Política de cookies

01Cookies técnicas

Hay dos. Ambas son necesarias para que funcionen el sitio y el panel, ambas las establecemos nosotros, y ninguna le rastrea entre sitios.

Cookie	Motivo	Duración
tunnelops_session	Le mantiene conectado en el panel o en el panel de administración. Contiene solo un identificador de sesión aleatorio — ni correo, ni nombre, nada personal; el registro de a qué apunta se guarda en nuestro servidor, no en la cookie.	30 días, se renueva con la actividad
tunnelops_csrf	Protege los formularios de inicio de sesión, registro y recuperación de contraseña frente a la falsificación de solicitudes entre sitios (CSRF) mientras aún no tiene sesión. Tras iniciar sesión, el mismo token se guarda en la sesión del servidor y ya no se necesita una cookie aparte.	1 hora

Ambas son HttpOnly (no accesibles desde JavaScript en la página), Secure (se transmiten solo por HTTPS) y SameSite=Lax (no se envían en solicitudes desde otro sitio). Son exactamente las propiedades que necesitan la cookie de sesión y la de protección CSRF — no un conjunto más amplio «por si acaso».

02Analítica: PostHog, Google Analytics, Microsoft Clarity

Tres sistemas, los tres funcionan en cada página pública y en cada página del panel. Responden a una sola pregunta — cómo la gente usa el sitio — y cada uno la responde de forma distinta, por eso están los tres: PostHog aporta eventos y reproducción de sesiones, Google Analytics aporta estadísticas resumidas de fuentes y audiencia, y Clarity aporta mapas de calor y grabaciones centradas en los puntos problemáticos del diseño.

Cookie	Quién la establece y para qué	Duración
ph_phc_<…>_posthog	PostHog. Guarda un identificador anónimo de dispositivo y el identificador de la sesión actual, de modo que los eventos de una visita formen una única secuencia y las visitas de una misma persona formen un único historial. Tras iniciar sesión en el panel, además enviamos a PostHog el identificador de la cuenta y la dirección de correo, para vincular visitas desde distintos dispositivos.	1 año
_ga	Google Analytics. Un identificador de navegador que GA usa para distinguir una visita recurrente de una nueva.	2 años
_ga_<ID>	Google Analytics. El estado de la sesión actual para un recurso específico: cuándo comenzó y cuánto dura.	2 años
_clck	Microsoft Clarity. Un identificador de usuario de Clarity que vincula varias visitas del mismo navegador.	1 año
_clsk	Microsoft Clarity. El identificador de la sesión actual: agrupa varias vistas de página en un único registro.	1 día
CLID, MUID, ANONCHK, SM	Microsoft Clarity e infraestructura relacionada de Microsoft. Identificadores internos que Clarity establece en sus propios dominios al cargar el script y al subir una grabación.	de 1 día a 1 año

Además de las cookies, los tres reciben también lo que el navegador informa en cada solicitud: dirección IP, user agent, tamaño de la ventana, la dirección de la página abierta y la dirección de la página desde la que llegó. PostHog y Clarity además registran las acciones en la página — ver sección 03.

Sus políticas, no nuestro resumen: PostHog, Google (y las condiciones de Google Analytics), Microsoft. Los datos que recibe cada una de ellas se detallan en la sección de destinatarios de la política de privacidad.

03Grabación de sesiones y qué queda excluido

PostHog y Clarity graban la sesión: movimientos del cursor, desplazamiento, clics, navegación entre páginas e introducción de datos en campos normales. Esto no es una grabación de vídeo de la pantalla — es una secuencia de cambios de página que luego se reproduce; ni la cámara, ni el micrófono, ni otras pestañas del navegador quedan ni pueden quedar registrados en ella.

Se excluyen de la grabación cuatro tipos de campos, y esta es la única exclusión:

Contraseñas — al iniciar sesión, registrarse, recuperar y cambiar la contraseña.
Códigos de segundo factor y los códigos de confirmación de la dirección de correo.
Contraseña del proxy y cadenas de conexión listas para usar en el panel, incluidas las listas generadas y los ejemplos de código.
Dirección de monedero cripto en el formulario de retiro de pagos por referidos.

El motivo es técnico, no decorativo. Ninguna pregunta de producto se responde sabiendo los caracteres que escribió en un campo de contraseña — no se construyen embudos con ellos. Pero todo lo mencionado son credenciales de trabajo, y que lleguen a un sistema de grabación ajeno convertiría un compromiso de nuestra cuenta de analítica en un compromiso de sus proxies y sus pagos. Todo lo demás — clics, entradas en campos normales, desplazamiento, navegación — se graba sin restricciones.

Hay una exclusión más que no verá, pero existe: en las páginas del panel de administración, ninguno de los tres sistemas se carga en absoluto. La dirección del panel es una cadena secreta aleatoria, y la grabación de sesión la enviaría para siempre a tres servicios externos.

04Lo que no hay

Cookies publicitarias y de marketing. Ni píxeles de redes publicitarias, ni retargeting, ni identificadores para la entrega de anuncios. Los tres sistemas de la sección 02 son analítica de producto: miden el uso del sitio, no seleccionan publicidad para usted. Las funciones de Google Analytics relacionadas con la publicidad (Google Signals, remarketing) no están habilitadas.
Venta o cesión de datos a terceros más allá de lo que estos sistemas necesitan para funcionar: los destinatarios se enumeran por su nombre en la política de privacidad, y la lista es cerrada.
Analítica dentro del tráfico del proxy. Las conexiones a través del proxy van a un nombre de dominio distinto, ninguno de estos scripts se ejecuta allí, y no miramos el contenido de su tráfico — ver la política de privacidad.
localStorage y almacenamiento similar para nada que no sea el funcionamiento del formulario que está rellenando y el estado interno de esos mismos tres sistemas.

Una versión anterior de este documento afirmaba que no había analítica en el sitio. Eso dejó de ser cierto, y el documento se modificó ese mismo día — una discrepancia entre lo declarado y lo real es peor que la propia analítica.

05Cloudflare

Las conexiones a este sitio pasan por Cloudflare, y Cloudflare puede establecer su propia cookie técnica para protegerse del tráfico automatizado (bots, DDoS). No leemos esa cookie, no influimos en su contenido y no obtenemos de ella ningún dato sobre usted — es infraestructura entre usted y nosotros, no una recopilación de datos propia.

El tráfico a través del proxy — lo que realmente compra — va a un nombre de dominio distinto y no pasa por Cloudflare en absoluto; esto afecta solo a las conexiones al propio sitio tunnelops.cloud.

07Cómo desactivarlo

Ambas cookies pueden eliminarse o bloquearse en la configuración del navegador en cualquier momento. La consecuencia para tunnelops_session — se cierra la sesión en la siguiente solicitud; para tunnelops_csrf — el formulario de inicio de sesión emitirá un nuevo token en la siguiente carga de la página. Ninguna de las dos es necesaria para leer la página de inicio ni documentos como este: los precios, las condiciones y las políticas se cargan sin una sola cookie.

El análisis de la sección 02 puede desactivarse con cualquiera de los siguientes métodos, ninguno de los cuales rompe el sitio: cualquier bloqueador de contenido o el modo «no rastrear» del navegador (los tres scripts se cargan desde dominios externos y se bloquean como rastreadores normales); el complemento oficial de Google para excluirse de Google Analytics; el formulario de exclusión de Microsoft Clarity; o eliminando las cookies de estos dominios en la configuración del navegador. El panel, la compra y la generación de cadenas funcionan igual con y sin ellas.

Preguntas — [email protected]. Más información sobre los datos que procesamos además de las cookies, en la política de privacidad.