Política de privacidad

1. Quién es responsable

Mulligan Deck Builder es una app gratuita creada por fans. La publica OgamLabs, el proyecto de Óscar Cantón García, que es el responsable del tratamiento de los datos descritos aquí. Para cualquier consulta sobre privacidad, escribe a [email protected].

2. Qué datos tratamos

Si usas la app sin cuenta

Todo lo que creas en Mulligan (mazos, carpetas, favoritos, colección y ajustes) se guarda en tu dispositivo. No lo enviamos a ningún servidor.

Para mostrarte cartas y mazos, la app se conecta a:

• MarvelCDB, para descargar el catálogo público de cartas, sus imágenes, sus preguntas frecuentes y las listas de mazos que decidas importar.
• Nuestro servidor (mulligan-api.ogamlabs.com), para mostrarte los mazos de la comunidad.

Como en cualquier conexión a internet, estos servidores reciben la dirección IP de tu dispositivo para poder responder. Nuestro servidor la usa solo en memoria, durante un minuto, para limitar abusos. En sus registros técnicos guarda únicamente el tipo de petición y la ruta, sin tu dirección IP, sin identificadores del dispositivo y sin los filtros que uses.

Si creas una cuenta de la comunidad

La cuenta solo hace falta para dar me gusta a los mazos. Explorar e importar mazos nunca la requiere. Entras con Iniciar sesión con Apple sin compartir tu nombre ni tu correo, y guardamos:

• El identificador de usuario de Apple. Es un código que Apple asigna a tu cuenta solo para nuestras apps. No revela quién eres.
• Tus me gusta: a qué mazos los has dado y cuándo. Los demás solo ven el total de cada mazo, nunca quién lo ha dado.
• Tu sesión. Guardamos una huella cifrada (hash) del código de sesión, no el código en sí, junto con su fecha de caducidad. En tu dispositivo, la sesión se guarda en el llavero de iOS y no sale de él.
• Un código de Apple para revocar el acceso. Lo guardamos cifrado y solo lo usamos para comunicar a Apple que tu cuenta se ha borrado.

Mazos de la comunidad

Los mazos de la comunidad proceden de listas publicadas en MarvelCDB. Guardamos su composición (héroe, aspectos y cartas), su fecha de publicación, el título y el nombre público con el que su autor lo publicó en MarvelCDB, su número de me gusta en MarvelCDB y un enlace al original. No guardamos descripciones, comentarios ni etiquetas. Si eres autor y no quieres que se muestre tu nombre o tus mazos, escríbenos y los retiraremos.

Denuncias y correos a soporte

Si denuncias un mazo o nos escribes, recibimos tu dirección de correo y lo que escribas. La denuncia incluye además el número, el título, el autor y el enlace del mazo, y la versión de la app. Usamos estos datos solo para responderte y revisar el contenido. Los autores que ocultas y los mazos que denuncias se guardan solo en tu dispositivo.

Analítica de uso de Firebase

La analítica está activada por defecto y permite conocer las sesiones, la retención, las categorías de pantallas visitadas y el uso de búsquedas y filtros, colección, creación, importación, edición y exportación de mazos, y onboarding. Registramos categorías de acciones y resultados, sin los valores elegidos ni el contenido. Firebase recibe un identificador aleatorio de la instalación y metadatos técnicos, como la versión de la app, el sistema operativo y el idioma, y puede obtener localización aproximada de la conexión. Son datos seudónimos; no afirmamos que sean anónimos.

No enviamos a Analytics tu identificador de Apple, tus credenciales, los nombres o la composición de tus mazos, tus notas, el texto de tus búsquedas ni los identificadores de cartas. Tampoco recogemos el identificador publicitario (IDFA) ni el identificador de proveedor (IDFV), y las funciones publicitarias están desactivadas.

Puedes desactivar la analítica en Ajustes → Privacidad. Se detiene la recogida y se reinician los datos locales del SDK. La elección se conserva al volver a abrir la app. Desactivar no borra por sí solo los eventos que Google haya recibido anteriormente; para consultas sobre tus datos, escribe al contacto de privacidad.

Informes de fallos de Firebase Crashlytics

Con el control «Analítica e informes de fallos» activado, Crashlytics puede enviar informes técnicos para identificar y corregir fallos: trazas de ejecución, versión de la app, sistema operativo y datos técnicos del dispositivo y de la instalación. No añadimos identificadores de cuenta, contenido de mazos, búsquedas, tokens de notificaciones ni credenciales a los informes. Las categorías de uso ya descritas pueden acompañar al diagnóstico.

El envío automático está desactivado. Los informes pendientes se envían al iniciar con el control activado o se eliminan si está desactivado. El SDK puede guardar el diagnóstico localmente hasta el siguiente inicio. Desactivar no revoca un envío que ya estaba autorizado ni elimina informes ya recibidos por Google.

Notificaciones push

Si activas las notificaciones en Ajustes → Privacidad y concedes el permiso de iOS, Firebase Cloud Messaging y Apple APNs utilizan un identificador de instalación, un token de entrega y datos técnicos para enviarte notificaciones de Mulligan. Este permiso es independiente de la analítica y de los informes de fallos. No vinculamos esos identificadores a tu cuenta de Comunidad ni los enviamos a su servidor.

Puedes cambiar o revocar el permiso en los ajustes de notificaciones de iOS. Al volver a la app comprobamos ese permiso y retiramos el registro de entrega si se ha revocado; si no hay conexión, reintentamos la retirada al volver a abrir la app.

Informes de Apple

Si en los ajustes de iOS activas la opción de compartir análisis con los desarrolladores, Apple puede enviarnos informes anónimos de fallos. Lo gestiona Apple según su propia política de privacidad y es independiente de la analítica de Firebase.

3. Para qué y con qué base legal

• Darte la cuenta y los me gusta, porque tú lo pides al crearla (ejecución de las condiciones de uso que aceptas, artículo 6.1.b del RGPD).
• Mantener el servicio seguro y evitar abusos, con límites de uso y registros técnicos mínimos (interés legítimo, artículo 6.1.f del RGPD).
• Responder a tus correos y revisar las denuncias (interés legítimo en atenderte y en mantener la comunidad libre de contenido inaceptable, artículo 6.1.f del RGPD).

La analítica se usa para entender qué funciones se utilizan y mejorar Mulligan. Puedes desactivarla en Ajustes → Privacidad y contactar con nosotros para ejercer tus derechos.

No usamos tus datos para publicidad, no creamos perfiles publicitarios, no rastreamos tu actividad en otras apps ni webs y no tomamos decisiones automatizadas sobre ti.

4. Cuánto tiempo los conservamos

• Mientras tengas la cuenta. Cada sesión caduca a los 365 días y tendrás que volver a entrar.
• Al borrar la cuenta desde Ajustes → Cuenta de la comunidad → Eliminar cuenta, borramos al instante tu identificador, tus sesiones y tus me gusta, y descontamos tus me gusta de los totales. También pedimos a Apple que revoque el acceso. Si Apple no responde en ese momento, conservamos cifrado el código de revocación solo para reintentarlo: lo eliminamos en cuanto la revocación se completa o, como mucho, tras diez intentos.
• Correos y denuncias: el tiempo necesario para resolverlos y, como mucho, un año.
• Copias de seguridad. Las copias de seguridad del servidor se renuevan automáticamente y los datos borrados desaparecen de ellas en un máximo de cinco semanas.
• Si dejas de usar Iniciar sesión con Apple desde los ajustes de tu Apple ID, cerramos tus sesiones. Tus me gusta se conservan hasta que vuelvas a entrar y borres la cuenta, o nos pidas por correo que la borremos. Si eliminas tu Apple ID, Apple nos avisa y borramos tu cuenta.

5. Con quién los compartimos

No vendemos tus datos. Intervienen estos proveedores para los fines descritos:

• Google / Firebase Analytics, Crashlytics y Cloud Messaging, que reciben la analítica y los informes de fallos según tu elección, y los datos técnicos de entrega cuando permites notificaciones. Consulta la información de privacidad de Firebase y la política de Google.
• Apple, que gestiona Iniciar sesión con Apple según su propia política de privacidad.
• Hetzner Online GmbH, que aloja en Alemania nuestro servidor, su base de datos y parte de sus copias de seguridad.
• Cloudflare, Inc., que protege el servidor y entrega sus respuestas. También guarda copias de seguridad en centros de datos de la Unión Europea. Su red es mundial: si trata datos de conexión fuera de la UE, lo hace con las garantías previstas en el RGPD, como las cláusulas contractuales tipo.
• MarvelCDB, un servicio independiente al que la app se conecta directamente para cargar cartas y mazos públicos. Recibe tu dirección IP y aplica su propia política.

6. Seguridad

Todas las conexiones usan HTTPS. Los códigos de sesión se guardan como huella cifrada y el código de revocación de Apple, cifrado con AES-256-GCM. El acceso al servidor está restringido y protegido por cortafuegos.

7. Tus derechos

Puedes acceder a tus datos, corregirlos, borrarlos, llevártelos, limitar su tratamiento u oponerte a él. La forma más rápida de borrarlo todo es eliminar la cuenta desde la app. Para lo demás, escribe a [email protected] y te responderemos en un plazo máximo de un mes.

Si crees que no hemos atendido bien tu solicitud, puedes reclamar ante la Agencia Española de Protección de Datos en aepd.es o ante la autoridad de protección de datos de tu país de residencia.

8. Cambios en esta política

Si cambia lo que hacemos con tus datos, actualizaremos esta página y su fecha. Si el cambio es importante, también lo avisaremos en la app antes de que se aplique.