XS News es sinónimo de privacidad y seguridad totales. Son dos cosas distintas y las dos importan: la privacidad es una cuestión legal y de lo que una empresa decide almacenar, mientras que la seguridad tiene que ver con cómo se protege tu conexión mientras está abierta. En esta página te explicamos ambas en detalle.
Podemos ser concretos en lugar de limitarnos a tranquilizarte, porque la privacidad se reduce a tres hechos verificables: dónde está registrada una empresa, dónde están sus servidores y qué ley puede usarse para llegar hasta ellos. Eso es lo que decide qué se puede hacer realmente con tus datos, prometa lo que prometa cualquier documento de condiciones. Todas las demás frases sobre privacidad que encontrarás en internet, incluidas las nuestras, se apoyan en esos tres hechos.
Por qué la jurisdicción lo determina todo
La protección de datos no es, ante todo, una disciplina técnica. El cifrado protege los datos mientras viajan; la ley decide qué pasa con ellos una vez que han llegado y qué normas tiene que cumplir la empresa que los guarda.
Por eso, la primera pregunta que conviene hacerle a un proveedor no es «¿cifráis?» —casi todos lo hacen—, sino «¿a la ley de qué país estáis sujetos?». Una empresa solo puede proteger tus datos hasta donde se lo permite su propio marco legal. Más allá de ese punto, las buenas intenciones no sirven de nada.
XS News está registrada en los Países Bajos, y los servidores a los que te conectas desde Europa están en la región de Ámsterdam. La parte con la que tienes el contrato —y la única a la que podría dirigirse un requerimiento— es una empresa neerlandesa. No hay ninguna empresa matriz en otro país. Ser europeos tiene consecuencias prácticas que van más allá de lo legal (latencia, precios en euros, horario de atención al cliente): qué supone en la práctica un proveedor europeo →
La CLOUD Act de EE. UU. no se nos aplica
La CLOUD Act es una ley estadounidense de 2018. Permite a las autoridades de EE. UU. obligar a un proveedor de servicios estadounidense a entregar datos de sus clientes y, lo que es clave, se aplica independientemente del país en el que estén almacenados físicamente los datos.
Este es el detalle que pilla a muchos por sorpresa. Un proveedor con sede en EE. UU. puede alquilar un centro de datos en Fráncfort o Ámsterdam, anunciar «servidores europeos» con total veracidad y seguir sujeto a esa ley. Los servidores están en Europa; la empresa, no. Ninguna cláusula de sus condiciones de servicio puede anular una obligación que le impone su propio gobierno.
Así que «servidores en la UE», por sí solo, dice muy poco. Lo que importa es dónde está registrada la propia empresa, y la nuestra lo está en los Países Bajos. En nuestra estructura no hay ninguna entidad estadounidense a la que pueda aplicarse la CLOUD Act: ni empresa matriz estadounidense, ni filial en EE. UU., ni ningún operador estadounidense que gestione nuestra infraestructura en nuestro nombre.
No es una política que podamos cambiar discretamente más adelante. Es una consecuencia de cómo está constituida la empresa.
Lo que el RGPD te da de verdad
El RGPD se menciona tanto que ha empezado a sonar a mero trámite. No lo es. Te otorga derechos concretos y exigibles sobre los datos que una empresa tiene sobre ti:
- Acceso: puedes preguntarnos qué datos tenemos sobre ti y estamos obligados a decírtelo.
- Rectificación: cualquier dato incorrecto se corrige.
- Supresión: puedes pedir que se eliminen tus datos, salvo cuando la ley nos obligue a conservarlos (las facturas, durante el plazo que establece la normativa fiscal neerlandesa).
- Portabilidad: puedes solicitar tus datos en un formato que puedas llevarte a otro sitio.
- Oposición: puedes oponerte a cualquier tratamiento que no hayas solicitado.
Detrás de esos derechos hay además un principio que importa más que cualquiera de ellos por separado: la minimización de datos. Según el RGPD, solo podemos recopilar lo que realmente necesitamos para prestar el servicio. No lo que podría resultar interesante ni lo que se podría monetizar más adelante: lo necesario. Y eso nos lleva a la sección más importante de esta página.
Lo que guardamos y lo que, a propósito, no guardamos
La garantía de privacidad más sólida no es la promesa de proteger los datos. Es no tenerlos desde el principio. Lo que nunca se ha registrado no puede filtrarse en una brecha de seguridad, ni reclamarse más adelante, ni venderse a un anunciante, ni perderlo un empleado.
- Tu dirección de correo electrónico: para enviarte los códigos de inicio de sesión, las facturas y los avisos del servicio.
- Tu nombre de usuario: es lo que permite al servidor reconocer tus conexiones.
- Tu plan y su estado: para que recibas el servicio que has pagado.
- Registros de pago: las facturas que la ley nos obliga a conservar.
Cuatro datos. Si quitas cualquiera de ellos, el servicio deja de funcionar o incumple la ley.
- Lo que descargas. Ningún registro de qué artículos has solicitado.
- Qué grupos lees o por cuáles navegas.
- Lo que has buscado en tu newsreader.
- Tu historial de descargas: no hay ninguna lista que enseñarte, porque esa lista no existe.
- Perfiles de comportamiento: no los creamos, y no vendemos nada a nadie.
Nada de esto hace falta para ofrecer acceso a Usenet, así que el RGPD tampoco nos permitiría recopilarlo.
Fíjate en la asimetría. La columna de la izquierda es corta porque tiene que serlo. La de la derecha es la que demuestra si una política de privacidad va en serio o es puro adorno.
Dónde están realmente tus datos
Merece la pena concretarlo, porque «europeo» es fácil de decir y fácil de matizar. Tus datos de cuenta (dirección de correo electrónico, plan y registros de pago) los guarda XS News en servidores europeos. No un socio ni un encargado del tratamiento en otro continente.
También tenemos servidores en Estados Unidos, y conviene dejar claro para qué sirven: para dar velocidad, y nada más. Existen para que los clientes de Norteamérica tengan una ruta corta hasta los artículos en lugar de cruzar el Atlántico en cada petición. Allí no se guarda ningún dato de clientes. Un artículo de Usenet es un dato público que cualquiera puede descargar; tu cuenta no lo es, y se queda en Europa.
Quién puede ver qué
Conviene precisar quién se entera de qué, en lugar de hablar de «privacidad» de forma genérica:
Cifrado: SSL/TLS de 256 bits, activado por defecto
Todo lo anterior corresponde a la parte de privacidad: qué ley se aplica y qué nos negamos a almacenar. El resto de la página trata de la seguridad: qué protege la propia conexión cada vez que se abre.
Todas las conexiones entre tu newsreader y nuestros servidores están protegidas con cifrado SSL/TLS de 256 bits en el puerto 563, el puerto NNTP seguro estándar. (Verás que se usan los dos nombres para lo mismo: TLS es el sucesor moderno de SSL, y la mayoría de los newsreaders siguen llamando a esta opción «SSL»). No es una función premium, ni un complemento, ni una casilla que tengas que buscar en un panel de ajustes: es la configuración con la que viene el servicio de serie.
Lo que te aporta en concreto:
- Tu proveedor de internet no puede leer tu tráfico. Ve bytes cifrados que van a una dirección neerlandesa, pero nada de su contenido.
- Tampoco puede leerlo nadie que esté en la red entre tú y nosotros: ni en una wifi pública, ni en un hotel, ni en una conexión compartida.
- La conexión está autenticada, así que tu newsreader puede comprobar que realmente se comunica con nuestro servidor y no con algo que se hace pasar por él.
Nuestros tutoriales de newsreaders usan siempre la configuración cifrada, así que, sigas el que sigas, tendrás SSL/TLS activado sin tener que pensar en ello.
Autenticación segura y cuenta bajo control
Tu cuenta tiene su propio nombre de usuario y contraseña, que sirven para autenticar todas y cada una de las conexiones. Esto tiene dos consecuencias prácticas:
- Puedes cambiar la contraseña tú mismo, cuando quieras, desde el área de miembros. Si pierdes un dispositivo o compartiste tus credenciales con alguien en quien ya no confías, no tienes que contactar con nadie: cámbiala y todas las conexiones que usen la antigua dejarán de funcionar.
- Para entrar en tu cuenta se usa un código de un solo uso que recibes por correo electrónico, así que para acceder al área de cuenta hace falta tener acceso a tu buzón; no basta con adivinar una contraseña.
Sin app, sin telemetría
Este punto es fácil de pasar por alto, porque se trata de una ausencia. Usenet funciona mediante un protocolo estándar, a través de un newsreader que eliges tú. No hay ninguna aplicación de XS News en tu ordenador ni en tu móvil.
Es decir, en tu dispositivo no se ejecuta ningún software nuestro que pueda recopilar estadísticas de uso, informes de errores, identificadores del dispositivo, identificadores publicitarios o una lista de contactos. Aunque quisiéramos, no podríamos crear un perfil de comportamiento a partir de tu dispositivo, porque no tenemos nada instalado en él. Solo un servidor, un puerto y tus credenciales.
Pruébalo y luego decide
No tienes por qué fiarte sin más de lo que diga una web. Nuestra política de privacidad es la versión formal de esta página, y nuestras condiciones detallan el resto.
Cuando quieras probar el servicio en sí, elige un plan que puedes cancelar en unos pocos clics. Todo lo que explicamos en esta página se aplica a todos los planes que vendemos, mensuales o anuales: la privacidad no es un extra.
