Política de privacidad

1. Responsable del tratamiento

El responsable de los datos personales tratados en Cromolista es Martin Siles Reche, autónomo, operando bajo el nombre comercial Cromolista (cromolista.com). Puedes contactar para cualquier cuestión relacionada con tus datos en legal@cromolista.com.

2. Qué datos tratamos y para qué (finalidades)

• Gestión de tu cuenta: email, nombre de usuario, contraseña, fecha de nacimiento (para comprobar que eres mayor de edad) y provincia (para buscarte intercambios cercanos). Necesarios para crear y mantener la cuenta. De la contraseña no guardamos la contraseña en sí, sino su hash (bcrypt), una transformación irreversible: nadie —tampoco nosotros— puede recuperar tu contraseña a partir de lo guardado, solo restablecerla. Guardamos también la fecha de alta de tu cuenta (se publica en tu perfil como antigüedad, “En Cromolista desde…”) y tu preferencia de modo vacaciones, que pausa tu aparición en el matching mientras la tengas activada.
• Tu álbum: qué cromos marcas como “tengo”, “repe” o “falta”, por colección. Es el contenido central del servicio.
• Matching y perfil público: tus faltas y repes se comparan con las de otros coleccionistas para mostrarte con quién puedes intercambiar. Tu nickname, tu provincia y los números de cromo que coinciden son visibles para esos otros usuarios. Además, tu perfil público enseña tu antigüedad (“En Cromolista desde…”), tu reputación completa (el porcentaje de valoraciones positivas —o “Nuevo” si aún hay pocas—, cuántas valoraciones computadas has recibido y cuántos cambios has completado) y tu progreso en cada colección que has empezado (porcentaje y cromos que tienes). Ese perfil lo puede ver cualquiera, también sin cuenta, aunque pedimos a los buscadores que no lo indexen. Tu dirección postal solo la ve la otra parte de un cambio aceptado (punto siguiente); tu email no lo ve ningún otro usuario (sí quien administra el servicio, ver el punto de administración y moderación), y tu contraseña no la ve nadie: solo existe su hash.
• Valoraciones publicadas en el perfil: tu perfil público enseña, una por una, todas las valoraciones que has recibido al terminar un cambio: si fue positiva, neutral o negativa, el comentario tal y como lo escribió la otra persona, la fecha y el nombre de usuario de quien la escribió. La lista es la misma para todo el mundo y también se ve sin cuenta. Esto va en las dos direcciones: cuando eres tú quien valora, tu comentario y tu nombre de usuario quedan publicados en el perfil de la otra persona. No publicamos ni tus cambios cancelados, ni tus disputas, ni ningún indicador de cuándo te conectaste. Los comentarios se publican sin revisión previa: cada valoración lleva un botón para denunciarla —lo puede usar cualquiera con cuenta, empezando por la persona de la que habla—, revisamos cada aviso y te avisamos en Cromolista cuando esté resuelto. Si retiramos un comentario, desaparece del perfil y se queda solo el sentido de la valoración. Al darte de baja, los comentarios que escribiste se eliminan y tu nombre desaparece de ellos: quedan firmados como “usuario dado de baja”.
• Lista pública de faltas y repes (opcional y apagada de fábrica): puedes publicar una página con tu nombre de usuario, el nombre de la colección y los números de los cromos que te faltan y que te sobran (con cuántos te sobran de cada uno), para enseñársela a quien tú quieras fuera de Cromolista. Nace apagada y solo la enciendes tú, desde Mi cuenta, después de leer ahí mismo qué queda visible. Esa página no enseña tu provincia, ni tu correo, ni tu dirección, ni tus valoraciones, y no lleva enlace a tu perfil — pero sí enseña tu nombre de usuario, y desde él cualquiera puede abrir tu perfil público, que sí enseña tu provincia, tu fecha de alta y las valoraciones que has recibido. Su dirección lleva un código largo que no se puede adivinar: no aparece en tu perfil, pedimos a los buscadores que no la indexen y está excluida de nuestro mapa del sitio, así que solo llega quien tenga el enlace — pero quien lo tenga puede pasárselo a quien quiera, y con ese mismo código se ven también tus otras colecciones. Puedes dejar de publicarla en cualquier momento: el enlace deja de funcionar al instante y para siempre, y si vuelves a publicarla el enlace es otro. Si te das de baja se apaga sola y el código se borra. Si suspendemos tu cuenta, el enlace deja de servir mientras dure la suspensión y vuelve a funcionar si la levantamos, con el mismo código. Guardamos desde cuándo la tienes publicada y el código del enlace, y las dos cosas se borran al apagarla. La base de esto es tu consentimiento (art. 6.1.a RGPD), que retiras apagándola. Solo está disponible a partir de los 18 años: usamos la fecha de nacimiento que ya nos diste al registrarte, no te pedimos ningún dato nuevo. Por debajo de esa edad el interruptor no se puede activar, ni desde la pantalla ni de ninguna otra forma.
• Listas públicas de coleccionistas (activada de fábrica; puedes quitarte): en la ficha de cada colección publicamos quién la colecciona. De cada persona salen su nombre de usuario (que enlaza a su perfil público), cuántos cromos le faltan, cuántos le sobran, cuándo actualizó su álbum por última vez y la nota de hasta 80 caracteres que haya escrito, si la ha escrito. Tu provincia solo aparece si hay al menos 5 personas de tu provincia publicadas en esa misma colección; por debajo de esa cifra, esa casilla va vacía. No sale tu reputación, ni cuántos cambios has completado, ni tu correo, ni tu edad, ni tu dirección.
• Esa página sí la indexan los buscadores, al contrario que tu perfil y que la lista del punto anterior: es la única parte de Cromolista con datos de usuarios que sí aparece en Google, y lo decimos aquí para que no haya duda. La base legal es nuestro interés legítimo (art. 6.1.f RGPD) en enseñar que hay comunidad real con la que intercambiar —sin eso, quien llega desde una búsqueda no tiene forma de saber si esto está vivo—, y no es consentimiento: por eso puedes oponerte (art. 21 RGPD) desde Mi cuenta, con el interruptor No aparecer en listas públicas. Es incondicional e inmediato: no hace falta que expliques por qué, y tu fila desaparece de Cromolista en el momento —también tu nombre de la portada—. Lo que no controlamos es el buscador: la copia guardada por Google puede tardar en desaparecer de sus resultados, y si quieres acelerarlo puedes pedírselo directamente a Google. Guardamos desde cuándo te quitaste, y tu fila y tu nota se borran al darte de baja. Si suspendemos tu cuenta, dejas de aparecer mientras dure. La nota la escribes tú y la puede denunciar cualquiera con cuenta: si la retiramos, desaparece de la lista y no puedes escribir otra hasta que revisemos el caso.
• Seguridad y antiabuso (dirección IP): al registrarte, al iniciar sesión, al pedir la recuperación de contraseña y al pulsar un enlace de afiliado usamos tu dirección IP para limitar el número de intentos desde un mismo origen (por ejemplo, 5 registros por hora por IP) — es el freno que hace inviables la fuerza bruta contra las contraseñas, las altas en ráfaga, el inflado de clics y el bombardeo de correos de recuperación contra el buzón de otra persona. La IP no se guarda en la base de datos: vive en la memoria del servidor mientras el límite la necesita —desde unos minutos hasta una hora como máximo— y se descarta sola. Además, como en casi cualquier web, el servidor que recibe las peticiones (el proxy) anota la IP de cada petición en sus registros técnicos, que usamos solo para operar y proteger el servicio.
• Tus avisos: guardamos los avisos que el sitio te deja en la campana (un sobre que no ha salido, una disputa que ya puedes abrir…), con su fecha y con la fecha en la que los leíste, para poder enseñarte cuáles tienes pendientes. Solo los ves tú.
• Intercambios y dirección postal: para cerrar un cambio por correo te pedimos, al aceptarlo, tu dirección postal completa con tu nombre real — es lo que la otra persona escribe en el sobre. Se guarda cifrada en la base de datos y se revela exclusivamente a la otra parte de ese cambio aceptado, mientras el cambio está en marcha y hasta 30 días después de completarse; después deja de mostrarse. Nunca es pública ni aparece en tu perfil. También tratamos las notas que os escribís dentro de cada cambio y las valoraciones que os dejáis al terminarlo.
• Logros y racha: guardamos qué logros has desbloqueado y cuándo, y tu racha de días seguidos usando Cromolista. Para llevar la racha guardamos la fecha del último día en que hiciste algo aquí (marcar cromos o mover un cambio): es, dicho claro, un dato de cuándo te conectas. Solo lo ves tú, en tu álbum: ni aparece en tu perfil público ni lo ve ningún otro usuario. No guardamos la hora, solo el día. Esa misma fecha la usamos en recuentos, sin nombres, para saber cuánta gente sigue usando Cromolista (cuántas cuentas han hecho algo esta semana o este mes): son cifras internas, nunca listas de personas.
• Denuncias: si usas el botón de denunciar un perfil o una nota, guardamos qué has denunciado, el texto que escribes (hasta 500 caracteres, en el que normalmente hablas de otra persona) y quién eres. Lo leen únicamente las cuentas de administración, para decidir y para dejar constancia de la decisión. A la persona denunciada nunca se le dice quién avisó ni qué se escribió: como mucho recibe un aviso de que se ha tomado una medida sobre un contenido suyo.
• Peticiones de catálogo: si nos pides una colección que falta o nos avisas de un error en una checklist, guardamos lo que escribes (hasta 300 caracteres), qué colección es y quién eres, para poder avisarte en tus avisos de Cromolista cuando lo miremos. Lo leen únicamente las cuentas de administración. Si te das de baja, la petición se borra entera: existía para avisarte a ti, y sin cuenta ya no hay a quién avisar.
• Bloqueos entre personas: si bloqueas a alguien guardamos únicamente quién ha bloqueado a quién y en qué fecha. No se guarda ningún motivo: bloquear es una decisión tuya que no tienes que explicarle a nadie. Sirve para dos cosas —que esa persona no pueda mandarte propuestas de cambio y que dejéis de apareceros el uno al otro en la lista de cambios posibles— y no se le comunica: no recibe ningún aviso y en ningún momento se le dice que existe un bloqueo ni quién lo ha puesto; simplemente deja de verte, igual que a cualquiera con quien no tenga ningún cambio posible. Tampoco aparece en el panel de administración. Puedes ver tus bloqueos y deshacerlos cuando quieras desde Mi cuenta: al desbloquear, el dato se borra y no queda historial de que existiera.
• Suspensión de una cuenta: si suspendemos una cuenta guardamos la fecha, un motivo escrito sobre lo que ha pasado, quién tomó la decisión y el historial de esa suspensión y de su levantamiento. El motivo se le enseña a la persona suspendida cuando intenta entrar, con la dirección a la que reclamar (condiciones, punto 5); el historial lo ven solo las cuentas de administración, y existe para poder revisar la decisión más adelante.
• Administración y moderación: las cuentas con rol de administración ven en su panel tu email, tu provincia, tu fecha de alta, tu estado de suspensión (con su historial) y las denuncias abiertas que te afectan — es lo necesario para moderar, resolver denuncias y atender reclamaciones. No ven tu contraseña (solo existe su hash) ni tu dirección postal (se guarda cifrada y el panel no la enseña).
• Arbitraje de disputas: cuando un cambio acaba en disputa y lo arbitramos, escribimos un acta (hasta 1.000 caracteres) que cuenta qué pasó entre las dos personas y qué se ha decidido, firmada por quien la escribe. La ven las dos partes de ese cambio en su ficha, y nadie más. Sin acta no habría arbitraje: es el respaldo de las dos.
• Recuperación de contraseña: cuando pides el enlace de “he olvidado mi contraseña” (con el servicio de correo activo), guardamos una solicitud de recuperación vinculada a tu cuenta: cuándo se pidió, hasta cuándo vale el enlace (1 hora) y, si llegó a usarse, cuándo. La llave que lleva el enlace no se guarda: en la base de datos vive solo su hash (sha256), irreversible, así que quien leyera lo guardado no podría usar tu enlace. La finalidad es la seguridad del propio proceso: que cada enlace sirva una sola vez, que pedir otro invalide el anterior, y que quede constancia de que un cambio de contraseña vino de un enlace de correo —y de cuándo— por si alguien reclama que no fue él. Las solicitudes ya gastadas o caducadas se borran a los 30 días (una limpieza automática nocturna); darte de baja las borra todas de inmediato.
• Confirmación del correo: al registrarte (con el servicio de correo activo) te mandamos un enlace para comprobar que ese buzón es tuyo, y guardamos una solicitud de confirmación vinculada a tu cuenta: cuándo se pidió, hasta cuándo vale el enlace (24 horas) y, si llegó a usarse, cuándo. La llave que lleva el enlace no se guarda: en la base de datos vive solo su hash (sha256), irreversible. La finalidad es la seguridad de las dos partes de un cambio: aceptar un cambio abre las dos direcciones postales, así que antes de eso necesitamos saber que el correo de esa cuenta es de quien dice serlo. Las solicitudes ya gastadas o caducadas se borran a los 30 días (la misma limpieza automática nocturna); darte de baja las borra todas de inmediato. Aparte de la solicitud, en tu cuenta queda la fecha en que confirmaste: es la constancia de que ese buzón llegó a comprobarse.
• Emails transaccionales futuros: cuando el servicio de correo esté activo (confirmación del correo al registrarte, aviso de intercambio propuesto, recuperación de contraseña, etc.), usaremos tu email para esas comunicaciones operativas — no para marketing sin tu consentimiento aparte.

3. Base legal

Tratamos tus datos porque son necesarios para ejecutar el servicio que nos pides al crear una cuenta (art. 6.1.b RGPD: ejecución de un contrato) — el álbum y el matching no funcionan sin ellos. Cuando exista algún tratamiento adicional no imprescindible (por ejemplo, comunicaciones de marketing), se pedirá tu consentimiento expreso y separado (art. 6.1.a RGPD), y podrás retirarlo cuando quieras.

Los recuentos internos con los que decidimos si el servicio funciona (cuánta gente hizo algo esta semana, cuánta vuelve al mes) se apoyan en nuestro interés legítimo en mantener y mejorar el servicio (art. 6.1.f RGPD). Son cifras agregadas, no perfiles: no se usan para tratarte de forma distinta a nadie, y puedes oponerte escribiéndonos.

Con esa misma base medimos las visitas a las páginas: usamos una herramienta de analítica alojada en nuestro propio servidor (Umami) que cuenta páginas vistas de forma agregada, sin cookies y sin seguirte por otros sitios. Tu dirección IP no se guarda con la visita: se usa en el momento, junto con datos técnicos del navegador, para calcular un identificador efímero que distingue una visita de otra y no permite volver hasta ti. Nada de esto sale de nuestro servidor ni se comparte con terceros, y puedes oponerte escribiéndonos.

En ese mismo interés legítimo (art. 6.1.f RGPD) se apoya el uso de tu dirección IP para seguridad y antiabuso —los límites de intentos en el registro, el inicio de sesión, la recuperación de contraseña y los clics de afiliado descritos en el punto 2—: proteger el servicio de la fuerza bruta y del abuso protege también tus datos. El plazo de ese uso es corto: en la memoria del servidor desde unos minutos hasta una hora como máximo, más los registros técnicos del proxy que recibe las peticiones.

El propio servicio aplica además dos reglas automáticas que se derivan de tu historial de cambios y valoraciones, como parte de su funcionamiento (art. 6.1.b RGPD): la regla de quién envía primero en un cambio (a la parte con menos historial de valoraciones se le pide enviar primero) y el freno antifraude de la reputación (de las valoraciones entre las mismas dos personas y en el mismo sentido, solo computan para el porcentaje 3 en cada periodo de 90 días). Las dos están descritas en las condiciones de uso (punto 2); ninguna usa perfiles ni datos ajenos a ese historial, y cualquiera de las dos puede revisarse escribiéndonos.

4. Cuánto tiempo conservamos tus datos

Mientras tu cuenta esté activa, conservamos tus datos para prestarte el servicio. Tu dirección postal puedes borrarla tú en cualquier momento desde Mi cuenta (solo se aplaza si un cambio en marcha la necesita para el sobre) y se borra siempre con la baja.

Si te das de baja desde Mi cuenta, tu cuenta se anonimiza de forma irreversible: el email y el nombre de usuario se sustituyen por un identificador sin relación contigo, y se borran la contraseña, la fecha de nacimiento, la provincia y la dirección postal.

Esto es lo que pasa, campo por campo, con lo demás:

• Se borran: tu álbum, tus logros, tu racha y la fecha de tu última actividad, tus coincidencias de intercambio, tus avisos, y las denuncias que otras personas hubieran puesto contra ti o contra tus notas. También el motivo de tu suspensión y tu historial de sanciones, si los hubiera: hablan de ti, así que se van contigo.
• Se redacta lo que escribiste: las notas de tus cambios se sustituyen por un marcador, los comentarios de tus valoraciones se eliminan y el texto de las denuncias que tú pusiste se sustituye también por un marcador (la denuncia sigue contando para el historial de moderación, pero sin tus palabras).
• Se conserva anonimizado lo que sostiene el derecho de otra persona: el sentido de cada valoración que dejaste (positiva, neutral o negativa) y su cómputo, porque son la reputación de la otra parte; tus intercambios, para que el historial de quien cambió contigo siga cuadrando; y el acta de arbitraje de una disputa tuya, que es también el respaldo de la otra parte. Nada de esto lleva ya tu nombre.
• Lo que otras personas escribieron sobre ti tampoco se borra con tu baja: los comentarios de las valoraciones que recibiste los escribió la otra parte de cada cambio, son su testimonio sobre ese intercambio y parte de su historial, así que se conservan en el cambio al que pertenecen. Tras la baja dejan de estar asociados a tu nombre —tu cuenta queda anonimizada—, pero el texto en sí permanece.
• Si además habías moderado (cuentas de administración): las actas que firmaste, las notas con las que cerraste denuncias y las sanciones que aplicaste se conservan. No hablan de ti, sino de decisiones tomadas sobre otras personas, que son quienes las necesitan si quieren reclamar.

Dicho con honestidad: esto no es un “borrado” en el sentido de que la fila desaparezca de la base de datos —permanece anonimizada por motivos técnicos de integridad (por ejemplo, para no romper intercambios ya registrados con otros usuarios)—, pero deja de ser información personal tuya y no hay forma de revertirlo ni de volver a asociarla contigo.

Las copias de seguridad tienen su propio reloj. Cada noche se hace una copia íntegra de la base de datos (punto 8) y cada copia se conserva 30 días. Lo que se borra o se anonimiza —también con la baja— desaparece de la base de datos en el momento, pero pervive dentro de las copias ya hechas hasta que estas rotan: como máximo, 30 días más. Las copias existen solo para recuperar el servicio entero tras un desastre; no se consultan ni se restauran de forma selectiva para recuperar datos individuales.

5. Tus derechos

Tienes derecho a acceder a tus datos, a solicitar su rectificación o su supresión, a oponerte a un tratamiento, a pedir la limitación del tratamiento (art. 18 RGPD), a la portabilidad de tus datos, y a no ser objeto de decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos sobre ti o te afecten de modo similar (art. 22 RGPD). Puedes ejercerlos escribiendo a legal@cromolista.com, o directamente desde Mi cuenta: allí puedes darte de baja (supresión) y descargar una copia de tus datos (portabilidad, ver el párrafo siguiente). Si consideras que no hemos atendido tu solicitud correctamente, puedes reclamar ante la Agencia Española de Protección de Datos (AEPD), en aepd.es.

Descargar una copia de tus datos (portabilidad, art. 20 RGPD). Para esto no hace falta que nos escribas: desde Mi cuenta tienes un botón que te entrega, en el momento, un fichero JSON con tu cuenta (email, nombre de usuario, provincia, fecha de nacimiento, fecha de alta y modo vacaciones), tu dirección postal descifrada, tu álbum completo colección por colección, y tus cambios con sus fechas, los cromos de cada lado, las notas que escribiste tú y las valoraciones que diste y recibiste. De la otra persona de cada cambio aparecen su nombre de usuario y la valoración que te dejó, con su comentario, porque habla de ti y ya la ves en la ficha del cambio; nada más: ni su correo, ni su fecha de nacimiento, ni su dirección, ni lo que escribió en el hilo del cambio. Tu descarga no puede llevarse los datos de alguien que no ha pedido nada. No incluye tu contraseña (solo existe su hash, irreversible) ni tus avisos, logros y racha. El fichero se genera al pulsar y no se guarda en ningún sitio; se puede descargar hasta 3 veces por hora, porque generarlo es costoso. Como lleva tu dirección postal en claro, guárdalo donde guardarías un documento tuyo. Para lo que no esté en el fichero, el correo de arriba sigue siendo la vía completa.

6. Menores de edad

Cromolista es solo para mayores de 18 años y no se dirige a menores. El registro pide la fecha de nacimiento y rechaza cualquier alta por debajo de esa edad.

El mínimo es más alto que el que exige la ley española —la LOPDGDD (art. 7) permite el consentimiento propio desde los 14— y es una decisión nuestra, por cómo funciona el servicio: los intercambios se cierran por correo postal, de modo que las dos personas de un cambio aceptado se ven el nombre y la dirección. No queremos ese intercambio de datos con menores de por medio.

Si detectamos una cuenta de una persona menor de edad, la suspendemos y borramos sus datos. Si eres madre, padre o tutor y crees que un menor a tu cargo se ha registrado, escríbenos y lo resolvemos.

7. Enlaces de afiliación

En algunas fichas de colección verás enlaces a tiendas donde comprar el álbum o los sobres, marcados expresamente como enlaces de afiliado: si compras a través de ellos, Cromolista puede recibir una comisión de la tienda, y a ti no te cuesta más. Es la forma que tenemos de pagar el proyecto sin cobrarte por cambiar cromos.

Ese clic no te identifica y no usa cookies. Al pulsar, lo único que se guarda en la base de datos es que ese enlace ha recibido un clic y el día en que ocurrió: ni tu cuenta, ni tu navegador, ni de qué página venías. Tu dirección IP no se guarda en la base de datos: se usa unos instantes en la memoria del servidor para limitar los clics por minuto (el freno antiabuso del punto 2) y se descarta. Es un contador, no un registro de visitas — con lo que queda guardado no se puede saber quién pulsó, ni siquiera nosotros. La tienda a la que llegas sí tiene sus propias políticas y sus propias cookies, y esas dependen de ella.

8. Cesiones y transferencias internacionales

No cedemos tus datos a terceros con fines comerciales. Trata datos por cuenta nuestra, como encargado del tratamiento, Hetzner Online GmbH, donde está alojado el servidor con la base de datos, en su centro de datos de Núremberg (Alemania). Las copias de seguridad nocturnas (punto 4) se guardan hoy en ese mismo servidor, así que tampoco salen de Alemania.

Y Resend, Inc. envía nuestros correos transaccionales —la confirmación de tu correo, la recuperación de contraseña y los avisos del servicio—, tratando para ello tu dirección de email y el contenido de esos mensajes. Es la única transferencia internacional: Resend, Inc. es una empresa de Estados Unidos y actúa como encargada del tratamiento con un acuerdo de encargo que incorpora las cláusulas contractuales tipo de la Comisión Europea como garantía (art. 46.2.c RGPD). Todo lo demás —alojamiento, base de datos y copias— se queda dentro del Espacio Económico Europeo.