Open Hearts — Privacidad

En resumen

• Jugar solo se queda en tu dispositivo Tus partidas contra los bots se guardan en el dispositivo en el que juegas, y no se envían a ninguna parte. También tu nombre y tu imagen, hasta que te suscribes: entonces nuestro servicio los guarda además con tu cuenta, para que todos sus dispositivos muestren los mismos. Se guarda aparte una copia de cada imagen que elige tu cuenta, para atender denuncias, hasta un año después de que deje de ser la de tu cuenta.
• El juego en vivo es público, a propósito Para jugar con otras personas, tu nombre, tu imagen, el número de tu cuenta, tus jugadas y tus resultados pasan por nuestro relé, donde cualquiera que los pida puede leerlos. Allí, las salas, las imágenes y las jugadas de una partida se guardan un día; los resultados se guardan para las clasificaciones.
• Cuentas, pero sin correo ni contraseña No se vende, alquila ni usa nada para publicidad, y nada te sigue de un sitio a otro. El juego en la web informa de sus errores y tiempos de carga a New Relic, como se describe más abajo; este sitio y las apps para teléfono no informan de nada. Suscribirte crea una cuenta: un número aleatorio que te da nuestro servicio, con el que juegan tus dispositivos. No hay contraseña, y no guardamos ningún correo electrónico.
• El pago es cosa de Stripe En la web, la suscripción se compra a Link, filial de Stripe, que tiene tu correo electrónico, tu tarjeta y tu dirección de facturación. Nosotros guardamos una nota de qué cuenta paga y qué dispositivos están en esa cuenta. Nunca vemos el número de tu tarjeta.

Quiénes somos

Esta política describe lo que Open Hearts hace con los datos. No forma parte de las condiciones, y cubre lo mismo que ellas; «nosotros» somos quien ellas indican. El código es público, así que todo lo que dice esta página se puede contrastar con lo que la app hace de verdad.

En tu dispositivo

La app guarda esto en el dispositivo en el que juegas — en el almacenamiento del navegador para play.openhearts.game, o en el almacenamiento propio de la app en un teléfono:

• Una clave que tu dispositivo crea por sí mismo. Es un número aleatorio largo con una mitad pública y una mitad secreta. La mitad pública es este dispositivo en una mesa en vivo; si te suscribes, tu licencia la vincula a tu cuenta. La mitad secreta nunca sale del dispositivo.
• Tu nombre y tu aspecto: un icono y un color, o una imagen tuya. La imagen se reduce a 192 por 192 píxeles en tu dispositivo, y solo se guarda esa copia pequeña. La foto de la que la sacaste no se guarda ni se envía. Si te suscribes, nuestro servicio guarda una copia con tu cuenta, como se explica más abajo.
• Tus últimas treinta partidas contra los bots, que tu perfil va contando. Solo salen del dispositivo si tocas Copiar registro.
• Lo rápido que juegas, tus opciones de partida, el idioma que elegiste, si abriste Aprender a jugar, cuándo pidió por última vez la app del teléfono una valoración a su tienda, cuándo dejaste por última vez una partida en vivo antes de tiempo, tu licencia y el número de tu cuenta si te suscribes, los jugadores cuyas imágenes elegiste ocultar y los que bloqueaste, y los avisos de cambios en las condiciones o en esta política que descartaste.
• La partida en vivo en la que estás, mientras estás en ella: la mesa, los nombres, iconos y colores con los que empezó, y los secretos con los que tu dispositivo repartió tus cartas, para que una página recargada a mitad de partida pueda volver a su asiento. Se borra cuando la partida termina o la dejas. Si la app se cierra a mitad de partida, se borra la próxima vez que se abre, salvo que sea antes de dos minutos: entonces vuelves a tu asiento.

Para borrarlo todo, borra los datos de play.openhearts.game en tu navegador (y los de openhearts.game, donde un navegador que jugó antes de que el juego se mudara a play.openhearts.game guarda su copia anterior), o elimina la app. Eso también borra tu clave, así que el dispositivo vuelve como un jugador nuevo, hasta que un código de respaldo o tu inicio de sesión lo devuelva a tu cuenta.

Jugar solo

Una partida contra los bots se juega por completo en tu dispositivo. No se envía nada sobre ella a ninguna parte.

Las apps para teléfono hacen al empezar lo mismo que el juego en la web: piden a nuestro servicio la configuración actual del juego, lo que no dice nada de ti, y hacen la comprobación de licencia que se explica más abajo. El juego en vivo funciona en ellas como se describe más abajo. No usan New Relic ni los servidores de fuentes de Google. Tras una partida que ganas, pueden pedir a la App Store o a Google Play que muestre su propio aviso para valorar la app, como mucho una vez cada cuatro meses. Si aparece depende de la tienda, y lo que elijas en él va a la tienda, según su propia política de privacidad; la app no sabe ni lo uno ni lo otro.

Abrir el juego en la web

• Cloudflare aloja este sitio y el juego, así que ve cada solicitud que hace tu navegador: tu dirección IP, tu navegador y la dirección que pediste. No añadimos ningún registro propio.
• Los servidores de fuentes de Google, a veces. El juego lleva su propia fuente, pero cuando tiene que dibujar un carácter que esa fuente no tiene — un emoji, una flecha o un nombre escrito en una escritura como la china o la árabe —, el kit de herramientas con el que está hecho descarga la fuente adicional de fonts.gstatic.com. Cuando eso ocurre, Google recibe tu dirección IP y el hecho de que estás visitando este sitio.
• Una comprobación de licencia. Cada vez que el juego se inicia, envía la clave pública de tu dispositivo a nuestro servicio para preguntar si tiene una suscripción. Si la tiene, el servicio anota además que este es el dispositivo que tu cuenta usa ahora, cuándo, y en qué mesa en vivo está, si está en alguna; esa nota se sustituye la próxima vez que cualquiera de tus dispositivos abra el juego. Si no la tiene, no se guarda nada.
• Tu página de perfil pide a nuestro relé los resultados de las partidas para poder mostrar tu clasificación. No publica nada sobre ti.
• New Relic nos avisa cuando el juego falla o va lento para ti en play.openhearts.game. La página del juego le envía los errores que encuentra, cuánto tardó en cargar, las direcciones de las llamadas que hace a nuestro servicio (sin nada de lo que va detrás de un «?»), y tu navegador, tipo de dispositivo y ubicación aproximada. Tu dirección IP se usa para esa ubicación y se descarta en menos de un día. No instala cookies, no graba la pantalla ni la sesión, y no lee nada de lo que escribes. Se rige por los avisos de privacidad de New Relic.

Juego en vivo

Lo que todos pueden ver

Una partida en vivo se juega a través de nuestro relé, relay.openhearts.game, un servidor que pasa mensajes entre las apps y guarda en orden las jugadas de cada mesa en vivo. Es abierto: cualquiera que le pida una sala, una mesa o los resultados puede leer lo que transporta allí, y parte de ello se guarda. En el juego en vivo:

• Se guarda, y cualquiera que lo pida puede leerlo: tu nombre, icono y color, el número de tu cuenta, y la clave pública de tu dispositivo con la licencia que vincula ambos, cada vez que te sientas a una mesa; tu imagen, si elegiste una; y el resultado de cada partida en vivo que juegas, con clasificación o sin ella — la mesa, la cuenta, la clave, la licencia y la puntuación final de cada asiento, y quién se fue. Las clasificaciones son de las cuentas y las calcula a partir de estos resultados quien quiera, y de eso se trata: nadie tiene que fiarse de nuestra palabra sobre una clasificación. Los nombres, iconos, claves, números de cuenta e imágenes se guardan un día; los resultados se guardan mientras se guarden las clasificaciones.
• Se guarda, y cualquier suscriptor con la dirección de la partida puede leerlo: cada partida en vivo, jugada a jugada — la cuenta y la clave de cada asiento, la licencia que las vincula, el nombre con el que jugó, cada carta jugada, cada carta repartida y pasada una vez terminada su mano, cuándo se cerró y se volvió a abrir la conexión de cada jugador con la mesa, y las firmas que lo demuestran. Nuestro relé guarda las jugadas a medida que se hacen, hasta un día después de la última de la partida. El dispositivo de un jugador envía la partida entera a nuestro servicio cuando termina, y se guarda para siempre, para que la partida se pueda consultar y comprobar después, desde el dispositivo que use la cuenta de un suscriptor. Su dirección es un código aleatorio largo que nadie puede adivinar; la comparte quien la comparta.
• Se transmite pero no se guarda: mientras esperas una partida, tu nombre, clasificación, icono y color y cuántos segundos sueles tardar en jugar una carta, cada par de segundos; y mientras la app está abierta, que tu dispositivo está conectado o en una mesa, con el número de tu cuenta y una nota de corta duración de nuestro servicio que dice que este es el dispositivo que usa tu cuenta. El relé reenvía esto a quien esté escuchando en ese momento y no guarda nada — pero cualquiera que escuche podría grabarlo. Las reacciones que envías en una mesa (👍 Bien y las demás) se transmiten igual, a la mesa y a quien la esté mirando, y no se guardan.
• Se transmite, mientras alguien mira: cualquier suscriptor con su dirección puede mirar una partida en vivo mientras se juega. Mientras alguien mira, el dispositivo de un jugador envía, después de cada jugada, lo que todos en la mesa ya pueden ver — los nombres, las puntuaciones, las cartas jugadas hasta ahora en esta mano y a quién le toca — y nunca una mano que aún se tiene. El relé lo reenvía y no guarda nada. Si miras, lo haces con la clave y la licencia de tu propio dispositivo, así que el dispositivo del jugador que responde ve el número de tu cuenta; no responde a nadie cuya cuenta esté jugando en esa mesa.

Una mesa de amigos es privada en un único sentido: los desconocidos no pueden sentarse en ella. Lo que publica es tan público como lo de cualquier otra mesa.

Adónde va

Solo a nuestro relé, que funciona sobre Cloudflare. Cada mensaje lo firma el dispositivo que lo envió, así que cualquiera que guarde una copia puede demostrar que es auténtico; no podemos borrar una copia que haya hecho otra persona.

Lo que solo ve tu mesa

Las cartas se reparten entre los asientos de la mesa de forma que la mano de cada jugador solo la pueda leer ese jugador. Nuestro servidor juega cada asiento de bot, así que conoce las cartas de los bots: en una mesa de un jugador y tres bots, son todas las cartas menos las del jugador, así que podría deducir de ellas la mano del jugador, y no lo hacemos. Abrir la mano de un jugador exige la mitad de nuestro servidor y la de otro jugador juntas; la mitad de nuestro servidor sola no es nada. La mano de un jugador que se va a mitad de una mano se abre durante el resto de esa mano, para que la mesa pueda terminar. Cada jugada pasa por nuestro relé.

Tu dispositivo solo se conecta a nuestro relé, así que los demás dispositivos de tu mesa nunca conocen tu dirección IP — ni los demás jugadores, ni nuestro servidor que juega los bots. Cloudflare, que hace funcionar el relé, ve tu dirección IP, como cualquier servidor al que te conectas.

Si no hay nadie más esperando y eliges esperar a una persona, nuestro servicio nos envía un correo diciendo que alguien espera: el grupo, la hora y los primeros caracteres de la clave de tu dispositivo y de tu suscripción, nunca tu nombre ni tu correo. Puede que alguno de nosotros venga a jugar.

Si denuncias a un jugador, nuestro servicio nos envía tu denuncia por correo: lo que elegiste y escribiste, la mesa, el nombre y la imagen que viste, el número de tu cuenta y el de la suya, y los primeros caracteres de la clave de tu dispositivo. Al jugador no se le avisa. Guardamos una denuncia mientras la necesitemos para atenderla, y nuestro servicio anota durante un día que la enviaste, para que la misma denuncia nos llegue una sola vez.

Suscribirse

El juego en vivo es una suscripción. En la web se compra a Link (Sold through Link, LLC), filial de Stripe, en la propia página de Stripe: te pide tu correo electrónico, tu tarjeta y tu dirección de facturación, con la que se calculan los impuestos de donde vives, conforme a la política de privacidad de Stripe.

Suscribirte crea una cuenta: un número aleatorio, no tu nombre ni tu correo. Damos a Stripe la clave pública de tu dispositivo para que el pago se pueda asociar a ella. A cambio, nuestro servicio guarda un registro breve: qué cuenta paga la suscripción, qué claves de dispositivo están en la cuenta y cuándo se añadió cada una, cuál está en uso ahora y las fechas hasta las que dura la suscripción. También guarda el perfil de tu cuenta —el nombre, el icono, el color y la imagen que elegiste— para que todos los dispositivos de la cuenta muestren los mismos, y un cambio en uno llegue a los demás. En Stripe podemos ver tu correo electrónico, nombre, dirección de facturación, marca de la tarjeta, los cuatro últimos dígitos de tu tarjeta, y tus pagos y sus impuestos.

Eso significa que podríamos relacionar el correo electrónico de un suscriptor con su cuenta, y por tanto con los nombres y los resultados que han publicado sus dispositivos. No publicamos esa relación, y solo la usamos para gestionar tu suscripción.

Si añades otro dispositivo a tu cuenta, nuestro servicio guarda un registro del código de un solo uso que creaste y de qué dispositivos lo crearon y lo usaron. Cualquier dispositivo de la cuenta puede ver las claves de los demás, cuál está en uso, y quitarlos. Tu cuenta juega en un dispositivo a la vez: abrir el juego en uno lo convierte en el que está en uso, y el anterior deja de jugar en vivo hasta que lo recuperes.

Una cuenta tiene además cinco códigos de respaldo, que nuestro servicio guarda con la cuenta y que se muestran en sus dispositivos, con una nota de cuáles se han usado. Si te suscribiste en la web, escribimos al correo con el que pagaste solo en estos casos: cuando te suscribes, con lo que compraste, cómo se renueva, cómo cancelarlo y los códigos; de nuevo con los códigos, siempre que un dispositivo de la cuenta nos los pida; antes de que se aplique a tu suscripción un cambio de precio; y cuando las condiciones o esta política cambian de una forma que afecta a los suscriptores, para contarte qué cambió. Para ello leemos la dirección en Stripe en ese momento y se la pasamos a Cloudflare, que envía el correo por nosotros; no guardamos la dirección, solo una nota de qué cambios se comunicaron a tu suscripción, y cuándo. Link te escribe además sobre tus pagos, como los recibos y un recordatorio antes de cada renovación, conforme a la política de privacidad de Stripe.

Si inicias sesión con Apple o Google, guardamos una forma irreconocible del número que dan para tu inicio de sesión — no tu nombre ni tu correo — vinculada a tu cuenta, para que iniciar sesión de la misma manera en otro dispositivo lo traiga a la cuenta. Tu dispositivo solo guarda con cuál de los dos lo hiciste. El inicio de sesión lo hace Apple o Google, según su propia política de privacidad; en la web, su código de inicio de sesión solo se descarga mientras hay un botón para iniciar sesión en pantalla.

Cuando se compra una suscripción, nuestro servicio nos envía un correo con la tienda en que se compró, sus primeros caracteres y las fechas hasta las que dura, para poder vigilar el servicio mientras es pequeño; nunca tu nombre ni tu correo.

Decirnos qué falla

El menú tiene una página «Dinos qué falla». No se envía nada de ella hasta que pulsas Enviar, y todo lo que se enviaría se muestra antes en la página: lo que escribes, qué versión del juego tienes, el tipo de dispositivo, el idioma de la app y el tamaño de la pantalla — y, si es de una partida contra los bots, el registro de esa partida, solo si marcas la casilla correspondiente. Enviar abre una nueva incidencia en nuestra página pública de GitHub con todo eso ya rellenado. Cualquiera puede leer las incidencias de GitHub, así que no incluyas nada privado.

Lo que no hacemos

• No hay anuncios, y no se vende ni se comparte nada para publicidad.
• No hay identificadores publicitarios, ni nada que te siga de app en app o de sitio en sitio.
• Nuestras páginas no usan cookies. Stripe usa las suyas, en su propio sitio, cuando compras.
• Ni ubicación, ni contactos, ni micrófono. La cámara, solo mientras escaneas un código para añadir un dispositivo; la imagen se queda en el dispositivo.
• No guardamos ningún correo electrónico, no hay contraseña, y no hay cuenta a menos que te suscribas. Solo te escribimos sobre una suscripción, como se explica arriba: nada más, y nada de publicidad.
• No hay chat.

Cuánto tiempo se guardan las cosas

• En tu dispositivo: hasta que las borres.
• En nuestro relé: la presencia y la espera de partida: no se guardan. Las jugadas de una partida en vivo: hasta un día después de la última. Las salas, los asientos y las imágenes: un día. Los resultados de las partidas: mientras se calculen las clasificaciones a partir de ellos. El relé solo transmite la imagen que una cuenta tiene ahora.
• Las partidas en vivo terminadas: para siempre, en el almacenamiento de Cloudflare. Si nos pides borrar los datos de tu cuenta, tu nombre se quita de las partidas en las que jugaste; las jugadas se quedan, para los demás jugadores.
• Los registros de cuenta y suscripción de nuestro servicio, incluido el perfil de tu cuenta: mientras dure la suscripción, y después hasta que elimines tu cuenta o nos pidas borrarlos. Un perfil cambiado sustituye al anterior. La nota de qué dispositivo está en uso se sustituye cada vez que otro de tus dispositivos abre el juego. Si suspendemos tu cuenta del juego en vivo, o le retiramos el nombre o la imagen, como permiten los términos, nuestro servicio guarda además una nota de que está suspendida y desde cuándo, y el nombre o la imagen que retiró, para poder deshacer cualquiera de las dos cosas. Cada una se guarda hasta que se deshace, o hasta que se borren los registros de tu cuenta.
• Las imágenes que elige tu cuenta: cada una se revisa al elegirla. Project Arachnid, del Canadian Centre for Child Protection, compara una huella de ella con imágenes conocidas de abuso sexual infantil y de otros abusos a menores, sin que se le envíe nunca la imagen. Si no podemos usar Project Arachnid, PhotoDNA de Microsoft lo hace en su lugar: compara una huella de la imagen con imágenes conocidas de abuso sexual infantil, sin que tampoco se le envíe nunca la imagen. Un programa que ejecuta Cloudflare la revisa y oculta la que parezca mostrar desnudos o contenido sexual, violencia o un símbolo de odio. Guardamos aparte una copia de cada imagen, con lo que el programa concluyó sobre ella y qué servicio la comparó con imágenes conocidas, y cuándo, para revisarla y atender una denuncia; cuando ya no es la imagen de tu cuenta, nadie más la ve. La copia se guarda hasta un año después de que la imagen deje de ser la de tu cuenta —cuando la cambias, cuando la retiramos o cuando se elimina tu cuenta— y luego se borra.
• Stripe y Link: el tiempo que exijan la política de Stripe y la ley sobre registros de pagos e impuestos.
• Cloudflare, Google, el Canadian Centre for Child Protection y Microsoft: según sus propias políticas.
• New Relic: los errores y los tiempos, ocho días.
• El registro propio de nuestro relé: siete días, en los Workers Logs de Cloudflare. Además de recuentos y tiempos que no nombran a nadie, anota para qué cuenta se enviaron por correo unos códigos de respaldo, o no pudieron enviarse; de qué cuenta quedaron imágenes por revisar en la siguiente pasada, cada una por su nombre de archivo, un código hecho a partir de la imagen; y el código de una imagen demasiado simple para compararla o que coincide con las imágenes de prueba de un verificador.
• Lo que la ley nos obliga a denunciar: si algo publicado a través de Open Hearts tiene que denunciarse a las autoridades, como exige la ley de los Estados Unidos con el material de abuso sexual infantil, guardamos lo que denunciamos y los registros de la cuenta durante el tiempo que exija la ley, un año como mínimo, aunque nos pidas que los borremos, y los borramos cuando termina ese plazo.

Tus opciones

• Juega solo, y nada sobre ti sale de tu dispositivo.
• Juega en vivo con un nombre que no sea el tuyo real, y sin imagen.
• Cambia tu nombre o tu imagen cuando quieras; si estás suscrito, el cambio llega a todos los dispositivos de tu cuenta. Lo que ya se publicó se queda donde está.
• Elimina tu cuenta en la app (cómo), o pídenos que la eliminemos, o que te enviemos una copia de lo que nuestro servicio guarda sobre tu cuenta, su perfil y sus dispositivos. Una vez eliminada, tu nombre se quita de las partidas terminadas en las que jugaste, y los resultados que tus dispositivos publicaron se quedan en nuestro relé, para las clasificaciones, sin tu nombre: cada uno sigue nombrando el número de tu cuenta y la clave pública de tu dispositivo. Las copias de las imágenes que eligió tu cuenta se borran un año después de eliminarla. Si te suscribiste en la web, los registros de pago de Stripe siguen guardando tu correo electrónico con la clave pública de tu dispositivo, que esos resultados nombran, mientras Stripe los conserve.

Donde la ley de protección de datos te dé derechos — a ver, corregir o borrar lo que se guarda sobre ti, a oponerte o a reclamar ante tu autoridad de protección de datos —, también los tienes aquí.

Menores

Open Hearts no está pensado para menores de 13 años, y las condiciones no les permiten jugar en vivo, ya que el juego en vivo muestra un nombre y una imagen a desconocidos. Si crees que un menor ha publicado algo a través de él, avísanos y haremos lo que podamos para retirarlo.

En un teléfono, antes de jugar en vivo o de comprar el juego en vivo en la app, la app pregunta al App Store o a Google Play si tienes 13 años o más; Google Play también dice si un padre, una madre o un tutor ha aprobado los últimos cambios de la app, o si necesita que confirmes tu edad. Si una tienda puede responder, y si te pregunta antes, depende de la tienda. La app usa la respuesta solo para decidir si el juego en vivo está abierto para ti, y luego la olvida: no se guarda en tu dispositivo y nunca se nos envía, ni a nadie más.

Cambios

Si cambia lo que la app hace con los datos, esta página cambia con ello, y la fecha de arriba se actualiza. Un cambio que afecta a los suscriptores se les comunica por correo y en la app, como dicen las condiciones. Su historial, y el del código, está en GitHub.

Contacto

Para una solicitud de privacidad — una copia de lo que nuestro servicio guarda sobre tu cuenta, o su borrado — o cualquier otra pregunta sobre esta página, escribe a help@openhearts.game, o envíanos una carta a la dirección que figura en los términos. Para que podamos encontrar lo que es tuyo, dinos el nombre con el que juegas y, si te suscribiste en la web, el correo electrónico con el que pagaste.