1. Qué recolectamos
- Dirección de email — para loguearte y contactarte sobre tus dominios.
- Seudónimo — elegido al registrarte. Usado como display handle. No tu nombre legal.
- Contraseña (hasheada) — argon2id, salteada. Nunca vemos el texto plano.
- Metadata de pago — ID de transacción cripto, monto, moneda. No tu dirección de wallet. Provista por OxaPay.
- Dirección IP — primera vez en signup, después en login. Truncada a /16 (IPv4) o /48 (IPv6) tras 7 días.
- Metadata de navegador — string user-agent, código de país (vía Cloudflare CF-IPCountry), timestamps de sesión. Usado para alertas de seguridad.
- Historia de login — últimos 12 meses de intentos de login exitosos y fallidos, mostrados en tu panel.
- Datos de registro de dominio — lo que le dices a la registry. La privacidad WHOIS oculta esto del WHOIS público donde sea soportado.
2. Qué no recolectamos
- Nombre legal.
- ID gubernamental.
- Número de teléfono.
- Dirección de facturación o envío.
- Detalles de tarjeta de crédito o routing bancario (no aceptamos esas formas de pago).
- Fecha de nacimiento.
- Cualquier otra cosa no en sección 1 arriba.
3. Por qué recolectamos lo que recolectamos
Para operar el servicio. El registro de dominio requiere una cuenta contactable. Los pagos requieren metadata del lado del proveedor. El monitoreo de seguridad requiere historia de login y geo aproximada. Eso es todo — sin publicidad, sin data brokers, sin "partners de analytics".
4. Con quién lo compartimos
Nadie, por defecto. Específicamente:
- Registries — datos mínimos necesarios para registrar un dominio. La privacidad WHOIS sustituye nuestro contacto genérico por el tuyo donde sea soportado.
- OxaPay — el procesador de pagos ve txid cripto + monto. No saben quién eres; nosotros no conocemos tu wallet.
- Backblaze B2 — backups encriptados. Nosotros tenemos las llaves; B2 ve cifrado.
- Tribunales competentes — solo cuando es legalmente compulso. Ver nuestro reporte de transparencia para cómo se vio el semestre pasado.
No corremos Google Analytics, Meta Pixel, Hotjar, Mixpanel, Segment, ni ningún tracker de terceros. No hay contenedor GTM en este sitio. Las cookies del navegador son solo de primera parte.
5. Dónde alojamos los datos
El stack de la aplicación corre offshore (Moldavia / Islandia según carga). Los backups encriptados van a Backblaze B2. La resolución DNS es anycast-distribuida. Nada de cara al cliente corre en AWS, GCP, ni Azure.
6. Retención de datos
- Cuentas activas: mantenidas mientras la cuenta esté activa.
- IPs en
users/login_history: truncadas a /16 o /48 tras 7 días. - Historia de login: 12 meses rolling.
- Cuentas cerradas: marcadas como eliminadas; campos PII limpiados dentro de 30 días.
- Backups: encriptados, rotación de 90 días.
- Registros de dominio: retenidos mientras el dominio esté registrado con nosotros.
7. Tus derechos
- Acceso — solicita un export JSON de todo lo que tenemos sobre ti, vía privacy@bunkerdomains.com.
- Eliminación — cierra tu cuenta desde /dashboard/profile. PII se purga dentro de 30 días. Los dominios quedan registrados hasta que expiren.
- Corrección — actualiza campos editables directamente en el panel.
- Portabilidad — las transferencias de dominio hacia afuera son sin restricción. Códigos EPP disponibles bajo demanda.
8. Cookies
Tres cookies de primera parte, todas funcionales:
auth_session— te mantiene logueado. HttpOnly, Secure, SameSite=Strict.bunker_cart— lleva el carrito anónimo mientras navegas.bunker_currency— tu moneda de display preferida.bunker_pre2fa— corta vida (10 minutos), usada durante login 2FA.
Sin cookies de terceros, sin tracking pixels, sin fingerprinting.
9. Niños
Nuestro servicio no está dirigido a menores. No recolectamos datos a sabiendas sobre personas bajo la edad de mayoría en su jurisdicción.
10. Cambios
Los cambios materiales a esta política reciben aviso de 30 días vía banner en el panel y email. El uso continuo después de la fecha efectiva cuenta como aceptación.
11. Contacto
Preguntas de privacidad: privacy@bunkerdomains.com. Compulsión legal: legal@bunkerdomains.com.