Política de privacidad
Última actualización: 20 de octubre de 2026
English · Français · Nederlands · Deutsch · Español · Português · Italiano · עברית · Polski
1. Quiénes somos
Esta política explica cómo VU Credentials Ltd («VU» o «nosotros») trata los datos personales. Está registrada en Inglaterra y Gales con el número de sociedad 17527869, y su domicilio social se encuentra en 20 Wenlock Road, London, England, N1 7GU.
Respecto de los datos personales descritos en la sección 3, salvo la última fila de su tabla, somos el responsable del tratamiento conforme a la legislación británica de protección de datos (el UK GDPR y la Data Protection Act 2018). Para consultas y solicitudes relativas a la privacidad, escriba a legal@vucredentials.com.
2. De quién son los datos, y nuestro papel
Somos el responsable del tratamiento de los datos personales relativos a:
- las personas que utilizan el panel de control de VU en nombre de nuestros clientes;
- las personas que solicitan una cuenta o se ponen en contacto con nosotros;
- los administradores y propietarios de las sociedades solicitantes, a quienes cotejamos con las listas de sanciones;
- los visitantes de nuestro sitio web y quienes realizan llamadas a nuestra API.
Somos encargado del tratamiento respecto de los datos personales, relativos a titulares y verificadores de credenciales, que nuestros clientes incorporan a credenciales o presentaciones. El cliente que emitió la credencial es el responsable del tratamiento, y se aplica su propio aviso de privacidad: diríjase a él en relación con esos datos. Solo los tratamos para prestar el Servicio, según lo establecido en nuestras Condiciones del servicio (sección 10, en inglés).
3. Qué datos recogemos
| De quién | Qué datos, y de dónde proceden |
|---|---|
| Visitantes del sitio web y de la API | Su dirección IP, la hora, la página o la dirección de la API solicitada, la respuesta y el tipo de navegador. Registrados por nuestros servidores. |
| Solicitantes | La denominación social de su sociedad, su país, su número de registro y su número de IVA, un correo electrónico de contacto y todo lo que escriba en la solicitud. Facilitados por usted. |
| Administradores y propietarios de las sociedades solicitantes | Los nombres, y otros datos que figuran en el registro público, junto con el resultado de nuestra comprobación de sanciones. Obtenidos de registros mercantiles públicos como Companies House, de la lista de sanciones del Reino Unido (UK Sanctions List) y de la lista OFAC de Estados Unidos. |
| Usuarios del panel de control | Su dirección de correo electrónico, su nombre visible y su rol. Las llaves de acceso (passkeys) que registra: una clave pública, una etiqueta de dispositivo que usted elige y la fecha del último uso de cada una. Los enlaces de inicio de sesión de un solo uso, que caducan a los 10 minutos y solo funcionan en el navegador que los solicitó. Los tokens de sesión, que duran 8 horas. Un registro de las acciones realizadas en su cuenta (el registro de auditoría), con la dirección IP desde la que se realizó cada una. Los nombres y las fechas de creación y de último uso de las claves de API; nunca la clave en sí, que solo almacenamos como hash unidireccional. |
| Pagadores, una vez que se abran los pagos con stablecoins | Las direcciones de cartera que registra, las transacciones con las que nos paga (hash, importe, red, token), los resultados del cribado de sanciones y los datos de facturación que figuran en sus facturas. |
| Cualquier persona que nos escriba | Sus correos electrónicos y nuestras respuestas. |
| Titulares de credenciales y verificadores (como encargado del tratamiento) | Los atributos que nuestros clientes incorporan a las credenciales, conservados durante la vigencia de la cuenta del cliente para que este pueda consultarlos, revocarlos y suspenderlos. Las presentaciones enviadas a los verificadores, y los atributos verificados en ellas, que se suprimen 30 días después de que finalice la solicitud. Los eventos que enviamos a los propios sistemas de nuestros clientes (webhooks), que pueden reproducir esos atributos, y que se suprimen 30 días después de su envío. |
4. Para qué los utilizamos, y nuestra base jurídica
| Finalidad | Base jurídica |
|---|---|
| Prestar el Servicio: cuentas, inicio de sesión, emisión y verificación de credenciales, facturación, soporte | Contrato, con nuestro cliente; para los miembros de su equipo, nuestro interés legítimo en prestar el servicio que el cliente ha contratado |
| Mantener la seguridad del Servicio y prevenir abusos: registros de solicitudes, registro de auditoría, límites de frecuencia | Intereses legítimos |
| Cotejar a los solicitantes, sus administradores y propietarios, las carteras, los pagos y las devoluciones con las listas de sanciones | Obligación legal: la legislación británica en materia de sanciones prohíbe poner fondos o servicios a disposición de personas designadas. También nuestro interés legítimo en demostrar que actuamos con la diligencia razonable |
| Llevar los registros fiscales y contables, y emitir facturas | Obligación legal |
| Correos electrónicos sobre su cuenta y el Servicio, como enlaces de inicio de sesión, recibos de pago y cambios en nuestras condiciones | Contrato e intereses legítimos |
No enviamos comunicaciones comerciales por correo electrónico ni vendemos datos personales.
5. Con quién los compartimos
Nuestros subencargados del tratamiento, que tratan datos personales por cuenta nuestra en virtud de cláusulas de protección de datos:
| Proveedor | Qué hace, y dónde |
|---|---|
| Google Cloud (Google LLC) | Ejecuta nuestra API, nuestra base de datos, la gestión de claves y los registros. Estados Unidos (Iowa). |
| Amazon Rekognition (Amazon Web Services, Inc.) | Comprueba que un rostro corresponde a una persona realmente presente (prueba de vida) y lo compara con la foto almacenada en el chip de un pasaporte, cuando verificamos un pasaporte y en la verificación facial en el mostrador de una empresa. Estados Unidos (Virginia). |
| Firebase Hosting (Google LLC) | Aloja nuestro sitio web y nuestro panel de control. Red mundial. |
| ZeptoMail (Zoho Corporation) | Envía los enlaces de inicio de sesión y los correos electrónicos del servicio. Estados Unidos. |
| Proveedores de nodos de blockchain | Leen datos públicos de blockchain para que podamos verificar los pagos. Los indicaremos aquí antes de que se abran los pagos con stablecoins. |
También compartimos datos personales con:
- las autoridades, como la Office of Financial Sanctions Implementation (la autoridad británica de aplicación de sanciones financieras), el HMRC (la administración tributaria británica), la policía o un tribunal, cuando la ley lo exija;
- nuestros asesores profesionales, como contables y abogados, de forma confidencial;
- cualquier persona que adquiera nuestro negocio o se haga cargo de él, que deberá respetar esta política.
Blockchains públicas. Cuando paga con una stablecoin, la transferencia queda registrada en esa blockchain, de forma pública y permanente, por la propia naturaleza de la blockchain. No podemos modificarla ni suprimirla.
6. Transferencias fuera del Reino Unido
Nuestros proveedores tratan los datos principalmente en Estados Unidos. Solo transferimos datos personales fuera del Reino Unido al amparo de un mecanismo reconocido por la legislación británica de protección de datos, como la extensión británica del Marco de Privacidad de Datos UE-EE. UU. (UK Extension to the EU–US Data Privacy Framework), en virtud de la cual Google está certificado, o el acuerdo internacional de transferencia de datos (International Data Transfer Agreement) o la adenda británica a las cláusulas contractuales tipo de la UE (International Data Transfer Addendum).
7. Durante cuánto tiempo los conservamos
| Datos | Plazo de conservación |
|---|---|
| Registros de solicitudes del servidor | 30 días |
| Enlaces de inicio de sesión y sesiones | 10 minutos y 8 horas, o hasta que se usen o finalicen |
| Datos de la cuenta y registro de auditoría | Mientras la cuenta esté abierta; después, se suprimen en los 30 días siguientes a su cierre, salvo los registros que se indican a continuación |
| Solicitudes que no aprobamos | 12 meses |
| Comprobaciones de sanciones, facturas y registros de pagos | 6 años después de que finalice nuestra relación, tal como exige la normativa fiscal británica para los registros financieros |
| Correos electrónicos con nosotros | 2 años después de nuestro último intercambio |
| Atributos de las credenciales (como encargado del tratamiento) | Mientras la cuenta del cliente esté abierta; después, se suprimen en los 30 días siguientes a su cierre |
| Presentaciones y atributos verificados (como encargado del tratamiento) | 30 días después de que finalice la solicitud |
| Eventos de webhook enviados a los clientes (como encargado del tratamiento) | 30 días después de su envío |
| Copias de seguridad de la base de datos | 7 días |
| Registros en una blockchain pública | Permanentes, y fuera de nuestro control |
8. Sus derechos
Tiene derecho a solicitarnos una copia de sus datos personales; a que se rectifiquen; a que se supriman; a limitar su tratamiento o a oponerse a él; y a recibirlos en un formato portable. Algunos derechos dependen de la base jurídica, y podemos conservar los datos que la ley nos obligue a conservar.
Escriba a legal@vucredentials.com. Respondemos en el plazo de un mes y podemos pedirle primero que confirme su identidad. Si su solicitud se refiere a una credencial, la trasladaremos al cliente que la emitió, que es el responsable del tratamiento.
Puede presentar una reclamación ante la Information Commissioner’s Office, la autoridad de control británica en materia de protección de datos, en ico.org.uk o en el +44 303 123 1113. No obstante, nos gustaría tener antes la oportunidad de solucionarlo.
9. Cookies y almacenamiento en el navegador
No utilizamos cookies, herramientas de analítica, publicidad ni seguimiento de ningún tipo, y nuestro sitio web no carga scripts de terceros. El panel de control almacena dos elementos en su navegador, ambos estrictamente necesarios para iniciar sesión:
- un token de sesión, en el almacenamiento de sesión, que se borra al cerrar la pestaña;
- un identificador aleatorio del navegador, en el almacenamiento local, que vincula un enlace de inicio de sesión al navegador que lo solicitó.
10. Decisiones automatizadas
No tomamos ninguna decisión basada únicamente en medios automatizados que produzca efectos jurídicos en usted o le afecte significativamente de modo similar. El cribado de sanciones es automatizado, pero una coincidencia solo retiene un pago o un alta hasta que una persona la revisa.
11. Seguridad
- Cifrado en tránsito y en reposo.
- Separación entre clientes impuesta por la propia base de datos, de modo que cada solicitud solo puede acceder a los registros de su propio cliente.
- Claves de firma custodiadas en el servicio de gestión de claves de Google Cloud.
- Claves de API almacenadas únicamente como hashes unidireccionales.
- Inicio de sesión sin contraseña con llaves de acceso (passkeys), y confirmación con llave de acceso para las acciones sensibles.
- Un registro de auditoría de las acciones realizadas en las cuentas, y acceso limitado a quienes lo necesitan.
12. Menores
El Servicio está destinado a empresas y no se dirige a menores de 18 años.
13. Cambios en esta política
Informaremos a los usuarios del panel de control de cualquier cambio sustancial por correo electrónico o en el propio panel. La fecha que figura al principio indica cuándo se modificó esta política por última vez.
14. Contacto
- Privacidad: legal@vucredentials.com
- Soporte: support@vucredentials.com