SurfCity.sv es un directorio de la costa del surf de El Salvador, operado por CORITO LABS, S.A.S. DE C.V. Esta página explica qué datos recoge el sitio en la práctica, no lo que diría una plantilla.
Casi todo lo que tenemos usted nos lo dio a propósito: un correo para el boletín, un nombre y un número de WhatsApp para reclamar un negocio, una nota explicando quién es usted. Lo demás es medición, y la mantuvimos corta a propósito.
Quiénes somos
El sitio lo opera CORITO LABS, S.A.S. DE C.V., responsable del tratamiento de todos los datos descritos en esta página. Las consultas y las solicitudes sobre sus datos van a info@surfcity.sv y las atiende una persona, no un formulario.
Datos que usted nos da
Puede leer el directorio sin tener cuenta. Estos son los momentos en que usted decide entregarnos algo, y en cada uno pedimos solo lo que hace falta.
- Cuenta: su correo y su nombre. Si entra con Google, recibimos el perfil básico que Google comparte: nombre, correo y foto de perfil. Las cuentas y las sesiones se guardan en el esquema neon_auth de nuestra base de datos, con un servicio administrado. Sirven para reconocerlo cuando vuelve y para vincular un listado con su dueño.
- Reclamo de un listado: su nombre, su correo, el número de WhatsApp del negocio, el cargo que tiene en él, una nota libre donde explica qué relación tiene con el negocio, el idioma en que estaba navegando y la cuenta con la que había iniciado sesión. Lo usamos para revisar el reclamo y para contactarlo al respecto.
- Envío de un evento: su nombre y su número de WhatsApp, para confirmar detalles o preguntarle algo antes de publicarlo.
- Boletín: su correo y en qué parte del sitio se suscribió. Cuando enviemos un boletín llevará enlace para darse de baja; mientras tanto, escriba a info@surfcity.sv y lo quitamos de la lista.
- Correos que nos escribe: lo que usted incluya en el mensaje. Lo que llega a info@surfcity.sv lo lee una persona y se conserva mientras la conversación siga siendo útil.
Pagos y registros de cobro
En este sitio no hay formulario de tarjeta ni pasarela de pago detrás. Los planes pagados se arreglan por fuera —transferencia bancaria o WhatsApp— y después un administrador registra el período.
De cada período pagado guardamos el monto, la moneda, la forma de pago, una referencia externa como el número de transferencia, una nota opcional, las fechas que cubre el período y el correo del administrador que lo registró. Nunca vemos ni guardamos números de tarjeta, porque no pasan por el sitio. Estos registros son la forma de saber que un listado está al día y son además registros contables que estamos obligados a conservar.
Fotos y contenido de los listados
Las fotos que se suben a un listado se guardan en un bucket privado de almacenamiento de objetos en Neon. El bucket no es público: las imágenes llegan al navegador únicamente a través de este sitio, en direcciones que empiezan con /photos/, nunca desde el dominio del proveedor de almacenamiento. Nadie llega a una foto adivinando una dirección de almacenamiento.
Todo lo que se publica en un listado —descripción, horarios, fotos, enlaces— es público por diseño. Para eso existe un directorio. No ponga en un listado nada que no quiera que lea un desconocido en la playa.
Cookies y Google Analytics
Este sitio usa Google Analytics 4, y Google Analytics instala cookies en su navegador. No le vamos a decir que el sitio no usa cookies, porque no sería cierto. Lo usamos para entender, en conjunto, qué páginas y qué zonas de la costa lee la gente.
Las páginas de los listados pueden mostrar un mapa de Google incrustado, y algunos listados un video de YouTube. Los dos se cargan desde Google solo cuando usted los abre, y en ese momento Google puede instalar sus propias cookies.
Iniciar sesión también requiere una sesión, para que el sitio sepa que usted sigue conectado al pasar de una página a otra. Esa es estrictamente necesaria: sin ella la cuenta no funciona.
La configuración de su navegador puede bloquear o borrar cookies, y Google publica una opción para desactivar Analytics. Bloquearlas no impide usar el directorio.
Las estadísticas que ve el dueño de un negocio
Quien tiene un listado reclamado puede ver cómo le va a su página. Esa medición la construimos sin cookies, por diseño, y vale la pena explicar exactamente cómo, porque no es lo común.
No instala ninguna cookie. No guardamos su dirección IP, y el valor que sí guardamos no permite recuperar una dirección IP con solo leerlo. Los valores de días distintos, y los de listados distintos, no coinciden entre sí, de modo que los datos no arman un historial de navegación. Sirve para responder cuánta gente vio un listado hoy.
- Cada visita se cuenta bajo un hash de una sola vía de su dirección IP, la cadena de identificación de su navegador, el listado que está viendo y una sal secreta que cambia todos los días. Como la sal cambia, el valor de ayer no coincide con el de hoy: los conteos de visitantes únicos funcionan dentro del día y no se arrastran de un día a otro.
- Junto a eso, cada evento guarda el tipo de evento, una clase general de dispositivo (celular, tableta o computadora), el idioma de la página y la zona de la costa. Nada más fino que eso.
- Si usted llegó desde otro sitio, guardamos solo el dominio de origen, por ejemplo el de un buscador. Nunca la dirección completa. Una dirección de origen completa puede llevar las palabras exactas que alguien escribió en un buscador, y preferimos no tenerlas.
- Los registros crudos se borran a los 90 días. Lo que queda es un total diario por listado, que ya no habla de ninguna persona.
Datos técnicos por el solo hecho de abrir una página
Como cualquier sitio web, este se sirve desde un proveedor, y servir una página implica manejar su dirección IP y la solicitud que envía su navegador. Nuestro proveedor de alojamiento, Vercel, procesa eso para entregar el sitio y conserva registros operativos de corta duración, usados para seguridad y para resolver fallas. No armamos perfiles con ellos.
Los formularios de inicio de sesión, de registro y de envío de eventos están protegidos con Cloudflare Turnstile, una verificación antispam que distingue a una persona de un bot. Revisa señales de su navegador únicamente para eso.
Las empresas que procesan datos por nosotros
Somos una operación pequeña y no tenemos servidores propios. Estas son todas las empresas que tocan sus datos por encargo nuestro, y para qué.
- Neon: nuestra base de datos, el servicio administrado de cuentas y el bucket privado donde se guardan las fotos de los listados. Alojado en Estados Unidos, región US East.
- Vercel: el alojamiento y la entrega del sitio.
- Resend: correo transaccional, enviado desde hello@surfcity.sv. Hoy eso significa avisos sobre reclamos de listados y sobre la renovación y el vencimiento de planes pagados. Cuando enviemos un boletín, también saldrá por Resend. Las respuestas y las solicitudes deben ir a info@surfcity.sv.
- Google: Google Analytics 4 para la medición del sitio, y el inicio de sesión con Google para quien elija esa opción. También el mapa de Google incrustado en las páginas de los listados y el video de YouTube en algunos de ellos, que se cargan desde Google solo cuando usted los abre y pueden instalar cookies de Google.
- Cloudflare: la verificación antispam Turnstile en los formularios de inicio de sesión, de registro y de envío de eventos.
Dónde se guardan sus datos
Nuestra base de datos, el servicio de cuentas y el almacenamiento de fotos están en Estados Unidos, en la región US East de Neon. Los proveedores de alojamiento, correo y analítica también operan fuera de El Salvador. Si usa este sitio desde El Salvador, sus datos se procesan en el extranjero; elegimos proveedores establecidos y los limitamos a los fines descritos arriba.
Cuánto tiempo guardamos cada cosa
La regla es sencilla: guardamos algo mientras esté cumpliendo una función, y no más.
- Registros crudos de estadísticas de listados: se borran a los 90 días. Después solo quedan los totales diarios agregados por listado.
- Suscripción al boletín: hasta que usted nos pida quitarlo, o se dé de baja cuando empiecen los envíos.
- Cuenta y sesiones: mientras exista la cuenta. Escriba a info@surfcity.sv y la cerramos y la eliminamos.
- Reclamos de listados: mientras se revisa el reclamo, y después como constancia de a quién se le dio el control de un listado.
- Registros de pago: se conservan como registros contables durante el plazo que exige la ley salvadoreña.
- Envíos de eventos: mientras el evento está pendiente y después de realizado, como parte del historial del calendario.
Sus derechos y cómo ejercerlos
Usted puede pedir una copia de los datos que tenemos sobre usted, pedir que corrijamos algo que está mal, pedir que los eliminemos, o retirar su consentimiento para el boletín. Escriba a info@surfcity.sv desde el correo en cuestión, díganos qué necesita y una persona se encarga.
En este sitio no hay un botón de eliminación automática, y no vamos a aparentar lo contrario. Es un trámite humano. Buscamos responder dentro de 30 días y puede que le hagamos una pregunta de vuelta para confirmar que la solicitud viene de usted.
Cerrar una cuenta no borra los registros contables de períodos ya pagados ni saca al negocio del directorio: un listado puede existir sin dueño vinculado, como ocurre con la mayoría.
Cambios a esta política y cómo contactarnos
Si cambia lo que recogemos, esta página cambia con ello y la fecha de arriba se mueve. No la retrasamos.
Esta política se rige por las leyes de El Salvador. Para cualquier cosa de esta página —una consulta, una corrección, una copia de sus datos, una eliminación— escriba a info@surfcity.sv. CORITO LABS, S.A.S. DE C.V., El Salvador.