Sapren

Qué es Sapren

Sapren es un sistema de gestión de contenidos y creador de sitios web asociado al dominio sapren.net. Apenas existe documentación pública: directorios tecnológicos como W3Techs recogen «Sapren Website Builder» como un constructor de sitios iraní alojado, usado por una parte ínfima de los sitios, y los comparadores de software lo describen como un CMS escrito en PHP sobre el framework Laravel con base de datos MySQL. Las copias archivadas de sapren.net hasta enero de 2025 muestran la web de una empresa iraní de diseño web, SEO, instalación de redes y VoIP, que parece ser el proveedor.

Desde 2026, sapren.net redirige a contenido de apuestas sin relación, así que no se ha podido confirmar si la empresa sigue explotando el CMS, dónde aloja hoy los sitios de sus clientes ni qué condiciones contractuales ofrece. La información de esta página se basa en directorios, archivos y el comportamiento por defecto de Laravel, y debe verificarse en el sitio concreto que esté auditando.

Datos y cookies que recoge

Como CMS del lado del servidor, Sapren genera las páginas en los servidores del proveedor, que registran la dirección IP, los datos del navegador y las URL visitadas. Las aplicaciones Laravel instalan por defecto dos cookies propias: una cookie de sesión (laravel_session, a menudo renombrada según la aplicación) y XSRF-TOKEN, que protege los formularios frente a la falsificación de peticiones entre sitios; ambas caducan normalmente a las dos horas. Son las cookies más probables, pero conviene confirmar sus nombres reales con un escaneo.

Los formularios de contacto, solicitudes de presupuesto o áreas de cliente creados con el CMS guardan en la base de datos del proveedor todos los datos personales introducidos. Las herramientas de analítica, chat o redes sociales de un sitio Sapren, como Google Tag Manager o Yandex Metrica, se añaden aparte y deben evaluarse por separado.

Implicaciones del RGPD y la directiva ePrivacy

Si gestiona un sitio en Sapren dirigido a visitantes de la UE, usted es el responsable del tratamiento y el proveedor actúa como encargado de alojamiento, lo que exige un contrato conforme al artículo 28 del RGPD. No se ha encontrado públicamente ningún contrato de este tipo, política de privacidad ni documentación de seguridad del proveedor. Según el artículo 5.3 de la directiva ePrivacy, las cookies de sesión y CSRF son estrictamente necesarias: la parte de cookies es sencilla, la del tratamiento no tanto.

Requisitos de consentimiento

La cookie de sesión de Laravel y XSRF-TOKEN están exentas de consentimiento según el artículo 22.2 de la LSSI CE y la guía de la AEPD, porque son necesarias para prestar el sitio y proteger sus formularios. El consentimiento es obligatorio para cualquier herramienta opcional que cargue el sitio, como analítica, píxeles publicitarios o contenido social incrustado. Su banner debe bloquear esas herramientas hasta que el usuario acepte, sea cual sea el CMS.

Transferencias internacionales de datos

Si el proveedor aloja el sitio en Irán, todos los datos de visita que trata el servidor salen del EEE hacia un país sin decisión de adecuación. No hay cláusulas contractuales tipo (Decisión 2021/914) ni otras garantías del capítulo V documentadas, y tras la sentencia Schrems II sería necesaria una evaluación de impacto de la transferencia. Las sanciones de la UE contra Irán pueden además limitar contratos y pagos con proveedores iraníes, lo que dificulta una configuración conforme.

Pasos prácticos para cumplir

Empiece por identificar dónde está alojado realmente el sitio mediante los registros DNS y los datos de alojamiento, no la antigua web del proveedor. Escanee el sitio para listar cookies y herramientas de terceros, bloquee las opcionales tras un banner de consentimiento y describa las cookies de sesión en su política de cookies. Si el alojamiento está en Irán y no puede obtenerse un contrato de encargo ni un mecanismo de transferencia válido, planifique la migración a un CMS alojado en la UE, exporte contenidos y datos de formularios y actualice su política de privacidad.