Política de privacidad

1. Qué datos recogemos

• Cuenta y perfil: email, nombre, usuario, avatar, ciudad, nivel, mano, lado, bio y preferencias.
• Competición: fecha de nacimiento y género cuando decides formar pareja competitiva; no forman parte del directorio público.
• Partidos y grupos: fecha, hora, ciudad, pista, plazas, asistentes, suplentes, cancelaciones, marcador, notas e historial que introduces para organizar tu grupo. Los resultados personales no puntúan en el circuito.
• Invitados sin cuenta: apodo, asistencia y un identificador técnico protegido para gestionar tu plaza desde el mismo navegador. No pedimos email para apuntarte como invitado ni verificamos tu identidad mediante el apodo.
• Actividad competitiva: retos, resultados confirmados, conquistas, puntos y rachas, necesarios para el ranking del circuito cuando decides participar.
• Seguridad y comunidad: bloqueos, reportes, disputas, invitaciones, mensajes de reto, dispositivos push y evidencias de aceptación legal.
• Ubicación aproximada: solo si activas «Usar ubicación» en el mapa, para buscar pistas cercanas. Se usa en el momento y no se almacena de forma permanente.
• Analítica opcional: ruta interna normalizada, sesión efímera de pestaña, procedencia acotada y eventos funcionales. Solo se envía después de aceptar cookies opcionales y no guarda email, nombre, fecha de nacimiento, género ni ubicación precisa. Los enlaces privados de invitación y sus tokens no se envían a la analítica.
• Contacto: nombre, email, mensaje, versión de privacidad aceptada y fecha de caducidad.
• Pagos: si contratas un plan de pago, Stripe procesa los datos de la tarjeta; PistaKing no almacena números de tarjeta completos.
• Cookies técnicas: de sesión, para mantenerte identificado entre páginas (ver sección de cookies).

2. Para qué los usamos

Prestamos el servicio solicitado: organizar partidos, gestionar asistencia y guardar resultados; calculamos el ranking solo para la competición confirmada. También protegemos la comunidad, atendemos soporte y pagos y, solo con consentimiento, medimos el embudo para mejorar la app. La base es la ejecución del servicio, obligaciones legales, interés legítimo de seguridad y consentimiento donde corresponde. No vendemos datos personales.

3. Qué se muestra públicamente

Nombre de usuario, ciudad, nivel, bio, avatar, estadísticas, insignias y ranking pueden ser visibles. El tablón de pareja es opt-in. Email, nacimiento, género, disponibilidad, preferencias, bloqueos y atribución de invitación no se incluyen en el directorio público.

Los partidos casuales y los grupos no forman un directorio público. El organizador y quienes tengan el enlace activo del partido pueden ver la información necesaria para jugar, incluidos los apodos y las plazas. Ese enlace da acceso: no lo publiques si no quieres que entre cualquiera que lo reciba. El organizador puede revocarlo. Las notas y el historial personales no se publican por registrar un resultado.

4. Con quién compartimos datos

• Supabase (autenticación y base de datos) — aloja tu cuenta y los datos del juego.
• Google Maps / Places — si usas el mapa, tu búsqueda y ubicación (si la activas) se envían a Google para mostrar pistas reales.
• Stripe — si contratas un plan de pago, procesa el cobro y los datos de facturación.
• Resend — entrega emails transaccionales y avisos de soporte cuando está configurado.

5. Cookies

Las cookies de Supabase Auth son necesarias para la sesión. Para gestionar una plaza como invitado usamos una cookie funcional, HttpOnly, que dura hasta 30 días y se renueva al usar un acceso válido desde el mismo navegador; en producción se transmite solo mediante HTTPS. No es una cookie de publicidad. Si la borras o cambias de navegador puedes perder la capacidad de modificar esa plaza; contacta con el organizador para retirarla.

Google Maps y la analítica propia están desactivados hasta que aceptas lo opcional. Puedes rechazar o reabrir «Cookies» desde el pie de cualquier página. Rechazar no impide organizar partidos, apuntarte, consultar los listados ni preparar «falta el cuarto».

6. Cuánto tiempo conservamos tus datos

• Cuenta y juego: mientras esté activa; al borrarla se elimina el usuario y su carpeta de avatar. Evidencia de reportes/disputas puede conservarse desvinculada para seguridad y defensa de reclamaciones.
• Accesos de invitado: el enlace del partido caduca siete días después de su fecha prevista y puede revocarse antes. Los datos de asistencia activa y las credenciales de gestión asociadas al partido caducan siete días después y se eliminan mediante la tarea programada de mantenimiento. El historial privado del organizador puede conservar el marcador y los nombres o apodos que haya aportado hasta que borre el registro o elimine la cuenta; no conserva por ello las credenciales técnicas del invitado, no verifica su identidad y no publica esos nombres. Cancelar la asistencia no borra automáticamente los registros personales posteriores.
• Contacto: máximo 180 días, con purga por fecha.
• Analítica y clics de reserva: hasta 13 meses para comparativas agregadas.
• Registros legales, pagos y auditoría: los plazos exigidos por obligaciones legales o defensa de reclamaciones.

7. Tus derechos

Desde Ajustes puedes exportar tus datos o borrar la cuenta y el avatar. También puedes pedir acceso, rectificación, oposición, limitación o portabilidad en hola@pistaking.es. Si no quedas conforme, puedes reclamar ante la AEPD.

Si juegas como invitado, puedes cancelar tu asistencia desde el enlace con el mismo navegador que usaste al apuntarte. También puedes pedir al organizador que retire tu plaza o escribirnos para ejercer tus derechos sobre esos datos.