Política de privacidad de Epoc

Esta política explica qué datos personales trata XAGU STUDIOS, S.L. («Xagu», «nosotros») cuando juegas a Epoc, el juego de cartas en el que hay que colocar acontecimientos en una línea del tiempo, en cualquiera de sus versiones: Android (Google Play), iOS (App Store), Windows (Steam y Microsoft Store) y web (navegador). Te hablamos de tú porque es un juego, pero el texto es tan vinculante como cualquier otro.

1. Responsable del tratamiento

• Responsable: XAGU STUDIOS, S.L.
• NIF: B75134445
• Domicilio social: Parque Empresarial Zuatzu – Zubiberri 29, 1-3 (Edificio Ondarreta), 20018 Donostia-San Sebastián (Gipuzkoa), España.
• Teléfono: +34 943 215 270
• Correo electrónico: info@xagustudios.net

Para cualquier cuestión sobre tus datos o esta política, escríbenos a esa dirección.

2. Qué datos tratamos

2.1. Si juegas como invitado

Al abrir Epoc por primera vez puedes elegir entre entrar con una cuenta o jugar como invitado. Como invitado juegas contra la máquina y no se crea ninguna cuenta. Las partidas sin conexión se juegan enteras en tu dispositivo y no se envían a ningún sitio. Si estás conectado, algunas partidas contra la máquina las juega nuestro servidor sin puntuar; en ese caso el servidor solo trata los datos técnicos de la conexión (apartado 2.7) mientras dura.

2.2. Tu cuenta

Para jugar online, tener amigos y aparecer en las clasificaciones creas una cuenta entrando con Google (Android, Windows y web) o con Apple (iOS). Al entrar, Google o Apple entregan a la app un justificante firmado (un «token») que puede contener tu nombre y tu correo electrónico. Nuestro servidor comprueba que el justificante es auténtico y guarda únicamente:

• el identificador de tu cuenta en ese proveedor (el campo sub, un código que no revela quién eres) y qué proveedor es;
• un identificador interno de tu cuenta de Epoc, la plataforma desde la que juegas y las fechas de alta y de último uso;
• el apodo que eliges (de 3 a 16 caracteres, único en el juego). Te pedimos que no uses tu nombre y apellidos reales;
• el país, la región y la ciudad que eliges de una lista en tu perfil. El país se propone a partir de la configuración regional de tu dispositivo; nunca usamos la ubicación GPS ni la de la red. Puedes elegir un lugar con menos detalle o cambiarlo cuando quieras;
• tu nivel de juego (ELO), que solo se usa para emparejarte con rivales de nivel parecido.

No guardamos tu correo electrónico ni tu nombre real. Si Apple te ofrece compartir tu nombre, solo se usa, en ese momento, para proponerte un apodo que puedes cambiar.

2.3. Partidas, puntuaciones y clasificaciones

De las partidas que juegas con tu cuenta en nuestro servidor (online, en salas privadas y contra la máquina conectado) guardamos: la fecha, el modo, la modalidad («Por turnos» o «Todos a la vez»), el mazo, el tiempo por turno, los participantes, las cartas que te tocaron y si las acertaste, los puntos y el resultado. Con eso calculamos tus puntos y tu porcentaje de acierto por tipo de mazo, por familia y en total.

Las clasificaciones son públicas: cualquier jugador puede ver tu apodo, tu país y tu ciudad (y, en las clasificaciones de región, tu región), tu posición, tus puntos, tu porcentaje de acierto y tu número de partidas, en el mundo, en tu país, en tu región y en tu ciudad. Al cerrarse cada mes se muestra también a los tres mejores de cada lugar. Tu perfil público muestra tu apodo, tu lugar y tus estadísticas de juego. Las partidas sin conexión no se envían ni puntúan.

2.4. Amigos, invitaciones y salas

• Amigos: puedes enviar solicitudes de amistad a otro jugador escribiendo su apodo, aceptarlas, rechazarlas y borrar amigos. Guardamos tu lista de amigos y las solicitudes pendientes. Tus amigos ven si estás conectado.
• Salas privadas: al crear una sala se genera un código de 5 letras. Quien tenga el código o el enlace puede entrar. Puedes invitar a un amigo conectado, que recibe un aviso con tu apodo. Las salas son temporales: desaparecen al terminar.
• No hay chat ni mensajes entre jugadores. Lo único que otros jugadores ven de ti es tu apodo, tu lugar, tus resultados y tus jugadas durante la partida.

2.5. Sesión

Al entrar, el servidor crea un código de sesión aleatorio que se guarda en tu dispositivo para que no tengas que entrar cada vez. En nuestra base de datos solo guardamos una huella (hash SHA-256) de ese código, nunca el código en sí. La sesión caduca tras 90 días sin usarla y se borra al salir de la cuenta.

2.6. Compras de Epoc Pro (Android e iOS)

Epoc Pro es una compra única que se hace en Google Play o en el App Store. El pago lo gestiona la tienda: nosotros no recibimos tus datos de pago. Para comprobar que la compra es válida y retirar Pro si se reembolsa, la app envía a nuestro servidor el justificante de la compra (en Android, el token de compra; en iOS, la transacción firmada por Apple), y Google y Apple avisan al servidor cuando una compra se reembolsa, se anula o se revoca. Guardamos la plataforma, el producto, el justificante, el número de pedido o de transacción, el estado (activa, pendiente o revocada) y las fechas de compra y de última comprobación. Si has entrado con tu cuenta, este registro se vincula a ella.

La versión para PC se compra en Steam o en Microsoft Store, que gestionan el pago según sus propias políticas; nosotros no recibimos datos de esa compra.

2.7. Datos técnicos y seguridad

Cada vez que la app o el navegador se conectan a nuestro servidor, este recibe tu dirección IP y datos técnicos de la petición (fecha y hora, dirección pedida, versión de la app y tipo de dispositivo o navegador). Los usamos para que el servicio funcione, para limitar el número de peticiones por IP y por cuenta (lo que nos protege de abusos y ataques) y para investigar errores e incidentes de seguridad. Los contadores de peticiones solo viven en memoria unos minutos. Los registros técnicos del servidor se conservan como máximo 30 días.

2.8. Publicidad, analítica y consentimiento

En las versiones gratuitas, Google trata datos para mostrar anuncios (apartado 5) y, en Android e iOS, para la analítica de uso (apartado 6). Tus elecciones de consentimiento se guardan en tu dispositivo.

2.9. Datos que solo están en tu dispositivo

El idioma, los ajustes del juego, el código de sesión, si tienes Pro y tus elecciones de privacidad se guardan en tu dispositivo (en la web, en el almacenamiento local del navegador). No los recibimos salvo lo explicado arriba.

2.10. Lo que no hacemos

Epoc no pide tu número de teléfono ni tu correo, no accede a tu ubicación precisa, contactos, fotos, cámara ni micrófono, no tiene chat, no incluye herramientas de informes de errores y no vende datos personales.

3. Finalidades y bases jurídicas

No tomamos decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos sobre ti o te afecten de forma significativa. El emparejamiento por ELO y el filtro automático de palabras de los apodos son automáticos, pero solo deciden con quién juegas o si un apodo se puede usar; si crees que el filtro se ha equivocado, escríbenos y lo revisará una persona.

4. Consentimiento y cómo retirarlo

• Publicidad y analítica (Android e iOS): si estás en el Espacio Económico Europeo, el Reino Unido o Suiza, antes de pedir ningún anuncio la app te muestra el formulario de consentimiento de Google (Plataforma de Mensajes para Usuarios, UMP). Puedes cambiar tu elección cuando quieras en Ajustes → Privacidad de anuncios. Si no aceptas, sigues jugando igual: los anuncios no serán personalizados y la analítica funcionará sin identificadores.
• Seguimiento en iOS (ATT): en iPhone y iPad, el identificador de publicidad de Apple (IDFA) solo se usa si aceptas el aviso «Permitir que la app rastree tu actividad». Puedes cambiarlo en cualquier momento en Ajustes del iPhone → Privacidad y seguridad → Rastreo.
• Android: puedes restablecer o eliminar el ID de publicidad en los ajustes de Google de tu dispositivo.
• Web: en el EEE, el Reino Unido y Suiza se muestra el mensaje de consentimiento de Google antes de usar cookies publicitarias, y puedes cambiar tu elección con el enlace de configuración de privacidad que aparece en la página.
• Cuenta: puedes salir de tu cuenta cuando quieras (Ajustes → Cuenta) o borrarla (apartado 13). También puedes quitar el acceso de Epoc en tu cuenta de Google (myaccount.google.com/permissions) o de Apple (Ajustes del iPhone → tu nombre → Iniciar sesión con Apple).

Retirar el consentimiento no afecta a la licitud del tratamiento anterior.

5. Publicidad

Las versiones gratuitas de Epoc se financian con anuncios. Nunca se muestran anuncios durante una partida. En Android e iOS, Google AdMob muestra anuncios a pantalla completa al volver al menú tras algunas partidas y, solo si tú lo eliges, vídeos con recompensa (la «segunda oportunidad»). En la web, Google AdSense (anuncios para juegos HTML5) muestra anuncios en momentos parecidos. Con Epoc Pro no hay anuncios entre partidas. La versión para PC no tiene anuncios.

Para mostrar y medir los anuncios, Google trata el identificador de publicidad del dispositivo (en iOS, solo con tu permiso ATT), la dirección IP (de la que puede deducir una ubicación aproximada), datos técnicos del dispositivo y tu interacción con los anuncios, y en la web cookies o tecnologías similares. Google actúa como responsable independiente de esos datos según su propia política. Más información en policies.google.com/technologies/partner-sites.

6. Analítica de uso (Google Analytics for Firebase)

Solo en Android e iOS. La versión para PC y la versión web no incluyen analítica.

• Qué recoge: únicamente los eventos que Firebase registra automáticamente (primera apertura, sesiones, tiempo de uso, actualizaciones de la app, compras dentro de la app con su producto, precio y moneda); el modelo del dispositivo, el sistema operativo, la versión de la app y el idioma; el país y la región aproximados, que Google deduce de la IP sin guardarla; un identificador de instalación generado al azar; y, solo si lo consientes, el identificador de publicidad (en iOS, además, solo con permiso ATT). No enviamos a Analytics eventos propios, ni tu apodo, ni tu lugar, ni el identificador de tu cuenta.
• Para qué: saber cuánto y cómo se usa Epoc y lo que ingresa, para mejorar el juego.
• Consentimiento: Analytics arranca con el consentimiento denegado (modo de consentimiento v2 de Google) y solo usa identificadores cuando tu elección en el formulario de privacidad lo permite. Mientras tanto funciona en modo restringido, sin identificadores, y Google solo usa esos datos de forma agregada.
• Encargado: Google Ireland Limited trata estos datos por cuenta de Xagu. Más información en firebase.google.com/support/privacy.

7. Versión web: almacenamiento y cookies

Epoc para navegador guarda en el almacenamiento local de tu navegador el idioma, los ajustes y el código de sesión, porque son necesarios para el funcionamiento que pides (no requieren consentimiento). El inicio de sesión con Google lo presta Google Identity Services, que puede usar sus propias cookies cuando pulsas el botón. Los anuncios de Google AdSense pueden usar cookies e identificadores similares, que en el EEE, el Reino Unido y Suiza solo se usan para personalizar anuncios con tu consentimiento (apartado 4). Puedes borrar las cookies y el almacenamiento desde la configuración de tu navegador.

8. Cuánto tiempo guardamos tus datos

• Cuenta, apodo, lugar, ELO, partidas, puntuaciones y amigos: mientras tengas la cuenta. Al borrarla se eliminan.
• Sesiones: caducan a los 90 días sin uso y se borran al salir.
• Solicitudes de amistad pendientes: hasta que se aceptan, se rechazan o se borra la cuenta.
• Salas e invitaciones: solo mientras dura la sala.
• Registro de compras de Pro: mientras exista la cuenta a la que está vinculado. Si compraste sin cuenta, mientras sea necesario para atender reembolsos y revocaciones de la tienda, como máximo 3 años desde la última comprobación. Borrar la cuenta no anula tu compra: Pro pertenece a tu cuenta de Google Play o de Apple y puedes restaurarlo.
• Registros técnicos del servidor: como máximo 30 días; los contadores de peticiones, unos minutos en memoria.
• Copias de seguridad: los datos borrados desaparecen de las copias de seguridad al rotarlas, como máximo en 30 días.
• Analytics: los datos asociados a un identificador se conservan como máximo 14 meses.
• Mensajes que nos envíes: el tiempo necesario para atenderte, como máximo 12 meses.
• Datos tratados por Google, Apple, Valve y Microsoft como responsables (tiendas, anuncios, inicio de sesión): según sus propias políticas.

Cuando la ley lo exija, conservaremos bloqueados los datos necesarios durante el plazo de prescripción de las responsabilidades que pudieran derivarse del tratamiento, y después los suprimiremos.

9. Con quién compartimos tus datos

No cedemos tus datos a terceros salvo obligación legal. Para que Epoc funcione intervienen estos proveedores:

Además, como se explica en el apartado 2.3, tu apodo, tu lugar y tus resultados son visibles para el resto de jugadores en las clasificaciones y en tu perfil. Podemos comunicar datos a autoridades, jueces y tribunales cuando una ley nos obligue.

10. Transferencias internacionales

Nuestro servidor y nuestra base de datos están en la Unión Europea. Google, Apple, Valve y Microsoft pueden tratar datos fuera del Espacio Económico Europeo, por ejemplo en Estados Unidos. Esas transferencias se amparan en el Marco de Privacidad de Datos UE-EE. UU. (EU-US Data Privacy Framework), en el que están certificadas estas empresas, y en las cláusulas contractuales tipo aprobadas por la Comisión Europea.

11. Menores

Epoc está pensada para mayores de 13 años. No recogemos a sabiendas datos de menores de 13 años. Para crear una cuenta, si en tu país la edad para consentir el tratamiento de tus datos es mayor (en España, 14 años; en otros países de la UE, hasta 16), necesitas el permiso de tu madre, padre o tutor. Si eres madre, padre o tutor y crees que un menor nos ha dado datos sin ese permiso, escríbenos a info@xagustudios.net y borraremos su cuenta.

12. Tus derechos

Puedes ejercer en cualquier momento tus derechos de:

• Acceso: saber qué datos tuyos tratamos y obtener una copia.
• Rectificación: corregir datos inexactos. El apodo y el lugar los puedes cambiar tú mismo en Ajustes → Cuenta.
• Supresión: borrar tus datos (apartado 13).
• Oposición a los tratamientos basados en interés legítimo, y limitación del tratamiento en los casos previstos por la ley.
• Portabilidad: recibir los datos que nos has facilitado en un formato estructurado y de lectura mecánica.
• Retirar tu consentimiento cuando quieras (apartado 4).

Escríbenos a info@xagustudios.net o a la dirección postal del apartado 1. Como no guardamos tu correo, para comprobar que la cuenta es tuya te pediremos tu apodo y algún otro dato de la cuenta (por ejemplo, tu lugar o la fecha aproximada de alta). Para cambiar tu apodo o tu lugar, o para borrar la cuenta, lo más rápido es hacerlo tú mismo desde la app. Te responderemos en el plazo de un mes. Si no estás conforme, puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es) o ante la autoridad de control de tu país.

13. Borrar tu cuenta

Puedes borrar tu cuenta de Epoc y todos los datos vinculados a ella de tres maneras:

1. En la app: Ajustes → Cuenta → Borrar cuenta. En iOS, si entraste con Apple, también revocamos en Apple el permiso de Iniciar sesión con Apple.
2. En la web: en /borrar-cuenta, entrando con tu cuenta de Google, aunque ya no tengas el juego instalado. Si tu cuenta es de Apple, bórrala desde la app o escríbenos.
3. Por correo: escribiendo a info@xagustudios.net con tu apodo. La borraremos en un plazo máximo de 30 días después de comprobar que es tuya.

Al borrarla se eliminan de inmediato tu cuenta, tu apodo y tu lugar, tus sesiones, tus partidas y puntuaciones (desapareces de las clasificaciones), tus amigos y solicitudes y el registro de compras de Pro vinculado. En las partidas que jugaste contra otras personas, ellas conservan su propio resultado, pero tu apodo deja de aparecer. Salir de la cuenta no la borra. Borrar la cuenta no borra tu compra de Pro en la tienda (la puedes restaurar), ni los datos que Google, Apple, Valve o Microsoft tratan como responsables, ni los datos de Analytics, que caducan solos (apartado 8).

14. Seguridad

Aplicamos medidas técnicas y organizativas adecuadas al riesgo: todas las comunicaciones van cifradas (HTTPS/TLS), los justificantes de inicio de sesión se verifican con las claves públicas de Google y Apple, los códigos de sesión se guardan solo como huella, el acceso a la base de datos está restringido y los secretos del servidor no se guardan en el código. Ningún sistema es infalible; si se produjera una brecha que afectara a tus datos, lo notificaríamos según exige la ley.

15. Cambios en esta política

Si cambiamos esta política, actualizaremos esta página y su fecha antes de que el cambio llegue al juego. Si el cambio es importante, te avisaremos también dentro de la app.