Política de Privacidad
Esta Política de Privacidad explica cómo Greystone B.V., que opera bajo la marca Victaura (en adelante, «Victaura» o «nosotros»), recoge, utiliza, conserva y comparte sus datos personales cuando usted visita victaura.com (el «Sitio»), envía un formulario o se relaciona con nosotros de cualquier otro modo. Tratamos los datos personales de conformidad con el Reglamento General de Protección de Datos (UE) 2016/679 («RGPD») y la ley neerlandesa de aplicación (UAVG). Si tiene cualquier pregunta sobre esta Política, escríbanos a privacy@victaura.com. Esta versión es una traducción; en caso de discrepancia, prevalece la versión inglesa.
Responsable del tratamiento
El responsable del tratamiento es Greystone B.V., una sociedad de responsabilidad limitada neerlandesa (besloten vennootschap met beperkte aansprakelijkheid) constituida en los Países Bajos, que opera bajo la marca Victaura. Los datos registrales obligatorios (número de la Cámara de Comercio / KvK, número de identificación a efectos del IVA, administrador estatutario y domicilio social) están disponibles, previa solicitud, para los interesados que ejerzan sus derechos y para los inversores cualificados. El contacto principal para las cuestiones de protección de datos es privacy@victaura.com.
Hemos evaluado nuestras actividades de tratamiento y hemos determinado que no es necesario designar un delegado de protección de datos conforme al artículo 37 del RGPD, ya que nuestras actividades principales no consisten en operaciones de tratamiento que, por su naturaleza, alcance o fines, requieran una observación habitual y sistemática de interesados a gran escala.
Qué datos personales recogemos
Recogemos las siguientes categorías de datos personales:
(i) Datos que usted nos facilita directamente a través de nuestro formulario de contacto: nombre, apellidos, dirección de correo electrónico, número de teléfono con prefijo internacional, lo que le interesa y los destinos de interés que seleccione (ambos opcionales), mensaje opcional, registro del consentimiento RGPD (gdprConsent) y, si usted lo autoriza, registro del consentimiento de marketing (marketingConsent).
(ii) Datos que usted nos facilita a través de nuestro formulario de consulta para inversores: nombre, apellidos, dirección de correo electrónico, número de teléfono con prefijo internacional, perfil inversor, rango de ticket, los destinos de interés que seleccione y si invierte como particular, sociedad o family office (ambos opcionales), la razón social si invierte a través de una sociedad, mensaje opcional, confirmación de su clasificación como inversor, registro del consentimiento RGPD (gdprConsent) y, si usted lo autoriza, registro del consentimiento de marketing (marketingConsent).
(iii) Datos recogidos automáticamente a través de su navegador: dirección IP, cadena de agente de usuario (user-agent), preferencia de idioma guardada mediante la cookie técnica NEXT_LOCALE y, cuando envía un formulario, la dirección de la página del Sitio desde la que llegó, si su navegador la comunica; y, solo si acepta las cookies de análisis en el banner de cookies, datos de uso recogidos por Google Analytics 4 (páginas visitadas, ubicación aproximada, tipo de dispositivo y de navegador, clics en enlaces de contacto y en enlaces a nuestras páginas de contacto, clics en las fuentes citadas en los artículos, hasta dónde se lee un artículo y si un formulario se ha iniciado, se ha enviado o ha devuelto un error y, cuando se envía el formulario de contacto, el tipo de solicitud elegido en él (compra, inversión o colaboración), nunca lo que usted escribe en los campos), tal como se describe en nuestra Política de Cookies.
(iv) Datos que recibimos de los proveedores de servicios externos que contratamos para ofrecer el Sitio y nuestras comunicaciones.
Finalidades y bases jurídicas del tratamiento
Tratamos sus datos para las siguientes finalidades y sobre las siguientes bases jurídicas del artículo 6 del RGPD:
(a) Responder a consultas generales enviadas a través de nuestro formulario de contacto: la base jurídica es el artículo 6, apartado 1, letra f), del RGPD, nuestro interés legítimo en responder a las personas que se ponen en contacto con nosotros voluntariamente. Hemos ponderado este interés con sus derechos y hemos determinado que no prevalece sobre ellos, dadas las categorías limitadas de datos y la clara expectativa de recibir una respuesta cuando se envía un formulario de contacto.
(b) Tramitar los formularios de consulta para inversores y evaluar la idoneidad de los inversores: la base jurídica es el artículo 6, apartado 1, letra b), del RGPD, tratamiento necesario para la aplicación, a petición suya, de medidas precontractuales.
(c) Evaluar la idoneidad de los inversores para nuestras oportunidades inmobiliarias de valor añadido, incluida la segmentación por perfil, destinos de interés y rango de ticket: la base jurídica es el artículo 6, apartado 1, letra f), del RGPD, nuestro interés legítimo en evaluar la adecuación de los inversores cualificados antes de compartir materiales confidenciales para inversores. Se han ponderado sus intereses y derechos fundamentales, y no prevalecen sobre este interés legítimo, dada la finalidad limitada y las categorías limitadas de datos implicadas.
(d) Enviarle comunicaciones informativas sobre proyectos y oportunidades de inversión de Victaura cuando usted lo haya aceptado: la base jurídica es el artículo 6, apartado 1, letra a), del RGPD, su consentimiento explícito, que puede retirar en cualquier momento escribiendo a privacy@victaura.com o utilizando el enlace para darse de baja incluido en nuestras comunicaciones.
(e) Cumplir las obligaciones de prevención del blanqueo de capitales y de la financiación del terrorismo que nos sean aplicables, cuando proceda (incluida, cuando corresponda, la ley neerlandesa Wet ter voorkoming van witwassen en financieren van terrorisme, «Wwft», y las Directivas de la UE 2015/849, 2018/843 y 2024/1640): la base jurídica es el artículo 6, apartado 1, letra c), del RGPD, cumplimiento de una obligación legal.
(f) Mantener la integridad, la seguridad y la disponibilidad del Sitio: la base jurídica es el artículo 6, apartado 1, letra f), del RGPD, nuestro interés legítimo en prestar un servicio seguro.
(g) Mantener un registro de auditoría de los consentimientos: cuando usted envía un formulario, registramos con fecha y hora el consentimiento que ha dado (fecha y hora, hash de la dirección IP, agente de usuario, versión de la Política de Privacidad, idioma, página del Sitio desde la que llegó, si se comunica, indicadores de consentimiento y tipo de formulario). La base jurídica es el artículo 6, apartado 1, letra c), del RGPD (obligación de responsabilidad proactiva del artículo 5, apartado 2, del RGPD) y el artículo 6, apartado 1, letra f), del RGPD (nuestro interés legítimo en demostrar el cumplimiento).
(h) Medir, de forma agregada, cómo se utiliza el Sitio, con las cookies de análisis de Google Analytics 4: la base jurídica es el artículo 6, apartado 1, letra a), del RGPD, su consentimiento, otorgado en el banner de cookies. Puede retirarlo en cualquier momento desde «Configuración de cookies», al final de cada página, sin que ello afecte a la licitud del tratamiento anterior a la retirada.
(i) Contar, sin cookies, las aperturas de las páginas privadas de presentación que enviamos mediante un enlace directo. Cuando usted abre una de estas páginas registramos la fecha y la hora, la presentación y su idioma, la acción realizada (apertura de la página, descarga del PDF, uso del enlace de contacto o del cambio de idioma, mitad o final de la página alcanzados), el país, la región y la ciudad que nuestro proveedor de alojamiento deduce de su dirección IP, el tipo de dispositivo y de navegador, el sitio web desde el que llegó, si su navegador lo comunica, y las etiquetas de campaña que contenga el enlace. Su dirección IP en sí no se registra. Se utiliza para deducir esa ubicación y, de forma no reversible y mantenida en memoria volátil durante 60 segundos, para limitar los abusos. El recuento no utiliza cookies ni ningún identificador de usted o de su dispositivo, y Google Analytics no funciona en estas páginas. Los registros se conservan junto con nuestro registro de consultas en Google Workspace. La base jurídica es el artículo 6, apartado 1, letra f), del RGPD, nuestro interés legítimo en saber, de forma agregada, si las presentaciones que enviamos se abren y desde dónde.
Cuánto tiempo conservamos sus datos
Datos de contacto y de consultas: se conservan durante 24 meses desde su último envío de un formulario o intercambio de correos electrónicos; después se suprimen o se anonimizan, salvo que se haya iniciado una relación contractual, en cuyo caso la conservación sigue el ciclo de vida del contrato.
Datos de cualificación del inversor: se conservan mientras dure nuestra evaluación precontractual más 24 meses desde su último envío de un formulario o intercambio de correos electrónicos, y después se suprimen o se anonimizan.
Registros KYC y AML, de prevención del blanqueo de capitales (cuando se recojan): se conservan durante 5 años desde el final de la relación de negocios o desde la fecha de la transacción ocasional, de conformidad con las obligaciones aplicables de la Wwft y de las directivas contra el blanqueo de capitales (AMLD).
Registros de auditoría de los consentimientos: se conservan durante 3 años desde la fecha del envío, a efectos de responsabilidad proactiva.
Registros técnicos y de seguridad: se conservan hasta 12 meses para garantizar la integridad operativa y prevenir abusos.
Los datos de Google Analytics 4, recogidos solo con su consentimiento, se eliminan automáticamente, los datos a nivel de evento al cabo de 14 meses y los datos a nivel de usuario 14 meses después de su última visita; los informes estadísticos agregados se conservan.
Estado de limitación de solicitudes en el servidor para los formularios de contacto y de inversores: se conserva en memoria volátil únicamente durante cada ventana móvil de 60 segundos.
Subencargados del tratamiento y destinatarios
Recurrimos a un número limitado de subencargados del tratamiento, seleccionados cuidadosamente, para ofrecer nuestro Sitio y nuestras comunicaciones. Cada subencargado está vinculado por un acuerdo de tratamiento de datos que le obliga contractualmente a tratar los datos personales únicamente siguiendo nuestras instrucciones documentadas.
Nuestros subencargados y otros destinatarios actuales son:
Vercel Inc. (Estados Unidos), alojamiento y distribución en el borde (edge) del Sitio. Base de la transferencia: Marco de Privacidad de Datos UE-EE. UU. (Vercel está autocertificada conforme al DPF).
Cloudflare, Inc. (Estados Unidos), DNS, distribución de contenidos y protección frente a ataques DDoS. Base de la transferencia: cláusulas contractuales tipo (Decisión de Ejecución (UE) 2021/914 de la Comisión).
Resend (Estados Unidos / Países Bajos), envío de correos electrónicos transaccionales. Base de la transferencia: cláusulas contractuales tipo, complementadas con medidas técnicas adicionales (TLS en tránsito, controles de acceso, registros de auditoría) conforme a las recomendaciones del CEPD posteriores a Schrems II.
GitHub, Inc. (Estados Unidos), alojamiento del repositorio de código fuente. Base de la transferencia: Marco de Privacidad de Datos UE-EE. UU. (GitHub está autocertificada conforme al DPF). En el repositorio no se tratan datos personales de los usuarios finales.
Google Ireland Limited (Irlanda) y Google LLC (Estados Unidos), Google Analytics 4, solo con su consentimiento. Base de la transferencia: Marco de Privacidad de Datos UE-EE. UU. (Google LLC está autocertificada conforme al DPF).
Google, como proveedor de Google Workspace, donde se conservan las consultas y nuestro registro de consultas. Cualquier transferencia fuera del Espacio Económico Europeo se basa en las garantías descritas más abajo, en la sección «Transferencias internacionales».
Otras sociedades de nuestro grupo que prestan apoyo administrativo e informático y actúan siguiendo nuestras instrucciones como encargadas del tratamiento.
Transferencias internacionales
Algunos de nuestros subencargados están establecidos fuera del Espacio Económico Europeo. Cuando se transfieren datos personales a un tercer país, nos basamos en las cláusulas contractuales tipo de la Comisión Europea (Decisión de Ejecución (UE) 2021/914 de la Comisión, «CCT») o, cuando proceda, en una decisión de adecuación (incluido el Marco de Privacidad de Datos UE-EE. UU., cuando el destinatario esté autocertificado conforme a dicho marco).
Hemos evaluado el nivel de protección que ofrece cada país de destino a la luz de la sentencia del Tribunal de Justicia de la Unión Europea en el asunto Data Protection Commissioner contra Facebook Ireland Ltd y Maximillian Schrems (C-311/18, «Schrems II»). Cuando las CCT por sí solas no garantizan un nivel de protección esencialmente equivalente, aplicamos medidas técnicas complementarias, que pueden incluir el cifrado de los datos en tránsito y en reposo, la seudonimización, la minimización de los datos transferidos y compromisos contractuales de notificarnos cualquier solicitud de acceso de las autoridades antes de atenderla, en la medida en que lo permita la ley.
Puede solicitar una copia de las garantías de transferencia correspondientes (CCT o certificado DPF) en privacy@victaura.com.
Sus derechos
El RGPD le reconoce los siguientes derechos. Puede ejercer cualquiera de ellos escribiendo a privacy@victaura.com.
Derecho de acceso (artículo 15). Puede pedirnos una copia de los datos personales que tenemos sobre usted.
Derecho de rectificación (artículo 16). Puede pedirnos que corrijamos los datos inexactos o incompletos.
Derecho de supresión (artículo 17). Puede pedirnos que suprimamos sus datos en determinadas circunstancias, por ejemplo cuando ya no sean necesarios para la finalidad para la que se recogieron.
Derecho a la limitación del tratamiento (artículo 18). Puede pedirnos que suspendamos el tratamiento en determinadas circunstancias, por ejemplo mientras verificamos la exactitud de datos que usted ha impugnado.
Derecho a la portabilidad de los datos (artículo 20). Cuando el tratamiento se basa en su consentimiento o en un contrato y se efectúa por medios automatizados, puede pedirnos que le enviemos sus datos, a usted o a otra organización, en un formato estructurado, de uso común y de lectura mecánica.
Derecho de oposición (artículo 21). Puede oponerse en cualquier momento al tratamiento basado en nuestros intereses legítimos. Dejaremos de tratar sus datos salvo que podamos acreditar motivos legítimos imperiosos que prevalezcan sobre sus intereses. También puede oponerse en cualquier momento al tratamiento de sus datos con fines de mercadotecnia directa.
Derechos relacionados con las decisiones automatizadas (artículo 22). No tomamos decisiones sobre usted basadas únicamente en un tratamiento automatizado que produzcan efectos jurídicos o le afecten significativamente de modo similar. Si esto cambiara, actualizaremos esta Política y le reconoceremos el derecho a solicitar una revisión humana.
Derecho a retirar el consentimiento (artículo 7, apartado 3). Cuando nos basemos en su consentimiento, puede retirarlo en cualquier momento, sin que ello afecte a la licitud del tratamiento realizado antes de la retirada. Para las cookies de análisis, utilice «Configuración de cookies», al final de cada página.
Responderemos en el plazo de un mes desde la recepción de su solicitud, tal como exige el artículo 12, apartado 3, del RGPD. También tiene derecho a presentar una reclamación ante una autoridad de control. Nuestra autoridad de control principal es la Autoriteit Persoonsgegevens (Países Bajos), Postbus 93374, 2509 AJ Den Haag, autoriteitpersoonsgegevens.nl. También puede dirigirse al Garante per la protezione dei dati personali (Italia) en garanteprivacy.it.
Seguridad y violaciones de datos
Aplicamos medidas técnicas y organizativas apropiadas para proteger sus datos personales frente al acceso, la alteración, la divulgación y la destrucción no autorizados, entre ellas HTTPS en tránsito, cifrado en reposo cuando lo admiten nuestros subencargados, validación de las entradas en el servidor, limitación de solicitudes en los puntos de envío de formularios y una Política de Seguridad de Contenidos (Content Security Policy) en el Sitio.
En caso de una violación de la seguridad de los datos personales que pueda suponer un riesgo para sus derechos y libertades, la notificaremos a la Autoriteit Persoonsgegevens en un plazo de 72 horas desde que tengamos conocimiento de ella, tal como exige el artículo 33 del RGPD. Si es probable que la violación suponga un alto riesgo para sus derechos y libertades, también se lo comunicaremos a usted sin dilación indebida, tal como exige el artículo 34 del RGPD.
Registro de auditoría de los consentimientos
Cuando usted envía un formulario en el Sitio, registramos una entrada de auditoría del consentimiento que contiene: la fecha y la hora del envío (UTC), un hash unidireccional de su dirección IP (no almacenamos su dirección IP en texto claro), el agente de usuario de su navegador, la versión de esta Política de Privacidad vigente en el momento del envío, el idioma que ha seleccionado, la página del Sitio desde la que llegó (si su navegador la comunica), si ha dado el consentimiento RGPD (gdprConsent), si ha dado el consentimiento de marketing (marketingConsent), su confirmación de clasificación como inversor (en el formulario de inversores) y el tipo de formulario (contacto o inversión). Este registro nos permite demostrar el cumplimiento del principio de responsabilidad proactiva del RGPD (artículo 5, apartado 2, del RGPD).
Cambios en esta Política
Podemos actualizar esta Política de Privacidad periódicamente para reflejar cambios en nuestras actividades de tratamiento, en nuestros subencargados o en la legislación aplicable. La fecha de «Última actualización» que figura al principio de esta página indica la revisión más reciente. Los cambios sustanciales se indicarán de forma visible en el Sitio y, cuando proceda, se comunicarán a los usuarios con los que mantengamos una relación activa.
Contacto
Para cualquier pregunta, solicitud o reclamación relacionada con la privacidad, escríbanos a privacy@victaura.com. Nuestra dirección postal registrada en los Países Bajos está disponible previa solicitud.