Política de privacidad

1. Responsable

Responsable en el sentido del RGPD: Cornelius Krämer, Kalkstraße 135, 51377 Leverkusen, correo: [email protected]. Más datos en el Aviso legal.

2. Tus derechos

Tienes en todo momento derecho de acceso (art. 15 RGPD), rectificación (art. 16), supresión (art. 17), limitación (art. 18), portabilidad (art. 20) y oposición (art. 21). Para cualquier solicitud basta un correo a la dirección indicada arriba.

Derecho a reclamar: tienes derecho a presentar una reclamación ante una autoridad de control de protección de datos. La autoridad competente para nosotros es la Comisionada de Protección de Datos y Libertad de Información de Renania del Norte-Westfalia (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf, Alemania, ldi.nrw.de. También puedes dirigirte a la autoridad de control de tu lugar de residencia.

Sin decisiones automatizadas: no se produce ninguna decisión automatizada, incluida la elaboración de perfiles en el sentido del art. 22 RGPD.

3. Archivos de registro del servidor & alojamiento

El sitio se sirve en Railway (región EU-West) a través del servidor web Caddy; el DNS, la protección TLS y la CDN funcionan a través de Cloudflare. En cada acceso se generan, por motivos técnicos, archivos de registro del servidor (entre otros, dirección IP, tipo/versión del navegador, sistema operativo, URL de referencia, hora). La base jurídica es nuestro interés legítimo en un funcionamiento seguro y estable y en la defensa frente a ataques (art. 6, ap. 1, letra f RGPD). La transmisión se realiza exclusivamente cifrada mediante TLS/HTTPS.

4. Ajustes locales & cesta

El tema (claro/oscuro), la elección de idioma y la cesta se almacenan exclusivamente de forma local en el navegador (localStorage/sessionStorage: sfa-theme, sfa-lang, sfa-cart, sfa-last-order) y no se nos transmiten mientras no inicies una compra/desbloqueo. Las fuentes se sirven localmente — sin CDN de Google Fonts. Sin tu consentimiento, no se utilizan cookies de análisis ni de marketing.

5. Cuenta & inicio de sesión

Para «Mis skills», compras y descargas puedes crear una cuenta. La autenticación se realiza a través de Supabase (auth/base de datos/almacenamiento; región UE). Inicio de sesión a elección mediante enlace mágico (sin contraseña, por correo) o por OAuth con Google, GitHub o Discord. Tratamos tu dirección de correo, en su caso el nombre/avatar del proveedor y un identificador de usuario interno; varios métodos de inicio de sesión con el mismo correo se asignan a la misma cuenta. Base jurídica: contrato/medidas precontractuales (art. 6, ap. 1, letra b RGPD). Facilitar estos datos es voluntario; sin cuenta puedes seguir utilizando las zonas de libre acceso, pero no las funciones personales como «Mis skills», los desbloqueos o las descargas. Si inicias sesión con Google, GitHub o Discord, obtenemos tu nombre y avatar del proveedor correspondiente como fuente de los datos (art. 14 RGPD).

6. Disponibilidad gratuita

Todos los Skills & Agents se proporcionan actualmente a título gratuito. No se realiza ningún procesamiento de pagos; no se recaban datos de pago ni se transmiten datos a un proveedor de servicios de pago.

7. Entrega & clave de licencia

Los skills desbloqueados gratuitamente se entregan únicamente tras el inicio de sesión y la comprobación de propiedad — a elección mediante un comando de instalación (CLI) o mediante enlaces de descarga firmados y de corta duración desde un almacenamiento no público. En el archivo descargado se incrusta una LICENSE.txt personal como prueba de licencia, que contiene tu clave de licencia, tu dirección de correo, la fecha de compra y la referencia de pedido. Base jurídica: contrato (art. 6, ap. 1, letra b RGPD).

8. Estadísticas

Contamos únicamente cifras agregadas de visitas y descargas por skill. No se almacenan direcciones IP, ni identificadores de visitante, ni datos personales; no es necesario un aviso de cookies. Base jurídica: interés legítimo en una simple medición de alcance (art. 6, ap. 1, letra f RGPD).

Analítica web & publicidad con Google — solo con tu consentimiento

Si aceptas en el aviso de cookies, utilizamos Google Analytics 4 (análisis de alcance y uso) y/o Google Ads (medición de la eficacia publicitaria, remarketing). El proveedor es Google Ireland Limited, Gordon House, Barrow Street, Dublín 4, Irlanda (empresa matriz: Google LLC, EE. UU.). Se utilizan cookies o identificadores similares y se tratan datos de uso y de dispositivo.

Las etiquetas de Google se cargan únicamente tras tu consentimiento — antes no se produce ninguna conexión con Google (Google Consent Mode, variante «basic»). La base jurídica es tu consentimiento (art. 6, ap. 1, letra a RGPD); la transferencia de datos asociada a EE. UU. se basa en tu consentimiento explícito (art. 49, ap. 1, letra a RGPD) y en el EU-US Data Privacy Framework. Puedes retirar o ajustar tu consentimiento en cualquier momento con efecto para el futuro a través de «Configuración de cookies» en el pie de página.

9. Contenidos públicos: perfil, reseñas y mención del creador

Algunas funciones publican datos tuyos en la web abierta — visibles para cualquiera y localizables por buscadores. Esto solo ocurre si utilizas o activas activamente la función correspondiente:

• Perfil público (/u/<handle>) — nombre mostrado, identificador, breve descripción, enlace web y avatar. Solo con el opt-in activado en los ajustes; por defecto el perfil no es público.
• Reseñas — texto de la reseña, estrellas y fecha. Tu nombre real solo aparece si has activado la visualización del nombre; de lo contrario se indica «Comprador verificado».
• Mención del creador — quien envía un skill se cita como autor en la página del skill (también según la visualización del nombre).

La base jurídica es tu consentimiento (art. 6, ap. 1, letra a RGPD), que puedes revocar en cualquier momento en los ajustes con efecto para el futuro. Ten en cuenta: una vez publicados, los contenidos pueden haber sido indexados por buscadores o copiados por terceros — algo sobre lo que no tenemos influencia. Si eliminas tu cuenta, la reseña que hayas dejado se anonimiza (nombre retirado, texto eliminado) para no falsear la valoración media de otros usuarios.

10. Prevención de abusos y seguridad

Para proteger la entrega tratamos datos de seguridad técnicamente necesarios. Tu dirección IP no se almacena en texto claro, sino únicamente como valor hash no reversible:

• Limitación de entregas — valor IP con hash y marca de tiempo, para impedir descargas automatizadas masivas (eliminación automática tras 24 horas).
• Informes de seguridad del navegador (Content Security Policy) — valor IP con hash, dirección bloqueada, hora (eliminación automática tras 30 días).
• Tokens de instalación y entrega — vinculados a tu cuenta para que solo tú puedas descargar los skills que has desbloqueado.

Base jurídica: interés legítimo en la seguridad operativa y la prevención de abusos (art. 6, ap. 1, letra f RGPD).

11. Boletín

Si se ofrece un boletín y te suscribes, tratamos tu dirección de correo mediante el procedimiento de doble opt-in sobre la base de tu consentimiento (art. 6, ap. 1, letra a RGPD). El consentimiento puede revocarse en cualquier momento con efecto para el futuro. (Actualmente no activo.)

12. Contacto

Cuando nos contactas por formulario o correo, tratamos tus datos para gestionar la solicitud (art. 6, ap. 1, letra b o f RGPD).

13. Destinatarios & encargados del tratamiento

Recurrimos a proveedores cuidadosamente seleccionados como encargados del tratamiento y celebramos con ellos, cuando es necesario, contratos de encargo del tratamiento conforme al art. 28 RGPD (o nos basamos en sus cláusulas tipo de encargo del tratamiento):

• Supabase — cuenta/autenticación, base de datos, almacenamiento de archivos (región UE); también envía los enlaces de inicio de sesión (enlace mágico) y los correos del sistema a través de un proveedor de envío como subencargado.
• Railway — alojamiento de la aplicación (región EU-West).
• Cloudflare — DNS, CDN, TLS y defensa frente a ataques (EE. UU./global).
• Strato — registro del dominio.

Si inicias sesión mediante OAuth, el proceso se realiza en Google, GitHub o Discord; el proveedor correspondiente sabe que estás iniciando sesión en skills-for-ai y trata los datos de acceso bajo su propia responsabilidad (en parte en EE. UU.). En ese sentido, estos proveedores no son encargados del tratamiento.

14. Transferencia a terceros países

Algunos servicios (en especial Cloudflare) pueden tratar datos en EE. UU. Una transferencia solo se realiza sobre la base de garantías adecuadas (cláusulas contractuales tipo de la UE o el EU-US Data Privacy Framework).

15. Plazo de conservación

• Datos de cuenta y propiedad — hasta que elimines tu cuenta o mientras sea necesario para proporcionar los skills desbloqueados.
• Reseñas — hasta que las retires o elimines tu cuenta (después se anonimizan, véase la sección 9).
• Archivos de registro del servidor — brevemente, por seguridad operativa; después se eliminan automáticamente.
• Limitación de entregas — 24 horas.
• Informes de seguridad (CSP) — 30 días.
• Pruebas de consentimiento — mientras exista la cuenta; después, mientras debamos poder demostrar la licitud del tratamiento.

Por lo demás, eliminamos los datos en cuanto deja de existir la finalidad y ninguna obligación legal de conservación lo impida.