Política de privacidad

Nightmare TV («Nightmare», «nosotros») es un reproductor multimedia de escritorio desarrollado por Tevfik Çapar y publicado y vendido por Zehra Uludağ Çapar (Turquía). Esta Política de privacidad explica qué datos recopilamos, cuáles no y cómo puedes controlarlos.

1. Datos que NO recopilamos

• No recopilamos, almacenamos ni transmitimos tus credenciales de lista, tus URL M3U ni tus fuentes de guía de programación. Se guardan únicamente en local, en tu dispositivo.
• No registramos qué emisiones ves, qué contenidos reproduces, cuánto tiempo miras ni ningún historial de visionado.
• No mantenemos cuentas de usuario. No existe ninguna «cuenta Nightmare» que registrar.
• No vendemos, alquilamos ni compartimos datos de usuario con terceros con fines publicitarios.
• La aplicación Nightmare TV no rastrea lo que ves, no elabora perfiles de comportamiento y no sube tus listas. Aparte de las direcciones de tu propia lista, tus flujos y tu guía, sus conexiones salientes se limitan a: verificación de licencia, control de la prueba (un hash de dispositivo de un solo sentido, en Windows y macOS además un segundo hash de un solo sentido de identificadores de hardware usado solo para la prueba, y eventos de configuración y compra sin tu nombre, ver §2.4), algunas solicitudes de servicio sin tu nombre (hash del dispositivo, versión de la app, tipo de dispositivo), la comprobación de actualizaciones en GitHub en las versiones no instaladas desde Google Play ni desde Microsoft Store, la Sincronización en la nube si la activas (cifrada), los pósteres de TMDB si introduces tu propia clave de TMDB, el diagnóstico opcional (desactivado por defecto), los registros de fallos solo cuando tú los envías, y una dirección de correo opcional que decidas facilitar para avisos de actualización. La aplicación no incluye ningún SDK publicitario ni analítica de terceros.
• El sitio web de marketing (nightmaretv.net) usa Microsoft Clarity para mapas de calor y grabaciones de sesión, con el fin de mejorar la experiencia de las páginas. Clarity coloca cookies en tu navegador y usa un identificador seudónimo vinculado al visitante, así que son datos seudonimizados, no anónimos. Los campos de entrada se enmascaran. No se carga si tu navegador envía Do-Not-Track, ni en absoluto para visitantes cuyo dispositivo usa una zona horaria de la UE, el EEE, el Reino Unido o Suiza. Detalles en la sección 2.5.

2. Datos que recopilamos

2.1 Verificación de licencia

Cuando activas una licencia, Nightmare contacta con nuestro servidor de licencias en license.nightmaretv.net. Almacenamos:

• Tu clave de licencia (emitida por Gumroad tras la compra)
• Un identificador de dispositivo, un hash de un solo sentido creado en tu dispositivo. Solo el hash sale de tu dispositivo, y no puede revertirse. La prueba gratuita está ligada a tu dispositivo, así que reinstalar la aplicación no inicia una prueba nueva. Tu licencia pertenece a tu clave: tras una reinstalación o un restablecimiento, vuelve a introducir la clave.
• La familia de sistema operativo y la versión de la aplicación
• Marcas de tiempo (primera y última vez vista)
• La dirección de correo que usaste al pagar (para poder darte soporte)

Estos datos se usan únicamente para aplicar el límite de dispositivos (1, 3 o 5 dispositivos por licencia según el plan) y prestar soporte. Se almacenan en Cloudflare Workers KV y nunca se comparten con terceros.

2.2 Datos de pago

Los pagos los procesa un Merchant of Record externo autorizado. Nunca vemos, almacenamos ni procesamos tu número de tarjeta, el CVC ni tus datos bancarios. El procesador de pagos vigente y su política de privacidad se muestran en el momento del pago y en el recibo que recibes tras la compra.

Después de la compra, Gumroad nos envía un webhook con tu número de pedido, tu correo, tu clave de licencia y el plan adquirido. Para nuestras estadísticas de compra guardamos además: el país que detectó Gumroad, el código de descuento si usaste uno, el importe pagado y su moneda, la página de nuestro sitio donde empezó la compra (o, si la compra empezó en la app, un código corto de la pantalla de la app desde la que se inició), el sitio desde el que llegaste (solo el dominio) y, si compraste desde la app, el hash unidireccional del dispositivo de tu prueba, para saber cuánto duró la prueba. En las suscripciones registramos cuándo se produce una renovación, una cancelación o un reembolso. No recibimos los datos de tu tarjeta.

Nuestros enlaces de compra (nightmaretv.net/buy/...) también llevan un recuento diario de cuántas veces se abrieron, por plan y por origen (una pantalla de la app, una página de nuestro sitio o una visita directa). Este recuento no guarda ningún hash de dispositivo, dirección IP ni país, y se borra automáticamente a los 400 días.

2.3 Informes de fallos opcionales

Nightmare no envía informes de fallos de forma automática. Cuando algo falla, la app escribe un registro de diagnóstico en tu propio dispositivo, y ese registro solo se nos sube si pulsas el botón que lo envía. Si la subida no llega hasta nosotros, puedes guardar el registro en un archivo o copiarlo y enviárnoslo tú mismo. Las credenciales se eliminan del texto antes de que salga de tu dispositivo.

Aparte de eso, puedes enviarnos manualmente un informe de diagnóstico puntual desde Ajustes → Enviar informe de diagnóstico. Esto sube tu registro reciente de la aplicación, del que se eliminan tus credenciales de emisión (cualquier usuario, contraseña o token en las URL) y tu clave de licencia antes de salir del dispositivo. Lo conservamos 30 días bajo un código de referencia corto que compartes con soporte, y después se elimina. Nunca se envía automáticamente, solo cuando pulsas el botón.

2.4 Control de la prueba

Para evitar abusos de la prueba gratuita de 7 días (por ejemplo, desinstalar y reinstalar para reiniciar el contador), Nightmare TV registra el inicio de tu prueba en nuestro servidor en license.nightmaretv.net/trial. Almacenamos:

• Un hash de un solo sentido de tu identificador de dispositivo, creado en tu dispositivo. Solo el hash sale de tu dispositivo, y no puede revertirse.
• En Windows y macOS, la aplicación envía además un segundo hash de un solo sentido con las solicitudes de la prueba. Se calcula en tu dispositivo a partir de los identificadores de hardware del equipo, se vuelve a calcular en cada inicio y nunca se guarda en tu dispositivo. Solo el hash sale de tu dispositivo, y no puede revertirse. Lo conservamos para que cambiar o borrar el identificador de dispositivo guardado por la aplicación no inicie una prueba nueva en el mismo equipo. No se usa para las licencias.
• La marca de tiempo del primer arranque en ese dispositivo.
• Un código de país de dos letras derivado de la IP de la solicitud (cf.country), usado solo para estadísticas agregadas. No almacenamos la dirección IP en sí.
• Eventos de configuración y compra sin tu nombre, vinculados a ese mismo hash de dispositivo. Por el hash son datos seudónimos, no anónimos. La mayoría son marcadores de una sola vez con marca de tiempo: por ejemplo, que se añadió una lista, que la primera reproducción funcionó o falló, que se usó por primera vez una función como la grabación, que terminó la prueba o que se abrió la página de compra. Algunos se cuentan además cada vez que ocurren: abrir la página de compra, mostrar su código QR, el resultado de una compra en Google Play, una primera reproducción fallida, salir de la configuración sin una lista guardada, la aparición de la pantalla de fin de la prueba, el resultado de la consulta de productos de la tienda y el resultado de la verificación de una compra en Google Play. Un recuento solo puede llevar códigos cortos y fijos elegidos por la app: desde qué pantalla de la app se produjo, el plan, el resultado (por ejemplo, completada, cancelada o error), el tipo de fallo (por ejemplo, datos de acceso o red), el día de la prueba, cuántos productos devolvió la tienda, el paso más avanzado de la configuración, el método de configuración elegido (por ejemplo, Xtream, M3U o móvil) y cómo se salió de la configuración (la app pasó a segundo plano, se pulsó Atrás o se cerró la app). Los eventos no contienen nombres, ni nombres de usuario, ni direcciones de correo, ni direcciones de listas o de streams, ni nombres de canales, ni historial de visionado.

Estos datos existen para aplicar la única prueba de 7 días por dispositivo y, vistos de forma agregada, para encontrar y corregir problemas de configuración y mejorar las pantallas de compra. Los conservamos junto con el registro de la prueba solo mientras resulten útiles para el control de la prueba y las estadísticas agregadas. Puedes desactivar estos eventos en Ajustes → Cuenta → Contadores de uso (sin tu nombre) (desactivado por defecto en la UE, el EEE, el Reino Unido y Suiza, activado en los demás países; donde empieza activado, la app lo explica una vez en el primer inicio y ofrece desactivarlo). Si está desactivado, la app solo envía lo que necesitan el control de una prueba por dispositivo y tu licencia: que la primera reproducción funcionó, lo que inicia la prueba de 7 días, una compra y el resultado de una comprobación de licencia de Microsoft Store. Los eventos contados y las demás marcas no se envían, y los enlaces de compra no incluyen el código de la pantalla de la app. También puedes oponerte a estos eventos o pedir que los borremos en cualquier momento escribiendo a support@nightmaretv.net. Estos eventos no contienen nombre, listas ni historial de visionado, pero el hash unidireccional del dispositivo, la versión de la app, el código de país (obtenido en el servidor a partir de la IP) y los contadores de uso opcionales son datos seudonimizados, no anónimos. Sin seguimiento de visionado, sin compartir con terceros.

En resumen, lo que sale de tu dispositivo. Nunca enviamos lo que ves, tus listas ni los nombres de tus canales. Quedan dos tipos de solicitudes. Primero, las solicitudes técnicas que necesitan la licencia y la prueba: el hash de un solo sentido del dispositivo, la versión de la aplicación, la familia de sistema operativo, si esta copia tiene licencia y, una vez al día, la hora de tu dispositivo, además de las comprobaciones de compra y de licencia de la Store descritas en las secciones 2.7 y 2.8. Segundo, contadores de uso sin tu nombre de los pasos de configuración y reproducción, con los códigos cortos indicados arriba, que puedes desactivar. Mientras Contadores de uso (sin tu nombre) está activado, el aviso diario de estado también incluye la clase de dispositivo aproximada (TV / teléfono / escritorio) y, en Android, la arquitectura de CPU y el tipo de instalador (sección 2.8). Si está desactivado, esos tres datos tampoco se envían, y las pocas marcas que la prueba y la licencia siguen necesitando se envían sin ningún código.

Correo opcional (con consentimiento). Solo si lo deseas, puedes dejar tu dirección de correo, en el aviso dentro de la aplicación o en Ajustes → Funciones → Correos de actualización, para que podamos enviarte avisos ocasionales de actualización, o un recordatorio si dejas de usar la aplicación. Se almacena junto al mismo hash de dispositivo de un solo sentido, nunca es obligatoria y nunca se vende ni se comparte con fines publicitarios. A diferencia de los marcadores de prueba anteriores, un correo consentido se conserva hasta que lo retires: puedes eliminarlo en cualquier momento desde Ajustes (la dirección se borra entonces de nuestro almacén) o escribiendo a support@nightmaretv.net. Estos mensajes se envían mediante Resend (nuestro proveedor de correo); no usamos listas de marketing ni publicidad.

Resumen de los recibos de licencia. La comprobación diaria también incluye un breve resumen de los recibos de licencia firmados en este dispositivo: si hay un recibo de licencia, de prueba o de la Store y si sigue siendo válido, si el recibo de licencia corresponde a la clave guardada en la app, si el reloj del dispositivo parece atrasado y si la comprobación del recibo coincide con la decisión actual de la app. No contiene ninguna clave, ningún contenido del recibo ni otro identificador que el hash del dispositivo. Este resumen nos permite confirmar que una comprobación de licencia más estricta no bloqueará a los usuarios de pago antes de activarla.

Comprobación de integridad de la aplicación. Para detectar copias modificadas, la comprobación diaria también incluye una huella breve de la propia aplicación: en Android, el certificado de firma; en Windows, el archivo del programa. Esta huella identifica la compilación de la aplicación, no a ti ni a tu dispositivo.

2.5 Analítica del sitio web

El sitio de marketing (nightmaretv.net) usa dos herramientas de analítica respetuosas con la privacidad. Ten en cuenta que son exclusivas del sitio web y NO existen dentro de la aplicación Nightmare TV:

• Cloudflare Web Analytics: cuenta páginas vistas sin cookies, no recopila datos personales.
• Microsoft Clarity: mapas de calor y grabaciones de sesión (reproducción de clics, desplazamiento y movimiento por la página) para mejorar la usabilidad. Clarity establece sus propias cookies (_clck, _clsk) con una retención de 1 año y, según Microsoft, usa un identificador seudónimo vinculado al visitante. Son datos seudonimizados, no anónimos. Los campos de entrada se enmascaran por defecto y además marcamos para enmascarar nuestro campo de correo del boletín. Nuestras propias páginas también envían a Clarity algunos eventos y etiquetas (por ejemplo qué llamada a la acción se pulsó y el origen de campaña de la dirección de la página). Clarity no se carga cuando Do-Not-Track está activo (nuestro envoltorio en /js/clarity.js lo comprueba). Para excluirte, activa DNT en tu navegador o bloquea www.clarity.ms. Declaración de privacidad de Microsoft. Clarity no se carga en absoluto para visitantes cuyo dispositivo usa una zona horaria de la UE, el EEE, el Reino Unido o Suiza (no tenemos banner de consentimiento, así que ahí nunca se ejecuta).

Ninguna de las dos herramientas se carga desde la aplicación Nightmare TV: existen únicamente en las páginas del sitio web que estás leyendo ahora.

2.6 Sincronización en la nube durante la prueba

La sincronización en la nube es opcional y está desactivada por defecto. Durante la prueba gratuita de 7 días puedes activarla con un código de emparejamiento: el primer dispositivo muestra el código y tú lo introduces en tus otros dispositivos. Así tus favoritos, el punto donde lo dejaste, tus perfiles y tus ajustes son los mismos en esos dispositivos. Tus listas y sus credenciales no se incluyen.

El código de emparejamiento nunca sale de tus dispositivos. La clave de cifrado y el identificador de almacenamiento se crean a partir del código en tu dispositivo, así que no podemos leer lo que se sincroniza. Nuestro servidor guarda solo la copia cifrada, la hora del último cambio y los hashes de un solo sentido de hasta 5 dispositivos emparejados, bajo un identificador que no podemos vincular contigo. La copia se conserva 30 días después de la última subida y luego se elimina automáticamente. Si desactivas la sincronización en la nube, se elimina de nuestro servidor de inmediato.

Si compras una licencia, tus datos sincronizados pasan a la sincronización en la nube habitual vinculada a la licencia, y la copia de la prueba caduca por sí sola.

2.7 Copias de Microsoft Store

Si instalaste Nightmare TV desde Microsoft Store, la aplicación pregunta a la tienda si tu cuenta de Microsoft la posee. Para ello, la comprobación diaria de la aplicación con nuestro servidor (sección 2.4) también incluye lo que Windows informa sobre la licencia de Store de esta copia: si está activa, si es una prueba, el código del producto, la fecha de vencimiento y, si Windows no pudo responder, un código de error. También incluye un código breve con el resultado de la última comprobación de compra y, solo mientras esta copia ofrezca acceso completo que aún no se haya confirmado con Microsoft, una marca que lo indica. Nuestro servidor anota, para cada hash de dispositivo, cuándo se vio esta copia por primera vez con una licencia completa de Store, para que reinstalar la aplicación no reinicie el periodo de confirmación. Para confirmar una compra, la aplicación envía un token de compra emitido por Microsoft Store, junto con el hash del dispositivo, a license.nightmaretv.net. Nuestro servidor usa el token una sola vez para preguntar a Microsoft si la compra existe. Guardamos el resultado de esa comprobación para cada hash de dispositivo durante un máximo de 180 días. Para una compra confirmada guardamos además el número de pedido de Microsoft, la fecha de compra y un hash unidireccional del token. No guardamos el token en sí, ni el nombre ni la dirección de correo de tu cuenta de Microsoft. Estos datos se usan solo para confirmar compras en Store y dar a los compradores reales una clave de licencia que también funciona en sus otros dispositivos.

2.8 Copias de Google Play

En Android, el aviso diario de estado (sección 2.4) también indica qué tipo de aplicación instaló esta copia, como uno de cinco valores fijos: Google Play, Amazon Appstore, el instalador de paquetes del sistema, ninguno u otro. No se envía el nombre de paquete del instalador. Solo se envía mientras Contadores de uso (sin tu nombre) está activado.

En una copia instalada desde Google Play, tres solicitudes llevan además un token de integridad de Google Play (Play Integrity API): confirmar una compra de Google Play, registrar la prueba y activar una clave de licencia. La aplicación pide el token solo en esos momentos, nunca en cada inicio. Cada token está ligado a esa única solicitud y no se puede reutilizar en otra. Nuestro servidor envía el token a Google una vez para leer su veredicto y guarda solo estos veredictos: si es una copia sin modificar reconocida por Google Play, si se instaló o compró a través de Google Play y un nivel aproximado de integridad del dispositivo. En una compra se guardan con el registro de la licencia; en la prueba y la activación, solo como totales diarios sin hash del dispositivo. Si el veredicto indica que la copia no es auténtica, la compra de Google Play no se convierte en licencia; la prueba y la activación nunca se bloquean por ello. El token en sí no se guarda. Si el dispositivo no tiene los servicios de Google Play, solo se envía ese dato. Google trata estos datos según su propia política de privacidad (https://policies.google.com/privacy).

3. Dónde se almacenan tus datos

• Tu dispositivo: listas, credenciales, historial de reproducción, preferencias, EPG e imágenes en caché.
• Cloudflare Workers KV (UE / red global): registro de licencia y lista de dispositivos enmascarada.
• Sincronización en la nube durante la prueba (solo si la activas): la copia cifrada descrita en la sección 2.6, guardada en Cloudflare.
• Gumroad (EE. UU.): datos de pedido, factura e impuestos, conservados según la política de Gumroad.

4. Tus derechos

Vivas donde vivas, puedes pedirnos cualquiera de estas cosas. Si te encuentras en el Espacio Económico Europeo, el Reino Unido, Turquía (KVKK) o California (CCPA), además son tus derechos legales:

• Solicitar una copia de los datos personales que tenemos sobre ti
• Solicitar la corrección de datos inexactos
• Solicitar la eliminación de tus datos (sujeta a las obligaciones legales de conservación fiscal y contable)
• Retirar en cualquier momento, desde la aplicación, el consentimiento para funciones opcionales (informes de fallos)
• Presentar una reclamación ante tu autoridad de protección de datos

Para ejercer cualquiera de estos derechos, escribe a support@nightmaretv.net. Respondemos en un plazo de 30 días.

5. Plazos de conservación

• Los registros de licencia se conservan mientras la licencia esté activa, más 3 años tras su caducidad para prevención del fraude.
• Los datos de pedido e impuestos los conserva Gumroad al menos 7 años, según exige la normativa contable.
• Los informes de fallos con consentimiento se conservan 90 días.
• Los informes de diagnóstico enviados a petición (Ajustes → Enviar informe de diagnóstico) se conservan 30 días y luego se eliminan automáticamente.
• La copia de la sincronización en la nube de la prueba se conserva 30 días después de su última subida y se elimina de inmediato si desactivas la sincronización.
• Los recuentos diarios de los enlaces de compra (sección 2.2) se borran automáticamente a los 400 días.
• Los hilos de correo con soporte se conservan 2 años, salvo que solicites su eliminación anticipada.

6. Menores

Nightmare no está destinado a menores de 13 años. No recopilamos conscientemente datos personales de menores. Si eres padre, madre o tutor y crees que tu hijo nos ha facilitado datos personales, contáctanos y los eliminaremos.

7. Seguridad

Los registros de licencia se transmiten por HTTPS (TLS 1.3). Los webhooks de Gumroad solo se aceptan si llevan nuestro identificador de vendedor y un token secreto, que el servidor compara en tiempo constante. Las claves KV están limitadas al ámbito del Worker. Ningún sistema es perfectamente seguro, pero Nightmare reduce la superficie de exposición almacenando lo mínimo posible.

8. Cambios en esta política

Podemos actualizar esta política de vez en cuando. Los cambios sustanciales se anunciarán en nightmaretv.net y en las notas de versión dentro de la aplicación. Seguir usando el servicio tras un cambio implica su aceptación.

Responsable del tratamiento y bases jurídicas (RGPD)

La responsable del tratamiento de los datos descritos en esta política es Zehra Uludağ Çapar, Turquía, editora y vendedora de Nightmare TV, correo support@nightmaretv.net.

• Verificación de licencia y registro de tu licencia (correo, clave de licencia, plan, dispositivos): ejecución del contrato que celebraste al comprar una licencia, art. 6.1.b) del RGPD.
• Control de la prueba (hash unidireccional del dispositivo, en Windows y macOS además un segundo hash unidireccional de identificadores de hardware, código de país, hitos de configuración): nuestro interés legítimo en evitar pruebas gratuitas repetidas, art. 6.1.f) del RGPD.
• Estadísticas de compra (ver la sección 2.2): nuestro interés legítimo en saber qué páginas y países llevan a una compra, art. 6.1.f) del RGPD.
• Correo opcional, diagnósticos e informes de fallos: tu consentimiento, art. 6.1.a) del RGPD, que puedes retirar en cualquier momento en Ajustes o por correo.

Destinatarios. Cloudflare (alojamiento y servidor de licencias), Resend (envío de correos) y, según cómo pagues, Gumroad, Google Play o Microsoft Store. Gumroad y las tiendas tratan tu pago como responsables independientes, según sus propias políticas de privacidad.

Transferencias fuera de la UE. Estamos establecidos en Turquía y algunos proveedores están en Estados Unidos. Si el proveedor está certificado en el Marco de Privacidad de Datos UE y EE. UU. (Data Privacy Framework), las transferencias se basan en ese marco; si no, en las cláusulas contractuales tipo de la UE.

Sin decisiones automatizadas. No tomamos decisiones con efectos jurídicos o similares basadas únicamente en un tratamiento automatizado.

9. Contacto

Consultas sobre privacidad: support@nightmaretv.net
Editora, vendedora y responsable del tratamiento: Zehra Uludağ Çapar, Turquía
Desarrollador: Tevfik Çapar
Sitio web: nightmaretv.net