Política de Privacidad

1. Introducción

SkinSense Diary es una aplicación de diario de cuidado de la piel (la “Aplicación”) desarrollada por Elovar Technology Ltd (la “Empresa”, “nosotros”, “nos” u “nuestro”). Esta Política de Privacidad explica cómo recopilamos, utilizamos, divulgamos y protegemos su información cuando utiliza nuestra Aplicación, incluidas las opciones que tiene con respecto a su información.

Nos comprometemos a proteger su privacidad y garantizar que tenga una experiencia positiva en nuestra Aplicación. Esta política describe nuestras prácticas de privacidad y sus derechos conforme a las leyes aplicables de protección de datos, incluido el Reglamento General de Protección de Datos del Reino Unido (UK GDPR) según se retiene en la European Union (Withdrawal) Act 2018, la Data Protection Act 2018 (DPA 2018) y las Privacy and Electronic Communications Regulations 2003 (PECR).

2. Información que Recopilamos

2.1 Información de la Cuenta

Cuando crea una cuenta, recopilamos:

• Dirección de correo electrónico
• Nombre de usuario
• Preferencia de idioma
• Identificadores de Inicio de Sesión Único (SSO) de Apple ID o Google Account (utilizados únicamente para autenticación)

2.2 Información del Perfil

Puede proporcionar voluntariamente información del perfil para personalizar su experiencia:

• Rango de edad
• Género
• Tipo de piel
• Problemas de piel
• Notas personales

2.3 Información de Miembros de la Familia

Si añade miembros de la familia o subcuentas para rastrear su cuidado de la piel, recopilamos:

• Nombre de usuario
• Relación con el titular de la cuenta
• Rango de edad
• Género
• Tipo de piel
• Problemas de piel
• Estado y marca de tiempo del consentimiento del tutor (para miembros menores de 16 años)

2.4 Datos de Registro de Diario

Cuando registra actividades de cuidado de la piel, recopilamos:

• Fecha y hora del registro
• Tipo de rutina (mañana, noche, maquillaje u otro)
• Información e identificadores de productos
• Áreas del cuerpo donde se aplicaron los productos
• Notas y observaciones del usuario
• Condiciones climáticas y ambientales (código meteorológico, temperatura, humedad, índice UV)
• Nombre de ubicación (nombre del lugar obtenido por geocodificación inversa; las coordenadas precisas no se almacenan)

2.5 Datos de Salud y Reacciones (Categoría Especial)

Conforme al Artículo 9 del GDPR, lo siguiente constituye datos de categoría especial que requieren consentimiento explícito:

• Reacciones de piel: fecha, gravedad (escala 1-5), síntomas, área del cuerpo afectada y notas
• Ingredientes desencadenantes sospechosos con puntuaciones de sospecha
• Fotografías de reacciones
• Contexto meteorológico asociado con reacciones (historial de clima de 3 días)
• Seguimiento del ciclo menstrual: fecha de inicio, fecha de finalización y notas

2.6 Información de Inventario y Productos

Recopilamos datos sobre los productos en su inventario:

• Productos de su propiedad
• Estado del producto (activo, respaldo, lista de deseos o finalizado)
• Fecha en que se abrió el producto
• Lista negra de ingredientes (ingredientes que desea evitar)
• Lista negra de productos (productos específicos que desea evitar)
• Datos de vigilancia de precios (precios base, precios objetivo y últimos precios más bajos)
• Preestablecidos de inventario (combinaciones de productos nombrados para rutinas)

2.7 Datos de Análisis de IA

Para proporcionar análisis personalizado de la piel, procesamos los siguientes datos a través de nuestros proveedores de servicios de IA (incluidos, entre otros, OpenRouter, OpenAI, Anthropic y Google):

• Tipo de piel
• Problemas de piel
• Género
• Edad aproximada (derivada del rango de edad)
• Alérgenos sospechosos e historial de reacciones

El análisis generado por IA se almacena en su cuenta para referencia futura. Encontrará más detalles sobre el procesamiento de terceros en la Sección 5.

2.8 Datos de Calendario y Eventos

Puede crear eventos y recordatorios de calendario personalizados dentro de la Aplicación:

• Título del evento, descripción y fecha
• Clasificación de tipo de evento

2.9 Notificaciones y Registros de Consentimiento

Mantenemos registros de:

• Notificaciones push enviadas a su dispositivo (tipo, título, cuerpo y estado de lectura)
• Sus preferencias de consentimiento en cinco categorías: esencial (requerida), datos de salud (requerida para funciones de salud), ubicación (opcional), investigación (opcional) y comercial (opcional)
• Versión de consentimiento, marca de tiempo, hash de dirección IP y hash del agente de usuario con fines de auditoría

2.10 Datos de Suscripción y Transacciones

Cuando se suscribe a un plan de pago, recopilamos:

• Nivel de suscripción (Gratuito, Pagado o VIP)
• Fecha de activación de la suscripción, fecha de vencimiento y uso de prueba gratuita
• Canjes de códigos promocionales

El procesamiento de pagos es gestionado íntegramente por Apple (mediante Compra dentro de la Aplicación) o Stripe. No recopilamos ni almacenamos números de tarjeta de crédito, datos de cuentas bancarias ni otros datos de instrumentos de pago. Solo recibimos una confirmación de transacción y el estado de la suscripción de estos proveedores.

2.11 Datos de Clics de Afiliados

Cuando hace clic en un enlace “Dónde Comprar” dentro de la Aplicación, registramos:

• El listado de producto en el que hizo clic
• La configuración de la red de afiliados utilizada (si corresponde)
• Marca de tiempo del clic
• Hash de dirección IP y agente de usuario (para prevención de fraude; la IP sin procesar no se almacena)

Estos datos se utilizan para operar y supervisar nuestro programa de marketing de afiliados. Consulte la Sección 5 para obtener detalles sobre cómo las redes de afiliados procesan esta información.

3. Cómo Utilizamos Su Información

Procesamos su información en las siguientes bases legales conforme al Artículo 6 del GDPR:

3.1 Cumplimiento de un Contrato (Artículo 6(1)(b))

• Crear y mantener su cuenta
• Proporcionar funcionalidad de la Aplicación: almacenar registros de diario, rastrear productos y gestionar inventario
• Gestionar su nivel de suscripción y procesar cambios de suscripción
• Proporcionar soporte al cliente
• Procesar solicitudes de exportación de datos y eliminación de cuenta

3.2 Intereses Legítimos (Artículo 6(1)(f))

• Prevención del fraude y acceso no autorizado
• Mejora de la Aplicación (análisis de patrones de uso, identificación de errores, optimización de características)
• Operación de nuestro programa de marketing de afiliados (seguimiento de clics en enlaces de minoristas para recibir comisiones)
• Mantenimiento de la seguridad y estabilidad de la Aplicación
• Cumplimiento de obligaciones legales

3.3 Consentimiento Explícito (Artículo 6(1)(a) y Artículo 9)

• Procesamiento de datos relacionados con la salud (reacciones, ciclos menstruales) — requiere consentimiento explícito
• Propósitos de investigación — requiere consentimiento separado
• Comunicaciones comerciales — requiere consentimiento separado
• Análisis de IA usando sus datos de salud — requiere consentimiento explícito antes del procesamiento

Puede retirar su consentimiento en cualquier momento a través de la configuración de la Aplicación. La retirada no afecta la legalidad del procesamiento anterior a la retirada.

4. Retención de Datos

Retenemos su información durante el tiempo que sea necesario para proporcionar la Aplicación y cumplir nuestras obligaciones legales:

• Registros de diario, reacciones de piel, datos de ciclo menstrual, resultados de análisis de IA y datos de ubicación/clima: Se retienen durante la duración de su cuenta activa. Tras la eliminación de la cuenta, todos los datos asociados se eliminan de forma permanente e inmediata. Si su cuenta se vuelve inactiva (véase a continuación), estos datos se retienen durante 3 años a partir de la fecha en que se detecta la inactividad, luego se eliminan permanentemente.
• Registros de consentimiento: Se retienen durante la duración de su cuenta activa. Tras la eliminación de la cuenta o la detección de inactividad, los registros de consentimiento se retienen durante 6 años para demostrar el cumplimiento de la legislación de protección de datos (UK GDPR, Limitation Act 1980), luego se eliminan permanentemente.
• Hashes de dirección IP y hashes de agente de usuario: Se retienen durante 12 meses con fines de auditoría de seguridad, luego se eliminan de los registros de consentimiento.
• Cuentas inactivas: Una cuenta se considera inactiva después de 12 meses consecutivos sin uso. Podemos enviar un recordatorio antes de aplicar los períodos de retención por inactividad. Los datos del diario se eliminan 3 años después de la detección de inactividad; los registros de consentimiento se eliminan 6 años después de la detección de inactividad. Si regresa y utiliza la Aplicación en cualquier momento antes de la eliminación, su cuenta se reactivará y todos los temporizadores de retención se restablecerán.
• Datos de cuenta y perfil de usuario: Se retienen hasta que elimine su cuenta o hasta que expire el período de retención por inactividad aplicable.

5. Compartición de Su Información

5.1 Proveedores de Servicios de Terceros

Compartimos ciertos datos con proveedores de servicios de terceros de confianza conforme a acuerdos de procesamiento de datos (Anexos de Procesamiento de Datos):

Proveedores de Servicios de IA (Análisis de IA)

Para funciones de análisis de piel, transmitimos los siguientes datos a nuestros proveedores de servicios de IA (incluidos, entre otros, OpenRouter, OpenAI, Anthropic y Google):

• Tipo de piel, problemas, género y edad aproximada
• Alérgenos sospechosos e historial de reacciones

Los servidores de nuestros proveedores de servicios de IA pueden ubicarse internacionalmente. Hemos implementado Cláusulas Contractuales Estándar (SCCs) según lo requerido por el GDPR para transferencias internacionales. La respuesta de análisis de IA se almacena en su cuenta; nuestros proveedores de servicios de IA no retienen los datos sin procesar después del procesamiento.

Apple ID y Google Sign-In (Autenticación)

Si usa SSO, nos autenticamos a través de Apple o Google, pero no compartimos sus datos de cuenta con ellos más allá de los identificadores de SSO.

Apple y Stripe (Procesamiento de Pagos)

Si se suscribe a un plan de pago, su pago es procesado por Apple (Compra dentro de la Aplicación) o Stripe. No recibimos ni almacenamos los datos de su tarjeta de pago. Estos procesadores pueden recibir su nombre, correo electrónico y detalles de la transacción de conformidad con sus propias políticas de privacidad.

Redes de Afiliados (Enlaces de Dónde Comprar)

La función “Dónde Comprar” de la Aplicación puede incluir enlaces a minoristas de terceros a través de redes de marketing de afiliados, incluidas, entre otras:

• Amazon Associates
• Awin
• Skimlinks
• CJ Affiliate (Commission Junction)
• Rakuten Advertising

Cuando hace clic en un enlace de afiliado, la red de afiliados puede recopilar su dirección IP, información del navegador y actividad de compra en el sitio web del minorista de conformidad con la política de privacidad de dicha red. Solo recibimos informes de comisiones agregados y no recibimos datos personales sobre sus compras de estas redes. Los enlaces de afiliados se indican claramente dentro de la Aplicación.

5.2 Sin Análisis de Terceros ni Publicidad Gráfica

No utilizamos SDK de análisis de terceros (como Google Analytics, Amplitude o Firebase) ni SDK de publicidad gráfica. No compartimos sus datos con anunciantes o redes publicitarias, y no se muestran anuncios dentro de la Aplicación. Los enlaces de afiliados descritos en la Sección 5.1 son enlaces de compra de productos, no publicidad dirigida, y se muestran únicamente en función del producto que está visualizando, no de su perfil personal o comportamiento de navegación.

5.3 Obligaciones Legales y Aplicación de la Ley

Podemos divulgar su información si así lo requiere la ley (por ejemplo, orden judicial, citación) o para proteger la seguridad y los derechos de la Empresa, nuestros usuarios o el público. Le proporcionaremos aviso de tal divulgación a menos que esté legalmente prohibido.

5.4 Datos Anonimizados y Uso Comercial

No vendemos, intercambiamos ni alquilamos su información personal identificable a terceros. Sin embargo, cuando ha proporcionado consentimiento explícito “Comercial” a través del Gestor de Consentimiento de la Aplicación, podemos crear y licenciar conjuntos de datos anonimizados y agregados derivados de datos de usuario con fines de investigación, análisis o comerciales. Estos conjuntos de datos están completamente desidentificados conforme al Código de Práctica de Anonimización de la ICO y no pueden razonablemente utilizarse para reidentificar a ningún individuo.

Puede retirar su consentimiento Comercial en cualquier momento a través de la configuración de la Aplicación. La retirada impedirá que sus datos se incluyan en futuros conjuntos de datos anonimizados, pero no afectará los conjuntos de datos ya creados antes de la retirada.

5.5 Uso de IA y Aprendizaje Automático

La Empresa puede utilizar datos de usuario anonimizados y agregados para entrenamiento de modelos de aprendizaje automático, mejora de algoritmos y desarrollo de productos. Cuando ha proporcionado consentimiento de “Investigación”, sus datos desidentificados también pueden utilizarse para propósitos de investigación académica o científica. Ningún entrenamiento de modelo de IA utiliza datos personales identificables sin su consentimiento explícito. Nuestros proveedores de servicios de IA de terceros (incluidos, entre otros, OpenRouter, OpenAI, Anthropic y Google) no retienen sus datos personales sin procesar después de procesar sus solicitudes.

6. Sus Derechos

Conforme al UK GDPR y la DPA 2018, tiene los siguientes derechos. Para ejercer estos derechos, contáctenos en [email protected]:

6.1 Derecho de Acceso (Artículo 15)

Tiene el derecho de acceder a sus datos personales. Puede exportar todos sus datos como archivo JSON directamente desde la configuración de la Aplicación en cualquier momento.

6.2 Derecho de Rectificación (Artículo 16)

Puede corregir información inexacta o incompleta editando su perfil de cuenta y registros de diario directamente en la Aplicación.

6.3 Derecho de Supresión (Artículo 17 — Derecho al Olvido)

Tiene el derecho de solicitar la eliminación de su cuenta y todos los datos asociados. Puede eliminar su cuenta en cualquier momento a través de la configuración de la Aplicación. Tras la eliminación, todos los datos personales se borran permanentemente (eliminación en cascada), con excepción de copias de respaldo (que se eliminan en un plazo de 30 días). Los registros de consentimiento se retienen hasta 6 años después de la eliminación de la cuenta para demostrar el cumplimiento de la legislación de protección de datos (consulte la Sección 4).

6.4 Derecho a Restringir el Procesamiento (Artículo 18)

Puede solicitar que limitemos el uso de sus datos. Póngase en contacto con nuestro DPO para discutir restricciones. Nota: Algunas restricciones pueden impedirnos proporcionar funcionalidad de la Aplicación.

6.5 Derecho a la Portabilidad de Datos (Artículo 20)

Tiene el derecho de recibir sus datos personales en un formato estructurado, comúnmente utilizado y legible por máquina (JSON). La Aplicación proporciona una función de exportación de datos en Configuración que le permite descargar todos sus datos.

6.6 Derecho de Oposición (Artículo 21)

Tiene el derecho de oponerse al procesamiento basado en intereses legítimos. Además, puede gestionar sus preferencias de consentimiento (investigación, comercial) a través de la configuración de la Aplicación y retirar el consentimiento en cualquier momento.

6.7 Derecho a Retirar Consentimiento

Puede retirar el consentimiento para el procesamiento de datos de salud, uso de investigación y comunicaciones comerciales en cualquier momento a través del Gestor de Consentimiento de la Aplicación. La retirada es efectiva inmediatamente y no afecta el procesamiento anterior.

6.8 Derecho a Presentar una Reclamación

Si cree que hemos violado sus derechos, tiene el derecho de presentar una reclamación ante la Information Commissioner's Office (ICO), la autoridad supervisora del Reino Unido para la protección de datos. Puede contactar a la ICO en: ico.org.uk, teléfono 0303 123 1113, o escribir a Information Commissioner's Office, Wycliffe House, Water Lane, Wilmslow, Cheshire, SK9 5AF, Reino Unido. Si se encuentra en la UE/EEA, también puede contactar a su autoridad local de protección de datos.

7. Privacidad de Menores

La Aplicación no está destinada a menores de 13 años de edad. Conforme al UK GDPR y la DPA 2018, la edad de consentimiento digital en el Reino Unido es 13. No recopilamos información personal de menores de 13 años a sabiendas. Si tiene menos de 13 años, no cree una cuenta ni use la Aplicación. Los usuarios de 13 a 17 años deben obtener consentimiento parental o de tutor antes de usar la Aplicación.

Si nos percatamos de que hemos recopilado información personal de un menor de 13 años sin consentimiento parental, eliminaremos tal información prontamente. Cumplimos con el Age Appropriate Design Code (Children's Code) de la ICO donde sea aplicable.

8. Seguridad

Implementamos medidas técnicas y organizativas para proteger su información personal contra acceso no autorizado, alteración, divulgación o destrucción. Estas medidas incluyen:

• Encriptación de datos en tránsito (TLS/SSL)
• Mecanismos de autenticación seguros
• Auditorías de seguridad regulares y pruebas de vulnerabilidades
• Controles de acceso y permisos basados en roles
• Hash de dirección IP y agente de usuario para registros de auditoría

Sin embargo, ningún método de transmisión a través de internet o almacenamiento electrónico es 100% seguro. Si bien nos esforzamos por utilizar medios comercialmente aceptables para proteger su información, no podemos garantizar seguridad absoluta.

9. Transferencias de Datos Internacionales

Como estamos ubicados en el Reino Unido, sus datos se almacenan y procesan principalmente dentro del Reino Unido. Sin embargo, sus datos pueden transferirse a nuestros proveedores de servicios de IA (incluidos, entre otros, OpenRouter, OpenAI, Anthropic y Google), que pueden tener servidores ubicados fuera del Reino Unido y la EEA. Aseguramos que tales transferencias cumplan con UK GDPR mediante:

• Cláusulas Contractuales Estándar (SCCs) para transferencias de datos internacionales
• Decisiones de adecuación (donde sea aplicable)
• Salvaguardas complementarias y Medidas Técnicas Protectoras (TPMs)

Al usar la Aplicación, usted consiente la transferencia de sus datos fuera de la UE/EEA/Reino Unido según se describe en esta política.

10. Contáctenos

Si tiene preguntas, inquietudes o desea ejercer sus derechos, contáctenos:

Empresa: Elovar Technology Ltd (registrada en Inglaterra y Gales)

Número de Referencia de la ICO: 00013745687

Responsable de Protección de Datos (DPO): [email protected]

Sitio web: skinsensediary.com

Responderemos a las solicitudes en un plazo de 30 días o según lo requerido por la ley aplicable.

11. Cookies y Tecnologías de Seguimiento

La Aplicación en sí no utiliza cookies. Sin embargo, si operamos un sitio web (por ejemplo, skinsensediary.com), puede utilizar cookies estrictamente necesarias para funcionalidad y cookies de análisis opcionales sujetas a su consentimiento. Una Política de Cookies separada será publicada en nuestro sitio web detallando las cookies específicas utilizadas, sus propósitos y cómo administrar sus preferencias. Cumplimos con las Privacy and Electronic Communications Regulations 2003 (PECR) respecto al consentimiento de cookies.

12. Notificación de Incumplimiento de Datos

En caso de un incumplimiento de datos personales que probablemente resulte en un riesgo para sus derechos y libertades, notificaremos a la ICO en un plazo de 72 horas a partir de cuando nos percatemos del incumplimiento, según lo requerido por el Artículo 33 del UK GDPR. Cuando el incumplimiento probablemente resulte en un riesgo alto para sus derechos y libertades, también notificaremos a los usuarios afectados sin demora indebida, según lo requerido por el Artículo 34. La notificación incluirá la naturaleza del incumplimiento, categorías de datos afectados, posibles consecuencias y medidas tomadas o propuestas para abordar el incumplimiento.

13. Evaluaciones de Impacto sobre la Protección de Datos

Dado que la Aplicación procesa datos especiales de categoría sobre salud (condiciones de piel, alergias, seguimiento menstrual, reacciones de piel), realizamos Evaluaciones de Impacto sobre la Protección de Datos (DPIAs) según lo requerido por el Artículo 35 del UK GDPR. Las DPIAs se realizan antes de introducir nuevas características o actividades de procesamiento que puedan resultar en alto riesgo para los individuos. Revisamos y actualizamos nuestras DPIAs regularmente para asegurar cumplimiento continuo.

14. Descargo de Responsabilidad de Producto y Salud

La Aplicación es una herramienta de seguimiento de bienestar y cuidado de la piel y no es un dispositivo médico, ni proporciona consejo, diagnóstico o tratamiento médico. La Aplicación no recomienda ni respalda ningún producto, ingrediente o marca específicos de cuidado de la piel. Cualquier análisis generado por IA es únicamente para propósitos informativos y no debe depender de él como sustituto del consejo médico o dermatológico profesional. Los usuarios deben consultar con un profesional de la salud calificado antes de tomar decisiones basadas en la información proporcionada por la Aplicación. La Empresa no acepta responsabilidad por ninguna reacción adversa, resultado de salud o elección de producto realizada en confianza en las características o análisis de la Aplicación.

15. Cambios en Esta Política

Podemos actualizar esta Política de Privacidad de vez en cuando. Los cambios materiales serán notificados a través de la Aplicación con una nueva fecha “Última actualización”. Su uso continuado de la Aplicación después de cambios constituye su aceptación de la política actualizada.

16. Definiciones

• Datos Personales: Cualquier información relacionada con una persona natural identificada o identificable.
• Procesamiento: Cualquier operación realizada sobre datos personales (recopilación, uso, almacenamiento, divulgación, eliminación, etc.).
• Responsable: La entidad (Elovar Technology Ltd) que determina los propósitos y medios del procesamiento de datos personales.
• Encargado de Procesamiento: Un tercero (por ejemplo, nuestros proveedores de servicios de IA) que procesa datos en nombre del responsable.
• Base Legal: El fundamento legal conforme al Artículo 6 del GDPR que permite el procesamiento de datos.
• Datos de Categoría Especial: Datos personales sensibles (salud, biométricos, genéticos, etc.) que requieren protección reforzada conforme al Artículo 9 del GDPR.