Cooperación con las autoridades y solicitudes de datos

1.Gestor del servicio y destinatarios de la política

pik.li es un servicio de InCloud S.r.l., sociedad de Derecho italiano con domicilio social en Vignola (MO). Respecto de los enlaces cortos que almacena, InCloud es un prestador de servicios intermediarios de alojamiento de datos (hosting) en el sentido del Reglamento (UE) 2022/2065 de Servicios Digitales («DSA»); el coordinador de servicios digitales competente para Italia es la Autorità per le garanzie nelle comunicazioni (AGCOM).

La presente política se dirige a la autoridad judicial, a las fuerzas policiales, a las autoridades administrativas y de supervisión y a los CERT/CSIRT nacionales que, conforme a la ley que les sea aplicable, estén legitimados para solicitar información, la conservación de datos o la retirada de contenidos. La dirección aquí indicada constituye además el punto único de contacto para las autoridades de los Estados miembros, la Comisión Europea y la Junta Europea de Servicios Digitales (art. 11 DSA).

Los usuarios de pik.li, los titulares de derechos, los abogados y los demás particulares no deben utilizar este canal: para denunciar un enlace dañino está disponible el formulario de denuncia y, para las cuestiones relativas a la propia cuenta, el servicio de atención al cliente. InCloud solo comunica datos personales a particulares por orden de la autoridad judicial o cuando la ley lo impone.

2.Forma de envío

Las solicitudes deben enviarse a la dirección indicada al principio de esta página. El buzón lo gestiona directamente InCloud S.r.l. y se consulta en días hábiles; las solicitudes urgentes siguen el procedimiento descrito en la sección «Solicitudes de emergencia».

InCloud acusa recibo de cada solicitud y le asigna un número de referencia, que debe citarse en la correspondencia posterior.

Se aceptan solicitudes en italiano y en inglés; las redactadas en otros idiomas se tramitan igualmente, pero su traducción puede requerir más tiempo.

3.Contenido de la solicitud

Para permitir una respuesta rápida y precisa, la solicitud debe estar completa e indicar:

1. 1 La autoridad solicitante: órgano, nombre, cargo y datos de contacto institucionales del funcionario o agente responsable (número de la centralita y dirección de correo electrónico institucional).
2. 2 Los datos del procedimiento: número del procedimiento penal, del expediente o de registro y, si es distinta, la autoridad judicial que conoce del asunto.
3. 3 La base jurídica: la norma que legitima la solicitud y, en su caso, la resolución de la autoridad judicial (decreto del Ministerio Fiscal o resolución del juez) o la orden europea.
4. 4 Los datos solicitados, indicados con precisión: por ejemplo, los datos identificativos de la cuenta, los accesos con sus direcciones IP, la lista y el historial de los enlaces, los clics, los pagos o las denuncias; o bien la conservación de los datos o la desactivación de un enlace.
5. 5 Los enlaces o las cuentas afectados: los enlaces cortos completos, uno por línea, exactamente como aparecen (por ejemplo, https://lnkz.li/abc1234), o bien la dirección de correo electrónico o el nombre de usuario de la cuenta, la referencia de un pago o el identificador de un clic. No es posible realizar búsquedas genéricas por contenido o por destino.
6. 6 El intervalo temporal de interés, con indicación de la zona horaria. Los registros de InCloud se llevan en UTC.
7. 7 El plazo en el que se solicita la respuesta y, en su caso, los motivos de la urgencia.
8. 8 El eventual carácter reservado de la solicitud y el período durante el cual no debe informarse al titular de la cuenta, con referencia a la norma o a la resolución que así lo disponga.

Si la solicitud está incompleta, no permite identificar con certeza a la autoridad o no indica una base jurídica clara, InCloud solicita la información complementaria necesaria antes de responder. Entretanto, si existe el riesgo de que los datos se pierdan, InCloud procede a conservarlos.

4.Verificación de la autenticidad

Antes de comunicar dato alguno, InCloud verifica que la solicitud procede efectivamente de la autoridad indicada:

• comprueba que la solicitud procede de una dirección institucional o de un buzón PEC atribuible al órgano y que el documento está firmado y es coherente;
• en caso de duda, se pone en contacto por teléfono con el órgano en un número obtenido por sus propios medios de fuentes oficiales, nunca en el indicado en el mensaje, o bien solicita confirmación escribiendo a su PEC pública;
• puede solicitar la transmisión del documento original por PEC o la confirmación de la autoridad judicial actuante.

Mientras no concluya la verificación no se comunican datos, pero InCloud puede conservarlos para que no se pierdan. En las emergencias, la verificación se realiza con la máxima rapidez, en paralelo a la tramitación de la solicitud.

Quien se hace pasar falsamente por una autoridad comete un delito: InCloud pone en conocimiento de las autoridades competentes toda solicitud falsa que reciba.

5.Datos que pueden facilitarse

InCloud facilita sin demora los datos que obren en su poder en el momento de la solicitud y que estén comprendidos en su objeto. Según el caso, puede tratarse de:

• Datos de la cuenta: dirección de correo electrónico, nombre de usuario, correo electrónico de recuperación (en su caso), idioma, fechas de registro, de confirmación y de última actividad, estado, plan y versión aceptada de los Términos del servicio; si la cuenta ha realizado compras, los datos de facturación declarados por su titular (nombre, dirección, país, razón social, NIF-IVA, código fiscal, teléfono, PEC).
• Accesos: las sesiones abiertas, con dirección IP completa, fecha de inicio y de última actividad, navegador, sistema operativo y ubicación estimada; el registro de actividad de la cuenta (accesos, cambios de contraseña, activación de la verificación en dos pasos, modificaciones) con la fecha y, cuando se haya registrado, la dirección IP.
• Enlaces y campañas: destino, título, etiquetas, parámetros UTM, dominio, fechas de creación y del último clic, historial de las modificaciones del destino y lote de importación, también de los enlaces eliminados por el titular de la cuenta que aún se conserven.
• Clics en los enlaces: fecha y hora, dirección IP completa, país, región y ciudad estimados, dispositivo, navegador, sistema operativo, idioma, página de procedencia, user-agent y red de procedencia (ASN) de cada clic, dentro del plazo de conservación previsto por el plan del titular del enlace.
• Pagos y pedidos: proveedor, referencia de la transacción, importes, fechas, facturas y recibos emitidos, dominios adquiridos.
• Abusos y moderación: denuncias recibidas (con la dirección de correo electrónico del denunciante, si la ha indicado), resultados de los controles automáticos, decisiones del personal de InCloud, recursos del titular de la cuenta y medidas adoptadas respecto de la cuenta.
• Solicitudes de asistencia y comunicaciones mantenidas entre el titular de la cuenta y el personal de InCloud.

Por regla general, los datos identificativos de la cuenta se facilitan previa solicitud escrita y motivada de la policía judicial o de la autoridad judicial en el marco de un procedimiento; las direcciones IP de los accesos y de los clics, los demás datos de los clics y el contenido de las comunicaciones se facilitan previa resolución motivada de la autoridad judicial, salvo en casos de emergencia.

Salvo indicación distinta de la autoridad, los datos se transmiten por correo electrónico o por PEC en un archivo estructurado (CSV, JSON o PDF), con indicación de la fuente y de la hora de extracción. Los archivos pueden cifrarse; en tal caso, la contraseña se transmite por un canal separado.

6.Datos que no pueden facilitarse

• La identidad de quien ha abierto un enlace: InCloud conserva su dirección IP y los datos técnicos del clic, pero no su nombre ni otros datos identificativos. Para identificar al titular de la conexión es necesario dirigirse al proveedor de acceso a Internet al que estaba asignada la dirección IP.
• El contenido de las páginas de destino: pik.li conserva la dirección, no una copia del sitio. Para obtener el contenido es necesario dirigirse a quien aloja la página.
• Los datos ya eliminados al vencer los plazos de conservación indicados en la Política de privacidad, incluidas las direcciones IP de los clics: una vez eliminados, no pueden recuperarse, ni siquiera de las copias de seguridad cuando estas han vencido.
• Los datos que InCloud no trata: datos de la cuenta de PayPal o del monedero de criptomonedas, datos de los instrumentos de pago, registros de Cloudflare, datos en poder del registrador o del proveedor de correo electrónico del titular de la cuenta. InCloud indica con mucho gusto a qué proveedor debe dirigirse la autoridad.
• Interceptaciones o seguimiento en tiempo real: InCloud no es un proveedor de servicios de comunicaciones electrónicas. No obstante, por orden de la autoridad, puede conservar y facilitar los datos que se generen en relación con una cuenta o un enlace determinados.
• Las contraseñas en claro: solo se conservan en forma de hash irreversible.
• Una identidad verificada: el nombre y la dirección los declara el titular de la cuenta e InCloud no los verifica, con excepción del NIF-IVA, que se comprueba en el sistema VIES.

7.Conservación urgente de datos

Si existe el riesgo de que los datos se pierdan antes de la orden formal, la autoridad puede solicitar su conservación: InCloud los excluye de los procedimientos de eliminación automática durante 90 días, prorrogables previa solicitud motivada, y solo los comunica cuando recibe una orden válida.

InCloud da cumplimiento sin demora a las órdenes de conservación previstas en el art. 132, apartado 4 ter, del Código italiano en materia de protección de datos personales (Decreto Legislativo n.º 196/2003, «Código de Privacidad»), durante el plazo indicado y, en todo caso, sin superar el previsto por la ley, así como a las órdenes europeas de conservación previstas en el Reglamento (UE) 2023/1543 (60 días, prorrogables otros 30). InCloud guarda secreto sobre la orden recibida y sobre las actuaciones realizadas durante el período indicado por la autoridad.

La conservación se refiere a los datos existentes en el momento de la solicitud y, si así se indica, a los que se generen hasta su vencimiento.

8.Solicitudes de emergencia

En caso de peligro inminente para la vida o la integridad física de una persona (por ejemplo, riesgo de suicidio, secuestro, amenaza de atentado o explotación de un menor), el asunto del mensaje debe comenzar, en inglés, por «URGENT – DANGER TO LIFE» (urgente: peligro para la vida) y las primeras líneas deben describir la situación: quién está en peligro, por qué motivo, qué datos se necesitan y por qué no es posible esperar a una resolución ordinaria.

Estas solicitudes se tramitan con prioridad absoluta. En la medida en que la ley lo permita, InCloud puede comunicar los datos estrictamente necesarios para hacer frente a la emergencia antes de la resolución formal (art. 6, apartado 1, letra d, del RGPD) y desactivar inmediatamente un enlace; el documento formal debe remitirse lo antes posible. En el caso de las órdenes europeas de producción urgentes, InCloud respeta el plazo de 8 horas previsto en el Reglamento (UE) 2023/1543.

Cuando la propia InCloud tiene conocimiento de información que le hace sospechar la comisión de un delito que implique una amenaza para la vida o la seguridad de las personas, informa de ello por iniciativa propia a las autoridades competentes (art. 18 DSA).

9.Retirada y desactivación de enlaces

Un enlace que infringe las normas de pik.li se desactiva en cuanto InCloud tiene conocimiento de ello, sin esperar a una orden: el destino deja de ser accesible y quien abre el enlace ve una página que explica su desactivación. Cualquier persona puede denunciarlo a través de la página Denunciar un abuso; una autoridad puede solicitar su desactivación en la dirección indicada en esta página.

InCloud da cumplimiento a las órdenes de actuación contra contenidos ilícitos (art. 9 DSA) y a las órdenes de entrega de información (art. 10 DSA) e informa sin dilación indebida a la autoridad emisora del curso dado a dichas órdenes y del momento en que se les dio curso.

Previa solicitud, InCloud desactiva el enlace sin eliminarlo, para que los datos sigan a disposición de la investigación.

10.Solicitudes de autoridades de otros Estados

• Autoridades de otros Estados miembros de la Unión Europea: InCloud da cumplimiento a las órdenes europeas de producción y de conservación previstas en el Reglamento (UE) 2023/1543, aplicable desde el 18 de agosto de 2026, y a las órdenes previstas en los artículos 9 y 10 DSA. Las demás solicitudes deben transmitirse mediante una orden europea de investigación (Directiva 2014/41/UE) o por conducto de las autoridades italianas.
• Autoridades de terceros países: InCloud solo comunica datos a través de los cauces de asistencia judicial (comisión rogatoria internacional, tratados de asistencia judicial mutua – MLAT, Convenio de Budapest sobre la Ciberdelincuencia) o por conducto de las autoridades italianas competentes, ya que la resolución de una autoridad extranjera no basta por sí sola para justificar la transferencia (art. 48 del RGPD). No obstante, InCloud puede conservar los datos a la espera de la solicitud formal, también a instancia de los puntos de contacto de la red 24/7 prevista en el Convenio de Budapest.
• En las emergencias en que corra peligro la vida de una persona, InCloud valora caso por caso, dentro de los límites legales, también las solicitudes directas de autoridades extranjeras.

11.Información al titular de la cuenta

Por regla general, InCloud informa al titular de la cuenta de la solicitud o de la orden que le afecta y del curso que se le haya dado, tal como prevén los artículos 9 y 10 DSA para las órdenes de las autoridades.

InCloud no facilita esa información, o la aplaza, cuando la ley o la autoridad lo prohíben (por ejemplo, en el caso de las órdenes de conservación previstas en el art. 132, apartado 4 ter, del Código de Privacidad o de las órdenes europeas, respecto de las cuales la información al interesado corresponde a la autoridad), cuando la autoridad lo solicita de forma motivada para no perjudicar la investigación o cuando la información pondría en peligro la integridad física de alguien. La solicitud debería indicar la duración de la obligación de confidencialidad: a su vencimiento, salvo prórroga, InCloud informa al titular de la cuenta.

12.Registro y transparencia

InCloud registra cada solicitud y cada orden: fecha de recepción, autoridad, referencia, comprobaciones realizadas, datos facilitados y fecha de la respuesta. El registro es confidencial y se conserva conforme a lo indicado en la Política de privacidad.

InCloud es una pequeña empresa y, mientras mantenga esa condición, no está obligada a publicar el informe de transparencia previsto en el DSA (art. 15, apartado 2); no obstante, puede publicar voluntariamente un resumen.

13.Advertencias

• La presente política describe los procedimientos de InCloud: no constituye asesoramiento jurídico, no confiere derechos a terceros ni amplía las obligaciones que la ley impone a InCloud.
• InCloud solo facilita los datos presentes en sus sistemas en el momento de la solicitud, en el estado en que se encuentren: no genera datos de los que no dispone ni reconstruye los eliminados.
• InCloud no garantiza la veracidad ni la exhaustividad de los datos: los nombres, las direcciones y los datos de contacto los declaran los titulares de las cuentas; la ubicación es una estimación obtenida a partir de la dirección IP; una dirección IP puede pertenecer a una VPN, a un proxy, a la red Tor o a un operador que la comparte entre varios usuarios; las horas son las de los servidores de InCloud, expresadas en UTC.
• InCloud puede rechazar o impugnar una solicitud, o pedir aclaraciones sobre ella, cuando parezca ilegítima, desproporcionada, carente de una base jurídica clara, no verificable o relativa a datos que no trata. Ninguna disposición de la presente política implica la renuncia a los derechos y a los medios de impugnación que correspondan a InCloud o a los titulares de las cuentas.
• InCloud no está sujeta a una obligación general de supervisar los enlaces ni de buscar activamente hechos ilícitos (art. 8 DSA); las medidas que adopta voluntariamente no alteran este principio.
• Un correo electrónico enviado a esta dirección no sustituye a las formas de notificación prescritas por la ley: para los actos que requieren una notificación formal debe utilizarse la PEC.
• La dirección está reservada a las autoridades: los mensajes procedentes de otros remitentes no reciben respuesta.
• InCloud puede actualizar la presente política; está vigente la versión publicada en esta página, con la fecha indicada en la parte superior. Hace fe el texto italiano.