Política de privacidad

1. Quién es responsable de los datos

La operadora del Servicio y responsable del tratamiento de datos personales es Katsiaryna Filosaf, persona física que opera desde Polonia bajo la marca games.enterprises. Para cuestiones de privacidad, escriba a privacy@games.enterprises; la dirección directa alternativa es 100games.enterprises@gmail.com y el teléfono es +1 (343) 655-5448.

Domicilio y dirección postal: ul. Rolna 1, 30-318 Kraków, Polonia. Si se habilitan suscripciones con pagos reales, sus pagos se procesarán mediante Stripe.

2. Datos de la cuenta

Al registrarse, recibimos su dirección de correo electrónico, apodo y contraseña. La base de datos también conserva el identificador interno del usuario, los valores normalizados del correo electrónico y del apodo para comprobar su unicidad, las fechas de creación y actualización de la cuenta y el idioma elegido.

No almacenamos la contraseña en sí, sino un hash criptográfico robusto con sal. Para la autenticación se genera un token aleatorio; la base de datos conserva el hash del token, el identificador del usuario y las fechas de creación y caducidad de la sesión. La dirección de correo electrónico no se muestra a otros jugadores, pero el apodo puede aparecer públicamente junto a un resultado o comentario.

Cuando Resend está activo y enviamos un código para verificar el email de la cuenta o un mensaje transaccional sobre una suscripción o pedido de aspecto, se transmiten a Resend (Plus Five Five, Inc.) la dirección destinataria, remitente, asunto, contenido en texto plano, los adjuntos contractuales en texto plano, identificador del mensaje y metadatos técnicos de entrega. Durante una migración o recuperación controlada, mientras está activo el transporte SMTP autenticado heredado configurado, los datos equivalentes del mensaje y la entrega se transmiten a través de ese proveedor; Google es actualmente el proveedor heredado de producción. El mensaje de verificación transmite el código de seis dígitos de un solo uso en texto plano, y los mensajes contractuales pueden incluir adjuntos en texto plano con las Condiciones y las reglas de cancelación/reembolso; no incluimos intencionadamente contraseñas ni datos completos de tarjeta en estos mensajes.

3. Datos de juego y sociales

En los juegos compatibles con el servidor se tratan el nombre del juego, las solicitudes de partida y sus identificadores de uso único, la versión del motor, las horas de inicio y finalización, la mejor puntuación y la puntuación total, el número de partidas y la fecha de la última partida. Las entradas de la clasificación pueden incluir el apodo público, la posición, la puntuación y la hora en que se obtuvo.

Si utiliza funciones sociales, conservamos los «me gusta», los juegos guardados y fijados, la hora de esas acciones, el texto y el identificador del comentario y la hora de publicación. Otros usuarios ven el comentario publicado, el apodo y la información pública relacionada con el juego. No se publican ni el correo electrónico ni el identificador interno.

4. Datos del dispositivo y de las solicitudes

Cuando se accede al sitio, el servidor y el proxy de red tratan técnicamente la dirección IP, la fecha y hora, el método, la ruta y la cadena de consulta de la solicitud, el código y el tamaño de la respuesta, el referente y los datos del navegador o agente de usuario transmitidos por el dispositivo. La cadena de consulta puede contener parámetros de búsqueda o navegación y, cuando se abre la herramienta de denuncia de contenido ilegal, el identificador del comentario, el slug del juego y la URL del contenido usados para rellenar el aviso. Las cabeceras Origin y otras cabeceras de seguridad se utilizan para validar las solicitudes. No incluyas contraseñas, datos de pago ni otros secretos en una URL.

Para medir los 60 minutos anónimos e impedir el uso gratuito repetido, combinamos una cookie necesaria del dispositivo con una representación de la dirección IP seudonimizada mediante HMAC. El HMAC utiliza una clave secreta, por lo que el valor almacenado no es la IP en claro, pero sigue siendo un dato personal seudonimizado, no anónimo. No utilizamos huella digital del dispositivo. Borrar o cambiar la cookie no restablece necesariamente el derecho, porque el seudónimo de IP puede seguir utilizándose contra abusos.

La dirección IP también se utiliza en limitadores de frecuencia de corta duración para el registro, el inicio de sesión y la lectura de comentarios. Para limitar los intentos de inicio de sesión se usa un resumen SHA-256 del email normalizado. Estas salvaguardias pueden restringir periodos gratuitos o pruebas duplicados, pero no adoptan decisiones con efectos jurídicos o de importancia similar.

5. Cookies y almacenamiento local

Utilizamos cookies estrictamente necesarias para la sesión, la selección de idioma y el periodo de juego gratuito vinculado al dispositivo. Los juegos pueden guardar en localStorage, en su dispositivo, la puntuación, el estado de un rompecabezas, estadísticas o la realización de un tutorial. Un breve indicador de que se ha guardado el idioma puede conservarse en sessionStorage hasta que se cierre la pestaña.

Solo tras una elección afirmativa de marketing cargamos Meta Pixel para el conjunto de datos/pixel 1064531599294316. Envía a Meta la URL y el referente de la página, la hora, los datos de navegador, dispositivo y red disponibles en la solicitud (incluidos la dirección IP y el user agent), identificadores de Meta como _fbp o _fbc cuando estén disponibles y el nombre del evento. Los eventos son PageView, ViewContent con el slug del juego, CompleteRegistration, GameStart y GameOver. No incluimos correo electrónico, identificador de cuenta o usuario, apodo, puntuación, datos de tarjeta ni texto libre en los parámetros de estos eventos Pixel.

Meta Pixel es opcional y está desactivado hasta el consentimiento. En el aviso inicial, una pulsación en Aceptar todo confirma que la persona tiene al menos 16 años y permite Meta Pixel; Ajustes de cookies mantiene la edad y el marketing como casillas separadas. Una persona menor de 16 puede rechazar marketing sin perder acceso a juegos o cuenta. La Política de cookies contiene la lista completa de almacenamiento, los plazos y los controles para aceptar, rechazar o retirar posteriormente el consentimiento.

6. Datos de suscripción, compra de aspectos y pago

La suscripción y las compras únicas de aspectos se contratan mediante Stripe Checkout alojado. Stripe recibe directamente los datos de tarjeta y facturación introducidos por el usuario y los trata para el pago, la prevención del fraude y el cumplimiento legal. Nosotros no recibimos ni almacenamos el número completo de la tarjeta ni el código de seguridad.

Para comprobar el derecho a prueba, administrar suscripciones, pedidos de aspectos, derechos y acceso, llevar la contabilidad y fiscalidad, prestar asistencia, efectuar reembolsos y gestionar controversias, recibimos y conservamos los datos pertinentes: nombre o dirección de facturación, email del pagador, país, situación fiscal, identificadores de cliente, suscripción, precio, factura, Checkout Session, PaymentIntent, cargo y transacción de Stripe, estados y fechas, identificadores del juego y aspecto, selección y estado del derecho, moneda, importe, impuesto, método de pago, marca y últimos dígitos de tarjeta e información sobre reembolsos, controversias, riesgo de fraude, revocación y restauración.

Para un pedido de aspecto también conservamos prueba de las versiones mostradas de las condiciones y del aviso de desistimiento, las confirmaciones exigidas, idioma, marcas temporales, estado de entrega y compra de origen vinculada al derecho. Sirve para ejecutar la compra, facilitar información obligatoria y gestionar reclamaciones, reembolsos, controversias y pretensiones jurídicas.

Stripe puede tratar datos fuera del EEE con las garantías descritas en su documentación de privacidad en stripe.com/privacy. Su función concreta depende del tratamiento y del Derecho aplicable.

7. Finalidades y bases jurídicas del tratamiento

Para el tratamiento sujeto al RGPD, las finalidades, categorías de datos y bases jurídicas se relacionan a continuación. El consentimiento puede retirarse con efectos futuros; cuando nos basemos en intereses legítimos, puedes oponerte y evaluaremos tus circunstancias.

• Creación de cuentas, autenticación, sesiones, guardados solicitados, clasificaciones y funciones sociales: datos de cuenta, sesión, juego y actividad social descritos anteriormente — ejecución del acuerdo con el usuario o medidas solicitadas antes de celebrarlo (artículo 6.1.b del RGPD).
• Medición del juego gratuito, seguridad, prevención de abusos, límites de frecuencia, resiliencia del Servicio y diagnóstico de fallos: cookie necesaria del dispositivo, dirección IP y su seudónimo HMAC, solicitudes y registros de acceso, resumen seudonimizado del email y registros pertinentes — ejecución de las reglas de acceso (artículo 6.1.b del RGPD) y nuestro interés legítimo en un Servicio seguro y justo y en impedir el uso gratuito repetido (artículo 6.1.f).
• Inicio y administración de la prueba de 30 días y la suscripción mensual, control de acceso, pagos, reembolsos, controversias y asistencia de facturación: datos de cuenta y datos de facturación, suscripción y transacción de Stripe — ejecución del contrato o medidas precontractuales solicitadas (artículo 6.1.b del RGPD), obligaciones contables, fiscales, de consumo y de pago (artículo 6.1.c) y prevención del fraude y defensa de derechos (artículo 6.1.f).
• Revisión, celebración, entrega y mantenimiento de una compra única de aspecto; registro del derecho de la cuenta y selección; entrega de confirmación contractual duradera; asistencia, reembolsos, revocaciones, restauraciones y controversias: datos de cuenta, pedido, derecho, confirmación y transacción Stripe descritos — ejecución del contrato de compra o medidas precontractuales solicitadas (artículo 6.1.b del RGPD), obligaciones contables, fiscales, de información al consumidor y de pago (artículo 6.1.c) y prevención del fraude y defensa de derechos (artículo 6.1.f).
• Verificación del control del email de la cuenta y envío de mensajes operativos, de seguridad, precontractuales y contractuales solicitados: dirección destinataria, contenido, identificadores y metadatos de entrega — ejecución del acuerdo de usuario, suscripción o compra de aspecto o medidas precontractuales solicitadas (artículo 6.1.b del RGPD), cumplimiento de deberes de información al consumidor y otras comunicaciones obligatorias (artículo 6.1.c) y nuestros intereses legítimos en seguridad de la cuenta, diagnóstico de entrega y reclamaciones (artículo 6.1.f), según el mensaje.
• Respuesta a solicitudes de asistencia, privacidad y comunicaciones legales: datos de contacto, contenido de la solicitud, registros de cuenta pertinentes, comunicaciones y pruebas técnicas — ejecución del acuerdo cuando la solicitud se refiera al Servicio (artículo 6.1.b), cumplimiento de obligaciones legales (artículo 6.1.c) y formulación, ejercicio o defensa de derechos (artículo 6.1.f del RGPD), según la solicitud.
• Cumplimiento legal y reclamaciones: registros y comunicaciones necesarios para una obligación legal concreta, una solicitud lícita de una autoridad, una controversia o una reclamación — cumplimiento de una obligación legal (artículo 6.1.c) o nuestro interés legítimo en proteger derechos (artículo 6.1.f del RGPD).
• Medición opcional mediante Meta Pixel, atribución publicitaria, optimización de campañas y creación o uso de audiencias publicitarias: datos de página y eventos de juego, datos de navegador/dispositivo y red e identificadores de cookies Meta descritos arriba — consentimiento conforme al artículo 6.1.a del RGPD y el consentimiento exigido para almacenamiento o acceso opcional en el equipo terminal. El rechazo no afecta a los juegos ni a la cuenta y el consentimiento para eventos futuros puede retirarse en cualquier momento mediante Ajustes de cookies.

8. Cuándo se comunican los datos

No vendemos datos personales. Tras el consentimiento, la comunicación de actividad Pixel a Meta para audiencias y servicios publicitarios puede considerarse, en algunas leyes, una comunicación para publicidad dirigida o comportamental entre contextos; rechace o retire el consentimiento de marketing, o use una señal de exclusión jurídicamente reconocida, para detener futuros eventos Pixel desde este navegador. Timeweb Cloud presta el alojamiento en Ámsterdam, Países Bajos: la base de datos SQLite de producción y las copias de seguridad lógicas ordinarias se almacenan en el VPS de producción de esa región. No se ha confirmado la identidad del centro de datos físico ni la ubicación de la copia de seguridad del proveedor.

Namecheap presta el DNS autoritativo y el reenvío del correo del dominio, y Google proporciona el buzón Gmail de destino para mensajes entrantes. Tras su activación, Resend (Plus Five Five, Inc.) es el servicio principal de correo transaccional saliente. Conforme a sus condiciones publicadas, Resend actúa como nuestro encargado para el contenido de mensajes y los datos de clientes enviados, y como responsable independiente para los datos especificados de cuenta, uso del servicio, seguridad y datos análogos del proveedor. Durante una migración o recuperación controlada puede utilizarse en su lugar el proveedor SMTP autenticado heredado configurado; actualmente es Google en producción. El Servicio no cambia a ese transporte automáticamente tras un fallo de entrega de Resend y actualizaremos este aviso antes de cambiar de proveedor heredado. La política de privacidad de Resend está en https://resend.com/legal/privacy-policy y sus condiciones de encargado del tratamiento en https://resend.com/legal/dpa. Stripe proporciona Checkout alojado, procesamiento de pagos, prevención del fraude, facturación y el portal de cliente. Tras el consentimiento de marketing, el destinatario en el EEE Meta Platforms Ireland Limited, Merrion Road, Ballsbridge, Dublin 4, D04 X2K5, Ireland recibe los datos Pixel descritos arriba para prestar medición y atribución publicitaria, optimización y servicios de audiencias conforme a Meta Business Tools Terms (https://www.facebook.com/legal/technology_terms) y Meta Privacy Policy (https://www.facebook.com/privacy/policy/). Estos proveedores reciben la información necesaria para sus servicios. Los apodos, resultados y comentarios públicos se comunican a otros visitantes por la propia naturaleza de esas funciones.

Podremos comunicar datos cuando lo exijan justificadamente la ley, una resolución judicial o una autoridad competente; para investigar fraude y amenazas; para formular, ejercer o defender reclamaciones; o en el marco de una reorganización o transmisión empresarial, con garantías y notificación adecuadas.

9. Tratamiento internacional

La operadora se encuentra en Polonia y la infraestructura principal en los Países Bajos, ambos dentro del Espacio Económico Europeo. Resend afirma que todos los datos de la cuenta que gestiona, incluidos metadatos de email, registros y datos de API, se almacenan en Estados Unidos con independencia de la región de envío elegida; su política de privacidad indica que los datos enviados desde fuera de Estados Unidos se transfieren y tratan allí. La adenda de tratamiento publicada por Resend incorpora las cláusulas contractuales tipo de la UE para las transferencias fuera del EEE cubiertas y describe su participación en el Marco de Privacidad de Datos UE–EE. UU.; el mecanismo aplicable depende de la transferencia y del Derecho aplicable. Namecheap, Google, Stripe y, tras el consentimiento, Meta también pueden tratar datos pertinentes fuera del EEE con las garantías descritas en sus documentos publicados. Meta opera un servicio publicitario global y puede transferir datos Pixel a empresas e infraestructura de Meta fuera del EEE con las garantías descritas en sus condiciones y materiales de privacidad. Puede solicitar más información en privacy@games.enterprises.

10. Plazos de conservación

Los datos de la cuenta, las estadísticas de juego permanentes, las partidas guardadas, las marcas y los comentarios se conservan mientras exista la cuenta o mientras sean necesarios para la función correspondiente. El usuario puede eliminar sus comentarios mediante la función disponible o solicitar la eliminación de su cuenta y los datos asociados. Algunos registros podrán conservarse temporalmente por motivos de seguridad, resolución de controversias o cumplimiento de la ley.

• El registro y la cookie de sesión siguen siendo válidos durante un máximo aproximado de 30 días. Tras caducar, el registro deja de autorizar solicitudes y se elimina cuando se comprueba su token o cuando se mantiene la tabla al crear una nueva sesión. Cerrar sesión elimina el registro y la cookie actuales.
• Las solicitudes de partida de uso único tienen una vida útil técnica breve y se eliminan al finalizar, caducar o durante la limpieza.
• Un registro de limitación de frecuencia solo surte efecto durante su ventana breve aplicable. Una vez terminada, se ignora y se sustituye en la siguiente solicitud con la misma clave; los registros obsoletos también se eliminan durante la limpieza protectora de la tabla compartida o desaparecen al reiniciarse el proceso.
• Los registros de acceso de red se escriben en un archivo activo limitado a 20 MiB y en un máximo de 10 archivos rotados. En la siguiente rotación se eliminan los archivos con más de 30 días; en un sitio con poco tráfico, el archivo activo y otro archivo que espere la siguiente rotación pueden permanecer durante más tiempo. Los registros relacionados con un incidente pueden aislarse durante el tiempo necesario para investigarlo, proteger reclamaciones o cumplir la ley.
• Los datos eliminados pueden permanecer durante un tiempo limitado en copias de seguridad protegidas; están aislados del uso ordinario y se sobrescriben conforme al ciclo de conservación de las copias.
• La cookie __Host-games_device y su identificador HMAC en el servidor tienen una duración máxima de un año y se renuevan durante el uso. Los registros de concesión vinculados al seudónimo HMAC de la IP se eliminan normalmente tras 30 días sin actividad. Los registros ligados a abusos o controversias pueden conservarse más tiempo cuando sea razonablemente necesario o legalmente obligatorio.
• El registro local games_privacy_consent caduca tras 180 días, se sustituye al cambiar la elección y se elimina si su versión deja de ser válida. Guarda la decisión de marketing y la confirmación de tener 16 años o más como valores separados; ambos valores se restablecen al rechazar o retirar. Tras registros confirmados y solo mientras esté vigente el consentimiento de marketing, games_meta_pending_registration puede conservar en sessionStorage durante un máximo de 24 horas hasta ocho event ID aleatorios opacos y sus marcas de tiempo para entregar cada CompleteRegistration al Pixel cargado después de la navegación. No contiene campos de la cuenta y se elimina tras la entrega, al finalizar el almacenamiento de la pestaña, al retirar, con GPC o al caducar. Cuando Meta Pixel está permitido, los identificadores propios de Meta _fbp y _fbc pueden permanecer aproximadamente hasta 90 días salvo retirada o borrado anterior. Al retirar, intentamos eliminar esas cookies propias accesibles. Meta conserva los eventos recibidos conforme a sus políticas y ajustes vigentes de herramientas empresariales; Meta controla esos plazos, que pueden variar según los datos y la finalidad.
• Una solicitud local de verificación del email de facturación es válida durante 15 minutos y guarda un hash con clave del código, no el código. Se elimina tras una verificación correcta o el agotamiento de intentos; después de caducar no puede utilizarse y se elimina al comprobarse de nuevo o sustituirse. El proveedor de correo saliente necesariamente recibe el código en texto plano como parte del mensaje. La documentación actual de Resend indica que conserva en Estados Unidos durante 30 días en todos los planes los datos de email —incluidos el cuerpo, los adjuntos contractuales en texto plano y los mensajes con códigos de verificación—, con conservación flexible para Enterprise. Su política de privacidad también describe conservación necesaria para las finalidades declaradas, obligaciones legales, resolución de controversias o ejecución de acuerdos.
• Los registros de suscripción, pedidos de aspectos, pagos, prueba de consentimientos, derechos, revocación, financieros y fiscales se conservan durante el plazo necesario para ejecutar el contrato pagado y el exigido por normas contables, fiscales, antifraude, de consumo, controversias y defensa de pretensiones. Un derecho activo permanece vinculado a la cuenta mientras ambos existan; los datos innecesarios se eliminan o desidentifican sujeto a conservación obligatoria.

11. Seguridad

Utilizamos HTTPS, cookies HttpOnly y SameSite, hash de contraseñas con sal, hash de tokens de sesión en el servidor, comprobación del origen de las solicitudes que realizan cambios, límites de frecuencia, una base de datos aislada y acceso restringido a la infraestructura. Las copias de seguridad están destinadas a recuperar el Servicio.

Ningún método de transmisión o almacenamiento garantiza una seguridad absoluta. Si un incidente genera un riesgo, lo evaluaremos y notificaremos a las personas afectadas y a las autoridades en los casos y plazos establecidos por la ley.

12. Sus derechos

En función de su lugar de residencia, puede tener derecho a recibir información sobre el tratamiento, acceder a sus datos y obtener una copia, rectificarlos, suprimirlos, limitar u oponerse al tratamiento, recibir una copia portable, retirar el consentimiento y no ser objeto de una decisión significativa basada únicamente en un tratamiento automatizado. Puede reclamar ante la autoridad competente; la autoridad de control principal en Polonia es el Presidente de la Oficina de Protección de Datos Personales (Prezes UODO), ul. Stanisława Moniuszki 1A, 00-014 Varsovia, uodo.gov.pl.

Envíe su solicitud a privacy@games.enterprises desde la dirección vinculada a la cuenta y describa lo que solicita. Para proteger la cuenta, podremos pedir una verificación de identidad proporcionada. La respuesta será gratuita y se facilitará dentro del plazo legal, salvo en el caso de solicitudes manifiestamente infundadas o excesivas y repetitivas. Si denegamos total o parcialmente la solicitud, explicaremos el fundamento y las vías de recurso disponibles.

13. Gestión de datos públicos

Antes de publicar un comentario, tenga en cuenta que otros usuarios podrán verlo. Si ha iniciado sesión, puede eliminarlo mediante la interfaz. Para rectificar o eliminar un apodo, un resultado u otro elemento público que no pueda modificar por sí mismo, escriba a privacy@games.enterprises.

14. Menores

El Servicio no está destinado a menores de 13 años. Un usuario de entre 13 y 17 años solo podrá utilizarlo con el permiso exigido por la ley de su residencia. Una suscripción o compra de aspecto solo puede celebrarla una persona de al menos 18 años con capacidad jurídica; un progenitor o representante legal puede comprar en su propio nombre cuando sea lícito. Si considera que un menor de 13 años facilitó datos, comuníquelo a privacy@games.enterprises; investigaremos y eliminaremos los datos cuando sea obligatorio.

15. Señales del navegador y publicidad

No vendemos datos personales. Una señal Global Privacy Control desactiva el consentimiento de Meta Pixel en ese navegador. Do Not Track no tiene una interpretación jurídica uniforme; use Ajustes de cookies para rechazar o retirar Meta Pixel. También respetamos otras señales de exclusión jurídicamente vinculantes cuando proceda.

16. Modificaciones de la Política

Actualizaremos la Política cuando cambien los datos, las finalidades, los destinatarios o la ley, e indicaremos la nueva fecha. Cuando sea obligatorio, comunicaremos de forma destacada cualquier cambio sustancial antes de que entre en vigor. Para una nueva finalidad opcional solicitaremos el consentimiento si no está cubierta por la base jurídica anterior.