Esta política explica cómo tratamos los datos personales de quienes visitan www.relayalgo.com y de quienes usan el servicio en app.relayalgo.com, conforme al Reglamento General de Protección de Datos (RGPD) y a las demás normas aplicables.
1. Responsable del tratamiento
El responsable del tratamiento es [COMPANY LEGAL NAME — TO BE COMPLETED], con domicilio social en [REGISTERED ADDRESS — TO BE COMPLETED], número de IVA o de identificación fiscal [VAT / TAX ID — TO BE COMPLETED].
Para cualquier solicitud relacionada con la privacidad, escribe a support@relayalgo.com. Delegado de protección de datos (DPO): [DPO — TO BE APPOINTED OR CONFIRMED NOT REQUIRED].
2. Qué datos tratamos
- Cuenta: email, contraseña (solo en forma de hash irreversible), factores de la autenticación de dos factores, dirección IP y navegador de las sesiones.
- Perfil: nombre, país, idioma, zona horaria, canal de notificación preferido, identificador de Telegram si conectas el bot, resultado de la verificación de identidad si se exige.
- Consentimientos: qué documento aceptaste, su versión, la huella digital del texto, el idioma, la dirección IP, el navegador y la fecha.
- Cuenta de exchange conectada: exchange, identificador de la cuenta (UID), etiqueta, clave API cifrada con solo los últimos 4 caracteres visibles, permisos detectados.
- Datos de trading: reglas de copia, órdenes, ejecuciones, posiciones, evolución del valor de la cuenta, resultados, depósitos y retiros detectados para calcular el máximo de referencia (high water mark).
- Facturación: facturas, importes, estado de los pagos. Los datos de la tarjeta los trata Stripe: nosotros nunca vemos el número completo. Para los pagos en USDT tratamos la dirección y la transacción.
- Comunicaciones: notificaciones enviadas, solicitudes de soporte y nuestras respuestas.
- Seguridad: registro de las acciones relevantes (quién, qué, cuándo, desde qué IP) y logs técnicos con los datos secretos ocultos.
- Visitas al sitio: tu dirección IP, que el proveedor de hosting usa para servir las páginas y nosotros para deducir tu país y elegir el idioma. El país no se guarda en nuestros servidores y la IP no se registra con este fin.
- Reserva de una llamada: si reservas una llamada desde el sitio, tu nombre, email, idioma y zona horaria de la llamada, tema, tu nota opcional, hora de la llamada y enlace de vídeo. La videollamada se realiza en el proveedor de vídeo (por defecto Jitsi Meet); no grabamos las llamadas.
No tratamos categorías especiales de datos (salud, opiniones políticas y similares) y no vendemos datos a nadie.
3. Por qué los tratamos y con qué base jurídica
| Finalidad | Base jurídica |
|---|---|
| Crear y gestionar la cuenta, conectar la cuenta de exchange, ejecutar la copia, enviar las notificaciones del servicio | Ejecución del contrato |
| Calcular comisiones y suscripciones, emitir facturas, llevar la contabilidad | Contrato y obligaciones legales |
| Conservar la prueba de los consentimientos | Obligación legal e interés legítimo en defender nuestros derechos |
| Proteger las cuentas y los sistemas, prevenir abusos y fraudes, mantener el registro de seguridad | Interés legítimo y obligaciones legales |
| Aplicar sanciones internacionales, el bloqueo de países y la eventual verificación de identidad | Obligación legal |
| Comunicaciones comerciales | Solo con tu consentimiento, que puedes retirar en cualquier momento |
4. Las claves API
La clave API es el dato más delicado que nos confías; por eso:
- está cifrada con AES-256-GCM, con una clave distinta para cada cuenta, protegida a su vez por una clave maestra custodiada en un servicio de gestión de claves (KMS);
- solo se descifra en memoria, en los servidores que envían las órdenes, y solo durante el tiempo necesario;
- nadie del equipo, ni siquiera el administrador, puede verla en texto plano;
- cuando la revocas o cierras la cuenta, se destruye de forma irreversible.
5. Durante cuánto tiempo los conservamos
Los plazos indicados a continuación son una propuesta pendiente de revisión legal.
| Datos | Conservación |
|---|---|
| Cuenta y perfil | Mientras la cuenta exista; seudonimizados 30 días después del cierre |
| Clave API | Destruida al revocarla o al cerrar la cuenta |
| Verificaciones técnicas de la clave | 90 días |
| Órdenes, ejecuciones, posiciones, resultados, depósitos y retiros, facturas | 10 años, por obligaciones contables y fiscales |
| Valor de la cuenta minuto a minuto | 90 días; después, un resumen diario durante 10 años |
| Prueba de los consentimientos | 10 años desde el cierre de la cuenta |
| Notificaciones | 12 meses |
| Incidencias técnicas | 24 meses |
| Registro de seguridad | 5 años, con el autor seudonimizado junto con la cuenta |
| Logs técnicos | 30 días |
| Reservas de llamadas (nombre, email, nota) | 12 meses después de la llamada, luego anonimizadas |
Cuando cierras la cuenta, el email, el nombre, el identificador de Telegram, los UID y las etiquetas se sustituyen o se eliminan a los 30 días. Los datos financieros se conservan, vinculados a un identificador interno que ya no permite identificarte, hasta que vencen los plazos legales.
6. Con quién los compartimos
Usamos proveedores que tratan datos por cuenta nuestra (encargados del tratamiento), con los correspondientes contratos de encargo del tratamiento:
| Proveedor | Servicio | Dónde |
|---|---|---|
| Supabase | Base de datos, autenticación | Singapur |
| Vercel | Alojamiento del sitio y de las apps | Red global |
| Railway | Servidores de desarrollo | Singapur |
| Proveedor de servidores dedicados (por definir) | Servidores que envían las órdenes | Singapur |
| Amazon Web Services (KMS) | Custodia de la clave maestra de cifrado | Singapur |
| Stripe | Pagos con tarjeta | UE y EE. UU. |
| Resend | Envío de emails | EE. UU. |
| Telegram | Notificaciones, si las activas | Global |
| Better Stack | Logs y monitoreo | UE o EE. UU. |
| Cloudflare (Turnstile) | Protección antibots en el registro y la recuperación de contraseña | Global |
Además:
- Tu exchange recibe las órdenes que enviamos con tu clave. El exchange trata tus datos como responsable del tratamiento independiente, según su propia política de privacidad.
- Google Fonts: el sitio carga las tipografías desde los servidores de Google, que ven tu dirección IP.
- Bybit y Binance: el sitio muestra los precios de mercado leyéndolos directamente desde tu navegador en sus servidores públicos, que ven tu dirección IP. No les enviamos ningún dato personal.
- Las autoridades públicas, cuando la ley nos obliga.
7. Transferencias fuera de la Unión Europea
Los datos de la app se tratan en Singapur, que no cuenta con una decisión de adecuación de la Comisión Europea: la transferencia se basa en las cláusulas contractuales tipo aprobadas por la Comisión y en una evaluación del impacto de la transferencia. Para los proveedores en Estados Unidos nos basamos en el Data Privacy Framework, cuando el proveedor está adherido a él, o, en su defecto, en las cláusulas contractuales tipo. Puedes pedirnos una copia de las garantías adoptadas.
8. Tus derechos
Puedes pedirnos en cualquier momento:
- acceder a tus datos y recibir una copia: desde tu perfil, con "Exportar mis datos", obtienes un archivo con tu perfil, consentimientos, cuentas (sin claves), reglas, operaciones y facturas;
- rectificarlos;
- suprimirlos, cerrando la cuenta, sin perjuicio de la conservación que exija la ley;
- limitar su tratamiento u oponerte a él, en particular al tratamiento basado en el interés legítimo;
- recibirlos en un formato estructurado para llevarlos a otro servicio;
- retirar el consentimiento a las comunicaciones comerciales, sin consecuencias para el servicio.
Respondemos en un plazo de 30 días. También tienes derecho a presentar una reclamación ante una autoridad de control en materia de protección de datos, en particular la del país en el que vives o trabajas.
9. Cookies y almacenamiento del navegador
El sitio no usa cookies publicitarias ni herramientas de analítica o de elaboración de perfiles. Solo guarda en el almacenamiento de tu navegador (localStorage) tres preferencias técnicas, que nunca se nos envían:
relay_theme: tema claro u oscuro;relay_lang: el idioma que elegiste;relay_geo: el país deducido de tu IP, durante 24 horas, para no repetir la consulta en cada página.
La app usa el almacenamiento del navegador para mantener tu sesión iniciada. Son herramientas estrictamente necesarias o solicitadas por ti, por lo que no requieren consentimiento. Puedes borrarlas desde la configuración del navegador.
10. Seguridad
Usamos conexiones cifradas, autenticación de dos factores, accesos separados y limitados al mínimo necesario para cada componente, control de acceso a nivel de fila en la base de datos y un registro de acciones que no puede modificarse. Si se produce una violación de la seguridad de los datos que suponga un riesgo para ti, la notificamos a la autoridad de control en un plazo de 72 horas y te informamos sin demora. Si afecta a las claves API, siempre te pedimos que las revoques desde tu exchange.
11. Menores
Relay no está dirigido a menores de 18 años y no recopilamos sus datos a sabiendas.
12. Decisiones automatizadas
La copia ejecuta automáticamente las reglas que has fijado tú. El rechazo automático del registro para los países excluidos se basa en el país que declaras. Siempre puedes solicitar la intervención de una persona escribiendo a support@relayalgo.com.
13. Cambios
Si modificamos esta política, publicamos la nueva versión con su número y su fecha. Si los cambios son relevantes, te lo comunicamos antes de que se apliquen.