Política de privacidad
Última actualización: 10 de noviembre de 2026 · versión v2026-11c
En ClueTour nos tomamos en serio tu privacidad. Esta política explica qué datos recogemos, cómo los usamos y qué derechos tienes sobre ellos, en cumplimiento del Reglamento General de Protección de Datos (RGPD) de la Unión Europea y de la Ley Orgánica 3/2018 de Protección de Datos (LOPDGDD).
1. Responsable del tratamiento
El responsable de los datos personales recabados a través de la aplicación es Alejandro Conde Fernández, con NIF 71666233G y domicilio en C/ Corvera 17A, Oviedo (Asturias, España). Contacto: privacidad@cluetour.com.
2. Datos que recogemos
Al utilizar ClueTour podemos tratar los siguientes datos personales:
- Datos de registro: correo electrónico, nombre de usuario y contraseña (almacenada de forma segura, nunca en texto legible), y si aceptas o no recibir novedades y aparecer en la clasificación. Si entras con Google, en lugar de la contraseña Google nos facilita tu correo, tu nombre, tu foto de perfil y un identificador de tu cuenta de Google; solo usamos el correo, y nunca recibimos tu contraseña de Google
- Datos de compra: aventuras compradas, regaladas o canjeadas, pedidos, importes, método de pago elegido, códigos de descuento y vales usados, devoluciones y, si llegaste por el enlace o el código QR de un colaborador (por ejemplo, un hotel), ese código
- Datos de partida: progreso, puntuación, tiempo, fallos, pistas y soluciones usadas, y favoritos
- Datos de uso de las aventuras: cuándo empiezas y terminas una partida y en qué pruebas fallas, pides pista o saltas (sección 9)
- Presencia: si estás usando la aplicación en este momento y, si juegas, en qué aventura y parada estás (sección 9)
- Geolocalización: tu ubicación se consulta durante las partidas para comprobar que llegas a cada punto y, si usas el filtro por distancia del mapa de aventuras, para enseñarte las que tienes cerca. No guardamos tus coordenadas en nuestros servidores ni se las enviamos a nadie: se usan solo en tu dispositivo
- Fotografías: solo en las pruebas que lo piden, con el tratamiento limitado de la sección 8
- Reseñas: la valoración, el comentario y tu nombre de usuario, si dejas una reseña de una aventura (sección 10)
- Avisos de error: si nos avisas de un fallo en una aventura, el mensaje, tu nombre de usuario y correo, la aventura y la parada, el idioma, la versión de la aplicación y el tipo de dispositivo y navegador (sección 10)
- Regalos: si regalas una aventura o un vale, el correo de la persona que lo recibe, tu nombre como remitente y el mensaje que escribas
- Datos de facturación: solo si pides factura, el nombre o razón social, NIF, dirección y correo que nos indiques
- Datos de pago: los gestionan íntegramente las pasarelas de pago (sección 6). ClueTour no recibe ni almacena los datos de tu tarjeta
- Datos técnicos: dirección IP, tipo de dispositivo y navegador, identificador de sesión y una referencia de dispositivo para mantener una sola sesión activa por cuenta
- Historial de cambios: cuándo cambias tu nombre de usuario o tu correo, o una aventura comprada por otra, como medida de seguridad y contra el fraude
3. Finalidad del tratamiento
Usamos tus datos para:
- Prestarte el servicio contratado (acceso a los ClueTours y partidas, también desde otro dispositivo)
- Gestionar los pagos, compras, regalos, vales, devoluciones y facturas
- Enviarte las comunicaciones del servicio (sección 11)
- Mostrar la clasificación pública, únicamente si lo has activado
- Publicar las reseñas que dejes, una vez revisadas
- Atender tus consultas, solicitudes, reclamaciones y avisos de error
- Mejorar las aventuras: saber dónde se atasca la gente o qué pruebas fallan más
- Saber qué colaborador nos trajo cada venta, cuando llegas por su enlace o código QR
- Garantizar la seguridad de la aplicación, prevenir usos fraudulentos o abusivos (códigos duplicados, cuentas compartidas, manipulación de la clasificación, abuso de los avisos o de la verificación de fotos) y detectar incidencias técnicas
- Cumplir con las obligaciones legales y fiscales
4. Base legal
No todo lo que hacemos con tus datos se apoya en la misma base jurídica. Conviene distinguir:
Necesario para prestarte el servicio (ejecución del contrato). Sin estos tratamientos la aplicación no puede funcionar: tu cuenta, las compras, los regalos, el progreso de la partida, los correos de servicio y la geolocalización durante la partida. La ubicación no es opcional: es el mecanismo mismo del juego, igual que las páginas lo son de un libro.
Opcional, con tu consentimiento. Puedes activarlo o retirarlo cuando quieras sin que la aplicación deje de funcionar: la clasificación pública y las comunicaciones comerciales. Las fotografías también entran aquí, porque siempre puedes optar por no hacerlas, igual que dejar una reseña o enviar un aviso de error.
Interés legítimo. La seguridad de la plataforma y la prevención del fraude, la mejora de las aventuras a partir de cómo se juegan, la presencia en la aplicación para poder ayudarte si algo falla durante una partida, y saber qué colaborador trajo cada venta. Puedes oponerte escribiéndonos (sección 14).
Obligación legal. La emisión y conservación de facturas y de la documentación fiscal y contable.
5. Conservación
Conservamos tus datos mientras mantengas tu cuenta activa. Una vez dada de baja:
- Datos de facturación y compras: 4 años por obligación fiscal y hasta 6 años por obligación mercantil, desvinculados de tu nombre de usuario y tu correo
- Datos de cuenta y progreso: se eliminan o anonimizan al solicitar la baja
- Reseñas, avisos de error, favoritos y presencia: se eliminan
- Regalos enviados: se conserva el registro de la venta, pero se borran tu nombre como remitente y tu mensaje. El correo de quien lo recibió se mantiene mientras pueda canjearlo, porque el regalo es suyo
- Datos de uso de las aventuras: quedan ligados a una cuenta anónima que ya no identifica a nadie
Con carácter general, conservamos cada dato el tiempo necesario para la finalidad que lo justificó y, después, durante los plazos exigidos por la normativa aplicable o mientras puedan derivarse responsabilidades legales.
Al ejercer el derecho de supresión eliminamos tus datos identificativos (correo, nombre de usuario) y el registro de la compra se conserva desvinculado de ellos, por la obligación contable citada. Ese registro mantiene un identificador interno sin significado por sí mismo, necesario para la integridad de la contabilidad.
Puedes hacerlo tú mismo en cualquier momento desde la app, en Mi cuenta → Editar perfil → Eliminar mi cuenta: se aplica al instante y no se puede deshacer. También puedes pedírnoslo escribiendo a privacidad@cluetour.com.
6. Comunicación a terceros
No vendemos ni cedemos tus datos a terceros. Sí compartimos datos estrictamente necesarios con los proveedores que nos prestan el servicio:
| Proveedor | Para qué | Qué recibe |
|---|---|---|
| Supabase | Cuenta, base de datos y modo acompañante | Correo, cuenta, compras, progreso y el resto de datos de la sección 2 |
| Google (Google Ireland Limited) | Entrar con Google, solo si lo eliges | Sabe que entras en ClueTour con tu cuenta de Google. Nos facilita tu correo, nombre y foto de perfil |
| Stripe | Pagos con tarjeta | Los datos necesarios para cobrar, que introduces en su página |
| Redsys | Pagos con tarjeta, Bizum o Google Pay, cuando esté disponible como forma de pago | Los datos necesarios para cobrar, que introduces en su página o en la de tu banco |
| Vercel | Alojamiento de la aplicación | Datos técnicos de conexión |
| Cloudflare | Imágenes, audios y aventuras | Datos técnicos de conexión |
| OpenFreeMap (Hyperknot Software Kft., Hungría) | Mapa de aventuras del catálogo | Datos técnicos de conexión (como la dirección IP), solo si abres el mapa. Nunca tu ubicación |
| Resend | Envío de correos | Tu correo y el contenido del mensaje (y la foto de recuerdo, si la prueba la envía) |
| Anthropic | Validar las pruebas de foto | Solo la fotografía y la descripción de la prueba |
| Raiola Networks (España) | Dominio y buzones de correo de cluetour.com | Los correos que nos escribes (consultas, reclamaciones, ejercicio de derechos) |
| Google (Google Ireland Limited) | Bandeja de correo en la que atendemos tus mensajes | Los correos que nos escribes y nuestras respuestas |
| Google (Google Ireland Limited) | Copias de seguridad de la base de datos | Las copias, cifradas antes de subirlas: Google no puede leer su contenido |
| Google (Google Ireland Limited) | Copia de seguridad de las facturas | Las facturas emitidas, con los datos de facturación que contengan (en las facturas completas, nombre, NIF y dirección) |
Anthropic no recibe tu nombre, tu correo ni ningún dato que permita saber quién eres: únicamente la imagen y qué hay que comprobar en ella.
Hemos seleccionado proveedores que ofrecen garantías suficientes para el tratamiento de datos personales y, cuando actúan como encargados del tratamiento, suscribimos con ellos los acuerdos que exige el RGPD.
La aplicación no carga contenido de otros servicios al abrirla: las tipografías y el resto de recursos se sirven desde nuestros propios servidores. La única excepción es el mapa de aventuras del catálogo: solo si lo abres, se descargan los mapas de OpenFreeMap, que recibe los datos técnicos de conexión (como la dirección IP) y puede usar Cloudflare para servirlos. Según su política, no guarda la IP en sus registros de acceso. Si pulsas un enlace externo (por ejemplo, para abrir una dirección en Google Maps o dejar una reseña en Google), sales de ClueTour y se aplica la política de ese servicio.
7. Transferencias internacionales
Tu cuenta, tus compras y tu progreso se almacenan en la Unión Europea. Nuestra base de datos está alojada en Irlanda y no sale de territorio europeo. Redsys y Raiola operan en España.
Otros proveedores están establecidos en Estados Unidos, por lo que determinados tratamientos concretos (pagos con Stripe, alojamiento, envío de correos, la bandeja en la que atendemos tus mensajes, distribución de contenidos y validación de fotografías) sí implican transferencias internacionales fuera del Espacio Económico Europeo.
Estas transferencias se amparan en las garantías previstas por el RGPD: adhesión de los proveedores al EU-US Data Privacy Framework o, en su defecto, cláusulas contractuales tipo aprobadas por la Comisión Europea. Puedes solicitarnos información adicional sobre estas garantías escribiendo a privacidad@cluetour.com.
8. Fotografías de las pruebas
Algunas pruebas te piden tomar una fotografía. El tratamiento es el mínimo imprescindible y funciona así:
- La imagen se envía a un servicio de inteligencia artificial (Anthropic) que verifica automáticamente si la prueba está superada. Según sus condiciones, Anthropic no la utiliza para entrenar sus modelos y la elimina en un plazo máximo de 30 días
- Si la prueba lo contempla, la imagen se te envía por correo electrónico como recuerdo, a través de Resend
- ClueTour no almacena las fotografías en sus bases de datos ni las conserva una vez procesadas. Solo contamos cuántas fotos se han verificado en cada partida, porque cada aventura tiene un número máximo
- Las fotos no se muestran a los acompañantes que siguen tu partida desde su móvil
- No se utilizan para publicidad ni se ceden a ningún otro tercero
- No se realiza reconocimiento facial ni identificación biométrica de ningún tipo
La imagen se utiliza únicamente para comprobar la realización de la prueba y, si la prueba lo contempla, para enviártela como recuerdo. Para nada más.
Nunca estás obligado a hacer una fotografía. Puedes optar por no realizar esas pruebas y, si lo intentas y tras varios intentos no se supera, la aventura continúa igualmente. Ninguna fotografía es imprescindible para terminar un ClueTour.
Sobre otras personas en la imagen. Te pedimos que evites incluir en la fotografía a personas ajenas a tu grupo. La aplicación te lo recuerda en las pruebas que lo requieren.
Validación automática. La comprobación de estas pruebas la realiza un sistema automatizado. No produce efectos jurídicos ni te afecta significativamente: solo determina si avanzas en un juego, y siempre puedes seguir adelante aunque no la superes. Si tienes cualquier duda sobre una validación, escríbenos y la revisamos personalmente.
9. Cómo se juegan las aventuras y presencia
Para mejorar las aventuras registramos, ligado a tu cuenta, cuándo empiezas y terminas una partida y en qué pruebas fallas, pides pista, ves la solución o saltas. Lo hacemos nosotros mismos, en nuestra propia base de datos: no usamos herramientas de analítica de terceros ni compartimos esta información con nadie.
Mientras usas la aplicación, nuestro panel de gestión ve si estás conectado y, si juegas, en qué aventura y parada estás, para poder ayudarte si algo falla en mitad de una partida. Se guarda solo el último estado: no queda un historial de tus movimientos ni tus coordenadas.
10. Reseñas y avisos de error
Reseñas. Al terminar una aventura puedes valorarla. Antes de publicarse, las revisamos. Una vez publicadas, cualquiera puede ver la valoración, el comentario y tu nombre de usuario, nunca tu correo. Puedes pedirnos que la retiremos cuando quieras.
Puede que te invitemos a dejar también una reseña de ClueTour en Google: por correo, solo si has aceptado recibir novedades, o con un aviso dentro de la aplicación. Si la dejas, la publicas tú en Google y se rige por su política.
Avisos de error. Desde el menú del juego puedes avisarnos de un fallo. Guardamos el mensaje con los datos de la sección 2 para poder corregirlo y, si hace falta, responderte por correo. Para evitar abusos limitamos el número de avisos y podemos dejar de atender los de una cuenta que los use de forma indebida.
11. Comunicaciones
Comunicaciones de servicio. Forman parte del contrato y no puedes desactivarlas mientras tengas cuenta: confirmación de registro, compra y recuperación de contraseña; regalos y vales; avisos de caducidad; aventura completada con tu resultado; foto de recuerdo, si la prueba la envía; devoluciones y facturas; y respuestas a tus consultas o avisos de error.
Comunicaciones comerciales (novedades, promociones e invitaciones a reseñar en Google). Solo te las enviamos si lo has aceptado, al registrarte o desde tu perfil, y puedes retirarlo en cualquier momento desde el perfil o escribiéndonos.
12. Clasificación pública
La aplicación ofrece una clasificación pública por aventura. Está desactivada por defecto y solo aparecerás en ella si das tu consentimiento expreso desde tu perfil.
Si lo activas, se mostrarán únicamente tu nombre de usuario, tu puntuación, tu tiempo y la fecha de la partida. Nunca tu correo electrónico ni ningún otro dato.
Puedes retirar el consentimiento en cualquier momento: dejarás de aparecer de inmediato, también en las clasificaciones de partidas anteriores. No conservamos ningún historial público de quienes han retirado el consentimiento.
13. Modo acompañante
Si compartes tu código de acompañante, quienes lo usen ven en su móvil la misma pantalla de juego que tú, en tiempo real, mientras tengas la aplicación abierta en la partida. No ven tu ubicación (cada uno usa la suya), tus fotografías ni tus datos de cuenta. La conexión es efímera y no se guarda nada al terminar.
14. Tus derechos
Tienes derecho a:
- Acceder a los datos que tenemos sobre ti
- Rectificar datos inexactos
- Suprimir tus datos (derecho al olvido)
- Limitar u oponerte al tratamiento para fines concretos
- Portabilidad: recibir tus datos en un formato estructurado
- Retirar el consentimiento en cualquier momento
Para ejercer cualquiera de estos derechos, escríbenos a privacidad@cluetour.com desde la dirección de correo asociada a tu cuenta, indicando tu petición. Solo si existieran dudas razonables sobre tu identidad podríamos solicitarte información adicional para verificarla.
Responderemos en el plazo máximo de un mes desde la recepción de tu solicitud. Ese plazo puede ampliarse dos meses más cuando la complejidad o el número de solicitudes lo requiera, en cuyo caso te avisaremos dentro del primer mes.
15. Seguridad
Aplicamos medidas técnicas y organizativas adecuadas para proteger tus datos frente a la pérdida, el acceso no autorizado, la alteración o la divulgación. Entre ellas, el acceso a la base de datos está restringido por políticas por usuario, las cuentas con permisos de administración exigen un segundo factor de autenticación, las contraseñas nunca se almacenan en texto legible y hacemos copias de seguridad periódicas de la base de datos, que se guardan de forma privada y se cifran antes de salir de nuestros equipos. Las facturas se guardan además, de forma privada, en nuestro espacio de Google Drive para cumplir la obligación de conservarlas.
Si llegara a producirse una brecha de seguridad que afecte a tus datos y suponga un riesgo para ti, te lo comunicaremos y lo notificaremos a la autoridad de control conforme exige el RGPD.
16. Almacenamiento en tu dispositivo
ClueTour utiliza únicamente almacenamiento técnico necesario para el funcionamiento de la aplicación: tu sesión, idioma y preferencias de sonido, una copia de tu progreso y de las aventuras para que la aplicación funcione rápido y sin cobertura, y una referencia de dispositivo que permite mantener una sola sesión activa por cuenta. No utilizamos cookies publicitarias ni de seguimiento de terceros.
Tu progreso se guarda en tu cuenta, por lo que puedes retomar una aventura desde otro dispositivo, y además una copia en el tuyo, para no perderlo si te quedas sin cobertura. El detalle completo está en el documento Cookies y almacenamiento.
17. Menores de edad
ClueTour no está dirigido a menores de 14 años. Para realizar compras es necesario ser mayor de edad. Si detectamos que un usuario es menor de 14 años sin el consentimiento de sus padres o tutores, procederemos a eliminar la cuenta.
18. Cambios en esta política
Podemos actualizar esta política para adaptarla a cambios legales o funcionales. Te notificaremos los cambios relevantes con antelación razonable.
19. Reclamaciones
Si consideras que hemos vulnerado tus derechos, y especialmente si crees que no hemos atendido bien una solicitud tuya, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) en www.aepd.es.
Antes de eso, te agradeceremos que nos escribas a privacidad@cluetour.com: casi todo se resuelve más rápido hablándolo.
Privacy policy
Last updated: November 10, 2026 · version v2026-11c
At ClueTour we take your privacy seriously. This policy explains what data we collect, how we use it and what rights you have over it, in compliance with the European Union General Data Protection Regulation (GDPR) and Spanish Organic Law 3/2018 on Data Protection (LOPDGDD).
1. Data controller
The controller of personal data collected through the app is Alejandro Conde Fernandez, Spanish tax ID 71666233G, with address at C/ Corvera 17A, Oviedo (Asturias, Spain). Contact: privacidad@cluetour.com.
2. Data we collect
When using ClueTour we may process the following personal data:
- Registration data: email address, username and password (stored securely, never in readable form), and whether or not you agree to receive news and to appear on the leaderboard. If you sign in with Google, instead of a password Google gives us your email, your name, your profile picture and an identifier for your Google account; we only use the email, and we never receive your Google password
- Purchase data: adventures purchased, gifted or redeemed, orders, amounts, the payment method chosen, discount codes and vouchers used, refunds and, if you arrived through a partner's link or QR code (for example, a hotel), that code
- Game data: progress, score, time, mistakes, hints and solutions used, and favourites
- Adventure usage data: when you start and finish a game and in which challenges you fail, ask for a hint or skip (section 9)
- Presence: whether you are using the app right now and, if you are playing, which adventure and stop you are at (section 9)
- Geolocation: your location is checked during games to confirm that you reach each point and, if you use the distance filter of the adventure map, to show you the ones near you. We do not store your coordinates on our servers
- Photographs: only in challenges that ask for them, with the limited processing described in section 8
- Reviews: your rating, comment and username, if you review an adventure (section 10)
- Error reports: if you report a problem in an adventure, the message, your username and email, the adventure and stop, the language, the app version and your device and browser type (section 10)
- Gifts: if you give an adventure or a voucher, the recipient's email, your name as sender and the message you write
- Billing data: only if you ask for an invoice, the name or company name, tax ID, address and email you give us
- Payment data: handled entirely by the payment gateways (section 6). ClueTour never receives or stores your card details
- Technical data: IP address, device and browser type, session identifier and a device reference used to keep a single active session per account
- Change history: when you change your username or email, or swap a purchased adventure for another, as a security and anti-fraud measure
3. Purpose of processing
We use your data to:
- Provide the contracted service (access to ClueTours and games, including from another device)
- Manage payments, purchases, gifts, vouchers, refunds and invoices
- Send you service communications (section 11)
- Display the public leaderboard, only if you have enabled it
- Publish the reviews you leave, once checked
- Respond to your queries, requests, complaints and error reports
- Improve the adventures: find out where people get stuck or which challenges fail most
- Know which partner brought each sale, when you arrive through their link or QR code
- Ensure the security of the app, prevent fraudulent or abusive use (duplicate codes, shared accounts, leaderboard manipulation, misuse of error reports or photo checks) and detect technical issues
- Comply with legal and tax obligations
4. Legal basis
Not everything we do with your data rests on the same legal basis. It is worth distinguishing:
Necessary to provide the service (performance of the contract). Without this processing the app cannot work: your account, purchases, gifts, game progress, service emails and geolocation during the game. Location is not optional: it is the very mechanism of the game, just as pages are to a book.
Optional, with your consent. You can turn it on or off whenever you like without the app ceasing to work: the public leaderboard and commercial communications. Photographs also fall here, because you can always choose not to take them, as can leaving a review or sending an error report.
Legitimate interest. Platform security and fraud prevention, improving the adventures based on how they are played, presence in the app so we can help you if something goes wrong during a game, and knowing which partner brought each sale. You can object by writing to us (section 14).
Legal obligation. Issuing and keeping invoices and tax and accounting records.
5. Retention
We keep your data for as long as your account remains active. Once it is closed:
- Billing and purchase data: 4 years for tax purposes and up to 6 years for commercial-law purposes, unlinked from your username and email
- Account and progress data: deleted or anonymised when you request closure
- Reviews, error reports, favourites and presence: deleted
- Gifts you sent: the sale record is kept, but your name as sender and your message are deleted. The recipient's email is kept while they can still redeem it, because the gift is theirs
- Adventure usage data: remains linked to an anonymous account that no longer identifies anyone
As a general rule, we keep each piece of data for as long as needed for the purpose that justified it and, afterwards, for the periods required by applicable law or while legal liabilities may arise.
When you exercise the right to erasure we delete your identifying data (email, username) and the purchase record is kept unlinked from it, because of the accounting obligation mentioned above. That record keeps an internal identifier with no meaning on its own, needed for the integrity of the accounts.
You can do this yourself at any time from the app, in My account → Edit profile → Delete my account: it takes effect immediately and cannot be undone. You can also ask us by writing to privacidad@cluetour.com.
6. Disclosure to third parties
We do not sell or transfer your data to third parties. We do share strictly necessary data with the providers that deliver the service for us:
| Provider | Purpose | What it receives |
|---|---|---|
| Supabase | Account, database and companion mode | Email, account, purchases, progress and the rest of the data in section 2 |
| Google (Google Ireland Limited) | Sign in with Google, only if you choose it | Knows that you sign in to ClueTour with your Google account. Gives us your email, name and profile picture |
| Stripe | Card payments | The data needed to take payment, which you enter on its page |
| Redsys | Card, Bizum or Google Pay payments, when available as a payment method | The data needed to take payment, which you enter on its page or your bank's |
| Vercel | App hosting | Technical connection data |
| Cloudflare | Images, audio and adventures | Technical connection data |
| OpenFreeMap (Hyperknot Software Kft., Hungary) | Adventure map in the catalogue | Technical connection data (such as the IP address), only if you open the map. Never your location |
| Resend | Sending emails | Your email address and the content of the message (and the souvenir photo, if the challenge sends it) |
| Anthropic | Validating photo challenges | Only the photograph and the description of the challenge |
| Raiola Networks (Spain) | Domain and mailboxes of cluetour.com | The emails you write to us (enquiries, complaints, exercising your rights) |
| Google (Google Ireland Limited) | Inbox where we handle your messages | The emails you write to us and our replies |
| Google (Google Ireland Limited) | Database backups | The backups, encrypted before upload: Google cannot read their content |
| Google (Google Ireland Limited) | Invoice backup | The invoices issued, with the billing details they contain (on full invoices, name, tax ID and address) |
Anthropic does not receive your name, your email or any data that could identify you: only the image and what needs to be checked in it.
We have chosen providers that offer sufficient guarantees for the processing of personal data and, where they act as processors, we sign with them the agreements required by the GDPR.
The app does not load content from other services when you open it: fonts and other resources are served from our own servers. The only exception is the adventure map in the catalogue: only if you open it, the maps are downloaded from OpenFreeMap, which receives technical connection data (such as the IP address) and may use Cloudflare to serve them. According to its policy, it does not store IP addresses in its access logs. If you tap an external link (for example, to open an address in Google Maps or to leave a review on Google), you leave ClueTour and that service's policy applies.
7. International transfers
Your account, purchases and progress are stored in the European Union. Our database is hosted in Ireland and does not leave European territory. Redsys and Raiola operate in Spain.
Other providers are established in the United States, so certain specific processing (Stripe payments, hosting, email delivery, the inbox where we handle your messages, content delivery and photo validation) does involve international transfers outside the European Economic Area.
These transfers are covered by the safeguards provided for in the GDPR: the providers' participation in the EU-US Data Privacy Framework or, failing that, standard contractual clauses approved by the European Commission. You can ask us for more information about these safeguards by writing to privacidad@cluetour.com.
8. Challenge photographs
Some challenges ask you to take a photograph. Processing is kept to the bare minimum and works like this:
- The image is sent to an artificial intelligence service (Anthropic) that automatically checks whether the challenge has been completed. Under its terms, Anthropic does not use it to train its models and deletes it within 30 days at most
- If the challenge provides for it, the image is emailed to you as a souvenir through Resend
- ClueTour does not store the photographs in its databases or keep them once processed. We only count how many photos have been checked in each game, because each adventure has a maximum number
- Photos are not shown to companions following your game from their phones
- They are not used for advertising or passed to any other third party
- No facial recognition or biometric identification of any kind is carried out
The image is used only to check that the challenge has been completed and, if the challenge provides for it, to send it to you as a souvenir. Nothing else.
You are never required to take a photograph. You can choose not to do those challenges and, if you try and do not succeed after several attempts, the adventure carries on anyway. No photograph is essential to finish a ClueTour.
About other people in the picture. Please avoid including people outside your group in the photograph. The app reminds you of this in the challenges that require one.
Automated validation. These challenges are checked by an automated system. It has no legal effect and does not significantly affect you: it only decides whether you move forward in a game, and you can always carry on even if you do not pass. If you have any doubt about a validation, write to us and we will review it personally.
9. How adventures are played, and presence
To improve the adventures we record, linked to your account, when you start and finish a game and in which challenges you fail, ask for a hint, view the solution or skip. We do this ourselves, in our own database: we do not use third-party analytics tools or share this information with anyone.
While you use the app, our management panel can see whether you are connected and, if you are playing, which adventure and stop you are at, so we can help you if something goes wrong mid-game. Only the latest status is kept: there is no history of your movements or your coordinates.
10. Reviews and error reports
Reviews. When you finish an adventure you can rate it. We check reviews before publishing them. Once published, anyone can see the rating, the comment and your username, never your email. You can ask us to remove it at any time.
We may invite you to also review ClueTour on Google: by email, only if you have agreed to receive news, or with a notice inside the app. If you do, you publish it yourself on Google and Google's policy applies.
Error reports. From the game menu you can tell us about a problem. We keep the message with the data listed in section 2 so we can fix it and, if needed, reply to you by email. To prevent abuse we limit the number of reports and may stop handling those of an account that misuses them.
11. Communications
Service communications. These are part of the contract and cannot be turned off while you have an account: confirmation of sign-up, purchase and password recovery; gifts and vouchers; expiry notices; adventure completed with your result; souvenir photo, if the challenge sends it; refunds and invoices; and replies to your queries or error reports.
Commercial communications (news, promotions and invitations to review us on Google). We only send them if you have agreed, at sign-up or from your profile, and you can withdraw at any time from your profile or by writing to us.
12. Public leaderboard
The app offers a public leaderboard for each adventure. It is off by default and you will only appear on it if you give your express consent from your profile.
If you turn it on, only your username, score, time and the date of the game will be shown. Never your email or any other data.
You can withdraw your consent at any time: you will disappear immediately, including from the leaderboards of earlier games. We keep no public record of those who have withdrawn their consent.
13. Companion mode
If you share your companion code, whoever uses it sees on their phone the same game screen as you, in real time, while you have the app open in the game. They do not see your location (each person uses their own), your photographs or your account data. The connection is ephemeral and nothing is kept when it ends.
14. Your rights
You have the right to:
- Access the data we hold about you
- Rectify inaccurate data
- Erase your data (right to be forgotten)
- Restrict or object to processing for specific purposes
- Portability: receive your data in a structured format
- Withdraw consent at any time
To exercise any of these rights, write to privacidad@cluetour.com from the email address linked to your account, stating your request. Only if there were reasonable doubts about your identity might we ask you for additional information to verify it.
We will reply within one month of receiving your request at most. That period may be extended by two further months where the complexity or number of requests requires it, in which case we will let you know within the first month.
15. Security
We apply appropriate technical and organisational measures to protect your data against loss, unauthorised access, alteration or disclosure. Among them, access to the database is restricted by per-user policies, accounts with administration permissions require a second authentication factor, passwords are never stored in readable form and we make regular backups of the database, which are kept privately and encrypted before they leave our computers. Invoices are also kept, privately, in our Google Drive space to meet the obligation to retain them.
If a security breach affecting your data and posing a risk to you were to occur, we would inform you and notify the supervisory authority as required by the GDPR.
16. Storage on your device
ClueTour only uses technical storage necessary for the app to work: your session, language and sound preferences, a copy of your progress and of the adventures so the app works quickly and without coverage, and a device reference that allows a single active session per account. We do not use advertising cookies or third-party tracking.
Your progress is saved in your account, so you can resume an adventure from another device, and a copy is also kept on yours so it is not lost if you lose coverage. Full details are in the Cookies and storage document.
17. Minors
ClueTour is not aimed at children under 14. You must be of legal age to make purchases. If we detect that a user is under 14 without the consent of their parents or guardians, we will delete the account.
18. Changes to this policy
We may update this policy to adapt it to legal or functional changes. We will notify you of relevant changes reasonably in advance.
19. Complaints
If you believe we have infringed your rights, and especially if you feel we have not handled a request of yours properly, you can lodge a complaint with the Spanish Data Protection Agency (AEPD) at www.aepd.es.
Before that, we would be grateful if you wrote to us at privacidad@cluetour.com: almost everything is resolved faster by talking it through.