Política de Privacidad

Responsable del tratamiento

El responsable del tratamiento de tus datos es El Dragón Cojo, una comunidad de Mallorca (España) que se está constituyendo como asociación. Para cualquier cuestión sobre tus datos puedes escribir a drac.coix@gmail.com.

¿Qué datos tratamos?

Para crear tu cuenta solo te pedimos un correo, un nombre de usuario y una contraseña. Como se entra con la invitación de alguien de la comunidad, apuntamos quién te invitó, y eso solo lo ven esa persona y la administración. La contraseña se guarda de forma que nadie puede leerla, tampoco la administración.

Todo lo demás lo decides tú: lo que añadas a tu perfil, lo que publicas en la comunidad, los eventos a los que te apuntas y lo que cuentas en ellos (cuestionario, acompañantes, vehículo compartido o disponibilidad), tus mensajes, lo que nos escribes por el formulario de contacto o al pedir una invitación (tu nombre, un correo o un teléfono y unas líneas) y, si las activas, las notificaciones en el móvil. Si te das de baja, guardamos lo mínimo para devolverte la cuenta si vuelves.

Como cualquier servidor web, el nuestro anota la dirección IP y el navegador de cada conexión, solo para la seguridad y para arreglar averías. Lo que guarda tu propio navegador está en la Política de Cookies.

Entrar con Google, Discord o Twitch

Puedes entrar con tu cuenta de Google, Discord o Twitch en lugar de con correo y contraseña, o vincularlas en Configuración → Formas de entrar. Es opcional: tu cuenta funciona igual sin ellas.

Cuando eliges una, esa empresa te pide permiso y, si aceptas, nos envía solo los datos básicos de tu cuenta allí:

• Google: un identificador de tu cuenta de Google, tu correo y si está verificado, tu nombre y tu foto de perfil. Solo pedimos los permisos básicos para iniciar sesión (openid, email y profile).
• Discord: el identificador de tu cuenta, tu nombre de usuario y tu nombre visible, tu avatar, tu correo y si está verificado (permisos identify y email).
• Twitch: el identificador de tu cuenta, tu nombre de usuario y tu nombre visible, tu imagen de perfil y tu correo (permiso user:read:email).

Para qué los usamos: solo para saber que eres tú cuando entras y para unir esa cuenta a tu cuenta de la comunidad. Tu nombre de usuario y tu retrato en la web son los que eliges aquí: no copiamos tu nombre ni tu foto de Google, Discord o Twitch a tu perfil, y la web solo te enseña esos datos a ti, en Configuración → Formas de entrar.

Lo que no hacemos: no publicamos nada en tu cuenta, no leemos tus contactos, correos, vídeos ni mensajes, y no pedimos acceso a ellos. No vendemos estos datos, no los compartimos con nadie y no los usamos para publicidad. El uso que hacemos de la información recibida de las API de Google cumple la Política de datos de usuario de los servicios de API de Google, incluidos los requisitos de uso limitado.

Dónde se guardan y cómo retirarlos: se guardan con tu cuenta, en los servidores de Hetzner en Alemania. Puedes separar esa forma de entrar cuando quieras desde Configuración → Formas de entrar, y también quitarle el permiso a la web desde tu cuenta de Google, Discord o Twitch. Si quieres que además borremos lo que nos envió, escríbenos a drac.coix@gmail.com. Si te das de baja, se borran con el resto de tus datos personales, como explica «Conservación».

Cada una de esas empresas trata los datos de tu cuenta según su propia política de privacidad.

¿Qué ve cada quién?

Esta es la pregunta que más se hace la gente, así que va contestada sin rodeos. La comunidad está organizada en tres círculos, y cada dato vive en uno solo. Ante la duda, el dato NO sale de su círculo: preferimos pedir cuenta de más que enseñar de más.

1. El escaparate: cualquiera, sin cuenta. Lo justo para decidir si te unes: la portada, los Mandamientos, estos textos legales, el foro en lectura, la Wiki y el catálogo de juegos. También el listado y la página de los eventos públicos con lo básico: qué es, cuándo, dónde y cuánta gente va. El número, nunca los nombres, y tampoco quién organiza. De una persona, aquí no se ve nada: ni su nombre de usuario, ni su retrato, ni su nivel, ni su firma, tampoco al pie de lo que escribe en el foro.
2. La comunidad: usuarios con la sesión iniciada. La vida en común: el nombre de usuario, el retrato, el nivel y la firma de cada persona, quién va a cada evento que puedas ver y quién lo organiza, el muro, el chat de cada evento, los grupos, las reseñas de sitios y las valoraciones de las partidas con su autor, quién sigue a quién, las ludotecas, la disponibilidad declarada y los anuncios del Mercadillo. Aquí también viven los apartados de tu perfil que tienen interruptor (biografía, municipio, estadísticas, logros, grupos, ludoteca y contactos). Si lo apagas, no lo ve nadie, y si lo enciendes, lo ven los usuarios con la sesión iniciada.
3. Lo privado: solo tú y quien te corresponda. Tus mensajes privados, tus respuestas a los cuestionarios de un evento, tus datos de contacto, tu ubicación exacta, el historial de bajas de asistencia y tu lista de personas bloqueadas. De ahí solo salen para quien organiza TU evento (lo que necesita para organizarlo: la lista de asistentes, las respuestas de su cuestionario, los acompañantes anunciados y el pase de lista) y para la administración donde ya le corresponda: contenido publicado, cola de denuncias, bandeja de contacto y registro de notificaciones.

Los interruptores los cumple el servidor, no solo la pantalla. Cuando apagas un apartado en Configuración → Privacidad, el dato deja de servirse: no se queda escondido detrás de un botón.

No son públicos nunca: tu correo electrónico, tu contraseña (que nadie puede leer, tampoco la administración) y tus mensajes privados.

Para qué los usamos y con qué base

• Llevar tu cuenta y tu participación en la comunidad (foro, eventos, grupos, mensajes y las notificaciones de tu actividad): es el servicio que pides al registrarte, así que la base es la ejecución de las condiciones de uso del Aviso Legal (art. 6.1.b del RGPD).
• Los datos opcionales del perfil, las notificaciones en el móvil y entrar con Google, Discord o Twitch: tu consentimiento (art. 6.1.a), que puedes retirar cuando quieras desde Configuración: borrando el dato o apagando su interruptor, desactivando las notificaciones o separando esa forma de entrar.
• Contestar a lo que nos escribes por el formulario de contacto o al pedir una invitación: nuestro interés legítimo en atender la consulta que tú mismo nos envías (art. 6.1.f).
• La seguridad, la moderación y los registros técnicos del servidor: nuestro interés legítimo en que la web funcione, esté protegida y se respeten las normas de la comunidad (art. 6.1.f).

No usamos tus datos para publicidad, no los vendemos y no elaboramos perfiles comerciales. Los niveles y los logros se calculan solos, y cada amonestación la pone una persona del equipo. Las consecuencias automáticas son pocas y siempre parten de lo que decidió una persona: con tres amonestaciones activas, la cuenta queda suspendida 30 días. Con una amonestación activa, las partidas que crees esperan a que las revise la administración. Con una amonestación activa o la cuenta suspendida, no puedes invitar a nadie y tus invitaciones sin usar no valen. Si suspenden a alguien que entró con tu invitación, pierdes el permiso de invitar. Si te pasa algo de esto, puedes pedirnos que lo revise una persona.

Destinatarios y encargados del tratamiento

No vendemos ni cedemos tus datos a terceros con fines comerciales. Para prestar el servicio nos apoyamos en proveedores que actúan como encargados del tratamiento:

• Hetzner Online GmbH (Alemania): los servidores donde viven la web, la base de datos, las cuentas y los archivos. El programa que gestiona las cuentas y los datos (Supabase) está instalado en esos mismos servidores: tus datos no pasan por la empresa Supabase.
• Brevo (Francia): envía los correos de la web, como confirmar tu cuenta, recuperar la contraseña, cambiar el correo y las notificaciones importantes. Recibe tu dirección de correo y el texto de cada mensaje.
• Cooper Hewitt (Smithsonian), Stadia Maps u OpenStreetMap: únicamente cuando muestras un mapa, reciben tu dirección IP para servir las imágenes del mapa.
• El servicio de notificaciones de tu navegador (Google, Mozilla o Apple, según cuál uses): solo si activas las notificaciones en el móvil. Entrega la notificación, cifrada, a tu dispositivo.
• YouTube, BoardGameGeek y RAWG: cuando una página enseña la miniatura de un vídeo compartido o la portada de un juego, la imagen se carga desde sus servidores, que reciben tu dirección IP.
• Google, Discord y Twitch: solo si eliges entrar con una de esas cuentas. Confirman quién eres y nos envían los datos básicos que explica «Entrar con Google, Discord o Twitch».

Algunos de estos servicios están fuera de la Unión Europea, sobre todo en Estados Unidos. Los de mapas, vídeos y portadas solo reciben lo imprescindible para servir lo que tu navegador les pide: tu dirección IP y que vienes de dragoncojo.com, no la página concreta. Lo que guardamos de ti se queda en los servidores de Hetzner, en Alemania, y en copias de seguridad cifradas que no salen de la Unión Europea.

Conservación

Conservamos tus datos mientras tu cuenta esté activa.

Si te das de baja desde Configuración, tu perfil público pasa a ser anónimo («Cuenta dada de baja») y tus datos personales (nombre de usuario, biografía, retrato, municipio y contactos) se guardan aparte, sin que nadie los vea, para que puedas volver con tu correo de siempre y recuperar la cuenta tal y como la dejaste. Lo que escribiste en la comunidad se queda, ya sin tu nombre.

Esa cuenta dormida te espera dos años. Al cumplirse el primero te avisamos por correo y, si al segundo no has vuelto, borramos para siempre tus datos personales, también tu correo y tu retrato. Lo que escribiste sigue firmado como «Cuenta dada de baja», pero la cuenta ya no se puede recuperar.

Si prefieres que lo borremos todo de forma definitiva (derecho de supresión), escríbenos a drac.coix@gmail.com y lo haremos, salvo lo que debamos conservar por obligación legal.

Los mensajes del formulario de contacto, las peticiones de invitación y las peticiones de ayuda para entrar se borran un año después de atenderlos. La dirección IP y el navegador de cada inicio de sesión se borran a los 90 días, y los registros técnicos del servidor tampoco se guardan más de 90 días. Las copias de seguridad se renuevan solas: lo que borramos desaparece también de ellas en un máximo de 60 días.

Tus derechos

Acceso y portabilidad, sin pedir permiso a nadie: en Configuración tienes el botón «Descargar mis datos», que compone en tu propio navegador una copia en formato abierto (JSON) con tu perfil, todo lo que has escrito, tus eventos, tu ludoteca, tus logros y las notificaciones que has recibido. Si algún apartado no se pudiera leer, la copia lo dice.

Puedes ejercer además tus derechos de rectificación, supresión, oposición y limitación, y también los dos anteriores si prefieres que te los atendamos a mano, escribiendo a drac.coix@gmail.com. Lo que se basa en tu consentimiento puedes retirarlo cuando quieras, sin que afecte a lo hecho hasta entonces. Si consideras que no hemos atendido correctamente tu solicitud, puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es).

Menores de edad

El registro está reservado a mayores de 18 años, y al darte de alta lo confirmas. Si detectamos cuentas de menores de esa edad, las desactivaremos y anonimizaremos sus datos personales.

Seguridad

Aplicamos medidas técnicas y organizativas razonables para proteger tus datos: la conexión va siempre cifrada (HTTPS), cada dato solo lo ve quien debe verlo según los tres círculos de arriba y, antes de guardar una foto, le quitamos la ubicación y el resto de datos ocultos (EXIF). Aun así, ningún sistema es completamente infalible, así que te recomendamos usar una contraseña robusta y única.