Política de privacidad

1. Responsable del tratamiento

El responsable del tratamiento de datos en bspmarket.de es:

Las consultas sobre protección de datos pueden enviarse por correo electrónico con el asunto «Datenschutz / bspmarket.de».

2. Principios del tratamiento

Solo tratamos datos personales en la medida en que sea necesario para el funcionamiento de la plataforma, la puesta a disposición de cuentas de usuario, la tramitación de compras y descargas, la ejecución de las funciones para Creators, la comunicación, la seguridad, el cumplimiento de obligaciones legales o la protección de intereses legítimos.

Las bases jurídicas son, en particular, el art. 6.1.b) del RGPD para la ejecución del contrato y las medidas precontractuales, el art. 6.1.c) del RGPD para las obligaciones legales, el art. 6.1.f) del RGPD para los intereses legítimos y el art. 6.1.a) del RGPD para los consentimientos.

3. Alojamiento, acceso al sitio web y registros del servidor

bspmarket.de funciona en un servidor virtual propio que Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Alemania, pone a nuestra disposición en un centro de datos situado en Alemania. Hetzner trata los datos almacenados en el servidor exclusivamente por encargo nuestro (art. 28 del RGPD). La base de datos, el envío de correos electrónicos y todos los procesos en segundo plano se ejecutan en este servidor; no utilizamos ninguna red de distribución de contenidos ni alojamiento web externo.

Los archivos subidos (archivos de compra, copias de comprador marcadas individualmente, archivos del BSP Vault y resultados y paquetes de BSP Protection) los guardamos, una vez revisados, en el almacenamiento de objetos «Hetzner Object Storage» de la misma Hetzner Online GmbH, en el centro de datos de Falkenstein (Alemania), también exclusivamente por encargo nuestro (art. 28 del RGPD). Durante la subida, el análisis antivirus, la preparación y la entrega, los archivos se encuentran temporalmente también en nuestro servidor. El almacenamiento no es accesible públicamente; no existen enlaces directos a él. Las descargas se realizan exclusivamente a través de nuestro servidor, una vez comprobados el inicio de sesión y la autorización. Los archivos se guardan allí con identificadores aleatorios, no con nombres de usuario, nombres de archivo ni direcciones IP; los archivos del BSP Vault y otros archivos protegidos permanecen además cifrados por nosotros.

Al acceder al sitio web se tratan los datos de acceso técnicamente necesarios. Entre ellos pueden figurar la dirección IP, la fecha y la hora del acceso, la URL solicitada, el referrer, el user-agent, información del navegador y del dispositivo, el estado HTTP, el volumen de datos transferidos y los eventos de seguridad.

Las finalidades son la entrega del sitio web, la estabilidad, el análisis de errores, la detección de ataques, la prevención de abusos y la acreditación de operaciones técnicas. La base jurídica es el art. 6.1.f) del RGPD. Nuestro interés legítimo reside en el funcionamiento seguro y fiable de la plataforma.

El servidor web no guarda las consultas de páginas individuales en registros de acceso. Los registros del sistema y de la aplicación (p. ej., mensajes de error, intentos de inicio de sesión en el servidor, registros de envío del servidor de correo) se eliminan automáticamente al cabo de 30 días como máximo. Los eventos de la cuenta relevantes para la seguridad (p. ej., inicios de sesión, cambios de permisos) los guardamos durante 180 días en un registro de auditoría, con una dirección IP que no se guarda en texto claro, sino como hash generado con una clave que cambia a diario. Solo se conservan durante más tiempo cuando lo exigen incidentes concretos, ataques, sospechas de fraude o reclamaciones legales.

3a. Medición de audiencia sin cookies

Para entender cómo se utiliza bspmarket.de (p. ej., qué páginas y productos se consultan, por qué vías nos encuentran los visitantes y cuántas visitas terminan en una compra), realizamos un análisis estadístico propio. Se ejecuta íntegramente en nuestro servidor; no hay integrado ningún servicio de análisis externo y no se ceden datos a terceros.

Para ello no utilizamos cookies ni guardamos identificadores en su dispositivo. Al consultar una página, su navegador transmite la página consultada, en su caso el nombre de host del sitio web del que usted procede, los parámetros de campaña del enlace (utm_source, utm_medium, utm_campaign) y el tiempo de permanencia activa. A partir de la dirección IP y de la identificación del navegador (user-agent) calculamos, con una clave aleatoria que cambia a diario y que después se elimina, un identificador para agrupar varias consultas de páginas de una misma visita dentro de un día. La dirección IP y la identificación del navegador en sí no se guardan para ello; tras el cambio de día, el identificador ya no puede asociarse a ninguna dirección IP y no permite reconocer a nadie a lo largo de varios días ni en otros sitios web. Además, al consultar una página determinamos, a partir de la dirección IP, el país desde el que se realiza el acceso. Esta comprobación se efectúa exclusivamente en nuestro servidor con una lista de países almacenada en él (base de datos «IP to Country Lite» de DB-IP); para ello, la dirección IP no se guarda ni se transmite al proveedor de la lista ni a otros terceros.

Por cada visita se guardan: el momento, las páginas consultadas y el tiempo de permanencia, el canal de procedencia y el nombre de host del sitio web de referencia (nunca su dirección completa), los parámetros de campaña, la clase aproximada de dispositivo, la familia de navegador y de sistema operativo, el idioma de la página y el idioma configurado en el navegador, el país desde el que se accede (solo como código de país, sin región ni ciudad), si la visita se realizó con la sesión iniciada (sin asociarla a una cuenta), los términos buscados en el catálogo, si el aviso de cookies se ha mostrado y confirmado (derivado del almacenamiento técnicamente necesario de su elección de cookies descrito en la sección 4; solo se contabiliza este sí o no) y si se añadió un producto al carrito, se inició un checkout, se completó una compra o se creó una cuenta. Para poder atribuir una compra a la visita correcta, el pedido se vincula temporalmente a la visita; este vínculo se elimina en cuanto el pago se completa o se cancela, y a más tardar al cabo de tres días. Después, los datos estadísticos ya no contienen ninguna referencia a una cuenta ni a un pedido.

La base jurídica del tratamiento breve de la dirección IP y de la identificación del navegador es el art. 6.1.f) del RGPD. Nuestro interés legítimo consiste en adaptar la oferta a las necesidades y medir su audiencia sin identificar a los visitantes ni elaborar perfiles. Dado que para ello no se guardan cookies ni identificadores comparables en su dispositivo ni se leen de él, no recabamos ningún consentimiento conforme al § 25 Abs. 1 TDDDG.

Oposición: Puede oponerse a la medición en cualquier momento activando «Do Not Track» o «Global Privacy Control» en su navegador. Las visitas con esta señal no se contabilizan. Tampoco se registran las visitas de nuestro equipo ni los accesos automatizados reconocibles. Los datos estadísticos se eliminan al cabo de 400 días.

4. Cookies y almacenamiento local

bspmarket.de utiliza actualmente solo cookies y almacenamientos locales técnicamente necesarios, imprescindibles para el inicio de sesión, el carrito, la seguridad, la selección de cookies y la usabilidad de la plataforma. Actualmente no hay integradas de forma activa cookies de marketing, de seguimiento ni de análisis. La medición de audiencia (sección 3a) funciona sin cookies y sin almacenamiento local.

La base jurídica de las cookies técnicamente necesarias y de los almacenamientos comparables es el § 25 Abs. 2 TDDDG. El tratamiento posterior de datos personales se basa, según la finalidad, en el art. 6.1.b) del RGPD, el art. 6.1.c) del RGPD o el art. 6.1.f) del RGPD.

El banner de cookies informa sobre estos almacenamientos necesarios. Dado que actualmente no hay activas cookies opcionales de análisis ni de marketing, no se recaba ningún consentimiento de seguimiento específico. Si en el futuro se integran servicios opcionales, se describirán en el banner de cookies y en esta política de privacidad antes de activarlos.

Vídeos de YouTube incrustados: Los Creators pueden añadir vídeos de YouTube a sus páginas de producto. Estos solo se cargan cuando usted hace clic en el vídeo correspondiente; antes no se establece ninguna conexión con YouTube ni se carga ninguna imagen de vista previa de YouTube. Tras el clic, el vídeo se integra a través de youtube-nocookie.com. Al hacerlo, su navegador transmite, en particular, su dirección IP y datos técnicos a Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlanda; YouTube puede establecer cookies propias o almacenamientos comparables y transferir datos también a Google LLC en EE. UU. La base jurídica es su consentimiento otorgado mediante el clic (art. 6.1.a) del RGPD, § 25 Abs. 1 TDDDG). Más información: https://policies.google.com/privacy.

En los procesos de pago a través de Stripe pueden utilizarse cookies propias o tecnologías comparables en las páginas o los sistemas de Stripe. Estas quedan fuera de nuestro control directo y se rigen por los avisos de privacidad y de cookies de Stripe.

5. Cuenta de usuario e inicio de sesión con Discord

El inicio de sesión se realiza actualmente mediante Discord OAuth. Al iniciar sesión tratamos los datos facilitados por Discord, en particular el ID de Discord, el nombre de usuario, la URL del avatar y datos técnicos de OAuth. En la medida en que deban guardarse tokens de OAuth, se guardan protegidos técnicamente.

Las finalidades son el registro, el inicio de sesión, la asignación de la cuenta, la protección contra abusos, la visualización del perfil, la gestión de compras y descargas, las funciones para Creators y el soporte. La base jurídica es el art. 6.1.b) del RGPD, así como el art. 6.1.f) del RGPD para la seguridad y la protección contra abusos.

A través del inicio de sesión con Discord no recibimos ninguna dirección de correo electrónico. Solo tratamos una dirección de correo electrónico si usted mismo la registra para recibir notificaciones (sección 6).

Discord es un servicio externo. Al utilizar el inicio de sesión con Discord se aplica además la información de privacidad de Discord. Esto puede dar lugar a tratamientos de datos fuera de la Unión Europea o del Espacio Económico Europeo.

6. Dirección de correo electrónico y notificaciones por correo electrónico

En los ajustes de su cuenta puede registrar una dirección de correo electrónico para notificaciones. Para los compradores es voluntario. Para los Creators, una dirección confirmada es requisito para la solicitud, de modo que podamos contactar con ellos de forma fiable en caso de aprobaciones, pagos y, sobre todo, hallazgos de filtraciones.

La dirección solo se activa después de que usted haya hecho clic en el botón de confirmación del correo enviado a ella (doble opt-in). Las direcciones no confirmadas y los enlaces de confirmación se descartan al cabo de 48 horas. A esta dirección enviamos exclusivamente notificaciones sobre su cuenta, en particular sobre casos de filtración y hallazgos de la vigilancia, aprobaciones de productos y versiones, decisiones relativas a Creators, pagos, plazos de almacenamiento y eliminaciones de archivos, avisos sobre licencias Server-Exclusive y, solo si usted mismo las ha activado, alertas de precio de su lista de deseos y avisos de nuevas versiones de productos a los que está suscrito. No enviamos publicidad ni boletines. Cada correo de notificación contiene un enlace con el que puede darse de baja con un clic.

Se tratan la dirección de correo electrónico (guardada cifrada), el momento de la confirmación y un registro de envíos con la dirección del destinatario abreviada, el asunto, el momento y el estado de entrega. Enviamos los correos desde nuestro propio servidor con el remitente noreply@bspmarket.de; no se utiliza ningún proveedor externo de correo electrónico. Las respuestas y consultas debe dirigirlas a kontakt@bspmarket.de. La transmisión al servidor de correo de su proveedor se realiza cifrada, siempre que este lo admita.

La base jurídica es, para los Creators, el art. 6.1.b) del RGPD (ejecución del contrato de Creator) y, para los compradores, su consentimiento conforme al art. 6.1.a) del RGPD. Puede eliminar la dirección en cualquier momento en los ajustes de la cuenta; después no recibirá más correos. El registro de envíos se elimina al cabo de 30 días.

7. Vinculación opcional con Steam

Los usuarios pueden vincular voluntariamente un perfil de Steam. En ese caso pueden tratarse, en particular, el SteamID64, el nombre del perfil, la URL del avatar, la URL del perfil y datos técnicos de la vinculación.

Las finalidades son la visualización del perfil, la asignación de licencias y cuentas, la verificación de Creators y compradores, la prevención de abusos, la protección de la cuenta y el uso de determinadas funciones de mapas, de escáner o de protección. Las bases jurídicas son el art. 6.1.b) del RGPD, el art. 6.1.a) del RGPD en caso de vinculación voluntaria y el art. 6.1.f) del RGPD para la seguridad y los intereses probatorios.

La vinculación con Steam puede deshacerse en la cuenta, siempre que no se opongan a ello motivos legales, contractuales o de seguridad prevalentes.

8. Compras, pedidos, facturas y descargas

En las compras y descargas tratamos datos como la cuenta de usuario, el producto, el número de pedido, el momento de la compra, el estado del pago, el precio, la moneda, la información fiscal, los momentos de descarga, el estado de la descarga, la asignación de la licencia, la versión del producto, valores hash y registros técnicos de descarga.

Las finalidades son la tramitación de pedidos, la asignación de pagos, la puesta a disposición de contenidos digitales, la acreditación de licencias, el soporte, la garantía, el desistimiento, la prevención de abusos, la prevención del fraude y la conservación legal. Las bases jurídicas son el art. 6.1.b), c) y f) del RGPD.

Los datos de descargas y licencias pueden conservarse durante la vigencia de la licencia y, más allá de ella, dentro de los plazos legales de prescripción, de prueba y de conservación.

Descargas reanudables: Cuando usted descarga un archivo comprado, creamos una autorización de descarga válida durante 24 horas y vinculada a su cuenta. Así puede reanudar una descarga interrumpida sin que se genere una nueva copia. Para ello guardamos el ID de su cuenta, el producto, la versión y la compra, los momentos (creación, puesta a disposición, primera y última solicitud, caducidad), el número de solicitudes y el volumen de datos transferidos; la dirección IP y los datos del navegador no se guardan para ello, y el enlace en sí solo como valor hash. Las copias de archivo generadas únicamente para la autorización se eliminan al caducar esta, y los datos de la autorización, siete días después de la caducidad. La base jurídica es el art. 6.1.b) del RGPD.

Cuando usted añade productos a su lista de deseos, activa una alerta de precio o se suscribe a las actualizaciones de un producto, guardamos esta selección junto con su cuenta y, en el caso de la alerta de precio, también el precio en el momento de la activación. Si el precio baja, recibirá como máximo una notificación cada 24 horas; en el caso de una suscripción, recibirá una notificación cuando se apruebe una nueva versión. La base jurídica es el art. 6.1.b) del RGPD (función solicitada por usted). Los datos permanecen guardados hasta que desactive la función o se elimine su cuenta.

Confirmación del contrato por correo electrónico: Después de cada pedido, alquiler o suscripción pagados le enviamos una confirmación del contrato con el número de pedido, las partidas y los precios, el consentimiento otorgado en el checkout, los datos sobre duración y cancelación, la información sobre el derecho de desistimiento y nuestros Términos y condiciones (§ 312f BGB, Código Civil alemán). El destinatario es la dirección de correo electrónico que usted indicó en el checkout de Stripe; si falta, su dirección de notificaciones confirmada. Para ello guardamos la dirección cifrada hasta que el envío se haya realizado correctamente y, después, solo abreviada como justificante de envío, así como el idioma de interfaz utilizado por última vez al hacer el pedido, para que la confirmación le llegue en su idioma. La base jurídica es el art. 6.1.b) y c) del RGPD (ejecución del contrato y obligación legal de información). El justificante de envío se elimina al cabo de tres años, y el registro de envíos, al cabo de 30 días.

Cancelaciones a través de «Cancelar contratos aquí»: Si usted cancela un contrato mediante el botón de cancelación, tratamos los datos de su declaración de cancelación (tipo de cancelación, en su caso el motivo, nombre, dirección de correo electrónico, los datos identificativos que usted indique, como nombre de Discord, ID de cuenta, número de pedido o de recibo, contrato y momento deseado), el momento de la recepción, su cuenta si ha iniciado sesión, un valor hash de su dirección IP que cambia a diario para proteger frente a abusos (la dirección IP en sí no se guarda), una identificación abreviada del navegador y el registro de tramitación. Las finalidades son la ejecución de la cancelación, la confirmación de recepción por correo electrónico y la prueba. Las bases jurídicas son el art. 6.1.b) y c) del RGPD (§ 312k BGB), así como el art. 6.1.f) del RGPD para la protección frente a abusos y la prueba. Los datos se eliminan tres años después de su recepción.

9. Procesamiento de pagos a través de Stripe

Para las compras de pago, los paquetes de coins, los Protection Passes, las suscripciones y demás prestaciones de pago utilizamos Stripe como proveedor de servicios de pago. El proveedor es, en particular, Stripe Payments Europe, Limited, Irlanda, así como las empresas vinculadas de Stripe, en la medida en que sean necesarias para el procesamiento del pago correspondiente, la prevención del fraude, la seguridad, la facturación o la prestación técnica.

Al iniciar un checkout transmitimos a Stripe la información necesaria para procesar el pago, o Stripe la recaba directamente en el checkout. Puede incluir, en particular: dirección de correo electrónico, referencia de cliente o de cuenta, ID de pedido o de checkout, denominación del producto o del paquete, importe, moneda, estado del pago, información de facturación y fiscal, método de pago, referencias de pago abreviadas, datos de transacción y de prevención del fraude, dirección IP, datos del dispositivo y del navegador, momentos e información técnica de seguridad.

No guardamos en nuestros servidores datos completos de tarjetas de crédito ni de instrumentos de pago. Los datos de pago completos los trata Stripe. Solo guardamos la información de pago y de estado necesaria para el pedido, la licencia, el abono, el soporte, la prueba, la contabilidad y la conservación legal, por ejemplo el ID de la sesión de checkout de Stripe, el ID del Payment Intent, el estado del pago, el importe, la moneda, el número de pedido y los eventos de webhook.

Las finalidades del tratamiento son el procesamiento de pagos, la ejecución del contrato, la puesta a disposición de contenidos digitales, el abono de BSP Credits o Protection Passes, la gestión de suscripciones, la facturación y la contabilidad, la prevención del fraude, la defensa frente a abusos, el soporte, los reembolsos, las retrocesiones de cargo (chargebacks) y las pruebas jurídicas.

Las bases jurídicas son el art. 6.1.b) del RGPD para el procesamiento de pagos y la ejecución del contrato, el art. 6.1.c) del RGPD para las obligaciones legales de conservación, fiscales y contables, y el art. 6.1.f) del RGPD para el procesamiento seguro de pagos, la prevención del fraude, la defensa frente a abusos y la defensa jurídica.

Stripe también puede tratar datos bajo su propia responsabilidad y recurrir a proveedores de servicios, subencargados del tratamiento o empresas vinculadas. Esto puede dar lugar a transferencias a Estados situados fuera de la UE o del EEE. Según sus propias indicaciones, Stripe basa dichas transferencias en garantías adecuadas, como cláusulas contractuales tipo, decisiones de adecuación u otros mecanismos previstos por la ley.

Stripe facilita más información en https://stripe.com/privacy, sobre el Data Processing Agreement en https://stripe.com/legal/dpa y sobre proveedores de servicios y subencargados en https://stripe.com/legal/service-providers.

10. Funciones para Creators, subidas y gestión de productos

En las funciones para Creators tratamos, en particular, datos de la solicitud, el estado de Creator, datos del perfil, datos de pago y de pagos al Creator, datos fiscales, datos de productos, subidas, nombres de archivo, valores hash, resultados de escaneo, decisiones de aprobación, comentarios de administración, versiones de productos, datos de ventas, datos de pagos al Creator y datos de soporte y de comunicación.

Las finalidades son la revisión y aprobación de Creators, la publicación de productos, la comprobación de derechos y de seguridad, la venta, el pago al Creator, la liquidación, la prevención de abusos, el cumplimiento de obligaciones legales y el funcionamiento de la plataforma. Las bases jurídicas son el art. 6.1.b), c) y f) del RGPD.

En la medida en que la ley lo exija, los datos de Creators con relevancia fiscal pueden conservarse o transmitirse a las autoridades competentes.

Estadísticas para Creators: Para la estadística de visitas contamos, por producto y día, solo el número de visitas y una categoría aproximada de procedencia (p. ej., directa, buscador, Discord, Steam). La categoría se deduce del nombre de host de la página de referencia; para ello no se guardan el propio nombre de host, direcciones IP, cookies ni identificadores de usuario. No se cuentan las visitas del Creator a su propio producto ni los bots reconocibles. Los contadores se eliminan al cabo de 400 días. La base jurídica es el art. 6.1.f) del RGPD (puesta a disposición de análisis de ventas para Creators).

Perfil público de Creator: Los Creators pueden subir un banner de perfil y publicar enlaces a su servidor de Discord, su perfil de Steam y su sitio web. De las imágenes subidas (banners e imágenes de producto) eliminamos, antes de guardarlas, los metadatos incrustados, como los datos EXIF, incluidos los datos de ubicación. Los enlaces son enlaces salientes normales, sin seguimiento.

Notificaciones de Discord: Los Creators pueden registrar opcionalmente una dirección de webhook de Discord para recibir en su propio servidor de Discord avisos sobre ventas, valoraciones, versiones, pagos y hallazgos de filtraciones. Guardamos la dirección del webhook cifrada. A Discord (Discord Inc., 444 De Haro Street, Suite 200, San Francisco, CA 94107, USA) le transmitimos únicamente el título del producto, el precio o la parte del Creator, las valoraciones con estrellas, los mensajes de estado y los momentos; nunca nombres, nombres de usuario ni otros datos de compradores o de quienes valoran. La base jurídica es el art. 6.1.b) del RGPD (función deseada por el Creator). El Creator puede desactivar la función en cualquier momento.

Servidores y elementos del Workshop propios: Para la vigilancia de filtraciones, los Creators pueden registrar como conocidos sus propias direcciones de servidor y sus propios elementos del Workshop, para que no se notifiquen como casos sospechosos. Estas entradas permanecen guardadas hasta que el Creator las elimine o se elimine el producto.

11. Funciones de protección, Fingerprints, Obfuscation y escáner

Para la protección de licencias, la acreditación y la prevención de abusos pueden tratarse datos técnicos de protección. Entre ellos figuran, en particular, el ID de producto, el ID de Creator, el ID de comprador, el ID de pedido, el ID de licencia, el ID de protección, los hashes de archivo, la versión del producto, el momento de la descarga, los metadatos de Fingerprint y de carrier, los resultados de comprobación, los archivos de evidencia o de prueba, los valores hash de IP y los registros de auditoría.

Si el Fingerprint de comprador está activado, un archivo entregado puede llevar una prueba secreta, no visible públicamente, que puede permitir asociarlo más adelante a un pedido o a una licencia. Esta prueba no sirve para observar su comportamiento de uso, sino para la asignación de licencias, la prevención del fraude, la seguridad de la cuenta y la conservación de pruebas en caso de cesión no autorizada. Solo se evalúa cuando se examina un archivo en un caso de filtración (sección 12).

Las bases jurídicas son el art. 6.1.b) del RGPD para la ejecución del contrato en lo relativo a la licencia, así como el art. 6.1.f) del RGPD. Nuestro interés legítimo reside en la protección de contenidos digitales, la defensa frente al fraude, la seguridad de la plataforma y el ejercicio de reclamaciones legítimas.

Los archivos originales subidos a BSP Protection solo los guardamos mientras se necesitan para el procesamiento: una vez finalizado el trabajo (con éxito o con error), eliminamos automáticamente el archivo original de nuestro servidor y del almacenamiento de objetos. En el registro solo quedan la suma de comprobación (SHA-256), el tamaño del archivo, el momento y el motivo de la eliminación, no el contenido del mapa. Solo si al crear el trabajo usted elige expresamente «Conservar el original para Re-Protect», el archivo original permanece guardado hasta 30 días para permitir una nueva protección sin volver a subirlo; después también se elimina automáticamente. El resultado protegido y el informe de comprobación están sujetos a los plazos indicados en la sección 18.

11a. Licencias Server-Exclusive, licencias de alquiler y comprobación de licencias

Compra y alquiler: Cuando usted compra o alquila una licencia Server-Exclusive, tratamos, además de los datos del pedido (sección 8), la dirección del servidor que usted indica (dirección IPv4 pública con puerto) y el nombre del servidor. La dirección la guardamos cifrada, además como valor hash (HMAC) de la dirección IP generado con una clave secreta para la vinculación al servidor, y en forma enmascarada (p. ej., 45.13.x.x:27015) para mostrarla. Guardamos los mismos datos mientras haya una licencia en su carrito. En las licencias de alquiler se añaden el estado de la suscripción, los periodos de facturación, las cancelaciones programadas y, por cada factura mensual pagada, el identificador de la factura, el importe, el periodo y el momento del pago. Si usted solicita un cambio de servidor, tratamos la nueva dirección de la misma forma, el nuevo nombre del servidor, su motivo opcional y la decisión con su justificación. De cada licencia llevamos un registro de licencia con eventos como compra, puesta a disposición, cambio de servidor, cancelación, caducidad o bloqueo, en cada caso con el momento, el rol que actúa y datos técnicos.

Comprobación de licencia: En cada comprobación de licencia, el servidor de juego transmite datos técnicos a bspmarket.de. Guardamos para ello el momento, el resultado, el identificador de la licencia, el nombre del mapa y la suma de comprobación, así como valores hash de la dirección IP solicitante, de un fingerprint técnico del servidor, del user-agent y del identificador de un solo uso de la solicitud. La dirección IP solicitante solo se coteja como valor hash con la vinculación al servidor y no se guarda en texto claro. Las comprobaciones también pueden proceder de servidores que ejecutan un mapa sin licencia válida y, por tanto, referirse a sus propietarios.

Finalidades y bases jurídicas: Tratamos estos datos para generar y poner a disposición el paquete de licencia, vincular la licencia a su servidor y comprobarla, facturar los alquileres, tramitar los cambios de servidor, prestar soporte, acreditar las operaciones de licencia y detectar y evitar abusos, como el uso en servidores ajenos. Las bases jurídicas son el art. 6.1.b) del RGPD (ejecución del contrato de licencia o de alquiler), el art. 6.1.f) del RGPD (nuestro interés legítimo y el del Creator en proteger el mapa frente al uso no autorizado y en la trazabilidad de las operaciones de licencia) y, para facturas y justificantes contables, el art. 6.1.c) del RGPD.

Qué ve el Creator: El Creator del producto solo ve, por cada licencia, una referencia seudónima (SXL-…), el nombre del servidor que usted ha indicado, el estado y la duración y, en caso de solicitud de cambio de servidor, el nuevo nombre del servidor y su motivo. En su vista en directo solo ve valores agregados, como el número de servidores activos, los inicios de mapa estimados y las comprobaciones rechazadas, y, por cada servidor, una abreviatura de ocho caracteres del valor hash del fingerprint. El Creator no recibe el nombre, el nombre de usuario, los datos de la cuenta, las direcciones IP ni los valores hash de IP de los compradores. Por ello, elija el nombre del servidor y el motivo del cambio de servidor de modo que no contengan datos que el Creator no deba ver. El equipo de bspmarket ve la cuenta del comprador y la dirección del servidor en la medida en que sea necesario para el soporte, los cambios de servidor y los casos de abuso.

Destinatarios: Las licencias de pago único se pagan a través de Stripe como las demás compras (sección 9). Las licencias de alquiler las facturamos mediante una suscripción de Stripe; Stripe recibe, en particular, la denominación del producto, el precio mensual, el nombre del servidor como parte de la descripción de la partida, identificadores internos de la licencia, del producto y de la cuenta, su dirección de correo electrónico, si usted ha registrado una, y los datos de pago. No hay otros destinatarios de estos datos, aparte de nuestro proveedor de alojamiento (sección 3).

Plazo de conservación: El registro de las comprobaciones de licencia lo eliminamos automáticamente al cabo de 90 días. Los datos de licencia, las solicitudes de cambio de servidor y el registro de licencia los guardamos durante la vigencia de la licencia y, después, hasta que expire el plazo ordinario de prescripción de tres años contado desde el final del año (§§ 195, 199 BGB). Los pedidos y las facturas de alquiler los conservamos conforme al § 147 AO (Ordenanza Tributaria alemana) y al § 257 HGB (Código de Comercio alemán), durante ocho o diez años según el documento. Si usted elimina su cuenta, antes retiramos de los datos de licencia y de las solicitudes de cambio de servidor la dirección del servidor (cifrada y enmascarada), el nombre del servidor y el motivo del cambio, retiramos las licencias del carrito y finalizamos en Stripe los alquileres en curso. Se conservan el valor hash de la vinculación al servidor, para que una licencia ya pagada pueda seguir funcionando, los datos relevantes para la contabilidad y el registro de licencia, también en la medida en que en él consten nombres de servidor, en cada caso hasta que expiren los plazos indicados.

11b. Comprobación de licencia de los addons de Garry’s Mod que vendemos

Vendemos nuestros propios addons para Garry’s Mod a través del mercado GModStore (por ejemplo, «Dossier F4»). Para saber si una copia se ha adquirido legítimamente y en cuántos servidores funciona, tratamos en bspmarket.de los siguientes datos.

Descarga: Cuando usted descarga uno de estos addons a través de GModStore, GModStore nos transmite su SteamID64, su identificador de usuario de GModStore, el número del producto y el nombre de la versión descargada. El SteamID64 se inscribe además en su copia.

Comprobación de licencia: Un servidor en el que funciona el addon se pone en contacto con bspmarket.de tras el arranque y después cada seis horas. Se transmiten el SteamID64 del comprador inscrito en la copia, la versión del addon, la dirección del servidor (dirección IP y puerto), el nombre del servidor y el modo de juego. Guardamos además la dirección IP desde la que llega el mensaje, el momento del primer y del último mensaje, su número y el resultado de la comprobación. No se transmiten datos de los jugadores de esos servidores. Si nuestro servicio no está disponible, el addon sigue funcionando sin cambios.

Finalidades y bases jurídicas: Con ello comprobamos la licencia y protegemos nuestro software frente a la difusión y el uso no autorizados. La base jurídica es el art. 6.1.f) del RGPD; nuestro interés legítimo reside en la protección de nuestros derechos de autor y en la formulación, el ejercicio y la defensa de reclamaciones. Frente a los compradores nos basamos además en el art. 6.1.b) del RGPD, en la medida en que el tratamiento sirve para la ejecución del contrato de licencia.

Destinatarios: Solo el equipo de bspmarket ve estos datos. Si el mismo SteamID64 está vinculado a una cuenta de bspmarket, el equipo ve también esa vinculación. Los datos no se ceden a terceros; sobre el alojamiento, véase la sección 3.

Plazo de conservación: Eliminamos automáticamente los mensajes de los servidores 400 días después del último mensaje. La entrada de licencia (SteamID64, producto, estado, momentos de las descargas) la guardamos mientras exista la licencia.

12. Protección contra filtraciones: avisos, análisis y tramitación de casos

Los Creators pueden comunicar que un producto se está difundiendo sin autorización («Reportar filtración»). Tratamos entonces los datos del aviso (enlace al lugar del hallazgo, descripción, Creator que lo comunica, momento) y, en su caso, un archivo de mapa subido.

Un archivo subido se comprueba automáticamente en nuestro servidor para detectar el Fingerprint de comprador y su coincidencia con las copias entregadas. El archivo se elimina inmediatamente después de la comprobación; se conservan su valor hash, el nombre del archivo, el tamaño del archivo y el resultado de la comprobación. Si el archivo puede asociarse a una entrega, vinculamos el caso con el pedido correspondiente y con la cuenta del comprador.

El Creator que comunica la filtración solo recibe una referencia seudónima y el grado de certeza de la asociación, pero no el nombre, el nombre de usuario ni otros datos del comprador. La asociación con la cuenta del comprador solo la ve el equipo de bspmarket. Medidas como el bloqueo de nuevas descargas de la copia afectada las adopta el equipo tras su propia comprobación; no tiene lugar ninguna decisión automatizada en el sentido del art. 22 del RGPD. El bloqueo puede levantarse si la sospecha no se confirma. De cada caso llevamos un registro con los cambios de estado, los mensajes y las notas internas.

Los Creators pueden además restaurar una versión anterior del producto, ya aprobada, o pausar temporalmente las nuevas descargas; estas operaciones se registran con el momento, el motivo y la cuenta que actúa.

La base jurídica es el art. 6.1.f) del RGPD. Nuestros intereses legítimos y los de los Creators residen en la protección de los contenidos digitales frente a la cesión no autorizada, en el esclarecimiento de infracciones de licencia y en la formulación, el ejercicio y la defensa de reclamaciones. En la medida en que la asociación afecte a compradores, el tratamiento es al mismo tiempo necesario para la ejecución del contrato de licencia (art. 6.1.b) del RGPD).

Los casos cerrados se eliminan automáticamente al término del tercer año natural siguiente al año del cierre. Esto corresponde al plazo ordinario de prescripción.

13. Vigilancia automática de fuentes públicas

Para detectar filtraciones a tiempo, cotejamos periódicamente (actualmente cada seis horas) los nombres de mapa de los productos publicados con información de acceso público. Para ello consultamos, a través de la Steam Web API de Valve Corporation, 10400 NE 4th St, Bellevue, WA 98004, USA, la lista pública de servidores de Garry's Mod y el Steam Workshop. En estas consultas solo transmitimos nombres de mapa y nuestra clave de API, ningún dato de nuestros usuarios.

De los resultados guardamos, por cada hallazgo: en el caso de servidores, la dirección pública del servidor (dirección IP y puerto), el nombre del servidor, el mapa en juego y el número de jugadores; en el caso de elementos del Workshop, el ID del Workshop, el título, el enlace y el ID de Steam público de la cuenta que lo publicó. Estos datos pueden referirse a propietarios de servidores o a autores del Workshop. El Creator afectado ve los hallazgos en su cuenta y puede abrir a partir de ellos un caso de filtración (sección 12).

La base jurídica es el art. 6.1.f) del RGPD. Nuestro interés legítimo reside en la protección de los contenidos ofrecidos en bspmarket.de frente a la difusión no autorizada. Tratamos exclusivamente información que los propios interesados han hecho pública. Los hallazgos se eliminan automáticamente doce meses después de la última detección, siempre que no formen parte de un caso de filtración; los registros de las ejecuciones de vigilancia, al cabo de 90 días. Los interesados pueden oponerse al tratamiento conforme al art. 21 del RGPD.

Servidores registrados de compradores: Los compradores pueden registrar en su biblioteca hasta tres direcciones de servidores propios (dirección IP o nombre de host con puerto) para un producto comprado. Las utilizamos exclusivamente para marcar ante el Creator los hallazgos de la vigilancia en esos servidores con la indicación «Indicado por un comprador como servidor propio». El Creator solo ve esta indicación y cuántos compradores han indicado la misma dirección, pero no qué compradores. La base jurídica es el art. 6.1.b) del RGPD (función voluntaria vinculada al contrato de licencia). Las entradas se eliminan cuando usted las retira, cuando se reembolsa la compra o cuando se elimina su cuenta.

14. Valoraciones, comentarios, avisos y procedimientos DSA y de abuso

Cuando los usuarios publican valoraciones, comentarios, avisos u otros contenidos, tratamos los contenidos introducidos, los datos de la cuenta, los momentos, los productos afectados, el estado de tramitación, las decisiones de moderación y los datos de comunicación.

Las finalidades son la comunicación en la plataforma, el aseguramiento de la calidad, la notificación y el examen de contenidos ilícitos, la prevención de abusos, la aplicación de las normas de la plataforma y el cumplimiento de obligaciones legales. Las bases jurídicas son el art. 6.1.b), c) y f) del RGPD.

15. Soporte y comunicación

Cuando los usuarios se ponen en contacto con nosotros, tratamos los datos comunicados, los datos de contacto, el contenido de los mensajes, los archivos adjuntos, los datos de la cuenta, las referencias a pedidos o productos y las notas de tramitación. Las finalidades son la tramitación de la consulta, la ejecución del contrato, la prueba, el aseguramiento de la calidad y la prevención de abusos.

Las bases jurídicas son el art. 6.1.b) del RGPD, el art. 6.1.c) del RGPD y el art. 6.1.f) del RGPD.

16. Destinatarios y encargados del tratamiento

Los datos personales solo se transmiten a terceros cuando es necesario o está permitido por la ley. Son destinatarios, en particular, Hetzner Online GmbH como proveedor de alojamiento (encargado del tratamiento, sección 3), Stripe como proveedor de servicios de pago (secciones 9 y 11a) y Discord y Valve (Steam) como servicios externos de inicio de sesión o de plataforma (secciones 5, 7 y 13). Discord recibe además las notificaciones por webhook deseadas por el Creator, sin datos de compradores (sección 10); Google/YouTube solo recibe datos cuando usted inicia un vídeo incrustado (sección 4). Además, en casos concretos pueden ser destinatarios asesores fiscales, asesores jurídicos, autoridades y tribunales, en la medida en que la ley lo exija o sea necesario para hacer valer reclamaciones legales. Los correos electrónicos los enviamos nosotros mismos desde nuestro servidor; no utilizamos ningún proveedor externo de correo electrónico. Los correos se entregan al servidor de correo del destinatario correspondiente.

En la medida en que haya proveedores de servicios que traten datos personales por encargo nuestro, celebramos los contratos de encargo del tratamiento necesarios. En la medida en que los terceros actúen bajo su propia responsabilidad, se aplica además su información de privacidad.

17. Transferencias a terceros países

Al utilizar servicios externos, en particular Discord (incluidas las notificaciones por webhook para Creators), Steam, Stripe y YouTube, puede tener lugar un tratamiento en Estados situados fuera de la Unión Europea o del Espacio Económico Europeo. En las consultas a la Steam Web API para la vigilancia de filtraciones (sección 13) no transferimos datos personales de nuestros usuarios a EE. UU. En la medida en que sea necesario, los proveedores basan dichas transferencias en decisiones de adecuación, cláusulas contractuales tipo u otras garantías previstas por la ley.

18. Plazo de conservación

Solo guardamos datos personales durante el tiempo necesario para las finalidades correspondientes o mientras existan obligaciones legales. Son determinantes, en particular, la ejecución del contrato, la duración de la licencia, los plazos legales de conservación, las obligaciones fiscales y mercantiles, los plazos de prescripción, los intereses de seguridad y los litigios en curso.

Las solicitudes de eliminación de la cuenta se examinan y tramitan, por regla general, en un plazo de 48 horas. La eliminación completa de determinados datos puede quedar excluida en la medida en que se opongan a ella obligaciones legales de conservación, contratos abiertos, justificantes de pago, pruebas de licencia, intereses de seguridad o reclamaciones legales.

19. Derechos de los interesados

Con arreglo a los requisitos legales, los interesados tienen los siguientes derechos:

• acceso a los datos personales tratados,
• rectificación de los datos inexactos,
• supresión de los datos personales,
• limitación del tratamiento,
• portabilidad de los datos,
• oposición a los tratamientos basados en intereses legítimos,
• retirada de los consentimientos otorgados, con efectos para el futuro,
• reclamación ante una autoridad de control de protección de datos.

Para ejercer estos derechos basta con un mensaje a kontakt@bspmarket.de.

20. Derecho a presentar una reclamación ante la autoridad de control

Los interesados pueden presentar una reclamación ante una autoridad de control de protección de datos. La autoridad previsiblemente competente para nosotros es:

Los interesados también pueden dirigirse a cualquier otra autoridad de control de protección de datos competente.

21. Seguridad

Adoptamos medidas técnicas y organizativas para proteger los datos personales frente a la pérdida, el uso indebido, el acceso no autorizado, la alteración y la divulgación no autorizada. Entre ellas figuran, en particular, la transmisión exclusivamente cifrada (HTTPS con HSTS), el almacenamiento cifrado de datos sensibles como direcciones de correo electrónico, datos de acceso y datos de pagos al Creator, direcciones IP con hash en los registros, un sistema de roles y permisos, el análisis antivirus de los archivos subidos, enlaces de un solo uso y de corta duración para las descargas, un firewall con protección frente a ataques de inicio de sesión, actualizaciones de seguridad automáticas del servidor, copias de seguridad diarias de la base de datos, correos electrónicos firmados con DKIM y la eliminación de metadatos de las imágenes subidas.

22. Menores de edad

La plataforma no se dirige específicamente a niños. Los menores de edad solo pueden utilizar la plataforma en la medida en que sea legalmente admisible y exista el consentimiento necesario de los titulares de la patria potestad o tutela. Nos reservamos el derecho de bloquear cuentas o exigir justificantes si existen dudas sobre la admisibilidad del uso.

23. Cambios en esta política de privacidad

Podemos adaptar esta política de privacidad si cambian las funciones de la plataforma, los tratamientos de datos, la situación jurídica o los procesos técnicos. Se aplica la versión disponible en cada momento en la plataforma.