1Responsable del tratamiento

Responsable

Sergio Rico

NIF

71164693W

Dirección

Calle Avelino Hernández Lucas, 47140 Laguna de Duero (Valladolid), España

Correo

hello@golkito.com

Sitio web

golkito.com

Para cualquier asunto relacionado con tus datos, escríbenos a hello@golkito.com.

2Jugar sin cuenta: datos en tu dispositivo

Los partidos con bots, la trayectoria, los clubes y los ajustes funcionan sin cuenta y sin enviarnos nada. El juego guarda esta información en el almacenamiento de tu navegador (localStorage y sessionStorage), no en nuestros servidores:

Puedes borrar estos datos desde la configuración de tu navegador (opción de borrar los datos de sitios). Si lo haces, perderás el progreso local que no hayas exportado. Las exportaciones de clubes, escudos o mediciones generan un archivo en tu dispositivo; no pasan por nuestros servidores.

3Jugar online con otras personas

Cuando usas «Con amigos», el lobby o «Jugar ahora», nuestro servidor coordina las salas y las conexiones. Para ello trata estos datos:

• Tu nombre en el juego (hasta 16 caracteres) y tu actividad (en el lobby, en una sala o jugando). Lo ven las demás personas del lobby o de tu sala, junto con una etiqueta «Invitado» si juegas sin cuenta. Usa un apodo: no pongas tu nombre real. Si inicias sesión, tu nombre en el juego es el apodo de tu cuenta.
• Salas: código de sala, título, ajustes del partido, identificadores aleatorios de los miembros y credenciales temporales. Se borran al cerrarse la sala: cuando se va el anfitrión o, como máximo, 4 horas después de crearla. Si te desconectas, tu plaza se libera entre 45 y 60 segundos después.
• Chat: el chat del lobby es público para todas las personas conectadas al lobby; conservamos como mucho los últimos 80 mensajes y cada mensaje se borra al cabo de una hora. El chat de una sala solo lo ven sus miembros y se borra al cerrarse la sala. No escribas datos personales en el chat.
• Moderación: antes de mostrarlos a otras personas, un filtro automático revisa los mensajes, los nombres, los títulos de sala y los nombres de club: tapa los tacos leves y no entrega insultos graves, contenido sexual, amenazas ni datos de contacto o enlaces. Si alguien insiste, su chat queda en pausa unos minutos; esa marca vive solo mientras existe la sala. No es una decisión con efectos jurídicos ni crea un perfil. En Comunidad y en «Jugar ahora» solo hay frases rápidas. Silenciar a alguien se guarda solo en tu navegador.
• Denuncias: si denuncias a un jugador guardamos el motivo, el código de la sala (o «Comunidad»), su identificador aleatorio de sesión, su nombre y una copia de sus últimos 5 mensajes en ese chat, para revisar lo ocurrido y actuar. No guardamos quién denuncia: su identificador y su IP solo se usan en la memoria del servidor para limitar abusos. Las denuncias se borran a los 30 días. Si el anfitrión expulsa a alguien, su dirección IP se usa solo en memoria para que no vuelva a esa sala durante 10 minutos.
• Presencia en el lobby: se borra 60 segundos después de desconectarte.
• Dirección IP: la usamos solo en la memoria del servidor para limitar abusos, por ejemplo demasiadas peticiones seguidas. Nunca la escribimos en disco, en la base de datos ni en registros propios.
• Señalización: los mensajes con los que dos navegadores acuerdan la conexión (incluyen direcciones de red) pasan por nuestro servidor para llegar al otro jugador, pero no se almacenan.

Conexión directa entre navegadores (WebRTC)

Los partidos online viajan directamente entre el navegador del anfitrión y el de cada invitado mediante WebRTC. Por cómo funciona esta tecnología, los jugadores conectados contigo pueden ver tu dirección IP pública: el anfitrión ve la de sus invitados y cada invitado ve la del anfitrión. No usamos cámara ni micrófono.

Para encontrar la mejor ruta, tu navegador consulta servidores STUN públicos de Cloudflare y de Google, que reciben tu dirección IP. Si la conexión directa no es posible, el partido pasa por el servicio de retransmisión TURN de Cloudflare (Cloudflare Realtime), con credenciales temporales que caducan como máximo a las 4 horas.

Invitaciones y comunidad

Si compartes una invitación por WhatsApp u otra aplicación, se abre esa aplicación con el enlace de la sala, y allí se aplica su propia política de privacidad. Lo mismo ocurre en la comunidad de Golkito en Discord, que es un servidor alojado en Discord y sujeto a sus normas.

4Cuenta y ranking online

La cuenta es opcional y solo sirve para el ranking online. Para crearla debes tener 14 años o más y aceptar las condiciones de uso (versión 2026-09).

Qué guardamos

No guardamos tu correo electrónico, tus apellidos, el resto de tu perfil de Discord o de Google (solo el apodo y, mientras no eliges, el nombre de pila ofrecido, descritos arriba), contraseñas, tokens de Discord o de WorkOS ni tu dirección IP. Para la regla que impide puntuar contra alguien de tu misma red usamos una huella cifrada (HMAC) de la red, que solo existe mientras dura la sala.

Qué es público

Si apareces en el ranking público (opción activada por defecto, que puedes desactivar en Ajustes), cualquiera puede ver tu apodo, tu identificador de cuenta de Golkito, tu división, tus puntos, tus partidos, victorias, empates y derrotas y, si la activaste, tu foto. Solo aparecen las cuentas con 5 partidos o más. Si te ocultas, tu perfil público deja de estar disponible. En las partidas puntuables, los demás jugadores de la sala ven el apodo de tu cuenta y tu división. Si entras con Discord, tu apodo inicial es tu nombre de Discord: revísalo en la bienvenida si prefieres que no se vea.

5Iniciar sesión con Discord o con Google

Discord. Solo pedimos el permiso identify. Discord nos envía tu id de usuario, tu nombre de usuario, tu nombre visible y tu avatar; guardamos el id, usamos tu nombre visible (o tu nombre de usuario, si no tienes uno) como apodo inicial de la cuenta y guardamos la dirección del avatar solo si activas la foto. No pedimos tu correo, no accedemos a tus servidores ni a tus mensajes y revocamos el permiso de acceso nada más leer tu perfil. Discord trata tus datos como responsable independiente, según su propia política de privacidad.

Google. El acceso con Google se gestiona a través de WorkOS, Inc. (Estados Unidos), que actúa como encargado del tratamiento por cuenta nuestra. WorkOS recibe de Google tu correo, tu nombre y tu foto y conserva un registro de usuario en sus sistemas. Nosotros guardamos el identificador de usuario de WorkOS, te ofrecemos tu nombre de pila (con la inicial del apellido si es muy corto) como apodo, sin aplicarlo hasta que lo eliges, y guardamos la dirección de la foto solo si activas mostrarla. Nunca leemos ni guardamos tu correo. Cuando borras tu cuenta de Golkito, pedimos a WorkOS que borre también ese usuario. Google trata los datos de tu cuenta de Google como responsable independiente.

6Finalidades y bases jurídicas

No elaboramos perfiles comerciales ni usamos tus datos para publicidad. Los puntos, las divisiones y las penalizaciones por abandono se calculan automáticamente con las reglas del juego; las suspensiones de cuenta las decide una persona. Si no estás de acuerdo con un resultado o una sanción, escríbenos y lo revisaremos.

7Plazos de conservación

8Proveedores y transferencias internacionales

No vendemos ni cedemos tus datos. Estos proveedores los tratan por cuenta nuestra, con un contrato de encargo del tratamiento:

• Cloudflare, Inc. (Estados Unidos): alojamiento del sitio, servidor del lobby y de las salas (Workers y Durable Objects), base de datos de cuentas (D1, ubicada en la Unión Europea) y retransmisión TURN (Cloudflare Realtime). Como proveedor de red, trata direcciones IP y datos técnicos de cada conexión para entregar el sitio y protegerlo frente a ataques.
• WorkOS, Inc. (Estados Unidos): acceso con Google.

Además, Discord y Google actúan como responsables independientes cuando inicias sesión con ellos o cuando tu navegador descarga de sus servidores la foto de perfil que otro jugador decidió mostrar. Google también gestiona uno de los servidores STUN que consulta tu navegador.

Algunos de estos proveedores tratan datos fuera del Espacio Económico Europeo, en particular en Estados Unidos, y el servidor del lobby puede ejecutarse en cualquier centro de datos de Cloudflare. Estas transferencias se amparan en las cláusulas contractuales tipo aprobadas por la Comisión Europea que incluyen sus contratos y, cuando corresponde, en el Marco de Privacidad de Datos UE-EE. UU. Puedes pedirnos más información en hello@golkito.com.

Solo comunicaremos datos a autoridades, jueces o tribunales cuando la ley nos obligue.

9Cookies

Golkito no usa cookies de analítica, de publicidad ni de terceros. Solo usa estas dos cookies propias, estrictamente necesarias para iniciar y mantener la sesión del ranking que tú solicitas. Por eso, según el artículo 22.2 de la LSSI-CE, no requieren tu consentimiento y no mostramos un aviso de cookies; te informamos de ellas aquí.

Si no inicias sesión, no se instala ninguna cookie. El almacenamiento local que usa el juego se describe en el apartado 2. Las fuentes y los scripts se sirven desde golkito.com; no cargamos contenido de terceros, salvo las fotos de perfil que algún jugador haya decidido mostrar.

Recuento de uso y enlaces de campaña. Nuestro servidor suma 1 a contadores diarios cuando abres la página y, como mucho una vez por visita, cuando llegas a pasos como ver el inicio, tocar «Jugar», empezar o terminar un partido, marcar un gol, entrar en una sala, compartir un clip o una invitación o iniciar sesión. Si entras desde un enlace con parámetros utm_ (por ejemplo, el de un vídeo o un anuncio), el juego los quita de la dirección y los recuerda solo mientras la página está abierta, para sumar esos pasos a esa campaña; sin ellos, se suman como visita directa. Solo guardamos esos totales: ninguna cookie ni nada en tu dispositivo, ni tu dirección IP, tu navegador o tu cuenta, nada que enlace tus pasos entre sí y ningún servicio de terceros. Por eso el recuento no identifica a nadie.

Informes anónimos de errores. Si algo falla (un error del juego, el sonido o los gráficos que no arrancan, una conexión online que no se establece), tu navegador nos envía un informe breve: el mensaje de error sin direcciones web, números largos ni textos entre comillas, el punto de nuestro código donde ocurrió, la versión del juego, datos generales del dispositivo (sistema y navegador con su versión principal, si lo abres dentro de una app como TikTok o instalado, tamaño aproximado de pantalla, pantalla táctil, calidad gráfica e idioma) y la pantalla del juego. Nunca tu dirección IP, tu cuenta, tu nombre, el chat ni nada que escribas. Guardamos cuántas veces se repite cada error y unas pocas muestras durante 30 días.

10Menores de edad

Para crear una cuenta hay que tener al menos 14 años, la edad a partir de la cual una persona puede consentir por sí misma el tratamiento de sus datos en España (artículo 7 de la LOPDGDD). Te pedimos que lo confirmes al crear la cuenta. Si sabemos que una cuenta pertenece a una persona menor de 14 años, la borraremos. Si eres madre, padre o tutor y crees que tu hijo o hija ha creado una cuenta, escríbenos.

Sin cuenta se puede jugar a todos los modos. Recomendamos que los menores usen el lobby y el chat con la supervisión de una persona adulta y que nunca compartan datos personales.

11Tus derechos

Puedes ejercer en cualquier momento, y de forma gratuita, tus derechos de acceso, rectificación, supresión, limitación del tratamiento, portabilidad y oposición, y retirar tu consentimiento cuando sea la base del tratamiento, sin que eso afecte a lo tratado antes.

• Acceso y portabilidad: descarga una copia completa de los datos de tu cuenta en formato JSON.
• Supresión: borra tu cuenta con el formulario de abajo. El borrado es inmediato: eliminamos tu cuenta, tus identidades, tus sesiones, tus puntos y tus informes, desvinculamos de ti el historial de partidos y el registro antitrampas y cerramos tu sesión. Si entraste con Google, pedimos a WorkOS que borre tu usuario.
• Rectificación: puedes cambiar tu apodo cambiando tu nombre en el juego (con la sesión iniciada) y ocultarte del ranking público en Ajustes. Para cambiar otro dato, escríbenos.
• Oposición y limitación: escríbenos si te opones a un tratamiento basado en el interés legítimo o quieres limitarlo.

También puedes ejercer cualquier derecho escribiendo a hello@golkito.com. Como no guardamos tu correo, puede que te pidamos que demuestres que la cuenta es tuya, por ejemplo iniciando sesión y facilitándonos el identificador de cuenta que aparece en tu exportación. Te responderemos en el plazo de un mes.

Si crees que no hemos tratado bien tus datos, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), C/ Jorge Juan 6, 28001 Madrid, www.aepd.es. Te agradeceremos que antes nos escribas para intentar resolverlo.

12Seguridad

Aplicamos medidas proporcionadas al riesgo: todo el tráfico va cifrado (HTTPS); la cookie de sesión no es accesible desde JavaScript y solo guardamos su huella; no conservamos tokens de Discord ni de WorkOS; las peticiones que cambian datos solo se aceptan desde golkito.com, y nuestros registros no incluyen direcciones IP, cookies ni tokens. Ningún sistema es infalible: si se produjera una brecha que afecte a tus datos, actuaremos como exige el RGPD.

13Cambios en esta política

Si cambiamos esta política, actualizaremos la fecha de arriba. Si el cambio es importante, te avisaremos en el juego y, si afecta a las condiciones del ranking, te pediremos que vuelvas a aceptarlas.

La versión en español es la de referencia; la versión en inglés es una traducción fiel.

1Data controller

Controller

Sergio Rico

Tax ID (NIF)

71164693W

Address

Calle Avelino Hernández Lucas, 47140 Laguna de Duero (Valladolid), Spain

Email

hello@golkito.com

Website

golkito.com

For anything related to your data, email us at hello@golkito.com.

2Playing without an account: data on your device

Matches against bots, your career, clubs and settings work without an account and without sending us anything. The game keeps this information in your browser's storage (localStorage and sessionStorage), not on our servers:

You can delete this data in your browser settings (the option to clear site data). If you do, you lose any local progress you have not exported. Exports of clubs, crests or performance measurements create a file on your device; they do not go through our servers.

3Playing online with other people

When you use “With friends”, the lobby or “Play now”, our server coordinates rooms and connections. To do so it processes the following data:

• Your in-game name (up to 16 characters) and your activity (in the lobby, in a room or playing). Other people in the lobby or in your room can see it, together with a “Guest” label if you play without an account. Use a nickname, not your real name. If you sign in, your in-game name is your account nickname.
• Rooms: room code, title, match settings, random member identifiers and temporary credentials. They are deleted when the room closes: when the host leaves or, at the latest, 4 hours after it was created. If you disconnect, your place is released 45 to 60 seconds later.
• Chat: the lobby chat is public to everyone connected to the lobby; we keep at most the last 80 messages and each message is deleted after one hour. Room chat is only visible to the room's members and is deleted when the room closes. Do not write personal data in the chat.
• Moderation: before showing them to other people, an automatic filter checks messages, names, room titles and club names: it covers up mild swearing and does not deliver serious insults, sexual content, threats, contact details or links. If someone keeps trying, their chat is paused for a few minutes; that mark only lives as long as the room. It is not a decision with legal effects and builds no profile. In Community and in “Play now” there are only quick phrases. Muting someone is stored only in your browser.
• Reports: if you report a player we store the reason, the room code (or “Community”), their random session id, their name and a copy of their last 5 messages in that chat, to review what happened and act on it. We do not store who reported: their id and IP are only used in the server's memory to limit abuse. Reports are deleted after 30 days. If a host removes someone, their IP address is used only in memory to keep them out of that room for 10 minutes.
• Lobby presence: deleted 60 seconds after you disconnect.
• IP address: used only in the server's memory to limit abuse such as too many requests in a row. We never write it to disk, to the database or to logs of our own.
• Signalling: the messages two browsers use to agree on a connection (they include network addresses) pass through our server to reach the other player, but they are not stored.

Direct connection between browsers (WebRTC)

Online matches travel directly between the host's browser and each guest's browser using WebRTC. Because of how this technology works, the players connected to you can see your public IP address: the host sees the guests' addresses and each guest sees the host's. We do not use your camera or microphone.

To find the best route, your browser queries public STUN servers run by Cloudflare and Google, which receive your IP address. If a direct connection is not possible, the match is relayed through Cloudflare's TURN service (Cloudflare Realtime), using temporary credentials that expire after 4 hours at most.

Invitations and community

If you share an invitation via WhatsApp or another app, that app opens with the room link and its own privacy policy applies there. The same goes for the Golkito community on Discord, a server hosted on Discord and subject to its rules.

4Account and online ranking

An account is optional and only used for the online ranking. To create one you must be 14 or older and accept the terms of use (version 2026-09).

What we store

We do not store your email address, your surname, the rest of your Discord or Google profile (only the nickname and, until you choose, the offered first name, described above), passwords, Discord or WorkOS tokens or your IP address. For the rule that prevents earning points against someone on your own network, we use an encrypted fingerprint (HMAC) of the network that only exists while the room does.

What is public

If you appear in the public ranking (on by default; you can turn it off in Settings), anyone can see your nickname, your Golkito account identifier, your division, your points, your matches, wins, draws and losses and, if you turned it on, your photo. Only accounts with 5 or more matches are listed. If you hide yourself, your public profile is no longer available. In ranked matches, the other players in the room see your account nickname and your division. If you sign in with Discord, your initial nickname is your Discord name: check it in the welcome step if you would rather not show it.

5Signing in with Discord or Google

Discord. We only request the identify permission. Discord sends us your user id, username, display name and avatar; we keep the id, use your display name (or your username, if you have none) as the initial account nickname and keep the avatar address only if you turn the photo on. We do not ask for your email, we do not access your servers or messages, and we revoke the access permission as soon as we have read your profile. Discord processes your data as an independent controller under its own privacy policy.

Google. Google sign-in is handled through WorkOS, Inc. (United States), which acts as our processor. WorkOS receives your email, name and photo from Google and keeps a user record in its systems. We keep the WorkOS user identifier, offer you your first name (with the initial of your surname if it is very short) as your nickname, without applying it until you choose it, and keep the photo address only if you choose to show it. We never read or store your email. When you delete your Golkito account, we ask WorkOS to delete that user as well. Google processes your Google account data as an independent controller.

6Purposes and legal bases

We do not build commercial profiles or use your data for advertising. Points, divisions and abandon penalties are calculated automatically by the game rules; account suspensions are decided by a person. If you disagree with a result or a sanction, email us and we will review it.

7Retention periods

8Providers and international transfers

We do not sell or share your data. These providers process it on our behalf under a data processing agreement:

• Cloudflare, Inc. (United States): website hosting, lobby and room server (Workers and Durable Objects), account database (D1, located in the European Union) and TURN relay (Cloudflare Realtime). As a network provider, it processes IP addresses and technical data of each connection to deliver the site and protect it against attacks.
• WorkOS, Inc. (United States): Google sign-in.

In addition, Discord and Google act as independent controllers when you sign in with them or when your browser downloads from their servers a profile photo that another player chose to show. Google also runs one of the STUN servers your browser queries.

Some of these providers process data outside the European Economic Area, in particular in the United States, and the lobby server may run in any Cloudflare data centre. These transfers rely on the standard contractual clauses approved by the European Commission included in their agreements and, where applicable, on the EU-US Data Privacy Framework. You can ask us for more information at hello@golkito.com.

We will only disclose data to authorities or courts when the law requires us to.

9Cookies

Golkito uses no analytics, advertising or third-party cookies. It only uses these two first-party cookies, which are strictly necessary to start and keep the ranking session you request. For that reason, under Article 22(2) of the Spanish Information Society Services Act (LSSI-CE), they do not require your consent and we show no cookie banner; we tell you about them here.

If you do not sign in, no cookie is set. The local storage the game uses is described in section 2. Fonts and scripts are served from golkito.com; we load no third-party content, except profile photos that a player has chosen to show.

Usage counts and campaign links. Our server adds 1 to daily counters when you open the page and, at most once per visit, when you reach steps such as seeing the home screen, tapping «Play», starting or finishing a match, scoring a goal, joining a room, sharing a clip or an invite, or signing in. If you arrive through a link with utm_ parameters (for example, from a video or an ad), the game removes them from the address and remembers them only while the page is open, to add those steps to that campaign; without them, they count as a direct visit. We only keep those totals: no cookie and nothing on your device, not your IP address, browser or account, nothing that links your steps together, and no third-party service. That is why the count identifies no one.

Anonymous error reports. If something fails (a game error, sound or graphics that do not start, an online connection that cannot be made), your browser sends us a short report: the error message without web addresses, long numbers or quoted text, the place in our code where it happened, the game version, general device data (system and browser with their major version, whether you opened it inside an app such as TikTok or installed, approximate screen size, touch screen, graphics quality and language) and the game screen. Never your IP address, your account, your name, the chat or anything you type. We keep how often each error happens and a few samples for 30 days.

10Minors

You must be at least 14 to create an account, the age from which a person can consent to the processing of their own data in Spain (Article 7 of the Spanish Data Protection Act, LOPDGDD). We ask you to confirm it when you create the account. If we learn that an account belongs to someone under 14, we will delete it. If you are a parent or guardian and believe your child has created an account, email us.

Every game mode can be played without an account. We recommend that minors use the lobby and chat under adult supervision and never share personal data.

11Your rights

You can exercise your rights of access, rectification, erasure, restriction of processing, portability and objection at any time and free of charge, and withdraw your consent where it is the basis for processing, without affecting processing carried out before.

• Access and portability: download a full copy of your account data in JSON format.
• Erasure: delete your account with the form below. Deletion is immediate: we remove your account, identities, sessions, points and reports, unlink the match history and anti-cheat log from you and sign you out. If you signed in with Google, we ask WorkOS to delete your user.
• Rectification: you can change your nickname by changing your in-game name (while signed in) and hide yourself from the public ranking in Settings. To change any other data, email us.
• Objection and restriction: email us if you object to processing based on legitimate interest or want to restrict it.

You can also exercise any right by emailing hello@golkito.com. As we do not store your email, we may ask you to prove the account is yours, for example by signing in and giving us the account identifier shown in your export. We will reply within one month.

If you believe we have not handled your data properly, you can lodge a complaint with the Spanish Data Protection Agency (AEPD), C/ Jorge Juan 6, 28001 Madrid, Spain, www.aepd.es. We would appreciate it if you contacted us first so we can try to resolve it.

12Security

We apply measures proportionate to the risk: all traffic is encrypted (HTTPS); the session cookie is not accessible to JavaScript and we only store its fingerprint; we keep no Discord or WorkOS tokens; requests that change data are only accepted from golkito.com; and our logs contain no IP addresses, cookies or tokens. No system is infallible: if a breach affecting your data ever occurred, we would act as the GDPR requires.

13Changes to this policy

If we change this policy, we will update the date above. If the change is significant, we will let you know in the game and, if it affects the ranking terms, we will ask you to accept them again.

The Spanish version is the reference text; the English version is a faithful translation.