Política de privacidad

Recogemos lo necesario para verificar un cupón, verificar a la persona que lo vende o lo compra y enviar el dinero al destino correcto. Nada en esta página es una preferencia comercial disfrazada de exigencia legal, y nada de lo descrito como exigencia legal es opcional para nosotros.

VoucherPay LLC opera este servicio desde los Estados Unidos, en 1801 Peninsula Verde Dr. VoucherPay LLC decide cómo y por qué se tratan los datos personales que se describen a continuación. Escriba a [email protected] sobre cualquier cosa de esta página.

La plataforma está en fase previa al lanzamiento. La operativa no está habilitada y no se está liquidando ninguna orden. Esta política describe cómo está construido el servicio para tratar sus datos cuando abra, y se aplica hoy a lo que ya conservamos: una cuenta que registró, una consulta que envió, un mensaje que escribió a soporte.

Qué recogemos, y por qué

Datos de la cuenta

Una dirección de correo electrónico, una contraseña y el país donde reside. La contraseña se guarda como hash; no podemos leerla y no podemos decírsela si la olvida.

Conservamos esto para darle una cuenta, iniciar su sesión, escribirle sobre una orden y determinar si el servicio está disponible donde reside. Hay países a los que no se presta servicio en absoluto, por los motivos expuestos en países restringidos.

Datos de identidad

Cuántos datos de identidad conservamos depende de su volumen acumulado a lo largo de un periodo móvil de doce meses. Por debajo de EUR 1,000 conservamos una identidad declarada —su nombre completo y su país de residencia— y ningún documento. A partir de EUR 1,000 se aplica la verificación completa antes de cualquier pago posterior. En ambos casos se conservan un nombre y un país, porque los dos niveles se criban contra las listas de sanciones y de personas expuestas políticamente, y a quien no se puede nombrar no se le puede cribar. El razonamiento se expone en por qué verificamos la identidad.

Recogemos su nombre completo, su fecha de nacimiento, su domicilio, su nacionalidad, el tipo de documento de identidad que presenta, su país de expedición y su fecha de caducidad, una imagen del documento y —según la comprobación— una fotografía suya tomada en ese momento y un documento que acredite su domicilio.

No guardamos el número de su documento. Cuando presenta un documento, el número se convierte en un hash de un solo sentido combinado con un valor secreto guardado aparte de la base de datos. Eso nos permite reconocer el mismo documento si se presenta de nuevo, sin conservar el número. Una copia de la base de datos, por sí sola, no revela el número de pasaporte ni de documento de identidad de nadie.

Las imágenes de los documentos se almacenan fuera de la raíz web. Nunca se sirven como archivos ordinarios y no se puede llegar a ellas adivinando una dirección web. Están cifradas en reposo y solo se entregan a personal autenticado, a través de una ruta que anota cada consulta.

Conservamos sus documentos de identidad porque la ley lo exige, no porque nos sean útiles.

Datos de la transacción

De cada orden: la marca del cupón, su valor nominal y su moneda, la comisión del 5%, el importe a pagar, el método de liquidación que eligió, las marcas de tiempo de cada etapa, el resultado de la llamada de verificación al emisor y los identificadores de los dos miembros del personal implicados, porque aprobar una orden y liberar su dinero deben hacerlo dos operadores distintos.

Este es el registro que un regulador, un auditor o un tribunal pueden exigirnos aportar. Es también el registro que nos permite responderle con honestidad si más adelante pregunta qué ocurrió con una orden.

Códigos de cupón y destinos de liquidación

El código de un cupón se cifra en el momento en que nos llega. Solo es legible para el operador que tramita esa orden, cada lectura se escribe en un registro de auditoría, y el código se destruye una vez liquidada la orden. Lo que sobrevive a la liquidación es el hecho de que se recibió y se verificó un código de una marca y un valor determinados, no el código.

Su destino de liquidación —una dirección de monedero, una cuenta bancaria, una dirección de PayPal— está cifrado en reposo por la misma razón. Es un objetivo para cualquiera que entre por la fuerza en un sistema como este, y se trata en consecuencia.

Datos técnicos

Anotamos la dirección IP y el agente de usuario que declara su navegador al iniciar sesión y en las acciones sensibles: cambiar una contraseña, añadir o modificar un destino de liquidación, enviar documentos de identidad, cursar una orden, y cualquier acceso del personal a un documento o a un código.

Así se detecta la usurpación de una cuenta, así podemos saber si una instrucción vino de usted o de alguien que tenía su contraseña, y así determinamos dónde se originó una instrucción a efectos del cribado de sanciones y del cribado geográfico.

Correspondencia

Los tickets de soporte, las reclamaciones y las notas que un operador toma mientras verifica un cupón con su emisor forman parte del registro de la orden y se conservan con él.

Qué no hacemos

• No compramos datos sobre usted a intermediarios de datos, y no enriquecemos su perfil con fuentes externas más allá del cribado que la ley exige.
• No usamos rastreadores publicitarios ni analíticas de terceros que le sigan por otros sitios. El sitio pone la cookie necesaria para mantener su sesión iniciada, y ninguna cookie cuya finalidad sea publicitaria.
• No vendemos datos personales, y no usamos sus datos, sus documentos ni su correspondencia para entrenar modelos.
• No pedimos a ningún cliente que envíe el código de un cupón por correo o por chat, y preferiríamos que no lo hiciera nunca. Si ya ha enviado un código a alguien, lea qué hacer si ha enviado el código de un cupón.

Quién puede verlo

El acceso se concede por función, no por rango, y las funciones son estrechas.

• El operador que tramita su orden ve el código del cupón, los datos de la orden y, cuando la comprobación lo exige, sus documentos de identidad.
• El segundo operador, el que libera el pago, ve la orden y la aprobación: la regla de los cuatro ojos existe para que nadie pueda aprobar y pagar a la vez.
• El responsable de cumplimiento ve datos de identidad y de transacción cuando un expediente, una coincidencia de cribado o una comunicación lo requieren.
• Un pequeño número de ingenieros puede llegar a los sistemas de producción para mantenerlos en marcha. Ese acceso queda anotado igual que el de todos los demás.
• Al emisor del cupón, cuando telefoneamos para verificar, se le facilitan los datos del cupón. A los emisores no se les envían sus documentos de identidad.
• Los bancos y los proveedores de pago reciben lo que necesitan para hacerle llegar el dinero, que en una transferencia bancaria incluye su nombre y los datos de su cuenta.
• Los auditores, los reguladores, las fuerzas del orden y los tribunales reciben lo que un requerimiento legítimo nos obliga a facilitar.

Nadie ve un documento de identidad ni el código de un cupón por curiosidad. Cada consulta es atribuible a un miembro del personal con nombre y a una orden concreta.

Cada acceso queda anotado

Cada vez que se consulta un documento de identidad o se descifra el código de un cupón, el sistema anota quién lo hizo, cuándo, desde dónde y a qué orden correspondía. Esos registros solo admiten anexos. El personal no puede editarlos ni borrarlos, y nosotros tampoco a petición.

Puede pedirnos el historial de cuándo se ha accedido a sus propios documentos de identidad, y se lo facilitaremos, con la única excepción descrita en Cuando no podemos contarle lo que hemos hecho.

Ninguna decisión sobre usted es automatizada

Las herramientas de cribado pueden marcar un nombre, un país o un documento. No deciden nada. Una persona revisa cada marca, una persona aprueba cada orden y otra persona distinta libera el dinero. Si se deniega una orden, la denegó una persona y se le puede pedir a una persona que la explique, con los límites indicados más abajo.

Cuánto tiempo lo conservamos

Los registros de identidad, de órdenes y de correspondencia se conservan cinco años, contados desde que la transacción se completa o desde que termina nuestra relación con usted, lo que ocurra más tarde. Esto es una obligación de prevención del blanqueo de capitales que recae sobre la entidad operadora, no una preferencia.

Dentro de ese periodo, los códigos de cupón son la excepción a su favor: un código se destruye una vez que su orden se liquida, porque conservarlo no sirve para nada y crea un riesgo.

Por qué una solicitud de supresión no puede desplazarla

El derecho de supresión cede cuando los datos se conservan para cumplir una obligación legal. Si borráramos su expediente de identidad a petición, no podríamos demostrar ante un regulador que un pago que hicimos se hizo a una persona verificada, que es justamente el fallo que esa obligación existe para evitar.

Lo que sí podemos hacer, y haremos si nos lo pide: cerrar su cuenta, detener cualquier contacto no esencial, corregir lo que sea inexacto y limitar el registro a su finalidad legal para que deje de usarse en las operaciones ordinarias. Queda en conservación para el regulador y para nada más. Cuando expira el plazo de conservación, se suprime.

Sus derechos

Con sujeción a la obligación de conservación anterior, usted puede:

• pedirnos que confirmemos qué datos personales suyos conservamos, y que le entreguemos una copia;
• pedirnos que corrijamos cualquier dato erróneo o desactualizado;
• pedirnos que suprimamos los datos que no estemos obligados a conservar;
• pedirnos que limitemos el uso de sus datos, u oponerse a un uso concreto;
• pedirnos que le facilitemos en un formato portátil los datos que nos dio;
• retirar su consentimiento cuando lo que nos ampare sea el consentimiento y no la ley o el contrato.

Escriba a [email protected]. Verificaremos quién es usted antes de responder, porque una solicitud de acceso a datos es una forma eficaz de atacar la cuenta de otra persona, y preferimos resultar pesados a equivocarnos en eso.

Cuánto tardamos lo rige la ley del país donde reside y la cantidad de información que haya que buscar. Cuando esa ley fija un plazo, nos ajustamos a él. Cuando no lo fija, respondemos en cuanto la verificación y la búsqueda lo permiten, y le avisamos si se está alargando.

Cuando no podemos contarle lo que hemos hecho

Si se presenta una comunicación de actividad sospechosa sobre una transacción o sobre una cuenta, es posible que la ley nos prohíba decirle que existe. Esto no es discrecional por nuestra parte y no es algo que una reclamación pueda desbloquear.

En esa situación no confirmaremos ni negaremos que se haya presentado una comunicación, y una solicitud de acceso puede responderse de forma incompleta sin que podamos decirlo. No inventaremos otra explicación para rellenar el hueco.

Léalo en su justo sentido. La obligación se aplica a toda consulta de ese tipo, incluidas las que terminan sin más actuación y sin nada en contra de nadie. Nuestro silencio es lo que la ley exige; no es una afirmación sobre usted.

Adónde van sus datos

Sus datos se tratan en Francia, en la Unión Europea. Los documentos de identidad y los códigos de cupón se guardan en un almacenamiento que controlamos nosotros y no se entregan a encargados de tratamiento externos para su manejo ordinario.

Algunos servicios de apoyo —la infraestructura de alojamiento, el envío de correo— pueden tratar datos limitados fuera de Francia. Cuando eso ocurre, exigimos protecciones contractuales y un nivel de seguridad equivalente al nuestro, y transferimos el mínimo que el servicio necesita para funcionar.

Aparte de eso, pueden comunicarse datos a las autoridades de los Estados Unidos, y a autoridades extranjeras por cauces legales, cuando una obligación o un requerimiento legal válido lo exija.

Cómo se protegen los datos

• Cifrado en tránsito para todo lo que va entre su navegador y el servicio.
• Cifrado en reposo para los documentos de identidad, los códigos de cupón y los destinos de liquidación.
• El secreto usado para calcular el hash de los números de documento se guarda aparte de la base de datos, de modo que una sola copia robada no basta.
• Documentos de identidad almacenados fuera de la raíz web y servidos solo a través de una ruta autenticada y auditada.
• Acceso basado en funciones, de modo que un operador llega a las órdenes que está tramitando y no al resto.
• Dos operadores distintos requeridos para aprobar una orden y para liberar su dinero.
• Registros de auditoría que solo admiten anexos para el acceso a documentos y a códigos.
• Contraseñas guardadas como hash, nunca en forma legible.
• Dirección IP y agente de usuario anotados al iniciar sesión y en cada acción sensible.

Ningún sistema es perfectamente seguro, y una política que afirmara lo contrario valdría menos que esta frase. Si una brecha afecta a sus datos, se lo diremos a usted y a la autoridad correspondiente según exija la ley, describiremos qué ocurrió y le diremos qué hacer al respecto.

Edad

El servicio no está disponible para menores de 18 años. Si descubrimos que un titular de cuenta es menor de 18 años, la cuenta se cierra. Los registros ya creados siguen sujetos a la obligación de conservación.

Cambios en esta política

Cuando esta política cambie, la versión revisada se publica en esta página con su fecha. Cuando un cambio afecte de forma sustancial al uso de sus datos, le escribiremos. Los cambios no se aplican retroactivamente a los datos ya tratados bajo una versión anterior.

Si no está conforme con cómo tratamos sus datos

Escriba primero a [email protected], ya que la mayor parte puede resolverse directamente. Si eso no lo resuelve, use el procedimiento de reclamaciones, que revisa alguien que no participó en la decisión original. También tiene derecho a reclamar ante la autoridad de protección de datos competente sobre nosotros o sobre usted, y usar antes nuestro procedimiento no le quita ese derecho.

Lectura relacionada: cómo comprobamos un cupón y nuestra página de seguridad.