Política de Privacidad
Última actualización: 12 de octubre de 2026En cumplimiento del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas (RGPD) y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), le informamos sobre el tratamiento de sus datos personales.
1. Responsable del Tratamiento
Identidad: Iker Miraz Cenizo · Provincia: A Coruña, Galicia, España · Email: mediaxpdev@gmail.com
2. Finalidad del Tratamiento y Base Legal
2.1. Registro y Gestión de Cuenta de Usuario
Finalidad:
Crear y gestionar su cuenta, permitirle acceder a los servicios, gestionar su biblioteca de contenido multimedia y mantener la seguridad de su cuenta.
Base legal:
Ejecución de un contrato (artículo 6.1.b RGPD).
Datos tratados:
Nombre de usuario, email, contraseña guardada como hash (si se registra con correo), identificador de su cuenta de Google (si entra con Google), fecha de registro, ID de usuario, cookie de sesión, preferencias, su biblioteca (series, películas y juegos, progreso, historial de lo que ve y juega, notas de partidas, valoraciones, XP y logros), sus amistades y saludos y sus notificaciones.
2.2. Inicio de Sesión con Google
Finalidad:
Si elige entrar con Google, crear su cuenta y reconocerle las siguientes veces sin contraseña.
Base legal:
Ejecución de un contrato (artículo 6.1.b RGPD).
Datos tratados:
Google nos facilita su email (que solo usamos si Google lo da por verificado) y un identificador de su cuenta de Google; a partir del email se le asigna un nombre de usuario, que puede cambiar. Solo le pedimos esos dos datos: no recibimos su nombre, su foto ni su contraseña de Google.
2.3. Vinculación con Steam (opcional)
Finalidad:
Si vincula su cuenta de Steam, importar sus juegos y sus horas jugadas a su biblioteca y actualizarlos cuando pulse Sincronizar.
Base legal:
Consentimiento (artículo 6.1.a RGPD): la activa usted y puede desvincularla cuando quiera desde Ajustes. Al desvincularla se borran su SteamID, su nombre y su avatar de Steam; los juegos y horas importados siguen en su biblioteca.
Datos tratados:
Su SteamID, su nombre y avatar públicos de Steam y su lista de juegos con las horas jugadas. Para leer sus juegos, los «Detalles de juego» de su perfil de Steam tienen que ser públicos.
2.4. Comunicaciones y Atención al Usuario
Finalidad:
Enviarle los correos de su cuenta (confirmar su dirección, restablecer la contraseña y avisarle si su cuenta entra con Google), responder a consultas y gestionar incidencias. No enviamos publicidad.
Base legal:
Ejecución de un contrato e interés legítimo (artículos 6.1.b y 6.1.f RGPD).
Datos tratados:
Email, nombre, contenido de las comunicaciones, fecha y hora de contacto.
2.5. Logs Técnicos y Seguridad
Finalidad:
Garantizar la seguridad de la plataforma, detectar y prevenir fraudes, abusos o actividades maliciosas, mantener logs técnicos para diagnóstico de errores y cumplir con obligaciones legales de seguridad.
Base legal: Interés legítimo y obligación legal (artículos 6.1.f y 6.1.c RGPD).
Datos tratados:
Nombre de usuario e ID interno, fecha y hora, detalles de errores y, si vincula Steam, su SteamID y su nombre en Steam. Su dirección IP solo se usa en memoria para limitar los intentos de acceso; no se guarda.
2.6. Funciones con Inteligencia Artificial
Cuatro funciones usan Claude, un modelo de inteligencia artificial de Anthropic (ver el apartado 5.1). Las propuestas, las traducciones, los resúmenes y los filtros de búsqueda los genera la IA: pueden equivocarse y son solo orientativos.
«¿Qué veo o juego ahora?» (en Inicio)
Finalidad: proponerle tres títulos de entre sus pendientes, cada uno con el motivo, según lo que más le ha gustado. Solo se hace cuando pulsa el botón; si no lo pulsa, no se envía nada. Puede pedirlo hasta 5 veces al día.
Base legal: ejecución del contrato (artículo 6.1.b RGPD): es el servicio que usted solicita al pulsar el botón.
Datos que se envían a Anthropic: de hasta 60 títulos pendientes (sin empezar, a medias, en pausa o en su lista de deseos), el título, el tipo, los géneros, el año y su estado (episodios que le quedan, duración u horas jugadas); y de hasta 15 títulos que completó con nota alta o marcó como favoritos (si ninguno tiene nota alta ni es favorito, los 10 últimos que completó), el título, el tipo, el año y su nota, si la tiene. No se envía su nombre de usuario, su email, su ID, sus amigos, sus notas de partidas ni ningún otro dato que le identifique. Aun así, como dicen cosas de sus gustos, los tratamos como datos personales suyos. Algunos títulos podrían dar pistas sobre sus gustos o creencias: no deducimos de ellos ningún dato sensible ni los usamos para nada más que la propuesta que pide.
Conservación: la propuesta se guarda solo en la memoria de nuestro servidor, para enseñársela si vuelve a Inicio, y se descarta a las 24 horas (o antes, si el servidor se reinicia); no se guarda en la base de datos. Lo que conserva Anthropic se explica en el apartado 5.1.
Sinopsis de los juegos en español
IGDB da las sinopsis de los juegos en inglés. Nuestro servidor envía a Anthropic el título y la sinopsis pública de cada juego para traducirla, una vez por juego, y guarda la traducción para todos los usuarios. No incluye ningún dato suyo: es texto público de IGDB, el mismo para todos, y no queda asociado a usted.
«Dónde lo dejé» (en la ficha de una serie)
Le recuerda, sin spoilers, lo que ya ha visto de una serie que tiene a medias. Solo se hace cuando pulsa el botón, y puede pedir hasta 10 resúmenes nuevos al día. Nuestro servidor envía a Anthropic el título de la serie y, de los episodios hasta el último que ha marcado como visto (nunca de los siguientes), el número, el título y la sinopsis pública de TMDb. No incluye ningún dato suyo: hasta dónde ha llegado es solo un número de episodio, y el resumen se guarda para todos los usuarios que lleguen a ese mismo episodio, sin quedar asociado a usted.
Búsqueda «✨ Con IA» (en los catálogos de juegos y de series y películas)
Convierte lo que escribe («algo corto de ciencia ficción para jugar con amigos») en los filtros del catálogo: géneros, plataformas, años, duración y temas. Solo se hace con la sesión iniciada y cuando pulsa «Buscar», y puede hacer hasta 15 búsquedas nuevas al día. Nuestro servidor envía a Anthropic solo la frase que ha escrito (en minúsculas y sin tildes) y la lista de valores posibles de los filtros. No incluye ningún dato de su cuenta: ni su nombre de usuario, ni su email, ni su ID, ni su colección. La frase y los filtros que salen de ella se guardan sin quedar asociados a usted, para no volver a preguntar a la IA cuando alguien escriba lo mismo, y se borran a los 30 días. Le pedimos que no escriba en ella datos personales: no deducimos de ella ningún dato sensible ni la usamos para nada más que la búsqueda que pide.
2.7. Cumplimiento de Obligaciones Legales
Finalidad: Cumplir con las obligaciones legales aplicables.
Base legal: Obligación legal (artículo 6.1.c RGPD).
Datos tratados: Los necesarios para cumplir con la normativa aplicable según cada caso específico.
3. Legitimación para el Tratamiento
El tratamiento de sus datos personales se basa en las siguientes bases legales:
Ejecución de contrato (art. 6.1.b RGPD): Para la prestación de los servicios solicitados al crear su cuenta y utilizar la plataforma.
Interés legítimo (art. 6.1.f RGPD): Para garantizar la seguridad de la plataforma, detectar fraudes, mantener logs técnicos y mejorar el servicio.
Obligación legal (art. 6.1.c RGPD): Para cumplir con las normativas aplicables en materia de seguridad, prevención de fraude y respuesta a autoridades competentes.
4. Plazo de Conservación de los Datos
Los datos personales se conservarán durante los siguientes plazos:
Cuenta: Mientras la cuenta exista. Al eliminarla desde Ajustes, sus datos se borran al momento.
Logs técnicos: 12 meses desde su generación, salvo necesidad para investigar incidentes.
Comunicaciones: 2 años desde la última comunicación para atender posibles reclamaciones.
Obligación legal: Durante el plazo establecido por la normativa específica aplicable.
5. Destinatarios de los Datos
Sus datos personales no serán cedidos a terceros con fines comerciales. Solo se comunicarán datos a terceros en los siguientes casos necesarios para la prestación del servicio:
5.1. Proveedores de Servicios Tecnológicos
Servicios de hosting y almacenamiento:
Render (Render Services, Inc.) aloja la aplicación web en su región de Fráncfort (Alemania, UE). Neon (Neon, Inc.) aloja la base de datos PostgreSQL, también en Fráncfort (UE). Cada día se hace una copia de seguridad de la base de datos, que se cifra antes de guardarla en GitHub (GitHub, Inc.) y se borra sola a los 7 días.
Servicios de email:
Resend (Resend, Inc.) envía los correos de su cuenta (confirmación, restablecer la contraseña y avisos) desde su región de Irlanda (UE). Solo recibe su dirección y el contenido de cada correo.
Política de privacidadServicios de inteligencia artificial:
Anthropic (Anthropic Ireland, Limited, del grupo de Anthropic, PBC) recibe a través de su API los datos de las funciones del apartado 2.6 y actúa como encargado del tratamiento, según su acuerdo de tratamiento de datos (Data Processing Addendum), que forma parte de sus condiciones comerciales. Esas condiciones le prohíben entrenar sus modelos con lo que le enviamos. Los datos se procesan y se guardan en infraestructura de Estados Unidos (ver el apartado 6). Anthropic borra lo enviado y la respuesta en un máximo de 30 días, salvo que la ley le obligue a conservarlos o que sus sistemas automáticos de seguridad marquen la petición por un posible incumplimiento de su política de uso: entonces puede conservarlos hasta 2 años.
Acuerdo de tratamiento de datos5.2. Servicios de Terceros
The Movie Database (TMDb)
Nuestro servidor consulta su API para buscar y mostrar series y películas, sin datos suyos. Su navegador descarga de sus servidores las imágenes (pósters y fondos), que reciben su IP. TMDb opera desde Estados Unidos.
Política de privacidadInternet Game Database (IGDB/Twitch)
Nuestro servidor consulta su API para buscar y mostrar videojuegos, sin datos suyos. Su navegador descarga de sus servidores las portadas y capturas, que reciben su IP. IGDB/Twitch opera desde Estados Unidos.
Política de privacidadSteam (Valve Corporation)
Solo si vincula su cuenta: nuestro servidor pide a la API de Steam su perfil público y su lista de juegos con su SteamID. Valve opera desde Estados Unidos.
Política de privacidadGoogle (Google Ireland Ltd. / Google LLC)
Si entra con Google, el inicio de sesión ocurre en la página de Google, que nos devuelve los datos del apartado 2.2. Además, las fuentes tipográficas de la web se descargan de Google Fonts.
Política de privacidad5.3. Otros Usuarios de MediaXP
Sus amigos ven su perfil, su biblioteca y su actividad. Si se une al ranking global, cualquier usuario ve su nombre de usuario y su XP, y su perfil según lo que elija en Ajustes. Su email nunca se muestra a otros usuarios.
5.4. Autoridades Públicas
Podemos comunicar sus datos a autoridades públicas, jueces y tribunales cuando sea requerido por ley o sea necesario para responder a procesos legales, proteger nuestros derechos o la seguridad de otros usuarios.
6. Transferencias Internacionales de Datos
Los datos de su cuenta se guardan en la Unión Europea (Fráncfort para la aplicación y la base de datos, Irlanda para el envío de correos), salvo la copia de seguridad diaria, que va cifrada y GitHub puede guardar fuera de la UE, y lo que se envía a Anthropic en las funciones con IA (apartado 2.6), que se procesa en Estados Unidos. Aun así, Render, Neon, Resend y GitHub son empresas de Estados Unidos, y otros servicios que usamos operan desde allí, lo que puede suponer transferencias internacionales de datos.
Garantizamos que estas transferencias se realizan con las garantías adecuadas según el artículo 46 del RGPD mediante:
Cláusulas contractuales tipo o Marco de Privacidad de Datos UE-EE. UU.: los mecanismos aprobados por la Comisión Europea que estos proveedores recogen en sus condiciones de tratamiento de datos.
Políticas de privacidad de terceros: Verificamos que los proveedores cumplan con estándares reconocidos de protección de datos.
Medidas de seguridad adicionales: Ciframos las comunicaciones mediante HTTPS/TLS y minimizamos los datos transferidos al estrictamente necesario.
7. Derechos del Usuario
Puede ejercer los siguientes derechos en relación con sus datos personales:
Estos derechos están regulados en los artículos 15-21 del RGPD. La rectificación (nombre de usuario y correo) y la supresión puede hacerlas usted mismo desde Ajustes; los demás, escribiendo a mediaxpdev@gmail.com.
Si considera que no hemos atendido correctamente sus derechos, puede presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD).
8. Medidas de Seguridad
Hemos implementado medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo y proteger sus datos personales:
Cifrado de contraseñas: Las contraseñas se guardan como hash con PBKDF2 (HMAC-SHA512, con sal y 100.000 iteraciones), el método de ASP.NET Core Identity. Nunca almacenamos contraseñas en texto plano. Tras 8 intentos fallidos seguidos, la cuenta se bloquea 5 minutos.
Comunicaciones cifradas: Todas las comunicaciones entre su navegador y nuestros servidores están cifradas mediante protocolo HTTPS con certificados TLS/SSL.
Almacenamiento seguro: Los datos se guardan en la infraestructura de Render y Neon, en centros de datos de la UE con seguridad física y lógica, y la conexión entre la aplicación y la base de datos va cifrada y verifica el certificado del servidor. La copia de seguridad diaria se cifra (AES-256) antes de salir hacia GitHub.
Actualizaciones de seguridad: Aplicamos actualizaciones y parches de seguridad periódicamente para corregir vulnerabilidades conocidas.
Sesiones limitadas: La sesión caduca tras 7 días sin entrar y, como máximo, a los 90 días; después hay que volver a iniciar sesión. La base de datos guarda además un historial de restauración para recuperarse de incidentes técnicos.
Control de acceso: El acceso a datos personales está restringido solo al personal estrictamente necesario bajo medidas de autenticación segura.
9. Menores de Edad
Este servicio está dirigido a personas mayores de 14 años, de conformidad con el artículo 7 de la Ley Orgánica 3/2018 (LOPDGDD).
No recopilamos intencionadamente datos de menores de 14 años sin el consentimiento previo y verificable de sus padres o tutores legales. Si detectamos que un menor ha facilitado datos sin consentimiento, procederemos a eliminarlos de forma inmediata.
10. Cookies
Solo utilizamos cookies técnicas esenciales para el funcionamiento del servicio. No usamos cookies de seguimiento ni publicitarias.
11. Decisiones Automatizadas
MediaXP NO toma decisiones automatizadas que produzcan efectos jurídicos sobre usted o que le afecten significativamente de forma similar basándose únicamente en el tratamiento automatizado de sus datos.
Para proponerle títulos en «¿Qué veo o juego ahora?», una IA analiza lo que tiene pendiente y lo que más le ha gustado, lo que puede considerarse una elaboración de perfiles. Solo ocurre cuando usted lo pide, son sugerencias entre sus propios títulos, no producen efectos jurídicos ni le afectan de forma significativa y no se usan para nada más (tampoco para publicidad). Si no quiere que se haga, basta con no pulsar el botón.
12. Actualizaciones de la Política
Nos reservamos el derecho de modificar la presente Política de Privacidad para adaptarla a cambios legislativos, jurisprudenciales o en las funcionalidades de la plataforma.
Cualquier modificación sustancial será notificada mediante:
• Aviso destacado en la plataforma antes de que los cambios entren en vigor
• Comunicación por email a su dirección de correo registrada (para cambios sustanciales)
13. Contacto y DPO
Para cualquier consulta sobre esta Política de Privacidad, sobre el tratamiento de sus datos personales, o para ejercer sus derechos:
Responsable del tratamiento: Iker Miraz Cenizo
Email: mediaxpdev@gmail.com
Provincia: A Coruña, Galicia, España
Nota: Dado que MediaXP es un proyecto personal sin ánimo de lucro, no estamos obligados a designar un Delegado de Protección de Datos (DPO) según el artículo 37 del RGPD.