Aviso de cookies y almacenamiento en el navegador

versión: 0.3 (BORRADOR)
estado:  pendiente de revisión por abogado colombiano
fecha:   2026-10-03 (inventario de cookies verificado)
marco:   Ley 1581 de 2012 (art. 4 lit. e, transparencia)
uso:     su resumen va en la sección 14 de la política (doc 02). No hace falta banner de
         cookies: no hay cookies que no sean necesarias.

Borrador. No publicar hasta aprobación jurídica.

Texto público

Cookies y almacenamiento en tu navegador. Mynerva no usa cookies de publicidad ni herramientas de seguimiento de terceros: no hay píxeles, Google Analytics, Tag Manager ni grabación de sesiones. Solo contamos las visitas al sitio de compra con una herramienta propia que no usa cookies (ver abajo). Todo lo que guardamos en tu navegador sirve para que el servicio funcione o para recordar una preferencia tuya, y no contiene datos de tus clientes.

En la plataforma (app.mynervapro.com)

Nombre	Tipo	Para qué	Duración
__Secure-next-auth.session-token	Cookie propia	Mantenerte conectado	8 horas
__Host-next-auth.csrf-token	Cookie propia	Proteger el formulario de entrada contra solicitudes falsificadas	Hasta cerrar el navegador
__Secure-next-auth.callback-url	Cookie propia	Volver a la página donde estabas después de entrar	Hasta cerrar el navegador
nextauth.message	Almacenamiento local	Cerrar tu sesión en todas las pestañas a la vez	Hasta que lo borres
firebaseLocalStorageDb	Base de datos del navegador	Tu sesión con Firebase, el servicio de Google con el que entras	Hasta que cierres sesión
Preferencias mynerva-…	Almacenamiento local	Recordar la última empresa que elegiste en Nómina, si ya viste la burbuja de ayuda, la imagen de tu firma en el portal o si pospusiste cargarla	Hasta que las borres (el aviso pospuesto, 30 días)
Contadores de la sesión	Almacenamiento de la pestaña	Saber cuándo pedirte tu opinión sobre la plataforma	Hasta cerrar la pestaña

Las tres cookies son de Mynerva, solo viajan por conexión cifrada y no se pueden leer desde otras páginas.

En el sitio de compra (mynervapro.com) no guardamos cookies. Las páginas de compra y de bienvenida usan Firebase, que guarda en tu navegador una pequeña base (firebase-heartbeat-database) con las fechas en que se usó, sin datos tuyos. La página de pago es de Stripe y usa sus propias cookies, según la política de Stripe.

Estadísticas de visitas del sitio de compra. Para saber cuántas personas visitan mynervapro.com y de dónde llegan, usamos Umami, una herramienta de código abierto instalada en nuestros propios servidores de Google Cloud. No pone cookies ni guarda nada en tu navegador y no te sigue entre sitios. Registra la página, el sitio o la campaña de origen (parámetros utm_), el país y la ciudad aproximados, el tipo de dispositivo, el navegador y el idioma. No guarda tu dirección IP: con ella y con los datos del navegador arma un código cifrado que agrupa tus visitas del mismo mes y que cambia cada mes, sin permitir saber quién eres. Antes de enviar la visita quitamos de la dirección cualquier otro dato (por ejemplo, el código de tu solicitud de compra). Si tu navegador envía la señal "No rastrear", no contamos tu visita. No la usamos dentro de la plataforma ni compartimos estos datos con nadie, y los guardamos hasta 24 meses.

Servicios de terceros que cargan las páginas. Las tipografías de Google Fonts, los componentes de Firebase y, si abres el selector de carpetas, Google Drive. Estos servidores de Google reciben tu dirección IP para entregar esos archivos, y el selector de Drive usa las cookies de tu cuenta de Google. Al crear tu contraseña, revisamos si aparece en filtraciones conocidas con el servicio Have I Been Pwned, al que solo enviamos los primeros caracteres de una huella de la contraseña, nunca la contraseña.

Cómo borrarlas. Desde la configuración de tu navegador. Si lo haces, tendrás que volver a entrar. Si algún día usamos analítica o publicidad, actualizaremos este aviso antes y te pediremos permiso con una opción apagada por defecto. No cargaremos esas herramientas hasta que digas que sí.

Regla interna

Antes de agregar cualquier script de analítica, píxel o herramienta de terceros al sitio, a la plataforma o al portal, se actualiza este aviso y la política, y se evalúa si hace falta pedir permiso (banner). Ninguna herramienta así se instala "de prueba" en producción.

Nota para el abogado: Colombia no tiene una norma específica de cookies, pero la SIC aplica la Ley 1581 a la recolección por cookies (casos TikTok y Facebook). Confirmar que con solo cookies necesarias basta este aviso, sin banner, y que para la plataforma alcanza la autorización que la firma da al aceptar los términos y la política. En internet se cita una Resolución 32126 de 2022 de la SIC según la cual ningún tipo de cookie está exento de consentimiento; no la encontramos en el sitio de la SIC. ¿Existe y qué dice de las cookies necesarias?

Estadísticas de visitas (desde el 4 de octubre de 2026)

• Herramienta: Umami 3.4.0 (licencia MIT), instalada en Cloud Run (umami) con su propia base umami en la instancia mynerva-db. El usuario de esa base no puede conectarse a mynerva ni a mynerva_staging (comprobado el 4-oct). No hay proveedor nuevo: todo queda en Google Cloud.
• Dónde corre: solo en las páginas de mynervapro.com (data-domains), nunca en app.mynervapro.com. El script se sirve desde mynervapro.com/js/m.js y los datos van a mynervapro.com/api/send.
• Qué se quita antes de enviar: todos los parámetros de la dirección salvo utm_* (así no viajan los códigos lead=), y el fragmento #. Respeta "No rastrear".
• Almacenamiento en el navegador: ninguno. El script solo lee la marca umami.disabled del almacenamiento local, si existiera, para no contar al equipo interno.
• Plazo: 24 meses (propuesto); el borrado automático está pendiente (README, pendiente 24).

Inventario verificado (3 de octubre de 2026)

Se revisó el código del sitio de compra (checkout/public) y de la plataforma (frontend/), las cabeceras de las páginas en vivo y una carga en Chrome de mynervapro.com, /empezar, /onboarding y app.mynervapro.com/login. Las cookies csrf-token y callback-url se vieron en vivo; la de sesión sale del código (NextAuth 4, sesión de 8 horas). Ninguna página del sitio de compra responde con Set-Cookie. No se encontraron analítica, píxeles, Tag Manager ni chat. (El 4-oct se agregó la estadística de visitas sin cookies descrita arriba.)

Cuando lleguen analítica, píxeles o un chat

• Se hace antes de activar cualquier script: actualizar este aviso, la política, la lista de encargados (06 y 16) y el análisis de transferencias.
• Banner propio (librería libre vanilla-cookieconsent) con "Aceptar todo", "Rechazar todo" del mismo tamaño y "Configurar"; todo lo opcional apagado por defecto y bloqueado hasta el sí.
• La elección se guarda en consent_records, con la versión y la huella de este aviso, como ya se hace con los términos.
• Enlace "Configurar cookies" en el pie; se vuelve a preguntar si cambian las categorías o cada 12 meses.
• Los píxeles de publicidad van solo en el sitio de compra, nunca en la plataforma. La analítica de producto, si llega, es de primera parte y con un interruptor por usuario.