Política de privacidad

El responsable del tratamiento es Víctor Franco, persona física residente en España, que desarrolla y mantiene KULTURA. Contacto para cualquier asunto de privacidad: kultura.app.contacto@gmail.com. No hace falta tener cuenta para escribir.

No hay delegado de protección de datos porque, por su tamaño y su actividad, KULTURA no está obligada a tenerlo. Los datos del titular están en el aviso legal.

Depende de lo que uses:

• Cuenta: correo y contraseña (la guarda cifrada Supabase; yo no puedo verla) o, si entras con Google, tu correo y los datos básicos de perfil que comparte Google (nombre y foto, que KULTURA no muestra). También tu nombre de usuario, avatar, biografía opcional, idioma y la fecha y versión de los términos que aceptaste.
• Biblioteca: títulos guardados, estado, notas, progreso y fechas.
• Actividad social: amistades y solicitudes, bloqueos, mensajes privados, listas, grupos y sus publicaciones, recomendaciones entre amigos y notificaciones.
• Lo que me envías: sugerencias y denuncias. En el formulario de denuncia sin cuenta, también el correo de contacto si decides dejarlo.
• Datos técnicos: dirección IP y datos del navegador para servir la web, frenar abusos y limitar peticiones; informes de errores, y datos de uso agregados (ver «Analítica y cookies»). Si activas las notificaciones push en un dispositivo, también la dirección de avisos que crea su navegador, sus claves de cifrado y el idioma de los avisos.

Para crear la cuenta son obligatorios el correo y la contraseña, o entrar con Google; sin ellos no se puede crear la cuenta (art. 13.2.e RGPD). Todo lo demás es opcional: biografía, avatar, lo que guardes o compartas y el correo del formulario de denuncia.

No pido categorías especiales de datos. Aun así, lo que ves, lees o juegas puede decir cosas de ti: por eso tu biblioteca no es pública por defecto.

• Prestarte el servicio (cuenta, biblioteca, listas, amigos, chat y grupos): ejecución del contrato que aceptas al registrarte (art. 6.1.b RGPD).
• Recomendaciones con IA, solo cuando pulsas el botón: es una función que pides tú, dentro del mismo contrato. Si no lo pulsas, no se envía nada.
• Seguridad (límite de peticiones, prevención de abusos, diagnóstico de errores y copias de seguridad): interés legítimo en que el servicio funcione y sea seguro (art. 6.1.f RGPD).
• Denuncias y moderación: cumplir el Reglamento de Servicios Digitales (art. 6.1.c RGPD) e interés legítimo en proteger a quienes usan KULTURA.
• Estadísticas de uso agregadas (cuánta gente se registra o usa cada función): interés legítimo en mejorar el producto, sin cookies y sin seguirte por otras webs.
• Correos de la cuenta (confirmación y cambio de contraseña): ejecución del contrato. No envío boletines ni publicidad.

No tomo decisiones automatizadas con efectos jurídicos sobre ti: las recomendaciones son solo sugerencias.

Las recomendaciones de «Para ti» las genera Claude, un modelo de Anthropic, solo cuando pulsas «Recomiéndame». Se envían hasta 15 títulos de tu biblioteca que has terminado o puntuado alto (título, tipo, año y nota), tus géneros favoritos y el idioma de la app. No se envían tu nombre, tu correo ni tu identificador de usuario.

Por persona se hace como mucho una petición al día, salvo un reintento si falla. La respuesta se guarda ese día para no repetirla y se borra al generar la siguiente. Según las condiciones comerciales de Anthropic, lo que recibe por su API no se usa para entrenar sus modelos.

También uso IA para traducir algunas sinopsis del catálogo. Ahí solo viaja el texto de la sinopsis, sin ningún dato tuyo.

• Tu biblioteca (títulos, notas y estadísticas): por defecto, solo tus amigos. En Ajustes eliges entre «Cualquiera con cuenta», «Solo mis amigos» y «Solo yo». Sin sesión no la ve nadie.
• Tu perfil público (kulturaapp.vercel.app/u/tu-usuario): nombre de usuario, avatar, biografía y las listas que marques como públicas. Lo puede ver cualquiera, también sin cuenta.
• Listas: privadas salvo que elijas hacerlas públicas. Las compartidas las ven también sus miembros.
• Mensajes privados: solo las personas de esa conversación. Solo puedes escribir a tus amigos, y quien hayas bloqueado no puede escribirte.
• Grupos: las publicaciones solo las ven sus miembros; el nombre y la descripción de un grupo público, cualquiera con cuenta.

Tu nombre de usuario no se saca de tu correo y tu correo no se muestra a nadie.

Para que KULTURA funcione uso estos proveedores, que tratan datos por encargo mío y con un contrato de tratamiento de datos:

• Vercel (Vercel Inc., EE. UU.): alojamiento de la web, con el servidor en Fráncfort (UE), y medición de visitas.
• Supabase (Supabase Inc., EE. UU.): base de datos e inicio de sesión, alojados en la UE (Fráncfort).
• Anthropic (Anthropic PBC, EE. UU.): recomendaciones con IA, solo al pulsar el botón.
• Sentry (Functional Software Inc., EE. UU.): informes de errores, alojados en la UE (Alemania).
• Resend (EE. UU.): me envía por correo el aviso de cada denuncia, con su contenido y, si lo dejaste, tu correo de contacto.
• Upstash (Upstash Inc., EE. UU.): contador para limitar peticiones. Solo recibe una huella cifrada (hash) de la IP o del identificador, que caduca en minutos.
• Google (Google Ireland Ltd.): inicio de sesión, solo si eliges entrar con Google.
• Servicios de notificaciones push del navegador (Google, Mozilla, Apple o Microsoft, según el que uses): solo si activas las notificaciones. Entregan cada aviso cifrado y no pueden leerlo; el aviso dice quién te escribe, nunca el texto del mensaje.
• GitHub (GitHub Inc., EE. UU.): guarda las copias de seguridad, que se cifran antes de salir, así que GitHub no puede leerlas.

Varios son empresas de EE. UU. o pueden acceder desde allí para dar soporte. Esas transferencias internacionales se amparan en el Marco de Privacidad de Datos UE-EE. UU. cuando la empresa está adherida y, en todo caso, en las cláusulas contractuales tipo de la Comisión Europea incluidas en sus condiciones de tratamiento (arts. 45 y 46 RGPD).

La información de los títulos sale de catálogos públicos: TMDB (con datos de JustWatch para «Dónde ver»), RAWG, Steam, AniList, MyAnimeList (a través de Jikan), MangaDex, Open Library, Google Books y Comic Vine. Las consultas las hace el servidor de KULTURA con el texto de la búsqueda, sin tu IP ni tu cuenta. Algunas portadas se cargan directamente desde los servidores de imágenes de esos catálogos, que reciben tu IP como al visitar cualquier web.

Los tráileres de algunas fichas son de YouTube (Google): el tráiler se carga desde youtube-nocookie.com solo cuando pulsas reproducir; a partir de ese momento se aplica la política de Google.

Ningún proveedor recibe datos para publicidad, y no vendo ni cedo datos a nadie salvo obligación legal.

No hay banner de cookies porque KULTURA no usa cookies que necesiten tu consentimiento:

• Sesión (Supabase): cookies estrictamente necesarias para mantenerte conectado.
• Idioma (NEXT_LOCALE): recuerda el idioma que eliges.
• Almacenamiento local: durante el registro, el navegador guarda un momento el personaje que eliges y lo borra al terminar el alta.

Las visitas se cuentan con Vercel Web Analytics, que no usa cookies: cuenta páginas vistas con una huella temporal que se descarta en 24 horas y no permite identificarte.

Además, KULTURA puede registrar eventos de uso de las personas registradas (por ejemplo, el alta, el primer título guardado o una invitación aceptada) y por dónde llegaste al registrarte (un enlace de invitación o de una campaña), para estudiarlos de forma agregada, sin cookies y sin rastreo entre webs.

• Tus datos de cuenta, biblioteca y actividad: mientras tengas la cuenta.
• Al pedir el borrado, la cuenta queda programada 7 días; si vuelves a entrar, puedes cancelarlo. Pasado ese plazo se borran tu perfil, tu biblioteca, tus listas, tus amistades, los mensajes y publicaciones que enviaste, tus recomendaciones, notificaciones y denuncias.
• Los grupos que creaste y tus listas compartidas pasan a otro miembro para que los demás no pierdan su contenido; si no queda nadie, se borran. Los títulos que añadiste a listas de otras personas se quedan en ellas, sin tu nombre.
• Las sugerencias que enviaste se conservan sin vínculo con tu cuenta. Si quieres que las borre, pídemelo.
• Las recomendaciones de IA: hasta que se generan las del día siguiente.
• Eventos de uso: mientras tengas la cuenta; se borran con ella.
• Dispositivos con notificaciones push: hasta que las desactives o cierres sesión en ese dispositivo, el navegador las dé de baja o fallen 10 envíos seguidos. Se borran con la cuenta.
• Registros del servidor: se borran solos en menos de un día. Informes de errores (Sentry): 30 días. Huellas del límite de peticiones: unos minutos.
• Copias de seguridad semanales cifradas: 90 días. Lo que borras desaparece de ellas cuando caducan.
• Denuncias y su resolución: el tiempo necesario para resolver el caso y atender una posible reclamación.

Puedes pedir acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad de tus datos. Muchas cosas las haces tú desde Ajustes: editar tu perfil, cambiar quién ve tu biblioteca, exportar tus datos y borrar tu cuenta. Para lo demás, escríbeme a kultura.app.contacto@gmail.com; respondo en un mes como máximo.

La exportación es un archivo JSON con tu perfil, biblioteca, listas, amistades, los mensajes que has enviado y los que te han escrito en las conversaciones en las que sigues (con quién los escribió), tus conversaciones (fechas y participantes), publicaciones, grupos, invitaciones, recomendaciones enviadas y recibidas, sugerencias, notificaciones, denuncias, tu diario y los dispositivos con notificaciones push. No incluye los mensajes de las conversaciones que has dejado (si quieres una copia, pídemela por correo y te la envío) ni las claves de cifrado de las notificaciones push: de cada dispositivo van solo las fechas y el principio de su dirección de avisos.

Si crees que no he atendido bien tu solicitud, puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es).

Para usar KULTURA tienes que tener al menos 14 años, la edad a partir de la cual en España puedes consentir el tratamiento de tus datos (art. 7 LOPDGDD); lo declaras al registrarte. Si sé que una cuenta es de alguien menor de 14 años, la borraré. Si eres madre, padre o tutor y crees que es el caso, escríbeme.

Todo viaja cifrado (HTTPS). La base de datos aplica permisos fila a fila para que cada persona solo lea y cambie lo que le corresponde, las contraseñas se guardan cifradas y las copias de seguridad se cifran antes de salir. Si encuentras una vulnerabilidad, escríbeme a kultura.app.contacto@gmail.com; tienes los detalles en el aviso legal.

Si cambio algo importante, lo avisaré dentro de la app antes de que se aplique y actualizaré la versión y la fecha de arriba.