Política dePrivacidad

ESP CUSTOMS (en adelante, «el Bot», «nosotros» o «el Servicio») es un bot multifuncional de Discord con un dashboard web asociado. Esta Política de Privacidad describe qué información recopilamos cuando utilizas el Bot, el dashboard (https://dashboard.esp-customs) o cualquier integración oficial, y cómo la tratamos.

Al invitar al Bot a un servidor de Discord, iniciar sesión en el dashboard o comprar un plan ESP CUSTOMS+, aceptas las prácticas descritas en este documento. Si no estás de acuerdo, por favor no utilices el Servicio y desinstala el Bot del servidor donde lo hayas añadido.

Recopilamos únicamente los datos necesarios para que el Bot funcione, recordar tu configuración y operar los servicios contratados. No vendemos ni compartimos tu información con terceros con fines comerciales.

• Datos de Discord (OAuth2): Cuando inicias sesión con Discord, recibimos tu ID de usuario, nombre de usuario, avatar, email (si el scope email fue aprobado) y la lista de servidores donde eres miembro con sus roles (scope guilds). Estos datos se usan para identificarte, mostrar tu panel y aplicar los permisos por servidor.
• Tokens de acceso: Guardamos tokens de acceso a la API de Discord (no la contraseña) únicamente para que el Bot pueda ejecutar acciones en los servidores donde está autorizado. Los tokens nunca se exponen al frontend ni al cliente del navegador: viajan en cookies httpOnly firmadas (access_token, refresh_token, discord_token) emitidas por nuestro backend.
• Configuración de servidores: Mensajes de bienvenida y despedida, reglas de auto-moderación, configuración de niveles, colas de música, plantillas de tickets, canales de logs, suscripciones a Twitch/YouTube y cualquier otro ajuste que configures desde el dashboard. Esta información queda asociada al ID del servidor, no a personas concretas.
• Datos de uso del bot: Comandos ejecutados, IDs de usuarios que interactúan con el bot, mensajes de log de moderación y métricas agregadas (número de servidores, usuarios, eventos procesados). Se usan para auditoría, prevención de abuso y mejora del servicio.
• Datos de pago (ESP CUSTOMS+): Los pagos se procesan integramente en PayPal. No almacenamos números de tarjeta ni credenciales bancarias. Únicamente guardamos el ID de orden de PayPal, el plan adquirido, la fecha de la transacción y la fecha de expiración del beneficio, asociado a tu ID de Discord.

El dashboard utiliza cookies para mantenerte autenticado y proteger tu cuenta. Todas las cookies que contienen credenciales son httpOnly y están firmadas por el backend; el navegador nunca las expone a JavaScript del frontend.

• access_token: JWT de corta duración (≈15 minutos). Se envía automáticamente en cada petición al backend para identificarte.
• refresh_token: JWT de larga duración (≈6 días). Permite renovar el access_token sin pedirte que vuelvas a iniciar sesión. Se rota en cada renovación.
• discord_token: Token de la API de Discord encriptado en el servidor, necesario para que el bot ejecute acciones en los servidores donde está autorizado.
• auth_status: Cookie no-httpOnly con valor «1» que el frontend utiliza únicamente para saber si existe una sesión activa, sin acceder a los tokens.
• theme / color-theme: Cookies opcionales que guardan tu preferencia visual (modo claro/oscuro y color de acento). No contienen información personal.

Los datos recopilados se utilizan exclusivamente para:

• Operar el bot en los servidores donde está invitado (responder a comandos, moderar, reproducir música, etc.).
• Mostrar y guardar la configuración que realizas desde el dashboard.
• Verificar permisos del usuario y del bot en cada servidor (membresía, rol de propietario, capacidad de gestión).
• Procesar suscripciones a ESP CUSTOMS+ a través de PayPal y mantener el estado premium activo.
• Detectar y prevenir abuso, spam, ataques o uso fraudulento del Servicio.
• Cumplir obligaciones legales y responder a solicitudes válidas de autoridades competentes.

No vendemos ni alquilamos tu información personal. Solo compartimos datos con los siguientes terceros necesarios para prestar el Servicio:

• Discord (Discord Ireland Ltd.): Proveedor del OAuth2 y la API que utiliza el bot. Consulta su política en discord.com/policies/privacy.
• PayPal: Procesador de pagos para ESP CUSTOMS+. Solo recibe los datos necesarios para completar la transacción; no le enviamos tu configuración del bot.
• Twitch / YouTube / Google: Si activas las integraciones de redes sociales, el bot se conecta a estas plataformas mediante OAuth2. Puedes revocar el acceso en cualquier momento desde tu cuenta de cada proveedor.
• Proveedores de infraestructura: El servicio se aloja en proveedores cloud (servidor Node.js + base de datos MongoDB). Estos proveedores tratan los datos en nuestro nombre bajo acuerdos de procesamiento de datos.
• Requerimiento legal: Únicamente si una autoridad competente lo solicita por mandato legal firme.

Aplicamos medidas técnicas y organizativas razonables para proteger tu información:

• Autenticación basada en JWT firmados con claves secretas que rotamos periódicamente.
• Cookies httpOnly, Secure (en producción) y SameSite=Lax para mitigar ataques XSS y CSRF.
• Cifrado en tránsito (HTTPS/TLS) para todas las comunicaciones entre cliente, dashboard y backend.
• Contraseñas y secretos hasheados/almacenados en variables de entorno, nunca en el código fuente.
• Validación de permisos por servidor: el bot verifica membresía y permisos del usuario antes de ejecutar acciones sensibles.
• Acceso restringido a la base de datos y a los registros para el personal autorizado.

Conservamos tus datos mientras tu cuenta esté activa o mientras sea necesario para prestarte el Servicio. En particular:

• Los datos de configuración de un servidor se conservan mientras el bot siga invitado o hasta que el propietario solicite su borrado.
• Los registros de moderación y logs se conservan hasta 90 días, salvo que el administrador del servidor haya configurado un periodo distinto.
• Los datos de pago (ID de orden PayPal) se conservan el tiempo exigido por la normativa fiscal aplicable (mínimo 4 años en la mayoría de jurisdicciones).
• Tras cerrar sesión y eliminar la cuenta, los datos personales identificables se eliminan en un plazo máximo de 30 días, salvo aquellos que debamos conservar por obligación legal.

Puedes ejercer en cualquier momento los siguientes derechos respecto a tus datos personales:

• Acceso: solicitar una copia de los datos personales que tenemos sobre ti.
• Rectificación: corregir datos inexactos o incompletos desde el dashboard o solicitándolo por email.
• Supresión: solicitar la eliminación de tu cuenta y de los datos asociados (excepto los que debamos conservar por ley).
• Oposición y limitación: oponerte a tratamientos específicos o solicitar que limitemos su uso.
• Portabilidad: recibir tus datos en un formato estructurado y de uso común (JSON).
• Revocación del consentimiento: retirar los scopes de Discord en cualquier momento desde tu configuración de usuario en Discord.

El Servicio está dirigido a usuarios mayores de 16 años (o la edad mínima exigida por la normativa aplicable de tu país para usar Discord y servicios online). Si detectamos que un menor nos ha proporcionado datos sin el consentimiento de sus tutores legales, procederemos a eliminarlos.

Podemos actualizar esta Política de Privacidad para reflejar cambios legales, técnicos o del Servicio. Cuando lo hagamos, modificaremos la fecha de «Última actualización» y, si los cambios son sustanciales, lo notificaremos mediante un anuncio en el dashboard o en el servidor de soporte de Discord.

Te recomendamos revisar esta página periódicamente. El uso continuado del Servicio después de un cambio constituye la aceptación de la nueva política.

Si tienes preguntas, solicitudes o quejas sobre esta Política de Privacidad o sobre el tratamiento de tus datos, puedes contactarnos a través de:

• Servidor de soporte en Discord: https://discord.gg/cqrN3Eg
• Email de privacidad: [email protected] (ejemplo)
• Repositorio del proyecto y reportar issues: https://github.com/SrGobi