Política de Privacidade

Esta política explica, de forma honesta e concreta, que dados pessoais a loja online acessível em aspishop.cc e aspishop.net recolhe, porquê, quem os recebe e que direitos tens. Ambos os domínios são a mesma loja e partilham os mesmos dados e sistemas. O responsável pelo tratamento é a ASPI, o operador do aspishop.cc e do aspishop.net. Podes contactar-nos sobre qualquer assunto desta política — incluindo pedidos de acesso ou eliminação dos teus dados — através do nosso servidor oficial de Discord em discord.gg/aspi.

Esta política foi redigida à luz do Regulamento Geral sobre a Proteção de Dados (RGPD) e da lei espanhola de proteção de dados (LOPDGDD).

Só pedimos aquilo de que a loja realmente precisa:

• Para colocar uma encomenda: nome próprio, apelido, endereço de e-mail e, opcionalmente, o teu ID do Discord (usado apenas para entregar vantagens relacionadas com o Discord, como o cargo de cliente).
• Para criar uma conta: endereço de e-mail e palavra-passe. A palavra-passe é guardada apenas como hash bcrypt — nunca a vemos nem a guardamos em claro.
• Para verificar o teu e-mail ao registares-te e os inícios de sessão a partir de um dispositivo novo: um código de 6 dígitos que te enviamos por e-mail; guardamos apenas um hash do código, que expira ao fim de 10 minutos.
• Para carregar crédito da loja: o montante; o movimento fica registado no livro de movimentos de saldo da tua conta.
• Para deixar uma avaliação: a tua classificação e o texto que escreveres. As avaliações são mostradas publicamente apenas com o teu nome próprio.
• Se contactares o suporte no Discord: aquilo que decidires contar-nos lá (a política de privacidade do próprio Discord também se aplica na plataforma deles).

Não pedimos nem recolhemos moradas postais, números de telefone, documentos de identificação nacionais nem datas de nascimento.

Quando utilizas o Site, os nossos servidores tratam determinados dados técnicos:

• Endereço IP, país, identificação do navegador/dispositivo (user-agent) e idioma — registados com as encomendas, os inícios de sessão na conta, as avaliações, os movimentos de saldo e os eventos de segurança.
• Páginas visitadas na nossa própria loja: temos um pequeno painel próprio de visitantes em tempo real que mantém o IP, a página atual, o país e o referrer na memória do servidor durante um máximo de 24 horas. Registamos também, por nossa conta, a navegação no site (páginas vistas, percurso e erros) juntamente com o endereço IP e o identificador do navegador, que conservamos durante 30 dias para detetar e bloquear fraude e abuso automatizado; findo esse prazo são apagados e restam apenas estatísticas anónimas. Nada disto é partilhado e não existe neste site nenhum rastreador de análise ou de publicidade de terceiros.
• Análise de segurança do teu endereço IP: para prevenir fraude nos pagamentos, verificamos os IPs junto de serviços de reputação de IP que nos indicam a localização aproximada, o operador de rede e se o endereço é uma VPN, um proxy ou uma saída TOR conhecida (ver secção 6). Sinais de alto risco podem colocar uma encomenda em espera para revisão manual.
• Relatórios técnicos de erros do teu navegador (mensagem de erro, página, versão do navegador) para podermos corrigir bugs. Não contêm dados da conta.
• Um registo de segurança dos eventos relevantes (inícios de sessão, encomendas, pagamentos, tentativas bloqueadas) que inclui os dados técnicos acima.

Reduzimos os cookies ao mínimo e não utilizamos cookies de publicidade nem de rastreamento entre sites. O que realmente definimos:

As escolhas de consentimento são guardadas no cookie aspi_cc durante 12 meses, e mantemos um registo técnico da escolha como prova do consentimento.

Cada utilização dos teus dados corresponde a uma das bases jurídicas do RGPD:

• Processar e entregar as tuas encomendas, gerir a tua conta (incluindo a verificação do teu e-mail e dos inícios de sessão a partir de dispositivos novos) e o crédito da loja e responder a pedidos de suporte — execução de um contrato (art. 6.1.b do RGPD).
• Manter registos contabilísticos e fiscais das vendas — obrigação legal (art. 6.1.c).
• Prevenir fraude e abuso nos pagamentos: análise de IP, limitação de pedidos, registo de segurança e bloqueio de endereços, endereços de e-mail e dispositivos associados a fraude — interesse legítimo (art. 6.1.f) em proteger a loja e os seus clientes contra a fraude; as verificações limitam-se ao que um pagamento realmente exige.
• Defendermo-nos contra chargebacks e reclamações de pagamento, fornecendo ao processador de pagamentos as provas da encomenda e da sua entrega — interesse legítimo (art. 6.1.f) em defender os nossos direitos.
• Alertas operacionais para a nossa própria equipa quando uma encomenda é colocada ou ocorre um evento de segurança — interesse legítimo em gerir a loja (ver a secção 6 sobre o destino desses alertas).
• Convidar-te a avaliar a tua compra através da Trustpilot — interesse legítimo na reputação junto dos nossos clientes existentes (soft opt-in); cada convite inclui uma opção de exclusão e não enviamos qualquer outro e-mail de marketing.
• Mostrar na loja avisos anónimos de compras recentes (produto e plano, hora aproximada e país a partir do qual a encomenda foi feita, segundo a rede): são gerados a partir de encomendas reais e nunca incluem o teu nome, o teu e-mail nem nada que te identifique — interesse legítimo em mostrar a atividade real da loja (art. 6.1.f).
• Cookies de referência — o teu consentimento (art. 6.1.a), que podes retirar a qualquer momento.

Nunca vendemos nem alugamos dados pessoais. Partilhamos apenas o que cada fornecedor precisa para fazer o seu trabalho:

• Stripe (pagamentos): processa o teu cartão inteiramente do lado dela; recebemos e guardamos apenas os últimos 4 dígitos, a marca do cartão e o nome/país de faturação que a Stripe nos comunica.
• Apple e Google (Apple Pay e Google Pay): apenas na página de pagamento da tua encomenda, os seus componentes verificam se podes usar a respetiva carteira; se pagares com uma delas, a carteira autoriza o pagamento, a Stripe cobra-o e nós recebemos o mesmo que com um cartão (últimos 4 dígitos e marca do cartão).
• NOWPayments (pagamentos cripto): recebe o número da encomenda e o montante para gerar a fatura de pagamento.
• PayPal: quando pagas por PayPal, o pagamento é processado através da Stripe; o PayPal partilha com a Stripe o teu nome e e-mail do PayPal, que recebemos para associar o pagamento à tua encomenda, e guardamos essa confirmação.
• Brevo (fornecedor de e-mail da UE): envia os nossos e-mails transacionais (confirmação de encomenda, entrega, códigos de verificação, redefinição de palavra-passe) e, por isso, trata o teu endereço de e-mail e o conteúdo do e-mail.
• Cloudflare (CDN, segurança, anti-bots Turnstile, alojamento de multimédia): todo o tráfego do site passa pela rede da Cloudflare; esta trata endereços IP e pedidos enquanto nosso fornecedor de segurança.
• Trustpilot (convites de avaliação): após uma encomenda entregue, a Trustpilot recebe o teu endereço de e-mail e a referência da encomenda para te poder enviar um único convite de avaliação com opção de exclusão.
• Discord: as nossas notificações internas para a equipa (nova encomenda, pagamento, alerta de segurança) são enviadas para os nossos canais privados de Discord e, consoante o tipo de evento, podem incluir apenas os dados que esse evento exige, como o teu nome, e-mail, IP e país; se comprares através do nosso bot de Discord ou indicares o teu ID de Discord, as mensagens de entrega e o papel de cliente também são geridos através do Discord.
• Serviços de reputação de IP (vpnapi.io e ipwho.is): recebem os endereços IP dos clientes — e nada mais — para detetar a utilização de VPN/proxy/TOR e estimar a localização para prevenção de fraude.
• Autoridades públicas: apenas quando a lei nos obriga.

Alguns dos fornecedores acima são empresas norte-americanas (Stripe, Apple, Google, Cloudflare, Discord, as entidades norte-americanas da Trustpilot). As transferências para eles assentam no Quadro de Proteção de Dados UE–EUA quando o fornecedor está certificado e, nos restantes casos, nas Cláusulas Contratuais-Tipo da Comissão Europeia. A Brevo é um fornecedor da UE (francês); a nossa própria base de dados corre no nosso próprio servidor localizado na UE.

Guardamos os dados pessoais apenas enquanto a sua finalidade o exigir:

• Encomendas, dados de faturação e o livro de movimentos do crédito da loja: pelo menos 6 anos, como a legislação comercial e fiscal espanhola exige para os registos empresariais.
• Contas de cliente: enquanto a conta existir. Podes pedir-nos para eliminar a tua conta a qualquer momento (secção 10).
• Registos de segurança e prevenção de fraude (incluindo os resultados de reputação de IP): apenas durante o tempo necessário para detetar e prevenir fraude e para tratar de qualquer investigação ou reclamação relacionada e, em qualquer caso, não mais do que 24 meses, após o que são eliminados ou anonimizados.
• Códigos de verificação: até serem usados e, no máximo, 10 minutos.
• Bloqueios antifraude de endereços de e-mail e dispositivos: enquanto o bloqueio se mantiver ativo.
• Estatísticas de visitantes em tempo real: máximo de 24 horas, apenas na memória do servidor. Endereço IP e identificador do navegador na análise de navegação: 30 dias; o restante da sessão, já anonimizado, até 90 dias.
• Avaliações: enquanto a avaliação estiver publicada.
• Chaves de produto entregues: guardadas encriptadas com a encomenda, para podermos voltar a mostrar-te a tua compra e honrar a garantia de conformidade.

Todo o tráfego é cifrado com TLS. O nosso servidor de origem não tem portas acessíveis publicamente: só é acessível através de um túnel cifrado da Cloudflare. Entre as medidas que aplicamos atualmente: as chaves de produto entregues são cifradas em repouso com cifragem autenticada robusta (AES-256-GCM), as palavras-passe são guardadas apenas como hashes bcrypt, as sessões usam cookies HttpOnly, o acesso aos dados dos clientes está limitado à equipa da loja e as ações sensíveis da equipa ficam registadas. Os números de cartão nunca passam pelos nossos sistemas. Podemos atualizar estas medidas ao longo do tempo para manter uma proteção adequada.

Ao abrigo do RGPD podes, a qualquer momento e gratuitamente: aceder aos dados que temos sobre ti, corrigi-los, pedir a sua eliminação, limitar ou opor-te a utilizações específicas, pedir uma cópia portável e retirar qualquer consentimento que tenhas dado (para os cookies, usa o link «Definições de cookies» no rodapé).

Para exerceres qualquer um destes direitos, abre um ticket no nosso servidor de Discord a indicar o que pretendes; podemos pedir-te que proves o controlo do endereço de e-mail da encomenda antes de agirmos. Respondemos no prazo máximo de um mês. Tem em conta que temos de conservar os dados abrangidos por deveres legais de conservação (por exemplo, os registos de faturação de encomendas concluídas) mesmo que elimines a tua conta.

Se acreditares que estamos a tratar mal os teus dados, tens o direito de apresentar reclamação junto de uma autoridade de controlo — em Espanha, a Agencia Española de Protección de Datos (www.aepd.es).

Não enviamos newsletters nem e-mails publicitários. A única mensagem pós-compra é o convite de avaliação da Trustpilot descrito acima, do qual podes sair diretamente a partir do próprio convite. Todos os e-mails transacionais que enviamos (confirmação de encomenda, entrega, códigos de verificação, redefinição de palavra-passe) são estritamente necessários para a tua compra ou conta.

O Site destina-se a utilizadores com 18 anos ou mais e não tratamos conscientemente dados de menores de 14 anos (a idade do consentimento digital em Espanha). Se soubermos que foram submetidos dados de uma criança, eliminá-los-emos.

O Site contém ligações para plataformas externas — sobretudo a nossa comunidade no Discord e as páginas dos próprios prestadores de pagamento. Quando estás num serviço de terceiros, aplica-se a política de privacidade desse serviço. Recomendamos que a leias.

Quando as nossas práticas de dados mudarem, atualizamos esta página e a respetiva data. As alterações significativas serão destacadas no Site. As versões anteriores podem ser pedidas através do Discord.