La versión en español es la única legalmente vinculante. Las demás son una traducción de cortesía.
Política de Privacidad
Última actualización: 28 de octubre de 2026
Cumplimiento del RGPD (UE 2016/679), LOPDGDD (3/2018), Ley LSSI-CE y Directiva DAC7.
Versión: 1.0 (Acceso Anticipado)
1. Responsable del tratamiento y contacto de privacidad
El Responsable del Tratamiento de los datos personales recabados a través de la Plataforma es Mance Tech Consulting, S.L. (NIF B19781244), representada por la Administración Única de la sociedad, con domicilio social en Carrer Lepant 270, 08018 Barcelona (España).
Atención de Privacidad y Cumplimiento Normativo: La gestión, atención y tramitación del ejercicio de derechos de protección de datos (acceso, rectificación, supresión, oposición, limitación y portabilidad), así como cualesquiera consultas sobre la materia, se canalizan a través de la Oficina de Privacidad y Cumplimiento Normativo, mediante la dirección oficial de correo electrónico:
- Email de privacidad:
[email protected]
(Aclaración legal sobre la figura del DPO: De conformidad con el artículo 37 del Reglamento (UE) 2016/679 - RGPD y el artículo 34 de la Ley Orgánica 3/2018 - LOPDGDD, la entidad no se encuentra en ninguno de los supuestos legales que obligan a la designación formal de un Delegado de Protección de Datos - DPO/DPD. Todas las funciones de control, atención a interesados y garantías de privacidad son asumidas directamente por la entidad a través de su Oficina de Privacidad y Cumplimiento Normativo).
2. Delimitación de roles (Responsable vs. Encargado del tratamiento)
Para comprender adecuadamente el flujo y el tratamiento de la información dentro de una plataforma Software como Servicio (SaaS) B2B como SoulInk, se establece la distinción formal entre los roles jurídicos que asume la Empresa:
A. Como Responsable del Tratamiento (Art. 4.7 del RGPD)
La Empresa actúa en calidad de Responsable del Tratamiento respecto de los datos identificativos, corporativos, fiscales, de facturación y de contacto facilitados directamente por los estudios de tatuaje o artistas independientes (en adelante, los Suscriptores) para dar de alta su cuenta comercial, gestionar su suscripción SaaS, atender peticiones de soporte B2B y cumplir con las obligaciones legales tributarias y mercantiles (como la Directiva DAC7 / Modelo 238 o la normativa de facturación general).
B. Como Encargado del Tratamiento (Art. 4.8 y Art. 28 del RGPD)
La Empresa actúa única y exclusivamente en calidad de Encargada del Tratamiento respecto de todos los datos personales introducidos o alojados por los Suscriptores en la aplicación en relación con sus clientes finales. Esto incluye de forma expresa:
- Los datos identificativos de clientes finales (nombre, apellidos, DNI/NIE, teléfono, email).
- Las categorías especiales de datos de salud recopiladas mediante los cuestionarios médicos higiénico-sanitarios (Art. 9 del RGPD).
- Las trazas y firmas biométricas manuscritas digitalizadas en tablet para la validez de los consentimientos informados.
- Defensa jurídica y evidencia probatoria de reservas (Interés Legítimo - Art. 6.1.f RGPD): Durante el proceso de reserva online y pago de la señal, la Plataforma registra la dirección IP de origen, la marca de tiempo exacta (UTC/ISO8601) y los metadatos del navegador (User-Agent). Tratamiento basado en el interés legítimo de prevención del fraude financiero y acreditación técnica de la transacción ante eventuales disputas o contracargos bancarios en Stripe Connect.
En este segundo supuesto de tratamiento por cuenta de terceros (Sección 2.B), el único Responsable del Tratamiento respecto de los datos de los clientes finales es el propio Suscriptor, quien recopila directamente dichos datos bajo sus propias finalidades sanitarias, contractuales y comerciales. La Empresa actúa como mero custodio tecnológico, procesando la información de conformidad con las instrucciones documentadas en el Anexo I (Contrato de Encargado del Tratamiento) incorporado a los Términos de Servicio.
3. Finalidades, bases de legitimación y tipos de datos tratados
Los datos personales recopilados directamente por la Empresa como Responsable del Tratamiento son procesados conforme al siguiente cuadro detallado de actividades, bases legales y plazos de conservación:
| Finalidad del Tratamiento | Categoría de Datos Tratados | Base de Legitimación (RGPD) | Plazo de Conservación |
|---|---|---|---|
| Gestión de la Suscripción SaaS B2B y Configuración Multilingüe | Datos identificativos (nombre, apellidos, NIF/DNI), email, rol (Admin/Owner/Artista), credenciales cifradas y preferencia de idioma (11 idiomas). | Ejecución del contrato mercantil de suscripción SaaS (Art. 6.1.b del RGPD). | Mientras se mantenga la relación activa y, tras su finalización, debidamente bloqueados durante 4 años (prescripción fiscal y de consumo) y hasta 6 años (obligación de conservación de documentación mercantil del Art. 30 del Código de Comercio). |
| Gestión Económica, Pasarela Stripe Connect y Cumplimiento DAC7 | NIF/CIF, razón social, dirección fiscal, datos bancarios, ID de cuenta de Stripe Connect y registro de transacciones comerciales (Modelo 238 / DAC7). | Obligación legal tributaria y mercantil (Art. 6.1.c RGPD, LIVA y Disp. Adic. 11ª LGT). | 6 años (normativa mercantil / C. Comercio) y 4 años (normativa fiscal / LGT) tras cada ejercicio. |
| Pasarela de Reservas y Cobro de Pagas y Señales (Direct Charges) | Importe de la paga y señal, ID de transacción de Stripe Connect, fecha/hora, estado del cobro e historial de citas vinculadas. (Cobro directo entre estudio y cliente, sin custodia de fondos por Mance Tech). | Ejecución contractual y soporte del servicio técnico de la pasarela (Art. 6.1.b del RGPD). | Durante la suscripción activa y plazos de prescripción legal (4 años fiscal / 6 años mercantil). |
| Registro de evidencias, prueba contractual y prevención del fraude en reservas online (Checkout) | Dirección IP de origen de la conexión, marca de tiempo precisa en formato UTC / ISO8601 y metadatos del navegador y sistema operativo (User-Agent). | Interés legítimo de la entidad y del estudio en la acreditación técnica de la transacción, prueba contractual y defensa jurídica ante disputas o contracargos bancarios en Stripe Connect (Art. 6.1.f del RGPD y Arts. 23 y 27 de la LSSI-CE). | 5 años desde la fecha de la transacción (plazo general de prescripción de acciones contractuales del Art. 1964 del Código Civil). |
| Sincronización de Agenda con Google Calendar API (Módulo 3.1) | ID de calendario, eventos, fechas, horas y títulos de citas seleccionadas (permisos calendar.readonly y calendar.events). | Ejecución contractual bajo solicitud voluntaria del Suscriptor (Art. 6.1.b del RGPD). | Hasta la revocación voluntaria de la vinculación con la cuenta de Google. |
| Servicio de Migración Asistida de Datos (Excel / Agendas) | Ficheros origen (Excel, CSV o fotos de agendas) con datos de clientes finales, teléfonos, emails e historial previo del estudio. | Ejecución contractual y encargo expreso de tratamiento (Art. 6.1.b y Art. 28 del RGPD). | Almacenamiento cifrado en Cloudflare R2 con borrado automático e irreversible a los 7 días naturales tras completar la importación. |
| Envío de comunicaciones comerciales, novedades y promociones del Estudio/Plataforma | Nombre, dirección de correo electrónico y preferencias de comunicación. | Consentimiento expreso e informado (Art. 6.1.a RGPD y Art. 21.1 LSSI), captado mediante casilla independiente, opcional y nunca premarcada en los formularios de alta o reserva. | Hasta que el usuario revoque su consentimiento o pulse el enlace de baja (opt-out) presente en el pie de cada correo electrónico o escriba a [email protected]. |
| Soporte Técnico B2B y Atención al Cliente | Datos del solicitante, código de ticket de soporte, asunto, descripción de incidencias, capturas adjuntas y metadatos técnicos. | Ejecución contractual y mantenimiento de la relación de servicio (Art. 6.1.b del RGPD). | 24 meses desde la resolución y cierre definitivo del ticket. |
| Seguridad, Auditoría y Prevención del Fraude | Dirección IP de origen, metadatos del navegador, logs de acceso telemático, eventos del servidor y analítica de uso (Google Analytics 4). | Interés legítimo en garantizar la ciberseguridad y estabilidad del servicio (Art. 6.1.f RGPD y 49). | 12 meses rotativos en registros de servidor (logs) y 14 meses en Google Analytics 4. |
3.1. Integración específica con Google Calendar API
Para garantizar la sincronización eficiente de citas y agendas del Suscriptor, la Plataforma permite la vinculación voluntaria con la API de Google Calendar. La Empresa consulta y registra exclusivamente los eventos de los calendarios autorizados (permisos calendar.readonly y calendar.events), garantizando que dicha información se procesa de forma confidencial. La transferencia de datos cumple estrictamente con la Política de Datos de Usuario de los Servicios de las API de Google, incluyendo los requisitos de uso limitado.
4. Obligatoriedad o facultad de facilitar datos
Los datos solicitados en los formularios de alta, verificación KYC de Stripe Connect y facturación marcados con un asterisco (*) son un requisito legal y contractual imprescindible para activar la suscripción SaaS y emitir las licencias correspondientes. La omisión de estos datos obligatorios imposibilitará la celebración del contrato.
Restricción de datos de menores de catorce (14) años: Queda terminantemente prohibido que el Suscriptor introduzca o almacene en la Plataforma cuestionarios médicos, consentimientos informados o datos de carácter personal pertenecientes a menores de catorce (14) años, salvo que acredite fehacientemente ante la Empresa la obtención previa del consentimiento expreso y por escrito del titular de la patria potestad o tutela legal (Art. 7 LOPDGDD).
5. Plazos de conservación y procedimiento técnico de bloqueo de datos
Los plazos de conservación de la información recopilada variarán en función de la naturaleza de los datos y de las obligaciones legales aplicables:
- Datos de gestión de reservas y citas B2B: Mantenidos de forma activa durante la ejecución de la reserva y conservados debidamente bloqueados tras su finalización durante 4 años para responsabilidades fiscales/consumo y hasta 6 años para el cumplimiento de las obligaciones mercantiles del artículo 30 del Código de Comercio.
- Consentimientos informados y cuestionarios de salud (Art. 9 del RGPD): Conservados de forma cifrada y bloqueada durante un mínimo de cinco (5) años contados desde la realización del tatuaje (en cumplimiento de la normativa higiénico-sanitaria autonómica reguladora de las prácticas de decoración corporal y del plazo de acciones personales).
- Trazas técnicas de checkout (IP, timestamp UTC/ISO8601, User-Agent): Conservadas durante 5 años desde la transacción (plazo de prescripción de acciones contractuales del Art. 1964 del Código Civil para la acreditación probatoria ante disputas de contracargo bancario).
- Comunicaciones comerciales y novedades: Conservados de forma activa hasta que el usuario revoque su consentimiento o ejercite su derecho de oposición mediante el enlace de baja (opt-out) en un solo clic.
Procedimiento de bloqueo técnico de datos (Art. 32 de la LOPDGDD): Una vez finalizada la relación contractual o estimada una solicitud de supresión, la Empresa procede al bloqueo técnico de los datos. Este procedimiento consiste en la reserva y encriptación de la información para impedir su visualización o tratamiento ordinario, manteniéndola exclusivamente a disposición de Juzgados, Tribunales, el Ministerio Fiscal, la AEPD y la Agencia Tributaria para la exigencia de posibles responsabilidades derivadas del tratamiento durante los plazos de prescripción legal. Transcurridos dichos plazos, se ejecutará la destrucción física e irreversible de la información.
Régimen especial de ficheros de migración asistida: Los archivos origen (ficheros Excel, CSV o imágenes de agendas) facilitados voluntariamente por los estudios para la carga e importación inicial de datos se almacenan en un bucket privado de Cloudflare R2 con enlaces temporales cifrados y se eliminan de forma automática, irreversible y definitiva transcurridos exactamente siete (7) días naturales desde la finalización y verificación de la importación.
6. Destinatarios e infraestructura (Transferencias internacionales de datos)
Para garantizar la disponibilidad y ciberseguridad del SaaS, la Empresa subcontrata servicios de infraestructura con los siguientes proveedores auditados que operan bajo el RGPD:
- Neon, Inc. (Alemania): Almacenamiento de base de datos PostgreSQL serverless en la región de Frankfurt (UE), con aislamiento multi-tenant y cifrado AES-256.
- Cloudflare, Inc. (UE): Almacenamiento R2 de objetos y PDFs firmados, red CDN y protección perimetral DNS en servidores de la Unión Europea.
- Stripe, Inc. (UE): Procesamiento de suscripciones B2B y pasarela de reservas Stripe Connect (Direct Charges). Adherido al Data Privacy Framework y certificación PCI-DSS Nivel 1.
- Google Ireland Limited (UE): Medición de tráfico y rendimiento de la web pública a través de Google Analytics 4 (sin cesión ni venta a terceros) y sincronización con Google Calendar API.
- Twilio Inc. / SendGrid (EE. UU.): Envío de correos electrónicos transaccionales y notificaciones de sistema. Adherido al Data Privacy Framework / Cláusulas Contractuales Tipo (CCT).
- Anthropic, PBC (EE. UU.): Herramienta de asistencia en soporte de desarrollo y revisión de estructuras/cabeceras de archivos de migración con datos estrictamente enmascarados.
- Meta Platforms Ireland Ltd. (UE): API oficial de WhatsApp Cloud para el envío automatizado de avisos de cita e instrucciones previas a clientes desde servidores en la UE.
- Motor de Firma Propietario (Mance Tech): Renderizado y firma biométrica de PDFs de consentimientos informados (alojado en infraestructura propia cifrada en la UE).
Las transferencias internacionales hacia proveedores ubicados en los Estados Unidos se encuentran plenamente legitimadas al amparo del Marco de Privacidad de Datos UE-EE. UU. (EU-U.S. Data Privacy Framework) conforme a la decisión de adecuación del Art. 45 del RGPD o mediante la firma de Cláusulas Contractuales Tipo (SCC) de la Comisión Europea (Art. 46 RGPD).
6.1. Garantías para las transferencias internacionales de datos de proveedores (Fuera del EEE)
Dado que las entidades proveedoras de infraestructura citadas anteriormente tienen su matriz o prestan sus servicios desde los Estados Unidos, se produce una transferencia internacional de datos personales fuera del Espacio Económico Europeo. La Plataforma garantiza que todas estas transferencias son plenamente lícitas al ampararse en las siguientes salvaguardias legales:
- Marco de Privacidad de Datos UE-EE. UU. ( EU-U.S. Data Privacy Framework ): Adhesión formal de proveedores clave (Stripe, Cloudflare, Google, Twilio) a la decisión de adecuación aprobada por la Comisión Europea (Art. 45 del RGPD).
- Cláusulas Contractuales Tipo (SCC): Suscripción e implementación de las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea (Art. 46 del RGPD) para proveedores de servicios en la nube (Anthropic).
6.2 Uso de la Plataforma por Suscriptores ubicados fuera del Espacio Económico Europeo (EEE)
En los supuestos en que el Suscriptor opere y tenga su sede fiscal en un tercer país situado fuera del Espacio Económico Europeo (EEE) que no disponga de una decisión de adecuación por parte de la Comisión Europea, el flujo de datos transfronterizo derivado del uso del software quedará íntegramente amparado legalmente.
A tal efecto, la aceptación de la presente Política de Privacidad y de los Términos y Condiciones de Servicio por parte del Suscriptor conllevará la adhesión y firma automática de las Cláusulas Contractuales Tipo (SCC) aprobadas por la Comisión Europea (específicamente, el Módulo 4 aplicable a transferencias de un Encargado en la UE a un Responsable en un tercer país), garantizando así el pleno cumplimiento de las exigencias establecidas en el Capítulo V del RGPD.
7. Derechos de los interesados y canal de desvío
7.1. Derechos exigibles por los usuarios y Suscriptores (Derechos ARCO+)
El Suscriptor o interesado puede ejercitar en cualquier momento sus derechos de Acceso, Rectificación, Supresión (Olvido), Limitación del tratamiento, Portabilidad (formatos JSON/CSV en un plazo máximo de 1 mes), Oposición y a no ser objeto de decisiones individuales automatizadas (Art. 22 RGPD) dirigiéndose por escrito a la Oficina de Privacidad a través de:
- Correo electrónico:
[email protected](indicando en el asunto 'Ejercicio de Derechos RGPD' y adjuntando copia del DNI o documento equivalente).
Revocación del consentimiento para comunicaciones comerciales: Respecto al envío de boletines, novedades y promociones comerciales, el tratamiento se basa exclusivamente en el consentimiento expreso e informado (Art. 6.1.a del RGPD y Art. 21 de la LSSI) otorgado mediante casilla independiente y opcional (nunca premarcada). El usuario o cliente podrá revocar este consentimiento en cualquier momento, de forma gratuita, sencilla e inmediata, utilizando el enlace de baja (opt-out) en un solo clic incluido en el pie de cada correo electrónico o escribiendo directamente a [email protected].
Asimismo, si el interesado considera que el ejercicio de sus derechos ha sido desatendido o que el tratamiento de sus datos vulnera la normativa aplicable, tiene derecho a interponer una reclamación formal ante la Agencia Española de Protección de Datos (AEPD) a través de su sede electrónica oficial (https://www.aepd.es).
7.2. Canal de desvío de derechos para clientes finales
Puesto que el Suscriptor es el único Responsable del Tratamiento de los datos de los clientes finales de su estudio de tatuajes, cualquier solicitud de ejercicio de derechos recibida directamente por la Empresa de parte de un cliente final será derivada formalmente al Suscriptor en un plazo máximo de 48 horas hábiles para su correspondiente atención y resolución en el plazo legal de un mes.
8. Medidas de ciberseguridad técnicas y organizativas
En proporción a los riesgos inherentes al tratamiento y alojamiento de categorías especiales de datos de salud y firmas biométricas, la Empresa ha implementado en la arquitectura técnica de la Plataforma las medidas organizativas y técnicas más estrictas del sector:
- Cifrado de datos en tránsito: Todas las transferencias de información se canalizan bajo protocolo seguro cifrado HTTPS / TLS 1.3 gestionado y certificado por Cloudflare.
- Cifrado de datos en reposo: Almacenamiento seguro bajo cifrado criptográfico simétrico avanzado AES-256 para las bases de datos de Neon PostgreSQL y el almacenamiento de objetos de Cloudflare R2.
- Aislamiento lógico multi-tenant: Se garantiza que el entorno lógico de base de datos de cada Suscriptor se encuentra estrictamente segmentado y aislado de forma que los mismos no puedan acceder, filtrar o consultar datos sanitarios o perfiles de clientes de otros Suscriptores.
- Copias de seguridad diarias: Se programan y ejecutan backups diarios lógicos y físicos de forma automática e integrada en la base de datos distribuida de Neon, garantizando la capacidad de restaurar el acceso y la disponibilidad de datos de salud de los clientes de los Suscriptores ante incidentes físicos o técnicos fortuitos de forma inmediata.
- Responsabilidad de seguridad local del Suscriptor: Sin perjuicio de las medidas de ciberseguridad adoptadas por la Empresa en sus servidores e infraestructura cloud, la seguridad técnica de los accesos locales es una responsabilidad compartida. El Suscriptor y sus usuarios autorizados se obligan a mantener sus terminales de acceso equipados con software antivirus y antimalware debidamente actualizados, así como a proteger de forma diligente sus credenciales de acceso. La Empresa declina cualquier responsabilidad por brechas de seguridad provocadas por la infección o vulnerabilidad de los dispositivos físicos de los Suscriptores.
9. Legislación aplicable, jurisdicción e idioma prevalente
- Legislación y Jurisdicción: La presente Política de Privacidad se rige en todos y cada uno de sus extremos por la normativa española y europea en materia de protección de datos (en particular, el RGPD y la LOPDGDD). Para la resolución de cualquier controversia, litigio o discrepancia que pudiera suscitarse en relación con la interpretación, aplicación o cumplimiento de este documento, las partes acuerdan someterse expresamente a la jurisdicción y competencia exclusiva de los Juzgados y Tribunales de la ciudad de Barcelona (España), con renuncia expresa a cualquier otro fuero que pudiera corresponderles por ley en sus países de origen.
- Idioma prevalente: Aunque la interfaz de la Plataforma se ofrece traducida a once (11) idiomas (Castellano, Catalán, Gallego, Euskera, Inglés, Francés, Portugués, Alemán, Italiano, Chino y Japonés), la versión en idioma castellano/español de esta Política de Privacidad es la única legalmente vinculante y prevalecerá ante cualquier divergencia de interpretación.
10. Nulidad parcial (Cláusula de Salvaguarda)
Si alguna disposición, cláusula o apartado de esta Política de privacidad fuera declarada nula, ilegal, inaplicable o inválida, total o parcialmente, por cualquier Juzgado, Tribunal o autoridad competente, dicha declaración no afectará a la validez, eficacia y exigibilidad del resto del documento. En tal caso, la disposición afectada será limitada, sustituida o eliminada en la medida mínima y estrictamente necesaria para que las restantes condiciones permanezcan en pleno vigor y efecto.