Política de privacidad

§1. Introducción y datos del Administrador

1. La presente Política de Privacidad establece las normas del tratamiento de datos personales por parte de CYBERMONKEY SP. Z O.O., con domicilio social en Varsovia, en la dirección: al. Jana Pawła II 43A/37B, 01-001 Warszawa, Polonia, inscrita en el Registro de Empresarios del Registro Judicial Nacional llevado por el Sąd Rejonowy dla m.st. Warszawy w Warszawie, XII Wydział Gospodarczy Krajowego Rejestru Sądowego, bajo el número KRS: 0000911855, NIP: 7441827778, REGON: 389514743, con un capital social de 5 000,00 zł (en adelante: «Administrador»), en relación con la utilización por parte de los Usuarios de los servicios ofrecidos en el sitio web mchost.pl (en adelante: «Sitio Web»).

2. El Administrador vela por la protección de la privacidad de los Usuarios del Sitio Web y adopta las medidas necesarias con el fin de garantizar la seguridad de los datos personales. Las actuaciones del Administrador son conformes con las disposiciones vigentes del derecho de la Unión y nacional, en particular con el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (en adelante: «RGPD»), con la Ley de 10 de mayo de 2018 sobre la protección de datos personales (ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych, en adelante: «Ley») y con la Ley de 12 de julio de 2024 - Derecho de las comunicaciones electrónicas (ustawa z dnia 12 lipca 2024 r. - Prawo komunikacji elektronicznej, en adelante: «PKE»).

3. El Administrador no ha designado un Delegado de Protección de Datos. En asuntos relacionados con el tratamiento de datos, rogamos ponerse en contacto en la dirección de correo electrónico: [email protected] o por escrito a la dirección del domicilio social de la Sociedad.

§2. Definiciones

Los términos utilizados en la Política significan:

1. Administrador - CYBERMONKEY SP. Z O.O., a la que se refiere el §1.

2. Sitio Web - el sitio web disponible en la dirección https://mchost.pl.

3. Usuario - toda persona física que utilice el Sitio Web, independientemente de si posee una Cuenta de cliente en el sentido del Reglamento.

4. Cliente - el Usuario que ha celebrado con el Administrador un contrato de prestación de Servicios en las condiciones del Reglamento.

5. Jugador - un tercero que se conecta al servidor de juego alojado por el Cliente en el marco del Servicio; con respecto a los datos personales de los Jugadores, el Administrador es el Cliente, y el Administrador actúa como encargado del tratamiento.

6. Servicio - el servicio prestado por vía electrónica por el Administrador a favor del Cliente, en particular el alojamiento de un servidor de juego, en las condiciones del Reglamento.

7. Reglamento - el Reglamento de prestación de servicios disponible en el Sitio Web.

8. Los demás términos tienen el significado que se les atribuye en el RGPD, la PKE y en el Reglamento.

§3. Ámbito de aplicación de la Política

1. La presente Política se refiere a los datos personales tratados por el Administrador como responsable del tratamiento de datos en relación con la gestión del Sitio Web y la prestación de Servicios a favor de los Clientes (datos de contacto, de facturación, datos de la Cuenta de cliente).

2. En el ámbito de los datos personales de los Jugadores que se conectan al servidor del Cliente (en particular, direcciones IP, identificadores, registros de actividad, estadísticas de actividad), el responsable del tratamiento de estos datos es el Cliente (propietario del servidor), y el Administrador actúa como encargado del tratamiento (procesador) sobre la base de un contrato de encargo del tratamiento (DPA - Data Processing Agreement).

   Excepción - variante doméstica: Si el Cliente declara que el servidor está destinado exclusivamente a personas allegadas sin fines comerciales (variante doméstica privada) y que no recopilará datos de los Jugadores, la Política en el ámbito del RGPD no se aplica frente a los Jugadores. En dicha variante:

   • el Cliente puede acogerse a la excepción del considerando 18 del RGPD (actividades personales y domésticas),
   • pero el Administrador sigue estando obligado a garantizar la seguridad de la infraestructura y la capacidad de respaldar los derechos de las personas si los datos llegan a recopilarse efectivamente.

   Rol del Encargado del tratamiento independientemente de la variante: El Administrador está obligado (sobre la base del art. 28 del RGPD y del DPA) a:

   • actuar únicamente siguiendo instrucciones del Administrador,
   • garantizar las medidas del art. 32 del RGPD (cifrado, monitorización, copias de seguridad),
   • notificar al Administrador toda violación de la seguridad de los datos constatada sin dilación indebida (a más tardar en 48 horas),
   • respaldar los derechos de las personas (acceso, supresión, portabilidad de los datos),
   • llevar un registro de todas las categorías de actividades de tratamiento,
   • permitir la auditoría y el control del Administrador (sin restricciones de veto y sin límite de una auditoría cada 12 meses),
   • mantener subencargados del tratamiento (exigir un contrato con las mismas obligaciones del art. 28, apdo. 4 del RGPD),
   • tras la finalización del Servicio: devolver o suprimir todos los datos (incluidas las copias de seguridad) o mantener su conservación exclusivamente sobre la base de la ley.

   Las condiciones detalladas se determinan en el Anexo n.º 2 del Reglamento (DPA).

3. Los Jugadores cuyos datos sean tratados en el marco del servidor del Cliente pueden ejercer sus derechos directamente frente al Cliente como responsable del tratamiento de sus datos. El Administrador no responde del cumplimiento de las obligaciones de información del Cliente frente a los Jugadores.

4. Servicios dirigidos a niños y consentimiento del representante:

   • a) dependiendo de la segmentación del mercado, el Servicio puede estar disponible para niños menores de 16 años (Polonia, Alemania, Países Bajos, Suecia) o de 14 años (España), de conformidad con el art. 8 del RGPD y las disposiciones nacionales,
   • b) si un tratamiento concreto se basa en el consentimiento del niño (art. 6, apdo. 1, letra a del RGPD), y el niño no ha alcanzado la edad correspondiente a su Estado miembro, el Administrador exige el consentimiento del titular de la patria potestad o tutela (padre, madre, tutor),
   • c) el Administrador no recopila automáticamente la fecha de nacimiento del Usuario, pero puede solicitar una declaración de edad o de la edad del Usuario previa solicitud, y no ofrecerá por defecto servicios de marketing o telemetría sin la verificación previa y el consentimiento del representante,
   • d) el Administrador no basa la limitación de la capacidad contractual en el umbral del art. 8 del RGPD; la edad de consentimiento para un tratamiento determinado es independiente de la capacidad para celebrar el Contrato, la cual se rige por el derecho nacional (por ejemplo, el Código Civil),
   • e) si el Servicio está dirigido a niños, la información se proporcionará en un lenguaje, formato y contenido comprensibles para el niño, con una opción separada y no marcada por defecto para cada consentimiento de marketing o analítica, un procedimiento de otorgamiento del consentimiento por parte del representante (por ejemplo, mediante correo electrónico con código de verificación), y el requisito del consentimiento del representante se indicará expresamente antes de la finalización.

§4. Tipos de datos personales tratados

El Administrador trata las siguientes categorías de datos personales de los Usuarios del Sitio Web:

1. Datos identificativos y de contacto (por ejemplo, nombre y apellidos, nombre de Usuario, dirección de correo electrónico, número de teléfono - en caso de verificación).

2. Datos de facturación (por ejemplo, datos para la factura, dirección de facturación, número de IVA de la UE, país de facturación, identificador de la transacción, divisa e importe del pedido).

3. Datos relativos al uso del Sitio Web: dirección IP, información sobre el navegador y el sistema (User-Agent), datos técnicos del dispositivo e información contenida en los archivos cookies y en el almacenamiento local del navegador (localStorage).

4. Datos de inicio de sesión a través de proveedores de identidad externos (Google, Discord, Microsoft), si el Usuario elige este método de inicio de sesión: identificador del Usuario en el proveedor, dirección de correo electrónico, nombre (seudónimo) y - si el proveedor lo facilita - avatar.

5. Datos contenidos en las solicitudes de soporte técnico y en la correspondencia dirigida al Administrador, incluido el contenido de los mensajes intercambiados con el asistente basado en inteligencia artificial y los archivos adjuntos añadidos por el Usuario.

6. Datos relativos a la autenticación y la seguridad de la Cuenta de cliente: información sobre sesiones, tokens de acceso, configuración de la autenticación de dos factores (2FA), información sobre inicios de sesión.

7. Datos relacionados con el Servicio: identificadores de los Servicios solicitados y de los servidores de juego, parámetros de configuración y archivos alojados por el Cliente en el servidor de juego.

8. El Administrador no recopila actualmente datos sobre la actividad del Usuario en el Sitio Web (tales como clics, ruta de navegación o tiempo de permanencia en la página) ni datos sobre la ubicación aproximada. Estos datos solo podrían recopilarse tras la activación de las herramientas analíticas a las que se refiere el §5, apdo. 5, y exclusivamente sobre la base del consentimiento del Usuario.

§5. Fines y bases jurídicas del tratamiento

1. Prestación de los Servicios disponibles en el Sitio Web - art. 6, apdo. 1, letra b del RGPD (ejecución de un contrato).

2. Atención de consultas y solicitudes presentadas a través de los formularios de contacto - art. 6, apdo. 1, letras b y f del RGPD.

3. Garantía de la seguridad de los datos y de la continuidad del funcionamiento del Sitio Web, incluida la prevención de abusos - art. 6, apdo. 1, letra f del RGPD (interés legítimo del Administrador).

   Base y ponderación: El Administrador ha realizado una evaluación de ponderación de intereses en el sentido del art. 6, apdo. 1, letra f del RGPD. El interés de MCHost en prevenir fraudes de registro, ataques, abusos del Servicio y violaciones de la seguridad de la infraestructura se ha considerado legítimo y que no vulnera de forma desproporcionada los derechos del Usuario, especialmente teniendo en cuenta que el tratamiento es temporal (en el momento del registro) y puede ser revisado por un ser humano a solicitud del Usuario.

   Datos y destinatarios: Al crear una Cuenta de cliente, el Administrador transmite:

   • la dirección de correo electrónico a un proveedor externo de evaluación de riesgos (AbuseHub) con el fin de identificar direcciones temporales,
   • la dirección IP con el fin de identificar fuentes conocidas de ataques, proxy, VPN e incoherencias geográficas.

   AbuseHub es un Encargado del tratamiento (procesador) sobre la base de un contrato de encargo del tratamiento celebrado por el Administrador.

   Resultado e intervención: En caso de una puntuación alta en la evaluación, el registro se rechaza temporalmente. El Usuario recibe una explicación del motivo (por ejemplo, «dirección de correo electrónico temporal» o «IP de red VPN») y puede:

   • reanudar el registro desde otra dirección o red,
   • presentar una oposición y solicitar la revisión por parte de un empleado (véase el §11, apdo. 7),
   • ponerse en contacto con el Administrador en la dirección: [email protected].

   Cloudflare Inc. se utiliza para proteger el Sitio Web contra ataques y verificar el tráfico (Cloudflare Turnstile, protección anti-DDoS) - herramienta sin cookies (cookieless) en el ámbito de las funciones de seguridad.

4. Actividades de marketing:

   • a) mercadotecnia directa (envío de ofertas promocionales, comunicaciones comerciales) - art. 6, apdo. 1, letra a del RGPD (consentimiento),
   • b) información sobre actualizaciones del producto - clasificada según el contenido real del mensaje:
     • si contiene exclusivamente información sobre cambios en el Servicio y no contiene promociones - se basa en el art. 6, apdo. 1, letra b del RGPD (Contrato),
     • si contiene materiales promocionales - se clasifica como mercadotecnia directa (consentimiento, art. 6, apdo. 1, letra a del RGPD),
   • c) notificaciones sobre facturación y seguridad - art. 6, apdo. 1, letra b del RGPD (Contrato, no requieren consentimiento).

5. Análisis del tráfico en el Sitio Web - las herramientas analíticas no están activadas actualmente. El Administrador planea implementar dichas herramientas; su activación tendrá lugar exclusivamente tras el otorgamiento del consentimiento por parte del Usuario en el banner de cookies y tras la actualización de la presente Política. Una vez activadas, la base del tratamiento será: en el ámbito de las herramientas que utilizan cookies (por ejemplo, Google Analytics) - el art. 6, apdo. 1, letra a del RGPD (consentimiento) y el art. 400 de la PKE (consentimiento para el almacenamiento de información en el equipo terminal); en el ámbito de las herramientas sin cookies (cookieless) que no recopilan datos personales (por ejemplo, Cloudflare Web Analytics) - el art. 6, apdo. 1, letra f del RGPD (interés legítimo - medición del rendimiento del Sitio Web).

6. Atención de solicitudes de soporte técnico mediante el uso de un asistente de IA - el contenido de las solicitudes de soporte técnico y de los mensajes del Usuario se transmite a un microservicio externo basado en inteligencia artificial, el cual prepara propuestas de respuesta. Las respuestas generadas automáticamente pueden publicarse en la solicitud sin intervención humana y se marcan como generadas automáticamente. El Usuario puede solicitar en cualquier momento que la solicitud sea atendida por un empleado del Administrador.

   Este tratamiento no constituye una decisión basada únicamente en el tratamiento automatizado en el sentido del art. 22 del RGPD.

   Base jurídica: art. 6, apdo. 1, letra b del RGPD (ejecución de un contrato) y art. 6, apdo. 1, letra f del RGPD (interés legítimo - atención eficiente de las solicitudes).

7. Verificación del número de IVA de la UE - comprobación del número de IVA en el sistema VIES gestionado por la Comisión Europea con el fin de determinar el tipo impositivo correcto - art. 6, apdo. 1, letra c del RGPD.

8. Cumplimiento de obligaciones derivadas de las disposiciones legales (entre otras, fiscales y contables) - art. 6, apdo. 1, letra c del RGPD.

9. Formulación, ejercicio y defensa de reclamaciones - art. 6, apdo. 1, letra f del RGPD.

§6. Elaboración de perfiles y decisiones automatizadas

1. El Administrador no realiza actualmente la elaboración de perfiles de los Usuarios con fines de marketing. El Administrador planea implementar dicha elaboración de perfiles; su activación irá precedida de la actualización de la presente Política y será posible exclusivamente tras la activación de las herramientas analíticas a las que se refiere el §5, apdo. 5, es decir, tras el otorgamiento del consentimiento por parte del Usuario. Una vez activada, la elaboración de perfiles se basará en el art. 6, apdo. 1, letra f del RGPD (interés legítimo - marketing de productos propios), en los datos sobre la actividad del Usuario en el Sitio Web, y consistirá en agrupar a los Usuarios según la similitud de preferencias con el fin de presentar ofertas personalizadas. La elaboración de perfiles no producirá efectos jurídicos en el Usuario ni le afectará significativamente de modo similar.

2. El Administrador no adopta frente al Usuario decisiones basadas únicamente en el tratamiento automatizado que produzcan efectos jurídicos en él o le afecten significativamente de modo similar (art. 22 del RGPD), a excepción de los siguientes procedimientos:

   a) Reglas automáticas de detección de abusos (art. 22, apdo. 2, letra d del RGPD - si resulta aplicable):

   • en el momento del registro, el Administrador aplica una evaluación automatizada de riesgos (dirección de correo electrónico, dirección IP - véase el §5, apdo. 3),
   • en caso de una puntuación alta, el registro se rechaza temporalmente con explicación del motivo,
   • el Usuario puede reanudar el registro desde otra dirección/IP, presentar una oposición o solicitud de revisión por parte de un empleado (véase el §11, apdo. 7) o ponerse en contacto con el Administrador,
   • el empleado tiene facultad real para aprobar el registro a pesar de la puntuación alta, sobre la base de una verificación adicional,
   • el plazo de revisión es de un máximo de 5 días hábiles,
   • el registro no es un fallo jurídico definitivo en el sentido del art. 22, apdo. 1 del RGPD, sino un bloqueo temporal susceptible de modificación.

   b) Respuestas automáticas de IA en las solicitudes de soporte (§5, apdo. 6):

   • la respuesta automática es un borrador para el empleado, y no una decisión vinculante para la persona,
   • no produce efectos jurídicos; el empleado toma la decisión final o la persona solicita atención manual,
   • por consiguiente, no requiere las garantías del art. 22 del RGPD como decisión basada únicamente en el tratamiento automatizado.

3. El Usuario tiene derecho a oponerse en cualquier momento al tratamiento de sus datos con fines de mercadotecnia directa, incluida la elaboración de perfiles (art. 21, apdo. 2 del RGPD).

§7. Archivos cookies y tecnologías similares

1. El Sitio Web utiliza archivos cookies y tecnologías similares (por ejemplo, localStorage) con fines:

   • técnicos - necesarios para el funcionamiento del Sitio Web, el mantenimiento de la sesión tras iniciar sesión y el recuerdo del idioma seleccionado,
   • de seguridad - Cloudflare Turnstile,
   • analíticos - herramientas planificadas, actualmente no activadas (§5, apdo. 5).

2. Se distinguen los archivos cookies de sesión (almacenados hasta el cierre de la sesión o el abandono de la página) y persistentes (almacenados hasta la expiración de su período de validez o hasta su eliminación por parte del Usuario).

3. Los archivos cookies pueden proceder de entidades externas - actualmente de Cloudflare Inc. (Turnstile), y tras la activación de las herramientas planificadas, también de Google LLC.

4. Base jurídica para las tecnologías de equipos terminales: La base jurídica para el almacenamiento y la lectura de información en el equipo terminal del Usuario (cookies, localStorage y tecnologías similares) es el art. 399, apdos. 1–3 en relación con el art. 400 de la Ley de Comunicaciones Electrónicas (PKE).

   Excepción para tecnologías necesarias: Para las tecnologías estrictamente necesarias para la prestación de un servicio solicitado por el Usuario (por ejemplo, sesión, inicio de sesión) u operaciones técnicas de infraestructura (por ejemplo, balanceo de carga) no se requiere consentimiento de conformidad con el art. 399, apdo. 3 de la PKE. La necesidad significa que el Servicio sería imposible sin dicha tecnología y que el Usuario lo ha solicitado expresamente. Todo uso de la tecnología debe estar justificado por un fin concreto y por la ausencia de una alternativa razonable.

   Las tecnologías opcionales (analítica, marketing, seguimiento) requieren un consentimiento previo y válido de conformidad con el art. 400 de la PKE. El consentimiento se otorga a través del banner de cookies, que permite gestionar las distintas categorías sin necesidad de aceptarlas todas.

   El tratamiento ulterior de los datos personales leídos a partir de las cookies (por ejemplo, identificador de sesión, IP, User-Agent) está sujeto al RGPD:

   • art. 6, apdo. 1, letra a del RGPD (consentimiento) - para las cookies analíticas y de marketing,
   • art. 6, apdo. 1, letra b del RGPD (Contrato) - para las cookies necesarias para la prestación del Servicio,
   • art. 6, apdo. 1, letra f del RGPD (interés legítimo) - para las cookies de seguridad (por ejemplo, Turnstile).

5. Gestión de los consentimientos para las tecnologías: El Usuario puede gestionar los consentimientos mediante:

   • a) El banner de cookies en el escaparate (storefront) (mchost.pl) - disponible en la primera visita y permanentemente accesible a través del menú,
   • b) La configuración del navegador - para las cookies compatibles,
   • c) El enlace «Configuración de privacidad» en el pie de página y en la navegación (storefront y Panel) - permite volver a abrir el banner en cualquier momento sin necesidad de borrar la caché o las cookies.

   El banner de cookies contiene:

   • un botón «Rechazar opcionales» y «Aceptar todas» con igual visibilidad y peso en la interfaz,
   • la posibilidad de marcar individualmente cada categoría (functional, analytics, marketing),
   • SIN categoría uncategorized (no clasificadas) - cada tecnología debe tener una finalidad determinada.

   La primera capa tiene la forma de una barra no bloqueante sin superposición a pantalla completa, bloqueo de desplazamiento ni captura de foco. El cierre de la barra con el botón × no constituye consentimiento ni guarda una decisión; todas las tecnologías opcionales permanecen desactivadas.

   Tras la elección:

   • la decisión se guarda y almacena (no se sobrescribe automáticamente),
   • el Usuario puede cambiar la decisión en cualquier momento sin consecuencias,
   • la retirada del consentimiento detiene inmediatamente la integración correspondiente y elimina el estado local opcional disponible de dicha categoría.

   Tecnologías promocionales y localStorage:

   • las claves promocionales de localStorage (discount_modal_closed_at, discount_modal_dismissal_count, discount_modal_converted) se leen y guardan exclusivamente tras haberse otorgado el consentimiento de marketing,
   • tras la retirada del consentimiento, estas claves se eliminan de localStorage,
   • la función hasConsent() en el código comprueba la categoría concreta, y no la existencia de cualquier decisión.

   Segunda capa (lista detallada):

   • el enlace del banner dirige directamente a la sección que contiene el registro completo de cookies y localStorage (nombre, proveedor, finalidad, período de conservación), la relación de tecnologías planificadas y la explicación de cada categoría y su impacto en la funcionalidad,
   • la lista prometida está siempre disponible y actualizada.

   Panel de cliente (manage.mchost.gg):

   • el Panel utiliza exclusivamente cookies y tecnologías necesarias para la autenticación y la seguridad,
   • el Panel no muestra opciones para categorías opcionales (analytical, marketing), a menos que el Administrador decida activar dichas herramientas para el Panel - en cuyo caso la Política será actualizada.

   La desactivación de las cookies necesarias para la autenticación o la seguridad puede dificultar o imposibilitar el uso del Sitio Web.

6. Además de los archivos cookies, el Administrador almacena un token de autenticación en la memoria local del navegador (localStorage) del Usuario. El token es necesario para mantener la sesión iniciada en el Panel de cliente y se elimina tras cerrar la sesión.

Lista de cookies y tecnologías similares utilizadas actualmente

Lista de herramientas planificadas (actualmente no activadas)

Las siguientes herramientas no se utilizan actualmente. Su activación tendrá lugar tras la actualización de la presente Política y - en el ámbito que requiera consentimiento - tras su otorgamiento por parte del Usuario en el banner de cookies.

§8. Período de conservación de los datos

1. El período de conservación de los datos depende de la finalidad del tratamiento, la base jurídica, la categoría de los datos y las exigencias de la ley.

2. Regla general: Los datos se conservan durante el período necesario para la realización de la finalidad declarada, y posteriormente se suprimen o anonimizan, a menos que:

   • la ley exija una conservación ulterior (con fines fiscales, contables, judiciales),
   • el Administrador tenga un fin legítimo independiente para la conservación,
   • el Administrador haya recibido un requerimiento de «legal hold» (retención legal) por parte de una autoridad o un tribunal (en cuyo caso la conservación dura hasta que cese el supuesto).

3. Períodos concretos de conservación de los datos:

1. Reglas de prescripción y obligaciones fiscales:

   • derecho de prescripción: art. 118 del Código Civil (KC) - final del año natural (a menos que el plazo sea inferior a 2 años),
   • impuestos: art. 70 § 1 de la Ordenanza Tributaria (Ordynacja podatkowa) - 5 años desde el final del año en que venció el plazo de pago,
   • contabilidad: art. 74 de la Ley de Contabilidad (ustawa o rachunkowości) - diferentes categorías de documentos, reglas detalladas por tipo,
   • legal hold: si el Administrador recibe un requerimiento de una autoridad (policía, fiscalía, tribunal), la conservación se reanuda y se prorroga,
   • seguridad: los resultados de las auditorías de seguridad e incidentes deben conservarse durante 3 años.

2. Procedimiento de implementación de la conservación (retención):

   • el Administrador mantiene una matriz de retención aprobada por tabla y campo,
   • el cronograma de limpieza se implementa y se prueba (como mínimo 2 veces al año),
   • cada ejecución de la tarea de retención queda registrada (fecha, número de registros eliminados, errores),
   • una alerta notifica cada error o falta de ejecución,
   • el Administrador recopila pruebas de las ejecuciones y las conserva a efectos de auditoría.

3. Seudonimización de las direcciones IP en los registros (logs): Transcurridos 90 días, la dirección IP en los registros se acorta al prefijo /24 (IPv4) o /64 (IPv6). Esta operación constituye una seudonimización (reducción de la precisión), y no una anonimización. Los registros siguen siendo datos personales sujetos al RGPD y están sometidos a la totalidad de las obligaciones derivadas del reglamento.

   Los registros siguen conteniendo el identificador del usuario (user_uuid), el tipo de acción (action type), la descripción de la acción y los valores de los cambios, el User-Agent y la hora del evento (lo que permite vincularlos con otros registros), por lo que siguen siendo datos personales de conformidad con el art. 4, punto 1 del RGPD. El Administrador sigue aplicando todas las garantías del RGPD a dichos registros: acceso restringido a empleados autorizados, almacenamiento protegido contra el acceso no autorizado, obligación de supresión tras la expiración del período de retención, respaldo a los derechos de las personas (acceso, rectificación, supresión) y notificación de violaciones de seguridad.

4. Una vez transcurridos los períodos anteriores, los datos se suprimen o seudonimizan, siempre que el tratamiento ulterior no esté justificado por una obligación legal.

§9. Destinatarios de los datos y transferencias fuera del EEE

1. Los datos personales pueden ser comunicados a las siguientes categorías de destinatarios:

   Operadores de pagos:

   • DPay - con el fin de gestionar los pagos se transmiten: dirección de correo electrónico, dirección IP, información sobre el navegador (User-Agent), así como el importe y el identificador de la transacción,
   • CashBill S.A. - con el fin de gestionar los pagos se transmiten: importe, divisa e identificador de la transacción (sin la dirección de correo electrónico del Usuario).

   Seguridad y prevención de abusos:

   • AbuseHub - dirección de correo electrónico y dirección IP transmitidas al crear la Cuenta de cliente con el fin de evaluar el riesgo de abusos (art. 6, apdo. 1, letra f del RGPD),
   • Cloudflare Inc. - gestión de DNS, protección contra ataques y verificación del tráfico (Cloudflare Turnstile).

   Prestación de Servicios y atención de solicitudes:

   • Microservicio externo basado en inteligencia artificial:
     • Identificación y rol: DigitalOcean, LLC, persona jurídica registrada en los Estados Unidos de América (EE. UU.), que actúa como Encargado del tratamiento (procesador) sobre la base del art. 28 del RGPD,
     • Datos transmitidos: identificador (ID) de la solicitud, título de la solicitud, categoría, contenido de todos los mensajes públicos del usuario (no internos), registro técnico opcional (hasta 50 000 caracteres), identificadores del usuario y de la organización, idioma de la solicitud,
     • Finalidad: generación de una propuesta de respuesta asistida por IA, que puede publicarse automáticamente (si cumple el umbral de confianza [confidence]), requerir la aprobación de un empleado o servir como borrador para un ser humano,
     • Conservación en el proveedor: los datos pueden almacenarse durante un período de hasta 6 meses con fines de atención y mejora; el Administrador dispone de la facultad de solicitar la supresión de los datos en el proveedor,
     • Subencargados del tratamiento: el proveedor puede utilizar servicios intermedios en la nube (por ejemplo, Azure, AWS, GCP); la lista actualizada está disponible previa solicitud en la dirección [email protected],
     • Entrenamiento del modelo: el proveedor no puede utilizar los datos de contenido transmitidos para entrenar o perfeccionar sus modelos de IA; el Administrador exige un contrato que prohíba expresamente el entrenamiento sin un consentimiento separado por escrito,
     • Marcado en la interfaz: toda respuesta generada automáticamente en una solicitud se marca como «Asistente de IA» e incluye el aviso legal (disclaimer): «Esta respuesta ha sido generada por inteligencia artificial y puede contener imprecisiones. Un empleado la revisa antes de su aprobación definitiva.»,
     • Posibilidad de atención exclusivamente por un ser humano: el Usuario puede escribir en la solicitud: «Solicito atención por un ser humano» (o marcar la opción correspondiente en la interfaz) o ponerse en contacto en [email protected]; tras dicha solicitud, todas las respuestas posteriores para esa solicitud serán elaboradas exclusivamente por un empleado (plazo de asunción por un ser humano: máximo 72 horas desde la solicitud).
   • proveedor del panel de gestión de servidores de juegos - identificadores de los Servicios, parámetros de configuración y archivos alojados por el Cliente en el servidor de juego,
   • proveedor del servicio de correo electrónico - dirección de correo electrónico y contenido de los mensajes enviados al Usuario,
   • Amazon Web Services (AWS S3) - almacenamiento de archivos, incluidos los archivos generados en el marco de la ejecución de una solicitud de acceso a los datos.

   Obligaciones de derecho público:

   • Comisión Europea (sistema VIES) - código de país y número de IVA, con el fin de verificar el número de IVA de la UE.

   Inicio de sesión externo (exclusivamente en caso de elección de este método por parte del Usuario):

   • Google LLC, Discord Inc., Microsoft Corporation - en el ámbito necesario para autenticar al Usuario.

   Destinatarios planificados:

   • Google LLC (Google Analytics) - exclusivamente tras la activación de las herramientas analíticas a las que se refiere el §5, apdo. 5.

   Asimismo, los datos pueden transmitirse a proveedores de servicios de TI y alojamiento web (hosting), asesores jurídicos y contables y - sobre la base de las disposiciones legales - a órganos públicos autorizados.

2. Ubicación del almacenamiento y transferencias: Por regla general, los datos se almacenan en servidores situados en el territorio del Espacio Económico Europeo (EEE). No obstante, algunos proveedores de servicios (en particular, proveedores de seguridad como Cloudflare, proveedores de autenticación OAuth - Google, Microsoft, Discord, proveedores de analítica - tras la activación de Google Analytics, proveedores de almacenamiento - AWS S3) pueden tratar datos también en los Estados Unidos o en otros países fuera del EEE.

   El Administrador mantiene un registro actualizado de transferencias que contiene para cada proveedor: la persona jurídica del importador (por ejemplo, «Google LLC», no «Google»), los países de tratamiento (por ejemplo, EE. UU., Singapur), el tipo de transferencia (DPF, SCC, art. 49 del RGPD), la categoría de los datos y la fecha de la última verificación.

3. Mecanismos de transferencia: La transferencia de datos fuera del EEE se realiza garantizando las garantías adecuadas, en particular:

   • a) Data Privacy Framework (DPF) - art. 45 del RGPD: para los proveedores certificados en el Marco de Privacidad de Datos UE-EE. UU. (EU-US Data Privacy Framework, Decisión de Ejecución (UE) 2023/1795 de la Comisión, de 10 de julio de 2023), el Administrador verifica si el importador figura en la lista oficial del Departamento de Comercio de los EE. UU., si cuenta con certificación activa y si la certificación abarca la categoría de datos correspondiente; la mera marca del proveedor no acredita el DPF - la verificación se realiza por persona jurídica del importador,
   • b) Cláusulas Contractuales Tipo (SCC) - art. 46 del RGPD: para el resto de transferencias fuera del EEE, el Administrador celebra cláusulas contractuales tipo aprobadas por la Comisión Europea, realiza la evaluación de la cláusula 14 (evaluación de impacto de la transferencia - TIA) de conformidad con las Recomendaciones 01/2020 del CEPD (EROD), documenta el estado de la legislación del tercer país e implementa medidas complementarias (por ejemplo, cifrado, regionalización),
   • c) Art. 49 del RGPD - transferencia para fines excepcionales: solo en casos excepcionales (por ejemplo, protección inmediata de una persona, interés público) el Administrador puede aplicar el art. 49 del RGPD sin DPF ni SCC - pero exclusivamente por un tiempo limitado.

4. Acceso a los documentos: El Usuario puede obtener una copia de las SCC aplicadas para una transferencia concreta (expurgada en lo relativo a secretos comerciales), la lista de subencargados del tratamiento y la evaluación de impacto de la transferencia (TIA), dirigiendo una solicitud a la dirección: [email protected].

5. Todas las entidades que tratan datos por encargo del Administrador están obligadas a garantizar un nivel adecuado de protección de los datos y los tratan exclusivamente sobre la base de contratos de encargo del tratamiento conformes con el art. 28 del RGPD.

§10. Consentimiento para el tratamiento de datos

1. En determinados casos, el tratamiento se realiza sobre la base del consentimiento (por ejemplo, fines de marketing o archivos cookies distintos de los necesarios). El consentimiento se otorga mediante una acción afirmativa clara del Usuario (por ejemplo, marcar una casilla de verificación, aceptar el banner de cookies).

2. El Usuario tiene derecho a retirar su consentimiento en cualquier momento sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada. La retirada del consentimiento se efectúa poniéndose en contacto con el Administrador (§14) o modificando la configuración de los consentimientos de cookies.

3. La utilización del Sitio Web también es posible sin otorgar el consentimiento para fines opcionales (de marketing, analíticos) que no sean necesarios para la prestación de los Servicios básicos.

Requisitos para la obtención y el mantenimiento del consentimiento

1. Para cada consentimiento de mercadotecnia directa, el Administrador registra y almacena como mínimo:

   • a) el identificador y la dirección de correo electrónico del Usuario,
   • b) la finalidad - categoría concreta (marketing, actualizaciones de producto, etc.),
   • c) el momento del evento - fecha y hora UTC,
   • d) el nuevo estado del indicador (false → true, o true → false),
   • e) el estado anterior del indicador,
   • f) la versión o el hash del texto del mensaje sobre la finalidad que se mostró al Usuario,
   • g) la interfaz/canal - dónde se expresó (formulario de registro, formulario de preferencias en el Panel, banner de correo electrónico, etc.),
   • h) en caso de retirada - el momento y el canal de la retirada.

2. El estado actual del indicador (true/false) no es suficiente como prueba del consentimiento a efectos de auditoría. La prueba debe contener el evento de transición con el historial de cambio de estado.

3. El Administrador no se basa en el valor predeterminado del indicador como prueba del consentimiento. Todos los indicadores opcionales (email_marketing, email_product_updates, si son opcionales) tienen por defecto el valor false.

4. La dirección IP y el User-Agent pueden registrarse como elementos complementarios de la prueba, pero no constituyen componentes obligatorios.

§11. Derechos de los Usuarios

Al Usuario le asisten los siguientes derechos:

1. Derecho de acceso a los datos (art. 15 del RGPD).

2. Derecho de rectificación de los datos (art. 16 del RGPD).

3. Derecho de supresión de los datos - «derecho al olvido» (art. 17 del RGPD).

4. Derecho a la limitación del tratamiento (art. 18 del RGPD).

5. Derecho a la portabilidad de los datos (art. 20 del RGPD).

6. Derecho de oposición al tratamiento (art. 21 del RGPD).

7. Derecho de oposición al tratamiento a efectos de control de abusos - art. 21, apdo. 1 del RGPD. El Usuario puede oponerse en cualquier momento al tratamiento de su dirección de correo electrónico e IP a efectos de la evaluación del riesgo de abusos, dirigiendo la declaración correspondiente a la dirección [email protected]. En la oposición, el Usuario puede explicar su situación particular (por ejemplo, viaje, cambio de proveedor de VPN). El Administrador examinará la oposición en un plazo de hasta 5 días hábiles y evaluará si los intereses legítimos del Administrador siguen prevaleciendo o si la situación del Usuario justifica la modificación del resultado de la evaluación.

8. Derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento anterior.

9. Derecho a presentar una reclamación ante una autoridad de control - el Presidente de la Oficina de Protección de Datos Personales (Prezes Urzędu Ochrony Danych Osobowych) (§15).

Normas especiales para la atención de solicitudes

1. El Administrador atiende las solicitudes sin dilación indebida, a más tardar en el plazo de un mes a partir de su recepción; en caso necesario, dicho plazo podrá prorrogarse otros dos meses habida cuenta de la complejidad de la solicitud (art. 12, apdo. 3 del RGPD). El ejercicio de los derechos es, por regla general, gratuito.

2. Exportación de datos: El ejercicio del derecho de acceso a los datos y del derecho a la portabilidad de los datos se realiza en el Panel de cliente mediante la generación de un archivo con los datos. Debido a la carga de los sistemas del Administrador, el Usuario puede utilizar esta función no más de una vez cada 30 días. Esta limitación constituye una salvaguardia frente a solicitudes excesivas en el sentido del art. 12, apdo. 5 del RGPD y no excluye el derecho a presentar una solicitud por otra vía, en la dirección [email protected]. El archivo generado está disponible durante 30 días (§8, apdo. 3).

3. Solicitud de supresión de datos: La solicitud de supresión de datos está sujeta a la evaluación del Administrador en función de los supuestos del art. 17, apdo. 3 del RGPD. El Administrador examina la solicitud en el plazo indicado anteriormente e informa al Usuario sobre el modo de resolverla; en caso de denegación, junto con la justificación y la instrucción sobre el derecho a presentar una reclamación ante la autoridad de control. No están sujetos a supresión los datos cuya conservación ulterior sea necesaria para el cumplimiento de las obligaciones legales del Administrador (en particular, los datos de pedidos y pagos - §8, apdo. 3) o para la formulación, el ejercicio o la defensa de reclamaciones. La eliminación de la Cuenta de cliente no provoca la supresión de dichos datos; estos se limitan al ámbito necesario y se conservan hasta la expiración de los períodos correspondientes.

§12. Requisito de facilitar los datos

1. Facilitar los datos personales es voluntario; sin embargo, en la medida necesaria para la celebración y ejecución del contrato constituye un requisito contractual - no facilitarlos imposibilita la prestación del Servicio. Facilitar los datos con fines fiscales y contables es un requisito legal. Facilitar los datos con fines de marketing y analíticos es totalmente voluntario.

§13. Seguridad de los datos personales y violaciones de la seguridad de los datos

1. El Administrador aplica medidas técnicas y organizativas de seguridad apropiadas (art. 32 del RGPD) en función del riesgo y del alcance del tratamiento.

   Capa de aplicación y acceso:

   • cifrado de las transmisiones: TLS 1.2+ para todas las conexiones que contengan datos personales,
   • control de acceso: RBAC (role-based access control), cada empleado posee un rol autorizado,
   • autenticación de dos factores (2FA): obligatoria para todo acceso administrativo a los datos personales de los Usuarios,
   • límites de solicitudes y protección contra ataques CSRF, XSS y de fuerza bruta (brute-force),
   • copias de seguridad periódicas (como mínimo una vez al día).

   Registro de acceso del personal: El Administrador lleva un registro de acceso del personal a los datos personales que abarca todas las operaciones administrativas que revelen datos personales (visualización, edición, exportación, supresión). Cada asiento registra: el identificador y el nombre del empleado, el momento de la operación (fecha, hora UTC), el tipo de operación, el recurso, la dirección IP de origen, el resultado y el número de registros. Los asientos son inmodificables (append-only) y se almacenan en un repositorio separado y protegido.

   Expurgo de registros (redacción de logs): El Administrador aplica el expurgo (ocultación) de datos sensibles en los registros de la aplicación en todos los canales: las contraseñas, los tokens de acceso, los secretos y las credenciales nunca se registran en los logs; los números de tarjetas y los datos biométricos son objeto de ocultación.

   Otras medidas técnicas:

   • Content Security Policy (CSP) para el Panel de cliente,
   • atributo Secure para las cookies forzado en el entorno de producción,
   • eliminación automática de tokens de acceso expirados (Sanctum),
   • pruebas de restauración de copias de seguridad (como mínimo 2 veces al año, con acta de la prueba),
   • confirmación del correcto funcionamiento de 2FA para todas las operaciones administrativas.

2. Infraestructura (confirmada mediante contrato e informe de cumplimiento [compliance]): El Administrador garantiza que la infraestructura en la que se almacenan los datos (servidores, almacenamiento [storage], bases de datos) cumple con: cifrado de datos en reposo (AES-256 o equivalente), cortafuegos (firewall) y WAF, IDS/IPS para la detección de anomalías, protección anti-DDoS, monitorización ininterrumpida (24/7), pruebas de penetración anuales, Plan de Respuesta a Incidentes (Incident Response Plan) y certificación de cumplimiento del proveedor (SOC 2 Type II, ISO 27001 o equivalente). Los documentos técnicos se ponen a disposición del Usuario previa solicitud (expurgados en lo relativo a secretos comerciales).

3. En caso de una violación de la seguridad de los datos personales que pueda entrañar un riesgo para los derechos y las libertades de las personas físicas, el Administrador lo notificará al Presidente de la Oficina de Protección de Datos Personales en un plazo de 72 horas tras haber tenido constancia de la violación (art. 33 del RGPD).

4. En caso de un alto riesgo para los derechos y las libertades de los interesados, el Administrador informará también a dichas personas sin dilación indebida (art. 34 del RGPD).

5. El Administrador lleva un registro interno de violaciones de la seguridad de los datos personales, independientemente de la obligación de notificación.

§14. Contacto con el Administrador

1. Las consultas relativas al tratamiento de datos y al ejercicio de los derechos pueden dirigirse a la dirección de correo electrónico: [email protected] o por escrito a la dirección del domicilio social de la Sociedad: al. Jana Pawła II 43A/37B, 01-001 Warszawa.

§15. Reclamaciones ante la autoridad de control

1. Si el Usuario considera que el tratamiento de sus datos infringe las disposiciones del RGPD u otras disposiciones sobre protección de datos, tiene derecho a presentar una reclamación ante la autoridad de control - el Presidente de la Oficina de Protección de Datos Personales (Prezes Urzędu Ochrony Danych Osobowych), ul. Stawki 2, 00-193 Warszawa (https://uodo.gov.pl).

§16. Modificaciones de la Política de Privacidad

1. La presente Política de Privacidad puede sufrir modificaciones. La versión vigente está siempre disponible en el Sitio Web. Sobre las modificaciones sustanciales, el Administrador informará a los Usuarios por vía de correo electrónico a la dirección asignada a la Cuenta de cliente y mediante un anuncio en el Sitio Web con al menos 14 días de antelación.