Política de privacidad

1. Quiénes somos y qué cubre esta política

Exylia Hosting (el "Servicio") es un servicio de hosting de servidores de juego formado por la tienda y área de clientes en hosting.exylia.net y el panel de servidores en panel.exylia.net. Lo opera Cristobal Aranda, persona natural domiciliada en Chile ("nosotros"), que es el responsable de los datos personales descritos en esta política. Contacto: [email protected].

Esta política cubre a quienes visitan nuestros sitios, crean una cuenta o contratan un servicio ("tú"). Los datos que tú tratas dentro de tu propio servidor de juego (por ejemplo, los de tus jugadores) los decides tú: respecto de ellos eres el responsable y nosotros solo los alojamos para prestarte el Servicio.

2. Qué datos tratamos

• Cuenta de Discord: al iniciar sesión pedimos a Discord los permisos "identify" y "email" y recibimos tu ID de usuario, tu nombre de usuario, tu nombre visible, la dirección de tu avatar y tu correo verificado. Guardamos además los tokens que Discord entrega al iniciar sesión, vinculados a tu cuenta; no los usamos para leer nada más. Nunca recibimos tu contraseña, tus servidores ni tus mensajes de Discord.
• Usuario del panel: con tu primer inicio de sesión creamos tu usuario en el panel de servidores con tu correo, un nombre de usuario basado en el de Discord y el identificador de tu cuenta. Si defines una contraseña SFTP, la enviamos al panel y no la guardamos en la tienda; registramos los intentos de cambio para limitar abusos.
• Compras y facturación: tu carrito, facturas (planes, extras, región, montos, moneda, cupones y fechas), saldo a favor y sus movimientos, y tus servicios (plan, configuración, estado, fechas de renovación y el servidor asociado en el panel).
• Pagos: método, monto, moneda, estado y la referencia que entrega el procesador, junto con la confirmación que el procesador nos envía. Según el procesador, esa confirmación puede incluir tu nombre, correo, país e identificador de pagador en PayPal y, en Tebex, tu nombre, correo, país y la dirección IP desde la que pagaste. Nunca recibimos ni guardamos datos de tu tarjeta.
• Comprobantes de pago manual: si pagas por transferencia u otro método manual, la referencia o la imagen del comprobante que subes, que puede mostrar tu nombre, banco y datos de la operación.
• Programa de afiliados: si llegas por un link de afiliado y aceptas las cookies opcionales, el vínculo entre tu cuenta y quien te refirió, si compraste y la comisión generada. Si eres afiliado, tu código, el número de clics en tu link (solo el total, sin datos de quien hace clic) y tus comisiones.
• Comunicaciones: los correos que te enviamos sobre tus servicios y los mensajes que nos envías por correo o por tickets en nuestro Discord.
• Datos técnicos: cuando visitas nuestros sitios, nuestro proveedor de red y nuestros servidores tratan tu dirección IP, el agente de usuario de tu navegador y la URL solicitada para entregar la página y protegerla de abusos. La tienda no guarda tu dirección IP en su base de datos. El panel de servidores puede registrar la actividad de tu cuenta y de tus servidores, incluida la dirección IP desde la que accedes, por seguridad.
• Analítica de uso, solo si aceptas las cookies opcionales: Google Analytics y Microsoft Clarity reciben las páginas que visitas (dirección y título), la página de procedencia, tu dispositivo, navegador y sistema operativo, el tamaño de pantalla, una ubicación aproximada que ellos derivan de tu dirección IP, y tus clics y desplazamientos. Clarity graba además la sesión (grabaciones y mapas de calor); en tu cuenta, el carrito, el pago, el menú de tu cuenta y la administración todo el texto se oculta en las grabaciones.
• Contenido de tus servidores: los archivos, mundos, configuraciones, bases de datos y registros de tus servidores. Solo accedemos a ellos cuando es necesario para prestar el Servicio, darte soporte a tu pedido, investigar un abuso o cumplir la ley.

No usamos tus datos para perfilarte ni para publicidad, no mostramos publicidad de terceros y no vendemos ni arrendamos datos personales.

3. Para qué usamos los datos y con qué base legal

• Para crear tu cuenta, procesar tus compras, crear y mantener tus servidores, renovar, facturar y avisarte de vencimientos, suspensiones y cancelaciones. Base: ejecución del contrato (art. 6.1.b RGPD) y, en Chile, la relación contractual (Ley 19.628).
• Para cumplir obligaciones contables y tributarias y responder a requerimientos legítimos de autoridades. Base: obligación legal (art. 6.1.c RGPD).
• Para mantener el Servicio seguro: prevenir fraude y abusos, investigar incumplimientos de la Política de uso aceptable, diagnosticar errores y defender nuestros derechos. Base: nuestro interés legítimo en operar un servicio seguro (art. 6.1.f RGPD).
• Para medir y mejorar el sitio con analítica de uso y grabaciones de sesión (Google Analytics y Microsoft Clarity). Base: tu consentimiento (art. 6.1.a RGPD; en Chile, el consentimiento de la Ley 19.628 y la Ley 21.719), que puedes retirar cuando quieras desde el enlace "Cookies" del pie de página.
• Para atribuir tu registro al afiliado cuyo link usaste, mediante la cookie exylia_ref. Base: tu consentimiento a las cookies opcionales para guardar la cookie; el vínculo y la comisión que resultan se tratan después por nuestro interés legítimo y el del afiliado, y el contrato con el afiliado.
• Para atender tus consultas y comunicarte cambios en nuestros términos y políticas. Base: ejecución del contrato e interés legítimo.

No tomamos decisiones basadas únicamente en tratamiento automatizado que produzcan efectos jurídicos o igualmente significativos sobre ti. La suspensión automática por falta de pago sigue los plazos de los Términos del servicio, se avisa antes por correo y se revierte al pagar.

4. Cookies y almacenamiento local

No usamos cookies de publicidad. Las cookies estrictamente necesarias funcionan siempre; las opcionales (analítica y afiliados) solo se guardan si aceptas en el aviso de cookies. Aceptar y rechazar pesan lo mismo, y nada opcional se carga antes de que elijas.

Cookies estrictamente necesarias:

• authjs.session-token: mantiene tu sesión iniciada. 30 días, renovada mientras usas el sitio. Estrictamente necesaria.
• authjs.csrf-token, authjs.callback-url, authjs.pkce.code_verifier y authjs.state: protegen el inicio de sesión con Discord y te devuelven a la página donde estabas. Duran la sesión del navegador o 15 minutos. Estrictamente necesarias. (En producción llevan el prefijo __Secure- o __Host-.)
• exylia_cart: guarda tu carrito antes de que inicies sesión. 30 días. Estrictamente necesaria para comprar.
• exylia_consent: guarda tu elección sobre las cookies opcionales (granted o denied) en el dominio .exylia.net, así la misma elección vale en todos los sitios de Exylia. 180 días.
• El tema (claro u oscuro) se guarda en el almacenamiento local de tu navegador (exylia-theme) y nunca sale de tu dispositivo.

Cookies opcionales, solo si aceptas:

• Google Analytics (Google LLC): _ga y _ga_<id>, 2 años. Distinguen visitas para medir el uso del sitio. Funciona con las señales de publicidad desactivadas (sin Google Signals ni personalización de anuncios).
• Microsoft Clarity (Microsoft Corporation): _clck (1 año), _clsk (1 día), CLID (1 año) y MUID (1 año). Agrupan las páginas de una visita para las grabaciones de sesión y los mapas de calor.
• exylia_ref: si llegas por un link de afiliado, guarda el código del afiliado para atribuirle tu registro. 30 días; cuenta el primer link que usaste. No es necesaria para comprar ni para usar el Servicio, por eso solo se crea si aceptas; si rechazas, tu registro no se atribuye a ningún afiliado. Si ya aceptaste las cookies opcionales en otro sitio de Exylia, se crea al entrar por el link.

Puedes cambiar tu elección cuando quieras desde el enlace "Cookies" del pie de página. Si retiras el consentimiento, borramos esas cookies de tu navegador, dejamos de cargar la analítica y recargamos la página; el tratamiento anterior al retiro sigue siendo válido.

Algunas páginas cargan recursos de terceros: tu avatar desde cdn.discordapp.com y, en el pago, el script de Tebex desde js.tebex.io. Para cargarlos, tu navegador se conecta a esos servicios, que reciben tu dirección IP.

5. Quién recibe los datos

La tienda, el panel, las bases de datos y el almacenamiento de comprobantes funcionan en servidores que operamos nosotros. Solo compartimos datos personales con los terceros necesarios para prestar el Servicio:

• Cloudflare, Inc. (Estados Unidos; red global): DNS, TLS y protección de red. Todo el tráfico hacia nuestros dominios pasa por Cloudflare.
• Discord Inc. (Estados Unidos): inicio de sesión con Discord y, si nos escribes por ahí, los tickets de soporte.
• PayPal (Europe) S.à r.l. et Cie, S.C.A. o la entidad de PayPal que te corresponda: procesa los pagos con PayPal como responsable independiente, conforme a su propia política de privacidad. Le enviamos solo el monto y un identificador interno del pago.
• Tebex Limited (Reino Unido): cuando pagas con Tebex, actúa como comerciante registrado y responsable independiente de los datos que le entregas al pagar, conforme a su propia política de privacidad. Para crear el pago le enviamos tu correo, tu nombre, los productos de tu compra y un identificador interno del pago.
• Nuestro proveedor de correo saliente, que entrega los correos sobre tus servicios.
• Google LLC (Estados Unidos), con Google Analytics, y Microsoft Corporation (Estados Unidos), con Microsoft Clarity, solo si aceptas las cookies opcionales: reciben los datos de uso descritos en la sección 2 para darnos estadísticas, grabaciones y mapas de calor. No les pedimos publicidad ni les vendemos datos.

Si eres referido por un afiliado, el afiliado ve en su cuenta tu nombre visible (o tu correo, si no tienes nombre), si compraste y la comisión que generó tu compra. No ve tus servicios ni tus pagos.

Podemos comunicar datos cuando lo exija la ley, un tribunal o una autoridad competente, y para defender nuestros derechos o investigar un abuso.

6. Cuánto tiempo conservamos los datos

• Cuenta: mientras la mantengas. Si no tiene facturas ni movimientos, la eliminamos junto con tu usuario del panel cuando nos lo pidas.
• Facturas, pagos, comprobantes, movimientos de saldo y servicios: los conservamos mientras sean necesarios para cumplir obligaciones contables y tributarias y para atender reclamos (en Chile, en general hasta 6 años desde el fin del año del pago). Por eso no podemos eliminar del todo una cuenta con historial de compras antes de ese plazo; si nos lo pides, eliminamos o anonimizamos lo que no sea necesario para ello.
• Servidores: sus archivos se eliminan del panel cuando el servicio se cancela o se elimina por falta de pago, como describen los Términos del servicio.
• Carritos sin iniciar sesión: mientras la cookie exylia_cart siga vigente y hasta que limpiemos los carritos abandonados.
• Correos y tickets de soporte: el tiempo necesario para atender el asunto y hasta 2 años después, salvo que la ley exija más.
• Registros técnicos: por el tiempo limitado necesario para seguridad y diagnóstico, tras el cual se rotan.
• Analítica: Google Analytics conserva los datos de usuario y de eventos 14 meses; Microsoft Clarity conserva las grabaciones 30 días.

7. Transferencias internacionales

Nuestros servidores están en Chile, y algunos terceros de la sección 5 están en Estados Unidos, el Reino Unido o la Unión Europea. Google LLC y Microsoft Corporation, que reciben la analítica si la aceptas, están en Estados Unidos y certificados en el Marco de Privacidad de Datos UE-EE. UU. Cuando se transfieren datos del Espacio Económico Europeo, el Reino Unido o Suiza a un país sin decisión de adecuación, nos basamos en las garantías de esos proveedores, como el Marco de Privacidad de Datos UE-EE. UU. o las Cláusulas Contractuales Tipo de la Comisión Europea, y en que la transferencia es necesaria para ejecutar el contrato que solicitas.

8. Seguridad

Protegemos los datos con medidas adecuadas al riesgo, entre ellas:

• Cifrado en tránsito (HTTPS/TLS) para todo el tráfico hacia nuestros dominios.
• Sesiones firmadas y cifradas, y un inicio de sesión delegado en Discord, sin contraseñas propias que puedan filtrarse.
• Acceso a la administración restringido por roles, y comprobantes de pago accesibles solo para el personal mediante enlaces firmados de corta duración.
• Sin datos de tarjetas: los pagos con tarjeta los procesan PayPal o Tebex.

Ningún sistema es completamente seguro. Si ocurre una brecha que afecte a tus datos personales, lo notificaremos sin dilación indebida a la autoridad competente y a ti cuando la ley lo exija.

9. Tus derechos

Según dónde vivas, tienes derecho a acceder a tus datos, rectificarlos, suprimirlos, limitar u oponerte a su tratamiento, recibirlos en un formato portable y retirar el consentimiento que hayas dado, sin afectar el tratamiento anterior. En Chile, la Ley 19.628 reconoce los derechos de acceso, rectificación, cancelación y bloqueo, y desde la entrada en vigor de la Ley 21.719 también los de oposición, portabilidad y a no ser objeto de decisiones automatizadas.

Puedes ver tus servicios, facturas y pagos en tu cuenta y cambiar tu nombre desde tu perfil. Para todo lo demás, escribe a [email protected] desde el correo de tu cuenta, o pídelo por un ticket en nuestro Discord con la misma cuenta. Responderemos sin dilación indebida y dentro del plazo que fije la ley aplicable (en el RGPD, un mes, prorrogable cuando sea necesario). Algunos datos de facturación no pueden suprimirse antes del plazo legal descrito en la sección 6.

Puedes reclamar ante una autoridad de protección de datos: en la Unión Europea, la de tu país de residencia o trabajo; en Chile, la Agencia de Protección de Datos Personales creada por la Ley 21.719 una vez que esté en funciones, o los tribunales conforme a la Ley 19.628. Te agradeceremos que nos des antes la oportunidad de resolverlo.

10. Menores de edad

Para contratar se requiere ser mayor de 18 años o contar con la autorización de un padre, madre o tutor. No tratamos a sabiendas datos de menores de 14 años sin el consentimiento de sus padres o tutores; si crees que ocurrió, escríbenos y los eliminaremos.

Si tu servidor de juego se dirige a menores, eres tú quien debe cumplir las obligaciones que correspondan respecto de los datos de tus jugadores.

11. Cambios y contacto

Actualizaremos esta política cuando cambie el Servicio o la ley, y mostraremos arriba la fecha de la última versión. Si un cambio afecta de forma importante al uso de tus datos personales, te lo avisaremos por correo al menos 30 días antes de que se aplique.

Preguntas o solicitudes: [email protected].