Kayana Aid Privacy Policy

Kayana for Business Limited, y cualquier otra entidad relacionada dentro de la estructura corporativa de Kayana for Business (incluidas Kayana World Limited, Kayana Ireland Limited, Kayana for Business Australia LLC y Kayana for Business Canada) (colectivamente, "Kayana", "nosotros", "nos" o "nuestro"), se compromete a proteger y respetar su privacidad.

Esta Política de Privacidad explica cómo recopilamos, utilizamos, almacenamos, transferimos, divulgamos y de otro modo tratamos los datos personales cuando usted accede o utiliza Kayana Aid (la "Plataforma"), incluido cuando realiza donaciones, crea una cuenta, registra una causa, participa en actividades de recaudación de fondos o de otro modo interactúa con nosotros.

Esta Política de Privacidad tiene por objeto cumplir con las leyes de privacidad y protección de datos aplicables, incluyendo, cuando proceda:

• el Reglamento General de Protección de Datos del Reino Unido ("UK GDPR");
• la Data Protection Act 2018;
• el Reglamento General de Protección de Datos de la UE ("EU GDPR");
• la California Consumer Privacy Act, modificada por la California Privacy Rights Act ("CCPA/CPRA"), y otras leyes de privacidad estatales de EE. UU. aplicables (por ejemplo, Virginia, Colorado, Connecticut, Utah);
• las leyes de protección de datos de los Emiratos Árabes Unidos, incluida la UAE Federal Decree-Law No. 45 of 2021 sobre la Protección de Datos Personales;
• la Ley de Protección de Datos Personales de Arabia Saudita ("PDPL") y sus reglamentos de desarrollo;
• la legislación canadiense en materia de privacidad, incluida la Personal Information Protection and Electronic Documents Act ("PIPEDA") y, cuando proceda, la Act Respecting the Protection of Personal Information in the Private Sector de Quebec ("Law 25");
• la legislación australiana en materia de privacidad, incluida la Privacy Act 1988 (Cth) y las Australian Privacy Principles.

1. QUIÉNES SOMOS

Kayana for Business Limited es el operador de Kayana Aid y actúa como responsable del tratamiento de los datos personales recopilados a través de la Plataforma, salvo que se indique lo contrario.

Datos de contacto

Empresa: Kayana for Business Limited

Domicilio social: Office No 211, Al Hudaiba Mall, 2nd Floor, Dubai, UAE

Correo electrónico: info@kayanaforbusiness.com

Sitio web: www.kayanaforbusiness.com

Contamos con un Delegado de Protección de Datos al que puede contactar para consultas, dudas o preguntas de privacidad de datos en el Reino Unido, la UE, los EAU, Australia, Canadá y cualquier otra jurisdicción a través de: compliance@kayana.co.uk

Representante en el Reino Unido/UE - Sarfraaz Patel

2. INFORMACIÓN QUE NOSOTROS O EL PSP PODEMOS RECOPILAR

Nosotros o nuestros proveedores de servicios de pago ("PSP") (actualmente Stripe, Ryft, Mollie y Nuvei) podemos recopilar y tratar las siguientes categorías de datos personales. Por lo general, no almacenamos ninguna documentación personal de ningún cliente/comerciante. Los documentos recopilados serán almacenados por el PSP.

Información de identidad

• Nombre completo
• Fecha de nacimiento
• Nacionalidad
• Documentos de identificación emitidos por el gobierno
• Fotografías
• Información de verificación

Información de contacto

• Dirección de correo electrónico
• Número de teléfono
• Dirección postal
• País de residencia

Información sobre donaciones

• Importes de las donaciones
• Historial de donaciones
• Información de la campaña
• Referencias de transacciones
• Declaraciones de Gift Aid (cuando proceda)
• Preferencias de donación

Información sobre la Causa y el Comerciante

• Datos de la organización
• Información de registro
• Información sobre titularidad real
• Información de fideicomisarios o directores
• Documentación de cumplimiento

Información financiera

Por lo general, no almacenamos los datos completos de la tarjeta de pago.

La información de pago puede ser recopilada y tratada por PSP e instituciones financieras autorizados.

Podemos recibir:

• Confirmaciones de pago
• Referencias de transacciones
• Información de liquidación
• Metadatos de pago limitados

Información técnica

• Dirección IP
• Tipo de navegador
• Información del dispositivo
• Sistema operativo
• Datos de sesión
• Identificadores de dispositivo
• Cookies y tecnologías similares

Información de cumplimiento

• Resultados de la verificación de blanqueo de capitales (AML)
• Resultados de la verificación de sanciones
• Información de supervisión del fraude
• Evaluaciones de riesgo
• Información de cumplimiento normativo

3. CÓMO RECOPILAMOS LA INFORMACIÓN

Recopilamos información:

• Directamente de usted
• A través de formularios y registros
• Durante las transacciones de donación
• A través de comunicaciones con nosotros
• A través de cookies y tecnologías de análisis
• De PSP e instituciones financieras
• De proveedores de verificación
• De registros públicos y bases de datos de cumplimiento
• De organismos reguladores y de aplicación de la ley cuando la ley lo permita

4. FINALIDADES DEL TRATAMIENTO

Tratamos los datos personales para las siguientes finalidades:

Administración de la Plataforma

• Creación y gestión de cuentas
• Operación de la Plataforma
• Prestación de atención al cliente

Donaciones y recaudación de fondos

• Procesamiento de donaciones
• Gestión de campañas de recaudación de fondos
• Apoyo a las comunicaciones con los donantes

Cumplimiento

• Realización de comprobaciones KYC y KYB
• Realización de verificación de sanciones
• Realización de comprobaciones contra el blanqueo de capitales
• Prevención de delitos financieros
• Cumplimiento de obligaciones normativas

Seguridad

• Detección de fraude
• Supervisión de actividad sospechosa
• Protección de la integridad de la Plataforma
• Prevención del acceso no autorizado

Operaciones comerciales

• Análisis
• Investigación
• Mejora del servicio
• Elaboración de informes
• Auditoría

Marketing y comunicaciones

Cuando la ley lo permita:

• Envío de actualizaciones
• Envío de notificaciones de servicio
• Comunicación de novedades sobre recaudación de fondos
• Marketing de servicios relacionados

5. BASE JURÍDICA DEL TRATAMIENTO

Cuando resulten aplicables el UK GDPR, el EU GDPR o normas similares, el tratamiento podrá basarse en:

Necesidad contractual

Cuando el tratamiento sea necesario para prestar la Plataforma.

Obligaciones legales

Cuando el tratamiento sea necesario para cumplir con las leyes y normativas aplicables.

Intereses legítimos

Incluyendo:

• la prevención del fraude;
• la supervisión de la seguridad;
• la mejora del servicio;
• la administración empresarial;
• el cumplimiento normativo.

Consentimiento

Cuando la ley exija el consentimiento.

Usted puede retirar su consentimiento en cualquier momento.

Resumen de finalidad y base jurídica

La tabla siguiente resume la base jurídica principal en la que nos apoyamos para cada finalidad principal. Cuando pueda aplicarse más de una base, nos basamos en la más adecuada según las circunstancias.

6A. DATOS DE CATEGORÍA ESPECIAL Y DATOS BIOMÉTRICOS

Como parte de la verificación de identidad, nosotros o nuestros proveedores de verificación podemos tratar documentos de identificación emitidos por el gobierno y fotografías, que pueden constituir datos de categoría especial (incluidos los datos biométricos utilizados con la finalidad de identificar de manera unívoca a una persona) conforme al Article 9 del UK GDPR/EU GDPR.

Cuando tratamos estos datos, lo hacemos sobre la base de:

• su consentimiento explícito; y/o
• la condición de interés público sustancial relativa a la prevención o detección de actos ilícitos, fraude y cumplimiento de las obligaciones contra el blanqueo de capitales y la financiación del terrorismo,

según lo permitido por la ley aplicable y sujeto a garantías adecuadas. Cuando nos basamos en la condición de interés público sustancial, mantenemos un documento interno de política adecuada (Appropriate Policy Document) que establece nuestras medidas de cumplimiento y nuestro criterio de conservación para estos datos, de conformidad con la Data Protection Act 2018 del Reino Unido.

6. SANCIONES, AML Y PREVENCIÓN DEL FRAUDE

Kayana puede tratar datos personales para:

• la verificación de sanciones;
• los controles contra el blanqueo de capitales;
• la detección de fraude;
• los controles contra la financiación del terrorismo;
• las evaluaciones de riesgo;
• las investigaciones regulatorias.

Cuando sea necesario, la información podrá divulgarse a reguladores, organismos de aplicación de la ley, PSP, instituciones financieras y autoridades gubernamentales.

7. DIVULGACIÓN DE INFORMACIÓN

Podemos divulgar datos personales, cuando y si es necesario, a:

Proveedores de servicios

• PSP
• Bancos
• Proveedores de verificación
• Proveedores de servicios en la nube
• Proveedores de análisis
• Proveedores de seguridad
• Proveedores de atención al cliente

Reguladores y autoridades

• Organismos de aplicación de la ley
• Autoridades reguladoras
• Tribunales y juzgados
• Organismos gubernamentales

Operaciones corporativas

En relación con:

• fusiones;
• adquisiciones;
• reestructuraciones;
• inversiones;
• operaciones de financiación.

No vendemos datos personales.

No compartimos datos personales con fines de publicidad conductual entre contextos (cross-context behavioural advertising) tal como se define en la CCPA/CPRA. Si esto cambiara, actualizaremos esta Política y proporcionaremos un mecanismo para optar por no participar (opt out).

Causas, organizaciones benéficas y comerciantes

Cuando usted done a una causa, organización benéfica o comerciante específico registrado en la Plataforma, podemos compartir información relevante del donante (como su nombre, datos de contacto e importe de la donación) con dicha organización para que pueda reconocer su donación, emitir recibos o reclamar Gift Aid. Cada causa, organización benéfica o comerciante actúa como un responsable del tratamiento independiente respecto de los datos personales que recibe de este modo, y su propia política de privacidad regirá el uso de sus datos. No somos responsables de cómo una causa, organización benéfica o comerciante utilice sus datos una vez que estos les hayan sido divulgados lícitamente.

8. TRANSFERENCIAS INTERNACIONALES

Los datos personales pueden ser transferidos a, tratados en o accedidos desde:

• el Reino Unido
• el Espacio Económico Europeo
• los Estados Unidos
• los Emiratos Árabes Unidos
• Arabia Saudita
• Canadá
• Australia
• otras jurisdicciones en las que operen nuestros proveedores

Cuando los datos personales se transfieran desde el Reino Unido o el EEE a un país que no cuente con una decisión de adecuación (incluidos los Emiratos Árabes Unidos, Arabia Saudita y los Estados Unidos, salvo para los participantes en un marco aprobado), aplicamos garantías adecuadas, que pueden incluir:

• el UK International Data Transfer Agreement o el UK Addendum a las Cláusulas Contractuales Tipo de la UE;
• las Cláusulas Contractuales Tipo de la UE;
• la adhesión a un marco de certificación aprobado (por ejemplo, el EU-US Data Privacy Framework), cuando el destinatario participe; o
• otros mecanismos de transferencia lícitos reconocidos por la ley aplicable.

Puede solicitar más información sobre las garantías que hemos implementado poniéndose en contacto con nosotros a través de los datos indicados en la Sección 17.

9. CONSERVACIÓN DE DATOS

Conservamos los datos personales solo durante el tiempo razonablemente necesario para las finalidades para las que fueron recopilados, aplicando los siguientes períodos de conservación generales:

Los períodos de conservación podrán ampliarse cuando sea necesario por obligaciones legales, requisitos contra el blanqueo de capitales, prevención del fraude, cumplimiento fiscal, resolución de controversias o investigaciones regulatorias. Determinados registros de cumplimiento podrán conservarse hasta diez (10) años o más cuando así lo exija la ley.

10. SEGURIDAD

Mantenemos garantías técnicas y organizativas razonables diseñadas para proteger los datos personales.

Las medidas pueden incluir:

• cifrado;
• controles de acceso;
• sistemas de supervisión;
• procedimientos de autenticación;
• pruebas de seguridad.

No obstante, ningún sistema puede garantizar una seguridad absoluta.

10A. NOTIFICACIÓN DE VIOLACIONES DE SEGURIDAD DE DATOS

Si tenemos conocimiento de una violación de la seguridad de los datos personales que suponga un riesgo para sus derechos y libertades, procederemos, cuando así lo exija la ley aplicable, a:

• notificar a la autoridad de control competente (como la ICO) sin dilación indebida y, cuando sea factible, en un plazo de 72 horas desde que tengamos conocimiento de la violación; y
• notificarle directamente a usted, sin dilación indebida, cuando sea probable que la violación entrañe un alto riesgo para sus derechos y libertades.

Cualquier notificación que le enviemos describirá la naturaleza de la violación, sus posibles consecuencias y las medidas adoptadas o propuestas para abordarla y mitigar sus efectos.

11. COOKIES Y TECNOLOGÍAS SIMILARES

¿Qué son las cookies?

Las cookies son pequeños archivos de texto que se colocan en su dispositivo cuando visita o utiliza la Plataforma.

También podemos utilizar:

• píxeles;
• balizas web (web beacons);
• tecnologías de almacenamiento local;
• SDK;
• identificadores de dispositivo;
• tecnologías de seguimiento similares.

Tipos de cookies que utilizamos

Cookies estrictamente necesarias

Estas cookies son esenciales para el funcionamiento de la Plataforma.

Algunos ejemplos son:

• la autenticación de usuarios;
• la supervisión de la seguridad;
• el procesamiento de donaciones;
• la prevención del fraude;
• la gestión de la sesión.

Estas cookies no se pueden desactivar a través de nuestros sistemas.

Cookies funcionales

Estas cookies nos permiten recordar preferencias y mejorar la usabilidad.

Algunos ejemplos son:

• la configuración de idioma;
• las preferencias de accesibilidad;
• la configuración regional.

Cookies de análisis

Estas cookies nos ayudan a comprender cómo los usuarios interactúan con la Plataforma.

Algunos ejemplos son:

• las visitas a páginas;
• la duración de la sesión;
• los patrones de tráfico;
• las estadísticas de comportamiento de los usuarios.

Los datos de análisis pueden agregarse y anonimizarse.

Cookies de marketing

Cuando la ley lo permita, las cookies de marketing pueden utilizarse para:

• medir la eficacia de las campañas;
• mejorar las comunicaciones;
• analizar el rendimiento publicitario.

Cookies de terceros

Terceros pueden colocar cookies a través de la Plataforma, entre ellos:

• PSP;
• proveedores de análisis;
• proveedores de servicios en la nube;
• proveedores de seguridad;
• proveedores de comunicaciones.

Su uso se rige por sus propias políticas de privacidad.

Consentimiento de cookies

Cuando la ley lo exija, solicitaremos su consentimiento antes de colocar cookies no esenciales.

Usted puede:

• aceptar cookies;
• rechazar cookies;
• retirar el consentimiento;
• modificar las preferencias de cookies.

Las Cookies estrictamente necesarias permanecen activas, ya que son necesarias para el funcionamiento de la Plataforma.

Gestión de cookies

La mayoría de los navegadores le permiten:

• bloquear cookies;
• eliminar cookies;
• recibir notificaciones sobre cookies;
• controlar la configuración de cookies.

Desactivar las cookies puede afectar a la funcionalidad de la Plataforma.

Seguridad y supervisión del fraude

Kayana puede utilizar cookies y tecnologías de dispositivo para:

• detectar fraude;
• autenticar a los usuarios;
• prevenir el compromiso de cuentas;
• apoyar los controles AML;
• proteger la seguridad de la Plataforma.

11A. COMUNICACIONES DE MARKETING

Cuando enviamos marketing electrónico (como correo electrónico o SMS) a personas físicas, cumplimos con las Privacy and Electronic Communications Regulations del Reino Unido ("PECR") y con las leyes equivalentes en otras jurisdicciones cuando resulten aplicables. Esto significa que:

• solo enviaremos marketing por correo electrónico o SMS con su consentimiento, o basándonos en la excepción de "soft opt-in" para donantes/clientes existentes en relación con servicios similares, cuando esté permitido;
• incluiremos un mecanismo de baja/exclusión en cada comunicación de marketing; y
• dejaremos de enviarle comunicaciones de marketing con prontitud una vez que se dé de baja, si bien seguiremos enviando las comunicaciones transaccionales/de servicio necesarias para gestionar su cuenta.

12. SUS DERECHOS

Con sujeción a la ley aplicable, usted puede tener derecho a:

• acceder a los datos personales;
• corregir datos inexactos;
• suprimir datos personales;
• limitar el tratamiento;
• oponerse al tratamiento;
• solicitar la portabilidad;
• retirar el consentimiento.

Las solicitudes pueden enviarse a: info@kayanaforbusiness.com

Responderemos a su solicitud en el plazo de un mes desde su recepción. Este plazo podrá ampliarse dos meses adicionales cuando la solicitud sea compleja o hayamos recibido varias solicitudes de su parte, en cuyo caso se lo comunicaremos dentro del plazo de un mes y le explicaremos por qué es necesaria la ampliación.

Es posible que le solicitemos verificación de identidad antes de responder.

Derechos adicionales para residentes de EE. UU.

Si usted es residente de un estado de EE. UU. con una ley de privacidad aplicable (como California), también puede tener derecho a:

• optar por no participar en la venta o el intercambio (sharing) de su información personal (actualmente no vendemos ni compartimos información personal según se describe en la Sección 7);
• limitar el uso de información personal sensible; y
• no ser objeto de discriminación por ejercer sus derechos de privacidad.

13. MENORES

La Plataforma no está destinada a personas menores de 18 años.

No recopilamos a sabiendas datos personales de menores sin la autorización legal adecuada.

Cuando una campaña de recaudación de fondos sea gestionada por o en nombre de un menor (por ejemplo, una recaudación de fondos de un colegio o de un grupo juvenil), exigimos que la campaña se registre y supervise por un padre, madre, tutor, profesor u otro adulto responsable, quien actuará como titular de la cuenta y punto de contacto de dicha campaña. Si tenemos conocimiento de que hemos recopilado datos personales directamente de un menor sin el consentimiento o la autorización legal adecuados, tomaremos medidas razonables para eliminar esa información con prontitud.

14. TOMA DE DECISIONES AUTOMATIZADA

Kayana puede utilizar sistemas automatizados para:

• la detección de fraude;
• la verificación de sanciones;
• las evaluaciones de cumplimiento;
• la supervisión de riesgos.

Dicho tratamiento puede contribuir a decisiones relativas al acceso a la Plataforma o a la aprobación de transacciones.

Cuando dicho tratamiento dé lugar a una decisión basada únicamente en medios automatizados que produzca un efecto jurídico o le afecte de modo similarmente significativo (por ejemplo, una transacción bloqueada o una cuenta suspendida), usted tiene derecho a:

• obtener intervención humana y solicitar que una persona revise la decisión;
• expresar su punto de vista; y
• impugnar la decisión.

Para ejercer estos derechos, póngase en contacto con nosotros a través de los datos indicados en la Sección 17. No utilizaremos toma de decisiones automatizada que produzca dichos efectos basándose en datos de categoría especial a menos que se cumpla una condición adicional conforme al Article 9 y al Article 22(4) GDPR.

14A. GIFT AID Y DIVULGACIÓN A HMRC

Si realiza una declaración de Gift Aid, compartiremos la información contenida en dicha declaración — incluidos su nombre, domicilio y datos de la donación — con HM Revenue & Customs ("HMRC") con el fin de permitir que la organización benéfica o causa correspondiente reclame la desgravación fiscal de Gift Aid sobre su donación. Esta información también podrá compartirse con la organización benéfica o causa que esté apoyando, para que pueda presentar y justificar la reclamación. Conservamos las declaraciones de Gift Aid y los registros justificativos durante el período exigido por las directrices de HMRC.

15. MODIFICACIONES DE ESTA POLÍTICA

Podemos modificar esta Política de Privacidad de tiempo en tiempo.

Las versiones actualizadas se publicarán en la Plataforma.

Cuando los cambios sean sustanciales — por ejemplo, un cambio que afecte a sus derechos o a la forma en que utilizamos sus datos personales —, tomaremos medidas razonables para notificárselo directamente (por ejemplo, mediante correo electrónico o un aviso dentro de la aplicación), además de publicar la Política actualizada.

El uso continuado de la Plataforma tras la publicación constituye el reconocimiento de la Política actualizada.

16. RECLAMACIONES

Si tiene inquietudes respecto de nuestro tratamiento de datos personales, póngase en contacto con nosotros en primer lugar.

Cuando proceda, también puede presentar una reclamación ante la autoridad de control competente, entre ellas:

• la Information Commissioner's Office ("ICO") en el Reino Unido (ico.org.uk);
• la autoridad de control competente de su estado miembro del EEE, cuando proceda;
• la UAE Data Office, para reclamaciones relativas al tratamiento en los EAU;
• la Saudi Data & Artificial Intelligence Authority ("SDAIA"), para reclamaciones relativas al tratamiento en Arabia Saudita;
• la Office of the Privacy Commissioner of Canada, o la Commission d'accès à l'information para los residentes de Quebec; y
• la Office of the Australian Information Commissioner ("OAIC"), para los residentes de Australia.

17. CONTÁCTENOS

Kayana for Business Limited

Domicilio social: Office No 211, Al Hudaiba Mall, 2nd Floor, Dubai, UAE

Correo electrónico: info@kayanaforbusiness.com

Sitio web: www.kayanaforbusiness.com