V.S.E. PROTOCOL · PRIVACY POLICY
PRIVACY FRAMEWORK v1.1
Privacy Policy
This Privacy Policy explains, in detail, how Vantox Secure Escrow collects, uses, and protects personal data in accordance with EU Regulation 2016/679 (GDPR). It complements, and does not replace, the general Terms of Service.
GDPR compliant
Data minimization by design
01
Data controller

The data controller responsible for the personal data processed through Vantox Secure Escrow is the independent service provider operating Vantox, registered in Spain (Canary Islands).

ControllerVantox Secure Escrow
Privacy contactprivacy@vantox.io
JurisdictionSpain / European Union

All privacy-related requests, including GDPR rights requests, must be directed to privacy@vantox.io. Requests are acknowledged within 72 hours on business days.

02
What data we collect & why

Vantox follows a data-minimization principle: only data strictly necessary to operate the escrow protocol is collected.

  • Telegram ID, first name, username, language code: to identify the user, route messages, and personalize the interface (Sale and Swap)
  • Wallet address (TON): to verify and execute on-chain payments
  • SHA-256 file hashes: to verify file integrity and perform the security lookup described in the Terms of Service, section 10
  • Transaction metadata: deal ID, amounts, token, status, timestamps — necessary to operate and audit the protocol
  • Activity logs: actions taken within a deal (uploads, confirmations, disputes) for security and dispute-resolution purposes
  • Support communications: messages sent to support/legal/privacy contacts, retained to handle the specific request
Vantox never collects the content of exchanged files. Files are encrypted client-side and only their SHA-256 fingerprint is ever processed by Vantox systems for security purposes.

Anonymized public activity: when a deal completes successfully, Vantox may post a generic notice in a public Telegram channel (e.g. "Deal completed, ~$X-Y secured"). This notice never includes your username, your Telegram ID, the deal identifier, or any data about the exchanged content — only the deal type, an approximate amount, and how long it took to complete.

03
Legal basis for processing
  • Performance of a contract (Art. 6.1.b GDPR): processing necessary to execute the deal between the two users involved, whether Sale or Swap
  • Legitimate interest (Art. 6.1.f GDPR): platform security, fraud prevention, and the SHA-256 hash-lookup process described in the Terms of Service, section 10
  • Legal obligation (Art. 6.1.c GDPR): retention of transaction logs for tax, accounting, and law-enforcement cooperation obligations
04
Data retention
Encrypted filesDeleted 30 min after download
Undownloaded filesDeleted automatically after 24h
Files of cancelled dealsDeleted within 1 day
Logs & transaction metadataUp to 2 years (legal obligations)
SHA-256 hashesRetained with transaction metadata, never linked back to file content

Once the applicable retention period expires, data is permanently and irreversibly deleted from active systems.

05
International transfers

As a general rule, Vantox does not transfer personal data outside the European Economic Area. The single exception is the security check described in the Terms of Service (section 10):

  • Only the SHA-256 hash of a file — never the file itself, never any personal data — is sent to VirusTotal (Google) for a threat-intelligence lookup
  • This transfer cannot be used to reconstruct file content and is not linked to the user's identity by the third party
Infrastructure providers (Supabase, Railway, Telegram) may process data on servers located in the EU/EEA or under equivalent safeguards (e.g. EU Standard Contractual Clauses), as required by their respective data processing agreements.
06
Your rights (ARCO)

Under the GDPR, users may exercise the following rights at any time by contacting privacy@vantox.io:

  • Access: obtain a copy of the personal data Vantox holds about you
  • Rectification: correct inaccurate or incomplete data
  • Erasure ("right to be forgotten"): request deletion of your personal data, subject to legal retention obligations described in section 04
  • Objection: object to processing based on legitimate interest
  • Restriction: request limitation of processing in specific circumstances
  • Portability: receive your data in a structured, machine-readable format

Requests are answered within 72 hours on business days. You also have the right to lodge a complaint with the Spanish Data Protection Agency (AEPD) or your local supervisory authority.

07
Cookies & similar technologies

Vantox operates primarily as a Telegram bot and Telegram Mini App. It does not use third-party advertising cookies or cross-site tracking technologies. Strictly necessary session storage (e.g. authentication tokens for the web dashboard) may be used solely to keep the user logged in during a session, and is not used for tracking or profiling purposes.

08
Security measures
  • Files are encrypted client-side with AES-256-GCM before upload; Vantox infrastructure never sees plaintext file content
  • Encryption keys are managed separately from file storage, with domain-separated key derivation (HKDF)
  • Access to administrative tooling is restricted and logged (audit trail)
  • Automated deletion routines enforce the retention limits in section 04 without manual intervention
09
Changes to this policy

This Privacy Policy may be updated to reflect changes in the service, legal requirements, or security practices. Material changes will be communicated through the Vantox bot or the miniapp. Continued use of the service after a change constitutes acceptance of the updated policy. Last updated: July 2026.

10
Contact
This Privacy Policy works alongside the general Terms of Service, available at terms.html.
MARCO DE PRIVACIDAD v1.1
Política de Privacidad
Esta Política de Privacidad explica, en detalle, cómo Vantox Secure Escrow recoge, utiliza y protege los datos personales conforme al Reglamento UE 2016/679 (RGPD). Complementa, sin sustituir, los Términos de Servicio generales.
Conforme al RGPD
Minimización de datos por diseño
01
Responsable del tratamiento

El responsable del tratamiento de los datos personales procesados a través de Vantox Secure Escrow es el prestador de servicios independiente que opera Vantox, registrado en España (Islas Canarias).

ResponsableVantox Secure Escrow
Contacto privacidadprivacy@vantox.io
JurisdicciónEspaña / Unión Europea

Toda solicitud relacionada con privacidad, incluyendo el ejercicio de derechos RGPD, debe dirigirse a privacy@vantox.io. Las solicitudes se confirman en un plazo de 72 horas en días hábiles.

02
Qué datos recogemos y por qué

Vantox sigue un principio de minimización de datos: solo se recoge la información estrictamente necesaria para operar el protocolo de custodia.

  • ID de Telegram, nombre, username, código de idioma: para identificar al usuario, enrutar mensajes y personalizar la interfaz (Venta y Trueque)
  • Dirección de wallet (TON): para verificar y ejecutar pagos on-chain
  • Hashes SHA-256 de archivos: para verificar la integridad del archivo y realizar la consulta de seguridad descrita en los Términos de Servicio, sección 10
  • Metadatos de transacción: ID del trato, importes, token, estado, timestamps — necesarios para operar y auditar el protocolo
  • Registros de actividad: acciones realizadas dentro de un trato (subidas, confirmaciones, disputas) con fines de seguridad y resolución de disputas
  • Comunicaciones de soporte: mensajes enviados a los contactos de soporte/legal/privacidad, conservados para gestionar la solicitud concreta
Vantox nunca recoge el contenido de los archivos intercambiados. Los archivos se cifran en el dispositivo del usuario y solo su huella SHA-256 es procesada por los sistemas de Vantox con fines de seguridad.

Actividad pública anonimizada: cuando un trato se completa con éxito, Vantox puede publicar un aviso genérico en un canal público de Telegram (ej. "Trato completado, ~$X-Y asegurados"). Este aviso nunca incluye tu nombre de usuario, tu ID de Telegram, el identificador del trato, ni ningún dato sobre el contenido intercambiado — solo el tipo de operación, un importe aproximado, y cuánto tardó en completarse.

03
Base legal del tratamiento
  • Ejecución de un contrato (art. 6.1.b RGPD): tratamiento necesario para ejecutar el trato entre los dos usuarios implicados, sea Venta o Trueque
  • Interés legítimo (art. 6.1.f RGPD): seguridad de la plataforma, prevención de fraude, y el proceso de consulta de hash SHA-256 descrito en los Términos de Servicio, sección 10
  • Obligación legal (art. 6.1.c RGPD): conservación de registros de transacciones por obligaciones fiscales, contables y de cooperación con las autoridades
04
Conservación de datos
Archivos cifradosEliminados 30 min tras descarga
Archivos no descargadosEliminados automáticamente a las 24h
Archivos de tratos canceladosEliminados en 1 día
Logs y metadatos de transacciónHasta 2 años (obligaciones legales)
Hashes SHA-256Conservados junto a metadatos, nunca vinculados al contenido del archivo

Una vez expira el plazo de conservación aplicable, los datos se eliminan de forma permanente e irreversible de los sistemas activos.

05
Transferencias internacionales

Como norma general, Vantox no transfiere datos personales fuera del Espacio Económico Europeo. La única excepción es la comprobación de seguridad descrita en los Términos de Servicio (sección 10):

  • Solo se envía el hash SHA-256 de un archivo — nunca el archivo en sí, nunca datos personales — a VirusTotal (Google) para una consulta de inteligencia de amenazas
  • Esta transferencia no puede usarse para reconstruir el contenido del archivo y el tercero no la vincula a la identidad del usuario
Los proveedores de infraestructura (Supabase, Railway, Telegram) pueden tratar datos en servidores ubicados en la UE/EEE o bajo garantías equivalentes (p. ej. Cláusulas Contractuales Tipo de la UE), según sus respectivos acuerdos de tratamiento de datos.
06
Tus derechos (ARCO)

Conforme al RGPD, los usuarios pueden ejercer los siguientes derechos en cualquier momento contactando a privacy@vantox.io:

  • Acceso: obtener una copia de los datos personales que Vantox tiene sobre ti
  • Rectificación: corregir datos inexactos o incompletos
  • Supresión ("derecho al olvido"): solicitar la eliminación de tus datos personales, sujeto a las obligaciones de conservación legal descritas en la sección 04
  • Oposición: oponerte al tratamiento basado en interés legítimo
  • Limitación: solicitar la limitación del tratamiento en circunstancias específicas
  • Portabilidad: recibir tus datos en un formato estructurado y legible por máquina

Las solicitudes se responden en un plazo de 72 horas en días hábiles. También tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) o tu autoridad de control local.

07
Cookies y tecnologías similares

Vantox opera principalmente como bot de Telegram y Mini App de Telegram. No utiliza cookies publicitarias de terceros ni tecnologías de rastreo entre sitios. Puede usarse almacenamiento de sesión estrictamente necesario (p. ej. tokens de autenticación del panel web) únicamente para mantener la sesión del usuario, sin fines de rastreo ni elaboración de perfiles.

08
Medidas de seguridad
  • Los archivos se cifran en el dispositivo del usuario con AES-256-GCM antes de subirse; la infraestructura de Vantox nunca ve el contenido en texto plano
  • Las claves de cifrado se gestionan separadas del almacenamiento de archivos, con derivación de claves con separación de dominio (HKDF)
  • El acceso a herramientas administrativas está restringido y registrado (auditoría)
  • Rutinas de borrado automatizadas aplican los límites de conservación de la sección 04 sin intervención manual
09
Cambios en esta política

Esta Política de Privacidad puede actualizarse para reflejar cambios en el servicio, requisitos legales o prácticas de seguridad. Los cambios materiales se comunicarán a través del bot de Vantox o la miniapp. El uso continuado del servicio tras un cambio implica la aceptación de la política actualizada. Última actualización: julio de 2026.

10
Contacto
Esta Política de Privacidad funciona junto con los Términos de Servicio generales, disponibles en terms.html.