Cómo funciona HayCita — Marco legal
Transparencia total: qué hacemos, qué no hacemos y cómo protegemos tus datos.
1. Qué hace HayCita
HayCita es un servicio de vigilancia y aviso. Comprobamos periódicamente si hay citas disponibles en la Sede Electrónica de Extranjería (ICPPlus) para la provincia y trámite que elegiste, y te enviamos una alerta cuando las detectamos.
SÍ Lo que hacemos
- Vigilar la disponibilidad pública de citas en ICPPlus.
- Enviarte una alerta (email, SMS o Telegram) cuando aparece un hueco.
- Adjuntar a cada alerta una captura de pantalla con sello de tiempo RFC 3161 (prueba verificable).
- Navegar con credencial Cl@ve propia del operador; para trámites que requieren acreditar el expediente (huellas TIE, asignación NIE, etc.) usar el NIE que tú nos facilitas voluntariamente, solo para consultar disponibilidad.
- Actuar a ritmo humano: mínimo 300 segundos entre consultas al mismo centro + variación aleatoria.
NO Lo que no hacemos
- Reservar citas en tu nombre ni en nombre de nadie.
- Acaparar citas para revenderlas.
- Saturar los servidores del Ministerio (no se realizan peticiones masivas ni automatizadas a alta frecuencia).
- Resolver CAPTCHA.
- Actuar sin tu autorización expresa para cada dato que aportamos.
- Acceder a expedientes, documentos ni sistemas restringidos.
- Compartir tu NIE con terceros ni usarlo para ningún fin distinto a la consulta de disponibilidad.
2. El modelo vigilar + avisar
La Sede Electrónica de Extranjería (ICPPlus) muestra públicamente si hay o no huecos de cita disponibles. Cualquier ciudadano puede acceder a esa información desde su navegador. HayCita hace exactamente lo mismo, pero de forma continua y te avisa cuando aparece disponibilidad, para que no tengas que estar pendiente tú.
La diferencia con las mafias de citas es fundamental:
| Acción | HayCita | Mafia de citas |
|---|---|---|
| Consultar disponibilidad | SÍ (fin: avisarte) | SÍ (fin: acaparar) |
| Reservar la cita | NO nunca | SÍ (para revender) |
| Acaparar huecos | NO | SÍ |
| Saturar servidores | NO (≥300 s entre checks) | Variable |
| Cobrar por ceder la cita | NO | SÍ |
La cita la reservas tú, directamente en la web oficial del Ministerio, con tus propias credenciales, sin intermediario.
3. Cl@ve propia del operador y NIE del cliente
ICPPlus tiene dos modos de acceso:
- Acceso anónimo — muestra disponibilidad general de la provincia.
- Acceso con Cl@ve Permanente — permite filtrar por el expediente concreto del interesado, necesario en trámites como la renovación de TIE (huellas), asignación NIE o recogida de TIE.
Para el modo 2, HayCita usa su propia cuenta Cl@ve Permanente del operador para autenticarse en la pasarela, y el NIE que tú nos facilitas voluntariamente para identificar tu expediente en el formulario de consulta. Esto es equivalente a que un familiar o asesor de confianza consulte la disponibilidad en tu nombre desde su ordenador, con tu autorización.
Esta delegación puntual está amparada en la asistencia técnica (art. 13 Ley 39/2015) y en la más amplia representación voluntaria (art. 5 Ley 39/2015), en la que cualquier persona puede actuar ante la Administración en nombre de otra con su consentimiento. El consentimiento queda recogido de forma explícita en el formulario de configuración de la alerta, donde lees y aceptas expresamente este uso.
4. Por qué esta actividad es lícita
Los artículos que con más frecuencia se citan en debates sobre servicios de monitorización de citas son los arts. 197 bis, 197 ter y 264 CP. Explicamos por qué no son aplicables a HayCita:
Art. 197 bis CP — Acceso ilícito a sistemas informáticos
Este precepto sanciona quien «sin estar autorizado» accede a un sistema o dato informático. HayCita accede a ICPPlus con credencial Cl@ve Permanente legítima, de la misma forma que cualquier usuario registrado. No se vulnera ningún control de acceso; se usa el acceso para el que fue diseñado. El acceso no autorizado requiere franquear una barrera técnica (eludir contraseñas, explotar vulnerabilidades, etc.), lo que aquí no ocurre.
Art. 197 ter CP — Herramientas de intrusión
Sanciona la producción, adquisición o facilitación de programas «específicamente diseñados» para cometer intrusiones del 197 bis. Un navegador web controlado por software (Selenium/Chromium) es una herramienta de propósito general —usada diariamente por millones de desarrolladores, empresas de QA y organismos públicos—, no un arma de intrusión. No se diseña ni se usa para vulnerar controles de acceso.
Art. 264 CP — Daños informáticos
Exige que la conducta dañe, deteriore, altere o haga inaccesible datos o sistemas. HayCita no modifica datos, no bloquea ningún servicio ni degrada la disponibilidad para otros usuarios. Un intervalo mínimo de 300 segundos entre consultas al mismo centro (inferior a una visita manual periódica) descarta cualquier impacto sobre la disponibilidad del servicio.
Contenido público
La disponibilidad de citas es información pública: la Administración la publica expresamente para que los ciudadanos la consulten. No hay secreto, no hay dato personal de terceros, no hay sistema restringido. Monitorizar y agregar información pública es una práctica reconocida y habitual (press aggregators, price monitors, comparadores).
Sin perjuicio a terceros ni a la Administración
HayCita no acapara citas, no priva a nadie de su hueco ni interfiere en la reserva de otros usuarios. La reserva la hace el interesado en tiempo real. El único efecto es que el interesado llega más rápido a la pantalla de disponibilidad; una vez allí, compite en igualdad con cualquier otro ciudadano.
5. Qué persigue exactamente la Policía (y por qué esto no es eso)
Esta es la pregunta que de verdad importa, así que la respondemos con la fuente original y no con nuestras palabras. El Ministerio del Interior ha publicado notas de prensa sobre las operaciones contra la venta de citas de extranjería. Leerlas despacio es la forma más rápida de entender dónde está la frontera.
Qué dice la nota de Interior
En la operación desarrollada en Alicante, Murcia y Valencia (21 detenidos), la Policía Nacional imputa cuatro delitos concretos: daños informáticos, falsedad documental, pertenencia a grupo criminal y favorecimiento de la inmigración ilegal. La nota describe así la conducta:
«La organización criminal desarrolló un sistema de venta de citas “on line” para la realización de trámites de extranjería, accediendo para ello al servidor informático de la subdirección general de servicios digitales, efectuando bloqueos mediante el uso de “bots”.»
«Varios de ellos tenían como misión acceder al servidor público/estatal para monopolizar toda la oferta pública de citas en determinadas zonas de España y así hacer del todo imposible al ciudadano acceder a una cita […] otros de los integrantes del grupo se encargaban de introducir en la aplicación Cita Previa los datos de filiación falsos para monopolizar el mayor número de citas ofertadas y del cobro de las cantidades exigidas por la venta de la cita.»
«Los servicios prestados implicaban el cobro de cantidades por cada reserva de cita que […] vulneraban el principio de gratuidad que se presupone en el acceso a los servicios públicos.»
Fuente: Ministerio del Interior — nota de prensa oficial. Una operación anterior, sobre un entramado que bloqueaba el sistema de citas con un bot para revenderlas, se saldó con 69 detenidos (nota oficial).
De esas notas se extraen cuatro conductas que son las que reciben el reproche penal. Ninguna de las cuatro describe lo que hace HayCita:
| Conducta perseguida | Qué hace HayCita |
|---|---|
| Bloquear el servidor con bots para impedir su normal funcionamiento (art. 264 CP, daños informáticos). | Consultamos con un intervalo mínimo de 300 segundos entre comprobaciones del mismo centro — menos carga que una persona recargando la página. No degradamos el servicio para nadie. Si la sede va lenta, no somos nosotros. |
| Acaparar o monopolizar las citas reservándolas para que el ciudadano no pueda conseguirlas. | No reservamos. Nunca. Ni una sola cita. Cuando detectamos el hueco te avisamos y el hueco sigue ahí, libre, para quien llegue primero — incluido cualquier otro ciudadano que esté mirando en ese momento. |
| Introducir datos de filiación falsos en la aplicación de Cita Previa (falsedad documental). | No introducimos datos de nadie para reservar. La reserva la haces tú, con tus datos reales, en la sede oficial. Nosotros no completamos el trámite por ti. |
| Cobrar por la reserva de la cita, vulnerando la gratuidad del servicio público (entre 15 y 200 € por cita, según las notas). | La cita sigue siendo gratuita y la pides tú en la sede electrónica oficial, sin pagar un euro. Lo que cobramos es un servicio de vigilancia y aviso, que es otra cosa: no vendemos la cita ni cobramos por reservarla. |
El punto incómodo, dicho sin rodeos
La nota de Interior menciona que aquel grupo utilizaba «el sistema que les notificaba la disponibilidad de citas». Alguien podría preguntar: ¿no es eso lo que hacéis vosotros? Merece una respuesta honesta y no una evasiva.
Sí, detectar disponibilidad es una parte de lo que ellos hacían. La diferencia está en lo que se hace después con esa información. Ellos la usaban para llegar antes y reservar en masa con datos falsos, y luego vender el hueco. Los cuatro delitos que les imputa la Policía son precisamente esos: bloquear, acaparar, falsificar y vender. Nosotros paramos en el aviso: te decimos que hay un hueco y ahí termina nuestro trabajo. El hueco queda libre y lo coges tú, gratis, en la web oficial.
Dicho con precisión: las notas de prensa no declaran que vigilar sea legal — no es su función, describen delitos concretos. Lo que sí puede comprobarse leyéndolas es que ninguno de los delitos imputados consiste en observar información pública y avisar a alguien. El reproche recae, en las cuatro operaciones, sobre el bloqueo, el acaparamiento, la falsedad y el cobro por la cita.
La prueba más simple
Si HayCita acaparase citas, nuestros clientes tendrían la cita garantizada — bastaría con reservársela. No la tienen: les avisamos y a veces llegan tarde porque otro ciudadano fue más rápido. Por eso devolvemos el dinero cuando no llegamos a avisar. Un acaparador no necesita una garantía de reembolso; nosotros sí, precisamente porque no controlamos el hueco. Ver la garantía.
6. Tus datos y tu NIE
HayCita aplica un principio de minimización estricta: solo recogemos los datos imprescindibles para prestarte el servicio y los eliminamos en cuanto dejan de ser necesarios.
Qué datos recogemos
- Email — para enviarte alertas y comunicaciones del servicio.
- Teléfono (opcional) — si lo facilitas, para alertas por SMS.
- Identificador de Telegram — si usas el bot, para enviar alertas por Telegram.
- Provincia y trámite — para personalizar la vigilancia.
- NIE y nombre — solo si contratas un trámite que requiere consulta con credencial Cl@ve (huellas TIE, asignación NIE, etc.). Se recogen con tu consentimiento explícito.
- Datos de pago — gestionados íntegramente por Stripe. HayCita no almacena números de tarjeta.
Cómo protegemos tu NIE
- Cifrado en reposo: el NIE y el nombre se almacenan cifrados con Fernet (AES-128-CBC + HMAC-SHA256). La clave de cifrado vive exclusivamente en las variables de entorno del servidor, nunca en la base de datos.
- Acceso mínimo: solo el proceso del monitor accede al dato descifrado en memoria, en el momento exacto de la consulta, y lo descarta inmediatamente.
- Eliminación a los 30 días: los datos de NIE/nombre se borran automáticamente 30 días después de la activación de la alerta, o antes si solicitas la baja.
- Sin transferencia a terceros: el NIE no se comparte con ningún proveedor externo, no aparece en logs ni en sistemas de analítica.
Base legal del tratamiento
- Art. 6.1.b RGPD Ejecución del contrato — para prestar el servicio de alertas (email, SMS, Telegram, vigilancia).
- Art. 6.1.a RGPD Consentimiento explícito — para tratar el NIE/nombre en los trámites que lo requieren. El consentimiento se recoge en el formulario de configuración de alerta y puede revocarse en cualquier momento.
- Art. 6.1.f RGPD Interés legítimo — para la seguridad y el funcionamiento técnico del servicio.
Tus derechos
Puedes ejercer en cualquier momento tus derechos de acceso, rectificación, supresión, portabilidad, limitación y oposición enviando un email a [email protected] con tu email o telegram_id. Respondemos en un máximo de 30 días. También puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD).
Para solicitar la eliminación inmediata de tu NIE antes del plazo automático de 30 días, escribe a [email protected] indicando «baja NIE» y tu email o telegram_id. Lo eliminamos en 48 horas.
7. Evidencia RFC 3161 — Sello de tiempo verificable
Cada alerta incluye una captura de pantalla de ICPPlus y un sello de tiempo RFC 3161 emitido por una Autoridad de Sellado de Tiempo (TSA) reconocida. Esto significa:
- La captura no puede haber sido manipulada después del sello.
- La fecha y hora de la detección son verificables por cualquier tercero (notario, juez, AEPD).
- Puedes usar esa captura como prueba de que en ese momento había disponibilidad, si necesitas documentar tu gestión ante la Administración.
El sello no garantiza que puedas reservar la cita (los huecos duran segundos), pero sí acredita que el sistema detectó disponibilidad real y te avisó.
8. Consentimiento y representación
Al completar el formulario de configuración de alerta, el cliente:
- Lee esta página y las Condiciones de Contratación.
- Aporta voluntariamente su NIE y nombre (si aplica al trámite elegido).
- Acepta expresamente que HayCita use esos datos exclusivamente para consultar la disponibilidad de su expediente en ICPPlus, sin reservar ni realizar ninguna otra acción en su nombre.
- Entiende que la cita debe ser reservada por él directamente en la web oficial.
Este consentimiento es informado, específico, libre y revocable en cualquier momento. Constituye además la base de la delegación puntual prevista en el art. 5 de la Ley 39/2015 (Procedimiento Administrativo Común) para la consulta de disponibilidad en sede electrónica.
9. Las preguntas que más nos hacen
¿Es legal en España pagar por un servicio que avisa de citas de extranjería?
Sí. Lo que la Policía Nacional persigue es bloquear el servidor con bots, acaparar citas reservándolas, introducir datos de filiación falsos y cobrar por la reserva de la cita, vulnerando la gratuidad del servicio público. Un servicio que únicamente observa información pública y avisa al interesado no incurre en ninguna de esas conductas: la cita sigue siendo gratuita y la reserva el propio ciudadano en la sede electrónica oficial.
¿Qué es exactamente delito en relación con las citas de extranjería?
Según las notas de prensa del Ministerio del Interior, los delitos imputados en las operaciones contra la venta de citas son daños informáticos (bloquear el servidor mediante bots), falsedad documental (introducir datos de filiación falsos en la aplicación de Cita Previa), pertenencia a grupo criminal y favorecimiento de la inmigración ilegal. En esas operaciones se cobraba entre 15 y 200 euros por cada reserva de cita, vulnerando el principio de gratuidad del servicio público.
¿HayCita reserva la cita por mí?
No. HayCita no reserva citas en ningún caso. Detecta que hay un hueco disponible y te avisa por email, Telegram y SMS. La reserva la haces tú, con tus propios datos, de forma gratuita en la sede electrónica oficial del Ministerio del Interior (ICPPlus). El hueco permanece libre y accesible para cualquier ciudadano.
¿En qué se diferencia HayCita de las mafias de citas que detiene la Policía?
En las cuatro conductas que constituyen el delito. Las redes desarticuladas bloqueaban el servidor con bots, acaparaban las citas reservándolas en masa con datos falsos y las revendían. HayCita no bloquea (consulta como máximo una vez cada 300 segundos por centro), no reserva ninguna cita, no introduce datos de terceros y no vende citas: cobra por el servicio de vigilancia y aviso, mientras la cita permanece gratuita en la web oficial.
¿Tengo que pagar para conseguir una cita de extranjería?
No. La cita previa de extranjería es gratuita y se solicita en la sede electrónica oficial del Ministerio del Interior. Nadie debe cobrarte por la cita en sí: cobrar por la reserva vulnera el principio de gratuidad de los servicios públicos y ha sido objeto de operaciones policiales. Lo que sí puede contratarse libremente es un servicio de aviso que te informe cuando se libera un hueco.
¿Es legal usar un bot para conseguir cita de extranjería?
Depende por completo de qué hace el programa. Bloquear o saturar el servidor de la Administración constituye un delito de daños informáticos del artículo 264 del Código Penal, y reservar citas en masa con datos falsos para revenderlas suma falsedad documental. En cambio, consultar información que la Administración publica para que los ciudadanos la consulten, a un ritmo que no afecta al servicio, y avisar a una persona de lo que ha visto, no encaja en esos tipos penales.
10. Otras preguntas sobre legalidad
¿Es lo mismo que las mafias de citas que persigue la Policía?
No. Las mafias de citas reservan el hueco y luego lo venden. HayCita nunca reserva. La diferencia es la que existe entre ver que hay mesa libre en un restaurante y avisarte, frente a sentarse tú en esa mesa para cobrarte luego por levantarte.
¿Puede el Ministerio bloquear o denunciar a HayCita?
Una eventual denuncia penal requeriría acreditar un acceso no autorizado o un daño, y ninguno de los dos se produce: el acceso se realiza siempre con credencial legítima propia (Cl@ve), a información pública, sin superar ninguna medida de seguridad, y con un impacto en la infraestructura despreciable (consultas a ritmo humano, ≥300 segundos entre comprobaciones).
¿Qué pasa si HayCita cierra o suspende el servicio?
Si HayCita no envía ninguna alerta en los 14 días de vigencia, devolvemos el 100% del importe. Ver Condiciones de Contratación, apartado 5.
¿Están mis datos seguros si HayCita cierra?
En caso de cierre, eliminamos todos los datos personales (incluyendo NIE cifrado) antes de desmantelar los servidores, y notificamos a los usuarios afectados por email.