Política de Privacidad

cs2pickside.com es un servicio independiente: lo explota la persona propietaria de este sitio, que decide qué datos personales se recogen aquí y para qué, es decir, el «responsable del tratamiento» en el lenguaje del RGPD (GDPR).

Para cualquier asunto de esta política — una pregunta, una rectificación, una copia de sus datos, una supresión — escriba a [email protected]. El mensaje llega a una persona, y la respuesta viene de la misma dirección.

Esta política cubre el sitio y todos sus subdominios. Forma parte de nuestros Términos de Servicio.

Leer el sitio no requiere nada de usted: ni cuenta, ni nombre, ni formulario que rellenar. Lo que los servidores registran por su cuenta es el último grupo de más abajo y vale para todo el mundo; todo lo anterior se aplica en cuanto crea una cuenta, contrate una suscripción, nos escriba o se apunte a la newsletter.

Su cuenta:

• su dirección de correo, y una segunda mientras un cambio de dirección espera confirmación;
• su contraseña como resumen argon2id — nunca la contraseña en sí, que no podemos leer ni recuperar;
• el idioma en el que usa el sitio, para que un correo llegue en ese mismo idioma;
• cuándo aceptó los términos, qué versión aceptó y en qué versión lingüística se le mostró: la constancia con la que se responde a una disputa de pago;
• cuándo se creó la cuenta, cuándo fue el último inicio de sesión, si el correo está confirmado y de qué país llegó el registro: el país se deduce de la conexión y se guarda solo como código de país;
• contadores que bloquean una cuenta tras varios inicios de sesión fallidos seguidos, para que una contraseña no se pueda adivinar con calma.

Sus sesiones y el rastro de uso:

• una fila por sesión iniciada: el resumen del testigo de sesión (nunca el testigo), la dirección y el navegador desde los que se abrió, y cuándo se usó por última vez;
• una fila por cada día en que se usó la cuenta, con la dirección desde la que se hizo. Esto se guarda como prueba: los contracargos los defendemos nosotros, y «el servicio se usó estos días» es justo lo que pide un banco. Se borra a los 400 días;
• eventos de seguridad — inicios de sesión fallidos, bloqueos, registros rechazados — guardados 365 días, para que un patrón de abuso se vea y se pueda explicar.

Su suscripción:

• lo que nos dice nuestro proveedor de pago: los identificadores de la suscripción y de los pagos, su estado, las fechas, los importes y el país del medio de pago;
• los datos de su tarjeta los trata el proveedor con sus procesadores y nunca llegan hasta nosotros: no podríamos enseñárselos ni aunque los pidiera.

Lo que usted nos envía:

• los correos a soporte, sus adjuntos y nuestras respuestas — guardados junto con el hilo, para que una pregunta posterior tenga su historia;
• una suscripción a la newsletter: la dirección, su idioma y su estado de confirmación, hasta que se dé de baja;
• las notas que una persona del equipo escribe sobre una cuenta mientras atiende una solicitud.

Lo que los servidores registran por su cuenta:

• los registros de la aplicación y las trazas de las peticiones, incluidas la dirección y lo que se pidió — se conservan una ventana operativa corta y sirven para hacer funcionar el servicio y depurarlo;
• una fila por cada llegada aquí desde fuera: el sitio o la búsqueda que le trae, reducido al dominio y nunca la dirección completa; la página por la que entra; las etiquetas de campaña si el enlace las llevaba; el país deducido de la conexión; y su dirección como resumen en lugar de la dirección misma. Se guarda 90 días;
• un registro de los correos que le enviamos y de lo que pasó con ellos, para que un «nunca me avisaron» tenga respuesta;
• la analítica de páginas — véase la sección sobre cookies y analítica más abajo.

Ese resumen es lo que permite contar una llegada sin poder reconocerla. Sale de su dirección junto con un valor aleatorio que vive un día y luego se tira, así que mañana la misma dirección dará otro resumen, y de un resumen no se vuelve a ninguna dirección una vez que ese valor ha desaparecido. Si crea una cuenta, el resumen de ese mismo día queda también junto al alta — el único hilo que llega a unir una llegada con una persona, y desaparece con la cuenta.

Donde el RGPD (GDPR) o una ley comparable se le aplique, nos basamos en:

• la ejecución de nuestro contrato con usted — la cuenta, la suscripción y los correos que una suscripción tiene que enviar;
• nuestros intereses legítimos — mantener el servicio seguro, frenar el abuso de la prueba gratuita y de las restricciones por país, defendernos en una disputa de pago y saber cómo encuentra la gente el sitio y qué páginas usa, contando visitas sin identificar a nadie;
• una obligación legal — las constancias de los pagos y de la aceptación de los términos, que la normativa fiscal y los plazos de una disputa nos obligan a conservar;
• su consentimiento — la newsletter, que confirma pulsando un enlace y de la que puede darse de baja con un clic desde cualquier número.

Donde nos basamos en un interés legítimo, usted puede oponerse: escríbanos y se lo diga, y o bien pararemos o bien le explicaremos por qué en su caso ese interés prevalece.

El sitio no instala cookies publicitarias, no incrusta marcadores de publicidad y no le sigue por otros sitios. Una cookie mide cómo se usa el sitio, y no es nuestra: en el EEE y el Reino Unido, y allí donde no podemos determinar dónde está, solo se instala después de que usted la acepte; en el resto de sitios se instala por defecto. Puede cambiar esa respuesta cuando quiera: «Cookies» en el pie de página vuelve a abrir la pregunta, y rechazarlas retira también lo que ya estuviera guardado.

Lo que se guarda en su dispositivo:

• `cs2p_session` — la sesión iniciada, que solo el servidor puede leer;
• `cs2p_link_token` — la credencial de un solo uso que llega en un correo de restablecimiento o de confirmación, sacada de la barra de direcciones para que no la anote todo lo que anota direcciones. Solo la lee el servidor, y caduca quince minutos después de abrir el enlace;
• `cs2p_auth`, `cs2p_access`, `cs2p_trial_used` — marcas que la interfaz lee para decidir qué mostrar antes de que responda el servidor (sesión iniciada, acceso abierto, prueba ya usada). No llevan ningún identificador;
• `cs2p_locale` — el idioma que eligió, guardado un año. Solo se escribe cuando elige uno; abrir una página no cuenta como elegir;
• `cs2p_lang`, `cs2p_lang_off` — el idioma que sugieren su navegador y su país aproximado, y si la oferta de cambiar quedó descartada. El primero se calcula en cada petición y contiene un código de idioma, no una ubicación;
• `cs2p_install_off` — si ha rechazado la propuesta de instalar el sitio como aplicación. No contiene nada más que esa respuesta;
• `cs2p_gdpr`, `cs2p_consent` — si está en un sitio donde tenemos que preguntar por las cookies, y la respuesta que dio;
• `cs2p_consent_id` — la referencia con la que quedó archivada la respuesta, para que un cambio de opinión se anote junto a esa misma respuesta y no como una ajena al lado. Se instala solo si la pregunta llegó a hacerse;
• `_ga` y una cookie `_ga_` por propiedad — Google Analytics, que cuenta visitas y de dónde vinieron. Presentes solo donde la respuesta de arriba lo permite;
• `cs2p_nav_depth` — no es una cookie sino un número en el almacenamiento de pestaña de su navegador: por él sabe el botón de atrás si hay algún sitio al que volver. No lleva identificador, nunca se nos envía y desaparece con la pestaña;
• `pwa-install-dismissed` — la misma respuesta que la cookie de arriba, pero en el almacenamiento propio del navegador, para que la propuesta ya no vuelva. Nunca se nos envía;
• `cs2:chunk-reload-at` — el momento en que una página se recargó por última vez para tomar una versión que acabábamos de publicar; se guarda por pestaña para que una recarga no se convierta en un bucle. Nunca se nos envía y desaparece con la pestaña.

Nuestra propia analítica sigue en nuestros servidores y prescinde de cookies: en su dispositivo no se escribe ningún identificador, y el script y el recolector se sirven desde nuestro propio dominio para que la medición no salga de él. Lo que se cuenta son páginas, eventos y llegadas, y una llegada se cuenta por el resumen diario de más arriba, que distingue dos visitas del mismo día sin decirnos de quién son.

La segunda medición es Google Analytics, y esa no es nuestra. El marcador y todo lo que envía pasan por este sitio en lugar de ir directamente a Google, que es lo que lo mantiene funcionando para quien tiene un navegador que bloquea las direcciones de Google. Eso cambia con quién habla su navegador, no lo que Google averigua: las páginas abiertas, la búsqueda o el sitio del que llegó, el país y el tipo de dispositivo le siguen llegando, y su dirección también, que transmitimos para que el país siga siendo correcto. Nos dice cómo transcurre una visita y qué aspecto tiene nuestro tráfico al lado de todo lo demás que ve Google, cosa que nuestro propio recuento no da. No se usa para mostrarle publicidad, y no lo vinculamos con su cuenta.

Cuando responde a esa pregunta guardamos constancia de la respuesta, porque un consentimiento que luego no podemos aportar es un consentimiento en el que no podemos apoyarnos. La constancia recoge el momento, lo que eligió, el texto que se le mostró, el idioma en que lo leyó, la dirección de la que vino la respuesta y el país al que se resolvió, el navegador que usó y su cuenta si en ese momento tenía la sesión iniciada. Un rechazo se anota exactamente igual que una aceptación: la pregunta que con más probabilidad tendremos que responder es si paramos cuando nos lo pidió.

Esa constancia se guarda tres años y no se usa para nada más. No es analítica, no está ligada a nada de lo que haya leído, y se borra sola en cuanto es más antigua de lo que podría serlo cualquier disputa sobre ella.

Si algún día añadimos un marcador publicitario, preguntaremos antes de que funcione, y esta política lo dirá antes de que ocurra.

No vendemos datos personales ni los compartimos para el marketing de nadie. Los servicios de abajo los tratan siguiendo nuestras instrucciones, para que el sitio funcione:

• Whop — pagos y suscripciones, como vendedor oficial. Ahí están los datos de pago que nosotros no vemos, y de ahí nos llega el estado de su suscripción.
• Resend — el envío de nuestros correos y la recepción de lo que escribe a soporte.
• Cloudflare — la red delante del sitio: el túnel que lleva las peticiones, la comprobación antirrobots en los formularios de acceso y registro, y una medición del rendimiento de las páginas. Al hacerlo trata datos de conexión, entre ellos su dirección IP.
• Hetzner — los servidores en sí, en Alemania, donde viven la base de datos y las copias de seguridad.
• Google — la analítica que nos dice de dónde llegan las visitas, descrita en la sección sobre cookies. Donde no se ha dado el consentimiento, no recibe nada.

Nuestros pronósticos se elaboran con ayuda de un modelo de lenguaje, y a él no se le envía ningún dato personal: las preguntas que se le hacen son sobre partidos, equipos y torneos.

Fuera de esa lista solo revelamos datos personales donde la ley lo exige, o donde hace falta para formular o defender una reclamación — el caso de todos los días es un contracargo, y los términos de servicio dicen exactamente qué se le enseña a un banco.

La base de datos y sus copias de seguridad están en Alemania. Las copias están cifradas, y una de ellas se guarda fuera de la sala, en un proveedor de almacenamiento, cifrada también.

Algunos de los servicios anteriores están fuera de la UE. Donde los datos personales llegan hasta ellos, viajan con las garantías de transferencia que prevén sus propios contratos: las cláusulas contractuales tipo de la Comisión Europea en el caso habitual, y para Google su certificación en el Marco de Privacidad de Datos UE-EE. UU., que la Comisión ha considerado que ofrece una protección adecuada.

Cada cosa la guardamos mientras dure la razón de tenerla:

• la cuenta y su dirección de correo: hasta que pida que se borre;
• las sesiones: hasta que caducan, y entonces se barren;
• la constancia de los días en que se usó una cuenta: 400 días;
• los eventos de seguridad: 365 días;
• el registro de llegadas al sitio: 90 días;
• los pagos y la constancia de la aceptación de los términos: mientras lo exijan la normativa fiscal y el plazo de una disputa de pago, que sobrevive a la propia cuenta;
• los hilos de soporte: mientras sirvan para responder a una pregunta posterior;
• la newsletter: hasta que se dé de baja;
• los registros y trazas del servidor: una ventana operativa corta, que se mide en días.

Puede pedirnos que le enseñemos lo que tenemos, que lo rectifiquemos, que le demos una copia para llevársela a otro sitio, que lo borremos, que limitemos lo que hacemos con ello, u oponerse a un uso que basemos en un interés legítimo. Donde nos apoyamos en el consentimiento, puede retirarlo cuando quiera sin que eso afecte a lo hecho antes.

Escriba a [email protected] desde la dirección asociada a la cuenta. Contestamos en el plazo de un mes, que es el que concede el RGPD (GDPR), y normalmente mucho antes. No cobramos por ello.

La supresión significa que los datos identificativos se sobrescriben y que ya no se puede iniciar sesión en la cuenta. La llegada que lleva el mismo resumen que su alta se borra con ella, y una copia de sus datos incluye esa llegada — es la única de la que podemos demostrar que es suya. La supresión no elimina los registros que estamos obligados a conservar: los pagos y la aceptación de los términos siguen ahí por la obligación legal de arriba, ya sin un nombre al lado.

Si le parece que hemos manejado mal sus datos, dígalo primero aquí: preferimos arreglarlo. También tiene derecho a reclamar ante la autoridad de protección de datos del país en el que viva.

Las contraseñas se guardan como resúmenes argon2id. Los testigos de sesión son aleatorios y se guardan también solo como resúmenes, de modo que una copia de la base de datos no permite a nadie entrar en su lugar. Cada conexión va por HTTPS, y el sitio declara transporte estricto y una política de seguridad de contenidos.

El acceso y el registro están limitados en frecuencia y protegidos por una comprobación antirrobots, una cuenta se bloquea sola tras varios intentos fallidos, y la consola de administración solo la alcanzan las cuentas que tienen ese papel.

Las copias de seguridad se hacen a diario, van cifradas y se prueban restaurándolas según un calendario: una copia que nadie ha restaurado nunca es una esperanza, no una copia.

Ningún sistema es perfecto. Si alguna vez una brecha afecta a sus datos y la ley lo exige, se lo diremos a usted y a la autoridad dentro del plazo que la ley permite.

El sitio es para personas adultas: para tener una cuenta hay que tener al menos 18 años, y no recogemos a sabiendas datos de nadie más joven. Si descubrimos que una cuenta pertenece a alguien menor de 18 años, la cerramos, borramos lo que tenemos y devolvemos el último pago.

Podemos cambiar esta política, porque cambie el servicio o porque cambie la ley. La versión en vigor y la fecha en que empezó a aplicarse están impresas en la parte de arriba de esta página.

Un cambio que afecte de forma sustancial al uso que hacemos de datos que ya tenemos se anuncia por correo a la dirección de su cuenta antes de que entre en vigor, para que un cambio de uso nunca llegue sin avisar.

Preguntas sobre cualquiera de estas cosas: [email protected].