Política de cookies

BORRADOR 2026-10-12-borrador — pendiente de revisión profesional.

Tomaatoma solo usa cookies y almacenamiento técnicos, imprescindibles para que funcione. Por eso no te pedimos consentimiento (art. 22.2 LSSI-CE). No usamos cookies de analítica, publicidad ni de terceros.

Nombre	Tipo	Para qué	Duración
Cookie de sesión (`session`)	Cookie propia, `HttpOnly`, `Secure`, `SameSite=Lax`	Mantenerte con la sesión iniciada	30 días o hasta que cierres sesión
Cookie antifalsificación (`csrf`)	Cookie propia, `Secure`, `SameSite=Lax`	Proteger tus acciones frente a ataques CSRF	30 días
(P13) Afiliado que te recomendó (`ref`)	Cookie propia de la app, `HttpOnly`, `Secure`, `SameSite=Lax`, firmada	Si entras por el enlace de un afiliado y te registras, saber qué afiliado te trajo para pagarle su comisión. Solo guarda su código y la fecha del clic. [CONFIRMAR] si necesita consentimiento	60 días
(P13) Navegador (`dev`)	Cookie propia de la app, `HttpOnly`, `Secure`, `SameSite=Lax`	Un identificador aleatorio para detectar autorreferidos en el programa de afiliados (prevención del fraude). Se pone solo al registrarte, al hacerte afiliado o al entrar por un enlace de afiliado	1 año
Consejos vistos	Almacenamiento local del navegador	No repetirte los consejos de «Pedir un cambio»	Hasta que borres los datos del navegador
Borrador de petición	Almacenamiento de la sesión del navegador	No perder lo que estabas escribiendo si recargas	Hasta que cierres la pestaña

Los pagos se hacen en la página de Stripe, y la conexión de redes, en la de Upload-Post. Esas páginas usan sus propias cookies, según sus políticas.
Puedes borrar las cookies desde tu navegador. Si borras las técnicas, se cerrará tu sesión.
Si algún día añadimos analítica, pediremos tu consentimiento antes con un aviso y actualizaremos esta tabla.

Nota para la revisión (12-oct, P13; ver README.md, pendiente 6): las cookies ref y dev del programa de afiliados no son estrictamente técnicas para el usuario que no es afiliado. Confirmar con el abogado si basta el interés legítimo (prevención del fraude, atribución sin perfilado) o hay que pedir consentimiento antes de ponerlas; en ese caso, la frase de arriba («solo usamos cookies técnicas») también cambia. Sus nombres reales llevan el prefijo __Host- en producción.

Nota para la revisión: los nombres reales de las cookies se configuran con SESSION_COOKIE_NAME y CSRF_COOKIE_NAME. Comprobar en producción que coinciden con la tabla.