Política de privacidad

La presente Política de Privacidad (en adelante, la «Política») describe qué datos personales recopila la compañía ITRADE ENTERPRISE LTD (en adelante, «I-Trade», «nosotros»), constituida en Inglaterra y Gales, número de registro 09038312, domicilio social: 22 Kingsley Close, Birkenshaw, Bradford, West Yorkshire, United Kingdom, BD11 2NH, sobre qué bases jurídicas se tratan dichos datos y qué derechos le asisten. La Política se aplica al sitio web i-trade.io, a las aplicaciones móviles y a todos los servicios de la plataforma prestados bajo la marca «I-Trade».

El tratamiento de datos personales se rige por el UK GDPR y la Data Protection Act 2018, y, respecto de los clientes del Espacio Económico Europeo (EEE), también por el Reglamento General de Protección de Datos de la UE (Reglamento (UE) 2016/679, RGPD). Los servicios se prestan de conformidad con la legislación aplicable en las jurisdicciones en que opera la compañía.

1. Responsable del tratamiento y datos de contacto

El responsable del tratamiento de sus datos personales es ITRADE ENTERPRISE LTD. Se ha designado un Delegado de Protección de Datos (Data Protection Officer); puede contactar con él en la dirección [email protected]. Para consultas jurídicas, diríjase a [email protected], para consultas de asistencia — [email protected]. La respuesta a las solicitudes relativas a datos personales se proporcionará en el plazo de un mes desde la recepción de la solicitud.

2. Qué datos recopilamos

• Datos de identificación — nombre y apellidos, fecha de nacimiento, nacionalidad, datos del documento de identidad, fotografía para cotejo en la verificación. La verificación biométrica se lleva a cabo únicamente con su consentimiento explícito o en los casos expresamente previstos por la legislación aplicable.
• Datos de contacto — dirección de correo electrónico, número de teléfono, domicilio, país de residencia fiscal, número de identificación fiscal (TIN).
• Datos financieros — datos de la cuenta bancaria, historial de depósitos y retiradas, registro de operaciones, composición de la cartera, configuración de estrategias y límites de riesgo, resultados de la evaluación de idoneidad y conveniencia de los servicios.
• Datos KYC/AML — origen de los fondos, condición de persona expuesta políticamente (PEP), resultados de las comprobaciones en listas de sanciones.
• Datos técnicos — dirección IP, tipo de dispositivo y navegador, identificadores de sesión, registros de seguridad, datos de fallos de la aplicación.
• Datos de interacción — solicitudes de asistencia, registros de chats, preferencias de interfaz e idioma, información sobre los consentimientos otorgados, incluidos los consentimientos de cookies.

3. Bases jurídicas del tratamiento

• Ejecución del contrato (art. 6(1)(b) del UK GDPR / GDPR) — apertura y mantenimiento de la Cuenta, ejecución de órdenes, funcionamiento de estrategias algorítmicas, procesamiento de retiradas.
• Obligación legal (art. 6(1)(c) UK GDPR / GDPR) — verificación KYC/AML conforme a la normativa aplicable en materia de prevención del blanqueo de capitales (incluidas las Money Laundering Regulations 2017 en el Reino Unido y las disposiciones aplicables de la UE para clientes del EEE), declaraciones fiscales, conservación de registros y respuesta a requerimientos legítimos de las autoridades competentes.
• Interés legítimo (art. 6(1)(f) UK GDPR / GDPR) — prevención del fraude, seguridad de la infraestructura, defensa de reclamaciones legales y análisis agregado de producto.
• Consentimiento (art. 6(1)(a) UK GDPR / GDPR) — cookies analíticas, comunicaciones de marketing. El consentimiento puede retirarse en cualquier momento sin que ello afecte a la prestación del servicio.
• Consentimiento explícito para categorías especiales de datos (Art. 9(2)(a) UK GDPR / RGPD) — datos biométricos en la verificación de identidad a distancia, salvo que la ley prevea otra base jurídica.

4. Finalidades del tratamiento

• Verificación de identidad y cumplimiento de los requisitos KYC/AML — con carácter previo a la apertura de la cuenta y periódicamente durante la vigencia de la relación.
• Ejecución de las estrategias seleccionadas: los algoritmos procesan la composición de la cartera y los límites, pero no acceden a datos de identificación — el motor de negociación opera con identificadores de cuenta seudonimizados.
• Detección de actividad sospechosa: los sistemas automatizados analizan los patrones de acceso y operaciones; las decisiones de bloqueo siempre las confirma un empleado.
• Mejora del producto: los análisis se basan en datos agregados y anonimizados que no permiten identificar a ninguna persona.
• Las notificaciones sobre cambios materiales en las condiciones, tarifas y riesgos son comunicaciones de servicio a las que no es posible renunciar mientras el acuerdo esté vigente.

5. A quiénes cedemos los datos

Transmitimos datos únicamente a las categorías de destinatarios sin los cuales el servicio es legal o técnicamente imposible:

• Entidades de crédito e instituciones de pago — procesamiento de ingresos y retiradas de fondos.
• Bolsas y centros de ejecución — enrutamiento de órdenes (únicamente se transmiten órdenes de negociación anonimizadas).
• Proveedores de verificaciones KYC/AML — verificación de documentos y datos biométricos durante el proceso de alta, así como cribado en listas de sanciones.
• Proveedores de servicios en la nube y de alojamiento — alojamiento de la infraestructura en centros de datos situados en el territorio del Reino Unido y del EEE.
• Auditores y asesores profesionales — en la medida necesaria para la prestación de sus servicios y el cumplimiento de la ley.
• Autoridades supervisoras y de aplicación de la ley — en la medida requerida por la legislación aplicable.

Nosotros no vendemos datos personales y no los cedemos a redes publicitarias. Todos los encargados del tratamiento están vinculados por acuerdos de tratamiento de datos (DPA) de conformidad con el Art. 28 UK GDPR / RGPD.

6. Transferencias internacionales de datos

Los datos se almacenan y procesan principalmente en centros de datos situados en el Reino Unido y el EEE. Las transferencias de datos entre el Reino Unido y el EEE se realizan sobre la base de las decisiones de adecuación vigentes.

En las transferencias internacionales de datos aplicamos los mecanismos legalmente previstos: para las transferencias desde el Reino Unido, el International Data Transfer Agreement (IDTA) o el UK Addendum a las cláusulas contractuales tipo de la UE; para las transferencias desde el EEE, las cláusulas contractuales tipo de la UE (SCC) o las decisiones de adecuación de la Comisión Europea. Cuando procede, se aplican medidas técnicas y organizativas adicionales.

7. Plazos de conservación

• Datos de la cuenta, documentación KYC/AML y registro de operaciones: durante la vigencia del contrato y 5 años tras la extinción de la relación (requisitos de la normativa de prevención del blanqueo de capitales; por requerimiento legítimo de la autoridad competente, el plazo podrá prorrogarse hasta 10 años).
• Registros de comunicaciones relacionadas con órdenes: 5 años, conforme a los requisitos de la legislación aplicable en materia de servicios financieros.
• Registros técnicos y de seguridad — no más de 12 meses.
• Datos de registros no confirmados: 30 días.
• Consentimientos de marketing — hasta su revocación.

Una vez transcurridos los plazos, los datos se eliminan de forma irreversible o se anonimizan.

8. Sus derechos

• Acceso (Art. 15 UK GDPR / RGPD) — solicitar una copia de todos los datos que conservamos sobre usted e información sobre su tratamiento.
• Corrección (Art. 16) — rectificar datos inexactos o completar los incompletos.
• Eliminación (Art. 17) — solicitar la supresión de datos para los que no exista base jurídica de conservación.
• Limitación del tratamiento (Art. 18) — limitar el tratamiento mientras se resuelve una controversia sobre su licitud.
• Portabilidad (art. 20) — obtener los datos en formato legible por máquina (CSV/JSON) o transmitirlos a otro responsable del tratamiento.
• Objeción (art. 21) — a oponerse al tratamiento basado en el interés legítimo y, de forma absoluta, al tratamiento con fines de mercadotecnia directa.
• Retirada del consentimiento — en cualquier momento a través de los ajustes del perfil o enviando un correo a [email protected]; la revocación no afectará a la licitud del tratamiento realizado con anterioridad a la misma.

Las solicitudes se tramitan de forma gratuita en el plazo de un mes; para solicitudes complejas, el plazo podrá prorrogarse dos meses más, notificándole los motivos de la prórroga.

9. Reclamaciones ante autoridades supervisoras

Si considera que sus derechos han sido vulnerados, tiene derecho a presentar una reclamación ante la autoridad supervisora de protección de datos del Reino Unido, la Information Commissioner's Office (ICO, ico.org.uk). Si reside en un país del EEE, también tiene derecho a dirigirse a la autoridad de protección de datos de su país de residencia. La presentación de una reclamación no le priva de ningún otro recurso legal disponible.

10. Decisiones automatizadas

Las estrategias de negociación algorítmica ejecutan el mandato que usted mismo establece al activar la estrategia: usted define los parámetros y límites y puede modificarlos o desactivar la estrategia en cualquier momento. Dicho tratamiento se lleva a cabo para la ejecución del contrato y no constituye una decisión basada únicamente en el tratamiento automatizado que produzca efectos jurídicos o igualmente significativos para usted en el sentido del art. 22 del UK GDPR / GDPR.

Las comprobaciones automatizadas de AML y antifraude pueden suspender temporalmente una operación; la decisión definitiva en tal caso la toma un empleado. Usted tiene derecho a manifestar su posición, exigir la intervención humana e impugnar la decisión dirigiéndose a [email protected].

11. Cookies

La información sobre qué cookies y tecnologías similares utilizamos, para qué fines y cómo gestionar el consentimiento figura en la Política de cookies. Las cookies analíticas y de marketing se instalan únicamente con su consentimiento.

12. Seguridad

Aplicamos cifrado en tránsito (TLS 1.3) y en reposo (AES-256), segregación de entornos, principio de mínimo privilegio, autenticación de dos factores obligatoria para los empleados, pruebas de penetración periódicas y un programa de divulgación responsable (bug bounty). Las violaciones de seguridad de los datos se notifican a la autoridad supervisora en el plazo de 72 horas y a usted sin dilación indebida si la violación entraña un riesgo elevado para sus derechos (Arts. 33–34 UK GDPR / GDPR).

13. Datos de menores

El servicio está destinado a personas mayores de 18 años. No recopilamos deliberadamente datos de menores; las cuentas detectadas se cierran y los datos se eliminan.

14. Modificaciones de la Política y fecha de entrada en vigor

La versión vigente siempre está publicada en esta página. Le notificaremos los cambios sustanciales por correo electrónico y en el área de cliente con al menos 14 días de antelación a su entrada en vigor. El uso continuado del servicio a partir de esa fecha implica el conocimiento de la versión actualizada.

La presente versión de la Política entra en vigor el 11 de junio de 2026. Las condiciones de uso de la plataforma se recogen en el apartado Condiciones de uso.