What the Shell – Política de Privacidad

1. Responsable del tratamiento

Charles Smith (que opera bajo el nombre de Ludisto)
Gartenstr. 3a
10115 Berlín
Alemania

Correo electrónico:

Si tiene preguntas sobre sus datos o desea ejercer cualquiera de los derechos descritos a continuación, escríbanos. Le responderemos en inglés, alemán o esperanto.

2. Ámbito de aplicación de esta política

Esta política explica qué ocurre con los datos personales cuando utiliza What the Shell — la aplicación móvil y de tablet, así como el sitio web complementario en whattheshell.games. Se aplica a todas las personas, pero está redactada teniendo en cuenta el Reglamento General de Protección de Datos (RGPD / GDPR), porque tenemos nuestra sede en Berlín.

Puede jugar a What the Shell contra el ordenador o en modo tutorial sin necesidad de cuenta y sin enviar ningún dato personal a nuestros servidores, salvo los datos analíticos anónimos mínimos descritos en la sección 3.5. Solo se recogen datos personales cuando elige jugar en línea, lo cual requiere una cuenta.

3. Qué recogemos y por qué

3.1 Datos de la cuenta (solo si crea una cuenta)

Dirección de correo electrónico — para que pueda iniciar sesión, recibir correos de confirmación y restablecimiento de contraseña, y para que podamos contactar con usted sobre su cuenta.
Nombre de usuario (nombre visible) — visible para sus oponentes en la bandeja de entrada y durante las partidas. Usted lo elige y puede cambiarlo.
Contraseña — almacenada únicamente como hash bcrypt, nunca en texto plano.
Tokens de autenticación — tokens de acceso JWT (firmados, expiran tras 90 días) y tokens de un solo uso de corta duración usados para la confirmación de correo y el restablecimiento de contraseña.
Elección de boletín al registrarse — si marcó la casilla opcional del boletín al registrarse, almacenada como un registro único para que podamos ver cuántos jugadores nuevos se suscriben. Refleja únicamente su elección en el momento del registro y es independiente de su estado de suscripción real al boletín.

3.2 Datos de partida

Estado de la partida — para cada partida en línea que juegue: el tablero de 9×9, el historial de movimientos, los huevos, las capturas, los contadores de turno, las marcas temporales y qué dos cuentas jugaron.
Puntuaciones y estadísticas — una puntuación de tipo Elo a partir de sus partidas en línea finalizadas, además de los recuentos de victorias, derrotas, empates y partidas de muerte súbita. Puede consultar las suyas iniciando sesión en whattheshell.games/login. Pueden añadirse puntuaciones adicionales (p. ej. competitiva) cuando se incorporen nuevos modos de juego.
Versión del cliente y plataforma — cuando envía un movimiento, su aplicación añade su cadena de versión (p. ej. 2.6.0) y la plataforma (iOS / Android) al registro del movimiento, para que podamos diagnosticar errores específicos de plataforma o versión y saber desde qué cliente se realizó cada movimiento.

Los registros de partida (movimientos, resultados, marcas temporales y los nombres de usuario de los dos jugadores) son visibles para los dos jugadores de la partida. También podemos utilizar partidas individuales para presentar o promocionar el Servicio, tal como se describe en las Condiciones de uso, sección 6.

Nunca se comparte públicamente: su dirección de correo electrónico, dirección IP, hash de contraseña, tokens de notificaciones push, metadatos de cuenta y preferencias.

3.3 Datos de notificaciones push (solo si permite las notificaciones)

Cuando otorga permiso para las notificaciones en la aplicación, su dispositivo emite un token push:

En iOS: un token de dispositivo APNs proporcionado por Apple.
En Android: un token de registro FCM proporcionado por Firebase.

Almacenamos este token vinculado a su cuenta para poder notificarle cuando es su turno, cuando su oponente abandona, cuando se solicita una revancha, etc. Puede revocar el permiso en los ajustes de su sistema operativo en cualquier momento — ello invalida el token y dejamos de poder contactar con usted.

3.4 Datos técnicos (registros del servidor)

Nuestro proveedor de alojamiento (Vercel) conserva registros HTTP de acceso estándar — cosas como la dirección IP, el agente de usuario, la ruta de la solicitud, la marca temporal — durante un breve periodo, por motivos de seguridad y operativos. No leemos ni agregamos estos registros con fines analíticos.

3.5 Datos analíticos anónimos en la aplicación

La aplicación registra dos tipos de datos analíticos best-effort:

Pasos del tutorial — qué pasos del tutorial interactivo alcanza un jugador en su primera ejecución. Vinculados a un UUID aleatorio por instalación, no a su identidad.
Resultados de partidas contra el ordenador — cuando juega contra el ordenador, contamos victorias, derrotas y empates por nivel de dificultad. Si tiene la sesión iniciada, estos datos se atribuyen a su cuenta para que sus estadísticas le sigan entre dispositivos; si no la tiene iniciada, se quedan en el dispositivo.

Utilizamos estos datos para entender si el tutorial está funcionando y si la curva de dificultad contra el ordenador es la adecuada. No utilizamos analíticas de terceros, seguimiento ni SDK publicitarios.

3.6 Boletín (opcional, solo con suscripción voluntaria)

Enviamos un boletín con novedades sobre What the Shell — nuevas versiones, eventos y alguna que otra partida destacada. Es totalmente opcional. Solo lo recibe si lo solicita activamente: hay una casilla sin marcar en el formulario de registro, y nunca le inscribimos por defecto.

Utilizamos un sistema de doble suscripción (double opt-in). Cuando marca la casilla (o se registra a través de un formulario independiente de boletín), le enviamos un único correo de confirmación. Solo le añadimos a la lista una vez que hace clic en el enlace de ese correo. Si nunca confirma, no se envía nada más, y su registro sin confirmar se elimina automáticamente al cabo de 14 días.

Como prueba de que se otorgó el consentimiento, registramos la confirmación — la dirección de correo electrónico, el momento en que confirmó, la dirección IP desde la que confirmó y una etiqueta de versión del texto de consentimiento que aceptó. Este registro constituye la prueba de nuestra base jurídica en virtud del RGPD y se conserva mientras siga suscrito.

Puede darse de baja en cualquier momento mediante el enlace de un solo clic que figura al pie de cada boletín; también puede responder y solicitarlo. Darse de baja afecta únicamente al boletín — seguirá recibiendo los correos transaccionales (confirmación de registro, restablecimiento de contraseña), porque son necesarios para operar su cuenta. El boletín se entrega a través de Resend (véase la sección 5); no vendemos ni compartimos la lista.

3.7 Dispositivos de muestra y stand

En eventos presenciales y exposiciones del sector del videojuego, What the Shell puede ejecutarse en tablets compartidas en un «modo stand» especial, con sesión iniciada en cuentas genéricas que nosotros operamos. Si juega en una de esas tablets:

Es posible que se le pida escribir un nombre de pila corto para que su oponente sepa con quién está jugando. Puede escribir lo que quiera, u omitirlo.
Ese nombre de pila se conserva como parte del registro de la partida, junto con las jugadas y el resultado, y puede aparecer en contenido que compartimos en línea con fines promocionales — por ejemplo, un clip o una publicación sobre una partida de stand memorable. Para esto usamos únicamente nombres de pila, nunca datos de contacto, y puede pedirnos que eliminemos su nombre de cualquier material publicado en cualquier momento (consulte «Sus derechos» más abajo).
No necesita cuenta para jugar en un dispositivo de stand y no vinculamos las partidas de stand con ninguna cuenta personal que pueda tener ya.

3.8 Invitaciones de amigos (solo si se une a través de un enlace de invitación)

What the Shell crece sobre todo gracias a los jugadores que invitan a sus amigos. Cuando crea su cuenta siguiendo el enlace de invitación personal de otro jugador, registramos qué jugador existente le invitó — una única referencia desde su nueva cuenta a la de él. La usamos para entender cómo crece el juego de boca en boca, para reconocer a los jugadores que traen amigos y para ofrecer funciones entre amigos (como ver cuáles de sus amigos están conectados). La tratamos sobre la base de nuestro interés legítimo (artículo 6(1)(f) del RGPD). Esta información nunca se muestra públicamente, y no la vendemos ni la compartimos. Si crea su cuenta de cualquier otra forma, no se registra ninguna referencia de este tipo. Puede oponerse a este tratamiento en cualquier momento (consulte «Sus derechos» más abajo); en ese caso, eliminaremos la referencia.

4. Base jurídica

Nos basamos en las siguientes bases jurídicas en virtud del art. 6 del RGPD:

Art. 6, apdo. 1, letra b) — ejecución de un contrato. Los datos de cuenta, los datos de partida y los tokens push son necesarios para prestarle el juego tal como se describe.
Art. 6, apdo. 1, letra f) — intereses legítimos. Los registros del servidor (para seguridad y prevención de abusos) y los datos analíticos anónimos mínimos (para mejorar el juego) se basan en nuestro interés legítimo. Estos intereses se ponderan frente a sus derechos; si se opone, póngase en contacto con nosotros.
Art. 6, apdo. 1, letra a) — consentimiento. Las notificaciones push solo se envían después de que usted haya otorgado expresamente el permiso en el cuadro de diálogo del sistema operativo. El boletín (sección 3.6) solo se envía después de que marque la casilla de suscripción voluntaria y confirme a través del correo de doble suscripción. Puede retirar cualquiera de los dos consentimientos en cualquier momento — desactivando las notificaciones en los ajustes de su dispositivo, o dándose de baja del boletín — sin que ello afecte a la licitud del tratamiento previo a la retirada.

5. Con quién compartimos sus datos

Utilizamos un pequeño número de proveedores de servicios («encargados del tratamiento» en virtud del RGPD) para operar el juego. Hemos celebrado contratos de tratamiento de datos (DPA / Cláusulas Contractuales Tipo) con cada uno de ellos.

Proveedor	Finalidad
Vercel Inc.	Aloja nuestro sitio web y el backend de la API; sirve las páginas web; escribe los registros del servidor.
Upstash Inc.	Almacena los datos de cuenta y de partida en una base de datos Redis; copias de seguridad diarias en Vercel Blob.
Upstash QStash	Ejecuta tareas programadas (recordatorios de plazo de movimiento, copias de seguridad diarias).
Resend	Entrega correos electrónicos transaccionales (confirmación de registro, restablecimiento de contraseña) y, si se suscribe, el boletín; mantiene la lista de suscriptores del boletín.
Apple Inc.	Entrega notificaciones push a dispositivos iOS a través de APNs.
Google / Firebase	Entrega notificaciones push a dispositivos Android a través de FCM.

Todos los proveedores anteriores son sociedades constituidas en EE. UU. Tres de ellos están configurados para almacenar datos en la UE: Upstash Redis (sus datos de cuenta y de partida) y Upstash QStash (tareas programadas) en Fráncfort (eu-central-1), y Resend (correos transaccionales y la lista de suscriptores del boletín) en Irlanda (eu-west-1). Apple (APNs) y Google / Firebase (FCM) son servicios globales de entrega de notificaciones push, no almacenes regionales de datos: enrutan las notificaciones a su dispositivo y no almacenan datos de partida. Vercel, que aloja el sitio web y la API, ejecuta sus funciones serverless y los registros del servidor en Estados Unidos (iad1); las copias de seguridad diarias que almacena por nosotros se conservan en la UE (Fráncfort, fra1).

No vendemos ni alquilamos sus datos a nadie. No los utilizamos para elaborar perfiles ni para crear audiencias publicitarias.

6. Transferencias internacionales

Todos los proveedores anteriores son sociedades constituidas en EE. UU. Cuando los datos personales se transfieren efectivamente a Estados Unidos, dichas transferencias se basan en las Cláusulas Contractuales Tipo de la Comisión Europea y, cuando proceda, en el Marco de Privacidad de Datos UE-EE. UU. Las excepciones son Upstash Redis, Upstash QStash y Resend, cuyos datos se almacenan en la UE como se ha indicado anteriormente; el marco de las Cláusulas Contractuales Tipo sigue rigiendo, no obstante, las relaciones de tratamiento con las entidades estadounidenses. Puede solicitarnos por correo electrónico una copia de las garantías pertinentes.

7. Cuánto tiempo conservamos sus datos

Datos de cuenta — mientras exista su cuenta. Puede eliminar su cuenta en cualquier momento mediante la opción Eliminar cuenta en la app o a través de la página /delete de nuestro sitio web. Se le pedirá iniciar sesión y confirmar antes de que se elimine ningún dato. Al eliminarla retiramos: su registro de usuario, su dirección de correo electrónico, los tokens de notificaciones push, las estadísticas frente a otros jugadores y cualquier entrada pendiente de emparejamiento. Las partidas activas que aún no haya finalizado quedan abandonadas a favor de su oponente.
Partidas finalizadas — los registros de partida (movimientos, resultados, historial de turnos) se conservan indefinidamente con los nombres de usuario tal como se mostraban cuando se jugaron las partidas. Esto se aplica también a las partidas que jugó antes de eliminar su cuenta — su historial de movimientos sigue atribuido al nombre de usuario que utilizaba en ese momento. Conservar este historial importa porque cada partida forma parte del registro entre usted, la persona con la que jugó y (en el caso de las partidas públicas) la comunidad más amplia de What the Shell, y modificarlo retroactivamente falsearía ese registro. Tratamos los nombres de usuario conservados sobre la base del interés legítimo (art. 6, apdo. 1, letra f) del RGPD) — en concreto, la integridad de las clasificaciones competitivas, el registro histórico del juego y el interés de sus antiguos oponentes y otros espectadores en una representación fiel del enfrentamiento. Puede oponerse a este tratamiento en cualquier momento en virtud del art. 21 del RGPD (véase «Sus derechos» más abajo); en tal caso sustituiremos su nombre de usuario en los registros afectados por una etiqueta no identificativa. También puede cambiar su nombre de usuario por un alias no identificativo antes de solicitar la eliminación, si lo prefiere.
Registros del servidor — conservados por Vercel conforme a su política (normalmente no más de 30 días).
Copias de seguridad — las instantáneas diarias de Redis se conservan en Vercel Blob durante 30 días, tras lo cual se eliminan automáticamente.
Tokens efímeros — los tokens de confirmación de correo (24 h), los tokens de restablecimiento de contraseña (1 h), los tokens de inicio de sesión de un solo uso (15 min) y los códigos de unión a partida (72 h) caducan todos automáticamente.
Boletín — si se suscribe y confirma, Resend (sección 5) conserva su dirección de correo electrónico hasta que se dé de baja. Un registro sin confirmar se elimina automáticamente al cabo de 14 días. El registro de consentimiento (prueba de la suscripción — véase la sección 3.6) se conserva mientras siga suscrito.

8. Sus derechos

En virtud del RGPD tiene derecho a:

Acceder a los datos personales que tenemos sobre usted.
Rectificar datos que sean incorrectos o estén desactualizados.
Suprimir sus datos («derecho al olvido»).
Limitar u oponerse a nuestro tratamiento.
Portabilidad — obtener una copia legible por máquina de sus datos.
Retirar el consentimiento en cualquier momento (afecta solo a tratamientos futuros).
Reclamar ante una autoridad de control. Para residentes en Berlín se trata de la Berliner Beauftragte für Datenschutz und Informationsfreiheit (datenschutz-berlin.de). También puede reclamar ante la autoridad de su propio Estado miembro de la UE.

Para ejercer cualquiera de estos derechos, escriba a . Responderemos en un plazo de 30 días.

9. Seguridad

Las contraseñas se cifran con bcrypt. Nunca vemos su contraseña en texto plano.
Toda la comunicación entre la aplicación, el sitio web y el servidor se realiza por HTTPS/TLS.
Los tokens de sesión JWT están firmados (HS256) y expiran tras 90 días.
Los restablecimientos de contraseña incrementan una versión de token del lado del servidor, invalidando cualquier sesión antigua.
El acceso a Redis se autentica con tokens por servicio; las copias de seguridad se almacenan en un bucket privado de Vercel Blob.
Somos una organización pequeña. Si una violación de datos le afecta, le notificaremos a usted y a la autoridad de control en un plazo de 72 horas, según exigen los artículos 33 y 34 del RGPD.

10. Menores

Para crear una cuenta debe tener al menos 16 años, el umbral del RGPD en Alemania. El propio juego puede jugarse sin cuenta por personas de cualquier edad — contra el ordenador o a través del tutorial — y solo recoge los datos analíticos anónimos descritos en la sección 3.5.

11. Cambios en esta política

Podemos actualizar esta política a medida que el juego evolucione. Si el cambio es sustancial (nuevas categorías de datos, nuevos encargados del tratamiento, cambios en sus derechos), lo anunciaremos por correo electrónico a los usuarios registrados. La fecha de «Última actualización» en la parte superior de esta página siempre reflejará la versión más reciente.