Política de privacidad

1. Responsable del tratamiento

El responsable del tratamiento de los datos personales recogidos a través de Cedefix es:

ZAIRUX TECHNOLOGIES, S.L.U.
NIF: B75431189
Domicilio: Calle Santiago 5, 3º Izq. 38002 Santa Cruz de Tenerife, España
Marca comercial: Cedefix
Correo de contacto en materia de privacidad: support@zairux.com

En adelante, “Cedefix”, “nosotros” o “el responsable”.

2. Ámbito de aplicación

Esta política se aplica al tratamiento de datos personales realizado a través del sitio web de Cedefix y de las funcionalidades asociadas, entre ellas:

• La consulta y comparación de rutas de compra, intercambio o movimiento de activos digitales.
• La creación y gestión de cuentas, cuando esta funcionalidad esté disponible.
• La configuración de preferencias y alertas.
• La información sobre rutas que pueden requerir wallets o proveedores externos.
• Los formularios de contacto y soporte.
• El envío de comunicaciones transaccionales o comerciales.
• La medición del uso de la plataforma y la publicidad, únicamente cuando se hayan aceptado las cookies correspondientes.

Los sitios web, aplicaciones, exchanges, wallets, bridges, DEX, CEX u otros servicios externos enlazados desde Cedefix disponen de sus propias condiciones y políticas de privacidad.

3. Datos personales que tratamos

Dependiendo de cómo utilices Cedefix, podemos tratar las siguientes categorías de datos.

Datos de cuenta

Cuando creas una cuenta, podemos tratar:

• Dirección de correo electrónico, utilizada también como identificador interno de la cuenta, credenciales de acceso y contraseña almacenada mediante mecanismos criptográficos de hash.
• Estado y fecha de verificación de la cuenta, fecha de creación y último acceso.
• Idioma preferido, país cuando se haya facilitado, preferencias y configuración.
• Preferencia de recibir novedades de producto, fecha y origen del consentimiento.
• Identificadores de sesión y registros de acceso.

Cedefix no almacena las contraseñas en texto legible.

Seguridad de la cuenta

Para verificar el correo, recuperar el acceso, cambiar el correo o la contraseña y eliminar la cuenta, guardamos tokens de un solo uso mediante hash, su finalidad, fecha de creación y caducidad, estado de uso, dirección IP desde la que se solicitaron y el contexto mínimo necesario para completar la operación. Los códigos y enlaces tienen una validez limitada.

También mantenemos sesiones autenticadas en el servidor y una cookie de sesión protegida y no accesible desde JavaScript. Para limitar intentos abusivos en acciones sensibles, almacenamos temporalmente un identificador no reversible generado mediante hash a partir de la acción, la dirección IP y el identificador relevante, junto con el número de intentos y la caducidad de la ventana.

Consultas y uso de la plataforma

Podemos registrar información relacionada con el uso del servicio: activos de origen y destino, moneda o activo utilizado para la búsqueda, redes y proveedores consultados, filtros seleccionados, rutas visualizadas, apertura de detalles de ruta, interacciones con nodos, proveedores o enlaces externos, preferencias relacionadas con KYC, rapidez, coste, red o tipo de proveedor, idioma y región aproximada.

Esta información puede asociarse a una cuenta, sesión, dispositivo o dirección IP cuando sea necesario para prestar el servicio, mantener su seguridad o generar estadísticas consentidas.

Datos técnicos y de seguridad

• Dirección IP, tipo y versión del navegador, sistema operativo y dispositivo.
• Identificadores de sesión, fecha del primer y último acceso, número de visitas y duración de las conexiones.
• Registros técnicos, errores, rendimiento y eventos de seguridad.
• Intentos de acceso no autorizado o uso abusivo y región aproximada inferida a partir de la dirección IP.

Cedefix no obtiene una ubicación GPS precisa salvo que una funcionalidad lo solicite expresamente y el usuario la autorice.

Datos públicos de blockchain

Cedefix consulta datos públicos procedentes de blockchains, nodos RPC, APIs de mercado y otras fuentes para calcular y comparar rutas. Actualmente no permite conectar una wallet de usuario ni solicita, asocia o almacena direcciones públicas de wallets de los usuarios.

Cedefix nunca solicitará ni almacenará claves privadas, frases semilla o códigos secretos de recuperación. No debes introducir ni enviar esta información en formularios, correos o mensajes de soporte.

Las direcciones públicas y los metadatos de transacciones disponibles en una blockchain pueden constituir datos personales cuando permiten identificar directa o indirectamente a una persona. Los registros ya existentes en una blockchain pública pueden permanecer disponibles y replicados fuera del control de Cedefix.

Comunicaciones y soporte

Cuando utilizas el formulario para reportar una incidencia, guardamos el correo electrónico de contacto, la descripción, la URL de la página desde la que se envió y si el reporte se realizó desde una cuenta autenticada. También podemos conservar el historial de comunicaciones y la información técnica necesaria para investigar la incidencia. No debes incluir claves privadas, frases semilla, documentación de identidad ni información sensible que no sea necesaria para resolver la consulta.

Comunicaciones por correo electrónico

En relación con correos de verificación, alertas, seguridad o novedades, podemos tratar dirección de correo electrónico, tipo de comunicación enviada, fecha y estado de envío, rebotes, quejas por correo no deseado, solicitudes de baja y evidencia del consentimiento cuando la comunicación sea comercial.

El historial técnico de envío puede incluir el destinatario, asunto, identificador asignado por el proveedor, número y fecha de los intentos, estado y fecha de envío o fallo y un mensaje técnico de error. Para respetar bajas, rebotes permanentes o quejas, podemos mantener la dirección de correo electrónico en una lista de supresión junto con el motivo y las fechas de alta o actualización.

Cedefix no enviará novedades comerciales sin una base jurídica válida. La suscripción a novedades debe ser voluntaria, separada de la creación de la cuenta y revocable en cualquier momento.

Configuración e historial de alertas

Cuando configuras alertas, guardamos la cuenta asociada, activos de origen y destino, importe de referencia, tipo de alerta, dirección o umbral, porcentaje mínimo de cambio, filtros de proveedor y red, frecuencia, preferencias de recuperación y estado activo. También conservamos snapshots de referencia y del último cálculo, fechas de evaluación y activación, último precio medio notificado, incidencias de evaluación y registros de notificaciones con identificadores no duplicables. Esta información permite evaluar la alerta de forma asíncrona y evitar correos repetidos.

Cookies, analítica y publicidad

Cuando aceptas las categorías opcionales correspondientes, podemos recoger identificadores de cookies y datos sobre páginas visitadas, consultas realizadas, rutas y activos consultados, uso de filtros, interacciones con proveedores, rendimiento de campañas, audiencias y conversiones publicitarias.

Las cookies técnicas necesarias para el funcionamiento de la web pueden utilizarse sin consentimiento cuando estén legalmente exentas. Las cookies de analítica, personalización no necesaria o publicidad no deben activarse hasta que el usuario las acepte. La información concreta sobre cookies, proveedores, duración y finalidades debe figurar en la Política de cookies.

Protección antiabuso

Durante el registro podemos utilizar Google reCAPTCHA. En ese caso, el token del desafío y la dirección IP se envían a Google para comprobar que la solicitud no procede de un sistema automatizado, de acuerdo con la configuración y las condiciones del proveedor.

4. Procedencia de los datos

Los datos pueden proceder:

• Directamente de ti, cuando creas una cuenta, configuras preferencias o contactas con nosotros.
• De tu dispositivo o navegador, mediante registros técnicos y cookies.
• De blockchains públicas, nodos RPC, APIs de mercado y fuentes públicas.
• De proveedores de correo, cuando nos informan sobre envíos, rebotes, quejas o bajas.
• De proveedores de autenticación, cuando utilizas dichos servicios.
• De Google reCAPTCHA, cuando está activado para proteger el registro frente a uso automatizado.
• De plataformas de analítica o publicidad, exclusivamente de acuerdo con las preferencias de consentimiento configuradas.

Cedefix no utiliza datos obtenidos de una blockchain pública para intentar revelar deliberadamente la identidad civil de los titulares de las direcciones, salvo que resulte necesario para prevenir fraude, atender una obligación legal o proteger el servicio.

5. Finalidades y bases jurídicas

Cuando el tratamiento se base en el consentimiento, podrás retirarlo en cualquier momento sin que ello afecte a la licitud del tratamiento realizado con anterioridad. Cuando se base en interés legítimo, podrás solicitar información adicional sobre la ponderación realizada y oponerte al tratamiento por motivos relacionados con tu situación particular.

6. Ranking de rutas y tratamiento automatizado

Cedefix utiliza procesos automatizados para buscar, ordenar, descartar y destacar rutas. El ranking puede tener en cuenta, entre otros factores:

• Coste total estimado, precio base, comisiones del proveedor, costes de red o gas, slippage y liquidez.
• Número de pasos, tiempo estimado, frescura y procedencia del dato y confianza de la fuente.
• Estado de la red o del proveedor, necesidad de KYC y disponibilidad regional.

La opción destacada como “mejor opción” representa el resultado del algoritmo en el momento de la consulta. No implica que sea la opción adecuada para todas las personas ni garantiza que el precio o la disponibilidad se mantengan al acceder al proveedor.

Estos procesos no producen efectos jurídicos sobre el usuario ni adoptan decisiones que le afecten de manera similarmente significativa. Cedefix no decide si un proveedor acepta al usuario, no realiza el KYC del proveedor y no concede financiación, crédito o acceso a productos financieros. El usuario conserva la decisión final de utilizar o no una ruta. Las condiciones definitivas, el KYC, la ejecución y la relación contractual corresponden al proveedor externo seleccionado.

7. Proveedores externos y KYC

Cedefix puede mostrar rutas que incluyen exchanges centralizados, exchanges descentralizados, bridges, wallets, onramps, protocolos y otros proveedores. Cuando accedes a uno de estos servicios:

• El proveedor puede recibir datos técnicos como tu dirección IP, navegador y página de procedencia.
• Puede solicitarte datos personales, documentación de identidad o información financiera.
• Puede aplicar sus propias reglas de disponibilidad geográfica y KYC.
• El tratamiento realizado por ese proveedor se regirá por su propia política de privacidad.

Salvo que se indique expresamente lo contrario, Cedefix no recibe ni almacena la documentación de identidad aportada por el usuario al proveedor externo.

La indicación “requiere KYC” es una característica informativa de la ruta, no un proceso de identificación realizado por Cedefix.

8. Destinatarios y encargados del tratamiento

Cedefix puede permitir el acceso a datos personales a proveedores que prestan servicios necesarios para su funcionamiento, entre ellos:

• Amazon Web Services para hosting, infraestructura cloud, bases de datos, almacenamiento, copias de seguridad y envío de correos electrónicos transaccionales mediante Amazon SES.
• Seguridad, registros, monitorización y diagnóstico de errores.
• Formularios y atención al usuario.
• Servicios de autenticación y protección antiabuso, incluido Google reCAPTCHA cuando esté activado.
• Nodos RPC y servicios de infraestructura blockchain.
• Google Tag Manager y Google Analytics para analítica y medición, únicamente con consentimiento cuando sea necesario.
• Google AdSense para publicidad, únicamente con consentimiento.
• Asesoramiento jurídico, fiscal, contable o técnico.

Estos proveedores tratarán los datos siguiendo las instrucciones de Cedefix cuando actúen como encargados del tratamiento y estarán vinculados mediante los contratos correspondientes.

También podremos comunicar datos a juzgados, tribunales, fuerzas de seguridad, autoridades fiscales, organismos reguladores u otras autoridades cuando exista una obligación legal; a asesores o aseguradoras cuando sea necesario para ejercer o defender reclamaciones; y en el contexto de una operación societaria, aplicando las garantías legalmente exigibles.

Cedefix no vende datos personales.

Los proveedores externos a los que el usuario accede voluntariamente desde una ruta pueden actuar como responsables independientes de sus propios tratamientos.

9. Transferencias internacionales

Algunos proveedores tecnológicos, plataformas de analítica, servicios blockchain o nodos de redes descentralizadas pueden estar situados fuera del Espacio Económico Europeo. Cuando Cedefix realice una transferencia internacional de datos personales, utilizará alguno de los mecanismos previstos en el RGPD:

• Una decisión de adecuación de la Comisión Europea.
• El Marco de Privacidad de Datos UE-EE. UU., cuando la entidad estadounidense receptora esté debidamente certificada.
• Cláusulas contractuales tipo aprobadas por la Comisión Europea y, cuando proceda, medidas complementarias.
• Normas corporativas vinculantes u otra garantía o excepción reconocida en el capítulo V del RGPD.

Las redes blockchain públicas pueden incluir nodos distribuidos globalmente. Cedefix procurará no introducir datos personales adicionales en una blockchain y limitará el tratamiento on-chain a la información pública estrictamente necesaria para la funcionalidad solicitada.

10. Conservación de los datos

• Cuenta: mientras permanezca activa. Cuando se solicite su eliminación, los datos se suprimirán o bloquearán, salvo aquellos que deban conservarse para cumplir obligaciones o atender posibles responsabilidades.
• Sesiones: su validez termina cuando se cierra la sesión, se invalida por un cambio de seguridad o alcanza su caducidad, configurada actualmente en un máximo de 14 días. Los registros de sesiones caducadas pueden permanecer hasta su limpieza técnica.
• Tokens y códigos de cuenta: sus periodos de validez son de 15 minutos para códigos de confirmación, 1 hora para recuperación de contraseña y 24 horas para verificación del correo. Los registros técnicos asociados pueden conservarse posteriormente mientras sean necesarios para seguridad y auditoría o hasta la eliminación de la cuenta.
• Preferencias, alertas y notificaciones: mientras la cuenta permanezca activa o hasta que se desactiven o eliminen. Sus snapshots e historial se conservan para evaluar condiciones, aplicar límites de frecuencia y evitar notificaciones duplicadas.
• Consultas de soporte y registros de seguridad: durante la gestión de la solicitud y el periodo limitado y proporcional necesario para atender posibles reclamaciones, investigar incidentes, fraude o accesos no autorizados.
• Historial de correos: durante el tiempo necesario para acreditar la entrega, gestionar fallos, proteger la cuenta, investigar incidencias y cumplir obligaciones. Las listas de supresión por baja, rebote permanente, queja o bloqueo manual pueden conservarse mientras sean necesarias para evitar nuevos envíos no deseados.
• Comunicaciones comerciales: hasta que se retire el consentimiento o se solicite la baja. La evidencia del consentimiento se conservará mientras sea necesario para acreditar el cumplimiento.
• Límites antiabuso: hasta que expire la ventana de control correspondiente; los registros caducados se eliminan periódicamente.
• Analítica, publicidad y datos necesarios para obligaciones legales: durante los plazos indicados en la Política de cookies, la configuración de proveedores y los periodos de prescripción aplicables.

Cuando sea posible, los datos se eliminarán, agregarán o anonimizarán una vez que dejen de ser necesarios.

11. Derechos de las personas usuarias

Puedes ejercer los siguientes derechos: acceso a tus datos personales, rectificación de datos inexactos, supresión, limitación del tratamiento, oposición, portabilidad, retirada del consentimiento y derecho a no ser objeto de decisiones automatizadas con efectos jurídicos o similarmente significativos, cuando concurran los requisitos legales.

Para ejercerlos, escribe a support@zairux.com, indicando el derecho que deseas ejercer, la información necesaria para localizar tus datos y un medio de contacto para responderte.

Cuando existan dudas razonables sobre tu identidad, podremos solicitar información adicional limitada a verificar que eres la persona titular. También puedes presentar una reclamación ante la Agencia Española de Protección de Datos o ante la autoridad de control que corresponda a tu lugar de residencia. El ejercicio de los derechos es gratuito, salvo solicitudes manifiestamente infundadas o excesivas en los supuestos permitidos por la normativa.

12. Cookies y gestión del consentimiento

Cedefix dispone de una Política de cookies separada, en la que se identifican las cookies y tecnologías utilizadas, su titular, finalidad, duración, posibles transferencias internacionales y el procedimiento para aceptar, rechazar o revocar el consentimiento. Las herramientas de analítica y publicidad opcionales no se cargarán antes de obtener el consentimiento correspondiente. El usuario podrá modificarlo o retirarlo en cualquier momento a través del panel de configuración de cookies.

13. Menores de edad

Cedefix no está dirigido a menores de 18 años y no pretende recopilar deliberadamente sus datos personales. Cuando tengamos conocimiento de que una persona menor ha facilitado datos incumpliendo las condiciones del servicio, podremos bloquear la cuenta y eliminar o limitar los datos correspondientes.

14. Seguridad

Cedefix aplica medidas técnicas y organizativas adecuadas al riesgo, orientadas a proteger los datos frente a accesos no autorizados, pérdida o destrucción accidental, alteración indebida, divulgación no autorizada, uso fraudulento e incidentes de disponibilidad o integridad. Estas medidas pueden incluir controles de acceso, gestión de credenciales, cifrado en tránsito, copias de seguridad, registros de seguridad, actualizaciones y procedimientos de respuesta a incidentes.

Ningún servicio conectado a internet puede garantizar una seguridad absoluta. Cedefix no custodia claves privadas ni frases semilla. El usuario es responsable de mantenerlas bajo su control y no comunicarlas a terceros.

15. Cambios en esta política

Cedefix podrá actualizar esta política para reflejar cambios en el producto, nuevas funcionalidades, modificaciones en los proveedores utilizados, cambios normativos o nuevas operaciones de tratamiento. La versión vigente será la publicada en la web y estará identificada mediante su fecha de actualización. Cuando el cambio sea relevante, podremos mostrar un aviso destacado o comunicarlo a los usuarios registrados.