Política de Privacidad
Última actualización: 20 de octubre de 2026
Esta política explica qué datos personales trata My Custom API en mycustomapi.online (el «Servicio»), con qué fin y qué derechos tienes. Aplica únicamente a la instancia alojada en ese dominio. El código es open source y cualquiera puede desplegar su propia versión: quien lo haga es responsable de su propia instancia y de su propia política.
1. Responsable
El responsable es el operador de mycustomapi.online (GitHub: JorgeRZT). Para cualquier cuestión de privacidad, abre un issue en https://github.com/JorgeRZT/my-custom-api/issues (sin incluir datos personales sensibles; te indicaremos un canal privado si hace falta).
2. Datos que tratamos
| Datos | Origen | Para qué |
|---|---|---|
| Email, nombre y foto de perfil de tu cuenta de Google, e identificador interno aleatorio | Inicio de sesión con Google (permisos openid, email, profile) | Identificarte, mostrar tu cuenta y asignarte tu espacio privado |
| Endpoints que creas (ruta, cuerpo, cabeceras, estado, descripción…) | Tú | Prestar el Servicio: servir tus URLs públicas |
| API keys y token personal: solo un hash (SHA-256) y los 4 últimos caracteres, más el nombre y la fecha | Tú | Proteger tus endpoints y dar acceso a tus integraciones. No guardamos el valor en claro |
| Sesión (identificador aleatorio asociado a tu cuenta, caduca a los 7 días) | Generada al iniciar sesión | Mantener tu sesión abierta |
| Datos técnicos de las peticiones (URL, método, estado, tiempos, dirección IP) | Tu navegador o quien llame a tus endpoints | Seguridad, prevención de abusos y diagnóstico. Los gestiona la infraestructura de Cloudflare |
No recibimos tu contraseña de Google. No pedimos acceso a tu correo, contactos, calendario ni a ningún otro dato de Google.
Los endpoints son públicos para cualquiera que conozca la URL, salvo los que protejas con una API key. No almacenes en ellos datos personales de terceros, secretos ni información sensible.
3. Cookies y almacenamiento local
session: cookie técnica, HttpOnly, necesaria para mantener tu sesión (7 días).oauth_state: cookie técnica de seguridad durante el inicio de sesión (10 minutos).theme(almacenamiento local del navegador): recuerda si prefieres tema claro u oscuro.
Solo usamos elementos estrictamente necesarios o de preferencia; no usamos cookies de publicidad ni de analítica, por lo que no mostramos banner de consentimiento.
4. Base jurídica
Tratamos tus datos para ejecutar el servicio que solicitas al registrarte (art. 6.1.b RGPD) y por nuestro interés legítimo en la seguridad y la prevención de abusos (art. 6.1.f RGPD).
5. Con quién los compartimos
- Google LLC, para autenticarte (Google Sign-In).
- Cloudflare, Inc., proveedor de alojamiento (Workers), almacenamiento (KV), DNS y red de distribución. Actúa como encargado del tratamiento y puede tratar datos fuera del Espacio Económico Europeo bajo las garantías que ofrece (cláusulas contractuales tipo).
No vendemos ni cedemos tus datos a terceros con fines comerciales y no elaboramos perfiles. Podremos comunicar datos si una autoridad competente nos lo exige legalmente.
El uso que hacemos de la información recibida de las APIs de Google cumple la Política de datos de usuario de los servicios de API de Google, incluidos los requisitos de uso limitado.
6. Conservación
- Datos de cuenta y contenido: mientras mantengas tu cuenta. Puedes borrar tus endpoints, API keys y token en cualquier momento desde el panel.
- Sesiones: caducan a los 7 días o al cerrar sesión.
- Registros técnicos: durante el periodo limitado que establece Cloudflare.
- Si solicitas la eliminación de tu cuenta, borraremos tus datos de forma razonablemente rápida, salvo los que debamos conservar por obligación legal.
7. Tus derechos
Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad abriendo un issue como se indica en el apartado 1. Si consideras que no tratamos tus datos conforme a la ley, puedes reclamar ante la autoridad de protección de datos de tu país (en España, la AEPD).
8. Seguridad
Todo el tráfico va cifrado (HTTPS), las claves y tokens se guardan hasheados y las cookies de sesión son HttpOnly. Ningún sistema es infalible y no podemos garantizar seguridad absoluta.
9. Menores
El Servicio no está dirigido a menores de 16 años.
10. Cambios
Podemos actualizar esta política. La fecha de arriba indica la última versión y el historial de cambios es público en el repositorio. Si el cambio es relevante, lo avisaremos en el Servicio.
Privacy Policy
Last updated: October 20, 2026
This policy explains what personal data My Custom API processes at mycustomapi.online (the “Service”), why, and what rights you have. It applies only to the instance hosted at that domain. The code is open source and anyone can deploy their own version: whoever does so is responsible for their own instance and policy.
1. Controller
The controller is the operator of mycustomapi.online (GitHub: JorgeRZT). For any privacy matter, open an issue at https://github.com/JorgeRZT/my-custom-api/issues (without including sensitive personal data; we will point you to a private channel if needed).
2. Data we process
| Data | Source | Purpose |
|---|---|---|
| Email, name and profile picture of your Google account, plus a random internal ID | Sign in with Google (openid, email, profile scopes) | Identify you, show your account and assign your private space |
| Endpoints you create (path, body, headers, status, description…) | You | Provide the Service: serve your public URLs |
| API keys and personal token: only a SHA-256 hash and the last 4 characters, plus name and date | You | Protect your endpoints and authorize your integrations. We never store the plain value |
| Session (random identifier linked to your account, expires after 7 days) | Created when you sign in | Keep you signed in |
| Technical request data (URL, method, status, timings, IP address) | Your browser or whoever calls your endpoints | Security, abuse prevention and troubleshooting. Handled by Cloudflare’s infrastructure |
We do not receive your Google password. We do not request access to your email, contacts, calendar or any other Google data.
Endpoints are public to anyone who knows the URL, except those you protect with an API key. Do not store third parties’ personal data, secrets or sensitive information in them.
3. Cookies and local storage
session: HttpOnly technical cookie required to keep you signed in (7 days).oauth_state: technical security cookie used during sign-in (10 minutes).theme(browser local storage): remembers your light/dark preference.
We only use strictly necessary or preference items; no advertising or analytics cookies, so there is no consent banner.
4. Legal basis
We process your data to perform the service you request when you sign up (GDPR art. 6(1)(b)) and for our legitimate interest in security and abuse prevention (art. 6(1)(f)).
5. Who we share it with
- Google LLC, to authenticate you (Google Sign-In).
- Cloudflare, Inc., hosting (Workers), storage (KV), DNS and CDN provider. It acts as a processor and may process data outside the European Economic Area under the safeguards it provides (standard contractual clauses).
We do not sell or share your data with third parties for commercial purposes and we do not build profiles. We may disclose data if a competent authority legally requires it.
Our use of information received from Google APIs adheres to the Google API Services User Data Policy, including its Limited Use requirements.
6. Retention
- Account data and content: as long as you keep your account. You can delete your endpoints, API keys and token at any time from the dashboard.
- Sessions: expire after 7 days or when you sign out.
- Technical logs: for the limited period set by Cloudflare.
- If you request account deletion, we will delete your data within a reasonable time, except what we must keep by legal obligation.
7. Your rights
You may exercise your rights of access, rectification, erasure, objection, restriction and portability by opening an issue as described in section 1. If you believe we are not processing your data lawfully, you can complain to the data protection authority of your country.
8. Security
All traffic is encrypted (HTTPS), keys and tokens are stored hashed and session cookies are HttpOnly. No system is perfect and we cannot guarantee absolute security.
9. Children
The Service is not directed at children under 16.
10. Changes
We may update this policy. The date above shows the latest version and the change history is public in the repository. For relevant changes we will notify you in the Service.