POLÍTICA DE PRIVACIDAD

Esta web no instala cookies de seguimiento, no crea perfiles publicitarios y no vende nada sobre ti a nadie. Todo lo que guarda sobre ti se lo has dado tú: la dirección de correo que dejas en la lista de espera de la alfa y —si creas un comandante— la cuenta a la que esa dirección te da acceso. Si alguna vez compras créditos para la forja, Stripe cobra el pago en su propia página y tu número de tarjeta nunca llega a nuestros servidores. El resto de esta página es el detalle de eso.

El responsable del tratamiento de esta web es el operador que figura en el aviso legal. Para cualquier asunto de privacidad, escribe a la dirección de contacto que se indica allí.

Cuando te apuntas a la lista de espera guardamos: tu dirección de correo, la hora a la que te apuntaste, el texto de la promesa bajo la que te apuntaste, desde qué página se hizo el registro (incluido, cuando existe, el nombre de host del referente o una etiqueta de origen UTM) y la dirección IP desde la que se hizo. La dirección IP y la marca de tiempo existen para demostrar que el registro fue real y tuyo — según el RGPD, la carga de demostrar el consentimiento recae sobre nosotros (art. 7.1).

Base jurídica: tu consentimiento (art. 6.1.a del RGPD). La finalidad es un número reducido de avisos puntuales sobre la disponibilidad del juego — la apertura de la alfa. No hay boletín, y la dirección nunca se comparte con terceros para sus propios fines.

Retirar el consentimiento es tan sencillo como debe ser: escribe a la dirección del aviso legal, o responde a cualquier correo que te enviemos, y borramos el registro. Todos los datos de la lista de espera se eliminan una vez cumplida su finalidad — después de que hayan salido los avisos de lanzamiento.

Los datos se guardan en una base de datos Cloudflare D1. Cloudflare, Inc. actúa como nuestro encargado del tratamiento (véase «Alojamiento», más abajo).

Crear un comandante guarda tu dirección de correo, el nombre de comandante que elijas, el nombre de tu imperio si fundas uno, tu contraseña como huella de un solo sentido —nunca la contraseña en sí—, el idioma en el que lees la web y la administración corriente de una cuenta: cuándo se creó, el día de la última actividad, si se ha concedido el acceso anticipado y la partida que le pertenece. La dirección de correo es con lo que inicias sesión y por donde te escribimos sobre tu propia cuenta: un restablecimiento de contraseña, un aviso de seguridad, el día en que la galaxia se abre para ti. No es una lista de correo. Esos mensajes salen a través del proveedor de correo configurado para la web, que recibe la dirección y el texto del mensaje. Base jurídica: la ejecución del contrato que celebras al crear la cuenta (art. 6.1.b del RGPD). Basta una petición a la dirección del aviso legal para que la cuenta y su partida se borren; solo los justificantes de compra descritos más abajo les sobreviven, porque la ley nos obliga a conservarlos.

Los créditos de la forja se compran mediante Stripe Checkout, en una página que es de Stripe y no nuestra: tu número de tarjeta no se envía nunca a nuestros servidores y no lo guardamos. Stripe recibe la dirección de correo de tu cuenta en la primera compra —las siguientes van por el identificador de cliente que Stripe nos devuelve—, junto con el paquete que elegiste, el importe, la moneda y nuestra propia referencia interna del pedido, para que una devolución pueda vincularse a la compra que revierte. Stripe Payments Europe, Ltd. es nuestro proveedor de pago y se apoya en Stripe, Inc. en los Estados Unidos; esa transferencia está cubierta por el contrato de tratamiento de datos que tenemos con ellos. Base jurídica: la ejecución del contrato (art. 6.1.b del RGPD) — el pago no puede cobrarse sin tratarse. Lo que queda de nuestro lado es el justificante de compra: el paquete, el importe, la moneda, los identificadores de Stripe y si se pagó o se devolvió. Ese justificante es un documento contable y se conserva tanto tiempo como exigen el derecho mercantil y fiscal alemanes (§ 147 AO, § 257 HGB), de modo que sobrevive al borrado de la cuenta. Stripe describe su propio tratamiento en su política de privacidad.

La forja de emblemas y el Prompt Designer son los únicos lugares de esta web donde algo que has escrito sale de ella hacia un tercero. A OpenAI va aquello de lo que está hecha la imagen y nada más: el prompt, la conversación que mantienes con el director de arte y —en una revisión— la imagen anterior cuya modificación pediste. No la acompaña ningún dato de la cuenta: ni tu dirección de correo, ni tu nombre de comandante, ni el identificador de tu cuenta. El único identificador unido a una conversación es uno aleatorio que tu navegador crea solo para esa conversación. Base jurídica: la ejecución del contrato (art. 6.1.b del RGPD) — es exactamente lo que le pediste a la forja. Por nuestro lado, la conversación con el director de arte no se escribe nunca en nuestra base de datos: es tu navegador el que guarda el historial y lo reenvía en cada turno. El prompt se queda en la lámina o en la imagen que produjo, hasta que la descartas. El registro de facturación que llevamos para las cuentas contiene cuántos tokens consumió la llamada, lo que costó y el mensaje de error, si lo hubo — nunca el prompt y nunca la respuesta. OpenAI actúa como encargado del tratamiento para estas llamadas; según las condiciones de API a las que estamos sujetos, lo que se envía por la API no se usa para entrenar sus modelos. Las llamadas se sirven desde los Estados Unidos, y esa transferencia está cubierta por el anexo de tratamiento de datos que forma parte de esas condiciones. OpenAI describe su propio tratamiento en su política de privacidad.

El formulario de la lista de espera está protegido por Cloudflare Turnstile, que distingue a las personas de los bots. Para decidirlo, Turnstile evalúa señales técnicas de tu navegador (incluida tu dirección IP). No instala cookies de seguimiento y solo se carga cuando interactúas con el formulario. Base jurídica: nuestro interés legítimo en mantener el abuso automatizado fuera de la lista (art. 6.1.f del RGPD).

Usamos Cloudflare Web Analytics — una herramienta de medición sin cookies y respetuosa con la privacidad, que cuenta páginas vistas y referentes sin crear huellas digitales de cada visitante, sin guardar estado en tu navegador y sin seguir a nadie de una web a otra.

La web la sirve Cloudflare Pages (Cloudflare, Inc., EE. UU.). Cloudflare trata datos de conexión (como las direcciones IP) por motivos técnicos, para entregar la web y defenderla de ataques. Cloudflare está certificada en el EU-U.S. Data Privacy Framework, y nos apoyamos en esa decisión de adecuación junto con el anexo estándar de tratamiento de datos de Cloudflare para cualquier transferencia fuera de la UE. El juego en sí —la API, su base de datos, tu cuenta y todo lo que le pertenece— se ejecuta en un servidor alquilado en Alemania (Hetzner Online GmbH). Lo que está allí no sale de la UE, salvo el pago y las llamadas al modelo descritas más arriba. Ese servidor escribe un breve registro técnico de las peticiones, direcciones IP incluidas, que se sobrescribe al rotar; sirve para encontrar fallos y repeler ataques (art. 6.1.f del RGPD).

Los enlaces a comunidades externas (como Discord) llevan a servicios con sus propias políticas de privacidad. Esta web no les transfiere nada — solo saben de ti si sigues el enlace.

El RGPD te reconoce los derechos de acceso (art. 15), rectificación (art. 16), supresión (art. 17), limitación (art. 18), portabilidad (art. 20) y oposición (art. 21), además del derecho a retirar tu consentimiento en cualquier momento con efectos para el futuro (art. 7.3) y a presentar una reclamación ante una autoridad de control (art. 77). Un solo correo a la dirección del aviso legal ejerce cualquiera de ellos.