Política de privacidad

Última actualización: 10 de octubre de 2026 Versión: 1.3

Esta política explica qué datos personales tratamos cuando usas Striker Path, con qué finalidad, y los derechos que te reconoce el Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD).

1. Responsable del tratamiento

Titular: Francisco Flores Lucena, persona física en régimen de actividad por cuenta propia (autónomo) con domicilio fiscal en España.
NIF: 32732159P.
Contacto a efectos de privacidad: privacy@strikerpath.com.
Marca comercial bajo la que opera el servicio: Striker Path (en adelante, "Striker Path" o "el Servicio").

Striker Path no ha designado Delegado de Protección de Datos (DPO) por no concurrir ninguno de los supuestos del artículo 37 RGPD.

2. Datos que tratamos y finalidades

Tratamos las siguientes categorías de datos. Para cada una indicamos su finalidad, su base legal y el plazo de conservación.

2.1. Datos de cuenta

Datos: dirección de correo electrónico, nombre de usuario, contraseña cifrada (no almacenamos contraseñas en claro), fecha de nacimiento (solo para comprobar la edad mínima de la sección 7), idioma de preferencia, fecha de creación de la cuenta y, si eliges entrar con ella, el identificador de tu cuenta de Apple, Google o Discord.
Finalidad: crear y mantener tu cuenta, autenticarte en el Servicio, comunicarte mensajes operativos imprescindibles (cambio de contraseña, recuperación, avisos de seguridad).
Base legal: ejecución del contrato (art. 6.1.b RGPD).
Conservación: mientras la cuenta esté activa. Si solicitas su supresión, los datos se eliminan en un plazo máximo de 30 días, salvo aquellos cuya conservación nos exija una obligación legal (por ejemplo, registros fiscales asociados a compras: 5 años).

2.2. Datos de perfil de juego

Datos: nombre del personaje, posición preferida, nacionalidad declarada, atributos físicos del avatar, club al que perteneces, equipos en los que has jugado, estadísticas, progresión, partidos jugados, logros, transacciones de moneda virtual.
Finalidad: prestar el Servicio. Sin estos datos el juego no funciona.
Base legal: ejecución del contrato (art. 6.1.b RGPD).
Conservación: mientras la cuenta esté activa. Si solicitas la supresión, se eliminan junto con la cuenta.

2.3. Comunicaciones entre usuarios

Datos: mensajes intercambiados con otros jugadores (chat directo, mensajes de club), solicitudes de amistad, reportes de comportamiento.
Finalidad: permitir interacción social dentro del juego y moderar comportamientos abusivos.
Base legal: ejecución del contrato (art. 6.1.b RGPD) e interés legítimo en mantener un entorno seguro (art. 6.1.f RGPD).
Conservación: los mensajes se conservan mientras ambas cuentas existan. En caso de reporte y sanción, conservamos los registros relevantes durante 12 meses para defensa frente a apelaciones.

2.4. Datos técnicos y de uso

Datos: dirección IP (anonimizada o truncada), tipo de dispositivo y sistema operativo, identificadores de instalación (no son IDFA/AAID publicitarios), versión de la aplicación, eventos de juego (por ejemplo, "entrenamiento iniciado", "partido completado") y errores de software.
Finalidad: detectar fallos, dimensionar la infraestructura, prevenir fraude y abuso, mejorar el Servicio.
Base legal: interés legítimo (art. 6.1.f RGPD), ponderado conforme al considerando 47 RGPD.
Conservación: logs de error 90 días; eventos analíticos agregados 24 meses.

2.5. Datos de pago

Cuando compras uno de los productos de pago del Servicio (el pack "Cara personalizada", Club Premium o un pase de temporada), no recibimos ni almacenamos los datos de tu tarjeta.

En web, la venta la realiza Paddle.com Market Ltd como vendedor registrado (merchant of record): es Paddle quien recaba y trata tus datos de pago y de facturación, con arreglo a su propia política de privacidad.
En iOS y Android, el pago lo tratan Apple (App Store) o Google (Google Play) conforme a sus políticas.
En ambas vías, RevenueCat verifica la compra y nos comunica su resultado.

Nosotros recibimos únicamente: identificador anónimo de la transacción, importe, fecha, estado, producto adquirido y vinculación con tu cuenta.

Base legal: ejecución del contrato.
Conservación: los registros fiscales se conservan 5 años conforme al artículo 30 del Código de Comercio.

2.6. Notificaciones push

Si autorizas notificaciones, almacenamos un token de dispositivo (APNs en iOS, FCM en Android, Web Push en navegador) que nos permite enviarte avisos relacionados con tu progreso en el juego. Puedes revocar el permiso en cualquier momento desde los ajustes del sistema operativo o de tu navegador.

2.7. Foto de Custom Face (función premium opcional)

Datos: la fotografía que decides subir para generar una cara de avatar estilizada, y las imágenes de avatar estilizadas que generamos a partir de ella.
Finalidad: generar, a petición expresa tuya, una cara de avatar estilizada (tipo cómic) para tu jugador. Antes de generar ninguna imagen, la foto se revisa mediante moderación automática para bloquear contenido inadecuado.
Base legal: tu consentimiento (art. 6.1.a RGPD). La función es opcional y de pago; subes la foto de forma activa y puedes retirar el consentimiento en cualquier momento eliminando la Custom Face.
No es dato biométrico: usamos la foto únicamente para crear tu avatar estilizado. No la usamos para reconocimiento facial, identificación biométrica ni ningún otro tratamiento de categorías especiales de datos del artículo 9 RGPD.
Encargados y transferencia: la foto se envía a OpenAI (moderación de contenido y generación de imágenes) y las imágenes resultantes se almacenan en Cloudflare (almacenamiento de objetos R2) — véase la Sección 3. Como estos proveedores operan en Estados Unidos, ello implica una transferencia internacional amparada por las garantías de la Sección 4.
Conservación: la foto subida se conserva solo el tiempo necesario para generar tu avatar y se elimina automáticamente en aproximadamente 24 horas. Las imágenes de avatar generadas se almacenan mientras tu Custom Face esté en uso y se eliminan cuando la reemplazas o la quitas, o cuando eliminas tu cuenta; los registros de generación asociados se eliminan en un plazo de 30 días. Puedes solicitar la eliminación en cualquier momento (Sección 6).

2.8. Programa de referidos (antifraude)

Datos: cuando entras con una invitación o invitas a otros, guardamos un hash de un solo sentido de tu dirección IP, de su red (/24) y de un identificador de dispositivo (en iOS, el identificador de proveedor de la app; en Android, el Android ID de la app; en la web, un identificador aleatorio guardado en tu navegador), además de las señales que se derivan de ellos (por ejemplo, «misma red que quien invita» o «VPN o proxy»). Para saber si una dirección pertenece a una VPN, un proxy o un centro de datos la enviamos a proxycheck.io.
Finalidad: evitar autoinvitaciones y cuentas falsas, para que las recompensas del programa vayan a invitaciones reales. Una persona revisa cada invitación señalada; ninguna decisión se toma automáticamente solo con estas señales.
Base jurídica: nuestro interés legítimo en prevenir el fraude (art. 6.1.f RGPD).
Conservación: los hashes de IP y las señales de cada invitación se borran 90 días después de que se acepte o se rechace. El hash del identificador de dispositivo vinculado a tu cuenta se conserva mientras exista la cuenta, para poder reconocer una autoinvitación repetida, y se borra con ella.

3. Encargados del tratamiento y destinatarios

Para prestarte el Servicio nos apoyamos en proveedores que actúan como encargados del tratamiento conforme al artículo 28 RGPD. Los proveedores actuales son:

Proveedor	Función	Ubicación de los servidores
Hetzner Online GmbH	Alojamiento de los servidores de la API, la web, la base de datos (PostgreSQL) y la caché (Redis)	Alemania (Unión Europea)
Sentry (Functional Software, Inc.)	Captura de errores de software	Unión Europea (Alemania)
Resend (Plus Five Five, Inc.)	Envío de correo transaccional (verificación de cuenta, recuperación de contraseña, avisos del juego)	Estados Unidos
Paddle.com Market Ltd	Venta y procesado de pagos en web como vendedor registrado (merchant of record): cobro, facturación, impuestos y devoluciones	Reino Unido y Unión Europea
RevenueCat, Inc.	Verificación de compras y gestión del desbloqueo del pack, tanto en web como en móvil	Estados Unidos
Apple Inc.	Distribución móvil iOS, compras dentro de la app, inicio de sesión con Apple y APNs	Estados Unidos
Google LLC	Distribución y compras dentro de la app en Android, inicio de sesión con Google y notificaciones push (FCM)	Estados Unidos
Expo (650 Industries, Inc.)	Envío de las notificaciones push a Apple (APNs) y Google (FCM)	Estados Unidos
Discord Inc.	Inicio de sesión con Discord y vinculación de cuenta (solo si lo eliges)	Estados Unidos
OpenAI, L.L.C. (OpenAI Ireland Ltd. para usuarios del EEE)	Moderación de contenido y generación de imágenes de Custom Face (solo cuando usas la función opcional Custom Face)	Estados Unidos
Cloudflare, Inc.	Almacenamiento y entrega de imágenes de Custom Face y copias de seguridad cifradas de la base de datos (almacenamiento de objetos R2)	Estados Unidos
Microsoft Corporation (Azure AI Translator), Google LLC (Cloud Translation y Gemini)	Traducción automática de los mensajes del chat general al idioma de cada lector, cuando está activada: solo se envía el texto del mensaje, sin tu nombre ni tu cuenta	Estados Unidos / Unión Europea
proxycheck.io (Proxycheck Ltd)	Comprobar si una dirección IP es una VPN, un proxy o un centro de datos (solo en el programa de referidos)	Reino Unido
ip-api.com	Ubicación aproximada y comprobación de VPN de una dirección IP, solo cuando un moderador revisa una cuenta por abuso	No indicada por el proveedor

No todos los destinatarios de la tabla actúan como encargados por cuenta nuestra: Paddle, Apple y Google tratan tus datos de pago como responsables independientes, porque son ellos quienes realizan la venta y quedan sujetos a sus propias obligaciones fiscales y contables. Los demás proveedores tratan los datos siguiendo nuestras instrucciones conforme al artículo 28 RGPD.

No vendemos ni cedemos tus datos a terceros para finalidades publicitarias o de creación de perfiles comerciales.

4. Transferencias internacionales

Algunos de los proveedores anteriores tratan datos fuera del Espacio Económico Europeo. En esos casos, las transferencias se amparan en:

Cláusulas Contractuales Tipo (CCT) aprobadas por la Comisión Europea conforme a la Decisión (UE) 2021/914.
En el caso de proveedores de Estados Unidos certificados, el Marco de Privacidad de Datos UE-EE. UU. (EU-U.S. Data Privacy Framework) cuando sea aplicable.

Puedes solicitar copia de las garantías aplicables escribiéndonos a privacy@strikerpath.com.

5. Decisiones automatizadas y elaboración de perfiles

El Servicio simula partidos de fútbol de forma automatizada a partir de tus estadísticas y las de tus rivales. Esa simulación no produce efectos jurídicos sobre ti ni te afecta significativamente en el sentido del artículo 22 RGPD: solo determina el resultado de un partido virtual.

No realizamos elaboración de perfiles con fines publicitarios, crediticios ni de evaluación de comportamiento fuera del juego.

6. Tus derechos

Conforme al RGPD y a la LOPDGDD puedes ejercer en cualquier momento los siguientes derechos:

Acceso: obtener confirmación de qué datos tuyos tratamos y una copia.
Rectificación: corregir datos inexactos.
Supresión: que eliminemos tus datos cuando ya no sean necesarios o retires tu consentimiento.
Limitación: restringir el tratamiento mientras se resuelve una solicitud.
Portabilidad: recibir tus datos en formato estructurado y de uso común (JSON o CSV).
Oposición: oponerte a tratamientos basados en interés legítimo.
No ser objeto de decisiones automatizadas con efectos significativos.

Puedes borrar tu cuenta tú mismo en cualquier momento en Ajustes → Cuenta → Borrar cuenta; los pasos, y qué se borra y qué se conserva, están en strikerpath.com/legal/delete-account.

Para ejercerlos, escribe a privacy@strikerpath.com indicando el derecho que ejerces y, cuando proceda, copia o referencia que permita identificarte. Responderemos en el plazo máximo de un mes (prorrogable dos meses adicionales si la solicitud es compleja, art. 12.3 RGPD).

Si consideras que no hemos atendido correctamente tu solicitud, puedes reclamar ante la Agencia Española de Protección de Datos (AEPD): C/ Jorge Juan, 6, 28001 Madrid, www.aepd.es.

7. Edad mínima

Striker Path está dirigido a personas mayores de 16 años. Si descubrimos que hemos creado una cuenta a un menor de esa edad, la cancelaremos y eliminaremos los datos asociados sin necesidad de petición.

Si eres padre, madre o tutor y crees que un menor a tu cargo se ha registrado, escríbenos a privacy@strikerpath.com.

8. Cookies y tecnologías equivalentes

La versión web utiliza únicamente cookies y almacenamiento local estrictamente necesarios para el funcionamiento del Servicio (mantener tu sesión, recordar idioma, persistir el estado de juego entre recargas). No utilizamos cookies analíticas de terceros ni cookies publicitarias. Por ese motivo no presentamos un banner de consentimiento conforme al artículo 22.2 LSSI.

9. Seguridad

Aplicamos medidas técnicas y organizativas razonables para proteger tus datos: cifrado de las comunicaciones (TLS 1.2+), cifrado en reposo de la base de datos, principio de mínimo privilegio en accesos administrativos, y registro de cambios. Ninguna medida elimina por completo el riesgo: si detectamos una brecha de seguridad que pueda afectarte, te lo notificaremos conforme al artículo 34 RGPD.

10. Cambios en esta política

Si modificamos esta política, publicaremos la nueva versión en esta misma URL e indicaremos la fecha. Si los cambios son sustanciales (por ejemplo, nuevas finalidades), te avisaremos previamente por correo electrónico o desde la propia aplicación.

11. Versiones lingüísticas

Las versiones vinculantes de esta política son la versión española y la versión inglesa. Las traducciones a otros idiomas son informativas; en caso de discrepancia, prevalece la versión española.

Privacy Policy

Last updated: 10 October 2026 Version: 1.3

This policy explains what personal data we process when you use Striker Path, for what purposes, and the rights you are entitled to under Regulation (EU) 2016/679 (GDPR) and Spanish Organic Law 3/2018 on Personal Data Protection and Guarantee of Digital Rights (LOPDGDD).

1. Data controller

Holder: Francisco Flores Lucena, individual self-employed professional (autónomo) with tax residence in Spain.
Tax ID: 32732159P.
Privacy contact: privacy@strikerpath.com.
Trade name: Striker Path (the "Service").

Striker Path has not appointed a Data Protection Officer (DPO) as none of the conditions in Article 37 GDPR apply.

2. Data we process and purposes

We process the following categories of data. For each we list the purpose, legal basis, and retention period.

2.1. Account data

Data: email address, username, hashed password (we never store passwords in clear text), date of birth (only to check the minimum age in Section 7), preferred language, account creation date, and the identifier of the Apple, Google or Discord account you sign in with, if you choose to.
Purpose: to create and maintain your account, authenticate you, and send essential operational messages (password changes, recovery, security notices).
Legal basis: performance of a contract (Art. 6.1.b GDPR).
Retention: while the account is active. If you request deletion, data is removed within 30 days, except where retention is required by law (e.g. tax records related to purchases: 5 years).

2.2. Game profile data

Data: character name, preferred position, declared nationality, avatar physical attributes, current club, teams you have played for, statistics, progression, matches played, achievements, virtual currency transactions.
Purpose: to provide the Service. Without this data the game cannot function.
Legal basis: performance of a contract (Art. 6.1.b GDPR).
Retention: while the account is active. Deleted along with the account upon deletion request.

2.3. User-to-user communications

Data: messages exchanged with other players (direct chat, club messages), friend requests, behavior reports.
Purpose: to enable in-game social interaction and to moderate abusive behavior.
Legal basis: performance of a contract (Art. 6.1.b GDPR) and legitimate interest in maintaining a safe environment (Art. 6.1.f GDPR).
Retention: messages persist while both accounts exist. In the event of a report and sanction, relevant records are kept for 12 months to handle appeals.

2.4. Technical and usage data

Data: IP address (anonymized or truncated), device type and operating system, install identifiers (these are not advertising IDFA/AAID identifiers), application version, gameplay events (e.g. "training started", "match completed"), and software errors.
Purpose: to detect failures, scale infrastructure, prevent fraud and abuse, and improve the Service.
Legal basis: legitimate interest (Art. 6.1.f GDPR), balanced under Recital 47 GDPR.
Retention: error logs 90 days; aggregated analytics events 24 months.

2.5. Payment data

When you buy one of the Service's paid products (the "Custom Face" pack, Club Premium or a season pass), we do not receive or store your card details.

On the web, the sale is made by Paddle.com Market Ltd as merchant of record: Paddle collects and processes your payment and billing data under its own privacy policy.
On iOS and Android, payment is handled by Apple (App Store) or Google (Google Play) under their own policies.
On both routes, RevenueCat verifies the purchase and reports its outcome to us.

We only receive: an anonymous transaction identifier, amount, date, status, the product purchased, and the link to your account.

Legal basis: performance of a contract.
Retention: tax records are kept for 5 years pursuant to Article 30 of the Spanish Commercial Code.

2.6. Push notifications

If you opt in to notifications, we store a device token (APNs on iOS, FCM on Android, Web Push on browsers) that allows us to send you alerts related to your in-game progress. You can revoke the permission at any time via your operating system or browser settings.

2.7. Custom Face photo (optional premium feature)

Data: the photograph you choose to upload to generate a stylised avatar face, and the stylised avatar images we generate from it.
Purpose: to generate, at your explicit request, a stylised (cartoon) avatar face for your player. Before any image is generated, the photo is checked by automated moderation to block unsuitable content.
Legal basis: your consent (Art. 6.1.a GDPR). This feature is optional and paid; you actively upload the photo and can withdraw consent at any time by deleting the custom face.
Not biometric data: we use the photo solely to create your stylised avatar. We do not use it for facial recognition, biometric identification, or any other processing of special categories of data under Article 9 GDPR.
Processors and transfer: the photo is sent to OpenAI (content moderation and image generation) and the resulting images are stored with Cloudflare (R2 object storage) — see Section 3. As these providers operate in the United States, this involves an international transfer covered by the safeguards in Section 4.
Retention: the uploaded photo is kept only as long as needed to generate your avatar and is deleted automatically within approximately 24 hours. The generated avatar images are stored while your custom face is in use and are deleted when you replace or remove it, or when you delete your account; the related generation records are deleted within 30 days. You may request deletion at any time (Section 6).

2.8. Referral programme (anti-fraud)

Data: when you join through an invite or invite others, we record a one-way hash of your IP address, of its network (/24), and of a device identifier (on iOS, the app's vendor identifier; on Android, the app's Android ID; on the web, a random id stored in your browser), plus the signals derived from them (for example, "same network as the inviter", "VPN or proxy"). To check whether an address belongs to a VPN, proxy or data centre we send it to proxycheck.io.
Purpose: to stop self-invites and fake accounts so the programme's rewards go to real invites. Every flagged invite is reviewed by a person; no decision is taken automatically on these signals alone.
Legal basis: our legitimate interest in preventing fraud (Art. 6.1.f GDPR).
Retention: the IP hashes and signals of each invite are deleted 90 days after it is accepted or rejected. The device identifier hash linked to your account is kept while the account exists, so a repeat self-invite can be recognised, and is deleted with the account.

3. Processors and recipients

To deliver the Service we rely on providers acting as processors under Article 28 GDPR. The current providers are:

Provider	Function	Server location
Hetzner Online GmbH	Hosting of the servers that run the API, the website, the database (PostgreSQL) and the cache (Redis)	Germany (European Union)
Sentry (Functional Software, Inc.)	Software error capture	European Union (Germany)
Resend (Plus Five Five, Inc.)	Transactional email delivery (account verification, password recovery, game notices)	United States
Paddle.com Market Ltd	Web sale and payment processing as merchant of record: charging, invoicing, taxes, and refunds	United Kingdom and European Union
RevenueCat, Inc.	Purchase verification and pack unlock management, on both web and mobile	United States
Apple Inc.	iOS distribution, in-app purchases, Sign in with Apple, and APNs	United States
Google LLC	Android distribution and in-app purchases, Google sign-in, and push notifications (FCM)	United States
Expo (650 Industries, Inc.)	Relaying push notifications to Apple (APNs) and Google (FCM)	United States
Discord Inc.	Discord sign-in and account linking (only if you choose it)	United States
OpenAI, L.L.C. (OpenAI Ireland Ltd. for EEA users)	Custom-face content moderation and image generation (only when you use the optional Custom Face feature)	United States
Cloudflare, Inc.	Storage and delivery of custom-face images, and encrypted database backups (R2 object storage)	United States
Microsoft Corporation (Azure AI Translator), Google LLC (Cloud Translation and Gemini)	Automatic translation of general-chat messages into each reader's language, when enabled: only the message text is sent, without your name or account	United States / European Union
proxycheck.io (Proxycheck Ltd)	Checking whether an IP address is a VPN, proxy or data centre (referral programme only)	United Kingdom
ip-api.com	Approximate location and VPN check of an IP address, only when a moderator reviews an account for abuse	Not stated by the provider

Not every recipient in the table acts as a processor on our behalf: Paddle, Apple, and Google process your payment data as independent controllers, because they are the ones making the sale and are subject to their own tax and accounting obligations. The remaining providers process data on our instructions under Article 28 GDPR.

We do not sell or transfer your data to third parties for advertising purposes or for the creation of commercial profiles.

4. International transfers

Some of the providers above process data outside the European Economic Area. In those cases, transfers are covered by:

Standard Contractual Clauses (SCCs) approved by the European Commission under Decision (EU) 2021/914.
For certified U.S. providers, the EU-U.S. Data Privacy Framework when applicable.

You can request a copy of the applicable safeguards by writing to privacy@strikerpath.com.

5. Automated decisions and profiling

The Service simulates football matches automatically based on your statistics and those of your opponents. Such simulation does not produce legal effects on you nor significantly affect you within the meaning of Article 22 GDPR: it merely determines the outcome of a virtual match.

We do not perform profiling for advertising, credit, or behavioral evaluation purposes outside the game.

6. Your rights

Under the GDPR and the LOPDGDD you may exercise the following rights at any time:

Access: obtain confirmation of what data we process about you and a copy.
Rectification: correct inaccurate data.
Erasure: have your data deleted when no longer necessary or when you withdraw consent.
Restriction: restrict processing while a request is being resolved.
Portability: receive your data in a structured, commonly used format (JSON or CSV).
Objection: object to processing based on legitimate interest.
Not be subject to significant automated decisions.

You can delete your account yourself at any time in Settings → Account → Delete account; the steps, and what is deleted and kept, are at strikerpath.com/legal/delete-account.

To exercise any of these, write to privacy@strikerpath.com indicating the right you wish to exercise and, where appropriate, a copy or reference allowing us to identify you. We will respond within one month, extendable by two additional months if the request is complex (Art. 12.3 GDPR).

If you believe we have not handled your request properly, you may file a complaint with the Spanish Data Protection Agency (AEPD): C/ Jorge Juan, 6, 28001 Madrid, www.aepd.es. You may also file a complaint with the supervisory authority in your country of residence.

7. Minimum age

Striker Path is intended for users aged 16 or older. If we discover that an account has been created by a person under that age, we will close it and delete the associated data without need for a request.

If you are a parent or legal guardian and believe a minor in your care has registered, please contact privacy@strikerpath.com.

8. Cookies and equivalent technologies

The web version uses only strictly necessary cookies and local storage to operate the Service (maintain your session, remember your language, persist game state across reloads). We do not use third-party analytics or advertising cookies. For that reason we do not present a consent banner under Article 22.2 of the Spanish LSSI.

9. Security

We apply reasonable technical and organizational measures to protect your data: encrypted communications (TLS 1.2+), encrypted database at rest, least-privilege administrative access, and change logging. No measure eliminates risk entirely: if we detect a security breach that may affect you, we will notify you in accordance with Article 34 GDPR.

10. Changes to this policy

If we modify this policy we will publish the new version at the same URL and indicate the date. For substantial changes (e.g. new purposes), we will notify you in advance via email or in-app.

11. Language versions

The binding versions of this policy are the Spanish and English versions. Translations into other languages are informative; in case of discrepancy the Spanish version prevails.