Política de Privacidad
Esta política describe cómo MVL Projects, S.L., responsable del tratamiento, recoge, utiliza, comparte y protege tus datos personales en TatuARTE. Cumple con el Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD).
1. Responsable del tratamiento
El responsable del tratamiento de los datos personales recogidos a través de TatuARTE es MVL Projects, S.L., con NIF B05644844 y domicilio en Calle Emiliano Barral 16, Local 8, 28043 Madrid (España), inscrita en el Registro Mercantil de Madrid (hoja M-899163, inscripción 1.ª; EUID ES28065.082516408).
- Email general: info@tatuarte.app
- Email de privacidad y Delegado de Protección de Datos (DPO): olazaro@lopezhermoso-abogados.com
- Email de soporte: soporte@tatuarte.app
MVL Projects, S.L. actúa como responsable principal del tratamiento. Determinados proveedores tecnológicos detallados en la sección «Con quién compartimos tus datos» actúan como encargados o sub-encargados del tratamiento, conforme a contratos específicos firmados al amparo del artículo 28 RGPD.
2. Qué datos recogemos
Recogemos las categorías de datos estrictamente necesarias para prestar el servicio, garantizar su seguridad y mejorar la experiencia. Las categorías son:
2.1 Datos de cuenta e identificación
- Email y, si aplica, identificador de OAuth (Apple, Google).
- Hash de la contraseña (nunca almacenamos la contraseña en claro; utilizamos algoritmos de derivación criptográfica modernos como Argon2id).
- Nombre de usuario o handle, nombre profesional, biografía, foto de perfil, ubicación declarada (ciudad/zona) y enlaces externos voluntariamente añadidos al perfil.
- Fecha de nacimiento, obligatoria para usar la cuenta (te la pedimos al crearla o, si te registras solo con el correo, nada más entrar): sirve para comprobar que tienes 18 años (ver apartado 9). No se muestra en tu perfil.
- Para Tatuadores y Estudios: información profesional necesaria para verificar la actividad (certificados sanitarios) y, si lo das, tu NIF, NIE o CIF. Hoy es opcional; lo pedimos porque la normativa fiscal obliga a las plataformas a informar de lo que cobran sus profesionales. Se guarda cifrado, no sale en tu perfil y solo lo vemos tú y nuestro equipo.
- Para Estudios: dirección, horario y, si los pones, un teléfono y un correo de contacto. Son públicos, como el resto de la ficha del estudio.
2.2 Contenido subido
- Fotos, vídeos, sketches, descripciones, etiquetas, comentarios, reseñas, posts, listings de marketplace y mensajes directos.
- Información asociada al contenido: descripción, estilo, localización corporal, valor estimado, atribuciones a otros Usuarios.
2.3 Metadatos técnicos
- Dirección IP, agente de usuario, tipo de dispositivo, sistema operativo y versión, idioma, zona horaria.
- Identificadores de instalación (Expo push tokens, identificadores de aplicación), necesarios para enviar notificaciones push.
- Datos de geolocalización, sólo cuando el Usuario otorga consentimiento explícito y para funcionalidades concretas (búsqueda por proximidad, mapa de tatuadores).
- Metadatos de las imágenes: para proteger la privacidad, eliminamos automáticamente los metadatos EXIF (incluida la geolocalización embebida) de toda imagen subida antes de su almacenamiento.
2.4 Datos de comportamiento y uso
Estadísticas de uso propias. Para saber qué funciona y qué hay que mejorar, medimos cómo se usa TatuARTE con una herramienta propia, en nuestro servidor de la Unión Europea y sin ningún servicio de analítica de terceros. No medimos nunca lo que escribes, lo que buscas, tus fotos ni tus mensajes, y no seguimos a ninguna persona por la aplicación. Puedes oponerte en un toque (lo explicamos al final de este bloque).
- Estadísticas anónimas. La aplicación y la web nos envían, sin identificarte: qué pantallas se abren, cuánto tiempo se miran y cuántas veces se abre la aplicación; qué botones de una lista cerrada se pulsan (por ejemplo, compartir una invitación); qué errores aparecen en pantalla (solo el tipo, nunca el mensaje); y, al crear una cuenta o entrar en ella, si fue con correo, Apple o Google, si llegaste con un enlace o un código de invitación y, en la web, de qué red social o buscador venías (parámetro utm). Con todo ello va solo la plataforma (iPhone, Android o web). No va tu nombre, tu correo, tu identificador de cuenta, ningún identificador de tu dispositivo ni lo que escribes, buscas o publicas. Los datos se convierten en totales por día al llegar a nuestro servidor: no guardamos los envíos uno a uno. Guardamos esos totales un máximo de 25 meses.
- Actividad de tu cuenta, con un código interno. Si no te opones, anotamos qué días usas TatuARTE, tu tipo de cuenta (cliente, tatuador o estudio), la semana en que te diste de alta, si tienes el perfil completo y cuántas veces usas cada función (por ejemplo: buscar, ver un perfil, pedir una cita, que te acepten una cita, enviar un mensaje, guardar el avatar, usar el probador, ver o reservar un flash, o publicar). Nunca su contenido: ni qué buscas, ni qué escribes, ni a quién. No lo guardamos con tu nombre ni con tu correo, sino con un código interno (un seudónimo) que solo nuestro servidor puede relacionar con tu cuenta. Sirve para saber cuántas personas usan la aplicación, cuántas vuelven y en qué paso se quedan. Solo empezamos después de que hayas visto el aviso, al crear la cuenta o dentro de la aplicación. Guardamos estas anotaciones 100 días; después solo quedan totales que no identifican a nadie. Se borran con tu cuenta y se incluyen en la copia de tus datos si la pides. Las cuentas del equipo de TatuARTE y las de demostración no se anotan.
- Lo que no hacemos con ellas. No las usamos para publicidad, no las compartimos con nadie ni las vendemos, y no intervienen en cómo se ordenan el muro, el buscador o los rankings ni en los premios. No grabamos la pantalla ni te seguimos en otras aplicaciones o webs. En el panel interno donde las consultamos, cualquier grupo de menos de 10 personas aparece como «menos de 10».
- Base legal. Interés legítimo en conocer el uso del servicio para mejorarlo (art. 6.1.f RGPD), después de ponderarlo con tus derechos. La medición anónima de la audiencia (qué pantallas se abren, cuánto tiempo y desde dónde se llega) es propia y se limita a lo necesario para ese fin, por lo que no requiere tu consentimiento (art. 22.2 LSSI y guía de la AEPD sobre herramientas de medición de audiencia de enero de 2024).
- Cómo oponerte. Con el interruptor «Estadísticas de uso», al crear la cuenta o cuando quieras en Ajustes › Privacidad. Al apagarlo, la aplicación deja de enviar nada en ese dispositivo y en todos los de tu cuenta, y borramos en el acto lo anotado de tu cuenta. En la web respetamos además la señal Global Privacy Control de tu navegador.
- Tu dirección IP. Para proteger el servicio frente a abusos, el servidor usa tu dirección IP para limitar cuántos envíos de estadísticas acepta por minuto. Se guarda como mucho un minuto, en memoria, y no se une a las estadísticas. Los registros de acceso del servidor no anotan los envíos de estadísticas.
- Si ya tenías cuenta. Hasta esta versión de la política TatuARTE no medía el uso de la aplicación. Si te diste de alta antes, te avisamos por correo con treinta (30) días naturales de antelación, como prevé el apartado 11. Hasta que pasen esos 30 días no medimos nada de tu cuenta ni, mientras la uses, desde tu dispositivo, ni de forma anónima ni con el código interno; después, solo cuando veas el aviso dentro de la aplicación y no te opongas. Puedes oponerte en cualquier momento, también antes de esa fecha.
Además, en este apartado:
Tus interacciones dentro de la aplicación. Los «me gusta», los guardados, las republicaciones, los comentarios y qué publicaciones ya te hemos enseñado. Se guardan en nuestro propio servidor y sirven para ordenar tu muro y no repetirte lo mismo. La lista de lo que ya has visto se borra a las 24 horas, y el recuento de visualizaciones que conservamos es por publicación, sin guardar quién la vio. Cómo se ordena está explicado en «Cómo ordenamos los resultados».
Informes de error anónimos. Cuando algo se rompe, la aplicación envía el error con su traza, el modelo de teléfono, la versión del sistema operativo y la versión de la aplicación. Nada más. Un informe dice «esto falló aquí, en un iPhone 13 con iOS 18», y eso no señala a ninguna persona.
- No se envía: tu identificador de usuario, tu correo, tu dirección IP, las direcciones que visita la aplicación ni tiempos de rendimiento.
- Antes de que el informe salga de tu teléfono, un filtro recorre el evento entero y borra correos, credenciales incrustadas en direcciones web, cabeceras de autorización e identificadores de nuestra base de datos.
- Por eso no te pedimos permiso para esto: no hay ningún dato personal que consentir. Tampoco verás una pantalla pidiéndotelo.
Errores del servidor. Lo anterior se refiere a los informes que salen de la aplicación. Cuando el error se produce en nuestro servidor, el informe que se envía a Sentry incluye además el identificador interno de la cuenta que hizo la petición (un código, no tu nombre ni tu correo), la dirección y la ruta de la petición y, en una muestra de peticiones, el tiempo que tardó cada paso. No incluye tu dirección IP, tu correo ni el contenido de lo que envías. Lo tratamos por interés legítimo (art. 6.1.f RGPD) para mantener la seguridad del servicio y corregir sus fallos, y Sentry lo conserva un máximo de 90 días.
Registros técnicos del servidor, con identificadores de sesión y rutas accedidas, conservados durante 14 días para depuración y seguridad.
2.5 Datos especialmente sensibles
TatuARTE ofrece un probador que permite al Cliente ver cómo le quedaría un diseño sobre una foto de su propio cuerpo. Hoy la imagen se compone en nuestro propio servidor, sin inteligencia artificial y sin enviar la foto a ningún tercero. Las fotos del cuerpo pueden revelar información íntima, así que las tratamos con las garantías propias de los datos especialmente protegidos:
- Solo se usan para generar la prueba que pides, nunca para otra finalidad. El probador es voluntario y su base jurídica es la prestación del servicio que solicitas (artículo 6.1.b del RGPD). Te recomendamos usar fotos de la zona que no muestren otras partes íntimas ni información sobre tu salud.
- No se utilizan para entrenar modelos de inteligencia artificial, ni propios ni de terceros.
- No pasan por el filtro automático de imágenes (apartado 4): como nadie más las ve, no se envían a su proveedor. Solo si decides usar una de esas fotos en una publicación, la revisa el filtro como a cualquier otra imagen publicada.
- Se almacenan exclusivamente el tiempo necesario para generar la previsualización y permitir al Usuario revisarla. El plazo máximo de retención es de 30 días, transcurrido el cual se eliminan de forma irreversible.
- El Usuario puede solicitar la eliminación inmediata desde su panel de privacidad.
Notas del Tatuador sobre sus clientes. Un Tatuador puede guardar notas privadas y etiquetas sobre las personas a las que ha atendido, y lo primero que se apunta ahí suele ser lo que importa para tatuar: por ejemplo, «alérgico al látex». Esas notas pueden contener, por tanto, datos de salud. Por eso:
- Solo las ve el Tatuador que las escribió: ni la persona a la que se refieren, ni el estudio, ni el resto de Usuarios.
- Se guardan cifradas en nuestros servidores.
- No se envían a ningún proveedor externo ni se usan para nada más que mostrárselas a quien las escribió.
- Quien las escribió las puede borrar cuando quiera, y desaparecen en el borrado definitivo de su cuenta o de la cuenta de la persona a la que se refieren.
De estas notas, y del resto de datos de las herramientas de gestión, el responsable es el Tatuador; TatuARTE las trata por su cuenta como encargado (Términos §33).
Análisis del selfie para crear tu avatar. En la app de iPhone y Android puedes hacerte un selfie o elegir una foto para que tu avatar se parezca a ti. Ese análisis se hace dentro de tu móvil, con la tecnología MediaPipe de Google ejecutándose en el propio dispositivo:
- Qué se analiza: la app localiza puntos de referencia de la cara (contorno, ojos, nariz y boca) y calcula unas pocas medidas de proporción, como lo redondeada que es la cara, además del tono de piel de las mejillas y el color del pelo.
- La foto no sale de tu móvil: no se sube a nuestros servidores ni a los de terceros, y TatuARTE no la conserva cuando termina el análisis. Los puntos de referencia de la cara también se descartan.
- Qué se guarda: solo el resultado aplicado a tu avatar (el aspecto elegido, los ajustes de rasgos, el tono de piel y el color de pelo), y solo si pulsas «Guardar». Se guarda en tu perfil como el resto de tu avatar; lo puedes cambiar cuando quieras y se borra con tu cuenta.
- No se usa para identificarte ni para reconocer tu cara, no se crea ninguna plantilla biométrica y no se usa para entrenar modelos de inteligencia artificial.
- Para hacer el análisis, la app descarga el modelo de MediaPipe desde nuestro servidor (y, si no está disponible, desde servidores públicos de Google o de jsDelivr). Esa descarga no lleva tu foto ni ningún dato tuyo, aunque, como en cualquier conexión, el servidor que la atiende ve la dirección IP de tu dispositivo.
- Base jurídica: el análisis se hace porque tú lo pides, para crear el avatar que has solicitado (artículo 6.1.b del RGPD). Como no sirve para identificarte ni se conserva, no es un tratamiento de datos biométricos del artículo 9 del RGPD. Es voluntario: puedes crear tu avatar a mano, sin selfie.
2.6 Registro solo con el correo desde nuestra web
En algunas páginas de tatuarte.app (como /tatuarme y /tatuadores) puedes empezar tu cuenta escribiendo solo tu correo. Lo usamos únicamente para mandarte el enlace con el que eliges tu contraseña o, si ya tienes cuenta, para recordarte cómo entrar; con él guardamos desde qué página lo pediste, los parámetros de campaña de la dirección (utm) y, si lo había, el código de quien te invitó. Base jurídica: medidas precontractuales aplicadas a petición tuya (art. 6.1.b RGPD). El enlace vale 48 horas y, si no creas la cuenta, borramos tu correo 7 días después; si la creas, esos datos quedan con tu cuenta como su origen y se borran con ella. No lo usamos para publicidad.
3. Bases legales del tratamiento (RGPD Art. 6)
Cada tratamiento de datos personales se basa en una o varias de las siguientes bases legales:
| Finalidad | Base legal | Datos implicados |
|---|---|---|
| Creación y gestión de la cuenta del Usuario | Ejecución del contrato (Art. 6.1.b RGPD) | Email, hash de contraseña, datos de perfil |
| Enviarte el enlace para crear la cuenta cuando te registras solo con el correo (apartado 2.6) | Medidas precontractuales a petición del interesado (Art. 6.1.b RGPD) | Email, página de origen, parámetros utm, código de invitación |
| Publicación y distribución de Contenido en el feed | Ejecución del contrato | Contenido del Usuario, metadatos públicos |
| Mensajería interna entre Usuarios | Ejecución del contrato | Texto de los mensajes, identificadores de remitente y destinatario |
| Gestión de reservas, pujas y flash | Ejecución del contrato | Datos de la transacción |
| Probador (composición del diseño sobre tu foto) | Ejecución del contrato: lo usas porque lo pides (Art. 6.1.b RGPD) | Imágenes corporales del Cliente, diseño solicitado |
| Ordenación del muro y de las búsquedas | Ejecución del contrato | Tus «me gusta», guardados, comentarios y qué se te ha mostrado ya |
| Informes de error anónimos | Interés legítimo (Art. 6.1.f RGPD): seguridad del servicio y corrección de errores | Error y traza, modelo del dispositivo, versión del sistema y de la app; en los errores del servidor, además, el identificador interno de la cuenta y la ruta de la petición |
| Estadísticas de uso propias (apartado 2.4) | Interés legítimo (Art. 6.1.f RGPD): conocer el uso del servicio para mejorarlo, con oposición en un toque | Anónimos: pantallas, tiempos, botones de una lista cerrada, errores vistos, plataforma y forma de alta o entrada. Con código interno: días de uso, tipo de cuenta, semana del alta, perfil completo y veces que se usa cada función |
| Geolocalización para búsqueda por proximidad | Consentimiento | Ubicación aproximada del dispositivo |
| Notificaciones push transaccionales | Ejecución del contrato | Token de notificación, payload del evento |
| Moderación de contenido y prevención del fraude | Interés legítimo (Art. 6.1.f RGPD) | Contenido, reportes, metadatos técnicos |
| Seguridad de la Plataforma y auditoría | Interés legítimo + obligación legal | Logs, IPs, sesiones |
| Obligaciones fiscales y contables (cuando el cobro esté activo y por las cuotas de los planes) | Obligación legal (Art. 6.1.c RGPD) | Datos fiscales del Tatuador, facturas |
En todos los tratamientos basados en interés legítimo, hemos realizado el correspondiente análisis de ponderación entre dicho interés y los derechos del interesado. El Usuario podrá oponerse a esos tratamientos, según lo descrito en la sección «Tus derechos».
4. Cómo usamos tus datos
Tratamos los datos para las siguientes finalidades, cada una con la base legal indicada en la tabla anterior:
- Prestar el servicio: registro, perfil, muro, búsqueda, mensajería, mapa, marketplace, probador, reseñas y notificaciones.
- Invitaciones: cada cuenta tiene un código y un enlace personal (tatuarte.app/i/<código>) para invitar a otras personas. Quien abre ese enlace ve el nombre, el @ y la foto de quien le invita, solo si su perfil es público. Si te registras con el enlace o el código de alguien, esa persona ve en su pantalla «Invitaciones» tu nombre y tu @, el día en que te uniste y en qué punto está tu cuenta (registrada, con el correo verificado o con el perfil completo); nunca tu correo, tus mensajes ni lo que haces en la aplicación, y si borras tu cuenta deja de ver tu nombre. Con eso le damos los puntos y premios del programa de invitaciones, que forma parte del servicio (ejecución del contrato, art. 6.1.b RGPD), y evitamos el fraude: una cuenta sin el correo verificado no cuenta (interés legítimo, art. 6.1.f RGPD). La relación entre las dos cuentas se guarda mientras existan y se borra con ellas.
- Ordenar lo que ves: el muro y las búsquedas se ordenan con tus interacciones dentro de la propia aplicación («me gusta», guardados, comentarios y qué se te ha mostrado ya), nunca con imágenes corporales ni con contenido identificable de terceros. Esto ocurre dentro de nuestro servidor; no hay herramienta de analítica de por medio ni se envía a terceros.
- Arreglar lo que se rompe: informes de error anónimos, descritos en el apartado 2.4.
- Mejorar la aplicación: estadísticas de uso propias, anónimas y con código interno, descritas en el apartado 2.4. Puedes oponerte en Ajustes › Privacidad.
- Garantizar la seguridad: detección de fraude, acceso no autorizado, prevención de abusos, integridad de la plataforma.
- Moderar el contenido a partir de las denuncias de los usuarios, de la revisión de nuestro equipo y de un filtro automático de imágenes, con el objetivo de cumplir con la normativa aplicable y las Normas de la Comunidad. El filtro envía cada imagen que se sube a la Plataforma a la moderación de imágenes de OpenAI (apartado 5), que devuelve unas puntuaciones de desnudez, violencia gráfica y autolesiones; con ellas, y con umbrales que fijamos nosotros, la publicación se muestra con normalidad, se vela como contenido sensible o se oculta hasta que la revisa una persona. No se le envían las fotos del probador mientras no las uses en una publicación (apartado 2.5). La app te lo avisa antes de la primera foto que subes y sin tu conformidad no sube ninguna. El filtro solo vela u oculta de forma provisional: retirar un contenido o sancionar una cuenta lo decide siempre una persona, así que no tomamos decisiones basadas únicamente en un tratamiento automatizado con efectos jurídicos para ti (artículo 22 del RGPD). Si el filtro vela u oculta tu publicación, te avisamos con el motivo y cómo reclamar (Normas de la Comunidad §7). Los comentarios y las reseñas pasan un filtro de texto sencillo, propio, que oculta los insultos graves y el spam evidente hasta que lo revisa una persona (Normas de la Comunidad §5).
- Comunicarnos contigo: envío de comunicaciones transaccionales necesarias para el servicio, así como comunicaciones comerciales si has prestado tu consentimiento previo.
- Cumplir obligaciones legales: respuesta a requerimientos judiciales o administrativos, conservación de registros fiscales cuando proceda.
5. Con quién compartimos tus datos
Compartimos datos únicamente con los proveedores estrictamente necesarios para operar el servicio, todos ellos sujetos a contratos de encargo del tratamiento conforme al artículo 28 RGPD. Estos son nuestros encargados del tratamiento y su estado en esta versión. Los que figuran como inactivos no reciben hoy ningún dato; antes de activar cualquiera de ellos actualizaremos esta política y, si cambia lo que hacemos con tus datos, te avisaremos como indica el apartado 11.
| Proveedor | Finalidad | Ubicación / Transferencia | Garantías | Estado |
|---|---|---|---|---|
| Hetzner Online GmbH | Alojamiento de los servidores, de la base de datos y de las copias de seguridad | Unión Europea | Sin transferencia internacional | Activo |
| Cloudflare, Inc. (R2) | Almacenamiento y entrega de las imágenes y archivos que subes | Unión Europea y Estados Unidos | Cláusulas contractuales tipo (CCT) y Marco de Privacidad de Datos UE-EE. UU. (DPF) | Activo |
| Resend, Inc. | Envío de correos del servicio (verificación, avisos de la cuenta, respuestas de soporte) | Estados Unidos | CCT y DPF | Activo |
| Functional Software, Inc. (Sentry) | Informes de error (apartado 2.4): los de la app, anónimos; los del servidor, con el identificador interno de la cuenta y la ruta de la petición. Conservación máxima: 90 días | Estados Unidos | CCT. El informe de la app se limpia en tu propio teléfono antes de salir (sin usuario, sin correo y sin dirección IP); ningún informe lleva tu correo ni tu dirección IP | Activo |
| 650 Industries, Inc. (Expo) | Envío de las notificaciones push de la app a Apple y Google | Estados Unidos | CCT | Activo |
| Apple Push Notification Service (Apple) | Entrega de las notificaciones push en iPhone | Estados Unidos | CCT y DPF | Activo |
| Firebase Cloud Messaging (Google) | Entrega de las notificaciones push en Android | Estados Unidos | CCT y DPF | Activo |
| Servicio de notificaciones de tu navegador (Google, Mozilla, Apple o Microsoft, según el navegador) | Entrega de las notificaciones de la aplicación web, solo si las activas | Según el navegador; puede incluir Estados Unidos | CCT y DPF del proveedor del navegador | Activo |
| Stripe Payments Europe, Ltd. | Cobro de señales, flash y pujas y verificación de identidad de los Tatuadores (Stripe Connect); cuotas de los planes en la web | Irlanda y Estados Unidos | CCT, DPF y PCI-DSS | Inactivo: el cobro está apagado y no se le comunica ningún dato |
| Replicate, Inc. | Mejora con inteligencia artificial de la imagen del probador | Estados Unidos | CCT y prohibición contractual de usar las imágenes para entrenar modelos | Inactivo: hoy el probador compone la imagen en nuestro propio servidor y ninguna foto sale hacia este proveedor |
| OpenAI, L.L.C. | Filtro automático de imágenes (moderación): revisa las imágenes que se suben a la Plataforma para detectar desnudez, violencia gráfica o autolesiones (apartado 4). No se le envían las fotos del probador mientras no se usen en una publicación (apartado 2.5) ni los vídeos. La descripción del estilo y del motivo de las fotos no está activada | Estados Unidos | CCT y acuerdo de encargo sin uso de los datos para entrenar modelos | Activo para el filtro de imágenes: se le envía la dirección de cada imagen que se sube para que la revise, sin tu nombre, tu correo ni el texto de la publicación. Inactivo para la descripción de las fotos |
| Mux, Inc. | Procesamiento y entrega de vídeo | Estados Unidos | CCT y DPF | Inactivo: hoy la Plataforma no procesa vídeo con este proveedor |
Inicio de sesión con Apple o con Google. Si eliges entrar con Apple o con Google, ese proveedor te identifica y nos comunica tu identificador de cuenta y tu correo electrónico (con Apple puedes usar un correo de reenvío que oculta el tuyo). Apple y Google actúan como responsables independientes de ese tratamiento, conforme a sus propias políticas de privacidad; no son encargados nuestros y no les enviamos los datos de tu uso de TatuARTE.
Mapa. Las teselas del mapa se descargan desde los servidores públicos de OpenFreeMap. Esa descarga no lleva tu identidad ni tu ubicación, aunque, como en cualquier conexión, el servidor ve la dirección IP de tu dispositivo y la zona del mapa que se está mostrando.
Situación de los estudios. Para situar los estudios en el mapa, la dirección del estudio se consulta al servicio Nominatim de la OpenStreetMap Foundation (Reino Unido, con decisión de adecuación).
Lo que no hay. Esta versión de TatuARTE no incluye herramientas de analítica de terceros ni píxeles o identificadores publicitarios de terceros (como el de Meta), ni en las aplicaciones ni en la web. Las estadísticas de uso del apartado 2.4 son propias y no salen de nuestro servidor.
La lista anterior es la versión vigente a la fecha de actualización de este documento. Mantenemos un listado interno actualizado que ponemos a disposición del Usuario que lo solicite. Cualquier ampliación material de sub-encargados se comunicará con antelación.
No vendemos tus datos personales ni los cedemos a terceros para finalidades de marketing externo. Las únicas comunicaciones a terceros distintas de las anteriores son las requeridas por una autoridad competente en el marco de un proceso legal.
6. Transferencias internacionales de datos
Algunos de los sub-encargados anteriores están ubicados fuera del Espacio Económico Europeo, principalmente en Estados Unidos. Estas transferencias se realizan con las siguientes garantías:
- Cláusulas contractuales tipo (SCC) aprobadas por la Comisión Europea (Decisión (UE) 2021/914), incorporadas a los contratos de encargo con cada proveedor.
- Adhesión al EU-U.S. Data Privacy Framework de aquellos proveedores que han obtenido certificación, conforme a la Decisión de Adecuación de la Comisión Europea de 10 de julio de 2023.
- Análisis de medidas técnicas y organizativas suplementarias (cifrado en tránsito y reposo, minimización de datos, seudonimización cuando es viable).
7. Retención de datos
Conservamos los datos durante el tiempo estrictamente necesario para cumplir las finalidades descritas y, posteriormente, durante los plazos legales mínimos. Resumen orientativo:
| Categoría | Plazo de retención |
|---|---|
| Datos de cuenta activa | Mientras la cuenta esté activa |
| Correo de un registro desde la web que no llega a crear la cuenta | El enlace vale 48 horas; el correo se borra 7 días después |
| Datos tras solicitud de baja | Borrado lógico inmediato. Retención técnica de 90 días para reactivación y resolución de incidentes; transcurrido este plazo, borrado físico irreversible |
| Contenido publicado (UGC) | Mientras la cuenta esté activa o hasta su eliminación por el Usuario |
| Fotos del cuerpo subidas al probador | Máximo 30 días desde la generación; eliminación inmediata bajo solicitud |
| Mensajes directos | Mientras ambas partes mantengan la cuenta activa; borrado conjunto al cierre de cuenta |
| Logs técnicos del backend | 14 días |
| Estadísticas de uso anónimas (totales por día) | 25 meses |
| Actividad de la cuenta con código interno (estadísticas de uso) | 100 días; después solo totales que no identifican a nadie. Se borra antes si te opones o borras la cuenta |
| Dirección IP en el límite de envíos de estadísticas | 1 minuto, en memoria |
| Backups completos de la base de datos | 30 días |
| Datos de moderación y reportes (con autor anonimizado al cabo del tiempo) | 1 año |
| Datos fiscales y contables (cuando el cobro esté activo) | El plazo mínimo legal aplicable, habitualmente 6 años |
Determinados datos pueden conservarse durante plazos mayores cuando exista una obligación legal o una reclamación judicial en curso. En esos casos, los datos se bloquean y sólo son accesibles por motivos legales hasta la prescripción.
8. Tus derechos (RGPD Art. 15-22)
Como interesado, dispones de los siguientes derechos sobre tus datos personales:
- Acceso a los datos personales que tratamos sobre ti.
- Rectificación de los datos inexactos o incompletos.
- Supresión (derecho al olvido) cuando los datos ya no sean necesarios o retires tu consentimiento.
- Limitación del tratamiento en los supuestos del artículo 18 RGPD.
- Portabilidad: obtener tus datos en un formato estructurado, de uso común y lectura mecánica.
- Oposición a tratamientos basados en interés legítimo; en particular, a la moderación y la prevención del fraude, y a los informes de error.
- Retirada del consentimiento en cualquier momento para aquellos tratamientos basados en él, sin que ello afecte a la licitud del tratamiento previo.
Cómo ejercerlos
Tienes a tu disposición varios canales para ejercer estos derechos:
-
Desde la propia aplicación:
Ajustes → Tus datos (dentro del apartado
«Privacidad»; el botón se llama Generar mis datos)
para obtener tu copia, y Ajustes → Borrar cuenta
(la última opción de Ajustes, en rojo) para la supresión: marca
la casilla de confirmación, pulsa Borrar mi cuenta
y confirma en el aviso. Internamente, estos flujos invocan los
endpoints
GET /api/v1/privacy/exportyDELETE /api/v1/auth/me. - Mediante correo electrónico a olazaro@lopezhermoso-abogados.com, indicando el derecho que deseas ejercer y aportando un medio razonable de verificación de identidad.
Responderemos tu solicitud en un plazo máximo de un (1) mes desde su recepción, prorrogable por dos meses adicionales en caso de solicitudes especialmente complejas, comunicándote en todo caso los motivos de la prórroga.
9. Menores de edad
TatuARTE es una plataforma dirigida exclusivamente a personas mayores de 18 años. No se permite el registro de menores, dado que:
- La actividad de tatuar requiere mayoría de edad en la mayoría de Comunidades Autónomas españolas.
- El contenido publicado puede incluir representaciones corporales que no son apropiadas para menores.
Las medidas de control consisten en:
- Fecha de nacimiento obligatoria en el registro, también al entrar con Apple o con Google: si no tienes 18 años cumplidos, no se puede crear la cuenta. Es una declaración tuya: no pedimos ningún documento.
- Revisión por nuestro equipo de los perfiles e imágenes que se nos denuncian por la posible presencia de un menor. No usamos ningún sistema automático que estime la edad a partir de fotos.
- Mecanismo de denuncia en la aplicación para que cualquier Usuario pueda alertarnos de la posible presencia de un menor.
- Cierre inmediato de cualquier cuenta donde se constate que el titular es menor, con eliminación de todo su contenido.
10. Cookies
No usamos cookies de analítica ni de publicidad, ni propias ni de terceros. Las estadísticas de uso propias del apartado 2.4 no usan cookies. Lo que sí usamos es almacenamiento local en tu navegador o en tu teléfono para mantener tu sesión abierta y recordar tus preferencias (entre ellas, si te opones a las estadísticas). Nada de eso requiere tu consentimiento, y por eso no verás un banner de cookies. El detalle está en la Política de Cookies.
11. Cambios en esta política
Esta Política de Privacidad puede actualizarse periódicamente para reflejar cambios legales, nuevas funcionalidades o nuevos sub-encargados. Las modificaciones materiales se comunicarán al Usuario con una antelación mínima de treinta (30) días naturales a través de correo electrónico y aviso visible dentro de la aplicación.
Cuando un cambio implique la solicitud de un nuevo consentimiento, éste se recabará de forma específica antes de iniciar el tratamiento afectado.
12. Autoridad de control
Si consideras que el tratamiento de tus datos no se ajusta a la normativa, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD):
- Sede electrónica: www.aepd.es
- Dirección postal: C/ Jorge Juan, 6, 28001 Madrid
- Teléfono: 901 100 099 / 912 663 517
Sin perjuicio de lo anterior, te invitamos a contactar primero con el Delegado de Protección de Datos (olazaro@lopezhermoso-abogados.com) para que podamos atender tu solicitud de forma directa.
Documento de MVL Projects, S.L. Versión 0.3, vigente desde el 20 de octubre de 2026.