Política de Privacidad de Real Envido

1. Principios

Tratamos sólo los datos necesarios para identificar una sesión, operar partidas, calcular la Trayectoria y sus recompensas, recuperar una cuenta opcional, mantener integridad, atender soporte y proteger a las personas. No vendemos datos. No usamos publicidad comportamental ni marketing por correo.

2. Datos que tratamos

Identidad y perfil

• UID técnico de Firebase, proveedor de autenticación, tipo de cuenta y estado de correo verificado;
• correo únicamente dentro de Firebase cuando vinculás una cuenta por correo o Google;
• apodo, sufijo interno, emblema o avatar y fecha de declaración de 13 años o más;
• versiones y fecha de la declaración 13+, aceptación de Términos y acuse de lectura de Privacidad.

La base SQL del juego no guarda tu contraseña ni una copia de tu correo. Firebase administra las credenciales y el correo de cuentas vinculadas.

La declaración 13+ se realiza antes de crear el perfil. Después puede existir un perfil técnico mínimo con apodo y emblema; no podés iniciar matchmaking, sala, bot, Competitivo ni otra actividad de juego hasta que el servidor confirme la aceptación vigente de Términos y el acuse de lectura de esta Política.

Juego y Competitivo

• salas, matchmaking, presencia, región técnica, latencia, reconexión y tickets efímeros de WebSocket;
• configuración, acciones, cartas y snapshot autoritativo necesarios para una partida y su recuperación;
• resultados, historial, estadísticas, score, rango, temporadas, abandonos, sanciones e indicadores de integridad;
• Ranking: filas públicas de Competitivo y, sólo si lo activás expresamente, filas públicas de Casual;
• Trayectoria: XP, nivel, progreso actual y mejores valores de logros, hitos desbloqueados, títulos, insignias o emblemas, recompensa equipada y fecha de desbloqueo;
• un ledger técnico mínimo de progresión y señales antiabuso con referencias de partida, temporada, idempotencia, hashes de hechos, desglose de XP, estado y versiones;
• durante una migración retroactiva autorizada, un checkpoint interno temporal en formato GUID que indica el último perfil procesado y permite reanudar una corrida interrumpida;
• bloqueos entre jugadores.

Las cartas privadas pueden existir temporalmente en el estado durable del servidor para recuperar una partida. No se incluyen en telemetría, soporte ni estadísticas públicas.

Tu vista privada de Trayectoria incluye el total de XP, el detalle del progreso, tus mejores valores, recompensas poseídas y próximo desafío. La proyección visible para otras personas se limita al nivel, título y emblema equipados, y los logros o insignias desbloqueados. El título y el emblema se muestran de forma sutil en la presentación y el resultado; el nivel puede verse en perfiles, pero no se agrega a la mesa ni al ranking. El ledger y las señales antiabuso no son públicos ni forman parte del soporte ordinario.

Ranking muestra dos listas separadas. En Competitivo, una fila pública muestra únicamente posición de temporada, apodo público con sufijo inequívoco, emblema equipado, score de temporada y rango o división cuando exista. En Casual, aparecer es opcional, empieza apagado y requiere cuenta vinculada activa, correo verificado, ausencia de restricción pública y la preferencia Aparecer en la clasificación Casual activada por vos. Si activás esa preferencia, la fila pública muestra únicamente posición, apodo público con sufijo inequívoco, emblema equipado, victorias Casual, XP total y cantidad de logros desbloqueados. La XP y los logros pueden incluir progreso obtenido en otros modos humanos.

Revocar la preferencia Casual retira tu fila de las nuevas respuestas públicas y no borra tus estadísticas, XP, logros, historial, cuenta ni elegibilidad de Competitivo. Ninguna clasificación publica correo, proveedor de identidad, UID, PlayerId, historial, rivales, derrotas, abandonos, inactividad, cooldown, sanciones, bloqueos, ledger, desglose de XP, detalle de logros, señales antiabuso, última conexión, región, latencia, IP, edad, soporte o reportes.

El checkpoint de migración no se entrega por la API, no se imprime en el script operativo ni se incorpora a logs. Sólo existe en la base mientras la corrida está en estado running; se limpia al cerrarla como completed o failed y también se elimina si coincide con una cuenta borrada. Una corrida interrumpida puede permanecer running hasta que la siguiente ejecución autorizada la reanude y cierre. No existe una purga autónoma por antigüedad para ese checkpoint y no prometemos un plazo que el sistema no implementa.

Reportes, soporte y administración

• motivo, partida relacionada, referencia y estado de un reporte;
• categoría, mensaje y diagnóstico técnico que decidís enviar a soporte;
• auditoría seudonimizada de accesos y cambios administrativos;
• logs operativos con fecha, ruta, código, latencia, versión, request ID y métricas agregadas.

No adjuntes contraseñas, documentos, tarjetas ni otros datos personales en mensajes. El diagnóstico se limita a una lista técnica y no incluye cartas privadas ni tokens.

Datos del dispositivo y PWA

La PWA usa almacenamiento local para conservar perfil de conveniencia, credencial de sesión Firebase, preferencias de accesibilidad y audio, estado transitorio de vinculación o eliminación, eventos audiovisuales pendientes y una copia owner-only de tu última Trayectoria. Esta última copia vence como máximo a los siete días, se purga si está vencida o dañada, al cambiar o eliminar la cuenta y cuando cambia el sujeto de sesión; sin conexión es sólo de lectura.

El service worker y Cache Storage conservan el shell, cartas, audios y páginas públicas para mejorar carga y uso offline. Como única excepción de API, puede conservar el catálogo público no autenticado de Trayectoria. Las solicitudes autenticadas, las respuestas privadas o no-store, WebSocket y las demás API quedan fuera de esa caché.

No encontramos cookies propias de seguimiento, IndexedDB, Google Analytics, píxeles publicitarios, Crashlytics ni una plataforma de marketing en esta versión. El hosting y los proveedores pueden procesar IP, agente de usuario y registros técnicos para entregar y proteger sus servicios.

3. Datos que no pedimos

No recolectamos fecha de nacimiento ni edad exacta. No solicitamos documento de identidad, teléfono, domicilio, contactos, geolocalización precisa, datos de tarjeta ni contenido libre de chat.

4. Finalidades

Usamos los datos para:

1. crear y recuperar la identidad invitada o vinculada;
2. operar Casual, salas privadas, bot y Competitivo;
3. sincronizar, reconectar, resolver y auditar partidas;
4. calcular historial, estadísticas, score, rango y sanciones;
5. calcular XP, nivel, logros, recompensas y proyecciones públicas estrictamente limitadas;
6. publicar Ranking Competitivo y, sólo con tu preferencia explícita, Ranking Casual con los campos indicados en esta Política;
7. impedir emparejamientos bloqueados, duplicación de recompensas, abuso y manipulación;
8. recibir reportes, soporte y pedidos de privacidad;
9. mantener seguridad, disponibilidad, monitoreo y respuesta a incidentes;
10. demostrar qué versión legal fue presentada y aceptada.

No reutilizamos estas finalidades para publicidad comportamental o marketing por correo.

5. Proveedores, almacenamiento y transferencias

• Firebase Authentication / Google Identity: credenciales, UID, correo vinculado, verificación, IP y agente de usuario. Firebase informa que Authentication opera desde centros de datos de Estados Unidos.
• Google Cloud Run y Cloud SQL: API, gateway, datos de producto y base SQL en southamerica-east1 (São Paulo, Brasil). Al lanzamiento productivo, los backups automáticos y la recuperación a un punto en el tiempo de Cloud SQL están desactivados; Real Envido no mantiene una copia administrada de la base en Google Cloud.
• Firebase Hosting y hosting web: entrega global de HTML, scripts y recursos públicos; pueden tratar metadatos de acceso.
• Cloud Logging y Monitoring: logs y métricas operativas con acceso restringido.
• Mercado Pago: sólo cuando una persona adulta abre voluntariamente un enlace externo; Real Envido no recibe ni almacena datos de tarjeta o estado de pago en esta integración.

Usar estos servicios puede implicar transferencias internacionales. Aplicamos controles técnicos y contractuales disponibles, pero la ubicación de Cloud Run y SQL no significa que todos los servicios globales estén limitados a Brasil.

6. Base y justificación del tratamiento

La identidad, el perfil y los datos de juego son necesarios para prestar el servicio solicitado y aplicar sus reglas. La seguridad, prevención de abuso, moderación y trazabilidad se justifican en la protección de la plataforma y de las personas. La cuenta vinculada, el envío de soporte y un aporte son opcionales.

La aceptación de Términos y la declaración 13+ se registran por separado. La Política de Privacidad se presenta como información y acuse de lectura, no como un consentimiento genérico para cualquier uso. Una finalidad opcional futura requerirá su propio control cuando corresponda.

7. Retención

• Perfil activo y aceptación legal: mientras exista la cuenta. Al eliminarla, los eventos de aceptación se borran de la base activa junto con el perfil; el tombstone no conserva una copia.
• Detalle durable de partidas finalizadas: 90 días desde que la sala queda cerrada y elegible para purga. Resultados agregados e integridad competitiva pueden mantenerse anonimizados durante la vida de la temporada o del sistema.
• Trayectoria propia y recompensas: XP, nivel, progreso, desbloqueos, títulos y emblemas se conservan durante la vida de la cuenta activa y se eliminan de la base activa al borrar el perfil. No tienen una purga temporal independiente mientras la cuenta exista.
• Preferencia de Ranking Casual: mientras exista la cuenta o hasta que la revoques. Empieza apagada, no se activa por jugar, crear cuenta, verificar correo ni abrir Ranking. Revocarla impide que nuevas respuestas públicas incluyan tu fila Casual, sin borrar estadísticas ni progreso privado.
• Ledger de Trayectoria: no tiene una purga temporal general implementada. Al borrar el perfil, PlayerId, SourceId, MatchId y SeasonId pasan a null, y la idempotencia, hash, desglose y recibo se reemplazan por valores técnicos no vinculables. La fila mínima residual puede conservarse para evitar duplicaciones y mantener integridad; su plazo adicional requiere revisión y no prometemos borrado total.
• Señales de integridad de Trayectoria: no tienen una purga temporal general mientras la cuenta existe. Al borrar cualquiera de los perfiles relacionados, las filas correspondientes de progression_integrity_signals se eliminan físicamente de la base activa.
• Checkpoint de migración retroactiva: el campo interno progression_migration_runs.Cursor contiene un GUID sólo mientras la corrida está running. Se limpia al finalizar en completed o failed, y la baja de la cuenta lo elimina si coincide con el perfil borrado. Una corrida abandonada se reanuda en la siguiente ejecución autorizada y debe cerrarse antes de activar u operar Trayectoria. No hay una purga temporal autónoma por antigüedad.
• Reportes, soporte e idempotencia administrativa: hasta 90 días, salvo una preservación excepcional, documentada y revisada por un incidente u obligación aplicable.
• Idempotencia técnica ordinaria: normalmente 24 horas; la constancia terminal de eliminación puede conservarse 90 días para evitar reactivaciones accidentales.
• Presencia, tickets y matchmaking: mientras la actividad está vigente y durante el período técnico mínimo para resolver carreras, reconexión o abuso; los tickets WebSocket duran 30 segundos y son de un solo uso.
• Logs del entorno propio: el bucket de aplicación _Default conserva 30 días y el bucket obligatorio del proveedor _Required conserva 400 días con retención bloqueada, según la última configuración operativa verificada. No copiamos mensajes de soporte, tokens o cartas a esos logs de aplicación.
• Cloud SQL: los backups automáticos y la recuperación a un punto en el tiempo están desactivados al lanzamiento productivo. La exportación local única utilizada para retirar los datos de prueba se realizó antes de abrir el producto y no incorpora datos de usuarios productivos.
• Firebase Authentication: Firebase informa que las IP registradas se conservan algunas semanas y que otros datos de autenticación pueden tardar hasta 180 días en desaparecer de sistemas activos y backups después de iniciar el borrado.
• Dispositivo: los datos generales permanecen hasta que la aplicación los reemplace, completes la eliminación o limpies los datos del sitio. La copia owner-only de Trayectoria vence a los siete días y también se purga por corrupción, cambio o eliminación de cuenta.

No prometemos un plazo que el sistema o proveedor no pueda demostrar. Una preservación excepcional debe ser mínima, restringida y auditada.

8. Eliminación y anonimización

Podés eliminar tu perfil desde la aplicación. El servidor cancela colas y reservas, desconecta la sesión, elimina preferencias y estadísticas identificables, anonimiza apodo y avatar en snapshots y bloquea la reactivación de esa identidad. También elimina por cascade tu progresión, detalle de logros, desbloqueos, títulos y emblemas de Trayectoria, y purga la copia local owner-only. Los reportes y el soporte se redactan o vencen según su ciclo sin alterar la integridad de terceros.

La credencial Firebase se elimina en un paso coordinado. Si ese proveedor no completa el paso remoto, la aplicación elimina la sesión local e informa el estado para reintento o intervención autorizada. Borrar el perfil SQL no equivale por sí solo a borrar Firebase, ni viceversa.

Los resultados agregados y la auditoría mínima pueden conservar una referencia seudónima o anónima durante su plazo técnico. El ledger de Trayectoria se minimiza: se anulan sus referencias directas y se reemplazan idempotencia, hashes, desglose y recibo por valores técnicos no vinculables. Las señales antiabuso relacionadas con la cuenta se eliminan físicamente de la base activa. Ninguno de esos registros vuelve a mostrar el apodo eliminado ni su proyección pública de Trayectoria.

9. Seguridad

Usamos autenticación administrada, conexión cifrada, autorización de mínimo privilegio, allowlist exacta para administración, correo verificado, tickets WebSocket de corta vida, idempotencia, monitoreo y auditoría. Los contratos, recibos y logs propios de Trayectoria y Ranking no deben incluir cartas privadas, correo, tokens, edad exacta ni otros datos de identidad innecesarios; el ledger y las señales antiabuso no se exponen por la proyección pública, y el checkpoint GUID de migración no se expone por API, log o script. Ningún sistema es infalible; ante un incidente relevante, lo documentamos, mitigamos, investigamos con datos mínimos y comunicamos cuando corresponda.

10. Menores y política 13+

La plataforma requiere una declaración “Tengo 13 años o más” sin recolectar fecha de nacimiento ni edad exacta. No está dirigida a menores de 13. Si recibimos una manifestación fiable de que una cuenta corresponde a una persona menor de 13, podemos suspenderla preventivamente, limitar el acceso, conservar sólo una referencia operativa no sensible y eliminar o anonimizar los datos cuando corresponda.

Nunca pedimos documentos, fotografías, contraseñas o datos familiares por chat o redes. Los aportes están restringidos a personas de 18 años o más.

11. Tus derechos

Podés solicitar información, acceso, rectificación, actualización, supresión o confidencialidad escribiendo a administracion@realenvido.com. Para protegerte, podemos pedir una comprobación proporcional mediante la sesión o cuenta, sin solicitar más datos de los necesarios.

Nuestro objetivo operativo conforme al marco argentino es responder solicitudes de acceso dentro de 10 días corridos y rectificación, actualización o supresión dentro de 5 días hábiles cuando corresponda. Si la respuesta es insuficiente, podés consultar o denunciar ante la Agencia de Acceso a la Información Pública.

12. Cambios

La versión y fecha de vigencia se muestran al comienzo. Un cambio material se comunica y requiere un nuevo acuse en el próximo límite seguro antes de iniciar una actividad nueva; no interrumpe partidas en curso. Real Envido conserva por separado los comprobantes históricos correspondientes a cada texto aceptado. Esos comprobantes no se modifican ni se sustituyen cuando se registra una nueva aceptación. Los textos anteriores se mantienen accesibles cuando resulte necesario.

Consultas y solicitudes: administracion@realenvido.com.