BORRADOR · pendiente de revisión legal

1. Quiénes somos

Esta política se aplica a la plataforma MindTattoo, accesible en mindtattoo.app y app.mindtattoo.app. La operamos como prestador de servicios SaaS B2B dirigidos a tatuadores y estudios de tatuaje.

2. Nuestro papel: dos roles distintos

MindTattoo actúa con dos roles legales diferentes según el tipo de dato:

• Responsable del tratamiento cuando tratamos datos de nuestros usuarios directos (artistas, estudios y miembros de su staff) para prestarles el servicio: datos de la cuenta, facturación a nosotros, soporte.
• Encargado del tratamiento cuando alojamos y procesamos por cuenta del artista/estudio los datos de sus clientes finales (consentimientos, citas, briefs, etc.). En este caso el responsable es el artista o estudio, no MindTattoo. Las relaciones de encargo se rigen por el Contrato de Encargo del Tratamiento Art. 28 RGPD.

3. Datos que tratamos como responsable

De los usuarios de MindTattoo (artistas, estudios, staff):

• Datos de identificación y contacto: email, nombre, teléfono.
• Datos profesionales: nombre artístico, nombre del estudio, slug público, biografía.
• Datos fiscales: NIF, dirección fiscal.
• Aceptación del contrato de agencia comercial: fecha, IP, User-Agent.
• Datos técnicos de uso: logs de acceso, métricas de uso de la plataforma.
• Datos de pago de la suscripción si aplica.

Finalidades

• Prestación del servicio contratado.
• Facturación y cobro de la suscripción.
• Soporte técnico y comunicaciones operativas (no marketing).
• Mejora del producto a partir de datos agregados y anonimizados.
• Cumplimiento de obligaciones legales (fiscal, prevención de fraude).

Bases legitimadoras

• Ejecución del contrato de servicio (Art. 6.1.b RGPD).
• Obligaciones legales (Art. 6.1.c RGPD).
• Interés legítimo para seguridad y mejora del servicio (Art. 6.1.f RGPD).

4. Datos que tratamos como encargado

Por cuenta del artista/estudio (responsable):

• Datos de identificación del cliente final: nombre, DNI (texto y foto), dirección, contacto.
• Datos sanitarios: respuestas al cuestionario médico previo al tatuaje (Art. 9 RGPD, datos especialmente protegidos).
• Datos biométricos: firma manuscrita capturada digitalmente.
• Datos del tatuaje: brief, referencias, fotografías, ubicación corporal, técnica.
• Datos económicos de las fianzas: importe, estado del cobro y reparto entre artista y estudio. Los datos del medio de pago (tarjeta, Bizum) los trata directamente el proveedor de pagos, no MindTattoo.

Tratamos estos datos únicamente bajo instrucciones documentadas del responsable y conforme al DPA firmado.

5. Subencargados de tratamiento

Para prestar el servicio utilizamos proveedores que tienen acceso técnico limitado a los datos:

• OVHcloud (Francia) — alojamiento de la plataforma. Datos en la UE.
• Resend (Estados Unidos) — envío de emails transaccionales, amparado por Cláusulas Contractuales Estándar.
• Google Cloud Platform (acceso a Google Calendar API) — sólo si el usuario conecta su Google Calendar voluntariamente. Tokens cifrados en reposo.
• Stripe Payments Europe, Ltd. (Irlanda) — procesamiento de los pagos de suscripción y del cobro de fianzas de clientes finales. Los datos del medio de pago los trata Stripe directamente; MindTattoo no los almacena.
• Meta Platforms Ireland Ltd. (Irlanda) — sólo si el usuario conecta voluntariamente WhatsApp Business o Instagram, para enviar y recibir mensajes con sus clientes en su nombre.

Mantenemos esta lista actualizada en este apartado. Cuando un nuevo subencargado se sume, te lo notificaremos antes de su entrada en vigor con margen para objetar conforme al DPA.

6. Transferencias internacionales

Sólo se producen para los proveedores indicados (Resend, Google si aplica). Todas las transferencias fuera del Espacio Económico Europeo se realizan bajo Cláusulas Contractuales Estándar de la Comisión Europea o mecanismos equivalentes.

6 bis. Uso de datos de Google API (Google Calendar)

Si conectas voluntariamente tu Google Calendar, MindTattoo accede a la lista de tus calendarios y a los eventos del calendario que elijas, con la única finalidad de sincronizar tus citas: leer tu disponibilidad y crear, actualizar o eliminar los eventos correspondientes a tus reservas.

El uso y la transferencia por parte de MindTattoo de la información recibida de las APIs de Google se ajustará a la Política de Datos de Usuario de los Servicios de API de Google, incluidos sus requisitos de Uso Limitado (Limited Use).

En particular, los datos obtenidos de Google Calendar:

• Se usan exclusivamente para ofrecerte y mejorar la función de sincronización de calendario que ves en la plataforma.
• No se transfieren a terceros salvo lo estrictamente necesario para prestar esa función, con tu consentimiento, o por obligación legal.
• No se utilizan para publicidad de ningún tipo.
• No se utilizan para entrenar modelos de inteligencia artificial generalizados.
• Ningún humano los lee, salvo que des tu consentimiento expreso, por motivos de seguridad, para cumplir la ley, o en forma agregada/anonimizada para operaciones internas.

Los tokens de acceso se guardan cifrados en reposo. Puedes revocar el acceso en cualquier momento desde Configuración → Integraciones en MindTattoo, o desde la página de permisos de tu cuenta de Google (myaccount.google.com/permissions).

6 ter. Uso de datos de Meta / WhatsApp

Si conectas voluntariamente tu cuenta de WhatsApp Business, MindTattoo accede al identificador de tu número y a tus plantillas de mensajes con la única finalidad de enviar, en tu nombre, mensajes de utilidad a tus clientes relacionados con sus citas (recordatorios, confirmaciones y solicitudes de seña).

• El uso de la información obtenida de las APIs de Meta se ajusta a las Condiciones de la Plataforma de Meta y a la Política de WhatsApp Business.
• No usamos estos datos para publicidad ni los vendemos. No los compartimos salvo lo estrictamente necesario para prestar el servicio.
• Los tokens de acceso se guardan cifrados en reposo.
• Puedes desconectar tu cuenta en cualquier momento desde Configuración → Integraciones.

Consulta cómo solicitar el borrado de tus datos en nuestra página de eliminación de datos.

7. Plazos de conservación

• Cuenta de usuario: mientras dure la relación contractual. Tras la baja, conservamos sólo los datos requeridos por obligaciones legales (facturación: 4 años fiscales · auditoría: hasta 6 años).
• Consentimientos informados de clientes: el plazo lo fija la normativa sanitaria de la comunidad autónoma donde se realizó la intervención, por lo que varía entre 1 y 5 años. Cuando la normativa autonómica no fija un plazo numérico, el responsable del tratamiento (el artista o estudio) debe establecer y documentar uno atendiendo a la finalidad sanitaria y a las posibles responsabilidades. Cumplido ese plazo no se suprimen sin más: se bloquean conforme al artículo 32 de la LOPDGDD. El bloqueo consiste en retirar los datos del sistema y conservarlos cifrados, sin que puedan consultarse ni utilizarse para ninguna finalidad, quedando a disposición exclusiva de jueces, tribunales, Ministerio Fiscal y autoridades de protección de datos por si se exigiera alguna responsabilidad. Las imágenes del DNI se eliminan en ese momento. Transcurrido el plazo de prescripción de esas responsabilidades, actualmente fijado en 3 años, los datos bloqueados se destruyen y solo queda constancia de que el consentimiento existió y fue firmado (fecha y estado).
• Registros técnicos: los registros de acceso al servidor se conservan 90 días; los del servidor web, 14 días. Los registros de envío de correo y de avisos automáticos se conservan 12 meses, porque sirven de prueba de envío y evitan duplicar comunicaciones. Todos se suprimen de forma automática al cumplirse el plazo.
• Registros de cobros y liquidaciones de fianzas: 5 años, por normativa de prevención del blanqueo de capitales y obligaciones mercantiles. Los datos de la tarjeta o del medio de pago no los almacena MindTattoo: los trata directamente el proveedor de pagos.

8. Tus derechos

Como persona física tienes derecho a:

• Acceder a tus datos.
• Rectificarlos si son inexactos.
• Solicitar su supresión.
• Oponerte al tratamiento o solicitar su limitación.
• Portabilidad de tus datos.
• No ser objeto de decisiones automatizadas con efectos jurídicos.
• Retirar tu consentimiento en cualquier momento.

Para ejercerlos:

• Si eres usuario de MindTattoo: escribe a rgpd@mindtattoo.app con copia de tu DNI.
• Si eres cliente de un artista/estudio: usa el formulario en mindtattoo.app/legal/derechos. Procesaremos tu solicitud en colaboración con el responsable (el artista/estudio) en un plazo máximo de 30 días naturales.

Tienes derecho a presentar reclamación ante la Agencia Española de Protección de Datos (www.aepd.es) si consideras que el tratamiento no se ajusta a la normativa.

9. Seguridad

Adoptamos medidas técnicas y organizativas apropiadas según el riesgo:

• Cifrado en tránsito (TLS 1.3) en todas las comunicaciones.
• Cifrado en reposo, mediante Fernet con clave gestionada en variables de entorno protegidas, de: número de DNI, respuestas del cuestionario de salud y sus detalles, y tokens de acceso de las integraciones.
• Almacenamiento de documentos identificativos (DNI) en directorio privado sin exposición pública.
• Auditoría completa de aceptaciones (fecha, IP, User-Agent, hash del documento) para firmas electrónicas simples (eIDAS).
• Aislamiento multi-tenant a nivel de aplicación y base de datos.
• Copias de seguridad diarias cifradas con AES-256, verificadas automáticamente y con una retención de hasta 8 semanas. Superado ese plazo, los datos suprimidos desaparecen también de las copias.
• Los datos bloqueados se cifran con una clave distinta de la del resto de la plataforma, de modo que no son legibles ni siquiera con acceso a la base de datos. Cada consulta sobre datos bloqueados exige indicar su motivo y queda registrada.

10. Cookies

Usamos únicamente cookies estrictamente necesarias para el funcionamiento de la plataforma (sesión de autenticación, preferencia de idioma). No usamos cookies de tracking ni de publicidad.

11. Datos de contacto del responsable

MindTattoo
Email RGPD: rgpd@mindtattoo.app
Datos de identificación fiscal completos: por publicar en lanzamiento.

12. Cambios en esta política

Si modificamos esta política sustancialmente, te lo notificaremos por email y a través de tu panel de MindTattoo con margen razonable antes de la entrada en vigor.