Qué registra este conjunto de datos#
Una observación de hecho atómica por servicio, atributo y etapa del ciclo de vida (registro / uso continuado / pago / recuperación / eliminación). Cada observación guarda el requisito tal como lo declara el proveedor, cómo se recoge y verifica el dato, a qué queda vinculado (sesión, dispositivo, cuenta, facturación, perfil de la empresa matriz, proveedor aguas abajo), las superficies a las que se aplica (web / API / gratuito / de pago) y la evidencia que lo respalda. Las observaciones solo se añaden, nunca se sobrescriben (append-only): cuando una política cambia, se añade una observación nueva y la anterior pasa a ser historial — y ese historial es la razón de ser del conjunto de datos. El nombre es la tesis: los requisitos derivan.
Qué no mide, a propósito#
- El anonimato de red. Las direcciones IP, la huella del dispositivo (fingerprinting), el trato a Tor/VPN y la analítica del sitio son otra capa. Cuando los documentos de un proveedor declaran recogida en la capa de red, la registramos — bajo una etiqueta aparte de «capa de red» — porque fingir que no existe sería deshonesto. Pero ningún valor de este conjunto de datos dice nada sobre si tú te mueves de forma anónima por la red.
- La exposición ante intermediarios de pago. «Acepta criptomonedas» es un hecho del proveedor; lo que tu procesador de pagos sabe de ti queda fuera del alcance.
- El acceso por vía legal. La jurisdicción se registra como hecho (quién es el responsable de datos declarado, y dónde). Qué puede alcanzar una citación judicial o un proceso de seguridad nacional es una pregunta para tu modelo de amenazas, no una casilla de una tabla.
- La aplicación real. Cada valor es lo que el proveedor declara. Una política archivada demuestra que el proveedor publicó esas palabras en esa fecha — no demuestra que sus sistemas se comporten así.
De dónde salen los valores#
Las fuentes están jerarquizadas. Cuando no coinciden, se muestra como valor la de rango superior y el desacuerdo queda a la vista — nunca se resuelve en silencio:
- Política oficial, condiciones y páginas del centro de ayuda (declarado por el proveedor)
- Flujo observado dentro del producto (observado en la interfaz — y etiquetado como tal)
- Declaraciones del soporte del proveedor
- Copias archivadas de la interfaz
- Informes de terceros (nunca como única base de un valor)
Dos cosas que se parecen se mantienen separadas: «la política dice que recoge X» y «el flujo de alta exige X». La redacción de recogida de una política de privacidad se registra como recogida; un requisito solo se registra como obligatorio cuando los propios documentos del proveedor dicen must/require/verify («debe», «exige», «verifica») — o cuando el propio flujo se niega, de forma demostrable, a continuar sin él.
El vocabulario#
Las casillas nunca adivinan. El vocabulario controlado completo: obligatorio · opcional · condicional · disponible · se recoge si lo aportas · puede recoger · no divulgado · sin evaluar · fuentes en conflicto · según la región · según el plan · no aplicable. Tres merecen énfasis:
- no divulgado — los documentos del proveedor no lo declaran. Nunca inferimos «ninguno» del silencio.
- sin evaluar — todavía no lo hemos extraído; el hueco es nuestro. La ausencia de un valor no es prueba de que el requisito no exista.
- fuentes en conflicto — las fuentes no coinciden; se muestran ambas posturas con su rango y su fecha.
Evidencia e integridad#
- Primero el archivo. No rastreamos a los proveedores desde nuestra propia infraestructura; las páginas se capturan a través de archivos web, y lo que citamos es la copia archivada.
- Verificación del contenido. Una captura solo cuenta como evidencia si el texto que respalda la afirmación está de verdad presente en el cuerpo archivado decodificado. Un hash por sí solo demuestra que existieron unos bytes — no que digan nada.
- Qué demuestra el hash. Cada registro de evidencia lleva el sha256 del cuerpo archivado decodificado. Demuestra que estos bytes existían en el momento de la captura. No demuestra, por sí solo, quién los publicó — ese vínculo viene del registro que el archivo web guarda de la URL de origen.
- Las citas. Extractos breves, en texto plano y saneados (≤280 caracteres), reproducidos únicamente en el idioma original — las citas son evidencia, y traducir la evidencia sería fabricarla.
- Retención local. Conservamos copias independientes de cada captura en la que nos apoyamos, de modo que la integridad sigue siendo demostrable aunque un enlace de archivo deje de resolver.
Conflictos, deriva, correcciones#
Las fuentes en conflicto se muestran como conflicto («lo oficial declara X; un informe de terceros afirma Y; sin verificar»), no se resuelven por preferencia editorial. Los cambios de requisitos se conservan como historial, con el intervalo que podemos acotar con honestidad — una fecha de captura nunca se hace pasar por la fecha del cambio. Los errores que cometemos se corrigen donde están y la corrección queda registrada en público; los proveedores pueden objetar en editor@cypherpunkguide.com y recibir una primera respuesta en un plazo de 14 días, con el valor en disputa marcado mientras se revisa.
Cadencia de actualización y sus límites#
Todos los documentos fuente se recomprueban en un ciclo mensual, con adjudicación humana de los cambios detectados en un plazo de 14 días. Entre comprobación y comprobación, los valores pueden quedar desfasados — por eso cada hecho muestra su propia fecha de última verificación, en lugar de una promesa de frescura a nivel de página. La cobertura es desigual y se muestra tal cual: algunos servicios tienen hoy bastantes menos dimensiones evaluadas que otros, y las páginas por servicio lo dicen.
Por qué no hay puntuaciones#
Las puntuaciones son la vía por la que un sitio de comparativas se convierte, sin anunciarlo, en un motor de recomendaciones. Una «puntuación de privacidad» compuesta (a) colaría nuestro modelo de amenazas dentro de tu decisión, (b) convertiría el registro factual en una invitación, y (c) borraría exactamente el matiz que este conjunto de datos existe para conservar — un requisito de teléfono que a una lectora le da igual es descalificante para otra. Así que: hechos, fechas, fuentes y sus desacuerdos. Ordenarlos es trabajo tuyo, porque solo tú sabes contra qué te defiendes.
Selección y licencia#
Los ocho servicios actuales se seleccionaron por tener presencia independiente en varias fuentes y por poder verificarse de forma pasiva (documentos que se pueden capturar y citar sin interactuar con el servicio). El conjunto no es exhaustivo, ni pretende serlo. Nuestros metadatos y anotaciones son CC BY 4.0; el texto citado de cada proveedor sigue siendo suyo. La exportación legible por máquina vive en /en/data/kyc-drift/index.json.