Política de privacidad

1. Responsable del tratamiento

Responsable del tratamiento: Marc Serra, España. Contacto: privacy@csfinance.app.

2. Datos que tratamos

Identificador de Steam (SteamID): cuando inicias sesión mediante Steam OpenID, Steam nos comunica tu SteamID público. Es el único dato que recibimos del proceso de autenticación y la clave a la que asociamos el resto.

Perfil e inventario de CS2: con tu SteamID consultamos a steamwebapi.com, un proveedor comercial independiente de Valve, tu perfil público de Steam (nombre, avatar, URL del perfil y estado de conexión) y el contenido de tu inventario público de Counter-Strike 2, para calcular y mostrar su valor. Steam (Valve) solo interviene en la autenticación.

Nombres de las skins de tu inventario: los nombres de los objetos de los inventarios consultados se añaden, sin SteamID ni ningún otro dato que los vincule a ti, a la lista de skins cuyo precio de mercado seguimos. Es un dato del mercado, no tuyo.

Datos de sesión: emitimos un token de acceso que dura 30 minutos y vive solo en memoria, y un token de refresco de 7 días que en la web se guarda en una cookie HttpOnly y en la app Android en el almacenamiento privado de la aplicación. No se comparten con terceros.

Dirección IP: la usamos en memoria, durante 60 segundos, para limitar el número de peticiones por cliente. Aparece además en los registros técnicos del servidor, que el proveedor de alojamiento conserva durante un periodo limitado.

Token de notificaciones push (solo Android): si concedes el permiso de notificaciones, guardamos en nuestra base de datos el identificador de dispositivo que emite Firebase Cloud Messaging, asociado a tu SteamID. Lo usamos para enviarte tus alertas de precio y para avisos generales a todos los dispositivos registrados (noticias de CS2 y anuncios de la app). Si rechazas el permiso, este dato no se recoge.

Informes de fallos (solo Android): si la app falla o se produce un error inesperado, envía un informe a Firebase Crashlytics (Google) con la traza técnica del error, el modelo del dispositivo, la versión de Android y de la app y el estado de la app en ese momento. También se informa de los errores del servidor (5xx) que recibe la app, solo con el método y la ruta de la petición, sin parámetros ni contenido. Como identificador usamos un resumen criptográfico (SHA-256) de tu SteamID, nunca el SteamID en claro, para agrupar los fallos de un mismo usuario; no se envía tu nombre ni tu avatar. Google registra la dirección IP de la conexión para poder entregar el informe. En la web no se envía ningún informe.

Alertas de precio que tú creas: guardamos tu SteamID, el nombre de la skin, el umbral y la dirección. Cuando una alerta se dispara, la conservamos marcada como disparada, junto al precio que la activó, para que puedas consultarla; se elimina cuando la borras desde tu perfil.

Valor de tu cartera a lo largo del tiempo: guardamos, asociado a tu SteamID, el valor total de tu inventario una vez al día y por cada mercado de precios que consultes. Es lo que dibuja la gráfica de evolución de tu cartera. Guardamos solo la cifra total y la fecha, nunca qué objetos la componen. Antes esta serie vivía únicamente en tu dispositivo, pero se perdía al cerrar sesión o reinstalar la app.

Chat con el asistente: si usas el chat integrado, enviamos a la API de Gemini (Google) el texto de tu mensaje, los turnos anteriores de esa misma conversación y, si preguntas por tu inventario, la lista de nombres y precios de tus skins; nunca tu SteamID. Tu mensaje se convierte además en un vector (embedding) mediante la API de Google para buscar noticias relacionadas; ese vector no se almacena. El historial de la conversación no se guarda en nuestros servidores: vive en tu dispositivo durante la sesión.

Estadísticas de juego (Leetify): al abrir la pestaña Perfil, nuestro servidor envía tu SteamID a la API de Leetify para obtener tus estadísticas públicas de rendimiento en Counter-Strike 2 (puntuaciones, partidas recientes). La consulta la hace el servidor, no tu dispositivo, así que Leetify no recibe tu dirección IP. Guardamos la respuesta en memoria del servidor 5 minutos para no repetir consultas; no se almacena en base de datos.

Datos guardados en tu dispositivo: la app almacena localmente una caché del inventario, el perfil y el mercado (hasta 24 horas), el historial de valor de tu cartera, las últimas 50 notificaciones recibidas y los identificadores de las noticias que has leído. Estos datos no salen del dispositivo: se borran al cerrar sesión y al desinstalar la app.

3. Datos que NO recogemos

No recibimos ni almacenamos tu contraseña de Steam: la autenticación la realiza Steam, no la app.

No recogemos tu dirección de correo electrónico, número de teléfono ni datos de pago.

No usamos servicios de analítica ni de publicidad, ni SDK de terceros más allá de Firebase Cloud Messaging y Firebase Crashlytics (informes de fallos, descritos en la sección 2). No vendemos ni cedemos tus datos con fines publicitarios.

4. Finalidad y base legal

Ejecución del servicio que solicitas al usar la app (art. 6.1.b RGPD): autenticarte, mostrar tu inventario y su valor y tus estadísticas de juego, y ofrecerte la información de mercado y las noticias.

Tu consentimiento (art. 6.1.a RGPD): las notificaciones push (permiso del sistema), las alertas de precio que tú creas y el uso del chat con el asistente. Puedes retirarlo en cualquier momento revocando el permiso, borrando las alertas o dejando de usar el chat.

Nuestro interés legítimo (art. 6.1.f RGPD) en mantener el servicio seguro y disponible: el límite de peticiones por dirección IP, los registros técnicos de seguridad y los informes de fallos de la app Android, que usamos para detectar y corregir errores.

5. Conservación y seguridad

Los tokens de sesión caducan solos (30 minutos el de acceso, 7 días el de refresco) y se revocan al cerrar sesión. El perfil y el inventario obtenidos de steamwebapi.com se guardan en una caché de servidor de hasta 23 horas para reducir consultas, no como registro permanente.

Conservamos en base de datos, asociados a tu SteamID: el token de notificaciones de tu dispositivo (hasta que cierres sesión, elimines tus datos o Firebase nos informe de que el dispositivo ya no existe) tus alertas de precio, activas o disparadas (hasta que las borres), y el valor diario de tu cartera, mientras exista tu cuenta y hasta que elimines tus datos.

El histórico de precios de mercado y los nombres de las skins seguidas no llevan SteamID: no permiten identificarte ni saber qué hay en tu inventario, y se conservan indefinidamente como datos del mercado.

Firebase Crashlytics conserva los informes de fallos durante 90 días y después los elimina.

No creamos una cuenta con contraseña: tu identidad es tu SteamID. Todas las comunicaciones entre la app, nuestros servidores y los proveedores citados van cifradas mediante HTTPS (TLS). El asistente solo tiene acceso a noticias públicas de CS2, nunca a datos de otros usuarios.

6. Terceros

Steam (Valve Corporation): autenticación mediante Steam OpenID. Recibe la petición de inicio de sesión y nos devuelve tu SteamID.

steamwebapi.com: proveedor comercial independiente al que enviamos tu SteamID para obtener tu perfil público y tu inventario. Mantiene una copia temporal del inventario público que consulta.

Firebase Cloud Messaging (Google): entrega las notificaciones push en Android. Recibe el identificador del dispositivo y el contenido del aviso.

Firebase Crashlytics (Google): recoge los informes de fallos de la app Android. Recibe lo descrito en la sección 2: la traza del error, datos técnicos del dispositivo y el resumen SHA-256 de tu SteamID.

Gemini (Google): genera las respuestas del asistente y los embeddings de búsqueda. Recibe lo descrito en la sección 2.

Leetify (Leetify AB, Suecia, Unión Europea): servicio de estadísticas de Counter-Strike 2. Nuestro servidor le envía tu SteamID para mostrarte tus estadísticas en el perfil; no recibe ningún otro dato tuyo.

frankfurter.dev: servicio que publica los tipos de cambio de referencia del Banco Central Europeo. Nuestro servidor le consulta una vez al día el cambio euro-dólar para poder mostrarte los precios en euros. La consulta la hace el servidor, no tu dispositivo, y no incluye ningún dato tuyo.

Supabase: base de datos donde viven los tokens de notificación, las alertas, el histórico de precios de mercado y el valor diario de tu cartera, alojada en la Unión Europea (Irlanda).

Render aloja el servidor de la aplicación. Vercel sirve esta web y registra las peticiones que recibe.

Cada proveedor trata los datos conforme a su propia política de privacidad. No vendemos tus datos a nadie.

7. Transferencias internacionales

La base de datos está en la Unión Europea (Irlanda). El servidor (Render), las notificaciones y los informes de fallos (Firebase) y el asistente (Gemini) los operan empresas de Estados Unidos, por lo que tu SteamID, el token de tu dispositivo, los informes de fallos y el contenido del chat pueden tratarse fuera del Espacio Económico Europeo. Estas transferencias se amparan en las cláusulas contractuales tipo de la Comisión Europea y, cuando el proveedor está certificado, en el Marco de Privacidad de Datos UE-EE. UU.

8. Menores

La app no está dirigida a menores de 13 años, edad mínima para tener una cuenta de Steam. En España, los menores de 14 años necesitan el consentimiento de sus padres o tutores para usar servicios como este. Si crees que un menor nos ha facilitado datos sin ese consentimiento, escríbenos y los eliminaremos.

9. Tus derechos

Puedes ejercer tus derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad escribiendo al correo de contacto e indicando tu SteamID. Respondemos en el plazo máximo de un mes.

Si consideras que no hemos atendido tu solicitud correctamente, puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es) o ante la autoridad de control de tu país.

10. Eliminar tu cuenta y tus datos

Desde la pestaña Perfil de la app, el botón "Eliminar mis datos" borra de inmediato el token de tu dispositivo y tus alertas de precio, revoca la sesión y elimina los datos guardados en el dispositivo. También puedes pedirlo por correo indicando tu SteamID; lo atendemos en un plazo máximo de 30 días.

No se borran los precios históricos de mercado ni los nombres de las skins seguidas, porque no llevan SteamID ni ningún dato que permita relacionarlos contigo.

Ver la página de eliminación de cuenta

11. Cambios en esta política

Podemos actualizar esta política para reflejar cambios en la app o en la legislación aplicable. La fecha de la última actualización figura al inicio del documento.

12. Contacto

Para cualquier consulta sobre esta política de privacidad o el tratamiento de tus datos, escríbenos a:

privacy@csfinance.app