Política de Privacidad

1. Información del responsable del tratamiento

De conformidad con el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales (RGPD), y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), te informamos que:

• Responsable: Anothercube S.C.P.
• NIF: J86922382
• Domicilio: C/ Infanta Mercedes, 20, bajo, 28020 Madrid (Madrid)
• Email de contacto: info@puzzlify.app
• Nombre comercial: Puzzlify
• Finalidad del sitio: Plataforma online para la creación y gestión de puzzles personalizados

2. Datos personales que recopilamos

En función de tu interacción con nuestra plataforma, podemos recopilar las siguientes categorías de datos personales:

2.1. Datos de registro

• Dirección de correo electrónico
• Nombre de usuario
• Contraseña (almacenada de forma segura mediante hash criptográfico; nunca en texto plano)
• Idioma preferido (español o inglés)
• Fecha y versión de aceptación de los términos de uso

2.2. Datos de uso del servicio

• Imágenes que subes para crear puzzles
• Configuraciones de tus puzzles (número de piezas, modo de juego, tipo de acceso)
• Datos del puzzle-regalo que decides publicar, como título, ocasión, mensaje, configuración, PIN almacenado mediante hash de verificación y estado del enlace privado
• Estadísticas de juego y partidas de invitados (por ejemplo, tiempo de completado y alias elegido para un ranking opcional)
• Preferencias de la plataforma (idioma, tema visual claro/oscuro)

2.3. Datos técnicos

• Dirección IP, utilizada por la infraestructura y para limitación de peticiones, protección contra abusos y control de intentos de PIN. Cuando necesitamos identificar actividad técnica, almacenamos un identificador derivado mediante hash en lugar del valor bruto.
• Identificadores técnicos pseudonimizados de sesión, invitado y eventos; no almacenamos el valor de las cookies de sesión ni el PIN en texto plano.
• Tipo de navegador y sistema operativo (recopilados automáticamente por la infraestructura de Cloudflare como parte de su servicio de seguridad y rendimiento)

2.4. Datos de pago (procesados por Stripe)

No almacenamos datos de tarjetas de crédito ni información financiera sensible. Estos datos son procesados directamente por Stripe, nuestro proveedor de pagos certificado PCI-DSS. En nuestros servidores únicamente almacenamos:

• Identificadores de cliente, Checkout, pago y, en su caso, suscripción Plus de Stripe
• Producto comprado, créditos concedidos o consumidos, estado y fechas de vigencia
• Historial de pagos (importes, moneda, estado, enlace a factura de Stripe)

3. Finalidades y bases legales del tratamiento

Tratamos tus datos personales para las siguientes finalidades, amparados en las bases legales indicadas:

4. Almacenamiento de imágenes

Las imágenes que subes para crear puzzles se almacenan en servidores seguros de Cloudflare R2. Adicionalmente, se generan versiones reducidas (miniaturas) mediante el servicio Cloudflare Images para optimizar la carga en la plataforma.

Garantías sobre tus imágenes:

• Las imágenes solo son accesibles por ti y, en el caso de puzzles compartidos, por las personas con quienes compartas el enlace o código de acceso.
• No utilizamos tus imágenes para ningún propósito ajeno al servicio contratado.
• Las imágenes no se utilizan para entrenar sistemas de inteligencia artificial, elaborar perfiles ni para análisis de contenido ajeno al servicio. Aplicamos validaciones técnicas de formato JPEG, tamaño, dimensiones y píxeles, además de la normalización necesaria para servirlas.
• Al eliminar un recurso o cerrar la cuenta, revocamos el acceso asociado y programamos la limpieza de sus imágenes.
• La limpieza de originales y derivados en R2/Images se ejecuta como una operación de mejor esfuerzo y puede reintentarse ante fallos transitorios; no prometemos su borrado físico instantáneo.

5. Destinatarios de los datos

Tus datos personales podrán ser comunicados a los siguientes destinatarios exclusivamente para las finalidades descritas:

5.1. Encargados del tratamiento

• Cloudflare, Inc.: Alojamiento web (Workers), base de datos (D1), almacenamiento de imágenes (R2), caché (KV), generación de miniaturas (Images) y cola de tareas (Queues). Opera bajo el Marco de Privacidad de Datos UE-EE.UU. (EU-U.S. Data Privacy Framework).
• Stripe, Inc.: Procesamiento de pagos, gestión de suscripciones y emisión de facturas. Certificado PCI-DSS. Opera bajo el Marco de Privacidad de Datos UE-EE.UU. y Cláusulas Contractuales Tipo.
• Brevo (Sendinblue SAS): Envío de correos electrónicos transaccionales (activación de cuenta, recuperación de contraseña, notificaciones de suscripción, estado de puzzles). Los datos transmitidos se limitan a dirección de email, nombre del usuario e idioma preferido. Brevo actúa como encargado del tratamiento conforme al RGPD y su sede se encuentra en la Unión Europea (París, Francia).

5.2. Terceros por obligación legal

Podremos comunicar tus datos a autoridades públicas, jueces y tribunales cuando exista una obligación legal de hacerlo.

No vendemos, alquilamos ni compartimos tus datos personales con terceros para fines comerciales o de marketing.

6. Transferencias internacionales

Algunos de nuestros encargados del tratamiento pueden procesar datos fuera del Espacio Económico Europeo (EEE). En estos casos, nos aseguramos de que existan garantías adecuadas conforme al Capítulo V del RGPD:

• Decisiones de adecuación: Países reconocidos por la Comisión Europea como con nivel de protección equivalente al del EEE.
• Marco de Privacidad de Datos UE-EE.UU. (Data Privacy Framework): Para transferencias a Estados Unidos con entidades certificadas bajo este marco (Cloudflare, Stripe).
• Cláusulas Contractuales Tipo (CCT): Aprobadas por la Comisión Europea, como mecanismo complementario de garantía.

Brevo (Sendinblue SAS) tiene su sede y procesa los datos en la Unión Europea, por lo que no se producen transferencias internacionales para el servicio de email.

7. Plazos de conservación

Conservamos tus datos personales durante los siguientes plazos:

• Datos de cuenta: Mientras mantengas una cuenta activa en la plataforma.
• Imágenes y puzzles: Mientras el recurso esté activo. Al eliminar un borrador o un recurso se inicia la limpieza de sus imágenes y derivados. Al revocar un regalo publicado se invalida su enlace y sus sesiones, pero se conserva su registro e imagen privada para poder duplicarlo; al cerrar la cuenta también se programa la limpieza.
• Datos de facturación y pagos: Se conservan de forma separada y minimizada durante los plazos que resulten aplicables a la operación y a las obligaciones contables, fiscales u otras que correspondan. La tarea técnica diaria actual no elimina automáticamente estos registros.
• Eventos y sesiones técnicas: La tarea diaria configurada elimina a los 90 días los eventos y los identificadores pseudonimizados diarios. También depura con ese umbral las sesiones que ya estén revocadas o caducadas, los intentos de PIN y el límite técnico de denuncias; los agregados estadísticos no contienen identificadores directos.
• Denuncias y auditoría de moderación: No tienen actualmente una purga automática configurada. El plazo y el procedimiento de conservación, anonimización o borrado se decidirán y documentarán atendiendo a las obligaciones aplicables y a posibles reclamaciones.
• Tokens de seguridad: Caducidad automática — activación de cuenta: 24 horas; recuperación de contraseña: 1 hora; cambio de email: 1 hora; confirmación de eliminación: 24 horas.
• Sesiones activas: El refresco de una sesión de usuario dura hasta 7 días y una sesión de invitado de regalo hasta 24 horas, salvo cierre, revocación o caducidad anterior.

Si eliminas tu cuenta, procederemos a:

• Revocar de inmediato el acceso a la cuenta y a los enlaces de regalo asociados.
• Marcar los recursos de producto como eliminados y ejecutar la limpieza de originales y derivados en R2/Images como operación de mejor esfuerzo, con reintentos ante fallos transitorios.
• Solicitar la cancelación de la suscripción de Stripe que estuviera activa.
• Anonimizar los datos identificativos de la cuenta. Algunos registros técnicos, de auditoría o contables pueden conservarse de forma minimizada o anonimizada durante los plazos necesarios.

La revocación de acceso y la anonimización se inician tras la confirmación. La limpieza de almacenamiento se procesa en segundo plano; determinados registros técnicos, de moderación o contables pueden conservarse de forma minimizada mientras resulte necesario conforme a las obligaciones aplicables. Esta descripción técnica no sustituye el asesoramiento jurídico.

8. Medidas de seguridad

Implementamos medidas técnicas y organizativas apropiadas para proteger tus datos personales conforme al artículo 32 del RGPD:

• Cifrado de contraseñas: Algoritmo PBKDF2 con SHA-256, 100.000 iteraciones y salt aleatorio de 16 bytes. Las contraseñas nunca se almacenan en texto plano.
• Comunicaciones cifradas: HTTPS/TLS en todas las transmisiones entre el navegador y nuestros servidores.
• Almacenamiento seguro: Datos cifrados en reposo en la infraestructura de Cloudflare.
• Control de acceso: Autenticación basada en tokens JWT con expiración (acceso: 15 minutos, refresco: 7 días). Sistema de sesión única que impide el inicio de sesión simultáneo desde múltiples dispositivos.
• Protección contra abusos: Limitación de peticiones (rate limiting) basada en IP para endpoints sensibles (login, registro, recuperación de contraseña).
• Política de orígenes: CORS restringido a dominios autorizados exclusivamente.

9. Tus derechos

De conformidad con los artículos 15 a 22 del RGPD y la LOPDGDD, tienes los siguientes derechos sobre tus datos personales:

• Derecho de acceso (Art. 15): Conocer qué datos personales tratamos sobre ti. Puedes consultar tus datos directamente desde tu perfil en la plataforma.
• Derecho de rectificación (Art. 16): Solicitar la corrección de datos inexactos o incompletos. Puedes modificar tu nombre, email e idioma directamente desde tu perfil.
• Derecho de supresión (Art. 17): Solicitar la eliminación de tus datos cuando ya no sean necesarios o retires tu consentimiento. La baja revoca los accesos, anonimiza los datos identificativos y programa la limpieza de imágenes, sin perjuicio de los registros técnicos o contables que debamos conservar.
• Derecho a la limitación del tratamiento (Art. 18): Solicitar la limitación del tratamiento en determinadas circunstancias previstas por la normativa.
• Derecho a la portabilidad (Art. 20): Recibir tus datos en un formato estructurado, de uso común y lectura mecánica. Para solicitar la portabilidad de tus datos, contacta con nosotros en info@puzzlify.app.
• Derecho de oposición (Art. 21): Oponerte al tratamiento de tus datos basado en interés legítimo.
• Derecho a no ser objeto de decisiones automatizadas (Art. 22): No realizamos decisiones basadas únicamente en el tratamiento automatizado de datos que produzcan efectos jurídicos sobre ti o te afecten significativamente.

Cómo ejercer tus derechos:

Muchos de estos derechos puedes ejercerlos directamente desde tu cuenta en la plataforma (acceso, rectificación y supresión). Para cualquier otro ejercicio de derechos, envía una solicitud a info@puzzlify.app desde la dirección de correo electrónico asociada a tu cuenta, indicando el derecho que deseas ejercer. La recepción de la solicitud desde tu email registrado será suficiente para verificar tu identidad.

Responderemos a tu solicitud en el plazo máximo de un mes desde su recepción, prorrogable otros dos meses en casos de especial complejidad, en cuyo caso te informaremos de la prórroga.

10. Reclamaciones

Si consideras que el tratamiento de tus datos personales vulnera la normativa vigente, tienes derecho a presentar una reclamación ante la autoridad de control competente:

Agencia Española de Protección de Datos (AEPD)

C/ Jorge Juan, 6 - 28001 Madrid

Web: www.aepd.es

No obstante, te invitamos a contactarnos previamente a info@puzzlify.app para intentar resolver cualquier incidencia de forma amistosa.

11. Menores de edad

Este servicio no está dirigido a menores de 14 años. No recopilamos conscientemente datos de menores de 14 años. Al registrarte en la plataforma, declaras que tienes al menos 14 años de edad.

Si eres padre, madre o tutor legal y crees que un menor de 14 años bajo tu responsabilidad nos ha proporcionado datos personales sin tu consentimiento, contacta con nosotros en info@puzzlify.app para que podamos revisar y tramitar la supresión de los datos correspondientes.

12. Modificaciones de esta política

Nos reservamos el derecho a modificar esta política de privacidad para adaptarla a novedades legislativas, jurisprudenciales o cambios en nuestras prácticas de tratamiento de datos.

Cualquier modificación sustancial será comunicada a los usuarios registrados por correo electrónico y mediante un aviso visible en la plataforma con al menos 30 días de antelación a su entrada en vigor.

Te recomendamos revisar periódicamente esta política. La fecha de última actualización se indica al inicio del documento.

13. Contacto

Para cualquier consulta relacionada con la protección de tus datos personales, puedes contactarnos en:

• Email: info@puzzlify.app
• Dirección postal: Anothercube S.C.P., C/ Infanta Mercedes, 20, bajo, 28020 Madrid