Política de privacidad

Esta traducción se facilita únicamente para mayor comodidad. En caso de discrepancia entre esta traducción y la versión original en inglés, prevalecerá la versión en inglés.

Fecha de entrada en vigor: 2 de noviembre de 2026

La presente Política de privacidad explica cómo Orboni («Orboni», «nosotros», «nos» o «nuestro») recoge, utiliza, comunica y protege los datos personales cuando usted visita orboni.com, crea o utiliza una cuenta de comercio, utiliza nuestra API o nuestras páginas de pago alojadas, o se pone en contacto con nosotros (en conjunto, el «Servicio»). Se facilita de conformidad con el Reglamento (UE) 2016/679, General de Protección de Datos (el «RGPD»), y con el resto de la normativa de protección de datos aplicable. Los términos que no se definen aquí tienen el significado que se les atribuye en nuestras Condiciones del Servicio.

1. Responsable del tratamiento de sus datos

1.1. Comercios y visitantes. El responsable del tratamiento de los datos personales de nuestros comercios, de su personal, de los visitantes del sitio web y de cualquier persona que se ponga en contacto con nosotros es Orboni. Puede dirigirse a nosotros en support@orboni.com para cualquier cuestión relacionada con esta política.

1.2. Compradores. Cuando usted paga a un comercio a través de una página de pago de Orboni, es el comercio al que compra quien decide los fines y los medios del tratamiento de sus datos y, por tanto, el responsable de ese tratamiento. Nosotros tratamos esos datos por cuenta del comercio, como encargado del tratamiento, con el único fin de prestar el Servicio. Le rogamos que lea el aviso de privacidad del propio comercio y que dirija a este las solicitudes relativas a su compra. Si se pone en contacto con nosotros, trasladaremos su solicitud al comercio cuando podamos identificarlo.

2. Los datos de las cadenas de bloques son públicos

Los pagos realizados a través del Servicio se efectúan en cadenas de bloques públicas. Las direcciones de monedero, los identificadores de transacción, los importes, las marcas de tiempo y, en algunas redes, los memos o etiquetas quedan registrados de forma permanente en esas cadenas de bloques y son visibles para cualquiera. Ni nosotros ni nadie puede modificarlos ni suprimirlos. En ocasiones, una dirección de monedero puede vincularse a una persona real mediante otra información. Le rogamos que lo tenga en cuenta antes de enviar o recibir criptoactivos; se trata de una característica de la tecnología, no de nuestro Servicio.

3. Qué datos recogemos

3.1. Datos que usted nos facilita

Datos de la cuenta: nombre, dirección de correo electrónico, contraseña (almacenada únicamente como hash irreversible), configuración de la autenticación en dos pasos, idioma, zona horaria y país.
Inicio de sesión con Google: si opta por esta vía, el identificador de su cuenta de Google, su nombre, su dirección de correo electrónico y su foto de perfil, tal como nos los facilita Google.
Datos del comercio: denominación social y nombre comercial, sitio web, correo electrónico de atención al cliente, direcciones de monedero y claves públicas extendidas (como una xpub), activos y redes activados, endpoints de webhook, configuración y claves de API (las claves secretas se almacenan únicamente de una forma que no nos permite volver a leerlas).
Datos de facturación: facturas, comisiones devengadas por sus pagos y datos de los pagos que nos realiza.
Comunicaciones: el contenido de los mensajes del chat de soporte, de los correos electrónicos y de los archivos que nos envíe, así como nuestras respuestas.

3.2. Datos recogidos automáticamente

Datos técnicos y de uso: dirección IP, país aproximado deducido de ella, tipo de navegador y de dispositivo, sistema operativo, idioma, página de procedencia, páginas visitadas, primera página de cada visita, parámetros de campaña del enlace que haya seguido (como utm_source), horas y duración de las visitas, y fecha de su última actividad.
Registros y datos de seguridad: solicitudes a la API realizadas con sus claves, intentos de entrega de webhooks y respuestas recibidas, inicios de sesión, errores vinculados a su cuenta y acciones realizadas por los administradores.
Cookies: véase el apartado 9.

3.3. Datos de las sesiones de pago (tratados por cuenta de los comercios)

Cuando un comercio crea una sesión de pago y un comprador utiliza la página de pago, tratamos el precio, la moneda, la descripción, la referencia del pedido, los metadatos y, si el comercio la facilita, la dirección de correo electrónico del comprador; el activo y la red que elige el comprador; la dirección de pago y el memo o la etiqueta; la dirección IP y los datos del navegador del comprador; y las transacciones de la cadena de bloques pública con las que se paga, incluida la dirección de origen. Tratamos estos datos como encargado del tratamiento por cuenta del comercio (véase el apartado 1.2).

3.4. Datos procedentes de fuentes públicas

Consultamos datos públicos de las cadenas de bloques relativos a las direcciones que utiliza el Servicio, así como tipos de cambio de fuentes públicas de precios. Estos datos no le identifican por sí solos.

4. Para qué utilizamos sus datos y con qué base jurídica

Para prestar el Servicio —crear y gestionar su cuenta, detectar pagos, enviar webhooks y notificaciones, mostrarle su panel—, porque es necesario para ejecutar el contrato que tenemos con usted (artículo 6.1.b del RGPD).
Para facturarle —calcular las comisiones, emitir facturas y cobrarlas—, para la ejecución del contrato y el cumplimiento de nuestras obligaciones contables y fiscales (artículo 6.1, letras b y c, del RGPD).
Para mantener la seguridad del Servicio y prevenir el fraude y los abusos —limitar la frecuencia de las solicitudes, detectar inicios de sesión sospechosos, hacer cumplir nuestra Política de uso aceptable, comprobar las listas de sanciones y detectar usos ilícitos, investigar incidentes—, sobre la base de nuestro interés legítimo en proteger el Servicio, a nuestros usuarios y a terceros (artículo 6.1.f del RGPD) y, cuando proceda, para cumplir obligaciones legales (artículo 6.1.c del RGPD).
Para prestarle asistencia —responder a sus mensajes, también con ayuda de herramientas de inteligencia artificial que traducen los mensajes y proponen borradores de respuesta a nuestro personal, que los revisa antes de enviarlos—, para la ejecución del contrato y por nuestro interés legítimo en responderle con rapidez y en su idioma (artículo 6.1, letras b y f, del RGPD).
Para mejorar el Servicio —entender cómo se utiliza el Servicio, medir qué páginas y campañas nos traen comercios, corregir errores—, sobre la base de nuestro interés legítimo (artículo 6.1.f del RGPD).
Para comunicarnos con usted —mensajes relativos al servicio y a la seguridad, cambios en nuestras condiciones y, cuando esté permitido, información sobre nuevas funciones—, para la ejecución del contrato y por nuestro interés legítimo; puede darse de baja de los mensajes no esenciales en cualquier momento (artículo 6.1, letras b y f, del RGPD).
Para cumplir la ley y defender nuestros derechos —atender los requerimientos legítimos de las autoridades, llevar registros, formular, ejercer o defender reclamaciones—, sobre la base de obligaciones legales y de nuestro interés legítimo (artículo 6.1, letras c y f, del RGPD).
Cookies analíticas y similares, si las utilizamos, únicamente con su consentimiento (artículo 6.1.a del RGPD), que puede retirar en cualquier momento.

Cuando nos basamos en el interés legítimo, lo hemos ponderado con sus derechos y libertades. Puede pedirnos más detalles y tiene derecho a oponerse (apartado 8). No tomamos decisiones basadas únicamente en el tratamiento automatizado que produzcan efectos jurídicos en usted o le afecten significativamente de modo similar, salvo medidas de seguridad automatizadas como el bloqueo de tráfico abusivo, cuya revisión por una persona puede solicitar.

Facilitar los datos de la cuenta es necesario para utilizar el Servicio; sin ellos no podemos abrirle una cuenta.

5. Con quién compartimos los datos

No vendemos sus datos personales ni los compartimos con fines de publicidad de terceros. Solo los compartimos en los siguientes casos:

Proveedores de servicios (encargados del tratamiento) que actúan siguiendo nuestras instrucciones en virtud de contratos que protegen sus datos, entre ellos: DigitalOcean (alojamiento, con servidores en Alemania); Cloudflare (distribución de contenidos, seguridad y DNS); Google (inicio de sesión con Google, si lo utiliza); Resend (envío de correo electrónico); Anthropic (funciones de inteligencia artificial de nuestras herramientas de soporte); Telegram (alertas operativas internas para nuestro personal); y proveedores de datos de cadenas de bloques y de acceso a nodos, que reciben las direcciones y transacciones que consultamos, pero no su nombre ni su correo electrónico.
Comercios: si usted es comprador, el comercio al que paga recibe los datos de la sesión de pago descritos en el apartado 3.3.
Autoridades y otros destinatarios cuando sea obligatorio: juzgados y tribunales, fuerzas y cuerpos de seguridad, y autoridades tributarias y reguladoras, cuando estemos legalmente obligados a ello o cuando consideremos de buena fe que la comunicación es necesaria para prevenir el fraude, proteger la seguridad o los derechos de cualquier persona, o formular, ejercer o defender reclamaciones.
Asesores profesionales, como abogados, contables y auditores, sujetos a obligaciones de confidencialidad.
El adquirente o sucesor de la totalidad o de parte de nuestro negocio, en caso de fusión, adquisición, financiación o reorganización, que quedará obligado por esta política.

6. Transferencias internacionales

Nuestros servidores principales se encuentran en la Unión Europea. Algunos de nuestros proveedores, o sus subencargados del tratamiento, tratan datos en otros países, entre ellos los Estados Unidos. Cuando se transfieren datos personales fuera del Espacio Económico Europeo a un país que no cuenta con una decisión de adecuación, nos basamos en garantías adecuadas, como las cláusulas contractuales tipo de la Comisión Europea o el Marco de Privacidad de Datos UE-EE. UU. Puede solicitarnos una copia de las garantías correspondientes.

7. Cuánto tiempo conservamos los datos

Datos de la cuenta y del comercio: mientras su cuenta permanezca abierta; después, se suprimen o se anonimizan en un plazo razonable, salvo en los casos que se indican a continuación.
Facturas y registros de facturación: durante el plazo exigido por la normativa fiscal y contable, por lo general cinco años a contar desde el final del año en que nació la obligación tributaria.
Registros de las sesiones de pago: mientras la cuenta del comercio permanezca abierta y en la medida en que sea necesario para la facturación, la conciliación y la defensa frente a reclamaciones; los registros de la propia cadena de bloques son permanentes y escapan a nuestro control.
Chats de soporte: se suprimen automáticamente tras 60 días sin actividad.
Registros de visitas y de actividad: hasta 180 días; registros de errores, hasta 90 días; registros de acciones de los administradores, hasta 360 días; registros del servidor, normalmente hasta 30 días.
Datos necesarios para una reclamación, una investigación o una obligación legal: hasta que se resuelvan o se extinga la obligación.

8. Sus derechos

En virtud del RGPD, usted tiene derecho a acceder a sus datos personales y obtener una copia de ellos; a que se rectifiquen los datos inexactos; a que se supriman sus datos; a la limitación del tratamiento; a recibir en un formato portable los datos que nos haya facilitado; a oponerse al tratamiento basado en el interés legítimo, incluida la elaboración de perfiles, y a oponerse en cualquier momento a la mercadotecnia directa; y a retirar su consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento realizado con anterioridad. Estos derechos están sujetos a las condiciones y excepciones que establece la ley: por ejemplo, podemos conservar los datos que necesitemos para cumplir obligaciones legales o atender reclamaciones, y nadie puede suprimir los datos registrados en una cadena de bloques pública.

Para ejercer sus derechos, escriba a support@orboni.com desde la dirección de correo electrónico de su cuenta. Podemos pedirle que acredite su identidad. Le responderemos en el plazo de un mes, que podrá prorrogarse otros dos meses en el caso de solicitudes complejas, según permite la ley. Puede actualizar la mayoría de los datos de su cuenta, así como eliminar la cuenta, usted mismo desde la configuración de su cuenta.

También tiene derecho a presentar una reclamación ante una autoridad de control, en particular en el Estado miembro de la UE en que tenga su residencia habitual o su lugar de trabajo, o en el que se haya producido la supuesta infracción. En Polonia, esta autoridad es el Presidente de la Oficina de Protección de Datos Personales (Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl). Le agradeceríamos que, antes, nos diera la oportunidad de atender su inquietud.

9. Cookies y tecnologías similares

Utilizamos cookies y tecnologías similares estrictamente necesarias para el Servicio —para mantener su sesión iniciada, proteger los formularios frente a la falsificación de solicitudes entre sitios, recordar su elección sobre las cookies y prevenir abusos— y cookies funcionales que recuerdan su idioma, el tema claro u oscuro y el estado de la barra lateral. Estas cookies no requieren consentimiento. Si utilizamos cookies analíticas o publicitarias, le pediremos antes su consentimiento a través de nuestro banner de cookies, y podrá cambiar su elección en cualquier momento. Encontrará más información en nuestra Política de cookies. También puede bloquear o eliminar las cookies en su navegador, aunque en ese caso es posible que algunas partes del Servicio dejen de funcionar.

10. Seguridad

Aplicamos medidas técnicas y organizativas adecuadas al riesgo, entre ellas el cifrado de los datos en tránsito, el almacenamiento de contraseñas y claves secretas en forma de hash, la autenticación en dos pasos, los controles de acceso, los cortafuegos de red, los webhooks firmados y las copias de seguridad periódicas. Nunca pedimos ni guardamos claves privadas ni frases de recuperación. No obstante, ningún método de transmisión o almacenamiento es completamente seguro, y no podemos garantizar una seguridad absoluta. Usted es responsable de mantener seguros su contraseña, sus claves de API y sus dispositivos. Si tenemos conocimiento de una violación de la seguridad de los datos personales que pueda entrañar un riesgo para usted, lo notificaremos a la autoridad competente y, cuando sea preciso, a usted, según exige la ley.

11. Menores

El Servicio está destinado a empresas y no se dirige a menores de 18 años. No recogemos a sabiendas datos personales de menores. Si cree que un menor nos ha facilitado datos personales, póngase en contacto con nosotros y los suprimiremos.

12. Enlaces a otros servicios

El Servicio puede contener enlaces a sitios web, monederos, cadenas de bloques, exploradores de bloques y servicios de terceros que no controlamos, o funcionar con ellos. Se rigen por sus propias políticas de privacidad, y no somos responsables de sus prácticas.

13. Cambios en esta política

Podemos actualizar esta Política de privacidad periódicamente. Publicaremos la nueva versión en esta página con una nueva fecha de entrada en vigor y, si los cambios son importantes, lo comunicaremos a los titulares de cuentas por correo electrónico o en el panel antes de que surtan efecto.

14. Contacto

Para cualquier pregunta o solicitud sobre esta Política de privacidad o sobre sus datos personales, escríbanos a support@orboni.com.