Política de Externalización

01 Objeto y ámbito de aplicación

La presente Política de Externalización (en adelante, la "Política") tiene por objeto establecer los principios, criterios y procedimientos aplicables a la externalización de funciones por parte de Criptan Trade, S.L. (en adelante, "Criptan" o la "Entidad"), en cumplimiento de lo previsto en el Artículo 73 del Reglamento (UE) 2023/1114 del Parlamento Europeo y del Consejo, de 31 de mayo de 2023, relativo a los mercados de criptoactivos ("MiCA"), así como de las directrices establecidas por la Autoridad Europea de Valores y Mercados (ESMA) y demás normativa aplicable.

Esta Política se aplica a todos los acuerdos de externalización suscritos por Criptan en relación con las funciones, procesos y servicios necesarios para la prestación de sus servicios de criptoactivos regulados, ya sean de naturaleza crítica u operativa. Asimismo, será de aplicación a cualquier externalización futura, incluida la subcontratación de servicios tecnológicos, de cumplimiento normativo, soporte operativo u otros elementos relevantes para el ejercicio de las actividades de Criptan como proveedor de servicios sobre criptoactivos autorizado.

02 Principios generales

Criptan se compromete a que cualquier externalización de funciones o servicios se realice de conformidad con los siguientes principios fundamentales:

a) Responsabilidad final

La externalización de funciones, incluidos los servicios críticos o importantes, no exime a Criptan de su responsabilidad frente a los clientes, autoridades competentes o terceros. La Entidad conserva la plena responsabilidad por el cumplimiento de sus obligaciones legales, reglamentarias y contractuales, aun cuando delegue ciertas tareas a un proveedor externo.

b) No menoscabo del control interno

La externalización no debe menoscabar el sistema de control interno de Criptan ni dificultar la supervisión efectiva por parte de sus órganos de administración o de las autoridades competentes. Criptan mantendrá en todo momento la capacidad de dirigir y supervisar adecuadamente las funciones externalizadas.

c) No impedimento del cumplimiento normativo

La externalización no podrá afectar negativamente al cumplimiento por parte de Criptan de la normativa aplicable, incluyendo, entre otras, las obligaciones derivadas del Reglamento MiCA, el Reglamento DORA, el RGPD, la normativa sobre prevención del blanqueo de capitales y financiación del terrorismo (PBCFT) y demás legislación de aplicación.

d) Transparencia y trazabilidad

Todo proceso de externalización deberá ser documentado, evaluado y registrado de forma clara, garantizando la trazabilidad y supervisión de los servicios externalizados y la posibilidad de auditar tanto interna como externamente los acuerdos correspondientes.

e) Continuidad y calidad del servicio

Criptan velará porque la externalización no reduzca la calidad del servicio prestado a sus clientes ni comprometa la continuidad operativa de la Entidad. A tal fin, se establecerán mecanismos de supervisión continua y planes de contingencia adecuados.

f) Proporcionalidad

Criptan aplicará esta Política de forma proporcional a la naturaleza, escala y complejidad de la actividad externalizada, así como al riesgo que implique para la entidad, sus clientes y el mercado.

03 Clasificación de las funciones externalizadas

Criptan clasifica las funciones que pueden ser objeto de externalización atendiendo a su relevancia operativa y regulatoria, conforme a lo dispuesto en el artículo 73 del Reglamento MiCA y en las directrices emitidas por la ESMA.

a) Funciones críticas o importantes

Se consideran funciones críticas o importantes aquellas cuya externalización podría:

• Reducir significativamente la capacidad de Criptan para cumplir con sus obligaciones reglamentarias.
• Impactar negativamente en la continuidad o calidad de los servicios prestados a los clientes.
• Afectar a la integridad del mercado o a los intereses de los titulares de criptoactivos.

b) Funciones no críticas

Son funciones de apoyo o auxiliares cuya externalización no pone en riesgo el cumplimiento normativo ni afecta sustancialmente a la calidad del servicio. Algunos ejemplos incluyen:

• Servicios generales de mantenimiento informático.
• Servicios de traducción o atención al cliente no vinculados al onboarding ni a PBCFT.
• Servicios de oficina o soporte administrativo.

c) Evaluación previa de criticidad

Antes de formalizar cualquier externalización, Criptan llevará a cabo una evaluación formal considerando: la relación de la función con los servicios regulados, el grado de dependencia operativa, los riesgos potenciales para los clientes y el nivel de supervisión requerido.

04 Proceso de evaluación previa

Antes de formalizar cualquier acuerdo de externalización, Criptan deberá realizar un análisis exhaustivo de los riesgos y condiciones asociados, de conformidad con el principio de gestión prudente y el marco legal vigente.

a) Análisis de riesgos

La evaluación previa incluirá, como mínimo: riesgos operativos, tecnológicos, legales y reputacionales; riesgos de concentración (por excesiva dependencia de un proveedor); riesgos de jurisdicción (si el proveedor está ubicado fuera del EEE); riesgos relacionados con la protección de datos personales; y riesgos en materia de ciberseguridad y continuidad operativa. La evaluación se documentará formalmente, firmada por el responsable del área delegante y supervisada por el Responsable de Cumplimiento Normativo y el órgano de administración.

b) Selección y validación del proveedor externo

Criptan solo podrá externalizar funciones a proveedores que dispongan de capacidad técnica, operativa y organizativa suficiente; que cumplan con la normativa aplicable, especialmente si la función es crítica o regulada; que ofrezcan garantías de cumplimiento normativo, incluida la regulación MiCA si aplicase; que estén sujetos, cuando proceda, a requisitos de supervisión o equivalencia normativa si están establecidos fuera del EEE; y que permitan la auditoría y supervisión por parte de Criptan y de las autoridades competentes, incluyendo la CNMV y el Banco de España.

c) Mención específica a BitGo Europe GmbH

Criptan ha llevado a cabo este análisis con relación a la externalización parcial del servicio de custodia a BitGo Europe GmbH, proveedor domiciliado en Alemania, que cumple con los requisitos exigidos para funciones críticas, encontrándose en proceso de registro como proveedor de servicios de criptoactivos (CASP) conforme al Reglamento MiCA. El contrato con BitGo incluye cláusulas específicas sobre responsabilidad, supervisión, ciberseguridad, auditoría y continuidad del servicio.

d) Revisión periódica y reevaluación

Criptan llevará a cabo una revisión periódica, al menos anual, de todos los acuerdos de externalización en vigor, con especial atención a las funciones críticas o importantes. Esta revisión incluirá: reevaluación de la criticidad; verificación del cumplimiento del proveedor con los requisitos técnicos, jurídicos y de seguridad; análisis de los niveles de servicio (SLA) y de los incidentes ocurridos; actualización del análisis de riesgos; y evaluación de la continuidad operativa y de la capacidad de sustitución del proveedor. En caso de detectarse incumplimientos relevantes, Criptan podrá requerir medidas correctoras inmediatas o proceder a la resolución del acuerdo.

05 Formalización contractual de la externalización

Toda relación de externalización deberá estar amparada por un contrato escrito entre Criptan y el proveedor externo, debidamente suscrito antes del inicio de la prestación del servicio. El contrato deberá cumplir con los requisitos establecidos en el artículo 73.3 del Reglamento MiCA y en las normas técnicas de desarrollo emitidas por la ESMA, y contemplar como mínimo los siguientes aspectos:

• Objeto y alcance de los servicios: descripción detallada de la función externalizada, responsabilidades del proveedor y nivel de acceso a los sistemas, datos y activos de Criptan.
• Niveles de servicio (SLA): métricas claras de desempeño, umbrales aceptables y mecanismos de seguimiento; penalizaciones o medidas correctoras en caso de incumplimiento.
• Derechos de supervisión y auditoría: derecho de Criptan a auditar al proveedor y sus subcontratistas, directamente o a través de terceros; derecho de acceso y supervisión por parte de las autoridades competentes; y obligación del proveedor de cooperar y proporcionar toda la documentación necesaria.
• Protección de datos y confidencialidad: cláusulas que aseguren el cumplimiento del RGPD; limitación del acceso a información confidencial; y medidas técnicas y organizativas adecuadas para garantizar la seguridad de la información.
• Subcontratación: prohibición general de subcontratar sin consentimiento previo y por escrito de Criptan; en el caso de funciones críticas, la subcontratación estará sujeta a los mismos requisitos que la externalización inicial.
• Contingencias y finalización del contrato: obligación del proveedor de colaborar en una transición ordenada en caso de resolución; cláusulas de terminación anticipada por incumplimiento, pérdida de autorizaciones o riesgos para la actividad de Criptan; y plazo para la devolución o destrucción de datos y activos.
• Legislación aplicable y jurisdicción: preferentemente, sujeción al Derecho de un Estado miembro del EEE y sumisión a una jurisdicción que garantice mecanismos efectivos de resolución de disputas.

06 Seguimiento y control de proveedores externalizados

Criptan implantará mecanismos adecuados para garantizar el seguimiento continuo de todos los proveedores con los que mantenga acuerdos de externalización, especialmente en relación con aquellas funciones clasificadas como críticas o importantes.

a) Supervisión continua

Criptan designará responsables internos para el monitoreo operativo de cada servicio externalizado, con especial atención a: el cumplimiento de los niveles de servicio (SLA); la calidad y disponibilidad del servicio; la seguridad de la información y de los sistemas utilizados por el proveedor; y la existencia de incidentes relevantes y su gestión.

b) Revisión documental y técnica periódica

Criptan realizará revisiones periódicas documentadas, al menos una vez al año, de: los informes o estados emitidos por el proveedor; las auditorías externas disponibles o ejecutadas por terceros; el cumplimiento contractual y normativo; y la vigencia de certificaciones, autorizaciones o licencias necesarias.

c) Evaluación de continuidad del servicio

Criptan deberá verificar que el proveedor mantiene medidas actualizadas en materia de continuidad operativa y recuperación ante desastres (BCP/DRP); ciberseguridad y prevención de accesos no autorizados; y capacidad técnica y organizativa suficiente para prestar el servicio ante escenarios adversos.

d) Relación con proveedores críticos: BitGo Europe GmbH

En el caso de la externalización del servicio de custodia a BitGo Europe GmbH, Criptan: mantendrá una comunicación regular y fluida con los responsables del servicio; revisará los informes de actividad y cualquier cambio en las condiciones técnicas, regulatorias u operativas del proveedor; confirmará, al menos anualmente, que BitGo sigue cumpliendo con los requisitos exigidos por el Reglamento MiCA y que continúa en proceso (o ha completado) su autorización como proveedor de servicios sobre criptoactivos en el EEE; y evaluará la capacidad de BitGo para mantener la custodia de los activos, incluyendo la existencia de seguros aplicables y la disponibilidad de medidas técnicas robustas para prevenir incidentes de seguridad.

e) Registro y trazabilidad

Criptan mantendrá un registro centralizado actualizado de todos los acuerdos de externalización activos, que incluirá: fecha de inicio y vencimiento; clasificación de criticidad; copia del contrato y documentación de evaluación previa; e informes de seguimiento, incidentes registrados y acciones correctoras adoptadas. Este registro estará disponible para inspección por parte de las autoridades competentes, incluyendo la CNMV, cuando así lo requieran.

07 Planes de contingencia y sustitución del proveedor

Criptan adoptará las medidas necesarias para garantizar la continuidad del servicio y la protección de los intereses de los clientes en caso de interrupción, cese o incumplimiento significativo por parte del proveedor externo.

Cuando se trate de funciones críticas o importantes, la Entidad deberá prever, desde el inicio de la relación contractual, un plan de contingencia que contemple posibles escenarios de sustitución del proveedor, interrupción del servicio, pérdida de datos o indisponibilidad de los activos. Dicho plan deberá identificar los pasos necesarios para una migración ordenada de los servicios, la reasignación temporal de funciones a otros proveedores o recursos internos, y la recuperación de activos e información en poder del proveedor externo.

En el caso del servicio de custodia delegado a BitGo Europe GmbH, se incluye en el acuerdo contractual la obligación del proveedor de colaborar en la devolución de los activos custodiados y la transmisión segura de la documentación relacionada. Criptan conservará en todo momento la capacidad de revocar la externalización y recuperar la prestación directa del servicio o su reasignación a un tercero autorizado.

La eficacia de los planes de contingencia será objeto de revisión periódica y, en su caso, de pruebas prácticas cuando la función externalizada lo requiera, especialmente en lo relativo a servicios que afecten a la seguridad, disponibilidad o integridad de los criptoactivos bajo custodia.

08 Obligaciones internas, control y archivo

El órgano de administración de Criptan es responsable último de la aprobación, aplicación y supervisión del marco de externalización, así como de la validación de las funciones que pueden ser delegadas a terceros.

Corresponde al Responsable de Cumplimiento Normativo garantizar que toda externalización cumple con la normativa vigente y que se lleva a cabo una adecuada evaluación de riesgos, clasificación de criticidad y seguimiento continuado. Igualmente, dicho responsable deberá informar al órgano de administración de cualquier circunstancia relevante que afecte a la prestación del servicio externalizado.

Criptan mantendrá un inventario actualizado de todos los acuerdos de externalización vigentes, el cual incluirá la documentación de evaluación previa, los contratos firmados, los informes de seguimiento y cualquier incidencia relevante. Esta documentación deberá conservarse durante un plazo mínimo de cinco años desde la finalización del contrato, y estará a disposición de las autoridades competentes cuando así se requiera.

09 Revisión de la política y disposición final

La presente Política de Externalización será revisada periódicamente, al menos con carácter anual, y siempre que concurran circunstancias relevantes que justifiquen su modificación. En particular, se procederá a su revisión cuando se introduzcan cambios significativos en la normativa aplicable, en la estructura operativa de Criptan, en los servicios externalizados o en la evaluación de riesgos de los proveedores.

Cualquier modificación de la Política deberá ser aprobada por el órgano de administración de Criptan, previo informe del Responsable de Cumplimiento Normativo, y será debidamente comunicada a todas las áreas internas implicadas.

Esta Política entrará en vigor en la fecha de su aprobación y permanecerá vigente hasta su sustitución o actualización formal. Su cumplimiento será obligatorio para todo el personal de Criptan que participe, directa o indirectamente, en la toma de decisiones relativas a la contratación, gestión o supervisión de servicios externalizados.

10 Control de versiones