1. Responsables del tratamiento
Libertum Ltd es la responsable del tratamiento de los datos personales tratados a través del sitio web libertum.io y de la plataforma T-Suite. Libertum Ltd es una sociedad de responsabilidad limitada (private limited company) constituida en Inglaterra y Gales el 3 de febrero de 2023 con número de sociedad 14638562, con domicilio social en 15 Crammavill Street, Grays, England, RM16 2AP.
Libertum, S.A. de C.V., Av. La Revolución, Presidente Plaza, nivel 6, local 12, San Salvador, El Salvador, es la responsable del tratamiento de los datos personales tratados para prestar sus servicios de activos digitales (custodia, incluidas las billeteras custodia, intercambio y transferencia de activos digitales, y recepción y transmisión de órdenes de clientes) y para cumplir sus propias obligaciones en materia de prevención del lavado de dinero, sanciones y regulación como Proveedor de Servicios de Activos Digitales inscrito ante la Comisión Nacional de Activos Digitales (CNAD) con el asiento registral PSAD-0094.
En esta política, “Libertum” y “nosotros” significan Libertum Ltd y, respecto del tratamiento descrito anteriormente, Libertum, S.A. de C.V.
Emisores e inquilinos de marca blanca. Los emisores en cuyas ofertas usted invierte, y las organizaciones que operan un portal de marca blanca, también utilizan su información para sus propios fines, por ejemplo para llevar su registro de tenedores, decidir sobre su elegibilidad y cumplir sus obligaciones legales. Respecto de ese uso, el emisor o inquilino es responsable como responsable independiente del tratamiento conforme a su propio aviso de privacidad, que le recomendamos leer. Cuando un inquilino utiliza su propia cuenta con nuestro proveedor de verificación de identidad, su verificación en ese portal se trata bajo la cuenta del inquilino.
Nuestro contacto en materia de protección de datos. Nuestro Oficial de Cumplimiento es el responsable de protección de datos del grupo Libertum. Puede contactarlo en [email protected] (asunto “Privacy request”) o por correo postal en cualquiera de las direcciones anteriores.
2. La información que recopilamos
| Categoría | Ejemplos | Origen |
|---|---|---|
| Identificadores y datos de contacto | Nombre, correo electrónico, teléfono, dirección postal, nombre de usuario, ID de cuenta, país de residencia, dirección IP | Usted; su dispositivo |
| Verificación de identidad (KYC/KYB) | Fecha de nacimiento, nacionalidad, documento de identidad oficial y su número, selfie y video de prueba de vida, comprobante de domicilio; en el caso de organizaciones: documentos registrales, administradores, firmantes autorizados y beneficiarios finales | Usted, a través de Sumsub |
| Datos biométricos | Geometría facial derivada de su selfie y de la foto de su documento, utilizada solo para la comparación facial y la prueba de vida | Sumsub, a partir de sus imágenes |
| Resultados de revisión | Resultados en listas de sanciones, de personas expuestas políticamente y de noticias adversas | Sumsub |
| Condición de inversor | Respuestas sobre su condición de inversor acreditado, cualificado o profesional, documentos justificativos y la declaración que firma (con fecha, hora y dirección IP) | Usted |
| Datos financieros y de transacciones | Órdenes, importes, medio de pago, referencias de transferencias bancarias, estado de los pagos con tarjeta (Stripe gestiona los números de tarjeta y nosotros no los almacenamos), tenencias de tokens, distribuciones, redenciones, retiros, facturas y suscripciones | Usted; emisores; proveedores de pago; blockchains |
| Datos de billeteras | Direcciones de las billeteras custodia que habilitamos para usted y de las billeteras externas que usted conecta, registra o a las que retira; historial de transacciones on-chain | Nosotros; usted; blockchains públicas |
| Datos de seguridad | Contraseña (almacenada solo como hash unidireccional), configuración de dos factores, códigos de un solo uso, registros de inicio de sesión y de sesiones, registros de auditoría | Usted; su dispositivo |
| Comunicaciones | Tickets de soporte, disputas, reclamaciones, correos electrónicos y mensajes, envíos de formularios de contacto y reservas de llamadas | Usted |
| Datos del dispositivo y de uso | Navegador, sistema operativo, páginas utilizadas, errores y, en la aplicación T-Suite, grabaciones de sesiones capturadas por nuestro servicio de monitoreo de errores | Su dispositivo |
| Datos de la organización y del espacio de trabajo | Información que emisores, gestores de activos y gestores de fondos introducen sobre su organización, equipo, activos, ofertas, fondos y documentos, incluidos los borradores preparados en Structuring | Organizaciones |
| Datos de prospectos (Distribution Hub) | Datos de contacto y profesionales de posibles inversores introducidos o importados por una organización, o encontrados por Libby AI en fuentes públicas; para las organizaciones que lo conectan, acceso de solo lectura a su bandeja de entrada de Gmail | Organizaciones; fuentes públicas; Google |
| Datos de analítica y marketing del sitio web | Identificadores de cookies, páginas visitadas, interacciones, ubicación aproximada derivada de la dirección IP y (solo si usted acepta las cookies de marketing y envía un formulario) una dirección de correo electrónico cifrada mediante hash para medir conversiones | Su dispositivo; consulte nuestra Política de cookies |
Parte de esta información, como los datos biométricos y los datos que revelan sanciones o la condición de persona expuesta políticamente, constituye una categoría especial de datos o datos sensibles por otros motivos. Solo los tratamos cuando la ley lo permite, como se explica en la sección 3.
3. Cómo utilizamos la información y bases legales
Conforme al UK GDPR (y al RGPD de la UE cuando sea aplicable), debemos contar con una base legal para cada uso de sus datos personales:
| Finalidad | Base legal |
|---|---|
| Abrir y gestionar su cuenta; habilitar billeteras custodia; procesar suscripciones, pagos, entrega de tokens, distribuciones, redenciones, operaciones en el mercado secundario y retiros; llevar los registros de tenedores para los emisores | Ejecución de nuestro contrato con usted; en el caso de organizaciones, nuestro interés legítimo en prestarles el servicio a ellas y a sus usuarios |
| Verificación de identidad y de empresas, revisión de sanciones y PEP, elegibilidad de inversores y límites de inversión, monitoreo y reporte en materia de prevención del lavado de dinero, respuesta a autoridades, conservación de registros | Cumplimiento de obligaciones legales; nuestro interés legítimo en prevenir delitos financieros; para los datos biométricos, su consentimiento explícito otorgado en el proceso de verificación y, en su caso, el interés público esencial en prevenir el fraude y los actos ilícitos |
| Protegerle a usted y a la plataforma: autenticación de dos factores, códigos de un solo uso, prevención del fraude y del abuso, congelamientos cuando sea necesario, investigaciones de seguridad y monitoreo de errores | Nuestro interés legítimo en mantener seguros T-Suite y a sus usuarios; cumplimiento de obligaciones legales |
| Comunicaciones del servicio por correo electrónico (por ejemplo, códigos de verificación, actualizaciones de órdenes y retiros, facturas) y respuesta a solicitudes de soporte y reclamaciones | Ejecución de nuestro contrato; cumplimiento de obligaciones legales (reclamaciones) |
| Compartir su actividad de inversión con el emisor de la oferta (sección 4) | Ejecución de su relación de inversión; los intereses legítimos del emisor y de Libertum |
| Funciones asistidas por IA utilizadas por organizaciones (Libby AI, Structuring, Funds) | Ejecución de nuestro contrato con la organización; nuestro interés legítimo en ofrecer esas funciones |
| Investigación por Libby AI de información profesional disponible públicamente (sección 6) | Nuestro interés legítimo, y el de las organizaciones que utilizan Distribution Hub, en identificar y contactar a inversores profesionales pertinentes |
| Mejorar T-Suite mediante el análisis de errores y del uso | Nuestro interés legítimo en mantener y mejorar nuestros servicios |
| Analítica del sitio web y medición publicitaria | Su consentimiento, otorgado a través de nuestro banner de cookies (consulte nuestra Política de cookies) |
| Responder a formularios de contacto y reservas de llamadas; enviar novedades sobre nuestros servicios a contactos profesionales | Nuestro interés legítimo en responder a consultas y promocionar nuestros servicios; su consentimiento cuando la ley lo exija. Puede darse de baja en cualquier momento |
| Facturación, contabilidad, impuestos y auditoría | Cumplimiento de obligaciones legales; ejecución de nuestro contrato |
| Formular, ejercer o defender reclamaciones; operaciones societarias | Nuestros intereses legítimos |
Cuando nos basamos en intereses legítimos, los hemos ponderado frente a sus derechos; puede pedirnos detalles y puede oponerse (sección 11). Cuando nos basamos en el consentimiento, puede retirarlo en cualquier momento sin que ello afecte al tratamiento anterior.
5. Proveedores de servicios y otros destinatarios
Compartimos datos personales con los siguientes destinatarios solo en la medida necesaria para las finalidades de esta política. Nuestros proveedores de servicios tratan los datos siguiendo nuestras instrucciones en virtud de contratos escritos.
| Destinatario | Finalidad |
|---|---|
| Sumsub | Verificación de identidad y de empresas, prueba de vida y comparación facial, revisión de sanciones, PEP y noticias adversas |
| Microsoft Azure | Alojamiento de los servidores, la base de datos y los documentos cargados de T-Suite |
| Cloudflare | Alojamiento y entrega del sitio web libertum.io y de las aplicaciones de T-Suite, dominios personalizados de marca blanca y vistas previas de enlaces, y nuestro sistema de formularios de contacto del sitio web |
| Twilio SendGrid | Envío de correos electrónicos del servicio y transaccionales |
| Stripe | Pagos con tarjeta, facturación de suscripciones y facturación de comisiones de red |
| Anthropic | Modelos de IA utilizados por Libby AI, Structuring y otras funciones asistidas por IA |
| Sentry | Monitoreo de errores y grabación de sesiones de la aplicación T-Suite |
| Acceso de solo lectura a Gmail para las organizaciones que conectan su bandeja de entrada a Distribution Hub; calendario de reserva de llamadas; analítica y publicidad del sitio web (Google Analytics, Google Ads y Google Tag Manager, según sus preferencias de cookies) | |
| Microsoft (Clarity), Meta, LinkedIn y X | Analítica del sitio web y medición publicitaria, según se describe en nuestra Política de cookies |
| Proveedores de infraestructura blockchain (como Tatum y Blockfrost, y nodos públicos de las redes) | Lectura y envío de transacciones a blockchains públicas |
| Bridge | Servicios de entrada y salida de dinero fiduciario, solo si usted decide utilizarlos cuando estén disponibles (Bridge actúa conforme a sus propios términos y política de privacidad) |
| Emisores, sus agentes de transferencias y administradores | Administración de su inversión en su oferta (sección 4) |
| Inquilinos de marca blanca | Operación del portal que usted utiliza y, si se registra en su portal, revisión de la verificación y de la acreditación |
| Asesores profesionales y auditores | Servicios legales, contables y de auditoría |
| Autoridades | Cuando lo exijan la ley, la regulación o una orden judicial, o para proteger derechos y la seguridad, incluidas la CNAD, las unidades de inteligencia financiera, las autoridades tributarias y las fuerzas del orden |
| Operaciones societarias | Un comprador o sucesor de la totalidad o parte de nuestro negocio, con sujeción a esta política |
Blockchains públicas. Las transferencias y los saldos de tokens se registran en blockchains públicas (Ethereum, Base, Polygon, Arbitrum, BNB Smart Chain, Cardano y XRP Ledger). Esa información es pública y permanente, y no podemos modificarla ni eliminarla. No publicamos su nombre on-chain; su registro de identidad on-chain contiene una declaración de verificación, no sus documentos.
6. Distribution Hub y datos obtenidos de fuentes públicas
Esta sección está dirigida a las personas cuyos datos profesionales figuran en el espacio de trabajo de Distribution Hub de una organización, por ejemplo como posible inversor.
Qué recopilamos y de dónde. Cuando una organización utiliza Libby AI, buscamos en fuentes públicas (como sitios web de empresas, registros y presentaciones ante reguladores y prensa de referencia) empresas y los profesionales que trabajan en ellas. Recopilamos el nombre, el cargo, la empresa, los datos de contacto profesionales publicados por la empresa y la fuente de la información. Libby no recopila números de teléfono móvil personales ni direcciones de correo electrónico privadas, y no accede a LinkedIn ni a otras redes sociales. Las organizaciones también pueden introducir o importar datos de prospectos por sí mismas; son responsables de esos datos.
Por qué. Para ayudar a las organizaciones a identificar y contactar a inversores profesionales que puedan estar interesados en sus ofertas. La base legal es el interés legítimo. Los resultados de Libby se generan con IA y pueden ser inexactos; no los utilizamos para tomar decisiones sobre usted que produzcan efectos jurídicos o efectos igualmente significativos.
Quién la ve. Las organizaciones cuyas búsquedas devuelven su información. Podemos conservar los resultados de las investigaciones en un repositorio de investigación compartido para no tener que recopilar repetidamente la misma información pública.
Sus opciones. Puede oponerse o solicitar la supresión en cualquier momento escribiendo a [email protected]. Le eliminaremos de todos los espacios de trabajo de Distribution Hub y conservaremos un registro mínimo de exclusión para que Libby no vuelva a añadirle.
Gmail. Si una organización conecta su bandeja de entrada de Gmail, accedemos a ella con el permiso de solo lectura de Google para mostrar la correspondencia relevante en su espacio de trabajo. No podemos enviar correos desde la cuenta, y el token de acceso se almacena cifrado.
7. Funciones de IA y decisiones automatizadas
Cuando las organizaciones utilizan funciones asistidas por IA (como Libby AI, la redacción y traducción en Structuring o la asistencia de IA en Funds), el contenido que envían y los datos pertinentes del espacio de trabajo se envían a nuestro proveedor de IA, Anthropic, para producir el resultado.
La verificación de identidad utiliza comprobaciones automatizadas de Sumsub (como la autenticidad del documento, la comparación facial y la revisión en listas). Usted no puede invertir hasta que la verificación se haya superado, pero las decisiones finales de rechazo o congelamiento las toman o revisan personas, y usted puede solicitar una revisión manual de cualquier decisión de verificación. Fuera de ello, no tomamos decisiones basadas únicamente en un tratamiento automatizado que produzcan efectos jurídicos o efectos igualmente significativos sobre usted.
8. Transferencias internacionales
Libertum opera desde el Reino Unido y El Salvador y utiliza proveedores de servicios en Estados Unidos, la Unión Europea y otros países, por lo que sus datos pueden tratarse fuera del país en el que usted reside. Cuando el derecho del Reino Unido o de la UE lo exija, solo transferimos datos personales a países reconocidos como países que ofrecen una protección adecuada o con garantías apropiadas, como las cláusulas contractuales tipo aprobadas por la Comisión Europea junto con el UK Addendum, o el International Data Transfer Agreement del Reino Unido. Puede pedirnos más información sobre estas garantías.
9. Cuánto tiempo conservamos la información
Conservamos los datos personales mientras su cuenta esté abierta y, posteriormente, durante el tiempo necesario para cumplir obligaciones legales, regulatorias, fiscales y de auditoría, resolver controversias y hacer cumplir nuestros acuerdos. En particular:
- los registros de verificación de identidad, los resultados de revisión, los registros de acreditación y los registros de transacciones (órdenes, pagos, emisiones, transferencias, operaciones y retiros, incluidos los retiros bloqueados), así como los congelamientos y las incautaciones, se conservan durante al menos cinco años desde el fin de nuestra relación con usted o desde la fecha de la transacción, o durante más tiempo cuando lo exija la legislación de prevención del lavado de dinero aplicable en El Salvador o en la jurisdicción del emisor;
- los registros de reclamaciones y la correspondencia se conservan durante al menos cinco años desde el cierre de la reclamación;
- los registros de las solicitudes de ejercicio de derechos de privacidad se conservan durante al menos 24 meses;
- los registros de facturación y contables se conservan durante los plazos que exigen la legislación fiscal y societaria;
- los datos de analítica del sitio web se conservan durante los plazos descritos en nuestra Política de cookies; y
- los datos de formularios de contacto y de prospectos se conservan mientras sean pertinentes para la finalidad para la que se recopilaron, o hasta que usted se oponga.
Cuando se cierra una cuenta, eliminamos el perfil, los datos de contacto, los registros de billeteras custodia y la configuración, pero conservamos los registros que la ley nos obliga a conservar. La información que mantiene Sumsub se conserva conforme a sus condiciones con nosotros. La información registrada en blockchains públicas no puede eliminarse. La información que ya no es necesaria se elimina o se anonimiza.
10. Cómo protegemos la información
Aplicamos medidas técnicas y organizativas adecuadas al riesgo, entre ellas:
- contraseñas almacenadas solo como hashes unidireccionales con sal;
- autenticación de dos factores mediante aplicación de autenticación para todas las cuentas, y códigos de un solo uso para los retiros;
- sesiones que caducan tras un período de inactividad (60 minutos por defecto);
- claves privadas de las billeteras custodia, secretos de dos factores y tokens de bandejas de entrada conectadas cifrados con AES-256-GCM;
- documentos de identidad custodiados por Sumsub, y documentos sensibles cargados en T-Suite servidos solo mediante enlaces firmados de corta duración;
- acceso a las herramientas de administración limitado al personal autorizado, con registro de las acciones clave; y
- informes de errores filtrados para eliminar credenciales y tokens de acceso antes de que salgan de su navegador.
Ningún método de transmisión o almacenamiento es completamente seguro. Si una violación de la seguridad de los datos personales puede poner en riesgo sus derechos, se lo notificaremos a usted y a las autoridades competentes según lo exija la ley. Encontrará más información en nuestra página de Seguridad.
11. Sus derechos
Conforme al UK GDPR, y al RGPD de la UE cuando le sea aplicable, usted tiene derecho a: ser informado sobre cómo utilizamos sus datos; acceder a una copia de ellos; rectificar los datos inexactos; solicitar la supresión de los datos; limitar su uso; recibir en un formato portable los datos que nos haya facilitado; oponerse al tratamiento basado en intereses legítimos y, en cualquier momento, a la mercadotecnia directa; retirar el consentimiento cuando nos basemos en él; y no ser objeto de decisiones basadas únicamente en un tratamiento automatizado que produzcan efectos jurídicos o efectos igualmente significativos. Algunos derechos están limitados, por ejemplo cuando debemos conservar registros para cumplir obligaciones de prevención del lavado de dinero.
Cómo ejercerlos. Escriba a [email protected] desde la dirección de correo electrónico de su cuenta (asunto “Privacy request”), o haga que lo haga un representante autorizado con su permiso por escrito. Verificaremos su identidad, normalmente confirmando el control del correo electrónico de su cuenta, y responderemos en el plazo de un mes. Cuando una solicitud sea compleja o recibamos muchas solicitudes, podremos ampliar este plazo hasta dos meses más y le explicaremos el motivo.
Reclamaciones ante una autoridad. Puede presentar una reclamación ante la Information Commissioner’s Office del Reino Unido (ico.org.uk, +44 303 123 1113) o, si reside en el Espacio Económico Europeo, ante la autoridad de protección de datos de su país. Le agradeceríamos que nos diera primero la oportunidad de atender su inquietud.
Otros países. Si reside en otro lugar, incluidos El Salvador o un estado de Estados Unidos con una ley de privacidad del consumidor, puede tener derechos similares conforme a la legislación local, y los respetaremos en la medida en que dicha legislación lo prevea. No vendemos datos personales ni los compartimos para publicidad conductual entre contextos en T-Suite, y no le discriminaremos por ejercer sus derechos.
Mensajes de marketing y del servicio. Puede dejar de recibir correos de marketing mediante el enlace de baja que incluyen. No puede excluirse de los mensajes del servicio y de seguridad mientras su cuenta esté abierta.
13. Menores de edad
Nuestro sitio web y T-Suite no están dirigidos a menores de 18 años. No recopilamos deliberadamente datos personales de menores; si descubrimos que lo hemos hecho, los eliminaremos.
14. Cambios en esta política
Podemos actualizar esta política para reflejar cambios en nuestros servicios o en la ley. Publicaremos la política actualizada en esta página con una nueva fecha de “Última actualización” y, cuando los cambios sean sustanciales, se lo comunicaremos por correo electrónico o en T-Suite antes de que entren en vigor.
15. Contacto
Para cualquier pregunta o solicitud sobre esta política o sus datos personales, escriba a [email protected] con el asunto “Privacy request”, o por correo postal a Libertum Ltd, 15 Crammavill Street, Grays, England, RM16 2AP, o a Libertum, S.A. de C.V., Av. La Revolución, Presidente Plaza, nivel 6, local 12, San Salvador, El Salvador.