Legal

DUBHCORE — Política de Privacidad

Versión 1.0 — Fecha: 30 de agosto de 2026 — Versión final

1. Responsable del tratamiento y contactos

  • Marca/servicio: DUBHCORE
  • Razón social: Gelsi Andrea (empresario individual)
  • NIF-IVA (P.IVA): 02826520211 — Código fiscal (Codice Fiscale): GLSNDR81B26H786D
  • Domicilio social: Via Auen 3, 39031 Brunico (BZ), Italia
  • Correo electrónico: info@dubhcore.com — Sitio web: https://dubhcore.com
  • Delegado de Protección de Datos (DPO): a la fecha del presente aviso, no se ha designado un Delegado de Protección de Datos (DPO), al no concurrir, en el estado actual y sobre la base de los tratamientos realizados, los presupuestos de designación obligatoria previstos en el art. 37 RGPD. Dicha evaluación se revisará en caso de evolución de las actividades o de los tratamientos.

2. Roles en el tratamiento (DUBHCORE / Estudio)

DUBHCORE es un software de gestión (SaaS) para estudios de tatuaje y piercing. Según el tratamiento:

  • DUBHCORE es Responsable del tratamiento de los tratamientos cuyos fines y medios determina: creación/gestión de las cuentas de plataforma, suscripciones DUBHCORE, administración, seguridad, asistencia, gestión técnica del servicio, cumplimiento de sus propias obligaciones.
  • El Estudio/Profesional es Responsable del tratamiento de los datos de sus propios clientes tratados a través de la plataforma (solicitudes, citas, documentos, consentimientos, imágenes, datos de salud para el piercing, etc.). Corresponde al Estudio garantizar la licitud del tratamiento e identificar la base jurídica/condición aplicable.
  • DUBHCORE es Encargado del tratamiento (art. 28 RGPD) cuando trata los datos de los clientes del Estudio por cuenta y según las instrucciones del Estudio (véase el DPA dedicado).
Nota. Para los tratamientos propios necesarios para la gestión de la cuenta/la plataforma, la seguridad técnica, la prevención de abusos, el rate limiting, la gestión del servicio y la facturación/administración de su propia plataforma, DUBHCORE actúa como Responsable autónomo, dentro de los límites descritos en la presente Política de Privacidad. Para los datos de clientes/de la prestación tratados por cuenta del Estudio, permanece firme: Estudio = Responsable, DUBHCORE = Encargado en virtud del art. 28. DUBHCORE no persigue finalidades autónomas sobre los datos de salud de las prestaciones.

3. Categorías de datos tratados (VERIFICADO en el código)

  • Cuenta/perfil: correo electrónico, nombre, apellidos, fecha de nacimiento, dirección, teléfono, idioma de los documentos, rol, contraseña (conservada solo como hash bcrypt).
  • Datos del Estudio/profesional: nombre del estudio, ciudad, logotipo, NIF-IVA, código fiscal, IBAN/BIC, correo de pagos, PayPal, políticas de anticipo/cancelación.
  • Datos de los clientes del Estudio: datos identificativos/contactos, solicitudes de tatuaje/piercing, descripción, estilo, posición en el cuerpo (body map), presupuesto, notas.
  • Datos de salud (categoría especial — VERIFICADOS como presentes en los flujos Tatuaje y Piercing): para el Tatuaje, el eventual campo «Cicatrices»; para el Piercing, alergias a los metales, problemas de irritación/infección de la zona, problemas de cicatrización, medicamentos/condiciones médicas, embarazo/lactancia. La condición prevista en el art. 9 RGPD implementada es el consentimiento explícito del interesado — art. 9.2.a) RGPD (véase §4-bis). DUBHCORE no es un servicio sanitario y no determina finalidades médicas; la base no es el art. 9.2.h). Para el PMU (maquillaje permanente), el sistema no recopila actualmente datos de salud estructurados.

*Nota infraestructura (verificada):* Emergent ha confirmado por escrito que el tratamiento/almacenamiento de esta información de salud está permitido para la aplicación, respetando los requisitos RGPD aplicables y el DPA, exigiendo controles de acceso y medidas de seguridad adecuados. Dicha confirmación del proveedor no constituye por sí misma la condición de licitud prevista en el art. 9 RGPD, que sigue correspondiendo determinar al Responsable (Estudio), junto con la base en virtud del art. 6, las responsabilidades del Responsable, las restricciones de acceso, las medidas de seguridad y las reglas de conservación.

  • Datos de menores y de padres/tutores: cuando el cliente es menor, el sistema prevé la introducción de los datos del padre/tutor (nombre, apellidos, fecha de nacimiento, código fiscal, tipo/número/vencimiento del documento, relación con el menor) y una doble firma en el estudio (menor + tutor). DUBHCORE no fija de forma autónoma edades mínimas ni requisitos sanitarios/legales para tatuajes/piercings: dichas reglas competen al Estudio.
  • Imágenes y adjuntos: fotos de las solicitudes y adjuntos del chat, en Object Storage privado; fotos de perfil/portafolio de los profesionales.
  • Citas/calendario, mensajes/chat, presupuestos/anticipos, documentos/consentimientos/exenciones/firmas (con instantáneas inmutables), notificaciones, no-shows/reprogramaciones.
  • Pagos y suscripciones: datos de facturación, anticipos (transferencia con recibos, Stripe Connect), suscripciones gestionadas mediante Stripe.
  • Google Calendar: tokens OAuth (conservados cifrados con Fernet — VERIFICADO) y eventos importados (solo lectura), previa autorización del usuario.
  • Datos técnicos/IP: la dirección IP puede tratarse de forma transitoria por la aplicación (encabezados X-Forwarded-For/X-Real-IP) para el rate limiting/la seguridad de los endpoints públicos. No existe una persistencia a nivel de aplicación de la IP en la base de datos DUBHCORE. Son distintos los eventuales registros de infraestructura del proveedor (véase §8), cuya duración específica no ha sido comunicada ni confirmada por el proveedor (gestionada por Emergent en el marco de su propia infraestructura; no se indica ningún periodo numérico no verificado).
  • Registros de auditoría: acción, autor, objeto, marca de tiempo, ámbito del estudio.

4. Finalidades y bases jurídicas (indicadas solo cuando son verificables)

  • Prestación del servicio SaaS, gestión de cuentas y estudios → ejecución del contrato (art. 6.1.b).
  • Suscripciones/facturación → contrato y obligaciones legales (art. 6.1.b/c).
  • Seguridad, prevención de abusos, rate limiting, registros → interés legítimo (art. 6.1.f) / obligaciones (a evaluar).
  • Atención al cliente → contrato/interés legítimo.
  • Datos de los clientes del Estudio (incl. salud para el piercing) → base identificada por el Estudio Responsable; para los datos de salud, condición prevista en el art. 9 identificada por el Estudio (no determinada por DUBHCORE).
  • Integración Google Calendar → consentimiento del usuario para la autorización OAuth.

4-bis. Tratamiento de los datos de salud (art. 9) — sistema implementado

Las prestaciones de Tatuaje y Piercing pueden implicar la recopilación de datos de salud. La condición de licitud implementada en la plataforma es el consentimiento explícito del interesado con arreglo al art. 9.2.a) RGPD, identificado y gestionado por el Estudio Responsable. DUBHCORE proporciona la herramienta técnica como Encargado y no presta servicios sanitarios ni adopta el art. 9.2.h).

(a) Consentimiento distinto y previo. El consentimiento a los datos de salud está separado de: la aceptación de las Condiciones, la toma de conocimiento de la Política de Privacidad, el consentimiento/la autorización a la prestación, las firmas y la exención de imágenes. Se requiere antes de la recopilación de los datos de salud estructurados y mediante una acción afirmativa explícita.

(b) Tatuaje (mayores de edad). Un paso de consentimiento precede a la parte potencialmente sanitaria. En caso de rechazo, la solicitud puede continuar igualmente: el campo «Cicatrices» no se recopila, los campos operativos/de texto libre (descripción, notas) siguen siendo utilizables y se muestra un aviso de minimización. Los campos descripción/notas no se clasifican automáticamente como datos de salud.

(c) Piercing (mayores de edad). El consentimiento precede al cuestionario de salud: con consentimiento el cuestionario está disponible; sin consentimiento el cuestionario se omite y no se recopila ningún dato de salud estructurado, mientras que la parte no sanitaria de la solicitud puede continuar. Las respuestas de salud estructuradas están separadas del resumen operativo y no se incorporan a él.

(d) PMU. Ningún cuestionario de salud estructurado, ningún paso de consentimiento de salud y ningún consentimiento de salud creado en el flujo PMU normal: solo hay avisos de minimización en los campos libres.

(e) Menores. Si el cliente es menor de edad, en el flujo remoto (aplicación) el menor no presta de forma autónoma el consentimiento del art. 9 y no se recopilan datos de salud estructurados; el eventual consentimiento al tratamiento de los datos de salud es prestado en el estudio por el padre/tutor por cuenta del menor, permanece distinto de la autorización a la prestación y de las firmas, y está vinculado a la prestación específica. No se introduce ninguna verificación biométrica o KYC adicional.

(f) Retirada. El consentimiento a los datos de salud puede retirarse en cualquier momento, con efecto para el futuro; la retirada no menoscaba la licitud del tratamiento efectuado antes de ella. La retirada no equivale a una supresión automática: los datos y documentos pueden conservarse cuando exista otra base jurídica o una obligación aplicable. Un eventual nuevo consentimiento posterior constituye una nueva prueba y no «reactiva» retroactivamente el registro retirado. El cliente mayor de edad puede gestionar sus consentimientos en la aplicación; los consentimientos prestados por el padre/tutor son revocables en el estudio por el personal autorizado.

(g) Acceso a los datos de salud (minimización/mínimo privilegio, del lado del servidor). El acceso a los datos de salud de la prestación está limitado, a nivel de API (no solo gráfico), a: titular del estudio (admin), manager, profesional asignado a la prestación (tatuador para el tatuaje, piercer para el piercing) y cliente interesado en sus propios flujos. Los datos de salud no se devuelven a: recepción, profesionales no asignados, personal de otros estudios, otros clientes o usuarios no autorizados. La misma protección se aplica a los datos de salud de los menores.

(h) Prueba del consentimiento. El sistema registra como metadatos del consentimiento: sujeto, estudio, prestación (cuando proceda), tipo de servicio, versión del consentimiento, estado «granted», acción afirmativa, granted_by (self/guardian), referencia al tutor cuando proceda, fecha/hora y eventual fecha de retirada. Los datos identificativos del padre/tutor no se duplican en el registro de consentimiento.

5. Modalidades de recopilación

Datos introducidos por: clientes (registro, solicitudes, chat, firma remota), personal del estudio (fichas de clientes, citas, firmas en el estudio, datos del tutor), administradores (estudio, pagos, documentos). Apple Calendar: el acceso tiene lugar en el dispositivo del usuario (módulo expo-calendar); DUBHCORE no carga todo el calendario de Apple en sus servidores.

6. Destinatarios y proveedores (subencargados)

El acceso a los datos está limitado al personal autorizado y, para los clientes del Estudio, al propio Estudio (aislamiento multiinquilino). Proveedores externos efectivamente utilizados (véase el documento «Subencargados»):

  • Stripe (pagos/suscripciones y Stripe Connect para los anticipos);
  • Google (autenticación OAuth y Google Calendar, solo lectura);
  • Emergent (infraestructura de alojamiento, Object Storage gestionado, envío de correos transaccionales mediante Resend gestionado).

No existen, en el código de la aplicación, sistemas de analytics, tracking o publicidad (ausencia VERIFICADA).

6-bis. Sitio público DUBHCORE Hub (dubhcore.com) — VERIFICADO por auditoría técnica

El sitio público DUBHCORE Hub (dubhcore.com) es distinto de la aplicación. Según la auditoría técnica de su código:

  • Formulario de contacto (`/contact`): recopila nombre, estudio, correo electrónico, país, mensaje. Los datos se envían al backend del Hub y se almacenan en la colección MongoDB del proyecto Hub `contact_requests`. Ningún proveedor de correo externo o servicio de newsletter recibe los datos del formulario de contacto.
  • Páginas de estudio públicas (`/s/:slug`): el Hub interactúa con la API pública de la App DUBHCORE para mostrar las páginas de estudio.
  • Pagos: el Hub no recopila datos de pago; los usuarios son redirigidos a los Payment Links externos de Stripe (buy.stripe.com) y el pago se realiza en el dominio de Stripe, fuera del Hub.
  • `/support` y `/demo`: no recopilan datos de formulario/datos personales; ninguna newsletter, ningún registro tiene lugar en el Hub.
  • `/delete-account`: página pública informativa; la supresión de la cuenta se efectúa dentro de la App DUBHCORE (con /support disponible en caso de pérdida de acceso).
  • Sin rastreo: el Hub no instala/lee cookies propias, no utiliza localStorage/sessionStorage/IndexedDB, no utiliza analytics (incl. Google Analytics/GTM), píxeles (Meta/TikTok), publicidad, fingerprinting, heatmaps o session recording (VERIFICADO).
  • Recursos externos: las fuentes y la imagen «Origin» están alojadas localmente; las anteriores solicitudes externas a Google Fonts y Unsplash han sido eliminadas (ya no son destinatarios/proveedores externos activos).
  • Infraestructura: el Hub utiliza su propio backend/API y la infraestructura/plataforma Emergent para el alojamiento.

7. Transferencias internacionales

Información verificada (confirmación de Emergent Support): para la aplicación DUBHCORE desplegada, la infraestructura de la base de datos de producción, del almacenamiento y de las copias de seguridad está situada en los ESTADOS UNIDOS. El tratamiento implica por tanto una transferencia a un tercer país (EE. UU.). Dichas transferencias tienen lugar en el marco del DPA de Emergent Labs Inc., que incorpora las Cláusulas Contractuales Tipo (Decisión UE 2021/914) cuando resulte aplicable. Otros proveedores (p. ej. Stripe, Google) pueden implicar tratamientos fuera de la UE con garantías contractuales análogas.

Datos de registros de infraestructura: el DPA de Emergent define los «Log Data» de infraestructura como potencialmente comprensivos de dirección IP, ubicación aproximada, información del navegador, identificadores de dispositivo/sesión y telemetría operativa. El periodo de conservación específico de dichos registros no ha sido comunicado ni confirmado por el proveedor (Emergent); estos registros son gestionados por el proveedor en el marco de su propia infraestructura y de las condiciones/documentación aplicables. DUBHCORE no indica ningún periodo numérico no verificado.

8. Conservación

No existe un único periodo aplicado a todos los datos: la conservación depende de la categoría, la finalidad y el rol en materia de privacidad, según el documento interno «Data Retention Schedule V1» (fuente de los periodos). A nivel de aplicación, no está configurada una supresión automática general (TTL), salvo los tokens de restablecimiento de contraseña (validez 30 minutos + limpieza TTL — VERIFICADO); los demás periodos son una política documental (aún no automatizada) y los documentos firmados son inmutables (instantánea). Periodos principales (política V1):

  • Cuentas operativas (Estudio/personal/clientes) tras cese/supresión: 30 días, salvo las excepciones documentadas;
  • Solicitudes no convertidas: 12 meses;
  • Datos de salud estructurados (Tatuaje/Piercing): 12 meses tras finalización/anulación (no automáticamente 10 años);
  • Chat/adjuntos: 24 meses; datos operativos de prestaciones/citas pertinentes: 36 meses;
  • Imágenes: siguen la finalidad/el registro pertinente (proyecto→solicitud, operativas→prestación, marketing→base autónoma);
  • Datos fiscales/contables pertinentes: 10 años cuando lo exija la normativa aplicable (obligación legal);
  • Documentos firmados/consentimiento a la prestación: 10 años como política probatoria/de defensa vinculada a la prescripción ordinaria (art. 2946 del Código Civil italiano) — no una obligación RGPD;
  • Prueba del consentimiento del art. 9 y de la retirada: conservable por separado hasta 10 años como política de responsabilidad proactiva/de prueba (art. 7.1); dicha prueba es distinta de los datos de salud subyacentes y no prolonga su conservación;
  • Litigio: en presencia de una controversia/necesidad de defensa, los únicos datos necesarios pueden conservarse más allá del periodo ordinario, con minimización.

Para los datos de clientes/de la prestación, el Estudio es Responsable y DUBHCORE es Encargado en virtud del art. 28: los periodos pueden seguir las instrucciones documentadas del Estudio cuando estén justificadas por obligaciones aplicables o por su política de conservación; esta política de DUBHCORE no constituye una obligación universal impuesta al Estudio.

Copias de seguridad de infraestructura (gestionadas por el proveedor Emergent — confirmación verificada): la base de datos de producción está sujeta a copias de seguridad automáticas gestionadas por Emergent según una planificación rotatoria: horarias (7 días), diarias (7 días), semanales (4 semanas), mensuales (12 meses), anuales (1 año), con point-in-time recovery continuo de los últimos 7 días. Las copias de seguridad de producción se almacenan en los Estados Unidos. La supresión del sistema operativo puede no conllevar la eliminación inmediata de las copias ya presentes en las copias de seguridad, eliminadas/sobrescritas según los ciclos de rotación del proveedor. La duración de los registros de infraestructura no ha sido comunicada ni confirmada por el proveedor (gestionada por Emergent en el marco de su propia infraestructura; no se indica ningún periodo numérico no verificado). Estas planificaciones están controladas por el proveedor de infraestructura, no por DUBHCORE, y no prolongan los periodos de conservación activa previstos a nivel de aplicación.

9. Supresión, exportación y derechos

  • Supresión de la cuenta: disponible con reautenticación mediante contraseña.
  • Supresión de cliente (por parte del Estudio/Admin): con resumen de los datos y confirmación explícita; la cuenta personal del cliente se elimina solo si no está vinculada a otros estudios.
  • Exportación de datos (portabilidad, art. 20): el usuario puede solicitar la exportación de sus datos en formato JSON, protegida por reautenticación mediante contraseña.
  • Derechos del interesado (art. 15–22): acceso, rectificación, supresión, limitación, portabilidad, oposición y, cuando proceda, retirada del consentimiento (incl. el consentimiento a los datos de salud, gestionable por el cliente en la aplicación; para los menores, la retirada del consentimiento prestado por el tutor se realiza en el estudio — véase §4-bis). Para los datos de los clientes del Estudio, los derechos se ejercen ante el Estudio Responsable; DUBHCORE asiste como Encargado.
  • Contacto para los derechos: info@dubhcore.com.

10. Seguridad (medidas VERIFICADAS en el código)

Contraseñas con bcrypt; sesiones con JWT; control de roles (RBAC); aislamiento multiinquilino por estudio; cifrado (Fernet) de los tokens de Google y de los datos de pago; Object Storage privado con control de acceso; rate limiting en los endpoints públicos; registro de auditoría; instantáneas inmutables de los documentos firmados; normalización de los correos en el inicio de sesión/registro.

11. Decisiones automatizadas / elaboración de perfiles

En el estado actual, DUBHCORE: no realiza elaboración de perfiles; no adopta decisiones únicamente automatizadas con efectos jurídicos o similarmente significativos en el sentido del art. 22 RGPD; no utiliza IA/LLM para analizar datos personales, datos de salud, solicitudes, chats o documentos de los clientes; no utiliza analytics conductuales en la App/el Hub, según las auditorías técnicas realizadas.

12. Reclamación ante la autoridad

El interesado puede presentar una reclamación ante la autoridad de control competente (en Italia: Garante per la protezione dei dati personali).

13. Modificaciones

El presente aviso puede actualizarse; la versión y la fecha en vigor se indican arriba. Las modificaciones sustanciales se comunicarán a los usuarios por medios adecuados.

14. Contactos

DUBHCORE — info@dubhcore.com — https://dubhcore.com — Gelsi Andrea (empresario individual), Via Auen 3, 39031 Brunico (BZ), Italia.