Política de Privacidad

1. Responsable del tratamiento

El responsable del tratamiento de los datos personales recogidos a través de TatuARTE es IAMG Solutions, con domicilio en España.

• Email general: info@tatuarte.app
• Email de privacidad y Delegado de Protección de Datos (DPO): olazaro@lopezhermoso-abogados.com
• Email de soporte: soporte@tatuarte.app

IAMG Solutions actúa como responsable principal del tratamiento. Determinados proveedores tecnológicos detallados en la sección «Con quién compartimos tus datos» actúan como encargados o sub-encargados del tratamiento, conforme a contratos específicos firmados al amparo del artículo 28 RGPD.

2. Qué datos recogemos

Recogemos las categorías de datos estrictamente necesarias para prestar el servicio, garantizar su seguridad y mejorar la experiencia. Las categorías son:

2.1 Datos de cuenta e identificación

• Email y, si aplica, identificador de OAuth (Apple, Google).
• Hash de la contraseña (nunca almacenamos la contraseña en claro; utilizamos algoritmos de derivación criptográfica modernos como Argon2id).
• Nombre de usuario o handle, nombre profesional, biografía, foto de perfil, ubicación declarada (ciudad/zona) y enlaces externos voluntariamente añadidos al perfil.
• Fecha de nacimiento, obligatoria al crear la cuenta: sirve para comprobar que tienes 18 años (ver apartado 9). No se muestra en tu perfil.
• Para Tatuadores y Estudios: información profesional necesaria para verificar la actividad (certificados sanitarios) y, si lo das, tu NIF, NIE o CIF. Hoy es opcional; lo pedimos porque la normativa fiscal obliga a las plataformas a informar de lo que cobran sus profesionales. Se guarda cifrado, no sale en tu perfil y solo lo vemos tú y nuestro equipo.
• Para Estudios: dirección, horario y, si los pones, un teléfono y un correo de contacto. Son públicos, como el resto de la ficha del estudio.

2.2 Contenido subido

• Fotos, vídeos, sketches, descripciones, etiquetas, comentarios, reseñas, posts, listings de marketplace y mensajes directos.
• Información asociada al contenido: descripción, estilo, localización corporal, valor estimado, atribuciones a otros Usuarios.

2.3 Metadatos técnicos

• Dirección IP, agente de usuario, tipo de dispositivo, sistema operativo y versión, idioma, zona horaria.
• Identificadores de instalación (Expo push tokens, identificadores de aplicación), necesarios para enviar notificaciones push.
• Datos de geolocalización, sólo cuando el Usuario otorga consentimiento explícito y para funcionalidades concretas (búsqueda por proximidad, mapa de tatuadores).
• Metadatos de las imágenes: para proteger la privacidad, eliminamos automáticamente los metadatos EXIF (incluida la geolocalización embebida) de toda imagen subida antes de su almacenamiento.

2.4 Datos de comportamiento y uso

No recogemos estadísticas de uso. TatuARTE no lleva dentro ninguna herramienta de analítica. No medimos cuánto tiempo pasas en la aplicación, ni qué pantallas abres, ni tu recorrido por ellas, ni enviamos nada de eso a nadie. No es que esté apagado: no existe. En una red social esto es poco corriente, así que lo decimos en la primera frase en vez de esconderlo en un párrafo.

Lo único que hay en este apartado es lo siguiente.

Tus interacciones dentro de la aplicación. Los «me gusta», los guardados, las republicaciones, los comentarios y qué publicaciones ya te hemos enseñado. Se guardan en nuestro propio servidor y sirven para ordenar tu muro y no repetirte lo mismo. La lista de lo que ya has visto se borra a las 24 horas, y el recuento de visualizaciones que conservamos es por publicación, sin guardar quién la vio. Cómo se ordena está explicado en «Cómo ordenamos los resultados».

Informes de error anónimos. Cuando algo se rompe, la aplicación envía el error con su traza, el modelo de teléfono, la versión del sistema operativo y la versión de la aplicación. Nada más. Un informe dice «esto falló aquí, en un iPhone 13 con iOS 18», y eso no señala a ninguna persona.

• No se envía: tu identificador de usuario, tu correo, tu dirección IP, las direcciones que visita la aplicación ni tiempos de rendimiento.
• Antes de que el informe salga de tu teléfono, un filtro recorre el evento entero y borra correos, credenciales incrustadas en direcciones web, cabeceras de autorización e identificadores de nuestra base de datos.
• Por eso no te pedimos permiso para esto: no hay ningún dato personal que consentir. Tampoco verás una pantalla pidiéndotelo.

Registros técnicos del servidor, con identificadores de sesión y rutas accedidas, conservados durante 14 días para depuración y seguridad.

2.5 Datos especialmente sensibles

TatuARTE ofrece una funcionalidad de try-on que permite al Cliente visualizar un diseño aplicado a una foto de su propio cuerpo mediante inteligencia artificial. Las imágenes corporales utilizadas para esta funcionalidad se consideran datos especialmente protegidos.

• Sólo se procesan con consentimiento explícito recabado en el flujo de la propia funcionalidad.
• No se utilizan para entrenar modelos de inteligencia artificial, ni propios ni de terceros.
• Se almacenan exclusivamente el tiempo necesario para generar la previsualización y permitir al Usuario revisarla. El plazo máximo de retención es de 30 días, transcurrido el cual se eliminan de forma irreversible.
• El Usuario puede solicitar la eliminación inmediata desde su panel de privacidad.

Notas del Tatuador sobre sus clientes. Un Tatuador puede guardar notas privadas y etiquetas sobre las personas a las que ha atendido, y lo primero que se apunta ahí suele ser lo que importa para tatuar: por ejemplo, «alérgico al látex». Esas notas pueden contener, por tanto, datos de salud. Por eso:

• Solo las ve el Tatuador que las escribió: ni la persona a la que se refieren, ni el estudio, ni el resto de Usuarios.
• Se guardan cifradas en nuestros servidores.
• No se envían a ningún proveedor externo ni se usan para nada más que mostrárselas a quien las escribió.
• Quien las escribió las puede borrar cuando quiera, y desaparecen en el borrado definitivo de su cuenta o de la cuenta de la persona a la que se refieren.

Análisis del selfie para crear tu avatar. En la app de iPhone y Android puedes hacerte un selfie o elegir una foto para que tu avatar se parezca a ti. Ese análisis se hace dentro de tu móvil, con la tecnología MediaPipe de Google ejecutándose en el propio dispositivo:

• Qué se analiza: la app localiza puntos de referencia de la cara (contorno, ojos, nariz y boca) y calcula unas pocas medidas de proporción, como lo redondeada que es la cara, además del tono de piel de las mejillas y el color del pelo.
• La foto no sale de tu móvil: no se sube a nuestros servidores ni a los de terceros, y TatuARTE no la conserva cuando termina el análisis. Los puntos de referencia de la cara también se descartan.
• Qué se guarda: solo el resultado aplicado a tu avatar (el aspecto elegido, los ajustes de rasgos, el tono de piel y el color de pelo), y solo si pulsas «Guardar». Se guarda en tu perfil como el resto de tu avatar; lo puedes cambiar cuando quieras y se borra con tu cuenta.
• No se usa para identificarte ni para reconocer tu cara, no se crea ninguna plantilla biométrica y no se usa para entrenar modelos de inteligencia artificial.
• Para hacer el análisis, la app descarga el modelo de MediaPipe desde nuestro servidor (y, si no está disponible, desde servidores públicos de Google o de jsDelivr). Esa descarga no lleva tu foto ni ningún dato tuyo.

3. Bases legales del tratamiento (RGPD Art. 6)

Cada tratamiento de datos personales se basa en una o varias de las siguientes bases legales:

En todos los tratamientos basados en interés legítimo, hemos realizado el correspondiente análisis de ponderación entre dicho interés y los derechos del interesado. El Usuario podrá oponerse a esos tratamientos, según lo descrito en la sección «Tus derechos».

4. Cómo usamos tus datos

Tratamos los datos para las siguientes finalidades, cada una con la base legal indicada en la tabla anterior:

• Prestar el servicio core: registro, perfil, feed, búsqueda, mensajería, mapa, marketplace, try-on, reseñas y notificaciones.
• Ordenar lo que ves: el muro y las búsquedas se ordenan con tus interacciones dentro de la propia aplicación («me gusta», guardados, comentarios y qué se te ha mostrado ya), nunca con imágenes corporales ni con contenido identificable de terceros. Esto ocurre dentro de nuestro servidor; no hay herramienta de analítica de por medio ni se envía a terceros.
• Arreglar lo que se rompe: informes de error anónimos, descritos en el apartado 2.4.
• Garantizar la seguridad: detección de fraude, acceso no autorizado, prevención de abusos, integridad de la plataforma.
• Moderar el contenido a partir de las denuncias de los usuarios y de la revisión de nuestro equipo, con el objetivo de cumplir con la normativa aplicable y las Community Guidelines. Hoy no hay ningún filtro automático que revise el contenido antes de publicarse, ni propio ni de un proveedor externo.
• Comunicarnos contigo: envío de comunicaciones transaccionales necesarias para el servicio, así como comunicaciones comerciales si has prestado tu consentimiento previo.
• Cumplir obligaciones legales: respuesta a requerimientos judiciales o administrativos, conservación de registros fiscales cuando proceda.

5. Con quién compartimos tus datos

Compartimos datos únicamente con los proveedores estrictamente necesarios para operar el servicio, todos ellos sujetos a contratos de encargo del tratamiento conforme al artículo 28 RGPD. Los principales sub-encargados son:

La lista anterior es la versión vigente a la fecha de actualización de este documento. Mantenemos un listado interno actualizado que ponemos a disposición del Usuario que lo solicite. Cualquier ampliación material de sub-encargados se comunicará con antelación.

No vendemos tus datos personales ni los cedemos a terceros para finalidades de marketing externo. Las únicas comunicaciones a terceros distintas de las anteriores son las requeridas por una autoridad competente en el marco de un proceso legal.

6. Transferencias internacionales de datos

Algunos de los sub-encargados anteriores están ubicados fuera del Espacio Económico Europeo, principalmente en Estados Unidos. Estas transferencias se realizan con las siguientes garantías:

• Cláusulas contractuales tipo (SCC) aprobadas por la Comisión Europea (Decisión (UE) 2021/914), incorporadas a los contratos de encargo con cada proveedor.
• Adhesión al EU-U.S. Data Privacy Framework de aquellos proveedores que han obtenido certificación, conforme a la Decisión de Adecuación de la Comisión Europea de 10 de julio de 2023.
• Análisis de medidas técnicas y organizativas suplementarias (cifrado en tránsito y reposo, minimización de datos, seudonimización cuando es viable).

7. Retención de datos

Conservamos los datos durante el tiempo estrictamente necesario para cumplir las finalidades descritas y, posteriormente, durante los plazos legales mínimos. Resumen orientativo:

Determinados datos pueden conservarse durante plazos mayores cuando exista una obligación legal o una reclamación judicial en curso. En esos casos, los datos se bloquean y sólo son accesibles por motivos legales hasta la prescripción.

8. Tus derechos (RGPD Art. 15-22)

Como interesado, dispones de los siguientes derechos sobre tus datos personales:

• Acceso a los datos personales que tratamos sobre ti.
• Rectificación de los datos inexactos o incompletos.
• Supresión (derecho al olvido) cuando los datos ya no sean necesarios o retires tu consentimiento.
• Limitación del tratamiento en los supuestos del artículo 18 RGPD.
• Portabilidad: obtener tus datos en un formato estructurado, de uso común y lectura mecánica.
• Oposición a tratamientos basados en interés legítimo, en particular a la elaboración de perfiles para mejora del producto.
• Retirada del consentimiento en cualquier momento para aquellos tratamientos basados en él, sin que ello afecte a la licitud del tratamiento previo.

Cómo ejercerlos

Tienes a tu disposición varios canales para ejercer estos derechos:

• Desde la propia aplicación: Ajustes → Tus datos (dentro del apartado «Privacidad»; el botón se llama Generar mis datos) para obtener tu copia, y Ajustes → Borrar cuenta (la última opción de Ajustes, en rojo) para la supresión: marca la casilla de confirmación, pulsa Borrar mi cuenta y confirma en el aviso. Internamente, estos flujos invocan los endpoints GET /api/v1/privacy/export y DELETE /api/v1/auth/me.
• Mediante correo electrónico a olazaro@lopezhermoso-abogados.com, indicando el derecho que deseas ejercer y aportando un medio razonable de verificación de identidad.

Responderemos tu solicitud en un plazo máximo de un (1) mes desde su recepción, prorrogable por dos meses adicionales en caso de solicitudes especialmente complejas, comunicándote en todo caso los motivos de la prórroga.

9. Menores de edad

TatuARTE es una plataforma dirigida exclusivamente a personas mayores de 18 años. No se permite el registro de menores, dado que:

• La actividad de tatuar requiere mayoría de edad en la mayoría de Comunidades Autónomas españolas.
• El contenido publicado puede incluir representaciones corporales que no son apropiadas para menores.

Las medidas de control consisten en:

• Fecha de nacimiento obligatoria en el registro, también al entrar con Apple o con Google: si no tienes 18 años cumplidos, no se puede crear la cuenta. Es una declaración tuya: no pedimos ningún documento.
• Revisión por nuestro equipo de los perfiles e imágenes que se nos denuncian por la posible presencia de un menor. No usamos ningún sistema automático que estime la edad a partir de fotos.
• Mecanismo de denuncia en la aplicación para que cualquier Usuario pueda alertarnos de la posible presencia de un menor.
• Cierre inmediato de cualquier cuenta donde se constate que el titular es menor, con eliminación de todo su contenido.

10. Cookies

No usamos cookies de analítica ni de publicidad, ni propias ni de terceros. Lo que sí usamos es almacenamiento local en tu navegador o en tu teléfono para mantener tu sesión abierta y recordar tus preferencias. Nada de eso requiere tu consentimiento, y por eso no verás un banner de cookies. El detalle está en la Política de Cookies.

11. Cambios en esta política

Esta Política de Privacidad puede actualizarse periódicamente para reflejar cambios legales, nuevas funcionalidades o nuevos sub-encargados. Las modificaciones materiales se comunicarán al Usuario con una antelación mínima de treinta (30) días naturales a través de correo electrónico y aviso visible dentro de la aplicación.

Cuando un cambio implique la solicitud de un nuevo consentimiento, éste se recabará de forma específica antes de iniciar el tratamiento afectado.

12. Autoridad de control

Si consideras que el tratamiento de tus datos no se ajusta a la normativa, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD):

• Sede electrónica: www.aepd.es
• Dirección postal: C/ Jorge Juan, 6, 28001 Madrid
• Teléfono: 901 100 099 / 912 663 517

Sin perjuicio de lo anterior, te invitamos a contactar primero con el Delegado de Protección de Datos (olazaro@lopezhermoso-abogados.com) para que podamos atender tu solicitud de forma directa.

Documento elaborado por el equipo de IAMG Solutions, pendiente de validación final por Lopez Hermoso Abogados antes de la publicación pública del servicio. Versión 0.2 — 21 de septiembre de 2026.