Política de privacidad

01Quién es el responsable de tus datos

Esta política explica qué datos personales trata ASPI a través del sitio web aspimenu.com (el «Sitio Web»), de tu cuenta de ASPI MENU y del loader: para qué, durante cuánto tiempo, quién los recibe y qué derechos tienes. El responsable del tratamiento es ASPI, que ofrece ASPI MENU y opera el Sitio Web.

Para cualquier cuestión sobre privacidad, incluido el ejercicio de tus derechos, puedes contactarnos abriendo un ticket en nuestro servidor oficial de Discord (discord.gg/aspimenu).

Tratamos tus datos conforme al Reglamento General de Protección de Datos (RGPD) y a la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).

02Datos que nos das

Solo pedimos lo que necesitamos para prestarte el servicio:

• Cuenta: nombre de usuario, email y contraseña. La contraseña no se guarda en nuestra base de datos: la protege el sistema de licencias del loader, que es donde se comprueba cuando inicias sesión, tanto en el Sitio Web como en el loader. Solo mientras confirmas tu email al registrarte la guardamos cifrada, durante un máximo de 30 minutos, para poder crear la cuenta.
• Códigos de verificación: te enviamos un código por email para confirmar tu email al registrarte; para añadir o cambiar el email de tu cuenta; para añadir, cambiar o quitar tu Discord; para activar la verificación en dos pasos, y para recuperar la contraseña. Solo guardamos una huella cifrada del código, que caduca a los 10 minutos.
• Verificación en dos pasos (2FA), si la activas: la clave secreta de tu app de autenticación, guardada cifrada.
• Discord, si lo añades: tu ID de Discord, escrito a mano o al vincular tu cuenta de Discord (en ese caso, Discord nos da tu ID y tu nombre de usuario; no guardamos tu token de Discord). Lo usamos para darte los roles de nuestro servidor y para identificarte en el soporte.
• Pedidos: el email al que enviamos la key, el plan, el importe, el método de pago y el estado del pedido.
• Solicitudes de reset del HWID: el motivo, el texto que escribas y las capturas que adjuntes.
• Programa de resellers: el nombre y los enlaces de tu tienda, tu ID de Discord, tu mensaje, tus movimientos de saldo y tus compras de keys. Si pides la blacklist de una key, también el motivo, tu explicación y las pruebas que adjuntes, que pueden incluir datos de tus compradores: en ese caso eres tú quien nos los facilita, y debes poder hacerlo legalmente.
• Soporte: lo que nos cuentes en los tickets de Discord, donde se aplica además la política de privacidad de Discord.

No pedimos direcciones postales, números de teléfono, documentos de identidad ni fechas de nacimiento.

03Datos que se recogen automáticamente

• Datos técnicos de la conexión: la dirección IP, el país aproximado, la identificación del navegador y del dispositivo (user-agent) y el idioma, que se registran con los inicios de sesión, los pedidos, los pagos y los eventos de seguridad.
• Navegación por el Sitio Web: registramos por nuestra cuenta, sin cookies, las páginas vistas, el recorrido y los errores de cada visita, junto con la IP y el identificador del navegador. A los 30 días borramos la IP, el identificador del navegador y el detalle de las páginas vistas; el resumen de la visita, ya sin esos datos, se borra a los 90 días. No usamos herramientas de analítica ni de publicidad de terceros.
• Precios aproximados en otras monedas: mientras la moneda esté en «Automática», usamos el país aproximado de tu conexión (el que indica la red de Cloudflare) para sugerirte la tuya, sin guardarlo. Si eliges una moneda o desactivas las estimaciones, esa elección se guarda solo en tu navegador (Política de cookies). Los tipos de cambio los consultamos a fuentes públicas sin enviarles ningún dato tuyo.
• Un identificador aleatorio del dispositivo (la cookie __Host-am_d), para poder bloquear los dispositivos usados para el fraude o para eludir un bloqueo (Política de cookies).
• Un registro de seguridad de los eventos relevantes (inicios de sesión, cambios en la cuenta, pedidos, pagos, entregas e intentos bloqueados) con los datos técnicos anteriores.
• La verificación antibots de Cloudflare Turnstile en el registro, el inicio de sesión, los códigos por email, el pago, el canje de keys y el panel interno.
• El análisis de la reputación de la IP: para prevenir el fraude, podemos consultar a un servicio especializado (vpnapi.io) la ubicación aproximada de la IP, su operador de red y si es una VPN, un proxy o un nodo de TOR.

04Datos del loader y del sistema de licencias

Para que tu licencia funcione, el loader y el sistema de licencias tratan tu nombre de usuario y tu contraseña (protegida), el estado y la caducidad de tu licencia, las keys que canjeas, el identificador de tu equipo (HWID) con el modelo de su procesador y de su tarjeta gráfica, y los datos técnicos de los inicios de sesión en el loader, como la fecha y la dirección IP. El Sitio Web consulta esos datos para enseñarte tu licencia y tu equipo, y para tramitar los resets del HWID.

Si tu key la vendió un reseller, ese reseller puede ver si se ha canjeado, cuándo y con qué nombre de usuario, para gestionar su venta y los posibles fraudes.

05Para qué usamos tus datos y con qué base legal

• Crear y gestionar tu cuenta y tu licencia, entregarte las keys, tramitar los resets del HWID, gestionar el programa de resellers y atenderte en el soporte: la ejecución del contrato (artículo 6.1.b del RGPD).
• Enviarte los emails necesarios (códigos, confirmaciones de pedido, entregas y avisos sobre tu cuenta y tu licencia): la ejecución del contrato.
• Conservar los registros contables y fiscales de las ventas: el cumplimiento de una obligación legal (artículo 6.1.c).
• Proteger el Sitio Web, el Software y a nuestros clientes frente al fraude, el abuso y los ataques (Turnstile, límites de peticiones, análisis de la IP, registro de seguridad y bloqueo de cuentas, emails, dispositivos y equipos) y hacer cumplir nuestros Términos, incluida la blacklist: nuestro interés legítimo (artículo 6.1.f).
• Defendernos ante contracargos y reclamaciones con las pruebas del pedido, de la entrega y del uso: nuestro interés legítimo.
• Mejorar el Sitio Web con estadísticas de navegación propias y sin cookies: nuestro interés legítimo.
• Darte los roles de nuestro servidor de Discord cuando vinculas tu cuenta: tu consentimiento (artículo 6.1.a), que puedes retirar desvinculando Discord en tu cuenta.

No tomamos decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos sobre ti o te afecten de forma similar. Los controles automáticos pueden dejar un pedido o una solicitud en revisión, pero decisiones como la blacklist las toma una persona del equipo.

06Quién recibe tus datos

No vendemos ni alquilamos datos personales. Solo los compartimos con quien los necesita para prestar el servicio:

• Stripe (pagos con tarjeta, Apple Pay, Google Pay, PayPal y los demás métodos que ofrece el formulario de pago, como Klarna, Amazon Pay, Revolut Pay o Bizum): trata los datos de tu tarjeta en sus propios sistemas; nosotros solo recibimos datos como la marca, el tipo, los cuatro últimos dígitos y el país de la tarjeta. Si pagas con Apple Pay, Google Pay o uno de esos otros métodos, interviene también su proveedor (por ejemplo, Apple, Google, Klarna o Amazon), que recibe los datos necesarios para el pago.
• PayPal (a través de Stripe): cuando pagas con PayPal, el pago lo procesa Stripe; PayPal le facilita tu nombre y el email de tu cuenta de PayPal, que recibimos para asociar el pago a tu pedido.
• NOWPayments (criptomonedas): recibe el número de pedido y el importe para generar la factura de pago.
• Infraestructura compartida de ASPI: ASPI opera también la tienda aspishop.cc, y algunos avisos de pago de criptomonedas, así como el envío de emails, pasan por sistemas que ASPI comparte entre sus tiendas. Por eso nuestros emails pueden llegarte desde una dirección del dominio aspishop.cc. Es un tratamiento interno de ASPI y no supone ceder tus datos a terceros.
• Brevo (envío de emails, empresa de la Unión Europea): trata tu email y el contenido de los emails que te enviamos.
• Cloudflare (red de distribución, seguridad, Turnstile y almacenamiento de archivos): todo el tráfico del Sitio Web pasa por su red, y guarda en un almacenamiento privado las imágenes que subes, como las capturas de los resets del HWID.
• El proveedor del sistema de licencias y del loader: trata los datos de la sección 4 para que puedas iniciar sesión y usar tu licencia.
• Discord: si vinculas tu cuenta, para comprobar quién eres y darte los roles de nuestro servidor; y los tickets de soporte, que se gestionan en Discord.
• vpnapi.io (reputación de la IP): recibe solo direcciones IP, para prevenir el fraude.
• Las autoridades y los tribunales, solo cuando la ley nos obligue.

07Transferencias internacionales

Algunos de estos proveedores están establecidos fuera del Espacio Económico Europeo o tienen allí sus sistemas, como Stripe, PayPal, Apple, Google, Amazon, Cloudflare y Discord. En esos casos, las transferencias se amparan en una decisión de adecuación de la Comisión Europea (incluido el Marco de Privacidad de Datos UE-EE. UU., cuando el proveedor está adherido) o, si no la hay, en las cláusulas contractuales tipo aprobadas por la Comisión Europea. Brevo es una empresa de la Unión Europea, y nuestra base de datos está en nuestro propio servidor, en la Unión Europea.

08Cuánto tiempo conservamos tus datos

• Pedidos, pagos y datos de facturación: 6 años, por las obligaciones mercantiles y fiscales.
• Cuenta: mientras exista. Si la borras, eliminamos o anonimizamos sus datos, salvo los que debamos conservar por ley o para defendernos ante reclamaciones y los necesarios para mantener una blacklist activa.
• Sesiones: hasta que cierras la sesión o caduca (24 horas, o 30 días si eliges «Recordarme»).
• Códigos enviados por email: hasta que se usan o caducan (10 minutos), y como mucho una hora más. Registros a falta de confirmar el email: 30 minutos.
• Registros de seguridad, de pagos y de las acciones del equipo: 2 años. Registros de entregas, de resellers y del HWID: 1 año. Registros de inicios de sesión y técnicos: 6 meses.
• Avisos de las pasarelas de pago: 6 meses.
• Navegación: la IP, el identificador del navegador y las páginas vistas, 30 días; el resumen de la visita, ya sin esos datos, 90 días.
• Capturas y pruebas de las solicitudes (resets del HWID, blacklist y disputas): mientras sean necesarias para resolver la solicitud y para defendernos ante las reclamaciones relacionadas.
• Bloqueos y blacklist: mientras estén activos.
• Keys entregadas: cifradas, junto con su pedido, para poder enseñarte tu compra y atender la garantía.
• Copias de seguridad cifradas de la base de datos: hasta 30 días.

09Cómo protegemos tus datos

Todo el tráfico viaja cifrado (TLS). Nuestro servidor no tiene puertos abiertos a internet: solo se llega a él por un túnel cifrado de Cloudflare. Las keys, las claves de la 2FA y otros datos sensibles se guardan cifrados (AES-256-GCM); los códigos y los datos que se buscan, solo como huellas criptográficas; y las sesiones usan cookies seguras y HttpOnly. El acceso al panel interno está limitado al equipo, con autenticación adicional, y sus acciones quedan registradas. Revisamos y actualizamos estas medidas con el tiempo.

Si se produce una brecha de seguridad que suponga un riesgo para tus datos, actuaremos como exige el RGPD, avisando a la autoridad de control y, cuando corresponda, también a ti.

10Tus derechos

Puedes, en cualquier momento y de forma gratuita, acceder a tus datos, rectificarlos, pedir que los suprimamos, limitar u oponerte a determinados tratamientos, pedir una copia en un formato portable y retirar el consentimiento que hayas dado.

Para ejercer cualquiera de estos derechos, abre un ticket en nuestro Discord indicando qué quieres. Antes de actuar, podemos pedirte que demuestres que la cuenta es tuya (por ejemplo, con un código enviado a su email). Respondemos en el plazo de un mes, que puede ampliarse dos meses más en los casos complejos, y te lo diremos. Ten en cuenta que debemos conservar los datos sujetos a obligaciones legales, como la facturación de los pedidos, aunque borres tu cuenta.

Si crees que no tratamos bien tus datos, puedes reclamar ante una autoridad de control; en España, la Agencia Española de Protección de Datos (www.aepd.es).

11Menores de edad

El Sitio Web y ASPI MENU son solo para mayores de 18 años. No tratamos a sabiendas datos de menores de 14 años, la edad de consentimiento digital en España; si descubrimos que se nos han facilitado, los eliminaremos.

12Comunicaciones

No enviamos publicidad ni boletines. Los emails que te enviamos son los necesarios para tu cuenta, tus pedidos y tu licencia. Las novedades de ASPI MENU (actualizaciones, ofertas y reposiciones) se publican en nuestro Discord.

13Enlaces a otros servicios

El Sitio Web enlaza con servicios de terceros, como nuestro servidor de Discord y las páginas de los proveedores de pago. Cuando estás en uno de ellos, se aplica su propia política de privacidad, que te recomendamos leer.

14Cambios en esta política

Cuando cambien nuestras prácticas, actualizaremos esta política y su fecha. Anunciaremos los cambios importantes en el Sitio Web y en nuestro Discord. Puedes pedirnos las versiones anteriores en un ticket.