Política de cookies

Las cookies son pequeños archivos de texto que el sitio deja en tu dispositivo (computador, tableta o teléfono) y que el navegador devuelve en cada petición al mismo sitio. Sirven para reconocer tu sesión, recordar una preferencia o proteger un formulario. Una cookie «de sesión» desaparece al cerrar el navegador; una «persistente» dura hasta la fecha que declara o hasta que la borras.

El almacenamiento local (localStorage) es un espacio del navegador parecido, con dos diferencias: lo escribe y lo lee sólo el código de la página que ves, no viaja al servidor con las peticiones y no caduca por sí solo — permanece hasta que tú o el navegador lo borran.

Custodio Legal usa cookies y almacenamiento local únicamente para cuatro cosas:

• (a) Autenticación y seguridad: mantener tu sesión iniciada, proteger los formularios contra peticiones falsificadas y asegurar el inicio de sesión con Google o con Microsoft;
• (b) Preferencias: recordar tu idioma, tu tema (claro u oscuro) y las decisiones que ya tomaste, como tu respuesta al aviso de cookies;
• (c) Medición de campañas: saber por qué enlace llegó un despacho al sitio. Tiene dos mitades y no se parecen. La nuestra es una cookie propia que guarda las etiquetas que el enlace ya traía, el nombre del sitio desde el que llegaste y la dirección de la página por la que entraste, sin ningún identificador tuyo (sección 3). La otra es la etiqueta de Google Ads, que se limita al sitio público y sólo se carga si aceptas la publicidad (sección 4);
• (d) Medición del uso del sitio público: saber, en cifras agregadas, qué páginas y qué guías se leen y cuáles sirven, para escribir mejores. La hacen dos herramientas de terceros, descritas en la sección 4: Google Analytics 4, que sólo se carga si aceptas la analítica, y Cloudflare Web Analytics, que no escribe ninguna. Dentro del producto, Google Analytics 4 mide un solo momento, y sólo si aceptaste la analítica: el instante en que se crea una cuenta (sección 4).

Ninguna de estas finalidades sirve para leer lo que haces con tus asuntos: la etiqueta de Google no se carga en ninguna pantalla del producto salvo en el instante en que acabas de crear tu cuenta, y entonces sólo dice que la cuenta se creó (sección 4); y Cloudflare Web Analytics cuenta visitas a páginas sin ver su contenido.

Estas son todas las cookies que escribe Custodio Legal. Nueve son necesarias para lo que hacen y la décima —la de medición de campañas propia— no lleva ningún identificador, aunque, si creas una cuenta, lo que guarda queda asociado a tu despacho (sección 3); ninguna sirve para publicidad ni para seguirte fuera del sitio.

Cookie	Para qué sirve	Duración
law_flow_session	Mantiene tu sesión iniciada. Lleva un identificador aleatorio; el servidor no guarda ese identificador sino una huella con clave de él.	Hasta 7 días desde que inicias sesión, o hasta que la cierras.
_csrf	Protege cada formulario y cada envío contra peticiones falsificadas desde otro sitio.	Hasta 24 horas.
lang	Recuerda el idioma en que quieres leer el sitio y el producto.	1 año.
flash_notice	Lleva un aviso de una sola lectura entre una redirección y la página que lo muestra, por ejemplo el resultado de vincular tu cuenta de Google.	1 minuto; se borra al mostrarse.
oauth_state	Protege el inicio de sesión con Google o con Microsoft: comprueba que la respuesta del proveedor que elegiste corresponde a la petición que salió de tu navegador.	5 minutos.
oauth_consent	Durante el registro con Google o con Microsoft, recuerda que marcaste la aceptación de los términos y la autorización de tratamiento de datos antes de salir hacia el proveedor que elegiste.	5 minutos.
oauth_link_state	Protege la vinculación de tu cuenta de Google desde la configuración de tu cuenta.	5 minutos.
oauth_nonce	Protege el inicio de sesión con Microsoft: guarda un valor aleatorio, atado al de oauth_state, que Microsoft devuelve dentro de su respuesta, y comprueba que esa respuesta se emitió para esta petición y no es una vieja que se reutiliza.	5 minutos.
oauth_return	Si llegaste a iniciar sesión desde la pantalla en la que autorizas a un asistente externo conectado por MCP, recuerda a qué autorización volver cuando termina el inicio de sesión con Google o con Microsoft. Va atada al valor de oauth_state y sólo devuelve a esa pantalla.	5 minutos.
law_flow_attribution	Recuerda por qué enlace llegaste, para saber qué campaña nuestra trae despachos. Guarda únicamente las etiquetas que el propio enlace traía en la dirección (utm_source, utm_medium, utm_campaign, utm_content), el nombre del sitio desde el que llegaste —no la página concreta que estabas leyendo en él— y la dirección de la página nuestra por la que entraste, sin lo que venga después del signo de interrogación: /guias/consulta-de-procesos, por ejemplo, para saber qué guía nuestra trae despachos. No lleva ningún identificador tuyo: dos personas que llegan del mismo enlace a la misma página escriben exactamente el mismo valor, así que no cuenta visitantes y no te reconoce si vuelves. Si creas una cuenta mientras la cookie existe, lo que guarda se copia a la ficha de tu despacho, y desde ese momento sí queda asociado a él y a quien lo registró (sección 5). Sólo se escribe si llegaste por un enlace con etiquetas o desde otro sitio, nunca si escribes la dirección; y sólo la primera vez.	30 días.

Las diez comparten los mismos atributos: HttpOnly (ningún script de la página puede leerlas), Secure (viajan sólo por HTTPS) y SameSite=Lax (el navegador no las envía en peticiones que origine otro sitio).

Además, guardamos en el almacenamiento local de tu navegador:

• theme: el tema claro u oscuro que elegiste, en el sitio y en el producto;
• cookieConsent, cookieConsentVersion y cookieConsentDate: tu respuesta al aviso de cookies del sitio público —qué finalidades aceptaste: la analítica, la publicidad, las dos o ninguna—, la versión de la pregunta que respondiste y la fecha en que respondiste. Es lo que evita que te preguntemos otra vez y lo que decide si la etiqueta de Google se carga y para qué, en el sitio y en el instante del registro;
• upgrade-banner-dismissed: dentro del producto, que ya cerraste el aviso que invita a cambiar de plan.

Ninguno de estos valores viaja al servidor. Permanecen hasta que los borras desde la configuración del navegador o, en el caso de cookieConsent, desde el enlace «Preferencias de cookies» (sección 6).

En las páginas del sitio público —portada, quiénes somos, contacto, seguridad, precios, vigilancia judicial, guías y estos documentos legales— cargamos la etiqueta de Google Ads si aceptas la publicidad: es lo que nos permite saber qué campaña trajo a un despacho. La etiqueta de Google Ads no se carga en las pantallas de inicio de sesión y registro ni en ninguna pantalla del producto: la publicidad mide campañas, no lo que un abogado hace con sus asuntos. El registro llega a Google Ads por otro camino, que describe el párrafo «El registro» más abajo.

La etiqueta de Google no se carga hasta que decides. Mientras no hayas respondido el aviso de cookies, o si eliges «Solo esenciales» o lo cierras, el sitio no pide ningún archivo a Google y no le envía nada: ni cookies ni pings sin cookies. El aviso te pregunta por separado dos finalidades: la analítica, que es Google Analytics 4, y la publicidad, que es Google Ads. Cuando aceptas al menos una, la etiqueta se carga con el consentimiento de Google (Consent Mode v2) que corresponde a lo que aceptaste: la analítica concede el almacenamiento de analítica; la publicidad concede el almacenamiento de publicidad, los datos de usuario para publicidad y la personalización de anuncios. Lo que no aceptaste queda denegado, la redacción de datos de anuncios queda activada, y sólo se configura el servicio de Google de lo que aceptaste: si aceptas sólo la analítica, la etiqueta no configura Google Ads y no le envía nada.

Sólo si aceptas la publicidad —con «Aceptar todas» o eligiéndola— la etiqueta configura Google Ads, y sólo desde ese momento: escribe _gcl_au en nuestro dominio, para atribuir la visita al clic en un anuncio, y puede escribir IDE en el dominio de Google para medir y personalizar anuncios. Su duración la fija Google y la publica en su política de cookies; al momento de esta versión, _gcl_au dura 90 días e IDE 13 meses. Google LLC (Estados Unidos) es responsable de sus propias cookies y del tratamiento que hace con ellas, bajo su propia política de privacidad. No vendemos tus datos personales a anunciantes ni usamos el contenido de tus asuntos para publicidad.

Google Analytics 4. Por la misma etiqueta —no se carga ningún script adicional— medimos el uso del sitio público con Google Analytics 4: qué páginas y qué guías se visitan, cuánto se recorren, qué enlaces salen hacia otros sitios, qué videos se reproducen y qué archivos se descargan. Dejamos apagadas a propósito la medición de búsquedas en el sitio y la de interacciones con formularios, para que ningún número de expediente ni ningún texto que escribas en un formulario viaje a Google. En el sitio público sólo se carga si aceptas la analítica —con «Aceptar todas» o eligiéndola—; sin ella no se configura ni envía nada. Con ella, escribe en nuestro dominio _ga, para distinguir un navegador de otro entre visitas, y _ga_<id>, para mantener el estado de la sesión de medición; Google fija su duración en 2 años (documentación de Google Analytics consultada el 23 de septiembre de 2026), y los navegadores pueden acortarla. Para esta medición Google actúa como encargado del tratamiento por cuenta nuestra, bajo sus condiciones de tratamiento de datos (Data Processing Terms), que aceptamos; en la cuenta tenemos desactivadas las cuatro opciones de compartir datos de Analytics con Google para sus propios productos y servicios, sus modelos, su soporte técnico y sus recomendaciones. La propiedad de Analytics está vinculada a nuestra propia cuenta de Google Ads para ver en ella las métricas del sitio y para contar como conversión el registro que describe el párrafo siguiente; no importamos audiencias de Analytics para mostrarte anuncios (remarketing), y Google signals —que asocia la medición a cuentas de Google con sesión iniciada— está desactivado. Los datos de eventos y de usuario de esta medición se conservan en Analytics 14 meses, el plazo que fijamos en la propiedad; pasado ese plazo Google los borra. Las cifras que vemos son agregadas: no las cruzamos con tu cuenta del producto.

El registro. Dentro del producto, la etiqueta de Google se carga en un solo momento —cuando acabas de crear tu cuenta, con correo y contraseña, con Google o con Microsoft— y sólo si aceptaste la analítica en el aviso de cookies del sitio. Entonces configura Google Analytics 4 —no la etiqueta de Google Ads— sin enviar una vista de página, y envía un único evento, el de registro (sign_up), con el método por el que te registraste y la dirección de la pantalla sin lo que sigue al signo de interrogación, salvo las etiquetas de campaña del enlace por el que llegaste; nunca tu nombre, tu correo ni un identificador de tu cuenta o de tu despacho. Aplica la elección que guardó el aviso de cookies: con la analítica aceptada puede escribir o leer _ga y _ga_<id>, las cookies descritas en el párrafo anterior; sin ella, la etiqueta no se carga y el evento no se envía. Importamos ese evento a nuestra cuenta de Google Ads como conversión, para saber qué campaña trae cuentas nuevas. Quien entra con una cuenta que ya existía, o trabaja en el producto, no carga la etiqueta.

Cloudflare Web Analytics. Nuestro sitio se sirve a través de Cloudflare, y Cloudflare Web Analytics cuenta las páginas vistas de forma agregada —qué página, desde qué sitio se llegó, con qué tipo de navegador y dispositivo, cuánto tardó en cargar— para saber qué se lee y si el sitio responde rápido. No escribe cookies ni usa el almacenamiento local, y no asigna ningún identificador a tu navegador. Como en toda petición web, el envío lleva también tu dirección IP. Cloudflare, Inc. (Estados Unidos) lo presta como encargado del tratamiento por cuenta nuestra.

Custodio Legal se ofrece en Argentina, en Brasil, en Colombia, en Costa Rica, en Ecuador, en la República Dominicana y en Uruguay. El uso de cookies se rige por la Ley 25.326 y su Decreto 1558/2001 en Argentina, por la Lei nº 13.709/2018 (LGPD) en Brasil, por la Ley 1581 de 2012 y el Decreto 1377 de 2013 en Colombia, por la Ley N° 8968 y su Reglamento (Decreto Ejecutivo N° 37554-JP) en Costa Rica, por la LOPDP y su Reglamento en Ecuador, por la Ley núm. 172-13 en la República Dominicana, y por la Ley N° 18.331 y su modificativa, la Ley N° 19.670, en Uruguay.

Las nueve primeras cookies propias de la sección 3 y el almacenamiento local no requieren tu consentimiento: son necesarias para prestar el servicio que tú mismo pides —iniciar sesión, proteger tus envíos, leer el sitio en tu idioma— (LOPDP, artículo 7, numeral 5) y, en el caso de la sesión y de tu cuenta, están cubiertas por la autorización de tratamiento de datos que otorgas al registrarte (Ley 1581 de 2012, artículo 9). Por sí solas no dicen quién eres: llevan un identificador aleatorio o un código de idioma. Puedes borrarlas desde el navegador; sin ellas el inicio de sesión y los formularios dejan de funcionar.

La décima, law_flow_attribution, tampoco lo requiere, y conviene decir exactamente por qué. Mientras vive sólo en tu navegador guarda las etiquetas que el propio enlace por el que llegaste ya llevaba escritas en la dirección, el nombre del sitio del que veniste y la dirección de la página nuestra por la que entraste; no contiene ningún identificador, no distingue tu navegador del de nadie más y no permite reconocerte ni dentro ni fuera del sitio. Pero si creas una cuenta mientras existe, ese contenido se guarda junto a la ficha de tu despacho, y desde ese momento es un dato asociado a él y a quien lo registró: por qué enlace llegó. Lo usamos para saber qué publicaciones nuestras traen despachos; lo lee sólo el embudo interno de administración, no se envía a Google ni a ningún tercero y no se usa para publicidad. Ese uso queda dentro de la autorización que otorgas al registrarte y sigue las reglas de la Política de Tratamiento de Datos Personales. Puedes borrar la cookie desde el navegador antes de registrarte y no perderás nada: no interviene en ningún servicio.

La etiqueta de Google de la sección 4 —Google Analytics 4 y Google Ads— sólo se carga con tu consentimiento previo, expreso e informado, que otorgas por separado para cada finalidad: la analítica para Google Analytics 4 y la publicidad para Google Ads (Ley 1581 de 2012, artículo 9; LOPDP, artículos 7, numeral 1, y 8). Antes de que decidas no se carga ni envía nada, porque no todas las leyes de los siete países nos dan para ese envío una base distinta de tu consentimiento. Elegir «Solo esenciales» o cerrar el aviso no otorga ninguno de los dos, y en ese estado la etiqueta no se carga. Puedes retirar el consentimiento en cualquier momento (sección 6); el retiro no afecta lo tratado mientras estuvo vigente.

Cloudflare Web Analytics no escribe nada en tu dispositivo —no deja cookies ni usa el almacenamiento local—, así que la regla de las cookies no le pide tu consentimiento. Eso no quiere decir que no trate datos: cada envío lleva tu dirección IP, como toda petición web. Lo que la funda es un interés legítimo en saber qué páginas del sitio se leen y si responden bien, y lo que la acota es lo que recibimos: sólo cifras agregadas de páginas vistas, sin ningún identificador de tu navegador y sin nada que sirva para reconocerte. Cloudflare la presta como encargado por cuenta nuestra (sección 4).

Tienes cuatro formas de decidir:

• (1) El aviso de cookies que aparece la primera vez que visitas el sitio público: «Aceptar todas» acepta la analítica y la publicidad; «Elegir» te deja aceptar sólo una de las dos; «Solo esenciales» y cerrar el aviso no aceptan ninguna y la etiqueta de Google no se carga. Si cambiamos lo que el aviso pregunta, te lo volvemos a preguntar: una respuesta dada a una pregunta anterior deja de valer y, mientras no respondas la nueva, la etiqueta no se carga;
• (2) El enlace «Preferencias de cookies», en el pie de todas las páginas del sitio público: borra la respuesta guardada en tu navegador, vuelve a mostrar el aviso para que decidas de nuevo y, si la etiqueta de Google estaba cargada, le comunica que sus cuatro finalidades quedan denegadas y deja de enviar a cada servicio desde ese instante. Es la forma de retirar el consentimiento que diste. Las cookies que Google ya hubiera escrito permanecen en tu navegador hasta que caduquen o hasta que las borres desde su configuración, que es donde viven;
• (3) La configuración de tu navegador, que permite ver, borrar y bloquear cookies sitio por sitio;
• (4) Una extensión del navegador para gestionar cookies.

Bloquear las cookies propias de la sección 3 impide iniciar sesión y usar los formularios.

Cada cookie dura lo que declara la sección 3 y ni un día más: la de sesión, hasta 7 días o hasta que cierres sesión; la de protección de formularios, hasta 24 horas; la de idioma, 1 año; la de medición de campañas propia, 30 días; las del inicio de sesión con Google o con Microsoft, 5 minutos; el aviso de una sola lectura, 1 minuto. Los datos que Google Analytics 4 recoge con tu consentimiento se conservan 14 meses (sección 4). El almacenamiento local no caduca por sí solo. La cookie de sesión lleva un identificador aleatorio que el servidor no conserva en claro, y todas las cookies propias viajan sólo por HTTPS y fuera del alcance de los scripts de la página.

La versión vigente de esta política es la 0.0.14, en vigor desde el 30 de octubre de 2026. La 0.0.14 nombra el inicio de sesión con Microsoft, que el producto ofrece al lado del de Google: suma a la sección 3 la cookie oauth_nonce, necesaria y de 5 minutos, que protege ese inicio de sesión, y dice que oauth_state y oauth_consent sirven también para él. Nombra además oauth_return, que el inicio de sesión con Google ya escribía para volver a la autorización de un asistente externo y que esta política no nombraba; sirve igual para el de Microsoft. No cambia lo que el aviso de cookies te pregunta, ninguna cookie de medición o de publicidad ni ninguna duración. Reemplaza a la 0.0.13, del 11 de octubre de 2026. La 0.0.13 deja de cargar la etiqueta de Google antes de que decidas: hasta esta versión se cargaba en el sitio público con el consentimiento denegado y enviaba a Google pings sin cookies con tu dirección IP, la página, el referente y el navegador, y ahora no se carga ni envía nada hasta que aceptas una finalidad (secciones 4 y 5). Y separa lo que el aviso de cookies te pregunta en dos finalidades, la analítica y la publicidad, que puedes aceptar una sin la otra (secciones 3, 4 y 6). Como cambia lo que el aviso te pregunta, te lo vuelve a preguntar aunque ya hubieras respondido. No agrega ninguna cookie ni cambia ninguna duración. Reemplaza a la 0.0.12, del 10 de octubre de 2026. La 0.0.12 corrige dos afirmaciones de la sección 5. La primera decía que law_flow_attribution no trata datos personales tuyos y no puede cruzarse con nada; no es así cuando creas una cuenta mientras la cookie existe, porque su contenido se guarda junto a la ficha de tu despacho, y ahora la política lo dice en las secciones 3 y 5. La segunda fundaba Cloudflare Web Analytics sólo en que no escribe nada en tu dispositivo; ahora dice también que trata tu dirección IP y en qué se funda ese tratamiento. No agrega ninguna cookie, no cambia ninguna duración y no cambia lo que el aviso de cookies te pregunta. Reemplaza a la 0.0.11, del 1 de octubre de 2026. La 0.0.11 describe en la sección 4 el único momento en que la etiqueta de Google se carga dentro del producto —el instante en que se crea una cuenta, para enviar a Google Analytics 4 el evento de registro bajo el mismo consentimiento— y corrige las frases de las secciones 2 y 4 que decían que no se cargaba en ninguna pantalla del producto. No agrega ninguna cookie, no cambia ninguna duración y no cambia lo que el aviso de cookies te pregunta. Reemplaza a la 0.0.10, del 23 de septiembre de 2026. La 0.0.10 suma la finalidad (d) de la sección 2, la medición agregada del uso del sitio público, y describe en la sección 4 las dos herramientas que la hacen: Google Analytics 4, que viaja por la misma etiqueta de Google y bajo el mismo consentimiento, y sólo con él escribe _ga y _ga_<id>; y Cloudflare Web Analytics, que no escribe cookies ni usa el almacenamiento local. Retira la frase que decía que ninguna herramienta de terceros medía la navegación, que ya no era cierta: Cloudflare Web Analytics medía el sitio sin que la política lo nombrara. Reemplaza a la 0.0.9, del 18 de septiembre de 2026. La 0.0.9 precisa qué guarda la cookie propia law_flow_attribution: suma a las etiquetas y al nombre del sitio referente la dirección de la página nuestra por la que entraste, sin la parte que sigue al signo de interrogación. No agrega ninguna cookie, no cambia ninguna duración, no crea ninguna finalidad nueva y no lleva ningún identificador tuyo: dos personas que entran por la misma página escriben el mismo valor. Reemplazó a la 0.0.8, del 16 de septiembre de 2026. La 0.0.8 suma a Brasil a la base legal y al ámbito de la sección 5 —la Lei nº 13.709/2018, Lei Geral de Proteção de Dados Pessoais—, porque el Servicio se ofrece ahora en siete países. No cambia ni una cookie, ni una duración, ni una finalidad. Reemplazó a la 0.0.7, del 13 de septiembre de 2026. La 0.0.7 suma a Argentina a la base legal y al ámbito de la sección 5 —la Ley 25.326 y su Decreto 1558/2001—, porque el Servicio se ofrece ahora en seis países. No cambia ni una cookie, ni una duración, ni una finalidad. Reemplaza a la 0.0.6, del 12 de septiembre de 2026. La 0.0.6 suma a Uruguay a la base legal y al ámbito de la sección 5 —la Ley N° 18.331 y su modificativa, la Ley N° 19.670—, porque el Servicio se ofrece ahora en cinco países. No cambia ni una cookie, ni una duración, ni una finalidad. Reemplaza a la 0.0.5, del 10 de septiembre de 2026, a la 0.0.4, del 8 de septiembre de 2026, a la 0.0.3, del 4 de septiembre de 2026, a la 0.0.2, del 4 de septiembre de 2026, y a la 0.0.1, vigente desde abril de 2026. La 0.0.5 suma a Costa Rica a la base legal y al ámbito de la sección 5 —la Ley N° 8968 y su Reglamento, Decreto Ejecutivo N° 37554-JP—, que el texto ya nombraba sin que la versión se hubiera movido con él, y nombra las cuatro normas como las publica su fuente también en la traducción al inglés, donde las de Colombia y del Ecuador estaban traducidas. No cambia ni una cookie, ni una duración, ni una finalidad. La 0.0.4 declara la cookie propia law_flow_attribution, que recuerda por qué enlace llegaste durante 30 días sin llevar ningún identificador tuyo, y precisa la finalidad (c) de la sección 2, que hasta ahora sólo describía la mitad de terceros. La 0.0.3 retira la cookie law_flow_impersonate_restore y la duración de una hora de la sesión de soporte: la función que las creaba —el acceso de soporte con la identidad de un usuario del despacho— dejó de existir, así que ninguna de las dos se escribe ya en ningún navegador. La 0.0.2 nombró cada cookie propia con su finalidad, duración y atributos, declara el almacenamiento local, retira la mención a cookies de analítica y de rendimiento que no existen, corrige la base legal de las cookies necesarias, describe lo que la etiqueta de Google envía antes de que decidas y agrega el enlace «Preferencias de cookies» como medio para retirar el consentimiento. Podemos actualizar esta política para reflejar cambios en nuestras prácticas o en la normativa; cada versión nueva se publica aquí con su fecha y su número, y los cambios importantes se comunican a través de la plataforma.

Esta política se redacta en español; en caso de diferencia con sus traducciones prevalece la versión en español. Para preguntas sobre ella, o para ejercer tus derechos de acceso, rectificación, cancelación y oposición conforme a la Política de Tratamiento de Datos Personales, escríbenos a [email protected].