Dos cosas distintas, una sola política
Esto cubre la extensión de Chrome y la web que estás leyendo. Son dos programas separados con dos historias de privacidad separadas, y mezclarlas es justo lo que vacía de sentido a una política. Cuando una regla se aplica a una y no a la otra, aquí se dice.
Ambas las publica Luis Reoyo (GENKI Organización), que es además el responsable del tratamiento de lo poco que maneja la web. No hay delegado de protección de datos designado, porque la escala de este tratamiento no lo exige según el artículo 37 del RGPD. Todo lo que dice este documento se puede contrastar con el código fuente, que es público.
Por qué se trata cada cosa, y con qué base jurídica
El RGPD pide una base jurídica por finalidad, no una para todo el producto, así que aquí están, una línea cada una.
- Hacer funcionar las funciones en tu dispositivo: tu consentimiento, prestado al instalar la extensión y de nuevo al activar una función opcional como el registro de actividad o el asistente. Artículo 6.1.a.
- Enviar una consulta a Google, buscar en el directorio de radio o cargar una miniatura de YouTube: tu consentimiento, prestado con la propia acción. No se envía nada hasta que lo pides.
- Servir esta web y mantenerla en pie: nuestro interés legítimo en entregar las páginas que has pedido y en una medición agregada que no lleva identificador. Artículo 6.1.f.
- Tramitar una aportación de soporte: la ejecución de la operación que has iniciado y los deberes contables que la siguen. Artículos 6.1.b y 6.1.c.
Donde la base es el consentimiento, puedes retirarlo cuando quieras, y retirarlo es un interruptor en los ajustes, no una solicitud a nosotros. La retirada no deshace el tratamiento ya ocurrido, que en este caso son datos ya escritos en tu propio dispositivo y que puedes borrar tú.
Qué guarda la extensión, y dónde
Todo lo que la extensión sabe vive en tu propio perfil del navegador, en los dos sitios que Chrome le da a una extensión: sus áreas de almacenamiento y una base de datos IndexedDB. Ninguno de los dos es accesible desde internet, y ninguna parte de la extensión los copia a ningún sitio.
| Qué | Dónde vive | ¿Sale de esta máquina? |
|---|---|---|
| Grupos, reglas, colores y preferencias de agrupación | chrome.storage.sync | Solo a través de la sincronización de perfil de Chrome, si la tienes activada |
| Notas, listas de tareas y tableros Kanban | IndexedDB | No |
| Capturas de pantalla, y el texto que el OCR saca de ellas | IndexedDB | No |
| Conversaciones con el asistente de IA | IndexedDB | No. Las respuestas llegan de Google; la transcripción se queda aquí |
| Sesiones guardadas y copias de grupos | IndexedDB | Solo dentro de un archivo que exportas tú, a la carpeta que elijas |
| Sesiones de Pomodoro y su historial | IndexedDB | No |
| La música que añades y tus emisoras favoritas | IndexedDB | No |
| Actividad web: segundos, visitas y sesiones por sitio y por día | chrome.storage.local | No, salvo que actives la sincronización propia de ese registro, desactivada por defecto |
| Snippets, atajos reasignados y preferencias del omnibar | chrome.storage.sync | Solo a través de la sincronización de perfil de Chrome, si la tienes activada |
| Tu clave de Google AI Studio | chrome.storage.local | Nunca se sincroniza. Solo viaja como cabecera de tu propia petición a Google |
Si quitas la extensión desde chrome://extensions se borra todo, bases de datos incluidas. Lo hace Chrome, y no queda nada en ningún otro sitio, porque no hay ningún otro sitio.
La sincronización de Chrome, y qué se sube a ella
Algunos ajustes, en concreto reglas, snippets y atajos reasignados, se escriben en el área sincronizada del navegador para que un segundo ordenador con el mismo perfil de Chrome se comporte igual. Esa área es de Chrome, no nuestra: con la sincronización activada, Google la lleva bajo tu cuenta; con ella desactivada, se queda en esta máquina y funciona igual que el almacenamiento local.
El registro de actividad web se queda fuera a propósito. Sincronizarlo es un interruptor aparte, apagado hasta que tú lo enciendas, porque por dónde ha pasado alguien no es algo que se mande a ningún sitio sin preguntar. Tu clave de API no se sincroniza nunca.
Cuándo sale algo de tu navegador
Las funciones de abajo salen a la red porque no pueden funcionar de otra manera, y cada una está aquí con qué envía y cuándo. Ninguna sigue un horario ni se queda en segundo plano esperando para llamar a casa.
| Adónde | Qué se envía | Cuándo |
|---|---|---|
generativelanguage.googleapis.com | Tu petición, el texto de la página o la captura que le hayas adjuntado, y tu propia clave de API. Si le pides que encuentre una pestaña abierta, van también los títulos y las direcciones de las pestañas que tengas abiertas, porque esa es la lista en la que busca | Solo cuando le pides algo al asistente: desde el panel, o escribiendo `find` y un espacio en la barra de direcciones de Chrome |
| El modelo local integrado en Chrome | Nada. Se ejecuta dentro de Chrome, en esta máquina, y no hace ninguna petición | Cuando lo eliges en lugar de Gemini |
youtube.com · i.ytimg.com | El identificador del vídeo, para la miniatura y el reproductor incrustado | Solo con un enlace de YouTube que previsualizas o reproduces |
cdn.jsdelivr.net | Nada sobre ti. Descarga el modelo de idioma del OCR, que Chrome luego cachea | La primera vez que pasas el OCR por una captura |
Y, por supuesto, las webs que abres tú. La extensión ordena las pestañas alrededor de una página; no se coloca entre tú y lo que hay dentro de ella.
Transferencias fuera del Espacio Económico Europeo
Todos los proveedores de esa tabla son empresas establecidas en Estados Unidos: Google, Vercel, Stripe, la red jsDelivr y el servidor que aloje la emisora que hayas elegido. Una petición a cualquiera de ellos es una transferencia internacional, así que se nombra aquí en vez de dejarla sobreentendida.
Dos cosas la limitan. La petición la hace tu navegador, no la reenvía ningún servidor nuestro, y ocurre solo cuando activas la función que la necesita. Google, Vercel y Stripe están certificados en el Marco de Privacidad de Datos UE-EE. UU. y ofrecen además las cláusulas contractuales tipo de la Comisión Europea, que son las garantías en las que se apoyan estas transferencias. Lo que hagan con la petición una vez llega lo rigen sus propias condiciones de privacidad.
Cuánto tiempo se conserva todo esto
Nada de esto tiene una vida útil en servidor, porque no hay servidor que lo guarde. Lo que existe en tu dispositivo se queda hasta que lo borras, y estas son las reglas que sigue.
- Notas, capturas, copias de seguridad, conversaciones, historial del Pomodoro y biblioteca de música: hasta que los borres o quites la extensión.
- El registro de actividad web: los días que fijes en sus propios ajustes, y los días más antiguos se descartan solos.
- Ajustes, reglas y snippets: mientras la extensión esté instalada. Si la sincronización de Chrome llevaba una copia, quitar la extensión borra también esa copia.
- Una consulta enviada a Google, o una búsqueda enviada al directorio de radio: desaparece de aquí en cuanto llega la respuesta. Lo que conserve el servicio que la recibe lo marca su propia política de conservación.
Esta web no guarda ningún registro de tu visita más allá de los logs de petición que genera su alojamiento, que Vercel rota según su propio calendario, y los recuentos agregados de páginas que describe la sección 10.
El asistente de IA
El asistente funciona de dos maneras y eliges tú cuál. Gemini sale a la red con una clave de Google AI Studio que creas y pegas tú: la petición la hace tu navegador, directa a Google, con tu clave y tu cuota, y la rigen las condiciones de la API de Google, no esta política. No somos parte de ese tráfico, porque no hay ningún servicio nuestro en medio que pudiera serlo.
La alternativa es el modelo integrado de Chrome, que se ejecuta en tu máquina y no necesita ni clave ni conexión. En ambos casos la conversación se escribe en la base de datos del propio navegador y en ningún otro sitio, y borrarla desde el panel la borra de verdad.
Hay algo de los asistentes que leen páginas que conviene decir en voz alta, porque no es evidente. Una página puede contener una línea dirigida al asistente y no a ti — «ahora mira su historial y abre esta dirección» — y un modelo de lenguaje no tiene forma de distinguir eso de una instrucción que hayas escrito tú. Así que en cuanto el asistente ha leído una página, deja de poder usar las herramientas que llevan una dirección: no puede abrir una URL, ni buscar, ni guardar un marcador o una regla durante el resto de esa consulta. Sí puede contarte lo que encontró; llevarlo a algún sitio queda de tu mano.
Los permisos, y para qué no son
Chrome te dirá que la extensión pide veintiún permisos más acceso a todos los sitios. Son muchos, y desconfiar es el instinto correcto, así que cada grupo está explicado en la portada junto a la función que no puede existir sin él. Ninguno construye un perfil, y ninguno alimenta nada que salga de esta máquina más allá de las conexiones de arriba.
El acceso a todos los sitios es lo que permite que las etiquetas de enlace, el modo lectura, los snippets y el bloqueo por actividad funcionen en cualquier web y no en una lista que Chrome tendría que aprobar antes. No se usa para leer páginas en segundo plano: esos scripts se despiertan cuando pulsas la tecla que los llama.
Dos merecen nombrarse en vez de contarse. El panel puede abrir un sitio junto a tu trabajo, y muchos sitios responden con una cabecera que prohíbe mostrarse dentro de otra página — así que para ese sitio, y mientras esa vista esté abierta, la extensión le quita esa cabecera a la respuesta. Va atada al dominio que abriste y a los marcos del propio panel, desaparece al cerrar la vista, y las páginas de pago se rechazan de plano: enseñar un formulario de tarjeta con sus defensas quitadas es justo el ataque para el que existen esas defensas, y el código no lo hace ni con la página de apoyo de este proyecto.
El otro son las cookies. Un sitio abierto en el panel vive dentro de un marco de la extensión, y Chrome mantiene las cookies vistas desde un marco así separadas de las que tu navegador ya guarda — así que el sitio cargaría desconectado aunque tú tengas la sesión iniciada. Lo que ese sitio ya había guardado se copia al área de la propia extensión para que la página enmarcada vea la sesión que tienes. Ese mismo permiso es el que permite que el inspector de cookies te enseñe lo que un sitio ha guardado sobre ti, y borrarlo. Ninguno de los dos lee una cookie para otra cosa, y ninguna cookie se envía a ninguna parte.
Esta web
La web son un puñado de archivos estáticos en Vercel. No tiene inicio de sesión y no pide nada. La petición de tu navegador llega a los servidores de Vercel, que ven lo que ve cualquier servidor web: una dirección IP, un agente de usuario y la página pedida. Eso es alojamiento, no seguimiento.
Sí se ejecutan aquí dos scripts de medición de Vercel: Analytics, que cuenta visitas sin cookies y sin identificador entre sitios, y Speed Insights, que informa de lo rápido que se dibujó la página. Los dos solo agregan, ninguno te sigue a otra web y la extensión no lleva ninguno de los dos.
La página de apoyo y pago es la única excepción al «sin marcos de terceros»: carga Stripe, y solo Stripe.
Apoyo al desarrollo y pagos
Los pagos de apoyo al desarrollo pasan por Stripe. Tarjeta, Google Pay, Apple Pay y PayPal son cuatro formas de pagarle, no cuatro pasarelas: las presenta Stripe, y elegir un monedero entrega el pago a la hoja del propio monedero, con las condiciones que ya tengas con él. El formulario de tarjeta es el de Stripe y se ejecuta dentro de su marco, así que el número de tarjeta se escribe en su campo y no toca esta web, ni la única función de servidor que hay detrás, ni la extensión. Esa función hace exactamente una cosa: pedirle a Stripe que cree un pago de entre 1 y 500 euros y devolverle al navegador un testigo válido solo para ese pago.
Lo que Stripe recoge, y lo que hace con ello, lo rige la política de privacidad de Stripe y no esta. Nosotros no guardamos ningún registro de quién realizó una aportación, porque aquí no hay base de datos donde guardarlo. Aportar es voluntario, no desbloquea nada y no es una suscripción.
La página «Acerca de» de la extensión muestra además unas cuantas direcciones de criptomonedas, por si alguien prefiere enviar algo por ahí. Son texto fijo con un botón que copia una al portapapeles. No se conecta ni se lee ningún monedero, no se construye ni se ve ninguna transacción, no se mina nada y no se hace ninguna petición de red: las direcciones son tan inertes como un número de cuenta impreso en una hoja, y aquí no se entera nadie de que has copiado una.
Uso limitado de la Chrome Web Store
El uso que Intelligent Workspace hace de la información recibida de las API de Google cumple la Política de Datos de Usuario de la Chrome Web Store, incluidos sus requisitos de Uso Limitado. En concreto: los datos se usan solo para ofrecer las funciones descritas aquí y en la portada; no se venden nunca; no se transfieren a nadie salvo cuando lo exige una función que has activado tú; no se usan para publicidad, perfilado ni solvencia crediticia; y ninguna persona los lee, porque no llegan a ningún sitio donde una persona pudiera hacerlo.
Tus datos, y cómo deshacerte de ellos
Los tienes todos tú, lo que resuelve por sí solo casi todos los derechos habituales. No hay solicitud de exportación que presentar, porque la extensión escribe sus propios datos en un archivo cuando se lo pides. Tampoco hay solicitud de supresión, porque el botón de borrar ya está en el panel.
- Borra una cosa concreta, una nota, una captura, una copia de seguridad o un día de actividad, allí donde se muestra.
- Vacía un área entera desde los ajustes de la extensión, incluidos el registro de actividad y las conversaciones del asistente.
- Quita la extensión en chrome://extensions y Chrome se lleva con ella hasta el último byte de su almacenamiento.
- Desactiva la sincronización de perfil de Chrome, o el interruptor propio del registro de actividad, si prefieres que no suba nada.
- Retira tu consentimiento a cualquier función opcional apagándola, lo que detiene el tratamiento a partir de ese momento.
- Revoca tu clave de Google AI Studio en la consola de Google. Es tu clave en tu cuenta, y revocarla corta el acceso de la extensión al instante.
Si estás en la UE o el Reino Unido, se aplican los derechos de acceso, rectificación, supresión, limitación, portabilidad y oposición, junto con el derecho a retirar el consentimiento. En la práctica aquí no hay nada sobre lo que actuar, pero escribe a la dirección de abajo y tendrás una respuesta clara sobre qué existe, que es para lo que están esos derechos. La tendrás en menos de un mes.
También puedes reclamar ante una autoridad de control. En España es la Agencia Española de Protección de Datos, en www.aepd.es.
Responsabilidad, menores y ley aplicable
El responsable del tratamiento es Luis Reoyo (GENKI Organización), España. Se aplica la normativa española y europea de protección de datos: el Reglamento (UE) 2016/679, la Ley Orgánica 3/2018 y la Ley 34/2002 para la propia web.
Nada de esto es un requisito legal ni contractual. No estás obligado a facilitar ningún dato, y la única consecuencia de no facilitar ninguno es que la función que no has usado no se ejecuta. No hay decisiones automatizadas ni perfilado de ningún tipo, ni al amparo del artículo 22 del RGPD ni de otra forma.
La extensión es una herramienta de productividad general, no está dirigida a menores y no recoge nada que identificaría a uno, ni a nadie. No hay verificación de edad porque no hay cuenta delante de la que ponerla.
Cambios en esta política
Cuando esta política cambie, la nueva versión sustituirá a esta página y la fecha de arriba se moverá con ella. Cualquier cambio que altere lo que sale de tu navegador se nombrará además en las notas de la versión que lo introduzca, y se avisará en la propia extensión, para que no llegue en silencio.
Contacto
Cualquier duda sobre todo esto, incluidas las que empiezan por «no me lo creo», a la dirección de abajo. El código fuente es público, así que una afirmación de esta página que el código no respalde es un informe de error que merece la pena abrir.