Política de privacidad
XPNotes solo recopila lo que la app necesita para funcionar (cuenta, juego, notas, grupo) y no vende datos ni muestra anuncios. Puedes descargar todo o eliminar tu cuenta desde la propia app.
Quién es el responsable
El responsable del tratamiento de tus datos (controller en el RGPD; controlador en la LGPD de Brasil) es Edcarlos Santos, Paraguay, quien mantiene XPNotes. Contacto para cualquier tema de privacidad: contact@xpnotes.com.
Esta política cubre la app (app.xpnotes.com) y el sitio (xpnotes.com).
Resumen
- Solo recopilamos lo que la app necesita para funcionar.
- No vendemos datos, no mostramos anuncios y no usamos cookies de rastreo.
- Puedes descargar todos tus datos y eliminar tu cuenta desde la propia app, en Ajustes → Privacidad.
- XPNotes es para personas de 18 años o más.
- IA solo si la usas: el texto que envías a la IA del Viejo Rey va a Anthropic y no lo guardamos; la IA que conectes (Claude, ChatGPT) lee lo que permitas, según sus propios términos.
Qué datos recopilamos
Cuenta
- Correo electrónico, nombre visible, identificador público (Nombre#1234), idioma y zona horaria.
- Contraseña: tu navegador calcula una clave a partir de ella (scrypt) y el servidor solo guarda un resumen de esa clave. Tu contraseña nunca llega al servidor.
- Fechas de la cuenta (creación, último acceso), confirmación de edad (18+), aceptación de los Términos, plan, el aviso de lanzamiento de Épico (si lo activaste) y el origen del registro (de qué página o campaña llegaste, sin identificarte).
- Verificación en dos pasos, si la activas: el secreto del código, guardado cifrado, y los códigos de recuperación, guardados solo como resumen.
Lo que creas en la app
- Misiones, metas, historial, estado del juego (nivel, clase, objetos, oro) y ajustes.
- Notas, carpetas y los archivos que subes a las notas (imágenes y adjuntos como PDF, documentos y audio). Los adjuntos son privados: solo tú los abres, con un enlace que dura 10 minutos.
- Fotos de las metas.
- En un grupo: participación, mensajes del chat y las denuncias de mensajes que hagas.
- Un testimonio, si envías uno (con la autorización para publicarlo).
Pagos (plan Épico y regalos)
- Quien procesa el pago es Dodo Payments, que vende en nuestro nombre (revendedor autorizado). Los datos de la tarjeta o del medio de pago, la dirección de facturación y los datos fiscales quedan con Dodo Payments; nosotros nunca vemos ni guardamos el número de la tarjeta.
- Guardamos el registro de cada compra: qué se compró, monto, moneda, fecha, estado (pagado, reembolsado, disputado), los identificadores de la compra y de la suscripción en Dodo Payments y, en los regalos, quién lo dio, quién lo recibió y el mensaje.
IA (solo si la usas)
- IA del Viejo Rey: cuando pides una sugerencia, el texto del objetivo, de la nota o de la misión (o los números de tu semana, en el consejo de la semana) se envía a Anthropic para generar la respuesta. No guardamos lo que enviaste. Solo guardamos números sobre el uso (tipo de pedido, fecha, resultado, si fue rechazado y en qué categoría, tamaño y costo), la aceptación del aviso de privacidad, la respuesta lista por 24 horas (para no repetir el mismo pedido) y el consejo de la semana hasta la semana siguiente.
- IA que conectas (Claude, ChatGPT u otra): el nombre de la app, la dirección a la que vuelve, los permisos y las fechas de la conexión; las claves de acceso se guardan solo como resumen. Lo que esa IA crea o edita en tu cuenta queda marcado con ✨ y entra en el registro de uso (sin textos). La preferencia "Permitir que la IA edite tus notas" se guarda en tu cuenta.
Datos técnicos
- Dirección IP y el navegador que usas (user agent), ligados a la sesión, por seguridad y para limitar intentos de acceso.
- Registros técnicos de errores y de funcionamiento, que el proveedor de alojamiento guarda por pocos días.
No recopilamos ubicación precisa, contactos, datos de la tarjeta o del medio de pago (los guarda Dodo Payments) ni datos sensibles. No pidas ni escribas datos sensibles de otras personas en las notas o en el chat.
Para qué los usamos
| Uso | Base legal (RGPD / LGPD) |
|---|---|
| Crear y mantener la cuenta, hacer funcionar el juego, guardar notas y el grupo | Ejecución del contrato (los Términos de uso) |
| Vender y entregar Épico y los regalos, gestionar cancelaciones, reembolsos y disputas | Ejecución del contrato |
| Guardar el registro de las compras | Obligación legal e interés legítimo (defensa en disputas) |
| Seguridad: límites de intentos, antibots, detección de abuso, auditoría del equipo | Interés legítimo y protección de la cuenta |
| Correos de la cuenta (confirmación, cambio de contraseña, avisos de seguridad) | Ejecución del contrato |
| Un correo avisando del lanzamiento de Épico, solo si pediste el aviso | Consentimiento (puedes desactivar el aviso cuando quieras) |
| Saber cuántas personas llegan por cada página o campaña (agregado) | Interés legítimo |
| Publicar tu testimonio | Consentimiento (puedes retirarlo cuando quieras) |
| Sugerencias de la IA del Viejo Rey y el consejo de la semana | Consentimiento (el aviso de privacidad; puedes retirarlo en Ajustes → IA) |
| Dejar que la IA que conectes lea y cree en tu cuenta | Consentimiento (el "Permitir" de la conexión; puedes desconectar cuando quieras) |
| Contar el uso y el costo de la IA para límites, costos y seguridad (solo números) | Interés legítimo |
| Cumplir la ley y responder a las autoridades | Obligación legal |
No creamos perfiles publicitarios y no tomamos decisiones automatizadas que te afecten de forma significativa.
Con quién los compartimos
Solo con los servicios que hacen funcionar XPNotes, cada uno con lo mínimo necesario:
- Cloudflare (alojamiento, base de datos, almacenamiento de imágenes y adjuntos, protección contra bots con Turnstile y, en el sitio, medición de visitas sin cookies).
- Resend (envío de los correos de la cuenta).
- Dodo Payments (pagos del plan Épico y de los regalos): recibe tu correo, el identificador interno de tu cuenta y lo que estás comprando; Dodo Payments trata los datos de pago según su propia política de privacidad, en dodopayments.com.
- Anthropic (IA del Viejo Rey): recibe el texto de cada pedido que haces al Viejo Rey y devuelve la sugerencia. Según los términos comerciales de Anthropic, este contenido no se usa para entrenar sus modelos; trata los datos según su propia política, en anthropic.com.
- La IA que conectes (por ejemplo, Claude o ChatGPT): lo que lea de tus misiones, objetivos y notas va a ese servicio, elegido por ti, y sigue sus términos y su política. Puedes desconectar cuando quieras en Ajustes → IA.
Los miembros de tu grupo ven tu nombre, nivel, clase, apariencia, atributos, habilidades, medallas, si cumpliste el día y la semana, y tus mensajes en el chat; los títulos y fotos de las metas solo aparecen si lo permites en los ajustes. El grupo nunca ve tus misiones, horarios, oro, inventario, correo ni zona horaria.
No vendemos ni alquilamos datos a nadie. Podemos entregar datos a una autoridad cuando la ley lo exija.
Transferencia internacional
Los proveedores de arriba procesan datos en varios países, incluidos los Estados Unidos. Usamos proveedores que ofrecen garantías contractuales de protección de datos reconocidas por el RGPD y la LGPD.
Cuánto tiempo los guardamos
| Dato | Plazo |
|---|---|
| Cuenta, juego, notas, fotos, imágenes y adjuntos | Mientras exista la cuenta. Al eliminarla, se borra todo. |
| Sesiones (IP y navegador) | Hasta 30 días después del último uso de esa sesión |
| Contadores de límite por IP y por correo | Hasta unas 25 horas |
| Registro aún no confirmado | 24 horas |
| Enlace para cambiar la contraseña | 30 minutos |
| "Recordar este dispositivo" de la verificación en dos pasos | 30 días |
| Mensajes del chat del grupo | Los 200 más recientes de cada grupo |
| Registros de seguridad y de acciones del equipo | 400 días |
| Registro de compras, suscripciones y regalos | Por el plazo que exija la ley y para resolver reembolsos y disputas; al eliminar la cuenta, quedan sin vínculo contigo |
| Avisos de pago recibidos de Dodo Payments | 400 días |
| Registro de uso de la IA (solo números, sin textos) | 90 días |
| Respuesta lista de la IA del Viejo Rey | 24 horas |
| Consejo de la semana | Hasta el consejo de la semana siguiente |
| Conexión con una IA externa | Hasta que desconectes (las claves de acceso valen 1 hora y se renuevan por hasta 30 días) |
| Registros técnicos del alojamiento | Pocos días |
Al eliminar la cuenta, una suscripción activa de Épico se cancela en Dodo Payments antes que cualquier otra cosa, para que no se cobre nada más.
Cuando eliminas tu cuenta, tus mensajes en el chat del grupo siguen para los demás miembros, sin tu nombre ("Cuenta eliminada"), y los registros de seguridad guardan solo el identificador interno, sin correo ni nombre, hasta el plazo de arriba.
Cookies y almacenamiento en el navegador
Sin cookies de rastreo y sin banner de consentimiento. Solo usamos lo necesario:
| Nombre | Dónde | Para qué | Duración |
|---|---|---|---|
gl_refresh | App | Mantener tu sesión iniciada (esencial) | 30 días |
xp_mfa_trust | App | "Recordar este dispositivo" en la verificación en dos pasos, si lo eliges | 30 días |
xp_session_hint | App y sitio | Contiene solo "1": el sitio cambia "Iniciar sesión" por "Abrir la app" | Igual que la sesión |
La app y el sitio también guardan en tu propio navegador el idioma, el tema, una copia del estado del juego y los borradores de las notas, para abrir más rápido y no perder lo que escribiste. Eso no sale de tu dispositivo salvo por el funcionamiento normal de la app.
Tus derechos
En cualquier momento puedes:
- Descargar tus datos: Ajustes → Privacidad → "Descargar mis datos" (un archivo con la cuenta, el juego y el historial).
- Corregir tu nombre, idioma, zona horaria y otros datos en Ajustes.
- Eliminar tu cuenta: Ajustes → Privacidad → "Eliminar mi cuenta". La eliminación es definitiva.
- Retirar el consentimiento de tu testimonio, en Ajustes.
- Desconectar una IA o retirar el consentimiento de la IA del Viejo Rey: Ajustes → IA. "Descargar mis datos" también incluye las apps conectadas y el uso de la IA por mes (sin textos).
- Pedir acceso, oposición, limitación, portabilidad o cualquier otro derecho del RGPD (artículos 15 a 22) o de la LGPD (artículo 18) en contact@xpnotes.com. Respondemos en un plazo de 15 días.
Si crees que no lo resolvimos, puedes reclamar ante la autoridad de protección de datos de tu país.
Seguridad
Una contraseña que nunca llega al servidor, verificación en dos pasos opcional, conexión siempre cifrada, secretos guardados cifrados, límites contra intentos repetidos y registro de las acciones del equipo. Ningún sistema es perfecto: si algo les pasa a tus datos, te avisamos a ti y a las autoridades como manda la ley.
Edad mínima
XPNotes es para personas de 18 años o más. Si sabemos que una cuenta es de una persona menor de edad, la eliminamos.
Cambios en esta política
Cuando la política cambie de forma relevante, te avisaremos en la app antes de que el cambio entre en vigor. La fecha y la versión están arriba en esta página.