Política de privacidad

Esta política describe cómo trata Pulso tus datos personales conforme al Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 de Protección de Datos y Garantía de Derechos Digitales (LOPDGDD).

1. Responsable del tratamiento

David — Pulso, proyecto editorial independiente (España). Proyecto personal sin actividad económica; el titular responde a través de los canales de contacto indicados.

Contacto privacidad: [email protected]

No se ha designado Delegado de Protección de Datos (DPO) por no concurrir los supuestos del art. 37 RGPD (no somos autoridad pública, no hay observación sistemática a gran escala ni tratamiento masivo de categorías especiales de datos).

2. Datos tratados, finalidades, bases legales y conservación

Finalidad	Datos	Base legal (art. 6 RGPD)	Conservación
Cuenta opcional	Email, contraseña hasheada (PBKDF2-SHA256), nick público, fecha de alta y último acceso, IP hasheada (SHA-256 con sal rotada diariamente)	Ejecución de contrato (6.1.b)	Mientras la cuenta esté activa + 1 año tras baja (prueba)
Newsletter	Email, IP hasheada del opt-in, timestamp	Consentimiento explícito (6.1.a)	Hasta revocación + 3 años de prueba (art. 7.1 RGPD)
Alertas de juegos gratis	Email, plataformas y eventos elegidos, IP hasheada del opt-in, timestamp	Consentimiento explícito (6.1.a)	Hasta revocación + 3 años de prueba (art. 7.1 RGPD)
Reacciones (corazones)	Cluster ID, IP hasheada (rotada diariamente), fecha	Interés legítimo (6.1.f) — métrica agregada	24 meses; después se anonimizan agregados
Analítica web agregada	Datos anónimos vía Cloudflare Web Analytics (sin cookies, sin fingerprinting individual)	Interés legítimo (6.1.f)	No aplica — datos anónimos no son personales
Atender comunicaciones	Datos del email entrante	Interés legítimo (6.1.f)	1 año tras última interacción
Cumplir obligaciones legales	Los anteriores cuando proceda	Obligación legal (6.1.c)	Plazos legales aplicables

3. Destinatarios y encargados del tratamiento

• Cloudflare, Inc. (hosting Pages, base de datos D1, Web Analytics, almacenamiento KV): infraestructura configurada con preferencia región UE. Cloudflare es signataria del EU-US Data Privacy Framework (Decisión de adecuación UE 2023/1795).
• Resend, Inc. (envío de la newsletter y de emails transaccionales de confirmación): EE.UU. Transferencia amparada en Cláusulas Contractuales Tipo (SCC) aprobadas por Decisión UE 2021/914 y, en su caso, adhesión al DPF.
• X Corp. (cuando el usuario activa el feed embebido de Twitter en la columna lateral, click-to-load): EE.UU. Solo se carga si el usuario lo activa expresamente. Adhesión al DPF.
• Proveedores de modelos de IA generativa (Workers AI / Pollinations): solo reciben prompts de texto sin datos personales identificables.

No se realizan otras cesiones salvo obligación legal (art. 6.1.c RGPD).

5. Transferencias internacionales

Las únicas transferencias fuera del Espacio Económico Europeo se producen hacia EE.UU. (Resend y, puntualmente, Cloudflare). Cuentan con las garantías del art. 46 RGPD (SCC) y/o de la Decisión de adecuación 2023/1795 (DPF).

6. Tus derechos

Puedes ejercer en cualquier momento los siguientes derechos:

• Acceso (art. 15) — saber qué datos tenemos.
• Rectificación (art. 16) — corregir datos inexactos.
• Supresión / olvido (art. 17) — borrar tus datos.
• Oposición (art. 21) — oponerte al tratamiento basado en interés legítimo.
• Limitación (art. 18) — bloquear el tratamiento mientras se resuelve una incidencia.
• Portabilidad (art. 20) — recibir tus datos en formato estructurado. Si tienes cuenta, puedes descargar un JSON con todos tus datos directamente desde tu perfil (sección "Descargar mis datos").
• No ser objeto de decisiones automatizadas (art. 22).
• Revocar consentimientos en cualquier momento (sin efecto retroactivo).

Cómo ejercerlos: envía email a [email protected] desde la dirección asociada a tu cuenta o, en su defecto, adjuntando copia de un documento identificativo. Resolveremos en plazo máximo de 1 mes (prorrogable 2 meses por complejidad, te avisaremos).

7. Reclamación ante la AEPD

Si consideras que el tratamiento no se ajusta a la normativa, puedes reclamar ante la Agencia Española de Protección de Datos: C/ Jorge Juan 6, 28001 Madrid. Sede electrónica: sedeagpd.gob.es

8. Eliminación de cuenta

1. Envía correo a [email protected] desde la dirección de tu cuenta o usa la opción "Borrar cuenta" en ajustes.
2. Respondemos y ejecutamos en máximo 30 días (art. 12 RGPD).
3. Se elimina: email, preferencias, intereses, sesiones activas, vínculo voto-usuario.
4. Se anonimiza: votos agregados (sin identificador), logs de seguridad pasan a hash irreversible.
5. Se conserva lo estrictamente necesario por obligación legal (prueba de consentimiento por 1 año tras baja).
6. Recibirás confirmación por escrito.

9. Menores

El uso de cuenta y la suscripción a la newsletter están reservados a mayores de 14 años (art. 7 LOPDGDD 3/2018). La lectura del sitio sin cuenta no requiere edad mínima, pero los menores deben contar con supervisión de tutores. Si detectamos una cuenta de menor sin autorización parental, será eliminada y se notificará al email asociado.

Los tutores pueden ejercer derechos en nombre del menor escribiendo a [email protected].

10. Seguridad

Las contraseñas (cuando hay cuenta opcional) se almacenan hasheadas con PBKDF2-SHA256 usando sal aleatoria por usuario. Las direcciones IP se guardan únicamente como hash SHA-256 con sal rotada diariamente. Las comunicaciones usan TLS 1.3. Las cookies de sesión son HttpOnly · Secure · SameSite=Lax con Cache-Control: private, no-store y Vary: Cookie para evitar contaminación entre usuarios en CDN.

11. Política anti-spam y abuso

• Rate limiting: lectura 60 req/min/IP, reacciones 1 por usuario por artículo (INSERT OR IGNORE), suscripción newsletter y alertas 5/h por IP, intentos de login 5/15 min, registro 5/h por IP.
• Detección de bots: análisis heurístico de patrones (cadencia, user-agent).
• Acciones: bloqueo temporal de IP (24-72 h), invalidación de votos sospechosos, suspensión de cuenta, baneo permanente en reincidencia.

12. Información comercial y patrocinios

Cumpliendo el art. 20 LSSI-CE y la Ley 34/1988 General de Publicidad: todo artículo o boletín patrocinado se etiqueta de forma visible ("Patrocinado", "Publicidad", "Contenido en colaboración con [marca]"). Los enlaces de afiliado se marcan con "Contiene enlaces de afiliado" al inicio del contenido. Los criterios editoriales no se ven afectados por la relación comercial.

13. Cookies

Véase la Política de Cookies.