Privacidad

Solo lo necesario para que una partida funcione. En concreto:

• ·De quien organiza (host): correo electrónico, nombre visible y contraseña. La contraseña nunca se guarda: se almacena un hash argon2id, del que no se puede recuperar el original.
• ·Contenido creado: los quizzes, preguntas y respuestas que escribes.
• ·De quien juega (invitado): el nickname y el avatar que elige, sus respuestas y los tiempos de respuesta. No se pide correo, cuenta ni ningún dato identificativo.
• ·Sesión: un token de refresco guardado como hash, con el agente de usuario y la dirección IP de la sesión, para poder revocarla.
• ·Métricas de partida: contadores agregados (respuestas correctas, tiempos, participaciones) para el historial y la analítica.

• ·No hay analítica de terceros, píxeles de seguimiento ni cookies publicitarias.
• ·No se comparten, venden ni ceden datos a terceros.
• ·No se elabora ningún perfil de comportamiento.
• ·Los jugadores invitados no tienen cuenta, así que el mismo nickname en dos partidas no se trata como la misma persona: todo se mide como participaciones, nunca como personas únicas.

Se usa una sola cookie, refresh_token, estrictamente necesaria para mantener la sesión iniciada. Es httpOnly (inaccesible desde JavaScript), SameSite y, en un despliegue con HTTPS, Secure. No hay cookies de analítica ni de publicidad, así que tampoco hay banner de consentimiento que aceptar.

El correo se usa para dos cosas: confirmar la cuenta al registrarse y restablecer la contraseña. Los códigos de verificación se guardan solo como hash y caducan. Si la instancia está configurada con el transporte console, no se envía ningún correo a ningún proveedor externo.

• ·La cuenta y su contenido, mientras exista la cuenta.
• ·Las sesiones caducan solas y se invalidan al cerrar sesión.
• ·Los códigos de verificación caducan en cuestión de minutos y se borran al usarse.
• ·Los datos de una partida se conservan con ella, para que el historial siga teniendo sentido.

Sobre una instancia que administras tú, tienes control total: la base de datos es tuya. Sobre una instancia de terceros, dirígete a quien la opera. El software permite eliminar una cuenta con todo lo asociado en cascada — quizzes, partidas, jugadores y respuestas.

Las medidas implementadas están descritas con detalle en el documento de seguridad del repositorio, junto con la vía para reportar una vulnerabilidad de forma privada. Ningún sistema es infalible y este no ha sido auditado por terceros.

Para cualquier duda sobre esta página, escribe a cocicor.luis.vera@gmail.com. Para vulnerabilidades, usa el canal privado descrito en el documento de seguridad, nunca un issue público.

Ver también los términos de uso.