Política de Privacidad Ampliada GDPR

Fecha efectiva: 2026-05-30
Última actualización: 2026-05-30

1. Responsable del Tratamiento

EBIS Next Generation ID Limited es el responsable del tratamiento de datos personales procesados a través de sus sitios web y servicios de plataforma, incluyendo ebisbank.com, portal.ebisbank.com y ebisbaid.ebisbank.com. Dirección: [Dirección Societaria], Reino Unido. Contacto: support@ebisbank.com. Registrados ante el ICO en el Reino Unido conforme al UK GDPR y la Ley de Protección de Datos 2018.

2. Bases Legales del Tratamiento (Art. 6 UK GDPR / GDPR)

• Ejecución del contrato (Art. 6(1)(b)) — para proporcionar los servicios suscritos.
• Obligación legal (Art. 6(1)(c)) — verificación KYC/AML, registros fiscales, cumplimiento de la ley del Reino Unido.
• Consentimiento (Art. 6(1)(a)) — comunicaciones de marketing, cookies opcionales, datos especiales. El consentimiento puede retirarse en cualquier momento.
• Intereses legítimos (Art. 6(1)(f)) — seguridad de la plataforma, prevención de fraudes, moderación VIC, análisis de producto, prospección de leads empresariales.

3. Categorías de Datos

Datos de identidad (nombre, fecha de nacimiento, nacionalidad, número de documento — para EBIS AID); datos de contacto; datos técnicos (IP anonimizado, sesiones); datos financieros vía Stripe; datos de identidad digital (EBIS ID, nivel, wallet, EBU); datos de documentos IDSign (archivos, firmas, hashes de auditoría, PDFs firmados); datos de comunicaciones Commeety (posts, mensajes Deal Room, reportes de infracción, logs VIC); datos de comportamiento (UTM, uso de funciones).

No procesamos datos genómicos ni biométricos en bruto. No se procesan datos de categorías especiales (Art. 9 GDPR) salvo consentimiento explícito para verificación de identidad.

4. Derechos de los Interesados (Arts. 15–22 UK GDPR / GDPR)

Derecho de acceso, rectificación, supresión (nota: las pistas de auditoría IDSign están sujetas a retención legal de 7 años), limitación del tratamiento, portabilidad, oposición, retirada del consentimiento y derechos sobre decisiones automatizadas. Para ejercerlos: support@ebisbank.com — respuesta en 30 días. También puedes presentar una reclamación ante el ICO (ico.org.uk) o la autoridad de control de tu país.

5. Responsables del Tratamiento y Sub-encargados

• Stripe, Inc. — Pagos y KYC. EE.UU. Cláusulas Contractuales Tipo (CCT). ✅ DPA vigente.
• Supabase, Inc. — Base de datos y autenticación. AWS London (eu-west-2), UK. ✅ DPA firmado por EBIS (30/05/2026) — contrafirma Supabase pendiente.
• WHUK (Webhosting UK Co. Ltd) — Hosting cPanel. UK. ✅ DPA enviado — contrafirma pendiente.
• Anthropic, PBC — API Claude para VIC AI. EE.UU. CCT. Los mensajes se transmiten como solicitudes anónimas.
• LiveKit, Inc. — Infraestructura WebRTC para eVIDence. EE.UU./global. CCT.
• VM6 Networks Ltd — Hosting VPS para daemons y proxy. UK.

6. Transferencias Internacionales

Infraestructura principal en UK (Supabase AWS London ✅, WHUK ✅, VM6 ✅). Transferencias a EE.UU. (Stripe, Anthropic, LiveKit) protegidas por CCT/IDTA. No se transfieren datos a países sin decisión de adecuación o garantías apropiadas.

7. Decisiones Automatizadas y Elaboración de Perfiles

EBIS no utiliza decisiones completamente automatizadas con efectos legales (Art. 22 GDPR). Procesos automatizados en uso sin efectos legales directos: moderación VIC (con posibilidad de apelación y revisión humana); puntuación de leads; acceso condicionado al nivel EBIS AID (con revisión humana de documentos).

8. Medidas de Seguridad (Art. 32 GDPR)

HTTPS/TLS en todos los dominios; Row-Level Security (RLS) en Supabase; restricciones a nivel de columna (vista profiles_public — campos sensibles excluidos: recovery_phrase_hash, stripe_customer_id, wallet_address, sovereign_login_email, web2id_email, phone, address); hashing de contraseñas, OTP y tokens; separación de claves de rol; DPA con todos los sub-encargados; monitoreo automático; auditorías de seguridad periódicas. En caso de violación, notificaremos al ICO en 72 horas y a los afectados sin demora indebida (Art. 33–34 UK GDPR).

9. Períodos de Retención

Datos de cuenta activa: duración + 2 años. Pistas de auditoría IDSign y PDFs firmados: 7 años. Registros de pago: 7 años. Documentos KYC/KYB: según normativa AML. Logs de moderación VIC: 12 meses. Metadatos eVIDence: 24 meses.

10. Contacto y Autoridad de Control

support@ebisbank.com — EBIS Next Generation ID Limited, [Dirección Societaria], UK.
Tienes derecho a presentar una reclamación ante el ICO (ico.org.uk) o la autoridad de protección de datos competente en tu país.