Política de privacidad

Última actualización: 5 de octubre de 2026

En La Porra nos tomamos en serio tu privacidad. Esta política explica qué datos tratamos, por qué y con quién los compartimos.

1. Responsable del tratamiento

El responsable del tratamiento de tus datos es La Porra (laporra.app). Para cualquier ejercicio de derechos puedes escribirnos a privacidad@laporra.app.

2. Qué datos recogemos

Cuenta: email, nombre que muestras, contraseña hasheada (bcrypt), o identificador de Google / Apple si usas "Iniciar sesión con Google" o "Iniciar sesión con Apple".
Fecha de nacimiento: ya no la pedimos en el registro. Si la indicaste al registrarte con una versión anterior, se borra al eliminar la cuenta.
Avatar: si subes una imagen, se guarda cifrada en reposo en Cloudflare R2 y se sirve mediante URLs firmadas de corta duración. Si no subes ninguna, generamos un avatar ilustrado con DiceBear a partir de tu identificador interno de usuario (no se envía tu nombre ni tu email).
Actividad de porras: predicciones, miembros de tus porras, fechas de creación, puntos.
Identificadores del dispositivo: token de notificaciones push (Expo, que las entrega vía Apple APNs / Firebase FCM) y plataforma (iOS / Android), únicamente para entregarte las notificaciones que tú activaste desde "Perfil → Notificaciones".
Compras: si compras un plan o créditos, el identificador de cliente y de transacción, el producto, el importe y el estado de la suscripción. Nunca vemos ni guardamos los datos de tu tarjeta.
Diagnóstico técnico: IP, user-agent, identificador anónimo de sesión, fecha y endpoint de cada petición. Lo usamos para detectar abuso (rate limiting, captcha) y para depuración (Sentry).

3. Para qué los usamos

Prestar el Servicio (mostrar porras, calcular rankings, enviar invitaciones).
Mantener la seguridad: bloqueos por intentos fallidos, captcha, detección de abuso.
Comunicaciones operativas (verificación de email, recuperación de contraseña, alertas de seguridad). No enviamos publicidad de terceros por email.
Mostrar publicidad que financia la versión gratuita (Google AdSense), sólo si aceptas las cookies de publicidad en el banner. Los planes Pro y Lifetime eliminan por completo los anuncios.
Resúmenes opcionales (semanales, bonus resueltos): puedes desactivarlos desde "Perfil → Notificaciones".

4. Base legal

Tratamos tus datos con base en (i) la ejecución del contrato (prestar el Servicio que has aceptado al registrarte), (ii) tu consentimiento para los emails opcionales, y (iii) nuestro interés legítimo en proteger el Servicio frente a fraude.

5. Con quién los compartimos

Sólo con los proveedores estrictamente necesarios para operar el Servicio:

Proveedor de hosting (servidor privado virtual gestionado con Coolify) — aloja la web y la API que procesan todas las peticiones.
DigitalOcean (base de datos MongoDB gestionada) — almacena la cuenta, las porras y las predicciones. Centro de datos en Londres (Reino Unido, país con decisión de adecuación de la UE).
Cloudflare (DNS/CDN, Turnstile anti-bot y R2 para el almacenamiento de avatares e imágenes) — Estados Unidos / UE.
Amazon Web Services — Amazon SES (envío de emails transaccionales) — UE.
Sentry (telemetría de errores, sin payloads sensibles).
DiceBear (generación del avatar por defecto a partir de tu identificador interno, sin datos de contacto).
Google Identity Services (sólo si decides iniciar sesión con Google).
Google (Analytics 4, Google Ads y AdSense) — medición de audiencia y los anuncios que sostienen la versión gratuita, sólo si aceptas las cookies de analítica/publicidad en el banner. Para la personalización de anuncios Google actúa como responsable independiente; el detalle de cookies está en la política de cookies.
Apple — Iniciar sesión con Apple (sólo si decides iniciar sesión con Apple).
Expo (servicio de relé de notificaciones push de la app móvil), Apple APNs y Firebase Cloud Messaging (entrega final en iOS / Android), sólo si has activado las notificaciones. Estos servicios pueden recoger telemetría de entrega y engagement según sus propias políticas (Expo, Apple, Google), fuera de nuestro control.
Stripe Payments Europe Ltd. (Irlanda) — sólo si contratas Pro / Lifetime desde la web o cualquier porra de empresa o marca. Stripe procesa el pago como responsable independiente, no nos remite tu tarjeta y nosotros guardamos sólo el ID del Customer, las facturas y el estado de la suscripción.
Apple App Store y Google Play — sólo si compras un plan o créditos desde la app móvil. Cada tienda cobra como responsable independiente con su propia política de privacidad.
RevenueCat (Estados Unidos) — gestiona y valida las compras hechas en la app móvil; recibe tu identificador interno de usuario y los datos de la transacción (producto, importe, tienda), nunca tu tarjeta.

Todos los proveedores tienen contratos de tratamiento de datos firmados (Art. 28 RGPD). Cuando un proveedor trata datos fuera del Espacio Económico Europeo (por ejemplo, en Estados Unidos), la transferencia se ampara en el Marco de Privacidad de Datos UE-EE. UU. o en las cláusulas contractuales tipo de la Comisión Europea. No vendemos tus datos. Si en el futuro incorporamos un nuevo sub-procesador con acceso a datos personales, te avisaremos por email con al menos 30 días de antelación para que puedas oponerte.

6. Cuánto tiempo los guardamos

Cuenta activa: mientras la mantengas activa.
Cuenta eliminada: la cuenta se anonimiza de inmediato: el email se sustituye por un placeholder, el nombre por "Cuenta eliminada" y se borran el nombre de usuario, el avatar, la fecha de nacimiento, los consentimientos, las credenciales, las sesiones y los tokens de notificaciones. Tus predicciones se conservan vinculadas a esa cuenta anonimizada (ya no identificable) para mantener la coherencia de las clasificaciones históricas de los demás miembros.
Logs técnicos de peticiones a la API (IP, user-agent, endpoint): 30 días, tras los que se borran automáticamente.
Registro de emails enviados: 90 días.
Refresh tokens: hash SHA-256 con expiración a 7 días.

7. Tus derechos

Tienes derecho a acceder, rectificar, suprimir, oponerte, limitar el tratamiento, y a la portabilidad de tus datos (Arts. 15-22 RGPD). Puedes ejercerlos:

Acceder y descargar tus datos: desde tu perfil → "Descargar mis datos" obtienes un fichero JSON con toda tu información (perfil, predicciones, porras, planes, consentimientos). Art. 20 RGPD (portabilidad).
Rectificar: edita tu perfil desde "Mi cuenta" o pídenoslo por email.
Eliminar la cuenta: "Perfil → Eliminar cuenta". Tu email pasa a un placeholder anónimo, tu nombre a "Cuenta eliminada" y se borran tu nombre de usuario, avatar, fecha de nacimiento y consentimientos; las predicciones se mantienen vinculadas a la cuenta anonimizada para no romper la clasificación histórica de los demás miembros (interés legítimo, Art. 17.3.b RGPD).
Revocar consentimientos: puedes retirar el consentimiento de marketing o de notificaciones push en cualquier momento desde el enlace «Darme de baja» o «Gestionar avisos» de cualquier email, o en tu Perfil > Notificaciones, con la misma facilidad con la que lo otorgaste (Art. 7.3 RGPD). Para las cookies analíticas, usa "Preferencias de cookies" en el footer.
Oponerte o limitar el tratamiento, o presentar cualquier otra consulta: escríbenos a privacidad@laporra.app. Respondemos en menos de 30 días (Art. 12.3 RGPD).

También puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) si consideras que no estamos cumpliendo con la normativa.

8. Seguridad

Tu contraseña se almacena hasheada (bcrypt cost 12). El tráfico viaja por HTTPS. Los avatares en R2 se sirven sólo con URLs firmadas de corta duración. Aplicamos rate limiting + captcha para mitigar ataques de fuerza bruta.

9. Menores

La Porra es un juego de pronósticos sin dinero en juego. Para crear una cuenta y consentir el tratamiento de tus datos tienes que tener al menos 14 años (art. 7 de la Ley Orgánica 3/2018, LOPDGDD). Si tienes menos de 14 años, solo puedes usar el Servicio con el consentimiento de tus padres o tutores legales. Si crees que un menor de 14 años se ha registrado sin ese consentimiento, escríbenos a privacidad@laporra.app y eliminaremos la cuenta.

10. Cambios

Te avisaremos por email con 14 días de antelación si actualizamos esta política de manera sustancial.