Privacidad · Cookies · Publicidad · Actualizado el 23 de octubre de 2026

Qué recoge esta web

Versión corta: casi nada, y puedes comprobarlo tú mismo.

1. Quién gestiona esta web

SaveSaveSaveSave (savesavesavesave.xyz) lo gestiona Stefan Tsezarov, Bulgaria, como proyecto independiente. Él decide qué trata esta web y por qué, y es el responsable de ese tratamiento según el Reglamento General de Protección de Datos de la UE (RGPD). Contacto para todo lo de esta política: savesavesavesave@tuta.io.

2. Comprobar un mensaje o un prompt

Cuando pegas texto en el escáner de mensajes, el análisis se ejecuta íntegramente en JavaScript dentro de tu propio navegador. El texto no se sube, no se registra, no se guarda y no se muestra a nadie. Al cerrar la pestaña, desaparece.

Esta parte la puedes comprobar tú. Abre las herramientas de desarrollo del navegador, ve a la pestaña Red, pega un mensaje y pulsa Comprobar. Tu texto no está en ninguna petición. La única petición que verás es el recuento de comprobaciones hacia nuestro propio Worker (sección 5), y ni siquiera se envía si tu navegador usa Global Privacy Control. Es una comprobación de una visita, no una prueba sobre todas las visitas posibles.

En la página del escáner no se ejecuta ningún script de terceros. La página que contiene tu mensaje y su resultado no carga publicidad, ni herramienta de consentimiento, ni scripts de analítica. Su Content-Security-Policy solo permite scripts de esta web y solo deja conectar con los servicios de direcciones y paquetes de la sección 4 y con nuestro propio Worker; el navegador lo hace cumplir. El código de otras webs podría leer lo que hay en la página, así que mantenerlo fuera es la medida de control, no una promesa sobre lo que haría ese código. Las extensiones del navegador con permiso para acceder a esta web pueden leer lo que se introduce aquí.

Spot the Trap. En las páginas de los retos, la respuesta que eliges se queda en la página mientras está abierta. No se envía, no se escribe en el almacenamiento del navegador y no se incluye en ningún enlace o tarjeta compartidos; al recargar, la ronda empieza de nuevo. Las páginas de cada reto no cargan publicidad, analítica ni scripts de terceros. La lista de retos en /spot-the-trap muestra publicidad de Google en las columnas laterales en pantallas anchas (sección 7); no contiene ningún reto ni ninguna respuesta. Como todas las páginas, las sirve Cloudflare, que recibe información normal de la petición, como tu dirección IP.

2a. La comprobación de spyware

En la página de comprobación de spyware, lo que compruebas se queda en tu navegador: un mensaje pegado y una colección de Android que selecciones se leen y comparan solo en esa pestaña. No se suben, no se guardan en el navegador y no se nos envían a nosotros ni a nadie. Solo se descarga un resultado si pulsas «Guardar este resultado». La página no tiene analítica, publicidad ni contador de comprobaciones.

Al pulsar «Cargar las listas», tu navegador descarga de esta web las listas de indicadores publicadas. Esa petición llega a Cloudflare, nuestro proveedor de alojamiento, con los metadatos de conexión de cualquier petición de página (tu dirección IP, el user-agent del navegador, la hora y los archivos de lista solicitados), y se trata como cualquier otra petición (sección 8). No contiene nada de lo que compruebas. No se contacta con ninguna otra web y nunca se abre una dirección que coincida con una lista.

Cloudflare añade además a sus respuestas una instrucción estándar de «Network Error Logging». Si falla una conexión con esta web, tu navegador puede comunicar ese fallo (la dirección que intentó, el error, los tiempos y tu dirección IP) a Cloudflare en a.nel.cloudflare.com. Las peticiones correctas no se comunican. Forma parte del alojamiento, no de la comprobación de spyware, y nunca contiene lo que compruebas.

3. Comprobar una dirección o un token cripto

Esta parte sí usa la red, porque los datos de seguridad están en otro sitio. Al comprobar una dirección, la propia dirección y el identificador de la cadena se envían a un proveedor externo de datos de seguridad y, para las comprobaciones de sanciones, a un nodo público de blockchain a través de nuestro proxy.

Lo que se envía es la dirección y la cadena. Lo que no se envía es el mensaje del que salió la dirección, cualquier otro texto de la página ni nada que te identifique más allá de lo que lleva cualquier petición web (tu dirección IP y el user-agent del navegador, que recibe cualquier web que visites).

Si una dirección sale de un mensaje que pegaste, solo viaja la dirección. El mensaje se queda en tu navegador.

Comprobar un paquete npm. Al comprobar un paquete, su nombre (y la versión, si la indicas) se envía desde tu navegador al registro de npm y al contador de descargas de npm (registry.npmjs.org, api.npmjs.org) y a OSV.dev (api.osv.dev), la base de datos abierta de vulnerabilidades de Google. Como cualquier petición web, llevan tu dirección IP y el user-agent del navegador. No se envía nada más, el código del paquete nunca se descarga ni se ejecuta, y nada de la comprobación llega a ningún anunciante.

4. Terceros que reciben algo

Quién responde de qué. Cloudflare (entrega de la web, nuestro Worker, Web Analytics) trata los datos de las peticiones de esta web por cuenta del operador, según las condiciones de tratamiento de datos de Cloudflare; las solicitudes sobre esos datos se dirigen a nosotros (sección 9). GoPlus, PublicNode, npm, OSV.dev y Google reciben una petición directamente de tu navegador, o de nuestro Worker para las comprobaciones que inicias, y deciden por sí mismos qué conservan; cada uno lo hace según su propia política de privacidad, que esta web no controla.

Transferencias fuera de la UE. Varios de estos proveedores están establecidos o tratan datos fuera del Espacio Económico Europeo, incluidos los Estados Unidos. Cuando el operador transfiere datos a un proveedor que actúa por su cuenta, la transferencia se basa en las condiciones de tratamiento de datos de ese proveedor, que incluyen las cláusulas contractuales tipo de la Comisión Europea, o en el Marco de Privacidad de Datos UE–EE. UU. si el proveedor está certificado en él.

5. Analítica

Esta web usa Cloudflare Web Analytics para contar visitas en todas las páginas salvo el escáner. Cloudflare lo describe como un servicio que no instala cookies ni te sigue entre webs. Registra la URL de la página, el referente, el país aproximado, el tipo de navegador y dispositivo y el tiempo de carga.

No se carga en la página del escáner, así que no está presente donde se muestra un mensaje o un resultado.

Recuento de comprobaciones. Al terminar una comprobación, la página envía una pequeña petición a nuestro propio Cloudflare Worker con el tipo de comprobación (dirección o mensaje; en direcciones, token o wallet y la cadena) y el resultado. El Worker suma uno al total diario. El total guardado contiene solo esas palabras: nunca la dirección ni el texto comprobados, y ninguna cookie, identificador ni dirección IP. Mientras el registro del Worker estuvo activado, la propia petición se registraba con tu dirección IP y otros datos de la petición. El registro rutinario de peticiones de nuestro Worker se desactivó el 20 de octubre de 2026, se encontró reactivado por un despliegue posterior y se volvió a desactivar el 23 de octubre de 2026. La configuración de despliegue lo mantiene ahora desactivado, y una prueba falla si se cambia. Los registros anteriores al 23 de octubre caducan según el periodo de conservación de Cloudflare. Un navegador que envía Global Privacy Control no envía la petición de recuento.

Los totales son públicos. La página de inicio muestra cuántas comprobaciones se hicieron en los últimos siete días, y cualquiera puede leer el mismo resumen, desglosado por tipo y resultado, en la dirección de estadísticas públicas de nuestro Worker. Para mostrar esa línea, la página de inicio pide la cifra a nuestro Worker al cargarse; esa petición no lleva nada sobre tus comprobaciones. El historial del registro y la configuración actual se describen en la sección 8.

Tarjetas de aviso. Tras un resultado FAIL o CAUTION puedes crear una imagen con «Compartir esta alerta». Se dibuja en tu navegador a partir del resultado que ya tienes en pantalla y nunca se nos sube. La tarjeta de una comprobación de mensaje no contiene el texto del mensaje, solo descripciones fijas de lo encontrado. Adónde va la imagen después depende de ti.

6. Cookies y almacenamiento del navegador

El código propio de esta web no instala cookies y no escribe nada en localStorage, sessionStorage ni IndexedDB. Nuestro código no guarda lo que compruebas en el almacenamiento del navegador. El análisis de mensajes es local, y nuestro código no transmite ni guarda el texto del mensaje. Las comprobaciones de direcciones pueden implicar almacenamiento fuera de tu navegador, incluida la caché perimetral de corta duración y los registros de peticiones anteriores al 23 de octubre de 2026, descritos en las secciones 4 y 8.

La publicidad de Google es otra cosa. La entrega de anuncios, y el diálogo de consentimiento que la acompaña, pueden instalar cookies en tu navegador. Esas están bajo el control de Google, no del nuestro. Nada en esta página las lee.

Si estás en la UE o el EEE, la herramienta de consentimiento de Google te mostrará un mensaje antes de que se muestre publicidad personalizada y registrará tu respuesta. Puedes cambiarla después en el mismo diálogo.

Un bloqueador de anuncios lo elimina todo. No lo detectamos, no te pedimos que lo desactives, y el escáner funciona igual en ambos casos.

7. Publicidad

Algunas guías y la lista de retos de Spot the Trap llevan publicidad. El escáner nunca. El proveedor es Google AdSense, ID de editor ca-pub-7192453271158919, en dos columnas señalizadas a los lados en pantallas anchas. No se muestra en móviles ni en ventanas estrechas.

La publicidad está totalmente desactivada en el escáner y en las páginas donde podría hacer daño, y en esas páginas los hosts publicitarios se han quitado tanto de la propia Content-Security-Policy de la página como de su marcado, para que no se cargue nada ni por accidente:

• Las doce palabras, Léelo desde la derecha, La instrucción que no escribiste, El texto que no ves y La dirección a la que no puedes pagar: alguien puede estar leyéndolas mientras le estafan, y un enlace comercial junto a esa advertencia podría tomarse por una recomendación nuestra.
• El propio escáner: un código publicitario en la página que contiene tu mensaje podría leerlo, así que no está en absoluto. Hasta el 20 de octubre de 2026 el escáner sí llevaba anuncios en sus columnas laterales.
• Esta página y las Condiciones: un compromiso no debería estar rodeado de publicidad.

Entre el 18 y el 20 de septiembre de 2026 todas las páginas llevaban el código publicitario, también esas cuatro. Fue una configuración por defecto, no una decisión, y se corrigió. La lista completa de qué páginas llevan publicidad y por qué está en apply-ads.js en el repositorio público.

En el momento de escribir esto, Google aún está revisando la web, así que los espacios publicitarios restantes suelen estar vacíos, y un espacio sin nada que mostrar ahora se queda oculto en lugar de mostrar una caja vacía con etiqueta.

Lo que recibe Google es la URL de la página, tu dirección IP, tu user-agent y lo que le digan sus propias cookies, igual que en la mayoría de webs con publicidad. Google lo trata según sus propias políticas, que esta web no controla.

Estos compromisos forman parte de esta política:

• Ningún anunciante puede influir en un resultado, y ningún pago puede eliminar o rebajar un hallazgo de riesgo.
• Los anuncios se señalizan como publicidad, se mantienen fuera de la zona de resultados y fuera de las guías que explican estafas.
• Los datos de las comprobaciones nunca se venden, se comparten ni se agregan para uso de otros.
• No se aceptará patrocinio de ningún proyecto que este escáner tenga razonablemente que evaluar.

8. Qué se guarda, por qué y durante cuánto tiempo

No hay sistema de cuentas, ni historial de comprobaciones, ni lista de correo. Qué se conserva, y quién lo conserva:

• Texto de los mensajes: nunca se envía, así que nunca se guarda.
• Totales diarios de comprobaciones (sección 5): solo tipo, cadena y resultado, conservados como totales públicos.
• Registros de peticiones de Cloudflare para nuestro Worker. El registro rutinario de peticiones de nuestro Worker se desactivó el 20 de octubre de 2026, se encontró reactivado por un despliegue posterior y se volvió a desactivar el 23 de octubre de 2026. La configuración de despliegue lo mantiene ahora desactivado, y una prueba falla si se cambia. Los registros anteriores al 23 de octubre caducan según el periodo de conservación de Cloudflare. Mientras estuvo activado, los registros incluían la URL de la petición (que puede contener una dirección comprobada), tu dirección IP, el user-agent, la página de referencia, el idioma, estimaciones de ubicación de Cloudflare y tiempos. Las estimaciones de ubicación no prueban ningún acceso al GPS de tu dispositivo. El registro de errores y trazas del Worker también está desactivado. Esto se aplica al Worker de comprobación de direcciones, no a registros independientes de la entrega de la web o de proveedores anteriores.
• Caché perimetral de Cloudflare: respuestas de GoPlus obtenidas por nuestro Worker, indexadas por la dirección, hasta 15 minutos.
• Los terceros de la sección 4 conservan lo que reciben según sus propias políticas.

Por qué se produce cada tipo de tratamiento (base jurídica según el artículo 6 del RGPD):

• Entregar las páginas y proteger la web y el Worker (datos de las peticiones en Cloudflare, incluida tu dirección IP): interés legítimo, artículo 6, apartado 1, letra f). Sin ellos no se puede entregar una web ni defenderla de abusos.
• Comprobaciones de direcciones, wallets, tokens y paquetes que inicias: interés legítimo, artículo 6, apartado 1, letra f), en darte el resultado que pediste. No se envía nada hasta que pulsas una comprobación.
• Recuento de comprobaciones y Cloudflare Web Analytics: interés legítimo, artículo 6, apartado 1, letra f), en saber de forma agregada si la web se usa. Un navegador que envía Global Privacy Control no envía el recuento.
• Cookies publicitarias y publicidad personalizada en las guías: tu consentimiento, recogido por la herramienta de consentimiento de Google cuando la ley lo exige. Puedes retirarlo en cualquier momento en el mismo diálogo; retirarlo no afecta a nada anterior.
• Correos que nos envías: interés legítimo en responderte; en una solicitud de protección de datos, la obligación legal de responder, artículo 6, apartado 1, letra c). Los correos se borran 12 meses después de cerrar el asunto, salvo que se necesiten para formular o defender una reclamación.

No se toma sobre ti ninguna decisión automatizada con efectos jurídicos o de importancia similar. Un resultado describe una dirección, un paquete o un mensaje, no a ti.

9. Tus derechos

Según el RGPD tienes derecho a solicitar el acceso a tus datos personales, su rectificación o supresión, la limitación de su tratamiento y una copia portable cuando proceda. Puedes oponerte en cualquier momento al tratamiento basado en el interés legítimo (sección 8) y retirar el consentimiento en cualquier momento cuando el tratamiento se base en él.

Envía tus solicitudes a savesavesavesave@tuta.io. Recibirás respuesta sin demora indebida y en el plazo de un mes; si una solicitud es compleja y necesita más tiempo, se te dirá por qué dentro de ese mes. Solo pediremos la información necesaria para encontrar los datos en cuestión, nunca un documento de identidad por defecto. Como la web no tiene cuentas, puede que necesitemos datos como la dirección que comprobaste y la hora aproximada para encontrar un registro. No incluyas en tu solicitud una frase de recuperación, una contraseña, una clave privada ni un código de verificación.

Esto cubre los datos que Cloudflare trata para esta web por nuestra cuenta, incluidos los registros antiguos de peticiones del Worker: gestionamos la solicitud y pedimos ayuda a Cloudflare cuando hace falta. Los datos que un proveedor de la sección 4 recibió directamente y conserva como responsable propio quedan fuera de nuestro alcance; te diremos qué proveedor los tiene y cómo contactarlo.

También tienes derecho a reclamar ante una autoridad de protección de datos. En Bulgaria es la Comisión de Protección de Datos Personales (cpdp.bg); también puedes reclamar en el país de la UE donde vivas o trabajes.

10. Menores

Esta web no está dirigida a menores. Aun así, los metadatos de las peticiones y el almacenamiento descritos arriba pueden incluir datos personales, así que no tener sistema de cuentas no significa que no se traten datos personales.

11. Seguridad

La web se sirve solo por HTTPS, con una Content-Security-Policy estricta, HTTP Strict Transport Security y la inserción en marcos desactivada. Nunca introduzcas en esta web, ni en ningún sistema de IA, una frase semilla, una clave privada, una contraseña ni un código de verificación. Nada legítimo los necesita, y esta web no tiene ningún campo que los pida.

12. Cambios en esta política

Los cambios importantes se reflejarán aquí con una nueva fecha arriba. Los cambios que afecten a lo que sale de tu navegador se describirán de forma explícita en lugar de diluirse en una redacción general.

13. Contacto

Preguntas, correcciones y solicitudes de privacidad: savesavesavesave@tuta.io.

Todo lo que no tenga que ver con tus propios datos —una corrección de hechos, un error, una sugerencia— también es bienvenido en abierto en el gestor de incidencias del proyecto. La dirección de correo de arriba es la vía que no requiere cuenta de GitHub, y es la que siempre funcionará.

Esta página describe cómo se comporta la web. No es asesoramiento legal ni una afirmación de cumplimiento de ninguna ley concreta. Si necesitas esa garantía para tu propio uso de la web, busca tu propio asesoramiento. Prevalece la versión en inglés.