Política de privacidad

En Monetix nos tomamos tu privacidad muy en serio. Esta política explica qué datos recogemos, por qué los recogemos, cómo los utilizamos y qué derechos tienes sobre ellos.

1. Responsable del tratamiento

Monetix es un servicio gestionado por su titular. Para cualquier consulta relacionada con tus datos personales puedes contactar con nosotros en [email protected].

No contamos con un Delegado de Protección de Datos (DPO) porque el servicio se gestiona directamente por su titular y no alcanza el umbral que obliga legalmente a designarlo.

2. Qué datos recogemos

Recopilamos únicamente los datos estrictamente necesarios para prestar el servicio:

• Datos de cuenta: email, contraseña cifrada con bcrypt, rol de usuario, fecha de registro y último acceso.
• Credenciales de brokers: si conectas Interactive Brokers o servicios de scraping (Monetix), almacenamos las credenciales cifradas (AES-256) en la base de datos del usuario. Estas credenciales nunca se transmiten a terceros ni se utilizan fuera del flujo de sincronización.
• Datos de cartera: posiciones, operaciones, saldos, histórico importado. Son tus datos financieros y nunca se venden ni comparten con terceros con fines comerciales.
• Uso del servicio: logs técnicos (IP, user agent, timestamps), métricas de uso de IA (tokens consumidos por Tix y estrategias), eventos de auditoría administrativa.
• Sesiones activas: JWT + metadata (dispositivo, IP, último uso) para el sistema de revocación de sesiones.
• Credenciales biométricas (WebAuthn/Passkeys): si decides activarlas, almacenamos la clave pública del authenticator. La clave privada nunca sale de tu dispositivo.

3. Finalidad y base legal

Utilizamos tus datos exclusivamente para:

• Prestar el servicio contratado (base: ejecución de contrato)
• Mantener la seguridad del sistema (base: interés legítimo)
• Cumplir obligaciones legales y fiscales (base: obligación legal)
• Comunicar cambios importantes del servicio (base: ejecución de contrato)

No vendemos tus datos a terceros. No compartimos información con empresas de publicidad, data brokers, servicios de tracking ni con fines de marketing externo. No usamos tus datos para entrenar modelos de IA.

4. Almacenamiento y seguridad

• Datos alojados en infraestructura privada bajo control directo del titular (autoalojamiento).
• Credenciales sensibles cifradas en reposo con AES-256.
• Contraseñas hasheadas con bcrypt (nunca en texto claro).
• Autenticación JWT con rotación de sesiones y soporte WebAuthn/Passkeys.
• Multi-tenant con aislamiento: cada usuario/organización tiene su propio contenedor Docker y base de datos SQLite aislada.
• Conexiones externas vía HTTPS/TLS con verificación de certificados.
• Backups automáticos cifrados.
• Registro de auditoría de todas las acciones administrativas sensibles.

5. Plazo de conservación

• Cuenta activa: mientras dure la relación contractual.
• Datos financieros: mientras mantengas la cuenta + 5 años tras cierre (obligación fiscal).
• Logs técnicos: máximo 12 meses.
• Logs de auditoría administrativa: máximo 24 meses.
• Backups: rotación configurable, por defecto 30 días.

Una vez eliminada tu cuenta, borramos todos los datos asociados salvo aquellos que estemos legalmente obligados a conservar.

6. Tus derechos (GDPR)

Como usuario del Espacio Económico Europeo, tienes los siguientes derechos:

• Acceso: obtener una copia de todos tus datos.
• Rectificación: corregir datos inexactos.
• Supresión (derecho al olvido): eliminar tu cuenta y todos sus datos.
• Limitación: restringir el tratamiento.
• Oposición: oponerte a tratamientos basados en interés legítimo.
• Portabilidad: recibir tus datos en formato estructurado (JSON/CSV) para moverlos a otro servicio.
• Retirar consentimiento: en cualquier momento, sin efectos retroactivos.
• Reclamación ante la AEPD: si consideras que tus derechos no se respetan, puedes presentar reclamación ante la Agencia Española de Protección de Datos (www.aepd.es).

Para ejercer cualquiera de estos derechos, escríbenos a [email protected] con el asunto "Derechos GDPR".

7. Terceros implicados

Para prestar ciertas funcionalidades, Monetix se comunica con los siguientes servicios externos. En cada caso, solo se envían los datos mínimos necesarios:

• Interactive Brokers (IBKR): para ejecución de órdenes y consulta de posiciones. La autenticación se realiza contra tu propia cuenta IBKR; Monetix no almacena tu contraseña IBKR en claro. Sede: Estados Unidos. Ley aplicable: GLBA + contratos estándar.
• Anthropic (Claude API / Claude Code): para generar respuestas del asistente Tix y análisis de las estrategias IA. Se envía el prompt enriquecido con contexto de tu cartera pero sin información identificativa (email, credenciales). Anthropic declara no entrenar modelos con los datos enviados por API. Sede: Estados Unidos. Política: anthropic.com/privacy.
• Yahoo Finance: consultas públicas de precios de instrumentos. No se envía ningún dato personal.
• OpenFIGI (Bloomberg): mapeo ISIN → nombre de instrumento. API pública, no se envía ningún dato personal.
• Google (opcional, login con Google): solo si activas el login con cuenta de Google. Recibimos tu email y nombre público de Google. Sede: Estados Unidos.
• Telegram Bot API (opcional): si conectas el bot, recibimos tu chat_id y username. Operado por Telegram FZ-LLC.

8. Transferencias internacionales

Algunos terceros (Anthropic, IBKR, Google) están ubicados en Estados Unidos. Las transferencias se realizan bajo las cláusulas contractuales tipo (SCC) aprobadas por la Comisión Europea o mecanismos equivalentes. Al registrarte consientes expresamente estas transferencias necesarias para el servicio.

9. Menores de edad

Monetix no está dirigido a menores de 18 años. Si descubrimos que hemos recogido datos de un menor sin consentimiento parental verificable, los eliminaremos de inmediato.

10. Modificaciones

Podemos actualizar esta política para reflejar cambios legales o en el servicio. Los cambios se comunicarán con antelación razonable a través del dashboard o por email. La fecha de última actualización aparece al principio del documento.