Política de privacidad

Última actualización: 28 de octubre de 2026

Este texto es una traducción del original húngaro, que prevalece si ambos difieren.

Esta política explica, conforme al artículo 13 del Reglamento General de Protección de Datos de la UE (RGPD), cómo tratamos tus datos en cloud-apps.net, en sus aplicaciones (funcionan en subdominios de cloud-apps.net, como sudoku.cloud-apps.net) y en el portal para desarrolladores developers.cloud-apps.net. Las cookies y los datos guardados en tu dispositivo se explican en detalle en la Política de cookies.

1. Quién trata tus datos

El responsable del tratamiento es quien gestiona cloud-apps.net: un particular establecido en Hungría, para quien es un proyecto personal hecho por afición («nosotros» en esta política):

• Nombre: Bence Berényi
• Correo electrónico: [por completar: operator.email]

No hemos designado un delegado de protección de datos, porque no estamos obligados a ello. Para cualquier pregunta sobre privacidad, escríbenos a la dirección de correo anterior.

2. Qué datos tratamos, por qué y durante cuánto tiempo

A continuación describimos, para cada tratamiento, qué datos tratamos, con qué fin, con qué base jurídica y durante cuánto tiempo. No usamos ningún dato para publicidad ni para elaborar perfiles, ni para tomar decisiones automatizadas que produzcan efectos jurídicos sobre ti.

2.1 Tu cuenta

• Datos: tu dirección de correo electrónico; tu nombre visible (hasta 40 caracteres); un hash scrypt de tu contraseña (nunca guardamos la contraseña en sí); tu idioma; cuándo te registraste; si confirmaste tu dirección de correo; quién te invitó (si alguien lo hizo); qué versión de las condiciones aceptaste y cuándo; cuándo iniciaste sesión y cambiaste la contraseña por última vez; el estado de la cuenta (por ejemplo, si la hemos suspendido); si tienes acceso de desarrollador; y si eres probador. A los probadores los elegimos nosotros: pueden ver y abrir también las aplicaciones que aún están en desarrollo, ocultas para todos los demás.
• Finalidad: gestionar tu cuenta: el inicio de sesión, tu acceso y la comunicación contigo.
• Base jurídica: ejecución de un contrato (artículo 6.1.b) del RGPD). Sin una dirección de correo, un nombre y una contraseña (o el inicio de sesión con Google) no podemos abrir una cuenta.
• Plazo: hasta que elimines tu cuenta. La eliminación en la base de datos activa es inmediata; de las copias de seguridad, los datos desaparecen en un plazo de unos 6 meses (véase Copias de seguridad).

2.2 Inicio de sesión con Google

Si eliges «Continuar con Google», guardamos estos datos de Google: el identificador de tu cuenta de Google, tu dirección de correo, si Google ha verificado esa dirección y tu nombre. Por el permiso profile que pedimos, Google también nos envía tu foto de perfil y tu idioma, pero los descartamos. No tenemos acceso a tus contactos.

Si te registras con Google, tu cuenta solo se crea cuando has indicado tu nombre visible y has aceptado las condiciones. Hasta entonces, los datos de Google esperan junto al registro sin terminar.

Si aquí ya existe una cuenta con la dirección de correo de tu cuenta de Google, solo las conectamos si lo confirmas con un enlace que enviamos a esa dirección.

Google responde de su propio tratamiento como responsable independiente (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlanda). Inicias sesión en la propia página de Google, donde se aplica su política de privacidad.

• Base jurídica: ejecución de un contrato (artículo 6.1.b) del RGPD); eres tú quien elige esta forma de iniciar sesión.
• Plazo: hasta que elimines tu cuenta. Los datos de un registro sin terminar esperan como máximo 30 minutos y después se borran en un plazo de 7 días.

2.3 Sesiones

Para mantener tu sesión iniciada, guardamos un token aleatorio en tu navegador (en la cookie __Host-ca_sid); nosotros solo conservamos su hash. Junto a él registramos el navegador y el sistema operativo de tu dispositivo (user agent), cuándo se creó la sesión y cuándo la usaste por última vez.

• Finalidad: mantener tu sesión iniciada y poder reconocer un inicio de sesión desde un dispositivo desconocido.
• Base jurídica: ejecución de un contrato (artículo 6.1.b) del RGPD); para los datos de seguridad, nuestro interés legítimo en proteger las cuentas (artículo 6.1.f) del RGPD).
• Plazo: 60 días, que se renuevan mientras la uses. Si al iniciar sesión desactivas «Mantener la sesión en este dispositivo», solo hasta que cierres el navegador, y como máximo 1 día. Al cerrar sesión, la sesión termina.

2.4 Protección del inicio de sesión

Para impedir que alguien vaya probando contraseñas, contamos los intentos fallidos de inicio de sesión por dirección de correo y por dirección IP.

• Base jurídica: nuestro interés legítimo en la seguridad de las cuentas y del servicio (artículo 6.1.f) del RGPD).
• Plazo: hasta 24 horas.

2.5 Historial de inicios de sesión

En cada inicio de sesión registramos la hora, el método (contraseña, Google o un enlace recibido por correo), la parte de red de tu dirección IP y tu navegador. De la dirección IP solo se conserva la parte de red (los tres primeros números de una dirección IPv4, los primeros 48 bits de una IPv6), nunca la dirección completa. Puedes ver tus inicios de sesión recientes en la página de tu cuenta. Con este historial también elaboramos totales diarios anónimos, como cuántos inicios de sesión hubo en un día.

• Finalidad: proteger tu cuenta, para que tanto tú como nosotros podamos detectar inicios de sesión sospechosos.
• Base jurídica: nuestro interés legítimo en la seguridad de las cuentas (artículo 6.1.f) del RGPD).
• Plazo: 90 días.

2.6 Correos electrónicos

Solo enviamos los correos que necesita tu cuenta: la confirmación de tu dirección, el restablecimiento de la contraseña, la confirmación de la conexión con una cuenta de Google y, quizá más adelante, avisos importantes sobre el servicio. No enviamos boletines ni publicidad.

Los enlaces de estos correos solo funcionan una vez y caducan: el de confirmación de la dirección a las 48 horas, el de restablecimiento de la contraseña a la hora y el de conexión con Google a los 30 minutos. Solo conservamos un hash de cada enlace, y también lo borramos 7 días después de que caduque. Los correos los entrega nuestro encargado del tratamiento, Brevo (véase el punto 3).

Brevo añade a cada correo un píxel de seguimiento y hace pasar los enlaces por su propio servidor; con nuestro plan, esto no se puede desactivar. Por eso hemos configurado este seguimiento como anónimo: Brevo solo cuenta las aperturas y los clics como totales anónimos, sin direcciones de correo, identificadores de mensaje ni enlaces pulsados en sus registros, y sin nada vinculado a ti. Nosotros nunca usamos estas cifras.

• Base jurídica: ejecución de un contrato (artículo 6.1.b) del RGPD).
• Plazo: los hashes de los enlaces, hasta 7 días después de que caduquen.

2.7 Datos de las aplicaciones

Guardamos tus aplicaciones favoritas, las aplicaciones que abriste hace poco (puedes borrar esta lista en la pantalla de inicio en cualquier momento) y los documentos sincronizados de las aplicaciones, por ejemplo tu progreso en los juegos y tus ajustes. Cada documento puede ocupar hasta 256 KB, con un máximo de 32 por aplicación. Para la sincronización guardamos también cuándo se modificó un documento y un identificador aleatorio de tu dispositivo, para poder combinar los cambios que llegan de distintos dispositivos.

• Base jurídica: ejecución de un contrato (artículo 6.1.b) del RGPD).
• Plazo: hasta que elimines tu cuenta; mientras juegas, la aplicación puede sobrescribir sus documentos. Si quieres que borremos por separado los datos de una aplicación, escríbenos.

2.8 Amigos e invitaciones

Guardamos quién es amigo de quién y desde cuándo, y tus invitaciones: un hash del enlace (no el enlace en sí), cuándo caduca (a los 14 días, de forma predeterminada), cuántas veces y quién lo ha usado, y la nota, si escribiste una (aparte de ti, solo la vemos nosotros, para la administración). Si alguien se registra con tu invitación, anotamos en su cuenta que le invitaste tú. Tus amigos ven tu nombre visible, desde cuándo sois amigos y, si la tienes, tu insignia de colaborador (véase 2.12). Quien abre el enlace de tu invitación también ve tu nombre visible.

• Base jurídica: ejecución de un contrato (artículo 6.1.b) del RGPD).
• Plazo: hasta que elimines la amistad o la invitación, la invitación caduque o se elimine la cuenta.

2.9 Clasificaciones

Algunos juegos guardan en tu cuenta tu mejor puntuación en cada clasificación: la aplicación, la clasificación, la puntuación y cuándo la conseguiste. Tus puntuaciones solo las veis tú y tus amigos directos, junto con tu nombre visible y, si la tienes, tu insignia de colaborador (véase 2.12); no hay clasificaciones públicas. Tus puntuaciones también se incluyen en el archivo de «Descargar mis datos».

• Base jurídica: ejecución de un contrato (artículo 6.1.b) del RGPD).
• Plazo: hasta que elimines tu cuenta; se borran junto con ella.

2.10 Estadísticas de uso: solo con tu consentimiento

Si das tu consentimiento y has iniciado sesión, registramos qué aplicación usaste cada día: la hora de tu primera y tu última actividad de ese día, cuántas veces la abriste y, aproximadamente, durante cuántos minutos estuvo en uso. Así sabemos qué aplicaciones gustan y en qué merece la pena trabajar. Solo con tu consentimiento contamos también cuántas veces en total abriste las aplicaciones que usaste hace poco; la propia lista de aplicaciones abiertas recientemente forma parte de la pantalla de inicio y no necesita consentimiento (véase 2.7).

Tu consentimiento se da por navegador: vale en el navegador en el que lo diste. Sin tu consentimiento no registramos nada de esto.

• Base jurídica: tu consentimiento (artículo 6.1.a) del RGPD y artículo 155, apartado 4, de la Ley húngara C de 2003 de comunicaciones electrónicas, Eht.).
• Plazo: los registros diarios, 90 días vinculados a tu cuenta. Después solo quedan los totales diarios (por ejemplo, cuántas personas usaron una aplicación), con los que no se puede identificar a nadie. El número total de aperturas se borra junto con la lista de aplicaciones abiertas recientemente.
• Retirada: en cualquier momento, en «Ajustes de cookies»: en el pie de página de cloud-apps.net, en el menú de la cuenta de cualquier aplicación o en la página de tu cuenta. Entonces dejamos de registrar en ese navegador y, si has iniciado sesión, también borramos las estadísticas recogidas hasta entonces para tu cuenta. La retirada no afecta a la licitud del tratamiento anterior.

2.11 Registro de tu consentimiento

Para poder demostrar qué elegiste y cuándo, registramos tu elección, su hora, un identificador aleatorio del consentimiento, el identificador de tu cuenta (si has iniciado sesión) y qué versión de la Política de cookies estaba vigente en ese momento.

• Base jurídica: obligación legal: debemos poder demostrar el consentimiento (artículos 6.1.c) y 7.1 del RGPD).
• Plazo: 18 meses. Si eliminas tu cuenta, el identificador de la cuenta también se borra del registro.

2.12 Donativos e insignia de colaborador

Los donativos voluntarios los gestiona PayPal (PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburgo), que responde del pago como responsable independiente, conforme a su propia declaración de privacidad. Nunca vemos los datos de tu tarjeta ni de tu cuenta de PayPal, y no tratamos ningún otro dato de pago. Como en cualquier pago con PayPal, PayPal muestra a quien lo recibe —es decir, a nosotros—, en nuestra cuenta de PayPal, el nombre y la dirección de correo de quien dona, el importe y la hora; solo usamos estos datos para gestionar los donativos (por ejemplo, si hubo algún problema con un pago).

En la página de apoyo, el botón de donativos de PayPal se muestra dentro de un marco. El script y la imagen del botón solo se cargan en esa página, desde los servidores de PayPal (www.paypalobjects.com), por lo que PayPal recibe tu dirección IP y los datos de tu navegador, como en cualquier petición web.

Después de donar, PayPal te devuelve a /donation/thank-you con el identificador, el importe, la moneda y el estado de la transacción en la dirección. Si has iniciado sesión, guardamos estos datos en tu cuenta para que reciba la insignia de colaborador (un corazón), y podemos comprobar la transacción con PayPal enviándole su identificador. De la respuesta de PayPal solo conservamos el estado, el importe y la moneda del pago; el resto, como el nombre y la dirección de correo de quien dona, lo descartamos. Si no has iniciado sesión, no se guarda nada en el servidor: tu navegador conserva la solicitud pendiente en sessionStorage (dash.support), y solo pasa a tu cuenta si inicias sesión en esa pestaña (véase la Política de cookies).

La insignia es simbólica y no da ninguna ventaja. Se ve en la página de tu cuenta y la ven tus amigos (en la lista de amigos y en las clasificaciones de los juegos); ellos no ven el importe ni los datos de la transacción. También podemos dar la insignia a mano y retirarla si un donativo no es auténtico.

• Datos: el identificador, el importe, la moneda y el estado de la transacción; si PayPal la ha confirmado; cuándo recibiste la insignia; y, si la dimos a mano o la retiramos, ese hecho y cuándo ocurrió.
• Base jurídica: para la insignia, ejecución de un contrato (artículo 6.1.b) del RGPD): la pides al donar con la sesión iniciada o al iniciar sesión después de donar. Para cargar el botón de PayPal y para lo que vemos en nuestra cuenta de PayPal, nuestro interés legítimo en recibir y gestionar los donativos de forma segura a través de PayPal (artículo 6.1.f) del RGPD).
• Plazo: los datos de la insignia, hasta que elimines tu cuenta (aunque hayamos retirado la insignia); se borran junto con ella. Lo que vemos en nuestra cuenta de PayPal se conserva allí según las normas de PayPal.

2.13 Opiniones

Si cancelas un donativo, PayPal te devuelve a /donation/cancel. Allí, si quieres, puedes contarnos por qué: puedes elegir un motivo de una lista fija y escribir también un mensaje breve (hasta 1000 caracteres). Si has iniciado sesión, guardamos tu opinión vinculada a tu cuenta; si no, de forma anónima, sin cuenta; en ambos casos, con el idioma de la página y la hora. Solo la usamos para mejorar el sitio. Por favor, no incluyas datos personales en el mensaje.

• Base jurídica: nuestro interés legítimo en mejorar el sitio web a partir de las opiniones (artículo 6.1.f) del RGPD). Enviar una opinión es voluntario.
• Plazo: 365 días. Si eliminas tu cuenta mientras tanto, la opinión se conserva, ya sin vínculo con tu cuenta, hasta que se cumplan los 365 días.

2.14 Portal para desarrolladores

Si solicitas acceso de desarrollador, guardamos el mensaje de tu solicitud y la decisión. Como desarrollador aprobado, guardamos también las ideas y especificaciones de aplicaciones que envíes, y las ejecuciones de compilación (cuando una aplicación se crea a partir de una especificación). Para preparar los borradores, enviamos los textos a la inteligencia artificial de Anthropic a través de su API; Anthropic actúa como encargado del tratamiento, por cuenta nuestra (véase el punto 3). Por favor, no incluyas datos personales en los textos que envíes.

• Base jurídica: ejecución de un contrato (artículo 6.1.b) del RGPD).
• Plazo: hasta que nos pidas que los borremos; no se eliminan automáticamente al eliminar tu cuenta. Escríbenos y los borraremos en el plazo de un mes. Las aplicaciones que ya están en funcionamiento siguen publicadas como parte de cloud-apps.net.

2.15 Suspensiones y expulsiones

En caso de abuso (por ejemplo, trampas, acoso, contenidos ilícitos, ataques al servicio o incumplimientos repetidos de las condiciones), podemos suspender una cuenta o expulsar a su titular del servicio (véase el punto 12 de las Condiciones de uso). La suspensión se anota en el estado de la cuenta (véase 2.1). Si expulsamos a alguien, conservamos la dirección de correo de su cuenta y, si la hay, el identificador de la cuenta de Google conectada, con la fecha y el motivo de la expulsión, incluso después de eliminar la cuenta, para que la misma persona no pueda volver a registrarse. En una cuenta suspendida o con expulsión no se puede iniciar sesión: si entonces quieres tus datos o que eliminemos la cuenta, escríbenos.

• Base jurídica: nuestro interés legítimo en proteger el servicio y a sus usuarios (artículo 6.1.f) del RGPD).
• Plazo: hasta que se levante la expulsión.

2.16 Registros del servidor

No llevamos un registro de acceso de cada petición. El servidor y las aplicaciones llevan registros técnicos (de errores y mensajes del sistema), que pueden contener una dirección IP, la dirección solicitada y datos del navegador.

• Finalidad: la seguridad y el funcionamiento del servicio: localizar errores y ataques.
• Base jurídica: nuestro interés legítimo (artículo 6.1.f) del RGPD).
• Plazo: como máximo 14 días.

2.17 Registro de administración y seguridad

Registramos las acciones de administración y las que afectan a la seguridad de las cuentas (por ejemplo, eliminar una cuenta, expulsar a su titular o conectar o desconectar una cuenta de Google) en un registro interno, con identificadores internos y sin direcciones de correo.

• Finalidad: poder comprobar más tarde qué ocurrió y cuándo.
• Base jurídica: nuestro interés legítimo en la rendición de cuentas y la seguridad (artículo 6.1.f) del RGPD).
• Plazo: 2 años.

2.18 Copias de seguridad

Cada noche se hace una copia de seguridad cifrada de la base de datos (con restic), que se guarda fuera de nuestro servidor, en el almacenamiento R2 de Cloudflare. El cifrado se hace en nuestro servidor; Cloudflare no conoce la clave. De estas copias conservamos las últimas 7 diarias, 4 semanales y 6 mensuales. Además, el servidor hace cada día una copia local, que borra a los 7 días.

• Finalidad: poder restaurar el servicio después de un fallo o un ataque.
• Base jurídica: nuestro interés legítimo en la seguridad y la recuperabilidad de los datos (artículo 6.1.f) del RGPD).
• Plazo: las copias externas, hasta unos 6 meses; las copias locales, 7 días. Por eso, los datos eliminados desaparecen también de las copias de seguridad en un plazo de unos 6 meses.

3. Quién tiene acceso a tus datos

Nunca vendemos tus datos, y solo se los comunicamos a los proveedores (encargados del tratamiento) necesarios para prestar el servicio. Los tratan por cuenta nuestra y solo en la medida en que lo necesita su tarea:

• DA International Group Ltd. (AlphaVPS) (alojamiento): aloja nuestro servidor, situado en Núremberg, Alemania. Dirección: 8 Asen Yordanov Blvd., Sofía, Bulgaria.
• Google Ireland Limited (Irlanda): el DNS del dominio, en Google Cloud DNS, hasta que pasemos a Cloudflare.
• Cloudflare, Inc. (EE. UU.): el almacenamiento de las copias de seguridad cifradas (R2). Tras el cambio, también el DNS del dominio, la distribución de contenidos y la protección contra ataques DDoS: el tráfico del sitio pasará entonces por la red de Cloudflare, que verá también tu dirección IP y tus peticiones.
• Brevo SAS (correo electrónico): entrega los correos sobre tu cuenta; solo cuenta de forma anónima las aperturas y los clics (véase 2.6). Domicilio social: 9-17 rue Salneuve, 75017 París, Francia.
• Anthropic (para clientes del EEE: Anthropic Ireland, Limited; también puede tratar los datos en EE. UU.): solo en el portal para desarrolladores, prepara borradores a partir de los textos que envíes.

Google, en el inicio de sesión con Google, y PayPal, en los donativos, son responsables independientes (véanse 2.2 y 2.12); cuando comprobamos una transacción con PayPal, le enviamos su identificador. Tus amigos ven tu nombre visible, tus puntuaciones en las clasificaciones y tu insignia de colaborador (véanse 2.8, 2.9 y 2.12), y quien abre el enlace de tu invitación ve tu nombre visible (véase 2.8). Solo comunicamos datos a autoridades o tribunales cuando la ley nos obliga a ello.

4. Transferencias fuera de la Unión Europea

Nuestro servidor y nuestra base de datos están en la Unión Europea (Núremberg, Alemania). Cloudflare es una empresa estadounidense y Anthropic también puede tratar los datos en EE. UU., por lo que los datos que tratan pueden llegar también a Estados Unidos. Estas transferencias están protegidas por garantías adecuadas: el Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework) y/o las cláusulas contractuales tipo adoptadas por la Comisión Europea. PayPal, como responsable independiente, puede transferir datos fuera de la Unión Europea conforme a su propia declaración de privacidad.

5. Cómo protegemos tus datos

• Todas las conexiones van cifradas (TLS).
• Las contraseñas solo se guardan como hashes scrypt, y los tokens (sesiones, invitaciones, enlaces de correo), también solo como hashes.
• La cookie que mantiene tu sesión es HttpOnly: el código que se ejecuta en la página no puede leerla.
• Las copias de seguridad externas están cifradas.
• Administramos el servicio solo desde nuestro propio ordenador, a través de SSH; nunca a través del sitio web.
• Si alguna vez se produce una violación de la seguridad de los datos personales, la notificaremos a la autoridad como exige la ley y, si supone un alto riesgo para ti, también te avisaremos.

6. Tus derechos

• Acceso: puedes saber qué datos tenemos sobre ti y pedir una copia.
• Rectificación: puedes pedirnos que corrijamos los datos inexactos.
• Supresión: puedes pedirnos que borremos tus datos, o eliminar tu cuenta tú mismo.
• Limitación: en algunos casos (por ejemplo, mientras comprobamos un dato discutido) puedes pedirnos que solo conservemos el dato y no lo usemos.
• Portabilidad: puedes obtener tus datos en un formato legible por máquina (JSON).
• Oposición: puedes oponerte al tratamiento basado en el interés legítimo. Entonces lo dejamos, salvo que tengamos un motivo legítimo más fuerte para continuar (por ejemplo, investigar un ataque).
• Retirada del consentimiento: puedes retirar en cualquier momento tu consentimiento para las estadísticas.

Casi todo esto puedes hacerlo tú mismo en la página de tu cuenta: descargar tus datos en un archivo JSON («Descargar mis datos»), eliminar tu cuenta y cambiar tus ajustes de cookies (también puedes hacerlo en el pie de página de cloud-apps.net y en el menú de la cuenta de cualquier aplicación). La lista de aplicaciones abiertas recientemente puedes borrarla en la pantalla de inicio.

Para todo lo demás, escríbenos: [por completar: operator.email]. Te responderemos en el plazo de un mes. Para asegurarnos de que respondemos a la persona correcta, escríbenos desde la dirección de correo de tu cuenta; si no, podemos pedirte que confirmes que eres tú. Ejercer tus derechos es gratuito.

7. Reclamaciones

Si crees que no hemos respetado tus derechos, te recomendamos escribirnos primero: intentaremos resolverlo enseguida. También puedes presentar una reclamación ante la autoridad húngara de protección de datos, la Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH):

• Dirección: 1055 Budapest, Falk Miksa utca 9–11., Hungría
• Dirección postal: 1363 Budapest, Pf. 9., Hungría
• Correo electrónico: ugyfelszolgalat@naih.hu
• Web: naih.hu

Si vives en otro país de la UE, también puedes acudir a la autoridad de protección de datos de ese país (en España, la Agencia Española de Protección de Datos). También puedes acudir a los tribunales; en Hungría, puedes presentar la demanda ante el tribunal regional (törvényszék) de tu lugar de residencia o estancia.

8. Menores

Para abrir una cuenta hay que tener al menos 16 años. Si eres madre, padre o tutor y crees que tu hijo o hija menor de 16 años se ha registrado igualmente, escríbenos y eliminaremos la cuenta.

9. Cambios en esta política

Si la modificamos, actualizamos la fecha que aparece al principio de la página y te mostramos el cambio en tu próxima visita, en cloud-apps.net y en las aplicaciones. Un cambio importante se te aplica cuando lo aceptas; si no lo aceptas, puedes eliminar tu cuenta.