Política de privacidad
Última actualización: 8 de julio de 2026 Versión: 1.1
Esta política explica qué datos personales tratamos cuando usas Striker Path, con qué finalidad, y los derechos que te reconoce el Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD).
1. Responsable del tratamiento
- Titular: Francisco Flores Lucena, persona física en régimen de actividad por cuenta propia (autónomo) con domicilio fiscal en España.
- NIF: 32732159P.
- Contacto a efectos de privacidad: privacy@strikerpath.com.
- Marca comercial bajo la que opera el servicio: Striker Path (en adelante, "Striker Path" o "el Servicio").
Striker Path no ha designado Delegado de Protección de Datos (DPO) por no concurrir ninguno de los supuestos del artículo 37 RGPD.
2. Datos que tratamos y finalidades
Tratamos las siguientes categorías de datos. Para cada una indicamos su finalidad, su base legal y el plazo de conservación.
2.1. Datos de cuenta
- Datos: dirección de correo electrónico, nombre de usuario, contraseña cifrada (gestionada por nuestro proveedor de autenticación, no almacenamos contraseñas en claro), idioma de preferencia, fecha de creación de la cuenta.
- Finalidad: crear y mantener tu cuenta, autenticarte en el Servicio, comunicarte mensajes operativos imprescindibles (cambio de contraseña, recuperación, avisos de seguridad).
- Base legal: ejecución del contrato (art. 6.1.b RGPD).
- Conservación: mientras la cuenta esté activa. Si solicitas su supresión, los datos se eliminan en un plazo máximo de 30 días, salvo aquellos cuya conservación nos exija una obligación legal (por ejemplo, registros fiscales asociados a compras: 5 años).
2.2. Datos de perfil de juego
- Datos: nombre del personaje, posición preferida, nacionalidad declarada, atributos físicos del avatar, club al que perteneces, equipos en los que has jugado, estadísticas, progresión, partidos jugados, logros, transacciones de moneda virtual.
- Finalidad: prestar el Servicio. Sin estos datos el juego no funciona.
- Base legal: ejecución del contrato (art. 6.1.b RGPD).
- Conservación: mientras la cuenta esté activa. Si solicitas la supresión, se eliminan junto con la cuenta.
2.3. Comunicaciones entre usuarios
- Datos: mensajes intercambiados con otros jugadores (chat directo, mensajes de club), solicitudes de amistad, reportes de comportamiento.
- Finalidad: permitir interacción social dentro del juego y moderar comportamientos abusivos.
- Base legal: ejecución del contrato (art. 6.1.b RGPD) e interés legítimo en mantener un entorno seguro (art. 6.1.f RGPD).
- Conservación: los mensajes se conservan mientras ambas cuentas existan. En caso de reporte y sanción, conservamos los registros relevantes durante 12 meses para defensa frente a apelaciones.
2.4. Datos técnicos y de uso
- Datos: dirección IP (anonimizada o truncada), tipo de dispositivo y sistema operativo, identificadores de instalación (no son IDFA/AAID publicitarios), versión de la aplicación, eventos de juego (por ejemplo, "entrenamiento iniciado", "partido completado") y errores de software.
- Finalidad: detectar fallos, dimensionar la infraestructura, prevenir fraude y abuso, mejorar el Servicio.
- Base legal: interés legítimo (art. 6.1.f RGPD), ponderado conforme al considerando 47 RGPD.
- Conservación: logs de error 90 días; eventos analíticos agregados 24 meses.
2.5. Datos de pago
Cuando adquieres una suscripción premium o un producto in-app, no recibimos ni almacenamos los datos de tu tarjeta. El pago lo procesa nuestro proveedor (Stripe en web, Apple App Store en iOS, Google Play en Android, gestionados por RevenueCat). Nosotros recibimos únicamente: identificador anónimo de la transacción, importe, fecha, estado, y vinculación con tu cuenta.
- Base legal: ejecución del contrato.
- Conservación: los registros fiscales se conservan 5 años conforme al artículo 30 del Código de Comercio.
2.6. Notificaciones push
Si autorizas notificaciones, almacenamos un token de dispositivo (APNs en iOS, FCM en Android, Web Push en navegador) que nos permite enviarte avisos relacionados con tu progreso en el juego. Puedes revocar el permiso en cualquier momento desde los ajustes del sistema operativo o de tu navegador.
2.7. Foto de Custom Face (función premium opcional)
- Datos: la fotografía que decides subir para generar una cara de avatar estilizada, y las imágenes de avatar estilizadas que generamos a partir de ella.
- Finalidad: generar, a petición expresa tuya, una cara de avatar estilizada (tipo cómic) para tu jugador. Antes de generar ninguna imagen, la foto se revisa mediante moderación automática para bloquear contenido inadecuado.
- Base legal: tu consentimiento (art. 6.1.a RGPD). La función es opcional y de pago; subes la foto de forma activa y puedes retirar el consentimiento en cualquier momento eliminando la Custom Face.
- No es dato biométrico: usamos la foto únicamente para crear tu avatar estilizado. No la usamos para reconocimiento facial, identificación biométrica ni ningún otro tratamiento de categorías especiales de datos del artículo 9 RGPD.
- Encargados y transferencia: la foto se envía a OpenAI (moderación de contenido y generación de imágenes) y las imágenes resultantes se almacenan en Cloudflare (almacenamiento de objetos R2) — véase la Sección 3. Como estos proveedores operan en Estados Unidos, ello implica una transferencia internacional amparada por las garantías de la Sección 4.
- Conservación: la foto subida se conserva solo el tiempo necesario para generar tu avatar y se elimina automáticamente en aproximadamente 24 horas. Las imágenes de avatar generadas se almacenan mientras tu Custom Face esté en uso y se eliminan cuando la reemplazas o la quitas, o cuando eliminas tu cuenta; los registros de generación asociados se eliminan en un plazo de 30 días. Puedes solicitar la eliminación en cualquier momento (Sección 6).
3. Encargados del tratamiento y destinatarios
Para prestarte el Servicio nos apoyamos en proveedores que actúan como encargados del tratamiento conforme al artículo 28 RGPD. Los proveedores actuales son:
| Proveedor | Función | Ubicación de los servidores |
|---|---|---|
| Supabase, Inc. | Autenticación y gestión de sesiones | Estados Unidos / Unión Europea |
| Railway Corp. | Alojamiento de la base de datos y la API | Estados Unidos |
| Vercel Inc. | Alojamiento de la web, métricas de rendimiento y conteo de visitas (Vercel Analytics y Speed Insights, sin cookies de seguimiento publicitario) | Estados Unidos |
| Sentry (Functional Software, Inc.) | Captura de errores de software | Estados Unidos |
| Stripe Payments Europe, Ltd. | Procesado de pagos en web | Irlanda |
| RevenueCat, Inc. | Gestión de suscripciones móviles | Estados Unidos |
| Apple Inc. | Distribución móvil iOS y APNs | Estados Unidos |
| Google LLC | Notificaciones push Android (FCM) | Estados Unidos |
| OpenAI, L.L.C. (OpenAI Ireland Ltd. para usuarios del EEE) | Moderación de contenido y generación de imágenes de Custom Face (solo cuando usas la función opcional Custom Face) | Estados Unidos |
| Cloudflare, Inc. | Almacenamiento y entrega de imágenes de Custom Face (almacenamiento de objetos R2) | Estados Unidos |
No vendemos ni cedemos tus datos a terceros para finalidades publicitarias o de creación de perfiles comerciales.
4. Transferencias internacionales
Algunos de los proveedores anteriores tratan datos fuera del Espacio Económico Europeo. En esos casos, las transferencias se amparan en:
- Cláusulas Contractuales Tipo (CCT) aprobadas por la Comisión Europea conforme a la Decisión (UE) 2021/914.
- En el caso de proveedores de Estados Unidos certificados, el Marco de Privacidad de Datos UE-EE. UU. (EU-U.S. Data Privacy Framework) cuando sea aplicable.
Puedes solicitar copia de las garantías aplicables escribiéndonos a privacy@strikerpath.com.
5. Decisiones automatizadas y elaboración de perfiles
El Servicio simula partidos de fútbol de forma automatizada a partir de tus estadísticas y las de tus rivales. Esa simulación no produce efectos jurídicos sobre ti ni te afecta significativamente en el sentido del artículo 22 RGPD: solo determina el resultado de un partido virtual.
No realizamos elaboración de perfiles con fines publicitarios, crediticios ni de evaluación de comportamiento fuera del juego.
6. Tus derechos
Conforme al RGPD y a la LOPDGDD puedes ejercer en cualquier momento los siguientes derechos:
- Acceso: obtener confirmación de qué datos tuyos tratamos y una copia.
- Rectificación: corregir datos inexactos.
- Supresión: que eliminemos tus datos cuando ya no sean necesarios o retires tu consentimiento.
- Limitación: restringir el tratamiento mientras se resuelve una solicitud.
- Portabilidad: recibir tus datos en formato estructurado y de uso común (JSON o CSV).
- Oposición: oponerte a tratamientos basados en interés legítimo.
- No ser objeto de decisiones automatizadas con efectos significativos.
Para ejercerlos, escribe a privacy@strikerpath.com indicando el derecho que ejerces y, cuando proceda, copia o referencia que permita identificarte. Responderemos en el plazo máximo de un mes (prorrogable dos meses adicionales si la solicitud es compleja, art. 12.3 RGPD).
Si consideras que no hemos atendido correctamente tu solicitud, puedes reclamar ante la Agencia Española de Protección de Datos (AEPD): C/ Jorge Juan, 6, 28001 Madrid, www.aepd.es.
7. Edad mínima
Striker Path está dirigido a personas mayores de 16 años. Si descubrimos que hemos creado una cuenta a un menor de esa edad, la cancelaremos y eliminaremos los datos asociados sin necesidad de petición.
Si eres padre, madre o tutor y crees que un menor a tu cargo se ha registrado, escríbenos a privacy@strikerpath.com.
8. Cookies y tecnologías equivalentes
La versión web utiliza únicamente cookies y almacenamiento local estrictamente necesarios para el funcionamiento del Servicio (mantener tu sesión, recordar idioma, persistir el estado de juego entre recargas). No utilizamos cookies analíticas de terceros ni cookies publicitarias. Por ese motivo no presentamos un banner de consentimiento conforme al artículo 22.2 LSSI.
9. Seguridad
Aplicamos medidas técnicas y organizativas razonables para proteger tus datos: cifrado de las comunicaciones (TLS 1.2+), cifrado en reposo de la base de datos, principio de mínimo privilegio en accesos administrativos, y registro de cambios. Ninguna medida elimina por completo el riesgo: si detectamos una brecha de seguridad que pueda afectarte, te lo notificaremos conforme al artículo 34 RGPD.
10. Cambios en esta política
Si modificamos esta política, publicaremos la nueva versión en esta misma URL e indicaremos la fecha. Si los cambios son sustanciales (por ejemplo, nuevas finalidades), te avisaremos previamente por correo electrónico o desde la propia aplicación.
11. Versiones lingüísticas
Las versiones vinculantes de esta política son la versión española y la versión inglesa. Las traducciones a otros idiomas son informativas; en caso de discrepancia, prevalece la versión española.
Privacy Policy
Last updated: 8 July 2026 Version: 1.1
This policy explains what personal data we process when you use Striker Path, for what purposes, and the rights you are entitled to under Regulation (EU) 2016/679 (GDPR) and Spanish Organic Law 3/2018 on Personal Data Protection and Guarantee of Digital Rights (LOPDGDD).
1. Data controller
- Holder: Francisco Flores Lucena, individual self-employed professional (autónomo) with tax residence in Spain.
- Tax ID: 32732159P.
- Privacy contact: privacy@strikerpath.com.
- Trade name: Striker Path (the "Service").
Striker Path has not appointed a Data Protection Officer (DPO) as none of the conditions in Article 37 GDPR apply.
2. Data we process and purposes
We process the following categories of data. For each we list the purpose, legal basis, and retention period.
2.1. Account data
- Data: email address, username, hashed password (handled by our authentication provider — we never store passwords in clear text), preferred language, account creation date.
- Purpose: to create and maintain your account, authenticate you, and send essential operational messages (password changes, recovery, security notices).
- Legal basis: performance of a contract (Art. 6.1.b GDPR).
- Retention: while the account is active. If you request deletion, data is removed within 30 days, except where retention is required by law (e.g. tax records related to purchases: 5 years).
2.2. Game profile data
- Data: character name, preferred position, declared nationality, avatar physical attributes, current club, teams you have played for, statistics, progression, matches played, achievements, virtual currency transactions.
- Purpose: to provide the Service. Without this data the game cannot function.
- Legal basis: performance of a contract (Art. 6.1.b GDPR).
- Retention: while the account is active. Deleted along with the account upon deletion request.
2.3. User-to-user communications
- Data: messages exchanged with other players (direct chat, club messages), friend requests, behavior reports.
- Purpose: to enable in-game social interaction and to moderate abusive behavior.
- Legal basis: performance of a contract (Art. 6.1.b GDPR) and legitimate interest in maintaining a safe environment (Art. 6.1.f GDPR).
- Retention: messages persist while both accounts exist. In the event of a report and sanction, relevant records are kept for 12 months to handle appeals.
2.4. Technical and usage data
- Data: IP address (anonymized or truncated), device type and operating system, install identifiers (these are not advertising IDFA/AAID identifiers), application version, gameplay events (e.g. "training started", "match completed"), and software errors.
- Purpose: to detect failures, scale infrastructure, prevent fraud and abuse, and improve the Service.
- Legal basis: legitimate interest (Art. 6.1.f GDPR), balanced under Recital 47 GDPR.
- Retention: error logs 90 days; aggregated analytics events 24 months.
2.5. Payment data
When you purchase a premium subscription or an in-app product, we do not receive or store your card details. Payments are processed by our providers (Stripe on web, Apple App Store on iOS, Google Play on Android, orchestrated by RevenueCat). We only receive: an anonymous transaction identifier, amount, date, status, and the link to your account.
- Legal basis: performance of a contract.
- Retention: tax records are kept for 5 years pursuant to Article 30 of the Spanish Commercial Code.
2.6. Push notifications
If you opt in to notifications, we store a device token (APNs on iOS, FCM on Android, Web Push on browsers) that allows us to send you alerts related to your in-game progress. You can revoke the permission at any time via your operating system or browser settings.
2.7. Custom Face photo (optional premium feature)
- Data: the photograph you choose to upload to generate a stylised avatar face, and the stylised avatar images we generate from it.
- Purpose: to generate, at your explicit request, a stylised (cartoon) avatar face for your player. Before any image is generated, the photo is checked by automated moderation to block unsuitable content.
- Legal basis: your consent (Art. 6.1.a GDPR). This feature is optional and paid; you actively upload the photo and can withdraw consent at any time by deleting the custom face.
- Not biometric data: we use the photo solely to create your stylised avatar. We do not use it for facial recognition, biometric identification, or any other processing of special categories of data under Article 9 GDPR.
- Processors and transfer: the photo is sent to OpenAI (content moderation and image generation) and the resulting images are stored with Cloudflare (R2 object storage) — see Section 3. As these providers operate in the United States, this involves an international transfer covered by the safeguards in Section 4.
- Retention: the uploaded photo is kept only as long as needed to generate your avatar and is deleted automatically within approximately 24 hours. The generated avatar images are stored while your custom face is in use and are deleted when you replace or remove it, or when you delete your account; the related generation records are deleted within 30 days. You may request deletion at any time (Section 6).
3. Processors and recipients
To deliver the Service we rely on providers acting as processors under Article 28 GDPR. The current providers are:
| Provider | Function | Server location |
|---|---|---|
| Supabase, Inc. | Authentication and session management | United States / European Union |
| Railway Corp. | Database and API hosting | United States |
| Vercel Inc. | Web hosting, performance metrics and visit counts (Vercel Analytics and Speed Insights, no advertising tracking cookies) | United States |
| Sentry (Functional Software, Inc.) | Software error capture | United States |
| Stripe Payments Europe, Ltd. | Web payment processing | Ireland |
| RevenueCat, Inc. | Mobile subscription management | United States |
| Apple Inc. | iOS distribution and APNs | United States |
| Google LLC | Android push notifications (FCM) | United States |
| OpenAI, L.L.C. (OpenAI Ireland Ltd. for EEA users) | Custom-face content moderation and image generation (only when you use the optional Custom Face feature) | United States |
| Cloudflare, Inc. | Storage and delivery of custom-face images (R2 object storage) | United States |
We do not sell or transfer your data to third parties for advertising purposes or for the creation of commercial profiles.
4. International transfers
Some of the providers above process data outside the European Economic Area. In those cases, transfers are covered by:
- Standard Contractual Clauses (SCCs) approved by the European Commission under Decision (EU) 2021/914.
- For certified U.S. providers, the EU-U.S. Data Privacy Framework when applicable.
You can request a copy of the applicable safeguards by writing to privacy@strikerpath.com.
5. Automated decisions and profiling
The Service simulates football matches automatically based on your statistics and those of your opponents. Such simulation does not produce legal effects on you nor significantly affect you within the meaning of Article 22 GDPR: it merely determines the outcome of a virtual match.
We do not perform profiling for advertising, credit, or behavioral evaluation purposes outside the game.
6. Your rights
Under the GDPR and the LOPDGDD you may exercise the following rights at any time:
- Access: obtain confirmation of what data we process about you and a copy.
- Rectification: correct inaccurate data.
- Erasure: have your data deleted when no longer necessary or when you withdraw consent.
- Restriction: restrict processing while a request is being resolved.
- Portability: receive your data in a structured, commonly used format (JSON or CSV).
- Objection: object to processing based on legitimate interest.
- Not be subject to significant automated decisions.
To exercise any of these, write to privacy@strikerpath.com indicating the right you wish to exercise and, where appropriate, a copy or reference allowing us to identify you. We will respond within one month, extendable by two additional months if the request is complex (Art. 12.3 GDPR).
If you believe we have not handled your request properly, you may file a complaint with the Spanish Data Protection Agency (AEPD): C/ Jorge Juan, 6, 28001 Madrid, www.aepd.es. You may also file a complaint with the supervisory authority in your country of residence.
7. Minimum age
Striker Path is intended for users aged 16 or older. If we discover that an account has been created by a person under that age, we will close it and delete the associated data without need for a request.
If you are a parent or legal guardian and believe a minor in your care has registered, please contact privacy@strikerpath.com.
8. Cookies and equivalent technologies
The web version uses only strictly necessary cookies and local storage to operate the Service (maintain your session, remember your language, persist game state across reloads). We do not use third-party analytics or advertising cookies. For that reason we do not present a consent banner under Article 22.2 of the Spanish LSSI.
9. Security
We apply reasonable technical and organizational measures to protect your data: encrypted communications (TLS 1.2+), encrypted database at rest, least-privilege administrative access, and change logging. No measure eliminates risk entirely: if we detect a security breach that may affect you, we will notify you in accordance with Article 34 GDPR.
10. Changes to this policy
If we modify this policy we will publish the new version at the same URL and indicate the date. For substantial changes (e.g. new purposes), we will notify you in advance via email or in-app.
11. Language versions
The binding versions of this policy are the Spanish and English versions. Translations into other languages are informative; in case of discrepancy the Spanish version prevails.