Aviso de privacidad

En dos líneas: guardamos lo imprescindible para que tengas cuenta y puedas jugar, no cedemos nada a nadie, no hay publicidad ni rastreo de terceros, y puedes descargar tus datos o darte de baja tú mismo desde Mi perfil. Lo que sigue es el detalle, que es obligatorio y además queremos que sea claro.

1. Quién es el responsable

Responsable del tratamiento: Luis Alberto Amador Oliva
Contacto para todo lo relativo a tus datos: privacidad@amanecerdelocaso.com

No hay delegado de protección de datos: no es obligatorio para un sitio de estas características (art. 37 del RGPD), y el responsable atiende directamente cualquier petición.

2. Qué datos tratamos y de dónde salen

Todos los datos nos los das tú al usar el sitio; no los obtenemos de nadie más. Son estos:

Qué	Cuáles
Tu cuenta	Nombre de usuario, correo electrónico, contraseña (solo su hash: nunca la contraseña en claro), fecha de alta, cómo se creó la cuenta (registro abierto, invitación, administración), si el correo está confirmado, fecha de la última entrada y de la última vez que se te vio con la sesión abierta, avatar si subes uno, rol (usuario o administrador), si la cuenta está suspendida, cuándo aceptaste estas condiciones y si has pedido que no se registre tu uso.
Lo que creas	Adalides (hoja, alias, notas, retrato), campañas, partidas y sus escenas, mensajes en las partidas y en los foros, tiradas de dados, PNJ, mapas, tokens y modelos de la mesa 3D, mazos de Duumviratus, expediciones de Fracturas de Gaia y de La Búsqueda, partidas de El Pliegue y de Oriscae con sus resultados (de El Pliegue, una copia del nombre, la civilización, el oficio y el retrato del Adalid con que juegas, tomada al aceptar; de Oriscae, una copia de lo que el juego usa de su hoja —nombre, civilización, oficio, atributos, Renombre, rasgo o Talento, habilidades, runas, poderes, tonalli y disciplina— y su retrato, tomada al sentarte, nunca la hoja entera), la miniatura 3D que elijas para tu Adalid en los juegos que la admiten (cuál de los modelos de la mesa 3D de tu Adalid y la huella del archivo, que solo se envía a quien juega esa partida contigo), y tus preferencias de los juegos (si ves el tablero en 2D o en 3D y si quieres el modo guía).
Leyenda	Si algún juego se abre por la Leyenda, se calcula con lo que ya juegas y creas en la web —partidas terminadas, escenas de las partidas de rol, hazañas, avances de Renombre, turnos jugados a tiempo, Adalides completados y la primera vez que usas algunas cosas—, nunca con los foros generales, los mensajes privados ni el registro de uso. Se guardan un apunte por cada cosa que cuenta, el total y los juegos que te ha abierto. Es privada: la ves tú (en «Tu Leyenda») y la administración, salvo que decidas que tu perfil enseñe hasta dónde has llegado, sin cifras.
Mensajes privados	Remitente, destinatario, asunto, texto, fecha y si se ha leído. Los avisos del propio sitio (invitaciones, turnos) llegan por el mismo buzón.
Seguridad	Intentos de acceso (dirección IP y nombre de usuario con el que se intentó); para frenar abusos, la dirección IP de cada alta de cuenta y de cada petición que busca a una persona o una dirección de correo (buscar a quién escribir o con quién compartir, pedir un restablecimiento de contraseña o un nuevo correo de confirmación), sin guardar qué se buscó; credenciales de un solo uso para confirmar el correo o restablecer la contraseña (solo su hash); en las cuentas que administran, el segundo factor: la clave que comparte con la aplicación de autenticación del móvil, cuándo se activó, el último código usado (para que no valga dos veces) y los códigos de recuperación (solo su hash); registro de fallos técnicos (página y mensaje de error, sin IP ni cuenta); qué hizo cada administrador (historial de administración).
Registro de uso	Con la sesión iniciada, qué páginas abres (solo el nombre de la página: nunca el número de una partida o un Adalid), a qué sección pertenecen, si es desde móvil, tableta u ordenador, fecha y hora, y cuántos segundos estuvo visible la página. Sin dirección IP y sin identificar el navegador. Puedes pedir que no se registre, en un clic, desde Mi perfil → Privacidad; lo anotado hasta entonces se borra.
Compromiso de confidencialidad	El proyecto está sin publicar y cada cuenta firma un compromiso de confidencialidad. De cada firma se guardan: tu cuenta (usuario y correo), el nombre y apellidos que escribes al firmar, la fecha y la hora, la versión firmada y una huella SHA-256 del texto. Sin dirección IP. Si la cuenta es de una persona menor de edad, se guardan además el nombre y apellidos del adulto responsable que firma por ella, en qué calidad lo hace, el motivo y qué administrador lo registró; ese adulto puede pedirnos sus datos y ejercer sus derechos como cualquiera (apartado 7).
Administración	Notas internas que la administración puede escribir sobre una cuenta (por ejemplo, por qué se suspendió), los avisos de contenido que envíes y, si la administración te da o te retira el acceso a un juego en concreto, esa excepción (qué juego, desde cuándo y quién la puso). Puedes leer las notas y las excepciones que haya sobre ti descargando tus datos; las excepciones se borran con la baja.
Invitaciones	Si invitas a alguien por correo, guardamos su dirección hasta que acepte o la invitación caduque (14 días); después se retira. Quien recibe la invitación ve en el propio correo quién le invita y a qué.
Registros del servidor	El proveedor de alojamiento genera, como cualquier servidor web, registros técnicos de acceso (dirección IP, página pedida, fecha) para la seguridad y el funcionamiento del servidor; los conserva durante el plazo breve que fija el proveedor y no los usamos para nada más.

No tratamos categorías especiales de datos (salud, ideología, etc.). Los Adalides y las crónicas son ficción: no escribas en ellos datos reales sobre ti ni sobre nadie.

3. Para qué, y con qué base legal

Finalidad	Base legal (art. 6 del RGPD)
Darte una cuenta y que puedas jugar: crear Adalides, participar en partidas y foros, enviar y recibir mensajes, y que los demás sepan quién eres en la mesa.	Ejecución del contrato: las condiciones de uso que aceptas al registrarte (6.1.b).
Enviarte los correos imprescindibles: confirmar tu dirección, restablecer la contraseña, invitaciones. Nunca publicidad.	Ejecución del contrato (6.1.b).
Proteger el sitio y las cuentas: limitar los intentos de acceso, registrar fallos, dejar constancia de lo que hace la administración.	Interés legítimo en la seguridad del servicio (6.1.f). Sin ello cualquiera podría probar contraseñas sin límite.
Entender cómo se usa el sitio para mejorarlo: qué secciones se visitan, cuánto tiempo, desde qué aparatos, dónde se abandona un proceso.	Interés legítimo en mejorar el servicio (6.1.f), con medidas de contrapeso: sin IP, plazo corto, y derecho a oponerte en un clic.
Moderar: atender los avisos, retirar contenido que incumpla las condiciones, suspender cuentas.	Ejecución del contrato (6.1.b) e interés legítimo en mantener un sitio respetuoso (6.1.f).
Dejar constancia de que firmaste el compromiso de confidencialidad, y poder probarlo si hiciera falta.	Ejecución del contrato (6.1.b) e interés legítimo en poder formular o defender reclamaciones (6.1.f y art. 17.3.e).
Abrirte juegos con la Leyenda (en los juegos que se abren así): calcularla con lo que juegas y creas, y decirte qué te falta. Es una decisión automática de poco alcance —abrir un juego de una web de aficionados—, con sus reglas a la vista en «Tu Leyenda»; si algo no cuadra, la administración lo revisa.	Contrato (6.1.b): es parte del servicio que aceptas en las condiciones de uso.
Atender tus derechos y cumplir la ley.	Obligación legal (6.1.c).

No tomamos decisiones automatizadas con efectos jurídicos sobre ti ni elaboramos perfiles (art. 22 del RGPD). Las estadísticas de uso sirven para mejorar el sitio, no para tratarte de forma distinta. En los juegos, algunas cosas las decide el servidor con reglas fijas —que un Adalid de prueba lleve tu plaza si dejas pasar dos rondas sin jugar, o que caduque una partida en la que no juega nadie—: son reglas de la partida, no decisiones sobre ti; puedes retomar tu plaza cuando vuelvas y, si algo no te parece bien, avisar a la administración.

4. Quién ve tus datos

Las demás personas del sitio ven tu nombre de usuario y tu avatar, tu perfil público (fecha de alta y los Adalides que tú decidas mostrar), y lo que escribes en foros y partidas en las que participan. Los mensajes privados los ve solo su destinatario. Tu correo electrónico no lo ve nadie, salvo la administración.
La administración del sitio puede ver las cuentas, sus Adalides y partidas, y los mensajes cuando modera. Puede abrir el sitio «como» una cuenta para diagnosticar un problema, siempre en modo de solo lectura y dejando constancia en el historial de administración.
El proveedor de alojamiento (Hostalia (servidores en la Unión Europea)) guarda físicamente el sitio y su base de datos y envía el correo, como encargado del tratamiento, con un contrato que le obliga a tratar los datos solo por cuenta nuestra.

No cedemos datos a nadie más, no hay publicidad ni servicios de análisis de terceros, y no se hacen transferencias fuera de la Unión Europea. Si alguien enlaza en un mensaje una imagen alojada en otra web, no se carga sola: ves un botón con el nombre de esa web y, solo si lo pulsas, tu navegador se la pide y esa web recibe tu dirección IP (ver la política de cookies). Solo entregaríamos datos a una autoridad si una ley o una orden judicial nos obligara a ello.

5. Cuánto tiempo conservamos tus datos

Tu cuenta y lo que has creado: mientras la cuenta exista. Una cuenta que no confirma su correo se borra a las 48 horas.
Intentos de acceso: 30 días. Credenciales de un solo uso: hasta que se usan o caducan (48 horas la confirmación, 1 hora el restablecimiento). Fallos técnicos: 30 días.
Registro de uso: 90 días; lo anterior se retira solo.
Firmas del compromiso de confidencialidad: mientras dure el compromiso y su plazo de reclamación. Son la prueba de un acuerdo que sigue vigente cinco años después de la baja, así que sobreviven a la baja de la cuenta (art. 17.3.e del RGPD); puedes descargar tu copia cuando quieras.
Historial de administración: mientras exista el sitio, porque es la garantía de que lo que hace la administración se puede revisar.
Copias de seguridad: el responsable descarga copias de la base de datos para poder restaurar el sitio si algo falla. Se guardan fuera de línea y no se conservan más de seis meses; hasta entonces pueden contener datos de una cuenta ya dada de baja, y solo se usarían para restaurar el sitio entero.

6. Darse de baja

Puedes dar de baja tu cuenta cuando quieras desde Mi perfil → Privacidad, con tu contraseña. En ese momento:

Tu nombre de usuario, tu correo, tu contraseña, tu avatar, tu buzón de mensajes, tu registro de uso, las notas de administración sobre ti y los intentos de acceso con tu nombre se borran o quedan irreconocibles: la cuenta pasa a llamarse «cuenta eliminada» y nadie puede volver a entrar en ella.
Tus Adalides que no estén en ninguna partida se borran con sus retratos. Los que sí están se quedan en la partida —sin retrato ni notas—, porque la crónica de las demás personas los necesita.
Lo que escribiste en foros y partidas compartidas, y las partidas de Duumviratus, Fracturas, La Búsqueda, El Pliegue y Oriscae que jugaste, se conservan firmados como «cuenta eliminada» (en Oriscae, sin el retrato ni la copia de la hoja): forman parte de las crónicas y los historiales de otras personas (art. 17.3 del RGPD, en relación con los derechos de los demás usuarios). Si quieres que se retire algo concreto que escribiste, pídelo antes de la baja o por correo.

Si diriges partidas que no han terminado, el sitio te pedirá traspasarlas o finalizarlas antes; si administras el sitio, que otro superadministrador te retire antes el rol.

La firma del compromiso de confidencialidad no se borra con la baja: es la prueba de un acuerdo que sigue obligando después (apartado 5). Descarga tu copia antes de irte si quieres conservarla.

7. Tus derechos

Tienes derecho a acceder a tus datos, rectificarlos, suprimirlos, limitar su tratamiento, oponerte a él y a la portabilidad (recibirlos en un formato legible por máquina). Cómo ejercerlos:

Sin pedirlo a nadie, desde Mi perfil: descargar todos tus datos en JSON (acceso y portabilidad), cambiar la contraseña y el avatar, dejar de ser registrado en el registro de uso (oposición) y dar de baja la cuenta (supresión).
Escribiendo a privacidad@amanecerdelocaso.com para lo demás: cambiar el nombre de usuario o el correo, retirar un mensaje concreto, limitar un tratamiento, o cualquier duda. Contestamos en el plazo de un mes (art. 12 del RGPD); si la petición viene de una dirección distinta de la de tu cuenta, podemos pedirte que la confirmes desde ella.

Si crees que no hemos atendido bien tus derechos, puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es, C/ Jorge Juan 6, 28001 Madrid). Te agradeceremos que nos escribas antes: casi siempre se arregla.

8. Menores de edad

Para registrarse hay que ser mayor de edad (18 años). Mientras el proyecto siga sin publicar, cada cuenta firma un compromiso de confidencialidad, y un menor no se obliga válidamente por sí solo: por eso la edad mínima está por encima de los 14 años del art. 7 de la Ley Orgánica 3/2018. Una cuenta de una persona menor de edad solo puede existir si la administración la autoriza y un adulto responsable (padre, madre, tutor legal o el propio titular) firma por ella el compromiso y responde de que se cumpla; de ese adulto se guardan el nombre y apellidos, la calidad en que firma y el motivo. Si tienes menos, no te registres; si sabemos que una cuenta es de alguien menor de edad y no la respalda la firma de un adulto responsable, la suspenderemos y la daremos de baja. Si eres padre, madre o tutor y crees que un menor a tu cargo tiene cuenta, escríbenos.

9. Cómo protegemos tus datos

Todo el sitio va cifrado (HTTPS). Las contraseñas se guardan con un hash resistente y nunca se pueden leer. La sesión va en una cookie que solo viaja cifrada y que el código de la página no puede leer, y caduca sola tras un tiempo sin uso. Las cuentas que administran necesitan, además de la contraseña, un código de un solo uso del móvil (segundo factor). El sitio se protege contra los ataques habituales (inyección, falsificación de peticiones, scripts ajenos), limita los intentos de acceso y no carga por su cuenta ningún recurso de terceros. La copia de seguridad completa de la base solo la descarga el responsable. Solo la administración accede a la base de datos, y todo lo que hace queda registrado. Si a pesar de todo ocurriera una brecha que te afectara, te lo comunicaríamos, y a la Agencia en las 72 horas que marca el artículo 33 del RGPD.

10. Cambios en este aviso

Si cambiamos algo relevante, cambiará la fecha de versión que ves arriba y, al entrar, verás una barra pidiéndote que leas y aceptes la versión nueva. Las versiones anteriores se pueden pedir por correo.