Política de privacidad
Última actualización: 19 de octubre de 2026.
1. Responsable del tratamiento
- Titular
- OSCAR SANTOS SANCHEZ
- NIF/CIF
- 72482466J
- Domicilio
- Plaza España, 12, Bajo. 06660 Fuenlabrada de los Montes (Badajoz), España
- Correo de contacto
- info@lista400.com
Correo de privacidad y ejercicio de derechos: info@lista400.com.
Sitio web: https://lista400.com.
2. Ámbito del servicio y tratamiento de números telefónicos
lista400.com es un directorio colaborativo enfocado en identificar llamadas del rango comercial y corporativo 400.
Los números del rango 400 se presentan en el sitio como números destinados a servicios corporativos y comerciales. La publicación de un número o de una opinión no implica por sí sola que cualquier información asociada quede automáticamente fuera de la normativa de protección de datos. Se prohíbe publicar datos personales de particulares.
Filtro local y moderación manual previa: toda opinión pasa por revisión y aprobación manual antes de publicarse. La plataforma ejecuta filtros automáticos locales, sin remitir el texto a proveedores externos ni a servicios de inteligencia artificial de terceros, para señalar contenido inadecuado o datos que puedan identificar indebidamente a personas físicas. Los filtros no sustituyen la revisión humana ni garantizan detectar todos los datos personales.
3. Datos recopilados, finalidades y conservación
En móvil, desliza horizontalmente para ver todas las columnas.
| Canal o funcionalidad | Categoría de datos | Finalidad | Base jurídica | Plazo de conservación |
|---|---|---|---|---|
| Búsquedas de números | Número 400 consultado; contador acumulado de consultas; fecha y hora de la última búsqueda. | Resolver la petición de búsqueda de la persona usuaria y reflejar el nivel de actividad de cada número comercial. | Ejecución del servicio solicitado (artículo 6.1.b RGPD), sujeto a revisión de su aplicación concreta. | Conservación continua a nivel estadístico en la ficha del número; no se asocia a una cuenta de usuario. |
| Envío de opiniones y reportes | Número 400 consultado; texto descriptivo de la llamada; valoración y tipo de llamada; identificador de quién llamó y nombre público asignado, ambos opcionales; estado de moderación e historial interno de revisión; contador de utilidad (Me gusta). No se solicita ni almacena correo electrónico ni teléfono para opinar. | Publicar la experiencia comunitaria respecto a la llamada comercial recibida. | Consentimiento al remitir voluntariamente el reporte (artículo 6.1.a RGPD); debe corresponder con la información y el control que muestra el formulario. | Opiniones e historial de revisión: mientras la opinión permanezca publicada. Las opiniones rechazadas o spam se eliminan a los 90 días. Al retirar una opinión ya publicada, se elimina el texto y las copias que lo contengan; solo se conserva un registro restringido de metadatos durante 3 años desde la retirada. |
| Formulario de contacto | Nombre; correo electrónico; asunto y contenido del mensaje; marcas temporales de recepción y lectura. | Gestionar consultas, peticiones técnicas o solicitudes de moderación desde la base de datos interna de PostgreSQL y el panel de administración. No se generan envíos automáticos de correo. | Consentimiento al enviar la consulta (artículo 6.1.a RGPD), de acuerdo con la información que acompaña al formulario. | Máximo 12 meses desde la recepción, aunque la consulta siga sin resolverse; después se elimina de la bandeja activa. |
| Control de límites y seguridad antiabuso | Huella seudónima HMAC generada a partir de la IP recibida o de un identificador firmado por el proxy; recurso afectado; fechas de creación y caducidad. La tabla no conserva la dirección IP en texto claro. | Aplicar límites de tasa a búsquedas, opiniones, contacto y votos, reduciendo abusos, ataques y spam masivo. | Interés legítimo (artículo 6.1.f RGPD) en proteger la estabilidad, disponibilidad y seguridad del servicio, sujeto a la ponderación correspondiente. | Expiración y borrado automático en un plazo máximo de 24 horas. |
| Estadísticas agregadas y banners | Totales diarios de visitas, búsquedas, opiniones e interacciones; contadores de impresiones y clics en el banner patrocinado de Soluahorro; tipo de evento y ruta consultada. Las estadísticas no registran identificadores individuales, aunque la ruta de una ficha puede contener el número 400 consultado. | Evaluar el volumen de actividad del portal y medir el impacto del patrocinio sin construir perfiles de navegación. | Interés legítimo (artículo 6.1.f RGPD) para analizar el servicio y el patrocinio, sujeto a revisión de la ponderación. | Conservación indefinida de los totales agregados, conforme al criterio elegido para las métricas del portal. |
| Registros técnicos de aplicación | Identificador de petición (Request ID); método HTTP; ruta solicitada; código de respuesta. Los registros internos no guardan la dirección IP ni el cuerpo de los formularios enviados. El proveedor de despliegue puede generar sus propios registros. | Depuración de incidencias técnicas y monitorización del rendimiento. | Interés legítimo (artículo 6.1.f RGPD) en la gestión y diagnóstico de errores. | Conservación temporal según el ciclo operativo del proveedor de despliegue. |
| Avisos push del panel de administración | Suscripción técnica del dispositivo del administrador; datos de alerta, que pueden incluir número 400, valoración, tipo y texto de la opinión. | Notificar al administrador nuevas opiniones pendientes de moderación. | Interés legítimo (artículo 6.1.f RGPD) en facilitar la moderación ágil de contenidos. | Mientras la suscripción permanezca activa en el navegador o hasta su desactivación. |
| IP y hora de envío de opiniones y mensajes | Dirección IP resuelta por el servidor y fecha/hora de recepción en UTC, asociadas al registro del envío; no se recogen para cada visita. | Prevenir abusos, investigar incidencias y conservar la trazabilidad técnica de opiniones y consultas. | Interés legítimo del titular (artículo 6.1.f RGPD), sujeto a la ponderación y documentación correspondientes. | Máximo 12 meses en la base de datos activa desde el envío. La IP de una opinión se elimina aunque el texto aprobado siga publicado; los mensajes se eliminan con su IP al cumplirse 12 meses o antes si se borran manualmente. Las copias de seguridad pueden seguir el ciclo de rotación del proveedor, que debe limitarse y revisarse antes de producción. |
Las bases jurídicas indicadas reflejan el criterio descrito para el servicio. El consentimiento debe obtenerse de forma válida cuando se utilice esa base; el interés legítimo debe documentarse y ponderarse antes de utilizarse como base definitiva.
La IP de envío no se muestra públicamente. Solo la persona titular puede verla en el panel de administración; las cuentas moderadoras no reciben este dato. Una IP, por sí sola, no acredita qué persona concreta redactó o envió un contenido.
4. Moderación manual y normas de contenido
Revisión previa obligatoria: toda opinión y nombre público opcional pasa por revisión manual antes de publicarse. El contenido pendiente, rechazado o marcado como spam permanece inaccesible para los visitantes. Las aportaciones rechazadas o detectadas como spam se conservan en el historial interno un máximo de 90 días para el control de incidencias y después se eliminan.
Filtro local sin inteligencia artificial externa: la web utiliza reglas de filtrado ejecutadas en el propio servidor para señalar patrones no permitidos, sin remitir el texto a proveedores externos de inteligencia artificial.
Opiniones aprobadas e historial: las opiniones aprobadas y su historial de revisión se conservan mientras el reporte permanezca publicado, para mantener la trazabilidad de la moderación. Los metadatos de opiniones retiradas se conservan de forma restringida durante 3 años desde la retirada; ese plazo es el criterio operativo elegido para el servicio y no se presenta como un plazo legal obligatorio.
Prohibición de datos personales: las personas usuarias tienen prohibido introducir datos identificativos de particulares —como nombres completos, números residenciales o domicilios— en los comentarios. La administración retirará esos datos antes de aprobar una aportación cuando sea posible conservar el resto del relato.
5. Proveedores tecnológicos y terceros
Alojamiento y base de datos: la web de producción, su API y la base de datos PostgreSQL se alojan en Railway, en la región europea EU West. La vista previa de desarrollo se ejecuta en Replit y está separada de producción.
Protección anti-spam (ALTCHA): la validación criptográfica de formularios mediante prueba de trabajo se procesa y verifica en la infraestructura de la aplicación, sin conectar con un proveedor externo de captcha ni cederle metadatos de navegación.
Banner de patrocinio (Soluahorro): al interactuar con el banner, el navegador se dirige al sitio web del anunciante, desde cuyo momento se aplican sus condiciones y políticas. El enlace de patrocinio no incorpora herramientas de retargeting de terceros en lista400.
Imágenes de noticias y banners: la administración puede subir archivos directamente al panel. Se almacenan en Cloudflare R2, en un contenedor de lista400 con jurisdicción de la Unión Europea, y se sirven mediante la web. Las imágenes publicadas son accesibles al público; los archivos no publicados requieren autorización. Las subidas se convierten a WebP y se eliminan sus metadatos. No deben incluir datos personales o imágenes de personas sin una base jurídica válida y los permisos necesarios. Si se utiliza una imagen externa por URL, el navegador conecta con el servidor de ese tercero, que puede recibir datos técnicos de la conexión.
Servicios push para administración: las notificaciones se envían mediante el servicio push del navegador o sistema operativo correspondiente, que puede implicar a Google, Apple, Mozilla o Microsoft.
Copias de seguridad propias: se realizan automáticamente cada 6 horas y se conservan durante un máximo de 15 días. Incluyen la base de datos y los archivos subidos a lista400, se cifran mediante AES-256-GCM y se guardan en un contenedor privado de Cloudflare R2 con jurisdicción de la Unión Europea, separado del de imágenes. El acceso está restringido al titular autorizado. Los registros temporales de límites, sesiones y cachés no forman parte de estas copias. Los borrados se aplican a la base activa; una copia anterior puede conservar datos hasta agotar esos 15 días. Al restaurar se reaplican los registros de supresión y los plazos de conservación para no reactivar datos eliminados. Este plazo corresponde a las copias propias de lista400 en R2, no a posibles copias independientes del proveedor de alojamiento, cuyos ciclos deben verificarse por separado.
6. Transferencias internacionales de datos
Se han seleccionado EU West para los servicios de Railway y la jurisdicción de la Unión Europea para los contenedores R2 de lista400. Esa elección no permite afirmar por sí sola que todo acceso de soporte o tratamiento de subencargados quede dentro del Espacio Económico Europeo. Para los tratamientos que constituyan una transferencia internacional deben comprobarse y documentarse las garantías aplicables conforme al capítulo V del RGPD y a los contratos y condiciones vigentes de Railway y Cloudflare; no se presume automáticamente una decisión de adecuación ni una garantía contractual concreta.
7. Cookies y tecnologías de almacenamiento local
Visitantes públicos: no se utilizan cookies de análisis, telemetría de terceros ni cookies publicitarias. sessionStorage guarda de forma provisional el borrador de la opinión en el dispositivo y se elimina al cerrar la pestaña o la ventana del navegador.
Panel de administración: se utiliza la cookie técnica esencial lista400_admin para autenticación y seguridad. Durante el paso de verificación de dos factores, el estado inicial de autenticación caduca como máximo a los 5 minutos; al completar la verificación, la misma cookie se renueva para la sesión autenticada, con un máximo de 24 horas o hasta 90 días si se marca el dispositivo como recordado. Las sesiones ordinarias caducan también tras 30 minutos de inactividad. Sus propiedades técnicas se detallan en la Política de cookies.
8. Ejercicio de derechos (ARSULIPO)
Cualquier persona puede ejercer los derechos de acceso, rectificación, supresión, limitación y oposición, así como solicitar la portabilidad cuando proceda o retirar su consentimiento:
- Vía de contacto: enviando un correo electrónico a info@lista400.com.
- Identificación del contenido: para solicitar la retirada o rectificación de un comentario publicado o de un nombre público, basta con indicar el número 400 y el texto afectado, sin necesidad de aportar datos personales complementarios.
Asimismo, si considera que sus derechos no han sido atendidos adecuadamente, puede presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) a través de www.aepd.es.
9. Actualizaciones de esta política
Esta política se actualizará cuando cambien los tratamientos, proveedores, plazos de conservación, herramientas de publicación de imágenes o configuración de copias de seguridad. La información deberá revisarse de nuevo antes de activar servicios externos que no estén descritos aquí.
Me gusta y redes compartidas
Para permitir que varias personas que comparten una conexión puedan apoyar una misma opinión desde sus propios navegadores, lista400 usa la cookie técnica propia `lista400_like`. Contiene un identificador aleatorio firmado por el servidor, no asociado a una cuenta y no empleado para publicidad, analítica o seguimiento. En la base de datos se guarda únicamente una huella HMAC del identificador junto con la opinión y las fechas del límite; ni la dirección IP ni el valor de la cookie se guardan en claro en esos registros. El límite es de un Me gusta por opinión y navegador durante cada periodo de 24 horas. La huella se elimina al vencer ese periodo y la cookie caduca, como máximo, a las 24 horas.
Seguridad del acceso al panel
La dirección IP del último acceso de la sesión de administración se guarda y actualiza cuando hay actividad para proteger la cuenta. Solo la cuenta administradora puede consultarla. Se elimina al vencer o revocar la sesión y no se incluye en las copias de seguridad.
Datos del titular actualizados: 18 de octubre de 2026