Política de fraude y seguridad
Sin eslóganes sobre cifrado de nivel bancario — los mecanismos concretos, quién custodia qué y lo que no cubren.
1. Objeto y alcance
1.1 Objeto. Esta Política describe las medidas que Nelvoi Ltd mantiene para prevenir el fraude, proteger las cuentas y asegurar la Plataforma, y lo que tú puedes hacer para protegerte.
1.2 Alcance. Se aplica a todos los usuarios de la Plataforma y abarca la prevención del fraude, los controles de seguridad, la verificación de identidad, la gestión de incidentes y dónde recae la responsabilidad entre nosotros y tú.
1.3 Una nota sobre la fase. NELVOI está en fase previa al lanzamiento. Los controles de abajo describen el programa tal como se está construyendo y tal como operará; lo que ya está en marcha hoy cubre este propio sitio web.
Los saldos en fiat están en socios emisores y bancarios con licencia, en cuentas separadas del dinero operativo propio de la empresa.
Apple Pay y Google Pay entregan al comercio un token de un solo uso. Una tienda que sufra una filtración no puede filtrar tu tarjeta.
La criptomoneda no está cubierta por ningún fondo de garantía de depósitos, en ningún sitio. Preferimos escribirlo aquí a dejar que supongas lo contrario.
2. Cómo se custodia realmente tu saldo
"Tus fondos están seguros" es la frase menos útil de este sector. Lo que importa es quién tiene físicamente el dinero, si está mezclado con el de la empresa y qué pasa con él si la empresa desaparece. Son tres preguntas distintas y tienen tres respuestas distintas según el saldo sea fiat o cripto.
Saldos en fiat. El dinero cargado en una tarjeta está en los socios emisores y bancarios con licencia que operan el programa de tarjetas, en cuentas segregadas — separadas del dinero operativo propio de NELVOI e identificadas como pertenecientes a los clientes. La segregación es lo que hace que esos saldos sean devolvibles a los clientes en lugar de quedar a disposición de los acreedores de la empresa. Es un mecanismo distinto del seguro de depósitos, protege contra un fallo distinto, y no vamos a confundir los dos: una garantía de depósitos bancaria te devuelve el dinero si el banco quiebra; la segregación garantiza que el dinero nunca fue de la empresa como para perderlo.
Saldos en cripto. La criptomoneda que envías se convierte en un saldo fiat gastable en lugar de mantenerse como una posición de inversión — la tarjeta gasta fiat, y la conversión se hace a la entrada. Cualquier cripto que se mantenga transitoriamente durante ese proceso está en un socio de custodia regulado, no en claves guardadas en nuestros propios portátiles. Nada de esto está cubierto por un fondo de garantía de depósitos en ningún lugar del mundo, porque ningún fondo de ese tipo cubre cripto. Quien te diga lo contrario o está confundido o te está vendiendo algo.
Qué pasa en una insolvencia. Los fondos segregados de los clientes no son activos de la empresa, que es justamente el sentido de segregarlos. En una insolvencia se identifican como dinero de los clientes y se devuelven mediante el procedimiento que se aplique en la jurisdicción del emisor. Ese procedimiento lleva tiempo — semanas o meses, no horas — y preferimos que lo sepas ahora a que lo descubras en el peor momento.
La salvedad honesta. NELVOI está en fase previa al lanzamiento, y los párrafos anteriores describen cómo está estructurado el programa, no un servicio en funcionamiento que custodie tu dinero hoy. El socio emisor concreto, la jurisdicción y el mecanismo de salvaguarda se indicarán en esta página y en las condiciones antes de que se abran las cuentas.
3. Nuestros controles
Cuatro capas. Cada una tiene un coste para nosotros, y así puedes saber que son reales.
Verificación de identidad
Un documento oficial comprobado en cuanto a su autenticidad, una prueba de vida que confirma que la cara coincide con él, confirmación de residencia y cotejo con listas de sanciones y de personas políticamente expuestas. Las relaciones de mayor riesgo reciben diligencia debida reforzada, y el cotejo continúa después del alta, porque las listas cambian.
Seguridad de la cuenta
Autenticación de dos factores, obligatoria para retiradas, cambios de seguridad y alta de dispositivos. Cifrado en tránsito y en reposo. Caducidad automática de sesiones y una lista de dispositivos con sesión iniciada que puedes cerrar a distancia. El acceso del personal es por roles, con privilegios mínimos y registrado.
Supervisión de transacciones
Cotejo en tiempo real, análisis de comportamiento para detectar patrones incompatibles con el uso normal de una cuenta, controles de velocidad y límites, cotejo de contrapartes con listas de sanciones, y alertas automáticas revisadas por una persona en lugar de cerrarse automáticamente.
Infraestructura
Cortafuegos y detección de intrusiones, gestión de vulnerabilidades y parches, prácticas de desarrollo seguro, supervisión continua y pruebas de penetración independientes como parte del programa previo al lanzamiento, junto con la revisión de seguridad propia del socio emisor, que todo programa de tarjetas debe superar antes de entrar en funcionamiento.
4. Seguridad de la cuenta
La tarjeta y el saldo importan menos que la cuenta de la que cuelgan. La mayoría de las pérdidas en finanzas de consumo empiezan con alguien entrando en una cuenta, no con una brecha técnica.
Autenticación de dos factores
Disponible en todas las cuentas y obligatoria para las acciones sensibles: retiradas, cambios en los ajustes de seguridad, alta de un dispositivo nuevo. Un atacante que solo tenga tu contraseña no llega a ninguna parte.
Control de dispositivos y sesiones
Cada dispositivo con sesión iniciada aparece listado con su última actividad, y cualquiera de ellos puede desconectarse a distancia. Si una sesión te parece sospechosa, puedes cerrarla sin esperar al soporte.
Alertas en las acciones que importan
Una notificación por cada pago, y por los cambios en los ajustes de seguridad, el correo registrado o el número de teléfono. El silencio es lo que permite que un secuestro de cuenta pase desapercibido durante días.
Un periodo de espera en los cambios sensibles
Cambiar el correo o el número de teléfono de una cuenta restringe temporalmente las retiradas. Para ti es una molestia una sola vez; para quien acaba de robar tus credenciales, un obstáculo serio.
5. Protegerte del fraude
Esto detiene los ataques que de verdad tienen éxito. Nada de ello es técnico.
Una contraseña única, y autenticación de dos factores
Única, para que una brecha en otro sitio no sea una brecha en este. De dos factores, para que una contraseña robada no baste por sí sola. Mejor una aplicación de autenticación que SMS: una SIM se puede duplicar.
Nunca compartas un código
Tu contraseña, un código de dos factores, tu número de tarjeta completo y cualquier frase de recuperación nunca los necesitamos ni los pedimos. Quien pida uno no somos nosotros, parezca lo que parezca la dirección del remitente.
Llega a nosotros escribiendo la dirección
No sigas enlaces de mensajes inesperados. Abre nelvoi.com tú mismo. Un enlace que parece correcto en un correo es la parte más barata de un kit de phishing.
Desconfía de la urgencia
La presión para actuar de inmediato es el rasgo común de casi todas las estafas que tienen éxito. Una petición legítima sobrevive a que te tomes una hora para comprobarla.
Asegura el dispositivo y la cuenta de correo
Tu correo es la vía de restablecimiento de todo lo demás; protégelo al menos tan bien como tu dinero. Mantén el software actualizado y evita operaciones financieras en redes públicas.
Comprueba antes de confirmar
Destinatario, red, importe, moneda. En una blockchain un error aquí es definitivo — ver la sección 7.
6. Si algo sale mal
Qué hacer, en orden. Los dos primeros pasos dependen de ti y son los que detienen la hemorragia.
Congela la tarjeta
Un toque en el panel, o desde cualquier dispositivo en el que puedas iniciar sesión. Los pagos nuevos se rechazan de inmediato y el saldo se queda donde está. Hazlo antes que nada — lleva segundos y es reversible.
Cambia tu contraseña y cierra la sesión en otros dispositivos
Si crees que otra persona tiene acceso a la cuenta y no solo a la tarjeta, este es el paso que la expulsa. Ambas opciones están en los ajustes de seguridad.
Escribe al soporte
A [email protected], desde la dirección de la cuenta si puedes. Di qué ocurrió y cuándo. Respondemos en un día hábil, y los avisos de cuenta comprometida se atienden antes que el resto.
Investigamos y actuamos
Podemos congelar tarjetas, bloquear un dispositivo, reemitir un número de tarjeta y conservar el registro de la transacción para una disputa. Lo que no podemos hacer es revertir una transferencia en blockchain ya completada — nadie puede.
7. Dónde recae la responsabilidad
7.1 La nuestra. Mantener los controles de la sección 3; investigar los avisos con prontitud; congelar lo que haya que congelar; conservar el registro de las transacciones; notificarte a ti y a las autoridades cuando una brecha lo exija.
7.2 La tuya. Mantener seguras las credenciales y los dispositivos; activar las funciones de seguridad que ofrecemos; revisar las transacciones antes de confirmarlas; comunicar con prontitud cualquier operación no autorizada.
7.3 Lo que no podemos deshacer. Como se establece en los Términos y condiciones, no somos responsables de las pérdidas derivadas de credenciales que hayas revelado, de accesos no autorizados mediante una autenticación comprometida, de phishing o ingeniería social en los que tú facilitaste la información, ni de transacciones que autorizaste — incluso si te engañaron para autorizarlas. No es una exención que escondamos: es el motivo por el que existe la sección 5, y el motivo por el que el fraude por pago autorizado es el más difícil de remediar en cualquier ámbito de las finanzas.
7.4 Lo que nadie puede deshacer. Una transferencia en blockchain completada no puede ser revertida por nosotros, por nuestros socios ni por nadie más. Cuando la recuperación sea técnicamente posible lo intentaremos y no cobraremos por el intento.
8. Gestión de incidentes
8.1 Procedimiento. Mantenemos procedimientos documentados de respuesta a incidentes para detectarlos y contenerlos, investigar sus causas raíz, aplicar medidas correctivas y notificar a los afectados.
8.2 Notificación. Cuando un incidente afecte a tu información personal o a tu cuenta, te lo notificaremos según y cuando lo exija la ley aplicable, sin demora indebida, con lo que sepamos y con lo que te recomendamos hacer. No retrasaremos una notificación para terminar de redactar una que suene mejor.
8.3 Fuerzas del orden. Cooperamos con las fuerzas del orden y los reguladores que investigan fraudes y ciberdelitos, y podemos comunicar actividades sospechosas sin avisarte cuando la ley lo permita o lo exija — consulta la política contra el blanqueo de capitales para saber por qué a veces no podemos decírtelo.
9. Los controles son tuyos, no algo que haya que solicitarnos
La mayor parte del daño a una cuenta ocurre en la hora anterior a que alguien contacte con el soporte. Por eso lo que lo detiene está en la aplicación, no detrás de una cola telefónica.
- Congela con un toque — los pagos nuevos se rechazan de inmediato, el saldo se queda donde está
- Sustituye el número — gratis, y sin mover la cuenta ni el dinero
- Confirmación en tu teléfono — 3-D Secure en los pagos de mayor riesgo, para que un número robado no baste
- Datos tras una nueva autenticación — el número completo se muestra solo cuando lo pides
10. Lo que esto no cubre
Ser directos sobre los límites importa más que una lista más larga de garantías.
La criptomoneda no está cubierta por la protección de depósitos. Los fondos públicos de garantía de depósitos protegen depósitos bancarios, no saldos en cripto. Los activos mantenidos en cripto conllevan riesgo de mercado y no están asegurados contra él.
Las transferencias en blockchain son definitivas. Si envías fondos a una dirección equivocada o por la red equivocada, nadie puede revertirlo. Comprueba siempre la red antes de enviar — es la forma más común de perder dinero, y no tiene nada que ver con nuestra seguridad.
Nadie de NELVOI te pedirá nunca tu contraseña, tu código 2FA ni tu número de tarjeta completo. Quien lo haga nos está suplantando. Nuestra única dirección de soporte es [email protected].
11. Preguntas sobre seguridad
Los fondos de los clientes se mantienen en cuentas segregadas en socios regulados, separados del dinero de la empresa, que es lo que permite devolverlos a los clientes en lugar de tratarlos como activos de la empresa. No es lo mismo que un seguro de depósitos, y no lo describiremos como tal.
Se envían a un proveedor de verificación regulado que realiza la comprobación. Nosotros recibimos el resultado y los datos exigidos por ley, no una copia de todo lo que subiste.
Inicia sesión desde otro dispositivo y congela tus tarjetas, o escribe a [email protected] y las congelaremos por ti. Tu saldo se queda donde está — está vinculado a tu cuenta verificada, no a tu dispositivo.
Las pruebas de penetración independientes forman parte del programa previo al lanzamiento, junto con la revisión de seguridad propia de nuestro socio emisor, que todo programa de tarjetas debe superar antes de entrar en funcionamiento.
No, y merece la pena ser precisos sobre el porqué. Los fondos de garantía de depósitos — el FSCS en el Reino Unido, la FDIC en Estados Unidos, las directivas de garantía de depósitos de la UE — cubren depósitos en bancos con licencia. Un saldo de tarjeta mantenido en un socio emisor o de dinero electrónico regulado se salvaguarda, en cambio, mediante segregación: tu dinero se mantiene separado del de la empresa, de modo que sigue siendo tuyo en lugar de convertirse en un activo del negocio. Los saldos en cripto no están cubiertos por nada, en ningún sitio. Cualquier proveedor que afirme que sus saldos en cripto están asegurados está describiendo algo distinto de un seguro de depósitos.
Podemos congelar una cuenta, y en algunas situaciones la ley nos obliga a hacerlo. La legislación contra el blanqueo de capitales obliga a las empresas reguladas y a sus socios a retener o rechazar transacciones en circunstancias definidas, y en algunas jurisdicciones también prohíbe decirte el motivo en ese momento. No podemos quedarnos con tu dinero para nuestro propio uso — los fondos segregados no son nuestros. La política contra el blanqueo de capitales explica qué desencadena una revisión y qué podemos y no podemos decirte.
En la mayoría de los casos es irrecuperable, y esta es la forma más común de perder dinero en cripto — no tiene nada que ver con la seguridad de ningún proveedor. Enviar USDT por la cadena equivocada, o a una dirección de un activo distinto, generalmente significa que los fondos se han perdido. Comprueba la red antes de confirmar. Cuando una recuperación sea técnicamente posible lo intentaremos, pero no podemos prometerla y no te cobraremos por el intento.
Nunca te pediremos tu contraseña, un código de dos factores, tu número de tarjeta completo ni tu frase de recuperación — ni por correo, ni por teléfono, ni por chat, nunca. Nuestra única dirección de soporte es [email protected] y nuestro único sitio web es nelvoi.com. Si un mensaje pide cualquiera de esas cosas, no somos nosotros, parezca lo que parezca la dirección del remitente. Reenvíalo a [email protected] y bórralo.
No vendemos datos personales. Los datos se comparten con las partes necesarias para operar el servicio — el proveedor de verificación que realiza las comprobaciones de identidad, los socios emisores y bancarios que custodian los saldos y procesan los pagos, y las redes de tarjetas que encaminan las transacciones — y con las autoridades cuando la ley lo exige. La política de privacidad enumera las categorías y los motivos.
Las pruebas de penetración independientes forman parte del programa previo al lanzamiento, junto con la revisión de seguridad propia de nuestro socio emisor, que todo programa de tarjetas debe superar antes de entrar en funcionamiento. Los programas de tarjetas heredan además los requisitos PCI DSS aplicables al tratamiento de datos de tarjetas, que es uno de los motivos por los que los números de tarjeta completos los gestiona la plataforma emisora en lugar de almacenarlos nosotros.
Leer a continuación
- ¿Es segura una tarjeta cripto? Los riesgos son reales, pero no son los que preocupan a la gente. Esto es lo que protege de verdad el dinero, y de qué no lo protege nada. Leer →
- La verificación, y por qué no hay forma de evitarla Todo emisor de tarjetas pregunta quién eres antes de emitir nada. Esto es lo que se comprueba realmente, y qué hace que una comprobación vuelva rechazada. Leer →
Todavía no hay nada en esta categoría.
Este documento está disponible en varios idiomas. En caso de discrepancia entre versiones, prevalece la versión en inglés.