Cambios en la v1.4 (octubre de 2026): se aclara el papel de cada proveedor (encargados del tratamiento frente a responsables independientes); RebelFi se describe como infraestructura B2B que actúa por encargo nuestro; se añade la base legal de la verificación biométrica; nuevas secciones sobre destinatarios guardados y programa de referidos; se añaden transferencias internacionales, plazos de conservación, decisiones automatizadas, tus derechos y la autoridad de control competente; se elimina la conservación general de 10 años.
1) Alcance
Esta Política de privacidad explica cómo Lafitech UG trata tus datos personales cuando usas:
• la app móvil de Rampa para iOS y Android;
• rampa.cash, app.rampa.cash y sitios web relacionados, incluidas las páginas de invitación;
• el soporte y las comunicaciones de Rampa; y
• las funciones y servicios disponibles a través de Rampa, incluido el programa de referidos.
Rampa integra servicios de terceros, como verificación de identidad, rampas de entrada y salida de dinero fiat, infraestructura de wallet y redes blockchain. Cuando un tercero te presta un servicio directamente bajo sus propias condiciones, trata tus datos como responsable independiente y según su propia política de privacidad (ver secciones 6 y 7).
2) El papel de Rampa y su modelo non-custodial
Rampa es una plataforma tecnológica non-custodial operada por Lafitech UG. Lafitech UG no:
• custodia fondos de clientes ni guarda criptoactivos en nombre de los usuarios;
• controla ni almacena las claves privadas o frases semilla de los usuarios;
• firma transacciones blockchain en nombre de los usuarios;
• opera cuentas fiat de clientes; ni
• presta por sí misma servicios regulados de custodia, pago o cambio.
Tú controlas tu wallet y autorizas cada transacción. Los servicios regulados disponibles en Rampa, como las rampas de entrada y salida y los pagos, los prestan proveedores independientes con licencia, bajo sus propias autorizaciones y obligaciones de cumplimiento.
3) Datos personales que tratamos
Tratamos solo los datos razonablemente necesarios para operar, proteger y mejorar Rampa y para prestarte las funciones que elijas.
3.1 Datos de cuenta y perfil
Nombre, correo electrónico, teléfono, país o región, identificadores internos de cuenta, idioma y preferencias de comunicación, y la información que decidas añadir a tu perfil.
3.2 Datos del dispositivo, la red y la app
Identificadores del dispositivo y de la app, tokens de notificaciones push, dirección IP, país o región aproximados según tu conexión, sistema operativo, tipo de dispositivo, versión de la app, idioma y configuración regional, datos de sesión, eventos de seguridad, informes de errores y datos de rendimiento. Usamos la ubicación aproximada para seguridad, prevención del fraude y control de disponibilidad geográfica. No recogemos tu ubicación GPS exacta.
3.3 Datos de wallet y blockchain
Direcciones públicas de wallet, hashes de transacción, importes, identificadores de tokens, red, estado de la transacción, saldos on-chain y las direcciones que intervienen en una transacción. Gran parte de esta información es pública en la blockchain, con independencia de Rampa.
3.4 Datos de verificación de identidad y cumplimiento
Cuando se requiere verificar tu identidad, nuestro proveedor Sumsub trata, por encargo nuestro, tus documentos de identidad, imágenes faciales y datos de la prueba de vida (datos biométricos). Lafitech UG recibe y guarda solo el resultado: estado y referencia de la verificación, país, resultados del control de sanciones y PEP, indicadores de riesgo y decisiones de elegibilidad. No guardamos copias de tus documentos de identidad ni de tus datos biométricos en los sistemas propios de Rampa.
3.5 Datos de rampas de entrada y salida y pagos
Cuando usas un proveedor integrado, recibimos el identificador de la orden, el proveedor elegido, el importe y la divisa, el estado, las referencias blockchain, la wallet de origen o destino, el país, las fechas y horas, y la información necesaria para mostrar la transacción y darte soporte. Los datos bancarios, los datos de pago y cualquier dato de identidad adicional que pida el proveedor los recoge directamente ese proveedor.
3.6 Datos de Earn
Si usas Earn, tratamos tu dirección de wallet, las instrucciones y los hashes de tus depósitos y retiros, los importes en USDC que asignas, tu posición y los rendimientos estimados o acumulados que comunica el proveedor de infraestructura, para poder mostrarte y seguir tu posición. Las cifras que ves en Rampa provienen de infraestructura de terceros y pueden cambiar.
3.7 Destinatarios guardados
Si guardas a las personas a las que envías dinero, almacenamos los datos que introduces de ellas, como nombre o apodo, dirección de wallet y teléfono, y tu historial de envíos con ellas. Usamos estos datos solo para que puedas enviar dinero y ver tu historial. No contactamos a tus destinatarios guardados.
3.8 Programa de referidos
Cada cuenta tiene un código de invitación personal (por ejemplo, REF-QPKRASUG) y un enlace de invitación que lo contiene. Si te uniste con el código de alguien, guardamos qué código se usó al crear tu cuenta. Recogemos el código cuando lo escribes, pegas o escaneas en la app, cuando abres un enlace de invitación o, en Android, mediante el Google Play Install Referrer cuando instalas Rampa desde un enlace de invitación.
Quien invita solo ve cifras agregadas, por ejemplo cuántas personas se unieron con su código y cuántas completaron la verificación. Nunca ve tu nombre, tus datos de contacto, tus saldos ni tu actividad.
Si creas una imagen de invitación, la foto que elijas se queda en tu teléfono; no la subimos. Si en una foto que compartes aparecen otras personas, asegúrate de que estén de acuerdo.
3.9 Soporte y comunicaciones
Tus datos de contacto, el contenido de tus mensajes, los archivos que nos envíes, la información técnica necesaria para resolver una incidencia y nuestras comunicaciones contigo.
3.10 Contactos del dispositivo y permisos
Rampa no lee la agenda de tu teléfono, ni para invitaciones ni para ningún otro fin, salvo que una función te pida permiso antes y te explique para qué. Puedes retirar cualquier permiso en los ajustes de tu sistema operativo.
3.11 Analítica de producto
Pantallas y funciones que usas, actividad de la sesión, la campaña o el canal por el que llegaste (por ejemplo, parámetros UTM) y eventos técnicos. Los datos de analítica se asocian a un identificador interno seudónimo, no a tu nombre ni a tu correo. No vendemos datos personales ni los compartimos con anunciantes.
4) Origen de los datos personales
Obtenemos datos personales directamente de ti, automáticamente de tu dispositivo y de tu uso de Rampa, de redes blockchain públicas, de los proveedores que eliges usar a través de Rampa (por ejemplo, resultados de verificación de Sumsub y estado de órdenes de los proveedores de rampas), de Google Play (install referrer) y, cuando corresponda, de autoridades.
5) Finalidades y bases legales
Solo tratamos datos personales cuando el Reglamento General de Protección de Datos (RGPD) nos da una base legal.
• Crear y gestionar tu cuenta, mostrar tu wallet, permitir envíos, destinatarios guardados, Earn y los servicios integrados que solicites, y darte soporte: contrato — art. 6.1.b RGPD.
• Verificación de identidad y control de sanciones y PEP necesarios para usar funciones reguladas: contrato — art. 6.1.b; interés legítimo en cumplir los requisitos de nuestros proveedores y evitar usos ilícitos — art. 6.1.f; obligación legal cuando nos aplique — art. 6.1.c.
• Datos biométricos (imagen facial y prueba de vida) usados para confirmar tu identidad: tu consentimiento explícito, dado en el proceso de verificación — art. 9.2.a RGPD.
• Seguridad, prevención del fraude y del abuso, disponibilidad geográfica: interés legítimo en un servicio seguro — art. 6.1.f; obligación legal cuando corresponda — art. 6.1.c.
• Guardar los datos de los destinatarios que añades: contrato contigo — art. 6.1.b; respecto a los destinatarios, nuestro interés legítimo y el tuyo en realizar los envíos que pides — art. 6.1.f.
• Programa de referidos (registrar el código usado al crear la cuenta y mostrar cifras agregadas a quien te invitó): contrato (condiciones del programa) — art. 6.1.b; interés legítimo en gestionar el programa y evitar abusos — art. 6.1.f.
• Analítica de producto: interés legítimo en mejorar Rampa — art. 6.1.f. Cuando la analítica guarda o lee información en tu dispositivo que no es estrictamente necesaria, te pedimos antes tu consentimiento — § 25.1 TDDDG y art. 6.1.a.
• Mensajes de servicio sobre tu cuenta y tus transacciones: contrato — art. 6.1.b.
• Correos y mensajes de marketing opcionales: tu consentimiento — art. 6.1.a o, para funciones similares de Rampa, nuestro interés legítimo según el § 7.3 UWG — art. 6.1.f. Puedes darte de baja en cada mensaje.
• Formular, ejercer o defender reclamaciones; atender requerimientos legales de autoridades: interés legítimo — art. 6.1.f; obligación legal — art. 6.1.c.
Puedes retirar tu consentimiento en cualquier momento, con efecto para el futuro. Si retiras el consentimiento para la verificación biométrica, no podremos completar tu verificación y las funciones que la requieren no estarán disponibles.
Para abrir una cuenta necesitas facilitar los datos marcados como obligatorios en la app. La verificación de identidad solo se pide para las funciones en las que nuestros proveedores la necesitan. Sin ella, no podemos ofrecerte esas funciones.
6) Quién recibe datos personales
Solo compartimos datos personales cuando es necesario para las finalidades anteriores.
6.1 Proveedores que actúan por encargo nuestro (encargados del tratamiento, art. 28 RGPD)
Estos proveedores tratan los datos solo siguiendo nuestras instrucciones y bajo un contrato de encargo del tratamiento:
• Sumsub (Sum and Substance Ltd.) — verificación de identidad, prueba de vida y control de sanciones y PEP.
• Para — infraestructura de wallet non-custodial integrada e inicio de sesión. Para nunca nos da acceso a tus claves.
• RebelFi — infraestructura B2B que conecta Earn con protocolos de préstamo de terceros en Solana, como Jupiter Lend. Trata tu dirección de wallet, importes y datos de tu posición.
• Klaviyo — correos y comunicaciones en la app. Recibe datos de la cuenta, incluido el código de invitación usado al registrarte.
• Zoho (Zoho Mail EU) — soporte por correo.
• Expo — actualizaciones de la app y envío de notificaciones push.
• Proveedores de hosting y bases de datos en la nube — funcionamiento de nuestros servidores y bases de datos.
6.2 Responsables independientes
Estos destinatarios deciden por sí mismos cómo tratan tus datos y aplican sus propias políticas de privacidad:
• Transak, Noah y Koywe — rampas de entrada y salida y pagos que decides usar. Realizan sus propios controles KYC, AML y de seguimiento de transacciones.
• Apple y Google — distribución de la app y, en Android, el Google Play Install Referrer usado para las invitaciones.
• Redes y protocolos blockchain públicos (por ejemplo, Solana y Jupiter) — cuando autorizas una transacción on-chain, sus datos se transmiten a la red y se vuelven públicos.
• Autoridades, tribunales y asesores — cuando la ley lo exige o es necesario para formular, ejercer o defender reclamaciones.
7) Servicios de terceros
Cuando usas un servicio de terceros a través de Rampa, puedes estar estableciendo una relación independiente con ese proveedor. Sus condiciones, su política de privacidad, sus requisitos de elegibilidad y sus plazos de conservación se aplican entonces al tratamiento que realice. Revisa la información que te muestre cada proveedor antes de usar su servicio.
8) Transferencias internacionales de datos
Algunos destinatarios tratan datos fuera del Espacio Económico Europeo (EEE). Solo transferimos datos con una garantía adecuada:
• Reino Unido (por ejemplo, Sumsub): decisión de adecuación de la Comisión Europea.
• Estados Unidos (por ejemplo, Para, Klaviyo, Expo y la matriz estadounidense de PostHog): el Marco de Privacidad de Datos UE-EE. UU. cuando el destinatario está certificado; en otro caso, las Cláusulas Contractuales Tipo de la Comisión Europea, con medidas adicionales cuando sea necesario.
• Otros países: una decisión de adecuación o Cláusulas Contractuales Tipo.
9) Información pública en la blockchain
La información registrada en una blockchain pública puede ser visible para cualquiera, estar replicada por muchos participantes independientes en todo el mundo y ser imposible de modificar o borrar para nadie, incluida Lafitech UG. Reducimos al mínimo los datos personales vinculados a transacciones on-chain. No incluyas datos personales en los memos de las transacciones ni en campos similares.
10) Conservación
Conservamos los datos personales solo mientras sean necesarios para las finalidades de la sección 5; después los borramos o anonimizamos.
• Datos de cuenta y perfil: mientras tu cuenta esté activa. Tras cerrarla, hasta el final del tercer año posterior al cierre cuando sea necesario para atender reclamaciones (§§ 195, 199 BGB), salvo que una obligación legal exija más.
• Registros que forman parte de nuestra contabilidad: 6 o 10 años, según el § 257 HGB y el § 147 AO.
• Resultado de la verificación y estado del control: mientras tu cuenta esté activa y después durante el tiempo que los proveedores regulados que se basaron en la verificación deban conservar sus registros.
• Documentos de identidad y datos biométricos (guardados por Sumsub por encargo nuestro): solo el tiempo necesario para completar la verificación y cumplir las obligaciones de conservación de los proveedores regulados que se basan en ella; después se borran.
• Registros de transacciones y de Earn que ves en la app: mientras tu cuenta esté activa; después, igual que los datos de cuenta. Los datos on-chain no se pueden borrar (sección 9).
• Destinatarios guardados: hasta que los borres o cierres tu cuenta.
• Vínculo de referido (con qué código te uniste): mientras existan ambas cuentas. Se borra cuando se cierra la cuenta invitada, y las cifras agregadas dejan de incluirla.
• Analítica de producto: hasta 24 meses; después se borra.
• Registros operativos y de seguridad: normalmente 30–90 días; más tiempo solo para investigar un incidente concreto.
• Conversaciones de soporte: hasta 3 años después de cerrar el caso.
• Preferencias de marketing: hasta que te des de baja. Guardamos constancia de la baja para respetarla.
Los proveedores regulados que actúan como responsables independientes, como Transak, Noah y Koywe, aplican sus propios plazos según las leyes que les aplican.
11) Decisiones automatizadas
La verificación de identidad usa controles automatizados de Sumsub, como la autenticidad del documento, la comparación facial y el control de sanciones. Por eso una verificación puede rechazarse de forma automática, lo que significa que las funciones que la requieren no estarán disponibles para ti. Esto es necesario para prestarte esas funciones (art. 22.2.a RGPD).
Puedes pedir que una persona revise la decisión, expresar tu punto de vista e impugnarla escribiendo a hello@rampa.cash. No usamos la elaboración de perfiles para tomar otras decisiones con efectos jurídicos o similares sobre ti.
12) Seguridad
Protegemos los datos personales con medidas técnicas y organizativas adecuadas al riesgo. Entre ellas: cifrado en tránsito, acceso restringido y registrado a los sistemas, y un diseño non-custodial en el que nunca tenemos tus claves privadas. Revisamos estas medidas con regularidad. Si una brecha de datos personales puede suponer un riesgo alto para ti, te informaremos según el art. 34 RGPD.
13) Tus derechos
Según el RGPD tienes derecho a:
• acceder a tus datos personales y recibir una copia (art. 15);
• rectificar datos inexactos (art. 16);
• suprimir tus datos (art. 17), con las limitaciones de las obligaciones legales de conservación;
• limitar el tratamiento (art. 18);
• la portabilidad de los datos que nos facilitaste, en un formato de uso común y lectura mecánica (art. 20);
• retirar tu consentimiento en cualquier momento, con efecto para el futuro (art. 7.3); y
• no ser objeto de una decisión exclusivamente automatizada sin las garantías descritas en la sección 11 (art. 22).
Derecho de oposición (art. 21 RGPD)
Puedes oponerte en cualquier momento, por motivos relacionados con tu situación particular, al tratamiento basado en nuestro interés legítimo (art. 6.1.f). En ese caso dejaremos de tratar tus datos, salvo que acreditemos motivos legítimos imperiosos que prevalezcan sobre tus intereses o que el tratamiento sea necesario para reclamaciones. Puedes oponerte al marketing directo en cualquier momento y sin dar motivos, y dejaremos de usar tus datos para ese fin.
Para ejercer tus derechos, escribe a hello@rampa.cash. Podemos pedirte que confirmes tu identidad. Respondemos en el plazo de un mes; en solicitudes complejas el plazo puede ampliarse dos meses más, y te lo diremos. Puedes cerrar tu cuenta desde la app o escribiéndonos.
14) Derecho a presentar una reclamación
Puedes presentar una reclamación ante una autoridad de protección de datos. La autoridad competente para Lafitech UG es la Oficina Estatal de Supervisión de la Protección de Datos de Baviera (Bayerisches Landesamt für Datenschutzaufsicht, BayLDA), Promenade 18, 91522 Ansbach, Alemania, www.lda.bayern.de. También puedes dirigirte a la autoridad del país de la UE donde vives o trabajas, por ejemplo la Agencia Española de Protección de Datos (AEPD) en España.
15) Edad mínima
Rampa está dirigida solo a personas mayores de 18 años. No tratamos a sabiendas datos de menores de 18 años. Si sabemos que una cuenta pertenece a un menor, la cerraremos y borraremos los datos relacionados, salvo que la ley nos obligue a conservarlos.
16) Cambios en esta Política de privacidad
Actualizamos esta Política de privacidad cuando cambian nuestros servicios o la ley. La versión vigente está siempre disponible en rampa.cash y en la app. Te avisaremos en la app o por correo antes de que entren en vigor cambios importantes.
17) Idioma y contacto
Esta Política de privacidad está disponible en inglés y en español. Si las versiones difieren, prevalece la versión en inglés, salvo que una norma imperativa disponga otra cosa.
Preguntas sobre esta Política de privacidad o sobre tus datos: Lafitech UG (haftungsbeschränkt), Arnulfstr. 171, 80634 Múnich, Alemania — hello@rampa.cash.