Política de Privacidad
Versión 4 · 2026-08-29
En dos líneas, antes de nada
Lo que sigue es la versión larga, que el art. 13 del RGPD exige por escrito. Está ordenada por preguntas, no por artículos.
1 · Quién responde de tus datos
El responsable del tratamiento es Anartz Arri, persona física, que presta el Grimorio desde España.
El canal para cualquier cosa relacionada con tus datos es el portal de contacto, en /legal/contacto. No es un rodeo: es un formulario en este mismo dominio, no hace falta tener cuenta para usarlo, y te devuelve una referencia con la que consultar tu petición después.
No hay Delegado de Protección de Datos, y es correcto que no lo haya. El art. 37.1 del RGPD no obliga aquí, y el art. 34.1 de la LOPDGDD lista quince supuestos tasados: el único cercano —prestadores de la sociedad de la información que perfilen a gran escala— no se cumple, porque aquí no se perfila a nadie.
2 · Qué datos hay, y de dónde han salido
- Los que tú das al registrarte: tu correo, tu nombre visible y tu contraseña, que se guarda cifrada y que nadie —tampoco quien administra— puede leer.
- Los que escribes usando el Grimorio: personajes, campañas, notas del DM, páginas de la wiki, mapas e imágenes que subes.
- Los que genera el servidor solo: registros técnicos de las peticiones, para que un fallo se pueda investigar y para frenar abusos.
- Los que nos manda un tercero: si alguien avisa de un contenido ilícito o ejerce un derecho por el portal, su correo y su mensaje quedan guardados como parte de esa petición.
3 · Para qué se usan, y con qué derecho
El art. 13.1.c del RGPD pide la base jurídica de cada tratamiento, no una genérica para todo. Una fila por tratamiento:
| Qué se hace | Con qué datos | Base jurídica |
|---|---|---|
| Tener una cuenta y dejarte entrar | correo, nombre visible, contraseña cifrada | Art. 6.1.b — ejecución del contrato: sin cuenta no hay servicio |
| Guardar y enseñar lo que escribís: campañas, personajes, wiki, mapas, notas | todo lo que escribís tú y tu grupo | Art. 6.1.b — es el objeto del servicio, no un extra |
| Que la partida funcione en directo (tiradas, turnos, el velo del DM) | estado de la mesa, quién ve qué | Art. 6.1.b |
| Registros técnicos, límites de ritmo y antiabuso | hora, ruta, código de respuesta, un identificador de sesión | Art. 6.1.f — interés legítimo en que el servicio siga en pie y no lo tumbe nadie. La ponderación está escrita en `docs/papeles/INTERES-LEGITIMO.md` |
| Atender avisos de contenido ilícito y peticiones de derechos | correo y mensaje de quien escribe | Art. 6.1.c — obligación legal (RGPD art. 12 y DSA arts. 16-17) |
| Guardar qué versión de las condiciones aceptaste y cuándo | número de versión y fecha | Art. 6.1.c — hay que poder demostrarlo (art. 5.2) |
| Novedades por correo | — | No se hace. El día que se haga hará falta tu consentimiento (art. 6.1.a y art. 21 LSSI), pedido aparte y revocable |
4 · Cuánto tiempo se guardan
«El tiempo necesario» no es un plazo. Los plazos concretos, con la norma al lado cuando la hay:
| Qué | Cuánto | Por qué ese plazo |
|---|---|---|
| Tu cuenta y lo que has escrito | mientras la cuenta esté viva | es el contrato: mientras juegues, tu mesa sigue ahí |
| Todo lo anterior, tras darte de baja | se borra en el acto | el botón de baja borra de verdad, y te enseña antes qué se lleva por delante |
| Registros técnicos del servidor y del proxy | 90 días | lo que hace falta para investigar un fallo o un abuso; pasado eso estorban más de lo que sirven |
| Avisos de contenido ilícito y su decisión | 1 año desde la decisión | el DSA (art. 17) da derecho a reclamar contra la decisión durante seis meses; el año deja margen |
| Peticiones de derechos y su respuesta | 3 años | es el plazo de prescripción de las infracciones graves (art. 30.2 LOPDGDD): sin esto no se puede demostrar que se contestó |
| Facturación | 4 años (art. 66 LGT) / 6 años (art. 30 C.Com) | no se aplica todavía: hoy no se cobra nada |
5 · Quién más los toca
Nadie a quien no haga falta. No se ceden datos a terceros, no se venden y no hay «socios». Lo único que existe es la máquina donde vive el servicio:
| Quién | Para qué | Dónde |
|---|---|---|
| Hetzner Online GmbH | el servidor donde corre el Grimorio y su base de datos | Alemania — dentro de la UE |
| Resend — Plus Five Five, Inc. | mandar el correo para recuperar la contraseña. Recibe tu dirección y ese mensaje, y solo cuando eres tú quien pide el enlace | Estados Unidos. El envío está configurado en su región de Irlanda, pero su contrato admite tratamiento en EE. UU., así que se cuenta como transferencia |
El contrato de encargado del art. 28.3 con Hetzner está firmado desde el 29 de agosto de 2026, con el anexo relleno: qué datos se tratan y de quiénes. Hetzner además publica una auditoría anual independiente (TÜV Rheinland) sobre el cumplimiento de ese contrato.
6 · Edad mínima: 14 años
El art. 7 de la LOPDGDD fija en 14 años la edad a partir de la cual alguien puede consentir por sí mismo el tratamiento de sus datos en España. Por debajo hace falta autorización de quien tenga la patria potestad o la tutela.
Este servicio no está dirigido a menores de 14 años. Si nos consta que una cuenta pertenece a alguien de menos edad sin esa autorización, se cierra y se borra.
7 · Qué puedes exigir, y cómo
- Acceso — que te digan qué datos tuyos hay y de dónde salieron (art. 15).
- Rectificación — que se corrija lo que está mal (art. 16).
- Supresión — que se borre (art. 17). Para tu propia cuenta no hace falta pedirlo: hay un botón, y te enseña antes qué se lleva.
- Limitación — que se aparten sin borrarse mientras se discute algo (art. 18).
- Portabilidad — que te lo den en un formato que puedas llevarte (art. 20).
- Oposición — que se deje de hacer algo que se apoya en el interés legítimo (art. 21).
- Retirar un consentimiento que hayas dado, en cualquier momento y sin que eso afecte a lo hecho antes.
Todos se ejercen por el portal (/legal/contacto), sin cuenta y sin coste. No se pide copia del DNI: se contesta al correo desde el que se escribe, y solo se piden más datos si de verdad hay dudas razonables sobre quién eres (art. 12.6).
El plazo es de un mes (art. 12.3). Si la petición es compleja puede ampliarse hasta tres, pero entonces hay que decírtelo dentro del primer mes y con el motivo — la ampliación en silencio no existe.
Y si la respuesta no te convence, o no llega: puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es), que es gratis y no exige haber escrito antes aquí.
8 · Lo que un reglamento publicado se lleva consigo
En cristiano: si publicas, darte de baja borra tu cuenta, pero no borra las copias que otros ya tienen. Es lo mismo que pasa con un libro prestado, y no es una excusa técnica: es una consecuencia de publicar, y por eso se dice antes de que exista el botón de publicar y no en la letra pequeña de después.
Lo que sí se hace cuando te das de baja: tu nombre deja de aparecer como autor en lo que quede publicado, y lo que no habías publicado desaparece entero.
9 · Personas que no son usuarias
Una campaña puede acabar mencionando a gente real que no tiene cuenta aquí — porque un grupo escribe lo que quiere en sus notas. Esas personas tienen los mismos derechos del punto 7 y el mismo portal para ejercerlos, sin cuenta.
Y al revés: si escribes sobre personas reales, eres tú quien responde de tener derecho a hacerlo. Las condiciones lo dicen con todas las letras, y hay una prohibición expresa de escribir datos de salud, religión, orientación sexual u origen étnico de personas reales (art. 9 RGPD).
10 · Seguridad, y qué pasa si algo se rompe
- Todo viaja cifrado (HTTPS obligatorio), y las contraseñas se guardan con un resumen que no se puede deshacer.
- Los secretos se filtran en el servidor, no en la pantalla: lo que el DM tapa no se manda al jugador y luego se oculta — es que no sale de la base de datos.
- Hay copias diarias verificadas y límites de ritmo contra los abusos.
- Si hubiera una brecha con riesgo para ti, se comunica a la AEPD en 72 horas (art. 33) y a ti sin dilación indebida si el riesgo es alto (art. 34).
11 · Cookies
Solo hay una, la de tu sesión, y por eso no hay banner: el art. 22.2 de la LSSI exime a las cookies estrictamente necesarias para prestar un servicio que has pedido. Está explicado entero en /legal/cookies, incluido por qué no pedir consentimiento aquí es lo correcto y no un descuido.
12 · Si esto cambia
Cada versión lleva su número y su fecha, arriba del todo. Un cambio que te afecte de verdad se avisa dentro del propio Grimorio, no cambiando el texto en silencio y confiando en que alguien lo relea.