Política de privacidad

1. Quiénes somos

JDR Ninja es un directorio colaborativo dedicado a creadores y recursos francófonos de juegos de rol, operado por JDR Ninja, trabajador autónomo registrado en Quebec, Canadá.

A efectos de la Ley 25 y del RGPD, JDR Ninja actúa como responsable del tratamiento (RGPD) y como persona que ejerce la máxima autoridad dentro de la empresa a efectos de la protección de los datos personales (Ley 25). Esta misma persona está designada como responsable de la protección de los datos personales (RPRP).

Datos de contacto del RPRP: [email protected]

2. Qué datos recopilamos

2.1 Datos recopilados automáticamente

Cuando consulta el sitio, nuestros servidores registran automáticamente:

• Su dirección IP, conservada temporalmente en los registros de acceso del servidor (14 días).
• Su agente de usuario (tipo de navegador, sistema operativo).
• Las páginas consultadas, las marcas de tiempo de las solicitudes, el código de respuesta HTTP y el tiempo de procesamiento.
• Las cookies esenciales necesarias para el funcionamiento del sitio (véase la sección 8).

2.2 Datos que nos proporciona voluntariamente

Cuando utiliza el formulario de Contacto (para una pregunta, un problema técnico o para proponer un creador), recopilamos:

• Su nombre o seudónimo.
• Su dirección de correo electrónico (obligatoria, utilizada únicamente para responderle).
• La categoría de su solicitud y el contenido de su mensaje.

Esta información no se conserva en nuestra base de datos: su mensaje se transmite directamente a nuestro equipo a través de un canal privado de Discord (Discord Inc., Estados Unidos), donde puede conservarse durante el tiempo necesario para tratar su solicitud. Al enviar el formulario, consiente esta transmisión.

2.3 Datos de cuenta Dojo (si crea una cuenta)

Si crea una cuenta pública en el Dojo, recopilamos:

• Su dirección de correo electrónico (obligatoria, utilizada para la autenticación y las comunicaciones relacionadas con la cuenta).
• Su contraseña, almacenada como un resumen criptográfico irreversible (bcrypt): no tenemos acceso a su contraseña en texto claro.
• Un seudónimo público (nombre mostrado, entre 3 y 30 caracteres, alfanumérico).
• Un nombre mostrado opcional.
• La fecha y hora de creación de la cuenta.

Si decide conectarse mediante un proveedor externo (Google, Microsoft, Discord, Twitch o Facebook), ese proveedor nos transmite su dirección de correo electrónico y su nombre de perfil. No se almacena ningún otro dato procedente del proveedor. La conexión mediante proveedor externo es totalmente opcional; siempre puede crear una cuenta con una dirección de correo electrónico y una contraseña.

2.4 Datos de « Encontrar una mesa »

Si publica un anuncio o postula a un anuncio mediante la funcionalidad Encontrar una mesa, también recopilamos:

• El contenido del anuncio: título, descripción corta y larga, sistema de juego, idioma, disponibilidad, nivel de experiencia, formato de partida, número de plazas abiertas.
• Una localización pública opcional (sector, ciudad, región, país), destinada a mostrarse a todos los visitantes.
• Una localización privada opcional (etiqueta de lugar, latitud y longitud, identificador de lugar), utilizada únicamente para calcular la distancia durante una búsqueda por radio. Estos campos nunca se muestran públicamente y solo son visibles para usted y para el equipo de moderación. Puede decidir compartir la dirección precisa en la conversación privada con un/a candidato/a una vez aceptada su candidatura. Cuando introduce una dirección mediante el autocompletado Google Places en el formulario de creación o modificación de anuncio, su entrada parcial se transmite a los servidores de Google LLC (Estados Unidos) para ofrecer sugerencias; ninguna otra página del sitio carga un script de Google Places.
• El contenido de las candidaturas que envía (mensaje de presentación, respuestas a preguntas personalizadas). Este contenido solo es visible para el organizador o la organizadora del anuncio correspondiente y para el equipo de moderación.
• El contenido de los mensajes intercambiados en conversaciones privadas abiertas tras una candidatura. Visible únicamente para ambas partes y para el equipo de moderación en caso de denuncia.
• Los bloqueos que establece (a quién bloqueó y por qué).
• Las denuncias que envía (objetivo, motivo, detalles opcionales, huella criptográfica HMAC-SHA256 de su dirección IP, agente de usuario, con fines de auditoría antiabuso).

Los correos electrónicos de notificación enviados en el marco de esta funcionalidad (nueva candidatura, conversación abierta, nuevo mensaje, candidatura no retenida) son deliberadamente genéricos: nunca contienen el título del anuncio, el contenido de un mensaje, sus respuestas a una pregunta ni ningún dato de contacto. Debe iniciar sesión en el sitio para consultar los detalles.

2.5 Datos de « Planificar una partida »

Si crea una encuesta de disponibilidad o responde a la de otra persona mediante la herramienta Planificar una partida, también recopilamos:

• El contenido de la encuesta: título, descripción opcional, franjas propuestas, zona horaria, fecha de cierre.
• Las direcciones de correo electrónico de las personas que invita, así como el nombre que les asigna en la cuadrícula. Ese nombre se muestra a todo el grupo; la dirección, en cambio, nunca es visible para los demás participantes y nunca sirve para enviar nada: no se envía ningún correo electrónico a las personas invitadas. Solo sirve para reconocer su cuenta a su llegada, y se borra en cuanto la persona abre la encuesta.
• Una libreta de direcciones personal asociada a su cuenta, alimentada automáticamente por las encuestas que crea, así como los grupos de participantes que guarda. Contienen las direcciones de correo electrónico de terceras personas, que pueden no tener una cuenta con nosotros. Una entrada se convierte en una simple referencia a una cuenta, y su dirección se borra, en cuanto la persona afectada abre una de sus encuestas. Puede eliminar estas entradas en cualquier momento desde Mis contactos y Mis grupos, y se eliminan junto con su cuenta.
• Sus respuestas (sí, quizás, no) en cada franja, visibles para los demás participantes de la encuesta.
• La dirección del webhook de Discord que decide guardar. Está cifrada en nuestra base de datos, nunca se vuelve a mostrar en texto claro y solo aparece enmascarada en la interfaz.

Si asocia un webhook a una encuesta, el tablero de respuestas (nombres mostrados y disponibilidad, nunca las direcciones de correo electrónico) se publica y se mantiene actualizado en el canal de Discord que usted haya designado. Ese canal está fuera de nuestro control: una vez publicado un mensaje, podemos modificarlo mientras exista, pero no podemos retirarlo del historial ni de las copias que hayan hecho sus miembros.

2.6 Extensión de Twitch « JDR Ninja Atlas »

Los streamers que utilizan el Atlas pueden mostrar su campaña en su canal de Twitch mediante la extensión « JDR Ninja Atlas » (panel y overlay de vídeo). Cuando ve un canal que ha activado esta extensión, esta no instala ninguna cookie, no escribe nada en el almacenamiento local de su navegador y no integra ninguna herramienta de medición de audiencia. Para mostrar la campaña, consulta nuestros servidores con el token que Twitch le entrega; nosotros verificamos ese token y solo leemos de él el identificador del canal, para localizar la emisión que debe mostrarse. Nunca le pedimos que comparta su identidad de Twitch, y no conservamos ni el identificador de espectador (ni siquiera el anonimizado), ni su rol en el canal, ni el propio token. Estas solicitudes están sujetas a los mismos registros de acceso que el resto del sitio (véase 2.1). La extensión muestra únicamente el contenido que el streamer ha decidido publicar: no recibimos ni el chat, ni la lista de espectadores, ni ningún otro dato procedente de Twitch.

Si usted es streamer y vincula su canal a su cuenta desde el Atlas, Twitch nos transmite, con su autorización, el identificador de su canal, su nombre de usuario de Twitch, su nombre mostrado, su dirección de correo electrónico y la dirección de su imagen de perfil. El token de acceso de Twitch se utiliza únicamente en memoria para leer esos datos y después se descarta: nunca se guarda. Este vínculo se conserva hasta que usted desvincule el canal desde el Atlas, y se elimina junto con su cuenta.

2.7 Lo que no recopilamos

• Ningún boletín informativo, por lo tanto ninguna lista de envío de marketing.
• No se solicita ni trata ningún dato sensible en el sentido de la Ley 25 (origen étnico, opiniones políticas o religiosas, orientación sexual, datos biométricos o de salud).
• Ningún dato de pago: el sitio no ofrece actualmente ninguna transacción comercial.
• Ninguna geolocalización automática: la localización de un anuncio solo se introduce a petición explícita suya, y la búsqueda por radio solo se activa si usted proporciona las coordenadas.

3. Por qué recopilamos estos datos (finalidades)

• Prestar el servicio: mostrar las páginas, gestionar las sesiones de usuarios conectados, prevenir ataques (CSRF, denegación de servicio aplicativa).
• Crear y gestionar su cuenta Dojo: permitirle registrarse, autenticarse (por correo electrónico/contraseña o mediante un proveedor externo), personalizar su seudónimo y acceder a funcionalidades reservadas a miembros.
• Tratar las propuestas de creadores: examinar, validar y, en su caso, publicar un perfil de creador. Contactarle por correo electrónico sobre su propuesta.
• Seguridad y antiabuso: detectar y prevenir envíos maliciosos, correo no deseado y ataques automatizados. Los registros de acceso se consultan puntualmente en caso de incidente.
• Estadísticas de audiencia anonimizadas (únicamente si consiente mediante la banner de cookies): comprender cómo se utiliza el sitio para mejorarlo. Ningún dato individual se utiliza con fines comerciales.
• Cumplimiento legal: conservar las pruebas de consentimiento a las cookies (Ley 25, RGPD) y responder a solicitudes de autoridades competentes cuando la ley lo exija.

4. Base legal del tratamiento

Para los visitantes situados en Quebec y Canadá, nos basamos en el consentimiento (Ley 25 art. 12) para los tratamientos que no son estrictamente necesarios, y en la necesidad para la ejecución del servicio para los tratamientos esenciales.

Para los visitantes situados en la Unión Europea, las bases legales del RGPD son las siguientes:

• Interés legítimo (art. 6.1.f): seguridad del sitio, prevención de abusos, registros técnicos de acceso.
• Ejecución de un contrato (art. 6.1.b): tratamiento de su propuesta de creador cuando nos escribe; creación y gestión de su cuenta Dojo.
• Consentimiento (art. 6.1.a): cookies de analítica y marketing, integraciones de vídeo de terceros (Twitch, YouTube).
• Obligación legal (art. 6.1.c): conservación de pruebas de consentimiento.

5. Encargados del tratamiento y compartición de sus datos

No vendemos, alquilamos ni intercambiamos sus datos personales. Sin embargo, utilizamos encargados técnicos necesarios para el funcionamiento del sitio:

La infraestructura de ejecución de la aplicación (servidor web) también está alojada en Canadá.

Cada uno de estos proveedores está vinculado a nosotros por compromisos contractuales (cláusulas de tratamiento o condiciones de servicio que incorporan las obligaciones legales) que garantizan la confidencialidad, la seguridad y el uso limitado de sus datos para las finalidades descritas.

6. Transferencias fuera de Quebec y fuera de la UE

Para usuarios de Quebec y Canadá (Ley 25 art. 17)

Los datos recopilados en el marco del servicio (base de datos, archivos, registros) se almacenan y tratan en Canadá. No se realiza ninguna transferencia sistemática de sus datos personales fuera de Quebec.

Las excepciones se refieren a las integraciones de terceros que usted activa mediante su consentimiento (Twitch, YouTube, Google Analytics), cuyos servidores se encuentran en Estados Unidos. Al activar estas integraciones mediante la banner de cookies, consiente esta transferencia. Si no lo desea, simplemente rechace estas categorías de cookies.

Si utiliza la conexión mediante un proveedor externo (Google, Microsoft, Discord, Twitch o Facebook), su dirección de correo electrónico y su nombre de perfil transitan por los servidores de ese proveedor en Estados Unidos, en el marco del protocolo de autenticación OAuth 2.0. Esta transmisión solo tiene lugar si usted inicia explícitamente la conexión mediante ese proveedor; no se produce durante una simple consulta del sitio.

Si utiliza el formulario de contacto, la información que introduce (nombre, correo electrónico, mensaje) se transmite a un canal privado de nuestro equipo alojado por Discord Inc. (Estados Unidos). Esta transmisión solo tiene lugar cuando envía voluntariamente el formulario.

Para usuarios de la Unión Europea (RGPD cap. V)

Las transferencias de datos a Canadá se rigen por la decisión de adecuación parcial de la Comisión Europea del 20 de diciembre de 2001 (Decisión 2002/2/CE), que reconoce un nivel de protección adecuado para los organismos comerciales canadienses. Por lo tanto, sus datos están protegidos por un marco comparable al RGPD cuando se tratan en Canadá.

Para las transferencias a Estados Unidos (Twitch, YouTube, Google Analytics, Discord), nos basamos en las cláusulas contractuales tipo de la Comisión Europea y en las medidas adicionales de cifrado y minimización implementadas por estos proveedores.

7. Plazos de conservación

Al término de estos plazos, los datos se eliminan o se anonimizan de forma irreversible. Un dato anonimizado ya no se considera un dato personal.

8. Cookies y rastreadores

Utilizamos cookies para garantizar el funcionamiento del sitio y, sujeto a su consentimiento, para mediciones de audiencia y la integración de contenidos de terceros.

Categorías de cookies

• Cookies esenciales (siempre activas): necesarias para el funcionamiento del sitio. Incluyen la cookie de autenticación (ninja_auth) para las cuentas Dojo y Sanctum, el token de protección contra falsificación de solicitudes (.AspNetCore.Antiforgery.) y la cookie de correlación OAuth (.AspNetCore.Correlation.) depositada temporalmente durante una conexión mediante proveedor externo. No se requiere consentimiento para estas cookies.
• Cookies de analítica (consentimiento requerido): medición de audiencia anonimizada si está activada. Desactivadas por defecto.
• Cookies de contenido de terceros (consentimiento requerido): depositadas por Twitch y YouTube cuando carga un reproductor de vídeo integrado. Desactivadas por defecto.

Almacenamiento local

Además de las cookies, se guarda un valor en el almacenamiento local de su navegador cuando acepta las cookies de analítica:

• jdrn_cp (consentimiento requerido): contiene únicamente una fecha. Nos sirve para enviar una sola vez al día la medición descrita a continuación, en lugar de hacerlo en cada página. Este valor se borra en cuanto retira su consentimiento a la analítica.

Medición de visualización

Para adaptar la maquetación del sitio a las pantallas realmente utilizadas, medimos dos cosas distintas.

• Sin consentimiento y sin depositar nada en su dispositivo: deducimos si se trata de un móvil o de un ordenador a partir de la información que su navegador transmite espontáneamente con cada solicitud (la cabecera User-Agent y, en los navegadores que la envían por sí mismos, la indicación Sec-CH-UA-Mobile). Nunca solicitamos información adicional a su navegador. Esta medición se basa en nuestro interés legítimo en mantener un sitio legible en los dispositivos de nuestros visitantes.
• Solo con su consentimiento a la analítica: una vez al día, registramos el tamaño de su ventana (por tramos, nunca el valor exacto), la densidad de píxeles de su pantalla, la presencia de una pantalla táctil y su preferencia de tema claro u oscuro. No recopilamos ni la resolución física de su pantalla, ni su zona horaria, ni el idioma de su navegador, ni la lista de sus fuentes: esa información serviría para identificarle más que para mejorar el sitio.

Estas mediciones se conservan de forma agregada y vinculadas a un identificador temporal que cambia cada día. No permiten reconocerle de un día para otro.

Gestionar sus preferencias

Puede modificar sus opciones en cualquier momento mediante la banner de cookies mostrada durante su primera visita, o mediante la página de Preferencias de cookies. Retirar el consentimiento es tan sencillo como otorgarlo.

9. Sus derechos

Usted dispone de los siguientes derechos respecto de sus datos personales:

• Derecho de acceso (Ley 25 art. 27 / RGPD art. 15): obtener confirmación de que sus datos son tratados y recibir una copia.
• Derecho de rectificación (Ley 25 art. 28 / RGPD art. 16): hacer corregir cualquier dato inexacto o incompleto.
• Derecho de supresión (Ley 25 art. 28.1 / RGPD art. 17): solicitar la eliminación de sus datos cuando ya no sean necesarios.
• Derecho a la portabilidad (Ley 25 art. 27 párr. 3 - en vigor desde el 22 de septiembre de 2024 / RGPD art. 20): recibir sus datos en un formato técnico estructurado y de uso común.
• Derecho a retirar el consentimiento (Ley 25 art. 14 / RGPD art. 7): retirar su consentimiento en cualquier momento, con la misma facilidad con que lo otorgó.
• Derecho al cese de la difusión y a la desindexación (Ley 25 art. 28.1): solicitar que sus datos dejen de difundirse o que los hipervínculos que conduzcan a ellos sean desindexados de los motores de búsqueda.
• Derecho de oposición (RGPD art. 21): oponerse a un tratamiento basado en el interés legítimo.
• Derecho de limitación (RGPD art. 18): solicitar la suspensión del tratamiento en determinados casos.
• Derecho a definir instrucciones post mortem (Ley 25 art. 40.1): indicar el destino de sus datos después de su fallecimiento.

Para ejercer cualquiera de estos derechos, escriba a nuestro RPRP a [email protected]. Le responderemos en un plazo máximo de 30 días (Ley 25 art. 32 y RGPD art. 12.3). Puede solicitarse una prueba de identidad para tratar su solicitud.

9.1 Eliminación de cuenta en autoservicio

Si tiene una cuenta Dojo, puede ejercer su derecho de supresión directamente desde su perfil, sin tener que escribirnos:

• Inicie sesión, abra Mi perfil y utilice el botón « Eliminar mi cuenta » en la zona de peligro.
• Se requiere confirmación (contraseña actual o frase de confirmación para las cuentas conectadas mediante un proveedor externo).

La eliminación se realiza mediante anonimización irreversible, alternativa a la destrucción expresamente autorizada por la Ley 25 (art. 23) y el Reglamento quebequense sobre la anonimización de los datos personales (en vigor desde mayo de 2024), así como por el RGPD (considerando 26).

Lo que se anonimiza o elimina inmediatamente:

• Dirección de correo electrónico, seudónimo, nombre mostrado, identificador de perfil, número de teléfono y zona horaria - sobrescritos con valores no reidentificantes.
• Contraseña (ya almacenada como resumen criptográfico) - eliminada.
• Conexiones con proveedores externos (Google, Microsoft, Discord, Twitch, Facebook) - eliminadas.
• Tokens de autenticación y reclamaciones personalizadas - eliminados.
• Pruebas de consentimiento a las cookies asociadas a su cuenta (incluida la huella criptográfica de su IP y su agente de usuario) - eliminadas.
• Las encuestas de disponibilidad que ha creado: eliminadas definitivamente, incluidas las franjas, las direcciones de correo electrónico que aún contenían y las respuestas de los demás participantes.
• Su libreta de direcciones, sus grupos de participantes y sus webhooks de Discord guardados: eliminados definitivamente.

Lo que se conserva sin vínculo personal:

• Registros de auditoría internos: conservados con fines de seguridad y detección de abusos, pero el vínculo con su cuenta se rompe (campo de usuario establecido en NULL).
• Los archivos que ha subido: conservados si son utilizados por contenido publicado, pero sin vínculo con su identidad.
• Las propuestas de creadores que ha revisado (si era miembro del equipo): la revisión permanece registrada, pero el vínculo con su cuenta se rompe.
• Los artículos de blog publicados bajo su firma de autor (cuando proceda): permanecen en línea con su nombre mostrado, sin que su cuenta siga asociada. Se requiere una solicitud específica al RPRP para anonimizar también la firma pública.
• Su fila en las encuestas de disponibilidad de otras personas: se mantiene para que la encuesta siga siendo coherente, pero su nombre, su dirección y el vínculo con su cuenta se sobrescriben en la base de datos con una etiqueta neutra (« Participant 3 »). Sus respuestas permanecen, sin vínculo con su identidad.
• Las entradas que le conciernen en la libreta de direcciones de otras personas: pertenecen a su propietario y se conservan, pero dejan de apuntar a su cuenta y se muestran entonces como « Cuenta eliminada ».

Un límite que conviene conocer: si una encuesta en la que participó publicaba su tablero en un canal de Discord, el mensaje que sigue activo se actualiza para sustituir en él su nombre. En cambio, los mensajes ya publicados en un historial de Discord y las copias que hayan hecho sus miembros quedan fuera de nuestro alcance.

La operación es irreversible: la fila de su cuenta se conserva en la base de datos (con los campos de identificación sobrescritos) para preservar la integridad referencial de los datos conservados sin vínculo personal, de conformidad con el art. 23 párr. 2 de la Ley 25. Siempre podrá crear posteriormente una nueva cuenta con la misma dirección de correo electrónico.

10. Decisiones automatizadas

JDR Ninja no utiliza ninguna decisión automatizada que produzca un efecto jurídico o un efecto significativo sobre usted (Ley 25 art. 12.1 / RGPD art. 22). Los creadores y recursos del directorio se añaden y revisan manualmente por una persona humana antes de su publicación.

11. Seguridad

Implementamos medidas técnicas y organizativas razonables para proteger sus datos:

• Comunicaciones cifradas por defecto (HTTPS/TLS en todo el sitio).
• Direcciones IP de las solicitudes almacenadas como huellas criptográficas saladas (y no en texto claro).
• Acceso de administrador limitado, protegido por una contraseña compleja (longitud mínima de 12 caracteres, requisitos de complejidad) y expiración de sesión de 8 horas.
• Limitación de tasa (rate limiting) en los formularios públicos para prevenir abusos.
• Registros conservados únicamente durante 14 días, en la infraestructura de alojamiento canadiense.
• Credenciales de terceros que nos confía (dirección de webhook de Discord, tokens de acceso de Twitch) cifradas en la base de datos, nunca mostradas de nuevo en texto claro y nunca consignadas en los registros.
• Cifrado en reposo de la base de datos a nivel de la plataforma de alojamiento.
• Actualizaciones de seguridad periódicas de los componentes de software.

De conformidad con la Ley 25 (art. 3.5) y el RGPD (art. 33-34), notificaremos sin demora a la Commission d'accès à l'information (CAI), a la CNIL cuando corresponda, así como a las personas afectadas en caso de incidente de confidencialidad que presente un riesgo grave de perjuicio.

12. Menores

JDR Ninja está dirigido a un público adulto y adolescente interesado en los juegos de rol. No recopilamos conscientemente datos personales de menores de 14 años (umbral previsto por la Ley 25 art. 4.1) ni de menores de 15 años (umbral previsto por la ley francesa de aplicación del RGPD).

Si usted es padre, madre o tutor y constata que un menor bajo su responsabilidad nos ha transmitido datos personales, contáctenos en [email protected] y procederemos a su eliminación.

13. Modificaciones de esta política

Esta política puede actualizarse para reflejar cambios legales, técnicos u operativos. La fecha de última actualización y el número de versión figuran al inicio de esta página.

En caso de actualización sustancial (nuevo tratamiento, nuevo encargado, cambio de finalidad), la banner de cookies reaparecerá para permitirle revisar su consentimiento.

14. Reclamaciones ante las autoridades

Si considera que sus derechos no se respetan, puede escribirnos primero a [email protected]. Si nuestra respuesta no le satisface, puede presentar una reclamación ante la autoridad competente de protección de datos:

• En Quebec: Commission d'accès à l'information (CAI) - 2045, rue Stanley, oficina 900, Montreal (Quebec) H3A 2V4.
• En Francia: Commission nationale de l'informatique et des libertés (CNIL) - 3 place de Fontenoy, 75007 París.
• En otro país de la Unión Europea: ante la autoridad nacional de protección de datos de su lugar de residencia (lista en edpb.europa.eu).

15. Contacto del responsable de la protección de los datos personales