Política de Privacidad

Esta traducción al español se proporciona únicamente para su conveniencia. En caso de discrepancia entre esta traducción y la versión en inglés, prevalecerá la versión en inglés.

Fecha de entrada en vigor: 2 de noviembre de 2026

Esta Política de Privacidad explica cómo Orboni (“Orboni”, “nosotros”, “nos” o “nuestro”) recaba, utiliza, comparte y protege datos personales cuando usted visita orboni.com, crea o utiliza una cuenta de comercio, usa nuestra API o nuestras páginas de pago alojadas, o se comunica con nosotros (en conjunto, el “Servicio”). Se emite de conformidad con el Reglamento General de Protección de Datos (UE) 2016/679 (“RGPD”) y con las demás leyes de protección de datos aplicables. Los términos que no se definen aquí tienen el significado que se les atribuye en nuestros Términos y Condiciones.

1. Quién es responsable de sus datos

1.1. Comercios y visitantes. Respecto de los datos personales de nuestros comercios, de su personal, de los visitantes del sitio web y de cualquier persona que se comunique con nosotros, el responsable del tratamiento es Orboni. Puede escribirnos sobre cualquier tema relacionado con esta política a support@orboni.com.

1.2. Compradores. Cuando usted paga a un comercio a través de una página de pago de Orboni, el comercio al que le compra decide para qué y cómo se tratan sus datos, y es el responsable de su tratamiento. Nosotros tratamos esos datos por cuenta del comercio, como su encargado, únicamente para prestar el Servicio. Le pedimos consultar el aviso de privacidad del propio comercio y dirigir a este las solicitudes relacionadas con su compra. Si se comunica con nosotros, haremos llegar su solicitud al comercio cuando podamos identificarlo.

2. Los datos de blockchain son públicos

Los pagos realizados a través del Servicio se efectúan en blockchains públicas. Las direcciones de billetera, los identificadores de transacción, los montos, las marcas de tiempo y, en algunas redes, los memos o etiquetas quedan registrados de forma permanente en esas blockchains y cualquier persona puede verlos. Ni nosotros ni nadie más puede modificarlos ni eliminarlos. En ocasiones, una dirección de billetera puede vincularse con una persona real mediante otra información. Le pedimos tenerlo en cuenta antes de enviar o recibir criptoactivos; se trata de una característica de la tecnología, no de nuestro Servicio.

3. Qué datos recabamos

3.1. Datos que usted nos proporciona

Datos de la cuenta: nombre, correo electrónico, contraseña (almacenada únicamente como hash unidireccional), configuración de la autenticación de dos factores, idioma, zona horaria y país.
Inicio de sesión con Google: si elige esta opción, el identificador de su cuenta de Google, su nombre, su correo electrónico y su foto de perfil, tal como los proporciona Google.
Datos del comercio: nombre del negocio y nombre visible, sitio web, correo de soporte, direcciones de billetera y claves públicas extendidas (como una xpub), activos y redes habilitados, endpoints de webhook, configuración y claves de API (las claves secretas se almacenan únicamente en una forma que no nos permite volver a leerlas).
Datos de facturación: facturas, las comisiones generadas por sus pagos y los datos de los pagos que usted nos hace.
Comunicaciones: el contenido de los mensajes del chat de soporte, de los correos electrónicos y de los archivos que nos envíe, así como nuestras respuestas.

3.2. Datos que se recaban automáticamente

Datos técnicos y de uso: dirección IP, país aproximado deducido de ella, tipo de navegador y de dispositivo, sistema operativo, idioma, página de referencia, páginas visitadas, la primera página de una visita, los parámetros de campaña del enlace que usted siguió (como utm_source), horarios y duración de las visitas, y la fecha de su última actividad.
Registros y datos de seguridad: solicitudes a la API hechas con sus claves, intentos de entrega de webhooks y sus respuestas, eventos de inicio de sesión, errores vinculados a su cuenta y acciones realizadas por administradores.
Cookies: véase la sección 9.

3.3. Datos de las sesiones de pago (tratados por cuenta de los comercios)

Cuando un comercio crea una sesión de pago y un comprador usa la página de pago, tratamos el precio, la moneda, la descripción, la referencia del pedido, los metadatos y, si el comercio lo proporciona, el correo electrónico del comprador; el activo y la red que elige el comprador; la dirección de pago, el memo o la etiqueta; la dirección IP y los datos del navegador del comprador; y las transacciones públicas en blockchain con las que se paga, incluida la dirección de origen. Tratamos estos datos como encargados, por cuenta del comercio (véase la sección 1.2).

3.4. Datos de fuentes públicas

Consultamos datos públicos de blockchain relacionados con las direcciones que utiliza el Servicio, así como tipos de cambio de fuentes públicas de precios. Por sí solos, estos datos no lo identifican a usted.

4. Para qué usamos sus datos y con qué base jurídica

Para prestar el Servicio —crear y administrar su cuenta, detectar pagos, enviar webhooks y notificaciones, mostrar su panel—, porque es necesario para la ejecución de nuestro contrato con usted (artículo 6.1.b del RGPD).
Para facturarle —calcular comisiones, emitir facturas, cobrar los pagos—, para la ejecución de nuestro contrato y para cumplir nuestras obligaciones contables y fiscales (artículo 6.1.b y c).
Para mantener la seguridad del Servicio y prevenir el fraude y el abuso —limitar la frecuencia de las solicitudes, detectar inicios de sesión sospechosos, hacer cumplir nuestra Política de Uso Aceptable, verificar listas de sanciones y detectar usos ilícitos, investigar incidentes—, con base en nuestro interés legítimo en proteger nuestro Servicio, a nuestros usuarios y a terceros (artículo 6.1.f) y, cuando así se requiera, para cumplir obligaciones legales (artículo 6.1.c).
Para brindar soporte —responder sus mensajes, incluso con ayuda de herramientas de inteligencia artificial que traducen los mensajes y sugieren borradores de respuesta a nuestro personal, que los revisa antes de enviarlos—, para la ejecución de nuestro contrato y con base en nuestro interés legítimo en responder con rapidez y en su idioma (artículo 6.1.b y f).
Para mejorar el Servicio —entender cómo se usa el Servicio, medir qué páginas y campañas nos atraen comercios, corregir errores—, con base en nuestros intereses legítimos (artículo 6.1.f).
Para comunicarnos con usted —mensajes sobre el servicio y la seguridad, cambios en nuestras condiciones y, cuando esté permitido, información sobre nuevas funciones—, para la ejecución de nuestro contrato y con base en nuestros intereses legítimos; usted puede dejar de recibir los mensajes no esenciales en cualquier momento (artículo 6.1.b y f).
Para cumplir la ley y defender nuestros derechos —atender los requerimientos legalmente formulados por las autoridades, conservar registros, formular, ejercer o defender reclamaciones—, con base en obligaciones legales y en nuestros intereses legítimos (artículo 6.1.c y f).
Cookies analíticas y similares, si las utilizamos, únicamente con su consentimiento (artículo 6.1.a), que puede retirar en cualquier momento.

Cuando nos basamos en intereses legítimos, los hemos ponderado frente a sus derechos y libertades. Puede solicitarnos los detalles, y tiene derecho a oponerse (sección 8). No tomamos decisiones basadas únicamente en el tratamiento automatizado que produzcan efectos jurídicos en usted o que le afecten significativamente de modo similar, salvo medidas de seguridad automatizadas, como el bloqueo de tráfico abusivo, respecto de las cuales puede solicitar que una persona las revise.

Proporcionar los datos de la cuenta es necesario para usar el Servicio; sin ellos, no podemos abrirle una cuenta.

5. Con quién compartimos datos

No vendemos sus datos personales ni los compartimos para publicidad de terceros. Únicamente los compartimos en los siguientes casos:

Proveedores de servicios (encargados) que actúan conforme a nuestras instrucciones en virtud de contratos que protegen sus datos, entre ellos: DigitalOcean (alojamiento, con servidores en Alemania); Cloudflare (distribución de contenido, seguridad y DNS); Google (inicio de sesión con Google, si usted lo usa); Resend (envío de correos electrónicos); Anthropic (funciones de inteligencia artificial de nuestras herramientas de soporte); Telegram (alertas operativas internas para nuestro personal); y proveedores de datos de blockchain y de acceso a nodos, que reciben las direcciones y transacciones de blockchain que consultamos, pero no su nombre ni su correo electrónico.
Comercios: si usted es comprador, el comercio al que le paga recibe los datos de la sesión de pago descritos en la sección 3.3.
Autoridades y otros, cuando sea obligatorio: tribunales y autoridades encargadas de hacer cumplir la ley, fiscales y regulatorias, cuando la ley nos obligue a ello o cuando consideremos de buena fe que la divulgación es necesaria para prevenir fraudes, proteger la seguridad o los derechos de cualquier persona, o formular, ejercer o defender reclamaciones.
Asesores profesionales, como abogados, contadores y auditores, sujetos a obligaciones de confidencialidad.
Un adquirente o sucesor de la totalidad o de una parte de nuestro negocio, en caso de fusión, adquisición, financiamiento o reorganización, que quedará obligado por esta política.

6. Transferencias internacionales

Nuestros servidores principales se encuentran en la Unión Europea. Algunos de nuestros proveedores, o sus subencargados, tratan datos en otros países, incluidos los Estados Unidos. Cuando se transfieren datos personales fuera del Espacio Económico Europeo a un país que no cuenta con una decisión de adecuación, nos basamos en garantías adecuadas, como las cláusulas contractuales tipo de la Comisión Europea o el Marco de Privacidad de Datos entre la UE y los Estados Unidos. Puede solicitarnos una copia de las garantías correspondientes.

7. Cuánto tiempo conservamos los datos

Datos de la cuenta y del comercio: mientras su cuenta esté abierta; después, se eliminan o anonimizan en un plazo razonable, salvo lo que se indica a continuación.
Facturas y registros de facturación: durante el plazo que exija la legislación fiscal y contable, por lo general cinco años contados a partir del final del año en que surgió la obligación fiscal.
Registros de las sesiones de pago: mientras la cuenta del comercio esté abierta y durante el tiempo necesario para la facturación, la conciliación y la defensa frente a reclamaciones; los registros en la blockchain son, en sí mismos, permanentes y quedan fuera de nuestro control.
Chats de soporte: se eliminan automáticamente después de 60 días sin actividad.
Registros de visitas y de actividad: hasta 180 días; registros de errores, hasta 90 días; registros de acciones de los administradores, hasta 360 días; registros del servidor, normalmente hasta 30 días.
Datos necesarios para una reclamación, una investigación o una obligación legal: hasta que se resuelva o se extinga la obligación.

8. Sus derechos

Conforme al RGPD, usted tiene derecho a: acceder a sus datos personales y recibir una copia de ellos; obtener la rectificación de los datos inexactos; obtener la supresión de sus datos; obtener la limitación del tratamiento; recibir en un formato portable los datos que nos haya proporcionado; oponerse al tratamiento basado en intereses legítimos, incluida la elaboración de perfiles, y oponerse en cualquier momento a la mercadotecnia directa; y retirar su consentimiento en cualquier momento, sin que ello afecte el tratamiento realizado con anterioridad. Estos derechos están sujetos a las condiciones y excepciones que establece la ley; por ejemplo, podemos conservar los datos que necesitemos para cumplir obligaciones legales o atender reclamaciones, y nadie puede suprimir datos registrados en una blockchain pública.

Para ejercer sus derechos, escriba a support@orboni.com desde el correo electrónico de su cuenta. Podemos pedirle que confirme su identidad. Le responderemos en el plazo de un mes, que podrá ampliarse dos meses más en el caso de solicitudes complejas, según lo permite la ley. Usted mismo puede actualizar la mayoría de los datos de su cuenta y eliminar su cuenta desde la configuración de la cuenta.

También tiene derecho a presentar una reclamación ante una autoridad de control, en particular en el Estado miembro de la UE en el que tenga su residencia habitual o su lugar de trabajo, o en el que se haya producido la presunta infracción. En Polonia, esa autoridad es el Presidente de la Oficina de Protección de Datos Personales (Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl). Le agradeceríamos que nos diera primero la oportunidad de atender su inquietud.

9. Cookies y tecnologías similares

Utilizamos cookies y tecnologías similares estrictamente necesarias para el Servicio —para mantener su sesión iniciada, proteger los formularios contra la falsificación de solicitudes entre sitios, recordar su elección sobre las cookies y prevenir abusos— y cookies funcionales que recuerdan su idioma, el modo claro u oscuro y el estado de la barra lateral. Estas no requieren consentimiento. Si utilizamos cookies analíticas o publicitarias, primero le pediremos su consentimiento mediante nuestro aviso de cookies, y usted podrá cambiar su elección en cualquier momento. Encontrará más detalles en nuestra Política de Cookies. También puede bloquear o eliminar las cookies en su navegador, aunque en ese caso es posible que algunas partes del Servicio dejen de funcionar.

10. Seguridad

Aplicamos medidas técnicas y organizacionales adecuadas al riesgo, entre ellas el cifrado en tránsito, el almacenamiento de contraseñas y claves secretas en forma de hash, la autenticación de dos factores, controles de acceso, firewalls de red, webhooks firmados y respaldos periódicos. Nunca pedimos ni almacenamos claves privadas ni frases de recuperación. Sin embargo, ningún método de transmisión o almacenamiento es completamente seguro, y no podemos garantizar una seguridad absoluta. Usted es responsable de mantener seguros su contraseña, sus claves de API y sus dispositivos. Si tenemos conocimiento de una vulneración de seguridad de datos personales que pueda representar un riesgo para usted, lo notificaremos a la autoridad competente y, cuando sea obligatorio, a usted, conforme a lo que exija la ley.

11. Menores de edad

El Servicio está destinado a empresas y no está dirigido a menores de 18 años. No recabamos a sabiendas datos personales de menores de edad. Si cree que un menor nos ha proporcionado datos personales, contáctenos y los eliminaremos.

12. Enlaces a otros servicios

El Servicio puede contener enlaces a sitios web, billeteras, blockchains, exploradores de bloques y servicios de terceros que no controlamos, o funcionar junto con ellos. Dichos terceros se rigen por sus propias políticas de privacidad, y no somos responsables de sus prácticas.

13. Cambios a esta política

Podemos actualizar esta Política de Privacidad ocasionalmente. Publicaremos la nueva versión en esta página con una nueva fecha de entrada en vigor y, si los cambios son importantes, lo notificaremos a los titulares de cuentas por correo electrónico o en el panel antes de que entren en vigor.

14. Contacto

Para cualquier pregunta o solicitud sobre esta Política de Privacidad o sobre sus datos personales, contáctenos en support@orboni.com.