Política de privacidad

1. Quién es el responsable

El responsable del tratamiento de tus datos personales es Serhii Romanenko, empresario individual (FOP) registrado en Ucrania el 13 de julio de 2020, con sede en Odesa, Ucrania, editor de Dareboard. Contacto: privacy@dareboard.app.

Para cualquier duda o solicitud sobre privacidad escribe a privacy@dareboard.app. Para consultas generales: support@dareboard.app.

No hemos nombrado a ningún representante en la UE ni en el Reino Unido. Puedes escribirnos directamente a privacy@dareboard.app para cualquier asunto de privacidad, y puedes presentar una queja ante la autoridad de protección de datos de tu país. No hemos nombrado a un delegado de protección de datos, porque no hace falta por nuestro tamaño y tipo de tratamiento.

2. Qué recogemos

Cuenta e inicio de sesión. Inicias sesión con Apple o Google; no hay contraseña. Guardamos el identificador estable que Apple o Google nos da para ti, el método de inicio de sesión, el correo electrónico si el proveedor lo comparte (Apple puede dar una dirección privada de retransmisión), la hora de tu última actividad y un identificador técnico de la instalación de la app en tu dispositivo. Con Sign in with Apple guardamos además el token necesario para revocar el inicio de sesión cuando eliminas tu cuenta. Puedes probar una parte de la app como invitado, sin iniciar sesión.

Suscripción y compras. Apple y Google gestionan todos los pagos. Solo recibimos el registro de compra de la tienda: una referencia de compra, el plan (semana, mes, año o para siempre), su estado y fechas, incluida la prueba gratuita. Nunca recibimos los datos de tu tarjeta ni de pago. Nuestro servidor también guarda un historial de eventos de compra y suscripción (inicio o paso a pago de una prueba, renovación, vencimiento, reembolso: plan, tienda, estado y fecha), junto con el registro de la compra, que pierde todo vínculo contigo cuando borras tu cuenta, y los suma en totales para ver cómo va la app. Además envía a PostHog, en la UE, recuentos anónimos de pruebas (convertida o caducada; solo tienda, plan y entorno, sin ID de cuenta). Se envían aunque desactives los recuentos de uso en la app, porque no se pueden vincular contigo.

Confirmación de edad. La comprobación de edad se hace en tu dispositivo. Solo guardamos el hecho de que se superó. Tu fecha de nacimiento, o el rango de edad que comparte tu teléfono, se usa una vez en el dispositivo y no se nos envía.

Informes de fallos y recuentos de uso. Ambos están activados por defecto y puedes desactivar cada uno en cualquier momento en los ajustes de la app; al desactivarlo se detiene al instante, y el contador de uso además borra el identificador que guardó. Recibimos datos técnicos sobre tu dispositivo y sobre fallos (Sentry, UE) y recuentos de cómo se usan las funciones (PostHog, UE). En el EEE (y cuando no podemos saber dónde estás) el contador de uso no guarda ningún identificador en tu dispositivo: usa uno aleatorio nuevo cada vez que abres la app y no almacena nada. En otros lugares, incluido el Reino Unido, guarda un identificador anónimo aleatorio en el dispositivo para poder contar a quienes vuelven; nunca se vincula a tu cuenta, tu nombre ni tu correo electrónico. Los informes de fallos no incluyen nombre ni correo electrónico y no hacen seguimiento de sesiones; el SDK que envía los informes de fallos guarda en tu dispositivo un identificador técnico de instalación, que quitamos de los informes.

Registros del servidor. Nuestros servidores registran datos técnicos de cada solicitud, incluidos la dirección IP, la hora y el resultado, para mantener la seguridad del servicio y detectar fallos. Los registros se conservan 30 días y después se eliminan.

Recuento de visitas del sitio web (Cloudflare Web Analytics, sin cookies): nuestro interés legítimo en saber cómo se usa el sitio y mantenerlo rápido (art. 6.1.f).

El sitio web. El sitio web dareboard.app está alojado en Cloudflare Pages. Cuando lo visitas, Cloudflare trata tu dirección IP y los datos de la solicitud para entregar las páginas y proteger el sitio, y conserva sus propios registros según su propia política. El sitio no usa cookies ni almacenamiento local, no carga fuentes de terceros y no tiene inicio de sesión ni formularios. Cloudflare Web Analytics cuenta las visitas de forma agregada: un pequeño script de Cloudflare registra las páginas vistas, la página, el sitio de procedencia, el país, el tipo de navegador y de dispositivo y el rendimiento de carga de la página. No usa cookies, no te identifica por huella digital ni crea un perfil tuyo entre sitios, y nosotros solo vemos recuentos agregados. Los correos que envías a privacy@dareboard.app pasan por Cloudflare Email Routing, que los reenvía, y se guardan en el buzón de Gmail del editor (Google).

Notificaciones. La primera versión no envía notificaciones push. Si más adelante añadimos novedades u ofertas, te pediremos antes tu consentimiento y guardaremos un token push solo para ese fin.

3. Los jugadores que escribes y tus propias tareas

Cuando diriges una partida puedes escribir los nombres y géneros de los demás jugadores, con quién pueden emparejarse, cuántas veces ha confesado cada uno en «Yo nunca…», y tus propias tareas. Esta información se muestra en la pantalla compartida, así que todos los presentes pueden leerla. En una categoría para adultos puede revelar detalles de la vida privada de una persona, que la ley considera sensibles.

Los datos de los jugadores se quedan en el móvil de quien dirige la partida y nunca se nos envían. Los jugadores que aún se están preparando se conservan hasta que empieza la partida (entonces pasan a ser de esa partida), hasta que quien dirige los quita o hasta que cierra sesión o elimina su cuenta. Los datos de una partida empezada se eliminan cuando termina o cuando decides no reanudarla. Como nunca los recibimos, no podemos consultarlos ni corregirlos por ti; los controla quien dirige la partida.

Con tus propias tareas es distinto. Para escribirlas necesitas una cuenta, y las guardamos en nuestro servicio, vinculadas a tu cuenta, para que sean las mismas en todos los dispositivos en los que inicies sesión; la app también guarda una copia en tu móvil para jugar sin conexión. Puedes cambiarlas o eliminarlas en la app cuando quieras. Al cerrar sesión se borra la copia del móvil, y al eliminar tu cuenta se borran de nuestro servicio.

Antes de empezar, avisa a los jugadores de que sus nombres se ven en la pantalla compartida. Cualquiera puede pedir en cualquier momento que quien dirige lo quite.

4. Qué no recogemos

• Ningún dato de tarjeta de pago.
• Ninguna foto, vídeo o audio de nadie: las tareas son solo texto.
• Ninguna ubicación precisa, contactos ni identificador publicitario.
• Nada sobre el nombre de un jugador ni la categoría jugada cuando usas el botón de compartir al final de una partida: el texto compartido nombra el juego, los premios y un enlace a la app.

5. Para qué lo usamos y con qué base

• Gestionar tu cuenta e inicio de sesión: ejecución de nuestro contrato contigo (art. 6.1.b RGPD).
• Guardar tus propias tareas y sincronizarlas entre tus dispositivos: contrato (art. 6.1.b).
• Vender y cumplir tu suscripción y compra: contrato (art. 6.1.b) mientras exista la cuenta; conservar los registros de compra después: obligación legal en materia fiscal y contable (art. 6.1.c).
• Comprobar tu edad antes del contenido para adultos: obligación legal cuando la ley exige la comprobación (art. 6.1.c); en otro caso, nuestro interés legítimo en que los menores no accedan a contenido para adultos (art. 6.1.f).
• Informes de fallos y recuentos de uso: nuestro interés legítimo en mantener la app estable y en entender, de forma agregada, cómo se usa (art. 6.1.f); están activados por defecto y puedes oponerte en cualquier momento desactivándolos en los ajustes de la app.
• Registros del servidor, informes de errores del servidor (Sentry, sin direcciones IP ni contenido de las solicitudes), seguridad y prevención de abusos: nuestro interés legítimo en mantener un servicio seguro (art. 6.1.f).
• Atender tus solicitudes y conservar constancia de ellas: obligación legal e interés legítimo (art. 6.1.c y f).
• Datos de jugadores escritos en el dispositivo de quien dirige: se tratan solo en ese dispositivo, por quien dirige y para su propia partida, una actividad puramente personal que queda fuera del RGPD (art. 2.2.c). Nunca los recibimos, así que no somos responsables de su tratamiento.

Cuando nos basamos en intereses legítimos puedes oponerte; consulta la sección 9.

6. Quién recibe tus datos

Usamos proveedores que tratan datos por cuenta nuestra, cada uno con un contrato de encargado del tratamiento:

• Amazon Web Services, Fráncfort (eu-central-1): alojamiento del servicio.
• Sentry, región UE: alertas de errores del servicio e informes de fallos de la app (en la app, activado por defecto y desactivable).
• PostHog, nube UE: recuentos de uso (activado por defecto y desactivable en la app) y recuentos anónimos de compras que envía nuestro servidor (sin vínculo contigo; el ajuste de la app no los afecta).
• Cloudflare: alojamiento y entrega del sitio web, recuento anónimo de visitas (Cloudflare Web Analytics) y reenvío de los correos enviados a nuestra dirección.
• Google (Gmail): el buzón donde llegan los correos enviados a privacy@dareboard.app.

Apple y Google actúan como responsables independientes en Sign in with Apple, Google Sign-In, la facturación de App Store y Google Play y las señales de edad de tu teléfono. A lo que ellos hacen se aplican sus propias políticas de privacidad.

Podemos comunicar datos si lo exige una ley o una orden vinculante de una autoridad pública. No vendemos tus datos personales, no los compartimos con fines publicitarios y no los usamos para decisiones automatizadas con efectos jurídicos.

7. Dónde se alojan tus datos y transferencias

El servicio funciona en la región de AWS de Fráncfort (Alemania), y Sentry y PostHog se usan en sus regiones de la UE. El editor trabaja desde Ucrania, que la UE no ha reconocido como país con un nivel de protección adecuado; cuando accedemos desde allí a datos de usuarios de la UE/EEE, del Reino Unido o de Suiza, o cuando un proveedor traslada datos fuera del EEE, nos basamos en las Cláusulas Contractuales Tipo de la UE (y el anexo del Reino Unido cuando proceda), en el Marco de Privacidad de Datos UE-EE. UU. (EU-US Data Privacy Framework) para los proveedores estadounidenses certificados, o en otra garantía que la ley reconozca. Puedes pedirnos una copia de la garantía en privacy@dareboard.app.

8. Cuánto tiempo lo conservamos

• Cuenta: hasta que la elimines en la app, o automáticamente tras 24 meses sin usar la app con la sesión iniciada; se borra en los 30 días siguientes a esa fecha.
• Datos de jugadores: solo en el dispositivo de quien dirige la partida. Los jugadores que aún se preparan se conservan hasta que empieza la partida, hasta que quien dirige los quita o hasta que cierra sesión o elimina su cuenta; los datos de una partida empezada se eliminan cuando termina.
• Tus propias tareas: hasta que las elimines o elimines tu cuenta.
• Registros de compra: se conservan sin ningún vínculo con tu cuenta durante 3 años, como exige la normativa fiscal y contable de Ucrania, y después se borran.
• Registros del servidor: 30 días.
• Copias de seguridad: los datos borrados nunca se restauran en el servicio en producción, y las copias que los contienen caducan en el plazo de un mes desde el borrado.
• Informes de fallos y recuentos de uso: hasta 90 días en Sentry y 12 meses en PostHog; no incluyen nombre ni correo electrónico.

9. Tus derechos

Según dónde vivas (por ejemplo, conforme al RGPD, al GDPR del Reino Unido, a la FADP suiza o a la ley ucraniana), puedes pedirnos acceso a tus datos o una copia, rectificación, supresión, limitación, portabilidad, y oponerte al tratamiento basado en intereses legítimos; también puedes retirar un consentimiento en cualquier momento. Retirar el consentimiento no afecta a lo hecho antes.

Escribe a privacy@dareboard.app. Podemos pedirte que acredites tu identidad. Respondemos en un mes; cuando la ley lo permite, podemos ampliar ese plazo dos meses más y te lo diremos durante el primer mes. Las solicitudes son gratuitas, salvo que sean manifiestamente infundadas o excesivas.

Para eliminar tu cuenta, en la app ve a «Cuenta» → «Eliminar cuenta». Sin la app, sigue los pasos de https://dareboard.app/es/delete-account. Eliminar la cuenta no cancela una suscripción: cancélala en App Store o Google Play.

Puedes presentar una reclamación ante la autoridad de protección de datos de tu país o de tu lugar de trabajo o residencia. En Ucrania es el Comisionado de Derechos Humanos del Parlamento ucraniano. Los residentes de California y de otros estados de EE. UU. con leyes de privacidad tienen los mismos derechos de acceso, supresión y rectificación; no vendemos ni compartimos datos con fines publicitarios.

10. Edad

Dareboard es para adultos. Si la señal de edad de tu teléfono indica que eres menor de 18 años, o no confirmas que tienes 18 o más, la app no se abre. No recogemos a sabiendas datos de menores de 18 años. Si crees que un menor tiene una cuenta, escribe a privacy@dareboard.app y la eliminaremos.

11. Seguridad y brechas

Protegemos los datos en tránsito (TLS) y en reposo y limitamos quién puede acceder a ellos. Si una violación de la seguridad de los datos personales supone un riesgo para las personas, lo notificamos a la autoridad de control en un plazo de 72 horas cuando la ley lo exige, e informamos a los afectados sin dilación indebida.

12. Cambios

Si cambiamos esta política de forma relevante, actualizaremos la fecha de arriba y, cuando la ley lo exija, te avisaremos en la app antes de que el cambio se aplique. Las versiones anteriores están disponibles si las pides.