gottrix.app procesa archivos 100% en local en tu navegador: el código de conversión no tiene acceso a ningún servidor externo (impuesto por la Content-Security-Policy), así que una subida es técnicamente imposible. La entrega se realiza por TLS 1.2/1.3 con HSTS (2 años), un conjunto completo de cabeceras de seguridad y alojamiento en Hetzner, en Alemania. Cada afirmación de esta página es verificable por ti mismo.
Arquitectura de cero subidas: seguridad por eliminación
Los conversores en línea habituales suben tu archivo a un servidor, lo procesan allí y te devuelven el resultado - cada uno de esos pasos es una superficie de ataque. gottrix elimina por completo el paso crítico: los motores (para imágenes, PDFs, audio, vídeo y más) se ejecutan como WebAssembly directamente en tu navegador. Lo que nunca se transmite no puede interceptarse en tránsito, no puede filtrarse desde ningún servidor y no puede exigírsele a nadie.
Esto se impone por arquitectura, no por política, con dos zonas estrictamente separadas: el código que toca los bytes de tu archivo (motores y web workers) está limitado a su propio origen por la Content-Security-Policy y no contiene ninguna llamada de red - una prueba automática lo verifica en cada build. La capa de página, que nunca ve tus archivos, solo puede alcanzar una lista blanca de analítica documentada.
Motores y workers: 0 primitivas de red, ningún origen externo - comprobado de forma estática en cada build.
Capa de página: peticiones externas solo a la lista blanca de analítica documentada, nunca bytes de archivo.
Sin alternativa de subida: si el procesamiento local falla, obtienes un mensaje de error honesto - nunca un desvío por servidor.
Prueba sin conexión: tras tu primera visita, las herramientas siguen funcionando en modo avión - la evidencia más sólida de que no se envía nada.
Flujo de datos: de tu dispositivo al servidor
Cada solicitud a gottrix.app pasa primero por la red Edge de Cloudflare, que termina la conexión TLS y acelera la entrega, antes de reenviarse al servidor de origen de Hetzner en Alemania. Cloudflare y Hetzner solo procesan datos técnicos de conexión, como la dirección IP, la URL solicitada y la marca de tiempo - nunca el contenido de los archivos, ya que estos no salen de tu dispositivo. El formulario de comentarios opcional añade dos ramas más (Cloudflare Turnstile para la protección contra bots, Resend para una única notificación interna); la estadística de uso anónima se ejecuta, solo con tu consentimiento, directamente desde tu navegador hacia Google Analytics 4. La tabla completa de destinatarios con todas las categorías de datos y bases jurídicas está más abajo en esta página.
Destinatarios de tus datos (de conexión)
La siguiente tabla enumera cada destinatario externo que procesa datos técnicos al operar gottrix.app - generada a partir del mismo registro que la política de privacidad, para que ambas páginas nunca diverjan. El contenido de tus archivos no aparece en ninguna fila, porque nunca llega a ninguno de estos destinatarios.
Destinatarios de tus datos (de conexión)
Destinatario
Rol
Sede
Categorías de datos
Base jurídica
Mecanismo de transferencia
Conservación
Hetzner Online GmbH
Origin-Hosting / Server-Zugriffslogs
Deutschland
Gekuerzte/maskierte IP-Adresse (im Caddy-Zugriffslog, GDPR-uebliche Truncation: IPv4 auf /24 = letztes Oktett genullt, IPv6 auf /48 = letzte 80 Bit genullt; Details siehe evidence); Zeitstempel; angefragte URL; User-Agent; HTTP-Statuscode; Feedback-Freitext + optionale Diagnosedaten (Browser/Plattform/Viewport/Client-Zeit) in der Feedback-DB, KEINE IP-Adresse und KEINE E-Mail-Adresse (laut Tabellenschema bewusst keine Spalte dafuer)
Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren, stabilen Betrieb; fuer Feedback: berechtigtes Interesse an Missbrauchsschutz/Bearbeitung, optionale Diagnosedaten Art. 6 Abs. 1 lit. a DSGVO)
keine Drittlanduebermittlung (Sitz Deutschland/EU)
IP-Adresse (jeder Request, da Cloudflare TLS terminiert - nicht auf das Feedback-Formular beschraenkt); angefragte URL; User-Agent; Zeitstempel; TLS-/Verbindungsmetadaten; NEL-Fehlerberichte (Netzwerkfehler-Metadaten des Browsers); Turnstile-Challenge-Antwort-Token + optional die Besucher-IP als remoteip-Parameter (nur beim Absenden des Feedback-Formulars)
Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an sicherer, performanter Auslieferung und Missbrauchs-/Bot-Abwehr)
EU-Standardvertragsklauseln, ggf. EU-US Data Privacy Framework (konkrete Cloudflare-Vertragsgrundlage im Repository nicht dokumentiert - zu verifizieren, siehe offene Punkte)
Art. 6 Abs. 1 lit. a DSGVO i.V.m. § 25 Abs. 1 TDDDG (Einwilligung); vor Einwilligung ausschliesslich anonyme Modellierungssignale ohne Cookie und ohne Personenbezug
EU-Standardvertragsklauseln, EU-US Data Privacy Framework
no determinable de forma concreta
Resend, Inc.
Transaktionale E-Mail (genau eine interne Benachrichtigung pro Feedback-Eingang)
USA
Feedback-Freitext (im E-Mail-Body); optionale Werkzeug-Kennung, Seiten-Pfad, Sprache, Zeitstempel (im E-Mail-Body); optionale Diagnosedaten (Browser/Plattform/Viewport/Client-Zeit), NUR bei separater ausdruecklicher Einwilligung; KEINE Besucher-IP-Adresse, KEINE Besucher-E-Mail-Adresse (laut Code nicht Teil der API-Payload)
Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Bearbeitung des Anliegens); fuer optionale Diagnosedaten Art. 6 Abs. 1 lit. a DSGVO (gesonderte Einwilligung)
EU-Standardvertragsklauseln, soweit einschlaegig EU-US Data Privacy Framework
por lo general 180 días
Plazos de conservación de un vistazo
Todos los plazos de conservación conocidos en gottrix.app, en un solo lugar, de forma concreta y no genérica:
Plazos de conservación de un vistazo
Registros de acceso del servidor (Hetzner, origen)
90 días
Envíos de comentarios (base de datos)
por lo general 180 días
Google Analytics 4 (estadística de uso)
no determinable de forma concreta
La conservación de Google Analytics 4 se configura en la propiedad de Google Analytics, no en el código fuente de gottrix.app - el valor concreto no se puede verificar desde aquí. Todas las bases jurídicas están en la política de privacidad.
Transporte: TLS y HSTS
El sitio web se entrega exclusivamente por HTTPS - TLS 1.2 y 1.3 con conjuntos de cifrado modernos y certificados gestionados automáticamente. HTTP Strict Transport Security (HSTS) está configurado con max-age=63072000 (2 años) incluyendo subdominios: así, el navegador impone HTTPS por sí mismo en cada visita futura. Para situarlo: el contenido de tus archivos nunca viaja por esta conexión, porque nunca sale de tu dispositivo - el cifrado de transporte protege la entrega del sitio en sí.
Cabeceras HTTP de seguridad
Cada respuesta del servidor lleva un conjunto completo de cabeceras de seguridad. Los valores son configuración, no aspiración: una prueba automática interrumpe cualquier despliegue en el que falte o difiera alguna.
Desactiva 12 APIs de dispositivo y sensores (ubicación, USB, las APIs de la privacy sandbox Attribution-Reporting/Browsing-Topics/Interest-Cohort y más) que el sitio no necesita; solo el modo de pantalla completa, la compartición de pantalla, la cámara y el micrófono (para las herramientas de grabación correspondientes) siguen permitidos para el propio origen.
Cross-Origin-Opener-Policy: same-origin
Aísla la ventana del navegador de sitios externos que la hayan abierto.
Cross-Origin-Resource-Policy: same-origin
Impide que sitios externos incorporen o lean recursos de este origen.
La Content-Security-Policy completa
La CSP es el bloqueo técnico detrás de la garantía de cero subidas. Se genera a partir de un único archivo fuente y se muestra aquí en vivo desde esa misma fuente - las 17 directivas, sin abreviar:
Google CSP Evaluator (comprobado el 2026-07-09): 0 hallazgos de severidad alta. Además del propio origen, connect-src permite únicamente la lista blanca de analítica documentada de la capa de página - metadatos, nunca contenido de archivos.
La Content-Security-Policy existente (default-src 'self') también actúa como un bloqueo técnico contra la publicidad: no permite que el código entregado se conecte a ningún origen ajeno. Incluso un script publicitario o de seguimiento inyectado por accidente no podría funcionar, porque el navegador bloquea cualquier conexión de ese tipo según la política. Esto no es un anuncio, sino una propiedad de la arquitectura existente verificable en el código fuente.
Decisión deliberada: las API de la Privacy Sandbox siguen bloqueadas
La fila de Permissions-Policy de arriba bloquea por completo browsing-topics=(), attribution-reporting=() e interest-cohort=() - no es una configuración incidental, sino una decisión deliberada y permanente. Estas tres API forman parte de la «Privacy Sandbox» de Google: mecanismos sustitutos de la cookie de seguimiento clásica que permitirían al propio navegador construir perfiles de interés o almacenar datos de atribución publicitaria. Bloquearlas no es un detalle técnico en gottrix, es un rasgo diferenciador, coherente con la arquitectura de cero subidas: donde el contenido de los archivos ya nunca sale del navegador, tampoco tiene cabida un perfil de interés interno del navegador.
Redes publicitarias
Estado a fecha de 2026-07-25: gottrix no integra actualmente ninguna red publicitaria. Si esto cambiara, se indicaría aquí y en la política de privacidad antes de realizar el cambio.
Verificación independiente
Hay tres revisiones externas firmemente planificadas que se ejecutarán contra el dominio en vivo en el lanzamiento público: SSL Labs (configuración TLS), Mozilla Observatory (postura de seguridad HTTP) y securityheaders.com (integridad de cabeceras). Los resultados solo se muestran y enlazan una vez que los escaneos se han ejecutado realmente - gottrix nunca muestra sellos o notas sin verificar, y una prueba automática en cada build lo garantiza.
Alojamiento y ubicación de los datos
Los servidores de origen los opera Hetzner Online GmbH en Alemania y están sujetos al RGPD. En ellos solo reside el sitio web estático: sin cuentas de usuario, sin contenido de archivos, sin base de datos de contenidos. Los registros del servidor solo contienen datos de acceso técnicamente necesarios con un periodo de conservación de 90 días; existe un contrato de encargo del tratamiento con Hetzner. Como el procesamiento de archivos ocurre en local en tu navegador, el contenido de tus archivos nunca llega de todos modos a esta ubicación.
Analítica y consentimiento
La analítica de uso anónima (Google Analytics 4 con Consent Mode v2 Advanced) arranca con todas las señales en rechazado: sin tu consentimiento no se establece ninguna cookie de analítica ni se crea ningún identificador. Con consentimiento, se miden como máximo las páginas vistas y el identificador de la herramienta usada - nunca nombres de archivo, tamaños de archivo o contenido de archivos. Todos los detalles y las bases jurídicas están en la política de privacidad.
gottrix pone fin a una revisión de privacidad o seguridad en lugar de abrirla: como el contenido de los archivos nunca sale del navegador, técnicamente no se produce ninguna transmisión hacia nosotros - y sin transmisión no hay tratamiento que una revisión deba siquiera detener. Esto se cumple con independencia de quién abra el archivo: un despacho de abogados, una consulta médica, una asesoría fiscal, un departamento de recursos humanos, una administración pública o un particular.
Para el contenido de los archivos no surge ningún contrato de encargo del tratamiento, porque no se produce ninguna transmisión - no existe en gottrix ninguna operación de tratamiento que un contrato deba regular. Para la entrega del sitio web, la analítica de uso basada en consentimiento y el formulario de comentarios independiente, el operador es el responsable del tratamiento, no un encargado. De ahí se deduce que un contrato de encargo del tratamiento (CET) conforme al artículo 28 del RGPD no es necesario ni jurídicamente adecuado para el uso de las propias herramientas - por eso, de forma deliberada, no ofrecemos ninguna plantilla de CET para el procesamiento de archivos.
Esta valoración se aplica explícitamente solo al contenido de los archivos. Para la entrega del sitio web a través de Cloudflare y la analítica de uso (Google Analytics 4), gottrix mismo es el responsable del tratamiento conforme a la normativa de protección de datos, y existen contratos de encargo del tratamiento con los respectivos proveedores para esos servicios (véase la política de privacidad). Quien necesite un CET para la capa del sitio web lo encontrará allí junto con las partes contratantes - pero no para el contenido de archivos, porque no hay ninguna operación de tratamiento que un CET deba cubrir.
Por profesión y sector
Abogados y despachos de abogados
Los expedientes de los clientes están protegidos por el deber de secreto profesional y, en Alemania, penalmente protegidos conforme al artículo 203, apartado 1, número 3 del Código Penal (StGB). En nuestra valoración - que no constituye asesoramiento jurídico para tu caso concreto - el uso de gottrix no cambia nada de esto estructuralmente: un archivo que nunca llega a un servidor externo tampoco se revela nunca a nadie.
¿Incumplo mi deber de secreto profesional al procesar un expediente de un cliente con gottrix?
En nuestra valoración, no, porque no se produce ninguna revelación: el archivo permanece técnicamente en tu dispositivo, gottrix nunca lo ve. Una respuesta vinculante para tu caso concreto solo puede darla tu colegio de abogados o un asesor jurídico específico.
¿Necesito un contrato de encargo del tratamiento con gottrix?
No para el contenido de archivos - no se produce ningún tratamiento que un CET deba regular (véase el modelo de roles arriba). Eso no se aplica a la analítica del sitio web - véase el párrafo sobre separación de capas.
Médicos y consultas médicas
Los historiales de pacientes están sujetos al secreto médico y, en Alemania, al artículo 203, apartado 1, número 1 del StGB, y suelen constituir datos de salud conforme al artículo 9 del RGPD. En nuestra valoración, se aplica el mismo razonamiento estructural que para los abogados: sin transmisión no hay revelación a gottrix.
¿Puedo convertir un informe médico o un resultado de laboratorio con gottrix?
En nuestra valoración, sí, porque el archivo nunca sale de tu dispositivo - ningún tercero accede a su contenido. Para flujos de trabajo especialmente sensibles, sigue siendo recomendable una aprobación interna adicional de TI o de protección de datos de tu consulta o clínica.
Asesores fiscales y auditores
Los asesores fiscales, censores jurados de cuentas y auditores están sujetos a la misma disposición de protección del secreto que los abogados y médicos (en Alemania, artículo 203, apartado 1, número 3 del StGB), además de sus propios deberes de confidencialidad profesional. Los expedientes de clientes y los documentos de cuentas anuales convertidos con gottrix nunca salen del dispositivo en el proceso.
¿Puedo procesar los recibos de un cliente o los PDF de cuentas anuales con gottrix?
En nuestra valoración, sí, por la misma razón estructural que con los abogados: no hay transmisión, no hay revelación. La valoración final para tu despacho corresponde a tu colegio profesional o a tu equipo interno de cumplimiento.
Recursos humanos y departamentos de personal
Las nóminas, los contratos de trabajo y las solicitudes de empleo son datos personales, algunos especialmente sensibles conforme al RGPD - no hace falta ninguna norma especial nueva para llegar al mismo resultado: como el archivo nunca viaja a ningún servidor fuera del dispositivo, el uso de gottrix en sí no crea ningún tratamiento adicional conforme al artículo 4, apartado 2, del RGPD.
¿Podemos convertir nóminas o contratos de trabajo con gottrix?
En nuestra valoración, sí - no surge ningún paso de tratamiento adicional porque el archivo permanece en local. Sigue siendo razonable una aprobación interna de tu equipo de protección de datos, pero no sustituye tu propia revisión caso por caso.
Administraciones públicas y sector público
Además del RGPD, las administraciones públicas suelen estar sujetas a su propio deber de secreto oficial, que varía según el estado, el organismo y el ámbito de competencia - deliberadamente no citamos aquí una única disposición, ya que difiere según la jurisdicción. El punto estructural sigue siendo el mismo: un archivo que gottrix nunca recibe tampoco puede ser revelado indebidamente por nosotros.
¿Podemos usar gottrix para documentos oficiales si los servicios en la nube no están permitidos para nosotros?
A menudo sí, porque la conversión no implica ninguna subida - exactamente el criterio al que suele apuntar una prohibición de la nube. La aprobación vinculante corresponde a tu propia oficina de seguridad informática o de protección de datos, según tus propias normas.
Empresas en general (B2B)
Contratos, cálculos internos, documentos de fusiones y adquisiciones o datos de personal - para cualquier tipo de secreto comercial o documento confidencial se aplica la misma ventaja estructural: no hay ningún paso de subida en el que un tercero pueda leer el contenido.
¿Es gottrix adecuado para secretos comerciales y contratos confidenciales?
En nuestra valoración, sí, porque el archivo nunca sale del dispositivo - una violación de la confidencialidad por transmisión queda estructuralmente excluida, no solo prometida por contrato. Aun así, sigue siendo razonable una aprobación interna conforme a tu propia política de TI.
Particulares
Una nómina, un contrato de alquiler, un resultado de laboratorio, un extracto bancario: incluso sin un deber de confidencialidad profesional, un archivo privado no es asunto de nadie más que tuyo. Como gottrix nunca lo ve, ninguno de nosotros puede reenviarlo por accidente, perderlo o usarlo para otra cosa.
¿Es seguro procesar mi nómina o mi documento de identidad con una herramienta en línea?
Con gottrix, sí, porque no se produce ninguna subida: el archivo permanece en la memoria de tu propio dispositivo. Aun así, sigue aplicándose la regla general: comparte el resultado después solo con quien realmente lo necesite.
Lo que gottrix no tiene
Sin certificación ISO 27001.
Sin SOC 2 (Tipo I o II).
Sin inicio de sesión único (SSO) ni federación de identidades para cuentas empresariales.
Sin acuerdo de nivel de servicio (SLA) de soporte contractual.
Estas carencias se mencionan de forma deliberada, no se ocultan: una revisión que termina en una carencia reconocida es más honesta que una que fracasa por una carencia descubierta.
Contacto para responsables de protección de datos: info@gottrix.app
Divulgación responsable
¿Has encontrado una vulnerabilidad? Agradecemos los informes responsables. Prueba únicamente contra tu propio dispositivo o navegador, sin causar pérdida de datos, interrupción del servicio ni acceso a datos de otros usuarios - dada la arquitectura de subida cero de gottrix, en la práctica eso significa evasiones de la CSP, XSS, configuraciones incorrectas de cabeceras o TLS y vulnerabilidades web similares del propio sitio entregado.
Las pruebas realizadas de buena fe conforme a esta política no conllevan ninguna acción legal por parte de gottrix. Confirmamos la recepción, priorizamos según la gravedad y te mantenemos informado sobre el progreso - actualmente un proyecto en solitario sin un SLA de tiempo de respuesta fijo, pero con interés genuino en cada informe.
Su seguridad se basa en la arquitectura y no en promesas: los archivos se procesan exclusivamente en local en tu navegador y nunca se transmiten a ningún servidor - una Content-Security-Policy estricta prohíbe al código de conversión cualquier conexión externa. A eso se suman TLS 1.2/1.3 con HSTS, un conjunto completo de cabeceras de seguridad y alojamiento en Alemania. Cada uno de estos puntos es verificable por ti mismo en el código fuente, la pestaña de red o mediante la prueba del modo avión.
¿Se suben o se almacenan mis archivos en algún sitio?
No. La conversión se ejecuta por completo en la memoria de tu navegador; no existe ningún endpoint de subida ni almacenamiento en servidor para el contenido de archivos. La Content-Security-Policy deniega al código de motores y workers cualquier conexión a servidores externos, y una prueba automática lo verifica en cada build. Cierra la pestaña y los datos desaparecen - no hay nada que haya que borrar en el servidor.
¿Qué cifrado utiliza gottrix.app?
El sitio web se entrega exclusivamente por HTTPS con TLS 1.2 y 1.3 y conjuntos de cifrado modernos; HSTS impone HTTPS durante dos años incluidos los subdominios. El contenido de tus archivos en sí nunca viaja por ninguna conexión, porque nunca sale de tu dispositivo - el cifrado de transporte protege la entrega del sitio y los metadatos de uso opcionales basados en consentimiento.
¿Dónde se alojan los servidores?
Los servidores de origen los opera Hetzner Online GmbH en Alemania, bajo el RGPD. En ellos solo reside el sitio web estático: sin cuentas de usuario, sin contenido de archivos, sin base de datos de contenidos. Como el procesamiento ocurre en local en tu navegador, la ubicación del servidor es irrelevante para el contenido de tus archivos - nunca lo alcanzan en ningún momento.
¿Cómo puedo verificar estas afirmaciones de seguridad yo mismo?
Tres formas que no requieren conocimientos especiales: la prueba del modo avión (abre una herramienta, desconéctate, convierte - sigue funcionando), la pestaña de red de las herramientas de desarrollo (F12: ninguna petición de archivo durante la conversión) y las cabeceras de respuesta que cualquier navegador puede mostrar. La guía paso a paso está en la página de prueba; en el lanzamiento público se añaden escaneos externos de SSL Labs, Mozilla Observatory y securityheaders.com.
¿Qué datos recopila gottrix en general?
Sin tu consentimiento: ninguna cookie de analítica ni identificadores, solo registros de servidor técnicamente necesarios con un periodo de conservación de 90 días. Con consentimiento, Google Analytics 4 mide el uso agregado, como páginas vistas y el identificador de la herramienta usada; los nombres de archivo, tamaños de archivo y contenido de archivos nunca se registran. Las bases jurídicas completas y cómo retirar el consentimiento están en la política de privacidad.
Verificabilidad: cómo comprobarlo tú mismo
Cada afirmación de esta página puede comprobarse por ti mismo con medios que ya tienes a mano - desde la prueba en modo avión hasta la pestaña de red de las herramientas de desarrollo. La guía completa paso a paso está en la página de prueba. El script de verificación detrás de esta garantía está abierto en el código fuente de este proyecto, en oss/gate-null-upload-static/ - para revisarlo y reutilizarlo.
Los registros de destinatarios, flujo de datos y afirmaciones de esta página se generan a partir de archivos fuente; la fecha de abajo es su último cambio real en el historial de versiones, no se mantiene a mano.
Última actualización: 2026-07-25
Solo con tu consentimiento medimos el uso de forma anonimizada mediante cookies para mejorar gottrix. Tus archivos siempre permanecen en local, en tu dispositivo. Privacidad