Las precauciones que tomamos,una por una.

No tienes contraseña, así que no podemos perderla

En Dumpbox no existe un campo de contraseña. Se entra con Google, con Apple o con un código que llega a tu correo: tres caminos que terminan todos en una sesión firmada, y ninguno de los tres nos pone en las manos una palabra secreta tuya.

No es un atajo. Un archivo de contraseñas es lo más valioso que puede guardar un sitio pequeño y también lo que peor sabe guardar: si no lo tenemos, no hay nada que robar, nada que hayas reutilizado en otro sitio, nada que cambiar a toda prisa el día de una mala noticia.

La única contraseña del producto es la opcional que puedes poner en un enlace compartido. De esa, en el servidor no queda el texto sino una huella con sal delante, y la comparación ocurre en el servidor: el valor nunca llega al navegador de quien intenta entrar.

• Ninguna contraseña de acceso: ni guardada, ni transmitida, ni que recuperar.
• La sesión vive en una cookie httpOnly de catorce días: ningún script puede leerla, tampoco el nuestro.
• Todo el sitio solo por HTTPS, declarado al navegador como obligatorio durante un año.

Los datos que no tenemos

Lo que recogemos está escrito entero en la política de privacidad y cabe en pocas líneas: correo, nombre, nombre de usuario, las fotos que subes. Pero la lista que de verdad importa es la contraria.

No te pedimos el número de teléfono para registrarte. No leemos tu agenda de contactos. No sabemos dónde estás mientras usas el sitio. No compramos datos sobre ti a nadie, y no vendemos los tuyos a nadie.

La cámara y el micrófono ni siquiera te los podemos pedir: los apagamos a nivel de navegador con una cabecera que sale en cada una de las respuestas del sitio. No es una promesa que te pidamos creer, es una línea que puedes leer tú mismo en las herramientas de desarrollo de tu navegador.

• Permissions-Policy: camera=(), microphone=(), payment=() — en todas las páginas.
• Ningún otro sitio puede enmarcar Dumpbox dentro de sí: las páginas se niegan a estar en un marco.
• Los enlaces que ya son en sí mismos una llave salen con no-referrer: esa dirección no llega a nadie, ni siquiera como origen de una fuente tipográfica.

La ubicación de una foto nunca es una dirección

Las fotos hechas con el móvil suelen llevar dentro un GPS preciso hasta pocos metros. En un contenido público ese número no es «un lugar»: es la casa de alguien.

Cuando leemos la fecha de la toma, el bloque GPS está desactivado a propósito. La única función que sí lo lee lo redondea a dos decimales — alrededor de un kilómetro — antes incluso de devolverlo: el punto exacto no existe en ningún momento dentro del programa, ni por un instante ni en memoria. Después te lo mostramos como sugerencia, y solo acaba en la galería si tú lo confirmas.

El mismo redondeo se repite en el servidor, sobre el valor que llega. En cuestión de precisión no nos fiamos del navegador — ni siquiera del nuestro.

• Dos decimales: alrededor de 1,1 km. Basta para repartir los puntos en un mapa, no basta para encontrar una puerta.

Lo que sube un invitado no lo ve nadie hasta que tú lo apruebas

Quien escanea el QR sube sin cuenta, desde el navegador y sin instalar nada. El archivo cae en una zona de espera donde se puede escribir pero no leer: ni ese invitado, ni otro invitado, ni quien adivinara la dirección exacta del archivo. Las fotos aparecen cuando quien posee la galería las aprueba.

A la entrada miramos los bytes reales del archivo, no su nombre ni lo que declara el navegador. Los formatos admitidos son una lista cerrada, y los tipos de imagen que pueden llevar código ejecutable no están en ella.

Un enlace de contribución no es para siempre: puedes protegerlo con contraseña, ponerle una caducidad o dejar de aceptar subidas. Y cuando eliminas la cuenta, todos tus enlaces y tus QR dejan de funcionar en el mismo instante.

• Las contribuciones de los invitados son de solo escritura: quien sube no puede releer ni su propio archivo.
• Las reglas que deciden quién lee qué viven en el servidor, no en la página: cambiar de navegador no cambia los permisos.

Si dices que no, nos quedamos contando

Antes de tu elección no sale ni una sola petición: no son «menos datos», son cero — y no lo decimos de memoria, se verificó en el sitio real, con un navegador limpio, mirando el tráfico de red. Lo que cambia es lo que pasa después, y los dos caminos son de verdad distintos.

Si dices que sí, las herramientas son cuatro y la cookie policy las enumera una por una. Si dices que no, queda solo el recuento: ninguna cookie escrita ni leída, ningún identificador, los anuncios no se personalizan, y a cada evento se le quita todo menos el nombre. Sale «alguien se ha registrado», nunca quién — y esa resta no es una cautela de principio: sin ella saldrían tu nombre de usuario e incluso el de otras personas.

No te decimos que sea «totalmente anónimo», porque una línea honesta vale más que una tranquilizadora: para contar, una petición a Google sale, y como toda petición en la web lleva consigo tu dirección IP y el navegador que usas. Eso no podemos hacerlo desaparecer. Lo que sí podemos hacer, y hacemos, es no adjuntarle nada más.

El aviso no te recibe en la cara: espera a que hayas visto qué es Dumpbox, así quien pasa y se va no lo ve nunca. Los dos botones tienen exactamente el mismo ancho, porque rechazar no puede costar más que aceptar, y «Ignorar» es definitivo: no vuelve a preguntártelo la próxima vez.

La elección se cambia cuando quieras desde la cookie policy, y la revocación vale en el instante en que la haces — no desde la siguiente carga de la página.

• Antes de tu elección: cero peticiones a terceros, ni medición ni publicidad.
• Si rechazas: ninguna cookie, ningún identificador, y de cada evento sale solo el nombre.
• El consentimiento se revoca en la misma página donde se lee qué hace cada herramienta.

Cuando hay inteligencia artificial, lo decimos

En el sitio hay imágenes generadas, y son una sola cosa: las portadas de una parte de las galerías publicadas por nuestra cuenta oficial, las que llenan las páginas públicas hasta que haya suficientes fotos reales. No son fotografías de una noche: son ilustraciones. La regla que las gobierna no es «nada de caras», es ningún parecido con una persona real — una cara inventada que ríe vale, el primer plano de quien está en el escenario no.

Por tus fotos, en cambio, no pasa ningún modelo. No las usamos para entrenar nada y no las usamos para nuestra publicidad: la licencia que nos das en los Términos cubre alojarlas y mostrárselas a quien tú decidas, y ahí termina.

Tampoco la imagen para las historias está generada. Es tu foto recompuesta con texto sobre un lienzo dibujado dentro de tu navegador, en tu dispositivo: para hacerla no sale nada hacia ningún tercero.

• Las imágenes generadas están solo en las galerías de nuestra cuenta oficial, nunca en las tuyas.
• Ningún contenido subido por personas se usa para entrenar modelos, ni nuestros ni de nadie.

Si algo sale mal, hay una cola y hay una hora

Cada foto, comentario, galería o perfil se denuncia desde dentro de la página en dos toques, eligiendo entre nueve motivos. Quien publicó nunca ve quién denunció — y quien denuncia no tiene que escribir a ninguna dirección para hacerlo.

La promesa escrita es que una persona lo mire en veinticuatro horas. No es un eslogan colgado: es un solo número dentro del código, y sirve para dos cosas a la vez — dibujar el tiempo que ves y ordenar la cola, con las denuncias vencidas arriba del todo. Así una que llega tarde no puede esconderse al final de la lista.

E irse es tan rápido como entrar: la cuenta se elimina sola desde los Ajustes, al momento, y se lleva consigo galerías, fotos, vídeos, comentarios y enlaces. No hay periodo de arrepentimiento, y lo decimos antes en vez de dejar que lo descubras después.

• Nueve motivos de denuncia, del copyright a la autolesión, sin ningún correo que escribir.
• Veinticuatro horas es la ventana del compromiso, y es el mismo número que ordena la cola de moderación.

Las mismas cosas, con las palabras de un abogado