Política de Privacidad

1. Filosofía de privacidad

ULOX está diseñado con privacidad por diseño y por defecto (privacy by design and by default). El servidor que opera EDS es técnicamente ciego al contenido de las comunicaciones y al contenido almacenado por el usuario: no posee las claves criptográficas necesarias para descifrar esos datos, no puede leer mensajes, archivos, notas, contraseñas guardadas ni cualquier otra información del usuario.

Esta característica no es retórica: es estructural. Se materializa en cifrado de extremo a extremo en mensajería, en derivación criptográfica de pseudónimos que rompen la asociación entre cuenta base y universos, y en almacenamiento del servidor exclusivamente como blobs opacos cifrados en el cliente.

2. Responsable del tratamiento

3. Delegado de Protección de Datos (DPO)

Cuando la designación de DPO sea obligatoria conforme al artículo 37 RGPD, o cuando EDS decida designarlo voluntariamente, sus datos de contacto serán los siguientes:

4. Qué datos tratamos

El conjunto de datos personales que EDS puede llegar a tratar en relación con el Servicio es deliberadamente mínimo:

4.1. Datos de la cuenta

• ULOX ID: identificador alfanumérico elegido por el usuario. No se exige que sea identificable ni que contenga datos reales.
• Correo electrónico: es obligatorio para registrar una cuenta y se verifica mediante un código de un solo uso (OTP) enviado a esa dirección. Se almacena con un índice único y se utiliza exclusivamente para: verificar la titularidad de la cuenta, recuperar la contraseña y permitir el cambio de correo. No se emplea para marketing, no se cruza con la actividad cifrada del usuario dentro de los LOX y no se cede a terceros salvo obligación legal.
• Clave maestra (hash): EDS almacena únicamente el hash criptográfico (Argon2id) de la clave, no la clave en sí.
• Claves públicas criptográficas generadas en el cliente.
• Pseudónimos derivados: identificadores opacos en cada LOX, generados criptográficamente. No revelan al servidor a qué cuenta base pertenecen.

4.2. Datos técnicos y de uso

• Direcciones IP recibidas en las conexiones, presentes en logs técnicos por períodos breves para fines de seguridad y diagnóstico.
• Marcas de tiempo de última actividad y de presencia (last seen, online_until) asociadas a la cuenta o al pseudónimo. Estos datos son los mínimos imprescindibles para la funcionalidad de presencia.
• Información del agente de usuario (navegador, sistema operativo) en logs de conexión, con propósito exclusivamente técnico.
• Suscripciones a notificaciones push, si el usuario las activa, en forma de endpoint opaco proporcionado por el navegador/sistema.

4.3. Datos cifrados

• Mensajes y archivos cifrados en tránsito y en reposo, almacenados como bytes opacos.
• Metadatos cifrados (meta_blob) de los elementos del universo privado.
• Binarios cifrados almacenados en almacenamiento de objetos.

EDS reconoce que estos datos cifrados pueden contener información personal del usuario, pero carece de las claves para descifrarlos. Por tanto, no realiza tratamiento de su contenido más allá del almacenamiento, transmisión y entrega al destinatario legítimo conforme al protocolo del Servicio.

4.4. Cartera de criptomonedas (wallet)

ULOX incorpora una cartera de criptomonedas no custodia (red Polygon; criptomoneda nativa POL y token USDT). «No custodia» significa que EDS no posee, gestiona ni tiene acceso a los fondos, las claves privadas ni la frase de recuperación (semilla) del usuario:

• La semilla de la cartera se genera en el dispositivo del usuario y se guarda sellada (cifrada en el cliente) como un dato cifrado más; EDS solo ve un blob opaco que no puede descifrar.
• La derivación de direcciones y la firma de transacciones ocurren en el cliente. Los saldos y las transacciones se consultan y difunden directamente entre el dispositivo del usuario y los nodos públicos de la cadena de bloques, sin pasar por los servidores de EDS.
• EDS no recoge direcciones, saldos, historial de transacciones ni dato financiero alguno de la cartera, y no realiza ningún proceso de verificación de identidad (KYC) asociado a ella.
• La cartera puede operar también con monederos hardware (Ledger/Trezor) o externos; en ese caso EDS tampoco recibe clave alguna.

4.5. Datos de pago (suscripciones de almacenamiento)

La activación de capacidad de almacenamiento adicional (LoxPods) es una suscripción de pago que se contrata únicamente desde la web. El cobro se procesa a través de Stripe, proveedor de pago que actúa como encargado del tratamiento:

• Los datos de la tarjeta se introducen y procesan en el entorno seguro de Stripe. EDS no almacena el número de tarjeta completo.
• EDS conserva los registros de facturación imprescindibles (importe, fecha, identificador de cuenta y, en su caso, datos fiscales) para cumplir sus obligaciones contables y fiscales. Estos registros están desvinculados del LOX o LoxPod concreto que el pago financia: el servidor cobra «la cuenta X recarga un importe» y nada más.

5. Qué datos NO tratamos

Por diseño, EDS no recoge ni almacena en claro los siguientes datos:

• Nombre real, apellidos, fecha de nacimiento, género, nacionalidad o cualquier identificador civil. En el registro solo se confirma, mediante una casilla, ser mayor de la edad mínima legal; no se pide la fecha ni la edad exacta.
• Número de teléfono del usuario.
• Agenda de contactos del dispositivo.
• Geolocalización precisa.
• Contenido de mensajes, archivos, fotos, vídeos, audios, notas o contraseñas guardadas por el usuario.
• Claves privadas, frase de recuperación (semilla), saldos o transacciones de la cartera de criptomonedas: la cartera es de no custodia y opera contra la cadena de bloques sin pasar por EDS.
• Cadenas LOX en texto claro, ni en el servidor ni en el dispositivo. Las claves se derivan dinámicamente del LOX en el cliente.
• Asociación entre cuenta base y los pseudónimos que el usuario adopta dentro de cada LOX.

6. Finalidades y bases jurídicas del tratamiento

7. Plazos de conservación

• Datos de la cuenta: mientras la cuenta esté activa. Tras la baja, se eliminan en un plazo máximo de 30 días naturales, salvo obligación legal de conservación.
• Mensajes cifrados: hasta su entrega al destinatario y, en su caso, durante el período de retención que el propio usuario configure en su cliente. La política técnica del servidor prevé eliminación automática transcurridos plazos razonables tras la entrega.
• Logs de seguridad y conexión (IP, marca temporal, agente de usuario): hasta noventa (90) días naturales. Este plazo permite cooperar con requerimientos legales legítimos de autoridades dentro de los tiempos habituales del proceso (orden judicial, oficio policial), y se considera proporcional al fin perseguido. Pasado ese período, los logs se eliminan automáticamente, salvo cuando exista una investigación abierta debidamente formalizada, en cuyo caso se conservarán únicamente los datos directamente relacionados con la investigación.
• Datos sujetos a obligación legal: el plazo legal correspondiente (por ejemplo, datos contables hasta 6 años para clientes de pago, datos relativos a denuncias judiciales hasta el cierre del procedimiento).

8. Destinatarios y encargados del tratamiento

EDS no comparte ni cede datos personales a terceros con fines publicitarios ni comerciales. EDS no realiza perfilado del usuario, no segmenta para anunciantes y no participa en redes publicitarias.

Los únicos terceros que pueden tener acceso técnico a datos del Servicio son encargados del tratamiento que prestan infraestructura imprescindible, vinculados por contrato de encargo conforme al artículo 28 RGPD:

• Proveedores de alojamiento (hosting): los servidores donde se ejecuta el Servicio. Datos accesibles: blobs cifrados opacos, identificadores de cuenta, logs técnicos. Sin acceso al contenido en claro.
• Proveedores de DNS y red de entrega de contenido (CDN): para resolución de nombres y entrega de la aplicación web. Datos accesibles: metadatos de conexión.
• Proveedores de notificaciones push: servicios de los fabricantes del sistema operativo o del navegador (Apple, Google, Mozilla, Microsoft) que entregan notificaciones al dispositivo. Datos accesibles: endpoint y carga útil opaca cifrada o sin contenido sensible.
• Proveedores de correo electrónico para los canales *@ulox.org y para el envío de los códigos de verificación (OTP): en la actualidad un servidor de correo propio (Mailcow) operado por EDS, ubicado en la Unión Europea.
• Proveedor de pago (Stripe): procesa el cobro de las suscripciones de almacenamiento (LoxPods) contratadas desde la web. Datos accesibles: datos de la tarjeta (que trata Stripe, no EDS), importe e identificador de la operación. Stripe es responsable del cumplimiento PCI-DSS del tratamiento de la tarjeta.

La relación completa y actualizada de encargados está disponible para cualquier interesado en privacy@ulox.org.

9. Transferencias internacionales de datos

La infraestructura principal del Servicio se ubica en la Unión Europea. EDS procura mantener la totalidad del procesamiento dentro del Espacio Económico Europeo.

Cuando concurran transferencias internacionales de datos personales a países fuera del EEE (por ejemplo, hacia proveedores de notificaciones push de Apple o Google), EDS garantizará que dichas transferencias se realicen al amparo de alguna de las garantías previstas en el RGPD (artículos 44 y siguientes): decisiones de adecuación, cláusulas contractuales tipo (SCC) o reglas corporativas vinculantes (BCR), según el caso.

10. Derechos del interesado

Como titular de datos personales, el usuario dispone de los siguientes derechos, ejercitables en cualquier momento:

• Acceso: conocer qué datos personales suyos trata EDS.
• Rectificación: corregir datos inexactos o incompletos.
• Supresión («derecho al olvido»): obtener la eliminación de sus datos, salvo obligación legal de conservación.
• Oposición: oponerse a tratamientos basados en interés legítimo.
• Limitación: solicitar la suspensión del tratamiento mientras se verifica una controversia.
• Portabilidad: recibir los datos en formato estructurado, de uso común y lectura mecánica, cuando sea técnicamente posible.
• Retirada del consentimiento: revocar consentimientos previamente otorgados (por ejemplo, notificaciones push).
• No ser objeto de decisiones automatizadas individuales: EDS no toma decisiones automatizadas con efectos jurídicos significativos sobre el usuario.

El ejercicio se realiza enviando solicitud a privacy@ulox.org, acompañando, en su caso, los datos mínimos necesarios para identificar al titular y la solicitud. EDS responderá en un plazo máximo de un (1) mes, prorrogable hasta dos (2) meses adicionales en supuestos complejos.

11. Menores

El Servicio no está dirigido a menores por debajo de la edad mínima fijada en la Política de Menores. EDS no recopila conscientemente datos personales de menores por debajo de esa edad. Si se detectara tal recopilación, se procederá a la supresión inmediata de los datos y al cierre de la cuenta.

12. Medidas de seguridad

EDS aplica medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo (Art. 32 RGPD), entre las que destacan:

• Cifrado de extremo a extremo de las comunicaciones de usuario (XSalsa20-Poly1305, X25519).
• Cifrado en cliente de los contenidos almacenados en universos privados.
• Derivación criptográfica de claves a partir de contraseñas con Argon2id (parámetros MODERATE: 256 MiB, 3 iteraciones).
• Comunicaciones HTTPS/TLS exclusivamente.
• Aislamiento de servicios en contenedores y redes segmentadas.
• Copias de seguridad cifradas con clave que no se conserva en el mismo emplazamiento que los datos.
• Registro de accesos administrativos y control de acceso por roles.
• Auditorías periódicas y procesos internos de revisión.

13. Brechas de seguridad

En caso de brecha de seguridad que pueda suponer un riesgo para los derechos y libertades del usuario, EDS cumplirá las obligaciones de notificación a la autoridad de control en un plazo máximo de 72 horas (Art. 33 RGPD) y, cuando proceda, comunicará la brecha a los usuarios afectados (Art. 34 RGPD) por los canales disponibles.

14. Cooperación con autoridades

EDS coopera con autoridades judiciales, administrativas y cuerpos y fuerzas de seguridad legalmente competentes en el marco de la legislación aplicable y de los tratados internacionales de cooperación.

Ante un requerimiento legal vinculante, EDS entrega los datos de los que efectivamente dispone, dentro de los plazos y con la diligencia exigibles, y presta a las autoridades la asistencia técnica que sea razonablemente posible. EDS carece de capacidad técnica para descifrar el contenido cifrado del usuario, dado que las claves criptográficas no obran en su poder; esta limitación deriva del modelo de privacidad por diseño del servicio y se hace constar de buena fe en cada respuesta a requerimientos, sin que en ningún caso suponga una negativa a cooperar.

El canal de cooperación con autoridades es law-enforcement@ulox.org.

15. Disposiciones específicas por región

15.1. Unión Europea y EEE

Los usuarios residentes en la UE/EEE pueden presentar una reclamación ante la autoridad de control competente. En España, la autoridad es la Agencia Española de Protección de Datos (AEPD), accesible en www.aepd.es.

15.2. Reino Unido

Los usuarios residentes en el Reino Unido pueden presentar reclamación ante la Information Commissioner's Office (ICO) en ico.org.uk. Se aplica la UK GDPR y la Data Protection Act 2018.

15.3. Estados Unidos — California (CCPA/CPRA)

Los residentes en California disponen de derechos análogos: derecho a saber, a eliminar, a corregir y a oponerse a la venta o compartición de datos personales. EDS no vende ni comparte datos personales conforme a las definiciones del CCPA/CPRA. Solicitudes a privacy@ulox.org.

15.4. Estados Unidos — Resto de estados

Los residentes en otros estados con normativa de privacidad aplicable (Virginia, Colorado, Connecticut, Utah, Texas, etc.) podrán ejercer los derechos previstos en su legislación dirigiendo la solicitud a privacy@ulox.org.

15.5. Brasil (LGPD)

Los residentes en Brasil podrán ejercer los derechos previstos en la Lei Geral de Proteção de Dados Pessoais (Lei 13.709/2018), incluidos confirmación, acceso, corrección, anonimización, portabilidad, eliminación y revocación del consentimiento. La autoridad de control es la Autoridade Nacional de Proteção de Dados (ANPD).

15.6. Canadá (PIPEDA/Provinciales)

Los residentes en Canadá podrán ejercer los derechos previstos en la PIPEDA y normativas provinciales aplicables. La autoridad federal es la Office of the Privacy Commissioner of Canada (OPC).

15.7. Resto del mundo

EDS aplicará los principios y derechos del RGPD como estándar mínimo a todos los usuarios. Cualquier reclamación puede dirigirse a privacy@ulox.org.

16. Cambios en esta Política

EDS podrá actualizar esta Política de Privacidad para reflejar cambios legales, técnicos o de servicio. Las actualizaciones se publicarán en esta misma página indicando la fecha de revisión. Cuando los cambios sean sustanciales, se informará al usuario a través del Servicio con la antelación razonable.

17. Contacto y reclamaciones

Para cualquier consulta o ejercicio de derechos:

• Privacidad general: privacy@ulox.org
• Delegado de Protección de Datos: dpo@ulox.org
• Postal: EUROPEAN DIGITAL STORES, S.L. — «Departamento de Privacidad», Calle José Echegaray, 8, Edificio Alvia 3, oficinas 7 y 8, 28232 Las Rozas (Madrid), España.

Sin perjuicio de lo anterior, el usuario tiene derecho a presentar reclamación ante la autoridad de control competente en su jurisdicción cuando considere que el tratamiento de sus datos personales infringe la normativa aplicable.