Política de privacidad

Versión 2.4 · en vigor desde el 5 de septiembre de 2026 · última revisión: 5 de septiembre de 2026
Las versiones anteriores se conservan y se facilitan a quien las pida en hola@delistado.com.

1. Responsable del tratamiento

No se ha designado delegado de protección de datos, y la evaluación que lleva a esa conclusión está documentada internamente. En resumen: no somos autoridad ni organismo público (art. 37.1.a); nuestra actividad principal no consiste en operaciones que exijan una observación habitual y sistemática de interesados a gran escala (art. 37.1.b), porque guardar lo que cada persona apunta en su propia biblioteca no es observarla; y no tratamos a gran escala categorías especiales del artículo 9 ni datos de condenas penales (art. 37.1.c). Tampoco concurre ninguno de los supuestos que el artículo 34 de la LOPDGDD añade. Se revisa cada año y cuando cambie la escala del servicio, y se designará en cuanto haga falta.

2. Qué datos tratamos y para qué

2.1. Datos de tu cuenta

2.2. Lo que apuntas

Es el servicio en sí: las obras que añades, tu estado en cada una, tus valoraciones, tus favoritas, las que marcas como que te definen, por dónde vas, tus notas privadas, tus ejemplares físicos —con su ubicación, precio y a quién los prestas— y, sobre todo, las fechas en que viste, leíste o escuchaste cada cosa.

Base jurídica: ejecución del contrato. Sin estos datos no hay servicio.
Conservación: mientras tengas la cuenta. Se borran cuando la borras.

Ten en cuenta que un historial cultural puede revelar cosas sobre ti —creencias, orientación, salud, ideología— aunque tú no las escribas. Un listado de películas no es una declaración sobre nadie, pero según lo que lleve dentro puede acabar apuntando a lo que el artículo 9 del RGPD llama categorías especiales de datos. Lo decimos porque es verdad y porque condiciona cómo está hecho esto:

• No inferimos nada de eso, y no está previsto hacerlo. No hay ni habrá etiqueta de ideología, de religión, de orientación ni de salud. Lo que se calcula para recomendarte algo son parecidos entre obras —género, tema, autoría—, nunca rasgos tuyos.
• Tu biblioteca es privada por defecto. No aparece en buscadores y nadie puede verla ni seguirte sin que tú lo enciendas.
• Nada de esto sale de tu cuenta salvo que tú lo saques. Y cuando lo sacas —al encender el perfil público o al publicar una reseña— eres tú quien hace públicos esos datos, que es el supuesto del artículo 9.2.e del RGPD; el interruptor que lo enciende es además un consentimiento expreso, del 9.2.a.
• Nunca cruzamos tu historial con datos de fuera. Ni con redes sociales, ni con anunciantes, ni con nada.

Hay dos formas, y las dos las decides tú:

• Aceptar a alguien como amigo. Verá lo que has terminado y lo que estás viendo, con sus fechas; lo demás viene apagado y lo enciendes tú.
• Encender tu perfil público. Es una página con una dirección que puedes pasarle a quien quieras. Nace apagada, y al encenderla solo enseña lo que has terminado: las fechas, las valoraciones y todo lo demás se encienden uno por uno. Aparecer en buscadores es un interruptor distinto, en los mismos ajustes, y conviene saber cómo viene: al encender el perfil se enciende también, porque quien publica una página normalmente quiere que se encuentre. Si prefieres que no, se apaga ahí mismo y la página sigue funcionando para quien tenga el enlace. «Público» y «en Google» no son lo mismo, y por eso son dos interruptores y no uno.

Tus notas privadas no las ve nadie nunca, ni un amigo ni quien abra tu perfil, y no hay ningún interruptor que las comparta. Y puedes esconder obras sueltas: lo escondido no sale por ningún lado, y tampoco se dice que falte nada. Deshacer una amistad, o apagar el perfil, corta la vista al momento.

2.2 bis. Los nombres de otras personas que apuntas

Hay dos sitios donde puedes escribir el nombre de alguien que no tiene cuenta aquí: con quién viste algo y a quién le prestaste un ejemplar. Es un dato personal de esa persona, no tuyo, y por eso se trata aparte.

• No sale de tu cuenta. Ni a tus amigos, ni a tu hogar, ni a tu perfil público, ni a los buscadores. No existe ningún ajuste que lo comparta, ni está previsto que exista.
• Con una inicial o un mote basta, y la aplicación te lo sugiere. «M.» o «mi hermana» te sirve igual para recordar con quién fue, y reduce el dato al mínimo. Es la opción que preferimos.
• Base jurídica: interés legítimo (art. 6.1.f RGPD), no la ejecución del contrato — el contrato es contigo, y esa persona no lo ha firmado.
• Por qué no avisamos a esa persona. El artículo 14 del RGPD obliga a informar a quien no te dio sus datos directamente, salvo que resulte imposible o exija un esfuerzo desproporcionado (art. 14.5.b). Aquí es lo primero: de esa persona solo tenemos un nombre que escribiste tú — ni correo, ni teléfono, ni forma alguna de localizarla. Buscarla para avisarla sería, además, tratar muchos más datos suyos de los que tenemos.
• Sus derechos siguen intactos. Si alguien nos escribe diciendo que su nombre puede estar apuntado en la cuenta de otra persona, atendemos su solicitud como la de cualquiera.

2.3. Ficheros que importas

Si importas tu historial de Netflix, Spotify o Apple Music, el fichero se procesa para extraer los títulos y las fechas. El fichero no se conserva: una vez leído se descarta, y solo queda el resultado en tu biblioteca.

2.4. Solicitudes de invitación

Ya no hace falta pedir invitación: crear una cuenta está abierto a cualquiera. Este apartado se mantiene porque seguimos guardando las solicitudes que se hicieron cuando sí hacía falta, y porque el formulario volvería si alguna vez tuviéramos que cerrar el alta.

Si dejas tu correo para pedir invitación, lo guardamos para avisarte cuando haya sitio.
Base jurídica: tu consentimiento (art. 6.1.a).
Conservación: hasta que te invitemos o hasta un máximo de dos años, y antes si nos pides que lo borremos.

2.5. Confirmar tu correo al crear la cuenta

Cuando el registro está abierto y rellenas el formulario de alta, la cuenta no se crea todavía. Guardamos tu nombre y tu correo y te mandamos un enlace; la cuenta existe cuando lo abres.

Este paso es una medida de protección para ti aunque no seas tú quien lo rellena: sin él, cualquiera podría dar de alta una cuenta con la dirección de otra persona, dejársela ocupada y hacer que le llegaran avisos de algo que no ha pedido.
Base jurídica: interés legítimo en la seguridad de las cuentas, y la ejecución del contrato si el alta la has pedido tú.
Conservación: el enlace caduca en dos días. Si no se abre, esos datos se borran solos a los treinta días de haber caducado — no «cuando toque limpieza», sino en un plazo fijo, y lo hace una tarea automática que corre a diario. Si no has sido tú quien lo pidió, no hacer nada es exactamente lo correcto: no hay ninguna cuenta a tu nombre y no la habrá.

2.6. Avisos sobre el catálogo

Si nos avisas de que una ficha está mal, guardamos lo que escribes, el motivo, la ficha señalada y tu nombre de cuenta — para poder contestarte y para saber qué se hizo con cada aviso.
Base jurídica: interés legítimo en mantener un catálogo común correcto.
Conservación: 24 meses desde que lo escribes, y después se borra solo — lo hace una tarea automática que corre a diario. Ese plazo cubre de sobra la pregunta «¿por qué cambiasteis esto?»; pasado ese tiempo, la ficha se explica sola y el aviso ya no añade nada.

2.7. Tus listas

Si haces listas, guardamos su nombre, su descripción, qué obras has metido, en qué orden y la nota que le pongas a cada una.
Base jurídica: la ejecución del contrato — es una función del servicio que has pedido.
Quién las ve: nadie, salvo que tú abras esa lista a tus amigos o a cualquiera. Cada lista se decide por separado.
Conservación: mientras tengas la cuenta, o hasta que borres la lista. Salen en la descarga de tus datos.

2.8. Tus reseñas

Si escribes una reseña, guardamos el texto, sobre qué obra es y cuándo la escribiste. Una reseña es pública de verdad: las fichas de cine y series se pueden ver sin cuenta y los buscadores pueden indexarlas, así que tu reseña puede acabar saliendo en una búsqueda. También aparece en tu perfil público si lo tienes encendido.
Cómo se firma: con tu nombre público, el que eliges en tu perfil. Si no has puesto ninguno, aparece «Alguien». El nombre con el que te registraste no se publica nunca.
Base jurídica: la ejecución del contrato — es una función del servicio que has pedido.
Conservación: hasta que la borres tú. Salen en la descarga de tus datos.

Si cierras la cuenta, tus reseñas no se borran de golpe: se bloquean. Es la única cosa de todas las tuyas que no desaparece inmediatamente, y merece una explicación porque suena a letra pequeña y no lo es.

Lo manda el artículo 32 de la Ley Orgánica 3/2018: cuando procede suprimir un dato pero aún puede hacer falta para depurar responsabilidades, no se destruye, se bloquea — con sus palabras, la «identificación y reserva de los mismos, adoptando medidas técnicas y organizativas, para impedir su tratamiento». Bloqueada quiere decir esto, literalmente:

• Desaparece de la vista de todo el mundo en el mismo instante en que cierras la cuenta. No sale en la ficha, ni en tu perfil, ni en los buscadores, ni en el panel de administración.
• Queda disponible exclusivamente para jueces y tribunales, el Ministerio Fiscal, las administraciones competentes y las autoridades de protección de datos, y solo si lo requieren.
• Se destruye sola a los 36 meses, que es el plazo de prescripción de las infracciones más graves de la ley de protección de datos (art. 72). Lo hace una tarea automática: no depende de que nadie se acuerde.

Se bloquean solo las reseñas, y es a propósito: son lo único que puede leer un tercero, y por tanto lo único por lo que puede haber una responsabilidad que exigir. Tu biblioteca, tus fechas, tus notas privadas, tus listas y tus ejemplares se borran de verdad, sin plazo ni reserva.

Esto es distinto de tu nota privada, que no se comparte nunca con nadie y para la que no existe ningún interruptor. Son dos campos separados y el único que sale de tu cuenta es la reseña, escrita a propósito.

Una reseña se puede retirar. Al publicarla no solo la guardamos: guardamos también la dirección IP y el navegador desde los que la escribiste, durante doce meses. Es lo que nos permite responder si un juzgado o una autoridad nos pregunta quién publicó algo, y es la contrapartida de dejar publicar texto que lee cualquiera. Si una reseña es ilícita —insultos, datos de otra persona, una calumnia— la retiramos de la vista en cuanto lo sabemos, y queda registrado quién la retiró y por qué. Puedes avisarnos de una desde el enlace «Cuéntamelo» que hay al pie de cada pantalla.

2.8 bis. Las fotos de tus ejemplares

No las ve nadie más que tú. No salen en tu perfil público aunque lo tengas encendido, no las ven tus amigos y no las ve la gente de tu hogar aunque hayas compartido ese ejemplar con la casa. No tienen dirección pública: se piden a la aplicación, que comprueba de quién son antes de enseñarlas.

Con una excepción, y la decimos porque callarla sería peor: el equipo puede revisarlas para comprobar que no se sube contenido que no debe estar. Solo se revisan las que nadie ha mirado todavía, queda constancia de cuándo se revisó, y una vez dada por buena no vuelve a listarse.

Puedes quitar cualquier foto cuando quieras, y al hacerlo se borra del almacenamiento — no se guarda ninguna copia.

2.9. El boletín semanal

Si lo pides, te mandamos un correo por semana con lo que ha entrado en el catálogo, lo que más ha visto o leído la gente, y el marcador de puntos. Para eso guardamos la fecha en que lo pediste, la fecha en que te diste de baja si lo haces, y una marca al azar que va en el enlace de baja de cada correo.

Base jurídica: tu consentimiento (art. 6.1.a RGPD). Es un tratamiento aparte del resto de tu cuenta y por eso se pide aparte: no está dentro del formulario de alta ni viene marcado de antemano. Se enciende desde tu cuenta, en «El boletín», y no afecta a nada más — si no lo quieres, todo lo demás funciona igual.

Cómo darse de baja: cada correo lleva un enlace que te da de baja de un solo clic y sin entrar en tu cuenta. También se puede apagar desde «El boletín». No preguntamos por qué y no hay ningún paso intermedio.

Qué NO se hace con esto: no sabemos si abres el correo ni si pulsas sus enlaces — no llevan marcas de seguimiento ni imágenes espía—, no se cede tu dirección a nadie, y no se usa para publicidad de terceros. Los rankings que salen en el boletín son recuentos: nunca dicen quién vio qué. Y una lista no se publica si sale de menos de cinco personas, precisamente para que no se pueda deducir de quién es.

Conservación: la fecha del alta y la de la baja se guardan mientras tengas la cuenta, y por un motivo concreto: son la prueba de que lo pediste y de cuándo dejaste de recibirlo. El artículo 7.1 del RGPD nos obliga a poder demostrar el consentimiento, y una baja también hay que poder demostrarla. Si borras la cuenta, se borran con ella.

Los demás correos no son esto. El enlace para entrar, el aviso de que alguien ha comentado tu reseña o el de que tu importación ha terminado no son publicidad: hacen falta para que el servicio funcione y llegan aunque no quieras el boletín. Darse de baja del boletín no los toca.

2.10. Salir en el marcador de puntos

La aplicación lleva un marcador con puntos por usarla. Es privado salvo que tú decidas lo contrario: para salir en el marcador público —y en el boletín, si lo hubiera— hay que encenderlo a mano y elegir un alias, que es el nombre con el que se sale.

Base jurídica: tu consentimiento (art. 6.1.a). Apagado, tus puntos no salen en ningún sitio.
Qué se enseña: el alias que hayas elegido, los puntos y los días seguidos. Nunca tu nombre de cuenta ni tu correo, y sin alias no se sale aunque el interruptor esté puesto.
Conservación: hasta que lo apagues.

2.11. Datos técnicos y de uso

3. Cómo sabemos que alguien llegó desde esta web

Cuando pulsas un enlace que lleva de delistado.com a la aplicación, ese enlace lleva pegada una marca al azar. Sirve para una sola cosa: saber que la visita y el alta son la misma, y poder contar cuánta gente que entra aquí acaba creando una cuenta.

Esa marca no se guarda en tu dispositivo. Se inventa al abrir la página, viaja en el enlace y se olvida: no hay cookie, no sobrevive a cerrar la pestaña y no permite reconocerte más tarde ni aquí ni en ningún otro sitio. Por eso funciona igual si rechazas las cookies — no hay nada que consentir en tu equipo.

Que no haya que consentirla no significa que el RGPD no la alcance: mientras existe es un identificador seudónimo, y por tanto un dato personal. Así que le ponemos lo que hay que ponerle:

• Finalidad: contar cuánta gente que entra en la web acaba creando una cuenta. Ninguna otra.
• Base jurídica: interés legítimo (art. 6.1.f RGPD) — el de saber si lo que explicamos sirve para algo.
• Dónde vive y cuánto: en la web informativa, en ningún sitio: se inventa, viaja en el enlace y se olvida. Al llegar a la aplicación se guarda en tu sesión, que está en nuestro servidor, y muere con ella — dos horas de inactividad. En tu equipo no se guarda nada nuevo: la cookie de sesión ya existía porque sin ella no puedes ni entrar.
• Se retira de la dirección nada más leerla. La primera página que abres te redirige a la misma dirección sin la marca, para que no se quede en la barra del navegador ni viaje pegada a un enlace que compartas.
• No se cruza con nada. No se une a tu cuenta, ni a tu correo, ni a tu biblioteca. Lo único que se pregunta es cuántas visitas acabaron en alta, no cuál fue la tuya.

4. Google Analytics

Usamos Google Analytics 4, de Google Ireland Limited, para entender cuánta gente visita el sitio, desde qué buscadores o enlaces llega y qué páginas mira. Nos sirve para decidir qué mejorar y dónde darnos a conocer.

Google trata estos datos como encargado nuestro, y la dirección IP se acorta antes de almacenarse. Puedes retirar tu consentimiento cuando quieras desde «Preferencias de cookies», en el pie de cualquier página. El detalle de cada cookie está en la política de cookies.

5. Quién más ve tus datos

No vendemos, alquilamos ni cedemos tus datos personales a terceros con fines comerciales. Nunca.

Para que el servicio funcione nos apoyamos en unos pocos proveedores, que actúan como encargados del tratamiento con contrato de por medio y solo pueden usar los datos para prestarnos su servicio:

Las redes de afiliación no están en esa tabla, y conviene explicar por qué. Cuando pulsas un enlace de afiliación —Awin, Tradedoubler, Amazon— tu navegador pasa un instante por su servidor antes de llegar a la tienda. Ellos no son encargados nuestros: no trabajan para nosotros ni siguen nuestras instrucciones, y nosotros no les enviamos ningún dato tuyo. Es tu navegador el que se conecta, igual que pasa con las carátulas.

En esa parada, y por su cuenta, esas redes tratan tus datos como responsables independientes: ven tu dirección IP y tu navegador, y al menos Tradedoubler calcula además una huella de tu dispositivo. Está contado con detalle en el apartado 2.5 de la política de cookies. Lo que hagan con eso se rige por sus políticas, no por ésta, y no está en nuestra mano. Lo que sí está en nuestra mano es decírtelo antes de que pulses, y que no pase nada si no pulsas.

Además podríamos comunicar datos a las administraciones públicas y tribunales cuando una ley nos obligue.

6. Transferencias fuera de la Unión Europea

Todo lo que constituye tu biblioteca —tu cuenta y lo que apuntas— se almacena en la Unión Europea.

Dicho eso, «alojado en la UE» no es lo mismo que «nada sale de la UE», y hay tres casos que conviene enumerar en vez de resumir:

Por transparencia, y porque nos parece que debes saberlo: dicha decisión está recurrida ante el Tribunal de Justicia de la Unión Europea y sigue plenamente en vigor a fecha de hoy. Si llegara a anularse, dejaríamos de usar Google Analytics o pasaríamos a una herramienta alojada en la UE, y actualizaríamos esta política.

Cloudflare puede encaminar tráfico a través de nodos fuera de la UE por razones técnicas, amparándose en las cláusulas contractuales tipo aprobadas por la Comisión Europea.

7. Tus derechos

Puedes ejercer en cualquier momento los siguientes derechos:

• Acceso — saber qué datos tenemos sobre ti.
• Rectificación — corregir lo que esté mal.
• Supresión — que borremos tu cuenta y todo lo asociado.
• Portabilidad — llevarte tus datos en un formato legible por máquina.
• Oposición — oponerte a los tratamientos basados en interés legítimo.
• Limitación — pedir que congelemos el tratamiento mientras se resuelve una reclamación.
• Retirar el consentimiento — en cualquier momento y con la misma facilidad con que lo diste, sin que afecte a lo hecho antes.

Para lo demás, escríbenos a hola@delistado.com desde el correo de tu cuenta, o desde otro adjuntando algo que acredite tu identidad. Responderemos en el plazo máximo de un mes.

Si consideras que no hemos atendido bien tu solicitud, puedes reclamar ante la Agencia Española de Protección de Datos — C/ Jorge Juan, 6, 28001 Madrid — www.aepd.es.

8. Recomendaciones automáticas

La sección «Qué sigue» ordena obras a partir de lo que ya has apuntado y valorado. Es un cálculo automático, pero no toma ninguna decisión que te afecte: solo sugiere qué mirar, no condiciona precios, ni accesos, ni nada. No estamos ante una decisión automatizada de las del artículo 22 del RGPD, y siempre puedes ignorarla.

Hay dos sitios donde se cuentan valoraciones de otras personas —el apartado «Fuera de tu biblioteca» dentro de «Qué sigue», y las listas públicas de lo mejor valorado, que puede ver cualquiera sin cuenta—. Conviene ser exactos sobre qué significa eso:

• Solo se usa un recuento: cuántas personas han puesto una nota alta a una obra. Nunca se enseña quiénes son, ni se enlaza a sus perfiles, ni se cuenta nada más de ellas. Los identificadores se usan para contar dentro de la misma consulta y no se guardan.
• Lo que hayas marcado como oculto no se cuenta, ni siquiera dentro de un total.
• Tus notas privadas siguen sin entrar aquí ni en ninguna otra parte, como se dice más arriba.
• Nadie ve tu biblioteca por esto. Lo único que ocurre es que tu valoración puede sumar uno a un total o a una media que verá otra persona, sin que se sepa que ese uno eres tú.
• En las listas públicas se enseña la media y el número de votos, nunca las notas de nadie por separado, y hacen falta varios votos para que una obra entre.

Si prefieres no aparecer en ningún recuento, marca esas entradas como ocultas y dejan de contarse.

9. Menores

Hay que tener 14 años cumplidos para tener cuenta. Es la edad que fija el artículo 7 de la LOPDGDD para poder consentir por cuenta propia el tratamiento de los datos.

Se pregunta la fecha de nacimiento al crear la cuenta, y se guarda. Lo decimos porque hasta el 28 de agosto de 2026 esta regla estaba escrita aquí y no se preguntaba en ninguna parte: era una norma que nadie comprobaba. Ahora se comprueba.

La fecha no se usa para nada más que para dos límites de edad, no se enseña a nadie y no aparece en tu perfil. Se guarda la fecha y no una casilla de «soy mayor» porque la gente cumple años: así el segundo límite se levanta solo el día que toca, sin que tengas que acordarte.

Si detectamos una cuenta de un menor de 14 años sin autorización de quien ejerza su tutela, la eliminaremos.

10. Seguridad

Todo el tráfico va cifrado (HTTPS). Las contraseñas no se guardan: se guarda su hash, calculado con bcrypt. No es «cifrado», que sería reversible con la clave correcta: es una función de un solo sentido diseñada para contraseñas, de la que no se puede volver al original. El acceso a la base de datos está restringido, y las copias de seguridad tienen un ciclo definido y no «periódico»: el proveedor permite recuperar a cualquier punto de los últimos 7 días, y además se guarda una copia diaria propia, de la que se conservan las 14 últimas y que se verifica sola —una copia que no se comprueba no es una copia—. Pasado ese plazo se sobrescriben.

Ningún sistema es infalible. Si llegara a producirse una brecha de seguridad, la ley marca dos umbrales distintos, y los separamos porque no son el mismo aviso ni llegan al mismo sitio:

• Aviso a la Agencia Española de Protección de Datos — artículo 33 del RGPD. Se notifica en 72 horas salvo que sea improbable que la brecha suponga un riesgo para los derechos de las personas afectadas.
• Aviso a ti — artículo 34 del RGPD. Se te comunica sin dilación indebida cuando sea probable que la brecha entrañe un alto riesgo para tus derechos.

El listón del segundo es más alto que el del primero, así que puede haber un incidente que se notifique a la Agencia y no a ti. Todos quedan registrados internamente, se notifiquen o no —lo exige el mismo artículo 33— con qué pasó, a qué afectó, qué se hizo y por qué se decidió lo que se decidió.

11. Cambios en esta política

Si cambiamos algo relevante, actualizaremos la fecha de arriba y, cuando el cambio te afecte de forma significativa, te avisaremos por correo antes de que entre en vigor.