Política de Privacidad

2INFORMACIÓN QUE RECOPILAMOS

Categorías, fuentes y bases legales del tratamiento

2.1 Datos de registro y cuenta de usuario

Al crear una cuenta en AVORA, recopilamos de forma directa la siguiente información:

• Nombre y apellidos completos
• Correo electrónico (dirección principal de comunicación)
• Número de teléfono (incluyendo código de país)
• País y ciudad de residencia
• Fecha de nacimiento (para verificar la mayoría de edad)
• Contraseña — almacenada exclusivamente mediante hashing criptográfico irreversible (bcrypt o Argon2); nunca en texto plano
• Dirección postal completa (cuando es requerida por proceso KYC o normativa local)

2.2 Datos de verificación de identidad — KYC

En cumplimiento estricto de las regulaciones internacionales contra el lavado de dinero (AML) y de la normativa de conocimiento del cliente (KYC), AVORA requiere la verificación completa de identidad de todos sus inversores antes de procesar cualquier depósito. Esta verificación incluye:

• Documento de identidad oficial vigente: Documento Nacional de Identidad (DNI), cédula de ciudadanía, pasaporte u otro documento equivalente reconocido en el país de residencia del usuario.
• Fotografía de verificación facial (selfie): imagen tomada en tiempo real para cotejo biométrico contra el documento presentado.
• Comprobante de domicilio reciente: factura de servicio público, estado de cuenta bancario u otro documento oficial con nombre y dirección, emitido en los 90 días anteriores a la solicitud.
• Información fiscal: número de identificación tributaria (NIT, RFC, RUT, CUIT u equivalente) según la jurisdicción del usuario.
• Declaración de origen de fondos: cuando la normativa aplicable o la política interna de AVORA así lo requiera, el usuario deberá declarar y acreditar el origen lícito de los fondos que desea invertir.

La recopilación de estos datos no es opcional. Es un requisito legal impuesto por las regulaciones financieras y de prevención de lavado de dinero aplicables en las jurisdicciones donde operamos. Sin completar el proceso KYC, no es posible realizar ningún depósito en la plataforma.

2.3 Datos financieros y de inversión

• Montos exactos de cada depósito realizado en la plataforma
• Plan de inversión seleccionado: Semilla, Brote o Cosecha
• Historial completo e inmutable de todas las transacciones realizadas
• Métodos de pago utilizados: tarjetas de crédito o débito (datos procesados exclusivamente por pasarelas certificadas PCI-DSS — AVORA no almacena números de tarjeta completos ni códigos CVV), o direcciones de billeteras de criptomonedas
• Registro de retiros solicitados y ejecutados
• Historial de rendimientos generados y distribuidos por ciclo
• Saldo actual en la plataforma

2.4 Datos de comunicación y soporte

• Contenido de mensajes enviados a través del formulario de contacto o al correo de soporte
• Transcripciones de conversaciones de soporte al cliente
• Consultas, quejas, sugerencias y cualquier otra comunicación enviada por el usuario
• Preferencias de notificaciones y frecuencia de comunicaciones
• Registros de apertura y lectura de correos electrónicos transaccionales

2.5 Datos técnicos y de comportamiento — Recopilación automática

Al utilizar la plataforma, recopilamos automáticamente la siguiente información técnica:

• Dirección IP (protocolo IPv4 o IPv6)
• Tipo, marca y modelo del dispositivo utilizado
• Sistema operativo y versión
• Navegador web utilizado y su versión
• Identificadores únicos del dispositivo (IMEI, IDFA, GAID u otros según aplique)
• Ubicación geográfica aproximada basada en IP (país, ciudad — no se utiliza GPS sin consentimiento explícito)
• Páginas visitadas dentro de la plataforma, duración de la sesión y flujo de navegación
• Acciones realizadas: clics, formularios completados, secciones consultadas
• Registros de errores técnicos e incidencias en la sesión

2.6 Datos de terceros

Adicionalmente, podemos recibir información sobre el usuario procedente de fuentes externas, siempre de forma legítima y conforme a la ley:

• Proveedores especializados en verificación de identidad y biometría
• Procesadores de pago y plataformas de intercambio de criptomonedas
• Agencias de prevención de fraude y cumplimiento AML
• Redes sociales, cuando el usuario elige conectar voluntariamente su perfil
• Listas de sanciones internacionales y registros públicos de cumplimiento regulatorio
• Bases de datos de personas políticamente expuestas (PEPs) y listas de exclusión financiera

2.7 Bases legales para el tratamiento de datos

Todo tratamiento de datos personales realizado por AG Consulting se sustenta en al menos una de las siguientes bases legales, conforme al GDPR y normativas equivalentes:

Base legal

Aplicación concreta

Ejecución de contrato

Procesamiento necesario para prestar el servicio de inversión acordado con el usuario.

Obligación legal

Verificación KYC/AML, registros financieros, reportes a autoridades regulatorias.

Interés legítimo

Prevención de fraude, seguridad de la plataforma, mejora del servicio.

Consentimiento

Marketing, cookies no esenciales, personalización avanzada — retirable en cualquier momento.

Protección de intereses vitales

Situaciones de seguridad o emergencia que requieran tratamiento de datos.

3USO DE LA INFORMACIÓN PERSONAL

Finalidades específicas y proporcionalidad

AG Consulting procesa la información personal de los usuarios única y exclusivamente para las finalidades descritas a continuación, aplicando el principio de minimización: nunca utilizamos más datos de los estrictamente necesarios para cada propósito.

3.1 Provisión del servicio de inversión

• Crear, verificar, administrar y mantener la cuenta de inversión del usuario
• Procesar depósitos, validar fondos y confirmar inversiones
• Calcular, registrar y distribuir los rendimientos generados al cierre de cada ciclo
• Proporcionar acceso al dashboard personalizado con información en tiempo real
• Emitir y enviar confirmaciones de cada transacción procesada
• Gestionar y ejecutar solicitudes de retiro dentro de los plazos establecidos
• Generar reportes periódicos de inversión para el usuario

3.2 Verificación, seguridad y cumplimiento legal

• Verificar la identidad del usuario mediante los procesos KYC requeridos por ley
• Detectar, prevenir e investigar actividades fraudulentas, lavado de dinero o financiamiento del terrorismo
• Cumplir con todas las obligaciones legales, regulatorias y fiscales aplicables en cada jurisdicción
• Proteger los derechos, la propiedad y los intereses legítimos de AVORA y de sus usuarios
• Responder a solicitudes formales y legítimas de autoridades competentes, reguladores o tribunales
• Mantener registros auditables de todas las operaciones financieras conforme a la normativa vigente

3.3 Comunicación con el usuario

• Enviar notificaciones transaccionales obligatorias sobre el estado de la cuenta y las inversiones
• Proporcionar actualizaciones periódicas sobre el estado del cultivo que respalda la inversión
• Responder consultas de soporte técnico, operativo y de inversión
• Informar al usuario sobre cambios en las políticas, condiciones o estructura de la plataforma
• Emitir alertas de seguridad en caso de actividad inusual o acceso no autorizado detectado

3.4 Mejora del servicio y personalización — Con consentimiento

• Analizar el comportamiento de uso para identificar oportunidades de mejora de la plataforma
• Personalizar la experiencia del usuario según sus preferencias y patrón de inversión
• Desarrollar nuevas funcionalidades y servicios basados en las necesidades detectadas
• Enviar comunicaciones de marketing relevantes y personalizadas — cancelables en cualquier momento

3.5 Investigación, análisis y estadísticas

• Producir análisis estadísticos agregados y completamente anonimizados (sin posibilidad de re-identificación)
• Evaluar tendencias del mercado de cannabis legal y su impacto en el rendimiento de los cultivos
• Optimizar los modelos de proyección de rendimiento y los algoritmos de distribución de la plataforma

3.6 Principio de limitación de finalidad

AG Consulting se compromete formalmente a no utilizar los datos personales del usuario para finalidades distintas a las expresamente descritas en esta sección. Cualquier nuevo uso de los datos que no esté contemplado aquí requerirá bien una nueva base legal aplicable, bien el consentimiento expreso y específico del usuario.

4COMPARTICIÓN DE DATOS CON TERCEROS

Principios de confidencialidad y transferencias autorizadas

AG Consulting NUNCA vende, alquila, cede ni comercializa la información personal de sus usuarios bajo ninguna circunstancia ni a ningún precio. Tus datos no son el producto.

4.1 Proveedores de servicios esenciales — Procesadores de datos

Compartimos datos con terceros estrictamente necesarios para operar el servicio. Todos están obligados contractualmente mediante Acuerdos de Procesamiento de Datos (DPA) que les impiden usar la información para cualquier fin distinto al acordado:

Categoría de proveedor

Propósito específico

Procesadores de pago certificados PCI-DSS

Procesar transacciones con tarjetas de crédito y débito de forma segura.

Exchanges y custodios de criptomonedas

Gestionar depósitos y retiros en activos digitales (USDT, BTC, ETH).

Proveedores de verificación KYC/AML

Verificar identidad mediante biometría y bases de datos regulatorias.

Proveedores de infraestructura cloud

Almacenamiento seguro de datos, bases de datos y servicios de hosting.

Plataformas de análisis web

Análisis de rendimiento de la plataforma e identificación de errores técnicos.

Proveedores de comunicación

Envío de correos transaccionales, SMS y notificaciones push.

Herramientas de soporte al cliente

Gestión de tickets de soporte y comunicaciones de atención al usuario.

Proveedores de ciberseguridad

Detección y prevención de fraude, intrusiones y ciberataques.

Auditores externos

Verificación del cumplimiento legal y financiero de la operación.

4.2 Divulgación por obligación legal

AVORA podrá divulgar información personal sin el consentimiento previo del usuario cuando exista una obligación legal válida y verificable:

• En cumplimiento de una orden judicial, mandamiento o requerimiento legal emitido por autoridad competente
• Cuando lo requieran reguladores financieros, autoridades tributarias o entes de supervisión
• Para cooperar con investigaciones de fraude, lavado de dinero o financiamiento del terrorismo
• Para proteger la seguridad, la vida o los derechos fundamentales de usuarios o terceros
• En cumplimiento de obligaciones internacionales de reporte financiero (FATCA, CRS u equivalentes)

En todos los casos de divulgación obligatoria, AVORA notificará al usuario afectado en la medida en que la ley lo permita, y solo compartirá la información estrictamente indispensable para cumplir con el requerimiento.

4.3 Transacciones corporativas

En caso de fusión, escisión, adquisición total o parcial, venta de activos materiales, reestructuración corporativa o cualquier otra transacción que implique la transferencia de la actividad de AVORA a una nueva entidad, la información de los usuarios podrá ser transferida como parte de dicha transacción. En tal caso:

• La nueva entidad quedará sujeta a las mismas obligaciones de privacidad establecidas en este documento
• Los usuarios serán notificados con al menos 30 días de anticipación a la efectivización de la transferencia
• El usuario tendrá derecho a solicitar la eliminación de sus datos antes de la transferencia, sujeto a las excepciones legales aplicables

4.4 Transferencias con consentimiento expreso del usuario

Fuera de los supuestos anteriores, AVORA solo compartirá información personal con terceros no contemplados en esta sección cuando el usuario haya otorgado un consentimiento libre, informado, específico y previo para esa transferencia concreta.

4.5 Rendición de cuentas de los procesadores

Todos los proveedores con acceso a datos personales de usuarios de AVORA están sujetos a evaluación de seguridad previa a la contratación, y a controles periódicos de cumplimiento. Cualquier proveedor que incumpla las obligaciones de protección de datos establecidas en el DPA será desvinculado de manera inmediata.

5SEGURIDAD Y PROTECCIÓN DE DATOS

Medidas técnicas, organizativas y físicas

La seguridad de la información financiera y personal de nuestros usuarios es una prioridad operativa de primer nivel para AG Consulting. Implementamos un modelo de seguridad por capas que combina medidas técnicas, organizativas y físicas:

5.1 Seguridad técnica

• 🔐 Cifrado en tránsito: todas las comunicaciones entre el dispositivo del usuario y los servidores de AVORA están protegidas mediante TLS 1.3 o superior, con certificados SSL emitidos por autoridades de certificación reconocidas.
• 🔐 Cifrado en reposo: todos los datos almacenados en bases de datos y sistemas de archivos están protegidos con cifrado AES-256, considerado el estándar de seguridad de nivel militar.
• 🔐 Protección de contraseñas: las contraseñas de usuario nunca se almacenan en texto plano. Utilizamos funciones de hash criptográfico (bcrypt con factor de trabajo mínimo 12, o Argon2id) que hacen computacionalmente inviable su recuperación.
• 🔐 Autenticación de dos factores (2FA): disponible y recomendada para todos los usuarios mediante TOTP (aplicaciones como Google Authenticator) o SMS.
• 🔐 Gestión de sesiones seguras: tokens de sesión con expiración automática, renovación segura y revocación inmediata ante comportamiento anómalo.
• 🔐 Firewalls de aplicación web (WAF): protección contra ataques comunes incluyendo inyección SQL, cross-site scripting (XSS) y ataques de fuerza bruta.
• 🔐 Sistemas de detección y prevención de intrusiones (IDS/IPS): monitoreo continuo del tráfico de red en tiempo real.
• 🔐 Pruebas de penetración: realizadas periódicamente por equipos de seguridad externos independientes.
• 🔐 Gestión de vulnerabilidades: programa continuo de identificación, priorización y remediación de vulnerabilidades en todos los sistemas.

5.2 Seguridad organizativa

• Principio de privilegio mínimo: cada miembro del equipo de AVORA tiene acceso únicamente a los datos estrictamente necesarios para su función específica.
• Control de acceso basado en roles (RBAC): todos los accesos a datos sensibles están documentados, registrados en logs auditables y revisados trimestralmente.
• Formación obligatoria en protección de datos: todo el personal de AG Consulting recibe capacitación periódica en ciberseguridad, protección de datos y cumplimiento GDPR.
• Acuerdos de confidencialidad: todos los empleados, consultores y proveedores con acceso a datos de usuarios firman acuerdos de no divulgación (NDA) vinculantes.
• Plan de respuesta a incidentes: protocolo documentado y ensayado regularmente para la gestión de brechas de seguridad, con tiempos de respuesta definidos.
• Segmentación de redes: los entornos de producción, desarrollo y administración están completamente separados.

5.3 Procedimiento ante brechas de seguridad

En caso de que ocurra una brecha de seguridad que pueda afectar los datos personales o financieros de los usuarios, AG Consulting activará el siguiente protocolo:

• Dentro de las primeras 24 horas: contención del incidente, evaluación del alcance y notificación interna al equipo de respuesta.
• Dentro de las 72 horas: notificación a las autoridades de protección de datos competentes, conforme lo requiere el GDPR y normativas equivalentes.
• Notificación a usuarios afectados: tan pronto como sea técnicamente posible, se notificará a los usuarios cuya información haya sido comprometida, detallando la naturaleza del incidente, los datos afectados y las medidas adoptadas.
• Informe post-incidente: análisis forense completo y publicación de lecciones aprendidas para prevenir recurrencias.

Pese a todas las medidas implementadas, ningún sistema tecnológico ofrece garantías absolutas de seguridad. AG Consulting no puede garantizar que terceros maliciosos no logren superar las medidas de protección implementadas. En caso de brecha, la responsabilidad de AG Consulting estará limitada a lo establecido en la Sección 13 de este documento.

5.4 Responsabilidades del usuario en materia de seguridad

• Elegir una contraseña robusta, única para AVORA y distinta a la utilizada en otros servicios.
• Activar la autenticación de dos factores (2FA) — AVORA la recomienda enfáticamente para todos los usuarios.
• Cerrar sesión correctamente al finalizar cada sesión, especialmente en dispositivos compartidos.
• No compartir credenciales de acceso con terceros bajo ninguna circunstancia.
• Notificar de inmediato al equipo de soporte (contacto@avorainvestment.com) ante cualquier sospecha de acceso no autorizado.
• Mantener actualizados el sistema operativo, el navegador y las aplicaciones del dispositivo utilizado para acceder a AVORA.

6RETENCIÓN Y ELIMINACIÓN DE DATOS

Plazos, criterios y procedimientos de destrucción segura

6.1 Criterios generales de retención

AG Consulting conserva los datos personales de sus usuarios durante el tiempo mínimo necesario para cumplir con los propósitos del tratamiento, las obligaciones contractuales, los requerimientos legales y los plazos de prescripción aplicables. Los criterios que determinan el período de retención son:

• Duración de la relación contractual activa entre el usuario y AVORA
• Plazos legales de conservación de registros financieros impuestos por regulaciones nacionales e internacionales
• Plazos de prescripción legal aplicables para disputas contractuales y acciones legales
• Obligaciones regulatorias de reporte y auditoría financiera
• Necesidades operativas de prevención de fraude y gestión de riesgos

6.2 Tabla de períodos de retención específicos

Categoría de dato

Período de retención

Datos de cuenta activa

Mientras la cuenta permanezca activa

Datos de transacciones financieras

Mínimo 7 años desde la transacción

Registros KYC y verificación de identidad

5 años mínimo tras cierre de cuenta

Historial de inversiones y rendimientos

7 años mínimo

Comunicaciones de soporte al cliente

3 años desde la última comunicación

Datos de marketing y consentimientos

Hasta retiro del consentimiento + 1 año

Registros de cookies de análisis

Máximo 13 meses

Logs de seguridad y auditoría

Mínimo 5 años

Datos de reclamaciones y disputas

Hasta resolución definitiva + 3 años

Documentos KYC (fotos de identidad)

5 años tras cierre de cuenta

6.3 Eliminación y destrucción segura de datos

Cuando el período de retención venza y no exista ninguna otra obligación legal que justifique conservar los datos, AG Consulting procederá a su eliminación segura mediante uno de los siguientes métodos, según el tipo de dato y soporte:

• Sobrescritura segura: múltiples pasadas de sobreescritura para datos en medios magnéticos o de estado sólido (estándar NIST 800-88 o equivalente).
• Destrucción física: triturado o incineración de soportes físicos que no puedan ser sobreescritos.
• Anonimización irreversible: cuando la eliminación no sea posible pero el dato pueda conservarse sin identificar al usuario, se aplicará anonimización que impida la re-identificación incluso mediante técnicas avanzadas.

6.4 Derecho a la eliminación anticipada

El usuario puede solicitar la eliminación de sus datos antes del vencimiento del período de retención ordinario. Esta solicitud será atendida salvo que exista una de las siguientes excepciones, que AVORA comunicará explícitamente al usuario junto con su negativa total o parcial:

• El dato es necesario para cumplir con una obligación legal vigente.
• El dato es necesario para el ejercicio o defensa de reclamaciones legales.
• La cuenta tiene operaciones financieras activas o pendientes de liquidar.

7DERECHOS DEL USUARIO SOBRE SUS DATOS

Catálogo completo, procedimiento de ejercicio y plazos de respuesta

AVORA reconoce y garantiza el ejercicio efectivo de los siguientes derechos sobre los datos personales, conforme al Reglamento General de Protección de Datos (GDPR) de la UE y las normativas equivalentes aplicables en América Latina:

Derecho

Descripción

Acceso (Art. 15 GDPR)

Obtener una copia de todos los datos personales que AVORA tiene sobre ti, junto con información sobre el tratamiento aplicado.

Rectificación (Art. 16 GDPR)

Corregir datos inexactos, desactualizados o incompletos. Puedes actualizar muchos directamente en tu perfil.

Eliminación (Art. 17 GDPR)

Solicitar la supresión de tus datos cuando ya no sean necesarios, hayas retirado el consentimiento o se hayan tratado ilícitamente.

Limitación (Art. 18 GDPR)

Solicitar que se restrinja temporalmente el tratamiento de tus datos mientras se resuelve una disputa sobre su exactitud o legalidad.

Portabilidad (Art. 20 GDPR)

Recibir tus datos en formato estructurado, de uso común y lectura mecánica (JSON o CSV) para transferirlos a otro servicio.

Oposición (Art. 21 GDPR)

Oponerte al tratamiento de tus datos para fines de marketing directo, perfilado o interés legítimo.

Retirar consentimiento

Retirar en cualquier momento el consentimiento otorgado para tratamientos basados en él, sin afectar la licitud de los tratamientos previos.

Queja ante autoridad

Presentar una reclamación ante la autoridad de protección de datos de tu país si consideras vulnerados tus derechos.

7.1 Procedimiento para ejercer tus derechos

Para ejercer cualquiera de los derechos anteriores, el usuario deberá enviar una solicitud por escrito que incluya la siguiente información:

• Nombre completo tal y como aparece registrado en la plataforma
• Correo electrónico vinculado a la cuenta AVORA
• Descripción específica y clara del derecho que desea ejercer y, en su caso, los datos concretos a los que se refiere
• Copia de documento de identidad oficial para verificar que quien solicita es el titular de los datos

Canal preferente: Email: contacto@avorainvestment.com

Canal alternativo: Formulario web: avorainvestment.com/privacidad

Plazo de respuesta: Máximo 30 días calendario desde la recepción de la solicitud completa

Prórroga: En casos complejos o de gran volumen, se podrá prorrogar hasta 60 días, notificando al usuario dentro del primer mes

7.2 Limitaciones al ejercicio de derechos

AG Consulting podrá denegar total o parcialmente el ejercicio de un derecho cuando:

• Exista una obligación legal que impida la eliminación o limitación del dato solicitado.
• El dato sea necesario para la defensa de reclamaciones legales en curso o previsibles.
• La solicitud sea manifiestamente infundada, repetitiva o abusiva — en cuyo caso podrá cobrarse una tasa razonable o rechazarse, notificando los motivos al usuario.
• La solicitud afecte los derechos y libertades de terceros.

8PRIVACIDAD DE MENORES DE EDAD

Prohibición absoluta y procedimiento de actuación

AVORA es una plataforma financiera diseñada exclusivamente para personas mayores de 18 años con plena capacidad jurídica para contratar. Está terminantemente prohibido el uso de la plataforma por parte de menores de edad.

• AG Consulting no recopila, solicita, almacena ni procesa intencionalmente información personal de personas menores de 18 años.
• En el proceso de registro, el usuario declara bajo su responsabilidad ser mayor de edad. Proporcionar una declaración falsa sobre la mayoría de edad constituye una violación de estos términos y puede tener consecuencias legales.
• Si AG Consulting descubriera que un usuario menor de edad ha completado un registro o realizado operaciones en la plataforma, procederá de inmediato a la suspensión de la cuenta, la devolución de los fondos disponibles y la eliminación de todos los datos personales del menor.
• Los padres, madres o tutores legales que tengan conocimiento o sospecha de que un menor a su cargo ha accedido a la plataforma deberán notificarlo de inmediato a contacto@avorainvestment.com, facilitando los datos necesarios para la verificación y actuación.

9TRANSFERENCIAS INTERNACIONALES DE DATOS

Salvaguardas y garantías aplicables

Dado que AVORA opera a nivel internacional y se apoya en proveedores de servicios ubicados en distintas jurisdicciones, puede ser necesario transferir datos personales a países distintos al país de residencia del usuario. Estas transferencias se realizan siempre bajo las siguientes garantías:

9.1 Mecanismos de transferencia aplicados

• Cláusulas Contractuales Tipo (CCT/SCC): contratos aprobados por la Comisión Europea que establecen las obligaciones de protección de datos exigibles al destinatario de los datos en terceros países.
• Verificación de nivel de protección adecuado: para transferencias a países reconocidos por la Comisión Europea o por las autoridades regulatorias equivalentes como que ofrecen un nivel de protección adecuado.
• Normas Corporativas Vinculantes (BCR): aplicables en el contexto de transferencias dentro del grupo empresarial, cuando corresponda.
• Acuerdos de procesamiento de datos (DPA): celebrados con todos los proveedores internacionales, incluyendo compromisos expresos de cumplimiento con las normativas de privacidad aplicables.

9.2 Destinos habituales de las transferencias

Las transferencias internacionales de datos se realizan principalmente hacia los siguientes destinos, en función de los proveedores de servicios utilizados:

• Estados Unidos: proveedores de infraestructura cloud y herramientas de análisis (sujetos a DPA y CCT).
• Unión Europea: servidores de hosting y proveedores de servicios de pago (bajo jurisdicción GDPR).
• Otros países de América Latina: procesadores de pago y proveedores de KYC regionales.

El usuario puede solicitar información detallada sobre las transferencias internacionales que le afectan específicamente escribiendo a contacto@avorainvestment.com.

11COMUNICACIONES Y MARKETING

Tipos, bases legales y derechos de cancelación

11.1 Comunicaciones transaccionales — Obligatorias

Las siguientes comunicaciones son parte esencial del servicio y no pueden ser desactivadas por el usuario, ya que son necesarias para la correcta ejecución del contrato:

• Confirmaciones de depósitos, retiros y transacciones procesadas
• Alertas de seguridad: intentos de acceso no autorizados, cambios de contraseña y actividad inusual
• Actualizaciones del ciclo de cultivo y del estado de la inversión
• Notificaciones de cierre de ciclo y distribución de rendimientos
• Comunicaciones sobre cambios en Términos, Políticas o condiciones del servicio
• Respuestas a solicitudes de soporte al cliente

11.2 Comunicaciones comerciales y de marketing — Opcionales

Con el consentimiento expreso del usuario, AVORA puede enviar comunicaciones comerciales que incluyen:

• Información sobre nuevos ciclos de inversión y disponibilidad de cupos
• Noticias sobre el sector del cannabis legal en América Latina
• Contenido educativo sobre finanzas, inversión y mercados alternativos
• Invitaciones a eventos, webinars o sesiones informativas
• Ofertas especiales y comunicaciones promocionales

11.3 Derechos de cancelación y opt-out

El usuario puede cancelar las comunicaciones de marketing en cualquier momento a través de:

• El enlace de cancelacion de suscripcion incluido en el pie de cada correo de marketing
• La sección de Preferencias de Notificaciones en el perfil de usuario de la plataforma
• Enviando una solicitud explícita a contacto@avorainvestment.com

AG Consulting procesará la solicitud de cancelación en un plazo máximo de 10 días hábiles. Pasado ese plazo, el usuario no recibirá más comunicaciones de marketing hasta nuevo consentimiento.

17CUMPLIMIENTO REGULATORIO INTERNACIONAL

Marco normativo aplicable y responsabilidades

AG Consulting garantiza que el diseño, la operación y las prácticas de tratamiento de datos de AVORA se ajustan a los siguientes marcos regulatorios internacionales:

Marco regulatorio

Aplicación y compromisos de AVORA

GDPR (UE) 2016/679

Para usuarios en la UE/EEE: base legal explícita para cada tratamiento, registro de actividades, DPO disponible, notificación de brechas en 72h.

CCPA (California, EE.UU.)

Para residentes de California: derecho a conocer, eliminar y optar por no vender datos; prohibición de discriminación por ejercicio de derechos.

LGPD (Brasil) — Ley 13.709/2018

Para usuarios en Brasil: bases legales específicas, DPO designado, reporte de incidentes a la ANPD.

Ley 1581/2012 (Colombia)

Para usuarios en Colombia: registro de bases de datos, habeas data, autorización expresa.

LFPDPPP (México)

Para usuarios en México: aviso de privacidad, derechos ARCO, transferencias con consentimiento.

Directiva 5AMLD/6AMLD (UE) — AML

Verificación KYC reforzada, monitoreo de transacciones, reporte de operaciones sospechosas.

FATF Recommendations

40 recomendaciones del GAFI sobre AML/CFT aplicadas al proceso de inversión.

FATCA / CRS

Cumplimiento con obligaciones de reporte fiscal automático para cuentas financieras internacionales.

Normativa PCI-DSS

Para transacciones con tarjeta: procesamiento exclusivo a través de pasarelas certificadas.

Google Play / Apple App Store

Cumplimiento con políticas de privacidad de ambas tiendas para aplicaciones móviles.

AG Consulting asume la responsabilidad total y directa como controlador de datos ante todas las autoridades regulatorias aplicables. Cualquier incumplimiento detectado será reportado y subsanado conforme a los procedimientos legales vigentes.