Información conforme a los arts. 13 y 14 RGPD · Versión 2026-10 · válida desde el 1 de octubre de 2026
En resumen: Guardamos las direcciones IP de los visitantes del sitio web y de los enlaces cortos solo truncadas o como hash con clave. El sitio web no instala cookies para estadísticas ni integra servicios publicitarios o de análisis de terceros. Para las estadísticas de los enlaces cortos actuamos por cuenta de nuestros clientes. Si un cliente ha asociado píxeles de retargeting a su enlace corto, estos se cargan al abrirlo; si el cliente ha activado la consulta de consentimiento, solo si usted acepta (sección 9).
Inexdu GmbH
Spitalbergweg 87, 9020 Klagenfurt am Wörthersee, Austria
Teléfono +43 4212 30300 · Correo electrónico, también para solicitudes de protección de datos: support@shortboost.one
FN 497589z, Tribunal Regional de Klagenfurt · NIF-IVA ATU73554646
No hemos designado un delegado de protección de datos porque no existe obligación de hacerlo conforme al art. 37 RGPD: nuestra actividad principal no consiste en una observación habitual y sistemática a gran escala de personas; las estadísticas de clics funcionan con direcciones IP truncadas. La persona de contacto para la protección de datos es la dirección de la empresa, localizable en support@shortboost.one.
Al abrir una página, nuestro servidor trata, por necesidad técnica, su dirección IP, la fecha y la hora, la dirección solicitada y su agente de usuario para servir la página. Base jurídica: interés legítimo en un sitio web que funcione y sea seguro (art. 6, apartado 1, letra f, RGPD). En nuestros registros de aplicación la dirección IP figura solo truncada (véase la sección 11).
Medimos qué páginas se abren y con qué frecuencia con una solución propia en nuestro servidor. No se instalan cookies ni se guardan datos en su navegador, y no interviene ningún tercero. Por cada visita a una página guardamos: página, momento, tiempo de permanencia, página de procedencia (solo en el caso de otros sitios web), agente de usuario y, derivados de él, navegador, sistema operativo y tipo de dispositivo, anchura de pantalla y de ventana, parámetros UTM de la dirección y un hash de su dirección IP truncada (IPv4 sin el último grupo de cifras, IPv6 solo los primeros 48 bits). No guardamos su dirección IP completa. Si su navegador envía «Do Not Track», no medimos. Base jurídica: interés legítimo en mejorar nuestra oferta y medir el éxito de nuestra publicidad (art. 6, apartado 1, letra f, RGPD). Puede oponerse en cualquier momento (sección 18).
El sitio web shortboost.one no instala cookies. Solo cuando inicia sesión o se registra guardamos en el navegador datos técnicamente necesarios (véase la sección 4). La base jurídica de este acceso a su dispositivo terminal es el § 165, apartado 3, TKG 2021 (estrictamente necesario para el servicio que usted ha solicitado).
Datos: dirección de correo electrónico, nombre y empresa (voluntarios), contraseña (solo como hash bcrypt), con el inicio de sesión en dos pasos activado, el secreto cifrado, rol en el equipo, invitaciones, sus contenidos (enlaces cortos, direcciones de destino, dominios, proyectos, categorías, plantillas UTM, ID de píxel, cuentas atrás, burbujas, ventanas emergentes, marca personalizada y logotipo), claves de API (solo como hash) con un registro de su uso, cambios de su dirección de correo electrónico.
Inicio de sesión y sesiones: Por cada inicio de sesión guardamos una sesión con la denominación del dispositivo, el agente de usuario y la dirección IP truncada (IPv4 sin el último grupo de cifras, IPv6 solo los primeros 48 bits), para que pueda ver en Ajustes → Perfil dónde tiene la sesión iniciada y cerrar sesiones ajenas. La sesión es válida como máximo 90 días desde el último uso. Guardamos los intentos de inicio de sesión y de registro y las solicitudes de un código de acceso con la dirección de correo electrónico y un hash con clave de su dirección IP (HMAC con clave secreta, irreversible), nunca con la propia dirección IP, para detectar y frenar ataques a contraseñas. En el navegador guardamos una cookie técnicamente necesaria para el inicio de sesión (HttpOnly, hasta 90 días) y un token de acceso de corta duración.
Conexión con programas de IA: Si conecta ShortBoost con un programa de IA (por ejemplo, Claude de Anthropic), guardamos la conexión (nombre del programa, quién y cuándo la creó, permisos, último uso) y un registro de los accesos, como en el caso de las claves de API. Los datos que el programa obtiene o crea a través de la conexión los transmitimos a ese programa a instancia suya; del tratamiento allí son responsables usted o su proveedor, no nosotros. La conexión solo ofrece estadísticas de forma agregada, nunca clics individuales. Base jurídica: contrato (art. 6, apartado 1, letra b, RGPD). Plazo de conservación: conexiones desconectadas 90 días, registro como en el caso de las claves de API (sección 16).
Finalidad y base jurídica: prestación de ShortBoost conforme al contrato (art. 6, apartado 1, letra b, RGPD); para los miembros del equipo que no tienen contrato propio con nosotros, nuestro interés legítimo y el de nuestro cliente en la colaboración en la cuenta (art. 6, apartado 1, letra f, RGPD); seguridad de las cuentas (art. 6, apartado 1, letra f, y art. 32 RGPD).
Eliminación: Puede eliminar usted mismo su cuenta en el panel, en Ajustes → Perfil → Eliminar cuenta. Queda desactivada de inmediato y se elimina definitivamente a los 30 días, junto con los contenidos, las estadísticas, los correos electrónicos del sistema y los intentos de inicio de sesión de su dirección. Conservamos los datos contables conforme a la sección 16.
Datos: plan e historial de planes, datos del pedido, la versión de las Condiciones vigente en el momento del pedido con la fecha y la hora y su dirección IP truncada (se elimina la última parte), datos contables, facturas, número de cliente de Stripe. Guardamos la dirección IP truncada como prueba del pedido y para protegernos frente a abusos; en los pedidos pagados 7 años, en los no pagados 90 días (sección 16). Los datos de pago, la dirección de facturación y el número de IVA los introduce directamente en Stripe; no guardamos datos de tarjetas ni de cuentas.
Proveedor de servicios de pago: Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Dublín 2, Irlanda. Stripe tramita el pago, calcula el IVA (Stripe Tax), emite las facturas y ofrece el portal de clientes. Para la tramitación del pago, Stripe es responsable del tratamiento por derecho propio, en particular en materia de prevención del fraude y de cumplimiento de sus obligaciones regulatorias (política de privacidad de Stripe).
Base jurídica: contrato (art. 6, apartado 1, letra b, RGPD); conservación de la documentación contable conforme al § 132 BAO (art. 6, apartado 1, letra c, RGPD); prueba del pedido (art. 6, apartado 1, letras c y f, RGPD).
Le enviamos correos electrónicos necesarios para el contrato: confirmaciones, códigos de acceso, avisos de seguridad, confirmación del contrato, avisos de facturas, recordatorio antes de la renovación, avisos sobre bloqueos y cambios de plan. Base jurídica: contrato y obligaciones legales (art. 6, apartado 1, letras b y c, RGPD). Conservamos 90 días los correos electrónicos del sistema enviados para poder aclarar problemas de entrega.
Para el envío utilizamos el servidor de correo (SMTP) de easyname GmbH, Canettistraße 5/10, 1100 Viena, Austria.
Cuando nos escribe o utiliza las funciones en línea «Desistir de un contrato» o «Cancelar contratos aquí», tratamos su nombre, su dirección de correo electrónico, los datos del contrato, el contenido de su mensaje o declaración y el momento de la recepción para tramitar su solicitud y confirmar la recepción. Junto con una declaración de desistimiento o de cancelación guardamos su dirección IP truncada (se elimina la última parte), como prueba y para protegernos frente a abusos. Base jurídica: contrato y obligaciones legales (art. 6, apartado 1, letras b y c, RGPD), así como nuestro interés legítimo en la prueba y en la defensa frente a declaraciones abusivas (art. 6, apartado 1, letra f, RGPD). Conservamos las declaraciones de desistimiento y de cancelación junto con la dirección IP truncada como prueba durante el mismo tiempo que la documentación contable correspondiente (7 años, sección 16).
Declaraciones sin inicio de sesión: Si se recibe una cancelación sin inicio de sesión, enviamos la confirmación también a la dirección de correo electrónico de la cuenta. Si la cancelación no procede del titular de la cuenta, este puede deshacerla mediante el enlace de ese correo. Una cancelación de Lifetime sin inicio de sesión la aplicamos solo después de haberla confirmado a través de la dirección de correo electrónico de la cuenta; hasta entonces, Lifetime continúa sin cambios. Si un desistimiento no se declara ni tras iniciar sesión ni con número de pedido, comprobamos antes del reembolso que procede de la parte contratante; para ello utilizamos los datos de la cuenta y la dirección de correo electrónico de la cuenta.
Cuando abre un enlace corto (por ejemplo, shlk.one/… o un dominio propio de un cliente), le redirigimos al destino y registramos la visita para las estadísticas del cliente:
En el marco de seguimiento contamos eventos (por ejemplo, clic en una burbuja, tiempo de permanencia) sin referencia a su persona. En Smart Routing utilizamos el país, el dispositivo y el idioma del navegador solo para elegir el destino.
Si el cliente ha protegido un enlace con contraseña, instalamos una cookie técnicamente necesaria tras la introducción correcta (como máximo durante el número de horas elegido por el cliente). Contamos brevemente los intentos fallidos en la memoria para frenar los intentos de adivinar la contraseña.
El responsable es el cliente al que pertenece el enlace; actuamos según sus instrucciones (art. 28 RGPD). La base jurídica es, por lo general, el interés legítimo del cliente en evaluar sus enlaces (art. 6, apartado 1, letra f, RGPD). Los datos de clics se eliminan automáticamente a los 25 meses, antes si el cliente elimina enlaces o su cuenta.
Los clientes pueden asociar a sus enlaces cortos píxeles de Meta, Google, TikTok o LinkedIn. Cuando se cargan, su navegador transmite datos como la dirección IP, el agente de usuario, la dirección solicitada e identificadores de cookies directamente al proveedor correspondiente. Estos datos no pasan por nuestros servidores y nosotros no los recibimos.
Si el cliente ha asociado píxeles a un enlace, estos se cargan por defecto en cada apertura, antes de que le redirijamos al destino. Los accesos automatizados (bots) no reciben píxeles.
Consulta de consentimiento: El cliente puede establecer por enlace que le preguntemos antes. Entonces verá, antes de la redirección, una breve consulta con el aspecto del cliente. Nombra al cliente y a los proveedores de píxeles e indica que en ese proceso también se transmiten datos a EE. UU. Con «Aceptar» se cargan los píxeles; con «Continuar sin» le redirigimos sin píxeles; el enlace funciona en ambos casos. Guardamos su elección en una cookie técnicamente necesaria «sbpx_» con un identificador del cliente (valor «ja» o «nein»), solo para el dominio del enlace corto y durante 6 meses, para no volver a preguntarle en otros enlaces de este cliente en ese dominio. La cookie no contiene datos sobre su persona; no guardamos su elección en nuestro servidor. Revocación: Puede revocar su consentimiento en cualquier momento con efectos para el futuro eliminando la cookie en su navegador (por ejemplo, a través de los datos de sitios web almacenados del dominio del enlace corto). En la siguiente apertura volvemos a preguntar y puede elegir «Continuar sin». Para los datos que ya se hayan transmitido a un proveedor de píxeles, solicite su eliminación al cliente o al proveedor.
El responsable de los píxeles es el cliente al que pertenece el enlace, en su caso conjuntamente con el proveedor de píxeles. El cliente se encarga de la base jurídica (en la UE, por lo general, su consentimiento, por ejemplo conforme al § 165, apartado 3, TKG 2021 o al § 25 TDDDG y al art. 6, apartado 1, letra a, RGPD) y de su información, también conforme al derecho de los países fuera de Europa, y decide si activa la consulta de consentimiento. La base jurídica de la cookie «sbpx_» es el § 165, apartado 3, TKG 2021 (estrictamente necesaria para respetar su elección). Nosotros solo proporcionamos la tecnología y actuamos como su encargado del tratamiento. Información de los proveedores: Meta, Google, TikTok, LinkedIn.
Comprobamos las direcciones de destino de todos los enlaces cortos al crearlos y a diario frente a nuestra lista de bloqueo, Google Web Risk y URLhaus de abuse.ch. A Google y a abuse.ch solo transmitimos la dirección de destino, ningún dato de visitantes. Si una dirección de destino contiene datos personales (por ejemplo, un nombre en la dirección), estos se transmiten también. Base jurídica: nuestro interés legítimo y el de los visitantes en estar protegidos frente al phishing y el malware, así como nuestras obligaciones como servicio de alojamiento (art. 6, apartado 1, letras c y f, RGPD).
A través de shortboost.one/missbrauch tratamos el enlace denunciado, el motivo y la justificación, su nombre y su dirección de correo electrónico, su declaración de que denuncia de buena fe y su dirección IP, para limitar las denuncias masivas. Guardamos la dirección IP solo truncada (se elimina la última parte) y como hash con clave (HMAC con clave secreta), nunca completa. Utilizamos los datos para examinar la denuncia, comunicarle la recepción y la decisión y formular preguntas. Base jurídica: art. 16 DSA (art. 6, apartado 1, letra c, RGPD) y nuestro interés legítimo en un servicio seguro (art. 6, apartado 1, letra f, RGPD). Al cliente afectado solo le comunicamos su nombre si es necesario para el examen o si usted lo consiente. Eliminamos las denuncias resueltas a los 24 meses.
Nuestras aplicaciones registran las solicitudes con la hora, la dirección y la dirección IP truncada para detectar errores y ataques. Las sesiones contienen la dirección IP solo truncada, los intentos de inicio de sesión solo como hash con clave (sección 4). Registramos las actuaciones de nuestro soporte en cuentas de clientes con la dirección IP truncada del soporte. Base jurídica: interés legítimo en la seguridad de ShortBoost (art. 6, apartado 1, letra f, y art. 32 RGPD). El proxy situado delante (Traefik) registra los accesos sin dirección IP. Los registros de los contenedores del servidor se rotan por tamaño (como máximo 3 × 10 MB por servicio) y, por ello, suelen sobrescribirse a los pocos días. Para otros plazos de conservación, véase la sección 16.
Nuestras medidas de protección incluyen la transmisión cifrada (HTTPS), la separación de los datos de los clientes a nivel de base de datos, el almacenamiento cifrado de secretos, el inicio de sesión en dos pasos opcional para los clientes, el inicio de sesión en dos pasos para todos los accesos de administración, el acceso al servidor solo con clave y copias de seguridad cifradas diarias. Los detalles figuran en el anexo 1 del AVV.
Realizamos copias de seguridad de la base de datos a diario y semanalmente, ciframos la copia con AES-256 antes de subirla y la guardamos en nuestro servidor y en Google Drive (Google Workspace). Solo Inexdu GmbH tiene la clave; Google no puede leer el contenido. Base jurídica: interés legítimo y obligación de poder restaurar (art. 6, apartado 1, letra f, y art. 32, apartado 1, letra c, RGPD). Los datos eliminados desaparecen de las copias de seguridad cuando estas caducan (sección 16).
Si utiliza ShortBoost a través de BusinessBoost One, el inicio de sesión y la asignación de cuenta se realizan a través de BusinessBoost One. Si elige una imagen de vista previa de la biblioteca de medios de BusinessBoost One o sube una, la imagen se guarda allí; nosotros solo guardamos la dirección. BusinessBoost One es un producto de Inexdu GmbH; la plataforma la opera el operador de la plataforma de BusinessBoost One, con sede en EE. UU. (véanse las secciones 14 y 15). Base jurídica: contrato (art. 6, apartado 1, letra b, RGPD).
| Destinatarios | Finalidad | Ubicación |
|---|---|---|
| Hostinger International Ltd., 61 Lordou Vironos Street, 6023 Larnaca, Chipre | Servidor (base de datos, aplicaciones, redirección) | Chipre; servidores en el centro de datos de Fráncfort del Meno, Alemania |
| easyname GmbH, Canettistraße 5/10, 1100 Viena | Envío de los correos electrónicos del sistema (SMTP) | Austria |
| Stripe Payments Europe, Limited (responsable del tratamiento por derecho propio para la tramitación del pago) | Pago, impuestos, facturas, portal de clientes | Irlanda; Stripe, Inc. en EE. UU. |
| Google Ireland Limited, Gordon House, Barrow Street, Dublín 4 (Google Workspace, Google Drive), con Google LLC como otro prestador de servicios | copias de seguridad cifradas | Irlanda / EE. UU. |
| Google Ireland Limited / Google LLC (Web Risk) | Comprobación de direcciones de destino (solo la dirección) | Irlanda / EE. UU. |
| abuse.ch (URLhaus), Berner Fachhochschule (Universidad de Ciencias Aplicadas de Berna) | Comprobación de direcciones de destino (solo la dirección) | Suiza |
| Operador de la plataforma de BusinessBoost One | solo en cuentas a través de BusinessBoost One: inicio de sesión, biblioteca de medios | EE. UU. |
| Proveedores de píxeles (Meta, Google, TikTok, LinkedIn) | solo si un cliente utiliza píxeles y estos se cargan (sección 9) | Irlanda / EE. UU. |
Solo transmitimos datos a autoridades y tribunales si estamos obligados a ello por ley. Los asesores fiscales y los auditores reciben datos contables en la medida necesaria.
Google LLC y Stripe, Inc. están certificadas conforme al Marco de Privacidad de Datos UE-EE. UU.; la transferencia se basa en la decisión de adecuación de la Comisión de la UE (art. 45 RGPD). Con Google se han acordado además cláusulas contractuales tipo de la Comisión de la UE (art. 46, apartado 2, letra c, RGPD), que se aplican si la decisión de adecuación queda sin efecto. La transferencia al operador de la plataforma de BusinessBoost One se basa en cláusulas contractuales tipo de la Comisión de la UE (art. 46, apartado 2, letra c, RGPD). Para Suiza (abuse.ch) existe una decisión de adecuación. Las transferencias a proveedores de píxeles (sección 9) se realizan directamente desde su navegador; de ello es responsable el cliente al que pertenece el enlace. Previa solicitud a support@shortboost.one recibirá una copia de las garantías.
Nuestro sistema elimina automáticamente una vez al día los datos tras los siguientes plazos, salvo que se indique otra cosa.
| Datos | Plazo |
|---|---|
| Cuenta y contenidos | hasta la eliminación de la cuenta, después 30 días de desactivación, luego eliminados definitivamente |
| Clics en enlaces cortos | 25 meses (o antes, junto con el enlace o la cuenta) |
| Cookie «sbpx_» con su elección en la consulta de consentimiento previa a los píxeles (solo en su navegador) | 6 meses o hasta que la elimine en el navegador |
| Eventos en el marco de seguimiento (sin referencia a personas) | 400 días |
| Visitas a páginas del sitio web | 25 meses |
| Intentos de inicio de sesión y de registro (con un hash con clave de la dirección IP) | 90 días |
| Sesiones (con dirección IP truncada) | durante la vigencia (como máximo 90 días desde el último uso), después otros 90 días |
| Códigos de acceso, enlaces de confirmación, de contraseña y de deshacer | 30 días después de su caducidad o uso |
| Cambios de la dirección de correo electrónico | 12 meses |
| Registro de las claves de API | 90 días |
| Conexiones de IA (desconectadas) | 90 días |
| correos electrónicos del sistema enviados | 90 días |
| denuncias de abusos resueltas | 24 meses tras su resolución |
| Registro de las actuaciones de soporte | 24 meses |
| Registros de los contenedores del servidor | rotados por tamaño (como máximo 3 × 10 MB por servicio), por lo general sobrescritos a los pocos días |
| pedidos no pagados (abandonados), junto con la dirección IP truncada | 90 días |
| Datos de pedidos, contables y de facturas, declaraciones de desistimiento y de cancelación, en cada caso junto con la dirección IP truncada | 7 años desde el final del año natural (§ 132 BAO), más tiempo solo mientras haya un procedimiento pendiente |
| Copias de seguridad en el servidor | diarias: 14 días, semanales: 8 semanas |
| Copias de seguridad en Google Drive | diarias: 30 días, semanales: 8 semanas |
Adoptamos una decisión automatizada en el sentido del art. 22 RGPD solo en la prevención de abusos: si la comprobación diaria señala una dirección de destino como peligrosa, bloqueamos el enlace automáticamente; al crearlo, un enlace así no se guarda (sección 10). Es determinante únicamente la dirección de destino, no su persona. La decisión es necesaria para la ejecución del contrato (art. 22, apartado 2, letra a, RGPD), porque solo así podemos ofrecer un servicio seguro. Puede exigir que una persona revise la decisión, exponer su punto de vista e impugnar la decisión (cláusula 12.5 de las Condiciones). No se realiza elaboración de perfiles.
Escriba a support@shortboost.one. Respondemos en el plazo de un mes. Si tenemos dudas sobre su identidad, le consultaremos.
Puede presentar una reclamación ante una autoridad de control, en Austria ante la Autoridad de Protección de Datos (Datenschutzbehörde), Barichgasse 40–42, 1030 Viena, dsb.gv.at, o ante la autoridad de su lugar de residencia.
Para una cuenta necesitamos su dirección de correo electrónico; para una compra, los datos de pago y de facturación que solicita Stripe. Sin estos datos no podemos celebrar un contrato. Todos los demás datos son voluntarios. El tratamiento al abrir enlaces cortos y el sitio web está técnicamente ligado a la propia apertura.
Adaptamos esta política de privacidad cuando cambian nuestro tratamiento o la situación jurídica. Comunicamos a los clientes los cambios sustanciales por correo electrónico.
Versión 2026-10, válida desde el 1 de octubre de 2026