Política de privacidad

Esta es la política de privacidad de matteospinelli.com — un sitio web de portafolio personal. Explica, en lenguaje sencillo, qué datos personales trata el sitio, por qué, sobre qué base jurídica, quién contribuye a su tratamiento y qué derechos le asisten. He procurado que sea honesta y específica en lugar de genérica: el sitio recopila muy poco, apenas almacena nada por sí mismo y no utiliza cookies de seguimiento.

Quiénes somos

El responsable del tratamiento de este sitio es Matteo Spinelli, con domicilio en Bonn (Alemania). Para cualquier pregunta sobre esta política o sus datos personales, escriba a me@matteospinelli.com. No existe un delegado de protección de datos independiente; me ocupo personalmente de las cuestiones de protección de datos.

Qué datos recopilamos y por qué

El sitio tiene cuatro ámbitos que pueden implicar datos personales: la analítica web, el formulario de contacto, el chatbot y el formulario de reservas. Tenga en cuenta que el formulario de reservas no está actualmente habilitado en el sitio en producción — el código existe, pero la interfaz está oculta — por lo que, en su uso normal, solo están activos la analítica web, el formulario de contacto y el chatbot. Las reservas se documentan aquí en aras de la exhaustividad.

1. Analítica web

• Qué recopilamos: la ruta/título de la página, el origen de la visita (referente), el tipo de navegador/SO/dispositivo, el tamaño de pantalla y el idioma, y un país aproximado derivado en el servidor a partir de su IP — tras lo cual la IP en bruto se descarta y nunca se almacena. Las visitas se agrupan mediante un hash que rota a diario, no una cookie, por lo que no existe ningún identificador que le siga a lo largo de los días o entre sitios.
• Finalidad: comprender, de forma agregada, qué páginas se visitan y cómo funciona el sitio.
• Base jurídica: Art. 6(1)(f) RGPD (interés legítimo). La analítica no utiliza cookies y no escribe nada en su dispositivo, por lo que no se requiere ningún banner de consentimiento; el script también respeta la señal 'Do Not Track' de su navegador.
• Encargado del tratamiento: una instancia autoalojada de Umami que yo gestiono (umami.phalanthus.com). Se trata de infraestructura propia bajo mi control — no un servicio de terceros como Google Analytics, y no interviene ninguna tecnología publicitaria ni seguimiento entre sitios.
• Conservación: únicamente métricas agregadas, conservadas en la base de datos autoalojada de Umami mientras sigan siendo útiles. Sin IP en bruto, sin perfil entre sitios, sin identificador personal.

2. Formulario de contacto

• Qué recopilamos: su nombre, dirección de correo electrónico, las áreas de interés que marque (IA, estrategia o sostenibilidad), su mensaje y el idioma de la interfaz. Su dirección IP se lee únicamente para aplicar la limitación de frecuencia y no se incluye en el correo electrónico. Un campo antispam oculto (señuelo) se descarta de inmediato.
• Finalidad: permitirle enviarme un mensaje. El servidor lo convierte en un correo electrónico y lo envía únicamente a mi propia bandeja de entrada, con su nombre y correo electrónico en el campo 'responder a' para que pueda contestarle. Su mensaje no se envía a ninguna dirección que usted facilite.
• Base jurídica: Art. 6(1)(b) (gestiones a petición suya con carácter previo a la celebración de cualquier contrato) o Art. 6(1)(f) (interés legítimo en responder).
• Encargado del tratamiento: Resend (un servicio de correo electrónico transaccional) entrega el mensaje; a continuación, mi proveedor de buzón lo recibe y lo almacena. En el desarrollo local, los correos se imprimen en un registro de consola y no interviene ningún tercero.
• Conservación: el sitio web en sí no almacena nada — no se escribe en ninguna base de datos. Su mensaje permanece en mi buzón hasta que lo elimino, y en los registros de entrega de Resend conforme a la política de conservación de Resend. El único registro técnico de corta duración es un contador de limitación de frecuencia que caduca automáticamente en un plazo de 120 segundos.

3. Reservas (actualmente deshabilitado en el sitio en producción)

• Qué recopilamos: su nombre, correo electrónico, empresa (opcional), notas (opcionales), la franja horaria que elija, su zona horaria y el idioma de la interfaz. Su IP se utiliza únicamente para la limitación de frecuencia; el campo antispam oculto se descarta.
• Finalidad: permitirle reservar una llamada. La solicitud se reenvía a Cal.com, que crea la reserva, la registra en mi calendario conectado y envía su propio correo electrónico de confirmación. La consulta de las franjas horarias disponibles no implica ningún dato personal.
• Base jurídica: Art. 6(1)(b) o Art. 6(1)(f).
• Encargado del tratamiento: Cal.com (programación de citas) y el calendario conectado a mi cuenta de Cal.com.
• Conservación: el sitio web no almacena nada. El registro de la reserva lo conserva Cal.com y queda en mi calendario, conforme a su política de conservación. Solo el contador de limitación de frecuencia de 120 segundos constituye un estado transitorio.

4. Chatbot

• Qué recopilamos: los mensajes que escriba y una indicación de idioma. Se trata todo lo que decida incluir en esos mensajes — le rogamos que no pegue datos personales sensibles. Su IP se utiliza únicamente para la limitación de frecuencia y no se envía al proveedor del modelo de lenguaje.
• Finalidad: un pequeño asistente que responde preguntas sobre mi CV y mi trayectoria profesional. El servidor combina sus mensajes con una copia fija y estática de mi CV y solicita una respuesta a un modelo de lenguaje, que se le transmite en streaming. No hay consultas externas ni herramientas agénticas.
• Base jurídica: Art. 6(1)(f) (interés legítimo en responder preguntas sobre mi trayectoria).
• Encargado del tratamiento: Scaleway Generative APIs (inferencia de LLM sin servidor). Scaleway tiene su sede en la UE (Francia), por lo que este tratamiento no sale de la UE.
• Conservación: las conversaciones no se almacenan — no existe en ningún lugar ninguna base de datos ni registro del contenido de sus mensajes. Lo único que se registra por cada interacción es un pequeño dato de telemetría agregado y no personal (estado de la llamada, indicación de idioma, nombre del modelo, recuento de tokens y coste estimado) que se utiliza para supervisar el uso y el coste. No contiene ningún contenido de los mensajes ni ningún dato personal.

Cookies

Este sitio no utiliza cookies — ninguna de seguimiento, publicidad o analítica, y no hay ningún banner de consentimiento de cookies porque no hay nada que consentir en virtud de las normas de ePrivacy/cookies. La analítica (Umami) no utiliza cookies, no escribe nada en su dispositivo, identifica las visitas únicamente mediante un hash del lado del servidor que rota a diario y respeta 'Do Not Track'. El único almacenamiento en el navegador que utiliza el sitio es un único indicador de localStorage que impone un breve periodo de espera (60 segundos) en el formulario de contacto para disuadir el spam — estrictamente necesario para esa función antispam, sin contener ningún dato personal y sin utilizarse para ningún seguimiento.

Encargados del tratamiento de terceros y transferencias internacionales

Me apoyo en un pequeño número de proveedores de servicios para gestionar el sitio. Algunos tienen su sede en Estados Unidos; lo expongo aquí con honestidad. Cuando los datos personales salen de la UE/EEE hacia un proveedor estadounidense, esa transferencia está amparada por garantías adecuadas en virtud del Capítulo V del RGPD — en la práctica, las Cláusulas Contractuales Tipo (Art. 46) y las propias condiciones de tratamiento de datos de los proveedores.

Mi proveedor de buzón (donde se aloja mi correo electrónico) también almacena los mensajes del formulario de contacto una vez entregados. No se utilizan redes publicitarias, intermediarios de datos ni rastreadores entre sitios.

Conservación de datos

La propia aplicación no ejecuta ninguna base de datos ni conserva su contenido. En resumen:

• Mensajes de contacto: se conservan en mi bandeja de entrada hasta que los elimino, y en los registros de entrega de Resend conforme a la política de conservación de Resend.
• Reservas (deshabilitado): las conserva Cal.com y quedan en mi calendario conectado, conforme a su política de conservación.
• Conversaciones del chatbot: no se almacenan en absoluto; solo se registra telemetría de uso agregada y no personal.
• Analítica: únicamente métricas agregadas, en la base de datos autoalojada de Umami.
• Registros de limitación de frecuencia: su IP se conserva muy brevemente (un contador que caduca automáticamente en un plazo de 120 segundos) para prevenir abusos, y después se descarta.

Sus derechos

En virtud del RGPD, usted tiene derecho a:

• Acceder a los datos personales que conservo sobre usted (Art. 15);
• Rectificar los datos inexactos o incompletos (Art. 16);
• Supresión — solicitarme que elimine sus datos (Art. 17);
• Limitar el tratamiento en determinadas circunstancias (Art. 18);
• Oponerse al tratamiento basado en el interés legítimo (Art. 21);
• Portabilidad de los datos — recibir sus datos en un formato estructurado y legible por máquina (Art. 20);
• Retirar el consentimiento en cualquier momento, cuando el tratamiento se base en el consentimiento (lo que, en general, no ocurre aquí).

Para ejercer cualquiera de estos derechos, basta con que envíe un correo electrónico a me@matteospinelli.com. Responderé dentro de los plazos que exige el RGPD. Como almaceno tan poco, la vía más rápida suele ser simplemente pedirme que elimine el correo que me envió.

También tiene derecho a presentar una reclamación ante una autoridad de control en materia de protección de datos. Dado que el responsable del tratamiento tiene su domicilio en Bonn, la autoridad alemana competente es la de Renania del Norte-Westfalia (Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, LDI NRW). También puede reclamar ante la autoridad del lugar donde resida — por ejemplo, el Garante per la protezione dei dati personali italiano.

Seguridad

• Cifrado en tránsito mediante HTTPS, con HTTP Strict Transport Security (HSTS).
• Cabeceras de respuesta reforzadas: X-Frame-Options DENY, X-Content-Type-Options nosniff, una Referrer-Policy estricta, una Permissions-Policy restrictiva (cámara, micrófono, geolocalización y browsing-topics deshabilitados) y Cross-Origin-Opener-Policy same-origin. Existe una Content-Security-Policy (actualmente en modo report-only y en proceso de pasar a aplicación plena).
• Validación estricta del lado del servidor de cada campo del formulario, con límites de longitud, protecciones contra la inyección de cabeceras y escape de HTML de cualquier contenido que acabe en un correo electrónico.
• Protección frente a abusos: limitación de frecuencia por IP en todas las rutas de la API, campos antispam ocultos y una lista de orígenes permitidos (CORS) que restringe las llamadas a la API a los propios dominios de este sitio.
• Huella mínima: sin base de datos de la aplicación, por lo que no existe ningún gran almacén de datos personales que pueda verse comprometido.

No puede garantizarse que ningún sistema sea perfectamente seguro, pero el objetivo de diseño aquí es, ante todo, recopilar y conservar lo menos posible.

Cambios en esta política

Es posible que actualice esta política de vez en cuando — por ejemplo, si habilito las funciones de reservas o de chatbot, o si cambio de proveedor de servicios. Cuando lo haga, revisaré la fecha de 'Última actualización'. Los cambios sustanciales se reflejarán en esta página.