Política de privacidad

1. Qué hace TotShot

Usted elige un país y un documento. La aplicación carga los requisitos que publica esa autoridad emisora, guía la captura y envía la toma a nuestros servidores, que la miden frente a esos requisitos y devuelven un archivo listo para imprimir.

Dos cosas ocurren en dos sitios distintos, y en esa diferencia está toda la privacidad: encontrar la cara y guiar la captura ocurren en su teléfono, sin conexión y sin que nada salga del dispositivo. Medir el resultado, comprobar el fondo y preparar el archivo final ocurren en nuestros servidores.

2. Qué recogemos

• Su cuenta. Una dirección de correo electrónico, o el identificador y la dirección de correo que entregan Apple o Google cuando inicia sesión con ellos: si Apple le asigna una dirección de retransmisión privada, es lo único que llegamos a ver. Y el idioma en el que lee.
• Su hijo. Un nombre y, si quiere, un apodo y una fecha de nacimiento. La fecha de nacimiento sirve para una sola cosa: varias autoridades permiten a un niño pequeño los ojos cerrados o un tamaño de cabeza menos estricto, y la aplicación necesita saber qué regla le corresponde.
• Fotos. La toma que hace, las vistas previas que se generan a partir de ella y el archivo terminado.
• Las medidas tomadas de la foto. Altura de la cabeza, línea de los ojos, margen sobre la coronilla, nitidez, exposición, el recorte aplicado, el resultado de la comprobación y la versión exacta del requisito con el que se juzgó su foto.
• Compras. Qué paquete de créditos compró y el recibo que nos dan Apple o Google para poder comprobarlo. Los números de tarjeta no llegan hasta nosotros: la compra ocurre en la ventana de compra de la propia tienda.
• Notificaciones. Un token push, si permite las notificaciones.
• Cómo usa la aplicación. Eventos con nombre para los pasos de una sesión —una toma hecha, un resultado mostrado, un paquete de créditos comprado—, cada uno con números y un identificador de sesión. Del resultado solo llevan si pasó o no: cuántas tomas de una sesión pasaron y cuántas no, y si pasó una toma cuyos motivos usted abrió. Nunca la foto, ni ninguna otra de las medidas tomadas de ella: ni la altura de la cabeza, ni la línea de los ojos, ni el margen sobre la coronilla, ni la nitidez, ni la exposición, ni el recorte.
• Un identificador publicitario, para nuestra propia publicidad. En Android, Google Analytics lee el identificador publicitario del dispositivo. En iOS lee el identificador publicitario (IDFA) solo si lo autoriza cuando el sistema le pregunta si TotShot puede rastrear su actividad. Tiene una sola función: cuando anunciamos TotShot en Google Ads o en una red parecida, esa red puede emparejar una instalación con el anuncio que la trajo, y así sabemos qué ha conseguido nuestra publicidad. Puede restablecerlo o borrarlo en los ajustes del dispositivo y, en iOS, rechazar la pregunta; la aplicación funciona igual en los dos casos.
• Más o menos dónde está. Google deduce la ciudad a partir de la dirección IP desde la que llegan esos eventos de uso. El dispositivo nunca nos comunica su ubicación, y la aplicación no pide ningún permiso de localización.
• Informes de fallos. Cuando la aplicación falla: el error, la traza de la pila, el modelo del dispositivo, la versión del sistema y el identificador de la cuenta a la que le ocurrió, para que un fallo que solo le pasa a una persona se pueda rastrear y no haya que adivinarlo.
• Registros del servidor. Por seguridad y para prevenir abusos, nuestros servidores registran cada petición, como hace cualquier servicio web: la dirección IP, la hora, la URL solicitada, la página de procedencia si la petición la indica, el agente de usuario —el nombre y la versión de la aplicación o el navegador que la envió— y, en una petición con la sesión iniciada, la cuenta de la que procede. Una dirección IP puede ser un dato personal, así que se nombra aquí en vez de pasarla por alto. Nuestro almacén de registros conserva estas líneas 7 días; la copia que cada servidor escribe localmente tiene un tamaño limitado y se sobrescribe a medida que llegan líneas nuevas. Además, una pequeña muestra de las peticiones se traza, para seguir una petición lenta o fallida a través de nuestros servicios; una traza contiene la dirección IP, el agente de usuario, la URL y la cuenta, y se conserva 3 días. Las peticiones a la comprobación de fotos de este sitio son la excepción: su propia sección, más abajo, explica qué se registra en su lugar.

No hay nada más. TotShot no pide dirección postal ni teléfono, y no muestra publicidad. Los eventos de uso y los informes de fallos de arriba van asociados a un identificador aleatorio por instalación y a su cuenta. El identificador publicitario es lo único de esta lista que llega a ver una red publicitaria, y no va más allá de medir nuestras propias campañas.

3. Las medidas son geometría, no una huella facial

Los números que sacamos de una foto existen para recortar una imagen y juzgarla frente a una regla publicada: qué altura tiene la cabeza en el encuadre, dónde quedan los ojos, cuánto espacio hay sobre la coronilla.

Nunca los usamos para identificar a nadie. No son una plantilla biométrica, no se cotejan con otra foto ni con otra persona, y no se les aplica ningún reconocimiento facial. En la aplicación, cuando se elimina la foto de la que salieron, se eliminan con ella. La comprobación gratuita de este sitio no guarda ninguna foto y conserva las cifras de cada comprobación hasta 365 días; su propia sección, más abajo, detalla cuáles.

4. Los datos del menor, y por qué están aquí

TotShot lo usa un adulto en nombre de un menor. El titular de la cuenta debe tener 18 años o más; el menor es a quien se fotografía, no un usuario de la aplicación.

Su nombre, su fecha de nacimiento si la indicó y su fotografía se usan para una sola finalidad: hacer y juzgar esa fotografía. Nunca se usan con fines publicitarios, nunca se venden, nunca se ceden para fines ajenos y nunca se usan para entrenar ningún modelo.

5. Cuánto tiempo lo guardamos

TotShot es una cámara y un comprobador, no una galería de fotos. Todo caduca solo:

• Una toma que subió pero que nunca llegó a ser una sesión: 24 horas.
• Los originales y las vistas previas de una sesión, y los renders de las fotos que no compró: 72 horas. Por eso mismo volver a recortar una toma sigue siendo gratis durante tres días.
• Una foto comprada: su plazo de conservación, de 7, 30, 90 o 365 días, o sin límite. Por defecto son 365 días. Puede cambiarlo en la aplicación cuando quiera y se aplica también a las fotos que ya tiene.

El año es el valor por defecto porque la foto de documento de un niño deja de servir mucho antes: el niño ha cambiado. Guardarla más tiempo no le sirve a nadie.

Cuando una foto de la aplicación se va, se van con ella las medidas que se le tomaron. Lo único que sobrevive a una foto borrada es el recibo —qué documento, cuándo, si cumplía, qué crédito se gastó—, porque puede que todavía tenga que preguntar por un cargo. En la aplicación no se muestra en ninguna parte. La comprobación gratuita de este sitio no guarda ninguna foto y conserva un registro de cada comprobación hasta 365 días, como describe su propia sección más abajo.

Los enlaces de descarga se generan de nuevo cada vez que abre una foto y caducan en una hora. Nada de lo que hay en nuestro almacenamiento aparece en un listado público ni es accesible públicamente.

Copias de seguridad. Cada noche hacemos una copia de seguridad cifrada de nuestras bases de datos y del almacenamiento de fotos, y solo la usamos para recuperarnos de una avería. Cada copia se borra a los 14 días, así que una foto o una cuenta que usted borre puede seguir dentro de una copia hasta 14 días después de haber desaparecido de TotShot. La clave que las descifra no se guarda en nuestros servidores.

6. Eliminar la cuenta

Puede eliminar su cuenta desde la aplicación, y es una eliminación incondicional. Las fotos, las tomas que hay detrás, todas las medidas, los recibos, los datos de su hijo, su saldo de créditos, sus tokens push y sus sesiones se borran de forma definitiva en todos los servicios que los tenían. No queda ninguna marca de que estuvo aquí, y si una parte del borrado falla, se reintenta hasta que confirma, en vez de quedarse atrás en silencio.

El único lugar donde su cuenta sobrevive a esto es nuestra copia de seguridad cifrada de cada noche, que se borra en un plazo de 14 días, como se explica más arriba.

Los créditos sin usar se destruyen con la cuenta y no son reembolsables, así que gástelos o consúltenos antes. También puede eliminar una foto concreta cuando quiera, o escribir a support@totshot.app y lo hacemos nosotros.

7. Quién más lo toca

No vendemos ni intercambiamos datos personales. Llegan exactamente a estas empresas, cada una para una sola tarea:

• Apple y Google: iniciar sesión y comprar créditos. Nos confirman que una compra es real; de su hijo no les contamos nada. Apple puede además preguntarnos qué fue de una compra cuando pide un reembolso, y de eso trata exactamente la sección siguiente.
• Google (Firebase Cloud Messaging): entregar una notificación push a su dispositivo, si activó las notificaciones.
• Google (Firebase Analytics y Crashlytics): contar los eventos de uso de arriba y recibir los informes de fallos. Así nos enteramos de que un paso del recorrido falla a personas que nunca nos escriben. Google los trata siguiendo nuestras instrucciones y en servidores de Estados Unidos.
• Google (Google Ads): cuando hacemos campañas para TotShot, Google empareja el identificador publicitario de arriba con los clics en los anuncios que sirvió y nos dice de qué campaña vino una instalación. Es medir nuestra propia publicidad; los datos de su hijo no intervienen.
• Umami (Umami Software): contar las visitas a este sitio web, sin cookies. No recibe nada de la aplicación ni ve nunca una foto; lo que recibe se describe en «Este sitio web».
• Resend: enviar el correo de cuenta y de soporte.
• Cloudflare: la conexión segura con nuestros servidores. Todo lo que la aplicación y la comprobación de fotos de este sitio intercambian con api.totshot.app pasa por Cloudflare: lo que envían y lo que les llega de vuelta, incluidas las fotos terminadas que descarga la aplicación. Cloudflare lo descifra en el borde de su red, y entre ese borde y nuestros servidores viaja por un túnel cifrado. Mientras pasa por Cloudflare, este puede técnicamente ver lo que contiene, fotos incluidas. No usamos Cloudflare para almacenar nada.
• Nuestro proveedor de alojamiento: mantener en marcha los servidores con los que habla la aplicación.

Las fotos se miden y se procesan en nuestros propios servidores, dentro de una red privada. La foto de su hijo no se envía a ningún servicio de IA de terceros, y a Google tampoco se le envía: los SDK de analítica y de fallos de arriba ven nombres de eventos, números e identificadores, y ninguna imagen de ningún tipo. La aplicación no lleva ningún SDK publicitario y no muestra anuncios; el identificador publicitario de arriba lo lee el SDK de analítica, para la única finalidad indicada.

8. Si le pide a Apple un reembolso

Cuando pide un reembolso a través de App Store, Apple puede preguntarnos qué fue de la compra y nos da un plazo corto para responder. Respondemos. Es el único momento en el que podemos decir algo, y una solicitud que nadie contesta se resuelve sin nosotros. Google Play no tiene un paso equivalente, así que nada de esto se aplica a una compra hecha allí.

Lo que enviamos es un resumen, no un registro: qué parte del paquete se había gastado, si las fotos terminadas se habían entregado y el valor acumulado de sus compras y de sus reembolsos como intervalo, no como cifra; y ni siquiera el intervalo si alguna de sus compras fue en otra moneda, porque una cifra en dólares que no podemos afirmar no la vamos a estimar. Va unido a la compra por el token que la tienda emitió para ella, y a nada más.

También le decimos a Apple cuál creemos que debe ser la respuesta, y usted tiene derecho a conocer la regla que usamos, porque es toda la regla: si no gastó los créditos, decimos que el reembolso se conceda. Si los gastó todos, decimos que se deniegue. Si gastó una parte, no expresamos preferencia. No le pedimos a Apple que deniegue un reembolso por algo que usted nunca usó.

Nunca enviamos sus fotografías, y no enviamos ningún dato personal más allá de ese identificador de compra. Apple pregunta además cuánto tiempo lleva con la cuenta y cuánto tiempo ha pasado dentro de la aplicación. A las dos cosas respondemos «sin declarar», en vez de estimar un dato que después estaríamos afirmando.

9. Dónde se guarda, y cómo

Nuestros servidores están en la Unión Europea, alquilados a un proveedor de alojamiento comercial. Nombramos la región y no al proveedor: el proveedor puede cambiar, la región es el compromiso. Las fotos y las medidas tomadas de ellas se guardan ahí y en ningún otro lugar, con una excepción: el dato de si pasó o no cada toma, que los eventos de uso descritos arriba también comunican a Google.

Cinco cosas salen de esa región. Los eventos de uso y los informes de fallos van a Google en Estados Unidos. Las notificaciones push pasan por Google y por Apple. Todo lo que la aplicación o la comprobación de fotos de este sitio intercambian con nuestros servidores atraviesa la red de Cloudflare: cada petición y cada respuesta, incluidas las fotos terminadas que descarga la aplicación. En el camino entre usted y nosotros, Cloudflare lo descifra en el centro de datos que tenga más cerca de usted, que puede estar fuera de la Unión Europea, también en Estados Unidos. Y este sitio lo sirve Vercel, una empresa de Estados Unidos, así que sus registros de acceso descritos en «Este sitio web» —la dirección IP, la hora y el agente de usuario de cada petición de una página, incluidas las de la comprobación de fotos— también pueden tratarse fuera de la Unión Europea. Y el contador de visitas de este sitio envía cada página vista y cada toque en una insignia de tienda a Umami, cuyos servidores están en Estados Unidos y en la Unión Europea. Estas transferencias se amparan en las Cláusulas Contractuales Tipo de la Comisión Europea, que es el mecanismo que esas empresas publican para exactamente este caso. Aparte de estas cinco, solo cruza la frontera lo que Apple, Google y Resend necesitan para las tareas descritas en «Quién más lo toca»; las fotos, y las medidas tomadas de ellas, solo la cruzan a su paso por Cloudflare, salvo el dato de si pasó o no cada toma, que los eventos de uso llevan a Google.

El tráfico va cifrado durante el transporte: con TLS entre su dispositivo y Cloudflare, y por un túnel cifrado entre Cloudflare y nuestros servidores. Las fotos están en un almacenamiento privado que nunca aparece en un listado público, y cada descarga es un enlace firmado de vida corta. Los tokens de inicio de sesión se guardan en el llavero o el almacén de claves del propio dispositivo. El acceso se limita a los servicios que lo necesitan. Ningún sistema es perfectamente seguro, y no vamos a fingir lo contrario.

10. Este sitio web

totshot.app cuenta sus visitas con Umami, para saber qué páginas se leen y de dónde llega la gente: un buscador, una red social o un enlace que alguien compartió. Por cada página vista, el contador envía a Umami la dirección de la página —con la etiqueta de campaña que lleve el enlace, como ?c=—, la página desde la que se llegó, el idioma del navegador, el tamaño de la pantalla y el tipo de dispositivo, el sistema operativo y el navegador, que Umami lee del agente de usuario. Un toque en la insignia de App Store o de Google Play se cuenta igual, con la tienda de que se trate. Umami usa la dirección IP para saber el país y, junto con el agente de usuario, para calcular un código irreversible que cuenta visitantes únicos; no guarda la dirección. El contador no instala cookies ni guarda nada en su dispositivo, así que no puede seguirle a otros sitios, y no se ejecuta en absoluto si su navegador envía la señal Do Not Track. Umami trata estos datos siguiendo nuestras instrucciones, en servidores de Estados Unidos y de la Unión Europea. El sitio no sirve publicidad y, aparte de ese contador, no carga scripts, tipografías ni imágenes de terceros: todos los demás archivos que usa la página vienen de este dominio.

Del sitio se encarga Vercel, nuestro proveedor de alojamiento web, que anota la dirección IP, la hora y el agente de usuario de cada petición en sus registros de acceso, para servir la página y prevenir abusos. Aparte del contador de Umami descrito arriba, es la única empresa que interviene en mostrarle esta página.

Guarda una sola cookie, NEXT_LOCALE, que recuerda en qué idioma lee. No contiene ningún identificador, no la lee nadie más y no sigue su rastro a ninguna parte.

11. La comprobación de fotos en este sitio

En totshot.app se puede comprobar gratis, y sin cuenta, la foto de un niño frente a los requisitos de un documento. Antes de salir de su navegador, la foto se reduce y se vuelve a codificar, lo que además elimina los metadatos del archivo: el lugar de la toma que un teléfono escribe en una foto nunca nos llega. En nuestros servidores se mide en memoria —incluidos los búferes temporales con los que trabajan nuestros servicios— y se descarta en cuanto se envía la respuesta: nunca se guarda —no se escribe en ningún archivo, base de datos ni almacenamiento— y nunca se usa para nada más que la respuesta que recibe.

Lo que conservamos es un registro de la comprobación sin la imagen: el documento y la versión de sus reglas con la que se juzgó la foto; la edad de su hijo en meses, si la indicó; el idioma de la respuesta; si la foto pasó; cada incidencia detectada, con el valor medido y el rango permitido; dónde quedaron la coronilla, la barbilla y la línea de los ojos, como fracciones del encuadre; los ángulos de la cabeza; las puntuaciones de ojos cerrados, boca abierta y dirección de la mirada; qué detector midió la foto; cuánto duró la comprobación; y cuándo se hizo. No contiene imagen, ni recuadro de la cara, ni puntos de los ojos, ni nombre de archivo, ni dirección IP. Estos registros se conservan hasta 365 días y sirven para ajustar los umbrales con los que juzga la aplicación y para contar cuántas comprobaciones acabaron en una pulsación sobre una insignia de tienda.

• Cloudflare lleva la foto hasta nuestros servidores y nuestra respuesta de vuelta hasta usted, como todo lo demás que se intercambia con ellos. Ambas se descifran en el borde de su red y viajan entre ese borde y nuestros servidores por un túnel cifrado, así que Cloudflare puede técnicamente ver la foto y la respuesta mientras pasan. No lo usamos para almacenar nada.
• Los límites de frecuencia protegen el servicio. Para contar las peticiones a la comprobación por conexión, nuestros servidores convierten su dirección de red en un hash con clave —un código de un solo sentido calculado con una clave secreta que cambiamos al menos una vez al día— y cuentan con ese código; en una dirección IPv6 solo entra su parte de red (los primeros 64 bits). Los contadores caducan en menos de 24 horas, y la comprobación nunca guarda la dirección en sí.
• Nuestros registros y trazas anotan las peticiones a la comprobación sin su dirección IP y sin el agente de usuario de su navegador, a diferencia de los registros del servidor descritos arriba. Las líneas de registro de una comprobación contienen la hora, la ruta solicitada (al pulsar una insignia o el enlace a la aplicación, incluye el identificador de la comprobación), el estado de la respuesta y lo que tardó, un identificador de petición y el veredicto: el identificador de la comprobación, el documento, el idioma, si pasó o no, los códigos de las incidencias y las mediciones de la cabeza, la línea de los ojos, los ángulos y la expresión que guarda el registro de la comprobación descrito arriba, además de la seguridad con la que el detector encontró una cara y cuántas caras más vio. Una petición que los límites de frecuencia rechazan se anota con el hash descrito arriba, nunca con la dirección. Estas líneas se conservan 7 días, como el resto de nuestros registros.
• Si después pulsa una insignia de tienda o el enlace a la aplicación, registramos cuál fue, asociado al identificador de la comprobación, con la hora y nada más, para saber si la comprobación fue útil. El enlace de la insignia en sí no le dice a la tienda más que la visita vino de la comprobación de este sitio y para qué documento —así cuenta una tienda las instalaciones a las que lleva un enlace—; nunca lleva el identificador de la comprobación.
• Sin cuenta. La comprobación no instala cookies más allá de la preferencia de idioma descrita arriba. El contador de visitas descrito en «Este sitio web» cuenta las páginas de la comprobación como cualquier otra; nunca ve la foto ni la respuesta.

La foto es de un niño, y la sección sobre los datos del menor de más arriba se le aplica por completo: se usa para el único fin para el que la envió y para nada más, nunca para publicidad, nunca para entrenar ningún modelo, y se descarta en cuanto se envía la respuesta.

12. Sus derechos

Puede pedir una copia de sus datos, una rectificación, una exportación o su supresión. La supresión puede hacerla usted en la aplicación; para lo demás, escriba a support@totshot.app. Cada solicitud la responde una persona.

En la UE y en el Reino Unido son sus derechos con arreglo al RGPD, y puede reclamar ante la autoridad de protección de datos de su país. En California, no vendemos ni compartimos información personal en el sentido que la CCPA da a esas palabras, y ejercer un derecho no le cuesta nada.

13. Cambios

La fecha que aparece al principio de esta página indica cuándo se modificó esta política por última vez. Si un cambio afecta de forma importante a cómo tratamos sus datos, se lo diremos en la aplicación o por correo.

14. Contacto

Cualquier cosa de esta página, sea acceso, rectificación, exportación, supresión o una pregunta cuya respuesta no encuentra: support@totshot.app. Es la vía más rápida para llegar hasta nosotros y la lee una persona. El correo postal nos llega a la dirección de abajo.

15. Ley aplicable

Esta política se rige por las leyes del Estado de Delaware (Estados Unidos).

Está publicada en todos los idiomas que ofrece el selector de idioma. La versión que rige es la inglesa; una traducción está para leerla, no para alegarla en una controversia.