Política de privacidad
Última actualización: 9 de agosto de 2026
1. Responsable del tratamiento
El responsable del tratamiento de los datos personales recopilados a través del sitio www.pokeitem.fr y de la aplicación PokéItem es:
SAS POKEITEM
SIREN: 105 186 597, RCS Toulouse
Dirección: 26A route de Léguevin, 31820 Pibrac, Francia
Contacto para sus datos: [email protected]
2. Datos recopilados
Según los servicios utilizados, pueden recopilarse los siguientes datos:
| Datos | Fuente | Obligatorio |
|---|---|---|
| Dirección de correo electrónico | Registro de cuenta | Sí |
| Contraseña (con hash) | Registro de cuenta | Sí |
| Apodo / nombre de usuario | Registro de cuenta | Sí |
| Foto de perfil | Perfil de usuario | No |
| Datos de colección (cartas) | Uso de la app | No |
| Precios de compra introducidos | Uso de la app | No |
| Estado / grado de las cartas | Uso de la app | No |
| Datos de pago | Suscripción Pro (vía Stripe) | No |
| Dirección IP, navegador | Navegación automática | No |
| Datos de uso (páginas visitadas) | Analítica anónima | No |
| Código de referido | Referidos | No |
| Identificador de transacción in-app | Suscripción iOS/Android (vía RevenueCat) | No |
| Fotos de cartas (escaneo IA) | Función de escaneo de la app | No |
| Fecha de nacimiento | Acceso a las funciones sociales y a la mensajería | Sí |
| Contenidos publicados (nombre de usuario, foto de perfil, banner, biografía, vitrina, anuncios del Mercado, publicaciones del muro) | Funciones sociales | No |
| Mensajes privados (contenido, marca temporal, confirmaciones de lectura) | Mensajería entre usuarios | No |
| Relaciones sociales (seguimientos, bloqueos, denuncias emitidas y recibidas) | Funciones sociales | No |
| Datos de uso de la aplicación (eventos de interacción) | Uso de la aplicación | No |
| Parámetros de adquisición (utm_source, utm_medium, utm_campaign, utm_content, utm_term), procedentes del enlace de instalación o de la página de destino | Instalación de la app / visita al sitio | No |
Nota Stripe: Los datos de pago (número de tarjeta, etc.) nunca son almacenados por PokéItem. Son tratados exclusivamente por Stripe, proveedor de pago certificado PCI DSS. PokéItem conserva únicamente el identificador de transacción, el estado de la suscripción y las fechas de facturación.
PokéItem nunca recopila datos sensibles en el sentido del RGPD (datos de salud, orígenes étnicos, opiniones políticas, etc.).
Algunos datos son hechos públicos por el propio usuario: nombre de usuario, foto de perfil, banner, biografía, vitrina y anuncios del Mercado. Son visibles para los demás usuarios y, mediante un enlace de compartición del archivador, para cualquier persona que disponga de ese enlace, incluso sin cuenta. Un perfil puede pasarse a privado en cualquier momento desde los ajustes, y los importes de la colección pueden ocultarse por separado.
3. Finalidades del tratamiento
Los datos personales se tratan para las siguientes finalidades:
- →Creación y gestión de las cuentas de usuario
- →Prestación del Servicio (gestión de colección, estimaciones de precio)
- →Identificación de las cartas por IA (función de escaneo)
- →Gestión de la suscripción Pro y de la facturación
- →Envío de correos electrónicos transaccionales (confirmación, recordatorio de renovación)
- →Mejora del Servicio (analítica anónima)
- →Cumplimiento de las obligaciones legales (conservación contable)
- →Verificar la edad mínima de acceso a las funciones sociales (15 años) y a la mensajería privada (16 años)
- →Moderar automáticamente las imágenes publicadas antes de su puesta en línea y filtrar los textos
- →Tratar las denuncias y los bloqueos, suspender las cuentas abusivas
- →Medir el uso de la aplicación para mejorarla
- →Medir el origen de las instalaciones y de las suscripciones para evaluar la eficacia de las campañas de adquisición
4. Base legal del tratamiento
| Finalidad | Base legal |
|---|---|
| Gestión de la cuenta y del Servicio | Ejecución del contrato (Art. 6.1.b RGPD) |
| Facturación y suscripción | Ejecución del contrato (Art. 6.1.b RGPD) |
| Obligaciones contables | Obligación legal (Art. 6.1.c RGPD) |
| Analítica anónima | Interés legítimo (Art. 6.1.f RGPD) |
| Correos de marketing (si procede) | Consentimiento (Art. 6.1.a RGPD) |
| Contenidos publicados, anuncios y mensajería | Ejecución del contrato (Art. 6.1.b RGPD) |
| Verificación de la edad y moderación | Obligación legal (Art. 6.1.c y Art. 8 RGPD, edad del consentimiento digital fijada en 15 años en Francia) e interés legítimo (Art. 6.1.f RGPD) |
| Medición del uso de la aplicación | Interés legítimo (Art. 6.1.f RGPD) |
| Medición del origen de las instalaciones y de las suscripciones | Interés legítimo (Art. 6.1.f RGPD) |
5. Plazo de conservación
| Datos | Plazo |
|---|---|
| Cuenta de usuario activa | Duración de vida de la cuenta |
| Datos de la cuenta tras la supresión | 30 días (purga definitiva) |
| Datos de facturación | 10 años (obligación legal) |
| Registros de conexión | 12 meses |
| Datos de analítica anónima | 26 meses |
| Fotos de cartas escaneadas | No conservadas por PokéItem (tratamiento efímero, ver sección 6) |
| Mensajes privados | Mientras exista la conversación; se eliminan con la cuenta |
| Anuncios del Mercado | Se eliminan al cerrar el anuncio o la cuenta |
| Denuncias | El tiempo necesario para su tratamiento, después como prueba en caso de reincidencia |
| Fecha de nacimiento | Mientras exista la cuenta |
6. Destinatarios de los datos
Los datos personales de los usuarios son tratados por SAS POKEITEM y sus encargados técnicos:
- →Railway Corp. (Estados Unidos), alojamiento del sitio, de la aplicación web, de la API y de la base de datos PostgreSQL
- →Brevo SA (Francia), envío de los correos electrónicos transaccionales (confirmación de registro, recordatorio de renovación de suscripción)
- →Stripe, Inc. (Estados Unidos / Irlanda), tratamiento de las transacciones web (suscripción Premium vía el sitio)
- →Apple Inc. (Estados Unidos), autenticación vía «Sign in with Apple». Si el usuario activa la opción «Ocultar mi dirección de correo electrónico», PokéItem recibe únicamente la dirección de reenvío privado de Apple (@privaterelay.appleid.com); la dirección real permanece confidencial del lado de Apple.
- →Google LLC (Estados Unidos), autenticación vía «Sign in with Google» (OAuth 2.0). Solo el identificador de Google, la dirección de correo electrónico y la foto de perfil se transmiten a PokéItem durante la conexión.
- →RevenueCat, Inc. (Estados Unidos), gestión técnica de las suscripciones in-app iOS y Android (validación de los recibos de Apple App Store y Google Play, seguimiento del estado de suscripción). Datos compartidos con RevenueCat: appUserID anónimo, identificador de dispositivo, eventos de compra, recibos Apple/Google. La información bancaria nunca se transmite a RevenueCat. RevenueCat recibe además los parámetros de adquisición, para vincular una suscripción a la campaña de la que procede.
- →TCG API, tcgapi.io (Unión Europea), plataforma técnica de reconocimiento y cotización de cartas utilizada por la función de escaneo. Cuando un usuario escanea una carta a través de la app, la foto capturada se transmite a la API tcgapi.io, que orquesta la identificación de la carta y la correspondencia con el catálogo de precios. Solo se envía la imagen: ningún identificador de usuario, correo electrónico o nombre se incluye en la solicitud. La foto no se conserva una vez devuelto el resultado de identificación, y no es almacenada por PokéItem.
- →Google LLC (Estados Unidos), identificación de cartas Pokémon TCG por IA vía la API Gemini (proveedor principal del escaneo). La foto de la carta es analizada por el modelo Gemini para reconocer la carta (nombre, expansión, número). De conformidad con las condiciones de la API Gemini aplicables a las ofertas de pago, los datos transmitidos no se utilizan para entrenar los modelos y solo se conservan temporalmente con fines de detección de abusos, tras lo cual se eliminan.
- →Anthropic, PBC (Estados Unidos), identificación de cartas Pokémon TCG por IA vía la API Claude, utilizada como solución de respaldo (fallback) cuando el proveedor principal no está disponible. Mismas garantías: solo se transmite la imagen, sin ningún identificador de usuario. De conformidad con las condiciones de uso de la API de Anthropic, los datos transmitidos no se utilizan para entrenar los modelos y solo se conservan hasta 30 días con fines de seguridad (trust & safety), tras lo cual se eliminan.
- →Google LLC (Estados Unidos), análisis automatizado de las imágenes publicadas mediante la API Gemini, únicamente con fines de moderación
- →CDN de imágenes de PokéItem (cdn.pokeitem.fr), alojamiento de las fotos publicadas
- →Mixpanel, Inc. (Estados Unidos), medición del uso de la aplicación y origen de las instalaciones
Sesiones y autenticación: La gestión de las sesiones está a cargo de NextAuth.js v4 (código abierto, autoalojado, ninguna transferencia de datos a un tercero). Las sesiones están protegidas por tokens JWT, válidos 30 días y renovados automáticamente.
PokéItem no vende, no alquila ni cede los datos personales de sus usuarios a terceros con fines comerciales.
7. Transferencias fuera de la Unión Europea
Los siguientes servicios implican una transferencia de datos a Estados Unidos:
| Proveedor | Uso | Garantía |
|---|---|---|
| Railway Corp. | Alojamiento y base de datos | CCT (decisión 2021/914) |
| Stripe, Inc. | Pago web | CCT + DPF |
| Apple Inc. | Pago iOS, Sign in with Apple, App Store | DPF (certificado en julio de 2023) |
| Google LLC | Sign in with Google (OAuth), escaneo IA (API Gemini), moderación de las imágenes publicadas (API Gemini) | DPF (certificado en julio de 2023) |
| RevenueCat, Inc. | Gestión de suscripciones in-app (iOS + Android) | CCT (decisión 2021/914) |
| Anthropic, PBC | Escaneo IA (API Claude, solución de respaldo) | CCT (decisión 2021/914) |
| Mixpanel, Inc. | Medición del uso de la aplicación | CCT (decisión 2021/914) |
Las Cláusulas Contractuales Tipo (CCT) están aprobadas por la Comisión Europea (decisión 2021/914). El Data Privacy Framework (DPF) UE-Estados Unidos garantiza un nivel de protección adecuado de conformidad con el RGPD.
Brevo SA es una empresa francesa (sede en París): ninguna transferencia fuera de la UE para este servicio.
TCG API (tcgapi.io) está alojada en la Unión Europea: ninguna transferencia fuera de la UE para este servicio.
NextAuth.js es autoalojado: ninguna transferencia de datos a un tercero.
8. Tus derechos (RGPD)
De conformidad con el Reglamento (UE) 2016/679 (RGPD), dispones de los siguientes derechos sobre tus datos personales:
- →Derecho de acceso, obtener una copia de tus datos
- →Derecho de rectificación, corregir datos inexactos
- →Derecho de supresión, solicitar la eliminación de tus datos
- →Derecho a la portabilidad, recibir tus datos en un formato estructurado
- →Derecho de oposición, oponerte a determinados tratamientos
- →Derecho de limitación, restringir temporalmente un tratamiento
- →Derecho a retirar tu consentimiento en cualquier momento
Para ejercer estos derechos, contáctanos en [email protected]. Nos comprometemos a responder en un plazo de un mes.
En caso de respuesta insatisfactoria, puedes presentar una reclamación ante la CNIL (Comisión Nacional de Informática y Libertades de Francia), www.cnil.fr.
9. Cookies y rastreadores
El sitio www.pokeitem.fr utiliza:
| Herramienta / Cookie | Finalidad | Consentimiento requerido |
|---|---|---|
| Cookies técnicas | Funcionamiento del sitio, sesión de usuario | No |
| Cookies de autenticación (JWT) | Mantenimiento de la sesión de usuario conectada | No (necesarias para el Servicio) |
| Google Tag Manager (GTM) | Carga condicional de las herramientas de analítica, activo únicamente tras el consentimiento | Sí (vía banner de cookies) |
| Google Analytics 4 (GA4) | Estadísticas de visitas anonimizadas (vía GTM) | Sí (vía banner de cookies) |
| Meta Pixel | Analítica publicitaria, en preparación, aún no activo | Sí (en el momento de la activación) |
| TikTok Pixel | Analítica publicitaria, en preparación, aún no activo | Sí (en el momento de la activación) |
Google Tag Manager (GTM) está activo en www.pokeitem.fr. Solo se carga tras tu consentimiento explícito a través del banner de cookies. En caso de rechazo, no se ejecuta ningún script de analítica. Puedes modificar tu elección en cualquier momento a través del enlace «Gestionar cookies» al pie de página.
El Meta Pixel y el TikTok Pixel no están activos en el sitio www.pokeitem.fr y estarán sujetos a su consentimiento si llegaran a activarse. El SDK de Facebook está presente en el binario de la aplicación móvil, pero nunca se inicializa: su inicialización automática y el registro automático de eventos están desactivados, y el permiso de Android necesario para leer el identificador publicitario (AD_ID) no está declarado. Por lo tanto, no se transmite ningún dato a Meta desde la aplicación. Puede configurar su navegador para rechazar las cookies, lo que puede afectar a algunas funcionalidades del Servicio.
10. Seguridad de los datos
PokéItem implementa medidas técnicas y organizativas apropiadas para proteger tus datos personales frente a todo acceso no autorizado, pérdida, alteración o divulgación, en particular:
- →Cifrado de las comunicaciones (HTTPS/TLS)
- →Hash seguro de las contraseñas (bcrypt)
- →Acceso a los datos restringido al personal autorizado
- →Alojamiento en infraestructura certificada (Railway)
En caso de violación de datos susceptible de generar un riesgo para tus derechos, serás informado a la mayor brevedad, de conformidad con el artículo 34 del RGPD.
11. Modificaciones de la política
PokéItem se reserva el derecho de modificar la presente política de privacidad en cualquier momento, en particular para adaptarse a la evolución normativa. Las modificaciones sustanciales serán notificadas a los usuarios por correo electrónico o a través del Servicio.
La versión vigente es la publicada en esta página, con la fecha de última actualización en la parte superior.
Para cualquier consulta: [email protected]