Política de privacidad

1. Responsable del tratamiento

El responsable del tratamiento de sus datos personales es:

Maurice Hurdebise, empresario autónomo (persona física), que opera bajo el nombre comercial «Jack & Mani». Gooblies es uno de sus juegos: esa es la razón por la que nuestros correos electrónicos le llegan desde una dirección @jackandmani.com. Número de empresa (BCE): 0805.203.037 (no sujeto al IVA). Dirección: Rue Chaumont 9, 4970 Stavelot, Bélgica. Correo electrónico: info@jackandmani.com.

La presente política se rige por el Derecho belga y por el Reglamento General de Protección de Datos (RGPD). La autoridad de control competente es la Autorité de protection des données (APD, Autoridad de Protección de Datos), en Bélgica.

2. El principio

El juego es para su hijo; la cuenta es suya.

No conocemos ni el nombre, ni los apellidos, ni la edad, ni el rostro de su hijo, y no tenemos intención alguna de averiguarlos. El juego nunca pide un apodo. El único dato nominativo que poseemos es su propia dirección de correo electrónico, la del adulto que ha creado la cuenta.

En cambio, hay algo que debe decirse con claridad en lugar de diluirse en un cuadro: para funcionar, Gooblies registra el contorno del jardín donde juega su hijo y los lugares donde se han escondido las criaturas durante las partidas. Son coordenadas GPS reales, alrededor de su domicilio. La sección siguiente explica exactamente qué se registra, y la sección 8, durante cuánto tiempo.

Este documento se dirige a usted, el adulto. El juego, en cambio, tutea al niño: es algo deliberado, y es la única diferencia de tono entre ambos.

3. Los datos que tratamos

Datos de cuenta. Su dirección de correo electrónico y su contraseña, si crea una cuenta por correo. La contraseña es cifrada mediante hash por nuestro proveedor de autenticación y nunca se almacena en claro por nuestra parte. Si se conecta con Google, recibimos el identificador de la cuenta de Google y la dirección de correo asociada; no utilizamos ni el nombre ni la foto del perfil de Google. A cada cuenta se le asigna un identificador técnico (UID).

Datos de juego. Las criaturas en posesión y su saciedad, el número de partidas, los contadores de descubrimientos, el avance en el descubrimiento del juego y el libro mayor de cupcakes.

Datos de localización. Dos cosas distintas, y es la parte más sensible de este documento:

• El jardín. Usted mismo traza, sobre un mapa por satélite, el perímetro en el que su hijo tiene permiso para jugar. Ese contorno —de 3 a 60 puntos GPS, limitado a 10 000 m²— se registra en su dispositivo y, si tiene una cuenta, en nuestros servidores. En la práctica, describe los alrededores de su domicilio.
• Las partidas. Al final de una partida, registramos las posiciones de los escondites utilizados, seis como máximo, todos situados dentro del jardín que usted ha trazado.

Durante una partida, el juego lee de forma continua la posición del dispositivo para saber si el niño se acerca a una criatura. Esa posición continua no se registra ni se transmite: sirve para el cálculo, en el dispositivo, y después se pierde.

Datos técnicos. Su dirección IP y determinadas cabeceras técnicas pueden ser registradas por nuestro proveedor de alojamiento. Mapbox recibe su dirección IP cuando se carga la base cartográfica.

Datos de medición. Si —y solo si— ha aceptado la medición en el aviso del sitio, Google Analytics recibe un identificador extraído al azar, su dirección IP, las páginas consultadas y contadores de gestos de juego. El detalle figura en el resumen de la sección 4, y nuestra política de cookies dice dónde se le hace la pregunta.

No recogemos: nombre, apellidos, apodo, fecha de nacimiento, edad, fotografía, dirección postal, número de teléfono ni contactos.

4. Finalidades y bases jurídicas

Solo tratamos sus datos con finalidades determinadas y sobre una base jurídica precisa (artículo 6 del RGPD). El detalle figura en el resumen que aparece a continuación.

Unas palabras sobre la geolocalización, porque es la primera pregunta que se hace un padre o una madre. Se basa en la ejecución del contrato y no en su consentimiento, por una razón sencilla: sin jardín no hay juego. No se puede esconder una criatura en un jardín sin saber dónde está el jardín. Eso no le quita nada: su navegador le pedirá de todos modos autorización para acceder a su posición, y usted puede denegarla o retirarla en cualquier momento en los ajustes de su dispositivo; el juego dejará entonces de funcionar, pero no se registrará nada.

5. Lo que no hacemos

Esta sección es breve porque es categórica.

No tenemos ninguna red publicitaria y no mostramos publicidad alguna. No realizamos ningún perfilado ni ninguna decisión automatizada. No hacemos ninguna grabación de sesión —nada filma la pantalla de su hijo— ni ningún test A/B. No vendemos sus datos ni los compartimos con nadie más que con los proveedores técnicos enumerados en la sección 6. No enviamos ningún boletín ni ningún correo de marketing. El juego no incorpora ninguna inteligencia artificial, ningún chat, ninguna función social, ninguna clasificación ni ninguna notificación push.

Una sola excepción, y depende de usted: la medición de uso descrita en la sección 6, que solo tiene lugar si la ha aceptado. Cuenta gestos —una partida iniciada, una comida dada— sin buscar nunca saber quién los ha hecho.

Los únicos correos que recibirá son: la verificación de su dirección y el restablecimiento de su contraseña, enviados por nuestro proveedor de autenticación; y el recibo de sus compras, enviado por nuestro proveedor de pago.

6. Destinatarios y encargados del tratamiento

Sus datos se comunican únicamente a los proveedores técnicos estrictamente necesarios para el funcionamiento del servicio, que actúan siguiendo nuestras instrucciones.

Google / Firebase (Google Ireland Limited y Google LLC): autenticación (Firebase Authentication), conexión mediante Google, base de datos del juego (Cloud Firestore, región europe-west1, Bélgica), funciones de servidor (Cloud Functions, misma región) y alojamiento del sitio (Firebase App Hosting). Su dirección de correo electrónico permanece circunscrita al servicio de autenticación y nunca se copia en la base de datos del juego.

Stripe (Stripe, Inc., Estados Unidos): tratamiento de los pagos. Los datos de su tarjeta bancaria se introducen y se tratan directamente en Stripe y nunca son recibidos ni almacenados por nosotros. Stripe recibe su dirección de correo electrónico para enviarle el recibo. Si paga con Apple Pay o Google Pay, Apple o Google intervienen igualmente, con arreglo a sus propias condiciones.

Mapbox (Mapbox, Inc., Estados Unidos): la base cartográfica por satélite que se muestra cuando usted traza o consulta el jardín. Mapbox recibe su dirección IP y las coordenadas de la zona visualizada. Los datos cartográficos provienen igualmente de OpenStreetMap.

Sentry (Functional Software, Inc., Estados Unidos): vigilancia técnica. Cuando una página deja de funcionar, Sentry recibe el mensaje de error, la versión del navegador y el punto del código afectado, para que podamos repararlo. Hemos desactivado el envío de datos personales por defecto: ni la dirección IP ni el identificador de sesión se adjuntan a los informes, y no se realiza ninguna grabación de la pantalla.

Google Analytics (Google Ireland Limited): medición de audiencia del sitio y de uso del juego, solo si la ha aceptado en el aviso previsto a tal efecto. Google recibe entonces su dirección IP, las páginas consultadas, un identificador extraído al azar y contadores de gestos de juego: una partida iniciada, una criatura encontrada, una comida dada, una compra completada. No se le transmite ninguna ubicación, ningún contorno de jardín ni ningún identificador de cuenta: la medición no permite saber quién juega. No se mide nada antes de su acuerdo, ni si lo rechaza, ni si la pregunta no se le ha hecho nunca.

7. Transferencias fuera de la Unión Europea

La base de datos del juego y las funciones de servidor están alojadas en la Unión Europea (europe-west1, Bélgica). No obstante, se producen transferencias fuera de la Unión Europea:

• Google / Firebase: Firestore y las Cloud Functions se encuentran en la Unión Europea, pero Firebase Authentication es un servicio global de Google: sus credenciales de conexión pueden tratarse fuera de la UE y Google, sociedad estadounidense, puede además acceder a distancia a los datos;
• Stripe (Estados Unidos): transferencia de los datos necesarios para el pago;
• Mapbox (Estados Unidos): transferencia de su dirección IP y de la zona del mapa consultada;
• Sentry (Estados Unidos): transferencia del informe técnico de error;
• Google Analytics (Estados Unidos): si ha aceptado la medición, los datos de medición pueden ser tratados por Google LLC fuera de la Unión Europea.

Estas transferencias están amparadas por las garantías previstas en el RGPD: cláusulas contractuales tipo de la Comisión Europea y, en su caso, adhesión al marco de protección de datos UE-Estados Unidos (Data Privacy Framework).

8. Plazos de conservación

Cuenta, jardín, progreso y libro mayor: se conservan mientras exista la cuenta. Una cuenta que permanezca inactiva durante 36 meses se suprime.

Posiciones de las partidas jugadas: se conservan 12 meses después del final de la partida y luego se suprimen.

Posición continua durante una partida: nunca se conserva. Solo existe en la memoria del dispositivo, el tiempo que dura el cálculo.

Código parental: se conserva mientras el código esté activo; se suprime junto con la cuenta.

Registro de los pagos: se conserva durante el plazo legal contable aplicable en Bélgica, es decir, unos 7 años.

Datos almacenados en su dispositivo (progreso, preferencias, partida en curso): se conservan hasta que usted los borre. El espacio de padres ofrece un botón que borra el conjunto de los datos locales.

Partida de prueba sin cuenta: no se envía ningún dato de juego a nuestros servidores. Todo permanece en el dispositivo.

Medición de uso: la cookie de medición caduca a los 13 meses; los informes detallados los conserva Google durante 14 meses, tras los cuales solo quedan totales. Si no ha aceptado la medición, no hay nada que conservar.

9. Sus derechos

Conforme al RGPD, usted dispone de los siguientes derechos:

• Derecho de acceso: obtener la confirmación de que se están tratando datos que le conciernen y recibir una copia de ellos;
• Derecho de rectificación: hacer corregir datos inexactos;
• Derecho de supresión: solicitar la eliminación de sus datos;
• Derecho a la limitación del tratamiento;
• Derecho de oposición, en particular a los tratamientos basados en nuestro interés legítimo;
• Derecho a la portabilidad: recibir sus datos en un formato estructurado;
• Derecho a retirar su consentimiento en cualquier momento, para los tratamientos que dependan de él.

El ejercicio de estos derechos es gratuito. Para ejercerlos, escríbanos a info@jackandmani.com. Respondemos, en principio, en el plazo de un mes.

Supresión de la cuenta. El servicio todavía no ofrece un botón de supresión en autoservicio. Para que se suprima su cuenta y todos los datos asociados —incluidos el jardín y las partidas— envíenos su solicitud por correo electrónico a info@jackandmani.com; le damos curso en un plazo máximo de 30 días. Entretanto, el espacio de padres ya le permite borrar la totalidad de los datos presentes en el dispositivo.

Asimismo, tiene derecho a presentar una reclamación ante la Autorité de protection des données (APD, Autoridad de Protección de Datos), en Bélgica: Rue de la Presse 35, 1000 Bruxelles (www.autoriteprotectiondonnees.be).

10. Los niños

Gooblies es un juego concebido para niños a partir de 6 años. Esto merece explicarse con precisión, en lugar de despacharse en dos líneas.

La cuenta es la de un adulto. Es usted quien la crea, quien acepta las condiciones, quien establece el código parental y quien paga, en su caso. El contrato se celebra con usted. El niño utiliza el juego, pero no es parte contratante.

No recogemos ningún dato nominativo relativo al niño: ni nombre, ni apodo, ni fecha de nacimiento, ni fotografía. Lo que le concierne es el contorno del jardín, las posiciones de los escondites de sus partidas, sus criaturas y su saldo de cupcakes, todo ello vinculado a la cuenta de usted.

Ninguno de nuestros tratamientos se basa en el consentimiento del niño. Se basan en la ejecución del contrato que usted ha celebrado, en nuestro interés legítimo, en una obligación legal —y, solo para la medición de uso, en su consentimiento de adulto, dado en el sitio antes incluso de que el juego se abra—. El juego nunca pide nada al niño: ni su acuerdo, ni una compra, ni un dato que le concierna. En Bélgica, la edad a partir de la cual un menor puede consentir por sí solo el tratamiento de sus datos en el marco de los servicios de la sociedad de la información está fijada en 13 años; esta cuestión no se plantea aquí, puesto que no fundamentamos ningún tratamiento en el consentimiento de un niño.

No se dirige al niño ninguna incitación a la compra. La interfaz de juego nunca menciona compra alguna, no muestra ningún precio y no incluye ningún personaje que reclame nada. La tienda se encuentra detrás de un código parental de cuatro cifras, verificado por nuestro servidor y no por la aplicación.

Si considera que un niño nos ha transmitido datos sin la autorización requerida, póngase en contacto con nosotros en info@jackandmani.com: procederemos a las verificaciones y, en su caso, a la supresión.

11. Cookies y almacenamiento en su dispositivo

El servicio deposita dos cookies estrictamente necesarias o de preferencia, una tercera para la medición de uso —esa solo si la ha aceptado—, y utiliza el almacenamiento local del navegador para que el juego pueda funcionar sin conexión. La medición es el único rastreador sujeto a consentimiento: es lo único que el aviso del sitio le pide, y solo lo pide una vez.

El detalle figura en nuestra política de cookies.

12. Seguridad

Aplicamos medidas técnicas y organizativas apropiadas: cifrado de las comunicaciones (HTTPS), gestión de las contraseñas mediante un servicio de autenticación especializado, autenticación de las solicitudes por tokens y reglas de base de datos que impiden que una cuenta acceda a los datos de otra.

Tres protecciones merecen señalarse por ser poco habituales: el código parental se almacena en un documento que la aplicación no puede leer en absoluto, solo el servidor accede a él; el libro mayor de cupcakes es inmutable, ninguna línea puede modificarse ni suprimirse; y las líneas correspondientes a una compra solo pueden ser creadas por el servidor, nunca por la aplicación.

Dado que ninguna medida puede garantizar una seguridad absoluta, le invitamos a elegir una contraseña robusta y a no reutilizarla en otros servicios.

13. Los datos de la aplicación anterior

Gooblies sucede a una aplicación anterior del mismo editor. Si usted tenía allí una cuenta, el juego puede proponerle recuperar su progreso: en ese caso lee, en modo de solo lectura, los datos de juego de esa antigua aplicación asociados a su cuenta, para convertirlos al nuevo formato. No se escribe ningún dato en la aplicación anterior, y la operación solo tiene lugar a petición suya.

14. Modificaciones de la política

Podemos hacer evolucionar la presente política, en particular para reflejar nuevas funcionalidades o cambios legales. Toda modificación se publica en esta página con una fecha de actualización renovada. En caso de cambio sustancial, procuraremos informarle por un medio apropiado.

15. Contacto

Para cualquier pregunta relativa a la presente política o al ejercicio de sus derechos:

Maurice Hurdebise (Jack & Mani) — servicio Gooblies Rue Chaumont 9, 4970 Stavelot, Bélgica Correo electrónico: info@jackandmani.com

También puede presentar una reclamación ante la Autorité de protection des données (APD, Autoridad de Protección de Datos), en Bélgica: www.autoriteprotectiondonnees.be.