Politique de confidentialité

01Qui est responsable de vos données

La présente politique explique quelles données personnelles ASPI traite par l’intermédiaire du site web aspimenu.com (le « Site »), de votre compte ASPI MENU et du loader : à quelles fins, pendant combien de temps, qui les reçoit et quels sont vos droits. Le responsable du traitement est ASPI, qui propose ASPI MENU et exploite le Site.

Pour toute question relative à la protection de vos données, y compris l’exercice de vos droits, vous pouvez nous contacter en ouvrant un ticket sur notre serveur Discord officiel (discord.gg/aspimenu).

Nous traitons vos données conformément au règlement général sur la protection des données (RGPD) et à la loi organique espagnole 3/2018 relative à la protection des données personnelles et à la garantie des droits numériques (LOPDGDD).

02Données que vous nous fournissez

Nous ne demandons que ce dont nous avons besoin pour vous fournir le service :

• Compte : nom d’utilisateur, adresse e-mail et mot de passe. Le mot de passe n’est pas enregistré dans notre base de données : il est protégé par le système de licences du loader, où il est vérifié lorsque vous vous connectez, que ce soit sur le Site ou dans le loader. Nous ne le conservons, chiffré, que le temps que vous confirmiez votre adresse e-mail lors de l’inscription, pendant 30 minutes au maximum, afin de pouvoir créer le compte.
• Codes de vérification : nous vous envoyons un code par e-mail pour confirmer votre adresse e-mail lors de l’inscription ; pour ajouter ou modifier l’adresse e-mail de votre compte ; pour ajouter, modifier ou retirer votre Discord ; pour activer la vérification en deux étapes ; et pour récupérer votre mot de passe. Nous ne conservons qu’une empreinte chiffrée du code, qui expire au bout de 10 minutes.
• Vérification en deux étapes (2FA), si vous l’activez : la clé secrète de votre application d’authentification, conservée chiffrée.
• Discord, si vous l’ajoutez : votre ID Discord, saisi manuellement ou obtenu lorsque vous associez votre compte Discord (dans ce cas, Discord nous communique votre ID et votre nom d’utilisateur ; nous ne conservons pas votre token Discord). Nous l’utilisons pour vous attribuer les rôles de notre serveur et pour vous identifier auprès du support.
• Commandes : l’adresse e-mail à laquelle nous envoyons la key, l’offre, le montant, le mode de paiement et le statut de la commande.
• Demandes de reset HWID : le motif, le texte que vous rédigez et les captures d’écran que vous joignez.
• Programme resellers : le nom et les liens de votre boutique, votre ID Discord, votre message, les mouvements de votre solde et vos achats de keys. Si vous demandez la blacklist d’une key, également le motif, votre explication et les preuves que vous joignez, qui peuvent inclure des données de vos acheteurs : dans ce cas, c’est vous qui nous les communiquez, et vous devez être légalement en droit de le faire.
• Support : ce que vous nous dites dans les tickets Discord, auxquels s’applique en outre la politique de confidentialité de Discord.

Nous ne demandons ni adresse postale, ni numéro de téléphone, ni pièce d’identité, ni date de naissance.

03Données collectées automatiquement

• Données techniques de connexion : l’adresse IP, le pays approximatif, l’identification du navigateur et de l’appareil (user-agent) et la langue, qui sont enregistrés lors des connexions, des commandes, des paiements et des événements de sécurité.
• Navigation sur le Site : nous enregistrons nous-mêmes, sans cookies, les pages consultées, le parcours et les erreurs de chaque visite, ainsi que l’adresse IP et l’identifiant du navigateur. Au bout de 30 jours, nous supprimons l’adresse IP, l’identifiant du navigateur et le détail des pages consultées ; le résumé de la visite, débarrassé de ces données, est supprimé au bout de 90 jours. Nous n’utilisons aucun outil d’analyse d’audience ou de publicité tiers.
• Prix approximatifs dans d’autres devises : tant que la devise est sur « Automatique », nous utilisons le pays approximatif de votre connexion (celui qu’indique le réseau de Cloudflare) pour vous suggérer la vôtre, sans l’enregistrer. Si vous choisissez une devise ou désactivez les estimations, ce choix est enregistré uniquement dans votre navigateur (Politique relative aux cookies). Nous obtenons les taux de change auprès de sources publiques, sans leur transmettre aucune donnée vous concernant.
• Un identifiant aléatoire de l’appareil (le cookie __Host-am_d), afin de pouvoir bloquer les appareils utilisés pour commettre une fraude ou pour contourner un blocage (Politique relative aux cookies).
• Un journal de sécurité des événements importants (connexions, modifications du compte, commandes, paiements, livraisons et tentatives bloquées) contenant les données techniques ci-dessus.
• La vérification anti-bot Cloudflare Turnstile lors de l’inscription, de la connexion, de l’envoi des codes par e-mail, du paiement, de l’activation des keys et sur le panel interne.
• L’analyse de la réputation de l’adresse IP : pour prévenir la fraude, nous pouvons interroger un service spécialisé (vpnapi.io) sur la localisation approximative de l’adresse IP, son opérateur réseau et le fait qu’il s’agisse ou non d’un VPN, d’un proxy ou d’un nœud TOR.

04Données du loader et du système de licences

Pour que votre licence fonctionne, le loader et le système de licences traitent votre nom d’utilisateur et votre mot de passe (protégé), le statut et la date d’expiration de votre licence, les keys que vous activez, l’identifiant de votre ordinateur (HWID) avec le modèle de son processeur et de sa carte graphique, ainsi que les données techniques des connexions au loader, comme la date et l’adresse IP. Le Site consulte ces données pour vous afficher votre licence et votre ordinateur, et pour traiter les resets HWID.

Si votre key a été vendue par un reseller, ce reseller peut voir si elle a été activée, quand et par quel nom d’utilisateur, afin de gérer sa vente et les éventuelles fraudes.

05Pourquoi nous utilisons vos données et sur quelle base juridique

• Créer et gérer votre compte et votre licence, vous livrer les keys, traiter les resets HWID, gérer le programme resellers et vous assister via le support : l’exécution du contrat (article 6.1.b du RGPD).
• Vous envoyer les e-mails nécessaires (codes, confirmations de commande, livraisons et notifications concernant votre compte et votre licence) : l’exécution du contrat.
• Conserver les registres comptables et fiscaux des ventes : le respect d’une obligation légale (article 6.1.c).
• Protéger le Site, le Logiciel et nos clients contre la fraude, les abus et les attaques (Turnstile, limites de requêtes, analyse de l’adresse IP, journal de sécurité et blocage de comptes, d’adresses e-mail, d’appareils et d’ordinateurs) et faire respecter nos Conditions, y compris la blacklist : notre intérêt légitime (article 6.1.f).
• Nous défendre en cas de rétrofacturations et de réclamations à l’aide des preuves de la commande, de la livraison et de l’utilisation : notre intérêt légitime.
• Améliorer le Site grâce à nos propres statistiques de navigation, sans cookies : notre intérêt légitime.
• Vous attribuer les rôles de notre serveur Discord lorsque vous associez votre compte : votre consentement (article 6.1.a), que vous pouvez retirer en dissociant Discord de votre compte.

Nous ne prenons aucune décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques à votre égard ou vous affectant de manière similaire. Les contrôles automatiques peuvent mettre une commande ou une demande en attente de vérification, mais les décisions comme la blacklist sont prises par un membre de l’équipe.

06Qui reçoit vos données

Nous ne vendons ni ne louons de données personnelles. Nous ne les partageons qu’avec ceux qui en ont besoin pour fournir le service :

• Stripe (paiements par carte, Apple Pay, Google Pay et PayPal, ainsi que les autres moyens proposés dans le formulaire de paiement, comme Klarna, Amazon Pay, Revolut Pay ou Bizum) : traite les données de votre carte dans ses propres systèmes ; nous ne recevons que des informations telles que la marque, le type, les quatre derniers chiffres et le pays de la carte. Si vous payez avec Apple Pay, Google Pay ou l’un de ces autres moyens, son prestataire (par exemple Apple, Google, Klarna ou Amazon) intervient également et reçoit les données nécessaires au paiement.
• PayPal (via Stripe) : lorsque vous payez avec PayPal, le paiement est traité par Stripe ; PayPal lui transmet votre nom et l’adresse e-mail de votre compte PayPal, que nous recevons pour associer le paiement à votre commande.
• NOWPayments (cryptomonnaies) : reçoit le numéro de commande et le montant pour générer la facture de paiement.
• Infrastructure partagée d’ASPI : ASPI exploite également la boutique aspishop.cc, et certaines notifications de paiement en cryptomonnaies, ainsi que l’envoi des e-mails, passent par des systèmes qu’ASPI partage entre ses boutiques. C’est pourquoi nos e-mails peuvent vous parvenir depuis une adresse du domaine aspishop.cc. Il s’agit d’un traitement interne à ASPI, qui n’implique aucune communication de vos données à des tiers.
• Brevo (envoi des e-mails, société établie dans l’Union européenne) : traite votre adresse e-mail et le contenu des e-mails que nous vous envoyons.
• Cloudflare (réseau de diffusion de contenu, sécurité, Turnstile et stockage de fichiers) : tout le trafic du Site transite par son réseau, et Cloudflare conserve dans un espace de stockage privé les images que vous envoyez, comme les captures d’écran des demandes de reset HWID.
• Le fournisseur du système de licences et du loader : traite les données de la section 4 pour que vous puissiez vous connecter et utiliser votre licence.
• Discord : si vous associez votre compte, pour vérifier votre identité et vous attribuer les rôles de notre serveur ; ainsi que pour les tickets de support, qui sont gérés sur Discord.
• vpnapi.io (réputation de l’adresse IP) : ne reçoit que des adresses IP, afin de prévenir la fraude.
• Les autorités et les tribunaux, uniquement lorsque la loi nous y oblige.

07Transferts internationaux

Certains de ces prestataires sont établis en dehors de l’Espace économique européen ou y hébergent leurs systèmes, comme Stripe, PayPal, Apple, Google, Amazon, Cloudflare et Discord. Dans ces cas, les transferts reposent sur une décision d’adéquation de la Commission européenne (y compris le cadre de protection des données UE-États-Unis, lorsque le prestataire y a adhéré) ou, à défaut, sur les clauses contractuelles types adoptées par la Commission européenne. Brevo est une société établie dans l’Union européenne, et notre base de données est hébergée sur notre propre serveur, dans l’Union européenne.

08Combien de temps nous conservons vos données

• Commandes, paiements et données de facturation : 6 ans, en raison des obligations commerciales et fiscales.
• Compte : tant qu’il existe. Si vous le supprimez, nous effaçons ou anonymisons ses données, à l’exception de celles que nous devons conserver en vertu de la loi ou pour nous défendre en cas de réclamation, et de celles nécessaires au maintien d’une blacklist active.
• Sessions : jusqu’à ce que vous vous déconnectiez ou que la session expire (24 heures, ou 30 jours si vous choisissez « Se souvenir de moi »).
• Codes envoyés par e-mail : jusqu’à leur utilisation ou leur expiration (10 minutes), et au maximum une heure de plus. Inscriptions en attente de confirmation de l’adresse e-mail : 30 minutes.
• Journaux de sécurité, des paiements et des actions de l’équipe : 2 ans. Journaux des livraisons, des resellers et du HWID : 1 an. Journaux de connexion et journaux techniques : 6 mois.
• Notifications des passerelles de paiement : 6 mois.
• Navigation : l’adresse IP, l’identifiant du navigateur et les pages consultées, 30 jours ; le résumé de la visite, débarrassé de ces données, 90 jours.
• Captures d’écran et preuves jointes aux demandes (resets HWID, blacklist et litiges) : tant qu’elles sont nécessaires pour traiter la demande et pour nous défendre en cas de réclamation liée à celle-ci.
• Blocages et blacklist : tant qu’ils sont actifs.
• Keys livrées : conservées chiffrées avec leur commande, afin de pouvoir vous montrer votre achat et assurer la garantie.
• Sauvegardes chiffrées de la base de données : jusqu’à 30 jours.

09Comment nous protégeons vos données

Tout le trafic est chiffré (TLS). Notre serveur n’a aucun port ouvert sur internet : il n’est accessible que par un tunnel chiffré Cloudflare. Les keys, les clés secrètes de la 2FA et les autres données sensibles sont conservées chiffrées (AES-256-GCM) ; les codes et les données servant aux recherches, uniquement sous forme d’empreintes cryptographiques ; et les sessions utilisent des cookies sécurisés et HttpOnly. L’accès au panel interne est réservé à l’équipe, avec une authentification supplémentaire, et les actions qui y sont effectuées sont journalisées. Nous réexaminons et mettons à jour ces mesures au fil du temps.

En cas de violation de sécurité présentant un risque pour vos données, nous agirons comme l’exige le RGPD, en informant l’autorité de contrôle et, le cas échéant, vous-même.

10Vos droits

Vous pouvez, à tout moment et gratuitement, accéder à vos données, les rectifier, en demander l’effacement, demander la limitation de certains traitements ou vous y opposer, obtenir une copie dans un format portable et retirer le consentement que vous avez donné.

Pour exercer l’un de ces droits, ouvrez un ticket sur notre Discord en précisant votre demande. Avant d’y donner suite, nous pouvons vous demander de prouver que le compte vous appartient (par exemple, au moyen d’un code envoyé à son adresse e-mail). Nous répondons dans un délai d’un mois, qui peut être prolongé de deux mois pour les demandes complexes, auquel cas nous vous en informerons. Veuillez noter que nous devons conserver les données soumises à des obligations légales, comme la facturation des commandes, même si vous supprimez votre compte.

Si vous estimez que nous ne traitons pas correctement vos données, vous pouvez introduire une réclamation auprès d’une autorité de contrôle ; en Espagne, l’Agence espagnole de protection des données (AEPD, www.aepd.es).

11Mineurs

Le Site et ASPI MENU sont réservés aux personnes âgées d’au moins 18 ans. Nous ne traitons pas sciemment de données de mineurs de moins de 14 ans, l’âge du consentement numérique en Espagne ; si nous découvrons que de telles données nous ont été communiquées, nous les supprimerons.

12Communications

Nous n’envoyons ni publicité ni newsletter. Les e-mails que nous vous envoyons sont uniquement ceux nécessaires à votre compte, à vos commandes et à votre licence. Les nouveautés d’ASPI MENU (mises à jour, promotions et réapprovisionnements) sont publiées sur notre Discord.

13Liens vers d’autres services

Le Site contient des liens vers des services tiers, comme notre serveur Discord et les pages des prestataires de paiement. Lorsque vous vous trouvez sur l’un d’eux, c’est sa propre politique de confidentialité qui s’applique ; nous vous recommandons de la lire.

14Modifications de la présente politique

Lorsque nos pratiques évolueront, nous mettrons à jour la présente politique et sa date. Nous annoncerons les modifications importantes sur le Site et sur notre Discord. Vous pouvez nous demander les versions antérieures dans un ticket.