Política de privacidad

Fecha de entrada en vigor: 24 de julio de 2026

1. Resumen

Esta política describe qué datos personales procesa GeoAPI ("la API", geoapi.nubiolabs.app) cuando creas una cuenta o usas una API key, cómo se almacenan y qué derechos tienes sobre ellos. No cubre los datos de centros educativos ni de callejero que devuelve la API: esos son datos públicos del Ministerio de Educación y del INE, no datos personales tuyos.

2. Datos que procesa la API

2.1 Datos de cuenta. Al registrarte guardamos tu correo electrónico, y opcionalmente un nombre para mostrar y tu idioma preferido del panel. Se usan para identificarte y para gestionar tus API keys.

2.2 Autenticación. El acceso al panel es sin contraseña, por código enviado a tu correo: ese código se guarda solo como hash (SHA-256), nunca en claro, y caduca a los pocos minutos. La sesión del panel usa una cookie HttpOnly y Secure que tampoco guarda el token en claro en la base de datos, solo su hash.

2.3 API keys. De cada API key solo se almacena su hash (SHA-256) y un prefijo corto para identificarla en el panel — la key completa se te muestra una única vez, en el momento de crearla, y no puede recuperarse después ni siquiera por nosotros.

2.4 Límite de peticiones (rate limiting). Para aplicar el límite de peticiones por minuto guardamos un contador ligado a tu API key o, si no hay una API key válida (por ejemplo, comprobaciones anónimas contra /health), a tu dirección IP. Estas filas se purgan pasada aproximadamente una hora: no forman un histórico de tu actividad.

3. Dónde se almacena

Todos los datos anteriores se guardan en una base de datos MySQL en nuestro proveedor de hosting. No usamos una base de datos ni un almacenamiento separado para analítica.

4. Conservación

Los datos de cuenta y de tus API keys se conservan mientras tu cuenta exista. Los códigos de verificación caducan a los pocos minutos y los contadores de rate limiting se purgan al cabo de aproximadamente una hora.

5. Servicios de terceros

El correo con el código de acceso se envía a través de un servidor SMTP que configuramos nosotros mismos; no se usa ningún servicio externo de analítica, publicidad o seguimiento en ninguna página de este dominio.

6. Base legal y tus derechos (RGPD)

La base legal para procesar tus datos de cuenta es la ejecución del contrato (poder prestarte el servicio que has solicitado) y el interés legítimo en prevenir el abuso del servicio mediante el límite de peticiones. Puedes ejercer tus derechos de acceso, rectificación y supresión escribiendo a geoapi@nubiolabs.atlassian.net o desde la página de contacto — de momento no hay un borrado de cuenta autoservicio desde el panel, así que lo gestionamos manualmente al recibir tu solicitud.

7. Cambios en esta política

Esta política puede actualizarse a medida que evolucione la API. La fecha al principio de esta página refleja la revisión más reciente.

8. Contacto

Para cualquier duda sobre privacidad: geoapi@nubiolabs.atlassian.net.