Privacidad

Esta página describe lo que ocurre realmente, no el mínimo legal que hay que revelar. Si algo aquí es incorrecto, es un error.

Lo que nunca se guarda

• La factura que carga en el verificador de facturas. Ese archivo se abre y se lee dentro de su navegador y nunca se sube: ni a este servidor ni a ningún otro sitio. Solo se envían los identificadores que usted confirma en pantalla, exactamente igual que si los hubiera escrito a mano.

• El correo que pega en la comprobación de correo del proveedor. Se lee en su navegador y nunca se sube. Sí salen de su equipo dos consultas —la clave publicada del dominio remitente y su fecha de registro— y ambas llevan solo un nombre de dominio. Solo se guarda el resultado, y solo si crea un enlace compartible.

• Su IBAN completo. El dígito de control se calcula en memoria y se descarta. Si crea un enlace para compartir, solo se conservan el código de país, los dígitos de control y los cuatro últimos caracteres —por ejemplo DE89••••••••••••••3000—. La parte de la cuenta no se escribe en ningún sitio.

  La única excepción es una vigilancia que usted pide. Vigilar a un proveedor polaco por si sale de la lista blanca significa volver a preguntar al Ministerio de Hacienda si esa cuenta concreta figura en ella, y eso no se puede hacer sin el número. Solo para esas vigilancias se guarda la cuenta, no se usa para nada más y se elimina en cuanto deja de vigilar o borra su cuenta.

• Su dirección IP. Ni en una base de datos ni en un archivo de registro. El servidor web sí mantiene un registro de accesos —qué página se pidió, qué estado se devolvió y qué navegador o rastreador preguntó— porque, si no, que un buscador no pueda cargar el sitio sería invisible. Está configurado para descartar la dirección del cliente antes de escribir la línea, así que el registro no puede decir quién hizo una petición.

• Ninguna cuenta. No hay registro, así que no hay nada que asocie una comprobación con una persona.

• Cookies de publicidad, seguimiento o analítica. Ninguna, nunca. La única cookie que este sitio puede poner es la cookie de acceso de Supplier Watch descrita más abajo, y solo se pone si usted inicia sesión.

Si usa Supplier Watch

Una cuenta existe solo para recordar de qué quiere que le avisemos. Guarda su dirección de correo, los identificadores que vigila (en una vigilancia de lista blanca, también la cuenta bancaria, según lo anterior) y el último resultado de cada uno, para que una nueva comprobación pueda decir qué cambió. No hay contraseña.

La única cookie de este sitio

Iniciar sesión pone una sola cookie. Contiene un identificador de sesión aleatorio y nada más: ninguna dirección de correo, ningún nombre, nada sobre lo que vigila y nada que pueda leerse de ella. Es HttpOnly (ilegible para JavaScript), SameSite=Lax, se envía solo por HTTPS y caduca a los 30 días. Cerrar la sesión o borrar su cuenta la elimina de inmediato.

No hay aviso de cookies, y eso es deliberado, no una omisión. El consentimiento es obligatorio para las cookies que no son estrictamente necesarias: publicidad, seguimiento, analítica, cualquier cosa que mida el comportamiento. Una cookie cuya única función es mantenerle con la sesión iniciada en un servicio que usted ha solicitado expresamente queda exenta conforme a esas mismas reglas, y es la única cookie que este sitio es capaz de poner. No se guarda nada en su dispositivo mientras no inicie sesión. La analítica de aquí no usa cookies, como se describe más abajo.

Los enlaces de acceso son de un solo uso, caducan a los quince minutos y solo se guarda su hash. Eliminar su cuenta elimina de inmediato todo ello —dirección, vigilancias, resultados guardados y avisos— desde la propia página.

Lo que se guarda, y durante cuánto tiempo

Solo si una comprobación genera un enlace para compartir. Ese enlace contiene el resultado tal como se mostró: el número de IVA y la respuesta del registro, el IBAN enmascarado, el resultado de sanciones, el resultado del registro mercantil y los registros del dominio. Se elimina automáticamente a los 90 días.

Los enlaces de resultado no están listados, pero no son secretos. Cualquiera que tenga el enlace puede leerlo: ese es el sentido de poder reenviarlo a quien aprueba el pago. Están excluidos de los buscadores y del sitemap, pero trate el propio enlace como el control de acceso.

Si pide que le avisemos

Las páginas de resultado ofrecen enviarle un correo cuando cambie algo que afecte a estas comprobaciones. Es lo único de este sitio que pide algo sobre usted, y es opcional: todo funciona sin ello.

Si lo rellena, lo que se guarda es su dirección de correo, la fecha y qué tipo de página tenía el formulario. Ese es todo el registro. Sin nombre, sin empresa y sin vínculo con la comprobación que hizo: ni el proveedor, ni el número de IVA, ni el enlace del resultado. Ambas cosas nunca se escriben juntas, así que la lista no puede usarse para averiguar quién estaba mirando a qué proveedor.

Su dirección IP tampoco se guarda con ello. Algunos servicios conservan una como prueba de consentimiento; eso contradiría lo dicho arriba sobre direcciones IP, así que aquí no se hace.

La dirección se usa para enviar ese aviso y para nada más. No se vende, no se comparte ni se usa para crear un perfil, y nada de lo enviado lleva píxel de seguimiento. Para darse de baja, escriba a privacy@vetthisvendor.com; los envíos llevan además un enlace de baja con un solo clic.

Límite de peticiones

Las comprobaciones están limitadas a 20 por hora y dirección IP, para evitar que la herramienta se use para saturar los registros de los que depende. Aplicarlo exige contar peticiones por dirección, así que existe un contador ligado a su IP en memoria durante como mucho una hora, y luego caduca. Nunca se escribe en disco ni se asocia con lo que comprobó.

Quién más ve lo que introduce

Ejecutar una comprobación implica necesariamente contactar con terceros:

• Número de IVA → el servicio VIES de la UE. Ve el número y la dirección IP de este servidor, no la suya. Los números GB no se envían a ninguna parte: el formato y el dígito de control se verifican localmente, lo cual es aritmética y no necesita red.

• Número de IVA, algunos países → la administración tributaria o el registro mercantil nacional, en los países que publican datos utilizables: dos formas, y la diferencia importa:

  • Nada de su comprobación sale de este servidor para Eslovenia, Estonia y Letonia. Sus registros se publican como archivos masivos, se descargan aquí periódicamente y se consultan localmente, de modo que la búsqueda nunca los contacta.
  • Se realiza una consulta en directo a Polonia, Rumanía, Chequia, Finlandia, Francia, Grecia y Bulgaria. Cada uno ve el número y la dirección IP de este servidor, no la suya.

• IBAN → nadie, en casi todos los casos. El dígito de control es aritmética, se calcula aquí y no se envía a ninguna parte.

  Polonia es la excepción, y es el único caso en que un número de cuenta sale de este servidor. El Ministerio de Hacienda polaco publica si una cuenta concreta pertenece a un contribuyente concreto, y la única forma de preguntárselo es enviarle el par: el NIP y el número de cuenta, en la forma nacional NRB. Esa petición lleva la dirección IP de este servidor, no la suya. Solo se hace cuando usted ha facilitado tanto un número de IVA polaco como una cuenta, porque ese es el único caso en el que hay algo que preguntar.

  Esto es un cambio respecto a cómo funcionaba antes la comprobación, y la razón merece decirse: la versión anterior descargaba toda la lista de cuentas declaradas del proveedor y comparaba localmente, lo que enviaba menos, pero gastaba en ello una de las solo 100 peticiones diarias por servidor, de modo que unas cincuenta comprobaciones al día agotaban el cupo para todos los visitantes. La pregunta directa tiene un cupo cincuenta veces más generoso.

  Nada de la cuenta se escribe. La respuesta se guarda en caché el resto del día bajo una clave derivada del par, en memoria y no en la tabla de resultados, y el número de cuenta completo nunca se almacena en un resultado guardado: véase la regla de enmascaramiento de más arriba.

  Cuando el registro diario publicado por el Ministerio está replicado en este servidor, a veces una cuenta puede comprobarse sin contactar con ellos en absoluto. Ese archivo contiene resúmenes de un solo sentido en lugar de números de cuenta, así que la comprobación es aritmética hecha aquí. Donde responde, el resultado lo dice, porque no lleva número de referencia del Ministerio y habla del día en que se publicó el archivo, no de este momento.

• Nombre de la empresa → el registro británico gestionado por Companies House para un proveedor británico, o el registro francés recherche-entreprises para uno francés. El que se use ve el nombre y la dirección IP de este servidor, no la suya. Para un proveedor de cualquier otro país el nombre no se envía a ninguno de los dos, porque ninguno lo cubre. El cribado de sanciones es aparte y no envía el nombre a ningún sitio: se ejecuta contra una copia de la lista de la UE alojada en este servidor.

• Dominio → consultas DNS, resueltas desde este servidor. Los servidores de nombres del propio dominio ven la consulta.

• Dominio → una consulta al registro RDAP para la antigüedad, cuando está disponible.

Analítica

Las visitas se cuentan con una instalación de analítica autoalojada y sin cookies que corre en la misma máquina. Registra la ruta visitada, el sitio de referencia y un tipo de dispositivo aproximado. No almacena direcciones IP, y los visitantes se identifican mediante un hash rotatorio en el servidor y no por algo persistente. Las cadenas de consulta se eliminan antes de registrar una visita, porque pueden contener un número de IVA o un dominio.

También se registran unos pocos eventos para poder saber si la herramienta funciona de verdad para la gente: que una comprobación empezó, que terminó, que falló, que se leyó una guía, que se abrió un resultado compartido. Solo llevan formas: qué campos se rellenaron y qué estados se devolvieron (por ejemplo «válido», «servicio no disponible», «sin coincidencias»).

Nunca llevan nada de lo que usted escribió. Ningún número de IVA, ningún IBAN —ni siquiera enmascarado—, ningún dominio, ningún nombre de empresa. Los enlaces de resultado se registran como /result sin el identificador, así que los datos de analítica no pueden usarse para abrir la comprobación guardada de nadie.

Dónde se ejecuta

En un único servidor en Helsinki, Finlandia, dentro de la UE. Nada está en una plataforma de nube de terceros, y la base de datos está en la misma máquina que la aplicación.

Eliminar un resultado

Los resultados caducan solos a los 90 días. Si necesita que uno desaparezca antes, envíe el enlace a privacy@vetthisvendor.com y se eliminará. El enlace es todo lo necesario: no hay cuenta que identificar, y no se guarda nada que permita encontrar su resultado sin él.