Aviso de privacidad

1. Responsable del tratamiento

Responsable: Ahmet Melih Afşar. Contacto: [email protected]. Dirección: Estambul, Turquía.

Kelime Masası es un juego de palabras gratuito. No necesitas cuenta para jugar como invitado; iniciar sesión con Google es opcional.

2. Datos que tratamos

Jugadores invitados: el apodo que escribes, una clave de jugador aleatoria generada en tu navegador (en el servidor solo se guarda su hash SHA-256), códigos de mesa, jugadas, palabras, puntuaciones, información de turno y de tiempo, estado de conexión (en línea/desconectado) y reacciones con emojis. Tu apodo es visible para tu rival y para quienes observan la mesa.

Perfil persistente del dispositivo: para mostrar tu historial y estadísticas entre partidas, y para medir las visitas recurrentes solo de forma agregada, se genera en este dispositivo una clave secreta aleatoria que se guarda en el almacenamiento local de tu navegador (sin cookies ni huellas digitales); esta clave nunca se envía al servidor. Un “identificador de perfil” derivado de ella se envía al crear una mesa, unirte a una o pedir una revancha; nuestro servidor no guarda el identificador en sí, sino únicamente un resumen unidireccional (hash), junto con el registro de la partida y en la tabla room_profiles con el código de mesa y el turno del jugador. La pantalla “Todas mis partidas” muestra solo estadísticas agregadas y apodos de rivales de tus últimas 100 partidas. El identificador no se comparte con otros sitios. Puedes renovarlo en cualquier momento con “Restablecer identificador de perfil” en la pantalla de estadísticas o borrando los datos del navegador; las partidas posteriores ya no se vinculan con las anteriores. Si copias el código de perfil para moverlo a otro dispositivo, funciona como una contraseña; úsalo solo en tus propios dispositivos.

Cuenta (si inicias sesión con Google): el nombre, el correo electrónico, el estado de verificación del correo y el enlace a la imagen de perfil que proporciona Google; el identificador de la cuenta de Google y los tokens de acceso, renovación e identidad cifrados; un registro de sesión (token de sesión, vencimiento, dirección IP e información del navegador). Tu correo nunca se muestra a otros jugadores. Las mesas, los torneos y las puntuaciones que vinculas a tu cuenta quedan asociados a ella.

Funciones opcionales: perfil de amistad (apodo y código de amigo), solicitudes de amistad, bloqueos, desafíos, la cola de emparejamiento, denuncias de jugadores (un motivo elegido de una lista fija, quien denuncia y el denunciado), el cuaderno de palabras (las palabras que guardas y su calendario de repaso), avisos de palabras, la clasificación de la mesa diaria (apodo, puntuación), registros de torneos y enlaces de espectador.

Notificaciones: si activas los avisos de turno, se guardan la suscripción web push que emite tu navegador (dirección del punto de conexión y claves de cifrado), un identificador de dispositivo, el idioma del aviso y el próximo plazo. El permiso de notificaciones se concede en tu navegador y puedes retirarlo en cualquier momento.

Aviso de la palabra del día (opcional): solo si lo activas, enviamos como máximo una palabra al día, hacia las 10:00 (hora de Estambul). Para ello usamos la suscripción web push de tu navegador (dirección y claves de cifrado), el idioma de la interfaz, el dato de que este aviso está activado y si tienes en tu cuaderno de palabras alguna palabra pendiente de repaso; esa palabra solo se muestra a ti en el texto del aviso. No usamos estos datos para nada más. Puedes desactivarlo cuando quieras con el interruptor del menú o con el botón “Desactivar estos avisos” del propio aviso; el registro se elimina. Es independiente de los avisos de turno.

Datos técnicos: para evitar abusos, la dirección IP de tus solicitudes se pasa solo de forma transitoria al servicio de limitación de tasa de Cloudflare como clave; no se escribe en nuestra base de datos ni en nuestros registros (salvo los registros de sesión de Google y del límite de inicios de sesión, véase Conservación). En las acciones de amigos, cuaderno de palabras, emparejamiento y denuncias de jugadores, los contadores diarios de límite de acciones se guardan en la base de datos junto con un identificador seudónimo derivado de un hash SHA-256 de la clave del jugador o de la cuenta, y el día; los demás contadores generales de límite de uso no contienen datos personales.

3. Finalidades

Ofrecer el juego y gestionar las mesas (validación de jugadas, turnos, puntuaciones, repetición); permitirte volver a tus mesas; inicio de sesión y continuidad entre dispositivos; amigos, desafíos, emparejamiento y torneos; avisos de turno; el cuaderno de palabras y las funciones de aprendizaje; revisar errores del diccionario y malas conductas; seguridad del servicio y prevención de abusos y sobrecargas (límites de tasa y diarios basados en IP y en identidad, verificación contra bots); resolución de incidencias y continuidad del servicio (copias de seguridad y recuperación ante desastres); medición del producto (recuentos agregados y anónimos de visitas y mediciones agregadas de uso calculadas localmente a partir de las copias).

Tus datos no se usan para publicidad ni elaboración de perfiles y no se venden a terceros.

4. Bases jurídicas

Según el art. 5/2 de la KVKK: celebración o ejecución de un contrato en la medida necesaria para prestar el juego (c); interés legítimo del responsable en la seguridad del servicio y la prevención de abusos (f); cumplimiento de obligaciones legales (ç). Las notificaciones web push se basan en el permiso que concedes en tu navegador (consentimiento explícito); puedes retirarlo en cualquier momento.

5. Transferencias y proveedores de servicios

Cloudflare, Inc.: alojamiento (Workers, Pages, archivos estáticos), base de datos (D1, incluido su historial de recuperación a un punto en el tiempo), limitación de tasa, registros/observabilidad (Workers Observability) y verificación contra bots (Turnstile). Turnstile está activo en producción: cuando se requiere verificación, tu navegador carga el script de Cloudflare desde challenges.cloudflare.com, que recopila señales del navegador y del entorno para saber si eres un bot; nuestro servidor envía a Cloudflare el token de verificación y la dirección IP del visitante para comprobar el resultado. La finalidad es evitar abusos automatizados; estos datos se tratan según el anexo de privacidad y las condiciones de Turnstile de Cloudflare. La documentación de Cloudflare no describe cookies ni almacenamiento local para el widget de Turnstile (solo su función de preautorización, que no usamos, utiliza una cookie). Por ello, los datos pueden tratarse en servidores fuera de Turquía.

Google LLC: solo interviene si inicias sesión con Google, para la autenticación; se intercambian datos con Google durante el inicio de sesión y según las condiciones de Google.

Servicios de notificaciones de los navegadores: si activas los avisos, se entregan a tu dispositivo a través del servicio web push del fabricante del navegador (por ejemplo Google, Mozilla o Apple); el contenido solo indica que es tu turno e incluye el código de mesa o, en el aviso de la palabra del día, el título y la palabra mostrada.

Tus datos personales no se comparten ni se venden a otros terceros.

Transferencia al extranjero: los servidores de Cloudflare y Google pueden estar fuera de Turquía (por ejemplo, en Estados Unidos y la Unión Europea), por lo que estos proveedores tratan tus datos en el extranjero. Todavía no se ha firmado con estos proveedores el contrato tipo publicado por la Autoridad según el art. 9 de la KVKK; por ahora los datos se tratan conforme a las condiciones de tratamiento de datos y las medidas de seguridad de los propios proveedores. Esta sección se actualizará cuando se firme un contrato tipo.

6. Conservación

Se eliminan automáticamente (mediante una limpieza nocturna): registros de presencia/última conexión en la mesa (tras 30 días); invitaciones de espectador (1 día tras su vencimiento); suscripciones de notificaciones (al desactivarlas, al terminar la mesa, o si no se renuevan en 60 días y la mesa no es una partida en curso); suscripciones de la palabra del día (al desactivarlas o cuando la suscripción del navegador deja de ser válida); la dirección IP y los datos del navegador de las sesiones de Google (se borran tras 30 días; el registro de la sesión se elimina al vencer; una sesión dura como máximo 30 días); registros de verificación (al vencer); contadores del límite de inicios de sesión (tras 24 horas); contadores de límite de uso, incluidos los contadores diarios de acciones con un identificador seudónimo de jugador/cuenta (2 días tras su vencimiento); avisos de palabras (30 días); denuncias de jugadores (90 días); desafíos (30 días tras su vencimiento); la cola de emparejamiento (1 día tras su vencimiento); la cola de notificaciones (al vencer o tras 3 intentos fallidos); solo las últimas 20 reacciones con emojis por mesa; recuentos agregados de visitas (tras 400 días); informes de errores (tras 90 días).

Se conservan sin eliminación automática: tu historial de juego, es decir, los registros de mesas (incluidos apodos, jugadas, palabras y el resumen del identificador de perfil; también las mesas terminadas, archivadas y abandonadas), las puntuaciones de la mesa del día, los torneos, los perfiles de amigos, las amistades, los bloqueos, el cuaderno de palabras y los registros de cuenta y de perfil/vínculo de Google. Los conservamos para poder mostrarte tu historial y tus estadísticas desde tu primera partida. Se conservan mientras el servicio esté en funcionamiento, hasta que elimines tu cuenta o solicites su eliminación; las solicitudes de eliminación se atienden en un plazo máximo de 30 días. Las mesas terminadas se comprimen y archivan a los 7 días; archivar no es eliminar, y el sistema nunca elimina ni cierra una mesa sin terminar.

Copias de seguridad y recuperación: las copias de la base de datos previas a cada publicación, y las copias completas generadas a partir de ellas que pueden restaurarse en un D1 remoto, se guardan en el ordenador del operador como archivos legibles y escribibles solo por su propietario (0600), fuera del repositorio de código; contienen todas las tablas, es decir, también los datos personales indicados arriba. La recuperación ante desastres se hace creando un nuevo D1 remoto, y la base de datos antigua se conserva un tiempo tras el traspaso en lugar de eliminarse de inmediato. Las copias de seguridad y las copias generadas a partir de ellas se conservan como máximo 30 días y después se eliminan automáticamente (si las copias programadas se detienen, solo se conserva la más reciente hasta que se haga una nueva); tras una recuperación, la base de datos antigua también se elimina como máximo 30 días después del traspaso. Además, Cloudflare D1 conserva su propio historial de recuperación a un punto en el tiempo (Time Travel) durante el plazo de conservación de Cloudflare (según su documentación, 7 días en el plan gratuito y 30 días en el de pago). Los informes de medición del producto se calculan localmente a partir de estas copias y solo contienen recuentos agregados. Tras una solicitud de eliminación, tus datos pueden permanecer en las copias de seguridad hasta 30 días más; se eliminan junto con esas copias cuando termina ese plazo.

7. Cookies y almacenamiento local

No usamos cookies publicitarias ni de seguimiento. Solo existen cookies esenciales: si inicias sesión con Google, la cookie de sesión kelime.session_token (HttpOnly, hasta 30 días) y cookies técnicas de corta duración durante el inicio de sesión; la cookie de verificación km_bot cuando se requiere verificación contra bots (HttpOnly, 15 minutos; sobre Cloudflare Turnstile véase la sección 5); una cookie de administración de 15 minutos al iniciar sesión como administrador (solo el operador).

El almacenamiento local del navegador (localStorage/sessionStorage) permanece en tu dispositivo: una clave de invitado aleatoria, la clave secreta del perfil persistente del dispositivo, el identificador de dispositivo para avisos, códigos de mesa y tokens de jugador guardados, tu apodo, ajustes de idioma, tema, sonido y juego, estadísticas y decisiones, jugadas en borrador, mesas ocultas y preferencias del tutorial e instalación. El service worker solo guarda en caché los archivos del juego y tu preferencia de idioma. Puedes eliminar todo esto borrando los datos del navegador; si se borra tu clave de invitado, pierdes el acceso a tus mesas desde este dispositivo.

8. Registros y recuento anónimo de visitas

El servicio se ejecuta en Cloudflare Workers y los registros de Workers Observability están activados de forma persistente (los registros por invocación están desactivados). Las líneas de registro que escribe la propia aplicación son: para las solicitudes de API, la ruta (los códigos de mesa se enmascaran como :code), el método, el código de estado y la duración real (durationMs); para los fallos de solicitud, la ruta y el método; y nombres de clases de error. En estas líneas no se escriben cabeceras, cookies, tokens de jugador, cuerpos de solicitud, cadenas de consulta, direcciones IP ni códigos de mesa. Cloudflare además conserva sus propios registros y analíticas de solicitudes e infraestructura a nivel de plataforma (que pueden incluir direcciones IP); su alcance y plazo de conservación se rigen por la política de Cloudflare.

Recuento de visitas anónimo, sin cookies y agregado: cada vez que se abre la página del juego, una sola vez, salvo que tu navegador envíe una señal de No Rastrear (DNT) o de Control Global de Privacidad (GPC), envía una pequeña notificación a /api/v. Solo se incrementa un contador agregado: día (UTC), canal (directo/desconocido, invitación a una sala, redes sociales o campaña), tipo de entrada (inicio o unirse mediante una invitación), idioma de la interfaz y, si existe, un nombre de campaña de una lista permitida. Los contadores se guardan en la tabla visit_counts de la base de datos y se eliminan a los 400 días. Si se alcanza el límite diario de contadores (20.000), se añade para ese día una única fila de marca sin ningún identificador y las visitas posteriores de ese día no se cuentan. No se guarda cookie, identificador, agente de usuario, dirección, página de referencia ni código de mesa, y el recuento no puede vincularse a una persona. Como las demás solicitudes de API, esta solicitud pasa por el límite general de tasa basado en IP: la dirección IP se pasa solo de forma transitoria al servicio de limitación de tasa de Cloudflare como clave y no se escribe en la tabla de contadores.

Informes de errores: si se produce un error en la página del juego, tu navegador nos comunica el tipo de error, una breve descripción de este sin nada que pueda contener datos personales (números, texto entre comillas, direcciones, correos electrónicos, códigos de mesa, palabras), como máximo tres ubicaciones de nuestro propio código, el número de versión, el tipo de página (inicio, juego, guía u otra) y el idioma de la interfaz. Esto se guarda en las tablas error_fingerprints y error_counts de la base de datos, como un registro por error más contadores diarios, y se elimina a los 90 días. No se envía ni se guarda tu dirección, código de mesa, apodo, dirección IP, información del navegador ni ningún identificador; no se usan cookies y un informe no puede vincularse a una persona. Los informes se usan solo para mantener el juego en funcionamiento y corregir errores. Si tu navegador envía una señal de No Rastrear (DNT) o de Control Global de Privacidad (GPC), no se envía ningún informe de errores. Como las demás solicitudes de API, esta solicitud pasa por el límite general de tasa basado en IP; la dirección IP se pasa solo de forma transitoria al servicio de limitación de tasa de Cloudflare como clave y no se escribe en las tablas de contadores.

9. Tus derechos y cómo ejercerlos

Según el art. 11 de la KVKK tienes derecho a: saber si se tratan tus datos; solicitar información si se han tratado; conocer la finalidad y si se usan conforme a ella; conocer los terceros a quienes se transfieren en Turquía o en el extranjero; solicitar su corrección si son incompletos o inexactos; solicitar su supresión o destrucción según el art. 7 de la KVKK; solicitar que estas operaciones se notifiquen a los terceros a quienes se transfirieron; oponerte a un resultado desfavorable derivado de un análisis mediante sistemas automatizados; y reclamar la reparación del daño causado por un tratamiento ilícito.

Solicitudes y eliminación: escribe a [email protected] indicando tu apodo, el correo de tu cuenta de Google si la tienes y los códigos de mesa pertinentes. Actualmente no existe una pantalla automática de eliminación de cuenta ni de descarga de datos; las solicitudes se tramitan manualmente y se responden como máximo en 30 días. Para los datos de invitado (la clave solo existe en tu dispositivo) podemos pedir datos como códigos de mesa y apodo para verificar tu identidad. También puedes presentar una queja ante la Autoridad de Protección de Datos Personales de Turquía.

10. Cambios y entrada en vigor

Este aviso entró en vigor el 18 de octubre de 2026. Los cambios se publican en esta página y se actualiza la fecha indicada arriba.