Política de Privacidad — Geis Games

1. Identidad y datos del responsable del tratamiento

En cumplimiento del principio de transparencia e información previa exigido por la Ley N.º 29733 y el D.S. N.º 016-2024-JUS, se consignan los datos disponibles del responsable de la plataforma:

• Plataforma: Geis Games (https://play.wuilmerbolivar.lat)
• Responsable o razón social: [Pendiente: Nombre completo o razón social por confirmar]
• Naturaleza del responsable: [Pendiente: Persona natural o jurídica por definir]
• Identificación / RUC (si aplica): [Pendiente: Dato pendiente de confirmación]
• País y domicilio de contacto: República del Perú — [Pendiente: Domicilio de contacto por confirmar]
• Correo electrónico público para privacidad y derechos ARCO: [Pendiente: Correo público de privacidad por asignar]
• Registro de banco de datos ante la ANPD: [Pendiente: Pendiente de evaluación/inscripción si corresponde]

2. Información que recopilamos realmente

Geis Games recopila únicamente los datos necesarios para gestionar torneos competitivos, validar participantes y mantener los perfiles e historiales de la comunidad. Al inspeccionar los formularios, endpoints y colecciones reales de la plataforma, los datos tratados son:

• Identificador público y social proporcionado en inscripciones: usuario de TikTok (obligatorio en el formulario inicial para generar el identificador público del perfil), nombre visible (display name) y URL de avatar si está disponible.
• Identificadores y datos competitivos de videojuegos: usuario de Roblox u otra cuenta de juego configurada por cada torneo, nivel u otros campos numéricos/textuales declarados en el formulario dinámico del evento (por ejemplo, nivel actual de Roblox Rivals) y respuestas personalizadas del formulario.
• Contacto opcional de coordinación: usuario de Discord, proporcionado de manera voluntaria cuando el torneo lo incluye como campo opcional.
• Registros competitivos e historial: solicitudes de inscripción, confirmaciones de requisitos de verificación, pertenencia a equipos, enfrentamientos, marcadores, resultados, puntos, premios y estadísticas acumuladas por juego.
• Datos técnicos de seguridad y sesión: cookies estrictamente técnicas de sesión administrativa (wp_admin_session, HttpOnly) únicamente para administradores autenticados, cookie temporal CSRF (gg_tiktok_oauth_state) durante el flujo popup de TikTok OAuth, registros técnicos de auditoría administrativa y sincronización, y control temporal en memoria de tasa de solicitudes por dirección IP para prevenir abuso en formularios e inicio de sesión.

3. Finalidades del tratamiento y carácter obligatorio o facultativo

Los datos personales recopilados se utilizan exclusivamente para las siguientes finalidades determinadas y lícitas:

• Gestionar inscripciones a torneos, validar la identidad competitiva y verificar el cumplimiento de requisitos de participación (carácter obligatorio dentro del flujo de inscripción para poder competir).
• Organizar etapas, llaves, emparejamientos, tablas de posiciones, premios y el ranking global histórico de Geis Games.
• Coordinar incidencias o citaciones de partidas cuando el usuario decide proporcionar voluntariamente su contacto de Discord (carácter estrictamente facultativo; no proporcionarlo no impide enviar la inscripción cuando el campo es opcional).
• Prevenir suplantaciones, inscripciones duplicadas o abuso técnico en la plataforma mediante registros de auditoría y limitación de solicitudes.

4. Integración oficial con TikTok (Login Kit y Display API v2)

Geis Games integra TikTok Login Kit (OAuth 2.0) y TikTok Display API v2 únicamente cuando la integración está configurada en el servidor y el usuario decide voluntariamente hacer clic para conectar su cuenta y otorgar su consentimiento en la pantalla oficial de TikTok.

La vinculación de TikTok mediante OAuth es totalmente opcional. Todo jugador puede inscribirse y participar en los torneos sin conectar su cuenta mediante OAuth. Geis Games nunca consulta cuentas de TikTok que no hayan autorizado explícitamente el acceso ni simula métricas inexistentes.

• user.info.basic: identificador único (open_id / union_id), URL de avatar y nombre visible (display_name).
• user.info.profile: nombre de usuario (@username), enlace profundo al perfil, biografía y estado de cuenta verificada (únicamente cuando TikTok haya aprobado este permiso y el usuario lo autorice).
• user.info.stats: cantidad de seguidores, seguidos, likes acumulados y número de videos públicos (únicamente cuando este permiso esté aprobado por TikTok Developers y autorizado por el usuario).
• Si alguno de los permisos adicionales aún se encuentra pendiente de revisión o la app opera en modo Sandbox de TikTok, la plataforma limita la lectura estrictamente a los campos básicos autorizados sin bloquear las inscripciones.
• Revocación y desvinculación: el usuario puede revocar el acceso en cualquier momento desde la configuración de seguridad/aplicaciones conectadas de su cuenta de TikTok o solicitar la desvinculación en Geis Games; al desvincularse, el servidor intenta revocar el token ante TikTok y elimina el token y el perfil externo vinculado de la base de datos.

5. Qué información es pública y qué información es privada

En la vista real de perfil público (/user/:username y /u/:username), cuando el participante acepta la publicación de su perfil al inscribirse, pueden mostrarse públicamente:

• Nombre visible, usuario y enlace de TikTok, avatar, cuenta principal del videojuego, fecha de registro en la plataforma, posición en el ranking global, puntos totales, estadísticas competitivas (torneos disputados/ganados, partidos, victorias/derrotas, % de victorias), historial de torneos, historial de partidos, desglose de puntos, distinciones, equipos, estadísticas por juego y, si el usuario vinculó OAuth con consentimiento, su resumen público autorizado de cuenta externa.
• Información estrictamente privada: el contacto de Discord (almacenado de forma separada en players_private), notas internas administrativas, razones de revisión y los tokens OAuth privados de TikTok (tiktok_tokens) jamás se exponen en el perfil público ni en endpoints públicos; el contacto de Discord está restringido únicamente a la administración para coordinación de eventos.

6. Servicios de terceros y flujos internacionales de datos

Para operar técnicamente, Geis Games utiliza únicamente los siguientes proveedores externos integrados en el código y despliegue actual, lo que puede implicar procesamiento o transferencia internacional de datos según la infraestructura global de cada proveedor:

• Vercel (Vercel Inc.): alojamiento de la aplicación web y ejecución de las funciones serverless del backend API.
• Firebase y Google Cloud (Google LLC): almacenamiento persistente en Cloud Firestore (base de datos configurada en el proyecto existente) y Firebase Authentication (Google Sign-In exclusivo para autenticación administrativa).
• TikTok (TikTok / ByteDance): autenticación OAuth 2.0 (Login Kit) y consulta autorizada mediante Display API v2 únicamente cuando el usuario vincula su cuenta.
• Roblox (Roblox Corporation): consulta técnica a la API pública oficial de usuarios y miniaturas de Roblox (users.roblox.com y thumbnails.roblox.com) respecto al usuario de Roblox declarado voluntariamente en torneos basados en Roblox.
• Nota sobre ubicaciones y plazos de subencargados: las regiones exactas de procesamiento, subencargados y políticas de retención propias de Vercel, Google/Firebase, TikTok y Roblox se rigen por las condiciones vigentes y documentación oficial publicada por cada proveedor.

7. Medidas de seguridad y almacenamiento implementadas

La plataforma implementa medidas técnicas y organizativas reales para proteger la información almacenada y evitar accesos no autorizados:

• Aislamiento de credenciales y secretos: las llaves privadas de cuenta de servicio, secretos JWT y credenciales de TikTok (TIKTOK_CLIENT_KEY y TIKTOK_CLIENT_SECRET) residen únicamente en variables de entorno de servidor y nunca se incluyen en el código cliente ni en variables VITE_*.
• Protección de tokens OAuth y datos privados: las reglas de seguridad de Cloud Firestore (firestore.rules) deniegan todo acceso directo desde clientes a colecciones sensibles como tiktok_tokens, players_private, admins y audit_logs.
• Control de acceso administrativo y sesiones: el panel /admin está protegido mediante verificación de cuenta Google autorizada (con correo verificado validado en servidor contra claves JWKS de Google) o credenciales locales con hash PBKDF2-SHA256, tokens JWT firmados en cookies HttpOnly y limitación de intentos en rutas críticas.
• Registros técnicos y manejo de errores: las acciones administrativas relevantes y las sincronizaciones generan registros técnicos en audit_logs y sync_logs, y los errores del backend devuelven mensajes controlados sin exponer secretos.
• Conservación de datos: los datos personales de perfil y contacto se conservan mientras el usuario participe en la comunidad o hasta que solicite su cancelación/eliminación; los registros técnicos y logs de auditoría se mantienen para trazabilidad operativa, sin existir un plazo automático de purga programada salvo ejecución manual administrativa o solicitud del titular.

8. Derechos del titular (ARCO), eliminación y conservación histórica

De conformidad con la Ley N.º 29733 y el D.S. N.º 016-2024-JUS, todo titular de datos personales puede solicitar el ejercicio de sus derechos de Acceso, Rectificación, Cancelación (eliminación) y Oposición (ARCO), así como la revocación del consentimiento y la desvinculación de TikTok.

Gestión de solicitudes de eliminación frente a registros competitivos históricos: cuando un titular solicita la eliminación de sus datos personales (por ejemplo, contacto privado de Discord, enlace o usuario de TikTok, o baja de su perfil público), la administración procederá a retirar dichos datos personales identificables y desvincular su cuenta OAuth. No obstante, con el fin de preservar la integridad matemática de llaves pasadas, marcadores y resultados deportivos ya disputados, los registros históricos de partidos o clasificaciones podrán conservarse minimizados o anonimizados (sustituyendo el identificador personal por una etiqueta neutra de participante retirado) siempre que exista interés legítimo de integridad competitiva.

Canal de atención: [Pendiente: Correo público de privacidad pendiente de asignación por el responsable]. Una vez habilitado el correo oficial, las solicitudes serán atendidas dentro de los plazos legales vigentes en el Perú.

9. Menores de edad

Los formularios actuales de inscripción de Geis Games no solicitan fecha de nacimiento ni cuentan con un sistema técnico automatizado de verificación de edad o autorización parental previa.

Debido a que en videojuegos comunitarios pueden participar jugadores jóvenes, queda pendiente que el responsable de la plataforma establezca formalmente la edad mínima admitida y el procedimiento operativo de autorización de padres o tutores conforme al marco de la Ley N.º 29733 y el D.S. N.º 016-2024-JUS antes de dar por cerrado el esquema de participación de menores.

10. Marco normativo peruano (Ley N.º 29733 y D.S. N.º 016-2024-JUS) y deberes operativos

El tratamiento realizado por la plataforma toma como referencia la Ley N.º 29733 y el Reglamento aprobado mediante Decreto Supremo N.º 016-2024-JUS (vigente desde el 31 de marzo de 2025), incluyendo los principios de transparencia y responsabilidad proactiva, el deber de notificación de incidentes graves de seguridad ante la Autoridad Nacional de Protección de Datos Personales (ANPD) cuando resulte aplicable en el plazo reglamentario, y la evaluación de inscripción de bancos de datos personales.

Las obligaciones formales cuya ejecución depende de definiciones administrativas externas al código (identidad legal final del titular, correo dedicado para solicitudes ARCO, eventual inscripción ante la ANPD y protocolo de menores) se encuentran listadas explícitamente en esta página hasta su confirmación definitiva por parte del responsable.