Versión 1.0 · en vigor desde el 21 de agosto de 2026
Este contrato es el que exige el artículo 28 del RGPD y se firma solo con crear la cuenta. Guárdalo: es el papel que te cubre a ti cuando alguien te pregunte dónde tienes los datos de tus clientes.
Responsable del tratamiento: tú, la persona titular de la cuenta de Heka. Cuando la sesión se realiza bajo la autorización sanitaria de un estudio, el estudio es corresponsable de los datos ligados a esa sesión.
Encargado del tratamiento:
| Objeto | Alojar y procesar los datos de los clientes del responsable dentro de Heka |
|---|---|
| Finalidad | Gestionar solicitudes, fichas de cliente, piezas, citas, señales y los correos del servicio |
| Duración | Mientras la cuenta esté activa |
| Interesados | Clientes y potenciales clientes del responsable |
| Datos identificativos | Nombre, apellidos, teléfono, email, usuario de Instagram |
| Datos de la relación | Descripción de la pieza, zona del cuerpo, tamaño, estilo, imágenes de referencia y del resultado, citas, importes y método de cobro, cómo conoció al tatuador |
| Categorías especiales (art. 9) | El campo de notas es de texto libre y puede contener datos de salud (alergias, medicación, embarazo, cicatrices). El responsable se compromete a limitarlos a lo imprescindible; el encargado los protege con las mismas medidas reforzadas del punto 5 |
| Menores | Solo si el responsable los introduce, bajo su responsabilidad |
El encargado trata los datos únicamente siguiendo las instrucciones documentadas del responsable, que son el uso normal de la aplicación y lo que estas condiciones describen. No los usa para fines propios, no los cede, no los vende, no los cruza con los de otros responsables y no entrena modelos de inteligencia artificial con ellos. Si una ley le obliga a algo distinto, avisa antes salvo que esa misma ley se lo prohíba.
Todo el que accede a los datos está sujeto a deber de confidencialidad, que sigue vigente después de terminar la relación. Hoy el acceso técnico lo tiene únicamente el titular de Heka, y solo para operar y reparar el servicio.
Medidas realmente aplicadas, no una lista de deseos:
scrypt y sal por usuario. Nunca en claro.600 en carpeta 700, forzados por código en cada arranque.El responsable autoriza estos subencargados, todos con contrato de encargo y en la Unión Europea:
| Subencargado | Servicio | Ubicación |
|---|---|---|
| Hostinger International Ltd. | Servidor | París, Francia |
| Brevo (Sendinblue SAS) | Correo del servicio | Francia |
| Stripe Payments Europe Ltd. | Cobro con tarjeta, solo si el responsable lo activa | Irlanda; transferencias a EE. UU. bajo el Marco de Privacidad de Datos |
Si se añade o se cambia alguno, se avisa por email con 30 días de antelación. Si no te vale, puedes oponerte y darte de baja sin coste, llevándote tus datos.
Cuando borras la cuenta, los datos se eliminan de la base en el acto y de las copias en un máximo de 30 días. No se conserva ninguna copia salvo que una ley obligue, y en ese caso solo lo obligado y bloqueado. Antes de borrar, la app te deja descargarlo todo en JSON y CSV.
Puedes pedir la información necesaria para acreditar que se cumple esto, una vez al año, avisando con 30 días. Si prefieres una auditoría por tu cuenta, se acuerda alcance y fecha y corre de tu cargo.
Cada parte responde de lo suyo según el art. 82 del RGPD. El encargado responde si incumple las obligaciones que el reglamento le impone directamente o si se sale de tus instrucciones.
Política de privacidad · Condiciones de uso · hola@heka.tattoo