Privacidad

Hairmetry está diseñado para saber lo mínimo posible sobre ti. Esta página explica qué recogemos, para qué, quién lo recibe y cómo retirarlo.

Última actualización: 21 de octubre de 2026.

En resumen

• No necesitas cuenta ni contraseña para comprar. Guardamos una dirección de correo solo si haces un pedido o eliges suscribirte a nuestros correos (ver abajo). Las cuentas existen solo para nuestro equipo (ver Cuentas e inicio de sesión).
• Contamos las visitas con nuestra propia analítica de origen propio. Las herramientas de analítica (Microsoft Clarity) y de marketing (píxel de Meta, y Google Ads y TikTok si los activamos) solo se cargan si las aceptas en el aviso de cookies. No tenemos red publicitaria, no mostramos anuncios y no vendemos datos. Nunca compartimos con ellas tus respuestas del cuestionario, tu perfil capilar ni tus resultados.
• Parte de lo que nos cuentas puede estar relacionado con la salud (por ejemplo, caída del cabello o una afección del cuero cabelludo). Pedimos tu consentimiento explícito antes de enviarte esas respuestas por correo o de vincular lo que miras con tu dirección de correo.
• Cookies: a los visitantes y compradores les colocamos una cookie corta de medición de origen propio (hm_sid) y una cookie corta de seguridad en los formularios de compra, contacto y devolución. Todo lo demás (cookies de analítica y marketing, y la cookie de suscripción al correo) requiere tu elección o que marques la casilla. Puedes cambiar tu elección en cualquier momento en Configuración de cookies. Los miembros del equipo que inician sesión reciben una única cookie de sesión estrictamente necesaria, más algunas cookies estrictamente necesarias de corta duración en las páginas de inicio de sesión y del back office. Los detalles están en Cookies y analítica.
• Guardamos tus respuestas del cuestionario y cómo usas el sitio en nuestros propios datos de medición, sin tu nombre ni tu correo (ver Tus respuestas del cuestionario y Medición de visitas). Por separado, guardamos una base de datos de pedidos, devoluciones, valoraciones con estrellas de los pedidos, las personas suscritas a nuestros correos, conversaciones de soporte (ver Correos de soporte) y, para nuestro equipo, sus cuentas (ver más abajo).

Tus respuestas del cuestionario

Tus respuestas están codificadas en la dirección web de tu página de resultados para que puedas guardarla o compartirla. Cualquiera con quien compartas la dirección puede ver esas respuestas, así que compártela con cuidado.

También guardamos una copia en nuestros datos de medición en nuestro servidor de la UE, para ver qué preguntas funcionan y mejorar las rutinas. Está vinculada al número de sesión aleatorio hm_sid, y a hm_vid si aceptaste las cookies de analítica, nunca a tu nombre, correo ni dirección IP. Por cada pregunta registramos:

• tu respuesta (tipo de cabello, grosor del cabello, cantidad de cabello, sensación del cuero cabelludo, tratamientos, cómo se comporta tu cabello, rango de edad, línea capilar y coronilla, preocupaciones, sexo y cualquier señal de alerta que marques),
• si cambiaste una respuesta y cuántas veces tocaste antes de decidirte,
• cuánto tiempo pasaste en la pregunta, en qué pregunta estabas cuando saliste del cuestionario y si volviste atrás,
• si la respuesta vino de una sugerencia de foto y si la mantuviste o la cambiaste (ver Fotos),
• al terminar: el perfil capilar, las tarjetas de rutina y los productos que contiene tu rutina.

Para qué: para descubrir en qué preguntas la gente abandona, comprobar que la rutina encaja con quienes la reciben y mejorar ambas cosas. Base jurídica: nuestro interés legítimo en gestionar y mejorar el sitio. Algunas respuestas pueden estar relacionadas con la salud; se usan solo para esto y nunca se comparten con empresas de analítica o publicidad (ver Lo que nunca compartimos). Estos datos se borran a los 13 meses.

Envío de tus resultados por correo

Si nos pides que te enviemos tus resultados por correo, usamos tu dirección una sola vez para enviar ese único correo y después la olvidamos, salvo que también marques la casilla para recibir un 10 % de descuento y consejos capilares (ver Suscripción al correo).

• Tus resultados pueden incluir información relacionada con la salud, como tu etapa de caída del cabello o una preocupación del cuero cabelludo. Antes de enviarlos, marcas una casilla para confirmar que lo aceptas. La base jurídica es tu consentimiento explícito (artículo 6(1)(a) y 9(2)(a) del RGPD). Sin esa marca, no se envía nada.
• Sin la segunda marca, la dirección y tus respuestas no se guardan, no se escriben en nuestros registros y nunca se usan para otra cosa. Ni boletín ni seguimientos.
• El correo se envía a través de nuestros proveedores de correo (ver Quién recibe tus datos), que manejan la dirección y el mensaje solo para entregarlo. Conservan sus propios registros de entrega durante un breve periodo.
• Para evitar abusos, contamos los envíos por dirección IP y por dirección (como código cifrado, no la dirección en sí) solo en memoria, durante un día como máximo.
• El correo contiene tu perfil capilar y el enlace a tus resultados, así que cualquiera que pueda leer tu bandeja de entrada puede verlos.

Fotos

El análisis de fotos es opcional, solo para personas de 16 años o más, y siempre puedes responder las preguntas en su lugar.

• Tu foto se reduce y se recodifica en tu navegador antes de enviarla, lo que elimina metadatos ocultos como la ubicación.
• Cuando eliges una foto, se envía por una conexión cifrada a Anthropic (la empresa detrás de Claude, con sede en Estados Unidos), que la analiza solo para sugerir respuestas del cuestionario que se ven en una foto: tu tipo de cabello, cuánto cabello tienes, tu línea capilar y preocupaciones visibles como el frizz o las canas. Anthropic actúa como nuestro encargado del tratamiento.
• Si eliges un vídeo corto, tu navegador escoge algunos fotogramas fijos y solo esos se envían, para analizarlos exactamente como las fotos. El vídeo en sí nunca sale de tu dispositivo.
• No almacenamos la foto. Se mantiene en memoria solo para la petición, nunca se escribe en nuestro disco ni en nuestros registros, y no se usa para nada más.
• Anthropic dice que, por defecto, no entrena sus modelos con datos enviados a través de su API comercial. Dice que borra las entradas y salidas de la API en un plazo de 30 días, y puede conservarlas más tiempo si sus sistemas de seguridad las marcan por una infracción de su Política de uso. Consulta las páginas de retención de datos y entrenamiento de modelos de Anthropic.
• Como Anthropic es una empresa estadounidense, tu foto sale de la UE. Anthropic afirma que usa salvaguardas como las cláusulas contractuales tipo para las transferencias desde la UE, y sus condiciones comerciales incluyen un anexo de tratamiento de datos. Consulta la política de privacidad de Anthropic.
• La base jurídica es tu consentimiento: marcas una casilla antes de que se envíe la foto, y puedes omitir la foto y responder las preguntas en su lugar.
• El análisis solo sugiere respuestas de tipo de cabello y de rutina para el cuestionario. Tú revisas y confirmas cada respuesta. No es una valoración médica.
• Por cada respuesta sugerida registramos, en nuestros propios datos de medición, si la mantuviste o la cambiaste. Nunca registramos la foto ni cómo se veía.
• No usamos la foto para deducir tu raza, sexo, edad ni emociones.

Cookies y analítica

Nombre	Qué es	Cuándo se coloca	Duración	Consentimiento necesario
hm_sid	Un número de sesión aleatorio (22 caracteres) para nuestra propia medición de origen propio: qué páginas se visitan, en qué orden y qué pasos del cuestionario y de la compra alcanzan las personas. Lo usamos solo nosotros y nunca para seguimiento entre sitios.	En cada visita.	30 minutos después de tu última página	No. Es una cookie de medición de origen propio que usamos por nuestro interés legítimo en mejorar el sitio.
hm_vid	Un número de visitante aleatorio (22 caracteres) que nos permite distinguir visitantes nuevos y recurrentes.	Solo si aceptas las cookies de analítica.	13 meses	Sí (analítica)
hm_consent	Recuerda tu elección de cookies (analítica sí o no, marketing sí o no, y la fecha).	Cuando eliges en el aviso de cookies.	6 meses	No, guarda tu elección
_clck, _clsk	Identificadores de Microsoft Clarity, usados para grabaciones de sesión anonimizadas y mapas de calor (todos los campos de formulario están enmascarados).	Solo si aceptas las cookies de analítica.	Las establece Microsoft, hasta 1 año	Sí (analítica)
_fbp, _fbc	Identificador del navegador del píxel de Meta e identificador de clic en anuncios, usados para medir los anuncios de Facebook e Instagram.	Solo si aceptas las cookies de marketing.	Las establece Meta, hasta 90 días	Sí (marketing)
Cookies de Google Ads (por ejemplo _gcl_*)	Miden si un anuncio de Google llevó a un pedido.	Solo si aceptas las cookies de marketing y solo cuando activemos Google Ads. Hoy no están activadas.	Las establece Google, hasta 90 días	Sí (marketing)
Cookies del píxel de TikTok (por ejemplo _ttp)	Miden si un anuncio de TikTok llevó a un pedido.	Solo si aceptas las cookies de marketing y solo cuando activemos TikTok. Hoy no están activadas.	Las establece TikTok, hasta 13 meses	Sí (marketing)
hm_sub	Un token aleatorio que vincula tu navegador con tu suscripción al correo, para que podamos enviar los recordatorios que aceptaste (productos que viste, artículos dejados en el carrito). HttpOnly, así que los scripts no pueden leerla.	Solo después de marcar la casilla de consentimiento y suscribirte a nuestros correos. Nunca para otros visitantes.	1 año, o hasta que te des de baja	Sí, y lo das con la casilla de suscripción
hm_csrf (cookie de seguridad)	Un token aleatorio que protege los formularios de compra, contacto y devolución frente a peticiones falsificadas. HttpOnly.	Cuando abres esos formularios.	Hasta que cierras el navegador (sesión)	No, estrictamente necesaria
Cookie de sesión __Host-hm_session	Mantiene iniciada la sesión de un miembro del equipo. Solo contiene un token aleatorio.	Solo cuando inicias sesión en una cuenta de equipo. Nunca para otros visitantes.	Hasta 180 días de inactividad y 2 años en total	No, estrictamente necesaria
__Host-hm_bo_csrf	Un token aleatorio que protege el inicio de sesión del back office frente a peticiones falsificadas. HttpOnly.	Cuando abres la página de inicio de sesión sin haber iniciado sesión.	4 horas	No, estrictamente necesaria
__Host-hm_oauth	Una nota firmada que recuerda el paso de Iniciar sesión con Google en curso. HttpOnly.	Cuando eliges Iniciar sesión con Google.	10 minutos	No, estrictamente necesaria
__Host-hm_flash	Un mensaje firmado de un solo uso (por ejemplo «Guardado») que se muestra en la siguiente página del back office. HttpOnly.	Después de una acción en el back office.	2 minutos, se elimina al mostrarse	No, estrictamente necesaria
__Host-hm_mkt_state	Un valor aleatorio que protege la conexión de una cuenta de marketing (solo equipo). HttpOnly.	Solo cuando el propietario conecta una cuenta de marketing.	10 minutos	No, estrictamente necesaria

• Los recordatorios necesitan dos tipos de datos sobre ti, guardados junto a tu dirección de correo: qué productos de Hairmetry miraste y qué hay en tu carrito. Lo que miras puede revelar información relacionada con la salud, como interés en productos contra la caída del cabello o la caspa. Por eso la casilla de suscripción lo dice y por eso la suscripción requiere tu marca. No hacemos esto con visitantes que no se han suscrito.
• Si no te suscribes, no colocamos hm_sub y nada de lo que miras se vincula contigo.
• Puedes detenerlo en cualquier momento con el enlace de baja de cualquier correo. Eso elimina la cookie del navegador que uses para ello, cancela los correos en cola y borra los productos vistos y los datos del carrito guardados. También puedes borrar la cookie en la configuración de tu navegador.
• Tu carrito vive en tu propio navegador (almacenamiento local), junto con la lista de productos de tu rutina, el último precio calculado por nuestro servidor (almacenamiento de sesión), qué pasos del cuestionario marcaste en la página de resultados y una marca que recuerda que cerraste la ventana emergente de suscripción. Esto se queda en tu dispositivo. El carrito solo se nos envía para calcular su precio y cuando pagas, y, si te suscribiste a nuestros correos, para activar el recordatorio de carrito. Puedes borrarlo en la configuración de tu navegador.
• También usamos Cloudflare Web Analytics para cifras agregadas, como las vistas de página. No coloca ninguna cookie.
• En la subida de fotos es posible que mostremos Cloudflare Turnstile, una comprobación de que no eres un bot. Lo gestiona Cloudflare y solo aparece si lo hemos activado.
• No cargamos scripts de analítica ni publicidad y no colocamos ninguna cookie de medición en el área del equipo ni en las páginas de inicio de sesión (/admin, /auth).

Medición de visitas, herramientas de analítica y herramientas publicitarias

• Nuestra propia medición (origen propio). Se guarda en nuestro servidor de la UE, en nuestra propia base de datos. No guardamos en ella tu dirección IP. Sin tu consentimiento, solo se vincula a hm_sid, un número que caduca 30 minutos después de tu última página. Base jurídica: nuestro interés legítimo en gestionar y mejorar el sitio. Puedes oponerte en cualquier momento (ver Tus derechos). Qué registramos y por qué:
  • Páginas y comportamiento: páginas vistas y en qué orden, clics, cuánto tiempo te quedas, cuánto desplazas, términos de búsqueda escritos en nuestro buscador, elementos de preguntas frecuentes y de galería abiertos, velocidad de la página y errores de scripts. Para qué: ver qué se usa y arreglar lo que va lento o falla.
  • Cuestionario: cada respuesta, cambios, tiempo por pregunta, la pregunta en la que saliste, la sugerencia de foto mantenida o cambiada por pregunta, y el perfil final (ver Tus respuestas del cuestionario). Para qué: mejorar las preguntas y las rutinas.
  • Página de resultados: qué pestañas de rutina abres, qué tarjetas abres, los pasos que marcas, cuándo vuelves a lo básico y en qué enlaces de la tienda haces clic. Para qué: ver qué partes de una rutina se usan.
  • Kit y carrito: productos y sets vistos, artículos añadidos o eliminados, kits y packs aplicados o retirados automáticamente, el paso de compra alcanzado, códigos de descuento aplicados y el propio pedido. Para qué: ver dónde se atascan los compradores y mantener los registros de pedidos.
  • Suscripciones al correo: que se mostró, se cerró o se completó una ventana emergente de suscripción, y que se pidió un correo con resultados. La dirección en sí no forma parte de estos datos. Para qué: ver si la suscripción es fácil de encontrar.
  • Dispositivo y lugar: tipo de dispositivo, sistema operativo, navegador y versión, idioma, zona horaria, tamaño de pantalla y ventana, y país, región y ciudad (desde Cloudflare). Para qué: que el sitio funcione en los dispositivos que usa la gente.
  • De dónde vienes: sitio de procedencia (referrer), etiquetas de campaña del enlace (UTM), e identificadores de clic en anuncios. Para qué: ver qué canales traen visitantes.
• Con tu consentimiento de analítica también colocamos hm_vid (para reconocer a visitantes recurrentes) y cargamos Microsoft Clarity (grabaciones y mapas de calor con campos enmascarados). Base jurídica: tu consentimiento.
• Con tu consentimiento de marketing cargamos el píxel de Meta y, en los pedidos, enviamos a Meta a través de su API de Conversiones el valor del pedido, los identificadores de producto y una dirección de correo con hash (SHA-256), para medir los anuncios. Google Ads y el píxel y la API de Eventos de TikTok funcionan igual, pero están desactivados y solo se activarán después de que actualicemos esta página. Base jurídica: tu consentimiento.
• Lo que nunca compartimos. Nunca enviamos tus respuestas del cuestionario, tu tipo de cabello, tus respuestas sobre la caída del cabello, tu edad, tu sexo, tu foto, tus resultados ni la dirección de tu página de resultados a Meta, Google, Microsoft, TikTok ni a nadie más para analítica o publicidad. Los pedidos enviados para medir anuncios solo llevan el valor del pedido, los identificadores de producto y el correo con hash.
• Destinatarios. Meta Platforms Ireland Ltd (píxel de Meta y API de Conversiones), Google Ireland Ltd (Google Ads, solo si se activa), Microsoft Ireland Operations Ltd (Clarity) y TikTok Technology Ltd (solo si se activa). Reciben tu dirección IP y los datos de tu navegador cuando tu navegador se conecta con ellas, y pueden pasar datos a empresas del grupo en Estados Unidos. Las transferencias a Estados Unidos se basan en el Marco de Privacidad de Datos UE-EE. UU., en el que Meta, Google y Microsoft están certificadas.
• Cuánto tiempo. Nuestros datos de analítica de origen propio, incluidas las respuestas del cuestionario, se borran a los 13 meses. La cola de mensajes a las plataformas publicitarias se borra a los 30 días. La atribución del pedido (qué fuente llevó a un pedido) se conserva con el pedido, pero los identificadores de sesión y de cookie que contiene se eliminan a los 13 meses. Las propias herramientas conservan datos según sus propias reglas (consulta sus políticas de privacidad).
• Cambia de opinión. Abre Configuración de cookies o el enlace «Configuración de cookies» del pie de página en cualquier momento. Desactivar una elección impide que las herramientas se carguen en tu siguiente página, y dejamos de guardar hm_vid. Rechazar es tan fácil como aceptar.

Registros del servidor

Como la mayoría de los servidores, el nuestro guarda registros de peticiones de corta duración (hora, página, estado) para mantener el sitio en marcha y corregir errores. Nuestros registros de acceso eliminan todo lo que va después del signo de interrogación en la dirección de las páginas del cuestionario y de resultados, así que tus respuestas (que están codificadas en esa parte de la dirección) nunca se escriben en nuestros registros. Los registros se rotan y se conservan solo durante poco tiempo (como máximo tres archivos de 10 MB). Para limitar los abusos, las peticiones de fotos por dirección IP se cuentan solo en memoria y se olvidan a la hora.

Pedidos

Si haces un pedido en la tienda, guardamos lo necesario para entregarlo y para llevar nuestra contabilidad.

• Qué: tu nombre, correo, número de teléfono (si lo das), dirección de entrega y de facturación, y el contenido y precio del pedido.
• Por qué: para cumplir el pedido (contrato), para enviarte por correo la confirmación y las novedades del envío, y para conservar los registros contables (obligación legal).
• Cuánto tiempo: lo que exige la ley fiscal neerlandesa, en general 7 años.
• Quién lo recibe: nuestro proveedor de alojamiento, nuestros proveedores de correo (para enviar tus confirmaciones y correos de envío), nuestro proveedor de pagos cuando se activen los pagos reales, y la empresa de transporte que entrega tu paquete, cada uno solo para la parte que necesita.
• Lo que pides puede decir algo sobre tu salud (por ejemplo, un champú anticaspa). Lo usamos solo para cumplir el pedido y no para elaborar perfiles.
• Devoluciones: si inicias una devolución o envías un formulario de desistimiento, guardamos tu número de devolución, el número de pedido, los artículos, tu motivo y tu nota (y, en el caso del formulario de desistimiento, tu nombre y correo) mientras se conserven los registros del pedido.
• Valoraciones: si haces clic en una valoración de estrellas en un correo de opinión, guardamos el número de pedido y el número de estrellas, nada más. Solo publicamos una opinión con tu permiso claro.
• Correos en cola: los correos de pedido y de recordatorio esperan en una cola con el destinatario y su contenido hasta que se envían. Cuando te das de baja de los correos de marketing, borramos las filas de marketing no enviadas y vaciamos el contenido de las enviadas. Los correos de pedido no se borran, porque te los debemos.
• Formulario de contacto y correo de soporte: el mensaje, el nombre y el correo que escribes se envían a nuestro buzón de soporte (Zoho). Lo que hacemos con ello se explica más abajo, en Correos de soporte.
• Búsqueda de direcciones: cuando usas las sugerencias de dirección en la compra, el texto que escribes en el campo de dirección se envía desde nuestro servidor a PDOK (el gobierno neerlandés) para direcciones de los Países Bajos, o a Photon (Komoot) para otros países, para buscar la dirección. No lo guardamos, y tu navegador nunca contacta directamente con esos servicios.

Correos de soporte

Cuando escribes a [email protected] o usas el formulario de contacto, una persona de nuestro equipo puede leer tu mensaje. Para ayudarnos a responder rápido, un sistema de IA también lee el mensaje antes de que salga una respuesta.

• Qué: tu mensaje, tu nombre y tu correo, y, para que la respuesta sea concreta, los pedidos que tenemos de esa dirección de correo (artículos, fechas, estado y seguimiento) y los mensajes anteriores de la misma conversación.
• Quién lo lee: el mensaje y esos datos de pedido se envían por una conexión cifrada a Anthropic (la empresa detrás de Claude, con sede en Estados Unidos), que redacta una respuesta para nosotros como nuestro encargado del tratamiento. Cada respuesta indica que se escribió con ayuda de IA. Una persona de nuestro equipo puede leer la conversación, intervenir y enviar respuestas, y decide sobre cualquier cuestión de dinero, artículos dañados, reacciones o tus datos. Las condiciones de conservación, entrenamiento y transferencia de Anthropic son las mismas que en Fotos más arriba.
• Para qué y base jurídica: para responder a tu pregunta y gestionar tu pedido (contrato), y nuestro interés legítimo en responder rápido al correo de soporte. Si nos cuentas algo sobre tu salud, por ejemplo una reacción del cuero cabelludo, decidiste compartirlo con nosotros para que podamos ayudarte.
• Fotos: si envías fotos a soporte, por ejemplo de un artículo dañado, su caja o el código de lote, se guardan junto con la conversación y nuestro proveedor de IA también las lee para describir lo que muestran. Envía fotos del producto, no de personas.
• Cuánto tiempo: conservamos las conversaciones de soporte, incluidas las fotos que envías, durante 24 meses después del último mensaje, y luego las borramos. Si interviene un pedido o una devolución, los registros de pedido y devolución se conservan durante los periodos indicados en Pedidos.
• Sin decisiones automatizadas con efectos jurídicos. La IA nunca aprueba un reembolso, una sustitución ni ninguna petición sobre tus datos; lo hace una persona.
• Puedes pedir una persona en cualquier momento respondiendo y diciéndolo, y puedes pedirnos que borremos una conversación (ver Tus derechos).

Suscripción al correo

Si te suscribes a nuestros correos, por ejemplo para obtener el código del 10 %, marcas una casilla junto al formulario de suscripción. Guardamos tu dirección de correo, la hora, desde dónde te suscribiste (ventana emergente, pie de página, página de resultados o, para clientes, la compra) y la frase exacta de consentimiento que aceptaste.

• La usamos para enviarte el código del 10 % y de vez en cuando consejos capilares. La base jurídica es tu consentimiento explícito, porque lo que miras puede estar relacionado con la salud. Puedes retirarlo en cualquier momento; eso no afecta a lo que hicimos antes.
• Cada correo tiene un enlace de baja. Guardamos tu dirección hasta que te des de baja o hasta que nos pidas borrarla. Después de darte de baja, conservamos solo la dirección y la fecha, marcada como dada de baja, para no volver a escribirte, y borramos las vistas de productos, los datos del carrito y los correos en cola.
• Suscribirse es opcional. En la página de resultados, marcar la casilla es la única forma de que se añada tu dirección. En la compra, la casilla de consejos y ofertas viene marcada por defecto para nuestros propios productos similares (el soft opt-in neerlandés para clientes); desmárcala si no quieres recibirlos. Añadimos tu dirección a nuestra lista solo después de que se pague tu pedido, y solo si la casilla sigue marcada.
• Nuestros proveedores de correo manejan la dirección solo para entregar los mensajes.
• No vendemos ni compartimos tu dirección para el marketing de otras empresas.
• Nuestra suscripción al correo está pensada para personas de 16 años o más.

Correos automáticos

Si te suscribes, también enviamos algunos correos automáticos: una breve serie de bienvenida (con unos días de diferencia), un recordatorio si miraste un producto y no lo compraste, un recordatorio si dejas artículos en el carrito, y, tras un pedido, cómo usar lo que compraste y una revisión. Si haces un pedido y no lo terminas, recibes un único correo de servicio sobre ese pedido. Tras un pedido, es posible que te escribamos sobre productos similares; puedes darte de baja en cada correo.

Para enviar esto, y solo a personas que se suscribieron y marcaron la casilla de consentimiento, guardamos qué productos viste y qué hay en tu carrito, vinculado a tu dirección de correo. No hacemos esto con visitantes que no se suscribieron. Estos datos se borran cuando te das de baja, y los correos en cola se cancelan. El enlace de baja está en cada correo de marketing.

Cuentas e inicio de sesión

Los compradores no necesitan cuenta. Las cuentas existen solo para nuestro equipo y asesores, que usan el back office.

• Cómo inicias sesión: te enviamos por correo un código de un solo uso válido durante 10 minutos, o eliges Iniciar sesión con Google. El código se guarda solo como un valor cifrado y se puede intentar unas cuantas veces.
• Iniciar sesión con Google: Google nos dice tu dirección de correo (que Google ha verificado), tu nombre y tu identificador de cuenta de Google. No recibimos tu contraseña de Google. Usamos estos datos solo para crear y proteger tu cuenta. Google gestiona tu inicio de sesión según su propia política de privacidad. Puedes pedirnos que desvinculemos Google de tu cuenta.
• Base jurídica: nuestro interés legítimo en un acceso controlado y seguro. Para los miembros del equipo guardamos tu nombre, correo, rol, método de inicio de sesión y la hora de tus inicios de sesión.
• Los correos de inicio de sesión pasan por nuestro proveedor de correo, que actúa como nuestro encargado del tratamiento.
• Usamos una cookie de sesión para mantenerte conectado, más algunas cookies auxiliares de corta duración (ver Cookies y analítica). Todas son estrictamente necesarias, así que no requieren consentimiento.
• Mientras tengas la sesión iniciada guardamos un registro de sesión: un token cifrado, la hora de inicio, la hora de tu última actividad, tu dirección IP (IPv6 con su parte de red) y la primera parte de la identificación de tu navegador. Se elimina cuando la sesión termina, caduca o cierras sesión. Los códigos de inicio de sesión (cifrados, con la dirección IP desde la que se pidieron) se eliminan después de 1 día.

Miembros del equipo y asesores

Los miembros del equipo y los asesores (por ejemplo, un contable) que usan nuestro back office reciben una cuenta con un rol que limita lo que pueden ver.

• Qué: nombre, correo de trabajo, rol, método de inicio de sesión, el dispositivo usado para la verificación en dos pasos, y un registro de auditoría de tus inicios de sesión y de lo que descargas, exportas, cambias o apruebas en el back office, con hora y dirección IP.
• Para qué: para darte acceso y mantener seguros los datos personales que tenemos, lo que exige el artículo 32 del RGPD. Base jurídica: nuestro acuerdo contigo y nuestro interés legítimo en la seguridad. No usamos el registro para vigilar el horario de trabajo ni el rendimiento.
• Cuánto tiempo: tu cuenta se borra cuando termina tu rol. Las entradas del registro de auditoría se conservan 2 años. Los registros de pagos y facturas se conservan 7 años porque la ley fiscal lo exige.
• Tus derechos son los mismos que los de cualquier persona (ver Tus derechos).

Análisis de documentos del back office

Nuestro back office permite al propietario y al equipo subir documentos comerciales, como facturas, recibos, extractos bancarios y contratos, y notas breves sobre costes e ingresos.

• Los documentos pueden contener datos personales de proveedores, clientes o personal, como nombres, direcciones y números de cuenta bancaria. Solo los subimos para llevar nuestra contabilidad.
• Para leer los importes, las fechas y las partes, un documento o una nota se envía por una conexión cifrada a Anthropic (la empresa detrás de Claude, con sede en Estados Unidos), que lo analiza por nosotros como encargado del tratamiento. El análisis con IA solo propone valores. Una persona revisa y confirma cada entrada antes de que cuente. Las condiciones de conservación, entrenamiento y transferencia de Anthropic son las mismas que las de Fotos más arriba.
• No enviamos documentos con ningún otro fin. Los archivos originales se guardan cifrados en nuestro servidor y se conservan durante los 7 años (en algunos casos, 10 años) que exige la ley fiscal.
• Base jurídica: obligación legal (llevar la contabilidad) e interés legítimo nuestro en gestionar el negocio de forma eficiente.

Estadísticas de marketing

Nuestro back office lee estadísticas agregadas sobre nuestras propias páginas y anuncios de TikTok, Meta (Facebook e Instagram), Google (Search Console y Ads) y Cloudflare, a través de sus interfaces oficiales, y los totales de pagos de Mollie.

• Recibimos totales como visualizaciones, clics, gasto y seguidores por día. No recibimos datos a nivel de visitante y no relacionamos estas cifras con personas concretas.
• Base jurídica: nuestro interés legítimo en medir cómo funciona nuestro marketing. Las estadísticas son totales agregados sin datos personales.
• El propietario conecta cada cuenta con un inicio de sesión en la plataforma. Los tokens de acceso se guardan cifrados.

Seguridad

Protegemos las cuentas y el back office con: verificación en dos pasos obligatoria para los miembros del equipo, límites en los intentos de inicio de sesión, un rol para cada usuario que limita lo que puede ver, cifrado en tránsito y en reposo para datos sensibles como los números de cuenta bancaria y los documentos subidos, un registro de auditoría de las acciones importantes y una barrera adicional delante del back office. Si una violación de datos pone en riesgo tus derechos, la notificamos a la Autoridad neerlandesa de protección de datos en un plazo de 72 horas y te informamos cuando la ley lo exige.

Quién recibe tus datos

Destinatario	Finalidad	Datos	Base	Ubicación
Anthropic (API de Claude), política de privacidad	Sugerir respuestas del cuestionario (tipo de cabello, cantidad de cabello, línea capilar, preocupaciones visibles) a partir de una foto que eliges	La foto	Tu consentimiento	Estados Unidos (garantías de transferencia mencionadas arriba)
Anthropic (API de Claude), véase Análisis de documentos del back office	Leer importes, fechas y partes en documentos comerciales y notas de costes subidas a nuestro back office	El documento o nota subido	Obligación legal e interés legítimo	Estados Unidos (garantías de transferencia mencionadas arriba)
Google, política de privacidad	Inicio de sesión con Google; estadísticas de marketing de Search Console y Ads	Dirección de correo electrónico, nombre e identificador de cuenta de los miembros del equipo que eligen el inicio de sesión con Google; estadísticas agregadas	Acuerdo o interés legítimo	Estados Unidos y UE (garantías de transferencia)
TikTok y Meta	Estadísticas agregadas sobre nuestras propias cuentas y anuncios	Solo totales, sin datos a nivel de visitante	Interés legítimo	Fuera de la UE (garantías de transferencia)
Meta Platforms Ireland Ltd, política de privacidad	Píxel de Meta y Conversions API: medición de anuncios (solo con tu consentimiento de marketing)	Visualizaciones de página y eventos de compra, valor del pedido, identificadores de producto, correo electrónico con hash en los pedidos, identificadores de cookies, dirección IP, datos del navegador. Nunca datos del cuestionario o de los resultados.	Tu consentimiento	Irlanda; transferencias a EE. UU. con el Marco de Privacidad de Datos UE-EE. UU.
Google Ireland Ltd, política de privacidad	Google Ads solo si está activado (consentimiento de marketing)	Eventos de página y de compra, identificadores de cookies, dirección IP, datos del navegador. Nunca datos del cuestionario o de los resultados.	Tu consentimiento	Irlanda; transferencias a EE. UU. con el Marco de Privacidad de Datos UE-EE. UU.
Microsoft Ireland Operations Ltd, declaración de privacidad	Grabaciones de sesión y mapas de calor de Microsoft Clarity (con consentimiento de analítica)	Clics, desplazamiento y visualizaciones de página, con los campos de formulario y el contenido de los resultados enmascarados; identificadores de cookies, dirección IP, datos del navegador	Tu consentimiento	Irlanda; transferencias a EE. UU. con el Marco de Privacidad de Datos UE-EE. UU.
TikTok Technology Ltd, política de privacidad	Píxel de TikTok y Events API, solo si está activado (consentimiento de marketing)	El mismo tipo de datos que para Meta. Nunca datos del cuestionario o de los resultados.	Tu consentimiento	Irlanda; transferencias con cláusulas contractuales tipo
Hetzner Online GmbH, privacidad	Alojamiento de esta web y de sus datos (pedidos, lista de correo)	Todo lo que guarda la web	Interés legítimo y contrato (encargado del tratamiento)	Alemania
Cloudflare, política de privacidad	DNS, HTTPS, caché, la analítica web sin cookies y, si está activada, la comprobación de bots Turnstile	Datos de conexión, como la dirección IP y las páginas solicitadas	Interés legítimo	Red global; empresa estadounidense con garantías de transferencia
Anthropic (API de Claude), véase Correos de soporte	Borradores de respuestas a correos de atención al cliente y mensajes del formulario de contacto, que una persona de nuestro equipo puede leer e intervenir	Tu mensaje, nombre, dirección de correo electrónico, los pedidos que tenemos con esa dirección y mensajes anteriores de la conversación	Contrato e interés legítimo	Estados Unidos (garantías de transferencia mencionadas arriba)
Zoho Mail	Nuestro buzón de hairmetry.com, el buzón de atención al cliente y la entrega de mensajes	Los mensajes que nos envías y los correos que te enviamos (dirección, contenido)	Contrato, consentimiento o interés legítimo, según el mensaje	Centro de datos de Zoho de nuestra cuenta; Zoho Corporation tiene su sede fuera de la UE, con garantías de transferencia en su acuerdo de tratamiento de datos
Brevo	Envío de correos (correos de resultados, de bienvenida y de recordatorio, correos de pedidos)	Dirección de correo electrónico y contenido del mensaje	Tu consentimiento, o contrato para los correos de pedidos	UE (Francia)
Mollie, privacidad	Pagos, una vez activados los pagos reales	Nombre, correo electrónico, importe, referencia del pedido, datos de pago que introduces en Mollie	Contrato	Países Bajos
Empresa de transporte	Entrega de tu paquete	Nombre, dirección de entrega, número de teléfono si se facilita, correo electrónico para el seguimiento	Contrato	Donde opere la empresa de transporte
PDOK y Photon (Komoot), véase Pedidos	Sugerencias de direcciones en el pago	El texto de la dirección que escribes, sin tu nombre ni otros datos	Interés legítimo	Países Bajos (PDOK), Alemania (Photon)
Trustpilot, privacidad	Reseñas públicas. Obtenemos la valoración pública de Trustpilot; no le enviamos nada sobre ti. Si abres Trustpilot desde nuestra web o desde nuestro correo para escribir una reseña, compartes tus datos con Trustpilot según sus propias normas.	Nada por nuestra parte	No aplicable	Dinamarca / UE

Nuestros proveedores de correo electrónico, Hetzner y Anthropic actúan como encargados del tratamiento en virtud de acuerdos de tratamiento de datos. No compartimos tus datos con nadie más, salvo cuando la ley lo exige.

Alojamiento

El sitio funciona en un servidor de Hetzner en Alemania y se sirve a través de Cloudflare, que gestiona el DNS, HTTPS y la caché, por lo que ve datos de conexión habituales, como tu dirección IP.

Tus derechos

Con arreglo al RGPD puedes preguntar qué datos personales tenemos sobre ti, y pedirnos que los corrijamos, eliminemos o limitemos, pedir una copia que puedas llevarte a otro lugar y oponerte al tratamiento basado en el interés legítimo. Cuando nos basemos en tu consentimiento, puedes retirarlo en cualquier momento. Como no mantenemos cuentas de clientes, respuestas del cuestionario ni fotos, normalmente solo hay datos de tu pedido, devolución, valoración o suscripción al correo, o, para miembros del equipo, datos de la cuenta, que podemos entregarte o eliminar. Cuando la ley nos obliga a conservar registros, como los registros de pedidos y facturas durante 7 años, los guardamos bloqueados solo para uso contable. Si nos escribes por correo electrónico, conservamos esa conversación durante 24 meses desde el último mensaje y después la eliminamos. También puedes presentar una reclamación ante la Autoridad neerlandesa de protección de datos (Autoriteit Persoonsgegevens) o ante la autoridad de tu propio país.

Preguntas

Hairmetry se gestiona desde los Países Bajos. Para preguntas sobre privacidad, escribe a [email protected].