Política de privacidad

1. Quiénes somos (responsable del tratamiento)

Este sitio web (y los servicios relacionados) es gestionado por ELSOUL LABO B.V. (Ámsterdam, Países Bajos) («nosotros», «nuestro»).

Número de la Cámara de Comercio (KvK): 80297625
Contacto de privacidad: [email protected]

No estamos comprendidos en las categorías de organizaciones para las que la designación de un delegado de protección de datos (DPO) es obligatoria en virtud del artículo 37 del RGPD. Reevaluamos esta conclusión anualmente con arreglo al artículo 37, apartado 1.

2. Alcance de esta política

Esta política se aplica cuando usted:

navega por nuestros sitios web públicos sin iniciar sesión, y
usa funciones exclusivas para miembros que requieren autenticación (por ejemplo, paneles de ERPC / funciones de la cuenta).

3. Datos que tratamos

3.1 Páginas públicas (sin iniciar sesión)

En las páginas públicas usamos Google Analytics 4 (GA4) para comprender, de forma agregada, cómo se utiliza el sitio y así poder mejorarlo. El análisis es una opción independiente y opcional, y se ejecuta únicamente con su consentimiento: bajo el Consent Mode v2 de Google, el almacenamiento para análisis está denegado de forma predeterminada, por lo que no se establecen cookies ni identificadores de análisis hasta que usted dé su consentimiento para activarlo. Si elige Rechazar, no se establece ninguna cookie de análisis. Usamos el análisis para mejorar el producto, nunca vendemos sus datos y las direcciones IP se anonimizan. Puede cambiar su elección o retirar su consentimiento en cualquier momento a través de «Configuración de cookies».

La medición y optimización publicitaria con Google y con OpenAI son opciones separadas y opcionales, ambas desactivadas de forma predeterminada. Con su consentimiento explícito para un proveedor, usamos la medición de conversiones con seudónimos para medir y mejorar la publicidad. El consentimiento para el análisis por sí solo, incluida una elección anterior de análisis, no autoriza a ninguno de los dos proveedores. Sus opciones se aplican a los productos de ERPC en este sitio web, incluidos Shreds y Bundle. Las opciones del sitio web y del Dashboard se eligen por separado en erpc.global y dashboard.erpc.global, respectivamente. Puede retirar su consentimiento en cualquier momento a través de «Configuración de cookies». Las funciones necesarias del servicio siguen disponibles sin consentimiento publicitario. Una elección guardada puede estar pendiente de confirmación.

Cuando la coincidencia avanzada automática de OpenAI (AAM) está habilitada, el OpenAI Pixel puede detectar información de clientes compatible con esta función en formularios reconocibles y otras fuentes del sitio web. El Pixel normaliza esa información y genera hashes mediante SHA-256 en su navegador; a continuación, incluye esos hashes en los eventos de conversión enviados a OpenAI para ayudar a vincular las conversiones con los anuncios. La información de clientes sin procesar no se envía a OpenAI a través de este proceso de coincidencia automática.

Sin embargo, para proporcionar el sitio web, los proveedores de infraestructura, como los proveedores de alojamiento/CDN, pueden tratar registros técnicos de acceso con fines de seguridad y de respuesta a incidentes, por ejemplo:

Dirección IP y agente de usuario (navegador/SO, etc.)
marca de tiempo, URL solicitada, URL de referencia
estado de respuesta y metadatos relacionados con la seguridad

Utilizamos Cloudflare como proveedor de alojamiento y CDN, pero no utilizamos los productos de análisis de comportamiento de Cloudflare. La función de Cloudflare se limita a la operación de la infraestructura; el seguimiento del comportamiento queda fuera de ese ámbito.

Contamos los clics en los enlaces cortos (erpc.global/go/) sin usar cookies. Solo almacenamos recuentos de clics, desglosados por enlace, fecha, país, sitio de origen y si el clic procede de un bot; junto a ellos no se almacena ninguna dirección IP, información del navegador ni valor que identifique a una persona.

3.2 Contacto

Si nos contacta por email, tratamos la información que proporciona (como su dirección de email y su mensaje) para responder.

3.3 Cuentas de miembros / servicios que requieren inicio de sesión

Si crea una cuenta o inicia sesión (por ejemplo, a través de Discord), podemos tratar lo siguiente para prestar el servicio:

identificadores de cuenta (por ejemplo, dirección de email, ID de usuario de Discord, nombre de usuario)
información de autenticación/sesión (por ejemplo, tokens, claves de API)
configuración y uso del servicio necesarios para prestarlo (por ejemplo, plan, estado de la suscripción, IP permitidas, registros de limitación de frecuencia y de prevención de abusos)
historial de soporte y comunicaciones

Análisis de uso (atención al cliente y calidad del servicio)

Finalidad: para mejorar la calidad del servicio y prestar atención al cliente, recopilamos registros de la navegación entre páginas, del uso de funciones y de los eventos de interacción que usted genera mientras tiene la sesión iniciada en los servicios para miembros, y los analizamos internamente.

Base jurídica: artículo 6, apartado 1, letra f), del RGPD — intereses legítimos que perseguimos al prestar una atención al cliente fiable y mejorar el servicio. Hemos realizado una evaluación de intereses legítimos (LIA) que pondera estos intereses frente a sus derechos y libertades; la LIA está disponible previa solicitud.

Lo que recopilamos:

Transiciones entre páginas (rutas de navegación en el panel, normalizadas para eliminar los identificadores de recursos — por ejemplo, /user/baremetal/:id y no /user/baremetal/<actual-id>)
Categorías de uso de funciones (gestión de recursos, cambios de configuración, autenticación, etc. — lista completa mantenida junto a esta cláusula)
Identificadores internos de recursos (por ejemplo, ID de instancias baremetal/VPS/RPC) cuando realiza una acción sobre un recurso concreto, conservados como seudónimos internos durante el mismo plazo de conservación que los eventos de transición entre páginas
Marcas de tiempo de las operaciones
Familia del dispositivo + versión principal, familia del navegador + versión principal y configuración regional
Direcciones IP, almacenadas únicamente como hash con sal (la sal nunca se rota y se custodia como secreto de nivel 1)

Lo que NO recopilamos:

Cuerpos de las solicitudes
Cadenas de consulta de búsqueda
Claves de API o tokens de autenticación
Direcciones IP sin procesar

Destinatarios / encargados del tratamiento: Cloudflare, Inc. (Estados Unidos) actúa como nuestro encargado del tratamiento para el almacenamiento y tratamiento de estos registros, en virtud de un contrato de encargo del tratamiento y de las cláusulas contractuales tipo de la UE (SCCs). Para esta transferencia se ha documentado una evaluación de impacto de la transferencia (TIA). Consulte la sección 7 para más detalles sobre las transferencias internacionales.

Sin decisiones automatizadas con efectos jurídicos o efectos igualmente significativos: podemos utilizar análisis asistidos por IA para resumir patrones de comportamiento para el personal interno de soporte, pero no se toma ninguna decisión automatizada que produzca efectos jurídicos sobre usted o que le afecte de forma igualmente significativa (artículo 22 del RGPD).

Conservación: los registros recopilados con esta finalidad se eliminan, por regla general, en un plazo de 30 días (véase la sección 8).

Derecho de oposición: puede oponerse a este tratamiento en cualquier momento en virtud del artículo 21 del RGPD escribiendo a [email protected]. Dejaremos de tratar sus datos con esta finalidad, salvo que acreditemos motivos legítimos imperiosos que prevalezcan sobre sus derechos.

Derecho de supresión: ante una solicitud de supresión en virtud del artículo 17, eliminamos todos los eventos, sesiones y estado de presencia asociados a usted. Conservamos una entrada seudonimizada (HMAC-SHA256 de su identificador de usuario con una clave independiente) en nuestro registro de auditoría durante un máximo de 12 meses, en virtud del artículo 6, apartado 1, letra f), con fines de seguridad y de rendición de cuentas. Esta entrada seudonimizada sigue constituyendo un dato personal en el sentido del artículo 4, punto 1, del RGPD.

Evaluación de impacto relativa a la protección de datos (DPIA): se ha completado una DPIA para este tratamiento (artículo 35 del RGPD). Está disponible previa solicitud a [email protected].

3.4 Pagos (Stripe)

Los pagos de los planes pagados son procesados por Stripe. No almacenamos los detalles de la tarjeta de pago.

Stripe trata datos personales relacionados con el pago como responsable del tratamiento independiente. En la medida necesaria para la facturación y la gestión de contratos, podemos recibir información de Stripe como ID de cliente, estado de suscripción, facturas/recibos y metadatos de pago.

4. Finalidades y bases jurídicas (RGPD)

Tratamos datos personales sólo cuando tenemos una base legal bajo las leyes aplicables (incluyendo el RGPD), tales como:

Contrato: prestación de servicios a los miembros, gestión de cuentas y soporte
Intereses legítimos: operar y mantener nuestros sitios web/servicios, seguridad, prevención de fraude/abuso, solución de problemas
Obligación legal: contabilidad y cumplimiento de impuestos, y otros requisitos legales
Consentimiento: cookies de análisis/medición (Google Analytics 4), medición y optimización publicitaria opcional e independiente con Google y con OpenAI, y comunicaciones opcionales (por ejemplo, marketing) cuando proceda. Puede retirar el consentimiento en cualquier momento (para los fines opcionales de las cookies, a través de «Configuración de cookies»)

5. Cookies y tecnologías similares

Análisis (opcional, basado en el consentimiento): con su consentimiento, Google Analytics 4 establece cookies de análisis (por ejemplo, _ga, _ga_<id>). El análisis es una opción independiente y está desactivado de forma predeterminada (Consent Mode v2: denegado hasta que usted dé su consentimiento para activarlo); la opción Rechazar se ofrece con la misma prominencia que Aceptar, y puede retirar el consentimiento en cualquier momento a través de «Configuración de cookies». Los datos de análisis se agregan y se anonimizan por IP, y nunca se venden.
Medición de Google Ads (opcional): desactivada de forma predeterminada; con su consentimiento explícito, se utiliza Google para la medición de conversiones con seudónimos y la optimización publicitaria.
Medición de OpenAI Ads (opcional): desactivada de forma predeterminada; con su consentimiento explícito, se utiliza OpenAI para la medición de conversiones con seudónimos y la optimización publicitaria.

Estas opciones son independientes. El consentimiento para el análisis no autoriza ninguna de las dos opciones publicitarias. Puede cambiarlas o retirar su consentimiento en cualquier momento a través de «Configuración de cookies». Las opciones del sitio web y del Dashboard se eligen por separado en erpc.global y dashboard.erpc.global, respectivamente, y no se sincronizan automáticamente.

Funciones para miembros: utilizamos cookies estrictamente necesarias (por ejemplo, de sesión) para mantener su sesión iniciada. Desactivarlas puede impedir que algunas funciones operen correctamente.
Servicios externos: Stripe y Discord pueden usar sus propias cookies/tecnologías (fuera de nuestro control).

6. Compartición de datos y encargados del tratamiento

No vendemos datos personales.

Podemos compartir datos personales con proveedores de servicios (por ejemplo, alojamiento/infraestructura (Cloudflare, Inc.), envío de correo electrónico, pagos (Stripe), autenticación (Discord) y análisis (Google)) en la medida necesaria. Celebramos contratos de encargo del tratamiento (DPA) con dichos proveedores de conformidad con la legislación aplicable. También se pueden utilizar Google y OpenAI para la medición y optimización publicitaria cuando usted dé su consentimiento para cada proveedor por separado.

7. Transferencias internacionales

Estamos establecidos en el Espacio Económico Europeo (EEE), pero nuestros proveedores de servicios (por ejemplo, Stripe, Discord, Google, OpenAI) y las ubicaciones de la infraestructura pueden implicar tratamientos fuera del EEE (por ejemplo, en Estados Unidos).

En tales casos, utilizamos garantías adecuadas, como las cláusulas contractuales tipo (SCCs), y minimizamos los datos transferidos. No utilizamos proveedores de servicios con el fin de transferir o almacenar intencionadamente datos personales en jurisdicciones consideradas de alto riesgo.

Para el nuevo tratamiento de análisis de uso descrito en la sección 3.3, nuestro encargado del tratamiento es Cloudflare, Inc. (con sede en Estados Unidos). Aunque Cloudflare proporciona infraestructura perimetral (edge) en la región de la UE, el acceso de la sociedad matriz estadounidense en virtud de la legislación estadounidense aplicable (por ejemplo, la CLOUD Act) se trata como una transferencia internacional.

Parte del tratamiento implica transferencias a Estados Unidos (Cloudflare). Dichas transferencias están cubiertas por la decisión de adecuación del EU-US Data Privacy Framework (Decisión de Ejecución (UE) 2023/1795 de la Comisión, de 10 de julio de 2023) y protegidas adicionalmente por cláusulas contractuales tipo. Nos basamos en las cláusulas contractuales tipo 2021/914 de la Comisión Europea, Módulo 2 (de responsable a encargado), incorporadas al Cloudflare Data Processing Addendum, como mecanismo principal para esta transferencia, con la decisión de adecuación del EU-US Data Privacy Framework de 2023 como red de seguridad secundaria. Hemos realizado una evaluación de impacto de la transferencia (TIA) que documenta medidas técnicas complementarias (cifrado en reposo y en tránsito, auditoría de accesos, sin acceso público a los buckets).

8. Conservación

Conservamos los datos personales solo durante el tiempo necesario para los fines descritos anteriormente:

registros técnicos: conservados durante un período limitado por motivos de seguridad/resolución de problemas
datos de análisis: conservados por Google Analytics durante un período limitado (según nuestra configuración de conservación de datos de GA4) y utilizados únicamente de forma agregada
datos de la cuenta: conservados mientras su cuenta esté activa; eliminados o anonimizados cuando proceda después del cierre
contabilidad/facturación: conservados durante el período exigido por la legislación neerlandesa (generalmente 7 años), etc.
Registros de análisis de uso (sección 3.3): eliminados, por regla general, en un plazo de 30 días.
Resúmenes diarios agregados de uso (sección 3.3): conservados hasta 90 días y utilizados para el análisis interno de tendencias.
Registros de auditoría (registros de solicitudes de supresión y de auditoría de accesos; identificadores de usuario almacenados como seudónimos HMAC — datos personales seudonimizados, no anónimos): conservados hasta 12 meses (interés legítimo en virtud del artículo 6, apartado 1, letra f), del RGPD).
Bucket de inspección de la cola de mensajes fallidos (dead-letter queue) (sección 3.3): conservado hasta 7 días, con acceso restringido a los administradores designados.

9. Sus derechos

Dependiendo de su ubicación y de la ley aplicable (incluido el RGPD), puede tener derecho a solicitar:

acceso, rectificación, supresión
limitación del tratamiento, oposición
portabilidad de datos
retirada del consentimiento (cuando el tratamiento se base en el consentimiento)

Para ejercer sus derechos, contáctenos en [email protected]. También tiene derecho a presentar una reclamación ante la autoridad de control neerlandesa (Autoriteit Persoonsgegevens) o ante su autoridad de control local.

No tomamos decisiones automatizadas ni elaboramos perfiles que produzcan efectos jurídicos o efectos igualmente significativos sobre usted.

10. Cambios

Podemos actualizar esta política de vez en cuando publicando una nueva versión en esta página.

Última actualización: 2026-10-21