Política de Privacidad

Last updated: May 29, 2026 · Effective: May 29, 2026 · [email protected]

1. Quiénes Somos (Controlador de Datos)

NeverHodl ("NeverHodl™", "nosotros", "nuestro") es una plataforma de inteligencia de ciclos del mercado de criptomonedas operada por Luis Armando Fraga, NIF 110.039.537-78, registrada en España. Marca registrada: OEPM M4370276 (Clases 36 y 42).

Website: neverhodl.com · Contact: [email protected] · Supervisory authority: AEPD (Spain)

2. Datos que Recopilamos

2.1 Datos de cuenta (al registrarse)

• Email address - required to create your account
• Display name - optional, chosen by you
• Password - securely hashed (bcrypt), never stored in plaintext
• Language preference and timezone
• Authentication method - email/password or X (Twitter) OAuth

2.2 Datos opcionales del perfil

• Telegram username - for community alerts (optional)
• X/Twitter handle - for social share verification (optional)
• Avatar emoji - chosen from a predefined set

2.3 Datos de pago

• Stripe customer ID - links your account to your Stripe subscription. We do NOT store credit card numbers, CVV, or full payment details. All payment processing is handled by Stripe (PCI DSS Level 1 certified).
• Subscription status - tier, billing period, cancellation state

2.4 Datos de uso (recopilados automáticamente)

• API usage logs - endpoint, response time, IP address (hashed for analytics). Retained 90 days.
• Login activity - timestamps, login streak. No passwords are logged.
• Audit log - security events (tier changes, admin actions). Retained 2 years for compliance.
• Analytics - if you consent, Google Analytics 4 with IP anonymisation. No personal identifiers.

2.5 Datos de la comunidad

• Chat messages - content you post in community channels. Soft-deleted messages are purged after 90 days.
• Push notification tokens - device tokens for sending phase alerts (if enabled).

2.6 Lo que NO recopilamos

• Números de tarjeta de crédito ni datos de pago (Stripe los gestiona)
• Documentos de identidad o identificaciones gubernamentales
• Geolocalización precisa
• Números de teléfono ni direcciones físicas
• Direcciones de billetera ni datos de transacciones on-chain

3. Cómo Usamos Sus Datos

• Provide the service: display your dashboard, NHCI scores, cycle history, and AI analysis
• Account management: authentication, subscription management, profile settings
• Notifications: phase change alerts, daily briefings, payment alerts (based on your preferences)
• Marketing emails: NHCI updates, educational content (only with your opt-in consent)
• Security: rate limiting, fraud prevention, audit logging
• Analytics: anonymised, pseudonymised usage statistics to improve the product

4. Base Legal (RGPD Art. 6)

• Contract (Art. 6.1.b) - processing necessary to provide the service you signed up for
• Consent (Art. 6.1.a) - marketing emails, analytics cookies, push notifications. Withdrawable at any time.
• Legitimate interest (Art. 6.1.f) - security logging, fraud prevention, service improvement
• Legal obligation (Art. 6.1.c) - audit logs for compliance, tax-related subscription records

5. Preferencias de Notificaciones

You have granular control over every notification channel. Manage preferences in your profile settings:

Canal	Predeterminado	Tipo
Correos de marketing (actualizaciones NHCI, análisis)	Desactivado	Requiere consentimiento
Correos del producto (bienvenida, pago, suscripción)	Activado	Transaccional
Notificaciones push (cambios de fase, alertas de puntuación)	Activado	Consentimiento vía permiso del dispositivo
Alertas de Telegram (informe diario)	Desactivado	Requiere consentimiento

Puede cancelar la suscripción a los correos de marketing instantáneamente a través del enlace de cancelación con un solo clic en cada correo (conforme a RFC 8058).

6. Cookies

• Strictly necessary: language preference, cookie consent state, authentication tokens. Cannot be disabled.
• Analytics (optional): Google Analytics 4 with IP anonymisation. Only placed after your explicit consent via the cookie banner.
• No advertising or tracking cookies are used.

7. Compartición de Datos

Utilizamos los siguientes subencargados del tratamiento:

Proveedor	Finalidad	Datos tratados
Supabase	Base de datos, autenticación	Datos de cuenta, cifrados en reposo
Stripe	Procesamiento de pagos	Método de pago, datos de facturación
Resend	Envío de correos electrónicos	Dirección de correo, contenido del correo
Vercel	Alojamiento, funciones serverless	Registros del servidor, direcciones IP
Upstash	Limitación de solicitudes (Redis)	Hashes de IP (sin datos personales)
Firebase	Notificaciones push	Tokens de dispositivo
Google Analytics 4	Analítica anonimizada	Visitas a páginas, sesiones (sujetas a consentimiento)

8. Retención de Datos

Tipo de dato	Retención
Perfil de la cuenta	Hasta que elimine su cuenta
Registros de uso de API	90 días
Registros de actividad	1 año
Registros de auditoría (cumplimiento)	2 años (anonimizados al eliminar la cuenta)
Registro de puntos	2 años
Mensajes de chat eliminados	90 días después de la eliminación
Analítica (GA4)	14 meses (valor predeterminado de Google)
Sesiones de administrador expiradas	24 horas

La limpieza automatizada de datos se ejecuta semanalmente para cumplir estos períodos de retención.

9. Seguridad de los Datos (Art. 32)

Implementamos medidas técnicas y organizativas para proteger sus datos:

• Encryption at rest: sensitive personal data (email, social handles, payment identifiers) is encrypted using AES-256 via PostgreSQL pgcrypto with keys stored in Supabase Vault
• Pseudonymisation: analytics data uses HMAC-SHA256 pseudonymous identifiers. IP addresses are hashed with monthly rotation salt.
• Transport security: HTTPS everywhere with HSTS preload (max-age 2 years), TLS 1.3
• Access control: Row Level Security (RLS) on all database tables. Admin access requires triple-factor authentication (password + email code + TOTP).
• Brute-force protection: account lockout after 5 failed attempts (30-minute cooldown), rate limiting on all endpoints
• Subresource Integrity: SHA-384 hashes on all external CDN scripts
• Content Security Policy: restricts script sources, prevents clickjacking (X-Frame-Options: DENY)
• Dependency security: regular npm vulnerability audits, zero known CVEs
• No PII in logs: server logs never contain email addresses or personal identifiers

En caso de una violación de datos que afecte a sus datos personales, le notificaremos en un plazo de 72 horas según lo exigido por el RGPD Art. 33/34.

10. Sus Derechos

En virtud del RGPD (UE 2016/679), la LOPDGDD (España) y la LGPD (Brasil), usted tiene los siguientes derechos:

• Access (Art. 15): view all data we hold about you in your profile
• Portability (Art. 20): download all your data as JSON from Profile → Account → "Download my data"
• Rectification (Art. 16): update your data in your profile settings at any time
• Erasure (Art. 17): permanently delete your account and all data from Profile → Account → "Delete account"
• Restriction (Art. 18): request that we limit processing - contact us
• Objection (Art. 21): unsubscribe from marketing emails via one-click link or profile toggle
• Withdraw consent: disable any notification channel in your profile at any time

Most rights can be exercised directly from your profile page without contacting us. For requests that require manual processing, email [email protected] - we respond within 30 days (GDPR Art. 12.3).

You also have the right to lodge a complaint with the AEPD (Agencia Española de Protección de Datos) at aepd.es.

11. Transferencias Internacionales

Sus datos pueden ser tratados en la UE y en los Estados Unidos por nuestros subencargados del tratamiento. Las transferencias fuera de la UE/EEE están cubiertas por Cláusulas Contractuales Tipo (CCT) y el Marco de Privacidad de Datos UE-EE.UU. según lo exigido por el RGPD Capítulo V.

12. Menores de Edad

NeverHodl no está dirigido a menores de 16 años. No recopilamos deliberadamente datos personales de menores. Si cree que hemos recopilado datos de un menor de forma inadvertida, contáctenos inmediatamente.

13. Cambios en Esta Política

Podemos actualizar esta Política de Privacidad para reflejar cambios en nuestras prácticas o requisitos legales. Los cambios sustanciales se comunicarán mediante un aviso en el sitio web. La fecha de "Última actualización" en la parte superior indica cuándo se revisó la política por última vez.

14. Aviso Legal

NeverHodl es una plataforma de datos de mercado e inteligencia educativa. Nada en este sitio web constituye asesoramiento financiero, asesoramiento de inversión ni una recomendación para comprar o vender ningún activo. Todas las decisiones de inversión son responsabilidad exclusiva del usuario. Los criptoactivos son altamente volátiles y pueden perder todo su valor.