Política de cookies

Última actualización: 27 de septiembre de 2026.

Qué cookies usamos hoy

Cromolista usa cookies técnicas propias: las que crea Auth.js, nuestro sistema de inicio de sesión, para que puedas entrar en tu cuenta y seguir dentro. Son estrictamente necesarias para que el servicio funcione (sin ellas no podríamos mostrarte tu álbum ni guardar tus cambios). Además guardamos en la pestaña una marca propia de medición, cl_o, que explicamos en su fila. Estas son, una a una:

authjs.session-token

Finalidad: Mantener tu sesión iniciada: es la que recuerda que has entrado en tu cuenta.
Tipo: Propia, técnica
Duración: 30 días desde que inicias sesión. Se borra en el momento en que cierras sesión.

authjs.callback-url

Finalidad: Recordar a qué página devolverte al iniciar sesión.
Tipo: Propia, técnica
Duración: De sesión: se borra al cerrar el navegador.

authjs.csrf-token

Finalidad: Proteger el inicio de sesión frente a peticiones falsificadas (anti-CSRF). Puede aparecer al usar el sistema de autenticación.
Tipo: Propia, técnica
Duración: De sesión: se borra al cerrar el navegador.

authjs.pkce.code_verifier

Finalidad: Comprobar, dentro del intercambio con Google al usar «Continuar con Google», que quien completa el inicio de sesión es quien lo empezó (protección PKCE).
Tipo: Propia, técnica
Duración: Hasta 15 minutos: solo dura el viaje de ida y vuelta a Google.

authjs.state

Finalidad: Proteger ese mismo viaje a Google frente a peticiones falsificadas (anti-CSRF del inicio de sesión con Google).
Tipo: Propia, técnica
Duración: Hasta 15 minutos: solo dura el viaje de ida y vuelta a Google.

authjs.nonce

Finalidad: Comprobar que la respuesta de Google corresponde exactamente a esta petición (protección anti-repetición).
Tipo: Propia, técnica
Duración: De sesión: se borra al cerrar el navegador.

cl_o

Finalidad: Contar cuántas cuentas nuevas llegan por cada enlace de campaña, como el QR de un cartel o un anuncio, o por cada buscador, asistente de inteligencia artificial o red social de una lista cerrada. Guarda solo el nombre de esa campaña o de ese sitio, que es el mismo para todas las personas que llegan por él.
Tipo: Propia, de medición
Duración: De sesión: se guarda solo en esa pestaña y se borra al cerrarla o al crear tu cuenta.

Cookie	Finalidad	Tipo	Duración
authjs.session-token	Mantener tu sesión iniciada: es la que recuerda que has entrado en tu cuenta.	Propia, técnica	30 días desde que inicias sesión. Se borra en el momento en que cierras sesión.
authjs.callback-url	Recordar a qué página devolverte al iniciar sesión.	Propia, técnica	De sesión: se borra al cerrar el navegador.
authjs.csrf-token	Proteger el inicio de sesión frente a peticiones falsificadas (anti-CSRF). Puede aparecer al usar el sistema de autenticación.	Propia, técnica	De sesión: se borra al cerrar el navegador.
authjs.pkce.code_verifier	Comprobar, dentro del intercambio con Google al usar «Continuar con Google», que quien completa el inicio de sesión es quien lo empezó (protección PKCE).	Propia, técnica	Hasta 15 minutos: solo dura el viaje de ida y vuelta a Google.
authjs.state	Proteger ese mismo viaje a Google frente a peticiones falsificadas (anti-CSRF del inicio de sesión con Google).	Propia, técnica	Hasta 15 minutos: solo dura el viaje de ida y vuelta a Google.
authjs.nonce	Comprobar que la respuesta de Google corresponde exactamente a esta petición (protección anti-repetición).	Propia, técnica	De sesión: se borra al cerrar el navegador.
cl_o	Contar cuántas cuentas nuevas llegan por cada enlace de campaña, como el QR de un cartel o un anuncio, o por cada buscador, asistente de inteligencia artificial o red social de una lista cerrada. Guarda solo el nombre de esa campaña o de ese sitio, que es el mismo para todas las personas que llegan por él.	Propia, de medición	De sesión: se guarda solo en esa pestaña y se borra al cerrarla o al crear tu cuenta.

Dicho claro: la cookie de sesión no desaparece al cerrar el navegador — dura 30 días para que no tengas que volver a entrar cada vez. Si cierras sesión, se borra al instante. Al servirse la web por HTTPS, el navegador muestra estos nombres con el prefijo de seguridad __Secure- (y __Host- el de la de CSRF).

Las cookies técnicas no necesitan tu consentimiento según el artículo 22.2 de la LSSI. La marca de medición tampoco lo pide, porque se acoge a la exención de la guía de la AEPD para las herramientas de medición de audiencia. Es nuestra, sirve solo para nuestras estadísticas, no lleva ningún identificador y no sale del navegador hasta que creas la cuenta. Entonces solo suma un alta al recuento del día, que guardamos 25 meses como máximo. Si tu navegador la bloquea o la borras, Cromolista funciona igual y tu alta cuenta sin origen. No usamos cookies de publicidad ni de seguimiento entre sitios. La analítica opcional que explicamos abajo usa almacenamiento local del navegador y solo se activa si la aceptas.

Los enlaces a tiendas tampoco usan cookies

En algunas fichas de colección hay enlaces de afiliado a tiendas donde comprar el álbum o los sobres. Al pulsarlos no se crea ninguna cookie: en la base de datos solo se suma un clic a ese enlace, sin cuenta y sin saber de qué página venías. Tu dirección IP no se guarda en la base de datos: se usa unos instantes en la memoria del servidor para limitar los clics por minuto (lo contamos en la política de privacidad). Lo que haga la tienda de destino con sus propias cookies ya es cosa suya, y su aviso te lo dirá al llegar.

Medición de visitas con Umami

Las visitas se miden con una herramienta alojada en nuestro propio servidor (Umami) que no crea ninguna cookie ni guarda nada en tu navegador: cuenta páginas vistas de forma agregada. Enviamos secciones o plantillas de rutas sin nombres, identificadores de cambios, fragmentos ni el resto de parámetros. De la procedencia solo va el nombre del sitio cuando es un buscador, un asistente de inteligencia artificial o una red social de una lista cerrada, y el de la campaña si llegas con uno de nuestros enlaces. La app Android la distinguimos mediante una etiqueta fija, sin enlaces ni datos personales. El servidor recibe la IP y los datos técnicos del navegador para agrupar visitas, por lo que no presentamos esta medición como una garantía de anonimato absoluto. Su base y la forma de oponerte se explican en la política de privacidad.

Analítica opcional con PostHog

Si aceptas, usamos PostHog para saber qué partes de Cromolista se usan, dónde se atascan el registro y los cambios, y si las personas vuelven. Puedes aceptar o rechazar en el aviso con botones igual de visibles. Seguir navegando no activa esta medición y rechazarla no limita el servicio.

Guardamos tu decisión en el almacenamiento local del navegador con el nombre cromolista_product_analytics_consent, durante 183 días. Esto sirve para recordar tu elección. Solo al aceptar guardamos también cromolista_product_analytics_id, un identificador aleatorio del navegador que no vinculamos a tu cuenta. Su validez termina con la de tu elección. Al volver tras caducar, se elimina y volvemos a preguntarte. Puedes borrar ambos antes desde los ajustes de tu navegador.

PostHog no instala cookies en esta configuración. Recibe el identificador y acciones concretas, como guardar el álbum o abrir un cupón, sin tu correo, nombre de usuario, dirección postal ni los textos que escribes. No grabamos la pantalla ni capturamos automáticamente tus clics. Los datos se almacenan en la región europea de PostHog, en Fráncfort, durante un año. El proveedor y las garantías para las transferencias internacionales se detallan en la política de privacidad.

Puedes cambiar de opinión desde Preferencias de analítica, al pie de la página. Al rechazar, se detienen los envíos y se borra el identificador de este navegador. La retirada no borra automáticamente los eventos ya enviados. Para pedir su supresión, puedes contactarnos por la vía indicada en la política de privacidad.