Política de privacidad

1. Responsable del tratamiento

El responsable del tratamiento es el titular del proyecto Better Discovery (mantenedor del repositorio oficial en GitHub). El Servicio no opera bajo una entidad mercantil ni trata datos con fines publicitarios.

2. Datos que tratamos

Categoría	Datos concretos	Origen
De cuenta	email, hash de contraseña, estado de la sesión y metadatos de usuario (entre ellos el estado de Discovery+)	Tu alta en Supabase Auth
De contenido	título (máx. 120 caracteres), descripción (máx. 500), autor o nombre público (máx. 60), categoría y HTML de la creación (máx. 1 MB)	Tu publicación
De interacción	comentarios (máx. 1.000 caracteres) con nombre visible, likes por creación, personas seguidas, Guardadas	Tu uso del Servicio
De perfil	nombre público y biografía (máx. 240 caracteres); se guardan en tu navegador como caché y se sincronizan con tu cuenta	Tu perfil, disponible en cualquier dispositivo

No tratamos datos sensibles (salud, origen étnico, orientación, creencias…), ni datos de menores de forma deliberada, ni utilizamos los datos con fines publicitarios o de perfilado automatizado.

3. Finalidades y base legal

Finalidad	Base legal
Autenticación y mantenimiento de sesión (Supabase Auth)	Ejecución del servicio a tu petición (art. 6.1.b RGPD) y consentimiento (art. 6.1.a)
Publicar y mostrar tus creaciones, likes, comentarios y perfil	Ejecución del servicio (art. 6.1.b RGPD)
Funciones de Discovery+ (feed «Siguiendo», filtros, Guardadas, estadísticas)	Ejecución del servicio y consentimiento (art. 6.1.a-b RGPD)
Seguridad, prevención de abuso y moderación	Interés legítimo del responsable (art. 6.1.f RGPD)

4. Plazo de conservación

• Datos de cuenta y contenido: mientras mantengas tu cuenta y tu contenido publicado; al eliminar una creación o solicitar el borrado, se elimina en Supabase (incluidos los comentarios asociados a la creación eliminada).
• Datos locales del navegador: hasta que los borres tú desde tu perfil, desde tu navegador o desde la configuración de almacenamiento local.
• Sesiones: la sesión de Supabase expira según la política del proveedor (por defecto, 1 hora de token de acceso con renovación); puedes cerrar sesión cuando quieras.

5. Destinatarios y subprocesadores

Proveedor	Qué datos	Finalidad
Supabase (Supabase Inc., EE. UU.)	Cuenta, sesión, metadatos de usuario y toda la base de datos del Servicio (creaciones, comentarios, likes, seguimientos)	Autenticación y almacenamiento (base de datos Postgres)
GitHub / GitHub Pages (GitHub Inc., EE. UU.)	Nada personal: solo el código del sitio y las estadísticas de tráfico agregadas del hosting	Albergue y publicación del sitio estático
jsDelivr (CDN de Netlify, EE. UU.)	Solo la dirección IP de tu petición (logs técnicos del CDN)	Servicio del SDK de Supabase (fijado con SRI)

El Servicio no utiliza plataformas de analítica propia, píxeles de redes sociales ni herramientas de marketing.

6. Transferencias internacionales

Supabase y GitHub almacenan y procesan datos en centros de datos de los Estados Unidos, por lo que se producen transferencias internacionales a un país fuera del Espacio Económico Europeo. En el caso de Supabase, la transferencia se ampara en las cláusulas contractuales tipo de la Comisión Europea (Decisión 2021/914) o en las Decisiones de Adecuación aplicables (Marco UE-EE. UU. de Privacidad), conforme a su política vigente; te recomendamos revisar sus políticas de privacidad para conocer las garantías concretas.

7. Cookies y almacenamiento local

El Servicio no utiliza cookies publicitarias ni de terceros. Utiliza únicamente almacenamiento local del navegador (localStorage) para:

Clave	Qué guarda	Para qué
supabase-<url>-auth-token	Tu sesión (token de acceso)	Mantenerte autenticado entre páginas
bd_profile	Nombre público y biografía (caché local; se sincronizan con tu cuenta)	Preseleccionar tu perfil en formularios
bd_liked	Creaciones a las que has dado like (en este dispositivo)	Mostrar el estado del botón
bd_db_config	URL y clave anon de un proyecto Supabase que hayas vinculado desde el sitio (solo si usas el botón «⚙️ BD»)	Conectar la app a tu propia base de datos sin modificar js/config.js
bd_bookmarks	Tus Guardadas (en este dispositivo)	Función Guardadas de Discovery+
bd_followed_authors	Personas que sigues	Feed «Siguiendo» y estadísticas
bd_owned_snippets	Identificadores de tus creaciones en este dispositivo	Permitir borrarlas desde tu perfil

Puedes borrar estos datos en cualquier momento: borrar el almacenamiento local del sitio en tu navegador (o cerrar la pestaña en modo incógnito). Al hacerlo perderás la sesión local y las preferencias por dispositivo; tu contenido publicado en el servidor no se ve afectado. Al cerrar sesión desde el sitio, los datos de usuario locales (perfil, likes, Guardadas, seguidos y creaciones propias) se borran automáticamente para que el siguiente usuario del dispositivo no los herede.

Por seguridad, el servicio conserva un registro de auditoría con eventos relevantes (iniciar/cerrar sesión, subidas y borrados de creaciones, suscripciones y canjes de Discovery+ y cambios de perfil), asociado a tu email cuando estás autenticado.

8. Tus derechos

Conforme al RGPD y la LOPDGDD, tienes derecho a:

• Acceso: saber qué datos tenemos sobre ti y cómo los usamos.
• Rectificación: corregir datos inexactos (por ejemplo, tu perfil desde la propia interfaz).
• Supresión: solicitar el borrado de tu cuenta y tu contenido (puedes eliminar tus creaciones desde tu perfil; para el resto de datos, utiliza el canal de contacto).
• Limitación y oposición: pedir que limitemos o dejemos de tratar tus datos, cuando proceda.
• Portabilidad: recibir tus datos en un formato estructurado y de uso común.
• Retirada del consentimiento: en lo que respecta a los tratamientos basados en él.

Para ejercer estos derechos, contacta por el canal indicado en la sección 12, identificándote con tu email de cuenta. Responderemos en el plazo máximo de un mes. Si no estás conforme con la respuesta, puedes presentar reclamación ante la Agencia Española de Protección de Datos (www.aepd.es).

9. Medidas de seguridad

• Aislamiento del contenido publicado: cada creación se ejecuta en un <iframe> con sandbox restringido y sin acceso al origen del sitio: no puede leer cookies, ni el almacenamiento local, ni el DOM de Better Discovery.
• Cabeceras de seguridad: CSP, X-Frame-Options: DENY, Referrer-Policy y Permissions-Policy (sin cámara, micrófono, geolocalización, pago ni USB).
• Dependencias fijadas (SRI): el SDK de Supabase se carga con versión exacta y atributo integrity; cualquier alteración del archivo remoto se rechaza en el navegador.
• Escapado de salida: todos los datos del servidor se insertan en la interfaz escapados, evitando inyección de HTML.
• Base de datos: se recomienda mantener activadas las políticas de Row Level Security (RLS) en Supabase, de modo que el acceso a los datos esté condicionado al estado de autenticación.
• Contraseñas: se almacenan cifradas (hash) en Supabase Auth; nadie, incluido el responsable, puede leer tu contraseña.

Aun así, ninguna medida es infalible. Si detectas una vulnerabilidad, notifica por el canal de contacto sin publicar detalles públicos hasta recibir respuesta.

10. Menores de edad

El Servicio no está dirigido a menores de 16 años de forma directa. Los menores pueden utilizarlo con el consentimiento y la supervisión de sus padres, madres o tutores legales, que serán los responsables de ejercer los derechos de protección de datos en su nombre.

11. Cambios en esta política

Esta política se puede actualizar ante cambios técnicos, legales o de producto. La fecha de «última actualización» de la cabecera indica la versión vigente; los cambios relevantes se comunicarán en la interfaz o en el repositorio del proyecto.

12. Contacto

Para cualquier cuestión sobre privacidad o para ejercer tus derechos, abre un issue en el repositorio oficial con el título «Privacidad / DPO», o contacta con el mantenedor a través de su perfil de GitHub.