Política de Privacidad

1. Resumen

Esta política describe cómo XYMYX · Chess Arena recopila, usa y protege tu información personal cuando utilizas el Servicio. Cumplimos con el Reglamento (UE) 2016/679 (RGPD) y, para usuarios residentes en España, con la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), así como con la Ley 34/2002 de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI-CE).

2. Responsable del tratamiento

XYMYX · Chess Arena
Correo de contacto: privacy@xymyx.com

3. Datos que recopilamos

3.1 Datos que tú nos proporcionas

• Correo electrónico al registrarte.
• Nickname opcional para identificarte en clasificaciones.
• Información de pago (procesada por Lemon Squeezy; nosotros nunca almacenamos números de tarjeta).

3.2 Datos generados por el uso

• Progreso de juego: retos resueltos, monedas, vidas, racha, misiones reclamadas.
• Eventos analíticos: pantallas visitadas, errores, latencia. Usados para mejorar el producto. No incluyen contenido personal sensible.
• Datos técnicos: dirección IP, tipo de dispositivo, sistema operativo y navegador (registrados temporalmente para seguridad y diagnóstico).

4. Para qué usamos tus datos

• Proveer el Servicio (sincronizar tu progreso, gestionar tu cuenta).
• Procesar pagos y mantener registros de transacciones.
• Comunicarnos contigo sobre actualizaciones importantes del Servicio.
• Mejorar el producto a partir de métricas agregadas y anónimas.
• Cumplir obligaciones legales (fiscales, contables).

5. Base legal del tratamiento (GDPR)

• Ejecución del contrato: para proveer el Servicio que has solicitado.
• Interés legítimo: para seguridad, diagnóstico y mejora del producto.
• Consentimiento: para comunicaciones promocionales (revocable en cualquier momento).
• Obligación legal: para registros fiscales y de pagos.

6. Terceros con quienes compartimos datos

Solo compartimos datos con proveedores de servicios estrictamente necesarios para operar el Servicio:

• Supabase (almacenamiento de la base de datos y autenticación) — privacidad.
• Lemon Squeezy (procesamiento de pagos y suscripciones) — privacidad.
• Vercel (alojamiento del frontend y analítica de rendimiento) — privacidad.
• Resend (entrega transaccional de correos como verificación) — privacidad.

No vendemos ni alquilamos tus datos a terceros con fines publicitarios.

7. Cookies y almacenamiento local

El Servicio usa localStorage y cookies de sesión para mantener tu autenticación, recordar preferencias y cachear tu progreso para uso offline. No usamos cookies de seguimiento publicitario de terceros.

8. Retención

Conservamos tus datos mientras tu cuenta esté activa. Si solicitas eliminación, borraremos tus datos personales en un plazo de 30 días, salvo aquellos que debamos conservar por obligaciones legales (registros fiscales por hasta 5 años, según jurisdicción).

9. Tus derechos

Bajo el RGPD y la LOPDGDD, tienes derecho a:

• Acceder a los datos personales que tenemos sobre ti.
• Rectificar datos incorrectos o incompletos.
• Eliminar tus datos ("derecho al olvido").
• Limitar u oponerte al tratamiento.
• Solicitar portabilidad de tus datos en formato común.
• Retirar el consentimiento en cualquier momento (sin afectar tratamientos previos).

Para ejercer cualquier derecho, contáctanos en privacy@xymyx.com. Te responderemos en un plazo máximo de 30 días naturales desde la recepción de la solicitud.

Si consideras que el tratamiento de tus datos no se ajusta a la normativa, puedes presentar una reclamación ante la autoridad de control competente. Para residentes en España, esta autoridad es la Agencia Española de Protección de Datos (AEPD): www.aepd.es.

10. Seguridad

Aplicamos medidas técnicas y organizativas razonables para proteger tu información: conexiones cifradas (HTTPS), autenticación gestionada por Supabase con políticas de acceso por fila (RLS), y separación estricta de datos personales y datos de pago.

11. Menores

El Servicio no está dirigido a menores de 14 años, edad mínima establecida por el artículo 7 de la LOPDGDD para que un menor preste consentimiento válido al tratamiento de sus datos en servicios de la sociedad de la información. Para menores por debajo de esa edad se requiere consentimiento de los titulares de la patria potestad o tutela. Si detectamos datos de un menor de 14 años recopilados sin dicho consentimiento, los eliminaremos de inmediato.

11 bis. Transferencias internacionales

Algunos de nuestros proveedores (Supabase, Lemon Squeezy, Vercel, Resend) pueden procesar datos en servidores ubicados fuera del Espacio Económico Europeo. En tales casos, las transferencias se amparan en mecanismos válidos previstos por el RGPD, como las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea (Decisión 2021/914) o decisiones de adecuación, garantizando un nivel de protección equivalente al europeo.

12. Cambios a esta política

Podemos actualizar esta política. Cambios significativos serán notificados por correo electrónico. La fecha de "última actualización" en la parte superior siempre refleja la versión vigente.