Política de privacidad

Fecha de entrada en vigor: 16/10/2026 · Versión: 1.5

MousePlayer («nosotros», «nuestro» o «nos») se compromete a proteger la privacidad, la seguridad y la integridad de los visitantes y usuarios que interactúan con sitios web que integran el script de seguimiento y análisis de MousePlayer (el «Servicio»). Esta política de privacidad describe los tipos de datos que se recogen, cómo se tratan y las medidas adoptadas para garantizar la privacidad de los usuarios. Cuando MousePlayer actúa como encargado del tratamiento por cuenta del operador de un sitio web, se aplican además las condiciones del Acuerdo de tratamiento de datos y de las Medidas técnicas y organizativas.

1. El consentimiento es lo primero

No se graba nada antes del consentimiento. En un sitio web que utiliza MousePlayer, el script no asigna ningún identificador, no escribe ninguna cookie, no almacena nada, no abre ninguna conexión ni registra escuchadores de eventos de entrada o de cambios en la página hasta que existe una señal de consentimiento; hasta entonces, solo escucha la propia señal de consentimiento. Si no llega ninguna señal – porque el visitante no ha decidido, porque la herramienta de consentimiento no se ha cargado o porque algo ha fallado – su ausencia se considera una negativa, nunca un permiso.

En este sitio web. El cuadro de diálogo de consentimiento que ve aquí se carga desde consented.eu — un servicio del mismo proveedor, que funciona en la misma infraestructura. Por tanto, su navegador abre una conexión con ese dominio, que transmite su dirección IP y su agente de usuario. Esto no constituye una transferencia a un tercero y no interviene ningún subencargado; se menciona porque la conexión es visible en su navegador y usted debe saber quién está detrás. Como prueba de su decisión, consented.eu la almacena junto con un identificador aleatorio, un hash de su dirección IP, la familia del navegador y la hora, y elimina esa prueba al cabo de tres años; la base jurídica es nuestra obligación de poder demostrar el consentimiento (art. 6(1)(c) en relación con el art. 7(1) del RGPD). En su navegador, la cookie consented conserva la decisión (sección 10).

Una señal de Global Privacy Control enviada por el navegador se respeta en todo el mundo y prevalece sobre cualquier otra señal, incluida una aprobación explícita de una herramienta de consentimiento.

Si se retira el consentimiento durante una visita, la grabación se detiene inmediatamente: se eliminan los escuchadores de eventos, se desconectan los observadores, se cierra la conexión y los datos que aún se encuentran en el búfer del navegador se descartan en lugar de enviarse. El operador del sitio web controla mediante un ajuste si también se elimina la grabación de esa visita que ya se haya almacenado.

Obtener un consentimiento válido es responsabilidad del operador del sitio web, que es el responsable del tratamiento para ese sitio web. MousePlayer lee la señal; no formula la pregunta. La base jurídica de la grabación es ese consentimiento (art. 6(1)(a) del RGPD); el operador del sitio web determina las finalidades, la conservación y los destinatarios y los expone en su propio aviso de privacidad.

2. Información que recogemos

Una vez que existe consentimiento, el Servicio recoge la telemetría técnica y las métricas de comportamiento necesarias para ofrecer grabaciones de sesiones, mapas de calor y funciones de visualización en vivo en tiempo real:

• Datos del dispositivo y del entorno: Tipo y versión del navegador, sistema operativo, clasificación del dispositivo (ordenador de escritorio, móvil o tableta), resolución de pantalla y dimensiones del área visible.
• Datos de red y geográficos: La dirección IP se utiliza para establecer la conexión, determinar el país y defender la plataforma frente a abusos. El país, la ciudad y el proveedor de red se obtienen a partir de la dirección completa en la memoria de trabajo del servidor de grabación. La dirección solo se escribe en la base de datos de forma truncada (se elimina el último segmento); allí no se almacena ninguna dirección IP completa de un visitante y nunca se muestra en el panel. Para detectar avalanchas de conexiones, se contabiliza una dirección durante unos segundos; si activa la defensa automática contra abusos, se bloquea íntegramente durante un máximo de 24 h en una caché que también escribe en disco para proteger frente a la pérdida de datos, tras lo cual la entrada caduca por sí sola. Cada intento de conexión se registra con la dirección truncada, la identificación del navegador y el proyecto en un registro de seguridad que se suprime al cabo de 72 horas.
• Telemetría de comportamiento: Movimientos del ratón, trayectorias del cursor, eventos de clic, profundidad de scroll y marcas de tiempo de las interacciones.
• Navegación y fuentes de tráfico: Vistas de página, URL visitadas, páginas de entrada, dominios de referencia y fuentes de campañas. Los valores de los parámetros que suelen contener datos personales (por ejemplo, ?email= o ?token=) se eliminan antes del almacenamiento – tanto en la cadena de consulta como después de #, donde los servicios de inicio de sesión colocan credenciales de acceso (por ejemplo, #access_token=).
• Capturas de la estructura del DOM: Diseños estructurales y fragmentos HTML utilizados exclusivamente para representar reproducciones de sesiones y vistas previas en vivo. Esto incluye las superficies de dibujo (canvas) como una imagen que se renueva cuando cambian, el contenido de marcos incrustados del mismo origen junto con las interacciones dentro de ellos y las regiones abiertas del DOM en la sombra; los marcos incrustados de otros orígenes aparecen únicamente como marcadores de posición. Se crea un índice de búsqueda a partir de los textos mostrados para que el operador del sitio web pueda encontrar sesiones por un texto que se haya mostrado.
• Diagnóstico técnico: Mensajes de error y advertencia de la consola del navegador, solicitudes de la página fallidas o manifiestamente lentas (dirección, estado y duración, sin contenido ni cabeceras; antes de enviarse, se eliminan de los textos las credenciales de acceso, las direcciones de correo electrónico y las secuencias largas de dígitos), y métricas de carga de la página (Web Vitals).
• Información añadida por el operador del sitio web: El identificador de cliente propio del operador, cuando este lo transmite al script (por ejemplo, después de un inicio de sesión en su sitio web), un nombre que el operador asigna a un visitante en el análisis y – cuando el operador activa una encuesta – las respuestas a esta. Antes de enviarse, se eliminan del texto libre las direcciones de correo electrónico, las direcciones IP y las secuencias más largas de dígitos, como los números de teléfono.

El operador del sitio web puede excluir por completo de la grabación rutas enteras – por ejemplo, un proceso de pago o un área de cuenta –. La exclusión se aplica en nuestros servidores, no solo en el navegador.

3. Texto introducido en formularios

Este punto merece una sección propia, porque es donde una grabación de sesión puede convertirse en datos personales sin que nadie lo pretenda.

• El enmascaramiento completo es la opción predeterminada. Cada carácter de cada entrada de formulario se sustituye antes de salir del navegador. Una reproducción muestra que alguien escribió y cuánto tardó, pero no qué escribió.
• Existen dos niveles menos estrictos y ninguno se puede activar en autoservicio. El enmascaramiento selectivo mantiene completamente enmascarados los nombres, las direcciones, el correo electrónico, el teléfono, los campos de pago y las áreas de texto libre, y en el resto de los campos sustituye solo los dígitos, de modo que los términos de búsqueda y los códigos de cupón siguen siendo legibles. El modo sin enmascaramiento graba las entradas tal como se escriben. Ambos requieren nuestra aprobación por escrito para ese sitio web concreto, y registramos cuándo se concedió y quién la concedió.
• La aprobación se aplica de forma obligatoria; no se solicita. Si el nivel almacenado de un sitio es superior al autorizado, nuestro servidor lo reduce antes incluso de que el ajuste llegue al navegador. Establecer el valor directamente en la base de datos no consigue nada.
• Los campos reconocidos como campos de contraseña o de pago nunca se graban en texto claro. Se enmascaran por completo en todos los niveles. Ninguna aprobación puede rebajar ese mínimo. El reconocimiento compara el nombre, el id, el tipo y el atributo autocomplete del campo con una lista que abarca términos en inglés, alemán y polaco; un campo que no coincide con ninguno se considera un campo ordinario.
• Lo que muestra el propio sitio web es una cuestión completamente distinta. Una página de confirmación que muestra la dirección que usted introdujo forma parte de la página y, por tanto, de la reproducción. El enmascaramiento de los campos de entrada no llega hasta ella.

Los operadores de sitios web pueden marcar cualquier región de su página con data-mp-mask o con la clase mp-masked; su contenido se excluye entonces de la grabación. Los operadores son responsables de identificar y marcar las regiones de su sitio que muestran o recogen datos personales, y pueden excluir rutas enteras de la grabación.

4. Cookies y almacenamiento local

En los sitios web de sus Clientes, MousePlayer no instala cookies. Una vez otorgado el consentimiento, el script almacena identificadores y marcadores técnicos (como identificadores y contadores de visitante, sesión y pestaña) en el almacenamiento local (localStorage) y el almacenamiento de sesión (sessionStorage) del navegador. Estos permiten distinguir a los visitantes únicos, conectar recorridos de varias páginas dentro de una sesión y mantener la continuidad durante la supervisión en vivo. Solo se establecen después del consentimiento; la negativa no deja nada. Una retirada que llega mientras el script se está ejecutando en la página elimina los identificadores y marcadores; si tras una retirada el script ya no se inicia en absoluto, las entradas existentes permanecen hasta que se borran los datos del navegador, pero dejan de utilizarse.

5. Identificación de usuarios y seudonimización

Los datos tratados por MousePlayer son seudónimos. Los visitantes se distinguen mediante tokens generados aleatoriamente en lugar de nombres, direcciones de correo electrónico o números de teléfono, datos que el propio Servicio no recoge. Seudónimo no significa anónimo: una grabación combinada con otra información puede identificar a una persona, por lo que se trata como datos personales en toda esta política.

6. Cómo utilizamos los datos recogidos

• Proporcionar a los propietarios de sitios web análisis, reproducciones de sesiones, mapas de calor y diagnósticos del visor en vivo.
• Identificar fricciones en la interfaz, cuellos de botella de rendimiento y errores técnicos en el sitio web supervisado.
• Garantizar la seguridad de la plataforma, defenderla frente a abusos automatizados y mantener la estabilidad del sistema.
• Análisis calculados para el operador del sitio web: una puntuación de fricción por sesión, perfiles de comportamiento y patrones de recorrido frecuentes, una predicción de abandono en los primeros segundos de una visita, una indicación del riesgo de fuga entre visitantes recurrentes, valores de visitante basados en objetivos establecidos por el operador y anomalías en las cifras diarias. Un modelo de lenguaje formula frases breves e informes sobre los visitantes, así como sugerencias para la redacción de una oferta, en nuestros propios equipos, en la misma red local y en la misma ubicación que nuestro servidor, a partir de resultados calculados previamente; no se envía nada a un servicio externo de IA. Cuando el operador activa una oferta, la predicción de abandono puede hacer que se muestre una capa superpuesta al visitante. Ninguno de estos análisis da lugar a una decisión que produzca efectos jurídicos sobre usted o le afecte significativamente de modo similar (art. 22 del RGPD).

Los datos recogidos no se utilizan para crear perfiles entre distintos sitios web ni los utilizamos con fines publicitarios. Solo se combinan con datos de otras fuentes siguiendo instrucciones del operador del sitio web: el operador puede hacer que se importen cifras y sesiones de su propia cuenta de Google Analytics, que se conservan junto con las grabaciones, y puede transmitir su propio identificador de cliente.

7. Seguridad de los datos

Los datos procedentes de internet nos llegan mediante conexiones cifradas con TLS: HTTPS para la aplicación y la API, WSS para la conexión de grabación; las solicitudes sin cifrar se redirigen a HTTPS. Si no se puede establecer la conexión WebSocket, por ejemplo porque un proxy la bloquea, el script recurre a una conexión HTTPS ordinaria con las mismas comprobaciones; las capturas de página muy grandes también se cargan mediante HTTPS. Dentro de nuestra propia red local en la misma ubicación, las conexiones con la base de datos y con la caché no están cifradas; su acceso está restringido y no son accesibles desde internet. Los datos de los clientes se separan lógicamente por espacio de trabajo y proyecto, y cada vía de lectura y escritura incorpora esa restricción. El acceso requiere una cuenta individual, que puede protegerse opcionalmente mediante autenticación en dos pasos; un modelo de roles regula lo que cada cuenta puede ver y hacer, y la restricción se aplica en el servidor, no solo en la interfaz.

Se publica por separado una descripción completa de las medidas en las Medidas técnicas y organizativas.

8. Quién puede ver los datos

No vendemos, alquilamos ni comercializamos los datos de telemetría recogidos. El acceso se limita a:

• Los miembros autorizados del espacio de trabajo al que pertenece el sitio web, según su rol.
• Los titulares de un enlace para compartir. Un miembro autorizado puede crear un enlace que permita ver una sola grabación sin una cuenta. Dicho enlace se crea deliberadamente, se limita a esa única sesión, puede revocarse y puede tener una fecha de caducidad. Cualquier persona que tenga el enlace puede ver esa grabación – esa es su finalidad y conviene saberlo. Cada acceso a través de ese enlace se registra con la dirección IP completa y la identificación del navegador, para que siga siendo visible desde dónde se utilizó; el registro se elimina junto con el enlace, a más tardar 90 días después de que el enlace caduque o se revoque.
• Los subencargados, en el alcance limitado descrito en la lista de subencargados. En la propia grabación no interviene ninguno; sin embargo, se almacena una copia externa diaria de la base de datos y del archivo de grabaciones en Google (Google Cloud Storage, bucket en Varsovia). Desde el 11/08/2026, esa copia se cifra en nuestro propio servidor antes de transferirse; las claves permanecen con nosotros, Google no las recibe y no puede leer el contenido. La anterior carpeta de destino sin cifrar, que contenía las copias anteriores al 11/08/2026, se eliminó el 12/08/2026.
• Los destinatarios elegidos por el operador del sitio web. El operador puede activar interfaces a través de las cuales se transmiten elementos individuales a otras empresas – una herramienta de análisis o publicidad, un sistema de relaciones con clientes, un sistema de tickets, un sistema de marketing por correo electrónico, su propio almacenamiento, como un almacén de objetos o una hoja de cálculo, un gestor de incidencias y tareas, o una dirección que haya indicado el operador. Por regla general, lo que se transmite no es la propia grabación, sino un identificador y el nombre de lo sucedido; solo una exportación a la propia cuenta de BigQuery del operador puede incluir también, a petición del operador, los eventos individuales de la grabación. El operador decide por sí solo si esto sucede y a quién se envían; nosotros realizamos la transferencia siguiendo sus instrucciones.

Hay algo que debemos decirle sobre estos destinatarios y algo que no podemos decirle. Podemos decirle qué enviamos: los mismos elementos que el operador ya ve en su propio análisis y, según la interfaz, considerablemente menos – a una red publicitaria, por ejemplo, solo el identificador de clic o de cookie propio de esa red, el nombre y la hora del evento, en su caso un valor, la dirección de la página o la identificación del navegador – nunca su nombre, su dirección de correo electrónico ni su dirección IP.

Lo que no podemos decirle es qué ocurre allí después. El destinatario trata los datos con arreglo a sus propias condiciones y bajo la responsabilidad del operador que lo eligió – no bajo la nuestra. Cuánto tiempo conserva los datos, adónde los traslada y a quién se los transmite está fuera de nuestra influencia. Una solicitud de supresión que nos llegue tampoco surte efecto allí: suprime la copia que conservamos nosotros, no la copia que conserva el destinatario.

Si desea saber qué destinatarios están activados para un sitio web concreto, debe dirigirse al operador de ese sitio web. Es responsable de esa decisión y debe comunicársela en su propio aviso de privacidad. Sus derechos en relación con dicho destinatario se ejercen frente a ese destinatario.

Una sesión en curso puede seguirse en tiempo real por un miembro autorizado del espacio de trabajo mientras usted utiliza la página — no solo más tarde como grabación. No se da un aviso separado en el momento de la observación; se le informa aquí y mediante el consentimiento previo a cualquier grabación.

9. Plazos de conservación

Las grabaciones de sesiones se suprimen automáticamente cuando vence el plazo de conservación del plan del operador del sitio web:

• Gratis: 7 días · Small: 30 días · Business: 90 días · Enterprise: según lo acordado individualmente.
• Tras un cambio a un plan inferior, se aplica un período de gracia de al menos 30 días durante el cual se mantiene el plazo de conservación anterior más largo.
• El registro de la aplicación de nuestro propio sitio web (sección 10) se suprime al cabo de 60 días, los registros del servidor web al cabo de 14 días, los registros de seguridad al cabo de 72 horas y el registro de cambios al cabo de 60 días.
• Los valores de visitante derivados de las grabaciones y las frases breves formuladas a partir de ellos se suprimen al cabo de 60 días (en los proyectos Enterprise se aplica en su lugar la conservación del plan), los informes de visitantes al cabo de 180 días, la asignación de sesiones a perfiles de comportamiento al cabo de 180 días y el índice de búsqueda de los textos mostrados al cabo de 30 días. El agregado diario del mapa de clics – el número de clics por posición en una página y por día, sin sesión, identificador de visitante ni vista de página – se conserva durante 730 días y, por tanto, puede perdurar más que la grabación; no contiene ninguna referencia a una persona.
• De los registros de aceptación de documentos contractuales, se conserva la aceptación más reciente de una cuenta existente mientras exista la cuenta; las aceptaciones anteriores, los avisos y los registros de cuentas eliminadas se suprimen 730 días después de la aceptación correspondiente. Las solicitudes de soporte y la aceptación de las reglas de grabación específicas de cada región se suprimen 730 días después de la solicitud o aceptación correspondiente.
• Las sesiones identificadas como acceso automatizado pierden su grabación al cabo de 1 día; la propia sesión se suprime al cabo de 14 días. En los proyectos de una cuenta del Plan Gratuito marcada como sospechosa de abuso (sección 10), solo se graba una parte de las visitas y las grabaciones se eliminan al cabo de 1 día.
• Los enlaces para compartir se suprimen junto con el registro de sus accesos 90 días después de su caducidad o revocación, el registro de entrega de las interfaces activadas por el operador al cabo de 30 días y los datos importados de Google Analytics al cabo de 180 días.
• Cuando finaliza una cuenta de Cliente, los datos asociados se suprimen en un plazo de 30 días. El Cliente inicia la eliminación en los ajustes de la cuenta; no se requiere ninguna solicitud por correo electrónico. Primero se archiva la cuenta: el acceso termina de inmediato, ya no se graba ni se muestra nada y, durante 30 días, aún podemos restaurarla a petición del Cliente si la eliminación fue un error. Transcurrido ese plazo, se suprime de forma permanente; al iniciar la eliminación, el Cliente también puede elegir la supresión permanente inmediata. Un proyecto o un espacio de trabajo que el Cliente elimina también se archiva primero durante 30 días y puede restaurarse en el panel durante ese tiempo. Se conservan deliberadamente tres cosas, porque la ley lo exige o porque documentan una decisión y no a una persona: el registro de aceptación de estos documentos, el registro de seguridad y de cambios (con la referencia al usuario eliminada) y las solicitudes de soporte. Las solicitudes de soporte se conservan, incluida la dirección de correo electrónico del remitente. Documentan lo que se preguntó y respondió y son necesarias para la formulación, el ejercicio o la defensa de reclamaciones; la base jurídica es el interés legítimo conforme al art. 6(1)(f) del RGPD. El vínculo con la cuenta se elimina cuando se elimina la cuenta, pero no la propia solicitud. Un espacio de trabajo puede transferirse a otra cuenta en lugar de eliminarse junto con ella. La transferencia solo surte efecto cuando el destinatario la ha aceptado expresamente; la invitación caduca al cabo de tres días. Con la aceptación, el destinatario se convierte en propietario y, con ello, en la contraparte contractual del Responsable del tratamiento para ese espacio de trabajo, y desde ese momento se aplica el plan del destinatario — lo que puede acortar el plazo de conservación de las grabaciones que contiene.

Los registros de las decisiones de consentimiento se conservan más allá de la supresión de la propia grabación. No contienen datos de comportamiento – solo el hecho, la hora y la fuente de la decisión – y existen para que la decisión siga siendo demostrable.

Los registros de las decisiones de consentimiento se suprimen 730 días después de the withdrawal, pero nunca mientras alguna grabación siga haciendo referencia a ellos: mientras exista una grabación, debe existir su prueba.

Hay un plazo que supera a todos los demás y debe figurar aquí, no solo en el anexo técnico: el de la copia de seguridad. A diario se hace una copia externa de la base de datos y del archivo de grabaciones, que se conserva cifrada – se cifra en nuestro propio servidor antes de transferirse, incluidos los nombres de archivos y directorios, y MousePlayer conserva las claves; Google no las recibe. Además, se conserva una copia local sin cifrar durante 7 días en un soporte de almacenamiento separado en la misma ubicación. Las copias diarias se conservan durante 7 días y las semanales durante 364 días. Por tanto, todo lo que se suprime en el sistema activo permanece en esas copias hasta que caducan, como máximo 364 días después de la supresión. No se elimina nada de forma selectiva de una copia de seguridad: una copia es un archivo sellado cuya finalidad es ser una imagen fiel de un momento concreto, y modificarlo destruiría tanto esa propiedad como la prueba de que nadie lo ha manipulado. Las copias de seguridad no se utilizan para nada salvo para restaurar el sistema tras una pérdida y, cuando se restaura una, las solicitudes de supresión registradas para los visitantes se ejecutan de nuevo antes de que el sistema vuelva a estar en servicio.

Una cuenta de Cliente no finaliza únicamente a petición del Cliente. En el caso de una cuenta del Plan Gratuito – con su propio plan gratuito y sin pertenecer a ningún espacio de trabajo cuyo propietario tenga un plan de pago –, avisamos por correo electrónico cuando lleva 24 meses sin utilizarse; si no se inicia sesión en un plazo de 30 días, la cuenta se elimina. A diferencia de una eliminación iniciada por el propio Cliente, no se archiva primero, sino que se suprime de forma permanente de inmediato. Basta con iniciar sesión para evitarlo. La eliminación solo se produce después de un aviso que se haya entregado; las cuentas de planes de pago no se eliminan por inactividad.

10. Cuando visita nuestro propio sitio web

Todo lo dicho hasta ahora describe lo que sucede en los sitios web de nuestros Clientes, donde actuamos como encargado del tratamiento. En el propio mouseplayer.com somos el responsable del tratamiento. Aquí se expone qué se trata allí — por separado, porque son dos roles distintos y mezclarlos crea precisamente la confusión que este documento pretende evitar.

La demostración de la página de inicio

La página de inicio ofrece una demostración de lo que hace MousePlayer. No es una representación, sino el servicio real: tras su consentimiento, transmite la posición del puntero de su ratón y sus clics a nuestro servidor y los muestra — junto con un identificador de sesión asignado aleatoriamente y el país obtenido de su dirección IP — a las demás personas que tienen la página abierta en ese momento. A su vez, usted ve los punteros de esas personas. No se transmite su dirección IP, sino solo el país obtenido a partir de ella; las posiciones del puntero y los clics no se almacenan y solo el intento de conexión se registra en el registro de seguridad (sección 2). Sin consentimiento no se transmite ni se muestra nada; en su lugar aparece el motivo, junto con una forma de volver a los ajustes. La base jurídica es su consentimiento conforme al art. 6(1)(a) del RGPD, que puede retirar en cualquier momento mediante “Configuración de cookies” en el pie de página; la retirada detiene la transmisión inmediatamente.

Protección frente al acceso automatizado

En las páginas de inicio de sesión, registro, restablecimiento de contraseña, formulario de soporte y facturación utilizamos Google reCAPTCHA para impedir el acceso automatizado. Su dirección IP y la información sobre su dispositivo y su comportamiento en la página se transmiten a Google y se evalúan allí; el proveedor es Google Ireland Limited y se realiza una transferencia a Google LLC en Estados Unidos; esta se basa en la decisión de adecuación relativa al Marco de Privacidad de Datos UE-EE. UU. y, alternativamente, en cláusulas contractuales tipo. La base jurídica es nuestro interés legítimo en prevenir abusos conforme al art. 6(1)(f) del RGPD. Sin esta protección, el inicio de sesión y el formulario de soporte quedarían expuestos a ataques automatizados.

Cuenta, facturación y soporte

Para crear una cuenta recogemos el nombre, la dirección de correo electrónico y el tipo de cuenta (empresa o particular); para las cuentas de empresa, los datos de la empresa y, cuando se dispone de él, el número de identificación a efectos del IVA (NIF-IVA); facilitar el número es voluntario. Sin nombre, dirección de correo electrónico y – para las cuentas de empresa – datos de la empresa no podemos crear una cuenta; usted no está obligado a facilitarlos, pero son necesarios para celebrar el contrato. Comprobamos los números facilitados a través del Sistema de Intercambio de Información sobre el IVA (VIES) de la Comisión Europea; el código del país y el número se transmiten a la Comisión y se almacena el resultado – para algunos Estados miembros, junto con el nombre y la dirección que constan allí. Opcionalmente, puede cargar un logotipo de empresa; es visible para su cuenta, para los miembros de los espacios de trabajo de los que es propietario, para las personas con una invitación abierta a uno de esos espacios de trabajo y para nuestra administración. Los cambios en estos datos se registran con la hora, la persona que actúa y la dirección IP, para que siga siendo posible rastrear quién cambió qué. La base jurídica es la ejecución del contrato conforme al art. 6(1)(b) del RGPD y, para la conservación exigida por ley, el art. 6(1)(c) del RGPD. Stripe procesa los pagos; no recibimos los datos de pago completos. El procesamiento de pagos aún no está en funcionamiento; actualmente no se realiza ningún pago. Cuando lo esté, Stripe recibirá el nombre y la dirección de correo electrónico con cada compra y, en su caso, también la dirección de facturación y el NIF-IVA; usted introduce sus datos de pago directamente en Stripe. El acuerdo de tratamiento de datos con Stripe está en vigor desde el 01/08/2026. La parte contratante es Stripe Payments Europe, Ltd. (Irlanda); las transferencias a Stripe, Inc. en Estados Unidos se basan en el Marco de Privacidad de Datos UE-EE. UU. y, alternativamente, en cláusulas contractuales tipo.

Durante el registro, para evitar cuentas creadas de forma abusiva, instalamos la cookie _mp_did que contiene un identificador de dispositivo aleatorio (dos años) y almacenamos ese identificador con su cuenta; también comprobamos si la dirección de correo electrónico pertenece a un proveedor de direcciones desechables. Si el identificador de dispositivo ya pertenece a otra cuenta o la dirección es desechable, la cuenta se marca como sospechosa de abuso. En una cuenta así marcada del Plan Gratuito, solo se graba una parte de las visitas a sus sitios web y las grabaciones se eliminan al cabo de 1 día. Si considera que la marca es incorrecta, póngase en contacto con nosotros para que podamos revisarla. La base jurídica es nuestro interés legítimo en proteger el uso gratuito frente a abusos (art. 6(1)(f) del RGPD).

Si nos escribe a través del formulario de soporte, almacenamos su dirección de correo electrónico, su mensaje y su dirección IP completa, sin truncar. La dirección completa sirve para defender este canal frente a abusos — sin ella no se pueden detectar ni detener los envíos masivos o repetidos, las amenazas ni otros perjuicios similares. La base jurídica es el art. 6(1)(b) del RGPD si usted es cliente; en caso contrario, el art. 6(1)(f) del RGPD.

Para responderle, podemos hacer que se traduzca su mensaje y se prepare un borrador de respuesta. Ambas tareas las realiza un modelo de lenguaje en nuestros propios equipos con tarjeta gráfica, en la misma red local y en la misma ubicación que nuestro servidor; no se envía nada a un servicio externo de IA. El modelo recibe el texto de su mensaje, el tema que seleccionó, si tiene una cuenta y la ruta de la página desde la que escribió; las direcciones de correo electrónico y las secuencias de seis o más dígitos se sustituyen previamente. No recibe su dirección IP ni su dirección de correo electrónico. Nunca se envía un borrador automáticamente: un miembro de nuestro equipo lo lee, lo corrige cuando es necesario y decide si se envía. Nuestra propia respuesta también puede traducirse a su idioma antes de enviarse. El texto preparado para el modelo y el resultado se almacenan con su solicitud y se eliminan con ella. La base jurídica es la misma que para la propia solicitud.

Inicio de sesión, seguridad y exportación de su cuenta

En cada inicio de sesión almacenamos la dirección IP, el navegador, el sistema operativo y el tipo de dispositivo, junto con el país y la ciudad obtenidos a partir de ellos. En los ajustes de la cuenta puede ver esta lista y finalizar inicios de sesión individuales o todos los demás; cambiar la contraseña finaliza todos los demás inicios de sesión. Las entradas se suprimen 90 días después de la última actividad. Si se inicia sesión en su cuenta desde un dispositivo que esta aún no conoce – reconocido por el navegador, el sistema operativo, el tipo de dispositivo y el rango de red de la dirección IP –, recibe un correo electrónico con estos datos; puede desactivar esta función en los ajustes. Registramos las direcciones IP desde las que se utiliza su cuenta, junto con el proveedor de red, para defenderla frente a abusos; una entrada se suprime 90 días después de la última aparición de la dirección. Opcionalmente, puede proteger el inicio de sesión con un segundo factor (códigos de un solo uso basados en el tiempo generados por una aplicación); el secreto necesario para ello se almacena cifrado y los códigos de recuperación solo como valores de comprobación. La base jurídica es el art. 6(1)(b) y (f) del RGPD.

En los ajustes puede, tras introducir su contraseña, descargar los datos almacenados para su cuenta como un archivo en un formato común y legible por máquina (art. 15(3) y art. 20 del RGPD).

Los correos electrónicos – como la confirmación de cuenta, el restablecimiento de contraseña, las invitaciones, las alertas de inicio de sesión, los avisos previos a la eliminación por inactividad, las notificaciones de cambios en documentos contractuales, las respuestas a solicitudes de soporte y los informes y alertas que usted haya activado – se envían a través del servicio de correo electrónico Namecheap Private Email. En el proceso se transmiten su nombre, su dirección de correo electrónico y el contenido del mensaje; Namecheap tiene su sede en Estados Unidos y la transferencia se basa en cláusulas contractuales tipo.

Registros del servidor web y de la aplicación

El servidor web registra cada solicitud a nuestras páginas: dirección IP, hora, dirección solicitada, código de estado e identificación del navegador. A diferencia de las grabaciones en los sitios web de los Clientes, aquí la dirección no se trunca; los registros sirven para el funcionamiento y la defensa frente a ataques y se suprimen al cabo de 14 días.

Además, la aplicación mantiene su propio registro de solicitudes a mouseplayer.com: dirección IP completa, hora, dirección solicitada, identificación del navegador, tipo de dispositivo, sistema operativo y navegador, así como el país, la ciudad y el proveedor de red obtenidos a partir de la dirección. Sirve para el funcionamiento y la defensa frente a abusos y se suprime al cabo de 60 días. El propio registro no contiene ningún identificador de cuenta; no obstante, cuando alguien ha iniciado sesión, la dirección IP utilizada más recientemente y la ubicación obtenida a partir de ella también se almacenan con su cuenta y se sobrescriben con solicitudes posteriores. La base jurídica de ambos registros es el art. 6(1)(f) del RGPD.

Los intentos fallidos de inicio de sesión y los eventos comparables relevantes para la seguridad se registran con la dirección IP completa y la identificación del navegador en un registro de seguridad para detectar y ralentizar ataques; se suprime al cabo de 72 horas. La base jurídica es el art. 6(1)(f) del RGPD.

Cookies y almacenamiento en este sitio web

En mouseplayer.com solo instalamos cookies necesarias para el servicio que utiliza o para una elección que ha realizado: PHPSESSID mantiene su sesión y finaliza cuando se cierra el navegador; mp_remember mantiene su sesión iniciada si elige esta opción al iniciar sesión (90 días); mp_lang recuerda el idioma seleccionado (un año), mp_view_mode y mp_per_page la vista de lista (30 días); _mp_did sirve para prevenir abusos durante el registro (véase más arriba); unos marcadores de seguridad de corta duración acompañan al inicio de sesión mediante inicio de sesión único (cinco minutos) y al acceso a servicios incrustados (cuatro horas). Su decisión en el cuadro de diálogo de consentimiento se almacena en la cookie consented (365 días); en su caso, el cuadro de diálogo conserva el idioma seleccionado en él en el almacenamiento de sesión hasta que se cierra la pestaña. En las páginas con reCAPTCHA, Google puede instalar sus propias cookies. No instalamos cookies publicitarias ni de análisis de terceros.

11. Sus derechos

Conforme al RGPD, usted tiene derecho a acceder a sus datos, a su rectificación o supresión, a limitar su tratamiento u oponerse a él y a la portabilidad de los datos. También puede presentar una reclamación ante una autoridad de control. La nuestra es el Presidente de la Oficina de Protección de Datos Personales (Prezes Urzędu Ochrony Danych Osobowych), ul. Stawki 2, 00-193 Warsaw, Poland – y también puede dirigirse a la autoridad del Estado miembro en el que viva o trabaje.

Derecho de oposición conforme al art. 21 del RGPD: Cuando tratamos datos basándonos en nuestro interés legítimo (art. 6(1)(f) del RGPD – por ejemplo, registros, prevención de abusos, reCAPTCHA, solicitudes de soporte de personas sin cuenta de cliente), puede oponerse a ese tratamiento en cualquier momento por motivos relacionados con su situación particular; en ese caso dejaremos de tratar los datos, salvo que podamos acreditar motivos legítimos imperiosos que prevalezcan sobre sus intereses, derechos y libertades, o que el tratamiento sirva para la formulación, el ejercicio o la defensa de reclamaciones. Puede retirar el consentimiento que haya otorgado en cualquier momento con efectos futuros; la licitud del tratamiento realizado hasta entonces no se ve afectada. Para las grabaciones en los sitios web de nuestros Clientes, dirija la oposición y la retirada del consentimiento al operador del sitio web correspondiente.

Se publica por separado una guía paso a paso: Acceso y supresión – Cómo identificar sus datos. Explica dónde se encuentra el identificador, cómo leerlo y qué elimina realmente una supresión.

A quién dirigir una solicitud. Para los datos grabados en un sitio web concreto, el operador de ese sitio web es el responsable del tratamiento y el primer punto de contacto; MousePlayer actúa siguiendo las instrucciones de ese operador y le prestará asistencia. Para su propia cuenta de MousePlayer, diríjase directamente a nosotros.

Las solicitudes relativas a grabaciones de sesiones pueden ejecutarse a partir del identificador de visitante o de la dirección de red conservada. Como las direcciones IP solo se almacenan de forma enmascarada, no siempre es posible identificar todas las grabaciones de una persona únicamente a partir de ellas; cuanto más se pueda delimitar una solicitud (sitio web, hora aproximada, página), más completa podrá ser su atención.

Contacto para solicitudes de protección de datos: office@mouseplayer.com

Ver y eliminar sus propios datos: En mouseplayer.com/my-data puede ver cuántas sesiones están almacenadas bajo su identificador, de qué período son y en qué sitios web — y solicitar que se eliminen. La página no muestra deliberadamente las propias grabaciones: el identificador es una clave sin contraseña y, de otro modo, cualquier persona que lo conociera podría ver su comportamiento.

Su identificador se conserva en el almacenamiento del navegador del sitio web en el que se le grabó. Los navegadores mantienen ese almacenamiento separado para cada sitio web y nosotros deliberadamente no lo unificamos — por eso nuestra página no puede leerlo por sí sola. Si se le grabó en el propio mouseplayer.com, encuentra su identificador sin que tenga que hacer nada. Si se le grabó en otro sitio web, llega a esta página a través del enlace del aviso de privacidad de ese sitio; y si ya conoce su identificador, puede introducirlo usted mismo en la página. Si falta ese enlace, póngase en contacto con el operador de ese sitio web: para sus datos, él es el responsable del tratamiento y nosotros le ayudamos a responder.

Si ha borrado los datos de su navegador, ya no se puede encontrar el identificador anterior — tampoco nosotros podemos hacerlo. Nosotros mismos no recogemos nada que permita vincular un identificador a una persona – salvo que el operador del sitio web haya transmitido su propio identificador de cliente; en ese caso, la vinculación puede hacerse a través de este y el operador es el punto de contacto adecuado. En los demás casos, conforme al art. 11 del RGPD no estamos obligados a recoger información adicional únicamente para volver a encontrarle.

12. Contacto y estado

Operador del Servicio: LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82 lok. 301, 90-437 Łódź, Poland · NIP PL7252266190

No se ha designado un delegado de protección de datos. Se evalúa si debe designarse uno conforme al artículo 37(1)(b) del RGPD, y la evaluación se documenta con su fecha y sus motivos en la sección 9 de nuestro Registro de actividades de tratamiento: se cumple sin discusión el requisito de observación habitual y sistemática – eso es lo que hace el Servicio –, mientras que, con las cifras actuales, no se cumple el de gran escala. Como el segundo punto depende del número de usuarios finales observados y ese número sigue el tráfico de los sitios web de nuestros Clientes, y no una decisión nuestra, se mide a diario; la evaluación se repite cuando se superan los 100000 usuarios finales al mes y, en cualquier caso, anualmente. Si se designa un delegado de protección de datos, los datos de contacto aparecerán aquí.

Esta política se revisa cuando cambia el tratamiento. En caso de divergencia entre las versiones lingüísticas, prevalece la versión en inglés.