Política de privacidad

Lupita es un juego de pistas para museos y recintos culturales. Esta política explica qué datos tratamos cuando juegas desde la web (lupita.es/jugar), desde la app instalada en el móvil (la PWA o la app de App Store y Google Play, que es la misma aplicación) o cuando un museo usa su panel, para qué, cuánto tiempo y cómo ejercer tus derechos. Se aplica el Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD).

1. Responsable del tratamiento

• Responsable: PÁJARO AZUL DIGITAL SL
• CIF: B25946054
• Domicilio: Calle La Gitanilla 17, Oficina 3 — 29004 Málaga (España)
• Correo electrónico: info@lupita.es
• Teléfono: +34 644 662 636
• Delegado de protección de datos: no se ha designado, porque nuestra actividad no lo exige.
• Contacto para privacidad: info@lupita.es

2. Si juegas sin cuenta (invitado)

Para jugar no hace falta registrarse. Al empezar eliges un nombre de jugador y un avatar dibujado (no una foto). Guardamos:

• Ese nombre, el avatar elegido y un identificador interno de tu móvil.
• Tus partidas: yincana, museo, respuestas, puntos, gemas, estrellas, tiempos, pistas y títulos.
• Si terminas una ruta, tu récord en el muro del recinto con tu nombre de jugador, tu puntuación y tu tiempo (puedes pedir no aparecer en los muros desde Perfil).

No pedimos email, teléfono ni edad a los invitados. En el móvil se guardan la sesión, tu nombre y la partida en curso (almacenamiento local del navegador o de la app). La sesión de la app caduca si pasan 90 días sin usarla; tus partidas se conservan para las estadísticas del museo. Tu nombre de jugador y tus partidas se conservan mientras el museo use Lupita, para sus estadísticas, y no están ligados a ningún dato que te identifique fuera del juego. Si quieres que los borremos, escríbenos a info@lupita.es con tu nombre de jugador, el museo y la fecha aproximada de la partida.

Te recomendamos no usar tu nombre y apellidos reales como nombre de jugador, sobre todo en grupos escolares.

3. Si guardas tu progreso (cuenta de jugador)

Con «Guardar mi progreso» creas una cuenta con nombre, email y contraseña (guardada cifrada, nunca en claro) para conservar tus gemas, estrellas, títulos e historial y entrar desde otro móvil. El email solo se usa para entrar, para recuperar la contraseña y para confirmar el borrado de la cuenta. No enviamos publicidad.

4. Permisos del móvil

• Cámara: solo para leer los códigos QR de las estaciones. La imagen se analiza en el propio móvil; ninguna imagen se guarda ni se envía a nuestros servidores.
• Ubicación: solo cuando tocas «Cerca de mí» en Explorar, para ordenar los recintos por distancia. Se envía una posición aproximada (a nivel de barrio) en esa petición y no se guarda en ninguna base de datos. Como cualquier petición web, puede quedar en los registros técnicos del servidor durante el plazo del apartado 9.
• Compartir: la tarjeta con tu resultado se genera en tu móvil y solo sale de él si tú la compartes con la aplicación que elijas.

La app no usa identificadores de publicidad, no te rastrea entre aplicaciones y no incluye herramientas de analítica.

5. Conversaciones con Lupita (modo «Con Lupita»)

En este modo, opcional y disponible solo en algunos museos, hablas por escrito con Lupita, una guía que funciona con inteligencia artificial.

• Qué se guarda: los mensajes que escribes y las respuestas de Lupita, asociados a tu partida, junto con el número de palabras procesadas (tokens).
• Para qué: para continuar la conversación durante la partida, para que el equipo de Lupita revise la calidad de las respuestas y detecte abusos, y para calcular el consumo de cada museo.
• Con quién: cada mensaje se envía a OpenAI (OpenAI, L.L.C., Estados Unidos), que genera la respuesta como encargado del tratamiento. No le enviamos tu email ni tu nombre de cuenta; sí el texto que escribes, así que no incluyas datos personales en él. OpenAI trata estos datos según su acuerdo de tratamiento de datos (DPA), no los usa para entrenar sus modelos y los conserva como máximo 30 días para vigilar abusos. La transferencia a Estados Unidos se ampara en las cláusulas contractuales tipo de la Comisión Europea incluidas en ese acuerdo.
• Cuánto tiempo: los mensajes se borran automáticamente a los 90 días. Solo se conserva el recuento diario de tokens por museo, sin contenido.

6. Valoración al terminar

Al final de la partida puedes puntuarla con una carita y, si quieres, dejar un comentario de hasta 200 caracteres. Es opcional. Antes de guardarlo tapamos automáticamente los correos y teléfonos que escribas. El museo ve la puntuación media y los comentarios, sin tu nombre.

7. Qué ve el museo

El museo cuyo recorrido juegas ve, en su panel, estadísticas de sus yincanas (partidas, estaciones superadas, falladas o saltadas, tiempos, abandono y valoraciones) y, en las salas que dirige, los nombres de jugador y la clasificación de esa sala. No ve tu email ni tus conversaciones con Lupita.

8. Si eres un museo

• Cuenta: nombre, email, contraseña (cifrada), teléfono, código postal y avatar si los añades; los contenidos que publicas (recinto, fotos, estaciones) y su autoría o licencia.
• Pagos: las suscripciones se cobran con Stripe (Stripe Payments Europe, Ltd.). Los datos de la tarjeta los trata Stripe; nosotros guardamos el identificador de cliente y de suscripción, el plan, las fechas y los importes.
• Base legal: la ejecución del contrato del servicio y el cumplimiento de obligaciones legales (facturación).
• Plazo: mientras la cuenta esté activa. Los datos de facturación se conservan el tiempo que exige la normativa mercantil y fiscal (seis años, Código de Comercio).

9. Web, cookies y registros técnicos

• Sesión y seguridad: la web y el panel usan cookies técnicas de sesión y de protección de formularios (ver la Política de cookies). La app del jugador no usa cookies: guarda la sesión en el almacenamiento local del móvil.
• Formulario de contacto: nombre, email y mensaje, protegido con Google reCAPTCHA.
• Analítica: la página de inicio y el blog de lupita.es usan Google Analytics solo si aceptas las cookies analíticas en el aviso de cookies; si no, no se carga. Puedes cambiar tu elección cuando quieras desde «Configurar cookies» al pie de la página. Base legal: tu consentimiento. Detalle en la Política de cookies.
• Registros del servidor: como cualquier web, el servidor registra la dirección IP, la fecha, la dirección pedida y el navegador de cada petición, para seguridad y resolución de errores. Se borran a los 7 días; los registros de errores de la aplicación, que no incluyen la IP, a los 14.
• Copias de seguridad: la base de datos se copia a diario y cada copia se guarda 14 días. Un dato borrado desaparece de las copias en ese plazo.

10. Finalidades y base legal

• Prestar el juego (partidas, salas, muros, perfil, cuenta): ejecución de las condiciones del servicio que aceptas al jugar.
• Modo «Con Lupita» y valoración: consentimiento, al elegir ese modo o escribir el comentario.
• Estadísticas para el museo, seguridad y mejora del servicio: interés legítimo, con datos agregados o sin nombre.
• Contacto: consentimiento.
• Facturación a museos: contrato y obligación legal.

11. Menores

Lupita se usa en visitas escolares y familiares. Para jugar como invitado no se pide ningún dato personal. Por eso jugar como invitado es la forma recomendada para los más pequeños y para los grupos escolares.

Para guardar el progreso hace falta un email. Si tienes menos de 14 años, pide permiso a tu madre, padre o tutor antes de crear una cuenta, porque en España hace falta su consentimiento por debajo de esa edad (artículo 7 de la LOPDGDD). Si una madre, un padre o un tutor nos avisa de que un menor de 14 años ha creado una cuenta sin su permiso, la borramos.

12. Encargados del tratamiento y transferencias

• Alojamiento: IONOS SE (Alemania). El servidor de la plataforma, su base de datos y sus copias de seguridad están en España.
• Correo: los emails de la plataforma (acceso, recuperación de contraseña, códigos de borrado) salen del servidor de correo de Capa Zero, alojado también en IONOS dentro de la Unión Europea.
• OpenAI (conversaciones con Lupita, Estados Unidos), Stripe (pagos de museos) y Google (reCAPTCHA y, solo si lo aceptas, Analytics en la web).

No vendemos ni cedemos datos a terceros salvo obligación legal. Las transferencias fuera del Espacio Económico Europeo se amparan en las garantías del RGPD que ofrece cada proveedor.

13. Tus derechos y cómo borrar tu cuenta

Puedes ejercer tus derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad escribiendo a info@lupita.es.

• Borrar tu cuenta de jugador: desde la app, en Perfil → Eliminar mi cuenta, o desde la web en lupita.es/cuenta/eliminar, aunque ya no tengas la app. Se borran al momento tu nombre, email, contraseña, avatar, lo que escribiste a Lupita, tu perfil y tu nombre en los muros; tus partidas quedan como «Jugador eliminado», sin forma de relacionarlas contigo, para las estadísticas del museo.
• Cerrar la cuenta de un museo: desde el panel, en Perfil, cuando no tenga una suscripción activa.
• No aparecer en los muros: desde Perfil en la app, sin borrar nada.

Si crees que no hemos tratado bien tus datos, puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).

14. Seguridad

Todas las conexiones van cifradas (HTTPS). Las contraseñas se guardan con bcrypt. Cada museo solo accede a sus propios datos, lo que el equipo de Lupita hace sobre las cuentas queda registrado y el servidor aplica límites de peticiones y cabeceras de seguridad.