Política de Privacidad

Esta Política de Privacidad explica qué datos personales recoge Ziyup, Inc., a Delaware corporation («Ziyup») cuando usas Ziyup (web y PWA), cómo los usamos y compartimos, y qué derechos tienes. Se aplica a clientes, profesionales (barberos) y barberías. Al usar la Plataforma aceptas esta Política.

Datos de cuenta: nombre, nombre de usuario, correo, contraseña (solo guardamos un hash), rol, fecha de nacimiento (para verificar que eres mayor de 18), ciudad, teléfono e Instagram si los añades, foto de perfil y biografía.

Datos de citas: servicio, fecha y hora, precio, propina, notas, estado de pago, política aplicada y, para los profesionales, su agenda, su dirección de negocio y su lista de clientes (nombre, teléfono y correo que ellos registran). Clientes sin cuenta (invitados o walk-in): nombre y correo o teléfono que facilite el profesional o el propio cliente.

Pagos: los procesa Stripe. Nosotros recibimos importes, fecha, marca y últimos 4 dígitos de la tarjeta, identificadores de Stripe y el estado del pago. NO almacenamos el número completo de la tarjeta. Para cobrar, los profesionales completan en Stripe una verificación de identidad (nombre legal, fecha de nacimiento, dirección, número fiscal, documento de identidad y cuenta bancaria) que Stripe recoge y custodia conforme a su propia política; Ziyup solo recibe el estado de esa verificación.

Contenido: publicaciones, fotos, vídeos, historias, reseñas, comentarios, mensajes directos, evidencias de torneos y notas de voz que subes. Las fotos y vídeos se almacenan en nuestro almacenamiento de objetos (Emergent / Cloudflare R2) con URLs públicas no indexadas.

Datos técnicos y de uso: dirección IP, tipo de dispositivo y navegador, páginas visitadas, clics, errores, registros de auditoría (acciones sensibles de la cuenta con IP y fecha), intentos de inicio de sesión e informes de seguridad (CSP).

Ubicación: si lo autorizas, la geolocalización aproximada del navegador para mostrarte barberos cercanos (no la guardamos); las direcciones que escribes se geocodifican con OpenStreetMap Nominatim.

Comunicaciones: lo que nos envías por el formulario de contacto, comentarios de beta y soporte.

Cookies estrictamente necesarias: sesión e inicio de sesión (tokens de acceso/refresco HttpOnly), protección CSRF y preferencia de tema. Sin ellas la Plataforma no funciona.

Cookies de infraestructura: la red de entrega de Emergent/Cloudflare fija las cookies «__emg_vid» (identificador de visitante, 1 año) y «__emg_sid» (identificador de sesión, 30 minutos), HttpOnly y seguras, para seguridad, protección frente a bots y métricas de infraestructura.

Analítica: usamos PostHog (alojado en EE. UU.) para entender el uso de la Plataforma: páginas, clics, dispositivo, IP y, en algunos casos, grabación de sesión en la que el texto y los campos de formulario se enmascaran. No vinculamos estos datos a tu identidad salvo que inicies sesión. PUEDES DESACTIVAR LA ANALÍTICA Y LA GRABACIÓN DE SESIÓN EN AJUSTES → PRIVACIDAD («No participar en analítica»); la preferencia se guarda en tu dispositivo.

Stripe fija sus propias cookies para prevenir fraude durante el pago. Las fuentes (Google Fonts) y los avatares por iniciales (DiceBear) se cargan desde sus servidores, que reciben tu IP y, en DiceBear, tu nombre de usuario.

Prestar la Plataforma: crear tu cuenta, gestionar reservas, pagos, transferencias a los profesionales, recibos y notificaciones por correo (nueva cita, cancelación, reprogramación, recibos, cambio de correo, alertas de seguridad).

Seguridad y prevención de fraude: verificar identidad, detectar abusos, auditar acciones sensibles y cumplir obligaciones legales y fiscales.

Mejorar el producto: analítica agregada, corrección de errores y pruebas.

Funciones de IA: el asistente, la moderación, el juez sombra y los resúmenes al profesional envían el texto o las imágenes necesarias a modelos de Anthropic a través de la infraestructura de Emergent; no se usan para entrenar modelos de terceros según sus términos vigentes. En las funciones que analizan a terceros pedimos consentimiento.

Comunicaciones comerciales: solo si tienes cuenta y con posibilidad de darte de baja en cada correo o en Ajustes.

Profesionales y barberías: cuando reservas, el profesional (y su barbería afiliada, si la hay) ve tu nombre, el servicio, la hora y los datos de contacto necesarios para atenderte. Los clientes ven el perfil público del profesional.

Proveedores que tratan datos por nuestra cuenta: Stripe (pagos y verificación de identidad), Resend (envío de correos), Emergent (alojamiento de la aplicación, base de datos MongoDB gestionada, almacenamiento de archivos, red de entrega y acceso a modelos de IA), Cloudflare (red y seguridad), PostHog (analítica), Anthropic (modelos de IA) y OpenStreetMap (geocodificación).

Conector MCP: si conectas tu propio asistente de IA (p. ej., Claude) mediante el conector de la Plataforma, ese asistente podrá leer la información de tu agenda, clientes e informes que tú autorices; puedes revocar el acceso en cualquier momento.

Autoridades y terceros: cuando la ley lo exija, para proteger derechos, seguridad o propiedad, o en una fusión, adquisición o venta de activos (te avisaremos).

NO vendemos tus datos personales ni los compartimos para publicidad conductual de terceros en el sentido de la CCPA/CPRA.

Conservamos los datos mientras tu cuenta esté activa y después el tiempo necesario para cumplir obligaciones legales (registros fiscales y de pagos: hasta 7 años), resolver disputas y hacer cumplir nuestros acuerdos. Los registros de auditoría de seguridad se conservan 12 meses; los informes CSP, 60 días; los enlaces de cambio de correo, 7 días. Las grabaciones de sesión de analítica se eliminan según la retención configurada en PostHog (máximo 90 días).

Según tu lugar de residencia (incluida la CCPA/CPRA de California y el RGPD) puedes: acceder a tus datos y obtener una copia, corregirlos, solicitar su eliminación, oponerte o limitar ciertos tratamientos, retirar tu consentimiento y no ser discriminado por ejercer tus derechos. Residentes de California: tenéis derecho a saber qué categorías de datos recogemos y con quién las compartimos (secciones 2 y 5); no vendemos ni compartimos datos personales.

Cómo ejercerlos: desde Ajustes puedes editar tu perfil, cambiar tu correo o contraseña y desactivar la analítica. Para solicitar una copia o la eliminación de tu cuenta y tus datos usa el formulario de contacto (asunto «Privacidad»); verificaremos tu identidad y responderemos en un plazo máximo de 45 días. Conservaremos lo que la ley nos obligue (p. ej., registros de pagos).

La Plataforma es solo para mayores de 18 años. No recogemos a sabiendas datos de menores; si detectamos una cuenta de un menor la eliminaremos. Si eres padre, madre o tutor y crees que un menor nos ha facilitado datos, contáctanos.

Aplicamos medidas técnicas y organizativas razonables: cifrado en tránsito (HTTPS/HSTS), contraseñas con hash, tokens HttpOnly, protección CSRF, límites de intentos de inicio de sesión, registros de auditoría, cabeceras de seguridad y separación de entornos. Ningún sistema es 100 % seguro; si detectamos una brecha que te afecte te lo notificaremos conforme a la ley.

Nuestros servidores y proveedores están principalmente en Estados Unidos. Si accedes desde otro país, tus datos se tratarán en EE. UU. con las garantías que exija la normativa aplicable.

Podemos actualizar esta Política; publicaremos la nueva versión con su fecha y, si el cambio es sustancial, te avisaremos en la app o por correo. Responsable: Ziyup, Inc., a Delaware corporation, la dirección postal indicada en el formulario de contacto. Contacto: el formulario de contacto (/legal/contacto).