Política de privacidad

El responsable del tratamiento de los datos personales recogidos a través de PortCodex es:

Un matiz que cambia quién responde de qué

PortCodex no se contrata desde esta web: se contrata a través de un gestor patrimonial. Es el gestor quien da de alta a su cliente, quien introduce sus datos y quien decide qué carteras se siguen. Esa forma de contratar afecta directamente a los papeles de la normativa de protección de datos: en unos tratamientos PortCodex actúa como responsable y en otros podría estar actuando como encargado del tratamiento por cuenta del gestor, que sería entonces el responsable frente a su cliente.

Casi ningún dato de PortCodex lo escribe el cliente. La mayoría llega por dos vías: se los facilita su gestor patrimonial al darlo de alta, o los lee la propia aplicación de la cadena de bloques a partir de las direcciones que el cliente ha autorizado.

Datos identificativos y de cuenta

Correo electrónico, nombre o identificador de usuario, rol dentro del sistema (cliente, gestor o administración) y la cartera o carteras a las que se tiene acceso. Los aporta el gestor al crear la cuenta. La contraseña la gestiona el proveedor de autenticación y no se almacena en claro en ningún sitio.

Datos patrimoniales y financieros

Direcciones públicas de wallet, posiciones abiertas, saldos por activo y por red, operaciones —aportaciones, retiradas, rendimientos, permutas y cierres—, importes, fechas, plataformas, la clasificación fiscal de cada apunte y los informes generados a partir de todo ello.

Datos técnicos de la sesión

Los estrictamente necesarios para mantener la sesión abierta y para que el servicio funcione: las tres cookies técnicas descritas en la política de cookies y los registros técnicos que generan el alojamiento y la base de datos, propios de cualquier servicio en internet.

No hay analítica. PortCodex no incorpora Google Analytics, ni píxeles de seguimiento, ni herramientas de medición de comportamiento, ni perfilado publicitario.

Datos de quien solicita información

Cuando el formulario de contacto de la portada esté operativo, tratará el nombre, el correo y lo que la persona escriba en el mensaje, con la única finalidad de responder a esa solicitud.

Este apartado va aparte porque es el punto que más se malinterpreta y el que más importa en un servicio como este.

Una dirección pública de blockchain —una cadena de caracteres visible para cualquiera en un registro público— no identifica a nadie por sí sola. Pero en el momento en que PortCodex la asocia a un cliente identificado, esa dirección pasa a ser un dato personal a efectos del RGPD, y con ella todo el historial de operaciones que cuelga de esa dirección: importes, fechas, contrapartes y patrimonio.

Ese historial es, además, información especialmente sensible en la práctica: describe la situación patrimonial de una persona con un nivel de detalle que pocos tratamientos alcanzan. Se trata con esa consideración, aunque no sea una categoría especial de datos de las del artículo 9 del RGPD.

Para leer las posiciones, PortCodex transmite esas direcciones públicas a servicios de terceros: los proveedores de datos on-chain de la sección de destinatarios. No es un detalle técnico menor y no se entierra en una lista: esos terceros reciben la dirección, y por sí mismos no saben de quién es, pero la reciben.

Lo que nunca sale de PortCodex hacia esos servicios es la identidad del cliente: no se les envía su nombre, su correo ni ningún otro dato que los relacione con la dirección consultada.

• Prestar el servicio. Leer las posiciones de las direcciones autorizadas, calcular el patrimonio, mantener el libro de movimientos al día y mostrarlo en la aplicación.
• Llevar la contabilidad de la cartera. Separar el capital aportado del rendimiento generado, seguir el coste de adquisición de cada posición y registrar cada operación con su fecha, su plataforma y su naturaleza.
• Preparar información fiscal orientativa. Clasificar cada operación según su tratamiento tributario, agregar el resultado por bases y casillas de referencia y generar informes exportables. Es un cálculo orientativo, nunca una declaración.
• Gestionar el acceso y la seguridad. Autenticar a quien entra, mantener la sesión, mantener cada cartera aislada de las demás y detectar accesos indebidos.
• Comunicarse con el cliente y con su gestor. Responder a solicitudes y, cuando el envío de correo esté activado, remitir avisos relacionados con el servicio.
• Cumplir obligaciones legales. Conservar la información que la normativa fiscal y mercantil obliga a conservar, y atender los requerimientos de las autoridades competentes.

Ningún tratamiento de los descritos se apoya en un consentimiento genérico marcado en una casilla. Cada finalidad tiene su base:

• Ejecución de un contrato (art. 6.1.b del RGPD), para prestar el servicio contratado: leer posiciones, llevar la contabilidad, generar informes y dar acceso a la aplicación. Sin tratar estos datos no hay servicio que prestar.
• Interés legítimo (art. 6.1.f), para la seguridad de la plataforma — control de accesos, prevención del uso indebido, integridad de los datos — y para responder a quien contacta por iniciativa propia. Cuando el contrato lo firma el gestor y no el cliente final, esta base también sostiene el tratamiento de los datos de ese cliente en el marco de la relación entre ambos.
• Cumplimiento de una obligación legal (art. 6.1.c), para conservar la información con relevancia fiscal y contable durante los plazos que fija la ley y para atender requerimientos de las autoridades.
• Consentimiento (art. 6.1.a), únicamente si en el futuro se ofrece algo que lo requiera —por ejemplo, comunicaciones comerciales—. Sería siempre una acción afirmativa y separada, y revocable en cualquier momento.

Los datos se conservan mientras dure la relación con el cliente y, después, bloqueados durante los plazos en que puedan derivarse responsabilidades. Bloqueados significa conservados pero inaccesibles para el uso ordinario: solo quedan a disposición de jueces, tribunales y administraciones que puedan reclamarlos.

• Datos de cuenta y acceso: mientras la cuenta esté activa. Al darla de baja se suprimen, salvo lo que deba conservarse por los motivos siguientes.
• Operaciones y datos con relevancia fiscal: al menos cuatro años, que es el plazo de prescripción tributaria del artículo 66 de la Ley General Tributaria, contados desde el fin del plazo de presentación de la declaración correspondiente.
• Documentación con relevancia mercantil: hasta seis años, conforme al artículo 30 del Código de Comercio, cuando resulte aplicable al titular.
• Solicitudes de información: el tiempo necesario para atenderlas y, si no derivan en una relación contractual, un plazo razonable para acreditar que fueron atendidas.

PortCodex no vende datos personales ni los cede a terceros con fines comerciales o publicitarios. Los proveedores que aparecen a continuación son los necesarios para que el servicio funcione, y esta lista sale de auditar el código: es lo que la aplicación llama de verdad.

Prestadores de servicio

Proveedores de datos on-chain

Para leer las posiciones de una cartera, PortCodex consulta servicios públicos de datos de blockchain. A todos ellos se les transmite la dirección pública de la wallet, y a ninguno la identidad de su titular.

• Zerion — posiciones y saldos en redes EVM (api.zerion.io).
• Helius y los nodos públicos de Solana — lectura de cuentas y programas en Solana (mainnet.helius-rpc.com, api.mainnet-beta.solana.com).
• Jupiter — precios y datos de mercado en Solana (api.jup.ag, lite-api.jup.ag).
• Blockstream y mempool.space — saldos y transacciones de Bitcoin (blockstream.info, mempool.space).
• dRPC — nodos de acceso a Ethereum, Base, BNB Chain, Arbitrum, Polygon e Hyperliquid (*.drpc.org).
• CoinGecko — precios de referencia de los activos (api.coingecko.com).

Un proveedor que no recibe ningún dato personal

Los tipos de cambio oficiales del Banco Central Europeo se obtienen de api.frankfurter.app. A ese servicio no se le envía ningún dato personal: se le pregunta por el cambio de una divisa en una fecha, y nada más. Se menciona por transparencia y porque la diferencia importa.

Otros destinatarios

• El gestor patrimonial que da acceso al cliente, respecto de la cartera que gestiona. Cada cartera está aislada de las demás: quien accede a una no ve las otras.
• Administraciones públicas, jueces y tribunales, cuando exista una obligación legal de comunicar la información.
• Asesores y auditores del titular, sujetos a deber de confidencialidad, en la medida en que sea necesario.

Conviene decirlo sin rodeos: varios de los proveedores anteriores están establecidos fuera del Espacio Económico Europeo, principalmente en Estados Unidos. Usarlos implica una transferencia internacional de datos.

Estas transferencias se amparan en los mecanismos que prevé el capítulo V del RGPD: una decisión de adecuación de la Comisión Europea cuando el proveedor esté acogido a ella —por ejemplo, el Marco de Privacidad de Datos UE-EE. UU.— o, en su defecto, las cláusulas contractuales tipo aprobadas por la Comisión, junto con las medidas complementarias que procedan.

En el caso de los proveedores de datos on-chain, lo transferido es la dirección pública de una wallet: un dato que ya es público en la propia cadena de bloques y que se envía sin ninguna referencia a la identidad de su titular. Eso no lo excluye del RGPD, pero sitúa el riesgo real de la transferencia.

PortCodex clasifica automáticamente cada operación según su naturaleza técnica para asignarle un tratamiento fiscal de referencia. Esa clasificación es orientativa y revisable: la revisan el titular y su asesor, y el asesor puede recalificarla. No produce por sí sola efectos jurídicos sobre ninguna persona ni decide sobre el acceso al servicio.

PortCodex no elabora perfiles con fines publicitarios, no puntúa a los clientes ni toma decisiones automatizadas que les afecten significativamente en el sentido del artículo 22 del RGPD.

El titular aplica medidas técnicas y organizativas apropiadas al riesgo, conforme al artículo 32 del RGPD. Entre ellas:

• Cifrado del tráfico en tránsito mediante HTTPS en todo el servicio.
• Autenticación gestionada por un proveedor especializado. Las contraseñas no se almacenan en claro y el titular no puede consultarlas.
• Cookies de sesión con el atributo httpOnly, inaccesibles desde JavaScript, lo que reduce el riesgo de robo de sesión.
• Aislamiento entre carteras y control de acceso por rol: quien accede a una cartera no ve las demás.
• Acceso de solo lectura a la cadena de bloques. PortCodex no pide, no guarda y no necesita claves privadas ni frases de recuperación, y no puede firmar ni mover fondos. Una brecha en PortCodex no permitiría a nadie disponer de los activos de un cliente.

Ningún sistema es invulnerable. Si se produjera una violación de seguridad que suponga un riesgo para los derechos de los afectados, se notificará a la autoridad de control y, si el riesgo es alto, a los propios afectados, en los términos de los artículos 33 y 34 del RGPD.

El RGPD reconoce a toda persona los siguientes derechos sobre sus datos. Ejercerlos es gratuito.

• Acceso. Saber qué datos se tratan y obtener una copia.
• Rectificación. Corregir los datos inexactos o completar los incompletos.
• Supresión. Pedir que se borren cuando ya no sean necesarios, con el límite de los plazos legales de conservación.
• Oposición. Oponerse a un tratamiento basado en el interés legítimo, por motivos relacionados con la situación particular.
• Limitación. Pedir que el tratamiento se restrinja mientras se resuelve una impugnación.
• Portabilidad. Recibir los datos en un formato estructurado y de uso común, o pedir que se transmitan a otro responsable.
• Retirar el consentimiento en cualquier momento, cuando el tratamiento se base en él, sin que afecte a la licitud del tratamiento anterior.

Cómo ejercerlos

A través del gestor patrimonial que dio de alta la cartera, indicando qué derecho se quiere ejercer y acompañando una copia de un documento que acredite la identidad. La solicitud se responde en el plazo de un mes, prorrogable por dos más si su complejidad lo exige, en cuyo caso se avisará dentro del primer mes.

Si el acceso a PortCodex se obtuvo a través de un gestor patrimonial, la solicitud también puede dirigirse a él. Como se ha advertido en la primera sección, el reparto de papeles entre PortCodex y el gestor está pendiente de cierre jurídico; en la práctica, escribir a cualquiera de los dos vale, y la solicitud se encauzará a quien corresponda.

Si consideras que el tratamiento de tus datos no se ajusta a la normativa, o si no quedaste satisfecho con la respuesta a un derecho, puedes presentar una reclamación ante la Agencia Española de Protección de Datos, que es la autoridad de control competente en España.

No hace falta haber reclamado antes al responsable para acudir a la Agencia, aunque escribir primero suele ser más rápido.

Esta política se actualizará cuando cambien los tratamientos, los proveedores o la normativa aplicable. La versión vigente es siempre la publicada en esta página, con su fecha de actualización en la cabecera. Si un cambio afectara de forma sustancial al tratamiento, se comunicará por los medios de contacto disponibles y no solo mediante esta publicación.