Datos personales: qué guardamos y qué no

El impuesto al premio es también un asunto de datos, porque casi siempre funciona por retención: quien paga descuenta y, para descontar, tiene que saber quién eres. En Colombia la retención del 20 % de ganancia ocasional la practica el pagador del premio cuando el importe supera 48 UVT. En México, el impuesto del artículo 138 de la LISR «será retenido por las personas que hagan los pagos» y se considera pago definitivo.

En Argentina la ley es explícita en el reparto: responsable del impuesto es la entidad organizadora, que debe descontarlo del premio, aunque el peso económico lo soporte el ganador. En Venezuela la retención tiene carácter liberatorio.

Esta redacción no interviene en ninguna de esas cadenas: no vemos premios, ni retenciones, ni identidades. Las tasas comparadas están en la página de legalidad.

Se habla de datos personales pensando en el documento de identidad y se olvida el rastro más voluminoso: la telemetría de juego. Cada giro deja hora, importe, saldo antes y después, dispositivo y sesión. Ese registro es el que permite, precisamente, que un reclamo sobre una ronda pueda resolverse.

También es lo que da sentido al RTP. Cuando el proveedor declara 96,50 % en Gates of Olympus 1000 o 96,73 % en Wild Bandito, no describe tu tarde: describe un promedio calculado sobre volúmenes enormes de rondas registradas.

Quien conserva ese historial es el operador y el proveedor del juego, no nosotros. No tenemos acceso a tu cuenta ni forma técnica de obtenerlo, y ninguna página de este sitio se conecta con tu sesión de juego.

Conviene separar las dos capas, porque se confunden todo el tiempo.

Este sitio. No hay registro, no hay cuenta, no hay formulario que pida documentos y no procesamos pagos. No sabemos tu nombre. Si nos escribes, tenemos tu correo y lo que decidas contarnos, nada más.

El operador. Ahí sí hay cuenta, y con ella una obligación de verificación de identidad que el propio casino confirma como requisito. Eso implica documento con foto, comprobante de domicilio, medio de pago y el historial completo de depósitos y retiros, condicionado por el tope de la cláusula 6.11 y el plazo de pago de 48 horas hábiles.

Los métodos de pago disponibles en cada país, que determinan qué dato bancario acaba en manos de quién, están en la guía de depósitos y retiros.

Cerrar una cuenta y borrar los datos asociados no son la misma operación, y ninguna licencia con obligaciones antilavado permite la segunda sin más: los registros de identidad y de transacciones se conservan por deber legal del operador, aunque la cuenta esté cerrada.

Eso no vuelve inútil la solicitud. Lo que sí puedes exigir es que dejen de contactarte, que se cierre el acceso y que se te confirme por escrito qué se conserva y por qué. Pide siempre respuesta escrita, con fecha, por correo, no por chat.

Si la petición se ignora, el caso pasa a ser un reclamo formal, y el orden de los pasos está en la guía de quejas. Si el motivo de fondo es dejar de jugar, la vía correcta no es el borrado sino la autoexclusión.

Abrir una cuenta en un operador con licencia extranjera significa que tus datos salen de tu país. Aquí las dos jurisdicciones implicadas están identificadas: la licencia ALSI-202510061-FI2 la emite el Gobierno de la Isla Autónoma de Anjouan, en la Unión de las Comoras, y el titular declarado es Top Gold Limitada, registro 3-102-944744, con domicilio en Jacó, cantón de Garabito, provincia de Puntarenas, Costa Rica.

La consecuencia práctica es de alcance, no de tono: un requerimiento sobre tus datos hecho desde Bogotá o Ciudad de México se dirige a entidades que no están bajo la autoridad de Coljuegos ni de la Dirección General de Juegos y Sorteos.

Cómo se lee ese documento y qué autoriza exactamente está detallado en la ficha de la licencia.

De todo lo que un jugador entrega, la copia del documento de identidad es lo que más daño causa si se filtra: no se puede cambiar como una contraseña. Por eso tiene sentido tratar la verificación con cuidado y una sola vez.

• Súbelo siempre desde dentro de tu cuenta, nunca por chat de terceros, redes sociales ni correo a direcciones que no sean las oficiales del operador.
• Envía solo lo que se pide y en la calidad mínima legible; no hacen falta cinco versiones del mismo papel.
• Guarda constancia de la fecha en que lo enviaste: sirve si luego hay que discutir un retraso frente al plazo declarado de 48 horas hábiles.
• Esta redacción no participa en el trámite. Si tienes dudas sobre el canal, escríbenos por la página de contacto, pero sin adjuntar documentos.

La pregunta correcta no es «¿el sitio es seguro?», sino «¿qué persona jurídica responde si algo sale mal?». En este caso la respuesta está publicada: Top Gold Limitada, sociedad con número de registro 3-102-944744 domiciliada en Costa Rica, operando bajo la licencia ALSI-202510061-FI2 del Anjouan Gaming Board, cuyo validador muestra el dominio gold.casino con estado válido.

Ese es el destinatario de cualquier ejercicio de derechos y el nombre que hay que citar en un reclamo. El canal declarado de atención funciona las 24 horas del día por chat en vivo, teléfono y [email protected].

Nosotros no somos parte de esa relación contractual: somos una publicación editorial, y lo que eso implica está en nuestros términos de uso.

Cuando alguien se autoexcluye, el operador necesita conservar identificadores suficientes para impedir que vuelva a abrir cuenta. Es la excepción razonable a la lógica del borrado: si se elimina el rastro, la protección desaparece con él, y quien se autoexcluyó puede registrarse de nuevo al día siguiente.

Entenderlo evita una frustración común. Pedir autoexclusión y a la vez exigir supresión total de datos son peticiones que se anulan entre sí, y el operador atenderá la primera.

Las herramientas disponibles, las señales de alarma y qué pedir exactamente están explicadas en la página de juego responsable, escrita con ese criterio y sin invitación a seguir jugando.

Sin acceso a auditorías internas, quedan indicios observables desde fuera. Estos son los que usamos al revisar cualquier operador:

• No publica el nombre de la sociedad titular ni su número de registro. Aquí sí consta: Top Gold Limitada, 3-102-944744.
• No hay número de licencia verificable en el validador del emisor. Aquí lo hay: ALSI-202510061-FI2.
• Pide documentos por canales que no son la cuenta del jugador.
• No ofrece atención con horario declarado. Aquí el operador declara cobertura de 24 horas, todos los días.
• Presume de auditorías que no publica. Conviene decirlo: no consta informe independiente publicado sobre el generador de números aleatorios del casino, y no lo damos por hecho.

Cómo aplicamos esta lista, en el método de la redacción.

Aquí toca ser explícitos sobre un vacío. Nuestra base de hechos verificados cubre reguladores de juego, edades mínimas, impuestos al premio y medios de pago de los siete mercados, pero no incluye las leyes nacionales de protección de datos. No las citamos de memoria, porque un artículo mal atribuido en materia de datos es peor que no decir nada.

Lo que sí podemos afirmar con fuente es dónde reclamar por conducta de un operador de juego: Coljuegos en Colombia, la Autoridad de Fiscalización del Juego en Bolivia, la Superintendencia de Casinos de Juego en Chile, LOTBA en la Ciudad de Buenos Aires, la Dirección General de Juegos y Sorteos en México y CONALOT en Venezuela. Ecuador no tiene autoridad de juego: los casinos están prohibidos desde 2011.

Cada ficha, con su enlace oficial, en el índice de países.

Un texto sobre datos que nunca se toca suele ser un texto que nadie revisa. Este cambia cuando cambia un hecho comprobable: si el operador modifica su titular, su número de licencia, su plazo de pago de 48 horas hábiles o el tope de la cláusula 6.11, la página se actualiza y se dice qué se movió.

No aplicamos cambios retroactivos silenciosos ni escondemos correcciones en una nota al pie. Si un dato deja de tener fuente que lo sostenga, se retira antes que reescribirse con una suposición.

Las reglas generales de uso del sitio, la divulgación de afiliación y el alcance de nuestra responsabilidad están reunidos en los términos y condiciones; para señalar un error, la vía de contacto está abierta.

Cambiemos el sujeto de la pregunta. Las listas negras interesantes en materia de datos no son las de casinos, sino aquellas en las que un jugador puede figurar sin haberlo pedido.

Hay al menos tres tipos. La lista interna de cuentas bloqueadas o restringidas de un operador. El registro de personas autoexcluidas, que existe precisamente para que la protección sobreviva al cierre de sesión. Y las listas de control antilavado que cualquier licenciatario está obligado a consultar. Las tres son conjuntos de datos personales, aunque nadie las llame así.

Lo honesto es decir hasta dónde llega lo comprobable: en la documentación pública del operador no consta qué listas mantiene, con qué criterios ni durante cuánto tiempo. Puedes pedirle por escrito que te confirme si tu cuenta figura en alguna clasificación interna y por qué motivo. Puedes también saber que esta redacción no mantiene ninguna lista de lectores, ni positiva ni negativa: no hay registro que consultar porque no hay registro.

Un contracargo se piensa como una operación financiera, y también es una operación de datos. Cuando lo abres, el banco emisor pide pruebas al comercio, y el comercio responde con lo que tenga: registro de acceso, dirección desde la que se conectó la cuenta, historial de depósitos anteriores, estado de tu verificación. Ese expediente circula entre dos entidades y contiene más información sobre tu comportamiento que cualquier formulario que hayas rellenado.

Conviene entrar sabiéndolo, no arrepintiéndose después. También conviene saber que en la documentación pública del operador no consta política alguna de reembolsos ni de disputas, de modo que no podemos anticiparte qué material aportaría ni durante cuánto lo conservaría.

Y una precisión que evita un error frecuente: si pagaste con una billetera de criptomonedas, no hay expediente que abrir, pero sí un rastro permanente. Una dirección de USDT o de Bitcoin queda registrada en una cadena pública que no se borra.

Vale la pena decirlo sin metáfora: el saldo de una cuenta de casino no es dinero guardado en una caja con tu nombre, es una anotación en el sistema del operador. Quien lleva el libro decide qué se ve, qué se exporta y durante cuánto se conserva.

Sobre ese libro, lo documentado es escaso. No consta declaración pública sobre segregación de fondos, ni sobre qué historial de movimientos puede descargar un jugador, ni en qué formato. Sí consta el marco temporal que lo condiciona todo: 48 horas hábiles de plazo de pago y un tope de 10.000 EUR por cada 24 horas según la cláusula 6.11.

La consecuencia práctica en clave de datos es sencilla y se aplica hoy. Guarda tu propia copia: capturas del estado de cada retiro con fecha y hora, y los comprobantes que emita tu banco o tu billetera. Si algún día hay discusión, tu registro será el único al que tengas acceso garantizado. Qué comprobante genera cada método está en la guía de pagos.

Una solicitud sobre datos personales dirigida a una marca comercial es una solicitud dirigida a nadie. La marca no es una persona jurídica; la persona jurídica sí está publicada.

Responde Top Gold Limitada, registro 3-102-944744, con domicilio en Jacó, cantón de Garabito, provincia de Puntarenas, Costa Rica. Ese nombre y ese número son los que deben aparecer en el encabezado de cualquier petición de acceso, rectificación o cese de comunicaciones, junto con tu identificador de cuenta.

Hay un matiz de contexto que conviene tener presente y que no suele contarse: Costa Rica no dispone de una autoridad específica para el juego en línea, y la licencia del operador la emite Anjouan, en la Unión de las Comoras. Ninguna de las dos jurisdicciones coincide con la del lector, así que un requerimiento enviado desde Bogotá, Santiago o Ciudad de México cruza fronteras antes de llegar a un escritorio. Cómo se articulan esas dos piezas está detallado en la ficha de licencia y titularidad.

Se habla de «el KYC» como si fuera un solo trámite, y en realidad son dos expedientes que viajan por caminos distintos.

El primero verifica quién eres: documento con foto y comprobante de domicilio. Ese conjunto es el irreparable, porque un número de documento filtrado no se cambia como una contraseña. El segundo verifica con qué pagas: titularidad del medio, nombre asociado a la cuenta bancaria o a la billetera, a veces los últimos dígitos de una tarjeta. Ese segundo expediente enlaza tu identidad con una entidad financiera concreta, y es el que suele olvidarse al hacer el inventario de lo que uno entregó.

El operador confirma que la verificación es obligatoria, pero no publica ni el plazo de revisión ni el periodo de conservación de esos archivos. No consta. Súbelos siempre desde dentro de la cuenta y en la calidad mínima legible; enviar cinco versiones del mismo papel multiplica copias sin acelerar nada. Y no los envíes nunca a esta redacción, ni siquiera si escribes por el canal de consultas editoriales.

La contraseña y el correo con el que abriste la cuenta no son un detalle técnico: son datos que te identifican y que, mal gestionados, conectan cosas que preferirías tener separadas.

El punto ciego habitual es la reutilización del correo. Si la misma dirección aparece en un foro, en una tienda y en una cuenta de casino, cualquier filtración de una de esas bases permite relacionar las tres. Una dirección dedicada a esta cuenta y a nada más corta esa cadena sin coste alguno.

Sobre el otro extremo hay que ser claros: en la documentación pública del operador no consta que ofrezca verificación en dos pasos, ni por aplicación de autenticación ni por mensaje. Tampoco consta un protocolo publicado de notificación en caso de incidente. Con ese vacío documental, la contraseña es la única barrera, y conviene tratarla como tal: larga, única, no guardada en el navegador compartido de casa.

Hay una consecuencia de la edad mínima que casi nunca se enuncia: no existe forma de acreditar 18 años sin entregar un dato de identidad. La protección del menor y la recogida de datos son, aquí, la misma operación.

Eso explica por qué no hay «probar sin registrarse» que valga en una cuenta real, y por qué la verificación aparece antes o después. La cifra es 18 años en los siete mercados, aunque la norma cambie de forma: Bolivia la enuncia en el artículo 16 de la Ley 060; la Ley 538 porteña habla de mayor de 18 años con capacidad para contratar; en Chile y Venezuela se deriva de la mayoría de edad civil porque la norma de juego no la escribe.

El caso más delicado en clave de datos es el del menor que usa el documento de otra persona. Ahí el expediente de verificación queda a nombre de un tercero, y deshacer esa mezcla después es mucho más difícil que evitarla. Las medidas domésticas para que no ocurra están en la página de control del juego.

Si pides un tope de gasto, estás pidiendo que se modifique un ajuste de tu cuenta. Eso genera un registro con fecha: quién lo activó, cuándo, con qué valor y cuándo se cambió. Ese registro es la prueba de la que dependes si un día hay que discutir un depósito que no debió aceptarse.

El problema es que no consta que el operador publique herramienta de límites ni política sobre el historial de esos cambios. Sin texto publicado, la única constancia con la que puedes contar es la tuya. Por eso la recomendación es siempre la misma y es de método, no de tecnología:

• Pide el límite por correo, con cifra y periodo, y conserva la respuesta con su fecha.
• Si te confirman la aplicación, guarda esa confirmación aparte de la bandeja de entrada.
• Si el límite se levanta, exige por escrito quién autorizó el cambio y cuándo.

Un tope aplicado sin rastro escrito es, para efectos prácticos, un tope que nadie podrá demostrar después.

Al abrir una tragamonedas, la partida no se resuelve en el ordenador del jugador ni necesariamente en la infraestructura del operador: se resuelve en la del proveedor que fabricó el juego. Y esos proveedores tienen domicilio conocido, lo que convierte una obviedad técnica en un dato geográfico relevante.

Pragmatic Play, responsable de Gates of Olympus 1000, Sugar Rush 1000 y Sweet Bonanza 1000, tiene su sede en Gibraltar. BGaming, Betsoft y GameArt están en La Valeta, Malta; Kalamba, en Zebbug; Tom Horn Gaming, en Birkirkara. PopiPlay y 1spin4win operan desde Willemstad, Curazao.

Su acreditación se refiere al comportamiento del juego —BGaming declara MGA, BMM Testlabs, iTech Labs, la comisión chipriota y el Gobierno de España; Betsoft, ADM, GLI y Quinel—, no al tratamiento de tus datos de sesión. Sobre eso no hay documento que podamos citar, y por tanto no consta cómo se reparte la responsabilidad entre operador y proveedor sobre el historial de tus partidas.