la creó usted mismo en /organiser/register, para publicar un hackathon o para reclamar uno que ya publicamos. Navegar por este sitio nunca crea una cuenta ni requiere tener una.

Si tiene una, esto es todo lo que contiene:

La cuenta

Su dirección de correo electrónico, el nombre que decidió facilitar (opcional) y el idioma en el que se registró. La contraseña nunca se almacena — solo un hash argon2id de ella, que no puede volver a convertirse en la contraseña.

Sesiones de inicio de sesión

Un registro por cada dispositivo en el que tiene la sesión iniciada: la cadena user-agent de su navegador, un hash truncado de su dirección IP en lugar de la dirección misma, y cuándo se creó la sesión y cuándo se usó por última vez. Una sesión caduca 30 días después de su último uso, y usted mismo puede finalizar cualquiera de ellas.

Su organización

Su nombre, sitio web, descripción, dirección de contacto y enlace del logotipo, además de quién más es miembro y con qué rol. Una invitación que usted envía conserva la dirección invitada hasta que se acepta, se revoca o caduca.

Lo que usted crea

Los anuncios que publica a través del portal y cualquier reclamación que presente sobre un anuncio que hayamos recopilado — incluida la evidencia que escribió y la decisión que se tomó al respecto.

Las cifras que ve un organizador. Los recuentos por anuncio descritos anteriormente se desglosan, para el organizador de ese anuncio, por ciudad y por el origen de la visita. La ciudad se determina a partir de la dirección IP del visitante comparándola con un archivo de base de datos alojado en nuestro propio servidor (DB-IP City Lite, CC BY 4.0), de modo que ninguna consulta sale de esta máquina y la dirección en sí nunca se registra: lo que se almacena es el nombre de la ciudad, una de las cinco etiquetas generales de tráfico (búsqueda, redes sociales, este sitio, otro, directo) y el mismo hash truncado de 90 días de la dirección IP y la cadena del navegador que ya utilizan los contadores. Nada de ello identifica a un visitante, y nada de ello se muestra a nadie más que al organizador de ese anuncio.

El correo electrónico de resumen semanal está desactivado hasta que usted lo active. Un organizador puede solicitar un breve correo electrónico semanal con las cifras de sus propios anuncios desde el panel del portal, y volver a desactivarlo en el mismo lugar.

Quién puede verlo. Los datos de su organización y sus anuncios son visibles para los demás miembros de esa organización. La reclamación que usted presente la lee la persona que gestiona este sitio, con el fin de aprobarla o rechazarla. Nada de ello se publica — la dirección de contacto de un anuncio nunca se muestra en el sitio — y nada de ello se vende, se comparte ni se entrega a un anunciante.

Una copia de todo ello, o la salida. /organiser/account descarga todo lo anterior como un archivo JSON y elimina la cuenta — junto con sus sesiones de inicio de sesión y cualquier organización de la que usted fuera el único miembro — desde un mismo formulario. La eliminación se rechaza mientras usted sea el último propietario de una organización que aún tenga anuncios: ceda la propiedad o elimine esos anuncios primero, para que nada desaparezca por accidente.

tus derechos

De acuerdo con el Reglamento General de Protección de Datos de la UE (RGPD) y la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) de España, tienes derecho a:

• Acceso: obtener una copia de lo que conservamos sobre ti y que te informemos de qué hacemos con ello.
• Rectificación: que se corrija cualquier dato inexacto.
• Supresión: que se borre. En el caso del boletín es incondicional: borramos la fila en lugar de marcarla.
• Limitación: que conservemos los datos sin usarlos mientras se resuelve una disputa sobre ellos.
• Portabilidad: recibir lo que nos diste en un formato legible por máquina. En la práctica, eso es tu dirección de correo y, si enviaste un evento, el JSON del envío.
• Oposición: oponerte al tratamiento basado en nuestros intereses legítimos, que aquí se concretan en el recuento de visitas y clics.

También puedes retirar el consentimiento para el boletín en cualquier momento, lo que no afecta a nada hecho antes de que lo retiraras. No realizamos toma de decisiones automatizada ni elaboración de perfiles. No vendemos información personal a nadie y nunca hemos revelado nada de ella a cambio de dinero ni para la publicidad de terceros.

Qué significa concretamente cada uno de esos derechos, dado lo poco que hay:

• Tu suscripción al boletín: podemos confirmar si una dirección está en la lista, exportarla y borrarla.
• Un envío de evento: podemos enviarte lo que se envió, corregirlo o eliminarlo.
• El hash de recuento de 90 días: no se puede buscar por nombre ni correo, por lo que no podemos aislar el tuyo para mostrártelo ni borrar solo el tuyo; caduca según el calendario descrito arriba, y puedes oponerte al recuento por completo.

Haz la solicitud a través del formulario de envío: es la vía operativa mientras no haya una dirección publicada. Es gratuito, no exigimos una fórmula concreta, no te trataremos de forma distinta por solicitarlo y aspiramos a responder de sobra dentro del mes que permite el RGPD. Honramos estos derechos para todo el que lo solicite, viva donde viva.

Si crees que hemos gestionado mal tus datos, dínoslo primero: preferimos corregirlo a que lo lleves a otro sitio. Pero también tienes derecho a reclamar ante la autoridad de protección de datos española, la Agencia Española de Protección de Datos (AEPD, aepd.es), y puedes hacerlo sin pasar por nosotros en absoluto.

menores

Este es un sitio de listados de eventos públicos y no está dirigido a menores. No recopilamos conscientemente datos de nadie menor de 13 años. Algunos hackathons listados son eventos estudiantiles con sus propias normas de edad, que fija el organizador, no nosotros.

cambios

Esta política describe el sitio tal y como funciona en la fecha indicada arriba. Si cambia lo que hace el sitio —un proveedor de correo, fuentes autohospedadas, un endpoint de envío distinto—, esta página se actualizará para reflejarlo, y la fecha cambiará con ella. No afirmamos poseer ninguna certificación de privacidad ni auditoría de terceros; esta es una descripción sencilla del sistema, y eres bienvenido a preguntarnos por cualquier parte del mismo.