Cumplimiento de sanciones.

1. Propósito y postura

Las definiciones de los términos utilizados aquí (Servicio, Su Contenido, Subencargado, etc.) se encuentran en nuestra página de definiciones.

Verity Software Inc. es una sociedad federal canadiense que distribuye un producto SaaS de consumo para computadoras y dispositivos móviles. Al lanzamiento, la postura de Verity en materia de aplicación de sanciones es deliberadamente acotada y transparente:

• La aplicación en el canal de pago se delega en el comerciante registrado (Merchant of Record) de Verity, que opera un sistema de cumplimiento que abarca los regímenes de sanciones de la OFAC (EE. UU.), la lista consolidada de la UE, la OFSI (Reino Unido) y Canadá.
• Un bloqueo del lado del servidor de países sujetos a embargo al registrarse impide la creación de cuentas desde jurisdicciones sujetas a sanciones integrales.
• La verificación de personas denegadas dentro del producto, los registros de auditoría de resolución de IP, los procedimientos operativos dedicados para FINTRAC y los mecanismos de conservación de cumplimiento por 5 años NO están implementados al lanzamiento y no se prometen a los usuarios ni a las contrapartes. Están previstos para una iteración futura, cuando los ingresos, la escala y el riesgo justifiquen su costo operativo y de privacidad (véase §8).

Esta postura es adecuada para un SaaS de consumo con un único fundador, sin ingresos aún, que se ofrece en un pequeño conjunto de destinos permitidos. Se revisará si Verity alcanza una escala significativa, se expande a jurisdicciones de mayor riesgo o incorpora contrapartes empresariales o reguladas.

2. Despliegue por fases y lista de países permitidos

Verity se lanza con una lista explícita de países permitidos. Cualquier país que no figure en la lista queda bloqueado implícitamente al registrarse (independientemente de su situación respecto de las sanciones).

Fase 1 — Lanzamiento (América del Norte)

Cualquier registro desde un país fuera de esta lista (y que no esté en la lista de países sujetos a embargo del §3.2) recibe un mensaje de “aún no disponible en su región”, no un error de restricción legal.

Fase 2 — Expansión en Asia

Fase 3 — Noruega

Más allá de la fase 3

Cualquier incorporación de mercado adicional requiere (a) la confirmación de que nuestro procesador de pagos admite la jurisdicción; (b) la verificación de que ningún régimen integral de sanciones o de control de exportaciones prohíbe el servicio; y (c) la actualización de este documento con la nueva fecha de entrada en vigor.

3. Niveles de aplicación

3.1 Nivel 1 — Comerciante registrado

El comerciante registrado de Verity verifica cada intento de pago contra:

• La lista de Specially Designated Nationals (SDN) de la OFAC (EE. UU.)
• La lista consolidada de sanciones de la UE
• La lista consolidada de la OFSI (Reino Unido)
• Las listas canadienses de sanciones administradas conforme a la SEMA

Los intentos de pago que se originan en jurisdicciones sujetas a sanciones integrales, o de personas designadas identificadas por estos regímenes, se bloquean en la etapa de captura del pago. No se crea ninguna transacción, no se liquidan fondos y Verity no recibe ingresos de un intento bloqueado.

Verity se apoya en el sistema de cumplimiento de su procesador de pagos para cumplir las obligaciones del canal de pago. Antes del lanzamiento, Verity obtendrá la política publicada de cumplimiento de sanciones del procesador y la archivará junto con este documento.

3.2 Nivel 2 — Bloqueo del lado del servidor de países sujetos a embargo al registrarse

Además de la verificación en la etapa de pago, el flujo de registro de Verity realiza del lado del servidor una comprobación aproximada del país de la conexión solicitante contra una lista de países sujetos a embargo basada en ISO 3166. Cuando el país corresponde a una jurisdicción de la lista, el registro se rechaza con un mensaje genérico de restricción legal y no se crea ninguna cuenta.

Lista de países denegados (inicial): Cuba (CU), Irán (IR), Corea del Norte (KP), Siria (SY), Rusia (RU); además de los territorios ucranianos bajo control ruso de Crimea, Donetsk, Luhansk, Jersón y Zaporiyia.

Implementación: una simple consulta de IP a país mediante una fuente GeoIP gratuita o integrada. Sin dependencia de MaxMind. Sin conservación por 5 años de las IP resueltas. Sin registros de nivel de auditoría más allá de la telemetría de errores ordinaria. Los falsos positivos se atienden manualmente a través de [email protected].

Limitaciones aceptadas expresamente: este nivel no neutraliza las VPN, los proxies residenciales ni la suplantación de regiones subnacionales. Es una barrera aproximada y de bajo costo, no un control de verificación defendible de nivel de auditoría. Los mecanismos contractuales del §4 soportan el peso jurídico frente a la elusión de mala fe.

3.3 NO implementado al lanzamiento

Para evitar dudas, lo siguiente no forma parte del alcance al lanzamiento y no se promete a los usuarios, contrapartes ni reguladores:

• Verificación de nombres de personas denegadas dentro del producto (SDN / UE / Reino Unido / Canadá)
• Registros de auditoría de resolución de IP con conservación plurianual
• Un procedimiento dedicado de reporte a FINTRAC más allá de las obligaciones estándar del canal de pago cumplidas por el comerciante registrado
• Un SLA o manual de respuesta dedicado a incidentes de coincidencia en la verificación
• Detección o bloqueo de VPN / proxy / TOR
• Geobloqueo en el borde de la CDN de descargas de binarios o de la entrega de pesos de modelos

4. Obligaciones del usuario (mecanismo contractual)

El mecanismo contractual para la aplicación de sanciones se encuentra en los documentos legales dirigidos al usuario:

• Términos del Servicio — Sanciones y cumplimiento de exportaciones: el usuario declara y garantiza que no se encuentra en ninguna jurisdicción sujeta a sanciones integrales, que no reside habitualmente en ella ni accede al Servicio desde ella; que no es una persona designada en las listas SDN de la OFAC, consolidada de la UE, de la OFSI (Reino Unido) o canadienses de sanciones; y que no utilizará ni reexportará el Servicio en contravención de la legislación aplicable en materia de sanciones o de control de exportaciones.
• Política de Uso Aceptable §5 — Prohibición relativa a países sujetos a embargo: prohibición expresa de utilizar el Servicio desde una jurisdicción sujeta a sanciones integrales, o en nombre o en beneficio de cualquier persona ubicada en ella o constituida conforme a sus leyes; prohibición expresa de cualquier uso que dé lugar a la exportación o reexportación del Servicio en contravención de la legislación aplicable.

En conjunto, estas dos cláusulas otorgan a Verity un derecho contractual de terminación frente a cualquier usuario que eluda el geobloqueo del Nivel 2 —por ejemplo, mediante VPN, proxy o reubicación— y eliminan cualquier ambigüedad sobre la responsabilidad del usuario de cumplir las leyes de sanciones y de control de exportaciones de su propia jurisdicción.

5. Control de exportaciones (producto de Verity)

Los binarios de Verity para computadoras y dispositivos móviles incorporan cifrado estándar en tránsito (TLS) y cifrado en reposo (clase AES-256) para el audio, las transcripciones y las credenciales almacenados localmente. Los pesos de modelos distribuidos localmente son derivados de modelos base entrenados públicamente y ajustados con datos de evaluación, sintéticos y de dominio público.

• Estados Unidos (15 CFR §740.17 — License Exception ENC): la aplicación de escritorio es software de cifrado de “mercado masivo” conforme al §740.17(b)(1). Es elegible para la autoclasificación ENC sin revisión previa a la exportación. Verity presentará el Informe Anual de Autoclasificación ante el BIS y la NSA a más tardar el 1 de febrero de cada año.
• Unión Europea (Regulation 2021/821 — refundición sobre productos de doble uso): el producto cumple los criterios de la Nota 3 del Anexo I (“Nota de criptografía”) y no requiere licencia de exportación de la UE para los mercados de la Fase 1.
• Canadá (Export Control List, Grupo 1): la Nota General de Software abarca el software criptográfico de mercado masivo. No se requiere permiso para los destinos de la Fase 1.
• Pesos de modelos: derivados de modelos base disponibles públicamente y entrenados con datos públicos. No están protegidos como productos de doble uso bajo ninguno de los tres regímenes a la fecha de redacción.

Esta postura se revisará si Verity incorpora primitivas criptográficas propietarias, distribuye pesos de modelos con estatus de exportación controlada o modifica sustancialmente su arquitectura criptográfica.

6. Revisión del cumplimiento

• Responsable de Cumplimiento: al lanzamiento, el fundador de Verity Software Inc. desempeña el rol de Responsable de Cumplimiento en materia de sanciones y control de exportaciones.
• Revisión anual: este documento se revisa anualmente y se actualiza según sea necesario.
• Revisión reactiva: el Responsable de Cumplimiento revisa este documento ante novedades importantes en materia de sanciones (nuevo embargo integral, incorporaciones importantes a la lista SDN, cambio en el sistema de cumplimiento del procesador de pagos, cambio en el régimen ERN de la App Store).
• Fuentes suscritas: feed de Recent Actions de la lista SDN de la OFAC; notificaciones de actualización de la lista consolidada de la UE; notificaciones de la lista consolidada de la OFSI; lista de correo de actualizaciones de sanciones de Global Affairs Canada; boletines de cumplimiento del procesador de pagos.

Los cambios importantes en la lista de países denegados o en la postura comunicada a los usuarios activan el régimen de notificación de cambios previsto en el §14 de los Términos del Servicio (30 días para cambios importantes).

7. Fuera del alcance (explícito)

Lo siguiente queda explícitamente fuera del alcance al lanzamiento:

• Verificación de personas denegadas dentro del producto contra las listas SDN / UE / Reino Unido / Canadá
• Procedimientos de reporte a FINTRAC de transacciones sospechosas o de grandes transacciones en efectivo más allá de los activadores estándar del canal de pago (cumplidos por el procesador de pagos)
• Un SLA dedicado de respuesta a incidentes de coincidencia en la verificación
• Un registro de auditoría de 5 años de resoluciones de IP / intentos de registro
• Geobloqueo en el borde de la CDN o en actualizaciones OTA de la entrega de binarios o pesos de modelos
• Detección y bloqueo de VPN, proxy o TOR
• Integración de MaxMind u otro servicio GeoIP de pago con un Acuerdo de Tratamiento de Datos

Los elementos de esta lista no son compromisos: son omisiones deliberadas. Cada uno se revisará conforme al §8.

8. Hoja de ruta

Cuando los ingresos, la escala, la composición de clientes o la exposición regulatoria de Verity justifiquen la inversión, las siguientes extensiones del Nivel 2 pasarán a ser candidatas:

• Verificación de personas denegadas al registrarse y en eventos de pago, contra las listas SDN de la OFAC, consolidada de la UE, de la OFSI (Reino Unido) y consolidada canadiense.
• Geobloqueo en el borde de la CDN de descargas de binarios, actualizaciones OTA y entrega de pesos de modelos para países sujetos a embargo.
• Designación de un Responsable de Cumplimiento de la SEMA como rol formal, separado del rol del fundador.
• Procedimiento operativo para FINTRAC si Verity llega a tener la condición de entidad informante (actualmente por debajo del umbral gracias a la postura del comerciante registrado).

Estos elementos se reevaluarán periódicamente o cuando se produzcan cambios importantes en los regímenes de sanciones aplicables.

Referencias cruzadas

• /legal/terms — Garantía de sanciones y cumplimiento de exportaciones (declaración del usuario + derecho de terminación)
• /legal/aup — §5 prohibición relativa a países sujetos a embargo y al uso indebido en exportaciones
• /legal/privacy — tratamiento de datos para la geolocalización mínima al registrarse
• /legal/sub-processors — Ficha del procesador de pagos, incluido su rol como canal de pago encargado de aplicar las sanciones