Política de Privacidade

1. Responsable do tratamento e Delegado de Protección de Datos

1.1 Responsable do tratamento (Art. 4 n. 7 RXPD)

O responsable do tratamento de datos persoais en relación coa operación do sitio web biscotti-cmp.com, da aplicación app.biscotti-cmp.com, así como de todos os servizos asociados, é:

Campcruisers GmbH
Berliner Str. 21 B
14612 Falkensee
Alemaña

Representado por: Daniel Bosch (Director Xeral / CEO)
Tamén con dereito de representación: Philipp André Marschall (Apoderado)

1.2 Delegado de Protección de Datos

No caso de que exista unha obriga legal de nomear un Delegado de Protección de Datos conforme ao § 38 Abs. 1 BDSG ou ao Art. 37 RXPD, este será nomeado e os seus datos de contacto publicaranse aquí. Independentemente diso, a dirección (Daniel Bosch, Philipp André Marschall) garante a supervisión e o cumprimento plenos das obrigas en materia de protección de datos.

Para todas as consultas sobre protección de datos, póñase en contacto con:
Correo electrónico: [email protected]
Teléfono: +49 3322 50703301
Horario comercial: de luns a venres, de 10:00 a 17:00 (CET/CEST)

2. Resumo das actividades de tratamento

Biscotti CMP é unha plataforma integral de xestión de consentimentos e cumprimento legal. No marco da operación da plataforma, tratamos datos persoais nas seguintes áreas:

• Rexistro e xestión de contas (Sección 3)
• Uso da plataforma SaaS / Panel de control (Sección 4)
• Datos de consentimento dos visitantes do sitio web dos nosos clientes (Sección 5)
• Escáner de cookies (Sección 6)
• Legal Suite — Xeración de textos con IA (Sección 7)
• Legal Sync — Monitorización de cambios lexislativos (Sección 8)
• Auditoría de políticas — Scraping de sitios web e análise con IA (Sección 9)
• Mercado de avogados (Sección 10)
• Funcións de axencia e marca branca (Sección 11)
• Boletín (Sección 12)
• Programa de recompensas por revisións (Sección 13)
• Procesamento de pagamentos (Sección 14)
• Detección GeoIP (Sección 15)
• Detección de bots (Sección 16)
• Seguimento de sesións (Sección 17)
• Copias de seguridade (Sección 18)
• Aloxamento e infraestrutura (Sección 19)
• Cookies e almacenamento local en biscotti-cmp.com (Sección 20)

Para cada actividade de tratamento, indícanse a continuación a finalidade, a base xurídica, as categorías de datos tratados, os destinatarios e o período de conservación.

3. Rexistro e xestión de contas

3.1 Rexistro e creación de conta

Finalidade: Creación e xestión da súa conta de usuario para o uso da plataforma Biscotti CMP.

Base xurídica: Art. 6 Abs. 1 lit. b RXPD (execución dun contrato — o rexistro é un requisito previo para o uso da plataforma SaaS).

Categorías de datos tratados:

• Enderezo de correo electrónico (dato obrigatorio)
• Contrasinal (gárdase como un hash criptográfico, nunca en texto claro)
• Nome, apelidos (opcional)
• Nome da empresa (opcional)
• Idioma da conta (detectado automaticamente do idioma do navegador ou elixido manualmente entre 42 idiomas dispoñibles)
• Momento do rexistro
• Enderezo IP no momento do rexistro (para a protocolización do consentimento do AVV conforme ao Art. 28 Abs. 9 RXPD)

Destinatarios: Resend (envío do correo electrónico de verificación), Hetzner Online GmbH (aloxamento da base de datos).

Período de conservación: Os datos conservaranse durante a vixencia da relación contractual. Tras a eliminación da conta, os datos eliminaranse de inmediato, sen prexuízo das obrigas legais de conservación (cf. Sección 23).

3.2 Dobre Opt-In (Verificación de correo electrónico)

Finalidade: Verificación do enderezo de correo electrónico para asegurar que o titular do enderezo de correo electrónico realizou realmente o rexistro.

Base xurídica: Art. 6 Abs. 1 lit. b RXPD (execución dun contrato) en relación co Art. 6 Abs. 1 lit. f RXPD (interese lexítimo na prevención de abusos).

Categorías de datos tratados:

• Enderezo de correo electrónico
• Token de verificación (xerado aleatoriamente, válido por 24 horas)
• Momento do envío e da confirmación
• Estado de verificación (emailVerified: true/false)

Destinatarios: Resend (envío do correo electrónico de verificación).

Período de conservación: O token de verificación eliminarase despois da confirmación ou despois de que expire o prazo de 24 horas. O estado de verificación conservarase durante a vixencia da relación contractual.

3.3 Restablecemento de contrasinal

Finalidade: Posibilitar a recuperación do acceso á conta en caso de contrasinal esquecido.

Base xurídica: Art. 6 Abs. 1 lit. b RXPD (execución dun contrato).

Categorías de datos tratados:

• Enderezo de correo electrónico
• Token de restablecemento (xerado aleatoriamente, con prazo limitado)
• Momento da solicitude

Destinatarios: Resend (envío do correo electrónico de restablecemento).

Período de conservación: O token de restablecemento eliminarase despois do seu uso ou despois de que expire o prazo de validez.

4. Uso da plataforma SaaS (Panel de control)

4.1 Uso do Panel de control e configuración do banner

Finalidade: Provisión da interface de usuario baseada na web (Panel de control) en app.biscotti-cmp.com para a configuración e xestión do banner de consentimento, dos sitios web, das categorías, dos textos legais e de todas as demais funcións da plataforma.

Base xurídica: Art. 6 Abs. 1 lit. b RXPD (execución dun contrato).

Categorías de datos tratados:

• Datos da conta (correo electrónico, nome, empresa)
• Configuracións do sitio web (dominio, axustes do banner, cores, textos, categorías de consentimento)
• Estatísticas do banner (visualizacións, interaccións, taxas de aceptación)
• Resultados de escaneo e históricos de escaneo
• Textos legais xerados
• Informes de cumprimento e puntuacións de saúde
• Entradas do rexistro de auditoría (marca de tempo, ID de usuario, acción realizada, enderezo IP)

Destinatarios: Hetzner Online GmbH (aloxamento).

Período de conservación: Durante a vixencia da relación contractual. Os rexistros de auditoría consérvanse durante 12 meses. Tras a eliminación da conta, os datos eliminaranse de forma irreversible despois de que expire o período de graza de 30 días.

4.2 Xestión de equipos

Finalidade: Posibilitar o acceso multiusuario á conta mediante a invitación de membros do equipo.

Base xurídica: Art. 6 Abs. 1 lit. b RXPD (execución dun contrato).

Categorías de datos tratados:

• Enderezos de correo electrónico dos membros do equipo convidados
• Roles e permisos asignados
• Momento da invitación e aceptación

Destinatarios: Resend (envío do correo electrónico de invitación), Hetzner Online GmbH (aloxamento).

Período de conservación: Durante a duración da pertenza ao equipo. En caso de eliminación do equipo, os datos de asignación eliminaranse.

4.3 Análise de consentimentos e probas A/B

Finalidade: Avaliación estatística das taxas de consentimento, interaccións do banner e seguimento de conversións. As probas A/B permiten comparar diferentes variantes de banner para optimizar as taxas de aceptación.

Base xurídica: Art. 6 Abs. 1 lit. b RXPD (execución dun contrato — as funcións de análise son parte integrante da tarifa contratada).

Categorías de datos tratados:

• Estatísticas de consentimento agregadas (sen datos de persoas individuais)
• Asignación de variantes de banner (en probas A/B)
• Distribución do tráfico e taxas de conversión

Destinatarios: Hetzner Online GmbH (aloxamento).

Período de conservación: As estatísticas agregadas consérvanse durante a vixencia da relación contractual.

5. Datos de consentimento dos visitantes do sitio web

5.1 Recollida de decisións de consentimento

Finalidade: Recollida, almacenamento e documentación das decisións de consentimento dos visitantes do sitio web para o cumprimento da obriga de proba do operador do sitio web conforme ao Art. 7 Abs. 1 RXPD e ao § 25 Abs. 1 TDDDG.

Base xurídica: Art. 6 Abs. 1 lit. c RXPD (obriga legal — obriga de proba conforme ao Art. 7 Abs. 1 RXPD) en relación co Art. 6 Abs. 1 lit. f RXPD (interese lexítimo do operador do sitio web na documentación do consentimento).

Categorías de datos tratados:

• ID de consentimento (UUID pseudónimo, asignado ao dispositivo final/navegador)
• Decisións de consentimento por categoría (Esencial, Funcional, Análise, Marketing e, se é o caso, categorías personalizadas)
• Marca de tempo do consentimento (data e hora)
• Hash IP (o enderezo IP trátase exclusivamente para a detección de xurisdición e despois anonimízase a un hash criptográfico; os enderezos IP brutos non se almacenan permanentemente)
• Código de país (determinado mediante detección GeoIP)
• Idioma do navegador
• Cadea User-Agent
• Categoría de referencia (orgánico, social, de pago, directo, referencia)
• Cadea TCF (co IAB Transparency & Consent Framework 2.3 activado)
• Variante de consentimento (con probas A/B activadas)
• Sinais de Google Consent Mode v2
• Sinal de Global Privacy Control (GPC)

Destinatarios: Hetzner Online GmbH (aloxamento, base de datos), MinIO (copia de seguridade, autoaloxado en Hetzner).

Período de conservación: Os datos de consentimento consérvanse por defecto durante 18 meses. O operador do sitio web (cliente) pode configurar individualmente o período de conservación. Unha vez transcorrido o período de conservación, os datos eliminaranse de forma automática e irreversible.

5.2 Consulta de consentimento (Información para visitantes do sitio web)

Finalidade: Posibilitar a consulta dos datos de consentimento almacenados por parte dos visitantes do sitio web para o cumprimento do dereito de acceso conforme ao Art. 15 RXPD.

Base xurídica: Art. 6 Abs. 1 lit. c RXPD (obriga legal — dereito de acceso conforme ao Art. 15 RXPD).

Categorías de datos tratados:

• ID de consentimento (introducido polo visitante do sitio web)
• Enderezo IP (para limitación de taxa, non almacenado permanentemente)

Destinatarios: Hetzner Online GmbH (aloxamento).

Período de conservación: Non se almacenan datos adicionais. A consulta está limitada a 10 solicitudes por minuto por enderezo IP.

6. Escáner de cookies

6.1 Escaneo automatizado de sitios web

Finalidade: Busca automatizada nos sitios web dos nosos clientes de cookies, entradas de almacenamento local e rastreadores de terceiros para a identificación, categorización e documentación das tecnoloxías empregadas. Os resultados serven para a configuración do banner de consentimento conforme á protección de datos.

Base xurídica: Art. 6 Abs. 1 lit. b RXPD (execución dun contrato — o escáner de cookies é unha función central da plataforma).

Categorías de datos tratados:

• Dominio e URL do sitio web escaneado
• Cookies atopadas (nome, valor, dominio, data de caducidade, ruta, Secure-Flag, atributo SameSite)
• Entradas de almacenamento local
• Rastreadores de terceiros e recursos externos integrados
• Categorización dos elementos atopados (Esencial, Funcional, Análise, Marketing)
• Comparación coa IAB Global Vendor List (GVL)
• Momento e duración do escaneo

Implementación técnica: O escáner utiliza Playwright (navegador sen interface gráfica de usuario de código aberto de Microsoft), que se executa nos nosos propios servidores na Hetzner (Falkenstein, Alemaña). Non se realiza ningunha transferencia de datos a Microsoft. O escáner visita o sitio web do cliente como un navegador normal para capturar contidos renderizados con JavaScript e cookies establecidas dinamicamente.

Destinatarios: Hetzner Online GmbH (aloxamento), Alibaba Cloud Qwen (categorización de cookies atopadas asistida por IA).

Período de conservación: Os resultados do escaneo consérvanse durante a vixencia da relación contractual. Os históricos de escaneo permiten a comparación con escaneos anteriores.

6.2 Verificador público de cookies

Finalidade: Provisión dun verificador de cookies público e gratuíto na páxina web de marketing, que se pode utilizar sen rexistro.

Base xurídica: Art. 6 Abs. 1 lit. f RXPD (interese lexítimo na provisión dun servizo de información e na captación de clientes).

Categorías de datos tratados:

• Dominio/URL introducido
• Enderezo IP (para limitación de taxa, non almacenado permanentemente)
• Resultados do escaneo

Destinatarios: Hetzner Online GmbH (aloxamento).

Período de conservación: Os resultados do escaneo do verificador público almacénanse temporalmente. O uso está limitado a 3 escaneos por día por enderezo IP.

7. Legal Suite — Xeración de textos con IA

7.1 Xeración de textos legais asistida por IA

Finalidade: Xeración de textos legais personalizados (Aviso legal, Política de privacidade, Política de cookies, Condicións xerais, Información sobre o dereito de desistimento, AVV/DPA, Condicións de envío e devolución, Condicións de uso, Exención de responsabilidade, NDA, Información DSA e máis de 30 tipos de documentos adicionais) baseándose na información introducida polo cliente co uso de Intelixencia Artificial.

Base xurídica: Art. 6 Abs. 1 lit. b RXPD (execución dun contrato — a Legal Suite é parte integrante da tarifa contratada).

Categorías de datos tratados que se transmiten a Alibaba Cloud Qwen:

• Datos da empresa do cliente (nome da empresa, forma xurídica, enderezo, datos de contacto)
• Nomes dos representantes autorizados (directores xerais, apoderados)
• Datos de rexistro (tribunal de rexistro, número de rexistro, NIF-IVA)
• Información específica do sector e categoría de negocio
• Descrición das actividades de tratamento
• Datos individuais introducidos polo cliente sobre o tipo de documento
• Información de xurisdición

Provedor de IA: Alibaba Cloud Qwen (Alibaba (Netherlands) B.V., Herengracht 448, 1017 CA Amsterdam, Niederlande). O tratamento realízase a través da API de Alibaba Cloud Qwen dentro da UE/EEE. Conforme ás políticas de privacidade de Alibaba Cloud, os datos de entrada non se utilizan para o adestramento de modelos de IA.

Destinatarios: Alibaba Cloud Qwen (tratamento de IA), Hetzner Online GmbH (aloxamento, almacenamento dos textos xerados).

Período de conservación: Os textos legais xerados consérvanse durante a vixencia da relación contractual. En Alibaba Cloud Qwen, os datos de entrada non se almacenan máis alá do tratamento, conforme ás condicións de uso de Alibaba Cloud.

7.2 Traia a súa propia clave (BYOK)

Finalidade: Os clientes poden, opcionalmente, depositar as súas propias API-Keys para provedores de IA (Alibaba Qwen, Google Gemini, OpenAI, Anthropic Claude, Ollama) para xestionar a xeración de texto a través da súa propia conta co provedor de IA correspondente.

Base xurídica: Art. 6 Abs. 1 lit. b RXPD (execución dun contrato).

Categorías de datos tratados:

• API-Key do cliente (gárdase cifrado con AES-256-GCM)

Aviso: Ao utilizar unha API-Key propia, o tratamento dos datos de entrada realízase no provedor de IA correspondente baixo a responsabilidade do cliente. Aplícanse as políticas de privacidade do provedor correspondente.

Destinatarios: O provedor de IA elixido polo cliente.

Período de conservación: A API-Key cifrada consérvase durante a vixencia da relación contractual e elimínase ao borrar a conta.

8. Legal Sync — Monitorización de cambios lexislativos

Finalidade: Monitorización automatizada de cambios lexislativos en máis de 186 xurisdicións. En caso de cambios relevantes, os textos legais afectados do cliente márcanse automaticamente como necesitados de actualización. En tarifas coa función "Auto-Update", os textos afectados pódense rexenerar automaticamente.

Base xurídica: Art. 6 Abs. 1 lit. b RXPD (execución dun contrato — Legal Sync é parte integrante da tarifa contratada).

Categorías de datos tratados:

• Asignación de xurisdición dos sitios web dos clientes
• Asignación dos textos legais xerados a xurisdicións
• Momento e tipo do cambio lexislativo detectado
• Estado da actualización (actual, necesita actualización, actualizado automaticamente)

Implementación técnica: Un proceso automatizado diario (Cron-Job, 03:00 UTC) verifica os cambios lexislativos e compáraos cos documentos do cliente.

Destinatarios: Hetzner Online GmbH (aloxamento), Alibaba Cloud Qwen (en caso de rexeneración automática de textos legais), Resend (correos electrónicos de notificación).

Período de conservación: Os rexistros de cambios consérvanse durante a vixencia da relación contractual.

9. Auditoría de políticas — Scraping de sitios web e análise con IA

9.1 Auditorías de cumprimento automatizadas

Finalidade: Verificación semanal automatizada dos sitios web dos clientes en busca de riscos relacionados coa protección de datos. Isto inclúe a detección de novas cookies desde o último escaneo, a comprobación de problemas de consentimento e a análise asistida por IA dos textos legais existentes (Política de privacidade, Aviso legal) do cliente. O resultado preséntase como unha puntuación de saúde (A–F).

Base xurídica: Art. 6 Abs. 1 lit. b RXPD (execución dun contrato — a función de auditoría de cumprimento é parte integrante da plataforma).

Categorías de datos tratados:

• Dominio e URL do sitio web auditado
• Contidos extraídos da política de privacidade e do aviso legal do cliente
• Resultados da análise de IA (deficiencias detectadas, referencias obsoletas, servizos ausentes)
• Puntuación de saúde e informe de cumprimento
• Momento da auditoría

Implementación técnica: Playwright (navegador sen interface gráfica de usuario, autoaloxado en Hetzner) extrae os textos legais de acceso público do sitio web do cliente. Os textos extraídos analízanse posteriormente a través da API de Alibaba Cloud Qwen.

Destinatarios: Hetzner Online GmbH (aloxamento), Alibaba Cloud Qwen (análise de IA), Resend (correos electrónicos de notificación en caso de problemas detectados).

Período de conservación: Os resultados da auditoría e os informes de cumprimento consérvanse durante a vixencia da relación contractual.

10. Mercado de avogados

10.1 Intermediación de servizos xurídicos

Finalidade: Intermediación de servizos xurídicos entre clientes e avogados independentes rexistrados na plataforma. Campcruisers GmbH actúa exclusivamente como intermediaria e non se converte en parte contratante da relación de mandato entre o cliente e o avogado (cf. § 14 AGB).

Base xurídica: Art. 6 Abs. 1 lit. b DSGVO (execución do contrato — uso do mercado de avogados).

10.2 Rexistro de avogados

Categorías de datos procesados:

• Datos de contacto do avogado (nome, correo electrónico, teléfono, enderezo do despacho)
• Cualificacións profesionais e áreas de especialización
• Documentos de verificación (máx. 10 MB, PDF/JPEG/PNG)
• Estado de verificación (PENDING_APPROVAL, APPROVED, REJECTED)
• Dispoñibilidades (franxas horarias semanais, datas bloqueadas, fuso horario)
• Imaxe de perfil e descrición do perfil
• Datos da conta Stripe Connect (para pagamentos)

10.3 Datos do mandato

Categorías de datos procesados:

• Solicitudes de oferta e ofertas (descrición, prezo, período de validez)
• Estado do mandato (QUOTE_REQUESTED, QUOTE_SENT, PAYMENT_PENDING, IN_REVIEW, COMPLETED, QUOTE_REJECTED, QUOTE_EXPIRED, CANCELLED, DISPUTED)
• Mensaxes entre cliente e avogado
• Información de pagamento (importe, comisión da plataforma, importe do desembolso)

10.4 Asesoramento por vídeo (Twilio)

Finalidade: Provisión de asesoramento por vídeo entre clientes e avogados.

Base xurídica: Art. 6 Abs. 1 lit. b DSGVO (execución do contrato).

Categorías de datos procesados:

• Metadatos do asesoramento por vídeo (hora, duración, participantes)
• ID da sala de Twilio e token de acceso

Destinatarios: Twilio Ireland Limited, Dublín, Irlanda (provisión da infraestrutura de vídeo).

10.5 Avaliacións

Finalidade: Posibilitar a avaliación de avogados por parte dos clientes para a garantía de calidade.

Base xurídica: Art. 6 Abs. 1 lit. f DSGVO (interese lexítimo na garantía de calidade e transparencia).

Categorías de datos procesados:

• Avaliación (estrelas, texto libre)
• Momento da avaliación
• Asignación ao mandato

Destinatarios para todo o mercado de avogados: Stripe Connect (procesamento de pagamentos), Twilio (asesoramento por vídeo), Hetzner Online GmbH (aloxamento), Resend (notificacións).

Período de almacenamento: Os datos do mandato almacénanse durante a duración da relación contractual, pero polo menos durante a duración das obrigas legais de conservación (10 anos para os datos de facturación). As avaliacións permanecen visibles durante a duración do rexistro do avogado. As ofertas non aceptadas caducan automaticamente despois de 7 días.

11. Funcións de axencia e marca branca

11.1 Xestión de subcontas

Finalidade: Posibilitar a xestión de contas de clientes finais (subcontas) por parte das axencias no marco da tarifa de axencia.

Base xurídica: Art. 6 Abs. 1 lit. b DSGVO (execución do contrato).

Categorías de datos procesados:

• Enderezos de correo electrónico e datos de contacto dos titulares das subcontas (clientes finais da axencia)
• Datos de invitación (correo electrónico, hora)
• Rexistros de acceso a tokens proxy (hora, usuario da axencia, subconta)
• Configuracións do sitio web e datos de consentimento das subcontas

Destinatarios: Hetzner Online GmbH (aloxamento), Resend (correos electrónicos de invitación).

Período de almacenamento: Durante a duración da relación contractual entre a axencia e Campcruisers GmbH.

11.2 Dominio personalizado (CNAME)

Finalidade: Provisión dun dominio propio para o panel de control da axencia.

Base xurídica: Art. 6 Abs. 1 lit. b DSGVO (execución do contrato).

Categorías de datos procesados:

• Nome de dominio da axencia
• Datos de verificación de DNS
• Datos do certificado SSL/TLS (proporcionados automaticamente a través de Let's Encrypt)

Destinatarios: Let's Encrypt (emisión de certificados SSL — transmítense exclusivamente nomes de dominio, non datos persoais de persoas físicas), Hetzner Online GmbH (aloxamento, enrutamento Traefik).

11.3 Correos electrónicos de transacción propios

Finalidade: Posibilitar o envío de correos electrónicos de transacción baixo a marca da axencia a través dun provedor de correo electrónico propio.

Base xurídica: Art. 6 Abs. 1 lit. b DSGVO (execución do contrato).

Categorías de datos procesados:

• API-Keys do provedor de correo electrónico da axencia (almacenadas cifradas con AES-256-GCM)
• Datos do remitente do correo electrónico (nome, enderezo de correo electrónico)
• Provedores compatibles: Resend, SendGrid, Mailjet, Mailchimp/Mandrill, Maileroo, Gmail SMTP, Custom SMTP

Nota: Ao utilizar un provedor de correo electrónico propio, o envío de correos electrónicos realízase baixo a responsabilidade da axencia en materia de protección de datos.

Período de almacenamento: As API-Keys cifradas almacénanse durante a duración da relación contractual.

12. Boletín de noticias

12.1 Subscrición ao boletín de noticias

Finalidade: Envío de información sobre actualizacións de produtos, dereito de protección de datos, temas de cumprimento e novidades sobre Biscotti CMP.

Base xurídica: Art. 6 Abs. 1 lit. a DSGVO (consentimento — o boletín de noticias só se envía despois de consentimento expreso mediante o procedemento de dobre opt-in).

Categorías de datos procesados:

• Enderezo de correo electrónico
• Momento da inscrición e da confirmación do dobre opt-in
• Estado de baixa

Procedemento de dobre opt-in: Despois de introducir o seu enderezo de correo electrónico, recibirá un correo electrónico de confirmación cunha ligazón de verificación. Só despois de facer clic nesta ligazón, o seu enderezo de correo electrónico será incluído na lista de distribución do boletín de noticias.

Destinatarios: Resend (envío dos correos electrónicos do boletín de noticias e do correo electrónico de confirmación).

Baixa: Pode cancelar a subscrición ao boletín de noticias en calquera momento. Cada correo electrónico do boletín de noticias contén unha ligazón de baixa (Unsubscribe-Link). Alternativamente, pode darse de baixa enviando un correo electrónico a [email protected].

Período de almacenamento: O seu enderezo de correo electrónico almacenarase ata a baixa do boletín de noticias. Despois da baixa, o enderezo de correo electrónico eliminarase inmediatamente da lista de distribución. Para documentar o consentimento outorgado, o momento da inscrición e confirmación conservarase durante 3 anos despois da baixa (interese lexítimo na proba do consentimento, Art. 6 Abs. 1 lit. f DSGVO).

13. Programa de recompensas por avaliacións

Finalidade: Recompensar aos clientes que envían avaliacións sobre Biscotti CMP en plataformas de avaliación externas con sesións de bonificación e unha actualización temporal do plan.

Base xurídica: Art. 6 Abs. 1 lit. b DSGVO (execución do contrato — a participación no programa é voluntaria e constitúe un servizo contractual adicional).

Categorías de datos procesados:

• Datos da conta do cliente participante
• Plataforma de avaliación (OMR Reviews, Capterra, G2, Google Business, WordPress.org, Trustpilot, SourceForge, Facebook, earlybird.so)
• Ligazón á avaliación enviada
• Estado de aprobación (mediante revisión do administrador)
• Datos da recompensa (15.000 sesións de bonificación, 1 mes de actualización do plan)

Destinatarios: Hetzner Online GmbH (aloxamento).

Período de almacenamento: Os datos da recompensa almacénanse durante a duración da relación contractual. As sesións de bonificación caducan despois de 6 meses (plans regulares) ou son válidas indefinidamente (plans LTD).

14. Procesamento de pagamentos (Stripe)

14.1 Pagamentos de subscricións

Finalidade: Procesamento dos pagamentos para tarifas de subscrición de pago, paquetes de créditos e outros servizos de pago.

Base xurídica: Art. 6 Abs. 1 lit. b DSGVO (execución do contrato).

Categorías de datos procesados:

• Enderezo de facturación (nome/empresa, rúa, código postal, cidade, país)
• NIF (para clientes B2B)
• Método de pagamento (tarxeta de crédito, domiciliación SEPA, PayPal, Apple Pay, Google Pay etc.)
• Historial de pagamentos e facturas
• Stripe Customer-ID e Subscription-ID

Destinatarios: Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublín, Irlanda. Stripe está certificado baixo o EU-US Data Privacy Framework.

Período de almacenamento: As facturas e os datos contables consérvanse durante 10 anos (§ 147 AO, §§ 238, 257 HGB). Os métodos de pagamento almacénanse en Stripe durante a duración da subscrición.

14.2 Stripe Connect (Mercado de avogados)

Finalidade: Procesamento dos pagamentos entre clientes e avogados a través do mercado de avogados, así como o desembolso aos avogados.

Base xurídica: Art. 6 Abs. 1 lit. b DSGVO (execución do contrato).

Categorías de datos procesados:

• Datos da conta Stripe Connect Express dos avogados
• Importes de pagamento, comisión da plataforma, importes de desembolso
• Datos da sesión de pago

Destinatarios: Stripe Payments Europe, Ltd., Dublín, Irlanda.

Período de almacenamento: Segundo as obrigas de conservación dos datos de facturación (10 anos).

14.3 Facturas ZUGFeRD

Finalidade: Creación e provisión de facturas en formato ZUGFeRD (PDF con XML incrustado segundo EN 16931).

Base xurídica: Art. 6 Abs. 1 lit. b DSGVO (execución do contrato) en conxunción con Art. 6 Abs. 1 lit. c DSGVO (obrigación legal — obrigas de facturación segundo UStG, HGB).

Categorías de datos procesados:

• Enderezo de facturación, número de cliente (CUS-JJMM-XXXXX), número de factura (INV-JJMM-XXXXX)
• Descrición do servizo, importes, tipos impositivos

Destinatarios: Resend (envío da factura por correo electrónico), Hetzner Online GmbH (aloxamento).

Período de almacenamento: 10 anos (§ 147 AO, §§ 238, 257 HGB).

15. Detección GeoIP

Finalidade: Determinación baseada na IP do país ou xurisdición do visitante do sitio web para a visualización dinámica de variantes de banner conformes coa lei (por exemplo, Opt-In para países DSGVO, Opt-Out para países CCPA, Notice-Only para países sen lexislación específica sobre cookies).

Base xurídica: Art. 6 Abs. 1 lit. f DSGVO (interese lexítimo na visualización conforme coa lei do banner de consentimento segundo a xurisdición aplicable do visitante do sitio web).

Categorías de datos procesados:

• Enderezo IP do visitante do sitio web (transmítese a ip-api.com para a detección do país)
• Código de país determinado

Implementación técnica: O enderezo IP transmítese ao servizo ip-api.com (sede: Lituania, UE). O resultado (código de país) almacénase en caché (Redis) durante 1 hora para evitar consultas repetidas. Despois da detección do país, o enderezo IP anonimízase a un hash criptográfico (IP-Hash). Os enderezos IP brutos non se almacenan permanentemente.

Destinatarios: ip-api.com (ip-api, Lituania — servizo GeoIP), Hetzner Online GmbH (aloxamento, caché Redis).

Período de almacenamento: O resultado GeoIP almacénase en caché durante 1 hora. Os enderezos IP brutos anonimízanse inmediatamente despois da detección do país. O IP-Hash almacénase como parte dos datos de consentimento durante o período de conservación configurado (estándar: 18 meses).

16. Detección de bots

Finalidade: Distinción entre visitantes humanos do sitio web e accesos automatizados (bots, rastreadores, raspadores) para unha correcta contabilización das sesións. Os accesos automatizados non se contan como sesións e non se facturan.

Base xurídica: Art. 6 Abs. 1 lit. f DSGVO (interese lexítimo na facturación correcta e na protección da plataforma contra o abuso).

Categorías de datos procesados:

• Cadea User-Agent
• Cabeceiras HTTP (por exemplo, Accept-Language, Accept-Encoding)
• Características dos navegadores sen cabeza (headless browsers)
• Enderezo IP (para limitación de taxa baseada en IP, non almacenado permanentemente)

Implementación técnica: A detección de bots analiza cada acceso mediante análise de User-Agent, análise de cabeceiras (por exemplo, cabeceiras Accept-Language ausentes), detección de navegadores sen cabeza e limitación de taxa baseada en IP. A análise realízase en tempo real nos nosos servidores.

Destinatarios: Hetzner Online GmbH (aloxamento).

Período de almacenamento: Os resultados da análise non se almacenan permanentemente. O resultado (Bot: si/non) inclúese na contabilización das sesións.

16.1 Cloudflare Turnstile (protección contra bots no inicio de sesión/rexistro)

Finalidade: Protección dos formularios de inicio de sesión e rexistro contra ataques automatizados de bots.

Base xurídica: Art. 6 Abs. 1 lit. f DSGVO (interese lexítimo na protección da plataforma contra o abuso e os ataques automatizados).

Categorías de datos procesados:

• Enderezo IP
• Información do navegador
• Datos de interacción co widget Turnstile

Destinatarios: Cloudflare Germany GmbH, Rosental 7, 80331 Múnic, Alemaña. Cloudflare está certificado baixo o EU-US Data Privacy Framework. A seguridade refórzase ademais mediante cláusulas contractuais tipo (SCCs).

Período de almacenamento: Cloudflare almacena os datos segundo as súas propias políticas de privacidade. Nos nosos servidores non se almacenan datos adicionais de Turnstile.

17. Seguimento de sesións

Finalidade: Contabilización das sesións para a facturación baseada na tarifa. Unha sesión cóntase cando o widget Biscotti-CMP (biscotti.min.js) se carga nun sitio web do cliente e envía un ping HTTP ao punto final /api/v1/ping.

Base xurídica: Art. 6 Abs. 1 lit. b DSGVO (execución do contrato — a facturación baseada en sesións é a base do modelo de tarifas).

Categorías de datos procesados:

• Contador de sesións (agregado por sitio web e mes de facturación)
• Momento do ping
• Resultado da detección de bots (cf. sección 16)

Implementación técnica: Redis utilízase como base de datos en memoria para o seguimento de sesións e a caché. Redis alóxase e opera na Hetzner (Falkenstein, Alemaña). Non se produce ningunha transmisión de datos a terceiros.

Destinatarios: Hetzner Online GmbH (aloxamento, Redis).

Período de almacenamento: Os contadores de sesións almacénanse para o mes de facturación correspondente. Os datos históricos das sesións consérvanse durante a duración da relación contractual para a rastrexabilidade da facturación.

18. Copias de seguridade

Finalidade: Copia de seguridade regular de rexistros de consentimento, configuracións de banners, configuracións de sitios web e datos de bases de datos para garantir a restaurabilidade en caso de perda de datos.

Base xurídica: Art. 6 Abs. 1 lit. f DSGVO (interese lexítimo na seguridade dos datos e na restaurabilidade segundo Art. 32 Abs. 1 lit. c DSGVO).

Categorías de datos procesados:

• Todos os datos almacenados na base de datos (rexistros de consentimento, configuracións, datos da conta, textos legais, resultados de escaneo)
• Configuracións de banners

Implementación técnica:

• Copias de seguridade automáticas diarias da base de datos PostgreSQL
• Copias de seguridade automáticas diarias das configuracións de banners e das configuracións de sitios web
• Almacenamento en almacenamento MinIO autoaloxado dentro da Hetzner
• Cifrado no lado do servidor con AES-256
• Verificación de integridade mediante sumas de comprobación SHA-256
• Probas de restauración regulares

Destinatarios: MinIO (autoaloxado na Hetzner Online GmbH).

Período de almacenamento: As copias de seguridade consérvanse durante un período rotatorio. En caso de eliminación da conta, os datos da copia de seguridade eliminaranse despois do período de graza de 30 días e do seguinte ciclo de rotación da copia de seguridade.

19. Aloxamento e Infraestrutura

19.1 Hetzner Online GmbH

Finalidade: Aloxamento de toda a infraestrutura de Biscotti CMP, incluíndo servidores web, base de datos, lóxica de aplicación e todos os servizos asociados.

Base xurídica: Art. 6 Abs. 1 lit. b DSGVO (execución do contrato) en relación co Art. 6 Abs. 1 lit. f DSGVO (interese lexítimo nunha infraestrutura fiable e segura).

Localización do centro de datos: Falkenstein/Vogtland (Alemaña, EU).

Provedor: Hetzner Online GmbH, 70 Sir John Rogerson's Quay, Dublín 2, Irlanda.

Arquitectura técnica:

• Aplicación en contedores (Docker)
• Traefik como proxy inverso e equilibrador de carga
• PostgreSQL como base de datos relacional (autoaloxada en Hetzner)
• Redis como base de datos en memoria para o seguimento de sesións e o almacenamento en caché (autoaloxada en Hetzner)
• Playwright como navegador sen cabeza para o escaneo de sitios web (autoaloxado en Hetzner)
• MinIO como almacenamento de obxectos compatible con S3 para copias de seguridade (autoaloxado en Hetzner)

19.2 Ficheiros de rexistro do servidor

Finalidade: Provisión técnica do sitio web e garantía da estabilidade do sistema.

Base xurídica: Art. 6 Abs. 1 lit. f DSGVO (interese lexítimo na provisión técnica e seguridade).

Categorías de datos tratados:

• Enderezo IP (anonimizado)
• Data e hora do acceso
• Páxina/punto final accedido
• Código de estado HTTP
• Cantidade de datos transferidos
• URL de referencia
• Tipo e versión do navegador
• Sistema operativo

Período de almacenamento: Os ficheiros de rexistro do servidor almacénanse durante un máximo de 30 días e despois elimínanse automaticamente.

20. Cookies e Almacenamento Local en biscotti-cmp.com

20.1 Uso propio de Biscotti CMP

Para a xestión dos consentimentos necesarios na nosa propia páxina web (biscotti-cmp.com), utilizamos o noso propio produto „Biscotti CMP".

20.2 Cookies tecnicamente necesarias

Finalidade: Garantir a funcionalidade do sitio web e do panel de control.

Base xurídica: Art. 6 Abs. 1 lit. f DSGVO (interese lexítimo na funcionalidade técnica) en relación co § 25 Abs. 2 Nr. 2 TDDDG (as cookies tecnicamente necesarias están exentas da obriga de consentimento).

Cookies tecnicamente necesarias utilizadas:

• Cookie de sesión (token JWT para a autenticación, validez: 7 días)
• Cookie de consentimento (almacenamento da decisión de consentimento do visitante en biscotti-cmp.com)
• Cookie de preferencia de idioma

20.3 Cookies de análise (só con consentimento)

Finalidade: Avaliación estatística do uso do noso sitio web para mellorar a nosa oferta.

Base xurídica: Art. 6 Abs. 1 lit. a DSGVO (consentimento) en relación co § 25 Abs. 1 TDDDG.

Google Analytics 4: Utilizamos Google Analytics 4 para a avaliación estatística exclusivamente co seu consentimento. Provedor: Google Ireland Limited, Gordon House, Barrow Street, Dublín 4, Irlanda. O tratamento de datos realízase na UE. A anonimización de IP está activada.

20.4 Información detallada sobre cookies

Pode atopar información detallada sobre todas as cookies utilizadas en biscotti-cmp.com, incluíndo nome, finalidade, provedor, período de almacenamento e tipo, na nosa política de cookies separada.

21. Provedores de servizos externos / Destinatarios

Para a prestación dos nosos servizos, utilizamos os seguintes provedores de servizos externos. Esta lista corresponde ao § 24 das nosas Condicións Xerais e ao § 7 do noso Acordo de Tratamento de Datos:

Tecnoloxías autoaloxadas (non son subencargados do tratamento independentes):

• PostgreSQL (código aberto) — Base de datos relacional, autoaloxada en Hetzner (Falkenstein)
• Redis (código aberto) — Base de datos en memoria para o seguimento de sesións e o almacenamento en caché, autoaloxada en Hetzner (Falkenstein)
• Playwright (código aberto, Microsoft) — Navegador sen cabeza para o escaneo de sitios web, autoaloxado en Hetzner (Falkenstein)
• MinIO (código aberto) — Almacenamento de obxectos compatible con S3 para copias de seguridade, autoaloxado en Hetzner (Falkenstein)

Con estas tecnoloxías non se produce ningunha transmisión de datos a terceiros. Son parte da infraestrutura de Hetzner mencionada no Nº 5.

22. Transferencia a terceiros países

22.1 Principio xeral

O tratamento de datos persoais realízase, en principio, dentro da Unión Europea (UE) ou do Espazo Económico Europeo (EEE). A infraestrutura principal (Hetzner Online GmbH, Falkenstein) atópase en Alemaña.

22.2 Transferencias a terceiros países

Na medida en que un tratamento sexa realizado por provedores de servizos externos fóra da UE/EEE, aseguramos que se cumpran os requisitos especiais dos Art. 44 e seguintes do DSGVO:

(a) Resend (EUA):

• Garantía mediante as cláusulas contractuais tipo (SCCs) actuais da Comisión Europea conforme á Decisión de Execución (UE) 2021/914
• Garantía adicional mediante o Marco de Privacidade de Datos UE-EUA (DPF) conforme á Decisión de Adecuación da Comisión Europea do 10 de xullo de 2023
• Medidas técnicas complementarias: Cifrado TLS de todas as transmisións de correo electrónico
• O tratamento de datos realízase en servidores AWS na UE (rexión eu-west-1)

(b) Let's Encrypt (EUA):

• A comunicación con Let's Encrypt limítase á emisión automatizada de certificados SSL/TLS a través do protocolo ACME
• Transmítense exclusivamente nomes de dominio — non datos persoais de persoas físicas

(c) Cloudflare Turnstile (Global):

• Garantía mediante as cláusulas contractuais tipo (SCCs) da Comisión Europea
• Garantía adicional mediante o Marco de Privacidade de Datos UE-EUA
• O tratamento limítase á detección de bots nos procesos de inicio de sesión e rexistro

22.3 Avaliación do impacto da transferencia

Para cada transferencia a un terceiro país, realizamos unha avaliación do impacto da transferencia (Transfer Impact Assessment — TIA) para asegurar que o nivel de protección de datos no terceiro país corresponde esencialmente ao da UE. Os resultados da TIA están dispoñibles baixo solicitude.

22.4 Cambios na situación xurídica

No caso de que se revogue unha decisión de adecuación da Comisión Europea ou se prohiba unha transferencia a un terceiro país por unha autoridade de control ou un tribunal, informarémosle sen demora e tomaremos medidas de protección alternativas adecuadas ou cesaremos o tratamento afectado.

23. Período de almacenamento e prazos de eliminación

Almacenamos datos persoais só durante o tempo necesario para a finalidade de tratamento correspondente ou mentres existan obrigas legais de conservación. A continuación, unha visión xeral dos principais prazos de almacenamento:

Tras a eliminación da conta, todos os datos persoais serán eliminados de forma irreversible e conforme á protección de datos dos sistemas produtivos e das copias de seguridade despois do período de graza de 30 días, sen prexuízo das obrigas legais de conservación mencionadas anteriormente.

24. Dereitos das persoas interesadas (Art. 15–22 DSGVO)

Vostede, como persoa interesada, ten os seguintes dereitos en relación cos seus datos persoais:

24.1 Dereito de acceso (Art. 15 DSGVO)

Ten dereito a obter de nós confirmación de se estamos a tratar datos persoais que lle concirnen. Se é o caso, ten dereito a acceder a eses datos persoais e á información mencionada no Art. 15 Abs. 1 DSGVO (finalidades do tratamento, categorías de datos persoais, destinatarios, período de almacenamento previsto, orixe dos datos, existencia de decisións automatizadas).

Implementación técnica: Pode consultar os datos da súa conta en calquera momento no panel de control. Os datos de consentimento pódense descargar mediante a función de exportación (CSV). Os visitantes do sitio web poden consultar os seus datos de consentimento almacenados na páxina pública de consulta de consentimento, introducindo o seu ID de consentimento.

24.2 Dereito de rectificación (Art. 16 DSGVO)

Ten dereito a obter sen demora a rectificación dos datos persoais inexactos que lle concirnan. Tendo en conta os fins do tratamento, ten dereito a que se completen os datos persoais incompletos.

Implementación técnica: Os datos da conta (nome, correo electrónico, empresa, enderezo) pódense rectificar en calquera momento no panel de control.

24.3 Dereito de supresión (Art. 17 DSGVO)

Ten dereito a obter sen demora a supresión dos seus datos persoais, sempre que se cumpra algunha das razóns mencionadas no Art. 17 Abs. 1 DSGVO (por exemplo, os datos xa non son necesarios para a finalidade, revogación do consentimento, tratamento ilícito).

Implementación técnica: Pode solicitar a eliminación da súa conta en calquera momento a través do panel de control ou por correo electrónico a [email protected]. Ao eliminar a conta, todos os datos persoais son eliminados de forma irreversible, sen prexuízo das obrigas legais de conservación (véxase a sección 23). Os datos de consentimento poden ser eliminados polo cliente (operador do sitio web) a través das funcións do panel de control.

Restricións: O dereito de supresión non existe na medida en que o tratamento sexa necesario para o cumprimento dunha obriga legal (por exemplo, obrigas de conservación fiscais e mercantís).

24.4 Dereito á limitación do tratamento (Art. 18 DSGVO)

Ten dereito a obter a limitación do tratamento cando se cumpra algunha das condicións mencionadas no Art. 18 Abs. 1 DSGVO (por exemplo, impugnación da exactitude, tratamento ilícito, oposición conforme ao Art. 21 DSGVO).

Implementación técnica: A limitación de rexistros individuais pode solicitarse a través das funcións do panel de control ou contactando co noso soporte.

24.5 Dereito á portabilidade dos datos (Art. 20 DSGVO)

Ten dereito a recibir os datos persoais que lle concirnan e que nos proporcionou, nun formato estruturado, de uso común e lectura mecánica. Ten dereito a transmitir eses datos a outro responsable do tratamento sen impedimento.

Implementación técnica: Biscotti CMP ofrece amplas posibilidades de exportación de datos en formato CSV a través do panel de control e da API REST. Pódense exportar: datos de consentimento, configuracións do sitio web, resultados de escaneo, textos legais, rexistros de auditoría e facturas.

24.6 Dereito de oposición (Art. 21 DSGVO)

Ten dereito a opoñerse en calquera momento, por motivos relacionados coa súa situación particular, ao tratamento de datos persoais que lle concirnan e que se basee no Art. 6 Abs. 1 lit. f DSGVO (interese lexítimo). Deixaremos de tratar os datos persoais, salvo que poidamos demostrar motivos lexítimos imperiosos para o tratamento que prevalezan sobre os seus intereses, dereitos e liberdades, ou que o tratamento sexa necesario para a formulación, o exercicio ou a defensa de reclamacións legais.

24.7 Dereito a retirar o consentimento (Art. 7 Abs. 3 DSGVO)

Na medida en que o tratamento se basee no seu consentimento (Art. 6 Abs. 1 lit. a DSGVO), ten dereito a retirar o consentimento en calquera momento. A retirada do consentimento non afectará á licitude do tratamento realizado con base no consentimento antes da súa retirada.

Implementación técnica para visitantes do sitio web: O banner de consentimento de Biscotti CMP ofrece aos usuarios finais a función de acceder e revocar as configuracións realizadas en calquera momento. A revogación é tan sinxela como a concesión do consentimento.

Implementación técnica para boletíns: Cada correo electrónico do boletín contén unha ligazón para darse de baixa.

24.8 Dereito a presentar unha reclamación ante unha autoridade de control (Art. 77 DSGVO)

Ten dereito a presentar unha reclamación ante unha autoridade de control de protección de datos sobre o tratamento dos seus datos persoais por parte de nós. A autoridade de control competente para nós é:

A Delegada de Protección de Datos e do Dereito de Acceso a Expedientes de Brandeburgo
Stahnsdorfer Damm 77
14532 Kleinmachnow
Teléfono: +49 33203 356-0
Correo electrónico: [email protected]

Non obstante, tamén pode dirixirse á autoridade de control do seu lugar de residencia habitual ou do seu lugar de traballo.

24.9 Contacto para o exercicio dos seus dereitos

Para o exercicio dos seus dereitos, póñase en contacto con:

Correo electrónico: [email protected]
Teléfono: +49 3322 50703301
Correo postal: Campcruisers GmbH, Berliner Str. 21 B, 14612 Falkensee, Alemaña

Tramitaremos a súa solicitude sen demora, e en calquera caso, nun prazo máximo dun mes desde a súa recepción (Art. 12 Abs. 3 DSGVO). En casos complexos ou cando haxa un gran número de solicitudes, este prazo poderá prorrogarse dous meses máis, informándolle diso e dos motivos da prórroga.

25. Toma de decisións automatizadas (Art. 22 DSGVO)

25.1 Xeración de texto por IA

No marco da Legal Suite, os textos legais son xerados por Intelixencia Artificial (Alibaba Cloud Qwen). Esta xeración de texto constitúe un tratamento automatizado, pero non unha toma de decisións automatizada no sentido do Art. 22 Abs. 1 DSGVO, xa que:

• Os textos xerados non producen efectos xurídicos sobre a persoa interesada nin a afectan de forma significativa de xeito similar.
• Os textos son só borradores que deben ser revisados, editados e aprobados polo cliente antes do seu uso.
• Ningunha decisión se basea exclusivamente nun tratamento automatizado — o cliente sempre mantén o control total sobre o uso dos textos xerados.

25.2 Categorización de cookies asistida por IA

A categorización automática de cookies por IA (Esenciais, Funcionais, Análise, Marketing) constitúe unha función de apoio. O cliente pode revisar e axustar a categorización manualmente en calquera momento. Non se trata dunha toma de decisións automatizada no sentido do Art. 22 DSGVO.

25.3 Detección de bots

A detección automatizada de bots (cf. sección 16) decide automaticamente se un acceso se clasifica como humano ou automatizado. Esta decisión ten implicacións na contaxe de sesións e, polo tanto, na facturación. Dado que a decisión afecta exclusivamente ao cliente (non ao visitante do sitio web) e o cliente pode rastrexar a contaxe de sesións no panel de control, non existe unha toma de decisións automatizada no sentido do Art. 22 DSGVO que afecte significativamente a unha persoa interesada.

25.4 Puntuación de saúde de cumprimento

O cálculo automatizado da puntuación de saúde de cumprimento (A–F) no marco da auditoría de políticas (cf. sección 9) constitúe unha función de información e apoio. A puntuación non ten efecto xurídico e serve exclusivamente para informar ao cliente.

25.5 Aviso de transparencia conforme á Lei de IA da UE

Utilizamos sistemas de IA (Alibaba Cloud Qwen) para a xeración de texto, a categorización de cookies e a análise de políticas. Conforme ás obrigas de transparencia do Regulamento (UE) 2024/1689 (Lei de IA da UE), indicamos que:

• Os contidos xerados por IA son identificados como tales.
• A IA simula diferentes roles de expertos xurídicos — non se trata dunha revisión por avogados reais.
• Recomendamos encarecidamente que os textos legais xerados por IA sexan revisados por un avogado cualificado antes do seu uso produtivo.

26. Modificacións da política de privacidade

Reservámonos o dereito de adaptar esta política de privacidade para axustala a cambios na lexislación, desenvolvementos técnicos ou novas funcionalidades de Biscotti CMP. A versión actual está dispoñible en calquera momento na nosa páxina web en biscotti-cmp.com/de/datenschutz.

En caso de cambios significativos que afecten os seus dereitos ou a natureza do tratamento de datos, informarémosle por correo electrónico á dirección de correo electrónico rexistrada na súa conta. Recomendámosle que revise esta política de privacidade regularmente.

27. Autoridade de control competente

A autoridade de control de protección de datos competente para Campcruisers GmbH é:

A Delegada de Protección de Datos e do Dereito de Acceso a Expedientes de Brandeburgo
Stahnsdorfer Damm 77
14532 Kleinmachnow
Alemaña
Teléfono: +49 33203 356-0
Correo electrónico: [email protected]
Páxina web: https://www.lda.brandenburg.de

Seguridade dos datos

Implementamos medidas de seguridade técnicas e organizativas exhaustivas conforme ao Art. 32 DSGVO para protexer os seus datos persoais. Estas inclúen, en particular:

• Cifrado na transmisión: TLS 1.2/1.3 para todas as transmisións de datos, imposición de HTTPS (HSTS)
• Cifrado en repouso: Cifrado AES-256 de todas as bases de datos e medios de almacenamento na Hetzner Online GmbH, AES-256-GCM para datos de configuración sensibles (chaves API, chaves BYOK)
• Pseudonimización: Os datos de consentimento vincúlanse con IDs de consentimento pseudónimas, os enderezos IP anonimízanse a hashes de IP
• Control de acceso: Control de acceso baseado en roles (RBAC), principio de mínima concesión de dereitos, separación lóxica de clientes
• Autenticación: Autenticación baseada en JWT, Cloudflare Turnstile para a protección contra ataques de bots
• Copia de seguridade e recuperación: Copias de seguridade automáticas diarias con cifrado AES-256 e verificación de integridade SHA-256
• Rexistro de auditoría: Sistema de rexistro completo para todas as accións relevantes para a seguridade

As medidas técnicas e organizativas (TOMs) completas están documentadas no § 8 do noso Acordo de Tratamento de Datos (AVV).