Política de privacidad

Esta página explica qué datos almacena el sitio web Forepitch (“nosotros”) sobre los lectores y los titulares de cuentas, con qué fin, durante cuánto tiempo y qué puede hacer usted al respecto. Recopilamos solo lo que el sitio necesita para funcionar, no vendemos datos, no mostramos anuncios y no utilizamos rastreadores ni servicios de analítica de terceros.

Quién es responsable de los datos

El responsable del tratamiento de los datos personales es el titular del sitio Forepitch. Para cualquier consulta sobre sus datos, incluidas las solicitudes desde la UE, América Latina y otros países, escriba a privacy@forepitch.com; esta dirección es también el contacto de la persona responsable de la protección de datos.

Puede leer el sitio sin darnos ningún dato. Para la cuenta solo es obligatorio el correo electrónico: sin él no se puede iniciar sesión ni recuperar el acceso; el apodo y lo demás son opcionales.

Qué datos almacenamos

Si solo lee el sitio

• Estadísticas de visitas. Por cada visualización de página: la dirección de la página, el sitio desde el que llegó (solo su dominio, por ejemplo google.com) y el país, determinado a partir de su dirección IP. Para contar los visitantes únicos, guardamos un hash de la dirección IP y del navegador combinado con una “sal” aleatoria del día; la sal se elimina al día siguiente, tras lo cual el hash ya no puede vincularse con nadie. La dirección IP en sí no se almacena, no se usan cookies para ello y no se cuentan los bots.
• Memoria de visitas, sin identificador. Para saber cuánto tiempo se lee el sitio y si los lectores regresan, su navegador guarda en su propio almacenamiento (fp_v) solo fechas y cantidades: el día de su primera y de su última visita, cuántos días visitó el sitio, cuándo estuvo activa por última vez la visita actual y cuántas páginas y segundos lleva. Junto con cada visualización de página, el navegador envía conclusiones extraídas de esos datos — “primera visualización del día”, “la visita anterior fue hace 3 días”, “primera visita el 12/09” — y también cuántos segundos estuvo la página en pantalla y en uso, y el tipo de dispositivo (celular, tableta, computadora); el navegador y el sistema se determinan a partir del encabezado User-Agent. En el servidor, todo esto solo se suma a contadores diarios: no se envía ni se almacena ningún identificador, por lo que no es posible seguir a nadie de una visita a otra. La memoria vuelve a empezar 13 meses después de la primera visita. Puede desactivarla más abajo; también queda desactivada cuando el navegador envía la señal “Global Privacy Control” o “Do Not Track”.
• Los registros técnicos del servidor (dirección IP, hora, página solicitada) pueden conservarse por poco tiempo para el funcionamiento del servidor y para protegerlo contra ataques.
• Avisos de errores de traducción (si envía uno desde una página en inglés, portugués o español): el texto con el error, su sugerencia, un comentario, la dirección de la página y la hora — sin su cuenta ni su dirección IP.

Si crea una cuenta

• Cuenta: correo electrónico; la contraseña, solo como hash scrypt (nunca vemos ni almacenamos la contraseña en sí); el apodo, si lo definió; las fechas de registro y del último inicio de sesión; si el correo electrónico está confirmado; la fecha de vencimiento de Premium y si ya se usó la prueba gratuita; el país de registro y el del último inicio de sesión (determinados a partir de la dirección IP); qué versión de esta política aceptó y cuándo.
• Días de acceso: las fechas en que usó el sitio con la sesión iniciada (solo las fechas, sin las páginas) — para contar cuántos jugadores regresan. Se conservan durante 400 días y se eliminan junto con la cuenta.
• Sesiones: mientras tenga la sesión iniciada, un token aleatorio en una cookie identifica la sesión. Solo almacenamos el hash de ese token, la hora de inicio y la de la última visita, la dirección IP y el nombre del navegador de la sesión — para proteger la cuenta (por ejemplo, para detectar un inicio de sesión desde un lugar desconocido). Una cuenta puede tener la sesión iniciada en un máximo de tres dispositivos a la vez; la lista de dispositivos y la opción de cerrar sesión en ellos están en el perfil.
• “Supere al modelo”: sus pronósticos para los partidos de la jornada (el resultado y, si lo indica, el marcador exacto) y la hora en que los hizo, la liga en la que juega (y el cambio, si lo pidió) y su división en cada temporada. Su apodo, sus puntos, su rango, sus insignias y su división son públicos en la clasificación (el rango se calcula a partir de sus respuestas; las insignias obtenidas se conservan); los apodos de los premiados de las temporadas y de los mejores jugadores de las jornadas se muestran en la página del juego. Si crea una liga con amigos o se une a una, guardamos su nombre, la liga del juego, el enlace de invitación, quién la creó y los participantes con la fecha en que se unieron; solo los participantes ven su tabla. El apodo del jugador del mes se muestra en la página del juego.
• Invitaciones: el código de su enlace de invitación (se crea cuando abre el perfil) y, si se registró con el enlace de un amigo, quién lo invitó: así contamos la insignia “Trajo a un amigo” (cuántos amigos llegaron, solo lo ve usted). El vínculo entre las dos cuentas se elimina en cuanto se elimina cualquiera de ellas; las invitaciones no dan Premium y los correos de los amigos nunca se muestran.
• Juego limpio: para que los premios sean para personas y no para scripts, el servidor revisa las series terminadas de los minijuegos (el tiempo y la dispersión de los tiros) y marca las sospechosas; ese récord espera la decisión de un administrador. Para detectar cuentas duplicadas, el administrador ve si las sesiones activas de los premiados comparten una dirección IP; no recopilamos ningún dato nuevo para esto. Si el creador de una liga de amigos lo elimina, guardamos esa marca para que el enlace antiguo no le permita volver, hasta que el creador la retire o la liga se elimine.
• Favoritos: los equipos y torneos que marcó (en la cuenta gratuita, hasta tres de cada uno), y con Premium también los partidos.
• Minijuego «Penales»: sus series — adónde apuntó, cuándo soltó y qué resultó — y su mejor resultado para la tabla de récords; se borran junto con la cuenta. Las series jugadas sin cuenta se guardan un día. Adónde patean los jugadores se cuenta solo de forma anónima — cuántos tiros fueron a cada zona del arco, sin vínculo con ninguna cuenta.
• Notificaciones (si las activó): la dirección de suscripción que dio el servicio push de su navegador, sus claves de cifrado, el idioma y la zona horaria del dispositivo (para no molestarle de noche), qué notificaciones quiere recibir (de los partidos de sus equipos favoritos; en “Supere al modelo”, del resultado de su jornada y de la temporada, de un nuevo rango y del recordatorio antes de la jornada) y cuáles ya se enviaron — por partido o jornada y tipo —, además del rango más alto del que ya le informamos. La suscripción se elimina cuando desactiva las notificaciones, cuando el navegador la descarta y junto con la cuenta.
• Prueba gratuita de Premium: para que no pueda usarse una y otra vez, guardamos un hash del buzón de correo que la utilizó (no la dirección en sí; en Gmail, los puntos y las “+etiquetas” cuentan como un mismo buzón). Este hash se conserva incluso después de eliminar la cuenta. No se admiten direcciones de correo desechables para el registro.
• Enlaces enviados por correo (restablecimiento de contraseña, confirmación del correo electrónico): son de un solo uso; solo se almacena su hash.
• Intentos de inicio de sesión: para impedir que se adivinen contraseñas, los intentos fallidos (dirección IP y correo electrónico) se cuentan en la memoria del servidor durante un máximo de una hora y no se escriben en el disco.
• Protección de los datos de Premium: para que no se descarguen mediante scripts ni se transmitan a terceros, guardamos qué partidos abrió una cuenta en las últimas 24 horas (estos datos se eliminan a los dos días); los indicios de solicitudes automatizadas — por ejemplo, una solicitud que no proviene de un navegador o de la página del partido — y los inicios de sesión muy frecuentes se anotan en el registro del administrador junto con el nombre del navegador. Las cifras de Premium de cada cuenta llevan una marca invisible que indica de qué cuenta se copiaron (consulte los términos de uso); la marca se calcula a partir del número de cuenta y no almacena nada.
• Registro del administrador: los cambios que un administrador realiza en una cuenta (Premium, apodo, bloqueo) se registran junto con el correo electrónico de la cuenta; en ese mismo registro quedan los casos en que se superaron los límites de Premium y los indicios de solicitudes automatizadas.

Para qué usamos los datos

• para que funcione la cuenta: inicio de sesión, perfil, Premium, favoritos, notificaciones y el juego;
• para proteger las cuentas y el sitio frente a intentos de adivinar contraseñas, abusos y ataques;
• para enviar los correos que usted solicitó o que se refieren a la seguridad de su cuenta (restablecimiento de contraseña, confirmación del correo electrónico) — no enviamos boletines informativos;
• para entender, en conjunto, qué páginas se leen, desde qué países, cuánto tiempo permanecen las personas en el sitio y si regresan, y así mejorar el sitio — incluso corregir los errores de traducción que nos informe.

Bases jurídicas

• La cuenta, Premium, favoritos, el juego y los correos sobre la cuenta — la ejecución del contrato con usted (los términos de uso): sin estos datos el servicio no funciona. En Rusia, Bielorrusia, Kazajistán, Uzbekistán y otros países cuya ley exige consentimiento, también su consentimiento, dado con una casilla aparte al registrarse (su texto).
• La protección de las cuentas y del sitio (sesiones, intentos de inicio de sesión, registro del administrador, protección de los datos Premium) — nuestro interés legítimo en la seguridad del servicio y la ejecución del contrato.
• Estadísticas anónimas de visitas — nuestro interés legítimo en entender cómo se lee el sitio; la memoria de visitas en el navegador en la UE, el Reino Unido y Suiza — su consentimiento (ver «Cookies»).
• Notificaciones push — su consentimiento: las activa usted y puede desactivarlas en cualquier momento.
• Lo que conservamos tras eliminar la cuenta (el hash del buzón que usó la prueba, el registro anonimizado) — nuestro interés legítimo en evitar abusos.

No tomamos sobre usted decisiones con efectos jurídicos basadas únicamente en medios automatizados: los indicios de solicitudes automáticas solo se registran y las decisiones sobre las cuentas las toma el administrador. No elaboramos perfiles para publicidad.

Cookies y almacenamiento del navegador

Usamos cookies solo para el inicio de sesión; no hay cookies publicitarias ni de terceros, ni servicios externos de analítica. Para nuestras propias estadísticas de visitas, el almacenamiento del navegador guarda fechas sin identificador (fp_v, véase más arriba). Las fuentes y los scripts se cargan desde nuestro propio servidor.

En la UE y el Espacio Económico Europeo, el Reino Unido y Suiza (lo determinamos por la zona horaria del navegador), la memoria de visitas solo se activa con su consentimiento — con el botón «Permitir» del aviso de cookies o con el interruptor de abajo; hasta entonces solo se cuentan las visualizaciones de página. Las cookies de inicio de sesión y el almacenamiento del tema y los ajustes son necesarios para que el sitio funcione y no requieren consentimiento.

Desactivar la memoria de visitas

Al desactivarla, el navegador borra la memoria y las visitas se cuentan solo como visualizaciones de página (véase “Estadísticas de visitas”).

Dónde se almacenan los datos

Los datos se almacenan en el servidor en el que funciona el sitio (HOSTKEY B.V., NL) y en sus copias de seguridad. Los correos los entrega Resend (EE. UU.; envío desde la UE, Irlanda). Las notificaciones push pasan por los servicios de los fabricantes de navegadores, que pueden estar fuera de su país, también en EE. UU.; solo reciben la notificación cifrada. Cuando los datos salen de la UE, el Reino Unido, Suiza u otro país que lo regula, la transferencia se apoya en decisiones de adecuación o en las cláusulas contractuales tipo de esos servicios.

Con quién compartimos los datos

• Servicio de correo. Cuando le enviamos un correo, su dirección de correo electrónico y el texto del mensaje se transmiten al servicio de entrega de correo (Resend, Resend, Inc., EE. UU.; envío desde la UE, Irlanda) únicamente para entregarlo.
• Alojamiento. Los datos se almacenan en el servidor en el que funciona el sitio.
• Servicios push de los navegadores. Las notificaciones las entrega el servicio del fabricante de su navegador (Google para Chrome y Android, Mozilla para Firefox, Apple para Safari, Microsoft para Edge): recibe la notificación cifrada, la hora de envío y la dirección de suscripción, pero no puede leer el texto.
• Servicios de pago. Los pagos los procesan Telegram (Telegram Stars) y NOWPayments (criptomonedas); guardamos un registro de cada pago — el plan, el monto, la fecha, el estado, el ID del pago en el proveedor y, en el caso de Telegram, el ID de usuario de Telegram de quien pagó — para activar Premium y con fines contables.
• El país se determina en nuestro propio servidor con la base de datos gratuita DB-IP (db-ip.com, CC BY 4.0); las direcciones IP no se envían a ninguna parte.
• Fuera de estos casos, no transmitimos datos a nadie, salvo cuando lo exija la ley.

Durante cuánto tiempo conservamos los datos

• la cuenta, los favoritos, los pronósticos, las divisiones y las ligas con amigos del juego y las invitaciones — hasta que usted elimine la cuenta;
• las suscripciones a notificaciones — hasta que las desactive o el navegador las descarte; los registros de notificaciones enviadas — 14 días;
• el hash del buzón que usó la prueba gratuita — también después de eliminar la cuenta (de lo contrario, la prueba podría usarse indefinidamente);
• las sesiones — hasta que cierre sesión o durante 60 días después de la última visita;
• los enlaces enviados por correo — hasta que se usen o venzan (1 hora para restablecer la contraseña, 3 días para confirmar el correo electrónico); después se eliminan en el plazo de una semana;
• la memoria de visitas en el navegador — 13 meses desde la primera visita; los días de acceso de una cuenta y los hashes diarios de visitantes únicos — 400 días;
• qué partidos abrió una cuenta — hasta dos días; las entradas del sistema en el registro del administrador (límites, indicios de solicitudes automatizadas) y los avisos de errores de traducción — 180 días; las acciones de un administrador sobre una cuenta — mientras la cuenta exista y, después, sin el correo electrónico ni los detalles;
• las copias de seguridad de la base de datos — 14 días;
• las estadísticas de visitas — solo en forma agregada y anonimizada (cantidades por día, página, país, origen, dispositivo, tiempo y regresos).

Consentimiento al tratamiento de datos personales

Al marcar al registrarse «Consiento el tratamiento de mis datos personales», usted otorga libremente y en su propio interés al responsable indicado en «Quién es responsable de los datos» su consentimiento para tratar sus datos personales — correo electrónico, apodo, datos de la cuenta, de las sesiones y de los inicios de sesión (dirección IP, navegador, país), sus acciones en el sitio y en los juegos, los ajustes de notificaciones — para los fines enumerados en «Para qué usamos los datos». El consentimiento abarca la recogida, registro, organización, acumulación, conservación, actualización, extracción, uso, transferencia (comunicación y acceso) al servicio de correo y al alojamiento, anonimización, bloqueo, supresión y destrucción, con o sin medios automatizados. Es válido hasta que se elimine la cuenta; puede retirarlo eliminando la cuenta en el perfil o escribiendo a privacy@forepitch.com. Después los datos se eliminan, salvo los indicados en «Durante cuánto tiempo conservamos los datos».

Sus derechos

Puede ver sus datos en el perfil, descargar allí una copia de ellos en un solo archivo y eliminar la cuenta en cualquier momento: la cuenta, sus favoritos, los pronósticos y las divisiones del juego, la participación en ligas con amigos (una liga creada por usted pasa a quien se unió primero), el vínculo con el amigo que lo invitó y con quienes usted invitó, las suscripciones a notificaciones, las sesiones y los días de acceso se eliminan de inmediato; solo se conservan el hash del buzón para verificar la prueba gratuita, la constancia de que se realizó una acción (en el registro del administrador, sin el correo electrónico ni los detalles) y el puesto premiado en el juego (sin el apodo). La eliminación de la cuenta implica también la revocación de su consentimiento para el tratamiento de los datos. Para cualquier otra solicitud — corregir sus datos u oponerse a su tratamiento —, escriba a privacy@forepitch.com; respondemos en un plazo de 10 días hábiles. También puede presentar una reclamación ante la autoridad de protección de datos de su país.

Por país

• México, Argentina, Colombia, Chile, Perú y otros países de América Latina: derechos de acceso, rectificación, cancelación y oposición (ARCO), revocación del consentimiento y reclamación ante la autoridad nacional de protección de datos.
• UE, EEE, Reino Unido, Suiza (RGPD, UK GDPR, ley suiza de protección de datos): acceso, rectificación, supresión, limitación, portabilidad (la copia en un archivo en el perfil), oposición al tratamiento basado en interés legítimo, retirada del consentimiento en cualquier momento y reclamación ante la autoridad de control de su país.
• Brasil (LGPD): confirmación y acceso, corrección, anonimización, bloqueo o eliminación, portabilidad, información sobre con quién se comparten los datos, revocación del consentimiento y reclamación ante la ANPD.
• Rusia, Bielorrusia, Kazajistán, Uzbekistán, Ucrania y otros países de la CEI: información sobre el tratamiento, actualización, bloqueo o destrucción de los datos, revocación del consentimiento y recurso ante el órgano competente o un tribunal.
• Nigeria, Sudáfrica, Kenia, Ghana, Egipto, Marruecos, Tanzania y otros países africanos: acceso, corrección, supresión, oposición, portabilidad cuando la ley la prevé y reclamación ante la autoridad nacional.

Seguridad

El sitio funciona mediante HTTPS; las contraseñas se almacenan solo como hashes scrypt, y los tokens de sesión y los enlaces enviados por correo, solo como hashes; el acceso a la administración requiere un segundo factor de autenticación. Las páginas cargan scripts solo desde nuestro propio servidor y no pueden insertarse en otros sitios; la base de datos y sus copias solo pueden ser leídas por el servidor.

Si se produce una brecha

Si una brecha de seguridad pone en riesgo sus derechos, avisaremos sin demora por correo electrónico a los titulares de las cuentas afectadas y notificaremos a la autoridad de protección de datos en el plazo que exija la ley (72 horas en la UE y el Reino Unido).

Edad

El sitio está dirigido a personas mayores de edad (18+) y no recopila a sabiendas datos de menores de edad.

Modificaciones

Si esta política se modifica, la nueva versión, con su fecha, se publicará en esta página; notificaremos a los titulares de cuentas sobre los cambios sustanciales en el propio sitio.