Qué hace un sitio con los datos, más allá del texto del banner.

No. Es una medición técnica de la superficie pública del sitio, con pruebas y con los límites de cada constatación. Muchas obligaciones de la ley —la base del tratamiento, los contratos con encargados, el registro de tratamientos, la evaluación de impacto, la información a los empleados— no se pueden observar desde fuera y no aparecen en el informe. La puntuación no es una opinión jurídica y no calcula ninguna multa.

El escáner encuentra el banner, pulsa el botón de rechazo y escucha las solicitudes de red durante tres segundos más. Un tracker se señala solo si ya cargaba antes del consentimiento y continúa también después del rechazo, sin una señal de rechazo en la solicitud. Es la única verificación del motor que necesita un navegador vivo e interactivo, no una imagen estática de la página — y es la razón por la que el escaneo dura segundos, no milisegundos.

No. El motor es determinista: las mismas entradas dan la misma puntuación, y cada peso y cada umbral están en un solo archivo de constantes, no dispersos por el código. Hay un asistente que te explica el informe, y ese sí es un modelo de lenguaje — pero no recalcula nada, y si cita un artículo que no confirmamos en el texto de la ley, su respuesta no se muestra.

No. Significa que la superficie pública probada se comporta bien en los escenarios probados. Una organización puede tener un sitio impecable y un registro de tratamientos inexistente. Al revés funciona mejor: una mala puntuación muestra casi seguro un problema real, porque las comprobaciones que más profundizan —trackers antes del consentimiento, rechazo que no detiene nada— describen algo que les está ocurriendo ahora mismo a cada visitante.

Es una sola visita, como la de un visitante habitual, con un presupuesto máximo de 45 segundos. El user-agent se identifica y envía a la página que explica el escaneo y cómo rechazarlo, y el robots.txt del sitio se respeta por defecto. No se envían formularios, no se crean cuentas y no se intenta ninguna autenticación.

Un banner oculto en un shadow-root cerrado permanece invisible por construcción — lo declaramos y tenemos una prueba que nos obliga a cumplirlo. Tampoco vemos qué ocurre después de la autenticación, qué hace el servidor con los datos de un formulario enviado, adónde llegan después o qué prevén los contratos. El informe dice qué pudo observar y qué no, y cuando la página no se renderizó correctamente retiene el veredicto en lugar de inventar uno.

Existe un registro con los 90 artículos de la Ley 195/2024, con la huella MD5 del documento fuente. Un artículo que no está en el registro no se imprime. Y si un texto atribuye una referencia a otro acto —por ejemplo al Reglamento UE 2016/679— se reconoce como tal, no se declara inventada. Los dos errores no son simétricos: una cita verdadera rechazada desaparece sin que nada parezca roto.

195/2024, de 23 de agosto de 2026. El código no lo presupone, lo calcula a partir de la fecha del escaneo: antes de esa fecha, 133/2011 estaba activa y 195/2024 se indicaba como preparación; después, al revés. Un informe antiguo sigue así legible en su régimen, sin pretender que decía otra cosa.