Política de privacidad

1. Quiénes somos (responsable del tratamiento)

Este sitio web (y servicios relacionados) está operado por ELSOUL LABO B.V. (Ámsterdam, Países Bajos) ("nosotros", "nuestro").

Cámara de Comercio (KvK) número: 80297625
Contacto de privacidad: [email protected]

No estamos comprendidos en las categorías de organizaciones para las que el nombramiento de un Oficial de Protección de Datos (DPO) es obligatorio en virtud del artículo 37 del RGPD. Reevaluamos esta evaluación anualmente con arreglo al artículo 37 1).

2. Alcance de esta política

Esta política se aplica cuando:

navegas por nuestros sitios web públicos sin iniciar sesión, y
usas funciones para miembros que requieren autenticación (por ejemplo, paneles ERPC / características de cuenta).

3. Datos que tratamos

En páginas públicas, no usamos herramientas de análisis como Google Analytics, etiquetas publicitarias ni cookies para seguimiento del comportamiento.

Sin embargo, para proporcionar el sitio web, proveedores de infraestructura como proveedores de alojamiento/CDN pueden procesar registros de acceso técnico para la seguridad y la respuesta a incidentes, tales como:

Dirección IP y agente de usuario (navegador/SO, etc.)
timestamp, URL solicitado, referer
estado de respuesta y metadatos relacionados con la seguridad

Utilizamos Cloudflare como nuestro proveedor de alojamiento y CDN, pero no utilizamos los productos conductual-analíticos de Cloudflare. El papel de Cloudflare se limita a la operación de infraestructura; el seguimiento conductual no es parte de ese alcance.

3.2 Contacto

Si nos contacta por email, tratamos la información que proporciona (como su dirección de email y su mensaje) para responder.

Si usted crea una cuenta o accede (por ejemplo, a través de Discord), podemos procesar lo siguiente para proporcionar el servicio:

identificadores de cuenta (por ejemplo, dirección de email, ID de usuario de Discord, nombre de usuario)
información de autenticación/sesión (por ejemplo, tokens, claves de API)
configuración de servicio y uso necesario para proporcionar el servicio (por ejemplo, plan, estado de suscripción, IPs permitidos, límite de tasa y registros de prevención de abusos)
historial de soporte y comunicaciones

Análisis de uso (con soporte paral cliente y calidad de servicio)

Propósito: Para mejorar la calidad del servicio y proporcionar asistencia al cliente, podemos recopilar registros de navegación de páginas, uso de características y eventos de interacción realizados por usted mientras se ha iniciado sesión en los servicios miembros, y analizarlos internamente.

Base legal: Article 6(1)(f) GDPR — legitimate interests followed by us in providing reliable customer support and improving the service. Hemos realizado una evaluación de intereses legítimos (LIA) que equilibra estos intereses contra sus derechos y libertades; la LIA está disponible bajo petición.

Lo que recopilamos

Transiciones de páginas (carriles de navegación de dashboards, normalizados para eliminar identificadores de recursos, por ejemplo. /user/baremetal/:id no /user/baremetal/<actual-id>)
Categorías de uso de funciones (gestión de recursos, cambios de configuración, autenticación, etc. — lista completa mantenida junto a esta cláusula)
Identificadores de recursos internos (por ejemplo, baremetal/VPS/RPC ID de instancia) cuando realiza una acción sobre un recurso específico, retenido como seudónimos internos para el mismo período de retención como eventos de página-transición
Funciones de operación
Familia del dispositivo + versión principal, familia del navegador + versión principal, y locale
direcciones IP, almacenadas sólo como un hachón salado (la sal nunca se gira y se mantiene como un secreto de nivel 1)

Lo que NO recopilamos:

Órganos de solicitud
Buscar cadenas de búsqueda
Claves de API o tokens de autenticación
Dirección IP en bruto

Recipientes / procesadores: Cloudflare, Inc. (Estados Unidos) actúa como nuestro procesador de datos para el almacenamiento y tratamiento de estos registros, bajo un Acuerdo de Procesamiento de Datos y Cláusulas Contractuales de la UE. A Transfer Impact Assessment (TIA) is documented for this transfer. Véase la sección 7 para más detalles sobre las transferencias internacionales.

No automatizada la toma de decisiones con efecto legal o igualmente significativo: Podemos utilizar análisis asistidos por AI para resumir patrones de comportamiento para el personal de soporte interno, pero no se toma ninguna decisión automatizada que tenga efecto legal en usted o que le afecte de manera significativa (artículo 22 del RGPD).

Retención: Los registros recogidos a tal efecto se eliminan en un plazo de 30 días como norma (véase la sección 8).

Derecho a oponerse: Usted puede oponerse a este tratamiento en cualquier momento bajo el Artículo 21 GDPR contactando [email protected]. Dejaremos de procesar sus datos con este fin a menos que demuestremos motivos legítimos que anulan sus derechos.

Derecho a la eliminación: Tras una solicitud de supresión en virtud del artículo 17, eliminamos todos los eventos, sesiones y estado de presencia asociados con usted. Retenemos un registro pseudonymizado (HMAC-SHA256 de su identificador de usuario con una clave separada) en nuestro registro de auditoría por hasta 12 meses con arreglo al artículo 6(1)(f) para fines de seguridad y rendición de cuentas. Este registro seudónimo sigue siendo datos personales en el sentido del párrafo 1 del artículo 4 del RGPD.

Evaluación del impacto en la protección de datos: Se ha completado un DPIA para este tratamiento (artículo 35 del RGPD). Está disponible bajo petición [email protected].

Estado de actividad: Este gasoducto de análisis de uso está actualmente activo en nuestro entorno de estadificación solamente. La activación de la producción está cerrada al final de la documentación de Fase 0 (DPIA / LIA / ROPA) y una voltereta de características, en una línea de tiempo independiente de la fecha de publicación de esta Política de Privacidad. La publicación de esta versión de Política de Privacidad constituye nuestra información del artículo 13 del RGPD para el tratamiento contemplado.

3.4 Pagos (Stripe)

Los pagos de los planes pagados son procesados por Stripe. No almacenamos los detalles de la tarjeta de pago.

Stripe trata datos personales relacionados con el pago como un responsable del tratamiento independiente. En la medida necesaria para la facturación y la gestión de contratos, podemos recibir información de Stripe como ID de cliente, estado de suscripción, facturas/recibos, y metadatos de pago.

4. Propósitos y bases jurídicas

Tratamos datos personales sólo cuando tenemos una base legal bajo las leyes aplicables (incluyendo el RGPD), tales como:

Contrato: prestación de servicios a los miembros, gestión de cuentas y soporte
Intereses legítimos: operar y mantener nuestros sitios web/servicios, seguridad, prevención de fraude/abuso, solución de problemas
Obligación legal: contabilidad y cumplimiento de impuestos, y otros requisitos legales
Consentimiento: comunicaciones opcionales (por ejemplo, marketing), cuando proceda (puede retirar el consentimiento en cualquier momento)

5. Cookies y tecnologías similares

Páginas públicas: nosotros mismos no usamos cookies para análisis/publicidad.
Características de los miembros: utilizamos cookies estrictamente necesarias (por ejemplo, sesiones) para mantener su sesión. Desactivarlos puede romper alguna funcionalidad.
Servicios externos: Stripe y Discord pueden usar sus propias cookies/tecnologías (fuera de nuestro control).

6. Compartir y procesar

No vendemos datos personales.

Podemos compartir datos personales con proveedores de servicios (por ejemplo, alojamiento/infraestructura (Cloudflare, Inc.), envío de email, pagos (Stripe), autenticación (Discord)) en la medida necesaria. Celebramos acuerdos de tratamiento de datos (ADP) con esos proveedores de conformidad con las leyes aplicables.

7. Transferencias internacionales

Estamos basados en el Espacio Económico Europeo (EEE), pero nuestros proveedores de servicios (por ejemplo, Stripe, Discord) e infraestructuras pueden implicar tratamiento fuera del EEE (por ejemplo, Estados Unidos).

En tales casos, utilizamos salvaguardias adecuadas como las Cláusulas Contractuales Tipo (CCE) y minimizamos los datos transferidos. No utilizamos proveedores de servicios para transferir o almacenar intencionalmente datos personales en jurisdicciones consideradas de alto riesgo.

Para el nuevo tratamiento de análisis de uso descrito en Sección 3.3, nuestro procesador es Cloudflare, Inc. (con sede en los Estados Unidos). Aunque Cloudflare proporciona infraestructura de bordes de registro de la UE, el acceso de los padres de los Estados Unidos a la empresa en virtud de la legislación estadounidense aplicable (por ejemplo, Ley CLOUD) se considera una transferencia internacional.

Algunos tratamiento implica transferencia a los Estados Unidos (Cloudflare). Esas transferencias están comprendidas en la decisión relativa a la idoneidad del Marco de Privacidad de Datos entre la UE y los Estados Unidos (decisión de aplicación de la Comisión) 2023/1795 de 10 de julio de 2023) y además protegido por las Cláusulas Contractuales Tipo. Confiamos en el 2021 de la Comisión Europea/914 Cláusulas contractuales estándar, Módulo 2 (controlador-a-procesador), incorporadas bajo la adición de tratamiento de datos de Cloudflare, como mecanismo primario para esta transferencia, con la decisión 2023 del Marco de privacidad de datos UE-Estados Unidos como una red de seguridad secundaria. Hemos realizado una evaluación del impacto de transferencia (TIA) que documenta medidas técnicas suplementarias (encriptación en reposo y en tránsito, auditoría de acceso, no acceso público a baldes).

8. Retención

Mantenemos datos personales sólo durante el tiempo que sea necesario para los fines descritos anteriormente:

registros técnicos: retenidos por un período limitado para la seguridad/resolución de problemas
datos de la cuenta: mantenidos mientras su cuenta está activa; eliminados o anonimizados cuando proceda después del cierre
contabilidad/facturación: retenido durante el período requerido por la ley neerlandesa (generalmente 7 años), etc.
Registros de análisis de uso (Sección) 3.3): borrado dentro de 30 días como regla.
Resúmenes diarios de uso agregar (Sección) 3.3): retenido hasta 90 días, utilizado para el análisis de tendencias internas.
Registros de auditoría (recordes de solicitudes de eliminación y auditoría de acceso; identificadores de usuario almacenados como seudónimos HMAC — datos personales seudónimos, no anonimizados): retenidos hasta 12 meses (interés legítimo en virtud del artículo 6(1)(f) del RGPD).
Cuchara de inspección de cola de última generación (Sección 3.3): retenido hasta 7 días, el acceso restringido a los administradores designados.

9. Sus derechos

Dependiendo de su ubicación y de la ley aplicable (incluido el RGPD), puede tener derecho a solicitar:

acceso, rectificación, borrado
restricción del tratamiento, objeción
portabilidad de datos
retiro del consentimiento (cuando el tratamiento se basa en el consentimiento)

Para ejercer sus derechos, contáctanos en [email protected]. También tiene derecho a presentar una denuncia ante la autoridad de supervisión neerlandesa (Autoriteit Persoonsgegevens) o su autoridad local.

No llevamos a cabo toma de decisiones automatizada o elaboración de perfiles que produzca efectos legales o igualmente significativos en usted.

10. Cambios

Podemos actualizar esta política de vez en cuando publicando una nueva versión en esta página.

Última actualización: 2026-05-10