Política de privacidad

Digital Services LLC opera ForestVPN. Esta política cubre las apps de ForestVPN para iPhone, iPad, Mac y Apple TV, para teléfonos y tablets Android, y para Android TV, las apps de escritorio para Windows y Linux, el cliente de línea de comandos de Linux y la app de router, los servidores que transportan tu tráfico, y este sitio web.

Nuestro compromiso

ForestVPN no vende, usa ni revela a ningún tercero los datos descritos en esta política, para ningún fin, salvo lo estrictamente necesario para operar el servicio — es decir, Apple o Google para el pago, y los proveedores de infraestructura enumerados más abajo, cada uno actuando únicamente como encargado del tratamiento bajo nuestras instrucciones y contrato. No hacemos publicidad, no te perfilamos y no compartimos nada con corredores de datos, proveedores de analítica o redes de atribución. No hay ninguno en la app. Hay una excepción que no actúa como encargado nuestro: cuando el DNS de tu red falla o no se puede llegar a nuestros servidores en las direcciones que dio, la app puede preguntar a un resolvedor DNS público (Cloudflare, Google o Quad9) por la dirección de nuestros propios servidores, y ese resolvedor ve tu dirección IP con arreglo a su propia política de privacidad. Consulta Qué ocurre cuando te conectas.

La app no contiene ningún SDK de analítica, ningún SDK de atribución ni ningún identificador publicitario, en ninguna plataforma. En las plataformas Apple esto se declara en el manifiesto de privacidad de la app, que no declara ni seguimiento ni dominios de seguimiento. Declara diez tipos de datos. Nueve están marcados como vinculados a tu identidad: un identificador de usuario, un identificador de dispositivo (un seudónimo que se une a tu cuenta cuando asocias una), el historial de compras, la ubicación aproximada, contenido de atención al cliente, otro contenido del usuario, datos de diagnóstico, datos de rendimiento y otros datos de uso. Uno, la interacción con el producto, no está vinculado: el asistente de soporte cuenta desde qué pantalla se abrió, si elegiste compartir diagnósticos y si su respuesta resolvió el problema, sin ninguna etiqueta de dispositivo ni de cuenta. El formulario de Apple admite una sola respuesta por tipo de datos, así que los datos de diagnóstico y la ubicación aproximada están marcados como vinculados porque el informe que eliges enviar y los contadores de emisión de credenciales lo están, aunque los informes de ruta no. Nueve tipos se usan para el funcionamiento de la app, y ocho también para nuestros propios contadores operativos descritos en analítica. En Android, la app nunca solicita el identificador publicitario y no añade ningún SDK propio de analítica, atribución o notificación de fallos. La única biblioteca de terceros que se comunica con Google es la Google Play Billing Library, que Google exige para las compras dentro de la app y que opera bajo la propia política de privacidad de Google.

Lo que nunca tenemos

• Tu navegación. No existe ningún campo, en ningún sitio de nuestros sistemas, para los sitios que visitas, los nombres que buscas o las direcciones a las que te conectas. No es un periodo de retención corto: esa columna sencillamente no existe.
• Tu identidad. No hay dirección de correo, ni contraseña, ni número de teléfono, ni nombre. Una cuenta, si creas una, es un número aleatorio de 128 bits. La tabla de cuentas no tiene ningún campo de contacto de ningún tipo.
• Tu tarjeta. El pago ocurre en Apple o en Google, o — si compras en la web — en el procesador que elijas: Stripe, CloudPayments o NOWPayments. Apple nos da un recibo firmado y un token derivado del dispositivo; para una compra de Google Play, verificamos el token de compra que la app nos reenvía — junto con un token derivado del dispositivo asociado a la compra — directamente contra los propios servidores de Google, sin fiarnos nunca solo de la palabra de la app. Una compra en la web nos da un número de referencia de un solo uso que generamos nosotros mismos, nunca tu tarjeta. En cualquier caso, nunca vemos un número de tarjeta, y en un pago en cripto el procesador es la única parte que ve algo en absoluto. Consulta pagar con tarjeta o cripto.
• Permisos adicionales en Android. La app pide dos cosas en tiempo de ejecución: el propio cuadro de consentimiento del sistema para la conexión VPN y, en Android 13 y posteriores, permiso para mostrar notificaciones — solicitado una sola vez, la primera vez que te conectas, nunca en el arranque en frío — que cubre el estado de la conexión en curso, los avisos de que tu cuota de datos se está agotando o ha terminado, y los problemas de conexión. No pide tu ubicación ni tus contactos. Otros dos permisos que declara se quedan por completo en el dispositivo y nunca se nos envían: leer la lista de apps instaladas, para la pantalla de túnel dividido que excluye del túnel las apps que elijas, y el sensor de huella, de reconocimiento facial o de bloqueo de pantalla del sistema, para condicionar la revelación en pantalla de tu propio número de cuenta.

Qué vive en tu dispositivo

Una clave de máquina

En el primer inicio, la app genera un par de claves que se queda en el dispositivo: en el llavero del sistema en las plataformas Apple; en Android, en el almacenamiento privado de la app, cifrado con una clave guardada en el Android Keystore. Está marcada para que nunca salga de ese dispositivo — ni a tus otros dispositivos, ni a iCloud, y en Android tampoco a ninguna copia de seguridad ni de transferencia de dispositivo. No es un identificador publicitario y no se comparte con nadie. Guardamos un hash de su mitad pública, que es como se reconoce un dispositivo entre un inicio y otro.

En las plataformas Apple es permanente. Nunca se rota, y sobrevive a eliminar la app. Reinstalarla ahí no te da una identidad nueva — la app reinstalada presenta la misma clave y se reconoce como el mismo dispositivo. Es deliberado: es lo que impide que un solo dispositivo reclame un número ilimitado de cuotas gratuitas, y significa que desinstalar no es un reinicio ahí, algo que deberías saber antes de instalarla. En Android, la clave no sobrevive a desinstalar la app ni a borrar su almacenamiento. Una reinstalación genera una clave nueva y se registra como un dispositivo nuevo, y el registro del dispositivo antiguo se queda en nuestro lado, huérfano, bajo la retención que fija la tabla de abajo. La app también sustituye su clave una vez, en el mismo sitio, si nuestros servidores llegan a informar de que la antigua es desconocida.

Una clave de sesión

Cada ticket lleva su propia clave de sesión, generada en el dispositivo cuando se emite el ticket, antes de intentar ninguna conexión. Se guarda, cifrada, en el almacenamiento local propio de la plataforma — el llavero del sistema en las plataformas Apple, el almacenamiento privado de la app en Android — hasta que el ticket se usa o caduca, y un ticket de repuesto generado para la misma conexión puede compartir la clave del que respalda. Nunca sale del dispositivo salvo como su mitad pública.

Cuentas, suscripciones y cuotas

Un servicio emite credenciales de conexión y guarda los registros que necesita una suscripción. Contiene:

La fila de vinculación del ticket de arriba es la única excepción, y se indica aquí en lugar de omitirse de la tabla: mientras existe, nombra tanto tu dispositivo como la sesión a la que pertenece, que es lo que permite que una sesión liquidada se cargue contra tu cuota y que un dispositivo revocado se corte a mitad de sesión. Se elimina automáticamente, no a petición — una hora después de que se liquide la sesión que nombra, o cuando el propio ticket caduca sin usarse, lo que ocurra antes. Ninguno de estos registros, incluido ese, contiene un servidor de salida, la dirección desde la que te conectaste, ni a dónde fuiste: el servicio emisor nunca llega a saber nada de eso. Existen solo en el servicio independiente descrito en [qué ocurre cuando te conectas](#session), que no tiene forma de averiguar quién eres. La fila del informe de diagnóstico de arriba se guarda también en un tercer servicio independiente — una subida sin firmar que el servicio emisor nunca ve y no puede vincular a un dispositivo.

La credencial en sí

Para conectarse, tu dispositivo pide un ticket a este servicio. El ticket está firmado a ciegas: la firma se produce sobre un valor que nunca vemos, así que el ticket que presentas al conectarte no puede reconocerse como el que se te emitió. Lleva exactamente dos datos — qué plan lo firmó y qué clave de qué quincena se usó — y nada más. El servicio emisor nunca llega a saber una ubicación, una salida, una sesión, ni si un túnel llegó a establecerse.

Pagar con tarjeta o cripto

Apple o Google facturan cada suscripción comprada en la app, y nunca vemos un número de tarjeta. En las plataformas Apple, Apple nos envía un recibo firmado y un token derivado del dispositivo. En Android, antes del pago nuestros servidores dan a la app un token derivado de la clave del dispositivo; la app lo adjunta a la compra como el id de cuenta ofuscado de Google Play, y Google nos lo devuelve cada vez que verificamos la compra, de modo que la suscripción pueda emparejarse con el dispositivo que la compró — no lleva nombre, correo ni tarjeta. La app también reenvía a nuestros servidores el token de compra y el id de producto que le entrega Google Play, que verifican la compra directamente contra la propia API de Google en lugar de fiarse de la app; Google además nos envía por su cuenta una notificación en tiempo real de desarrollador cuando cambia una suscripción, que tratamos como una señal para volver a verificar con Google, nunca como prueba por sí sola. Una suscripción también se puede comprar en la web, mediante un procesador de tarjetas — Stripe o CloudPayments — o un procesador de cripto, NOWPayments, y esa vía es lo bastante distinta como para describirla aparte.

Cuando pagas en la web, generamos nosotros mismos un número de referencia de un solo uso y se lo entregamos al procesador — nunca tu número de cuenta. Según esta política, el número de cuenta es una credencial; ponerlo en el panel de un procesador de pagos, en las cargas de sus webhooks o en sus herramientas de soporte sería publicar una contraseña. La referencia caduca en una hora y, por sí sola, no abre nada.

Lo que guardamos de una compra en la web: qué procesador la facturó, el identificador de suscripción propio de ese procesador, el plan, la fecha hasta la que está pagada, y si se ha cancelado o revocado. Lo que nunca recibimos ni guardamos: tu nombre, tu correo, tu dirección de facturación, la huella de tu tarjeta o — en un pago en cripto — nada sobre ti en absoluto. El código que escribe una fila de pago no tiene ningún campo que pudiera guardar nada de eso; añadir uno sería un cambio visible y revisado en un archivo que tiene que tocar cualquiera que construya una vía de pago, no algo que un fallo pudiera hacer en silencio.

Dicho con toda la claridad que podemos: una solicitud de registros dirigida a nosotros produce un plan y una fecha hasta la que está pagado. La misma solicitud dirigida al procesador de pagos produce una persona y una tarjeta. Es deliberado. Es el precio de pagar en la web en lugar de a través de Apple o Google, y también es por lo que preferimos que estos datos los guarde una empresa construida para ello antes que también nosotros.

Cancelar una suscripción de una tienda de apps se hace en los propios ajustes de la tienda: Ajustes → Apple ID → Suscripciones en las plataformas Apple, o la pantalla de Suscripciones en la app de Google Play Store en Android. Una suscripción con tarjeta se cancela a través del propio portal de clientes del procesador, que te autentica por el correo que tiene — no por nosotros, ya que no tenemos ninguno. Un pago en cripto compra un periodo fijo y simplemente caduca; no hay nada que cancelar.

Si pierdes tu número de cuenta después de una compra en la web, soporte puede pedirle al procesador que te reembolse, pero no puede restaurar el acceso — no tenemos ningún correo ni contraseña de nuestro lado para demostrar que la compra era tuya. Un pago en cripto no se puede reembolsar en absoluto. Preferimos que leas estas dos frases antes de pagar que después.

Qué ocurre cuando te conectas

Un servicio independiente acepta el ticket y abre la sesión. Ve la dirección desde la que te conectas, la ubicación que elegiste y tu clave de sesión de un solo uso, y guarda un registro de sesión que contiene el plan, la época, esa clave de sesión, la salida, tus direcciones de túnel, una caducidad y un presupuesto de bytes. El registro se elimina solo cuando la sesión caduca. Tu dirección de origen nunca se escribe en él.

Este servicio no tiene ningún tipo de vínculo con la base de datos. No tiene ninguna forma de llegar a una cuenta o a un dispositivo, así que un fallo en la ruta de conexión no puede escribir tu identidad en un registro de sesión — no hay nada con lo que escribirla. Una tarea de compilación llamada «se mantiene el compartimento de privacidad» hace fallar la compilación si esa vinculación llega a añadirse alguna vez. Esta es la única propiedad de privacidad de este documento que no depende de que nos comportemos bien.

Antes de conectar, la app necesita las direcciones de nuestros propios servidores. Primero se las pide al DNS de tu red. Cuando este falla, tarda en responder o devuelve una respuesta errónea, ya lo ha hecho antes en esa misma red, o no se puede llegar a nuestros servidores en las direcciones que dio, la app también puede preguntar, junto a él y no en su lugar, a Cloudflare (1.1.1.1), Google (8.8.8.8) o Quad9 (9.9.9.9) mediante DNS cifrado, solo por las direcciones de nuestros propios servidores y nunca por un sitio que visites. Cada uno de estos operadores tiene otras direcciones públicas que la app puede usar. En una red cuyo DNS responde con rapidez y correctamente y donde se llega a nuestros servidores en esas direcciones, no se pregunta a ninguno. Cada uno que reciba la consulta conoce la dirección IP desde la que llega, la hora y que este dispositivo buscó el nombre de uno de nuestros servidores, y nada más: ni número de cuenta, ni credencial de sesión, ni nada de lo que navegas. No les enviamos nada aparte de la consulta, y cada uno aplica su propia política de privacidad a lo que recibe. Si algún día dejamos que la app consulte a otro proveedor de DNS, lo nombraremos aquí antes de que lo haga.

Transportar tu conexión a través de una CDN

En algunas redes, nuestros propios servidores están bloqueados o ralentizados por dirección o por nombre. Cuando eso ocurre, la app puede usar automáticamente una red de distribución de contenidos (CDN) en lugar de conectarse directamente con nosotros. Hay dos rutas de este tipo: en los planes Pro y Premium, puede transportar tu túnel cifrado a través de la CDN en lugar de conectarse directamente a nuestro servidor; y para sus propias solicitudes a nuestros servicios de control, como la lista firmada de servidores y los tickets de sesión, también puede usar la CDN. Hoy Bunny.net puede transportar cualquiera de las dos rutas, mientras que Gcore solo puede transportar las solicitudes propias de la app a nuestros servicios de control, no el túnel; Fastly está conectada de la misma forma y podría transportar este tráfico en el futuro. Esto es automático y solo se usa cuando tu conexión lo necesita. Nunca cambia lo que recopilamos sobre ti: la CDN solo transporta bytes, igual que transporta el tráfico de cualquier sitio web corriente, y no puede leer tu número de cuenta ni tu credencial de sesión.

Una CDN que transporta tu conexión está configurada para llegar a un servidor nuestro concreto — un servidor de salida para el túnel, un servidor de retransmisión para las solicitudes a nuestros servicios de control — y mientras tu conexión pasa por ella, sí ve la dirección IP desde la que te conectas, el nombre de host de nuestro punto de retransmisión, la hora y el ritmo de tu tráfico y una lectura general de la conexión — tu ubicación aproximada y una huella de cómo tu dispositivo establece una conexión TLS, la misma señal que puede calcular cualquier intermediario HTTPS — igual que si transportara cualquier otro sitio web cifrado. No ve lo que hay dentro: WireGuard cifra el túnel de extremo a extremo entre tu dispositivo y nuestro servidor de salida, las solicitudes a nuestros servicios de control se cifran entre la app y nuestro servidor de retransmisión, y la CDN transporta ambos sin abrirlos, así que nunca sabe a cuál de nuestros servicios va dirigida una solicitud. Nuestros propios servidores descartan esa lectura general al recibirla y nunca la guardan; lo que cambia según el proveedor, más abajo, es si la propia CDN conserva un registro que una tu dirección IP con el servidor al que te transportó.

• Bunny.net transporta este tráfico hoy. Desactivamos su registro de solicitudes en nuestras zonas, así que Bunny no conserva ningún registro que una tu dirección IP con el servidor al que llegaste.
• Gcore solo puede transportar las solicitudes propias de la app a nuestros servicios de control, no el túnel, y no transportará el túnel sin que antes lo digamos aquí. A diferencia de Bunny, el registro de Gcore no se puede desactivar en nuestra cuenta: conserva 3 días la dirección IP desde la que te conectas, el nombre de host al que iba dirigida la solicitud y la hora, y puede leerlo cualquiera que tenga un token de esa cuenta. Gcore además pasa tu dirección IP a nuestro servidor en una cabecera de la solicitud, y nuestro servidor la descarta al recibirla y nunca la guarda. Lo decimos abiertamente en lugar de ocultarlo, y dejaremos de depender de Gcore para esto, o lo desactivaremos, el día en que Gcore nos lo permita.
• Fastly todavía no transporta nada de nuestro tráfico. Si empieza a hacerlo, describiremos aquí qué puede ver, igual que con los otros dos, antes de que transporte nada.

Ninguno de estos tres puede leer tu número de cuenta ni una credencial de inicio de sesión, y a ninguno se le da una forma de vincular la conexión que transporta con quién eres en nuestro sistema. Para decidir si una red necesita la CDN, la app guarda en tu dispositivo una pequeña nota por cada red desde la que se ha conectado, archivada bajo un nombre con hash de esa red: si allí se necesitó la CDN, el día en que lo supo por última vez, y los nombres de ubicaciones públicas que funcionaron. Nunca guarda una dirección, un servidor o un nombre de red en claro, y se excluye de cualquier informe de diagnóstico que nos envíes. La app solo contacta con la CDN en una red donde conectarse directamente a nuestro servidor ha fallado, ahora o durante el último día. Para que la ruta Premium siga siendo asequible, contamos por dispositivo y mes natural cuántos bytes pasaron por ella. Nunca registramos qué servidor, cuándo ni desde dónde.

Servidores de salida

Los servidores de salida arrancan desde memoria. No hay ningún disco en el que escribir, el estado se borra en cada reinicio, y no hay ninguna ruta de código de registro en el software que los ejecuta.

Mientras una sesión está abierta, una salida necesariamente gestiona la dirección desde la que te conectas — es donde termina el túnel — junto con una clave de sesión que nunca volverá a ver y el propio tráfico. No registra nada de eso. Lo que reporta de vuelta es agregado, retrasado y redondeado: bytes por par de conexión y por periodo, nunca por conexión ni por destino.

Para mantener los servidores en pie, una salida puede limitar la velocidad o rechazar patrones de tráfico abusivos localmente, usando solo lo que tiene en memoria en ese servidor y basándose en la red de la que vino el tráfico, nunca en un abonado. No queda ningún registro de abuso que sobreviva a una sesión, porque conservar uno significaría resolver una sesión hasta llegar a una persona.

Compartir un dispositivo o una salida

Si invitas a alguien a usar una de tus salidas, esa persona navega a través de tu conexión como lo haría cualquier invitado en tu red: los sitios web, los juegos y tu proveedor de internet ven su tráfico como proveniente de tu conexión, y tú apareces ante ellos como la persona que la usa. Si invitas a alguien a acceder solo a un dispositivo, esa persona puede llegar a ese dispositivo y a ningún otro de tu red.

El tráfico entre tus dispositivos, y el tráfico de un invitado a través de una compartición, está cifrado de extremo a extremo. Cuando no es posible una conexión directa, pasa por un relevo de ForestVPN que no puede leerlo y no guarda ningún registro de qué dispositivos se comunican entre sí. En redes que nos bloquean, también puede pasar por una red de distribución de contenido, que solo ve que están circulando datos cifrados, igual que con el resto del tráfico de ForestVPN (ver arriba, «Transportar tu conexión a través de una CDN»).

No existe ningún registro de quién hizo qué. ForestVPN no guarda ningún registro de lo que un invitado hace a través de una compartición, así que ni el anfitrión ni nosotros podemos mostrar quién hizo algo.

Una compartición se almacena como dos identificadores de mesh aleatorios y un pequeño estado —para quién es, qué permite y cuándo termina—, nunca como un registro de uso. Al terminarla, se elimina a los 30 días. Nuestro proveedor de alojamiento, Cloudflare, aún puede recuperarla hasta 30 días más después de eso, para sus propios fines de recuperación ante desastres.

Analítica

Guardamos contadores operativos: cuántas credenciales se emitieron y se rechazaron, resultados y tiempos de conexión, totales de bytes, y agregados por servidor, recuentos diarios de dispositivos nuevos, cuentas nuevas, clientes de pago y cambios de suscripción, y contadores del asistente de soporte (tema, punto de entrada, si se compartieron diagnósticos, si la respuesta ayudó), ninguno de los cuales lleva un dispositivo, una cuenta ni texto alguno. Se escriben en un almacén de analítica que nada en la ruta de las solicitudes vuelve a leer.

Hay dos cosas que conviene decir con claridad sobre esto.

• Las filas sobre la emisión y liquidación de credenciales llevan una etiqueta seudónima por dispositivo — un hash con clave del hash de la clave de tu dispositivo, no el hash en sí — junto con un código de país y un número de operador de red. Eso es un dato personal según el RGPD, no un dato sin identificar.
• La retención es de 90 días y no se puede cambiar, y no existe ninguna API de eliminación. No podemos eliminar a petición las filas de analítica de una persona concreta; solo podemos esperar a que caduquen. Rotar la clave que genera la etiqueta deja huérfanas a las filas futuras respecto a las pasadas; no elimina las pasadas, y no retracta una correlación hecha mientras la clave antigua estaba en uso.

Ninguna fila lleva juntos un sujeto y un servidor de salida. Los conjuntos de datos que llevan una etiqueta de dispositivo no llevan un servidor, y los que llevan un servidor no llevan un sujeto. Los informes de ruta son agregados sin etiqueta de dispositivo y se publican en nuestros paneles solo para los días con al menos 10 dispositivos.

Este sitio web no ejecuta ninguna analítica en absoluto. Establece una única cookie funcional (fvpn_locale) que recuerda el idioma elegido durante un año y no hace nada más. No carga scripts de terceros, no incrusta nada, y aloja sus propias fuentes tipográficas.

Quién más lo procesa

Cada uno de estos actúa bajo nuestras instrucciones, por contrato, y está obligado a proteger los datos al menos con el estándar que se fija aquí. Los resolvedores DNS públicos son la excepción: actúan con su propia política de privacidad, no la nuestra.

Cloudflare

Aloja los servicios de control, sus bases de datos y este sitio web, termina el TLS de nuestros dominios, y guarda el informe de diagnóstico que decidas enviarnos, en un almacén identificado solo por tu código de soporte y separado de cualquier registro de dispositivo. Como el TLS termina ahí, Cloudflare está en posición de ver los metadatos de las solicitudes a nuestros nombres de host con independencia de lo que registre nuestro propio código. Es un límite real y preferimos decirlo a dar a entender lo contrario.

Nebius

Ejecuta el modelo de lenguaje detrás del asistente de soporte, en la UE, bajo un contrato de retención de datos cero — no conserva tu conversación después de responder y no entrena con ella. Nunca recibe tu número de cuenta, tu dirección IP, ni a qué servidores te conectas. Consulta asistente de soporte.

Apple

Vende y factura cada suscripción comprada en la app, y nos indica que una suscripción existe. Apple tiene su propia política de privacidad y su propia relación contigo. Recibimos un recibo firmado y un token derivado del dispositivo, nunca un número de tarjeta, un nombre o un correo.

Google

Vende y factura cada suscripción comprada en la app de Android, y nos indica que una suscripción existe. Google tiene su propia política de privacidad y su propia relación contigo. La app nos reenvía un token de compra y un id de producto, junto con un token derivado del dispositivo asociado a la compra como el id de cuenta ofuscado de Google Play; lo verificamos todo directamente contra los propios servidores de Google, y Google además nos envía por su cuenta una notificación en tiempo real de desarrollador cuando cambia una suscripción — nunca un número de tarjeta, un nombre o un correo.

Stripe

Procesa los pagos con tarjeta de las suscripciones compradas en la web, y ejecuta el portal de clientes donde se gestiona y cancela una suscripción con tarjeta. Stripe guarda el nombre, el correo, la dirección de facturación y los datos de la tarjeta del comprador — nada de eso llega hasta nosotros.

CloudPayments

Un procesador de tarjetas alternativo para compras en la web, ofrecido donde sirve mejor a los compradores que Stripe. El mismo límite: él guarda la identidad de pago, nosotros guardamos una fila de suscripción sin ningún nombre asociado.

NOWPayments

Procesa los pagos en criptomonedas de las compras en la web. Es el método de pago en el que incluso el procesador guarda lo mínimo sobre ti — sin tarjeta, sin cuenta bancaria — y, a diferencia de los demás, un pago en cripto no se puede reembolsar. Consulta pagar con tarjeta o cripto.

Proveedores de servidores

Las empresas que alojan nuestros servidores de salida. Pueden ver el volumen de tráfico en su propio borde de red, como puede hacerlo cualquier proveedor de hosting. No tienen acceso a la memoria de los servidores ni a tu tráfico.

Bunny.net

Transporta el túnel cifrado de una conexión Pro o Premium, y las solicitudes cifradas de la propia app a nuestros servicios de control, cuando una red bloquea nuestros propios servidores, y solo entonces. Mientras lo transporta, ve la dirección IP desde la que te conectas, el nombre de host de nuestro punto de retransmisión y la hora del tráfico, nunca lo que hay dentro, a cuál de nuestros servicios llegas, tu cuenta ni la clave de tu dispositivo. Su registro de solicitudes está desactivado en nuestras zonas. Consulta transportar tu conexión a través de una CDN.

Gcore

Puede transportar solo las solicitudes cifradas propias de la app a nuestros servicios de control, no el túnel, cuando una red bloquea nuestros propios servidores, y solo entonces. Mientras lo transporta, ve la dirección IP desde la que te conectas, el nombre de host de nuestro punto de retransmisión y la hora del tráfico, nunca lo que hay dentro, a cuál de nuestros servicios llegas, tu cuenta ni la clave de tu dispositivo. A diferencia de Bunny.net, su registro no se puede desactivar en nuestra cuenta: conserva la dirección IP desde la que te conectas, el nombre de host al que iba dirigida la solicitud y la hora durante 3 días. Consulta transportar tu conexión a través de una CDN.

AWS

Replica la lista firmada de servidores, para que un dispositivo que no pueda alcanzar nuestro propio dominio pueda igualmente obtener una. Cuando un dispositivo recurre a esta réplica, AWS ve la dirección IP desde la que se conecta y el momento de esa consulta — nunca tu cuenta, la clave de tu dispositivo, ni a qué servidor pasas a conectarte.

Resolvedores DNS públicos

Cloudflare, Google y Quad9 operan resolvedores DNS públicos a los que la app puede preguntar, mediante DNS cifrado, por las direcciones de nuestros propios servidores cuando el DNS de tu red falla, tarda, devuelve una respuesta errónea o no se puede llegar a nuestros servidores en las direcciones que dio. No son encargados del tratamiento nuestros: cada uno actúa con su propia política de privacidad, no la nuestra, y conoce tu dirección IP, la hora y el nombre de servidor consultado, nunca tu cuenta ni lo que navegas. Consulta Qué ocurre cuando te conectas.

Retención

La retención se detalla por registro en la tabla de arriba. En resumen: los registros de sesión duran solo lo que dura la sesión; las vinculaciones de ticket — el único registro con un dispositivo y una sesión en la misma fila — se eliminan una hora después de la liquidación o al caducar el propio ticket, nunca más de unos 17 días; los códigos de soporte y los informes de diagnóstico duran 72 horas; el uso diario desaparece a los 31 días; la analítica caduca a los 90 días y no se puede eliminar antes; los registros de dispositivo, de cuenta, de suscripción y facturación, los totales mensuales de bytes y el registro de decisiones se conservan indefinidamente, porque una disputa de suscripción o una cuota rechazada tienen que poder explicarse más adelante. Esto es la retención para lo que guardamos nosotros — el recibo, la correspondencia de una disputa y el registro de la tarjeta de una compra en la web viven en el procesador y siguen su propia política de retención, no esta.

Eliminación, y qué puede alcanzar de verdad una solicitud

Escribe a support@fvpn.net con un código de soporte de la app — Cuenta → Obtener ayuda en las plataformas Apple; en Android, toca el estado de la conexión en la parte superior de la app y luego Estado → Reportar un problema → Obtener un código de soporte en un teléfono o tablet, o Detalles de la conexión → Reportar un problema → Obtener un código de soporte en Android TV. El código es la única forma en que podemos saber qué registro de dispositivo es el tuyo: no tenemos correo, nombre de usuario ni nombre de cuenta con los que autenticarte. Sin él, no podemos actuar sobre una solicitud relativa a un dispositivo concreto.

Siendo exactos sobre qué alcanza hoy esa solicitud:

• Las filas de uso diario se pueden eliminar, y de todos modos caducan a los 31 días.
• Un dispositivo se puede desvincular sin eliminar la cuenta. Un dispositivo puede cerrar sesión por sí mismo desde la página Cuenta de la app, y cualquier otro dispositivo de la cuenta puede quitarlo, en la app o en la consola de fvpn.net; el dispositivo sigue funcionando en el plan Free. Una cuenta admite hasta diez dispositivos, un dispositivo que se unió en los últimos 7 días no puede quitar los más antiguos, y un router puede cerrar sesión por sí mismo pero no puede quitar otros dispositivos. Eliminar la cuenta entera es aparte, más abajo.
• La eliminación de cuenta dentro de la app está disponible: Cuenta → Eliminar cuenta. Es permanente — elimina la cuenta, devuelve a cada dispositivo vinculado a ella a un estado sin identificar (cada uno conserva lo que haya comprado por separado), y no puede cancelar las suscripciones propiedad de la cuenta, que la tienda — Apple o Google — sigue facturando hasta que las canceles tú mismo en sus propios ajustes de suscripción. Pide el número completo de la cuenta en lugar de confiar en que has iniciado sesión en un dispositivo, porque cada dispositivo de una cuenta comparte esa autoridad por igual y ninguno debería poder destruirla en nombre de los demás. Solo elimina una cuenta: un dispositivo sin ninguna cuenta vinculada no tiene nada que eliminar aquí.
• Las filas de analítica no se pueden eliminar en absoluto y caducan a los 90 días.
• Los totales mensuales de bytes, los registros de facturación y el registro de decisiones se conservan. El registro es de solo anexión a propósito: un registro que se puede editar en silencio no puede resolver una disputa.

Puedes detener toda la recogida de datos en cualquier momento eliminando la app y no conectándote. Ten en cuenta que esto no elimina los registros de arriba, y que la clave de máquina sobrevive a la eliminación en las plataformas Apple — consulta qué vive en tu dispositivo.

Si estás en la UE, el Reino Unido o California, tienes derechos de acceso, rectificación, eliminación y portabilidad sobre los datos personales que guardamos sobre ti. El hash de la clave de tu dispositivo es un dato personal seudónimo, no un dato sin identificar, y lo tratamos como tal. Cuando no podamos satisfacer una solicitud — los casos de arriba — te diremos cuál se aplica y por qué, en lugar de alegar que no podemos identificarte.

Frente a qué no protege esto

Un registro vincula tu dispositivo con una sesión, y a través del dispositivo con tu cuenta si has vinculado una. Es la vinculación del ticket que se describe en cuentas y suscripciones: existe para que la cuota pueda medirse y un dispositivo revocado pueda cortarse a mitad de sesión, y se elimina una hora después de que esa sesión se liquide. Nada, en ningún sitio, vincula ninguno de los dos con una salida. Lo decimos así en lugar de alegar una separación que no tenemos — y estos son los otros límites, por la misma razón:

• El servicio que emite las credenciales y la salida que transporta tu tráfico ven tu clave de sesión cada uno en un momento distinto. Partes que hubieran sido obligadas a colaborar juntas, o que hubieran conspirado, podrían usar eso para reunir una sesión de extremo a extremo. No guardamos ningún registro que lo hiciera, y ninguna de ellas puede hacerlo sola.
• Si usas la página de dispositivos para enviar un router a una salida distinta, la ubicación que elegiste se guarda contra ese dispositivo — y por tanto, si el dispositivo está vinculado a una cuenta, contra tu cuenta — hasta que elijas otra. Es lo que pediste, nunca lo que observamos: la confirmación del dispositivo es un número que se devuelve, no un lugar.
• El TLS de nuestros dominios termina en Cloudflare, así que los metadatos de las solicitudes a nuestros nombres de host existen ahí con independencia de nuestro propio código.
• El hash de la clave de tu dispositivo es estable, y las filas de analítica seudónimas asociadas a él viven 90 días.
• El conjunto de personas de las que eres indistinguible es todo el que sostenga un ticket firmado por la misma clave de plan en la misma quincena — no «todos nuestros usuarios». En el lanzamiento, ese conjunto es pequeño. Preferimos decirlo así a describir un anonimato que todavía no tenemos.

Una VPN cambia quién puede ver tu tráfico. No te vuelve indistinguible de los demás, y esta no lo asegura.

Menores, cambios y contacto

El servicio no está dirigido a menores de 13 años, y no recopilamos datos suyos a sabiendas. No tenemos forma de conocer la edad de un usuario, porque no recopilamos nada que nos la dijera.

Si esta política cambia de forma material, cambiaremos la fecha de la cabecera, describiremos aquí qué cambió, y mostraremos un aviso en las apps que admitan uno. Como no hay ninguna dirección de correo en el registro, no podemos avisarte por correo.

11 October 2026: Añadimos una sección sobre compartir un dispositivo o una salida con otra persona: cómo aparece el tráfico de un invitado, qué pueden y qué no pueden ver nuestros relevos y qué se guarda de una compartición. Consulta compartir un dispositivo o una salida.

4 de octubre de 2026: cuando el DNS de tu red falla, tarda en responder, devuelve una respuesta errónea o no se puede llegar a nuestros servidores en las direcciones que dio, la app también puede preguntar a Cloudflare, Google o Quad9 mediante DNS cifrado por las direcciones de nuestros propios servidores; cada uno que reciba la consulta conoce tu dirección IP, la hora y que el dispositivo buscó el nombre de uno de nuestros servidores, y nada más. Consulta Qué ocurre cuando te conectas.

4 de octubre de 2026: Gcore (gcore.com) se suma a Bunny.net (bunny.net) como CDN, y una CDN ahora también puede transportar las solicitudes de la propia app a nuestros servicios de control, no solo el túnel; Gcore solo puede transportar esas solicitudes, no el túnel. Una CDN, por cualquiera de las dos rutas, puede ver tu dirección IP, el nombre de host de nuestro punto de retransmisión y la hora, nunca el contenido ni a cuál de nuestros servicios llegas. Gcore conserva tu dirección IP, el nombre de host al que iba dirigida la solicitud y la hora 3 días; el registro de Bunny está desactivado en nuestras zonas. Consulta transportar tu conexión a través de una CDN.

10 de octubre de 2026: Las apps ya pueden enviar informes de ruta: diagnósticos de red anónimos y agregados, no vinculados a tu identidad ni a tu cuenta. Los hemos añadido a qué guardan nuestros servicios de control y hemos corregido nuestra descripción del manifiesto de privacidad de Apple.

Preguntas, solicitudes o quejas: support@fvpn.net. El responsable del tratamiento es Digital Services LLC.