Política de privacidad

1. Qué hace TotShot

Usted elige un país y un documento. La aplicación carga los requisitos que publica esa autoridad emisora, guía la captura y envía la toma a nuestros servidores, que la miden frente a esos requisitos y devuelven un archivo listo para imprimir.

Dos cosas ocurren en dos sitios distintos, y en esa diferencia está toda la privacidad: encontrar la cara y guiar la captura ocurren en su teléfono, sin conexión y sin que nada salga del dispositivo. Medir el resultado, sustituir el fondo y preparar el archivo final ocurren en nuestros servidores.

2. Qué recogemos

• Su cuenta. Una dirección de correo electrónico, o el identificador y la dirección de correo que entregan Apple o Google cuando inicia sesión con ellos: si Apple le asigna una dirección de retransmisión privada, es lo único que llegamos a ver. Y el idioma en el que lee.
• Su hijo. Un nombre y, si quiere, un apodo y una fecha de nacimiento. La fecha de nacimiento sirve para una sola cosa: varias autoridades permiten a un niño pequeño los ojos cerrados o un tamaño de cabeza menos estricto, y la aplicación necesita saber qué regla le corresponde.
• Fotos. La toma que hace, las vistas previas que se generan a partir de ella y el archivo terminado.
• Las medidas tomadas de la foto. Altura de la cabeza, línea de los ojos, margen sobre la coronilla, nitidez, exposición, el recorte aplicado, el resultado de la comprobación y la versión exacta del requisito con el que se juzgó su foto.
• Compras. Qué paquete de créditos compró y el recibo que nos dan Apple o Google para poder comprobarlo. Los números de tarjeta no llegan hasta nosotros: la compra ocurre en la ventana de compra de la propia tienda.
• Notificaciones. Un token push, si permite las notificaciones.
• Cómo usa la aplicación. Eventos con nombre para los pasos de una sesión —una toma hecha, un resultado mostrado, un paquete de créditos comprado—, cada uno con números y un identificador de sesión. Nunca la foto, y nunca las medidas tomadas de ella.
• Un identificador publicitario, para nuestra propia publicidad. En Android, Google Analytics lee el identificador publicitario del dispositivo. En iOS lee el identificador publicitario (IDFA) solo si lo autoriza cuando el sistema le pregunta si TotShot puede rastrear su actividad. Tiene una sola función: cuando anunciamos TotShot en Google Ads o en una red parecida, esa red puede emparejar una instalación con el anuncio que la trajo, y así sabemos qué ha conseguido nuestra publicidad. Puede restablecerlo o borrarlo en los ajustes del dispositivo y, en iOS, rechazar la pregunta; la aplicación funciona igual en los dos casos.
• Más o menos dónde está. Google deduce la ciudad a partir de la dirección IP desde la que llegan esos eventos de uso. El dispositivo nunca nos comunica su ubicación, y la aplicación no pide ningún permiso de localización.
• Informes de fallos. Cuando la aplicación falla: el error, la traza de la pila, el modelo del dispositivo, la versión del sistema y el identificador de la cuenta a la que le ocurrió, para que un fallo que solo le pasa a una persona se pueda rastrear y no haya que adivinarlo.
• Registros del servidor. Nuestros servidores anotan la dirección IP y la hora de cada petición, como hace cualquier servicio web, por seguridad y para prevenir abusos. Una dirección IP puede ser un dato personal, así que se nombra aquí en vez de pasarla por alto.

No hay nada más. TotShot no pide dirección postal ni teléfono, y no muestra publicidad. Los eventos de uso y los informes de fallos de arriba van asociados a un identificador aleatorio por instalación y a su cuenta. El identificador publicitario es lo único de esta lista que llega a ver una red publicitaria, y no va más allá de medir nuestras propias campañas.

3. Las medidas son geometría, no una huella facial

Los números que sacamos de una foto existen para recortar una imagen y juzgarla frente a una regla publicada: qué altura tiene la cabeza en el encuadre, dónde quedan los ojos, cuánto espacio hay sobre la coronilla.

Nunca los usamos para identificar a nadie. No son una plantilla biométrica, no se cotejan con otra foto ni con otra persona, y no se les aplica ningún reconocimiento facial. Cuando se elimina la foto de la que salieron, se eliminan con ella.

4. Los datos del menor, y por qué están aquí

TotShot lo usa un adulto en nombre de un menor. El titular de la cuenta debe tener 18 años o más; el menor es a quien se fotografía, no un usuario de la aplicación.

Su nombre, su fecha de nacimiento si la indicó y su fotografía se usan para una sola finalidad: hacer y juzgar esa fotografía. Nunca se usan con fines publicitarios, nunca se venden, nunca se ceden para fines ajenos y nunca se usan para entrenar ningún modelo.

5. Cuánto tiempo lo guardamos

TotShot es una cámara y un comprobador, no una galería de fotos. Todo caduca solo:

• Una toma que subió pero que nunca llegó a ser una sesión: 24 horas.
• Los originales y las vistas previas de una sesión, y los renders de las fotos que no compró: 72 horas. Por eso mismo volver a recortar una toma sigue siendo gratis durante tres días.
• Una foto comprada: su plazo de conservación, de 7, 30, 90 o 365 días, o sin límite. Por defecto son 365 días. Puede cambiarlo en la aplicación cuando quiera y se aplica también a las fotos que ya tiene.

El año es el valor por defecto porque la foto de documento de un niño deja de servir mucho antes: el niño ha cambiado. Guardarla más tiempo no le sirve a nadie.

Cuando una foto se va, se van con ella las medidas que se le tomaron. Lo único que sobrevive a una foto borrada es el recibo —qué documento, cuándo, si cumplía, qué crédito se gastó—, porque puede que todavía tenga que preguntar por un cargo. En la aplicación no se muestra en ninguna parte.

Los enlaces de descarga se generan de nuevo cada vez que abre una foto y caducan en una hora. Nada de lo que hay en nuestro almacenamiento aparece en un listado público ni es accesible públicamente.

6. Eliminar la cuenta

Puede eliminar su cuenta desde la aplicación, y es una eliminación incondicional. Las fotos, las tomas que hay detrás, todas las medidas, los recibos, los datos de su hijo, su saldo de créditos, sus tokens push y sus sesiones se borran de forma definitiva en todos los servicios que los tenían. No queda ninguna marca de que estuvo aquí, y si una parte del borrado falla, se reintenta hasta que confirma, en vez de quedarse atrás en silencio.

Los créditos sin usar se destruyen con la cuenta y no son reembolsables, así que gástelos o consúltenos antes. También puede eliminar una foto concreta cuando quiera, o escribir a support@totshot.app y lo hacemos nosotros.

7. Quién más lo toca

No vendemos ni intercambiamos datos personales. Llegan exactamente a estas empresas, cada una para una sola tarea:

• Apple y Google: iniciar sesión y comprar créditos. Nos confirman que una compra es real; de su hijo no les contamos nada. Apple puede además preguntarnos qué fue de una compra cuando pide un reembolso, y de eso trata exactamente la sección siguiente.
• Google (Firebase Cloud Messaging): entregar una notificación push a su dispositivo, si activó las notificaciones.
• Google (Firebase Analytics y Crashlytics): contar los eventos de uso de arriba y recibir los informes de fallos. Así nos enteramos de que un paso del recorrido falla a personas que nunca nos escriben. Google los trata siguiendo nuestras instrucciones y en servidores de Estados Unidos.
• Google (Google Ads): cuando hacemos campañas para TotShot, Google empareja el identificador publicitario de arriba con los clics en los anuncios que sirvió y nos dice de qué campaña vino una instalación. Es medir nuestra propia publicidad; los datos de su hijo no intervienen.
• Resend: enviar el correo de cuenta y de soporte.
• Nuestro proveedor de alojamiento: mantener en marcha los servidores con los que habla la aplicación.

La eliminación del fondo se hace en nuestros propios servidores, dentro de una red privada. La foto de su hijo no se envía a ningún servicio de IA de terceros, y a Google tampoco se le envía: los SDK de analítica y de fallos de arriba ven nombres de eventos, números e identificadores, y ninguna imagen de ningún tipo. La aplicación no lleva ningún SDK publicitario y no muestra anuncios; el identificador publicitario de arriba lo lee el SDK de analítica, para la única finalidad indicada.

8. Si le pide a Apple un reembolso

Cuando pide un reembolso a través de App Store, Apple puede preguntarnos qué fue de la compra y nos da un plazo corto para responder. Respondemos. Es el único momento en el que podemos decir algo, y una solicitud que nadie contesta se resuelve sin nosotros. Google Play no tiene un paso equivalente, así que nada de esto se aplica a una compra hecha allí.

Lo que enviamos es un resumen, no un registro: qué parte del paquete se había gastado, si las fotos terminadas se habían entregado y el valor acumulado de sus compras y de sus reembolsos como intervalo, no como cifra; y ni siquiera el intervalo si alguna de sus compras fue en otra moneda, porque una cifra en dólares que no podemos afirmar no la vamos a estimar. Va unido a la compra por el token que la tienda emitió para ella, y a nada más.

También le decimos a Apple cuál creemos que debe ser la respuesta, y usted tiene derecho a conocer la regla que usamos, porque es toda la regla: si no gastó los créditos, decimos que el reembolso se conceda. Si los gastó todos, decimos que se deniegue. Si gastó una parte, no expresamos preferencia. No le pedimos a Apple que deniegue un reembolso por algo que usted nunca usó.

Nunca enviamos sus fotografías, y no enviamos ningún dato personal más allá de ese identificador de compra. Apple pregunta además cuánto tiempo lleva con la cuenta y cuánto tiempo ha pasado dentro de la aplicación. A las dos cosas respondemos «sin declarar», en vez de estimar un dato que después estaríamos afirmando.

9. Dónde se guarda, y cómo

Nuestros servidores están en la Unión Europea, alquilados a un proveedor de alojamiento comercial. Nombramos la región y no al proveedor: el proveedor puede cambiar, la región es el compromiso. Las fotos y todo lo medido a partir de ellas se quedan ahí.

Dos cosas salen de esa región. Los eventos de uso y los informes de fallos van a Google en Estados Unidos, y las notificaciones push pasan por Google y por Apple. Las dos transferencias se amparan en las Cláusulas Contractuales Tipo de la Comisión Europea, que es el mecanismo que esas empresas publican para exactamente este caso. No cruza la frontera nada más.

El tráfico va cifrado con TLS. Las fotos están en un almacenamiento privado que nunca aparece en un listado público, y cada descarga es un enlace firmado de vida corta. Los tokens de inicio de sesión se guardan en el llavero o el almacén de claves del propio dispositivo. El acceso se limita a los servicios que lo necesitan. Ningún sistema es perfectamente seguro, y no vamos a fingir lo contrario.

10. Este sitio web

totshot.app no tiene analítica, no sirve publicidad y no carga scripts, tipografías ni imágenes de terceros: todos los archivos que usa la página vienen de este dominio. La analítica descrita arriba está en la aplicación; en este sitio no hay ninguna.

Del sitio se encarga Vercel, nuestro proveedor de alojamiento web, que anota la dirección IP, la hora y el agente de usuario de cada petición en sus registros de acceso, para servir la página y prevenir abusos. Es la única empresa que interviene en mostrarle esta página.

Guarda una sola cookie, NEXT_LOCALE, que recuerda en qué idioma lee. No contiene ningún identificador, no la lee nadie más y no sigue su rastro a ninguna parte.

11. Sus derechos

Puede pedir una copia de sus datos, una rectificación, una exportación o su supresión. La supresión puede hacerla usted en la aplicación; para lo demás, escriba a support@totshot.app. Cada solicitud la responde una persona.

En la UE y en el Reino Unido son sus derechos con arreglo al RGPD, y puede reclamar ante la autoridad de protección de datos de su país. En California, no vendemos ni compartimos información personal en el sentido que la CCPA da a esas palabras, y ejercer un derecho no le cuesta nada.

12. Cambios

La fecha de entrada en vigor que aparece al principio de esta página identifica la versión que está leyendo. Si cambiamos algo sustancial, se lo diremos por correo o en la aplicación antes de que entre en vigor.

13. Contacto

Cualquier cosa de esta página, sea acceso, rectificación, exportación, supresión o una pregunta cuya respuesta no encuentra: support@totshot.app. Es la vía más rápida para llegar hasta nosotros y la lee una persona. El correo postal nos llega a la dirección de abajo.

14. Ley aplicable

Esta política se rige por las leyes del Estado de Delaware (Estados Unidos).

Está publicada en todos los idiomas que ofrece el selector de idioma. La versión que rige es la inglesa; una traducción está para leerla, no para alegarla en una controversia.