POLÍTICA DE PROTECCIÓN DE DATOS DE XNVIA
Última actualización: octubre de 2026
1. Introducción
Xnvia LLC («Xnvia», «nosotros» o «nuestro») se compromete a proteger los datos personales y a mantener prácticas responsables de protección de datos en todas sus operaciones.
Esta Política de Protección de Datos establece los principios y requisitos que rigen la recopilación, el tratamiento, el almacenamiento, el acceso, el intercambio, la conservación y la protección de los datos personales relacionados con la plataforma de Xnvia, sus sitios web, paneles de control, aplicaciones, API y servicios relacionados (conjuntamente, la «Plataforma»).
Esta Política se aplica al tratamiento de datos personales por parte de Xnvia relativos a usuarios individuales, Cuentas Corporativas, usuarios de Sucursales, Proveedores de Liquidez, Puntos de Servicio, Clientes, representantes empresariales, empleados, contratistas y otras personas cuyos datos personales se traten en relación con la Plataforma.
Esta Política debe leerse junto con la Política de Privacidad de Xnvia, los Términos de Servicio y cualquier Acuerdo de Tratamiento de Datos aplicable. Cuando la legislación aplicable establezca requisitos adicionales o más estrictos, dichos requisitos prevalecerán.
2. Principios de Protección de Datos
Xnvia aplica principios de protección de datos coherentes con las leyes de privacidad y protección de datos aplicables, incluido el Reglamento General de Protección de Datos (RGPD), cuando corresponda.
Estos principios incluyen:
• Licitud, lealtad y transparencia: Los datos personales deben tratarse para fines legítimos y sobre una base jurídica adecuada.
• Limitación de la finalidad: Los datos personales deben recopilarse para fines determinados, explícitos y legítimos.
• Minimización de datos: Solo deben recopilarse y tratarse los datos personales razonablemente necesarios para la finalidad correspondiente.
• Exactitud: Deben adoptarse medidas razonables para mantener los datos personales exactos y actualizados.
• Limitación del plazo de conservación: Los datos personales no deben conservarse durante más tiempo del necesario, sin perjuicio de las obligaciones legales y regulatorias aplicables.
• Integridad y confidencialidad: Los datos personales deben protegerse contra el acceso, la divulgación, la alteración, la pérdida o la destrucción no autorizados.
• Responsabilidad proactiva: Deben establecerse responsabilidades y medidas adecuadas para respaldar el cumplimiento de las obligaciones de protección de datos aplicables.
3. Funciones y Responsabilidades
Según las circunstancias, Xnvia puede actuar como responsable del tratamiento, encargado del tratamiento o proveedor de servicios.
Cuando Xnvia determina los fines y medios del tratamiento de datos personales, generalmente actúa como responsable del tratamiento. Esto puede incluir la administración de cuentas, la seguridad de la Plataforma, la prevención del fraude, las actividades de cumplimiento normativo, la facturación, las comunicaciones y el funcionamiento y la protección de la Plataforma.
Cuando una Cuenta Corporativa u otra organización determina los fines y medios del tratamiento de datos personales relativos a sus Clientes, empleados o usuarios autorizados, dicha organización puede actuar como responsable del tratamiento, mientras que Xnvia puede actuar como encargado del tratamiento en su nombre.
Las organizaciones que utilizan Xnvia siguen siendo responsables de sus propias obligaciones de protección de datos, incluida la recopilación y el tratamiento lícitos de la información de sus Clientes, la presentación de los avisos de privacidad correspondientes y la gestión de los permisos de acceso dentro de sus organizaciones.
Cuando lo exija la legislación aplicable, las relaciones de tratamiento estarán reguladas mediante acuerdos contractuales adecuados, incluidos Acuerdos de Tratamiento de Datos.
4. Tratamiento de Datos Personales
Xnvia trata datos personales únicamente para fines operativos, contractuales, de seguridad, de cumplimiento normativo y comerciales legítimos, de conformidad con la legislación aplicable.
Dependiendo de los Servicios utilizados, los datos personales pueden incluir:
• Información de identificación y contacto;
• Información de verificación de identidad y de empresas;
• Información de Cuentas Corporativas, Sucursales y usuarios autorizados;
• Información de cuentas bancarias y pagos;
• Información sobre Activos Digitales y Transacciones;
• Direcciones de billeteras digitales e identificadores de transacciones en blockchain;
• Información de cumplimiento normativo y evaluación de riesgos;
• Información de dispositivos, direcciones IP y registros de acceso;
• Comunicaciones de atención al cliente y documentación de disputas; y
• Otra información razonablemente necesaria para proporcionar, administrar, proteger o supervisar los Servicios correspondientes.
Cuando se traten categorías especiales de datos personales o datos sensibles, incluida la información biométrica utilizada para verificar la identidad, Xnvia deberá identificar las condiciones jurídicas adicionales y las garantías exigidas por la legislación aplicable.
5. Base Jurídica del Tratamiento
Cuando la legislación aplicable en materia de protección de datos exija una base jurídica, Xnvia tratará los datos personales sobre una o varias bases adecuadas, según la finalidad y las circunstancias específicas.
Estas bases pueden incluir:
• Ejecución de un contrato;
• Cumplimiento de una obligación legal;
• Intereses legítimos de Xnvia o de un tercero, sujetos a las garantías aplicables; y
• Consentimiento, cuando sea necesario y se haya obtenido válidamente.
Los datos personales no deben tratarse para una finalidad incompatible sin una base jurídica adecuada u otra autorización permitida por la ley.
6. Control de Acceso y Confidencialidad
El acceso a los datos personales debe limitarse a las personas y sistemas autorizados que tengan una necesidad operativa, contractual, de seguridad o de cumplimiento normativo legítima.
La Plataforma de Xnvia admite diferentes estructuras de cuentas, funciones y permisos. Los derechos de acceso pueden variar según las responsabilidades asignadas a los administradores corporativos, usuarios de Sucursales y otros Participantes autorizados.
Los controles de acceso deben seguir los principios de privilegio mínimo y autorización basada en funciones, cuando corresponda.
Los usuarios y el personal autorizado son responsables de proteger sus credenciales de acceso, métodos de autenticación, dispositivos y otros mecanismos de acceso.
Los datos personales no deben consultarse, copiarse, divulgarse, exportarse ni tratarse de ninguna otra manera para fines no autorizados.
Los derechos de acceso deben revisarse y ajustarse cuando cambien las responsabilidades o cuando el acceso deje de ser necesario.
7. Seguridad de los Datos
Xnvia mantiene y desarrolla medidas técnicas y organizativas destinadas a proteger los datos personales contra el acceso, la divulgación, la alteración, la pérdida, el uso indebido y la destrucción no autorizados.
Dependiendo de la naturaleza del tratamiento y de los riesgos asociados, estas medidas pueden incluir:
• Autenticación de usuarios y controles de acceso;
• Permisos basados en funciones;
• Cifrado y mecanismos de comunicación segura;
• Registro y supervisión de la actividad relevante del sistema;
• Protección de los componentes de aplicaciones e infraestructura;
• Actualizaciones de seguridad y gestión de vulnerabilidades;
• Medidas para proteger la información almacenada y las copias de seguridad;
• Restricciones al acceso administrativo; y
• Procedimientos para identificar y responder a incidentes de seguridad.
Las medidas de seguridad deben ser proporcionales a la sensibilidad de la información, la naturaleza del tratamiento, los riesgos existentes y los requisitos legales aplicables.
Ningún sistema electrónico ni método de transmisión de datos puede garantizar una seguridad absoluta. Por lo tanto, Xnvia no garantiza una protección total frente a todas las posibles amenazas de seguridad.
8. Protección de Datos desde el Diseño y por Defecto
Xnvia procura incorporar consideraciones adecuadas de protección de datos en el desarrollo, funcionamiento y mejora de la Plataforma.
Cuando lo exija la legislación aplicable, la protección de datos desde el diseño y por defecto incluye considerar:
• Si los datos personales son necesarios para una función determinada;
• La cantidad de datos personales recopilados y mostrados;
• Las personas y sistemas autorizados para acceder a la información;
• El período durante el cual se conserva la información;
• Las implicaciones de seguridad y privacidad de nuevas funcionalidades;
• El uso de proveedores externos; y
• Los riesgos asociados con información sensible y el tratamiento internacional.
Cuando sea probable que el tratamiento implique un alto riesgo para los derechos y libertades de las personas, deberá realizarse una Evaluación de Impacto relativa a la Protección de Datos cuando así lo exija la legislación aplicable.
9. Cuentas Corporativas, Sucursales y Participantes
La Plataforma de Xnvia permite a las organizaciones gestionar operaciones de servicios financieros mediante Cuentas Corporativas, Sucursales y otros Participantes autorizados.
Los administradores corporativos pueden gestionar usuarios, permisos y determinada información operativa asociada a sus organizaciones.
Las organizaciones son responsables de garantizar que las personas a las que se conceda acceso a datos personales estén debidamente autorizadas y que dicho acceso sea conforme con la legislación aplicable y sus fines comerciales legítimos.
Los Participantes no deben utilizar la información obtenida a través de Xnvia para marketing, elaboración de perfiles, divulgación u otros fines no autorizados y ajenos a los Servicios correspondientes, salvo que la legislación aplicable lo permita de forma independiente.
Cada Participante sigue siendo responsable de sus propias actividades de tratamiento cuando actúe de forma independiente como responsable del tratamiento.
10. Proveedores de Servicios Externos
Xnvia puede contratar proveedores externos para respaldar el alojamiento, la infraestructura, la verificación de identidad, el cumplimiento normativo, la seguridad, las comunicaciones, las funcionalidades relacionadas con pagos y otras actividades operativas.
Cuando un tercero trate datos personales en nombre de Xnvia, deberán establecerse acuerdos contractuales y garantías adecuadas según lo exija la legislación aplicable.
Dichos acuerdos pueden abordar la confidencialidad, la seguridad, el tratamiento autorizado, los subencargados del tratamiento, la notificación de incidentes, la conservación de datos y la asistencia en el cumplimiento de las obligaciones de protección de datos aplicables.
Los terceros que actúen como responsables independientes del tratamiento seguirán siendo responsables de sus propias actividades de tratamiento y obligaciones legales aplicables.
11. Transferencias Internacionales de Datos
Xnvia opera una Plataforma internacional. Los datos personales pueden ser consultados, transferidos o tratados en diferentes jurisdicciones en relación con las operaciones de la Plataforma, las Transacciones, las actividades de cumplimiento normativo y los servicios de terceros.
Cuando las transferencias internacionales estén sujetas al RGPD, a la legislación británica de protección de datos o a otras restricciones aplicables, Xnvia deberá utilizar un mecanismo legal de transferencia adecuado cuando sea necesario.
Dependiendo de las circunstancias, estos mecanismos pueden incluir decisiones de adecuación, cláusulas contractuales tipo aprobadas u otras garantías o excepciones legalmente reconocidas.
Pueden ser necesarias medidas técnicas, contractuales u organizativas adicionales dependiendo del destino, la naturaleza de los datos personales y los riesgos existentes.
12. Conservación y Eliminación de Datos
Los datos personales deben conservarse únicamente durante el tiempo razonablemente necesario para los fines para los que fueron recopilados o tratados, sin perjuicio de las obligaciones legales, regulatorias, contractuales, contables, fiscales, de seguridad y de conservación de registros aplicables.
Los períodos de conservación pueden variar según la categoría de información, la naturaleza de los Servicios y los requisitos de la jurisdicción correspondiente.
La información relacionada con la verificación de identidad, las Transacciones, las revisiones de cumplimiento normativo, las investigaciones de fraude, las disputas y los procedimientos legales puede tener que conservarse después de que una Transacción haya finalizado o una cuenta haya sido cerrada.
Cuando los datos personales dejen de ser necesarios, deberán adoptarse medidas adecuadas para eliminarlos, anonimizarlos o destruirlos de forma segura conforme a los requisitos y procedimientos de conservación aplicables.
Los datos registrados en redes blockchain públicas pueden permanecer accesibles públicamente y, por lo general, Xnvia no puede modificarlos ni eliminarlos.
13. Derechos de los Titulares de los Datos
Las personas pueden tener derechos sobre sus datos personales conforme a las leyes de protección de datos aplicables.
Dependiendo de las circunstancias, estos derechos pueden incluir:
• Acceso a los datos personales;
• Rectificación de información inexacta o incompleta;
• Supresión de datos personales;
• Limitación del tratamiento;
• Oposición a determinadas actividades de tratamiento;
• Portabilidad de los datos;
• Retirada del consentimiento cuando el tratamiento se base en él;
• Derechos relacionados con determinadas decisiones automatizadas; y
• Derecho a presentar una reclamación ante una autoridad competente de protección de datos.
Las solicitudes pueden presentarse a través del Soporte de Xnvia.
Xnvia puede solicitar la información razonablemente necesaria para verificar la identidad o autoridad de la persona que presenta una solicitud.
Cuando Xnvia trate información en nombre de otra organización, podrá remitir la solicitud a dicha organización o ayudarla a responder, según corresponda.
Las solicitudes se tramitarán dentro de los plazos establecidos por la legislación aplicable. Determinados derechos pueden estar sujetos a excepciones legales, incluidas las obligaciones de conservación y cumplimiento normativo.
14. Violaciones de Datos Personales y Respuesta a Incidentes
Una violación de datos personales puede implicar la destrucción, pérdida, alteración, divulgación no autorizada o acceso accidental o ilícito a datos personales.
Las violaciones de datos personales sospechadas o confirmadas deben evaluarse y gestionarse conforme a los requisitos legales aplicables y los procedimientos de respuesta a incidentes de Xnvia.
Las medidas de respuesta adecuadas pueden incluir:
• Identificar y contener el incidente;
• Evaluar los datos personales y las personas afectadas;
• Evaluar la probabilidad y gravedad de los posibles daños;
• Adoptar medidas correctivas y de protección adecuadas;
• Conservar las pruebas relevantes y documentar el incidente;
• Determinar las obligaciones de notificación aplicables; y
• Revisar las medidas para reducir el riesgo de recurrencia.
Cuando se aplique el RGPD y Xnvia actúe como responsable del tratamiento, deberá notificar una violación de datos personales a la autoridad de control competente sin dilación indebida y, cuando sea posible, dentro de las 72 horas siguientes a tener conocimiento de ella, salvo que sea improbable que la violación suponga un riesgo para los derechos y libertades de las personas.
Cuando una violación pueda suponer un alto riesgo para los derechos y libertades de las personas, los afectados deberán ser informados sin dilación indebida, sujeto a las excepciones legales aplicables.
Cuando Xnvia actúe como encargado del tratamiento, deberá notificar al responsable correspondiente sin dilación indebida tras tener conocimiento de una violación de datos personales, conforme a la legislación aplicable y las obligaciones contractuales.
Otras jurisdicciones pueden imponer requisitos de notificación adicionales o diferentes.
15. Responsabilidades del Personal y de la Organización
Las personas que actúen bajo la autoridad de Xnvia y tengan acceso a datos personales deberán tratar esa información únicamente para fines autorizados y conforme a las instrucciones aplicables, salvo que la ley exija lo contrario.
El personal y los contratistas autorizados deben respetar las obligaciones de confidencialidad, proteger sus credenciales de acceso y comunicar cualquier sospecha de acceso no autorizado, divulgación, uso indebido o incidente de seguridad a través de los canales correspondientes.
Xnvia es responsable de establecer responsabilidades internas adecuadas en materia de protección de datos y seguridad, teniendo en cuenta los requisitos legales aplicables y la naturaleza de sus operaciones.
Cuando la ley lo exija, Xnvia deberá designar un Delegado de Protección de Datos, representante u otro contacto responsable adecuado.
16. Supervisión, Responsabilidad y Revisión de la Política
Xnvia procura mantener una supervisión adecuada de sus actividades de tratamiento de datos personales y de los riesgos asociados.
Dependiendo de los requisitos legales aplicables, esto puede incluir mantener registros de tratamiento pertinentes, revisar los controles de acceso, evaluar los acuerdos con terceros, examinar las medidas de seguridad y documentar los incidentes materiales de protección de datos.
Esta Política debe revisarse periódicamente y actualizarse cuando sea necesario para reflejar cambios en la legislación aplicable, las funcionalidades de la Plataforma, la estructura organizativa, las actividades de tratamiento de datos o los riesgos operativos.
Los cambios importantes también pueden requerir actualizaciones correspondientes de la Política de Privacidad de Xnvia, los acuerdos contractuales o los procedimientos relacionados.
17. Contacto
Las preguntas relacionadas con esta Política de Protección de Datos, la protección de datos personales o el ejercicio de los derechos de privacidad aplicables pueden enviarse a través del Soporte de Xnvia.
Cuando lo exija la legislación aplicable, se proporcionará información de contacto adicional de un Delegado de Protección de Datos, representante o responsable de privacidad designado.
Las personas también pueden tener derecho a dirigirse a la autoridad competente de protección de datos de su jurisdicción.
18. Estado de la Política
Esta Política de Protección de Datos describe los principios de protección de datos y los requisitos organizativos aplicables al tratamiento de datos personales por parte de Xnvia.
No sustituye las leyes aplicables, las obligaciones contractuales ni la Política de Privacidad de Xnvia, y no constituye una certificación de cumplimiento normativo ni una garantía de seguridad absoluta de la información.
Xnvia puede revisar esta Política para reflejar cambios en los requisitos aplicables, la tecnología, las prácticas operativas y los Servicios ofrecidos a través de la Plataforma.