Política de privacidad

Aura Fight para iPhone y Android, y la web aurafight.app. Última actualización: 25 de octubre de 2026.

En resumen. Empiezas a jugar sin dar más dato que tu año de nacimiento: la app crea un identificador aleatorio en tu dispositivo y con él tienes una cuenta de invitado. Si quieres no perder tu luchador, puedes guardarlo con tu correo. Tu luchador (su nombre, su aspecto, su aura y sus duelos) es público: lo ve quien tenga su enlace y quienes se cruzan con él en el juego. Nunca guardamos tu dirección IP tal cual. Los únicos anuncios son los que eliges ver a cambio de una recompensa, de Google AdMob, personalizados solo si aceptas. Los informes de errores van a Sentry sin nada que te identifique. No vendemos tus datos.

Quién es el responsable

Aura Fight lo hace Javier Rubio Roca, desarrollador particular en España, que es el responsable de los datos personales que se describen aquí. Escribe a support@aurafight.app para cualquier cosa sobre tus datos. Ese buzón, y hello@aurafight.app (contacto general) y social@aurafight.app (nuestras cuentas en redes sociales), los atiende el desarrollador desde Costia HQ, su propia herramienta interna, el único sitio donde se guarda ese correo; las respuestas salen de la dirección a la que escribiste, y esas conversaciones se guardan 730 días.

Tu cuenta

Invitado. La primera vez que abres Aura Fight, la app crea en tu dispositivo un identificador aleatorio y lo guarda allí (en el almacenamiento seguro del móvil; en la web, en el almacenamiento local del navegador). Con él te da una cuenta de invitado sin pedirte nada. Nuestro servidor nunca guarda ese identificador tal cual: solo una huella irreversible (un hash SHA-256).

Tu año de nacimiento. Al crear tu luchador te preguntamos en qué año naciste, sin día ni mes. Si de ese año sale que puedes tener menos de 13 años, no se crea nada ni se guarda nada. Si no, guardamos solo el año con tu cuenta, para saber qué anuncios podemos pedirte (ver «Anuncios con recompensa»), y se borra con ella.

Guardar tu luchador con tu correo. Si lo haces, te enviamos un código de 6 cifras y un enlace de acceso; valen 15 minutos y una sola vez, y de ellos solo guardamos huellas irreversibles. Tu dirección de correo queda unida a tu cuenta para que puedas recuperarla en otro dispositivo. Guardamos también cada intento de inicio de sesión por correo (la dirección y cuándo se pidió), para limitar los envíos y evitar abusos. Cada intento, con su código y su enlace, se borra 24 horas después de caducar.

Apple y Google. También puedes guardar tu luchador y entrar con Apple o con Google. Nunca vemos una contraseña: Apple o Google confirman quién eres y solo nos dicen tu dirección de correo (con Apple puedes ocultarla) y el identificador que usan para ti en Aura Fight.

Tu sesión. Para mantenerla abierta emitimos nuestro propio token de sesión, del que solo guardamos una huella irreversible. Caduca a los 180 días y al cerrar sesión se borra; una sesión caducada se borra 30 días después.

Tu luchador, y lo que es público

Tu cuenta guarda tu luchador: el nombre que le pones, su aspecto, sus estadísticas, nivel, experiencia, aura y rango, sus ataques, objetos y mascotas, los cosméticos que tiene y lleva, sus duelos (cada uno es una semilla y una foto de los dos luchadores, con los cosméticos que llevaban en ese momento), sus intentos contra el jefe del día, su aura de temporada y sus coronas, sus logros y el título que lleva, y su destino (las parejas de cartas «1 de 2» que le salieron en cada nivel, cuáles eligió y cuántas veces lo ha repetido).

Esto es público. Aura Fight es un juego para presumir, así que tu luchador se ve: cualquiera con su enlace (aurafight.app/f/…) ve su nombre, su aspecto, nivel, aura, rango, victorias y derrotas, su aura de temporada y sus coronas, cuántos luchadores ha traído a su peña, su número de fundador, su último duelo (con el nombre y el aspecto del rival), el título que lleva bajo su nombre, sus logros y su árbol de destino; el título también aparece en la imagen que se muestra al compartir el enlace. Los demás jugadores lo ven como rival, en sus duelos y en la clasificación de la temporada, y cada duelo (aurafight.app/d/…, con su propia imagen al compartirlo) y cada intento contra el jefe se puede ver con su enlace. No pongas tu nombre real ni datos personales en el nombre de tu luchador. Al crear tu luchador comprobamos su nombre contra una lista de insultos y términos de odio, y si coincide te pedimos otro; no se guarda nada más por ello. Si el nombre de un luchador es ofensivo, podemos cambiarlo o suspender su cuenta.

La peña. Si creas tu luchador desde el enlace de otro, queda apuntado como alumno suyo, y el otro ve cuántos alumnos tiene.

Tu diario. Cuando otro jugador reta a tu luchador, ese duelo aparece en tu diario con una frase de broma sobre cómo fue, el nombre, el aspecto y el título del rival, y si puedes pedir la revancha. El diario solo lo ves tú; guardamos hasta dónde lo has leído.

Reportar y bloquear. Puedes reportar a otro luchador (por un nombre ofensivo, por trampas o por otra cosa, con un comentario opcional). Guardamos quién lo reporta (el identificador de tu cuenta), a qué luchador, el motivo, tu comentario y el nombre que tenía el luchador en ese momento, para que el desarrollador lo revise y pueda cambiar el nombre o suspender la cuenta. Nunca le decimos al luchador reportado quién lo ha reportado. Un reporte abierto se guarda hasta que se revisa, y uno revisado se borra 180 días después. Si borras tu cuenta, tus reportes se quedan sin tu identificador y sin tu comentario; si se borra la cuenta del luchador reportado, sus reportes se borran. También puedes bloquear a otro luchador: guardamos quién bloqueó a quién y cuándo, para que no os crucéis como rivales, no pueda retarte y sus duelos contra ti desaparezcan de tu diario. Nadie recibe aviso de un bloqueo, y se guarda hasta que lo desbloqueas o se borra cualquiera de las dos cuentas.

Contra las trampas, sin guardar tu IP

Para limitar cuántas cuentas se crean desde un mismo dispositivo o una misma red, y detectar a quien se trae a sí mismo a su peña, guardamos con tu cuenta la huella del identificador de tu dispositivo y, por cada día, una huella de tu dirección IP calculada con una sal secreta que cambia cada día. Tu dirección IP nunca se guarda tal cual, y la huella de un día no se puede relacionar con la de otro. Cuando alguien abre el enlace de un luchador contamos la visita del mismo modo: con una huella diaria de la IP y del navegador, nunca con la IP. Las huellas del dispositivo y de la red, y los registros de visitas a los enlaces, se borran a los 90 días. Para frenar el abuso, el servidor también cuenta las peticiones por IP en memoria, sin escribirlas.

Dónde se guarda

Tu cuenta vive en el servidor propio de Aura Fight, api.aurafight.app, que el desarrollador gestiona él mismo en la Unión Europea, en España. Delante de él y de la web está Cloudflare, que entrega el tráfico y lo protege. Mientras los operadores de internet españoles bloquean las direcciones de Cloudflare durante los partidos de fútbol de LaLiga, la app del móvil (no la web) llega al servidor y a los dibujos de los luchadores a través de un espejo en Gcore (G-Core Labs S.A., Luxemburgo), un proveedor de red que pasa cada petición a Cloudflare: la conexión cifrada termina en Gcore, así que la petición atraviesa sus servidores en tránsito, y Gcore trata los mismos datos técnicos (dirección IP, hora, dirección pedida) sin conservar nada del contenido. Todo viaja cifrado. Las copias de seguridad de la base de datos se guardan cifradas en Cloudflare R2, con jurisdicción en la Unión Europea, durante 30 días: lo que se borra desaparece también de ellas en 30 días como mucho. Nuestro servidor escribe registros técnicos (qué se pidió, cuándo y con qué resultado, sin tu dirección IP), que se guardan 14 días en Loki, en el mismo clúster propio del desarrollador en la Unión Europea.

Los correos que te enviamos

Aparte de responderte cuando nos escribes, solo te escribimos para enviarte el código y el enlace de acceso cuando los pides, en español o en inglés. Ni boletines ni publicidad. Llegan de no-reply@aurafight.app y se envían a través de Resend (Plus Five Five, Inc., Estados Unidos), que trabaja para nosotros y conserva sus propios registros de envío durante un tiempo limitado.

Anuncios con recompensa

En el móvil, Aura Fight solo muestra un anuncio cuando tú pulsas un botón que te ofrece una recompensa (un duelo extra o +100 de aura) y eliges verlo. No hay banners, ni anuncios que aparezcan solos, ni anuncios al abrir la app. La web no tiene anuncios.

Google AdMob. Para mostrar y medir el anuncio, limitar cuántas veces lo ves y evitar el fraude, el software de Google recoge el identificador de publicidad del dispositivo (en iPhone solo si permites el rastreo), tu dirección IP (de la que se deduce una ubicación aproximada), información del dispositivo y de la app, y cómo interactúas con el anuncio. Para que el premio sea tuyo, la app le pasa a Google un código de un solo uso y el identificador aleatorio de tu cuenta de Aura Fight, y Google nos los devuelve firmados cuando terminas de verlo: así nuestro servidor, y no la app, te da el premio. Guardamos qué premio fue, cuándo y de qué bloque de anuncios. Google nunca recibe tu correo ni el nombre de tu luchador.

Tú eliges. Antes del primer anuncio, y nunca al abrir la app, te pedimos el consentimiento con el mensaje de Google en el Espacio Económico Europeo, el Reino Unido y Suiza; en los estados de EE. UU. con leyes de privacidad puedes oponerte. En iPhone, después de una explicación de Google, la app te pregunta si puede rastrearte (App Tracking Transparency); si dices que no, no se usa el identificador de publicidad y nada más cambia. Puedes cambiar tu elección cuando quieras en la app, en tu cuenta → «Privacidad de anuncios». Los anuncios se piden para un público adolescente como máximo.

Si tienes menos de la edad de consentimiento digital de tu país (artículo 8 del RGPD; en España, 14 años), según tu año de nacimiento y la región de tu dispositivo, solo pedimos anuncios no personalizados y los marcamos para menores de esa edad: no se te pide consentimiento, no se te pregunta por el rastreo y no se hace nada que dependa de tu consentimiento.

Google usa estos datos también como responsable independiente para sus propios fines: consulta cómo usa Google la información de sitios o aplicaciones que utilizan sus servicios y la política de privacidad de Google.

Compras

Hoy no se puede comprar nada. Cuando la tienda abra, los cosméticos (solo cambian cómo luce tu luchador, nunca su fuerza) se comprarán en App Store o Google Play, que cobran con sus propias condiciones; nunca vemos tus datos de pago. RevenueCat, Inc., que trabaja para nosotros, recibe el justificante de la tienda y el identificador aleatorio de tu cuenta de Aura Fight, para que el cosmético llegue a tu cuenta y puedas recuperarlo en otro dispositivo; nos avisa de cada compra, renovación o reembolso, y guardamos ese aviso (producto, precio, fecha y ese identificador). Consulta la política de privacidad de RevenueCat.

Notificaciones

Después de tu primer duelo, la app te pregunta si quieres que te avisemos cuando te reten; solo si dices que sí te pide el permiso del sistema. Si lo das, guardamos con tu cuenta el token de notificaciones que nos da tu dispositivo (de Expo), la plataforma y el idioma.

Qué te avisamos. Solo cosas de tu diario: que alguien te ha robado el aura, que alguien te retó y ganaste tú, y que a tu revancha le quedan pocas horas. Como mucho 3 avisos al día, y nunca en tus horas de silencio (de 22:00 a 9:00 si no las cambias; un aviso que cae en ellas espera a que terminen o se descarta). Guardamos qué aviso te mandamos, de qué duelo y cuándo, durante 30 días, para no repetirlo y respetar el límite.

Cómo se envían. Los enviamos a través del servicio de notificaciones de Expo (650 Industries, Inc., Estados Unidos), que recibe tu token, el título y el texto del aviso (el nombre del luchador rival y nuestra frase de broma) y el identificador del duelo, y se lo entrega a Apple o a Google para que llegue a tu móvil. Guardamos el comprobante de envío de Expo como mucho 24 horas, para saber si un token ha dejado de funcionar; si Expo nos dice que ya no vale, lo borramos.

Cómo quitarlas. En la app, tu cuenta → «Avisos», puedes apagar cada tipo de aviso y las horas de silencio; o desactiva las notificaciones de Aura Fight en los ajustes del dispositivo. Al cerrar sesión la app borra el token de tu cuenta.

Informes de errores

Cuando la app, la web o nuestro servidor encuentran un error, envían un informe a Sentry (Functional Software, Inc., que trabaja para nosotros y guarda los informes en la Unión Europea): qué falló, la versión de la app, el modelo del dispositivo y el sistema operativo, y qué estaba haciendo la app. Un informe nunca lleva tu cuenta, tu identificador de invitado, tu token de sesión, tu correo ni tu dirección IP; cualquier otra cosa que pudiera identificarte (como los enlaces de acceso) se quita antes de que salga de tu dispositivo o del servidor. Los informes se guardan hasta 90 días.

La web

aurafight.app la sirve Cloudflare, que trata tu dirección IP y la petición para entregar las páginas y proteger el sitio. La web no usa analítica ni cookies. En el almacenamiento local de tu navegador guarda dos cosas estrictamente necesarias: el identificador aleatorio de tu cuenta de invitado y tu token de sesión. Si borras los datos del sitio, pierdes el acceso a esa cuenta de invitado, salvo que la hayas guardado con tu correo.

Cuánto tiempo lo guardamos

Cómo borrar tu cuenta, paso a paso: aurafight.app/delete-account.

• Tu cuenta y tu luchador: hasta que los borres. Puedes hacerlo tú en la app, en iPhone, Android y la web (tu cuenta → «Borrar cuenta»), o escribiéndonos a support@aurafight.app. Se borran en el acto tu cuenta, sus formas de iniciar sesión (Apple, Google o correo), tus sesiones, tus tokens y ajustes de notificaciones y los avisos enviados, tus huellas de dispositivo y de red, tu inventario, tus logros, tu destino y tu diario, tus bloqueos, y tus códigos de premios por anuncios; tus reportes se quedan sin tu identificador ni tu comentario. Si tu cuenta tenía una dirección de correo, pedimos además a Costia (el servicio de cuentas del mismo desarrollador, desde el que se atienden nuestros buzones) que borre lo que tenga de ti: tus sugerencias, tus conversaciones con support@, hello@ y social@aurafight.app y tu dirección en su registro de correos. Tu luchador desaparece de los rivales, de la clasificación, de la peña y de su enlace; en los duelos que otros jugadores ya jugaron contra él aparece como «Luchador eliminado».
• La sesión en un dispositivo: dura 180 días, o hasta que cierres sesión; caducada, se borra 30 días después.
• Los códigos y enlaces de acceso: valen 15 minutos y se borran 24 horas después de caducar.
• Las huellas de dispositivo y de red, y los registros de visitas a los enlaces: 90 días.
• Los avisos de compras de RevenueCat: 6 años, por las obligaciones contables y fiscales españolas, y después se borran. Si borras tu cuenta antes, se conservan solo por esas obligaciones y sin nada que te identifique.
• Tu año de nacimiento: con tu cuenta, hasta que la borres.
• Los reportes: hasta que se revisan, y 180 días después de revisarse. Los bloqueos: hasta que desbloqueas o se borra cualquiera de las dos cuentas.
• Las conversaciones con support@, hello@ y social@aurafight.app: 730 días, o hasta que borres tu cuenta.
• Los avisos enviados: 30 días. Los comprobantes de envío de Expo: 24 horas como mucho.
• Las copias de seguridad de la base de datos: 30 días.
• Los registros técnicos del servidor: 14 días. Los informes de errores: 90 días como mucho.
• Lo demás: como se explica arriba.

Por qué podemos usarlos (bases legales)

• Contrato: tu cuenta, tu luchador y el juego (también lo que es público de él, que es parte del juego), el inicio de sesión por correo, darte los premios de los anuncios que eliges ver, lo que compres y los bloqueos.
• Consentimiento: anuncios personalizados, y guardar o leer identificadores en tu dispositivo para anuncios donde la ley exige consentimiento; el rastreo en iPhone; las notificaciones.
• Interés legítimo: anuncios no personalizados, que mantienen el juego gratis; evitar trampas, fraude y abusos (las huellas de dispositivo y de red, los límites); revisar los reportes y filtrar los nombres ofensivos; los registros técnicos, los informes de errores y las copias de seguridad, para que el servicio funcione y sea seguro.
• Obligación legal: tu año de nacimiento, para aplicar la edad mínima y la de consentimiento digital; conservar lo que exige la ley y atender las peticiones legítimas de las autoridades.

Quién trabaja con tus datos

No vendemos tus datos, y solo los compartimos con quienes nos ayudan a que Aura Fight funcione y están obligados a protegerlos, o como se describe arriba: Cloudflare (entrega y protección de la web y del servidor, y recepción del correo enviado a nuestras direcciones), Gcore (el espejo de red durante los bloqueos de LaLiga), Resend (el envío de los correos de acceso y de nuestras respuestas), Google (anuncios con AdMob, compras en Google Play y el inicio de sesión), Apple (compras en App Store, la entrega de notificaciones y el inicio de sesión), RevenueCat (compras), Expo (el envío de las notificaciones) y Sentry (informes de errores). Solo daríamos datos a las autoridades cuando la ley lo exija.

Fuera de la Unión Europea

Tu cuenta se guarda en la Unión Europea. Los informes de errores también. Google, Apple, RevenueCat, Cloudflare, Resend, Expo y Sentry pueden tratar datos en Estados Unidos y otros países. Lo hacen al amparo del Marco de Privacidad de Datos UE-EE. UU. (y sus extensiones para el Reino Unido y Suiza) o de las cláusulas contractuales tipo de la Comisión Europea.

Menores

Para jugar a Aura Fight hay que tener 13 años o más: la app pregunta el año de nacimiento al crear el luchador y, por debajo de esa edad, no lo crea. Si no has alcanzado la mayoría de edad donde vives, juega con el permiso de tu madre, tu padre o tu tutor. Si sabemos que una cuenta es de un menor de esa edad, la borramos. Quien está por debajo de la edad de consentimiento digital de su país solo recibe anuncios no personalizados y nada que dependa de su consentimiento.

Tus derechos

Estos derechos son para todo el mundo, vivas donde vivas. Puedes pedir acceso a tus datos, una copia en un formato portable, su rectificación o supresión, limitar u oponerte a su uso, y retirar tu consentimiento cuando quieras sin que afecte a lo hecho antes. Escribe a support@aurafight.app desde la dirección de correo de tu cuenta (si es una cuenta de invitado, dinos el enlace de tu luchador) y te responderemos en un mes como mucho. Puedes restablecer tu identificador de publicidad en los ajustes del dispositivo. También puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es) o la autoridad de donde vivas.

Reino Unido: el RGPD del Reino Unido te da los mismos derechos; puedes reclamar ante la ICO (ico.org.uk).

Estados Unidos: según las leyes de privacidad de California y de otros estados, puedes saber qué recogemos, obtener una copia, corregirlo, borrarlo y oponerte a la «venta», al «intercambio» o a la publicidad dirigida con tus datos. No vendemos datos a cambio de dinero, ni usamos datos sensibles para deducir nada sobre ti. Los anuncios personalizados pueden considerarse «intercambio» o «publicidad dirigida»: puedes oponerte en tu cuenta → «Privacidad de anuncios». No te trataremos de forma distinta por ejercer tus derechos.

En otros lugares: tienes los derechos que te dé la ley de donde vivas, y respetamos los anteriores vivas donde vivas.

Cambios

Cuando esta política cambie actualizaremos esta página y su fecha, y la app te avisará de cualquier cambio importante.