Política de Privacidad

Fecha de entrada en vigor: 21 de febrero de 2026

1. Introducción

Bitbase (en adelante, «nosotros») opera una plataforma de negociación de criptomonedas accesible a través de www.Bitbase.com y nuestras aplicaciones móviles (colectivamente, la «Plataforma»). Esta Política de Privacidad (en adelante, la «Política») explica cómo recopilamos, utilizamos, almacenamos, divulgamos, transmitimos y protegemos sus datos personales cuando utiliza la Plataforma y los servicios asociados. Esta Política se aplica a todos los usuarios de la Plataforma, incluidos usuarios particulares, clientes institucionales y visitantes del sitio web (en adelante, «usted»).

Esta Política es parte integrante de los Términos de Uso y se aplica conjuntamente con ellos. Al registrarse en una cuenta o utilizar los servicios pertinentes, usted declara haber leído y comprendido esta Política y acepta que tratemos sus datos personales de acuerdo con ella. Si no acepta algún aspecto de esta Política, no utilice la Plataforma. Salvo que se defina lo contrario en esta Política, todos los términos en mayúsculas utilizados en esta Política tienen el significado que se les atribuye en los Términos de Uso.

Podemos actualizar esta Política de vez en cuando. La versión más reciente se publicará siempre en la Plataforma. En caso de modificaciones sustanciales, le informaremos de acuerdo con la Sección 22.

2. Su Consentimiento

Para garantizar la transparencia y aumentar su confianza en nuestra recopilación, uso y protección de datos personales, le recomendamos que lea atenta e íntegramente esta Política de Privacidad. Tanto si tiene una cuenta registrada como si no, al acceder a la Plataforma o iniciar sesión en ella, usted declara haber leído, comprendido y aceptado los términos de esta Política de Privacidad. En particular, usted reconoce y acepta lo siguiente:

• Usted proporciona sus datos personales voluntariamente y consiente explícitamente que los recopilemos, utilicemos, procesemos y divulguemos de acuerdo con esta Política de Privacidad.
• Usted acepta cumplir todos los términos, condiciones y regulaciones aplicables establecidos en esta Política de Privacidad.
• Usted acepta la recopilación y el procesamiento de sus datos personales al acceder a la Plataforma (incluyendo, pero no limitándose a, al iniciar sesión, registrar su cuenta y utilizar los servicios proporcionados por la Plataforma). Usted reconoce y acepta además que esta Política de Privacidad puede ser modificada, actualizada o revisada de vez en cuando; su acceso continuo o uso de la Plataforma después de dichas modificaciones se considerará como su aceptación de la Política de Privacidad actualizada.
• A menos que haya indicado explícitamente que no desea recibir información, usted acepta que nuestras sucursales, afiliadas, entidades relacionadas y empleados puedan ponerse en contacto con usted sobre productos, servicios, promociones u otra información que pueda ser de su interés.

3. Ámbito de Aplicación

Esta Política se aplica a los datos personales que recopilamos y procesamos en las siguientes circunstancias:

• El registro y mantenimiento de su cuenta;
• Su uso de cualquiera de los servicios proporcionados por la Plataforma;
• Los procedimientos de identificación y cumplimiento de Prevención de Lavado de Activos y Financiación del Terrorismo (ALD/CFT) relacionados con la apertura de su cuenta y nuestra relación continuada;
• Sus comunicaciones con nosotros, incluso a través del servicio de atención al cliente, correos electrónicos y chat en línea;
• Su acceso a nuestro sitio web y el uso de nuestra aplicación móvil; y
• Cualquier otra interacción que tenga con nosotros al utilizar la Plataforma.

Esta Política no se aplica a las prácticas de privacidad de sitios web, aplicaciones o servicios de terceros accesibles a través de enlaces en la Plataforma. Antes de proporcionar datos personales a dichos terceros, le recomendamos que consulte sus respectivas políticas de privacidad.

4. Datos Personales que Recopilamos — Lista Completa

Recopilamos datos personales de múltiples fuentes, incluyendo: información que usted proporciona directamente, información recopilada automáticamente cuando utiliza la Plataforma, información proporcionada por nuestros prestadores de servicios externos, información de fuentes públicas y registros, e información recibida de proveedores de servicios de activos virtuales (VASP) contrapartes como parte de nuestras obligaciones de cumplimiento de la Regla de Viaje (Travel Rule).

La tabla siguiente presenta una lista completa de las categorías de datos personales que recopilamos, los elementos de datos específicos, los métodos de recopilación, las finalidades del procesamiento y las bases jurídicas correspondientes.

 

 

Categoría	Elementos de Datos	Método de Recopilación	Finalidad del Procesamiento	Base Jurídica
Datos de Identidad	Nombre completo; Fecha de nacimiento; Sexo; Nacionalidad; Ciudadanía; Lugar de nacimiento; Número de documento de identidad personal/número de cédula de identidad nacional; Documentos de identificación emitidos por el gobierno (pasaporte, cédula de identidad, licencia de conducir), incluyendo: tipo de documento, país de emisión, número de documento, fecha de caducidad, zona de lectura óptica (MRZ), código de barras, características de seguridad e imágenes/digitalizaciones del documento.	Proporcionados directamente por usted durante el registro y el proceso KYC; y recopilados a través de nuestro prestador de servicios de verificación de identidad.	Apertura de cuenta; Verificación de identidad (KYC); Cumplimiento ALD/CFT; Prevención de fraude; Cumplimiento de obligaciones de informes regulatorios.	Obligación legal; Ejecución del contrato.
Imágenes Faciales y Datos Biométricos	Fotos selfie; Imágenes/digitalizaciones faciales en documentos de identidad; Plantillas faciales biométricas para comparación facial; Imágenes/vídeos de detección de vida (parpadeo, sonrisa, acciones indicadas); Grabaciones de verificación de identidad en vídeo; Comparaciones para detección de cuentas duplicadas.	Recopilados a través de nuestro prestador de servicios de verificación de identidad durante el proceso KYC.	Autenticación de identidad; Detección de vida; Detección de fraude/deepfake/simulador; Detección de cuentas duplicadas; Cumplimiento ALD/CFT.	Consentimiento explícito; Interés público significativo (ALD/CFT).
Información de Contacto	Dirección de correo electrónico; Número de teléfono; Dirección postal/residencial; Código postal; Ciudad; País de residencia.	Proporcionados directamente por usted.	Gestión de cuenta; Prestación de servicios; Comunicaciones; Verificación de dirección; Controles ALD.	Ejecución del contrato; Obligación legal.
Datos Financieros	Información de cuenta bancaria (al utilizar servicios en moneda fiduciaria); Información de tarjeta de pago (solo los 6 primeros y 4 últimos dígitos); Cantidades en moneda fiduciaria; Información del método de pago.	Proporcionados directamente por usted durante los procesos de depósito/retiro en moneda fiduciaria; recopilados a través de prestadores de servicios de pago.	Procesamiento de depósitos/retiros en moneda fiduciaria; Verificación de pagos; Prevención de fraude.	Ejecución del contrato; Obligación legal.
Datos de Transacción y Comportamiento Comercial	Direcciones de cartera (depósitos y retiros); Historial completo de transacciones y órdenes (par de negociación, precio, volumen, marca de tiempo, tipo); Historial de depósitos y retiros (importe, activo, fecha, hash de la transacción en cadena, dirección de la contraparte); Historial de saldo de la cuenta; Posiciones abiertas; Historial de tasas de financiación; Historial de liquidaciones forzadas; Historial de ganancias y pérdidas.	Generados automáticamente cuando usted utiliza la Plataforma.	Prestación de servicios; Monitoreo de transacciones ALD/CFT; Informes de cumplimiento; Resolución de disputas; Obligaciones fiscales.	Ejecución del contrato; Obligación legal.
Datos On-Chain y Blockchain	Direcciones de cartera blockchain; IDs y hashes de transacciones on-chain; Tipo y cantidad de activos; Dirección de cartera de la contraparte; Puntuaciones de riesgo de análisis blockchain; Resultados de cribado de carteras; Datos de la Regla de Viaje (nombre, dirección o número de identificación nacional o fecha/lugar de nacimiento del remitente/destinatario, número de cuenta del remitente/beneficiario, identificador del proveedor de servicios de activos virtuales).	Obtenidos de datos on-chain; a través de prestadores de servicios de análisis blockchain; a través de VASP contrapartes (Regla de Viaje).	Cumplimiento ALD/CFT; Cumplimiento de la Regla de Viaje; Cribado de sanciones; Detección de fraude; Identificación de propiedad de carteras.	Obligación legal; Interés legítimo.
Datos de Verificación de Identidad, Riesgo y Cumplimiento	Identificación y resultados de cribado de Personas Políticamente Expuestas (PEP); Resultados de cribado de sanciones (OFAC, UE, ONU y listas nacionales); Resultados de verificaciones en medios negativos; Indicadores de país/residencia de alto riesgo; Resultados de verificación de empresa cliente (KYB) (beneficiarios finales, administradores, estructura de la empresa, verificación de información de registro); Puntuaciones de riesgo de correo electrónico y número de teléfono; Señales de fraude basadas en dispositivo; Nivel de riesgo/Perfil de riesgo del cliente; Documentos de Debida Diligencia Reforzada (EDD).	A través de nuestro prestador de servicios de verificación de identidad; a través de herramientas de análisis blockchain y cumplimiento; de bases de datos regulatorias.	Cumplimiento ALD/CFT; Cumplimiento de sanciones; Evaluación de riesgo del cliente; Informes de cumplimiento; Prevención de fraude.	Obligación legal; Interés legítimo.
Datos de Empresas e Institucionales	Nombre legal y número de registro de la persona jurídica; Jurisdicción de constitución; Dirección registrada; Certificado de constitución; Documentos estatutarios; Declaración de Beneficiarios Finales (UBO); Información de administradores y directivos; Estructura organizativa de la empresa; Licencias y autorizaciones regulatorias; Información de firmantes autorizados.	Proporcionados directamente por el usuario institucional durante la incorporación; de registros públicos de empresas.	Apertura de cuenta institucional; Verificación de empresa cliente (KYB); Cumplimiento ALD/CFT; Obligaciones regulatorias.	Obligación legal; Interés legítimo.
Datos Técnicos del Dispositivo	Dirección IP; Identificadores de dispositivo (Android ID, IDFV, IDFA, OAID); Marca, modelo, tipo y versión del sistema operativo del dispositivo; Tipo y versión del navegador; Información de red (Wi-Fi SSID/BSSID, operador, dirección MAC, tipo de conexión); Atributos de hardware del dispositivo (nombre y tipo de la cámara); Lista de aplicaciones en ejecución (para control de riesgos); Marca de tiempo de la sesión; Página de origen/salida.	Recopilados automáticamente a través de nuestra Plataforma, aplicación móvil y SDKs.	Seguridad de la Plataforma; Detección de fraude; Detección de simuladores/robots; Control de acceso; Análisis.	Interés legítimo; Consentimiento (no esencial).
Datos de Comportamiento del Dispositivo	Resolución y tamaño de pantalla; Configuración de idioma de la sesión; Señales de verificación del sistema operativo; Eventos de foco/pérdida de foco de ventana; Eventos de pegado; Patrones de movimiento del ratón; Temporización de eventos de tecla; Patrones de eventos táctiles; Datos de uso de batería; Lecturas del acelerómetro/gravedad; Detección de modo de navegación privada.	Recopilados automáticamente durante sesiones en la Plataforma y procesos de verificación de identidad.	Detección de simuladores; Protección contra robots y ataques automatizados; Puntuación de fraude; Detección de vida.	Interés legítimo.
Datos de Uso y Comportamiento	Historial de inicios de sesión (marca de tiempo, dirección IP, dispositivo); Páginas visitadas; Funcionalidades y productos utilizados; Flujos de pedidos y patrones de negociación; Patrones y volumen de llamadas API; Duración de la sesión; Navegación dentro de la aplicación.	Recopilados automáticamente a través de la Plataforma.	Mejora de la Plataforma; Personalización de servicios; Monitoreo de la integridad del mercado; Detección de patrones ALD/CFT; Detección de abuso de API.	Interés legítimo; Consentimiento (opcional).
Datos de Comunicación y Soporte	Tickets de soporte al cliente e historiales de chat; Intercambios de correos electrónicos; Registros de disputas; Grabaciones en vídeo de entrevistas de verificación de identidad; Comentarios y respuestas a encuestas; Decisiones de verificación KYC y códigos de motivo de rechazo.	Proporcionados directamente por usted; generados durante interacciones con el soporte al cliente y procesos de verificación de identidad.	Soporte al cliente; Resolución de disputas; Garantía de calidad; Procedimientos legales; Pista de auditoría KYC.	Ejecución del contrato; Interés legítimo.
Datos de Marketing y Preferencias	Preferencias de comunicaciones de marketing (opt-in/opt-out); Preferencias de idioma; Señales de interés en productos; Datos de programa de referidos/afiliados; Comentarios sobre promociones.	Proporcionados directamente por usted; inferidos de su uso de la Plataforma.	Envío de comunicaciones de marketing (bajo consentimiento); Gestión de programas de afiliados; Mejora de productos.	Consentimiento; Interés legítimo.

4.1 Fuentes de Datos Personales

(a) Proporcionados directamente por usted Usted nos proporciona datos personales cuando: registra una cuenta; realiza la verificación de identidad (KYC); envía documentos de Debida Diligencia Reforzada (EDD); realiza depósitos y retiros; coloca órdenes o ejecuta operaciones; participa en productos financieros; se pone en contacto con nuestro equipo de soporte al cliente; responde a encuestas o participa en promociones; o se comunica con nosotros de otra manera.

(b) Recopilados automáticamente Cuando accede a la Plataforma o utiliza nuestra aplicación móvil, recopilamos automáticamente datos de dispositivo, direcciones IP, identificadores técnicos, datos de sesión y señales de comportamiento a través de la infraestructura de la Plataforma, SDKs móviles y cookies o tecnologías similares.

(c) De prestadores de servicios de verificación de identidad Contratamos prestadores de servicios de verificación de identidad externos para realizar, en nuestro nombre, KYC, verificación biométrica facial, autenticación de documentos, detección de vida, cribado de sanciones, verificación de PEP y detección de fraude. En este proceso, dichos prestadores de servicios tratan sus datos de identidad, biométricos, de contacto, de dispositivo y de cumplimiento como encargados del tratamiento según nuestras instrucciones. Los prestadores de servicios también pueden procesar algunos datos para sus propios fines independientes (incluyendo el desarrollo de servicios y la detección de fraude entre clientes). En ese caso, su procesamiento se rige por su propia política de privacidad, y las solicitudes de los interesados relacionadas con ese procesamiento deben dirigirse directamente al prestador. Puede encontrar un enlace a la política de privacidad del prestador de servicios de verificación de identidad actual en nuestro Centro de Ayuda.

(d) De la blockchain y fuentes de datos on-chain Nosotros y nuestros prestadores de servicios de análisis blockchain podemos acceder a datos on-chain disponibles públicamente, incluyendo direcciones de cartera, historiales de transacciones y registros blockchain, para cumplir con las obligaciones de ALD/CFT, cribado de sanciones y Regla de Viaje.

(e) De fuentes públicas y bases de datos de terceros Podemos recopilar información sobre usted de registros públicos de empresas (para KYB de clientes institucionales), registros de identidad gubernamentales, bases de datos de PEP y sanciones, fuentes de medios negativos, agencias de crédito al consumo y otras bases de datos públicas relacionadas con nuestras obligaciones de cumplimiento.

(f) De VASP contrapartes (Regla de Viaje) De acuerdo con la Regla de Viaje del GAFI, cuando usted inicia o recibe una transferencia de criptomonedas que supera los umbrales aplicables, podemos recibir datos personales (incluyendo información de identificación de remitentes y destinatarios) de VASP contrapartes.

4.2 Datos Biométricos y de Categorías Especiales

Recopilamos y procesamos datos biométricos (incluyendo plantillas de características faciales extraídas de sus fotos selfie e imágenes de sus documentos de identidad, así como grabaciones de detección de vida) como parte de nuestros procesos de verificación de identidad. De acuerdo con las leyes de protección de datos aplicables, los datos biométricos constituyen una categoría «especial» de datos personales y requieren un manejo especialmente cuidadoso. Las actividades de procesamiento específicas incluyen:

• Coincidencia facial con el documento: Comparación de su foto selfie con la imagen facial en su documento de identidad para confirmar que usted es el titular del documento.
• Detección de vida: Confirmación en tiempo real de que usted es una persona real, detectando intentos de fraude utilizando imágenes estáticas, vídeos, máscaras, deepfakes o simuladores. Es posible que se le solicite parpadear, sonreír o mover su dispositivo.
• Deduplicación biométrica: Comparación de su imagen facial con la de los usuarios ya verificados en la Plataforma para identificar intentos de creación de cuentas duplicadas.
• Reautenticación: Cuando realiza operaciones sensibles en su cuenta utilizando biometría, su imagen de detección de vida puede ser comparada con su registro biométrico almacenado anteriormente.
• Entrevistas de verificación de identidad por vídeo: Durante una entrevista en vídeo en directo, la grabación puede ser revisada por personal autorizado para fines de garantía de calidad y cumplimiento.

Procesamos datos biométricos sobre la base de su consentimiento explícito o cuando el interés público significativo lo exige, incluyendo el cumplimiento de las obligaciones ALD/CFT aplicables.

Puede retirar su consentimiento para el procesamiento de datos biométricos en cualquier momento utilizando la información de contacto proporcionada en esta Política de Privacidad. Tenga en cuenta que la retirada del consentimiento puede impedirnos completar el proceso de verificación de identidad y puede limitar o bloquear su acceso a ciertas funcionalidades o servicios de la Plataforma.

4.3 Datos que No Recopilamos

No recopilamos ni almacenamos la siguiente información: números completos de tarjetas de pago o códigos CVV; contraseñas de cuentas bancarias en línea; claves privadas o frases semilla de blockchain; o datos personales de personas menores de 18 años. Si descubrimos que hemos recopilado inadvertidamente datos de menores, los eliminaremos inmediatamente.

5. Finalidades del Procesamiento — Cómo Utilizamos Sus Datos

5.1 Apertura de Cuenta e Integración

Procesamos sus datos de identidad, contacto y financieros para establecer su cuenta, realizar procedimientos de verificación de identidad (KYC) y verificación de empresa (KYB), evaluar su elegibilidad para utilizar los servicios y establecer el nivel de su cuenta y los límites de transacción en función de un sistema de verificación gradual.

5.2 Ejecución de Transacciones y Prestación de Servicios Financieros

Procesamos sus datos de transacción, comportamiento comercial y financieros para ejecutar sus órdenes en el mercado al contado; gestionar sus posiciones en derivados y calcular márgenes, niveles de liquidación y tasas de financiación; facilitar depósitos y retiros de activos digitales; proporcionar acceso a productos financieros y calcular rendimientos; procesar transacciones de programas de referidos y afiliados; y proporcionar extractos de cuenta, confirmaciones de transacciones y datos para declaraciones fiscales.

5.3 Prevención de Lavado de Activos y Financiación del Terrorismo (ALD/CFT), Sanciones y Cumplimiento Regulatorio

Estamos obligados a cumplir con las leyes y regulaciones de ALD/CFT y sanciones, que exigen que verifiquemos la identidad de los usuarios, monitoreemos transacciones, realicemos verificaciones en listas de sanciones, reportemos actividades sospechosas y mantengamos registros. Para cumplir con estas obligaciones, procesamos sus datos de identidad, cumplimiento, transacción, on-chain y de la Regla de Viaje. Este procesamiento es obligatorio y no puede desactivarse; la provisión de estos datos es un requisito previo para la apertura de cuenta y la prestación de servicios.

Las actividades de cumplimiento específicas incluyen:

• Verificación de identidad KYC inicial y continua, incluyendo Debida Diligencia Reforzada (EDD);
• Verificación en tiempo real y periódica en las listas de PEP y sanciones de la OFAC, UE, Consejo de Seguridad de la ONU y listas nacionales;
• Monitoreo de transacciones ALD y reportes de actividades sospechosas;
• Monitoreo de la blockchain en el marco del programa «Conozca su Transacción» (KYT) para identificar actividades ilícitas;
• Cumplimiento de la Regla de Viaje — recopilación, verificación y transmisión de información del iniciador y beneficiario para transferencias de activos virtuales elegibles;
• Evaluación de riesgos y puntuación de riesgo del cliente;
• Verificación KYB de clientes institucionales;
• Declaraciones fiscales e intercambios de información con autoridades fiscales, según lo exija la ley.

5.4 Prevención de Fraude e Integridad del Mercado

Analizamos patrones de negociación, comportamiento comercial, señales de dispositivo y actividad de la cuenta para detectar y prevenir: tomas de control de cuenta y accesos no autorizados; fraude de identidad y falsificación de documentos; manipulación de mercado (incluyendo «wash trading», órdenes ficticias, órdenes en capas, «pump and dump» y «front-running»); abuso de API y ataques automatizados; creación de cuentas múltiples en violación de nuestras políticas; y cualquier otro comportamiento prohibido por los Términos de Uso. Este procesamiento está en el interés legítimo de Bitbase y de su comunidad de usuarios.

5.5 Seguridad de la Plataforma

Procesamos datos técnicos de dispositivo, direcciones IP, historiales de inicio de sesión y señales de comportamiento del dispositivo para monitorear accesos no autorizados, investigar incidentes de seguridad, mantener la estabilidad de la Plataforma y proteger las cuentas de los usuarios. Las medidas de seguridad específicas incluyen verificación de reputación de IP, huella digital del dispositivo, detección de simuladores y robots, y monitoreo de actividades de sesión anormales.

5.6 Soporte al Cliente y Resolución de Disputas

Conservamos y procesamos datos de comunicación y soporte para responder a sus consultas, investigar reclamaciones, resolver disputas y realizar revisiones de calidad. Las grabaciones de entrevistas de verificación de identidad por vídeo y las decisiones KYC pueden ser revisadas por personal autorizado para fines de auditoría y cumplimiento.

5.7 Gestión de Riesgos y Control Financiero

Procesamos datos de transacción, comportamiento comercial y financieros para gestionar nuestros riesgos financieros y operativos, incluyendo, pero no limitándose a, monitorear saldos negativos de cuentas y reportar a la gestión de riesgos.

5.8 Análisis de Datos, Investigación y Mejora de la Plataforma

Utilizamos datos de uso y comportamiento agregados y, cuando sea posible, anonimizados para analizar el rendimiento de la Plataforma, comprender patrones de actividad de los usuarios, desarrollar nuevas funcionalidades, realizar investigaciones de mercado y generar inteligencia comercial interna. Los datos verdaderamente anonimizados no están sujetos a esta Política.

5.9 Comunicaciones de Marketing

Sujeto a su consentimiento (cuando lo exija la ley) o con base en nuestro interés legítimo, podemos enviarle comunicaciones promocionales sobre nuevos productos, funcionalidades, ofertas y novedades del mercado por correo electrónico, notificación push o mensaje en la Plataforma. Puede darse de baja en cualquier momento utilizando el enlace de cancelación en nuestras comunicaciones o actualizando sus preferencias en la configuración de su cuenta. No vendemos ni alquilamos sus datos personales a terceros para fines de marketing.

5.10 Procedimientos Judiciales y Obligaciones Regulatorias

Podemos procesar sus datos personales para cumplir con órdenes judiciales, responder a investigaciones regulatorias, cumplir con obligaciones de declaración fiscal y financiera, así como para establecer, ejercer o defender derechos legales. Según lo exija la ley, podemos estar obligados a divulgar datos personales a las fuerzas policiales, organismos reguladores, unidades de inteligencia financiera o tribunales, sin previo aviso.

5.11 Toma de Decisiones Automatizada y Perfilamiento

Nosotros y nuestros prestadores de servicios de verificación de identidad utilizamos técnicas de procesamiento automatizado, incluyendo aprendizaje automático, reconocimiento de patrones y puntuación basada en reglas, como parte del proceso de integración KYC y del monitoreo continuo de transacciones ALD/CFT. Las verificaciones automatizadas pueden generar puntuaciones de riesgo, indicadores de fraude o resultados de verificación que pueden afectar su capacidad para acceder a los servicios o sus límites de transacción.

Las salvaguardas importantes aplicables a la toma de decisiones automatizada son las siguientes:

• Las verificaciones automatizadas en el proceso KYC proporcionan informes e indicadores de riesgo; la decisión final de aprobar o no su integración es tomada por revisión humana, a menos que los resultados sean claros y la ley aplicable y su consentimiento explícito permitan la toma de decisiones totalmente automatizada.
• Si su verificación falla o su cuenta es restringida debido a resultados automatizados, puede apelar contactando a [e-mail], y nuestro equipo de cumplimiento realizará una revisión humana.
• Implementamos supervisión humana en nuestros procesos automatizados para garantizar la equidad y corregir resultados erróneos del aprendizaje automático.
• Si tomamos una decisión totalmente automatizada que produzca efectos legales o afecte de manera significativamente similar, le informaremos y le proporcionaremos información adecuada sobre la lógica utilizada.

6. Bases Jurídicas para el Procesamiento de Sus Datos Personales

Solo recopilamos y procesamos sus datos personales cuando tenemos un motivo legítimo para hacerlo. Las principales bases jurídicas en las que nos basamos son:

Prestación de los servicios para usted Cuando abre una cuenta y utiliza la Plataforma, procesamos los datos personales necesarios para cumplir con nuestras obligaciones hacia usted, incluyendo la ejecución de operaciones, el procesamiento de depósitos y retiros, la gestión de su cuenta y la prestación de soporte al cliente. Sin este procesamiento, no podríamos proporcionarle los servicios.

Cumplimiento de obligaciones legales y regulatorias Como proveedor de servicios de activos virtuales, estamos sujetos a obligaciones legales que requieren que recopilemos y procesemos datos personales, incluyendo verificación de identidad, monitoreo ALD/CFT, verificaciones de sanciones, cumplimiento de la Regla de Viaje, monitoreo de transacciones e informes regulatorios. Estas obligaciones no dependen de su consentimiento y no pueden ser dispensadas.

Protección de la Plataforma y de los usuarios Procesamos datos personales para detectar y prevenir fraudes, tomas de control de cuenta, manipulación de mercado, abuso de API y otros comportamientos perjudiciales. También utilizamos datos para mantener la seguridad e integridad de la Plataforma. Estas actividades son esenciales para proteger tanto a Bitbase como a toda su comunidad de usuarios; sin este procesamiento, la Plataforma no podría operar de manera segura y justa.

Su consentimiento Para ciertas actividades de procesamiento — especialmente la recopilación y uso de datos biométricos durante la verificación de identidad, cookies no esenciales y comunicaciones de marketing directo — nos basamos en su consentimiento. Puede retirar su consentimiento en cualquier momento contactándonos en [e-mail] o utilizando los mecanismos de exclusión apropiados. La retirada del consentimiento no afecta a la legalidad del procesamiento realizado antes de la retirada, pero puede limitar su capacidad para utilizar ciertas funcionalidades de los servicios.

Derechos adicionales según su ubicación Las leyes de protección de datos varían entre jurisdicciones. Dependiendo de su país o región, puede tener derechos o protecciones adicionales bajo las leyes locales, incluyendo derechos bajo el Reglamento General de Protección de Datos (GDPR) de la UE, el GDPR del Reino Unido u otras leyes de privacidad aplicables. Cuando estas leyes se aplican, cumplimos con las obligaciones correspondientes. Si tiene preguntas sobre cómo las leyes locales se aplican a sus datos, por favor contáctenos en [e-mail].

7. Compartición de Datos y Divulgación a Terceros

7.1 Principios Generales

No vendemos, alquilamos ni intercambiamos sus datos personales con terceros para sus propios fines comerciales. Solo compartimos sus datos personales para proporcionar los servicios, cumplir con obligaciones legales y en las circunstancias descritas en esta Política.

7.2 Destinatarios Terceros — Tabla Resumen

La tabla siguiente enumera las categorías de terceros con los que podemos compartir datos personales, las finalidades de la compartición, las categorías de datos compartidos y las salvaguardas implementadas.

 

 

Categoría de Destinatario	Finalidad/Servicio Prestado	Transferencia de Datos	Salvaguardas
Prestadores de servicios de verificación de identidad	KYC; cribado ALD/CFT; verificación biométrica; detección de vida; autenticación de documentos; cribado PEP/sanciones; verificaciones de redes de fraude; KYT/KYB; Regla de Viaje; identificación de propiedad de carteras.	Datos de identidad; Imágenes faciales/datos biométricos; Datos de contacto; Datos de dispositivo/comportamiento; Datos de cumplimiento.	Acuerdos de procesamiento de datos; Obligaciones contractuales; Protección de transmisión y cifrado en reposo.
Prestadores de servicios de infraestructura en la nube	Servicios de alojamiento; Almacenamiento de datos; Recursos de computación; Recuperación de desastres.	Todas las categorías de datos personales mantenidos en la Plataforma.	Anexo de procesamiento de datos AWS; Modelo de responsabilidad compartida AWS; Certificación SOC 2 / ISO 27001.
Prestadores de servicios de análisis blockchain y cumplimiento	Monitoreo de transacciones on-chain; Cribado de carteras; Cumplimiento de sanciones; Informes ALD/CFT.	Direcciones de cartera; Hashes de transacciones; Datos de transacciones on-chain; Datos de la Regla de Viaje.	Acuerdos de procesamiento de datos; Obligaciones contractuales de confidencialidad.
Prestadores de servicios de pago en moneda fiduciaria	Procesamiento de depósitos/retiros en moneda fiduciaria; Gestión de contracargos.	Datos de identidad; Información de contacto; Datos financieros; Datos de transacción; Datos de dispositivo.	Acuerdos de procesamiento de datos; Cumplimiento con PCI-DSS (si aplica).
Prestadores de servicios de prevención de fraude e inteligencia de riesgo	Detección de fraude basada en dispositivo; Puntuación de riesgo; Detección de simuladores/robots; Señales de fraude entre plataformas.	Datos de dispositivo; Datos de comportamiento del dispositivo; Dirección IP; Señales de riesgo de correo electrónico/teléfono.	Acuerdos de procesamiento de datos; Obligaciones contractuales de confidencialidad.
Organismos reguladores, autoridades fiscales y policiales	Cumplimiento de obligaciones legales; Respuesta a órdenes judiciales; Cooperación en investigaciones financieras; Intercambio de información VASP de la Regla de Viaje.	Datos de identidad; Datos de transacción; Datos de cumplimiento; Datos on-chain (cuando lo exija la ley).	Obligación legal; Transferencia de datos solo cuando lo exija la ley.
Afiliadas y empresas del grupo	Soporte operativo intragrupo; Coordinación de cumplimiento; Funciones de riesgo compartidas.	Datos de identidad; Información de contacto; Datos de cumplimiento; Datos de cuenta.	Acuerdos intragrupo de compartición de datos; Estándares de privacidad equivalentes.
Asesores profesionales (legales, auditoría, fiscales)	Asesoría legal; Auditoría; Cumplimiento fiscal; Resolución de disputas.	Datos necesarios para la tarea de asesoría específica.	Obligaciones profesionales de confidencialidad; Acuerdos de procesamiento de datos cuando sea aplicable.
Sucesores empresariales (fusiones y adquisiciones)	Transferencias comerciales relacionadas con fusiones, adquisiciones, reestructuraciones o ventas de activos.	Todas las categorías de datos, sujetas a protección de privacidad equivalente.	Acuerdos de confidencialidad; Protección de privacidad bajo condiciones de transferencia.

7.3 Compartición de Datos de la Regla de Viaje

Cuando la ley aplicable exige el cumplimiento de la Regla de Viaje del GAFI, y usted inicia o recibe una transferencia de activos virtuales que supera los umbrales aplicables, compartiremos la información del remitente y del destinatario (incluyendo nombres, direcciones de cartera e información de identificación) con el proveedor de servicios de activos virtuales (VASP) contraparte. Esta compartición es obligatoria y no puede desactivarse. Al utilizar nuestro servicio de transferencia, usted nos autoriza a compartir la información requerida por la Regla de Viaje.

7.4 Divulgaciones Legales

Podemos divulgar datos personales a las fuerzas policiales, unidades de inteligencia financiera, autoridades fiscales y organismos reguladores cuando: (i) sea requerido por ley u orden judicial; (ii) sea necesario para prevenir, detectar o investigar delitos financieros, fraude o actividades terroristas; (iii) sea necesario para proteger los derechos, la propiedad o la seguridad de Bitbase, de nuestros usuarios o del público.

En la medida permitida por la ley, nos esforzaremos por notificarle antes de realizar dichas divulgaciones.

7.5 Transferencia de Negocio

En caso de fusión, adquisición, reestructuración, quiebra o venta de la totalidad o parte de nuestros activos, sus datos personales pueden ser transferidos a un adquirente. Exigiremos que el adquirente mantenga un nivel de protección de privacidad equivalente a esta Política y, si la ley lo exige, le informaremos con antelación.

7.6 Datos Agregados y Anonimizados

Podemos compartir datos agregados o anonimizados (que no puedan utilizarse razonablemente para identificarle) con el público o con socios para fines de inteligencia de mercado, investigación y elaboración de informes. Estos datos no son datos personales y, por tanto, no están sujetos a esta Política.

8. Transferencias de Datos

Podemos transferir o divulgar sus datos personales a nuestras afiliadas, socios terceros de confianza y prestadores de servicios ubicados en todo el mundo para las finalidades descritas en esta Política de Privacidad.

Cuando sus datos personales son transferidos a un país tercero u organización internacional fuera de su país, y dicho país u organización no es reconocido como con un nivel adecuado de protección de datos o no cumple con los estándares de protección equivalentes según las leyes de protección de datos aplicables, implementamos salvaguardas apropiadas para garantizar que la transferencia cumpla con las leyes aplicables. Dichas salvaguardas pueden incluir arreglos técnicos, organizativos y contractuales destinados a garantizar que sus datos personales continúen recibiendo una protección adecuada después de la transferencia, de acuerdo con las leyes de protección de datos aplicables.

Al utilizar la Plataforma, usted reconoce y acepta que sus datos personales pueden ser transferidos según lo descrito anteriormente.

9. Retención de Datos

Conservamos datos personales durante el tiempo necesario para cumplir con las finalidades para las que fueron recopilados y para cumplir con nuestras obligaciones legales y regulatorias. Nuestro calendario de retención de datos se presenta en la tabla siguiente.

 

 

Categoría de Datos	Período de Retención	Justificación del Período de Retención
Datos de registro de cuenta y documentos de identidad	Retención de al menos 5 años desde el cierre de la cuenta o la última transacción (lo que sea más tardío).	Obligaciones legales ALD/CFT; Requisitos regulatorios de mantenimiento de registros.
Datos biométricos (plantillas faciales, imágenes de detección de vida)	Retenidos solo mientras sean necesarios para las finalidades de verificación; eliminados después del vencimiento del período de retención ALD/CFT o después de una solicitud de eliminación confirmada; eliminación permanente e irrecuperable.	Cumplimiento ALD/CFT; Obligación legal; Consentimiento explícito.
Registros de transacciones y negociaciones (todos los servicios)	Retención de al menos 5 años a partir de cada transacción; prorrogada si la legislación fiscal o regulatoria lo exige.	ALD/CFT; Legislación fiscal; Obligaciones de informes regulatorios.
Datos on-chain y blockchain / Regla de Viaje	Retención de al menos 5 años a partir de la fecha de la transacción.	Regla de Viaje del GAFI; Regulaciones ALD/CFT; Leyes y regulaciones VASP aplicables.
Registros de KYC / riesgo de cumplimiento (cribado PEP/sanciones, EDD)	Retención de al menos 5 años desde el cierre de la cuenta; prorrogada si la ley aplicable o investigaciones en curso lo exigen.	ALD/CFT; Obligaciones de supervisión regulatoria.
Transacciones en moneda fiduciaria y registros de pago	Retención de al menos 5 años a partir de la fecha de la transacción, o más si las regulaciones de pago lo exigen.	Legislación de pagos; Legislación fiscal; ALD/CFT.
Registros de soporte al cliente y comunicaciones	Retención por 3 años desde la última comunicación; prorrogada si hay disputas pendientes, procedimientos legales o investigaciones regulatorias.	Interés legítimo; Ejecución del contrato; Defensa legal.
Registros de dispositivo, técnicos y de comportamiento	Retención de hasta 2 años; prorrogada si está relacionada con investigaciones de seguridad o procedimientos legales.	Interés legítimo; Obligaciones de prevención de fraude y seguridad.
Grabaciones de verificación de identidad en vídeo	Mismo período que los registros KYC (al menos 5 años) o según lo exija el marco eIDAS/ALD/CFT aplicable.	ALD/CFT; Marco eIDAS (si aplica); Obligación legal.
Registros de preferencias de marketing	Hasta la retirada del consentimiento; retenidos por 1 año adicional para fines de cumplimiento.	Consentimiento; Obligación de rendición de cuentas.
Registros de incorporación de empresas/instituciones	Retención de al menos 5 años desde el término de la relación comercial.	ALD/CFT; Obligaciones regulatorias KYB.

9.2 Criterios para la Determinación de los Períodos de Retención

Para determinar el período de retención apropiado, consideramos los siguientes factores:

• La naturaleza y sensibilidad de los datos;
• La finalidad del procesamiento de los datos;
• Si la finalidad puede lograrse reteniendo datos anonimizados;
• Los requisitos ALD/CFT, fiscales y regulatorios aplicables;
• Obligaciones contractuales;
• Los riesgos potenciales de divulgación no autorizada.

9.3 Eliminación y Destrucción

Después del vencimiento del período de retención aplicable, eliminamos de forma permanente y segura o anonimizamos irreversiblemente sus datos personales. Nuestros procedimientos de eliminación incluyen:

• Datos electrónicos: Eliminación permanente de todos los sistemas utilizando métodos que impiden la recuperación; para datos almacenados en la nube, uso de las funciones de eliminación de objetos AWS S3. Los datos de respaldo se eliminan de las copias de respaldo de acuerdo con el ciclo de rotación de respaldos.
• Datos biométricos: Eliminación por métodos que garantizan la irrecuperabilidad de los datos, incluyendo el uso de técnicas forenses.
• Documentos en papel: Destrucción por trituración o incineración.
• Medios móviles y extraíbles: Restablecimiento de fábrica o destrucción física para datos sensibles.

Tomamos medidas razonables para garantizar que los procesadores de datos externos también eliminen o anonimicen sus datos después del vencimiento del período de retención, de acuerdo con sus obligaciones contractuales con nosotros.

Su solicitud de eliminación será procesada dentro de los treinta (30) días, sujeta a obligaciones legales imperativas de retención. Si algunos datos no pueden ser eliminados por razones legales, le informaremos.

10. Seguridad de los Datos

10.1 Medidas Técnicas y Organizativas

Implementamos un conjunto integral de medidas de seguridad técnicas y organizativas para proteger sus datos personales contra acceso no autorizado, divulgación, alteración, pérdida accidental o destrucción. Estas medidas incluyen:

• Cifrado de datos en tránsito: Uso de TLS (Transport Layer Security) para cifrar todos los datos en tránsito;
• Cifrado de datos en reposo: Uso de cifrado AES-256 o equivalente en AWS para datos en reposo;
• Control de acceso basado en roles y principio de mínimo privilegio: Solo el personal autorizado que necesita acceder a datos personales para desempeñar sus funciones puede hacerlo;
• Autenticación de dos factores (2FA) obligatoria para todas las cuentas de usuario de la Plataforma;
• Listas blancas de IP y limitación de velocidad para APIs, para prevenir accesos API no autorizados;
• Arquitectura de cartera multisig y almacenamiento en frío para la mayor parte de las reservas de activos digitales;
• Sistema de carteras calientes/frías por capas para minimizar la exposición de activos en línea;
• Funciones dedicadas de control de riesgos interno y monitoreo de seguridad monitoreando continuamente la actividad de la Plataforma;
• Pruebas de penetración, evaluaciones de vulnerabilidad y auditorías de seguridad regulares;
• Procedimientos de detección y respuesta a incidentes, incluyendo capacidades de investigación forense;
• Capacitación regular del personal sobre seguridad de la información, protección de datos y concienciación sobre phishing.

10.2 Sus Responsabilidades

Es su responsabilidad mantener la confidencialidad de las credenciales de su cuenta, incluyendo contraseñas, códigos de autenticación de dos factores (2FA) y claves API. Debe utilizar contraseñas seguras y únicas, activar todas las funciones de seguridad disponibles y nunca compartir las credenciales de su cuenta. Si sospecha de acceso no autorizado a su cuenta, comuníquese con nosotros inmediatamente en [e-mail].

10.3 Ausencia de Garantía de Seguridad Absoluta

Aunque hemos tomado todas las medidas razonables para proteger sus datos, ningún sistema es totalmente inmune a las amenazas de seguridad. Los datos transmitidos a través de Internet tienen una inseguridad inherente. Por lo tanto, no podemos garantizar la seguridad absoluta de los datos transmitidos a través de la Plataforma.

11. Notificación de Violaciones de Datos Personales

En caso de una violación de datos personales que pueda representar un riesgo para sus derechos y libertades, nosotros:

• Reportaremos el incidente a la autoridad de control competente dentro de los plazos exigidos por la ley aplicable (si corresponde);
• Notificaremos a los usuarios afectados sin demora indebida y, si es posible, dentro de los plazos exigidos por las leyes de protección de datos aplicables;
• Proporcionaremos a los usuarios afectados la siguiente información:
  • La naturaleza de la violación;
  • Las categorías de datos afectados y el número aproximado de registros afectados;
  • Las consecuencias potenciales de la violación;
  • Las medidas tomadas o propuestas.

La notificación de violación se enviará a la dirección de correo electrónico asociada a su cuenta y, cuando sea apropiado, se anunciará mediante un aviso visible en la Plataforma.

Si, debido a la escala de la violación, no es razonablemente posible notificar a los usuarios individualmente, publicaremos un aviso público en la Plataforma.

12. Cookies y Tecnologías de Seguimiento

12.1 Tecnologías que Utilizamos

Utilizamos cookies y tecnologías de seguimiento similares (incluyendo web beacons, píxeles, SDKs e huella digital de dispositivos) en la Plataforma y en nuestra aplicación móvil para las siguientes finalidades:

• Estrictamente necesarias: Estas tecnologías son esenciales para el funcionamiento de la Plataforma. Soportan funciones esenciales como la gestión de sesiones, autenticación, seguridad (protección CSRF, detección de accesos no autorizados) y equilibrio de carga. También soportan nuestros sistemas de detección de fraude y de simuladores/robots. Estas tecnologías no pueden desactivarse.
• Rendimiento y análisis: Utilizamos cookies de rendimiento y herramientas de análisis para comprender cómo los usuarios interactúan con la Plataforma, identificar problemas de rendimiento, medir el uso de funcionalidades y mejorar la experiencia general del usuario. Cuando la ley aplicable lo exige, estas tecnologías requieren su consentimiento.
• Funcionalidad: Estas tecnologías recuerdan sus preferencias (por ejemplo, idioma y región) y activan funcionalidades mejoradas de la Plataforma. Cuando la ley aplicable lo exige, estas tecnologías requieren su consentimiento.
• Publicidad y segmentación: Si están activadas y con su consentimiento, podemos utilizar cookies publicitarias propias y de terceros para mostrar promociones relevantes. Cuando la ley aplicable lo exige, estas tecnologías requieren su consentimiento.

12.2 Gestión de Cookies

Puede gestionar sus preferencias de cookies a través de nuestro Centro de Preferencias de Cookies (accesible a través del enlace «Cookies» en el pie de página del sitio web) o a través de la configuración de su navegador. Deshabilitar ciertas cookies puede afectar su capacidad para utilizar ciertas funcionalidades de la Plataforma. Si utiliza una VPN, tenga en cuenta que la dirección IP asignada por la VPN puede afectar la precisión del banner de consentimiento de cookies basado en ubicación; le recomendamos que gestione manualmente sus preferencias a través del Centro de Preferencias de Cookies.

12.3 Permisos de la Aplicación Móvil

Nuestra aplicación móvil puede solicitar ciertos permisos de acceso al dispositivo para proporcionar los servicios. Los principales permisos y sus finalidades son:

• Cámara: Utilizada para la digitalización de documentos y detección de vida durante el proceso KYC;
• Almacenamiento: Utilizada para la carga de archivos;
• Identificadores de dispositivo: Utilizados para la prevención de fraude y la vinculación del dispositivo.

La concesión de estos permisos no significa que se activen inmediatamente; los permisos sensibles solo se solicitan cuando accede a la funcionalidad correspondiente, y se le solicita su consentimiento.

13. Sus Derechos de Protección de Datos

13.1 Derechos que Puede Tener

Sujeto a la ley aplicable y a ciertas excepciones legales, usted puede tener los siguientes derechos con respecto a sus datos personales que conservamos:

• Derecho de acceso (solicitud de acceso del interesado): Puede solicitar una copia de los datos personales que conservamos sobre usted, así como información sobre las finalidades del procesamiento, categorías de datos, destinatarios, períodos de retención y sus derechos. Responderemos en un formato electrónico de uso común.
• Derecho de rectificación: Puede solicitar la corrección de datos personales inexactos o incompletos que conservamos sobre usted. Tenga en cuenta que algunos datos (como los registros de verificación de identidad) no pueden ser modificados unilateralmente y pueden requerir un nuevo proceso de verificación.
• Derecho de supresión («derecho al olvido»): Puede solicitar la eliminación de sus datos personales en los siguientes casos:
  • Los datos ya no son necesarios para las finalidades para las que fueron recopilados;
  • Usted retira su consentimiento (para procesamientos basados en consentimiento);
  • Usted se opone con éxito a un procesamiento basado en nuestro interés legítimo;
  • Los datos han sido procesados ilegalmente.
    Cumpliremos su solicitud, a menos que la ley nos exija o nos permita conservar los datos (por ejemplo, obligaciones de mantenimiento de registros ALD/CFT).
• Derecho de restricción del procesamiento: En ciertas circunstancias, puede solicitar la restricción del procesamiento de datos, incluyendo:
  • Cuando estamos verificando la precisión de datos impugnados;
  • Cuando usted impugna un procesamiento basado en nuestro interés legítimo y estamos evaluando sus motivos;
  • Cuando el procesamiento de datos es ilegal pero usted no desea que los eliminemos.
• Derecho de portabilidad de datos: Para procesamientos basados en su consentimiento o en la ejecución de un contrato y realizados por medios automatizados, puede solicitar que sus datos personales sean proporcionados en un formato estructurado, de uso común y legible por máquina, o, si es técnicamente posible, transmitidos directamente a otro controlador.
• Derecho de oposición: Puede oponerse en cualquier momento al procesamiento de sus datos basado en nuestro interés legítimo (incluyendo el perfilamiento). Dejaremos de procesar, a menos que podamos demostrar motivos legítimos imperiosos que prevalezcan sobre sus intereses, derechos y libertades, o si el procesamiento es necesario para el establecimiento, ejercicio o defensa de derechos legales. También puede oponerse sin condiciones al procesamiento de sus datos para fines de marketing directo.
• Derecho a retirar su consentimiento: Para procesamientos de datos basados en su consentimiento explícito (incluyendo datos biométricos), puede retirar su consentimiento en cualquier momento contactándonos en [e-mail]. La retirada del consentimiento no afecta a la legalidad del procesamiento realizado antes de la retirada. La retirada del consentimiento para el procesamiento de datos biométricos puede impedir la verificación de identidad y limitar el acceso a la cuenta.
• Derechos relacionados con la toma de decisiones automatizada: Tiene derecho a no ser objeto de una decisión basada exclusivamente en el procesamiento automatizado (incluyendo el perfilamiento) que produzca efectos legales o le afecte de manera significativamente similar, a menos que dicho procesamiento sea necesario para la celebración o ejecución de un contrato con usted, esté autorizado por la ley aplicable o se base en su consentimiento explícito. En ese caso, tiene derecho a obtener intervención humana, expresar su punto de vista e impugnar la decisión.

13.2 Cómo Ejercer Sus Derechos

Para ejercer cualquiera de los derechos anteriores, envíe una solicitud por escrito por correo electrónico a [e-mail], incluyendo la siguiente información:

• Su nombre completo;
• La dirección de correo electrónico asociada a su cuenta;
• Una indicación clara del derecho que desea ejercer;
• Información suficiente para verificar su identidad (podemos solicitar documentación de verificación adicional).

Confirmaremos la recepción de su solicitud con prontitud y responderemos dentro de los treinta (30) días. En casos complejos, podemos extender este plazo por sesenta (60) días adicionales, informándole con antelación de los motivos de la prórroga.

El procesamiento de solicitudes razonables es gratuito; sin embargo, para solicitudes manifiestamente infundadas, excesivas o repetitivas, podemos cobrar una tarifa administrativa razonable o negarnos a atender la solicitud.

13.3 Limitaciones a los Derechos

Sus derechos pueden ser limitados o restringidos en los siguientes casos: (i) estamos obligados por ley a retener o procesar datos (incluyendo el mantenimiento de registros ALD/CFT); (ii) los datos son necesarios para el establecimiento, ejercicio o defensa de derechos legales; (iii) el ejercicio del derecho podría afectar negativamente a los derechos o libertades de terceros; (iv) se aplican otras exenciones legales. Siempre explicaremos la naturaleza de cualquier limitación o restricción aplicable a su solicitud específica.

13.4 Datos de Cuentas Inactivas

• No tenemos una política de cuentas inactivas que desencadene la eliminación de datos.
• Las cuentas inactivas siguen sujetas a nuestro proceso estándar de monitoreo de transacciones ALD/CFT.
• Los datos de la cuenta se conservan de acuerdo con las disposiciones de la Sección 9, independientemente del nivel de actividad de la cuenta.

14. Prácticas Específicas de Procesamiento de Datos Relacionadas con Criptomonedas

14.1 Transparencia de la Blockchain

Tenga en cuenta que las redes blockchain son públicas e inmutables. Cuando envía o recibe activos digitales en la blockchain, su dirección de cartera y los detalles de la transacción (incluyendo el importe y la dirección de cartera de su contraparte) se muestran públicamente en la blockchain. No podemos eliminar ni modificar los datos on-chain. Bajo esta Política, nuestras obligaciones de privacidad solo se aplican a los datos personales que mantenemos en nuestros sistemas; no controlamos la visibilidad de los datos on-chain.

14.2 Asociación de Direcciones de Cartera

Para fines de cumplimiento ALD/CFT, asociamos las direcciones de cartera que ha registrado con su identidad en nuestros sistemas internos. Estas asociaciones no se hacen públicas. Sin embargo, las herramientas de análisis blockchain de terceros pueden utilizar datos on-chain públicos de forma independiente para asociar direcciones de cartera con identidades.

14.3 Cumplimiento de la Regla de Viaje del GAFI

Como proveedor de servicios de activos virtuales (VASP), estamos obligados a cumplir con la Regla de Viaje del GAFI, que exige la recopilación, verificación y transmisión de información del remitente y del destinatario para transferencias de activos virtuales elegibles.

Cuando usted inicia o recibe una transferencia que supera los umbrales aplicables:

• Recopilamos su nombre, dirección de cartera e información de identificación relevante;
• Verificamos esta información como parte de nuestro proceso KYC;
• Transmitimos esta información al VASP contraparte a través de protocolos de mensajería cifrada;
• Conservamos un registro de la información transmitida.

Al recibir una transferencia de activos virtuales, también podemos recibir información del remitente y del destinatario del VASP contraparte. Solo utilizamos los datos de la Regla de Viaje recibidos para fines de cumplimiento ALD/CFT.

14.4 Monitoreo KYT (Know Your Transaction)

Utilizamos herramientas de análisis blockchain para el monitoreo «Conozca su Transacción» (KYT). El KYT incluye el análisis de datos de transacciones on-chain asociados a las direcciones de sus carteras para identificar patrones de transacción inusuales, vínculos con actividades ilícitas o riesgos de sanciones. Los resultados del KYT pueden afectar su capacidad para depositar y retirar activos digitales y pueden desencadenar una Debida Diligencia Reforzada (EDD).

14.5 Verificación de Carteras no Depositarias

Bajo la Regla de Viaje aplicable, podemos solicitarle que verifique la propiedad o el control de una dirección de cartera no depositaria (autocustodiada). Los métodos de verificación pueden incluir:

• Firma de un mensaje de prueba con la clave privada de la cartera;
• Envío de una declaración de propiedad;
• Proporcionar una captura de pantalla de la cartera;
• En algunos casos, microtransacciones (prueba Satoshi).

Los registros de verificación se conservan para fines de cumplimiento de la Regla de Viaje.

15. Negociación de Derivados y Productos Apalancados — Prácticas Específicas de Procesamiento de Datos

Para los usuarios que utilizan nuestros productos de negociación de derivados, procesamos datos adicionales relacionados con productos apalancados:

• Datos de posición: incluyendo posiciones abiertas, cantidades, precios de apertura, precios de marca, precios de liquidación, ganancias y pérdidas no realizadas y ratios de margen.
• Datos de margen y garantía: incluyendo tipo de margen (aislado/cruzado), margen inicial, margen de mantenimiento, eventos de incumplimiento del ratio de margen y composición de los activos de garantía.
• Registros de liquidación: cuando se activa una liquidación forzada porque el ratio de margen cae por debajo del nivel de margen de mantenimiento, registramos el evento de liquidación, incluyendo las posiciones liquidadas, el precio de marca en el momento de la liquidación y el uso del fondo de seguro.
• Registros de tasas de financiación: incluyendo los pagos periódicos de tasas de financiación intercambiados entre posiciones largas y cortas.

16. Usuarios Institucionales y Corporativos

Cuando utiliza los servicios como empresa o cliente institucional, además de los datos personales mencionados anteriormente, recopilamos datos personales relacionados con su empresa, incluyendo datos relativos a representantes autorizados de su entidad, beneficiarios finales (UBO), administradores, directivos, accionistas y otras personas físicas asociadas («personas vinculadas»).

Es su responsabilidad asegurarse de que las personas vinculadas hayan sido informadas de que sus datos personales serán proporcionados a nosotros y procesados de acuerdo con esta Política. Al proporcionarnos datos personales de personas vinculadas, usted declara que tiene base legal para hacerlo y que las personas vinculadas han sido informadas y han dado su consentimiento (cuando lo exija la ley) a dicha divulgación.

Los clientes institucionales pueden estar sujetos a requisitos de debida diligencia reforzada, estar sujetos a una recopilación de datos más amplia y regirse por términos de cuenta institucional separados que complementan esta Política.

17. Usuarios de la API

Si accede a la Plataforma a través de nuestra API, recopilamos y conservamos registros de todas las llamadas a la API realizadas con sus credenciales, incluyendo marcas de tiempo, direcciones IP, parámetros y contenido de respuesta. Los registros de acceso a la API se utilizan para fines de monitoreo de seguridad, detección de fraude, limitación de velocidad y prevención de abusos. Los patrones de uso anormales de la API (incluyendo aquellos con características de manipulación de mercado o intentos de acceso no autorizados) pueden desencadenar una revisión o restricción de la cuenta.

18. Menores

La Plataforma y los servicios no están dirigidos ni destinados a personas menores de 18 años. No recopilamos conscientemente datos personales de menores. Nuestro proceso de verificación de identidad incluye mecanismos de protección diseñados para identificar y rechazar el registro de menores.

Si descubrimos que hemos recopilado inadvertidamente datos personales de menores, o si hemos verificado la identidad de un menor sin el consentimiento de los padres/tutores (cuando la ley aplicable lo exija), eliminaremos dichos datos inmediatamente después de tener conocimiento del hecho. Si cree que se han enviado datos de un menor, comuníquese con nosotros inmediatamente en [e-mail].

19. Enlaces e Integraciones de Terceros

La Plataforma puede contener enlaces a sitios web, aplicaciones o servicios de terceros que no son operados ni controlados por nosotros. Cuando hace clic en estos enlaces, sale de la Plataforma, y sus actividades se rigen por las políticas de privacidad de los terceros. No somos responsables de las prácticas de privacidad ni del contenido de los sitios web de terceros.

La Plataforma también puede integrar prestadores de servicios externos (por ejemplo, procesadores de pagos, proveedores de servicios de cambio fiduciario y proveedores de datos blockchain) que procesan sus datos bajo nuestras instrucciones, según se describe en la Sección 7 y el Anexo A. Las políticas de privacidad de estos prestadores rigen sus propias actividades independientes de procesamiento de datos; hay enlaces a las políticas de privacidad de nuestros principales prestadores de servicios disponibles en el Centro de Ayuda.

20. Usuarios Fallecidos

En caso de fallecimiento de un usuario, podemos procesar solicitudes relativas a la cuenta y los activos de un usuario fallecido, previa verificación por parte de familiares cercanos o representantes del patrimonio, de acuerdo con nuestro proceso de cierre de cuenta, las leyes sucesorias aplicables y nuestras obligaciones ALD/CFT. Los datos personales de los usuarios fallecidos seguirán siendo conservados y procesados de acuerdo con los períodos de retención aplicables definidos en esta Política.

21. Ley Aplicable

Esta Política se rige por las leyes de la República de Panamá y debe interpretarse de acuerdo con ellas. Cualquier disputa derivada de esta Política se regirá por las cláusulas de resolución de disputas establecidas en nuestros Términos de Uso. Nada en esta sección limita sus derechos bajo las leyes imperativas de protección de datos aplicables en su jurisdicción de residencia.

22. Cambios en la Política de Privacidad

Podemos actualizar o modificar esta Política en cualquier momento. La política revisada se publicará en la Plataforma con una fecha de entrada en vigor. Para cambios sustanciales — incluyendo cambios en las categorías de datos recopilados, las finalidades del procesamiento de datos, las categorías de terceros con los que se comparten los datos o sus derechos — le informaremos con al menos catorce (14) días de antelación, por correo electrónico a la dirección asociada a su cuenta y/o mediante un aviso visible en la Plataforma (cuando sea posible). Para cambios no sustanciales (por ejemplo, correcciones tipográficas o aclaraciones que no afectan a las prácticas de procesamiento de datos), publicaremos la política actualizada en la Plataforma sin notificación individual.

Su uso continuado de la Plataforma después de la entrada en vigor de cualquier política revisada se considerará como su aceptación de los términos actualizados. Si no está de acuerdo con algún cambio, debe cesar el uso de la Plataforma y presentar una solicitud de cierre de su cuenta antes de la entrada en vigor del cambio.

23. Idioma

Esta Política de Privacidad está redactada en inglés y la versión en inglés prevalece. En caso de conflicto entre la versión en inglés y cualquier versión traducida, prevalece la versión en inglés.

Glosario

• ALD/CFT (Prevención de Lavado de Activos y Financiación del Terrorismo) : Marco regulatorio de leyes, regulaciones y procedimientos operativos destinados a detectar y prevenir el lavado de activos y la financiación del terrorismo.
• Datos Biométricos: Datos personales resultantes del tratamiento técnico específico de las características físicas o conductuales de un individuo, que permiten identificar o confirmar la unicidad de la identidad de una persona, incluyendo plantillas de características faciales.
• Controlador: Persona física o jurídica que determina los fines y medios del tratamiento de datos personales. El controlador al que se refiere esta Política es Bitbase Corp.
• Interesado: Cualquier persona física identificada o identificable cuyos datos personales son tratados por un controlador.
• Debida Diligencia Reforzada (EDD) : Medidas adicionales de verificación de identidad y evaluación de riesgos tomadas para clientes de alto riesgo.
• Regla de Viaje del GAFI: Recomendación del Grupo de Acción Financiera Internacional (GAFI) que exige a los proveedores de servicios de activos virtuales (VASP) recopilar y transmitir información del iniciador y del beneficiario para transferencias de activos virtuales que superen umbrales específicos.
• GDPR: Reglamento General de Protección de Datos de la UE (UE 2016/679) y, cuando corresponda, el GDPR del Reino Unido implementado por la legislación interna del Reino Unido.
• KYB (Know Your Business) : Proceso de verificación de la identidad, estructura y propiedad efectiva de personas jurídicas.
• KYC (Know Your Customer) : Proceso de verificación de la identidad de usuarios particulares de acuerdo con los requisitos ALD/CFT y regulatorios.
• KYT (Know Your Transaction) : Monitoreo de transacciones blockchain para detectar actividades anormales o ilícitas en transferencias de activos virtuales.
• Persona Políticamente Expuesta (PEP) : Persona que ocupa o ha ocupado funciones públicas importantes, incluyendo sus familiares cercanos y personas con las que tiene una asociación estrecha.
• Datos Personales: Cualquier información relacionada con una persona física identificada o identificable.
• Encargado del Tratamiento: Persona física o jurídica que trata datos personales por cuenta del controlador.
• Categoría Especial de Datos: Categorías de datos personales que requieren un mayor nivel de protección, incluyendo datos biométricos, datos de salud, origen racial/étnico, opiniones políticas, creencias religiosas y afiliación sindical.
• VASP (Proveedor de Servicios de Activos Virtuales) : Empresa que proporciona servicios de negociación, transferencia, custodia o servicios relacionados con activos virtuales.