Política de privacidad

1. Responsable del tratamiento

Jon Zubizarreta, con NIF 72601799E y domicilio en Iñaki Azpiazu 28 3A. Correo de contacto para todo lo relacionado con tus datos: soporte@story256.com.

2. Qué datos tratamos en el sitio web

El sitio web se puede visitar sin cuenta y sin cookies. Tratamos:

• Lista de espera de la beta: tu correo electrónico, si has marcado la casilla de la newsletter (y cuándo), desde qué página te apuntaste (portada o fundadores) y el idioma de la página. Solo si te apuntas.
• Límite de altas: para evitar abusos guardamos durante una hora un resumen (hash con sal) de la dirección IP desde la que se envía el formulario. No se puede recuperar la IP a partir de él y no se cruza con los correos.
• Aviso interno: cada alta nueva se anuncia (correo, idioma y origen) en un canal privado del equipo en Discord, para gestionar las invitaciones a la beta.
• Medición de audiencia: usamos Vercel Web Analytics y Speed Insights, que no usan cookies ni identificadores persistentes. Vercel calcula en su red un identificador que cambia cada día a partir de la IP y del navegador y solo nos entrega cifras agregadas (páginas vistas, país, tipo de dispositivo, eventos como «alta en la lista» sin el correo).
• Preferencias de la página: tu elección de tema (tinta o papel) e idioma se guarda en el almacenamiento local de tu navegador. No sale de tu dispositivo y no sirve para identificarte.
• Fuentes: la página carga las tipografías desde Google Fonts, así que tu navegador envía a Google la petición de las fuentes (con tu dirección IP) como con cualquier recurso web.

3. Qué datos tratamos en la aplicación

Cuenta e identidad:

• Dirección de correo electrónico (para crear la cuenta y verificarla con un código; no la mostramos a nadie).
• Nombre de usuario y, si la subes, foto de perfil. Ambos son públicos.
• Un identificador interno de cuenta.

Contenido y actividad (lo que haces en Story256):

• Los fragmentos que publicas, las historias que creas (título, idioma, categorías, portada, marca «18+») y las bifurcaciones que abres, con su fecha; los personajes, objetos y lugares que creas y las imágenes que subes.
• Corazones (votos) que das, historias y personas que sigues, colas a las que te unes, reportes que envías y personas a las que bloqueas.
• Cuota gastada cada día, racha, logros, zona horaria del dispositivo, idiomas de lectura, preferencia «mostrar historias 18+» y preferencias de avisos.
• Última lectura de cada historia que sigues (para mostrarte qué hay nuevo) y aperturas de historias, con un identificador de instalación, para saber qué se lee y de dónde llega la gente.

Compras:

• Estado de tu suscripción o compra (plan, fecha de renovación o caducidad, identificador de la transacción de la tienda) y qué pantalla de planes has abierto o comprado. Nunca vemos tu tarjeta ni tus datos bancarios: el pago lo hace Apple, Google o el proveedor de pago web.

Dispositivo y notificaciones:

• Si aceptas recibir notificaciones, un token push del dispositivo (un identificador que permite enviarle avisos) y la plataforma (iOS/Android).
• Datos técnicos de la sesión: dirección IP, tipo de dispositivo y sistema operativo, versión de la aplicación, idioma. Los usamos para seguridad y para que la aplicación funcione.

Diagnóstico y rendimiento:

• Informes de error (traza técnica, pantalla en la que ocurrió, modelo de dispositivo, sistema, versión de la aplicación y un identificador de instalación) y métricas de rendimiento (tiempo de arranque, tiempo de carga de cada pantalla, versión). No incluyen el texto que escribes.

En la aplicación web usamos solo almacenamiento técnico del navegador (sesión, si ya has visto la presentación inicial). No usamos cookies de publicidad ni de terceros.

4. Para qué y con qué base legal

• Gestionar la lista de espera y enviarte la invitación a la beta. Base: tu solicitud (medidas previas a un contrato) y tu consentimiento al apuntarte, que puedes retirar pidiéndonos que te borremos.
• Enviarte la newsletter. Base: tu consentimiento, que das marcando la casilla y retiras con el enlace de baja de cualquier correo.
• Prestar el servicio: crear y mantener tu cuenta, publicar y mostrar tus fragmentos, gestionar cuotas, colas, racha, logros y seguimientos, y procesar tus compras. Base: ejecución del contrato (los Términos de uso).
• Enviarte notificaciones sobre tu actividad (te toca escribir, han bifurcado tu fragmento, corazones, actividad en historias que sigues) y recordatorios diarios. Base: tu consentimiento, que das al aceptar el permiso del sistema y que puedes retirar en Perfil o en los ajustes del dispositivo.
• Moderar el contenido, atender reportes, aplicar bloqueos, prevenir el abuso (cuentas duplicadas, manipulación de la zona horaria o de las colas, altas masivas en la lista de espera) y proteger la seguridad del servicio. Base: interés legítimo en mantener un servicio seguro y cumplir las obligaciones que nos imponen las tiendas de aplicaciones.
• Medir la audiencia del sitio web y el rendimiento de la aplicación, y detectar y corregir errores. Base: interés legítimo en saber si la web y la aplicación funcionan, con datos agregados o limitados a lo técnico.
• Responder a tus consultas y ejercicios de derechos. Base: obligación legal y ejecución del contrato.
• Cumplir obligaciones legales (por ejemplo, requerimientos de autoridades o facturación). Base: obligación legal.

No tomamos decisiones automatizadas con efectos jurídicos sobre ti. La retirada automática de un fragmento con tres reportes es una medida provisional de moderación que revisa una persona.

5. Qué es público

Story256 es un espacio de escritura pública. Cualquiera, con o sin cuenta, y también a través de enlaces compartidos, imágenes compartidas y la web, puede ver:

• Tus fragmentos, con tu nombre de usuario y tu foto de perfil, y la fecha de publicación.
• Las historias que creas (con su portada) y las bifurcaciones que abres; los personajes, objetos y lugares que creas.
• Tu perfil público: nombre, foto, número de fragmentos, historias, bifurcaciones y corazones recibidos, y cuántas personas te siguen y a cuántas sigues.
• Tu posición en el ranking, si estás entre los primeros.
• El número de corazones de cada fragmento y el número de personas en cada cola (no quién ha votado ni quién está en la cola).

No es público: tu correo, tu plan, tu zona horaria, tu racha, tus idiomas, tus preferencias, a quién has bloqueado, qué has reportado, qué has votado, qué entidades has marcado como favoritas ni qué historias sigues.

Ten en cuenta que los fragmentos no se pueden editar ni borrar una vez publicados (son eslabones de una historia colectiva). Si eliminas la cuenta se desvinculan de ti (apartado 8).

6. Con quién compartimos los datos

No vendemos tus datos ni los cedemos a anunciantes. Para prestar el servicio usamos proveedores que tratan datos en nuestro nombre y bajo contrato (encargados del tratamiento):

• Supabase (base de datos, funciones de servidor y tiempo real): aloja todos los datos de la aplicación y la lista de espera. Servidores en la Unión Europea.
• Clerk (autenticación): gestiona el registro, el correo electrónico, el código de verificación, el nombre de usuario y la foto de perfil. Estados Unidos.
• RevenueCat (suscripciones): gestiona el estado de tus compras a partir de los recibos de Apple, Google o del pago web, identificado por tu identificador de cuenta. Estados Unidos.
• Apple (App Store) y Google (Google Play): procesan los pagos según sus propias políticas de privacidad; nosotros no recibimos tus datos de pago.
• Expo (EAS): envía las notificaciones push a través de su servicio (Expo Push, que a su vez usa Apple Push Notification service y Firebase Cloud Messaging de Google), distribuye actualizaciones de la aplicación y recoge métricas anónimas de arranque y rendimiento (EAS Insights y EAS Observe). Estados Unidos.
• Sentry (informes de error): recibe los informes de diagnóstico descritos en el apartado 3. Estados Unidos o Unión Europea según la configuración del proyecto.
• Vercel (alojamiento del sitio web y medición de audiencia): sirve las páginas desde su red de distribución y nos da las cifras agregadas descritas en el apartado 2. Estados Unidos, con puntos de presencia en la Unión Europea.
• Discord (aviso interno de altas en la lista de espera): recibe el correo, el idioma y el origen de cada alta en un canal privado del equipo. Estados Unidos.
• Google Fonts (tipografías del sitio web): recibe la petición de las fuentes desde tu navegador. Google Ireland Ltd. / Google LLC.

También podemos comunicar datos a autoridades cuando la ley nos obligue, y a las tiendas de aplicaciones en el marco de sus procesos de revisión y seguridad.

7. Transferencias internacionales

Algunos de los proveedores anteriores tratan datos en Estados Unidos. Esas transferencias se amparan en el Marco de Privacidad de Datos UE-EE. UU. cuando el proveedor está certificado y, en todo caso, en las cláusulas contractuales tipo aprobadas por la Comisión Europea, con las medidas adicionales que correspondan.

8. Cuánto tiempo conservamos los datos

• Lista de espera: hasta que te invitemos y crees tu cuenta, hasta que nos pidas que te borremos o, como mucho, hasta seis meses después del final de la beta. El resumen de la IP se borra a la hora. Los avisos de Discord se borran al cerrar la beta.
• Newsletter: mientras no te des de baja.
• Datos de la cuenta y actividad: mientras la cuenta exista.
• Al eliminar la cuenta (Perfil → «eliminar cuenta», o por correo) borramos el correo, el nombre de usuario, la foto, la racha, la zona horaria, los idiomas, las preferencias, los votos, los seguimientos, las colas, los avisos, los bloqueos y los tokens push, y la cuenta desaparece del proveedor de autenticación. Los fragmentos se conservan de forma anónima, firmados como «cuenta eliminada», porque forman parte de las historias de otras personas.
• Reportes: se conservan de forma anónima como registro de moderación.
• Aperturas de historias y eventos de la pantalla de planes: hasta 180 días.
• Registros de compra: el tiempo que exija la legislación fiscal y de consumo.
• Informes de error y métricas: hasta 90 días.
• Copias de seguridad de la base de datos: hasta 30 días, tras los cuales el borrado es definitivo.

9. Tus derechos

Puedes ejercer en cualquier momento tus derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, y retirar el consentimiento que hayas dado (por ejemplo, para la newsletter o las notificaciones) sin que ello afecte a lo tratado hasta entonces.

Escríbenos a soporte@story256.com desde el correo con el que te apuntaste o creaste la cuenta (o indicando tu nombre de usuario). Responderemos en el plazo de un mes. Muchas cosas puedes hacerlas directamente en la aplicación: cambiar tu nombre o tu foto, tus idiomas, tus preferencias de avisos y eliminar la cuenta desde Perfil.

Si crees que no hemos atendido correctamente tus derechos puedes reclamar ante la Agencia Española de Protección de Datos:

www.aepd.es

10. Menores

Story256 no está dirigido a menores de 14 años y no permitimos que creen una cuenta ni que se apunten a la lista de espera. Si tienes constancia de que un menor de 14 años lo ha hecho, escríbenos y borraremos sus datos.

11. Seguridad

Los datos viajan cifrados (TLS) y se almacenan en proveedores con certificaciones de seguridad reconocidas. El acceso a la base de datos está limitado por reglas por usuario: cada cuenta solo puede leer sus propios datos privados. El acceso administrativo está restringido y registrado. Ningún sistema es infalible; si detectamos una brecha que afecte a tus datos te informaremos y lo notificaremos a la autoridad conforme a la ley.

12. Cambios en esta política

Si cambiamos esta política de forma relevante (por ejemplo, un nuevo proveedor o una nueva finalidad), te lo indicaremos en la aplicación o por correo antes de que entre en vigor. La fecha de la última versión aparece al principio de esta página.