Declaración de privacidad

1 Acerca de esta Declaración de privacidad

Esta Declaración de privacidad explica cómo el Grupo Fourthline (según se define más adelante) recopila y trata sus datos personales. Describe qué datos personales tratamos, con qué fines, sobre qué bases jurídicas, durante cuánto tiempo los conservamos y qué derechos tiene usted.

Esta Declaración de privacidad se aplica cuando usted:

• visita o interactúa con nuestros sitios web, portales o aplicaciones (conjuntamente: los «Sitios web»);

• utiliza nuestros Servicios (según se definen más adelante);

• visita nuestras oficinas;

• es incorporado como cliente a través de empresas que utilizan nuestros Servicios (los «Socios comerciales») cuyos servicios financieros desea utilizar; o

• es representante de uno de nuestros Socios comerciales, clientes potenciales, proveedores o suministradores.

Esta Declaración de privacidad contiene los siguientes apartados:

1. Acerca de esta Declaración de privacidad

2. Quiénes somos

3. Legislación aplicable

4. Cómo recopilamos sus datos personales

5. Fines del tratamiento, categorías de datos personales y bases jurídicas

6. Decisiones automatizadas

7. Uso de inteligencia artificial

8. Menores

9. Con quién compartimos sus datos y por qué

10. Cookies

11. Sus derechos

12. Su obligación de facilitar datos

13. Durante cuánto tiempo conservamos sus datos personales

14. Cómo protegemos sus datos personales

15. Cómo puede ayudar a mantener sus datos seguros

16. Contacto

Podemos actualizar esta Declaración de privacidad periódicamente para reflejar cambios en la legislación aplicable o en nuestras actividades de tratamiento. La versión más reciente está siempre disponible en nuestro Sitio web. Le recomendamos consultar esta página con regularidad.

2 Quiénes somos

2.1 Grupo Fourthline

El Grupo Fourthline presta servicios de verificación de identidad, prevención del fraude y servicios relacionados (los «Servicios»), ayudando a las entidades financieras a verificar la identidad de sus clientes para cumplir sus obligaciones regulatorias conforme a la legislación aplicable en materia de prevención del blanqueo de capitales (AML).

A efectos de esta Declaración de privacidad, el «Grupo Fourthline» se refiere exclusivamente a las dos entidades siguientes, cada una de las cuales actúa como responsable independiente del tratamiento de sus datos personales, según el contexto:

Fourthline Payments es una entidad de pago regulada, autorizada por el Banco Central de los Países Bajos (De Nederlandsche Bank N.V. (DNB)) para prestar Servicios de pago. También permite a otras entidades financieras basarse en la diligencia debida con respecto al cliente realizada por Fourthline Payments de conformidad con la legislación neerlandesa en materia de prevención del blanqueo de capitales.

Fourthline también presta Servicios de verificación de identidad, prevención del fraude y servicios relacionados en régimen de externalización a sus Socios comerciales. En esos casos, Fourthline actúa generalmente como encargado del tratamiento por cuenta del Socio comercial correspondiente, y el tratamiento de datos personales en esa condición no está cubierto por esta Declaración de privacidad. No obstante, cuando Fourthline trata datos personales como responsable independiente del tratamiento con el fin de mejorar sus Servicios, dicho tratamiento sí está cubierto por esta Declaración de privacidad, según se detalla en el apartado 2.1.2 siguiente.

Cuando esta Declaración de privacidad se refiere a «nosotros», «nos» o «nuestro/a», se refiere a cualquiera de estas entidades o a ambas, según exija el contexto. Cuando un apartado específico se aplica solo a una entidad, se indica expresamente.

2.2 ¿Qué entidad es responsable de sus datos?

• Fourthline Payments es el responsable del tratamiento de todos los datos personales relacionados con su incorporación como cliente de Fourthline Payments y/o con la prestación de Servicios de pago (el «Cliente»).

• Tanto Fourthline como Fourthline Payments son responsables independientes del tratamiento de sus datos personales relacionado con la mejora de sus respectivos Servicios.

3 Legislación aplicable

El Grupo Fourthline trata con la debida diligencia los datos personales que recibe a través de sus Sitios web y por cualquier otro medio. Tratamos los datos personales de conformidad con:

• el Reglamento General de Protección de Datos (Reglamento (UE) 2016/679) (el «RGPD»); y

• la Ley neerlandesa de aplicación del RGPD (Uitvoeringswet Algemene verordening gegevensbescherming).

4 Cómo recopilamos sus datos personales

Podemos recibir sus datos personales de las siguientes formas:

• directamente de usted, cuando utiliza nuestros Servicios o se comunica con nosotros por correo electrónico, teléfono u otros medios electrónicos;

• de los Socios comerciales, es decir, empresas cuyos servicios financieros desea utilizar y que contratan a Fourthline para verificar su identidad; y

• de proveedores de datos externos, como proveedores de listas de sanciones, listas de financiación del terrorismo y listas de personas expuestas políticamente (PEP).

5 Fines del tratamiento, categorías de datos personales y bases jurídicas

Los datos personales son cualquier información que se refiere a usted o que puede vincularse a usted. A continuación describimos, para cada fin, qué datos personales tratamos y sobre qué base jurídica.

5.1 Verificación de identidad y comprobación AML

5.1.1 Fin del tratamiento

Como entidad de pago autorizada, Fourthline Payments está legalmente obligada a verificar la identidad de sus Clientes y a contrastarlos con las listas de vigilancia aplicables antes y durante una relación de negocios. Esta obligación deriva, entre otras, de la Ley neerlandesa de prevención del blanqueo de capitales y de la financiación del terrorismo (Wet ter voorkoming van witwassen en financieren van terrorisme, la «Wwft») y de la Ley neerlandesa de sanciones (Sanctiewet 1977). Esto incluye el uso de IA con este fin; consulte el apartado 8 para más información.

En la práctica, estos requisitos consisten en dos comprobaciones distintas pero relacionadas:

1. Verificación de identidad - confirmar que usted es quien dice ser:

   • ¿Quién es usted? Comprobamos que usted es quien dice ser. Para ello, usted toma una foto de su documento de identidad (como un pasaporte o un DNI) y un selfie y/o un vídeo breve de su rostro. Los comparamos para asegurarnos de que el documento le pertenece y de que está físicamente presente durante la comprobación. Además, evaluamos si el documento es totalmente visible y legible, y verificamos si contiene las características (de seguridad) esperadas.

   • ¿Es auténtico su documento? Comprobamos que su documento de identidad es real y no ha sido manipulado ni falsificado. También examinamos determinadas características del documento, como el diseño y los datos impresos.

   • ¿Cuál es su puntuación de riesgo de verificación de identidad? A partir de las comprobaciones de identidad y de documento descritas anteriormente, calculamos una puntuación de riesgo global para su verificación. Esta puntuación es el resultado de varias comprobaciones que abarcan factores como su identidad, la autenticidad del documento, indicadores geográficos y señales de cumplimiento. Cada comprobación aporta un valor ponderado a la puntuación total. La puntuación final determina si se le clasifica como riesgo bajo, medio, alto o inaceptable, y sobre esa base determinamos si podemos aceptarle como Cliente.

2. Comprobación AML - evaluar si usted representa un riesgo de delincuencia financiera:

   • ¿Figura usted en una lista (de vigilancia)? Comprobamos si su nombre y sus datos personales coinciden con los de una persona incluida en las listas de sanciones aplicables, en listas de vigilancia de personas expuestas políticamente (PEP) o en artículos de prensa negativos. Si sus datos coinciden con alguien de una de estas listas, investigamos más a fondo para determinar si realmente es la misma persona.

   • ¿Cuál es su puntuación de riesgo de comprobación AML? Cuando sus datos personales parecen coincidir con los de una persona incluida en una lista de vigilancia, evaluamos por separado la probabilidad de que usted sea realmente la misma persona que la incluida en la lista. Para ello, comparamos sus datos personales (como nombre, fecha de nacimiento, edad, ubicación, nacionalidad, sexo y lugar de nacimiento) con los de la persona incluida en la lista. A cada dato se le asigna una puntuación ponderada según el grado de coincidencia, lo que produce una puntuación global de riesgo de coincidencia que determina si podemos aceptarle como Cliente.

5.1.2 Datos personales utilizados

Dependiendo del Socio comercial cuyos servicios financieros desee utilizar, podemos tratar los siguientes datos personales:

• Datos básicos de identidad: nombre completo, fecha de nacimiento, lugar de nacimiento, nacionalidad, sexo, fotografías selfie y grabaciones de vídeo, dirección, dirección de correo electrónico y número de teléfono;

• Datos del documento de identidad: tipo de documento, foto del documento (anverso y reverso), número de documento, fecha de expedición, fecha de caducidad, país de expedición, autoridad expedidora;

• Datos biométricos: geometría facial extraída de las fotografías selfie y grabaciones de vídeo y puntuación de similitud facial derivada (datos de categoría especial conforme al art. 9 del RGPD);

• Datos de comprobación AML: condición de PEP, cualquier inclusión en una lista de sanciones, cualquier artículo de prensa negativo relacionado con usted. Los datos relativos a usted (como nombre, fecha de nacimiento, nacionalidad, sexo, ubicación y lugar de nacimiento) se comparan con bases de datos de listas de vigilancia, incluidas listas de sanciones, listas de PEP y artículos de prensa negativos.

• Datos derivados e inferidos: puntuaciones de riesgo KYC, resultados de verificación y otros resultados generados por los algoritmos o procesos analíticos de Fourthline;

• Datos de comunicación: correspondencia entre usted y Fourthline.

5.1.3 Base jurídica y categorías especiales de datos

La base jurídica para el tratamiento de sus datos personales con fines de verificación de identidad y comprobación AML depende del tipo de datos tratados:

• El tratamiento de sus datos de identidad y de documento, datos de comprobación AML y datos derivados e inferidos se basa en una obligación legal, concretamente nuestras obligaciones conforme a la Wwft y la Sanctiewet 1977 de aplicar la diligencia debida con respecto al cliente y contrastar a los clientes con las listas de vigilancia aplicables.

• El tratamiento de sus datos biométricos se basa en la ejecución de un contrato. La verificación biométrica es necesaria para establecer su identidad como parte del proceso de establecimiento de una relación con usted como Cliente. Aunque la Wwft nos obliga a verificar su identidad, no prescribe el método para hacerlo. Utilizamos la verificación biométrica porque es el método más fiable y proporcionado para verificar la identidad en un contexto de incorporación a distancia.

Dado que los datos biométricos constituyen una categoría especial de datos personales conforme al artículo 9 del RGPD, nos amparamos adicionalmente en la excepción de interés público esencial (art. 9, apartado 2, letra g) del RGPD) para el tratamiento de sus datos biométricos, concretamente con el fin de autenticar su identidad en relación con nuestras obligaciones legales de diligencia debida con respecto al cliente y con fines de seguridad relacionados.

5.2 Servicios de pago

5.2.1 Fin del tratamiento

Cuando Fourthline Payments le presta servicios de pago como Cliente, es necesario tratar determinados datos personales para ejecutar y administrar las operaciones de pago. Esto incluye iniciar, procesar y registrar operaciones de pago en su nombre.

5.2.2 Datos personales utilizados

• Nombre, apellidos y dirección;

• Número de cuenta bancaria internacional (IBAN); e

• Indicadores de transacción e información relacionada.

5.2.3 Base jurídica

La base jurídica para el tratamiento de sus datos personales con este fin es la ejecución de un contrato: estos datos son necesarios para ejecutar los servicios de pago que usted ha solicitado. No se tratan categorías especiales de datos personales con este fin.

5.3 Detección y prevención del fraude

5.3.1 Fin del tratamiento

Los delincuentes que quieren utilizar cuentas bancarias y otros sistemas financieros para actividades ilegales a veces intentan acceder a una cuenta financiera de forma fraudulenta. Para proteger nuestros propios intereses, los de nuestros Socios comerciales y sus clientes, y la integridad del sistema financiero en general, tratamos datos personales para detectar y prevenir el fraude de identidad, lo que incluye las copias de seguridad de estos datos. Utilizamos IA con este fin; consulte el apartado 8.

En la práctica, esto significa que realizamos las siguientes comprobaciones:

• ¿Parece sospechosa esta solicitud? Nuestros sistemas analizan automáticamente cada verificación para detectar patrones habitualmente asociados a intentos de fraude. Estos patrones incluyen, por ejemplo, indicios de manipulación del documento, incoherencias entre la foto del documento y el selfie, o datos del dispositivo o de ubicación.

• ¿Se ha visto antes a esta persona o este documento? Comprobamos si un documento de identidad o una combinación de datos personales ha sido previamente señalado o utilizado en un intento de fraude sospechoso o confirmado. Esto nos ayuda a detectar casos en los que el mismo documento fraudulento o la misma identidad se utiliza varias veces en distintos intentos de incorporación.

• ¿Es necesaria una revisión humana? Si nuestros sistemas indican que una verificación puede ser fraudulenta, analistas formados de Fourthline revisan el caso manualmente. El analista evalúa si el expediente es realmente fraudulento o si fue señalado incorrectamente. Solo un ser humano toma la decisión final.

• ¿Qué ocurre si se confirma el fraude? Si nuestro analista confirma que se ha producido un fraude y que los datos personales implicados pertenecen a un autor, registramos y conservamos esta información. Esto nos permite protegernos frente a futuros intentos de fraude con la misma identidad y respaldar cualquier procedimiento judicial posterior. Conservamos estos datos durante un máximo de ocho años.

5.3.2 Datos personales utilizados

Esto puede implicar los siguientes datos personales:

• Características del documento;

• Características del selfie y del vídeo;

• Datos de red y conectividad;

• Datos de ubicación;

• Nacionalidad y geografía;

• Características del dispositivo;

• Datos de los sensores de movimiento del dispositivo;

• Resultados de comprobaciones cruzadas;

• Señales de riesgo y cumplimiento;

• Puntuaciones de riesgo; e

• Identificadores de cliente y marcas de tiempo.

5.3.3 Base jurídica y categorías especiales de datos

La base jurídica para el tratamiento de datos con este fin es el interés legítimo, que es triple:

• El interés propio de Fourthline Payments: protegerse frente al uso fraudulento de su plataforma y Servicios, incluidos los daños financieros y reputacionales;

• El interés de los Socios comerciales: proteger a las entidades financieras frente a la incorporación de clientes fraudulentos, lo que podría exponerlas a sanciones regulatorias y a la delincuencia financiera; y

• El interés público más amplio: prevenir la delincuencia financiera y el fraude de identidad en general, en consonancia con los objetivos de la legislación AML/KYC.

Nuestra justificación para tratar datos personales relativos a infracciones penales es determinar si prestamos o no un Servicio a usted como Cliente (potencial) y proteger nuestros intereses respecto a infracciones penales que se hayan cometido o puedan cometerse contra Fourthline Payments.

La excepción aplicable al tratamiento de sus datos biométricos con este fin es un interés público esencial, concretamente proteger el interés público más amplio en la prevención de la delincuencia y del fraude de identidad en general, en consonancia con los objetivos de la legislación AML/KYC.

Para garantizar la exactitud de los datos personales relativos a infracciones, nuestro equipo de aseguramiento de la calidad realiza comprobaciones periódicas por muestreo.

5.4 Bóveda KYC personal (Personal KYC Vault)

5.4.1 Fin del tratamiento

Como parte de sus Servicios, Fourthline Payments ofrece una Bóveda KYC personal segura (Personal KYC Vault). Se trata de un espacio de almacenamiento seguro en el que sus datos personales verificados se conservan en su nombre, de modo que puedan reutilizarse en futuros procesos de verificación de identidad sin que tenga que pasar de nuevo por el proceso completo de verificación.

5.4.2 Datos personales utilizados

Con este fin tratamos los siguientes datos personales:

• Datos básicos de identidad: nombre completo, fecha de nacimiento, lugar de nacimiento, nacionalidad, sexo, fotografías selfie y grabaciones de vídeo, dirección, dirección de correo electrónico y número de teléfono;

• Datos del documento de identidad: tipo de documento, foto del documento (anverso y reverso), vídeo del documento, número de documento, fecha de expedición, fecha de caducidad, país de expedición, autoridad expedidora;

• Datos biométricos: geometría facial extraída de las fotografías selfie y grabaciones de vídeo y puntuación de similitud facial derivada (datos de categoría especial conforme al art. 9 del RGPD); y

• Datos derivados e inferidos: puntuaciones de riesgo KYC, resultados de verificación y otros resultados generados por los algoritmos o procesos analíticos de Fourthline.

5.4.3 Base jurídica y categorías especiales de datos

La base jurídica para el tratamiento de sus datos personales con este fin es la ejecución del contrato con usted: el almacenamiento de sus datos de identidad verificados es necesario para prestar el servicio KYC Vault que ha solicitado. No se tratan categorías especiales de datos personales exclusivamente con este fin más allá de lo ya recopilado y verificado como parte del proceso de verificación de identidad descrito en el apartado 5.1.3.

5.5 Entrenamiento y mejora de sistemas de IA

5.5.1 Fin del tratamiento

A medida que los delincuentes adoptan técnicas cada vez más sofisticadas para abusar del sistema financiero, el Grupo Fourthline trabaja continuamente para mejorar la precisión, seguridad y fiabilidad de sus Servicios. Una parte central de ello es el entrenamiento y la mejora de los sistemas de IA que sustentan nuestras capacidades de verificación de identidad y detección del fraude.

Tanto Fourthline como Fourthline Payments utilizan datos personales de verificaciones reales para entrenar y mejorar sus modelos de IA, incluidos modelos para:

• Autenticación de documentos: detectar si un documento de identidad es auténtico o fraudulento;

• Reconocimiento de documentos: identificar tipos de documento y extraer los campos relevantes;

• Detección de vida (liveness): verificar que la persona que presenta el documento está físicamente presente;

• Reconocimiento facial: cotejar una fotografía selfie con la foto de un documento de identidad;

• Detección del fraude: identificar patrones asociados a intentos de incorporación fraudulentos.

Este proceso implica a analistas humanos (anotadores) que revisan y etiquetan datos de identidad, por ejemplo marcando zonas de interés en las fotos de documentos o evaluando si un documento parece auténtico. Los conjuntos de datos anotados resultantes se utilizan después para entrenar y validar los modelos de IA. El acceso a los datos utilizados con fines de entrenamiento está estrictamente controlado y limitado exclusivamente al personal autorizado.

5.5.2 Datos personales utilizados

Utilizamos los siguientes datos personales con estos fines:

• Su nombre, apellidos, fecha de nacimiento, lugar de nacimiento y dirección;

• Sus fotografías (selfies) y grabaciones de vídeo;

• Su documento de identidad, incluidos la foto y el vídeo del documento, la zona de lectura mecánica (MRZ), la zona de inspección visual (VIZ), el número de documento, la fecha de expedición, la fecha de caducidad, y el país y la autoridad de expedición;

• Datos de ubicación; y

• Metadatos técnicos asociados a su sesión de verificación, como el sistema operativo del dispositivo, los datos del navegador y los sensores del dispositivo.

5.5.3 Base jurídica

La base jurídica para el tratamiento de datos con este fin es un interés legítimo: nuestro interés en mantener y mejorar Servicios de verificación de identidad seguros, precisos y resistentes al fraude. Esto se aplica tanto a Fourthline como a Fourthline Payments.

5.6 Marketing y comunicación

5.6.1 Fin del tratamiento

Podemos utilizar datos personales de representantes de Socios comerciales, clientes empresariales potenciales y otros contactos profesionales para enviar información sobre nuestros productos, Servicios y novedades, como boletines, invitaciones a eventos y comunicaciones similares. Este marketing no está dirigido a los usuarios finales individuales de nuestros Servicios.

5.6.2 Datos personales utilizados

Utilizamos los siguientes datos personales con estos fines:

• Nombre, apellidos, dirección de correo electrónico, cargo.

5.6.3 Base jurídica

La base jurídica para el tratamiento de datos personales con este fin es el consentimiento o el interés legítimo, según la naturaleza de la comunicación y las normas aplicables de la legislación neerlandesa de telecomunicaciones.

Puede oponerse en cualquier momento a recibir comunicaciones de marketing utilizando la opción de baja en nuestros mensajes o contactándonos en dpo@fourthline.com.

5.7 Copias de seguridad y continuidad del negocio

5.7.1 Fin del tratamiento

Como entidad de pago autorizada, Fourthline Payments está obligada, en virtud del artículo 12 del Reglamento de resiliencia operativa digital (Reglamento (UE) 2022/2554, «DORA»), a desarrollar, documentar y mantener políticas y procedimientos de copia de seguridad para garantizar la restauración de sus sistemas y datos de TIC con el mínimo tiempo de inactividad, perturbación y pérdida en caso de incidente. Fourthline cumple esta obligación en nombre de ambas entidades como parte de su función de proveedor de servicios de TIC dentro del Grupo Fourthline.

Los datos de copia de seguridad se almacenan en sistemas separados física y lógicamente de los sistemas principales, sujetos a los mismos controles de acceso, normas de cifrado y medidas de seguridad que los datos originales, y no se utilizan para ningún fin distinto de la restauración y recuperación. Los procedimientos de copia de seguridad y los métodos de restauración se prueban periódicamente de conformidad con nuestras obligaciones de continuidad del negocio en materia de TIC conforme a DORA.

Los datos de copia de seguridad se conservan durante el mismo periodo que los datos originales a los que se refieren, de acuerdo con nuestra Política de conservación de la información, y se eliminan cuando los datos subyacentes alcanzan el final de su periodo de conservación.

5.7.2 Datos personales utilizados

Para cumplir nuestras obligaciones conforme a DORA, mantenemos copias de seguridad de todos los datos esenciales para la restauración de nuestros Servicios y el cumplimiento de nuestras obligaciones regulatorias. Esto incluye todos los datos personales mencionados en el capítulo 5.1.

5.7.3 Base jurídica y categorías especiales de datos

La base jurídica para el tratamiento de los datos personales mencionados en el apartado 5.1 con este fin es una obligación legal conforme a DORA.

La excepción aplicable al tratamiento de datos biométricos con este fin es un interés público esencial, coherente con nuestras obligaciones en materia de AML y verificación de identidad.

5.8 Videovigilancia

5.8.1 Fin del tratamiento

Fourthline utiliza cámaras de videovigilancia en sus oficinas con el fin de proteger sus instalaciones, salvaguardar la seguridad de empleados, visitantes y activos, y prevenir y detectar accesos no autorizados, robos u otros incidentes de seguridad. Solo se accede a las grabaciones de videovigilancia en caso de incidente de seguridad o a petición legítima de las autoridades policiales.

5.8.2 Datos personales utilizados

• Grabaciones de vídeo y fotos de las personas presentes en las instalaciones de Fourthline, incluidos visitantes y empleados.

5.8.3 Base jurídica

Nuestra base jurídica para este tratamiento es el interés legítimo, en concreto nuestro interés en proteger nuestras instalaciones y garantizar la seguridad de las personas y activos presentes en ellas.

5.9 Ventas y generación de oportunidades comerciales

5.9.1 Fin del tratamiento

Fourthline trata datos personales de representantes de Socios comerciales potenciales en el contexto de actividades comerciales, incluidas la identificación y el contacto con clientes potenciales, la respuesta a consultas entrantes, la preparación de propuestas comerciales y la gestión del pipeline de ventas. El objetivo es establecer nuevas relaciones comerciales con entidades financieras y otras entidades reguladas que puedan beneficiarse de los Servicios de Fourthline.

5.9.2 Datos personales utilizados

• Nombre, cargo, empleador y datos de contacto profesionales (dirección de correo electrónico, número de teléfono, perfil de LinkedIn, dirección profesional) de representantes de Socios comerciales potenciales;

• Registros de interacciones comerciales, reuniones, llamadas y correspondencia; e

• Información compartida por el Socio comercial potencial en el contexto de conversaciones exploratorias.

5.9.3 Base jurídica

Nuestra base jurídica para este tratamiento es el interés legítimo, en concreto nuestro interés en hacer crecer nuestro negocio e identificar organizaciones que puedan beneficiarse de nuestros Servicios.

5.10 Gestión y negociación de contratos

5.10.1 Fin del tratamiento

En el contexto de la negociación, celebración, ejecución y gestión de contratos con Socios comerciales, proveedores y suministradores, Fourthline trata datos personales de las personas físicas que actúan como personas de contacto o representantes de dichas organizaciones. Esto incluye gestionar la correspondencia, mantener los registros contractuales y hacer seguimiento de las obligaciones contractuales.

5.10.2 Datos personales utilizados

• Nombre, cargo y datos de contacto profesionales (dirección de correo electrónico, número de teléfono, dirección profesional) de las personas de contacto en Socios comerciales, proveedores y suministradores;

• Correspondencia y registros de comunicación relacionados con la negociación y ejecución de contratos; y

• Firmas en contratos y documentos relacionados.

5.10.3 Base jurídica

Cuando el interesado actúa como representante o persona de contacto de una persona jurídica que es parte del contrato, nuestra base jurídica es el interés legítimo, en concreto nuestro interés en poder ejecutar y administrar nuestras relaciones contractuales.

5.11 Visitantes del sitio web

5.11.1 Fin del tratamiento

Cuando visita el sitio web de Fourthline, recopilamos determinados datos técnicos y de comportamiento para garantizar el correcto funcionamiento del sitio web, analizar cómo interactúan los visitantes con nuestro contenido y mejorar la experiencia del usuario. Este tratamiento se describe con más detalle en la política de cookies recogida en el apartado 8 de esta Declaración de privacidad.

5.11.2 Datos personales utilizados

• Dirección IP y ubicación aproximada derivada de ella;

• Tipo de navegador, sistema operativo e información del dispositivo;

• Páginas visitadas, tiempo de permanencia en las páginas, patrones de clic y fuente de referencia; e

• Identificadores de cookies y datos de seguimiento similares (sujetos a consentimiento cuando sea necesario).

5.11.3 Base jurídica

Nuestra base jurídica para el tratamiento estrictamente necesario es el interés legítimo, en concreto nuestro interés en el correcto funcionamiento y la seguridad de nuestro sitio web. Para las cookies analíticas y de seguimiento, nuestra base jurídica es el consentimiento, obtenido a través del banner de cookies que se muestra en su primera visita.

6 Decisiones automatizadas

El cálculo de su puntuación de riesgo y la determinación inicial de si requiere una investigación adicional pueden realizarse de forma automatizada, incluso mediante el uso de sistemas de IA (véase el capítulo siguiente).

En determinados casos, su verificación puede concluirse automáticamente sin revisión humana adicional. Esto ocurre cuando:

• su verificación da lugar a una devolución (sendback), lo que significa que las fotos o los datos enviados no cumplen las normas de calidad exigidas y se le invita a intentarlo de nuevo. Una devolución no constituye un rechazo y no tiene consecuencias negativas para usted;

• usted no cumple los requisitos obligatorios de elegibilidad impuestos por la legislación aplicable, por ejemplo cuando se encuentra en un país sujeto a sanciones u otras restricciones legales. En estos casos, Fourthline no toma ninguna decisión: el resultado es una consecuencia jurídica directa de la legislación aplicable, y Fourthline no dispone de discrecionalidad para decidir de otro modo; y

• los servicios financieros que solicita no están disponibles en su país, porque el Socio comercial correspondiente no los ha puesto a disposición allí. En estos casos, el resultado refleja el alcance de los servicios ofrecidos por el Socio comercial, no una decisión tomada por Fourthline sobre usted personalmente.

En todos los demás casos en que su puntuación de riesgo indique que el rechazo puede estar justificado, la decisión final la toma siempre un analista humano. El artículo 22 del RGPD, que le otorga el derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, no se aplica a las devoluciones ni a los resultados impuestos legalmente, ya que estos o bien no tienen efectos jurídicos negativos para usted o bien no constituyen una decisión de Fourthline.

7 Uso de inteligencia artificial

Utilizamos inteligencia artificial («IA») como parte de nuestros Servicios de verificación de identidad y prevención del fraude, según se describe en los apartados 5.1, 5.2 y 5.3. Queremos ser transparentes sobre cómo funciona esto en la práctica.

No utilizamos grandes modelos de lenguaje («LLM») ni IA generativa, como ChatGPT, Gemini o herramientas similares, en ninguna parte de nuestro proceso de verificación de identidad. Sus datos personales no son tratados por ningún modelo de IA disponible públicamente o explotado comercialmente, ni se utilizan para entrenarlo. Esto significa que sus datos personales no se incorporan ni se conservan en un gran modelo de IA de propósito general.

En su lugar, operamos modelos de IA propietarios de alcance limitado, cada uno desarrollado internamente para una tarea específica y bien definida. Algunos ejemplos son:

• determinar si un documento de identidad es auténtico;

• verificar que un selfie coincide con la foto de un documento de identidad; o

• detectar si un vídeo se grabó en directo.

Cada modelo recibe únicamente los datos que necesita estrictamente para su tarea específica y produce un resultado fijo y determinista, como un resultado de aprobado/no aprobado o una puntuación acotada. Ningún modelo es capaz de realizar tareas fuera de su ámbito definido.

Sus datos se tratan dentro de este entorno cerrado y controlado. Nuestros sistemas de IA están totalmente alojados en nuestra propia infraestructura y nunca se ponen a disposición de terceros como modelos independientes. El acceso a los datos personales está restringido, registrado y regido por controles estrictos basados en funciones.

Los resultados de la IA sirven como señales dentro de un sistema de verificación más amplio. Según el resultado del proceso de verificación, su verificación puede completarse automáticamente o remitirse para su revisión a un analista humano formado, de conformidad con nuestros procedimientos controlados. Cualquier determinación de manipulación de documentos de identidad, suplantación (spoofing), deepfakes u otro fraude de identidad es confirmada por dicho analista humano formado.

8 Menores

Nuestros Servicios no están dirigidos directamente a menores (personas de menos de 18 años). No obstante, dependiendo de la naturaleza de los servicios financieros ofrecidos por un Socio comercial, podemos tratar datos personales de menores, por ejemplo cuando un Socio comercial ofrece productos o servicios financieros accesibles a menores y nos solicita que realicemos la verificación de identidad en consecuencia. En estos casos, el tratamiento de los datos personales del menor se realiza sobre las mismas bases jurídicas y conforme a las mismas normas descritas en esta Declaración de privacidad.

9 Con quién compartimos sus datos y por qué

Solo compartimos sus datos personales cuando es necesario y siempre garantizamos que existan las salvaguardias adecuadas. Cuando compartimos datos con partes fuera del EEE, nos basamos en decisiones de adecuación, el Marco de Privacidad de Datos UE-EE. UU. o las Cláusulas Contractuales Tipo de la UE.

9.1 Dentro del Grupo Fourthline

A efectos de esta Declaración de privacidad, el Grupo Fourthline incluye dos entidades que comparten datos personales entre sí con fines operativos, regulatorios y de información. La base jurídica y la naturaleza de dicho intercambio dependen del contexto.

9.1.1 Fines de verificación de identidad

Fourthline Payments actúa como responsable del tratamiento para la verificación de identidad y la comprobación AML. Los datos personales recopilados en este contexto son tratados por Fourthline Payments y compartidos con Fourthline en la medida necesaria para la prestación de los servicios de identidad y verificación, incluida la provisión de la infraestructura técnica y los servicios de soporte necesarios para ello. En este contexto, Fourthline actúa como encargado del tratamiento por cuenta de Fourthline Payments, en virtud de un acuerdo de servicios intragrupo.

9.1.2 Fines de entrenamiento de modelos de IA

Fourthline es responsable del desarrollo y entrenamiento de los sistemas de IA que sustentan los Servicios del Grupo Fourthline (véase el apartado 5.2 para más información). Para ello, los datos personales recopilados por Fourthline Payments en el contexto de la verificación de identidad se transfieren a Fourthline para su uso como datos de entrenamiento. Al recibir estos datos, Fourthline actúa como responsable independiente del tratamiento con fines de entrenamiento de modelos de IA, ya que determina de forma independiente los fines y medios de dicho tratamiento.

Esta transferencia intragrupo está formalizada mediante un acuerdo intragrupo de intercambio de datos y se realiza sobre la base del interés legítimo de Fourthline en mantener y mejorar Servicios de verificación de identidad seguros, precisos y resistentes al fraude. La transferencia no da lugar a que sus datos personales se utilicen para fines distintos de los descritos en el apartado 5.2 de esta Declaración de privacidad.

9.1.3 Salvaguardias

Todas las transferencias intragrupo de datos personales se rigen por un acuerdo intragrupo que incluye las salvaguardias adecuadas en materia de protección de datos. Los datos personales compartidos dentro del Grupo Fourthline están sujetos a las mismas medidas de seguridad técnicas y organizativas descritas en el apartado 14 de esta Declaración de privacidad y no se utilizan para ningún fin distinto de los aquí descritos.

9.2 Socios comerciales

Compartimos sus datos personales con el Socio comercial a través del cual se está incorporando, en la medida necesaria para la prestación de nuestros Servicios y el cumplimiento de las propias obligaciones regulatorias del Socio comercial.

9.3 Autoridades públicas y reguladores

Como entidad de pago autorizada, Fourthline Payments está sujeta a la supervisión del Banco Central de los Países Bajos (De Nederlandsche Bank, DNB) y de otras autoridades competentes. Tanto Fourthline como Fourthline Payments pueden estar obligadas o autorizadas a compartir sus datos personales con las siguientes partes:

• Autoridades de supervisión y regulación, incluido el DNB como autoridad de supervisión prudencial de Fourthline Payments, la Autoridad neerlandesa de los Mercados Financieros (Autoriteit Financiële Markten, AFM), otros organismos nacionales de supervisión dentro del EEE cuando lo exija la legislación aplicable, y las autoridades de protección de datos, incluida la Autoridad neerlandesa de Protección de Datos (Autoriteit Persoonsgegevens);

• Autoridades judiciales y de investigación, incluidos tribunales, órganos de arbitraje y mediación, fiscales y autoridades policiales, a petición legítima de estos o en el contexto de procedimientos judiciales;

• Autoridades de inteligencia financiera, incluida la Unidad de Inteligencia Financiera neerlandesa (FIU-Nederland), en la medida en que estemos obligados a comunicar operaciones inusuales conforme a la Wwft;

• Profesionales jurídicos y financieros, como abogados, administradores concursales o auditores, cuando la divulgación sea exigida por ley o necesaria en relación con lo anterior.

Solo revelaremos sus datos personales a las partes anteriores en la medida en que lo exija o permita la legislación aplicable, y únicamente para los fines para los que dicha revelación esté legalmente justificada.

9.4 Proveedores de servicios externos (encargados del tratamiento)

Trabajamos con proveedores de servicios externos que tratan datos personales por cuenta nuestra. Solo compartimos los datos personales necesarios para el servicio específico que prestan.

9.5 Transmisiones de empresa

En caso de fusión, adquisición o venta de (parte de) la actividad del Grupo Fourthline, los datos personales pueden transferirse como parte de dicha operación. En tal caso, actualizaremos nuestra Declaración de privacidad en consecuencia.

10 Cookies

Nuestros Sitios web utilizan cookies y tecnologías similares (conjuntamente: las «cookies») para mejorar su experiencia, analizar el uso y dar soporte a integraciones de terceros. Cuando visita nuestros Sitios web por primera vez, se le muestra un banner de cookies que le permite aceptar, rechazar o gestionar las cookies no esenciales. Las cookies estrictamente necesarias se instalan sin consentimiento, ya que son imprescindibles para el funcionamiento del Sitio web.

Consulte nuestra Política de cookies (www.fourthline.com/cookie-policy) para más información sobre las cookies que utilizamos.

11 Sus derechos

El RGPD le otorga una serie de derechos en relación con sus datos personales. A continuación explicamos cada derecho, cuándo se aplica y cuándo puede estar limitado. Para ejercer cualquiera de estos derechos, contáctenos en dpo@fourthline.com e indíquenos el Socio comercial a través del cual fue incorporado utilizando nuestros servicios de verificación de identidad. Nos esforzamos por responder en el plazo de un mes. En algunos casos podemos denegar su solicitud, en cuyo caso le informaremos del motivo en un plazo razonable, cuando la ley lo permita. Por favor, no nos envíe una copia sin tachar de su documento de identidad por correo electrónico ordinario.

11.1 Derecho de oposición

Tiene derecho a oponerse al tratamiento de sus datos personales basado en nuestro interés legítimo. Evaluaremos si sus intereses o sus derechos y libertades fundamentales prevalecen sobre nuestros intereses legítimos.

También tiene derecho a oponerse en cualquier momento al uso de sus datos personales con fines de marketing directo. Dejaremos inmediatamente de tratar sus datos con este fin al recibir su oposición.

No puede oponerse a un tratamiento basado en una obligación legal. Si la ley nos obliga a tratar sus datos, su oposición no dará lugar a que dejemos de realizar dicho tratamiento.

11.2 Derecho de acceso

Tiene derecho a solicitar una visión general de los datos personales que conservamos sobre usted y de cómo los tratamos.

Podemos restringir el acceso cuando su concesión afecte negativamente a los derechos y libertades de terceros, o cuando la ley nos prohíba revelar determinada información, por ejemplo en el contexto de una investigación de fraude en curso o de una obligación de comunicación AML.

11.3 Derecho de rectificación

Si sus datos personales son inexactos o incompletos, tiene derecho a solicitar que los corrijamos o completemos. Cuando hayamos compartido datos inexactos con terceros, les notificaremos la corrección.

Los datos personales contenidos en registros de solo lectura, como los registros de auditoría y los rastros de acciones, no pueden modificarse como resultado de una solicitud de rectificación.

11.4 Derecho de supresión

Tiene derecho a solicitar que suprimamos sus datos personales cuando:

• ya no los necesitemos para el fin para el que fueron recopilados;

• retire su consentimiento y no exista otra base jurídica para el tratamiento;

• se oponga al tratamiento basado en el interés legítimo y no existan motivos prevalentes;

• el tratamiento sea ilícito; o

• la supresión sea exigida por el Derecho de la UE o nacional.

Este derecho no se aplica cuando el tratamiento es necesario para cumplir una obligación legal. En particular, Fourthline Payments está legalmente obligada a conservar sus datos personales durante cinco años tras el fin de nuestra relación de negocios o cinco años tras la ejecución de una operación, conforme a la Wwft. En casos de fraude, podemos conservar los datos personales relativos a una infracción durante un máximo de ocho años. En estos casos le informaremos de que no podemos atender su solicitud de supresión y le explicaremos el motivo. Los datos personales en registros de solo lectura, como los registros de auditoría, no pueden eliminarse como resultado de una solicitud de supresión.

11.5 Derecho a la limitación del tratamiento

Tiene derecho a solicitar que limitemos el tratamiento de sus datos personales cuando:

• impugne la exactitud de sus datos (durante el periodo que necesitemos para verificarla);

• el tratamiento sea ilícito pero prefiera la limitación a la supresión;

• ya no necesitemos los datos pero usted los necesite para reclamaciones legales; o

• se haya opuesto al tratamiento y estemos evaluando si nuestros intereses legítimos prevalecen sobre los suyos.

11.6 Derecho a la portabilidad de los datos

Tiene derecho a recibir sus datos personales en un formato estructurado, de uso común y lectura mecánica, y a que se transmitan a otro responsable del tratamiento, cuando:

• el tratamiento se base en el consentimiento o en la ejecución de un contrato; y

• el tratamiento se efectúe por medios automatizados.

Este derecho no se aplica al tratamiento basado en una obligación legal o en el interés legítimo. Dado que la mayor parte de nuestro tratamiento de datos de Clientes se basa en una obligación legal, este derecho tendrá en la práctica una aplicación limitada en el contexto de nuestros Servicios.

11.7 Derechos relacionados con las decisiones automatizadas

Cuando se utilicen sistemas automatizados para tomar decisiones que le afecten significativamente, tiene derecho a obtener una revisión humana de la decisión, a expresar su punto de vista y a impugnar la decisión. Véase el apartado 8 para más información sobre la existencia de decisiones automatizadas.

11.8 Derecho a retirar el consentimiento

Cuando tratemos sus datos personales sobre la base del consentimiento, tiene derecho a retirar su consentimiento en cualquier momento. La retirada no afecta a la licitud del tratamiento realizado antes de la retirada.

11.9 Derecho a presentar una reclamación

Si no está satisfecho con la forma en que tratamos sus datos personales, puede:

• contactar con nuestro Delegado de Protección de Datos en dpo@fourthline.com; o

• presentar una reclamación ante la Autoridad neerlandesa de Protección de Datos (Autoriteit Persoonsgegevens) en www.autoriteitpersoonsgegevens.nl, que es nuestra autoridad de control principal, o ante la autoridad de protección de datos de su país de residencia.

12 Su obligación de facilitar datos

Hay determinada información que Fourthline Payments está legalmente obligada a recopilar sobre usted antes de que podamos establecer una relación con usted como Cliente, con el fin de cumplir nuestras obligaciones conforme a la Wwft. Sin estos datos, es posible que no podamos prestarle nuestros Servicios ni celebrar un contrato con usted.

13 Durante cuánto tiempo conservamos sus datos personales

El Grupo Fourthline almacena y trata sus datos personales solo durante el tiempo necesario para cumplir nuestras obligaciones conforme al contrato con usted, o durante el tiempo que la ley nos exija conservar dichos datos. Fourthline Payments está legalmente obligada a conservar sus datos personales relativos a su incorporación como Cliente durante cinco años tras la terminación de nuestra relación de negocios con usted, o cinco años tras la ejecución de una operación, conforme a la Ley neerlandesa de prevención del blanqueo de capitales y de la financiación del terrorismo (Wet ter voorkoming van witwassen en financieren van terrorisme). Pueden darse circunstancias (como fraude, requisitos de prevención del blanqueo de capitales, investigaciones policiales o el ejercicio de reclamaciones legales) en las que estemos obligados a conservar sus datos personales durante más tiempo. En casos de fraude, podemos conservar sus datos personales relativos a una infracción durante un máximo de ocho años.

14 Cómo protegemos sus datos personales

El Grupo Fourthline aplica un marco de políticas internas, procedimientos y medidas técnicas y organizativas para mantener sus datos seguros. Esto incluye:

• políticas de sala limpia y controles de acceso estrictos;

• cifrado y seudonimización cuando corresponde;

• pruebas y evaluaciones periódicas de las medidas de seguridad, incluidas pruebas de copia de seguridad y restauración;

• acuerdos de confidencialidad para todos los empleados con acceso a datos personales;

• separación de las instalaciones de copia de seguridad del almacenamiento principal de datos.

A pesar de nuestros esfuerzos, no puede garantizarse que ninguna transmisión de datos por Internet sea totalmente segura. Cualquier transmisión a nuestros Sitios web se realiza bajo su propio riesgo. Una vez recibidos sus datos, aplicamos controles estrictos para impedir el acceso no autorizado.

15 Cómo puede ayudar a mantener sus datos seguros

Puede ayudar a proteger sus datos personales:

• utilizando software de protección de dispositivos actualizado (como antivirus) y protección de red (como cortafuegos);

• eligiendo contraseñas seguras y autenticación multifactor cuando esté disponible, y manteniéndolas confidenciales;

• protegiendo sus documentos de identidad físicos, dispositivos e instrumentos de pago;

• manteniéndose alerta al utilizar servicios en línea donde puedan producirse actividades inusuales o fraudulentas o intentos contra sus datos.

16 Contacto

Para cualquier pregunta sobre esta Declaración de privacidad o sobre cómo tratamos sus datos personales, o para solicitar una copia de nuestras salvaguardias para transferencias internacionales, contacte con nuestro Delegado de Protección de Datos:

dpo@fourthline.com

Tenga en cuenta que esta dirección de correo electrónico está reservada exclusivamente para consultas sobre privacidad de datos. El resto de mensajes no serán atendidos.

Esta es una traducción de la Declaración de privacidad en inglés. Para la terminología jurídica, consulte la versión en inglés, que prevalece en caso de discrepancia. Versión: octubre de 2026.