Política de Privacidad
Última actualización: septiembre de 2026
1. Responsable del tratamiento
El responsable del tratamiento es el titular de LoroBet, cuyos datos identificativos figuran en el Aviso Legal.
Contacto para privacidad y ejercicio de derechos: [email protected]
No se ha designado Delegado de Protección de Datos: el tratamiento no reúne las condiciones del artículo 37 del RGPD ni del artículo 34 de la LOPDGDD, ya que LoroBet no es un operador de juego y no realiza observación sistemática a gran escala.
2. Datos que tratamos y de dónde salen
Todos los datos proceden de ti. No los compramos ni los obtenemos de terceros.
- De registro: nombre, email y contraseña (cifrada; nunca la vemos).
- Si entras con Google: el email y el nombre que Google nos comunica.
- De uso: transacciones, bonos y combinadas que registras tú, más tus preferencias de casas y filtros.
- De la comunidad: tu nombre de usuario y lo que publicas, que es visible públicamente.
- Técnicos: dirección IP, tipo de navegador y sistema operativo, usados para seguridad. La IP se emplea para limitar peticiones abusivas y se guarda en tres sitios distintos: en el registro de auditoría se almacena truncada; en el registro de inicios de sesión se guarda completa durante 90 días, junto al navegador, para poder investigar un acceso no autorizado a tu cuenta; y si autorizas un dispositivo de confianza para el segundo factor, queda anotada junto a él mientras dure esa autorización (30 días). El registro de inicios de sesión no se publica en ninguna pantalla; si quieres verlo, lo incluimos en «Descargar mis datos». Los dispositivos autorizados sí los ves, y los retiras, en Ajustes.
- De pago: identificadores de Stripe. Nunca vemos ni almacenamos tu tarjeta: la gestiona Stripe directamente.
3. Para qué los usamos y con qué base jurídica
Cada finalidad tiene su propia base legal. Cuando la base es el interés legítimo, hemos valorado que el tratamiento es necesario, mínimo y esperable, y que no prevalecen sobre él tus derechos; puedes oponerte escribiéndonos. A la analítica de visitas puedes oponerte tú mismo, al instante, desde la Política de Cookies.
| Finalidad | Datos | Base jurídica |
|---|---|---|
| Crear y mantener tu cuenta, autenticarte y darte acceso a las herramientas. | Email, nombre, contraseña cifrada. | Ejecución del contrato — art. 6.1.b RGPD |
| Guardar tus transacciones, bonos y combinadas para que puedas consultarlas. | Datos que tú introduces en el Tracker y las herramientas. | Ejecución del contrato — art. 6.1.b RGPD |
| Gestionar la suscripción PRO y los pagos, cuando estén activos. | Email, identificadores de cliente y suscripción de Stripe. | Ejecución del contrato — art. 6.1.b RGPD |
| Publicar tus mensajes en la comunidad bajo tu nombre de usuario. | Nombre de usuario, contenido que publicas, votos y reputación. | Ejecución del contrato — art. 6.1.b RGPD |
| Proteger el servicio: límites de peticiones, prevención de fuerza bruta, verificación antiabuso (CAPTCHA), moderación y registro de acciones sensibles. | Dirección IP (truncada en el registro de auditoría), datos técnicos del navegador. Al crear la cuenta, iniciar sesión o recuperar la contraseña, la verificación de Cloudflare Turnstile recibe tu IP y señales técnicas de tu navegador. | Interés legítimo en la seguridad del servicio — art. 6.1.f RGPD |
| Saber por qué canal llega la gente que se registra, para decidir dónde darnos a conocer. | Canal por el que creaste la cuenta (directo, buscador, redes sociales, otra web o campaña) y, si llegaste desde una campaña, su origen, medio y nombre. No guardamos la dirección completa ni lo que buscaste. | Interés legítimo en conocer qué canales funcionan — art. 6.1.f RGPD |
| Conservar los inicios de sesión de tu cuenta para poder investigar un acceso no autorizado y demostrar qué pasó. | Dirección IP completa, navegador y fecha de cada entrada o intento fallido en tu cuenta. No se publican en ninguna pantalla; los obtienes con «Descargar mis datos» desde Ajustes. | Interés legítimo en la seguridad de tu cuenta — art. 6.1.f RGPD (considerando 49) |
| Reconocer este navegador durante 30 días para no pedirte el código del segundo factor en cada entrada, si marcas la casilla. | Dirección IP, navegador y fechas de alta y último uso del dispositivo que autorizas. El identificador se guarda cifrado (SHA-256): ni nosotros podemos deducir de él la cookie de tu navegador. Los ves y los retiras uno a uno desde Ajustes. | Tu consentimiento, que das al marcar la casilla y retiras desde Ajustes — art. 6.1.a RGPD |
| Medir el rendimiento de la web para poder mejorarlo. | Métricas técnicas de carga (LCP, INP, CLS…), ruta visitada y tipo de dispositivo. Sin identificadores, sin IP y sin vincularlas a tu cuenta. | Interés legítimo en el buen funcionamiento del servicio — art. 6.1.f RGPD |
| Medir el uso de forma agregada: saber cuánta gente vuelve a la web y cada cuánto. | Fecha y hora de tu último acceso, y los días (sin hora) en que abriste la web con la sesión iniciada. Sólo se consultan en recuentos de conjunto, nunca persona a persona. | Interés legítimo en conocer el uso del servicio para mejorarlo — art. 6.1.f RGPD |
| Contar las visitas a la web y los pasos del proceso de suscripción (empezarla, completar el pago o cancelarlo). | Página visitada (con su título y lo que va tras el «?» de la dirección, como los parámetros de campaña), web de procedencia, navegador, sistema operativo, tipo de dispositivo, tamaño de pantalla, idioma y ubicación aproximada (país, región y ciudad, que se deduce de la IP en el momento sin guardarla). Lo recoge Umami, una analítica que alojamos nosotros (en nuestro servidor de Clouding.io, en España): no usa cookies, no guarda tu IP y no se vincula a tu cuenta. Del proceso de suscripción sólo anota el plan elegido. Puedes oponerte con «No rastrear» en tu navegador o con el botón «No contar mis visitas» de la Política de Cookies. | Interés legítimo en conocer el uso del servicio para mejorarlo — art. 6.1.f RGPD |
| Enviarte avisos relacionados con el servicio (cambios legales, incidencias). | Email. | Ejecución del contrato — art. 6.1.b RGPD |
| Conservar la prueba de que aceptaste los términos, confirmaste tu mayoría de edad y, si contratas PRO, pediste que el servicio empezara de inmediato. | Fecha de aceptación y versión aceptada; al contratar PRO, fecha y versión de tu solicitud de inicio inmediato. | Obligación legal y responsabilidad proactiva — arts. 5.2, 7.1 y 6.1.c RGPD |
No tomamos decisiones automatizadas con efectos jurídicos sobre ti ni elaboramos perfiles en el sentido del artículo 22 del RGPD. Los cálculos de las herramientas se ejecutan sobre los datos que tú introduces y no producen ninguna decisión sobre tu persona.
4. Cuánto tiempo los conservamos
| Dato | Plazo |
|---|---|
| Cuenta y perfil | Mientras la cuenta exista. |
| Cuentas inactivas | Se eliminan automáticamente tras 24 meses sin iniciar sesión. |
| Todos tus datos, si te das de baja | Se eliminan de inmediato y en cascada al borrar la cuenta desde Ajustes, con dos excepciones: conservamos durante 24 meses tu email y la fecha de la baja en el registro de auditoría, como prueba de que atendimos el borrado (arts. 5.2 y 17.3.e RGPD); y, si llegaste a iniciar una suscripción, tu ficha de cliente en Stripe (email y, si pagaste, facturas) no se borra automáticamente con la cuenta: las facturas se conservan el plazo que exige la normativa fiscal, y si no hay ninguna puedes pedirnos que la eliminemos. Nuestras copias de seguridad pueden contener tus datos durante un máximo de 7 días adicionales; pasado ese plazo desaparecen también de ellas. Durante ese periodo las copias no se usan para ninguna otra finalidad. |
| Registro de acciones sensibles (auditoría) | 24 meses, también después de una baja (es donde queda la prueba del borrado). Es una medida de seguridad exigida por los arts. 32-34 RGPD. |
| Canal por el que te registraste | Mientras la cuenta exista; se borra con ella, y con la eliminación automática tras 24 meses sin iniciar sesión. |
| Registro de inicios de sesión (IP completa y navegador) | 90 días, tras los cuales se borran automáticamente. Nuestras copias de seguridad pueden contenerlos durante un máximo de 7 días adicionales. |
| Dispositivos recordados para el segundo factor | 30 días desde que autorizas el dispositivo, o antes si lo retiras tú desde Ajustes. Pasado el plazo se borran automáticamente. |
| Métricas de rendimiento | Se purgan a diario de forma automática. Además, no están asociadas a ninguna persona: no son datos personales. |
| Último acceso y días con actividad | Mientras la cuenta exista. Los días de hace más de 24 meses se descartan en cada nuevo acceso, y la cuenta se elimina tras 24 meses sin iniciar sesión. |
| Visitas contadas con Umami | 24 meses, y después se borran automáticamente. No se asocian a ninguna persona ni a tu cuenta. |
| Datos de facturación, cuando existan pagos | Los que exija la normativa mercantil y fiscal (hasta 6 años, art. 30 del Código de Comercio). |
5. Quién más trata tus datos
No vendemos ni cedemos tus datos. Los siguientes proveedores actúan como encargados del tratamiento, únicamente para prestar el servicio, con un contrato de encargo conforme al artículo 28 del RGPD. En casi todos los casos ese contrato forma parte de las condiciones de servicio del proveedor y está en vigor desde que lo contratamos; si alguno está todavía formalizándose, lo indica su fila:
| Proveedor | Para qué | Ubicación | Garantía |
|---|---|---|---|
| Supabase | Autenticación, base de datos y almacenamiento de archivos. | Unión Europea (región del proyecto) | Tratamiento en el EEE. Sin transferencia internacional. |
| Vercel | Alojamiento y entrega de la aplicación web. | Estados Unidos | Data Privacy Framework UE-EE. UU. y cláusulas contractuales tipo. |
| Stripe | Procesamiento de pagos y gestión de suscripciones. | Irlanda y Estados Unidos | Data Privacy Framework y cláusulas contractuales tipo. |
| Upstash | Límite de peticiones (protección frente a fuerza bruta y abuso). | Estados Unidos | Cláusulas contractuales tipo. |
| Google Ireland | Inicio de sesión con Google, solo si eliges esa opción. | Irlanda y Estados Unidos | Data Privacy Framework y cláusulas contractuales tipo. |
| Resend | Envío de los correos transaccionales de la cuenta (confirmación de alta, restablecimiento de contraseña). | Estados Unidos | Data Privacy Framework UE-EE. UU. y cláusulas contractuales tipo. |
| Zoho | Alojamiento del buzón de contacto y de ejercicio de derechos ([email protected]). | Unión Europea | Tratamiento en el EEE. Sin transferencia internacional. |
| Cloudflare (R2) | Custodia de la copia de seguridad cifrada de la base de datos, fuera del servidor principal. | Unión Europea (bucket con jurisdicción UE) | Tratamiento en el EEE. Copia cifrada en origen; Cloudflare no dispone de la clave. |
| Clouding.io | Servidor propio en el que corren los procesos de cuotas y la analítica de visitas (Umami), y donde se guarda una copia de seguridad local de la base de datos durante 7 días. | España (centro de datos en Barcelona) | Tratamiento en el EEE. Sin transferencia internacional. El contrato de encargo con Clouding.io se está formalizando. |
| Cloudflare (Turnstile) | Verificación antiabuso (CAPTCHA) al crear la cuenta, iniciar sesión y recuperar la contraseña: dirección IP, navegador y otras señales técnicas del dispositivo. Cloudflare usa además esas señales, como responsable, para mejorar su detección de bots. | Red global de Cloudflare (incluye Estados Unidos) | Data Privacy Framework UE-EE. UU. y cláusulas contractuales tipo. |
Transferencias internacionales. Algunos de estos proveedores están establecidos fuera del Espacio Económico Europeo, según la tabla anterior. En esos casos la transferencia se ampara en la decisión de adecuación del Marco de Privacidad de Datos UE-EE. UU. y, subsidiariamente, en cláusulas contractuales tipo aprobadas por la Comisión Europea (arts. 45 y 46 RGPD). Puedes solicitarnos copia de esas garantías.
Quién no trata tus datos, aunque aparezca en la web.
- Telegram: Sólo recibe avisos de cuotas y promociones en canales públicos. No se le envía ningún dato personal de usuarios.
- DataImpulse: Es el proxy por el que consultamos las webs de las casas de apuestas. Ve nuestras peticiones a esas webs, nunca tu tráfico ni tus datos.
También podremos comunicar datos a jueces, tribunales y administraciones públicas cuando exista una obligación legal.
6. Seguridad
Aplicamos medidas técnicas y organizativas conforme al artículo 32 del RGPD: cifrado en tránsito, contraseñas almacenadas con funciones de derivación (nunca en texto plano), aislamiento de datos por usuario a nivel de base de datos, límites de peticiones para frenar la fuerza bruta, cabeceras de seguridad restrictivas y un registro de auditoría de las acciones sensibles.
Si se produjese una violación de seguridad que suponga un riesgo para tus derechos, la notificaremos a la Agencia Española de Protección de Datos en un plazo de 72 horas desde que tengamos constancia y, cuando el riesgo sea alto, también a ti (arts. 33 y 34).
7. Tus derechos
Puedes ejercer en cualquier momento los siguientes derechos:
- Acceso: saber qué datos tenemos y obtener una copia.
- Rectificación: corregir datos inexactos o incompletos.
- Supresión: que eliminemos tus datos.
- Portabilidad: recibirlos en un formato estructurado y de uso común.
- Oposición: oponerte a los tratamientos basados en interés legítimo.
- Limitación: pedir que suspendamos el tratamiento mientras se resuelve una reclamación.
Dos de ellos los puedes ejercer tú mismo, al instante, desde Ajustes: descargar todos tus datos en un fichero JSON (acceso y portabilidad) y eliminar tu cuenta con todo su contenido (supresión).
Para el resto, o si prefieres que lo hagamos nosotros, escribe a [email protected]. Responderemos en el plazo máximo de un mes desde la recepción (art. 12.3 RGPD).
Si consideras que no hemos atendido correctamente tu solicitud, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (C/ Jorge Juan 6, 28001 Madrid — www.aepd.es), sin perjuicio de cualquier otro recurso.
8. Menores de edad
El servicio está reservado a mayores de 18 años. En el registro debes confirmar expresamente tu mayoría de edad, y guardamos esa confirmación. No tratamos conscientemente datos de menores; si detectamos una cuenta de un menor, la eliminaremos. Si eres madre, padre o tutor y crees que un menor a tu cargo se ha registrado, escríbenos y actuaremos de inmediato.
9. Cookies y almacenamiento local
Solo usamos cookies estrictamente necesarias y almacenamiento local de preferencias. No hay cookies publicitarias ni de seguimiento de terceros, ni herramientas de analítica que te identifiquen. Las visitas las cuenta Umami, alojado en nuestro propio servidor, que no usa cookies, respeta «No rastrear» y deja de contar las tuyas si lo pides con un botón. El detalle, y ese botón, están en la Política de Cookies.
10. Cambios en esta política
Si modificamos esta política de forma sustancial, te lo comunicaremos a través de la Plataforma antes de que los cambios surtan efecto y, cuando proceda, te pediremos que la aceptes de nuevo. Conservamos la versión que aceptaste en cada momento.