Quem é o responsável pelos teus dados
Esta política explica que dados pessoais a ASPI trata através do site aspimenu.com (o «Site»), da tua conta do ASPI MENU e do loader: para quê, durante quanto tempo, quem os recebe e que direitos tens. O responsável pelo tratamento é a ASPI, que disponibiliza o ASPI MENU e opera o Site.
Para qualquer questão sobre privacidade, incluindo o exercício dos teus direitos, podes contactar-nos abrindo um ticket no nosso servidor oficial de Discord (discord.gg/aspimenu).
Tratamos os teus dados em conformidade com o Regulamento Geral sobre a Proteção de Dados (RGPD) e com a Lei Orgânica espanhola 3/2018, de Proteção de Dados Pessoais e garantia dos direitos digitais (LOPDGDD).
Dados que nos forneces
Só pedimos aquilo de que precisamos para te prestar o serviço:
- Conta: nome de utilizador, email e palavra-passe. A palavra-passe não é guardada na nossa base de dados: é protegida pelo sistema de licenças do loader, onde é verificada sempre que inicias sessão, tanto no Site como no loader. Só a guardamos, cifrada, enquanto confirmas o teu email durante o registo, por um máximo de 30 minutos, para podermos criar a conta.
- Códigos de verificação: enviamos-te um código por email para confirmares o teu email quando te registas; para adicionares ou alterares o email da tua conta; para adicionares, alterares ou removeres o teu Discord; para ativares a verificação em dois passos; e para recuperares a palavra-passe. Só guardamos um hash cifrado do código, que expira ao fim de 10 minutos.
- Verificação em dois passos (2FA), se a ativares: a chave secreta da tua app de autenticação, guardada cifrada.
- Discord, se o adicionares: o teu ID do Discord, escrito manualmente ou obtido quando associas a tua conta do Discord (nesse caso, o Discord fornece-nos o teu ID e o teu nome de utilizador; não guardamos o teu token do Discord). Utilizamo-lo para te atribuir os cargos do nosso servidor e para te identificar no suporte.
- Encomendas: o email para o qual enviamos a key, o plano, o montante, o método de pagamento e o estado da encomenda.
- Pedidos de reset do HWID: o motivo, o texto que escreveres e as capturas de ecrã que anexares.
- Programa de resellers: o nome e os links da tua loja, o teu ID do Discord, a tua mensagem, os teus movimentos de saldo e as tuas compras de keys. Se pedires a blacklist de uma key, também o motivo, a tua explicação e as provas que anexares, que podem incluir dados dos teus compradores: nesse caso, és tu quem no-los fornece, e tens de o poder fazer legalmente.
- Suporte: o que nos contares nos tickets do Discord, onde se aplica também a política de privacidade do Discord.
Não pedimos moradas, números de telefone, documentos de identificação nem datas de nascimento.
Dados recolhidos automaticamente
- Dados técnicos da ligação: o endereço IP, o país aproximado, a identificação do navegador e do dispositivo (user-agent) e o idioma, que são registados com os inícios de sessão, as encomendas, os pagamentos e os eventos de segurança.
- Navegação no Site: registamos, com um sistema próprio e sem cookies, as páginas vistas, o percurso e os erros de cada visita, juntamente com o IP e o identificador do navegador. Ao fim de 30 dias, apagamos o IP, o identificador do navegador e o detalhe das páginas vistas; o resumo da visita, já sem esses dados, é apagado ao fim de 90 dias. Não utilizamos ferramentas de análise nem de publicidade de terceiros.
- Preços aproximados noutras moedas: enquanto a moeda estiver em «Automática», usamos o país aproximado da tua ligação (o indicado pela rede da Cloudflare) para te sugerir a tua, sem o guardar. Se escolheres uma moeda ou desativares as estimativas, essa escolha fica guardada apenas no teu navegador (Política de Cookies). Obtemos as taxas de câmbio de fontes públicas, sem lhes enviar nenhum dado teu.
- Um identificador aleatório do dispositivo (o cookie __Host-am_d), para podermos bloquear os dispositivos utilizados para fraude ou para contornar um bloqueio (Política de Cookies).
- Um registo de segurança dos eventos relevantes (inícios de sessão, alterações na conta, encomendas, pagamentos, entregas e tentativas bloqueadas), com os dados técnicos acima referidos.
- A verificação antibots do Cloudflare Turnstile no registo, no início de sessão, nos códigos por email, no pagamento, no resgate de keys e no painel interno.
- A análise da reputação do IP: para prevenir fraudes, podemos consultar um serviço especializado (vpnapi.io) sobre a localização aproximada do IP, o seu operador de rede e se se trata de uma VPN, de um proxy ou de um nó da rede TOR.
Dados do loader e do sistema de licenças
Para que a tua licença funcione, o loader e o sistema de licenças tratam o teu nome de utilizador e a tua palavra-passe (protegida), o estado e a data de expiração da tua licença, as keys que resgatas, o identificador do teu computador (HWID), juntamente com o modelo do processador e da placa gráfica, e os dados técnicos dos inícios de sessão no loader, como a data e o endereço IP. O Site consulta esses dados para te mostrar a tua licença e o teu computador, e para processar os resets do HWID.
Se a tua key foi vendida por um reseller, esse reseller pode ver se foi resgatada, quando e com que nome de utilizador, para gerir a venda e eventuais fraudes.
Para que utilizamos os teus dados e com que fundamento jurídico
- Criar e gerir a tua conta e a tua licença, entregar-te as keys, processar os resets do HWID, gerir o programa de resellers e prestar-te suporte: a execução do contrato (artigo 6.º, n.º 1, alínea b), do RGPD).
- Enviar-te os emails necessários (códigos, confirmações de encomenda, entregas e avisos sobre a tua conta e a tua licença): a execução do contrato.
- Conservar os registos contabilísticos e fiscais das vendas: o cumprimento de uma obrigação jurídica (artigo 6.º, n.º 1, alínea c), do RGPD).
- Proteger o Site, o Software e os nossos clientes contra fraudes, abusos e ataques (Turnstile, limites de pedidos, análise do IP, registo de segurança e bloqueio de contas, emails, dispositivos e computadores) e fazer cumprir os nossos Termos, incluindo a blacklist: o nosso interesse legítimo (artigo 6.º, n.º 1, alínea f), do RGPD).
- Defendermo-nos de estornos e reclamações com as provas da encomenda, da entrega e da utilização: o nosso interesse legítimo.
- Melhorar o Site com estatísticas de navegação próprias e sem cookies: o nosso interesse legítimo.
- Atribuir-te os cargos do nosso servidor de Discord quando associas a tua conta: o teu consentimento (artigo 6.º, n.º 1, alínea a), do RGPD), que podes retirar desassociando o Discord na tua conta.
Não tomamos decisões baseadas exclusivamente em tratamentos automatizados que produzam efeitos na tua esfera jurídica ou que te afetem de forma similar. Os controlos automáticos podem deixar uma encomenda ou um pedido em análise, mas decisões como a blacklist são tomadas por uma pessoa da equipa.
Quem recebe os teus dados
Não vendemos nem alugamos dados pessoais. Só os partilhamos com quem precisa deles para prestar o serviço:
- Stripe (pagamentos com cartão, Apple Pay, Google Pay e PayPal, e os outros métodos disponíveis no formulário de pagamento, como Klarna, Amazon Pay, Revolut Pay ou Bizum): trata os dados do teu cartão nos seus próprios sistemas; nós só recebemos dados como a marca, o tipo, os quatro últimos dígitos e o país do cartão. Se pagares com Apple Pay, Google Pay ou um desses outros métodos, intervém também o respetivo fornecedor (por exemplo, a Apple, a Google, a Klarna ou a Amazon), que recebe os dados necessários para o pagamento.
- PayPal (através da Stripe): quando pagas com PayPal, o pagamento é processado pela Stripe; o PayPal fornece-lhe o teu nome e o email da tua conta PayPal, que recebemos para associar o pagamento à tua encomenda.
- NOWPayments (criptomoedas): recebe o número da encomenda e o montante para gerar a fatura de pagamento.
- Infraestrutura partilhada da ASPI: a ASPI opera também a loja aspishop.cc, e algumas notificações de pagamento de criptomoedas, bem como o envio de emails, passam por sistemas que a ASPI partilha entre as suas lojas. Por isso, os nossos emails podem chegar-te a partir de um endereço do domínio aspishop.cc. Trata-se de um tratamento interno da ASPI e não implica a comunicação dos teus dados a terceiros.
- Brevo (envio de emails, empresa da União Europeia): trata o teu email e o conteúdo dos emails que te enviamos.
- Cloudflare (rede de distribuição, segurança, Turnstile e armazenamento de ficheiros): todo o tráfego do Site passa pela sua rede, e guarda num armazenamento privado as imagens que carregas, como as capturas de ecrã dos resets do HWID.
- O fornecedor do sistema de licenças e do loader: trata os dados da secção 4 para que possas iniciar sessão e utilizar a tua licença.
- Discord: se associares a tua conta, para confirmar quem és e atribuir-te os cargos do nosso servidor; e os tickets de suporte, que são geridos no Discord.
- vpnapi.io (reputação do IP): recebe apenas endereços IP, para prevenir fraudes.
- As autoridades e os tribunais, apenas quando a lei nos obrigue.
Transferências internacionais
Alguns destes fornecedores estão estabelecidos fora do Espaço Económico Europeu ou têm aí os seus sistemas, como a Stripe, o PayPal, a Apple, a Google, a Amazon, a Cloudflare e o Discord. Nesses casos, as transferências baseiam-se numa decisão de adequação da Comissão Europeia (incluindo o Quadro de Privacidade de Dados UE-EUA, quando o fornecedor tiver aderido a ele) ou, na sua falta, nas cláusulas contratuais-tipo aprovadas pela Comissão Europeia. A Brevo é uma empresa da União Europeia, e a nossa base de dados está no nosso próprio servidor, na União Europeia.
Durante quanto tempo conservamos os teus dados
- Encomendas, pagamentos e dados de faturação: 6 anos, por força das obrigações comerciais e fiscais.
- Conta: enquanto existir. Se a eliminares, apagamos ou anonimizamos os respetivos dados, exceto os que tenhamos de conservar por lei ou para nos defendermos de reclamações e os necessários para manter uma blacklist ativa.
- Sessões: até terminares a sessão ou até esta expirar (24 horas, ou 30 dias se escolheres «Lembrar-me»).
- Códigos enviados por email: até serem utilizados ou expirarem (10 minutos), e no máximo mais uma hora. Registos de conta com o email por confirmar: 30 minutos.
- Registos de segurança, de pagamentos e das ações da equipa: 2 anos. Registos de entregas, de resellers e do HWID: 1 ano. Registos de inícios de sessão e técnicos: 6 meses.
- Notificações das plataformas de pagamento: 6 meses.
- Navegação: o IP, o identificador do navegador e as páginas vistas, 30 dias; o resumo da visita, já sem esses dados, 90 dias.
- Capturas de ecrã e provas dos pedidos (resets do HWID, blacklist e disputas): enquanto forem necessárias para resolver o pedido e para nos defendermos de reclamações relacionadas.
- Bloqueios e blacklist: enquanto estiverem ativos.
- Keys entregues: cifradas, juntamente com a respetiva encomenda, para te podermos mostrar a tua compra e responder a pedidos de garantia.
- Cópias de segurança cifradas da base de dados: até 30 dias.
Como protegemos os teus dados
Todo o tráfego circula cifrado (TLS). O nosso servidor não tem portas abertas à internet: só é possível chegar até ele através de um túnel cifrado da Cloudflare. As keys, as chaves da 2FA e outros dados sensíveis são guardados cifrados (AES-256-GCM); os códigos e os dados usados em pesquisas, apenas como hashes criptográficos; e as sessões usam cookies seguros e HttpOnly. O acesso ao painel interno está limitado à equipa, com autenticação adicional, e as ações aí realizadas ficam registadas. Revemos e atualizamos estas medidas ao longo do tempo.
Se ocorrer uma violação de segurança que represente um risco para os teus dados, atuaremos conforme exige o RGPD, notificando a autoridade de controlo e, quando aplicável, também a ti.
Os teus direitos
Podes, a qualquer momento e gratuitamente, aceder aos teus dados, retificá-los, pedir que os apaguemos, limitar determinados tratamentos ou opor-te a eles, pedir uma cópia num formato portável e retirar o consentimento que tenhas dado.
Para exerceres qualquer um destes direitos, abre um ticket no nosso Discord e indica o que pretendes. Antes de agirmos, podemos pedir-te que proves que a conta é tua (por exemplo, com um código enviado para o email dessa conta). Respondemos no prazo de um mês, que pode ser prorrogado por mais dois meses nos casos complexos; se isso acontecer, informamos-te. Tem em conta que temos de conservar os dados sujeitos a obrigações legais, como a faturação das encomendas, mesmo que elimines a tua conta.
Se considerares que não tratamos corretamente os teus dados, podes apresentar uma reclamação junto de uma autoridade de controlo; em Espanha, a Agência Espanhola de Proteção de Dados (www.aepd.es).
Menores de idade
O Site e o ASPI MENU destinam-se apenas a maiores de 18 anos. Não tratamos conscientemente dados de menores de 14 anos, a idade de consentimento digital em Espanha; se descobrirmos que nos foram fornecidos, serão eliminados.
Comunicações
Não enviamos publicidade nem newsletters. Os emails que te enviamos são os necessários para a tua conta, as tuas encomendas e a tua licença. As novidades do ASPI MENU (atualizações, promoções e reposições de stock) são publicadas no nosso Discord.
Links para outros serviços
O Site contém links para serviços de terceiros, como o nosso servidor de Discord e as páginas dos prestadores de pagamento. Quando estás num deles, aplica-se a respetiva política de privacidade, que te recomendamos que leias.
Alterações a esta política
Quando as nossas práticas mudarem, atualizaremos esta política e a respetiva data. Anunciaremos as alterações importantes no Site e no nosso Discord. Podes pedir-nos as versões anteriores num ticket.