Cómo usamos
tus datos

1. Responsable del tratamiento

El responsable del tratamiento de los datos personales recogidos a través de Grammyx (en adelante, «la Plataforma») es el equipo desarrollador del proyecto, con domicilio a efectos de contacto accesible a través del formulario de contacto.

No estamos obligados a designar un Delegado de Protección de Datos (DPD) según el art. 37 RGPD dado el volumen y la naturaleza de los datos tratados; no obstante, puedes dirigir cualquier consulta relativa a privacidad a través del formulario anterior.

2. Datos que recopilamos y finalidades

2.1 Usuarios sin cuenta (modo invitado)

Puedes jugar en Grammyx sin crear una cuenta. En ese caso:

• localStorage del navegador: almacenamos localmente en tu dispositivo tu puntuación y racha de la sesión. Estos datos nunca se envían a nuestros servidores y desaparecen al limpiar los datos del navegador. Tu progreso no se guarda entre sesiones ni aparece en los rankings.
• Datos técnicos de conexión: como cualquier servidor web, los registros de acceso (dirección IP, navegador, fecha/hora de la solicitud) pueden quedar temporalmente en los logs de infraestructura de Vercel o del proveedor de hosting. Estos datos se conservan el tiempo mínimo necesario para la seguridad del servicio (generalmente 30 días) y no los cruzamos con ninguna identidad personal.

2.2 Usuarios registrados (con cuenta)

Si decides crear una cuenta, tratamos los siguientes datos:

• Correo electrónico — finalidad: autenticación y comunicaciones relacionadas con el servicio (recuperación de contraseña, cambios relevantes en la Plataforma). Base legal: ejecución de un contrato (art. 6.1.b RGPD).
• Contraseña — almacenada exclusivamente en forma de hash mediante bcrypt a través de Supabase Auth. Nunca accedemos a tu contraseña en texto plano. Base legal: ejecución de un contrato (art. 6.1.b RGPD).
• Nombre de usuario — visible en los rankings públicos semanales, mensuales e históricos. Puedes elegir un pseudónimo; no es necesario que coincida con tu nombre real. Base legal: ejecución de un contrato (art. 6.1.b RGPD).
• Historial de partidas — puntuaciones, rachas y categorías practicadas, vinculadas a tu cuenta para mostrar tu progreso personal y para calcular los rankings. Base legal: ejecución de un contrato (art. 6.1.b RGPD).

2.3 Datos de uso anónimos (ambos tipos de usuario)

Podemos recoger métricas técnicas agregadas y anonimizadas (p. ej., número de partidas iniciadas, categorías más jugadas) para mejorar la experiencia. Estos datos no permiten identificar a ninguna persona. Base legal: interés legítimo (art. 6.1.f RGPD).

3. Lo que NO hacemos con tus datos

• No vendemos tus datos a terceros bajo ningún concepto.
• No mostramos publicidad de ningún tipo en la Plataforma.
• No elaboramos perfiles con fines comerciales ni realizamos decisiones automatizadas con efectos jurídicos sobre los usuarios.
• No enviamos comunicaciones comerciales no solicitadas.

4. Base legal del tratamiento

Cada tratamiento descrito en esta política se ampara en una de las siguientes bases legales del art. 6 RGPD:

• Ejecución de un contrato (art. 6.1.b): datos necesarios para que el servicio funcione cuando tienes cuenta (correo, contraseña, nombre de usuario, historial de partidas).
• Interés legítimo (art. 6.1.f): logs técnicos de seguridad del servidor y métricas de uso anónimas para mejorar la Plataforma.
• Consentimiento (art. 6.1.a): en el caso de que en el futuro incorporemos cookies no esenciales o comunicaciones opcionales, te lo pediremos explícitamente.

5. Proveedores y encargados del tratamiento

Para operar la Plataforma utilizamos los siguientes proveedores de confianza, con los que hemos suscrito o que ya disponen de las garantías contractuales exigidas por el RGPD (Cláusulas Contractuales Tipo o certificación equivalente):

• Supabase, Inc. — autenticación y base de datos. Los datos se almacenan en servidores de AWS en la Unión Europea (región eu-west-1, Irlanda). Supabase actúa como encargado del tratamiento y cumple con el RGPD. (Política de privacidad de Supabase)
• Vercel, Inc. — infraestructura de hosting y despliegue. Los datos de conexión pueden pasar por sus servidores. Vercel dispone de mecanismos de transferencia conformes al RGPD. (Política de privacidad de Vercel)

No realizamos transferencias internacionales de datos fuera del Espacio Económico Europeo sin las garantías adecuadas.

6. Conservación de los datos

• localStorage (modo invitado): bajo control exclusivo del usuario; persiste hasta que se limpian los datos del navegador.
• Datos de cuenta (correo, contraseña, nombre de usuario, historial): se conservan mientras la cuenta esté activa. Cuando eliminas tu cuenta, todos los datos personales asociados se suprimen en un plazo máximo de 30 días.
• Logs técnicos del servidor: máximo 30 días, salvo obligación legal o incidente de seguridad activo.
• Métricas anónimas de uso: de forma indefinida al no ser asociables a ninguna persona.

7. Tus derechos

De acuerdo con el RGPD y la LOPDGDD, tienes derecho a:

• Acceso (art. 15 RGPD): saber qué datos personales tuyos tratamos.
• Rectificación (art. 16 RGPD): corregir datos inexactos o incompletos.
• Supresión (art. 17 RGPD): solicitar que eliminemos tus datos («derecho al olvido»).
• Portabilidad (art. 20 RGPD): recibir tus datos en un formato estructurado y legible por máquina.
• Oposición (art. 21 RGPD): oponerte al tratamiento basado en interés legítimo.
• Limitación (art. 18 RGPD): solicitar que restrinjamos el tratamiento en determinados supuestos.
• No ser objeto de decisiones automatizadas (art. 22 RGPD): no aplicamos este tipo de decisiones con efectos sobre ti.

Para ejercer cualquiera de estos derechos, contacta con nosotros a través de nuestro formulario. Responderemos en un plazo máximo de un mes (prorrogable otros dos meses en casos de especial complejidad, con aviso previo). Podemos pedirte que acredites tu identidad para proteger tus datos frente a solicitudes de terceros.

Si consideras que el tratamiento de tus datos vulnera la normativa, puedes presentar una reclamación ante la autoridad de control competente:

• Agencia Española de Protección de Datos (AEPD) — www.aepd.es

8. Cookies y tecnologías similares

Grammyx no utiliza cookies propias ni de terceros de seguimiento, analítica o publicidad. La única tecnología de almacenamiento local que empleamos es localStorage, que guarda datos exclusivamente en tu dispositivo y no permite rastrearte entre sitios web.

No obstante, el navegador puede establecer cookies de sesión estrictamente técnicas para la gestión de la autenticación cuando inicias sesión con tu cuenta (por ejemplo, el token JWT de Supabase). Estas cookies son esenciales para el funcionamiento del servicio y no requieren tu consentimiento según el art. 22.2 de la LSSI. Puedes ver la política completa en nuestra Política de cookies.

9. Medidas de seguridad

Aplicamos las siguientes medidas técnicas y organizativas para proteger tus datos:

• Comunicaciones cifradas mediante HTTPS/TLS en todo momento.
• Contraseñas almacenadas en forma de hash bcrypt a través de Supabase Auth; nunca las vemos en texto plano.
• Acceso a la base de datos restringido mediante Row Level Security (RLS) de Supabase: cada usuario solo puede leer y modificar sus propios datos.
• Acceso administrativo limitado al equipo estrictamente necesario.
• Actualizaciones de dependencias y revisiones de seguridad periódicas.

Ningún sistema es 100 % seguro. Si detectas una vulnerabilidad, te rogamos que nos lo comuniques de forma responsable a través del formulario de contacto antes de divulgarla públicamente. Te responderemos en el menor tiempo posible.

En caso de brecha de seguridad que afecte a tus datos personales, lo notificaremos a la AEPD en el plazo de 72 horas (art. 33 RGPD) y, si existe riesgo alto para tus derechos, también te informaremos a ti directamente (art. 34 RGPD).

10. Menores de edad

Grammyx no está dirigido a menores de 14 años, edad mínima establecida por la LOPDGDD (art. 7) para prestar consentimiento al tratamiento de datos en España. Si tienes conocimiento de que un menor de 14 años ha creado una cuenta, te rogamos que nos lo comuniques para proceder a su eliminación.

11. Cambios en esta política

Podemos actualizar esta política cuando sea necesario (cambios legales, nuevas funcionalidades, nuevos proveedores). La fecha de la última actualización siempre aparecerá al inicio del documento. Si los cambios son sustanciales y afectan a datos ya tratados, te lo notificaremos por correo electrónico (si tienes cuenta) o mediante un aviso destacado en la Plataforma.