Política de Privacidad

Solo2 utiliza criptografía probada por la comunidad académica, no esquemas propios. Las primitivas son las mismas que validan publicaciones revisadas por pares y que llevan años desplegadas a escala global en otros sistemas.

• X3DH (Extended Triple Diffie-Hellman) para el establecimiento inicial de la sesión entre dos contactos: ambos derivan una clave compartida sin haber intercambiado nunca antes ningún secreto.
• Double Ratchet para el cifrado en curso de cada conversación. Cada mensaje se cifra con una clave distinta, que se deriva y se borra inmediatamente después de cifrar el siguiente.
• AES-256-GCM para el cifrado simétrico de cada mensaje individual. El estándar industrial vigente, sin alternativas razonables conocidas a esta fecha.
• Argon2id para derivar tu clave maestra a partir de tu contraseña. Resistente a ataques con hardware especializado (GPUs, ASICs).
• Curve25519 y Ed25519 para los pares de claves de cifrado y firma. Curvas elípticas modernas, sin "constantes mágicas" sospechosas.

Una propiedad clave que ofrecen estas primitivas es forward secrecy: si una clave de sesión queda comprometida, los mensajes anteriores siguen siendo ilegibles. Y la propiedad complementaria, post-compromise security: la conversación se "auto-cura" en cuanto se intercambian mensajes nuevos.

No existe ninguna clave maestra, puerta trasera ni mecanismo de recuperación que nos permita leer tus mensajes. Eso incluye el caso de una orden judicial: técnicamente no podemos descifrar lo que no tenemos.

Una política de privacidad seria no es solo una lista de lo que sí hacemos: también es una lista clara de lo que nunca haremos.

• No entrenamos modelos de IA con tus mensajes. No es una promesa voluntaria: es una consecuencia de todo lo anterior. No los tenemos en ningún momento — la cláusula que en otras políticas suena tranquilizadora, aquí es intrínsecamente cierta por construcción.
• No vendemos publicidad. Solo2 es un servicio de pago, no monetizado mediante anuncios. Tus datos no son nuestro modelo de negocio.
• No construimos perfiles de uso, comportamiento, ubicación, contactos ni intereses. No tenemos tampoco un grafo social que vincule a unos usuarios con otros.
• No compartimos datos con terceros con fines comerciales. La única excepción son las pasarelas de pago, que reciben únicamente el importe de la transacción.
• No usamos cookies de rastreo, ni píxeles, ni fingerprinting del navegador, ni servicios externos como Google Analytics o Facebook Pixel.
• No registramos tu dirección IP de forma persistente. La conexión necesita una IP transitoria, pero no se guarda asociada a tu cuenta.

En aplicación del artículo 28 del RGPD, los subprocesadores que actualmente intervienen en la prestación del servicio son los siguientes. Si en algún momento se incorpora un nuevo subprocesador, esta lista se actualizará y comunicaremos el cambio a las personas usuarias antes de que entre en vigor.

• Hetzner Online GmbH (Alemania) — Infraestructura de servidores con centros de datos en la Unión Europea. Cumple RGPD y certificaciones ISO 27001.
• Infomaniak (Suiza) — Correo electrónico corporativo. Datos alojados en Suiza, país con declaración de adecuación de la Comisión Europea.
• Pasarelas de pago — Procesamiento de cobros. No reciben datos personales del usuario, solo el importe y la moneda de la transacción.

Cuando recibimos una orden judicial válida emitida por una autoridad competente española o europea, cumplimos. La pregunta interesante no es si cumpliríamos, sino qué podríamos efectivamente entregar.

El diseño técnico de Solo2 limita drásticamente lo que podríamos aportar a una requisitoria. No tenemos acceso al contenido de los mensajes (cifrado extremo a extremo), no guardamos metadatos de quién habla con quién, no almacenamos historiales de conexión y no guardamos direcciones IP asociadas a cuentas.

Lo que sí podríamos entregar, llegado el caso, son los datos mínimos asociados a una cuenta tal y como se describen en el Manifiesto de Transparencia: nombre de usuario y nombre público (ambos pueden ser inventados), un hash de la contraseña, y una clave maestra cifrada con esa contraseña que para nosotros es un blob opaco.

Esta política se aplica únicamente a autoridades competentes en España y la Unión Europea. No respondemos a solicitudes de fuerzas del orden de terceros países sin un canal legal europeo intermedio.