Política de privacidad

1. Responsable del tratamiento

• Servicio: DistritoRP
• Sitio web: https://foro.distritorp.eu

2. Identificación mediante Steam y origen de los datos

Steam OpenID es el único sistema de acceso. Al iniciar sesión, Steam confirma al foro un SteamID64. El servidor consulta además el nombre público y el avatar asociados a ese SteamID mediante la Web API de Steam o, si esta no está disponible, desde el perfil público de Steam Community. La contraseña se introduce únicamente en Steam: DistritoRP no la recibe, no la almacena y no ofrece recuperación mediante correo o contraseña propia.

Para conservar el historial de cuentas anteriores, el rango Dueño puede asociar manualmente un SteamID64 después de verificar la identidad de la persona. La actuación queda registrada, revoca las sesiones previas y no permite conocer ni restablecer contraseñas. A partir de esa vinculación, el acceso sigue realizándose exclusivamente mediante Steam.

Los demás datos proceden de la información que aportas al usar el foro, de la actividad generada por el servicio y de las actuaciones realizadas por personal autorizado. El nombre visible del foro puede ser distinto del nombre público actual de Steam; el avatar procede exclusivamente de Steam.

3. Datos que tratamos

• Cuenta e identidad: SteamID64, nombre y avatar públicos obtenidos de Steam, nombre visible del foro, banner, roles, estado de acceso, fecha de alta y fechas o versiones de aceptación legal. No solicitamos correo ni contraseña.
• Actividad comunitaria: temas, publicaciones, reacciones, mensajes del chat, presencia reciente, fechas de creación o edición y datos públicos del perfil.
• Logros y emblemas: insignia concedida, puntuación simbólica, fecha y origen manual o automático de la concesión. Para comprobar reglas automáticas se calculan recuentos de publicaciones, temas, chat, reacciones entre miembros, actividad horaria y antigüedad de la cuenta. También se conserva, cuando corresponda, una nota o bloqueo administrativo privado y el registro de quién concedió o retiró el emblema.
• Referidos y premios: código de invitación asociado a la cuenta, copia del código utilizado, relación entre la persona que invita y la cuenta invitada, estado y fechas de validación, hito y premio desbloqueado, copia técnica inmutable del premio, estado de canje y referencia de la transacción del servidor de juego. Cuando corresponda también se conserva la nota y responsable de una revisión administrativa. Para comprobar la calificación se valida que se trate de un alta nueva y que ambas cuentas estén activas, vinculadas a Steam y hayan completado la aceptación requerida durante su registro.
• Campañas y pagos: campaña, cuenta interna que inicia la aportación, referencia única de la solicitud y del PaymentIntent de Stripe, importe, moneda, estado, cantidad acreditada o reembolsada y fechas de creación, confirmación o disputa. También se conserva el identificador y tipo de cada webhook procesado para impedir duplicados, junto con el historial de correcciones del total. Los campos de tarjeta y autenticación del pago se introducen en Stripe Elements y no llegan al servidor del foro.
• Estado del servidor: disponibilidad, nombre, mapa, versión, ocupación agregada, número de bots, protección anunciada y latencia obtenidos mediante Steam Query. Esta comprobación se realiza entre servidores y no consulta la lista de jugadores, sus nombres ni sus SteamID.
• Notificaciones y preferencias: avisos generados por menciones, respuestas, reacciones, reportes o moderación, su estado de lectura o archivo, los temas que decides seguir y los marcadores que guardas para consultarlos después.
• Borradores locales: el título y contenido sin publicar de un tema o respuesta pueden guardarse automáticamente en el almacenamiento local de tu navegador, separados por cuenta y conversación. Estos borradores no se envían al servidor hasta que publicas, pueden descartarse desde el editor y caducan a los 30 días.
• Moderación y reportes: persona reportada, motivo, servidor, descripción, enlaces de evidencia, estado, conversación con el equipo, notas internas restringidas, bloqueos y registros de actividad.
• Archivos: imágenes que subas para banners, contenido o configuración visual. El límite técnico actual es de 5 MB y se admiten JPG, PNG, WEBP y GIF.
• Seguridad: sesión JWT, estado temporal del flujo OpenID, eventos de acceso y acción, número de intentos, bloqueos temporales e identificadores seudonimizados mediante HMAC cuando el límite depende de la conexión.
• Datos técnicos de comunicaciones: dirección IP, cabeceras y datos básicos del navegador que el servidor o el proveedor de alojamiento pueden procesar para entregar y proteger el servicio.

No debes publicar datos personales de terceros ni categorías especialmente sensibles salvo que sea estrictamente necesario, lícito y cuentes con legitimación suficiente.

4. Finalidades y bases jurídicas

No se utiliza el correo electrónico para crear cuentas, no se venden datos personales y no se elaboran perfiles comerciales ni publicitarios.

5. Visibilidad y destinatarios

El nombre, avatar, banner, perfil, logros concedidos, puntuación, fecha de concesión, temas, publicaciones, reacciones y mensajes del chat pueden ser visibles para miembros o visitantes según la configuración del foro. Un logro secreto permanece oculto en tu catálogo hasta que lo consigues, pero después puede mostrarse completo en tu perfil público. Los reportes y sus conversaciones son visibles para quien los presenta y para el personal autorizado; las notas internas de logros o moderación y los datos de gestión quedan reservados al equipo con permiso.

Un enlace de invitación válido puede mostrar antes del acceso el nombre y avatar públicos de quien lo comparte para explicar su procedencia. Si la clasificación de referidos está habilitada, puede mostrar, según la visibilidad configurada, el nombre y avatar públicos de quien invita, su posición y el número agregado de invitaciones calificadas. No publica quiénes fueron las personas invitadas, el código concreto que utilizaron, las notas de revisión ni la relación individual entre cuentas. Esos detalles permanecen restringidos al personal autorizado y a los procesos internos de validación y defensa frente al abuso.

Pueden acceder a datos, en la medida necesaria:

• el proveedor de alojamiento e infraestructura contratado por el responsable;
• Valve/Steam, al autenticarte mediante OpenID y al consultar nombre y avatar mediante su Web API o el perfil público de Steam Community;
• el servidor privado de Arma 3 operado por el responsable, cuya base MySQL recibe por SteamID64 los premios pendientes mediante una conexión local restringida; no recibe la identidad de las personas invitadas;
• Stripe, como proveedor de la pasarela y prevención del fraude. Stripe recibe directamente el método de pago y los datos técnicos necesarios; el foro le envía el importe, moneda y referencias internas de pago y campaña, pero no incluye el SteamID ni el nombre público en los metadatos del PaymentIntent;
• proveedores que alojen imágenes o evidencias externas cuando tu navegador solicite esos recursos o abras sus enlaces;
• autoridades, juzgados, profesionales o terceros cuando exista una obligación, requerimiento válido o necesidad de proteger derechos.

6. Recursos externos y transferencias internacionales

Al acceder con Steam, tu navegador abandona temporalmente el foro y se comunica con los dominios de Valve. Valve puede tratar datos fuera del Espacio Económico Europeo conforme a su propia política de privacidad y a las garantías que allí describe.

Al mostrarse y utilizarse el formulario de pago, el navegador se comunica con Stripe para cargar Elements, prevenir fraude y procesar el método elegido. Stripe puede realizar transferencias internacionales conforme a su política de privacidad y las garantías allí descritas. Las imágenes remotas o enlaces de evidencia también pueden revelar al proveedor que los aloja información técnica como dirección IP, navegador y fecha de acceso.

7. Plazos y criterios de conservación

• La cuenta y su vínculo con Steam se conservan mientras permanezca activa y, tras una solicitud de cierre, durante el tiempo necesario para completarla y atender responsabilidades.
• La cookie de sesión puede durar hasta siete días y puede revocarse antes al cerrar sesión, bloquear la cuenta o cambiar su versión de autenticación. El estado OpenID dura hasta diez minutos y se elimina al completar el retorno.
• Las filas de limitación de intentos se eliminan normalmente cuando llevan más de 24 horas sin actualizarse y ya no existe un bloqueo activo.
• Las publicaciones y conversaciones pueden conservarse para mantener la coherencia de los hilos; cuando proceda, se eliminarán o se desvincularán de la identidad mediante anonimización.
• Los seguimientos y marcadores se conservan mientras mantengas la cuenta o hasta que los desactives. Los borradores no publicados permanecen únicamente en el dispositivo durante un máximo de 30 días, salvo que los borres antes o limpies los datos del navegador.
• Los logros se conservan mientras formen parte del perfil. Si se retira uno automático, la asignación deja de mostrarse y puede conservarse un bloqueo privado para evitar que la misma regla lo conceda de nuevo. El movimiento y su nota administrativa pueden mantenerse en el registro restringido para trazabilidad, prevención de abusos y revisión de actuaciones.
• Los códigos, relaciones de referido y premios asociados se conservan mientras las cuentas y el programa permanezcan activos. La fecha, el identificador único y la referencia de un premio ya recogido se mantienen para impedir duplicados, auditar la entrega y atender incidencias. Al desactivar el sistema dejan de admitirse nuevas atribuciones o canjes, aunque los registros existentes pueden permanecer restringidos durante el tiempo necesario para conservar la coherencia de los recuentos, prevenir fraude y atender revisiones o reclamaciones. Cuando ya no sean necesarios se eliminarán o anonimizarán; la supresión o anonimización de una cuenta puede modificar los totales.
• Las campañas, metas, activaciones y totales agregados pueden conservarse como historial público o administrativo. Las notas y los identificadores internos del staff se mantienen con acceso restringido mientras sean necesarios para rendición de cuentas, correcciones, seguridad y reclamaciones, y después se eliminan o anonimizan.
• Los registros de pago, reembolso, disputa y webhook se conservan con acceso restringido durante los plazos exigidos por las obligaciones contables, fiscales, de prevención del fraude y de atención de reclamaciones. Si se elimina la cuenta, la operación puede desvincularse del perfil cuando sea posible, sin borrar los registros que deban mantenerse legalmente.
• Los reportes, evidencias, notas y registros de moderación se conservan mientras resulten necesarios para resolver incidencias, prevenir abusos y atender reclamaciones.
• Las copias de seguridad se rotan conforme a la política operativa. Una restauración puede reintroducir temporalmente datos eliminados, que deberán volver a suprimirse en los sistemas activos cuando corresponda.

8. Controles automatizados

Los límites de uso pueden rechazar temporalmente nuevos accesos o acciones cuando se supera un umbral de seguridad. Steam decide si la identidad OpenID es válida; el foro aplica después sus reglas de acceso, mantenimiento y bloqueo. En el programa de referidos, el sistema comprueba de forma automática que se trata de una cuenta nueva, que no existe autorreferido y que la cuenta completa el alta con Steam y acepta las condiciones requeridas antes de sumar una invitación al ranking y desbloquear los hitos alcanzados. El servidor de juego utiliza una transacción local y un identificador único por concesión para impedir entregas duplicadas. El equipo autorizado puede revisar y corregir atribuciones abusivas. Estos controles no se utilizan para perfiles comerciales ni producen por sí solos efectos jurídicos equivalentes a una decisión legal.

9. Derechos, cierre de cuenta y pérdida de acceso a Steam

Puedes solicitar acceso, rectificación, supresión, oposición, limitación y portabilidad cuando correspondan. También puedes pedir el cierre de la cuenta y la eliminación o anonimización de los datos que procedan. El responsable podrá solicitar una verificación razonable de identidad, preferentemente mediante una sesión activa de la cuenta Steam vinculada.

Eliminar o perder la cuenta de Steam no borra automáticamente la cuenta del foro. Como no existe recuperación por correo ni contraseña local, la pérdida de acceso a Steam puede impedir iniciar sesión; en ese caso la solicitud deberá tramitarse por el canal de contacto y verificarse con información suficiente.

También puedes presentar una reclamación ante la Agencia Española de Protección de Datos.

10. Menores de edad

El registro está reservado a personas de al menos 14 años. Las personas menores de 14 años no deben crear una cuenta. Quien tenga entre 14 y 17 años deberá usar el servicio con la asistencia o autorización de sus representantes cuando resulte legalmente necesaria y evitar publicar datos sensibles propios o de terceros.

11. Seguridad y cambios

Se aplican medidas como validación servidor-a-servidor de OpenID, estado aleatorio HttpOnly, cookies HttpOnly y Secure en HTTPS, sesiones revocables, validación de archivos, permisos por rol, saneamiento de contenido, limitación persistente de intentos, referencias de pago idempotentes y comprobación criptográfica de los webhooks de Stripe sobre el cuerpo original. Ningún sistema es completamente invulnerable.

Esta política se actualizará cuando cambien las funciones, proveedores o tratamientos. Si el cambio es relevante, se mostrará una nueva versión antes de continuar en las zonas autenticadas.