Política de Privacidad
Redcard es una app de fútbol pensada para hinchas. Procesamos los datos mínimos necesarios para que funcione y nunca los vendemos. La infraestructura (Vercel, Neon, el proveedor de datos) cuesta dinero real — si te gusta Redcard, puedes apoyar con una donación o pagando Plus. Esta página resume qué recogemos, por qué, cuánto lo guardamos y qué derechos tenés.
Para la versión legalmente vinculante completa, lee docs/PRIVACY.md en GitHub.
1. Quiénes somos
Redcard la opera Gonzalo Yacante (el "operador", "nosotros"). Puedes contactar al operador en:
- Privacidad: privacy@redcard.pro
- DPO: dpo@redcard.pro
2. Qué recogemos
Email, hash de contraseña (bcrypt), fecha de nacimiento (para cumplir con GDPR/COPPA/LGPD), token de push, equipos y competiciones seguidas, preferencias de UI. Registros de consentimiento de cookies para GDPR Art. 7(1).
No recogemos: ubicación, contactos, IDs publicitarios, fingerprinting, rastreadores de terceros, datos biométricos. El pago se procesa directamente en Stripe.
3. Lo que nunca hacemos
- No vendemos datos.
- No hay publicidad conductual ni retargeting.
- No rastreamos al usuario fuera de Redcard.
- No tomamos decisiones automatizadas con efectos legales (GDPR Art. 22).
4. Tus derechos
Acceso, rectificación, supresión, portabilidad, oposición, retirada del consentimiento. Para ejercerlos, escríbenos a privacy@redcard.pro desde el email asociado a tu cuenta. Respondemos en 30 días (GDPR Art. 12(3)); en general procesamos en 5 días hábiles.
5. Cuánto tiempo conservamos los datos
Cuenta y email: hasta que la borres + 30 días de cooldown para re-registro. Logs de auditoría: 7 años. Consentimiento de cookies: 3 años. Sentry: 90 días. El worker de retención corre cada 24h y borra cuentas inactivas por más de 730 días sin suscripción activa.
6. Sub-procesadores
Compartimos lo mínimo con Neon, Upstash, Stripe, Firebase, Sentry, Vercel, Cloudflare, Apple/Google (autenticación). Todos tienen un DPA firmado. Lista completa + estado de los DPAs en docs/sub-processors.md .
7. Transferencias internacionales de datos
Redcard está alojada en EE.UU. Para usuarios de la UE/UK usamos el EU-US Data Privacy Framework (DPF). Para Brasil, las SCCs de la LGPD.
8. Cookies
Inventario completo de cookies en docs/COOKIES.md . El banner de consentimiento aparece en la primera visita (F15 v2).
9. Seguridad
TLS, bcrypt, 2FA TOTP, passkeys (WebAuthn), rate limit en Redis, Sentry con source maps, métricas Prometheus, on-call 24/7.
10. Notificación de brechas
Notificamos a la autoridad de control en 72h (GDPR Art. 33) y a ti individualmente en un plazo razonable (Art. 34).
11. Cambios a esta política
Cuando la actualicemos, subiremos la versión (vYYYY-MM-DD.N) y volveremos a solicitar el consentimiento.
12. Contacto
Privacidad: privacy@redcard.pro · DPO: dpo@redcard.pro