Ámbito: AparKom · aparkom.com · Inventario factual de capturas; pendiente de validación jurídica

Cookies y tecnologías similares

Esta página resume hechos observados en código y en pruebas runtime en producción (incluidas capturas con cuenta de prueba y Stripe Checkout en modo Test, sin pagar). Debe leerse junto con la Política de privacidad (§15).

No se afirma que AparKom utilice exclusivamente cookies técnicas, ni que exista un sistema de consentimiento (CMP), ni que las once cookies observadas en Checkout requieran todas consentimiento — ni lo contrario. La clasificación jurídica queda pendiente.

1. Observaciones runtime (producción)

1.1. Landing anónima

• Cookies HTTP: 0 (ni Set-Cookie first-party observadas en la captura).
• Terceros / hosts: tipografía vía Google Fonts y recursos en gstatic.
• Almacenamiento: IndexedDB asociada a Firebase (firebaseLocalStorageDb) puede aparecer ya en visita anónima.

1.2. Login y mapa autenticado

• Cookies HTTP de primera parte (aparkom.com): 0 en las capturas.
• Sesión: Firebase Auth en IndexedDB (firebaseLocalStorageDb, también firebase-heartbeat-database) — no como cookie HTTP first-party.
• localStorage: al menos parkom-theme (preferencia de tema).
• Hosts / scripts: Identity Toolkit, Firestore, Cloud Functions (región europe-west1 del proyecto), Google Maps (maps.googleapis.com / maps.gstatic.com), además de gstatic/fonts.

En el código cliente también existen otras claves de almacenamiento (radio de búsqueda, cachés de historial, preferencia FCM, aceptación de términos en sessionStorage, pending hire/checkout) que pueden escribirse según el flujo; no todas se materializaron en cada captura.

1.3. Stripe Checkout (modo Test, sin pagar)

Al abrir la página alojada de Checkout Test se observaron 11 cookies HTTP de terceros (dominios distintos de aparkom.com). Nombres y dominios capturados (valores no publicados):

• Stripe: __stripe_mid, __stripe_sid (.checkout.stripe.com); m (m.stripe.com); apay-session-set (b.stripecdn.com).
• Amazon Pay (en el flujo Checkout): session-id, session-id-time, session-id-apay, session-token (.amazon.com).
• hCaptcha: __cf_bm (.hcaptcha.com); hmt_id, __cflb (api.hcaptcha.com).

Hosts de red observados en esa fase incluyen, entre otros, api.stripe.com, js.stripe.com, checkout-cookies.stripe.com, merchant-ui-api.stripe.com y r.stripe.com.

Limitación de la captura: la sesión Checkout Test se abrió en modo Test sin completar el pago. La finalidad exacta, duración, destinatario contractual y base jurídica de cada cookie no se deducen solo del nombre: quedan para revisión jurídica. No se asume que las once tengan el mismo régimen.

1.4. Retorno tras cancelar el Checkout

• Tras volver a AparKom con cancelación (?billing=cancel), no se observaron cookies HTTP first-party en aparkom.com.
• Las cookies de terceros del Checkout pueden persistir en el almacén del navegador (jar) aunque la página activa sea de AparKom.

2. Hallazgos de código (complemento)

• En el código cliente de public/ no se han encontrado escrituras a document.cookie.
• Firebase (Auth, Firestore, Messaging, Functions), Google Maps y Google Fonts están integrados según el código.
• Stripe Checkout se usa para planes de pago (redirección a entorno alojado por Stripe).
• No se ha encontrado Google Analytics, GTM, Meta Pixel ni measurementId de Analytics en la configuración Firebase del cliente inspeccionada.
• Service workers: /sw.js (limpieza de cachés legacy); /firebase-messaging-sw.js (FCM, asociado al flujo de notificaciones).

3. Momento de carga (hecho vs decisión del usuario)

Observado antes de un login o de abrir Checkout: en landing anónima ya pueden cargarse Fonts/gstatic y aparecer IndexedDB de Firebase; 0 cookies HTTP first-party en esa captura.

Observado al usar la app (login / mapa): scripts de autenticación, datos y Maps; almacenamiento Firebase y preferencia de tema; sigue sin cookies HTTP first-party en las capturas.

Observado solo al llegar a Checkout alojado: el conjunto de cookies Stripe / Amazon Pay / hCaptcha de la captura. Eso ocurre en el dominio de Checkout, tras iniciar (o abrir) ese flujo — no en la landing anónima de la captura.

Evidencia que falta para decidir un bloqueo pre-consentimiento: clasificación jurídica de cada tecnología (incluida IndexedDB Firebase y scripts Maps/Fonts en fases previas al Checkout), bases aplicables y si alguna operación exige consentimiento previo al almacenamiento o acceso. Sin CMP desplegado, no hay registro de una «decisión» del usuario vía banner.

4. Pendiente de revisión jurídica (mantenido)

• Clasificación de cada cookie/tecnología (esencialidad, información, consentimiento).
• Países de tratamiento y garantías de transferencias (Política de privacidad §10 — sigue pendiente de verificación).
• Finalidad, duración y destinatarios precisos de las cookies de Checkout cuando no consten de forma verificada.
• Si debe desplegarse un mecanismo de información/consentimiento y en qué momento del recorrido.

5. Gestión por el usuario

Puedes borrar datos del sitio y restringir almacenamiento desde la configuración del navegador. Los permisos de ubicación y notificaciones se solicitan por el sistema operativo/navegador cuando corresponde. No hay un banner CMP desplegado.

6. Contacto

Consultas: soporte@aparkom.com.