Política de privacidad

1. Responsable del tratamiento

La responsable del tratamiento es Katsiaryna Filosaf, persona física que opera desde Polonia, con dirección en ul. Rolna 1, 30-318 Kraków, Polonia. play2gether.fun es un subproyecto de games.enterprises.

Para cuestiones de datos escriba a privacy@games.enterprises. La dirección alternativa es 100games.enterprises@gmail.com y el teléfono es +1 (343) 655-5448.

2. Cuenta y verificación del correo

Al registrarse tratamos el correo y su forma normalizada, la contraseña, un identificador interno, fechas de creación y actualización e idioma. La contraseña no se guarda en texto: conservamos un hash robusto con sal y sus parámetros técnicos.

La verificación usa un enlace con token de un solo uso válido hasta 24 horas. La base conserva un hash protegido del token y sus horas de creación, vencimiento y uso, no el token original. El proveedor de correo recibe necesariamente el enlace original dentro del mensaje.

La recuperación de la cuenta usa otro enlace de un solo uso válido hasta 1 hora. Conservamos el hash de su token y las horas de creación, vencimiento y uso; Resend recibe el enlace original en el correo de seguridad. Al crear una contraseña nueva se confirma el control del correo, se revocan todas las sesiones anteriores y se invalidan los demás enlaces de verificación y recuperación sin usar.

3. Sesiones y seguridad

Después del acceso se crea un token de sesión aleatorio; la base conserva su hash, el identificador de usuario y las fechas de creación y vencimiento. La cookie de sesión dura hasta 30 días y utiliza HttpOnly, SameSite=Strict y Secure mediante HTTPS.

Para limitar intentos de registro y acceso tratamos la dirección IP, un hash seudonimizado del correo, contadores y ventanas temporales. El servidor y proxy también tratan hora, método y ruta, estado de respuesta, referrer, user agent y encabezados de seguridad.

4. Salas y datos del juego

Tratamos el código e identificador de sala, idioma del contenido, juego elegido, estado de ronda, fechas de creación y vencimiento y el identificador de la cuenta creadora registrada. De cada participante se guardan nombre visible, color, rol de anfitrión, horas de entrada y actividad y hash de un token aleatorio.

El estado puede incluir respuestas, opciones, votos, puntuaciones, equipos, resultados y marcas de preparación. Los demás jugadores de la sala ven estos datos según requiera el juego. No envíe datos sensibles ni información de otra persona sin base jurídica.

5. Compras y Stripe

Stripe aloja Checkout y recibe directamente los datos de la tarjeta. No recibimos el número completo ni el CVC. Para ejecutar una compra podemos recibir y conservar correo del pagador, nombre o dirección de facturación, país, situación fiscal, identificadores de Stripe Customer, Checkout Session, PaymentIntent, Charge y Price, producto y juego, importe, moneda, impuesto, estado, fechas de activación y vencimiento, marca y últimos dígitos de tarjeta, y datos de reembolso, disputa y riesgo de fraude.

Conservamos versión y copia de condiciones aceptadas, idioma, horas de consentimiento, confirmación de mayoría de edad, solicitud de suministro inmediato, reconocimiento sobre desistimiento y entrega de la confirmación contractual. Es necesario para ejecutar la compra, tramitar reclamaciones y reembolsos, llevar registros fiscales y defender derechos.

6. Correos y comunicaciones

Resend trata destinatario, remitente, asunto, contenido, adjuntos con condiciones, identificador y metadatos de entrega de los correos de verificación, contractuales y de seguridad. Resend es Plus Five Five, Inc.; su política y DPA están en resend.com/legal/privacy-policy y resend.com/legal/dpa.

Cuando nos contacta tratamos sus datos de contacto, contenido y adjuntos, correspondencia e información necesaria para responder. El correo del dominio puede pasar por Namecheap y llegar a un buzón de Google.

7. Fines y bases jurídicas

La cuenta, sesión, sala, juego, derecho de acceso, pago y soporte son necesarios para celebrar o ejecutar el contrato o atender medidas precontractuales solicitadas, conforme al artículo 6(1)(b) del RGPD.

Los registros fiscales, contables, de consumo y requerimientos legales cumplen obligaciones del artículo 6(1)(c). La protección de cuentas, límites de frecuencia, diagnóstico, prevención de fraude y defensa de derechos se basan en nuestro interés legítimo del artículo 6(1)(f). Si se incorpora analítica o marketing opcional, se basará en consentimiento del artículo 6(1)(a) cuando sea obligatorio.

8. Destinatarios y tratamiento internacional

Timeweb Cloud proporciona infraestructura en Ámsterdam, Países Bajos, donde se encuentran la base SQLite principal y copias lógicas. Stripe presta servicios de pago, fiscales y antifraude. Resend envía correo transaccional. Namecheap presta DNS y reenvío de correo, y Google proporciona el buzón final.

Polonia y Países Bajos pertenecen al EEE. Stripe, Resend, Namecheap y Google pueden tratar datos pertinentes fuera del EEE con las garantías descritas en sus documentos, incluidas una decisión de adecuación o cláusulas contractuales tipo cuando corresponda. Solicite más información a privacy@games.enterprises.

9. Conservación

Los datos de cuenta y derechos vinculados se conservan mientras exista la cuenta y sean necesarios para el Servicio. Una sesión dura hasta 30 días. El enlace de verificación dura hasta 24 horas y el de recuperación de contraseña hasta 1 hora. Un token utilizado deja de aceptarse; sus registros se eliminan en la limpieza técnica posterior al uso o vencimiento.

Una sala deja de estar disponible después de 24 horas y se elimina en la siguiente limpieza técnica. Los datos vencidos pueden permanecer de forma limitada en copias aisladas; el ciclo actual de copias lógicas es de hasta 14 días. Los límites de frecuencia se conservan durante una ventana corta y se eliminan al limpiar tras vencer.

Los registros de pago, contrato, contabilidad, impuestos, fraude y disputas se conservan durante el plazo necesario para ejecutar la compra y exigido por la ley. La correspondencia se conserva mientras sea necesaria para la solicitud, seguridad o reclamación legal.

10. Seguridad

Usamos HTTPS, cookies HttpOnly y SameSite, hash con sal de contraseñas, hash de tokens secretos, control de origen de solicitudes modificadoras, límites de frecuencia, base aislada y copias. El acceso a producción está restringido.

Ningún método es absolutamente seguro. Si un incidente genera riesgo, lo evaluaremos y notificaremos a las personas y autoridades cuando y en el plazo exigido por la ley.

11. Sus derechos

Según la ley aplicable, puede solicitar acceso, copia, rectificación, supresión, limitación o portabilidad; oponerse, retirar consentimiento y no ser objeto de una decisión exclusivamente automatizada con efectos significativos. Retirar consentimiento no afecta al tratamiento previo legítimo.

Escriba a privacy@games.enterprises, preferiblemente desde el correo de la cuenta. Podemos pedir verificación proporcionada. La autoridad principal en Polonia es Prezes Urzędu Ochrony Danych Osobowych, ul. Stanisława Moniuszki 1A, 00-014 Warszawa, uodo.gov.pl; también puede acudir a la autoridad de su lugar de residencia.

12. Menores y cambios

El Servicio no está destinado al uso independiente por menores de 13 años. Si cree que un menor envió datos sin participación adulta adecuada, contacte privacy@games.enterprises. Solo adultos con capacidad jurídica pueden comprar.

Actualizamos esta Política cuando cambian datos, fines, destinatarios o ley e indicamos nueva fecha. Informamos visiblemente de cambios sustanciales y solicitamos consentimiento cuando sea obligatorio.