# POLÍTICA DE PRIVACIDAD Y PROTECCIÓN DE DATOS **Responsable del tratamiento:** Aurema Group Holdings ADGM Ltd **Fecha de entrada en vigor:** [FECHA] **Registro ADGM:** [NÚMERO] ## 1. INFORMACIÓN BÁSICA ### 1.1. Responsable del Tratamiento – **Razón social:** Aurema Group Holdings ADGM Ltd – **Domicilio social:** [DIRECCIÓN COMPLETA ADGM] – **Email de contacto:** dpo@aurema-group.com (Delegado de Protección de Datos) – **Registro:** Abu Dhabi Global Market (ADGM) Registration Authority ### 1.2. Delegado de Protección de Datos (DPO) Para cuestiones relacionadas con el tratamiento de sus datos personales: 📧 dpo@aurema-group.com 📍 [DIRECCIÓN POSTAL] ### 1.3. Base Legal del Tratamiento El tratamiento de sus datos se basa en: – **Consentimiento explícito** (art. 6.1.a RGPD) para marketing y comunicaciones – **Ejecución de contrato** (art. 6.1.b RGPD) para gestión de inversiones – **Obligación legal** (art. 6.1.c RGPD) para cumplimiento AML/KYC – **Interés legítimo** (art. 6.1.f RGPD) para seguridad de la plataforma ## 2. DATOS QUE RECOPILAMOS ### 2.1. Datos de Registro (Ultimate Member) – Nombre completo – Correo electrónico verificado – País de residencia – Tipo de inversor (individual/entidad) – Fecha de registro – Dirección IP y ubicación aproximada ### 2.2. Datos KYC/AML (Sumsub) **Categorías especiales de datos (art. 9 RGPD):** – Documento de identidad (DNI, pasaporte, NIE) – Selfie/video de verificación biométrica – Prueba de residencia (recibo de servicios) – Información sobre fuente de fondos – Datos de PEP (Personas Políticamente Expuestas) si aplica **Base legal:** Obligación legal (Ley 10/2010 de prevención de blanqueo de capitales) ### 2.3. Datos de Inversión (WooCommerce) – Historial de reservas de inversión – Importes comprometidos – Referencias de transferencia bancaria – Wallet address (blockchain pública) – Comunicaciones relacionadas con proyectos ### 2.4. Datos Técnicos Automáticos – Dirección IP completa – Tipo de navegador y sistema operativo – Cookies y tecnologías similares (ver Política de Cookies) – Logs de acceso y actividad en plataforma – Dispositivo utilizado (mobile/desktop) ### 2.5. Datos de Comunicación – Emails intercambiados con nuestro equipo – Grabaciones de llamadas (con consentimiento previo) – Consultas realizadas a través de formularios – Reclamaciones presentadas ## 3. FINALIDADES DEL TRATAMIENTO ### 3.1. Finalidades Principales | Finalidad | Base Legal | Plazo Conservación | |———–|———–|——————-| | **Verificación de identidad (KYC)** | Obligación legal (AML) | 10 años desde fin de relación | | **Gestión de inversiones** | Ejecución de contrato | Duración del proyecto + 10 años | | **Comunicaciones regulatorias** | Obligación legal | 10 años | | **Seguridad de la plataforma** | Interés legítimo | 2 años desde último acceso | | **Marketing (solo con consentimiento)** | Consentimiento explícito | Hasta revocación | ### 3.2. Finalidades Secundarias – Análisis estadístico anonimizado de uso de plataforma – Mejora de experiencia de usuario (UX) – Prevención de fraude y ciberseguridad – Cumplimiento de obligaciones fiscales ### 3.3. Prohibiciones Expresas **NUNCA utilizaremos sus datos para:** – Venta a terceros con fines comerciales – Creación de perfiles publicitarios no autorizados – Transferencia a jurisdicciones sin nivel adecuado de protección (salvo excepciones legales) – Tratamiento de datos sensibles más allá de lo estrictamente necesario para KYC ## 4. DESTINATARIOS DE LOS DATOS ### 4.1. Destinatarios Necesarios | Destinatario | Finalidad | Base de Transferencia | |————-|———–|———————| | **Sumsub (proveedor KYC)** | Verificación de identidad | Cláusulas tipo UE + auditorías | | **Hostinger (hosting)** | Alojamiento web | Cláusulas tipo UE | | **Bancos (transferencias)** | Ejecución de pagos | Regulación bancaria UE | | **Asesores legales/fiscales** | Cumplimiento regulatorio | Confidencialidad profesional | | **SPVs españoles** | Gestión de inversiones | Contrato de encargo de tratamiento | ### 4.2. Autoridades Regulatorias Sus datos pueden ser comunicados a: – **SEPBLAC** (España): Prevención de blanqueo de capitales – **CNMV** (España): Supervisión de mercados de valores (si aplica) – **ADGM FSRA** (Emiratos): Supervisión financiera – **Agencia Tributaria**: Obligaciones fiscales – **Fuerzas y Cuerpos de Seguridad**: Requerimientos judiciales ### 4.3. Blockchain Pública **Advertencia importante:** – Las direcciones de wallet y transacciones en blockchain son **públicas por diseño** – Una vez emitidos los tokens, las transacciones son inmutables y visibles para cualquiera – Aurema Group no controla ni puede modificar la blockchain subyacente ## 5. TRANSFERENCIAS INTERNACIONALES ### 5.1. Flujos Transfronterizos ### 5.2. Garantías de Transferencia – **Cláusulas Tipo de Protección de Datos** (Standard Contractual Clauses – SCC) aprobadas por la UE – **Decisiones de Adecuación** de la Comisión Europea (cuando aplique) – **Normas Corporativas Vinculantes** (BCR) de proveedores enterprise – **Excepciones específicas** (art. 49 RGPD) para ejecución de contrato ### 5.3. Riesgos Reconocidos Reconocemos que las transferencias a terceros países pueden implicar riesgos, especialmente tras la invalidación del Privacy Shield UE-EE.UU. (Sentencia Schrems II). Implementamos medidas adicionales: – Cifrado de datos en tránsito y en reposo – Minimización de datos transferidos – Auditorías periódicas de proveedores – Evaluaciones de impacto de protección de datos (DPIA) ## 6. DERECHOS DEL INTERESADO ### 6.1. Derechos Reconocidos (RGPD arts. 15-22) | Derecho | Descripción | Cómo Ejercerlo | |———|————-|—————-| | **Acceso** | Conocer qué datos tratamos | Email a dpo@aurema-group.com | | **Rectificación** | Corregir datos inexactos | Panel de usuario o email | | **Supresión (“olvido”)** | Eliminar datos (salvo obligaciones legales) | Email con verificación identidad | | **Limitación** | Suspender tratamiento temporalmente | Email especificando motivos | | **Portabilidad** | Recibir datos en formato estructurado | Email solicitando formato específico | | **Oposición** | Oponerse a tratamientos basados en interés legítimo | Email con motivación | | **Revocación consentimiento** | Retirar consentimiento sin afectar legalidad previa | Link “darse de baja” en emails | ### 6.2. Procedimiento de Ejercicio 1. Envíe solicitud a **dpo@aurema-group.com** 2. Incluya copia de DNI/pasaporte (seguridad) 3. Especifique derecho que desea ejercer 4. Plazo de respuesta: **1 mes** (prorrogable a 2 en casos complejos) 5. Sin coste, salvo solicitudes manifiestamente infundadas o excesivas ### 6.3. Limitaciones Específicas **Derecho de supresión limitado por:** – Obligaciones legales de conservación (AML: 10 años) – Ejercicio o defensa de reclamaciones – Interés público en el ámbito de la salud – Archivos de interés público **Derecho de oposición limitado por:** – Motivos legítimos imperiosos del tratamiento – Ejercicio o defensa de reclamaciones ## 7. PLAZOS DE CONSERVACIÓN ### 7.1. Tabla de Conservación | Categoría de Datos | Plazo | Motivo Legal | |——————-|——-|————–| | **Datos KYC/AML** | 10 años | Ley 10/2010 (prevención blanqueo) | | **Datos de inversión** | Duración proyecto + 10 años | Obligaciones fiscales y legales | | **Comunicaciones** | 5 años | Prueba contractual | | **Logs de acceso** | 2 años | Seguridad y ciberseguridad | | **Datos de marketing** | Hasta revocación | Consentimiento | | **Cookies** | Máximo 24 meses | LSSI-CE | ### 7.2. Destrucción Segura Transcurridos los plazos, los datos serán: – **Suprimidos** de forma segura (sobrescritura múltiple) – **Bloqueados** durante plazo de prescripción de acciones legales – **Anonimizados** para fines estadísticos (cuando aplique) ## 8. MEDIDAS DE SEGURIDAD ### 8.1. Medidas Técnicas – **Cifrado TLS 1.3** en todas las comunicaciones (HTTPS) – **Cifrado AES-256** para datos sensibles en reposo – **Autenticación de dos factores (2FA)** obligatoria para administradores – **Segmentación de redes** y firewalls perimetrales – **Backups cifrados** diarios con retención 30 días – **Detección de intrusiones** (IDS/IPS) – **Parcheo de vulnerabilidades** en <72 horas críticas ### 8.2. Medidas Organizativas - **Políticas de acceso** basadas en mínimo privilegio necesario - **Acuerdos de confidencialidad** con todos los empleados y proveedores - **Formación en protección de datos** anual obligatoria - **Procedimientos de respuesta a incidentes** documentados - **Evaluaciones de impacto (DPIA)** para tratamientos de alto riesgo - **Auditorías de seguridad** anuales por terceros independientes ### 8.3. Gestión de Incidentes En caso de violación de seguridad de datos (art. 33 RGPD): 1. **Detección y contención** inmediata (<24 horas) 2. **Evaluación de riesgo** para derechos y libertades 3. **Notificación a autoridad** (si aplica) en <72 horas 4. **Comunicación a afectados** (si alto riesgo) sin dilación indebida 5. **Documentación y lecciones aprendidas** ## 9. COOKIES Y TECNOLOGÍAS SIMILARES ### 9.1. Tipos de Cookies Utilizadas | Tipo | Finalidad | Duración | Necesita Consentimiento | |------|-----------|----------|------------------------| | **Técnicas esenciales** | Funcionamiento básico de la web | Sesión | No | | **Preferencias** | Recordar idioma, región | 1 año | No | | **Analíticas** | Estadísticas de uso anonimizadas | 2 años | Sí (gestión vía Complianz) | | **Marketing** | Segmentación de comunicaciones | 1 año | Sí (explícito) | ### 9.2. Gestión de Cookies - **Configuración inicial:** Banner de consentimiento (Complianz plugin) - **Revocación:** Link "Configuración de Cookies" en footer - **Navegación privada:** Modo incógnito del navegador - **Eliminación manual:** Configuración del navegador **Más información:** Ver nuestra Política de Cookies separada (/cookies) ## 10. MENORES DE EDAD ### 10.1. Prohibición Expresa **No recopilamos datos de menores de 18 años.** Nuestra plataforma está dirigida exclusivamente a: - Inversores cualificados (mayoría de edad + requisitos financieros/regulatorios) - Personas con capacidad legal para contratar ### 10.2. Verificación de Edad - KYC incluye verificación de fecha de nacimiento - Rechazo automático si <18 años - Notificación a autoridades si se detecta falsificación documental ### 10.3. Eliminación de Datos de Menores Si descubrimos que hemos recopilado datos de un menor sin verificación parental: - Eliminación inmediata de los datos - Notificación al progenitor/tutor si es posible - Revisión de procedimientos de verificación ## 11. CAMBIOS EN LA POLÍTICA DE PRIVACIDAD ### 11.1. Actualizaciones Podemos modificar esta política para: - Adaptarnos a cambios regulatorios (RGPD, MiCA, LSSI) - Incorporar nuevas funcionalidades de la plataforma - Mejorar transparencia y claridad ### 11.2. Notificación de Cambios - **Cambios menores:** Publicación en web con fecha de actualización - **Cambios sustanciales:** Email a todos los usuarios afectados con 30 días de antelación - **Consentimiento renovado:** Si cambia la base legal, solicitaremos nuevo consentimiento ### 11.3. Derecho de Oposición Si no acepta los cambios: - Puede ejercer derecho de oposición al tratamiento - Puede solicitar supresión de datos (salvo obligaciones legales) - Puede cerrar su cuenta de usuario ## 12. LEGISLACIÓN APLICABLE ### 12.1. Normativa Principal - **Reglamento (UE) 2016/679 (RGPD)**: Protección de datos personales - **Ley Orgánica 3/2018 (LOPDGDD)**: Adaptación española del RGPD - **Ley 34/2002 (LSSI-CE)**: Servicios de la sociedad de la información - **Ley 10/2010**: Prevención de blanqueo de capitales - **Reglamento (UE) 2023/1114 (MiCA)**: Mercados de criptoactivos (cuando aplique) ### 12.2. Jurisdicción Competente - **Autoridad de control principal:** ADGM Data Protection Authority - **Autoridad de control secundaria (España):** Agencia Española de Protección de Datos (AEPD) - **Jurisdicción:** Tribunales de ADGM, salvo normas imperativas del domicilio del inversor ### 12.3. Reclamaciones Si considera que el tratamiento infringe el RGPD: 1. **Contacte primero con nuestro DPO:** dpo@aurema-group.com 2. **Presente reclamación ante autoridad de control:** - **España:** www.aepd.es - **ADGM:** www.adgm.com/data-protection 3. **Vía judicial:** Sin perjuicio de otras vías administrativas o judiciales ## 13. INFORMACIÓN ADICIONAL ESPECÍFICA ### 13.1. Tratamiento de Datos Biométricos (KYC) - **Finalidad:** Verificación de identidad y prevención de fraude - **Categoría:** Datos biométricos para identificación unívoca (art. 9 RGPD) - **Base legal:** Obligación legal (AML) + interés público - **Proveedor:** Sumsub (certificado ISO 27001, SOC 2 Type II) - **Eliminación:** 10 años desde fin de relación contractual ### 13.2. Perfilado Automatizado - **Existe perfilado:** NO para decisiones automatizadas con efectos jurídicos - **Existe análisis:** SÍ para segmentación de comunicaciones de marketing (con consentimiento) - **Derecho de oposición:** Puede oponerse en cualquier momento ### 13.3. Decisiones Automatizadas **No tomamos decisiones basadas únicamente en tratamiento automatizado** que produzcan efectos jurídicos o le afecten significativamente, salvo: - Rechazo automático de KYC si documentación es claramente inválida - Bloqueo automático de IP por intentos de acceso no autorizado En estos casos, tiene derecho a: - Obtener intervención humana - Expresar su punto de vista - Impugnar la decisión ## 14. GLOSARIO DE TÉRMINOS | Término | Definición | |---------|-----------| | **Datos personales** | Cualquier información relativa a una persona física identificada o identificable | | **Tratamiento** | Cualquier operación realizada con datos personales (recogida, registro, conservación, etc.) | | **Responsable** | Aurema Group Holdings ADGM Ltd (decide finalidades y medios del tratamiento) | | **Encargado** | Proveedores que tratan datos por cuenta del responsable (Sumsub, Hostinger, etc.) | | **KYC** | Know Your Customer (conozca a su cliente) - proceso de verificación de identidad | | **AML** | Anti-Money Laundering (prevención de blanqueo de capitales) | | **PEP** | Persona Políticamente Expuesta | | **Blockchain** | Libro mayor distribuido e inmutable donde se registran transacciones de tokens | ## 15. CONTACTO Y CONSULTAS ### 15.1. Delegado de Protección de Datos (DPO) 📧 **Email:** dpo@aurema-group.com 📍 **Dirección postal:** [DIRECCIÓN COMPLETA ADGM] 🕐 **Horario de atención:** Lunes a Viernes, 9:00 - 18:00 (GST - Gulf Standard Time) ### 15.2. Consultas Generales 📧 **Email:** privacy@aurema-group.com 📞 **Teléfono:** [+XX XXX XXX XXX] 🌐 **Web:** https://invest.aurema-group.com/privacy ### 15.3. Emergencias de Seguridad Para notificar violaciones de seguridad o incidentes críticos: 📧 **Email:** security@aurema-group.com (disponible 24/7) --- **Fecha de última actualización:** [FECHA ACTUAL] **Versión del documento:** 1.0 **Próxima revisión programada:** [FECHA + 12 MESES] *Esta Política de Privacidad ha sido redactada para cumplir con el Reglamento General de Protección de Datos (RGPD), la Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y las normativas aplicables en ADGM. Se recomienda consultar la versión más reciente antes de proporcionar datos personales.*