Política de Privacidad

1. Responsable del Tratamiento y Delegado de Protección de Datos

1.1 Responsable del Tratamiento (Art. 4 n.º 7 RGPD)

El responsable del tratamiento de datos personales en relación con el funcionamiento del sitio web biscotti-cmp.com, la aplicación app.biscotti-cmp.com y todos los servicios asociados es:

Campcruisers GmbH
Berliner Str. 21 B
14612 Falkensee
Alemania

Representada por: Daniel Bosch (Director General / CEO)
También autorizado para representar: Philipp André Marschall (Apoderado)

1.2 Delegado de Protección de Datos

En caso de existir una obligación legal de nombrar un Delegado de Protección de Datos según el § 38 Abs. 1 BDSG o el Art. 37 RGPD, este será nombrado y sus datos de contacto se publicarán aquí. Independientemente de ello, la dirección (Daniel Bosch, Philipp André Marschall) garantiza la supervisión y el cumplimiento plenos de las obligaciones en materia de protección de datos.

Para todas las consultas sobre protección de datos, por favor, diríjase a:
Correo electrónico: [email protected]
Teléfono: +49 3322 50703301
Horario de atención: Lunes a viernes, 10:00–17:00 (CET/CEST)

2. Resumen de las Actividades de Tratamiento

Biscotti CMP es una plataforma integral de gestión de consentimientos y cumplimiento legal. En el marco del funcionamiento de la plataforma, tratamos datos personales en las siguientes áreas:

• Registro y gestión de cuentas (Sección 3)
• Uso de la plataforma SaaS / Panel de control (Sección 4)
• Datos de consentimiento de los visitantes de los sitios web de nuestros clientes (Sección 5)
• Escáner de cookies (Sección 6)
• Legal Suite — Generación de textos con IA (Sección 7)
• Legal Sync — Monitorización de cambios legislativos (Sección 8)
• Policy-Audit — Scraping de sitios web y análisis con IA (Sección 9)
• Mercado de abogados (Sección 10)
• Funciones de agencia y marca blanca (Sección 11)
• Boletín de noticias (Sección 12)
• Programa de recompensas por reseñas (Sección 13)
• Procesamiento de pagos (Sección 14)
• Detección GeoIP (Sección 15)
• Detección de bots (Sección 16)
• Seguimiento de sesión (Sección 17)
• Copias de seguridad (Sección 18)
• Alojamiento e infraestructura (Sección 19)
• Cookies y almacenamiento local en biscotti-cmp.com (Sección 20)

Para cada actividad de tratamiento, se indican a continuación la finalidad, la base jurídica, las categorías de datos tratados, los destinatarios y el período de conservación.

3. Registro y Gestión de Cuentas

3.1 Registro y Creación de Cuenta

Finalidad: Creación y gestión de su cuenta de usuario para el uso de la plataforma Biscotti CMP.

Base jurídica: Art. 6 Abs. 1 lit. b RGPD (ejecución de un contrato — el registro es un requisito previo para el uso de la plataforma SaaS).

Categorías de datos tratados:

• Dirección de correo electrónico (dato obligatorio)
• Contraseña (se almacena como un hash criptográfico, nunca en texto plano)
• Nombre, Apellido (opcional)
• Nombre de la empresa (opcional)
• Idioma de la cuenta (detectado automáticamente del idioma del navegador o seleccionado manualmente entre 42 idiomas disponibles)
• Momento del registro
• Dirección IP en el momento del registro (para el registro del consentimiento del AVV de conformidad con el Art. 28 Abs. 9 RGPD)

Destinatarios: Resend (envío del correo electrónico de verificación), Hetzner Online GmbH (alojamiento de la base de datos).

Período de conservación: Los datos se conservan durante la duración de la relación contractual. Tras la eliminación de la cuenta, los datos se borran inmediatamente, sin perjuicio de las obligaciones legales de conservación (véase la Sección 23).

3.2 Doble Opt-In (Verificación de Correo Electrónico)

Finalidad: Verificación de la dirección de correo electrónico para asegurar que el titular de la dirección de correo electrónico ha realizado realmente el registro.

Base jurídica: Art. 6 Abs. 1 lit. b RGPD (ejecución de un contrato) en relación con el Art. 6 Abs. 1 lit. f RGPD (interés legítimo en la prevención de abusos).

Categorías de datos tratados:

• Dirección de correo electrónico
• Token de verificación (generado aleatoriamente, válido por 24 horas)
• Momento del envío y de la confirmación
• Estado de verificación (emailVerified: true/false)

Destinatarios: Resend (envío del correo electrónico de verificación).

Período de conservación: El token de verificación se elimina después de la confirmación o después de la expiración del plazo de 24 horas. El estado de verificación se conserva durante la duración de la relación contractual.

3.3 Restablecimiento de Contraseña

Finalidad: Permitir la recuperación del acceso a la cuenta en caso de olvido de la contraseña.

Base jurídica: Art. 6 Abs. 1 lit. b RGPD (ejecución de un contrato).

Categorías de datos tratados:

• Dirección de correo electrónico
• Token de restablecimiento (generado aleatoriamente, con límite de tiempo)
• Momento de la solicitud

Destinatarios: Resend (envío del correo electrónico de restablecimiento).

Período de conservación: El token de restablecimiento se elimina después de su uso o después de la expiración de su período de validez.

4. Uso de la Plataforma SaaS (Panel de Control)

4.1 Uso del Panel de Control y Configuración del Banner

Finalidad: Provisión de la interfaz de usuario basada en web (Panel de control) en app.biscotti-cmp.com para la configuración y gestión del banner de consentimiento, los sitios web, las categorías, los textos legales y todas las demás funciones de la plataforma.

Base jurídica: Art. 6 Abs. 1 lit. b RGPD (ejecución de un contrato).

Categorías de datos tratados:

• Datos de la cuenta (correo electrónico, nombre, empresa)
• Configuraciones del sitio web (dominio, ajustes del banner, colores, textos, categorías de consentimiento)
• Estadísticas del banner (vistas, interacciones, tasas de aceptación)
• Resultados del escaneo e historiales de escaneo
• Textos legales generados
• Informes de cumplimiento y puntuaciones de salud
• Entradas del registro de auditoría (marca de tiempo, ID de usuario, acción realizada, dirección IP)

Destinatarios: Hetzner Online GmbH (alojamiento).

Período de conservación: Durante la duración de la relación contractual. Los registros de auditoría se conservan durante 12 meses. Tras la eliminación de la cuenta, los datos se borran irrevocablemente después de que expire el período de gracia de 30 días.

4.2 Gestión de Equipo

Finalidad: Permitir el acceso multiusuario a la cuenta mediante la invitación de miembros del equipo.

Base jurídica: Art. 6 Abs. 1 lit. b RGPD (ejecución de un contrato).

Categorías de datos tratados:

• Direcciones de correo electrónico de los miembros del equipo invitados
• Roles y permisos asignados
• Momento de la invitación y aceptación

Destinatarios: Resend (envío del correo electrónico de invitación), Hetzner Online GmbH (alojamiento).

Período de conservación: Durante la duración de la membresía del equipo. Al ser eliminado del equipo, los datos de asignación se borran.

4.3 Análisis de Consentimiento y Pruebas A/B

Finalidad: Evaluación estadística de las tasas de consentimiento, interacciones con el banner y seguimiento de conversiones. Las pruebas A/B permiten comparar diferentes variantes de banner para optimizar las tasas de aceptación.

Base jurídica: Art. 6 Abs. 1 lit. b RGPD (ejecución de un contrato — las funciones de análisis son parte del plan contratado).

Categorías de datos tratados:

• Estadísticas de consentimiento agregadas (sin datos individuales)
• Asignación de variantes de banner (en pruebas A/B)
• Distribución del tráfico y tasas de conversión

Destinatarios: Hetzner Online GmbH (alojamiento).

Período de conservación: Las estadísticas agregadas se conservan durante la duración de la relación contractual.

5. Datos de Consentimiento de los Visitantes del Sitio Web

5.1 Recopilación de Decisiones de Consentimiento

Finalidad: Recopilación, almacenamiento y documentación de las decisiones de consentimiento de los visitantes del sitio web para cumplir con la obligación de prueba del operador del sitio web de conformidad con el Art. 7 Abs. 1 RGPD y el § 25 Abs. 1 TDDDG.

Base jurídica: Art. 6 Abs. 1 lit. c RGPD (obligación legal — obligación de prueba según el Art. 7 Abs. 1 RGPD) en relación con el Art. 6 Abs. 1 lit. f RGPD (interés legítimo del operador del sitio web en la documentación del consentimiento).

Categorías de datos tratados:

• ID de consentimiento (UUID pseudónima, asignada al dispositivo/navegador del usuario final)
• Decisiones de consentimiento por categoría (Esencial, Funcional, Análisis, Marketing y, en su caso, categorías personalizadas)
• Marca de tiempo del consentimiento (fecha y hora)
• Hash de IP (la dirección IP se procesa exclusivamente para la detección de jurisdicción y luego se anonimiza a un hash criptográfico; las direcciones IP en bruto no se almacenan permanentemente)
• Código de país (determinado mediante detección GeoIP)
• Idioma del navegador
• Cadena de agente de usuario
• Categoría de referencia (organic, social, paid, direct, referral)
• Cadena TCF (con IAB Transparency & Consent Framework 2.3 activado)
• Variante de consentimiento (con pruebas A/B activadas)
• Señales de Google Consent Mode v2
• Señal de Global Privacy Control (GPC)

Destinatarios: Hetzner Online GmbH (alojamiento, base de datos), MinIO (copia de seguridad, autoalojado en Hetzner).

Período de conservación: Los datos de consentimiento se conservan por defecto durante 18 meses. El operador del sitio web (cliente) puede configurar individualmente el período de conservación. Una vez transcurrido el período de conservación, los datos se eliminan de forma automática e irrevocable.

5.2 Consulta de Consentimiento (Información para Visitantes del Sitio Web)

Finalidad: Permitir a los visitantes del sitio web consultar los datos de consentimiento almacenados para el ejercicio del derecho de acceso según el Art. 15 RGPD.

Base jurídica: Art. 6 Abs. 1 lit. c RGPD (obligación legal — derecho de acceso según el Art. 15 RGPD).

Categorías de datos tratados:

• ID de consentimiento (introducida por el visitante del sitio web)
• Dirección IP (para limitación de velocidad, no almacenada permanentemente)

Destinatarios: Hetzner Online GmbH (alojamiento).

Período de conservación: No se almacenan datos adicionales. La consulta está limitada a 10 solicitudes por minuto por dirección IP.

6. Escáner de Cookies

6.1 Escaneo Automatizado de Sitios Web

Finalidad: Búsqueda automatizada en los sitios web de nuestros clientes de cookies, entradas de almacenamiento local y rastreadores de terceros para la identificación, categorización y documentación de las tecnologías utilizadas. Los resultados sirven para la configuración del banner de consentimiento conforme a la protección de datos.

Base jurídica: Art. 6 Abs. 1 lit. b RGPD (ejecución de un contrato — el escáner de cookies es una función central de la plataforma).

Categorías de datos tratados:

• Dominio y URL del sitio web escaneado
• Cookies encontradas (nombre, valor, dominio, fecha de caducidad, ruta, bandera Secure, atributo SameSite)
• Entradas de almacenamiento local
• Rastreadores de terceros y recursos externos integrados
• Categorización de los elementos encontrados (Esencial, Funcional, Análisis, Marketing)
• Comparación con la IAB Global Vendor List (GVL)
• Momento y duración del escaneo

Implementación técnica: El escáner utiliza Playwright (navegador headless de código abierto de Microsoft), que se ejecuta en nuestros propios servidores en Hetzner (Falkenstein, Alemania). No se produce ninguna transferencia de datos a Microsoft. El escáner visita el sitio web del cliente como un navegador normal para recopilar contenido renderizado con JavaScript y cookies establecidas dinámicamente.

Destinatarios: Hetzner Online GmbH (alojamiento), Alibaba Cloud Qwen (categorización de cookies encontradas asistida por IA).

Período de conservación: Los resultados del escaneo se conservan durante la duración de la relación contractual. Los historiales de escaneo permiten la comparación con escaneos anteriores.

6.2 Verificador Público de Cookies

Finalidad: Provisión de un verificador de cookies público y gratuito en el sitio web de marketing, que puede utilizarse sin registro.

Base jurídica: Art. 6 Abs. 1 lit. f RGPD (interés legítimo en la provisión de un servicio de información y la captación de clientes).

Categorías de datos tratados:

• Dominio/URL introducido
• Dirección IP (para limitación de velocidad, no almacenada permanentemente)
• Resultados del escaneo

Destinatarios: Hetzner Online GmbH (alojamiento).

Período de conservación: Los resultados del escáner público se almacenan temporalmente. El uso está limitado a 3 escaneos por día por dirección IP.

7. Legal Suite — Generación de Textos con IA

7.1 Generación de Textos Legales Asistida por IA

Finalidad: Generación de textos legales personalizados (Aviso Legal, Política de Privacidad, Política de Cookies, Términos y Condiciones Generales, Política de Desistimiento, AVV/DPA, Condiciones de Envío y Devolución, Términos de Uso, Descargo de Responsabilidad, NDA, Información DSA y más de 30 tipos de documentos adicionales) basados en la información introducida por el cliente utilizando Inteligencia Artificial.

Base jurídica: Art. 6 Abs. 1 lit. b RGPD (ejecución de un contrato — la Legal Suite es parte del plan contratado).

Categorías de datos tratados que se transmiten a Alibaba Cloud Qwen:

• Datos de la empresa del cliente (nombre de la empresa, forma jurídica, dirección, datos de contacto)
• Nombres de los representantes autorizados (directores generales, apoderados)
• Datos de registro (juzgado de registro, número de registro, NIF-IVA)
• Información específica del sector y categoría de negocio
• Descripción de las actividades de tratamiento
• Información individual sobre el tipo de documento introducida por el cliente
• Información de jurisdicción

Proveedor de IA: Alibaba Cloud Qwen (Alibaba (Netherlands) B.V., Herengracht 448, 1017 CA Amsterdam, Niederlande). El tratamiento se realiza a través de la API de Alibaba Cloud Qwen dentro de la UE/EEE. De acuerdo con las políticas de privacidad de Alibaba Cloud, los datos de entrada no se utilizan para el entrenamiento de modelos de IA.

Destinatarios: Alibaba Cloud Qwen (tratamiento de IA), Hetzner Online GmbH (alojamiento, almacenamiento de los textos generados).

Período de conservación: Los textos legales generados se conservan durante la duración de la relación contractual. En Alibaba Cloud Qwen, los datos de entrada no se almacenan más allá del tratamiento, de acuerdo con las condiciones de uso de Alibaba Cloud.

7.2 Bring Your Own Key (BYOK)

Finalidad: Los clientes pueden, opcionalmente, depositar sus propias claves API para proveedores de IA (Alibaba Qwen, Google Gemini, OpenAI, Anthropic Claude, Ollama) para gestionar la generación de texto a través de su propia cuenta con el proveedor de IA correspondiente.

Base jurídica: Art. 6 Abs. 1 lit. b RGPD (ejecución de un contrato).

Categorías de datos tratados:

• Clave API del cliente (se almacena cifrada con AES-256-GCM)

Nota: Al utilizar una clave API propia, el tratamiento de los datos de entrada por parte del proveedor de IA correspondiente se realiza bajo la responsabilidad del cliente. Se aplican las políticas de privacidad del proveedor correspondiente.

Destinatarios: El proveedor de IA elegido por el cliente.

Período de conservación: La clave API cifrada se conserva durante la duración de la relación contractual y se elimina al borrar la cuenta.

8. Legal Sync — Monitorización de Cambios Legislativos

Finalidad: Monitorización automatizada de cambios legislativos en más de 186 jurisdicciones. En caso de cambios relevantes, los textos legales afectados del cliente se marcan automáticamente como necesitados de actualización. En los planes con función de "Auto-Update", los textos afectados pueden regenerarse automáticamente.

Base jurídica: Art. 6 Abs. 1 lit. b RGPD (ejecución de un contrato — Legal Sync es parte del plan contratado).

Categorías de datos tratados:

• Asignación de jurisdicción de los sitios web del cliente
• Asignación de los textos legales generados a jurisdicciones
• Momento y tipo del cambio legislativo detectado
• Estado de la actualización (actual, necesita actualización, actualizado automáticamente)

Implementación técnica: Un proceso automatizado diario (Cron-Job, 03:00 UTC) verifica los cambios legislativos y los compara con los documentos del cliente.

Destinatarios: Hetzner Online GmbH (alojamiento), Alibaba Cloud Qwen (en caso de regeneración automática de textos legales), Resend (correos electrónicos de notificación).

Período de conservación: Los registros de cambios se conservan durante la duración de la relación contractual.

9. Policy-Audit — Scraping de Sitios Web y Análisis con IA

9.1 Auditorías de Cumplimiento Automatizadas

Finalidad: Revisión semanal automatizada de los sitios web de los clientes en busca de riesgos relacionados con la protección de datos. Esto incluye la detección de nuevas cookies desde el último escaneo, la verificación de problemas de consentimiento y el análisis asistido por IA de los textos legales existentes (Política de Privacidad, Aviso Legal) del cliente. El resultado se presenta como una Puntuación de Salud (A–F).

Base jurídica: Art. 6 Abs. 1 lit. b RGPD (ejecución de un contrato — la función de Auditoría de Cumplimiento es parte de la plataforma).

Categorías de datos tratados:

• Dominio y URL del sitio web auditado
• Contenidos extraídos de la Política de Privacidad y el Aviso Legal del cliente
• Resultados del análisis de IA (brechas detectadas, referencias obsoletas, servicios faltantes)
• Puntuación de Salud e Informe de Cumplimiento
• Momento de la auditoría

Implementación técnica: Playwright (navegador headless, autoalojado en Hetzner) extrae los textos legales de acceso público del sitio web del cliente. Los textos extraídos se analizan posteriormente a través de la API de Alibaba Cloud Qwen.

Destinatarios: Hetzner Online GmbH (alojamiento), Alibaba Cloud Qwen (análisis de IA), Resend (correos electrónicos de notificación en caso de problemas detectados).

Período de conservación: Los resultados de la auditoría y los informes de cumplimiento se conservan durante la duración de la relación contractual.

10. Mercado de Abogados

10.1 Intermediación de Servicios Legales

Finalidad: Intermediación de servicios legales entre clientes y abogados independientes registrados en la plataforma. Campcruisers GmbH actúa exclusivamente como intermediario y no se convierte en parte contractual de la relación de mandato entre el cliente y el abogado (véase el § 14 de las Condiciones Generales).

Base jurídica: Art. 6, apdo. 1, letra b del RGPD (ejecución de un contrato — uso del mercado de abogados).

10.2 Registro de Abogados

Categorías de datos procesados:

• Datos de contacto del abogado (nombre, correo electrónico, teléfono, dirección del bufete)
• Cualificaciones profesionales y áreas de especialización
• Documentos de verificación (máx. 10 MB, PDF/JPEG/PNG)
• Estado de verificación (PENDING_APPROVAL, APPROVED, REJECTED)
• Disponibilidades (franjas horarias semanales, fechas bloqueadas, zona horaria)
• Imagen de perfil y descripción del perfil
• Datos de la cuenta de Stripe Connect (para pagos)

10.3 Datos del Mandato

Categorías de datos procesados:

• Solicitudes de presupuesto y presupuestos (descripción, precio, período de validez)
• Estado del mandato (QUOTE_REQUESTED, QUOTE_SENT, PAYMENT_PENDING, IN_REVIEW, COMPLETED, QUOTE_REJECTED, QUOTE_EXPIRED, CANCELLED, DISPUTED)
• Mensajes entre cliente y abogado
• Información de pago (importe, comisión de la plataforma, importe a pagar)

10.4 Videoconsulta (Twilio)

Finalidad: Provisión de videoconsultas entre clientes y abogados.

Base jurídica: Art. 6, apdo. 1, letra b del RGPD (ejecución de un contrato).

Categorías de datos procesados:

• Metadatos de la videoconsulta (hora, duración, participantes)
• ID de sala de Twilio y token de acceso

Destinatarios: Twilio Ireland Limited, Dublín, Irlanda (provisión de la infraestructura de vídeo).

10.5 Valoraciones

Finalidad: Permitir la valoración de abogados por parte de los clientes para asegurar la calidad.

Base jurídica: Art. 6, apdo. 1, letra f del RGPD (interés legítimo en la garantía de calidad y la transparencia).

Categorías de datos procesados:

• Valoración (estrellas, texto libre)
• Momento de la valoración
• Asignación al mandato

Destinatarios para todo el mercado de abogados: Stripe Connect (procesamiento de pagos), Twilio (videoconsulta), Hetzner Online GmbH (alojamiento), Resend (notificaciones).

Período de conservación: Los datos del mandato se conservan durante la duración de la relación contractual, pero al menos durante el período de las obligaciones legales de conservación (10 años para los datos de facturación). Las valoraciones permanecen visibles durante la duración del registro del abogado. Las ofertas no aceptadas caducan automáticamente después de 7 días.

11. Funciones de Agencia y Marca Blanca

11.1 Gestión de Subcuentas

Finalidad: Permitir la gestión de cuentas de clientes finales (subcuentas) por parte de agencias en el marco de la tarifa de agencia.

Base jurídica: Art. 6, apdo. 1, letra b del RGPD (ejecución de un contrato).

Categorías de datos procesados:

• Direcciones de correo electrónico y datos de contacto de los titulares de subcuentas (clientes finales de la agencia)
• Datos de invitación (correo electrónico, momento)
• Registros de acceso de tokens proxy (momento, usuario de la agencia, subcuenta)
• Configuraciones de sitios web y datos de consentimiento de las subcuentas

Destinatarios: Hetzner Online GmbH (alojamiento), Resend (correos electrónicos de invitación).

Período de conservación: Durante la duración de la relación contractual entre la agencia y Campcruisers GmbH.

11.2 Dominio Personalizado (CNAME)

Finalidad: Provisión de un dominio propio para el panel de control de la agencia.

Base jurídica: Art. 6, apdo. 1, letra b del RGPD (ejecución de un contrato).

Categorías de datos procesados:

• Nombre de dominio de la agencia
• Datos de verificación DNS
• Datos del certificado SSL/TLS (proporcionados automáticamente a través de Let's Encrypt)

Destinatarios: Let's Encrypt (emisión de certificados SSL — solo se transmiten nombres de dominio, no datos personales de personas físicas), Hetzner Online GmbH (alojamiento, enrutamiento Traefik).

11.3 Correos Electrónicos Transaccionales Propios

Finalidad: Permitir el envío de correos electrónicos transaccionales bajo la marca de la agencia a través de un proveedor de correo electrónico propio.

Base jurídica: Art. 6, apdo. 1, letra b del RGPD (ejecución de un contrato).

Categorías de datos procesados:

• Claves API del proveedor de correo electrónico de la agencia (almacenadas cifradas con AES-256-GCM)
• Datos del remitente del correo electrónico (nombre, dirección de correo electrónico)
• Proveedores compatibles: Resend, SendGrid, Mailjet, Mailchimp/Mandrill, Maileroo, Gmail SMTP, Custom SMTP

Nota: Al utilizar un proveedor de correo electrónico propio, el envío de correos electrónicos se realiza bajo la responsabilidad de la agencia en materia de protección de datos.

Período de conservación: Las claves API cifradas se almacenan durante la duración de la relación contractual.

12. Boletín de Noticias

12.1 Suscripción al Boletín de Noticias

Finalidad: Envío de información sobre actualizaciones de productos, derecho de protección de datos, temas de cumplimiento y noticias relacionadas con Biscotti CMP.

Base jurídica: Art. 6, apdo. 1, letra a del RGPD (consentimiento — el boletín de noticias solo se envía después de un consentimiento explícito mediante el procedimiento de doble opt-in).

Categorías de datos procesados:

• Dirección de correo electrónico
• Momento del registro y de la confirmación de doble opt-in
• Estado de baja

Procedimiento de doble opt-in: Después de introducir su dirección de correo electrónico, recibirá un correo electrónico de confirmación con un enlace de verificación. Solo después de hacer clic en este enlace, su dirección de correo electrónico se incluirá en la lista de distribución del boletín de noticias.

Destinatarios: Resend (envío de los correos electrónicos del boletín de noticias y del correo electrónico de confirmación).

Baja: Puede darse de baja del boletín de noticias en cualquier momento. Cada correo electrónico del boletín de noticias contiene un enlace para darse de baja (Unsubscribe-Link). Alternativamente, puede darse de baja enviando un correo electrónico a [email protected].

Período de conservación: Su dirección de correo electrónico se almacenará hasta que se dé de baja del boletín de noticias. Después de darse de baja, la dirección de correo electrónico se eliminará inmediatamente de la lista de distribución. Para documentar el consentimiento otorgado, el momento del registro y la confirmación se conservarán durante 3 años después de la baja (interés legítimo en la demostrabilidad del consentimiento, Art. 6, apdo. 1, letra f del RGPD).

13. Programa de Recompensas por Reseñas

Finalidad: Recompensa a los clientes que publican reseñas sobre Biscotti CMP en plataformas de valoración externas con sesiones de bonificación y una mejora temporal del plan.

Base jurídica: Art. 6, apdo. 1, letra b del RGPD (ejecución de un contrato — la participación en el programa es voluntaria y constituye un servicio contractual adicional).

Categorías de datos procesados:

• Datos de la cuenta del cliente participante
• Plataforma de valoración (OMR Reviews, Capterra, G2, Google Business, WordPress.org, Trustpilot, SourceForge, Facebook, earlybird.so)
• Enlace a la valoración enviada
• Estado de aprobación (mediante revisión del administrador)
• Datos de recompensa (15.000 sesiones de bonificación, 1 mes de mejora del plan)

Destinatarios: Hetzner Online GmbH (alojamiento).

Período de conservación: Los datos de recompensa se almacenan durante la duración de la relación contractual. Las sesiones de bonificación caducan después de 6 meses (planes regulares) o son válidas indefinidamente (planes LTD).

14. Procesamiento de Pagos (Stripe)

14.1 Pagos de Suscripciones

Finalidad: Procesamiento de pagos para tarifas de suscripción de pago, paquetes de créditos y otros servicios de pago.

Base jurídica: Art. 6, apdo. 1, letra b del RGPD (ejecución de un contrato).

Categorías de datos procesados:

• Dirección de facturación (nombre/empresa, calle, código postal, ciudad, país)
• NIF-IVA (para clientes B2B)
• Método de pago (tarjeta de crédito, domiciliación SEPA, PayPal, Apple Pay, Google Pay, etc.)
• Historial de pagos y facturas
• ID de cliente de Stripe e ID de suscripción

Destinatarios: Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublín, Irlanda. Stripe está certificado bajo el Marco de Privacidad de Datos UE-EE. UU.

Período de conservación: Las facturas y los datos contables se conservan durante 10 años (§ 147 AO, §§ 238, 257 HGB). Los métodos de pago se almacenan en Stripe durante la duración de la suscripción.

14.2 Stripe Connect (Mercado de Abogados)

Finalidad: Procesamiento de pagos entre clientes y abogados a través del mercado de abogados, así como el pago a los abogados.

Base jurídica: Art. 6, apdo. 1, letra b del RGPD (ejecución de un contrato).

Categorías de datos procesados:

• Datos de la cuenta Stripe Connect Express de los abogados
• Importes de pago, comisión de la plataforma, importes a pagar
• Datos de la sesión de pago

Destinatarios: Stripe Payments Europe, Ltd., Dublín, Irlanda.

Período de conservación: De acuerdo con las obligaciones de conservación de datos de facturación (10 años).

14.3 Facturas ZUGFeRD

Finalidad: Creación y provisión de facturas en formato ZUGFeRD (PDF con XML incrustado según EN 16931).

Base jurídica: Art. 6, apdo. 1, letra b del RGPD (ejecución de un contrato) en relación con el Art. 6, apdo. 1, letra c del RGPD (obligación legal — obligaciones de facturación según UStG, HGB).

Categorías de datos procesados:

• Dirección de facturación, número de cliente (CUS-JJMM-XXXXX), número de factura (INV-JJMM-XXXXX)
• Descripción del servicio, importes, tipos impositivos

Destinatarios: Resend (envío de la factura por correo electrónico), Hetzner Online GmbH (alojamiento).

Período de conservación: 10 años (§ 147 AO, §§ 238, 257 HGB).

15. Detección GeoIP

Finalidad: Determinación basada en IP del país o la jurisdicción del visitante del sitio web para la visualización dinámica de variantes de banner conformes con la ley (por ejemplo, Opt-In para países del RGPD, Opt-Out para países del CCPA, Solo Aviso para países sin legislación específica sobre cookies).

Base jurídica: Art. 6, apdo. 1, letra f del RGPD (interés legítimo en la visualización conforme a la ley del banner de consentimiento según la jurisdicción aplicable del visitante del sitio web).

Categorías de datos procesados:

• Dirección IP del visitante del sitio web (se transmite a ip-api.com para la detección del país)
• Código de país determinado

Implementación técnica: La dirección IP se transmite al servicio ip-api.com (sede: Lituania, UE). El resultado (código de país) se almacena en caché (Redis) durante 1 hora para evitar consultas repetidas. Después de la detección del país, la dirección IP se anonimiza a un hash criptográfico (IP-Hash). Las direcciones IP sin procesar no se almacenan permanentemente.

Destinatarios: ip-api.com (ip-api, Lituania — servicio GeoIP), Hetzner Online GmbH (alojamiento, caché de Redis).

Período de conservación: El resultado GeoIP se almacena en caché durante 1 hora. Las direcciones IP sin procesar se anonimizan inmediatamente después de la detección del país. El IP-Hash se almacena como parte de los datos de consentimiento durante el período de conservación configurado (estándar: 18 meses).

16. Detección de Bots

Finalidad: Distinción entre visitantes humanos del sitio web y accesos automatizados (bots, rastreadores, scrapers) para un recuento correcto de sesiones. Los accesos automatizados no se cuentan como sesiones y no se facturan.

Base jurídica: Art. 6, apdo. 1, letra f del RGPD (interés legítimo en la facturación correcta y la protección de la plataforma contra el abuso).

Categorías de datos procesados:

• Cadena de User-Agent
• Encabezados HTTP (por ejemplo, Accept-Language, Accept-Encoding)
• Características de los navegadores sin interfaz gráfica
• Dirección IP (para limitación de velocidad basada en IP, no almacenada permanentemente)

Implementación técnica: La detección de bots analiza cada acceso mediante el análisis del User-Agent, el análisis de encabezados (por ejemplo, la falta de encabezados Accept-Language), la detección de navegadores sin interfaz gráfica y la limitación de velocidad basada en IP. El análisis se realiza en tiempo real en nuestros servidores.

Destinatarios: Hetzner Online GmbH (alojamiento).

Período de conservación: Los resultados del análisis no se almacenan permanentemente. El resultado (Bot: sí/no) se incluye en el recuento de sesiones.

16.1 Cloudflare Turnstile (Protección contra Bots en el Inicio de Sesión/Registro)

Finalidad: Protección de los formularios de inicio de sesión y registro contra ataques automatizados de bots.

Base jurídica: Art. 6, apdo. 1, letra f del RGPD (interés legítimo en la protección de la plataforma contra el abuso y los ataques automatizados).

Categorías de datos procesados:

• Dirección IP
• Información del navegador
• Datos de interacción con el widget de Turnstile

Destinatarios: Cloudflare Germany GmbH, Rosental 7, 80331 Múnich, Alemania. Cloudflare está certificado bajo el Marco de Privacidad de Datos UE-EE. UU. La seguridad se garantiza adicionalmente mediante Cláusulas Contractuales Estándar (SCCs).

Período de conservación: Cloudflare almacena los datos de acuerdo con sus propias políticas de privacidad. No se almacenan datos adicionales de Turnstile en nuestros servidores.

17. Seguimiento de Sesiones

Finalidad: Recuento de sesiones para la facturación basada en tarifas. Se cuenta una sesión cuando el widget de Biscotti-CMP (biscotti.min.js) se carga en un sitio web del cliente y envía un ping HTTP al endpoint /api/v1/ping.

Base jurídica: Art. 6, apdo. 1, letra b del RGPD (ejecución de un contrato — la facturación basada en sesiones es la base del modelo de tarifas).

Categorías de datos procesados:

• Contador de sesiones (agregado por sitio web y mes de facturación)
• Momento del ping
• Resultado de la detección de bots (véase la sección 16)

Implementación técnica: Redis se utiliza como base de datos en memoria para el seguimiento de sesiones y el almacenamiento en caché. Redis se aloja en la Hetzner (Falkenstein, Alemania). No se realiza ninguna transferencia de datos a terceros.

Destinatarios: Hetzner Online GmbH (alojamiento, Redis).

Período de conservación: Los contadores de sesiones se almacenan para el mes de facturación correspondiente. Los datos históricos de sesiones se conservan durante la duración de la relación contractual para la trazabilidad de la facturación.

18. Copias de Seguridad

Finalidad: Copia de seguridad regular de registros de consentimiento, configuraciones de banners, configuraciones de sitios web y datos de bases de datos para garantizar la recuperabilidad en caso de pérdida de datos.

Base jurídica: Art. 6, apdo. 1, letra f del RGPD (interés legítimo en la seguridad y recuperabilidad de los datos según el Art. 32, apdo. 1, letra c del RGPD).

Categorías de datos procesados:

• Todos los datos almacenados en la base de datos (registros de consentimiento, configuraciones, datos de cuenta, textos legales, resultados de escaneo)
• Configuraciones de banners

Implementación técnica:

• Copias de seguridad automáticas diarias de la base de datos PostgreSQL
• Copias de seguridad automáticas diarias de configuraciones de banners y configuraciones de sitios web
• Almacenamiento en un almacenamiento MinIO autoalojado dentro de la Hetzner
• Cifrado del lado del servidor con AES-256
• Verificación de integridad mediante sumas de comprobación SHA-256
• Pruebas de recuperación regulares

Destinatarios: MinIO (autoalojado en la Hetzner Online GmbH).

Período de conservación: Las copias de seguridad se conservan durante un período rotatorio. En caso de eliminación de la cuenta, los datos de la copia de seguridad se eliminan después de que expire el período de gracia de 30 días y el siguiente ciclo de rotación de la copia de seguridad.

19. Alojamiento e infraestructura

19.1 Hetzner Online GmbH

Propósito: Alojamiento de toda la infraestructura de Biscotti CMP, incluyendo servidores web, base de datos, lógica de aplicación y todos los servicios asociados.

Base legal: Art. 6 Abs. 1 lit. b DSGVO (ejecución de contrato) en relación con Art. 6 Abs. 1 lit. f DSGVO (interés legítimo en una infraestructura fiable y segura).

Ubicación del centro de datos: Falkenstein/Vogtland (Alemania, EU).

Proveedor: Hetzner Online GmbH, 70 Sir John Rogerson's Quay, Dublín 2, Irlanda.

Arquitectura técnica:

• Aplicación en contenedores (Docker)
• Traefik como proxy inverso y balanceador de carga
• PostgreSQL como base de datos relacional (autoalojada en Hetzner)
• Redis como base de datos en memoria para el seguimiento de sesiones y el almacenamiento en caché (autoalojada en Hetzner)
• Playwright como navegador sin interfaz gráfica para el escaneo de sitios web (autoalojado en Hetzner)
• MinIO como almacenamiento de objetos compatible con S3 para copias de seguridad (autoalojado en Hetzner)

19.2 Archivos de registro del servidor

Propósito: Provisión técnica del sitio web y garantía de la estabilidad del sistema.

Base legal: Art. 6 Abs. 1 lit. f DSGVO (interés legítimo en la provisión técnica y la seguridad).

Categorías de datos procesados:

• Dirección IP (anonimizada)
• Fecha y hora de acceso
• Página/punto final solicitado
• Código de estado HTTP
• Cantidad de datos transferidos
• URL de referencia
• Tipo y versión del navegador
• Sistema operativo

Período de almacenamiento: Los archivos de registro del servidor se almacenan durante un máximo de 30 días y luego se eliminan automáticamente.

20. Cookies y almacenamiento local en biscotti-cmp.com

20.1 Uso propio de Biscotti CMP

Para gestionar los consentimientos necesarios en nuestro propio sitio web (biscotti-cmp.com), utilizamos nuestro propio producto "Biscotti CMP".

20.2 Cookies técnicamente necesarias

Propósito: Garantizar la funcionalidad del sitio web y del panel de control.

Base legal: Art. 6 Abs. 1 lit. f DSGVO (interés legítimo en la funcionalidad técnica) en relación con § 25 Abs. 2 Nr. 2 TDDDG (las cookies técnicamente necesarias están exentas del requisito de consentimiento).

Cookies técnicamente necesarias utilizadas:

• Cookie de sesión (JWT-Token para la autenticación, validez: 7 días)
• Cookie de consentimiento (almacenamiento de la decisión de consentimiento del visitante en biscotti-cmp.com)
• Cookie de preferencia de idioma

20.3 Cookies de análisis (solo con consentimiento)

Propósito: Evaluación estadística del uso de nuestro sitio web para mejorar nuestra oferta.

Base legal: Art. 6 Abs. 1 lit. a DSGVO (consentimiento) en relación con § 25 Abs. 1 TDDDG.

Google Analytics 4: Utilizamos Google Analytics 4 para la evaluación estadística exclusivamente con su consentimiento. Proveedor: Google Ireland Limited, Gordon House, Barrow Street, Dublín 4, Irlanda. El procesamiento de datos se realiza en la UE. La anonimización de IP está activada.

20.4 Información detallada sobre cookies

Puede encontrar información detallada sobre todas las cookies utilizadas en biscotti-cmp.com, incluyendo nombre, propósito, proveedor, período de almacenamiento y tipo, en nuestra política de cookies separada.

21. Proveedores de servicios externos / Destinatarios

Para la prestación de nuestros servicios, utilizamos los siguientes proveedores de servicios externos. Esta lista corresponde al § 24 de nuestras Condiciones Generales y al § 7 de nuestro Acuerdo de Procesamiento de Datos (AVV):

Tecnologías autoalojadas (no son subencargados de tratamiento independientes):

• PostgreSQL (Open Source) — Base de datos relacional, autoalojada en Hetzner (Falkenstein)
• Redis (Open Source) — Base de datos en memoria para el seguimiento de sesiones y el almacenamiento en caché, autoalojada en Hetzner (Falkenstein)
• Playwright (Open Source, Microsoft) — Navegador sin interfaz gráfica para el escaneo de sitios web, autoalojado en Hetzner (Falkenstein)
• MinIO (Open Source) — Almacenamiento de objetos compatible con S3 para copias de seguridad, autoalojado en Hetzner (Falkenstein)

Con estas tecnologías no se produce ninguna transferencia de datos a terceros. Son parte de la infraestructura de Hetzner mencionada en el Nº 5.

22. Transferencia a terceros países

22.1 Principio general

El procesamiento de datos personales se realiza fundamentalmente dentro de la Unión Europea (UE) o del Espacio Económico Europeo (EEE). La infraestructura principal (Hetzner Online GmbH, Falkenstein) se encuentra en Alemania.

22.2 Transferencias a terceros países

En la medida en que un procesamiento por parte de proveedores de servicios externos tenga lugar fuera de la UE/EEE, nos aseguramos de que se cumplan las condiciones especiales del Art. 44 y ss. DSGVO:

(a) Resend (EE. UU.):

• Protección mediante las cláusulas contractuales tipo (SCCs) actuales de la Comisión Europea de conformidad con la Decisión de Ejecución (UE) 2021/914
• Protección adicional mediante el Marco de Privacidad de Datos UE-EE. UU. (DPF) de conformidad con la Decisión de Adecuación de la Comisión Europea del 10 de julio de 2023
• Medidas técnicas complementarias: Cifrado TLS de todas las transmisiones de correo electrónico
• El procesamiento de datos se realiza en servidores AWS en la UE (región eu-west-1)

(b) Let's Encrypt (EE. UU.):

• La comunicación con Let's Encrypt se limita a la emisión automatizada de certificados SSL/TLS a través del protocolo ACME
• Solo se transmiten nombres de dominio, no datos personales de personas físicas

(c) Cloudflare Turnstile (Global):

• Protección mediante las cláusulas contractuales tipo (SCCs) de la Comisión Europea
• Protección adicional mediante el Marco de Privacidad de Datos UE-EE. UU.
• El procesamiento se limita a la detección de bots en los procesos de inicio de sesión y registro

22.3 Evaluación de impacto de la transferencia

Para cada transferencia a un tercer país, realizamos una evaluación de impacto de la transferencia (Transfer Impact Assessment — TIA) para asegurar que el nivel de protección de datos en el tercer país sea esencialmente equivalente al de la UE. Los resultados de la TIA están disponibles bajo solicitud.

22.4 Cambios en la situación legal

Si una decisión de adecuación de la Comisión Europea fuera revocada o una transferencia a un tercer país fuera prohibida por una autoridad de supervisión o un tribunal, le informaremos de inmediato y tomaremos medidas de protección alternativas adecuadas o cesaremos el procesamiento afectado.

23. Período de almacenamiento y plazos de eliminación

Almacenamos los datos personales solo durante el tiempo que sea necesario para el propósito de procesamiento respectivo o mientras existan obligaciones legales de conservación. A continuación, se presenta un resumen de los plazos de almacenamiento principales:

Después de la eliminación de la cuenta, todos los datos personales se eliminan de forma irrevocable y conforme a la protección de datos de los sistemas productivos y las copias de seguridad después de que expire el período de gracia de 30 días, sujeto a las obligaciones legales de conservación mencionadas anteriormente.

24. Derechos de los interesados (Art. 15–22 DSGVO)

Como interesado, usted tiene los siguientes derechos con respecto a sus datos personales:

24.1 Derecho de acceso (Art. 15 DSGVO)

Tiene derecho a solicitarnos una confirmación de si estamos procesando datos personales que le conciernen. Si este es el caso, tiene derecho a acceder a estos datos personales y a la información mencionada en el Art. 15 Abs. 1 DSGVO (propósitos del procesamiento, categorías de datos personales, destinatarios, período de almacenamiento previsto, origen de los datos, existencia de toma de decisiones automatizada).

Implementación técnica: Puede ver los datos de su cuenta en cualquier momento en el panel de control. Los datos de consentimiento se pueden descargar a través de la función de exportación (CSV). Los visitantes del sitio web pueden ver sus datos de consentimiento almacenados a través de la página pública de búsqueda de consentimiento, indicando su Consent-ID.

24.2 Derecho de rectificación (Art. 16 DSGVO)

Tiene derecho a solicitar la rectificación sin demora de datos personales inexactos. Teniendo en cuenta los fines del procesamiento, tiene derecho a solicitar que se completen los datos personales incompletos.

Implementación técnica: Los datos de la cuenta (nombre, correo electrónico, empresa, dirección) se pueden corregir en cualquier momento en el panel de control.

24.3 Derecho de supresión (Art. 17 DSGVO)

Tiene derecho a solicitar la supresión inmediata de sus datos personales si se cumple alguna de las razones mencionadas en el Art. 17 Abs. 1 DSGVO (por ejemplo, los datos ya no son necesarios para el propósito, revocación del consentimiento, procesamiento ilícito).

Implementación técnica: Puede solicitar la eliminación de su cuenta en cualquier momento a través del panel de control o por correo electrónico a [email protected]. Al eliminar la cuenta, todos los datos personales se eliminan de forma irrevocable, sujeto a las obligaciones legales de conservación (véase la sección 23). Los datos de consentimiento pueden ser eliminados por el cliente (operador del sitio web) a través de las funciones del panel de control.

Restricciones: El derecho de supresión no existe en la medida en que el procesamiento sea necesario para el cumplimiento de una obligación legal (por ejemplo, obligaciones de conservación fiscales y comerciales).

24.4 Derecho a la limitación del tratamiento (Art. 18 DSGVO)

Tiene derecho a solicitar la limitación del procesamiento si se cumple alguna de las condiciones mencionadas en el Art. 18 Abs. 1 DSGVO (por ejemplo, impugnación de la exactitud, procesamiento ilícito, objeción según el Art. 21 DSGVO).

Implementación técnica: La limitación de registros individuales puede solicitarse a través de las funciones del panel de control o contactando con nuestro soporte.

24.5 Derecho a la portabilidad de los datos (Art. 20 DSGVO)

Tiene derecho a recibir los datos personales que le conciernen y que nos ha proporcionado en un formato estructurado, de uso común y lectura mecánica. Tiene derecho a transmitir estos datos a otro responsable sin impedimentos.

Implementación técnica: Biscotti CMP ofrece amplias posibilidades de exportación de datos en formato CSV a través del panel de control y la REST-API. Se pueden exportar: datos de consentimiento, configuraciones del sitio web, resultados de escaneo, textos legales, registros de auditoría y facturas.

24.6 Derecho de oposición (Art. 21 DSGVO)

Tiene derecho a oponerse en cualquier momento, por motivos relacionados con su situación particular, al procesamiento de datos personales que le conciernen y que se basa en el Art. 6 Abs. 1 lit. f DSGVO (interés legítimo). En tal caso, dejaremos de procesar los datos personales, a menos que podamos demostrar motivos legítimos imperiosos para el procesamiento que prevalezcan sobre sus intereses, derechos y libertades, o que el procesamiento sirva para la formulación, el ejercicio o la defensa de reclamaciones legales.

24.7 Derecho a retirar el consentimiento (Art. 7 Abs. 3 DSGVO)

En la medida en que el procesamiento se base en su consentimiento (Art. 6 Abs. 1 lit. a DSGVO), tiene derecho a retirar el consentimiento en cualquier momento. La legalidad del procesamiento realizado sobre la base del consentimiento hasta la retirada no se verá afectada por la retirada.

Implementación técnica para visitantes del sitio web: El banner de consentimiento de Biscotti CMP ofrece a los usuarios finales la función de acceder y revocar la configuración realizada en cualquier momento. La revocación es tan sencilla como la concesión del consentimiento.

Implementación técnica para boletines: Cada correo electrónico del boletín contiene un enlace para darse de baja.

24.8 Derecho a presentar una reclamación ante una autoridad de control (Art. 77 DSGVO)

Tiene derecho a presentar una reclamación ante una autoridad de control de protección de datos sobre el procesamiento de sus datos personales por nuestra parte. La autoridad de control competente para nosotros es:

Die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg
Stahnsdorfer Damm 77
14532 Kleinmachnow
Teléfono: +49 33203 356-0
Correo electrónico: [email protected]

Sin embargo, también puede dirigirse a la autoridad de control de su lugar de residencia habitual o de trabajo.

24.9 Contacto para el ejercicio de sus derechos

Para ejercer sus derechos, póngase en contacto con:

Correo electrónico: [email protected]
Teléfono: +49 3322 50703301
Correo postal: Campcruisers GmbH, Berliner Str. 21 B, 14612 Falkensee, Alemania

Procesaremos su solicitud sin demora, a más tardar en el plazo de un mes desde su recepción (Art. 12 Abs. 3 DSGVO). En casos complejos o con un gran número de solicitudes, este plazo podrá prorrogarse dos meses más, de lo cual le informaremos indicando los motivos.

25. Toma de decisiones automatizada (Art. 22 DSGVO)

25.1 Generación de texto por IA

En el marco de la Legal Suite, los textos legales son generados por Inteligencia Artificial (Alibaba Cloud Qwen). Esta generación de texto constituye un procesamiento automatizado, pero no una toma de decisiones automatizada en el sentido del Art. 22 Abs. 1 DSGVO, ya que:

• Los textos generados no producen efectos jurídicos sobre el interesado ni le afectan de manera similar y significativa.
• Los textos son meros borradores que deben ser revisados, editados y aprobados por el cliente antes de su uso.
• Ninguna decisión se basa exclusivamente en un procesamiento automatizado; el cliente siempre mantiene el control total sobre el uso de los textos generados.

25.2 Categorización de cookies asistida por IA

La categorización automática de cookies por IA (Esencial, Funcional, Análisis, Marketing) es una función de apoyo. El cliente puede revisar y ajustar la categorización manualmente en cualquier momento. No se trata de una toma de decisiones automatizada en el sentido del Art. 22 DSGVO.

25.3 Detección de bots

La detección automatizada de bots (véase la sección 16) decide automáticamente si un acceso se clasifica como humano o automatizado. Esta decisión afecta al recuento de sesiones y, por lo tanto, a la facturación. Dado que la decisión afecta exclusivamente a los clientes (no a los visitantes del sitio web) y el cliente puede rastrear el recuento de sesiones en el panel de control, no existe una toma de decisiones automatizada en el sentido del Art. 22 DSGVO que afecte significativamente a un interesado.

25.4 Puntuación de salud de cumplimiento

El cálculo automatizado de la puntuación de salud de cumplimiento (A–F) en el marco de la auditoría de políticas (véase la sección 9) es una función de información y apoyo. La puntuación no tiene efecto legal y sirve exclusivamente para informar al cliente.

25.5 Aviso de transparencia según la Ley de IA de la UE

Utilizamos sistemas de IA (Alibaba Cloud Qwen) para la generación de texto, la categorización de cookies y el análisis de políticas. De acuerdo con las obligaciones de transparencia del Reglamento (UE) 2024/1689 (Ley de IA de la UE), señalamos que:

• Los contenidos generados por IA se identifican como tales.
• La IA simula diferentes roles de expertos legales; no se trata de una revisión por abogados reales.
• Recomendamos encarecidamente que los textos legales generados por IA sean revisados por un abogado cualificado antes de su uso productivo.

26. Cambios en la política de privacidad

Nos reservamos el derecho de adaptar esta política de privacidad para ajustarla a cambios en la legislación, desarrollos técnicos o nuevas funcionalidades de Biscotti CMP. La versión actual está disponible en todo momento en nuestro sitio web en biscotti-cmp.com/de/datenschutz.

En caso de cambios sustanciales que afecten a sus derechos o a la naturaleza del procesamiento de datos, le informaremos por correo electrónico a la dirección de correo electrónico registrada en su cuenta. Le recomendamos que revise esta política de privacidad regularmente.

27. Autoridad de control competente

La autoridad de control de protección de datos competente para Campcruisers GmbH es:

Die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg
Stahnsdorfer Damm 77
14532 Kleinmachnow
Alemania
Teléfono: +49 33203 356-0
Correo electrónico: [email protected]
Sitio web: https://www.lda.brandenburg.de

Seguridad de los datos

Implementamos amplias medidas de seguridad técnicas y organizativas de conformidad con el Art. 32 DSGVO para proteger sus datos personales. Estas incluyen, en particular:

• Cifrado en la transmisión: TLS 1.2/1.3 para todas las transferencias de datos, imposición de HTTPS (HSTS)
• Cifrado en reposo: Cifrado AES-256 de todas las bases de datos y medios de almacenamiento en Hetzner Online GmbH, AES-256-GCM para datos de configuración sensibles (API-Keys, claves BYOK)
• Seudonimización: Los datos de consentimiento se vinculan con Consent-IDs seudónimas, las direcciones IP se anonimizan a hashes de IP
• Control de acceso: Control de acceso basado en roles (RBAC), principio de mínima concesión de derechos, separación lógica de clientes
• Autenticación: Autenticación basada en JWT, Cloudflare Turnstile para protección contra ataques de bots
• Copia de seguridad y recuperación: Copias de seguridad automáticas diarias con cifrado AES-256 y verificación de integridad SHA-256
• Registro de auditoría: Sistema de registro completo para todas las acciones relevantes para la seguridad

Las medidas técnicas y organizativas completas (TOMs) están documentadas en el § 8 de nuestro Acuerdo de Procesamiento de Datos (AVV).