Política de Privacidad
Última actualización: Julio 2026 — v2.1
Aquarium SMP — Comunidad — Bogotá, Colombia — [email protected] — DPO: [email protected] — Discord
0. Responsable del Tratamiento (Ley 1581 de 2012)
Responsable: Aquarium SMP — Comunidad, proyecto comunitario de jugadores sin personalidad jurídica propia (no es una empresa). Domicilio: Bogotá, Colombia — Email: [email protected] — Contacto privacidad: [email protected] — Canal alternativo: Discord oficial (ticket a administración). Bajo la Ley 1581 de 2012, el responsable del tratamiento puede ser un colectivo sin ánimo de lucro identificado por sus canales de contacto, sin necesidad de NIT.
1. Información que Recopilamos
Recopilamos solo lo necesario: - Cuenta: nombre de usuario Minecraft, UUID, displayName, email, hash bcrypt de contraseña, avatarUrl. - Postulación (/unete): email (obligatorio — se usa para notificarte y, si eres aceptado, para crear tu cuenta), edad, país, disponibilidad, experiencia, respuestas por rama (redstoner/builder/grinder/conocedor), links aportados, Discord (opcional), IP y user-agent en el envío. - Uso del sitio: IP (log de actividad y rate-limit), cookies de sesión/acceso, litemáticas/proyectos/historia que publicas (título, descripción, ficheros .litematic, imágenes WebP, metadatos de bloque). - Soporte: mensajes vía Discord webhook o email cuando solicitas acceso/códigos. No recopilamos categorías especiales de datos (art. 5 Ley 1581, ej. salud, orientación sexual, origen étnico) ni hacemos perfilado automatizado.
2. Finalidades y Uso
Usamos tus datos para: - Prestar el servicio (gestión de cuentas, postulaciones, votaciones de miembros, subida y visualización de litemáticas/proyectos/historia). - Seguridad: autenticación, prevención de abuso, rate limiting y registro de actividad (logs append-only). - Comunicaciones: notificaciones por email (Resend, solo si configuras RESEND_API_KEY) y avisos Discord webhook sobre postulaciones/proyectos. - Cumplimiento legal y auditoría. No vendemos datos ni los cedemos a terceros salvo encargados del tratamiento listados en §8. No hay publicidad ni rastreo de terceros.
3. Cookies y Tecnologías Similares
Solo cookies esenciales y una de preferencia. No hay cookies de publicidad ni rastreo. Base legal: interés legítimo para sesión/seguridad y excepción para cookies técnicas (Ley 1581). Puedes rechazar/configurar las no esenciales; el sitio sigue funcionando. Detalle en §7.
4. Plazos de Conservación
Conservamos cada categoría solo el tiempo necesario: - Cuentas y perfiles: mientras la cuenta esté activa + 12 meses tras baja (por reclamaciones y logs); borrado a petición. - Postulaciones rechazadas/retiradas: 12 meses (defensa ante reclamaciones y cooldown 30 días); postulaciones aceptadas se vinculan a la cuenta. - Logs de actividad (activity_log): append-only, mínimo 12 meses (seguridad) y máximo 24 meses salvo obligación legal. - Tokens de reseteo (password_reset_tokens): 10 minutos (expiran automáticamente, máx 3 intentos OTP). - Sesiones (member_sessions): hasta expiración JWT o logout/invalidación por cambio de contraseña. - Ficheros subidos (R2): hasta que borres el contenido o la cuenta. - Cookies: según duración en §7. Tras los plazos, supresión o anonimización.
5. Seguridad
Medidas técnicas y organizativas (Ley 1581, art. 19 Decreto 1377): - Contraseñas con bcrypt cost 12 + invalidación de todas las sesiones al cambiar contraseña. - Sesiones JWT (aq-session) validadas contra member_sessions; admin HMAC timingSafeEqual; CSRF por Origin==Host. - Cookies httpOnly, Secure, SameSite=Lax, 7 días (sesión) / 24h (admin) / 7 días (aq-known). - Cabeceras: CSP, HSTS, X-Frame-Options, rate limit en auth/upload. - R2 con claves aleatorias y validación de extensión/tamaño; escapeHtml en emails; validación zod. Notificamos brechas a la SIC y a titulares cuando haya riesgo alto.
6. Tus Derechos (Ley 1581 de 2012)
Tienes derecho a conocer, actualizar, rectificar y suprimir tus datos, revocar autorización y presentar quejas (arts. 8 y 15 Ley 1581). Cómo ejercerlos: escribe a [email protected] o [email protected] con asunto 'Derechos Habeas Data' indicando derecho y cuenta afectada; adjunta documento si es necesario. Respondemos en 10 días hábiles (consultas) o 15 días hábiles (reclamos), prorrogables según Decreto 1377. Reclamación: puedes reclamar ante la Superintendencia de Industria y Comercio (SIC) — www.sic.gov.co.
7. Cookies Específicas Utilizadas
Tabla vigente (revisada tras auditoría): • aq-session — Sesión de miembro. JWT firmado (jose) validado contra member_sessions. httpOnly, Secure, SameSite=Lax. 7 días. Esencial (auth). Sin ella no hay login. • aq-admin-token — Sesión admin. HMAC base64.hex. httpOnly, Secure, SameSite=Lax. 24 horas. Esencial panel admin. • aq-known — Acceso a litemáticas protegidas. HMAC. httpOnly, Secure, SameSite=Lax. 7 días. Esencial control de acceso. • NEXT_LOCALE — Preferencia idioma (es/en). No httpOnly. 1 año. Preferencia (no esencial estricta, rechazable). • aq-cookie-consent — Preferencia del banner (localStorage, no cookie HTTP). Persistente hasta que cambies configuración. Preferencia. No usamos cookies de terceros, analítica, publicidad ni fingerprinting. Puedes configurar/rechazar NEXT_LOCALE y aq-cookie-consent sin perder acceso esencial.
8. Encargados y Transferencias Internacionales
Encargados (art. 25 Decreto 1377 — contratos de transmisión): - Cloudflare R2 (almacenamiento: litematics/, screenshots/, avatars/) — EE.UU. - Resend (email transaccional) — EE.UU. — solo si habilitas RESEND_API_KEY. - Hosting/DB: VPS/Postgres donde despliegues (por defecto en Colombia/EE.UU.). - Discord webhooks (avisos) — EE.UU. No hay cesiones fuera de encargados. Si hay transferencia a país sin nivel adecuado, se ampara en autorización del titular y medidas del art. 26 Ley 1581.
9. Base Legal del Tratamiento (Ley 1581)
Mapeo por finalidad (art. 9 Ley 1581 — autorización previa): - Registro/login y prestación del servicio: autorización al crear cuenta/postular + ejecución de relación precontractual. - Cookies esenciales, logs de seguridad, rate limiting: interés legítimo y seguridad del servicio. - Preferencia de idioma/banner: autorización vía consentimiento del banner (revocable). - Datos de postulación (/unete con checkbox): autorización expresa. - Emails transaccionales: deber legal y finalidades autorizadas. Puedes revocar autorización en cualquier momento (art. 8 Ley 1581) sin efecto retroactivo; si la revocas antes de resolver postulación, no podremos evaluarla.
10. Menores de Edad
Servicio dirigido a mayores de 14 años (art. 12 Ley 1581). Si tienes 14-17 años, necesitas autorización de tus padres/tutores. No recopilamos a sabiendas datos de menores de 14 años; si lo detectamos, eliminaremos la cuenta. Padres/tutores: [email protected].
11. Delegado de Protección de Datos y Reclamaciones
Contacto privacidad: [email protected] (responde en 10-15 días hábiles según tipo). Responsable: [email protected]. Reclamaciones: puedes reclamar ante la SIC — www.sic.gov.co — y ejercer acciones ante jueces de Bogotá (ver §11 de Términos).
12. Cambios y Contacto
Actualizaremos esta política si cambian finalidades, encargados o plazos; publicamos la nueva versión con fecha y, si hay cambios sustanciales, avisamos por banner/email 15 días antes. Para dudas: [email protected] / [email protected]. Versión anterior disponible bajo petición.