Quem é o responsável pelos seus dados
Esta política explica quais dados pessoais a ASPI trata por meio do site aspimenu.com (o “Site”), da sua conta do ASPI MENU e do loader: para quê, por quanto tempo, quem os recebe e quais direitos você tem. A ASPI, que oferece o ASPI MENU e opera o Site, é a responsável pelo tratamento dos dados.
Para qualquer questão sobre privacidade, incluindo o exercício dos seus direitos, você pode entrar em contato conosco abrindo um ticket no nosso servidor oficial do Discord (discord.gg/aspimenu).
Tratamos os seus dados de acordo com o Regulamento Geral sobre a Proteção de Dados da União Europeia (RGPD) e com a Lei Orgânica espanhola 3/2018, de Proteção de Dados Pessoais e garantia dos direitos digitais (LOPDGDD).
Dados que você nos fornece
Só pedimos o que precisamos para prestar o serviço a você:
- Conta: nome de usuário, e-mail e senha. A senha não é guardada no nosso banco de dados: ela é protegida pelo sistema de licenças do loader, que é onde ela é verificada quando você faz login, tanto no Site quanto no loader. Apenas enquanto você confirma o seu e-mail ao se cadastrar nós a guardamos criptografada, por no máximo 30 minutos, para poder criar a conta.
- Códigos de verificação: enviamos um código por e-mail para você confirmar seu e-mail no cadastro; para adicionar ou alterar o e-mail da sua conta; para adicionar, alterar ou remover o seu Discord; para ativar a verificação em duas etapas; e para recuperar sua senha. Guardamos apenas um hash criptográfico do código, que expira após 10 minutos.
- Verificação em duas etapas (2FA), se você a ativar: a chave secreta do seu app de autenticação, guardada criptografada.
- Discord, se você o adicionar: o seu ID do Discord, digitado manualmente ou obtido ao vincular a sua conta do Discord (nesse caso, o Discord nos informa o seu ID e o seu nome de usuário; não guardamos o seu token do Discord). Nós o usamos para dar a você os cargos do nosso servidor e para identificar você no suporte.
- Pedidos: o e-mail para o qual enviamos a key, o plano, o valor, a forma de pagamento e o status do pedido.
- Solicitações de reset de HWID: o motivo, o texto que você escrever e as capturas de tela que você anexar.
- Programa de resellers: o nome e os links da sua loja, o seu ID do Discord, a sua mensagem, as suas movimentações de saldo e as suas compras de keys. Se você pedir a blacklist de uma key, também o motivo, a sua explicação e as provas que você anexar, que podem incluir dados dos seus compradores: nesse caso, é você quem nos fornece esses dados, e você deve estar legalmente autorizado a fazê-lo.
- Suporte: o que você nos contar nos tickets do Discord, onde também se aplica a política de privacidade do Discord.
Não pedimos endereços postais, números de telefone, documentos de identidade nem datas de nascimento.
Dados coletados automaticamente
- Dados técnicos da conexão: o endereço IP, o país aproximado, a identificação do navegador e do dispositivo (user-agent) e o idioma, que são registrados junto com os logins, os pedidos, os pagamentos e os eventos de segurança.
- Navegação no Site: registramos por conta própria, sem cookies, as páginas vistas, o percurso e os erros de cada visita, junto com o IP e o identificador do navegador. Após 30 dias, apagamos o IP, o identificador do navegador e o detalhamento das páginas vistas; o resumo da visita, já sem esses dados, é apagado após 90 dias. Não usamos ferramentas de análise de tráfego nem de publicidade de terceiros.
- Preços aproximados em outras moedas: enquanto a moeda estiver em “Automática”, usamos o país aproximado da sua conexão (o informado pela rede da Cloudflare) para sugerir a sua, sem armazená-lo. Se você escolher uma moeda ou desativar as estimativas, essa escolha fica salva só no seu navegador (Política de Cookies). As taxas de câmbio são consultadas em fontes públicas, sem enviar nenhum dado seu a elas.
- Um identificador aleatório do dispositivo (o cookie __Host-am_d), para podermos bloquear os dispositivos usados para fraude ou para contornar um bloqueio (Política de Cookies).
- Um registro de segurança dos eventos relevantes (logins, alterações na conta, pedidos, pagamentos, entregas e tentativas bloqueadas), com os dados técnicos acima.
- A verificação antibot do Cloudflare Turnstile no cadastro, no login, nos códigos por e-mail, no pagamento, no resgate de keys e no painel interno.
- A análise da reputação do IP: para prevenir fraudes, podemos consultar um serviço especializado (vpnapi.io) sobre a localização aproximada do IP, a operadora de rede a que ele pertence e se ele é uma VPN, um proxy ou um nó da rede TOR.
Dados do loader e do sistema de licenças
Para que a sua licença funcione, o loader e o sistema de licenças tratam o seu nome de usuário e a sua senha (protegida), o status e a data de expiração da sua licença, as keys que você resgata, o identificador do seu computador (HWID), com o modelo do processador e da placa de vídeo, e os dados técnicos dos logins no loader, como a data e o endereço IP. O Site consulta esses dados para mostrar a você a sua licença e o seu computador, e para processar os resets de HWID.
Se a sua key foi vendida por um reseller, esse reseller pode ver se ela foi resgatada, quando e com qual nome de usuário, para gerenciar a venda dele e possíveis fraudes.
Para que usamos os seus dados e com qual base legal
- Criar e gerenciar a sua conta e a sua licença, entregar as keys, processar os resets de HWID, gerenciar o programa de resellers e atender você no suporte: a execução do contrato (artigo 6.1.b do RGPD).
- Enviar os e-mails necessários (códigos, confirmações de pedido, entregas e avisos sobre a sua conta e a sua licença): a execução do contrato.
- Manter os registros contábeis e fiscais das vendas: o cumprimento de uma obrigação legal (artigo 6.1.c).
- Proteger o Site, o Software e os nossos clientes contra fraudes, abusos e ataques (Turnstile, limites de requisições, análise do IP, registro de segurança e bloqueio de contas, e-mails, dispositivos e computadores) e fazer cumprir os nossos Termos, incluindo a blacklist: o nosso legítimo interesse (artigo 6.1.f).
- Defender-nos de chargebacks e reclamações com as provas do pedido, da entrega e do uso: o nosso legítimo interesse.
- Melhorar o Site com estatísticas de navegação próprias e sem cookies: o nosso legítimo interesse.
- Dar a você os cargos do nosso servidor do Discord quando você vincula a sua conta: o seu consentimento (artigo 6.1.a), que você pode retirar desvinculando o Discord na sua conta.
Não tomamos decisões baseadas unicamente em tratamento automatizado que produzam efeitos jurídicos sobre você ou que afetem você de forma semelhante. Os controles automáticos podem deixar um pedido ou uma solicitação em análise, mas decisões como a blacklist são tomadas por uma pessoa da equipe.
Quem recebe os seus dados
Não vendemos nem alugamos dados pessoais. Só os compartilhamos com quem precisa deles para prestar o serviço:
- Stripe (pagamentos com cartão, Apple Pay, Google Pay e PayPal, e os outros métodos oferecidos no formulário de pagamento, como Klarna, Amazon Pay, Revolut Pay ou Bizum): trata os dados do seu cartão nos próprios sistemas; nós recebemos apenas dados como a bandeira, o tipo, os quatro últimos dígitos e o país do cartão. Se você pagar com Apple Pay, Google Pay ou um desses outros métodos, o provedor dele (por exemplo, Apple, Google, Klarna ou Amazon) também participa e recebe os dados necessários para o pagamento.
- PayPal (pela Stripe): quando você paga com PayPal, o pagamento é processado pela Stripe; o PayPal informa a ela o seu nome e o e-mail da sua conta PayPal, que recebemos para associar o pagamento ao seu pedido.
- NOWPayments (criptomoedas): recebe o número do pedido e o valor para gerar a fatura de pagamento.
- Infraestrutura compartilhada da ASPI: a ASPI também opera a loja aspishop.cc, e alguns avisos de pagamento de criptomoedas, assim como o envio de e-mails, passam por sistemas que a ASPI compartilha entre as lojas dela. Por isso, os nossos e-mails podem chegar a você de um endereço do domínio aspishop.cc. Trata-se de um tratamento interno da ASPI, que não implica compartilhar os seus dados com terceiros.
- Brevo (envio de e-mails, empresa da União Europeia): trata o seu e-mail e o conteúdo dos e-mails que enviamos a você.
- Cloudflare (rede de distribuição de conteúdo, segurança, Turnstile e armazenamento de arquivos): todo o tráfego do Site passa pela rede dela, e ela guarda em um armazenamento privado as imagens que você envia, como as capturas de tela dos resets de HWID.
- O provedor do sistema de licenças e do loader: trata os dados da seção 4 para que você possa fazer login e usar a sua licença.
- Discord: se você vincular a sua conta, para verificar quem você é e dar a você os cargos do nosso servidor; e os tickets de suporte, que são gerenciados no Discord.
- vpnapi.io (reputação do IP): recebe apenas endereços IP, para prevenir fraudes.
- As autoridades e os tribunais, apenas quando a lei nos obrigar.
Transferências internacionais
Alguns desses provedores estão estabelecidos fora do Espaço Econômico Europeu ou mantêm lá os sistemas deles, como Stripe, PayPal, Apple, Google, Amazon, Cloudflare e Discord. Nesses casos, as transferências se baseiam em uma decisão de adequação da Comissão Europeia (incluindo o Data Privacy Framework UE-EUA, quando o provedor tiver aderido a ele) ou, na falta dela, nas cláusulas contratuais padrão aprovadas pela Comissão Europeia. A Brevo é uma empresa da União Europeia, e o nosso banco de dados fica no nosso próprio servidor, na União Europeia.
Por quanto tempo mantemos os seus dados
- Pedidos, pagamentos e dados de faturamento: 6 anos, por causa das obrigações comerciais e fiscais.
- Conta: enquanto ela existir. Se você a excluir, apagamos ou anonimizamos os dados dela, exceto os que devamos manter por lei ou para nos defender de reclamações e os necessários para manter uma blacklist ativa.
- Sessões: até você encerrar a sessão ou ela expirar (24 horas, ou 30 dias se você escolher “Lembrar de mim”).
- Códigos enviados por e-mail: até serem usados ou expirarem (10 minutos), e no máximo por mais uma hora. Cadastros pendentes de confirmação do e-mail: 30 minutos.
- Registros de segurança, de pagamentos e das ações da equipe: 2 anos. Registros de entregas, de resellers e de HWID: 1 ano. Registros de logins e técnicos: 6 meses.
- Avisos dos gateways de pagamento: 6 meses.
- Navegação: o IP, o identificador do navegador e as páginas vistas, 30 dias; o resumo da visita, já sem esses dados, 90 dias.
- Capturas de tela e provas das solicitações (resets de HWID, blacklist e disputas): enquanto forem necessárias para resolver a solicitação e para nos defender das reclamações relacionadas.
- Bloqueios e blacklist: enquanto estiverem ativos.
- Keys entregues: criptografadas, junto com o respectivo pedido, para podermos mostrar a sua compra a você e atender às solicitações de garantia.
- Backups criptografados do banco de dados: até 30 dias.
Como protegemos os seus dados
Todo o tráfego é criptografado (TLS). O nosso servidor não tem portas abertas para a internet: o único acesso a ele é por um túnel criptografado da Cloudflare. As keys, as chaves da 2FA e outros dados sensíveis são armazenados criptografados (AES-256-GCM); os códigos e os dados usados em buscas, apenas como hashes criptográficos; e as sessões usam cookies seguros e HttpOnly. O acesso ao painel interno é restrito à equipe, com autenticação adicional, e as ações realizadas nele ficam registradas. Revisamos e atualizamos essas medidas ao longo do tempo.
Se ocorrer uma violação de segurança que represente um risco para os seus dados, agiremos conforme exige o RGPD, notificando a autoridade de controle e, quando for o caso, também você.
Os seus direitos
Você pode, a qualquer momento e gratuitamente, acessar os seus dados, corrigi-los, pedir que os excluamos, limitar determinados tratamentos ou se opor a eles, pedir uma cópia em um formato portável e retirar o consentimento que tiver dado.
Para exercer qualquer um desses direitos, abra um ticket no nosso Discord dizendo o que você quer. Antes de agir, podemos pedir que você comprove que a conta é sua (por exemplo, com um código enviado para o e-mail dela). Respondemos no prazo de um mês, que pode ser prorrogado por mais dois meses nos casos complexos, e, se for o caso, avisaremos você. Lembre-se de que precisamos manter os dados sujeitos a obrigações legais, como o faturamento dos pedidos, mesmo que você exclua a sua conta.
Se você acha que não estamos tratando os seus dados de forma adequada, pode apresentar uma reclamação a uma autoridade de controle; na Espanha, a Agência Espanhola de Proteção de Dados (AEPD), em www.aepd.es.
Menores de idade
O Site e o ASPI MENU são apenas para maiores de 18 anos. Não tratamos conscientemente dados de menores de 14 anos, a idade de consentimento digital na Espanha; se descobrirmos que eles nos foram fornecidos, vamos excluí-los.
Comunicações
Não enviamos publicidade nem newsletters. Os e-mails que enviamos a você são os necessários para a sua conta, os seus pedidos e a sua licença. As novidades do ASPI MENU (atualizações, ofertas e reposições de estoque) são publicadas no nosso Discord.
Links para outros serviços
O Site tem links para serviços de terceiros, como o nosso servidor do Discord e as páginas dos provedores de pagamento. Quando você está em um deles, aplica-se a política de privacidade dele, que recomendamos que você leia.
Alterações desta política
Quando as nossas práticas mudarem, atualizaremos esta política e a respectiva data. Anunciaremos as alterações importantes no Site e no nosso Discord. Você pode nos pedir as versões anteriores em um ticket.