Versión 1.0 · Fecha de entrada en vigor: 10 de septiembre de 2026
1. Quiénes somos
1.1 La aplicación Magic y el sitio web magiccard.me son publicados y operados por ATLAS PAY LIMITED, sociedad constituida en Hong Kong con número de registro mercantil 79950367 y domicilio social en Unit 1603, 16/F, The L. Plaza, 367–375 Queen's Road Central, Sheung Wan, Hong Kong («nosotros», «nos», «nuestro»).
1.2 Somos el responsable del tratamiento de los datos personales descritos en esta Política. Decidimos qué datos se recopilan y con qué finalidad.
1.3 Esta Política se aplica a la aplicación Magic y al sitio web magiccard.me. No se aplica a los servicios propios de terceros a los que acceda desde el nuestro, ni a los comercios en los que utilice su Tarjeta.
1.4 Para cualquier pregunta sobre esta Política o sobre sus datos, escriba a privacy@magiccard.me o a la dirección postal indicada en la sección 15.
2. Resumen
| Qué recopilamos | Datos de identidad y de contacto, imágenes del documento de identidad, una comprobación con selfie en vivo, país de residencia, registros de pagos y transacciones, direcciones de billetera y datos técnicos básicos sobre su dispositivo |
|---|---|
| Por qué | Para abrir y gestionar su cuenta, emitir y operar su tarjeta, verificar su identidad como exige la ley, mantener la seguridad del servicio y responderle cuando se ponga en contacto con nosotros |
| Qué no recopilamos | Ubicación, contactos, calendario, aplicaciones instaladas, identificadores publicitarios, historial de navegación. No ejecutamos ninguna herramienta de analítica en la aplicación |
| Dónde se almacenan | En servidores situados en Falkenstein, Alemania |
| Durante cuánto tiempo | Mientras su cuenta esté activa y durante al menos seis años después de su cierre. Los registros que estamos obligados a conservar se desidentifican después, no se borran: la sección 9 explica por qué |
| Quién más los ve | Nuestro socio emisor de tarjetas, nuestro proveedor de verificación de identidad y un número reducido de proveedores técnicos identificados por su nombre en la sección 7 |
| Nunca vendemos sus datos | No vendemos datos personales ni los compartimos con fines publicitarios |
3. Qué recopilamos
3.1 Información que usted nos facilita
| Datos | Cuándo |
|---|---|
| Dirección de correo electrónico | Registro e inicio de sesión |
| Nombre y apellidos | Registro; también se imprime como nombre en la Tarjeta |
| Número de teléfono móvil | Registro y códigos de un solo uso |
| Fotografía de un documento de identidad | Verificación de identidad |
| Selfie en vivo con prueba de vida (datos biométricos; véase la sección 5) | Verificación de identidad |
| País de residencia | Verificación de identidad y elegibilidad |
| Código PIN | Protección del acceso a la aplicación. Se almacena únicamente en una forma a partir de la cual no es posible recuperar el PIN |
| Direcciones de billetera de blockchain que introduce para retiros | Cuando realiza un retiro o guarda una dirección de retiro |
| Fotografía de perfil | Opcional, solo si decide añadirla |
| El contenido de sus mensajes al soporte | Cuando se pone en contacto con nosotros |
3.2 Información recopilada automáticamente
| Datos | Por qué |
|---|---|
| Modelo del dispositivo y versión de Android | Compatibilidad y diagnóstico de fallos |
| Versión de la aplicación | Soporte y actualizaciones |
| Idioma del dispositivo | Mostrar la interfaz en su idioma |
| Token de notificaciones push de Firebase | Enviarle notificaciones sobre su cuenta |
| Veredicto de Google Play Integrity | Confirmar que la aplicación es auténtica y no ha sido modificada, para prevenir el fraude |
| Un identificador de registro de dispositivo emitido por nuestro servidor | Reconocer su dispositivo entre sesiones y detectar accesos no autorizados |
3.3 Información generada por su uso del servicio
Su saldo, su historial de transacciones, los depósitos y retiros de stablecoins y las direcciones de blockchain implicadas, las transferencias internas, las operaciones con tarjeta que nos transmite el Emisor de la tarjeta y los registros de eventos de seguridad, como inicios de sesión y cambios de PIN.
3.4 Qué no recopilamos
No recopilamos su ubicación, sus contactos, su calendario, la lista de aplicaciones instaladas en su dispositivo, ningún identificador publicitario ni su historial de navegación. La aplicación no contiene software de analítica. La aplicación no tiene permiso de cámara: los códigos QR se leen con el escáner del propio sistema operativo, y la fotografía de perfil se toma desde el selector de una sola foto del sistema operativo.
4. Para qué usamos sus datos y con qué base jurídica
| Finalidad | Datos | Base jurídica |
|---|---|---|
| Crear y gestionar su cuenta | Datos de identidad, de contacto y del dispositivo | Ejecución de nuestro contrato con usted |
| Verificar su identidad antes de que pueda utilizar los servicios que implican fondos | Imagen del documento, selfie, país, nombre | Obligación legal y nuestro interés legítimo en prevenir la delincuencia financiera. El elemento biométrico se basa en su consentimiento explícito; véase la sección 5 |
| Emitir y operar la Tarjeta | Nombre, número de teléfono, datos del documento, transacciones | Ejecución de nuestro contrato con usted |
| Ejecutar depósitos, retiros y transferencias | Direcciones de billetera, importes, registros de transacciones | Ejecución de nuestro contrato con usted |
| Prevenir el fraude, el blanqueo de capitales, la financiación del terrorismo y las infracciones de sanciones | Todos los anteriores | Obligación legal y nuestro interés legítimo en proteger el servicio y a los demás usuarios |
| Mantener la seguridad del servicio | Datos del dispositivo, veredicto de Play Integrity, eventos de seguridad | Nuestro interés legítimo en la seguridad |
| Responder a sus preguntas y tramitar reclamaciones | Sus mensajes, registros de la cuenta | Ejecución de nuestro contrato con usted y nuestro interés legítimo en dar soporte a los usuarios |
| Notificarle sobre su cuenta | Token push, dirección de correo electrónico | Ejecución de nuestro contrato con usted |
| Conservar registros tras el cierre de su cuenta | Registros de identidad y de transacciones | Obligación legal y nuestro interés legítimo en defendernos frente a reclamaciones |
No utilizamos sus datos personales con fines publicitarios, para elaborar perfiles con efectos jurídicos ni para tomar decisiones automatizadas que produzcan efectos jurídicos sobre usted, salvo el filtrado automatizado en materia de fraude y sanciones, cuyos resultados son revisados por una persona antes de que se cierre una cuenta.
5. Datos biométricos
5.1 La verificación de identidad incluye una comprobación con selfie en vivo. El proveedor analiza la imagen para confirmar que hay una persona viva presente y que el rostro coincide con el documento de identidad. Ese análisis genera datos biométricos, que en muchas jurisdicciones se consideran una categoría especial de datos personales.
5.2 Le pedimos su consentimiento explícito y por separado para este tratamiento en una pantalla propia, antes del paso de la selfie. No va unido a la aceptación de nuestros Términos de uso.
5.3 Si no da su consentimiento, no podemos verificar su identidad ni prestarle los servicios que implican fondos. Aun así, puede cerrar su cuenta.
5.4 Puede retirar este consentimiento en cualquier momento escribiendo a privacy@magiccard.me. La retirada no afecta al tratamiento ya realizado. Dado que la verificación es una condición de los servicios que implican fondos, retirar el consentimiento normalmente supondrá el cierre de su cuenta.
5.5 La selfie y el análisis biométrico se conservan conforme a la sección 9.
6. Su PIN, los datos de su tarjeta y sus credenciales
6.1 Su PIN se almacena únicamente en una forma a partir de la cual no es posible recuperar el PIN. No podemos decirle su PIN, y nuestro personal de soporte tampoco.
6.2 Los datos de la tarjeta nunca se escriben en el almacenamiento de su dispositivo. El número de tarjeta, la fecha de vencimiento y el código de seguridad se le muestran dentro de la aplicación y no se almacenan en caché.
6.3 Si activa el inicio de sesión biométrico en su dispositivo, la clave correspondiente nunca sale del elemento seguro de su dispositivo. No recibimos de su dispositivo los datos de su huella dactilar ni de su rostro.
7. Con quién compartimos los datos
Compartimos datos personales únicamente con los destinatarios que se indican a continuación, solo en la medida en que cada uno los necesita y solo para las finalidades indicadas.
| Destinatario | Qué recibe | Función | Dónde |
|---|---|---|---|
| Nuestro socio emisor de tarjetas con licencia, una entidad de pago con licencia en Singapur que emite y opera la Tarjeta | Nombre, número de teléfono, datos del documento de identidad, datos de las operaciones con tarjeta | Responsable del tratamiento independiente para la emisión y la operación de tarjetas, y destinatario de los datos que le comunicamos a efectos de proporcionar la Tarjeta | Singapur |
| Sumsub (grupo Sum and Substance): verificación de identidad | Imagen del documento de identidad, selfie en vivo y análisis biométrico, país, nombre | Encargado del tratamiento que actúa siguiendo nuestras instrucciones | Unión Europea / Reino Unido |
| Prelude: envío de códigos de un solo uso | Número de teléfono móvil | Encargado del tratamiento que actúa siguiendo nuestras instrucciones | Unión Europea / Estados Unidos |
| Resend: envío de correos electrónicos transaccionales | Dirección de correo electrónico, contenido del mensaje | Encargado del tratamiento que actúa siguiendo nuestras instrucciones | Estados Unidos |
| Google LLC: Firebase Cloud Messaging y Google Play Integrity | Token de notificaciones push, veredicto de integridad de la aplicación | Encargado del tratamiento para la mensajería; responsable del tratamiento independiente para el servicio de integridad | Estados Unidos / Unión Europea |
| Telegram: solo si decide vincular una cuenta de Telegram | Su identificador de Telegram | Responsable del tratamiento independiente | Fuera de Hong Kong |
| SHKeeper: procesamiento de pagos en blockchain | Direcciones de blockchain e importes | Encargado del tratamiento que actúa siguiendo nuestras instrucciones | Fuera de Hong Kong |
| Hetzner Online GmbH: alojamiento | Todos los datos almacenados por el servicio, en calidad de proveedor de alojamiento | Encargado del tratamiento que actúa siguiendo nuestras instrucciones | Alemania |
También comunicamos datos personales:
- a un tribunal, un regulador, una autoridad policial o una autoridad fiscal cuando estemos legalmente obligados a ello, o cuando sea necesario para formular, ejercer o defender una reclamación legal;
- a nuestros asesores profesionales, sujetos a un deber de confidencialidad; y
- a un comprador o sucesor en caso de venta o reorganización de la empresa, con una protección equivalente.
No vendemos datos personales ni los compartimos con nadie para su propio marketing.
8. Dónde se almacenan sus datos y transferencias transfronterizas
8.1 Nuestros servidores son operados por Hetzner Online GmbH en Falkenstein, Alemania. Por tanto, sus datos se almacenan en la Unión Europea, aunque seamos una sociedad de Hong Kong.
8.2 Los destinatarios enumerados en la sección 7 están situados en varios países, entre ellos Singapur, Estados Unidos y países de la Unión Europea. La prestación del servicio implica necesariamente transferirles sus datos.
8.3 Cuando transferimos datos personales a un destinatario situado fuera del territorio en el que se recopilaron, lo hacemos sobre la base de un contrato escrito que obliga al destinatario a protegerlos con un nivel comparable al descrito en esta Política, a utilizarlos únicamente siguiendo nuestras instrucciones cuando actúa como nuestro encargado del tratamiento, y a devolverlos o eliminarlos al finalizar el contrato. Cuando la transferencia afecta a datos originados en el Espacio Económico Europeo, utilizamos las cláusulas contractuales tipo de la Comisión Europea.
8.4 Puede solicitarnos más información sobre una transferencia concreta escribiendo a privacy@magiccard.me.
9. Durante cuánto tiempo conservamos sus datos
| Datos | Conservación |
|---|---|
| Registros de verificación de identidad: imagen del documento, selfie, resultado del análisis biométrico, informe de verificación | Al menos seis años desde el día en que se cierra su cuenta; después se desidentifican |
| Registros de transacciones: depósitos, retiros, transferencias, operaciones con tarjeta | Se conservan como asientos contables y se desidentifican cuando se cierra su cuenta; no se borran |
| Datos de la cuenta y de contacto | Al menos seis años desde el día en que se cierra su cuenta; después se desidentifican |
| Correspondencia con el soporte | Se desidentifica junto con el registro de la cuenta; se conserva íntegra mientras haya abierta una reclamación o una transacción disputada |
| Registros de seguridad y de acceso | Se conservan mientras sean útiles para la seguridad y la investigación de incidentes; se desidentifican con el registro de la cuenta |
| Fotografía de perfil | Se elimina cuando usted la quita o cuando se cierra su cuenta |
Conservamos los registros de identidad y de transacciones durante al menos seis años porque ese es el plazo de conservación que se aplica a los registros de diligencia debida del cliente y de transacciones conforme a la Ordenanza de Hong Kong contra el blanqueo de capitales y la financiación del terrorismo (cap. 615). Lo aplicamos como nuestro estándar aunque nosotros mismos no seamos una institución financiera en el sentido de dicha Ordenanza, porque es el plazo más largo que probablemente se nos exija y porque cubre además el plazo para interponer la mayoría de las acciones civiles.
Preferimos ser francos con usted antes que ofrecerle una versión pulida. Seis años es un mínimo, no una fecha de caducidad. Nuestro libro contable es de solo adición: un asiento, una vez escrito, nunca se elimina ni se reescribe, porque un registro de dinero que puede editarse no es un registro. Por eso no borramos estos registros cuando se cumplen los seis años. Lo que hacemos es eliminar o sustituir los identificadores que vinculan un asiento con usted, de modo que lo que subsiste es un asiento contable y no información sobre una persona. El apartado 10.5 explica los límites de este proceso.
Si una orden judicial, una solicitud de un regulador o una investigación en curso exige el registro completo, lo conservamos íntegro hasta que esa exigencia termine.
10. Eliminación de su cuenta y de sus datos
10.1 Puede pedirnos que eliminemos su cuenta desde la propia aplicación: Perfil → Configuración → Eliminar cuenta. También puede escribir a privacy@magiccard.me. El proceso se describe íntegramente en Eliminación de la cuenta y de los datos.
10.2 Retire su saldo antes de pedirnos que eliminemos la cuenta. La eliminación no conlleva que se le transfiera dinero.
10.3 Qué se elimina. Su nombre, su dirección de correo electrónico, su número de teléfono, su fotografía de perfil, su vínculo con Telegram, su código de pago, el registro de su PIN, su token de notificaciones push, los registros de sus dispositivos, sus sesiones en todos los dispositivos y su posibilidad de iniciar sesión. Su dirección de correo electrónico se sustituye por un marcador en un dominio inexistente, porque nuestra base de datos no admite una cuenta sin ninguna vía de acceso.
10.4 Qué se conserva y por qué. Estamos obligados a conservar los registros de diligencia debida del cliente y de transacciones durante al menos seis años después de que termine la relación. En consecuencia, tras la eliminación conservamos:
- el registro de verificación de identidad;
- el libro de transacciones: depósitos, retiros, transferencias y operaciones con tarjeta;
- las direcciones de retiro a las que envió dinero y las etiquetas que les asignó, porque un retiro sin su destino no es registro de nada;
- su correspondencia con el soporte, que forma parte del registro de la cuenta; y
- el registro de la cuenta al que está vinculado todo lo anterior.
Todo lo incluido en esta lista se desidentifica como se describe en el apartado 10.5.
10.5 Desidentificamos estos registros en lugar de borrarlos. Los identificadores directos se eliminan o se sustituyen, de modo que quien consulte los registros ya no pueda interpretarlos como referidos a usted. Declaramos con claridad que se trata de una desidentificación y no de una anonimización irreversible: cuando la ley nos exija reconstruir un registro para un regulador, un tribunal o un auditor, es posible que podamos hacerlo. Los registros que siguen siendo reidentificables siguen siendo datos personales, y todo lo dispuesto en esta Política continúa aplicándose a ellos, incluidas la seguridad y los derechos de la sección 11.
10.6 Cuando termina el plazo de seis años, los registros conservados no se borran. Permanecen en nuestro libro de solo adición en la forma desidentificada descrita en el apartado 10.5. Eliminamos u ocultamos aún más los identificadores siempre que podamos hacerlo sin destruir el propio registro contable.
10.7 La eliminación desde la propia aplicación surte efecto de inmediato: la cuenta se cierra y los datos indicados en el apartado 10.3 se eliminan en una sola operación cuando usted confirma con su PIN. Una solicitud enviada por correo electrónico se completa en un plazo de 30 días desde que confirmamos su identidad, y le avisamos cuando está hecha. La aplicación no le permitirá eliminar una cuenta que aún tenga una tarjeta activa o un saldo que todavía pueda retirar; Eliminación de la cuenta y de los datos explica qué hacer en cada caso.
11. Sus derechos
11.1 Con sujeción a la ley que le resulte aplicable, usted puede:
- saber qué datos tenemos sobre usted y recibir una copia;
- corregir datos erróneos o incompletos;
- pedirnos que eliminemos datos, con sujeción a las obligaciones de conservación de las secciones 9 y 10;
- oponerse al tratamiento que realizamos sobre la base de intereses legítimos;
- pedirnos que limitemos el tratamiento mientras se resuelve una controversia sobre la exactitud o la licitud;
- recibir determinados datos en un formato portable, cuando la ley le otorgue ese derecho;
- retirar un consentimiento que haya otorgado, incluido el consentimiento biométrico de la sección 5; y
- presentar una reclamación ante una autoridad de protección de datos.
11.2 Para ejercer un derecho, escriba a privacy@magiccard.me. Es posible que primero le pidamos que confirme su identidad: no revelaremos los datos de una cuenta a alguien que no pueda demostrar que es suya.
11.3 Respondemos en un plazo de 30 días. Si una solicitud es compleja, podemos tardar más, y le explicaremos el motivo antes de que venzan los 30 días.
11.4 No cobramos nada, salvo que una solicitud sea manifiestamente infundada o repetitiva, en cuyo caso podemos cobrar una tarifa razonable o denegarla, y le explicaremos por qué.
11.5 Si se encuentra en Hong Kong, puede presentar una reclamación ante la Oficina del Comisionado de Privacidad de Datos Personales (PCPD). Si una autoridad de protección de datos de otro territorio tiene competencia sobre sus datos, puede presentar la reclamación ante esa autoridad.
12. Seguridad
Protegemos sus datos, entre otras medidas, con:
- comunicaciones exclusivamente cifradas: el HTTP sin cifrar está deshabilitado en la propia compilación, por lo que la aplicación no puede enviar datos sin cifrar;
- anclaje de certificados frente a dos huellas de clave pública, de modo que un certificado sustituido se rechaza;
- cifrado de los tokens y de los datos en caché en su dispositivo con una clave guardada en el almacén de claves respaldado por hardware de Android;
- claves de inicio de sesión biométrico que nunca salen del elemento seguro del dispositivo;
- copia de seguridad de la aplicación deshabilitada, de modo que los datos de la aplicación no se incluyen en ninguna copia de seguridad en la nube;
- datos de la tarjeta que nunca se escriben en el almacenamiento del dispositivo;
- acceso a los sistemas de producción limitado a personal designado, con credenciales individuales; y
- registro de los accesos a datos personales.
Ningún sistema es perfectamente seguro. Si se produce una brecha de seguridad que pueda causarle un daño grave, se lo notificaremos a usted y a la autoridad competente sin dilación indebida.
13. Menores
El servicio está destinado a adultos. Debe tener 18 años o más. No recopilamos a sabiendas datos personales de menores de 18 años, y la aplicación no está dirigida a menores. Si descubrimos que tenemos datos de una persona menor de 18 años, los eliminamos y cerramos la cuenta. Si cree que un menor nos ha facilitado datos, escriba a privacy@magiccard.me.
14. Cookies y el sitio web
El sitio web magiccard.me es un sitio estático. No instala cookies publicitarias ni píxeles de seguimiento, y no elabora perfiles de los visitantes. El almacenamiento local del navegador guarda únicamente valores técnicos: el idioma seleccionado, una marca de que se cerró el aviso de idioma y su elección en el banner de cookies; durante la sesión conserva además las etiquetas de origen de la visita tomadas de la dirección de la página (parámetros utm) para transmitirlas a la aplicación al pulsar «Consigue tu tarjeta». Nuestro proveedor de alojamiento (Cloudflare) puede instalar cookies estrictamente necesarias para protegerse de solicitudes automatizadas; no se usan para elaborar perfiles.
Para medir el tráfico, utilizamos herramientas sin cookies (Plausible Analytics y Cloudflare Web Analytics) que no instalan cookies, no crean identificadores persistentes y no le rastrean en otros sitios web. Se cargan al abrir una página, salvo que usted haya elegido «Solo necesarias» en el banner de cookies; tras esa elección dejan de cargarse. Junto con las visitas, contamos los clics en los botones «Consigue tu tarjeta» e «Iniciar sesión», los clics en enlaces a otros sitios web, las descargas de archivos, los envíos de formularios y las visitas a páginas inexistentes, así como las etiquetas de origen de la visita (parámetros utm) si figuran en la dirección de la página. Para cambiar su elección, borre los datos del sitio en su navegador: el banner volverá a aparecer.
15. Cambios en esta Política y cómo contactarnos
15.1 Podemos actualizar esta Política. La versión en vigor es siempre esta página en magiccard.me, con su número de versión y sus fechas en la parte superior.
15.2 Cuando un cambio afecte de forma sustancial a la manera en que usamos sus datos, se lo comunicaremos por correo electrónico y en la aplicación al menos 30 días antes de que entre en vigor.
15.3 Contacto:
ATLAS PAY LIMITED, Unit 1603, 16/F, The L. Plaza, 367–375 Queen's Road Central, Sheung Wan, Hong Kong. Número de registro mercantil 79950367. Consultas sobre privacidad y solicitudes de derechos sobre datos: privacy@magiccard.me. Otros asuntos legales: legal@magiccard.me.