Política de privacidad · Privacy Policy

Shitsumon

Cómo Diego Águila y Felipe Sánchez, los responsables de Shitsumon, tratan tus datos personales cuando usas la app y sus servicios. / How Diego Águila and Felipe Sánchez, who run Shitsumon, handle your personal data when you use the app and its services.

Vigente desde / Effective date: 2026-10-22 Responsables / Controllers: Diego Águila y Felipe Sánchez Contacto / Contact: shitsumon.msoft@gmail.com
Español

Política de privacidad

Esta política explica qué datos recopilan Diego Águila y Felipe Sánchez (en adelante, «nosotros»), responsables de Shitsumon, para qué los usan, con quién los comparten, cuánto tiempo los guardan y cómo puedes ejercer tus derechos. Se aplica a las apps de Shitsumon para Android e iOS, a su servidor y a la web shitsumon.app.

1. Datos que tratamos

  • Cuenta: correo electrónico, nombre de usuario e idioma. Si creas la cuenta con contraseña, guardamos solo su hash (bcrypt), nunca la contraseña. Si entras con Google o Apple, recibimos el identificador de esa cuenta y el correo y el nombre que el proveedor comparte.
  • Juego y perfil: partidas, respuestas, tiempos de respuesta, puntajes, nivel, experiencia, rango, rachas, inventario y moneda del juego, avatar, marco y título (de un catálogo), amigos e invitaciones, y los stickers que envías en partida (de un catálogo cerrado: no hay chat libre). Tu nombre de usuario, avatar y rango son visibles para otros jugadores.
  • Ritual de bienvenida: el género, la época y la obra que eliges de una lista, y el anime favorito que escribes (texto libre).
  • Lo que nos envías: mensajes de feedback y reportes de preguntas. El feedback incluye la versión de la app, el modelo del dispositivo, la versión del sistema, el idioma y, si lo adjuntas, un registro de diagnóstico.
  • Compras: qué compraste, cuándo y el comprobante de la tienda. El pago lo procesan Google Play o App Store; nunca vemos los datos de tu tarjeta.
  • Notificaciones: el token push de tu dispositivo (Firebase Cloud Messaging), la plataforma y el idioma.
  • Seguridad: tu dirección IP llega a nuestros servidores al conectarte. No la guardamos en claro: para limitar abusos en el desafío de invitado y en la lista de espera guardamos solo una huella (hash) de la IP. También guardamos registros de seguridad (inicios de sesión, cambios de contraseña, eliminación de la cuenta) y registros de errores del servidor.
  • Origen de la instalación: al abrir la app por primera vez leemos el Google Play Install Referrer para saber si llegaste por la campaña de un creador. Guardamos solo el creador, la campaña y el canal.
  • Informes de fallos: Firebase Crashlytics está siempre activo. Cuando la app falla, envía la traza del error, el modelo del dispositivo, la versión del sistema y un identificador de instalación de Crashlytics. No lleva tu correo, tu nombre de usuario ni tu identificador de jugador.
  • Telemetría de uso (opcional): solo si la aceptas, Firebase Analytics recibe eventos de pantallas y de juego con un identificador de instancia de la app. No enviamos tu correo ni tu nombre de usuario.
  • Configuración remota: Firebase Remote Config recibe datos técnicos (país, idioma, zona horaria, versión del sistema y un identificador de instancia) para entregar la configuración de la app.
  • Publicidad: la app incluye el SDK de Google Mobile Ads (AdMob) y su herramienta de consentimiento (UMP). Hoy la app no muestra anuncios, pero el SDK se inicia al abrirla, puede leer el ID de publicidad del dispositivo y guarda tu decisión de consentimiento. Si más adelante mostramos anuncios, que sean personalizados dependerá de tu consentimiento.
  • Lista de espera de la web: si te inscribes en shitsumon.app, guardamos tu correo, el idioma, el navegador (user agent) y una huella (hash) de la IP.

No pedimos ubicación precisa, contactos, fotos, cámara ni micrófono. No pedimos fecha de nacimiento.

2. Para qué usamos los datos y con qué base

  • Para darte el servicio (ejecución del contrato que aceptas con los Términos): crear y mantener tu cuenta, operar partidas, rankings, progreso, amigos y recompensas, procesar compras, enviarte los correos de verificación y de cambio de contraseña, y enviarte notificaciones push (puedes desactivarlas en los ajustes del sistema).
  • Para proteger el juego (interés legítimo): prevenir trampas, fraude y abuso, limitar intentos por IP, mantener registros de seguridad y corregir fallos con Crashlytics y los registros de errores del servidor.
  • Para medir y mejorar: la telemetría de Firebase Analytics, solo con tu consentimiento, que puedes retirar en cualquier momento en Sello › Configuraciones › Configuración de Privacidad › Telemetría de juego. La medición de campañas de creadores, el ritual de bienvenida y el feedback se basan en nuestro interés legítimo en mejorar el juego.
  • Publicidad: si se activan anuncios, los personalizados requieren tu consentimiento (lo pide la herramienta UMP de Google).
  • Para cumplir la ley (obligación legal): conservar los registros de compras que exigen las normas contables y tributarias, y atender requerimientos de autoridades.
  • Lista de espera: con tu consentimiento, para avisarte del lanzamiento y de novedades.

No vendemos tus datos ni los usamos para crear perfiles publicitarios propios.

3. Proveedores que tratan datos por nosotros

  • Railway: aloja nuestro servidor y la base de datos.
  • Vercel: aloja la web shitsumon.app.
  • Google Firebase: Authentication (inicio de sesión con Google y Apple), Cloud Messaging (notificaciones push), Crashlytics (informes de fallos), Analytics (telemetría con consentimiento) y Remote Config (configuración).
  • Google Sign-In y Sign in with Apple (en iOS): inicio de sesión con esas cuentas.
  • Google Play Billing, App Store y RevenueCat: compras dentro de la app. RevenueCat recibe tu identificador interno de jugador y los comprobantes de compra.
  • Google AdMob y UMP: SDK de anuncios y de consentimiento. Google puede usar los datos que recoge su SDK para sus propios fines, según su política.
  • Google Play Install Referrer: origen de la instalación.
  • Amazon Web Services (SES): envío de los correos de verificación y de cambio de contraseña.
  • Sentry: registro de errores del servidor (no está en la app). Configurado para no enviar datos personales por defecto, aunque un error puede incluir identificadores internos.

Transferencias internacionales: varios de estos proveedores están en Estados Unidos o tratan datos allí. Usamos proveedores que ofrecen garantías contractuales para esas transferencias (por ejemplo, cláusulas contractuales tipo cuando corresponde).

4. Cuánto tiempo guardamos los datos

  • Los datos de tu cuenta, mientras la cuenta exista.
  • Las sesiones de invitado del primer desafío que nadie reclama se borran a los 7 días.
  • El historial detallado de partidas battle royale y la lista de jugadores recientes, 90 días.
  • Los informes de fallos de Crashlytics, 90 días (los borra Google).
  • La telemetría de Analytics, según el plazo de retención configurado en Google Analytics.
  • Los registros de compras, durante los plazos que exijan las normas contables y tributarias.
  • La lista de espera, hasta que pidas la baja.
  • Las copias de seguridad de la base de datos se sobrescriben en su ciclo normal.

5. Eliminar tu cuenta

Desde la app: pestaña Sello › engranaje de Configuraciones › Zona de peligro › Eliminar cuenta, y confirma con tu contraseña o con Google/Apple. Se aplica en el momento. Sin la app: sigue los pasos de la página de eliminación de cuenta o escríbenos a shitsumon.msoft@gmail.com desde el correo de tu cuenta. Respondemos en 7 días y completamos la eliminación en un máximo de 30 días.

Qué se borra: tu correo y tu nombre de usuario (se reemplazan por un marcador), la contraseña, las cuentas de Google o Apple vinculadas, todas tus sesiones, tus amigos y solicitudes, los tokens push de tus dispositivos, los códigos de verificación pendientes, el anime favorito que escribiste, los datos del dispositivo adjuntos al feedback y la huella de IP del desafío de invitado.

Qué se conserva sin tu nombre ni tu correo (asociado solo a un identificador interno): partidas, respuestas y estadísticas, porque forman parte de las partidas y rankings de otros jugadores; registros de compras y de la moneda del juego, por obligaciones contables y tributarias, reembolsos y prevención de fraude; el texto del feedback y los reportes de preguntas (sin datos del dispositivo; puedes pedir por correo que los borremos); las elecciones del ritual y la campaña de origen; y un registro de seguridad con una huella (hash) de tu correo. Si entraste con Google o Apple, Firebase Authentication guarda un registro técnico del inicio de sesión que borramos si nos lo pides por correo.

6. Tus derechos

Según la ley que te aplique, puedes pedir acceso a tus datos, rectificarlos, eliminarlos, oponerte a un tratamiento o limitarlo, recibir una copia portable y retirar tu consentimiento sin que eso afecte lo hecho antes. Escríbenos a shitsumon.msoft@gmail.com; respondemos en un máximo de 30 días y podemos pedirte que verifiques que eres el titular. Dentro de la app puedes cambiar tu nombre de usuario, activar o desactivar la telemetría y eliminar tu cuenta. También puedes reclamar ante la autoridad de protección de datos de tu país.

7. Menores

Shitsumon no está dirigido a menores de 13 años y los Términos exigen tener al menos 13 años para usarlo. No recopilamos a sabiendas datos de menores de 13. Si eres madre, padre o tutor y crees que un menor de 13 creó una cuenta, escríbenos y la eliminaremos. Si tienes entre 13 años y la mayoría de edad de tu país, usa la app con el permiso de tu madre, padre o tutor cuando la ley lo exija.

8. Seguridad

Toda la comunicación con nuestros servidores va cifrada (HTTPS/TLS). Las contraseñas, los códigos de verificación y los tokens de sesión se guardan como hash. Ningún sistema es infalible: si detectamos una brecha que te afecte, te avisaremos según exija la ley.

9. Cambios

Si cambiamos esta política, actualizaremos la fecha de arriba y, si el cambio es importante, lo avisaremos en la app.

English

Privacy Policy

This policy explains what data Diego Águila and Felipe Sánchez («we»), who run Shitsumon, collect, why, who we share it with, how long we keep it and how you can exercise your rights. It covers the Shitsumon Android and iOS apps, our server and the shitsumon.app website.

1. Data we process

  • Account: email, username and language. For password accounts we store only a bcrypt hash. With Google or Apple sign-in we receive that account's identifier and the email and name the provider shares.
  • Gameplay and profile: matches, answers, response times, scores, level, XP, rank, streaks, inventory and in-game currency, catalog avatar/frame/title, friends and invitations, and catalog stickers sent in matches (there is no free chat). Your username, avatar and rank are visible to other players.
  • Welcome ritual: genre, era and title picked from a list, and the favorite anime you type (free text).
  • What you send us: feedback messages (with app version, device model, OS version, language and an optional diagnostics log) and question reports.
  • Purchases: what you bought, when, and the store receipt. Google Play or the App Store process payment; we never see card details.
  • Notifications: your device push token (Firebase Cloud Messaging), platform and language.
  • Security: your IP address reaches our servers when you connect. We do not store it in plain form: to limit abuse of the guest challenge and the waitlist we store only a hash of it. We also keep security logs (sign-ins, password changes, account deletion) and server error logs.
  • Install source: on first launch we read the Google Play Install Referrer and store only the creator, campaign and channel.
  • Crash reports: Firebase Crashlytics is always on. It sends the stack trace, device model, OS version and a Crashlytics installation ID, but not your email, username or player ID.
  • Usage telemetry (optional): only if you accept, Firebase Analytics receives screen and gameplay events with an app instance ID, without your email or username.
  • Remote configuration: Firebase Remote Config receives technical data (country, language, time zone, OS version, instance ID).
  • Ads: the app includes the Google Mobile Ads (AdMob) SDK and its consent tool (UMP). The app does not show ads today, but the SDK starts with the app, may read the device advertising ID and stores your consent choice. If we show ads in the future, personalization will depend on your consent.
  • Website waitlist: email, language, browser user agent and an IP hash.

We do not request precise location, contacts, photos, camera, microphone or date of birth.

2. Purposes and legal bases

  • Providing the service (contract): account, matches, rankings, progress, friends, rewards, purchases, verification and password emails, and push notifications (you can turn them off in system settings).
  • Protecting the game (legitimate interest): anti-cheat, fraud and abuse prevention, per-IP limits, security logs, Crashlytics and server error logs.
  • Measuring and improving: Firebase Analytics only with your consent, which you can withdraw at any time in Seal › Settings › Privacy Settings › Game telemetry. Creator-campaign measurement, the welcome ritual and feedback rely on our legitimate interest in improving the game.
  • Ads: if ads are enabled, personalized ads require your consent (collected by Google's UMP tool).
  • Legal obligations: keeping purchase records required by accounting and tax rules, and answering lawful requests.
  • Waitlist: your consent.

We do not sell your data.

3. Service providers

Railway (server and database hosting), Vercel (website hosting), Google Firebase (Authentication, Cloud Messaging, Crashlytics, Analytics, Remote Config), Google Sign-In and Sign in with Apple, Google Play Billing, the App Store and RevenueCat (purchases; RevenueCat receives your internal player ID and receipts), Google AdMob and UMP (Google may use data collected by its SDK for its own purposes under its policy), Google Play Install Referrer, Amazon Web Services SES (transactional email) and Sentry (server error tracking, not in the app). Several of them are in, or process data in, the United States; we rely on providers that offer contractual safeguards for those transfers.

4. Retention

Account data while the account exists; unclaimed guest-challenge sessions 7 days; detailed battle royale timelines and recent players 90 days; Crashlytics reports 90 days; Analytics per the Google Analytics retention setting; purchase records for the periods required by accounting and tax law; the waitlist until you unsubscribe; database backups are overwritten on their normal cycle.

5. Deleting your account

In the app: Seal tab › Settings gear › Danger zone › Delete Account, then confirm with your password or Google/Apple. It takes effect immediately. Without the app: follow the account deletion page or email shitsumon.msoft@gmail.com from your account email. We reply within 7 days and complete the deletion within 30 days.

Deleted: email and username (replaced with a placeholder), password, linked Google/Apple accounts, all sessions, friends and requests, device push tokens, pending verification codes, the favorite anime you typed, device details attached to feedback and the guest-challenge IP hash. Kept without your name or email (linked only to an internal ID): matches, answers and stats (part of other players' matches and rankings); purchase and in-game currency records (accounting and tax obligations, refunds, fraud prevention); feedback text and question reports without device details (ask us to delete them); onboarding choices and campaign source; and a security log entry with a hash of your email. If you signed in with Google or Apple, ask us by email to delete the Firebase Authentication sign-in record.

6. Your rights

Depending on the law that applies to you, you can request access, correction, deletion, objection, restriction and a portable copy of your data, and withdraw consent at any time. Email shitsumon.msoft@gmail.com; we answer within 30 days and may ask you to verify you own the account. You can also complain to your local data protection authority.

7. Children

Shitsumon is not directed to children under 13, and the Terms require users to be at least 13. We do not knowingly collect data from children under 13. If you are a parent or guardian and believe a child under 13 created an account, contact us and we will delete it. Users between 13 and the age of majority in their country should have a parent's or guardian's permission where the law requires it.

8. Security

All traffic to our servers is encrypted (HTTPS/TLS). Passwords, verification codes and session tokens are stored hashed. No system is perfect; if a breach affects you, we will notify you as the law requires.

9. Changes

If we change this policy we will update the date above and, for significant changes, notify you in the app.