1Wer verantwortlich ist

Verantwortlich für die Verarbeitung deiner Daten im Sinne der Datenschutz-Grundverordnung (DSGVO) ist

Simon Ehmann, Münchner Straße 43, 82178 Puchheim, Deutschland

Du erreichst uns unter support@chessura.app. Die übrigen Angaben stehen im Impressum.

2Was wir verarbeiten und wozu

Konto und Spielstand

Beim ersten Start legt die App ein anonymes Konto für dich an. Es besteht nur aus einer zufälligen Kennung. Unter diesem Konto speichern wir deinen Spielstand auf unserem Server, damit er nicht verloren geht und sich nicht fälschen lässt. Dazu gehören

• dein Fortschritt im Kurs, Erfahrungspunkte, Level, Streak, Stärke, Liga und Saison,
• Siegel, Schatullen, Figuren, Bretter und alles andere, was du gesammelt hast,
• deine Fehler-Box, Aufträge, Abzeichen und Bestwerte,
• die Ereignisse deines Spiels, also etwa welche Aufgabe du wie beantwortet hast, welche Züge du gespielt hast und wie lange du gebraucht hast. Der Server spielt sie mit denselben Regeln nach und rechnet daraus deinen Stand.
• deine Antworten aus dem ersten Start, also deine Selbsteinschätzung, das Ergebnis der Einstufung, deine Altersgruppe, die gewählte Erinnerungszeit und der Zeitpunkt, zu dem du den Nutzungsbedingungen zugestimmt hast.

Wenn du deinen Stand sicherst, verknüpfen wir das Konto mit einer Anmeldung über Apple, über Google oder mit einer E-Mail-Adresse und einem Passwort. Von Apple und Google erhalten wir dabei eine Kennung deines dortigen Kontos und eine E-Mail-Adresse, bei Apple auf Wunsch eine anonyme Weiterleitungsadresse. Google schickt außerdem den Namen und die Adresse des Profilbilds deines Google-Kontos mit. Beides löschen wir in der folgenden Nacht. Wenn du dich mit E-Mail und Passwort anmeldest, speichern wir die Adresse und vom Passwort nur eine nicht umkehrbare Prüfsumme, und wir schicken dir eine Mail, um die Adresse zu bestätigen.

Auf einem Gerät können bis zu fünf Spieler spielen. Jeder hat ein eigenes Konto mit eigenem Stand. Der Code, mit dem sich ein Spieler auf dem Gerät schützen lässt, bleibt als Prüfsumme auf dem Gerät.

Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags mit dir (Art. 6 Abs. 1 lit. b DSGVO).

Altersgruppe

Beim ersten Start fragen wir, ob du unter 13, zwischen 13 und 17 oder mindestens 18 Jahre alt bist. Wir speichern nur diese Gruppe und brauchen sie, um Kinder zu schützen. Kinder unter 13 Jahren können keine freien Nachrichten schreiben, wir messen ihre Nutzung nicht und sie bekommen weniger Mitteilungen (siehe Abschnitt 7). Die Moderation kann die Gruppe berichtigen, wenn sie offensichtlich nicht stimmt. Rechtsgrundlage ist unser berechtigtes Interesse am Schutz von Kindern und Jugendlichen (Art. 6 Abs. 1 lit. f DSGVO).

Spielername, Figur und was andere von dir sehen

Für Duelle, Partien gegen Menschen, Freunde und Vereine wählst du einen Spielernamen und eine Figur. Andere Spieler sehen deinen Namen, deine Figur mit ihrem Aussehen, deine Liga und Stärke, deine Ergebnisse in gemeinsamen Spielen und deinen Platz in Ranglisten. Freunde sehen außerdem, ob du gerade online bist. Dafür meldet sich die App regelmäßig beim Server, solange sie geöffnet ist. Dein Freundescode ist eine zufällige Zeichenfolge, über die dir jemand eine Freundschaftsanfrage schicken kann. Namen prüfen wir automatisch gegen eine Liste gesperrter Begriffe.

Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Duelle und Partien

Für Duelle und Fernpartien speichern wir, gegen wen du spielst, deine Züge und Läufe mit ihren Zeiten und Punkten, Fristen, Ergebnisse und eine interne Wertung, mit der wir passende Gegner suchen. Bei der Gegnersuche verarbeiten wir zusätzlich, wie schnell deine Verbindung zum Server ist. Der Server spielt jeden Lauf und jeden Zug nach, bevor er ihn annimmt.

Kennung der Installation. Die App erzeugt bei der Installation eine zufällige Kennung aus 32 Zeichen und schickt sie bei Anfragen an den Duell-Server mit. Sie ist nach einer Neuinstallation eine andere und wird von allen Spielern eines Geräts geteilt. Wir speichern sie zusammen mit dem Konto, höchstens die zwanzig neuesten je Konto, und löschen sie, sobald sie 30 Tage nicht mehr benutzt wurde. Wir nutzen sie nur für einen Zweck. Wenn zwei Konten in den letzten 30 Tagen von derselben Installation kamen, bringt ein Duell zwischen ihnen keine Siegel und keine Wertung, damit sich niemand mit einem Zweitkonto Siege schenken kann. Rechtsgrundlage ist unser berechtigtes Interesse an einem fairen Spiel (Art. 6 Abs. 1 lit. f DSGVO).

Prüfung auf fremde Hilfe. In Fernpartien darf niemand eine Schach-Engine zurate ziehen. Damit wir das erkennen können, speichern wir zu jedem Zug einer Fernpartie, wann er bei uns angekommen ist, und sehen beendete Fernpartien mit einem Schachprogramm durch. Das Programm läuft auf dem Rechner der Moderation. Es misst für jede Seite, wie genau sie gespielt hat, wie oft ihr Zug der beste Zug des Programms war und wie viel Zeit zwischen dem Zug des Gegners und der Antwort lag. Diese Werte speichern wir mit deinem Konto und deiner Stärke zu diesem Zeitpunkt. Ein Programm markiert nur, was auffällt, zum Beispiel wenn mehrere Partien eines Kontos fast fehlerfrei sind. Ob daraus ein Fall für die Moderation wird und ob eine Maßnahme folgt, entscheidet immer ein Mensch, und gegen eine Stummschaltung oder Sperre kannst du in der App Einspruch einlegen. Rechtsgrundlage ist unser berechtigtes Interesse an einem fairen Spiel (Art. 6 Abs. 1 lit. f DSGVO).

Freunde, Verein und Chat

Wir speichern deine Freundschaften und Freundschaftsanfragen, wen du blockiert hast und, wenn du einem Verein angehörst, deine Mitgliedschaft, deinen Beitrag zum Wochenziel, verschenkte Figuren und deine Ergebnisse bei der Tagesstellung und im Vereinskampf. Wenn du einen Verein gründest, speichern wir seinen Namen, sein Wappen und seine Einstellungen.

Nachrichten unter Freunden, im Duell und im Verein speichern wir mit Absender, Empfänger, Zeitpunkt und ob sie gelesen wurden, damit wir sie zustellen können. Jede Nachricht läuft vor dem Senden durch einen automatischen Filter, der Links, Telefonnummern und gesperrte Begriffe abweist. Wenn der Filter etwas abweist, speichern wir, dass und an welcher Stelle das passiert ist. Den Chat im Duell und im Verein kannst du im Profil ausschalten.

Auf dem iPhone kannst du deine Freunde aus dem Game Center suchen. Nur wenn du das antippst und iOS es erlaubt, verknüpfen wir deine Game-Center-Kennung mit deinem Konto und gleichen die Kennungen deiner Game-Center-Freunde mit unseren Konten ab.

Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO), beim Filter unser berechtigtes Interesse an einem sicheren Miteinander (Art. 6 Abs. 1 lit. f DSGVO).

Meldungen, Moderation und Sanktionen

Jeder kann einen anderen Spieler, einen Namen oder eine einzelne Nachricht melden. Mit der Meldung speichern wir, wer meldet und wer gemeldet wird, den Grund, die Stelle in der App, den Namen zum Zeitpunkt der Meldung, eine Notiz und, wenn eine Nachricht gemeldet wird, eine Kopie dieser Nachricht als Beleg. Die Moderation sieht zu einem Fall die Meldungen, die gemeldeten Nachrichten und ihren Zusammenhang. Die gemeldete Person erfährt, um welche Nachricht oder welchen Namen es geht, aber nicht, wer gemeldet hat.

Die Moderation kann nach ihrer Prüfung verwarnen, einen Namen zurücksetzen, eine Nachricht löschen, das Schreiben für eine Zeit sperren, das Konto für eine Zeit sperren oder es löschen. Wir speichern die Entscheidung mit Grund, Dauer und der Nachricht, auf die sie sich stützt, und führen ein Protokoll aller Entscheidungen. Wenn du Einspruch einlegst, speichern wir deinen Grund und deinen Text dazu. Über Sanktionen entscheiden immer Menschen.

Wer etwas gemeldet hat, erfährt in der App, dass wir die Meldung geprüft haben und ob wir gehandelt haben. Wessen Nachricht gelöscht oder wessen Name zurückgesetzt wurde, bekommt in der App eine Begründung. Dafür halten wir den entfernten Text und den Grund für diese Person bereit.

Rechtsgrundlage ist unser berechtigtes Interesse, andere Spieler zu schützen und unsere Regeln durchzusetzen (Art. 6 Abs. 1 lit. f DSGVO), sowie die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Mitteilungen

Die tägliche Erinnerung plant die App auf deinem Gerät. Mitteilungen von unserem Server, etwa „Du bist dran“ oder eine Nachricht von einem Freund, bekommst du nur, wenn du sie einschaltest. Dann speichern wir die Push-Adresse deines Geräts, die Plattform, deine Sprache, welche Arten von Mitteilungen du möchtest und deine Zeitzone, damit nachts Ruhe ist. Außerdem halten wir fest, welche Mitteilung wann gesendet und ob sie geöffnet wurde, damit keine doppelt kommt und wir seltener schreiben, wenn du sie nicht öffnest. Eine Mitteilung über eine Nachricht enthält den Namen des Absenders und den Anfang des Textes.

Wir stellen die Mitteilungen über Firebase Cloud Messaging von Google zu, auf Apple-Geräten zusätzlich über den Mitteilungsdienst von Apple. Dafür meldet die App ihre Installation bei Firebase an, sobald du Mitteilungen einschaltest. Versionen der App bis 0.7.0 tun das schon beim Start. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO), denn die Mitteilungen sind eine Funktion der App, die du selbst einschaltest. Du kannst sie jederzeit im Profil unter „Mitteilungen“ oder in den Einstellungen deines Geräts wieder abschalten.

Nutzungsmessung

Wenn du zustimmst, messen wir, wie du die App nutzt, und speichern das in unserer eigenen Datenbank. Wir messen dann zusammen mit deinem Konto, was du spielst und wie es läuft (Lektionen, Runden und Partien, Antworten mit Ergebnis, Tipps und Zeit), was die App dir gezeigt hat und ob du darauf eingegangen bist (Empfehlungen, Hinweise, Mitteilungen), und dazu technische Angaben wie Plattform, App-Version und Fehlerberichte.

Wir nutzen das, um zu sehen, wo Lernende hängen bleiben oder aufhören, um Aufgaben richtig einzustufen und um Fehler zu finden. Eine neue Regel probieren wir manchmal erst bei einem Teil der Spieler aus und vergleichen dann.

Die App fragt dich vorher. Beim ersten Start fragt sie Erwachsene, ob sie auswerten darf, wie du übst. Wenn du Nein sagst, zeichnet sie nichts auf, und sonst ändert sich nichts. Erst mit deinem Ja schreibt sie etwas auf und sendet es an unseren Server, dazu den Zeitpunkt deiner Zustimmung. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Wer unter 18 Jahre alt ist, den fragt die App nicht, und die Messung bleibt ausgeschaltet.

Du kannst deine Zustimmung jederzeit zurücknehmen. Im Profil steht dafür der Schalter „Nutzungsdaten teilen“. Wenn du ihn ausschaltest, zeichnet die App nichts mehr auf, und wir löschen die Messdaten auf deinem Gerät und auf unserem Server. Dort kannst du die Messung auch später einschalten, wenn du zuerst Nein gesagt hast.

Versionen der App bis 0.7.0 fragen noch nicht. Dort ist die Messung ab 13 Jahren eingeschaltet, bis du sie mit demselben Schalter ausschaltest, gestützt auf unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Mit dem Update fragt dich die App einmal, und bis zu deiner Antwort zeichnet sie nichts mehr auf.

Unabhängig von diesem Schalter rechnen wir aus den Ereignissen deines Spiels, die der Server ohnehin braucht, zusammengefasste Zahlen, etwa wie viele Spieler eine Lektion abschließen oder wie oft eine Aufgabe gelöst wird. Rechtsgrundlage ist unser berechtigtes Interesse, die App zu verbessern (Art. 6 Abs. 1 lit. f DSGVO).

Feedback aus der App

Über „Feedback geben“ im Profil kannst du uns einen Fehler oder eine Idee schicken. Damit wir die Meldung ohne Rückfrage verstehen, schickt die App neben deinem Text Folgendes mit.

• Ein Bildschirmfoto, das die App von sich selbst macht. Du siehst es vor dem Senden und kannst es entfernen. Auf Wunsch kannst du stattdessen ein Bild aus deinen Fotos anhängen.
• App-Version, Plattform, Gerätemodell und Betriebssystem, Sprache und Zeitzone.
• Einstellungen der Anzeige wie Fenstergröße, Textgröße, dunkler Modus und reduzierte Bewegung.
• Was gerade zu sehen war, also etwa die Stellung auf dem Brett, die Lektion, die Aufgabe und die gespielten Züge.
• Die zuletzt geöffneten Seiten der App, die letzten Ereignisse der Nutzungsmessung (nur wenn die Messung an ist), deine Stärke und die letzten Fehler, die die App bemerkt hat.

Wir speichern die Meldung mit deinem Konto und lesen sie. Wenn wir antworten, siehst du die Antwort beim nächsten Öffnen der App. In Testversionen bemerkt die App außerdem, wenn du ein Bildschirmfoto machst oder das Gerät schüttelst, und bietet dann das Feedback an. Rechtsgrundlage ist unser berechtigtes Interesse, dein Anliegen zu bearbeiten und die App zu verbessern (Art. 6 Abs. 1 lit. f DSGVO).

Game Center

Auf Apple-Geräten kann die App deine Abzeichen und Bestwerte in das Game Center spiegeln, wenn du dort angemeldet bist. Für das Game Center ist Apple selbst verantwortlich. Du kannst es in den Einstellungen deines Geräts abschalten.

Webseite, Web-App und Server-Protokolle

Wenn du unsere Webseite oder die Web-App aufrufst oder die App mit unserem Server spricht, verarbeiten unsere Dienstleister Zugriffsdaten, nämlich IP-Adresse, Zeitpunkt, aufgerufene Adresse, Antwort des Servers und Angaben zum Browser oder zur App. Das ist nötig, um die Seiten auszuliefern, den Betrieb zu sichern und Missbrauch abzuwehren. Rechtsgrundlage ist unser berechtigtes Interesse daran (Art. 6 Abs. 1 lit. f DSGVO). Vercel löscht diese Protokolle nach einem Tag, Supabase nach höchstens sieben Tagen.

Zu jeder Anmeldung merkt sich unser Server außerdem die IP-Adresse und die Kennung der App oder des Browsers, mit denen sie zuletzt benutzt wurde. Beides löschen wir sieben Tage nach der letzten Nutzung.

Schriften und Skripte der Webseite kommen von unserer eigenen Adresse. Die Webseite merkt sich deine Sprachwahl im Speicher deines Browsers. Die Web-App hält dort außerdem deine Anmeldung und deinen Spielstand, so wie die App auf dem Telefon.

Wenn du uns schreibst

Wenn du uns eine E-Mail schreibst, verarbeiten wir deine Adresse und den Inhalt, um dir zu antworten (Art. 6 Abs. 1 lit. b und f DSGVO). Unser Postfach liegt bei Apple (iCloud Mail).

Auf der Seite Hilfe gibt es dafür auch ein Formular. Was du dort einträgst (deine E-Mail-Adresse, deine Nachricht und, wenn du magst, deinen Namen, deinen Spielernamen und deine Plattform), geht über unseren Server und den Versanddienst Resend als E-Mail in dasselbe Postfach. Der Server sucht dabei das Konto heraus, das zu deiner Adresse oder deinem Spielernamen gehört, und legt der Nachricht bei, was wir zum Helfen brauchen, etwa deine Stärke, wann du zuletzt gespielt hast und ob eine Sperre läuft. Auf dem Server speichern wir davon nur die Zahl der Nachrichten eines Tages, damit niemand das Formular überlasten kann.

3Was auf deinem Gerät bleibt

Folgendes verarbeitet die App nur auf deinem Gerät.

• Die Schach-Engine und die Spielregeln laufen auf dem Gerät. Partien gegen Bots und ihre Nachbesprechung rechnet die App dort.
• Einstellungen wie Sprache und Töne, der Code eines Spielers und die Liste der Spieler eines Geräts.
• Was die App sich merkt, um dich gut zu begleiten, etwa welche Aufgaben du zuletzt gesehen hast, wie deine letzten Sitzungen liefen und was der Mentor schon gesagt hat.
• Die tägliche Erinnerung und die Daten für die Widgets auf dem Home-Bildschirm.

Bilder liest die App nur, wenn du selbst eines an ein Feedback anhängst. Den Bewegungssensor nutzt sie für eine Animation und in Testversionen, um ein Schütteln zu erkennen. Diese Werte bleiben auf dem Gerät. Wenn du die App löschst, sind auch die Daten auf dem Gerät gelöscht.

4Wer Daten für uns verarbeitet

Wir setzen folgende Dienstleister ein, die Daten in unserem Auftrag und nach unseren Weisungen verarbeiten.

• Supabase (Supabase Pte. Ltd., Singapur) für Datenbank, Anmeldung und Serverfunktionen. Datenbank und Anmeldung liegen in einem Rechenzentrum in Frankfurt am Main. Protokolle und einzelne Serverfunktionen können außerhalb der EU verarbeitet werden.
• Vercel (Vercel Inc., USA) für die Auslieferung der Webseite und der Web-App.
• Google (Google LLC, USA, und Google Ireland Limited, Irland) für die Zustellung von Mitteilungen über Firebase Cloud Messaging.
• Resend (Plus Five Five, Inc., USA) für den Versand der Mail, mit der du deine E-Mail-Adresse bestätigst, und der Nachrichten aus dem Kontaktformular. Resend hält diese Mails 30 Tage vor.

Daneben arbeiten wir mit Anbietern zusammen, die für ihre Dienste selbst verantwortlich sind. Das sind Apple (Apple Distribution International Ltd., Irland) für die Anmeldung mit Apple, den App Store, Mitteilungen und das Game Center und Google (Google Ireland Limited, Irland) für die Anmeldung mit Google und für Google Play. Von uns erfahren sie nur, was der jeweilige Dienst braucht. Das ist bei der Anmeldung, dass du dich bei Chessura anmeldest, bei Mitteilungen deren Inhalt und beim Game Center deine Abzeichen und Bestwerte. Im Übrigen gelten die Datenschutzhinweise der Anbieter.

Übermittlung in Länder außerhalb der EU. Supabase hat seinen Sitz in Singapur und setzt Unternehmen in den USA ein, darunter Supabase, Inc. Dafür gelten die Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/914). Vercel, Google und Resend sitzen in den USA und sind unter dem EU-U.S. Data Privacy Framework zertifiziert. Für sie gilt der Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023, und für den Fall, dass er wegfällt, sind mit ihnen zusätzlich die Standardvertragsklauseln vereinbart. Apple verarbeitet Daten als eigener Verantwortlicher auch in den USA und stützt sich dabei auf Standardvertragsklauseln. Die Klauseln stehen in den Verträgen der Anbieter, eine Kopie schicken wir dir auf Anfrage.

Andere Spieler sehen von dir, was in Abschnitt 2 unter „Spielername, Figur und was andere von dir sehen“ steht, und die Nachrichten, die du ihnen schickst. An Behörden geben wir Daten nur heraus, wenn wir dazu verpflichtet sind oder wenn es nötig ist, um eine Straftat anzuzeigen oder eine Gefahr für jemanden abzuwenden.

5Wie lange wir Daten speichern

• Konto und Spielstand bleiben, bis du dein Konto löschst. Die einzelnen Ereignisse deines Spiels löschen wir nach 180 Tagen, beendete Duelle nach zwölf Monaten. Dein Stand und deine Bilanz bleiben.
• Anonyme Konten, die nie gespielt haben, löschen wir nach 30 Tagen ohne Aktivität, alle anderen anonymen Konten nach 180 Tagen ohne Aktivität. Solange ein Duell oder eine Fernpartie läuft oder eine Meldung offen ist, bleibt das Konto. Gesicherte Konten löschen wir nicht von selbst.
• Nachrichten unter Freunden, im Duell und im Verein löschen wir nach 90 Tagen. Eine gemeldete Nachricht bleibt als Beleg, solange die Meldung besteht.
• Meldungen samt der Kopie der gemeldeten Nachricht löschen wir sechs Monate nach der Entscheidung. Wenn eine Stummschaltung oder Sperre folgte, bleiben sie bis sechs Monate nach deren Ende, höchstens zwölf Monate. Einsprüche löschen wir sechs Monate nach der Antwort, Sanktionen zwölf Monate nach ihrem Ende. Im Protokoll der Entscheidungen steht drei Jahre lang, welche Maßnahme es wann aus welchem Grund gab, ohne den Text der Nachricht. Die Begründung zu einer gelöschten Nachricht oder einem zurückgesetzten Namen löschen wir nach sechs Monaten.
• Beendete Fernpartien löschen wir nach 180 Tagen, zusammen mit den Zeiten ihrer Züge. Die Messwerte der Prüfung auf fremde Hilfe löschen wir zwölf Monate nach dem Ende der Partie.
• Nutzungsmessung löschen wir nach 180 Tagen, oder sofort, wenn du sie abschaltest.
• Feedback löschen wir zwölf Monate, nachdem es erledigt ist, das Bildschirmfoto und die Angaben zum Gerät schon nach 90 Tagen.
• Die Kennung der Installation löschen wir, sobald sie 30 Tage nicht mehr benutzt wurde.
• Abgewiesene Nachrichten (nur die Tatsache) löschen wir nach 180 Tagen.
• Das Protokoll gesendeter Mitteilungen löschen wir nach 30 Tagen.
• Ergebnisse der täglichen Aufgabe der Liga löschen wir nach 35 Tagen, Wochenwerte der Vereine nach spätestens 60 Tagen.
• E-Mails an uns löschen wir zwölf Monate, nachdem dein Anliegen erledigt ist.

Wenn du dein Konto löschst, bleiben Meldungen über dich noch höchstens sechs Monate, ohne Verbindung zu deinem Konto. Sie enthalten deinen Spielernamen von damals und die gemeldete Nachricht. Wir brauchen sie, um andere zu schützen und um Entscheidungen der Moderation belegen zu können. Alles andere löschen wir mit dem Konto.

6Deine Rechte

Du hast das Recht auf Auskunft über deine Daten (Art. 15 DSGVO), auf Berichtigung (Art. 16), auf Löschung (Art. 17), auf Einschränkung der Verarbeitung (Art. 18) und auf Datenübertragbarkeit (Art. 20). Eine Einwilligung kannst du jederzeit für die Zukunft widerrufen (Art. 7 Abs. 3).

Widerspruch. Soweit wir Daten auf Grundlage eines berechtigten Interesses verarbeiten, kannst du dem aus Gründen widersprechen, die sich aus deiner besonderen Situation ergeben (Art. 21 DSGVO). Der Nutzungsmessung kannst du am einfachsten mit dem Schalter im Profil widersprechen.

Schreib uns dafür an support@chessura.app. Weil die meisten Konten keinen Namen und keine Adresse tragen, brauchen wir von dir eine Angabe, mit der wir dein Konto finden, zum Beispiel deinen Spielernamen und deinen Freundescode.

Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel bei der Behörde an deinem Wohnort oder an unserem Sitz (Art. 77 DSGVO).

Du bist nicht verpflichtet, uns Daten zu geben. Ohne ein Konto und seinen Spielstand können wir die App aber nicht bereitstellen. Der Filter für Namen und Nachrichten arbeitet automatisch, und die Prüfung der Fernpartien markiert automatisch, was auffällt. Über Sanktionen entscheiden Menschen.

7Kinder und Jugendliche

Wenn jemand beim ersten Start angibt, unter 13 Jahre alt zu sein, gilt für dieses Konto Folgendes.

• Das Kind kann keine freien Nachrichten schreiben, weder unter Freunden noch im Duell noch im Verein. Duelle, Freunde, Verein und vorgegebene Emotes bleiben.
• Die Nutzungsmessung ist ausgeschaltet. Das gilt für alle unter 18 Jahren.
• Das Kind bekommt keine Mitteilungen, die es nur zurück in die App holen sollen, und zwischen 20 und 8 Uhr bekommt es gar keine.
• Das Kind würfelt seinen Spielernamen, statt ihn frei einzugeben, und ebenso den Namen eines Vereins, den es gründet. Das gilt ab der App-Version 0.7.5.

Solange du noch nicht 18 Jahre alt bist, kannst du ab der App-Version 0.7.5 im Duell außerdem nur mit Freunden schreiben. Mit allen anderen kannst du dort vorgegebene Emotes austauschen, und auch Erwachsene können dir im Duell nur schreiben, wenn ihr Freunde seid. Dafür vergleicht der Server die Altersgruppen beider Spieler. Wer vor der Altersfrage angefangen hat, den fragt die App einmal nach seiner Altersgruppe, und bis zur Antwort zählt er als minderjährig.

Solange du noch nicht 18 Jahre alt bist, nutze die App bitte nur, wenn deine Eltern einverstanden sind. Um eine Einwilligung bitten wir Minderjährige nicht. Wo wir uns in dieser Erklärung auf den Vertrag mit dir stützen und dieser Vertrag ohne die Zustimmung deiner Eltern nicht wirksam ist, stützen wir uns auf unser berechtigtes Interesse, dir die App bereitzustellen, die du nutzen möchtest (Art. 6 Abs. 1 lit. f DSGVO).

Eltern können uns jederzeit schreiben, um Auskunft über die Daten ihres Kindes zu bekommen oder das Konto löschen zu lassen.

8Konto löschen

Du kannst dein Konto in der App löschen, im Profil unter „Konto“ mit „Konto löschen“. Es ist damit sofort gelöscht, samt Spielstand, Duellen, Partien, Freundschaften, Vereinsmitgliedschaft, Nachrichten, Feedback und Nutzungsmessung. Bei einer Anmeldung mit Apple auf dem iPhone widerrufen wir dabei auch den Zugang bei Apple. Ohne die App kannst du uns eine Mail schreiben, wie es auf der Seite Konto löschen beschrieben ist. Wir löschen das Konto dann innerhalb von 30 Tagen.

9Sicherheit

Die App spricht nur verschlüsselt mit unserem Server. Auf dem Server kann jedes Konto nur seine eigenen Daten erreichen, und alles, was Punkte, Siegel oder Wertung ändert, rechnet der Server selbst nach.

10Änderungen

Wenn sich die App oder die Rechtslage ändert, passen wir diese Erklärung an. Es gilt die Fassung, die hier steht. Über wesentliche Änderungen informieren wir in der App.

1Who is responsible

The controller for the processing of your data under the General Data Protection Regulation (GDPR) is

Simon Ehmann, Münchner Straße 43, 82178 Puchheim, Germany

You can reach us at support@chessura.app. Further details are in the legal notice.

2What we process and why

Account and progress

On first launch the app creates an anonymous account for you. It consists only of a random identifier. Under this account we store your progress on our server so that it is not lost and cannot be forged. This includes

• your progress in the course, experience points, level, streak, strength, league and season,
• seals, chests, figures, boards and everything else you have collected,
• your mistake box, quests, badges and best scores,
• the events of your play, such as which exercise you answered and how, which moves you played and how long you took. The server replays them with the same rules and works out your state from them.
• your answers from the first launch, meaning your self-assessment, the result of the placement, your age group, the reminder time you chose and the time you accepted the terms of use.

When you secure your progress, we link the account to a sign-in with Apple, with Google or with an email address and a password. Apple and Google give us an identifier of your account with them and an email address, with Apple an anonymous relay address if you prefer. Google also sends the name and the address of the profile picture of your Google account. We delete both the following night. If you sign in with email and password, we store the address, keep only a non-reversible hash of the password and send you a message to confirm the address.

Up to five players can play on one device. Each has an account and progress of their own. The code that can protect a player on the device stays on the device as a checksum.

The legal basis is the performance of the contract of use with you (Art. 6(1)(b) GDPR).

Age group

On first launch we ask whether you are under 13, between 13 and 17, or at least 18. We store only this group and need it to protect children. Children under 13 cannot write free messages, their usage is not measured and they receive fewer notifications (see section 7). Our moderators can correct the group if it is obviously wrong. The legal basis is our legitimate interest in protecting children and young people (Art. 6(1)(f) GDPR).

Player name, figure and what others see of you

For duels, games against people, friends and clubs you choose a player name and a figure. Other players see your name, your figure and its look, your league and strength, your results in shared games and your place in rankings. Friends also see whether you are online. For that the app checks in with the server regularly while it is open. Your friend code is a random string that lets someone send you a friend request. We check names automatically against a list of blocked terms.

The legal basis is the performance of the contract (Art. 6(1)(b) GDPR).

Duels and games

For duels and correspondence games we store who you play against, your moves and runs with their times and points, deadlines, results and an internal rating that we use to find suitable opponents. When searching for an opponent we also process how fast your connection to the server is. The server replays every run and every move before accepting it.

Installation identifier. When installed, the app creates a random identifier of 32 characters and sends it along with requests to the duel server. It is a different one after reinstalling and is shared by all players on a device. We store it with the account, at most the twenty most recent per account, and delete it once it has not been used for 30 days. We use it for one thing only. If two accounts came from the same installation within the last 30 days, a duel between them earns no seals and no rating, so that nobody hands themselves wins with a second account. The legal basis is our legitimate interest in fair play (Art. 6(1)(f) GDPR).

Checking for outside help. Nobody may consult a chess engine in a correspondence game. So that we can notice it, we store for every move of a correspondence game when it reached us, and we go through finished correspondence games with a chess program. The program runs on the moderators' computer. For each side it measures how accurately it played, how often its move was the program's best move and how much time passed between the opponent's move and the answer. We store these values with your account and your strength at that time. A program only marks what stands out, for example when several games of an account are almost free of mistakes. Whether this becomes a case for the moderators and whether a measure follows is always decided by a person, and you can appeal against a mute or a suspension in the app. The legal basis is our legitimate interest in fair play (Art. 6(1)(f) GDPR).

Friends, clubs and chat

We store your friendships and friend requests, who you have blocked and, if you belong to a club, your membership, your share of the weekly goal, pieces you gave away and your results in the daily position and the club battle. If you found a club, we store its name, its crest and its settings.

We store messages between friends, in a duel and in a club with sender, recipient, time and whether they were read, so that we can deliver them. Before sending, every message passes an automatic filter that rejects links, phone numbers and blocked terms. If the filter rejects something, we store that it happened and where. You can switch off the chat in duels and in clubs in your profile.

On an iPhone you can look for your Game Center friends. Only if you tap that and iOS allows it do we link your Game Center identifier to your account and match the identifiers of your Game Center friends against our accounts.

The legal basis is the performance of the contract (Art. 6(1)(b) GDPR), and for the filter our legitimate interest in a safe community (Art. 6(1)(f) GDPR).

Reports, moderation and sanctions

Anyone can report another player, a name or a single message. With the report we store who reports and who is reported, the reason, the place in the app, the name at the time of the report, a note and, if a message is reported, a copy of that message as evidence. For a case, the moderators see the reports, the reported messages and their context. The reported person learns which message or which name it is about, but not who reported it.

When the moderators decide, they can warn, reset a name, delete a message, stop someone from writing for a time, suspend the account for a time or delete it. We store the decision with its reason, its duration and the message it relies on, and we keep a log of all decisions. If you appeal, we store your reason and your text. Sanctions are always decided by people.

Whoever reported something learns in the app that the report was reviewed and whether we took action. Whoever had a message deleted or a name reset gets a statement of reasons in the app. For this we keep the removed text and the reason available for that person.

The legal basis is our legitimate interest in protecting other players and enforcing our rules (Art. 6(1)(f) GDPR) and the performance of the contract (Art. 6(1)(b) GDPR).

Notifications

The daily reminder is scheduled by the app on your device. Notifications from our server, such as “Your turn” or a message from a friend, reach you only if you switch them on. In that case we store the push address of your device, the platform, your language, which kinds of notifications you want and your time zone, so that nights stay quiet. We also record which notification was sent when and whether it was opened, so that none arrives twice and we write less often if you do not open them. A notification about a message contains the sender's name and the beginning of the text.

Notifications are delivered through Firebase Cloud Messaging by Google, and on Apple devices also through Apple's notification service. For this the app registers its installation with Firebase once you switch notifications on. Versions of the app up to 0.7.0 do so when they start. The legal basis is the performance of the contract (Art. 6(1)(b) GDPR), because notifications are a feature of the app that you switch on yourself. You can switch them off again at any time in your profile under “Notifications” or in your device settings.

Usage measurement

If you agree, we measure how you use the app and store this in our own database. Together with your account we then measure what you play and how it goes (lessons, rounds and games, answers with their result, hints and time), what the app showed you and whether you took it up (recommendations, notices, notifications), and technical details such as platform, app version and error reports.

We use this to see where learners get stuck or stop, to rate exercises correctly and to find errors. We sometimes try a new rule with some of the players first and then compare.

The app asks you first. On first launch it asks adults whether it may analyse how you practise. If you say no, it records nothing, and nothing else changes. Only after your yes does it write anything down and send it to our server, together with the time of your consent. The legal basis is your consent (Art. 6(1)(a) GDPR, Section 25(1) of the German TDDDG). The app does not ask anyone under the age of 18, and the measurement stays switched off.

You can withdraw your consent at any time. The switch “Share usage data” in your profile does that. When you turn it off, the app stops recording, and the measurement data is deleted on your device and on our server. The same switch turns the measurement on later if you said no at first.

Versions of the app up to 0.7.0 do not ask yet. There the measurement is on from the age of 13 until you turn it off with the same switch, based on our legitimate interest (Art. 6(1)(f) GDPR). With the update the app asks you once, and until you answer it records nothing any more.

Independently of this switch, we compute summary figures from the events of your play that the server needs anyway, such as how many players finish a lesson or how often an exercise is solved. The legal basis is our legitimate interest in improving the app (Art. 6(1)(f) GDPR).

Feedback from the app

With “Give feedback” in your profile you can send us a bug or an idea. So that we understand the report without asking back, the app sends the following along with your text.

• A screenshot that the app takes of itself. You see it before sending and can remove it. If you like, you can attach a picture from your photos instead.
• App version, platform, device model and operating system, language and time zone.
• Display settings such as window size, text size, dark mode and reduced motion.
• What was on screen, for example the position on the board, the lesson, the exercise and the moves played.
• The pages of the app you opened last, the latest usage measurement events (only if measurement is on), your strength and the latest errors the app noticed.

We store the report with your account and read it. If we answer, you see the answer the next time you open the app. In test versions the app also notices when you take a screenshot or shake the device and then offers the feedback form. The legal basis is our legitimate interest in handling your request and improving the app (Art. 6(1)(f) GDPR).

Game Center

On Apple devices the app can mirror your badges and best scores to Game Center if you are signed in there. Apple itself is responsible for Game Center. You can switch it off in your device settings.

Website, web app and server logs

When you open our website or the web app, or when the app talks to our server, our service providers process access data, namely IP address, time, requested address, the server's response and details of the browser or app. This is needed to deliver the pages, keep the service running and fend off abuse. The legal basis is our legitimate interest in that (Art. 6(1)(f) GDPR). Vercel deletes these logs after one day, Supabase after seven days at most.

For every sign-in our server also remembers the IP address and the identifier of the app or browser it was last used with. We delete both seven days after the last use.

Fonts and scripts of the website come from our own address. The website remembers your language choice in your browser's storage. The web app also keeps your sign-in and your progress there, as the app does on a phone.

When you write to us

If you send us an email, we process your address and the content in order to answer you (Art. 6(1)(b) and (f) GDPR). Our mailbox is hosted by Apple (iCloud Mail).

The page Help also has a form for this. What you enter there (your email address, your message and, if you like, your name, your player name and your platform) goes through our server and the mail service Resend as an email into the same mailbox. The server looks up the account that belongs to your address or your player name and adds to the message what we need to help, such as your strength, when you last played and whether a suspension is running. On the server we keep only the number of messages per day, so that nobody can overload the form.

3What stays on your device

The app processes the following only on your device.

• The chess engine and the rules run on the device. Games against bots and their review are computed there.
• Settings such as language and sounds, a player's code and the list of players on a device.
• What the app remembers in order to guide you well, such as which exercises you saw last, how your latest sessions went and what the mentor has already said.
• The daily reminder and the data for the home screen widgets.

The app reads pictures only when you attach one to a feedback report yourself. It uses the motion sensor for an animation and, in test versions, to detect a shake. These values stay on the device. If you delete the app, the data on the device is gone.

4Who processes data for us

We use the following service providers, who process data on our behalf and on our instructions.

• Supabase (Supabase Pte. Ltd., Singapore) for the database, sign-in and server functions. Database and sign-in are kept in a data centre in Frankfurt am Main, Germany. Logs and some server functions can be processed outside the EU.
• Vercel (Vercel Inc., USA) for delivering the website and the web app.
• Google (Google LLC, USA, and Google Ireland Limited, Ireland) for delivering notifications through Firebase Cloud Messaging.
• Resend (Plus Five Five, Inc., USA) for sending the message with which you confirm your email address and the messages from the contact form. Resend keeps these messages for 30 days.

We also work with providers who are responsible for their own services. These are Apple (Apple Distribution International Ltd., Ireland) for Sign in with Apple, the App Store, notifications and Game Center, and Google (Google Ireland Limited, Ireland) for Google sign-in and Google Play. From us they learn only what the respective service needs. On sign-in that is the fact that you are signing in to Chessura, for notifications their content, and for Game Center your badges and best scores. Beyond that their own privacy notices apply.

Transfers outside the EU. Supabase is based in Singapore and uses companies in the USA, among them Supabase, Inc. The European Commission's standard contractual clauses apply to this (Implementing Decision (EU) 2021/914). Vercel, Google and Resend are based in the USA and certified under the EU-U.S. Data Privacy Framework. The European Commission's adequacy decision of 10 July 2023 applies to them, and in case it falls away the standard contractual clauses are agreed with them as well. Apple processes data as a controller of its own also in the USA and relies on standard contractual clauses for that. The clauses are part of the providers' contracts, and we send you a copy on request.

Other players see of you what section 2 lists under “Player name, figure and what others see of you”, and the messages you send them. We hand data to authorities only where we are obliged to, or where it is needed to report a crime or to avert a danger to someone.

5How long we keep data

• Account and progress stay until you delete your account. We delete the single events of your play after 180 days and finished duels after twelve months. Your progress and your record stay.
• Anonymous accounts that never played are deleted after 30 days without activity, all other anonymous accounts after 180 days without activity. While a duel or correspondence game is running or a report is open, the account stays. We do not delete secured accounts on our own.
• Messages between friends, in duels and in clubs are deleted after 90 days. A reported message is kept as evidence for as long as the report exists.
• Reports, with the copy of the reported message, are deleted six months after the decision. If a mute or a suspension followed, they stay until six months after it ended, twelve months at most. Appeals are deleted six months after the answer, sanctions twelve months after they end. The log of decisions records for three years which measure was taken when and for what reason, without the text of the message. The statement of reasons for a deleted message or a reset name is deleted after six months.
• Finished correspondence games are deleted after 180 days, together with the times of their moves. The values measured when checking for outside help are deleted twelve months after the game ended.
• Usage measurement is deleted after 180 days, or at once when you switch it off.
• Feedback is deleted twelve months after it was settled, the screenshot and the details of the device after 90 days already.
• The installation identifier is deleted once it has not been used for 30 days.
• Rejected messages (only the fact) are deleted after 180 days.
• The log of sent notifications is deleted after 30 days.
• Results of the league's daily puzzle are deleted after 35 days, weekly club figures after 60 days at the latest.
• Emails to us are deleted twelve months after your request was settled.

If you delete your account, reports about you stay for six more months at most, without a link to your account. They contain your player name at the time and the reported message. We need them to protect others and to be able to account for moderation decisions. Everything else is deleted with the account.

6Your rights

You have the right of access to your data (Art. 15 GDPR), to rectification (Art. 16), to erasure (Art. 17), to restriction of processing (Art. 18) and to data portability (Art. 20). You can withdraw a consent at any time with effect for the future (Art. 7(3)).

Objection. Where we process data on the basis of a legitimate interest, you can object on grounds relating to your particular situation (Art. 21 GDPR). The easiest way to object to the usage measurement is the switch in your profile.

Write to us at support@chessura.app. Because most accounts carry neither a name nor an address, we need something from you that lets us find your account, for example your player name and your friend code.

You can also lodge a complaint with a data protection supervisory authority, for example the authority where you live or where we are based (Art. 77 GDPR).

You are not obliged to give us data. Without an account and its progress, however, we cannot provide the app. The filter for names and messages works automatically, and the check of correspondence games marks automatically what stands out. Sanctions are decided by people.

7Children and young people

If someone states on first launch that they are under 13, the following applies to that account.

• The child cannot write free messages, neither between friends nor in duels nor in clubs. Duels, friends, clubs and preset emotes remain.
• Usage measurement is switched off. This applies to everyone under the age of 18.
• The child receives no notifications that are only meant to bring it back into the app, and none at all between 8 pm and 8 am.
• The player name is rolled and not typed freely, and so is the name of a club the child founds. This applies from app version 0.7.5.

As long as you are under 18, from app version 0.7.5 you can also write in a duel only with friends. With everyone else you can exchange preset emotes there, and adults too can write to you in a duel only if you are friends. For this the server compares the age groups of both players. Anyone who started before the age question is asked once for their age group and counts as a minor until they answer.

If you are not yet 18, please use the app only if your parents agree. We do not ask minors for consent. Where this policy relies on the contract with you and that contract is not valid without your parents' agreement, we rely on our legitimate interest in providing the app that you want to use (Art. 6(1)(f) GDPR).

Parents can write to us at any time to get information about their child's data or to have the account deleted.

8Deleting your account

You can delete your account in the app, in your profile under “Account” with “Delete account”. It is deleted at once, together with progress, duels, games, friendships, club membership, messages, feedback and usage measurement. With Sign in with Apple on an iPhone we also revoke the access at Apple. Without the app you can write us an email, as described on the page Delete account. We then delete the account within 30 days.

9Security

The app talks to our server only over encrypted connections. On the server each account can reach only its own data, and everything that changes points, seals or rating is recalculated by the server itself.

10Changes

When the app or the law changes, we adapt this policy. The version shown here applies. We announce significant changes in the app.

1Quién es el responsable

El responsable del tratamiento de tus datos en el sentido del Reglamento General de Protección de Datos (RGPD) es

Simon Ehmann, Münchner Straße 43, 82178 Puchheim, Alemania

Puedes escribirnos a support@chessura.app. Los demás datos están en el aviso legal.

2Qué tratamos y para qué

Cuenta y progreso

La primera vez que abres la app, esta crea una cuenta anónima para ti. La cuenta consiste solo en un identificador aleatorio. Con esta cuenta guardamos tu progreso en nuestro servidor para que no se pierda y no se pueda falsificar. Forman parte de él

• tu avance en el curso, puntos de experiencia, nivel, racha, fuerza, liga y temporada,
• sellos, cofres, figuras, tableros y todo lo demás que hayas reunido,
• tu Caja de errores, misiones, insignias y mejores marcas,
• los eventos de tu juego, por ejemplo qué ejercicio respondiste y cómo, qué jugadas hiciste y cuánto tardaste. El servidor los reproduce con las mismas reglas y calcula con ellos tu progreso.
• tus respuestas del primer inicio, es decir, tu autoevaluación, el resultado de la evaluación, tu grupo de edad, la hora de recordatorio que elegiste y el momento en que aceptaste los términos de uso.

Cuando guardas tu progreso, vinculamos la cuenta con un inicio de sesión con Apple, con Google o con una dirección de correo electrónico y una contraseña. De Apple y de Google recibimos un identificador de la cuenta que tienes con ellos y una dirección de correo, y en el caso de Apple, si lo prefieres, una dirección de reenvío anónima. Google envía además el nombre y la dirección de la foto de perfil de tu cuenta de Google. Borramos ambos datos la noche siguiente. Si inicias sesión con correo y contraseña, guardamos la dirección y, de la contraseña, solo un hash irreversible, y te enviamos un correo para confirmar la dirección.

En un mismo dispositivo pueden jugar hasta cinco jugadores. Cada uno tiene su propia cuenta con su propio progreso. El código con el que un jugador puede protegerse en el dispositivo se queda en el dispositivo en forma de hash.

La base jurídica es la ejecución del contrato de uso contigo (art. 6, apartado 1, letra b, del RGPD).

Grupo de edad

En el primer inicio te preguntamos si tienes menos de 13 años, entre 13 y 17 o al menos 18. Solo guardamos ese grupo y lo necesitamos para proteger a los niños. Los niños menores de 13 años no pueden escribir mensajes libres, no medimos su uso y reciben menos avisos (consulta la sección 7). La moderación puede corregir el grupo si es evidente que no es correcto. La base jurídica es nuestro interés legítimo en proteger a niños y adolescentes (art. 6, apartado 1, letra f, del RGPD).

Nombre de jugador, figura y lo que otros ven de ti

Para los duelos, las partidas contra personas, los amigos y los clubes eliges un nombre de jugador y una figura. Los demás jugadores ven tu nombre, tu figura con su aspecto, tu liga y tu fuerza, tus resultados en los juegos que compartes con ellos y tu puesto en las clasificaciones. Tus amigos ven además si estás en línea en ese momento. Para ello la app se comunica con el servidor a intervalos regulares mientras está abierta. Tu código de amigo es una secuencia aleatoria de caracteres con la que alguien puede enviarte una solicitud de amistad. Comprobamos los nombres automáticamente con una lista de términos bloqueados.

La base jurídica es la ejecución del contrato (art. 6, apartado 1, letra b, del RGPD).

Duelos y partidas

Para los duelos y las partidas por correspondencia guardamos contra quién juegas, tus jugadas y rondas con sus tiempos y puntos, los plazos, los resultados y una valoración interna con la que buscamos rivales adecuados. Al buscar rival tratamos además la velocidad de tu conexión con el servidor. El servidor reproduce cada ronda y cada jugada antes de aceptarla.

Identificador de la instalación. Al instalarse, la app genera un identificador aleatorio de 32 caracteres y lo envía con las solicitudes al servidor de duelos. Tras una reinstalación es otro distinto, y lo comparten todos los jugadores de un dispositivo. Lo guardamos junto con la cuenta, como máximo los veinte más recientes por cuenta, y lo borramos en cuanto lleva 30 días sin usarse. Lo usamos para un único fin. Si dos cuentas han llegado desde la misma instalación en los últimos 30 días, un duelo entre ellas no da sellos ni cuenta para la valoración, para que nadie pueda regalarse victorias con una segunda cuenta. La base jurídica es nuestro interés legítimo en un juego limpio (art. 6, apartado 1, letra f, del RGPD).

Comprobación de ayuda externa. En las partidas por correspondencia nadie puede consultar un motor de ajedrez. Para poder detectarlo, guardamos de cada jugada de una partida por correspondencia el momento en que nos llegó, y revisamos las partidas por correspondencia terminadas con un programa de ajedrez. El programa se ejecuta en el equipo informático de la moderación. Mide para cada bando con qué precisión jugó, cuántas veces su jugada fue la mejor jugada del programa y cuánto tiempo pasó entre la jugada del rival y la respuesta. Guardamos estos valores con tu cuenta y tu fuerza en ese momento. Un programa solo marca lo que llama la atención, por ejemplo cuando varias partidas de una cuenta casi no tienen errores. Siempre es una persona quien decide si de ahí surge un caso para la moderación y si se toma una medida, y contra un silenciamiento o una suspensión puedes presentar una apelación en la app. La base jurídica es nuestro interés legítimo en un juego limpio (art. 6, apartado 1, letra f, del RGPD).

Amigos, club y chat

Guardamos tus amistades y solicitudes de amistad, a quién has bloqueado y, si perteneces a un club, tu pertenencia, tu aportación a la meta semanal, las piezas que regalaste y tus resultados en la posición del día y en la batalla de clubes. Si creas un club, guardamos su nombre, su escudo y sus ajustes.

Guardamos los mensajes entre amigos, en el duelo y en el club con remitente, destinatario, fecha y hora y si se han leído, para poder entregarlos. Antes de enviarse, cada mensaje pasa por un filtro automático que rechaza enlaces, números de teléfono y términos bloqueados. Cuando el filtro rechaza algo, guardamos que ocurrió y en qué lugar. Puedes desactivar el chat en el duelo y en el club desde tu perfil.

En el iPhone puedes buscar a tus amigos de Game Center. Solo si lo tocas y iOS lo permite, vinculamos tu identificador de Game Center con tu cuenta y comparamos los identificadores de tus amigos de Game Center con nuestras cuentas.

La base jurídica es la ejecución del contrato (art. 6, apartado 1, letra b, del RGPD) y, en el caso del filtro, nuestro interés legítimo en una convivencia segura (art. 6, apartado 1, letra f, del RGPD).

Reportes, moderación y sanciones

Cualquiera puede reportar a otro jugador, un nombre o un mensaje concreto. Con el reporte guardamos quién reporta y a quién se reporta, el motivo, el lugar de la app, el nombre en el momento del reporte, una nota y, si se reporta un mensaje, una copia de ese mensaje como prueba. De cada caso, la moderación ve los reportes, los mensajes reportados y su contexto. La persona reportada se entera de qué mensaje o de qué nombre se trata, pero no de quién lo reportó.

Tras revisar el caso, la moderación puede dar una advertencia, restablecer un nombre, borrar un mensaje, impedir escribir durante un tiempo, suspender la cuenta durante un tiempo o eliminarla. Guardamos la decisión con su motivo, su duración y el mensaje en el que se basa, y llevamos un registro de todas las decisiones. Si presentas una apelación, guardamos tu motivo y el texto que la acompaña. Las sanciones las deciden siempre personas.

Quien ha reportado algo se entera en la app de que hemos revisado el reporte y de si hemos actuado. La persona a la que se le ha borrado un mensaje o restablecido un nombre recibe en la app una explicación de los motivos. Para ello conservamos el texto retirado y el motivo a disposición de esa persona.

La base jurídica es nuestro interés legítimo en proteger a otros jugadores y hacer cumplir nuestras normas (art. 6, apartado 1, letra f, del RGPD), así como la ejecución del contrato (art. 6, apartado 1, letra b, del RGPD).

Avisos

El recordatorio diario lo programa la app en tu dispositivo. Los avisos de nuestro servidor, por ejemplo “Te toca” o un mensaje de un amigo, solo los recibes si los activas. En ese caso guardamos la dirección push de tu dispositivo, la plataforma, tu idioma, qué tipos de avisos quieres y tu zona horaria, para que de noche haya tranquilidad. Además registramos qué aviso se envió y cuándo y si se abrió, para que ninguno llegue dos veces y para escribirte menos si no los abres. Un aviso sobre un mensaje contiene el nombre del remitente y el comienzo del texto.

Entregamos los avisos a través de Firebase Cloud Messaging de Google y, en dispositivos Apple, también a través del servicio de notificaciones de Apple. Para ello la app registra su instalación en Firebase en cuanto activas los avisos. Las versiones de la app hasta la 0.7.0 lo hacen ya al iniciarse. La base jurídica es la ejecución del contrato (art. 6, apartado 1, letra b, del RGPD), porque los avisos son una función de la app que activas tú. Puedes volver a desactivarlos cuando quieras en tu perfil, en “Avisos”, o en los ajustes de tu dispositivo.

Medición de uso

Si das tu consentimiento, medimos cómo usas la app y lo guardamos en nuestra propia base de datos. En ese caso medimos, junto con tu cuenta, a qué juegas y cómo te va (lecciones, rondas y partidas, respuestas con su resultado, pistas y tiempo), qué te mostró la app y si lo seguiste (recomendaciones, indicaciones, avisos) y, además, datos técnicos como la plataforma, la versión de la app y los informes de errores.

Lo usamos para ver dónde se atascan o lo dejan quienes aprenden, para clasificar bien los ejercicios y para encontrar errores. A veces probamos una regla nueva primero con una parte de los jugadores y luego comparamos.

La app te pregunta antes. En el primer inicio pregunta a los adultos si puede analizar cómo practicas. Si dices que no, no registra nada, y por lo demás no cambia nada. Solo cuando dices que sí anota algo y lo envía a nuestro servidor, junto con el momento de tu consentimiento. La base jurídica es tu consentimiento (art. 6, apartado 1, letra a, del RGPD y art. 25, apartado 1, de la ley alemana TDDDG). A quien tiene menos de 18 años la app no le pregunta, y la medición permanece desactivada.

Puedes retirar tu consentimiento en cualquier momento. Para eso está en tu perfil el interruptor “Compartir datos de uso”. Si lo desactivas, la app deja de registrar, y borramos los datos de medición de tu dispositivo y de nuestro servidor. Ahí también puedes activar la medición más adelante si al principio dijiste que no.

Las versiones de la app hasta la 0.7.0 todavía no preguntan. En ellas la medición está activada a partir de los 13 años hasta que la desactives con ese mismo interruptor, y se basa en nuestro interés legítimo (art. 6, apartado 1, letra f, del RGPD). Con la actualización la app te pregunta una vez, y hasta que respondas ya no registra nada.

Con independencia de este interruptor, a partir de los eventos de tu juego que el servidor necesita de todos modos calculamos cifras agregadas, por ejemplo cuántos jugadores terminan una lección o cuántas veces se resuelve un ejercicio. La base jurídica es nuestro interés legítimo en mejorar la app (art. 6, apartado 1, letra f, del RGPD).

Comentarios desde la app

Con “Danos tu opinión” en tu perfil puedes enviarnos un error o una idea. Para que entendamos tu comentario sin tener que preguntarte, la app envía junto con tu texto lo siguiente.

• Una captura de pantalla que la app hace de sí misma. La ves antes de enviar y puedes quitarla. Si lo prefieres, puedes adjuntar en su lugar una imagen de tus fotos.
• Versión de la app, plataforma, modelo del dispositivo y sistema operativo, idioma y zona horaria.
• Ajustes de pantalla como el tamaño de la ventana, el tamaño del texto, el modo oscuro y el movimiento reducido.
• Lo que se veía en ese momento, por ejemplo la posición en el tablero, la lección, el ejercicio y las jugadas realizadas.
• Las últimas páginas de la app que abriste, los últimos eventos de la medición de uso (solo si la medición está activada), tu fuerza y los últimos errores que la app detectó.

Guardamos el comentario con tu cuenta y lo leemos. Si respondemos, ves la respuesta la próxima vez que abras la app. En las versiones de prueba la app detecta además cuándo haces una captura de pantalla o agitas el dispositivo, y entonces te ofrece enviar un comentario. La base jurídica es nuestro interés legítimo en atender tu solicitud y mejorar la app (art. 6, apartado 1, letra f, del RGPD).

Game Center

En dispositivos Apple, la app puede reflejar tus insignias y mejores marcas en Game Center si has iniciado sesión allí. El responsable de Game Center es la propia Apple. Puedes desactivarlo en los ajustes de tu dispositivo.

Sitio web, app web y registros del servidor

Cuando abres nuestro sitio web o la app web, o cuando la app se comunica con nuestro servidor, nuestros proveedores de servicios tratan datos de acceso, en concreto la dirección IP, la fecha y hora, la dirección solicitada, la respuesta del servidor y datos del navegador o de la app. Esto es necesario para servir las páginas, garantizar el funcionamiento y evitar abusos. La base jurídica es nuestro interés legítimo en ello (art. 6, apartado 1, letra f, del RGPD). Vercel borra estos registros al cabo de un día y Supabase al cabo de siete días como máximo.

De cada inicio de sesión, nuestro servidor recuerda además la dirección IP y el identificador de la app o del navegador con los que se usó por última vez. Borramos ambos datos siete días después del último uso.

Las fuentes y los scripts del sitio web proceden de nuestra propia dirección. El sitio web recuerda el idioma que elegiste en el almacenamiento de tu navegador. La app web guarda allí además tu inicio de sesión y tu progreso, igual que la app en el teléfono.

Cuando nos escribes

Si nos escribes un correo electrónico, tratamos tu dirección y el contenido para responderte (art. 6, apartado 1, letras b y f, del RGPD). Nuestro buzón está alojado en Apple (iCloud Mail).

En la página Ayuda hay también un formulario para ello. Lo que escribes allí (tu dirección de correo electrónico, tu mensaje y, si quieres, tu nombre, tu nombre de jugador y tu plataforma) llega al mismo buzón como correo electrónico a través de nuestro servidor y del servicio de envío Resend. Al hacerlo, el servidor busca la cuenta que corresponde a tu dirección o a tu nombre de jugador y añade al mensaje lo que necesitamos para ayudarte, por ejemplo tu fuerza, cuándo jugaste por última vez y si hay una suspensión en curso. De todo ello, en el servidor solo guardamos el número de mensajes de un día, para que nadie pueda saturar el formulario.

3Qué se queda en tu dispositivo

La app trata lo siguiente solo en tu dispositivo.

• El motor de ajedrez y las reglas del juego funcionan en el dispositivo. La app calcula allí las partidas contra bots y el análisis de la partida.
• Ajustes como el idioma y los sonidos, el código de un jugador y la lista de jugadores de un dispositivo.
• Lo que la app recuerda para acompañarte bien, por ejemplo qué ejercicios viste por última vez, cómo fueron tus últimas sesiones y qué ha dicho ya el mentor.
• El recordatorio diario y los datos de los widgets de la pantalla de inicio.

La app solo lee imágenes cuando eres tú quien adjunta una a un comentario. Usa el sensor de movimiento para una animación y, en las versiones de prueba, para detectar que agitas el dispositivo. Estos valores se quedan en el dispositivo. Si eliminas la app, también quedan borrados los datos del dispositivo.

4Quién trata datos para nosotros

Recurrimos a los siguientes proveedores de servicios, que tratan datos por cuenta nuestra y siguiendo nuestras instrucciones.

• Supabase (Supabase Pte. Ltd., Singapur) para la base de datos, el inicio de sesión y las funciones del servidor. La base de datos y el inicio de sesión están en un centro de datos en Fráncfort del Meno. Los registros y algunas funciones del servidor pueden tratarse fuera de la UE.
• Vercel (Vercel Inc., EE. UU.) para servir el sitio web y la app web.
• Google (Google LLC, EE. UU., y Google Ireland Limited, Irlanda) para la entrega de avisos a través de Firebase Cloud Messaging.
• Resend (Plus Five Five, Inc., EE. UU.) para el envío del correo con el que confirmas tu dirección de correo electrónico y de los mensajes del formulario de contacto. Resend conserva estos correos durante 30 días.

Además trabajamos con proveedores que son responsables de sus propios servicios. Son Apple (Apple Distribution International Ltd., Irlanda) para el inicio de sesión con Apple, el App Store, los avisos y Game Center, y Google (Google Ireland Limited, Irlanda) para el inicio de sesión con Google y para Google Play. De nosotros solo reciben lo que necesita cada servicio. En el inicio de sesión es el hecho de que inicias sesión en Chessura, en los avisos su contenido y en Game Center tus insignias y mejores marcas. Por lo demás se aplican las políticas de privacidad de esos proveedores.

Transferencias a países fuera de la UE. Supabase tiene su sede en Singapur y recurre a empresas de EE. UU., entre ellas Supabase, Inc. Para ello se aplican las cláusulas contractuales tipo de la Comisión Europea (Decisión de Ejecución (UE) 2021/914). Vercel, Google y Resend tienen su sede en EE. UU. y están certificadas conforme al Marco de Privacidad de Datos UE-EE. UU. (EU-U.S. Data Privacy Framework). A ellas se les aplica la decisión de adecuación de la Comisión Europea de 10 de julio de 2023 y, por si esta dejara de estar vigente, están acordadas además con ellas las cláusulas contractuales tipo. Apple trata datos como responsable del tratamiento por derecho propio también en EE. UU. y se basa para ello en cláusulas contractuales tipo. Las cláusulas figuran en los contratos de los proveedores, y te enviamos una copia si nos la pides.

Los demás jugadores ven de ti lo que se indica en la sección 2, en “Nombre de jugador, figura y lo que otros ven de ti”, y los mensajes que les envías. Solo entregamos datos a las autoridades si estamos obligados a ello o si es necesario para denunciar un delito o evitar un peligro para alguien.

5Cuánto tiempo conservamos los datos

• La cuenta y el progreso se conservan hasta que eliminas tu cuenta. Borramos los eventos individuales de tu juego al cabo de 180 días y los duelos terminados al cabo de doce meses. Tu progreso y tu balance se conservan.
• Las cuentas anónimas que nunca han jugado las borramos tras 30 días sin actividad, y todas las demás cuentas anónimas tras 180 días sin actividad. Mientras haya un duelo o una partida por correspondencia en curso o un reporte abierto, la cuenta se conserva. Las cuentas con el progreso guardado no las borramos por iniciativa propia.
• Los mensajes entre amigos, en el duelo y en el club los borramos al cabo de 90 días. Un mensaje reportado se conserva como prueba mientras exista el reporte.
• Los reportes, junto con la copia del mensaje reportado, los borramos seis meses después de la decisión. Si después hubo un silenciamiento o una suspensión, se conservan hasta seis meses después de que termine, y doce meses como máximo. Las apelaciones las borramos seis meses después de la respuesta y las sanciones doce meses después de que terminen. En el registro de decisiones consta durante tres años qué medida hubo, cuándo y por qué motivo, sin el texto del mensaje. La explicación de los motivos de un mensaje borrado o de un nombre restablecido la borramos al cabo de seis meses.
• Las partidas por correspondencia terminadas las borramos al cabo de 180 días, junto con los tiempos de sus jugadas. Los valores medidos en la comprobación de ayuda externa los borramos doce meses después del final de la partida.
• La medición de uso la borramos al cabo de 180 días, o de inmediato si la desactivas.
• Los comentarios los borramos doce meses después de haberlos resuelto, y la captura de pantalla y los datos del dispositivo ya a los 90 días.
• El identificador de la instalación lo borramos en cuanto lleva 30 días sin usarse.
• Los mensajes rechazados (solo el hecho) los borramos al cabo de 180 días.
• El registro de avisos enviados lo borramos al cabo de 30 días.
• Los resultados del ejercicio diario de la liga los borramos al cabo de 35 días, y los valores semanales de los clubes al cabo de 60 días como muy tarde.
• Los correos que nos envías los borramos doce meses después de haber resuelto tu solicitud.

Si eliminas tu cuenta, los reportes sobre ti se conservan todavía seis meses como máximo, sin vínculo con tu cuenta. Contienen tu nombre de jugador de entonces y el mensaje reportado. Los necesitamos para proteger a otras personas y para poder justificar las decisiones de la moderación. Todo lo demás lo borramos con la cuenta.

6Tus derechos

Tienes derecho de acceso a tus datos (art. 15 del RGPD), de rectificación (art. 16), de supresión (art. 17), de limitación del tratamiento (art. 18) y de portabilidad de los datos (art. 20). Puedes retirar un consentimiento en cualquier momento con efecto para el futuro (art. 7, apartado 3).

Oposición. En la medida en que tratamos datos sobre la base de un interés legítimo, puedes oponerte por motivos relacionados con tu situación particular (art. 21 del RGPD). La forma más sencilla de oponerte a la medición de uso es el interruptor de tu perfil.

Para ello escríbenos a support@chessura.app. Como la mayoría de las cuentas no llevan nombre ni dirección, necesitamos que nos des un dato con el que podamos encontrar tu cuenta, por ejemplo tu nombre de jugador y tu código de amigo.

También puedes presentar una reclamación ante una autoridad de control de protección de datos, por ejemplo la del lugar donde vives o la de nuestra sede (art. 77 del RGPD).

No tienes obligación de darnos datos. Pero sin una cuenta y su progreso no podemos ofrecerte la app. El filtro de nombres y mensajes funciona automáticamente, y la comprobación de las partidas por correspondencia marca automáticamente lo que llama la atención. Las sanciones las deciden personas.

7Niños y adolescentes

Si alguien indica en el primer inicio que tiene menos de 13 años, para esa cuenta se aplica lo siguiente.

• El niño no puede escribir mensajes libres, ni entre amigos, ni en el duelo, ni en el club. Los duelos, los amigos, el club y los emotes predefinidos se mantienen.
• La medición de uso está desactivada. Esto vale para todos los menores de 18 años.
• El niño no recibe avisos cuyo único fin sea hacerlo volver a la app, y entre las 20 y las 8 horas no recibe ninguno.
• El niño obtiene su nombre de jugador al azar en lugar de escribirlo libremente, y lo mismo ocurre con el nombre de un club que cree. Esto se aplica a partir de la versión 0.7.5 de la app.

Mientras no hayas cumplido 18 años, a partir de la versión 0.7.5 de la app además solo puedes escribir en el duelo con amigos. Con todos los demás puedes intercambiar allí emotes predefinidos, y los adultos también pueden escribirte en el duelo solo si son amigos tuyos. Para ello el servidor compara los grupos de edad de ambos jugadores. A quien empezó antes de que existiera la pregunta sobre la edad, la app le pregunta una vez por su grupo de edad, y hasta que responde cuenta como menor de edad.

Mientras no hayas cumplido 18 años, usa la app solo si tus padres están de acuerdo, por favor. No pedimos consentimiento a los menores de edad. Allí donde en esta política nos basamos en el contrato contigo y ese contrato no es válido sin la aprobación de tus padres, nos basamos en nuestro interés legítimo en ofrecerte la app que quieres usar (art. 6, apartado 1, letra f, del RGPD).

Los padres pueden escribirnos en cualquier momento para obtener información sobre los datos de su hijo o para pedir que se elimine la cuenta.

8Eliminar cuenta

Puedes eliminar tu cuenta en la app, en tu perfil, en “Cuenta”, con “Eliminar cuenta”. Con ello queda eliminada de inmediato, junto con el progreso, los duelos, las partidas, las amistades, la pertenencia al club, los mensajes, los comentarios y la medición de uso. Si iniciaste sesión con Apple en el iPhone, revocamos también el acceso en Apple. Sin la app puedes escribirnos un correo, como se explica en la página Eliminar cuenta. En ese caso eliminamos la cuenta en un plazo de 30 días.

9Seguridad

La app solo se comunica con nuestro servidor de forma cifrada. En el servidor, cada cuenta solo puede acceder a sus propios datos, y todo lo que cambia puntos, sellos o valoración lo recalcula el propio servidor.

10Cambios

Si cambia la app o la situación legal, adaptamos esta política. Se aplica la versión que figura aquí. Informamos en la app de los cambios importantes.