Política de privacidad

1. Responsable

El responsable del tratamiento de datos según el Reglamento General de Protección de Datos (RGPD) es:

Sviatoslav Karapka
Bahnstraße 36
16727 Velten
Alemania
E-Mail: info@lushly.world
Teléfono: +49 152 0677 7974

2. Información general sobre el tratamiento de datos

Lushly es un marketplace online que conecta a clientes finales con salones de belleza y bienestar independientes. Procesamos los datos personales de nuestros usuarios exclusivamente en la medida en que sea necesario para proporcionar un sitio web funcional, así como nuestros contenidos y servicios.

El tratamiento de los datos personales de nuestros usuarios se realiza regularmente solo con el consentimiento del usuario o para el cumplimiento de un contrato. Se aplica una excepción en aquellos casos en los que no es posible obtener un consentimiento previo por razones fácticas y el tratamiento de los datos está permitido por disposiciones legales.

Las bases legales son el Art. 6, apdo. 1, letra a (consentimiento), letra b (ejecución de un contrato), letra c (obligación legal) y letra f del RGPD (interés legítimo).

3. ¿Qué datos recopilamos?

3.1 Al registrarse como cliente

• Nombre y apellidos
• Dirección de correo electrónico
• Número de teléfono (opcional)
• Contraseña (guardada cifrada con bcrypt)
• Foto de perfil (opcional, subida por el usuario o a través de Google/Facebook al iniciar sesión con OAuth)
• Preferencia de idioma

3.2 Al registrarse como salón / profesional

• Nombre de la empresa, dirección, teléfono, dirección de correo electrónico
• Descripción, fotos, precios, servicios, horarios de apertura
• Al activar Stripe: datos bancarios y datos fiscalmente relevantes — almacenados exclusivamente en Stripe, no en nosotros.
• Perfil maestro (Nombre, Foto, Idiomas, Experiencia, Portfolio) — configurado por el operador del salón

3.3 Al realizar una reserva

• Nombre, dirección de correo electrónico, número de teléfono del cliente que reserva
• Servicio seleccionado, fecha, hora, precio, duración
• Para solicitudes de consulta (por ejemplo, tatuajes): descripción de la idea, medidas/zona del cuerpo, si es necesario, fotos de referencia.
• Para pagos online: no guardamos datos de tarjeta — el procesamiento lo realiza exclusivamente Stripe (certificado PCI-DSS Nivel 1)
• En caso de suscripción de salón de pago: Nombre, dirección de correo electrónico y dirección de facturación para la contabilidad, así como un identificador de cliente y de suscripción de Stripe. Los medios de pago (tarjeta, mandato SEPA) se almacenan exclusivamente en Stripe.
• Valoraciones (1–5 estrellas) y comentarios después de la reserva completada
• Mensajes de chat entre cliente y salón (a través de la función de mensajería interna de la plataforma).

3.4 Datos recopilados automáticamente (registros del servidor)

• Dirección IP (anonimizada después de 7 días)
• Tipo y versión del navegador, sistema operativo
• Fecha y hora de acceso.
• URL de referencia (página visitada anteriormente)
• Región geográfica (aproximada, basada en la IP a nivel de ciudad)
• ID de sesión para análisis propios de la plataforma (sin referencia personal)

Estos datos sirven para la seguridad y el análisis propio de la plataforma (tasa de rebote, fuentes de tráfico, rendimiento). La transferencia a servicios externos como Google Analytics o Meta solo se realiza si el usuario ha dado su consentimiento expreso en el banner de cookies (cookies de análisis para Google Analytics o cookies de marketing para el píxel de Meta).

3.5 Datos de ubicación (Geolocalización)

Con el consentimiento expreso del usuario (permiso del navegador "Buscar cerca"), se utiliza la ubicación aproximada para mostrar salones cercanos. La ubicación se procesa exclusivamente en el lado del cliente y no se almacena en nuestra base de datos.

4. Finalidad y base legal del tratamiento

5. Cesión a terceros (encargados del tratamiento)

Solo compartimos datos en los siguientes casos y en base a los correspondientes contratos de encargo de tratamiento (contratos de TTO) de conformidad con el Art. 28 del RGPD.:

• IONOS SE (Montabaur, Deutschland) — Hosting de la plataforma. Los servidores están en Alemania. Conforme al RGPD.
• Stripe Payments Europe, Ltd. (Dublin, Irland) — Procesamiento de pagos. Certificado PCI-DSS Nivel 1, conforme al RGPD. Privacidad de Stripe
• Salón reservado — recibe nombre, contacto y detalles de la reserva para el cumplimiento del contrato. Los salones son responsables independientes según el RGPD.
• Google Ireland Limited (Gemini API) — Traducciones automáticas de textos de interfaz de usuario y descripciones de salones. Se transmiten exclusivamente contenidos públicos (por ejemplo, descripciones de salones), no datos personales de los clientes finales. Privacidad de Google
• Groq, Inc. (USA) — AI-Insights para propietarios de salones. Se transmiten exclusivamente estadísticas agregadas y anonimizadas. Las cláusulas contractuales tipo según el Art. 46 del RGPD garantizan la protección de datos.
• Meta Platforms Ireland Limited (Meta Pixel) — Solo con el consentimiento explícito en el banner de cookies. Se utiliza exclusivamente para campañas de marketing. Privacidad de Meta
• Google Ireland Limited (Google Analytics 4) — Solo con el consentimiento expreso en el banner de cookies (cookies de análisis). Se utiliza para el análisis anónimo de alcance y uso; las direcciones IP se acortan/anonimizan. Transferencia de datos a EE. UU. basada en el Marco de Privacidad de Datos UE-EE. UU. y/o las Cláusulas Contractuales Estándar de la UE. Privacidad de Google
• Proveedor SMTP (Proveedor WP Mail SMTP) — Envío de correos electrónicos transaccionales (confirmaciones de reserva, recordatorios, restablecimiento de contraseña).
• n8n (self-hosted, EU) — Flujos de trabajo de automatización. Servidores en la UE.

No se produce ninguna otra transferencia a terceros. En particular, no vendemos datos.

5a. Uso de IA (Inteligencia Artificial)

Utilizamos inteligencia artificial (IA) en dos áreas:

1. Traducciones: Para ofrecer nuestros contenidos en varios idiomas, utilizamos el sistema de IA Google Gemini (Google Ireland Limited). Las traducciones de contenidos que no estén en alemán pueden haber sido creadas de forma automática; la versión original en alemán es siempre la de referencia.

2. Chat de Soporte de IA: Nuestro chat de soporte (en el Messenger y en la página de ayuda) es respondido por un asistente de IA (chatbot). Al inicio del chat se te indicará claramente que te estás comunicando con un sistema de IA (Art. 50 Reglamento de IA). Para ayuda personal, puedes contactar en cualquier momento con info@lushly.world.

Base legal: Art. 6, apdo. 1, letra b del RGPD (ejecución de un contrato) y letra f del RGPD (interés legítimo en un soporte eficiente y una provisión multilingüe).

5b. Tablón de anuncios (Empleos y Espacios)

En nuestra sección de anuncios («Empleos y Espacios»), los usuarios registrados pueden publicar sus propios anuncios (p. ej., ofertas de empleo, alquiler de espacios y puestos de trabajo) y responder a anuncios de otros. Se procesan los siguientes datos:

Crear anuncio: Título, descripción, categoría, ubicación, precio, así como los datos de contacto que nos proporciones (correo electrónico y/o número de teléfono) e imágenes subidas opcionalmente. Estos datos son —a excepción de los datos de contacto— visibles públicamente. Tu correo electrónico de contacto no se mostrará directamente a los interesados, sino que solo se utilizará para reenviar las consultas.

Responder a un anuncio: Cuando respondas a un anuncio a través del formulario de contacto, tu nombre, tu dirección de correo electrónico y tu mensaje se reenviarán por correo electrónico al anunciante para que este pueda responderte. Los datos de contacto de ambas partes permanecerán ocultos en la plataforma.

Lista de favoritos (Favoritos): Cuando marques anuncios como favoritos, guardaremos las identificaciones de los anuncios correspondientes en tu cuenta de usuario para que puedas encontrarlos más tarde.

Búsquedas guardadas y notificaciones: Puedes guardar criterios de búsqueda (p. ej., categoría, ubicación, palabra clave). Guardamos estos criterios en tu cuenta y te enviamos una notificación por correo electrónico en cuanto un nuevo anuncio coincida con tu búsqueda guardada. Puedes detener estas notificaciones en cualquier momento eliminando la búsqueda guardada de tu cuenta.

Estadísticas de visitas: Para mostrar el número de visitas de un anuncio, almacenamos temporalmente un valor seudonimizado (hash) de tu dirección IP para evitar recuentos múltiples. No se identifica a ninguna persona individual en este proceso.

Denuncias: Si denuncias un anuncio, procesamos el motivo indicado y una nota opcional para revisar el anuncio.

Base legal: Art. 6, apdo. 1, letra b) del RGPD (implementación de las funciones solicitadas por ti) y letra f) del RGPD (interés legítimo en un mercado de anuncios funcional y libre de abusos). Las notificaciones de búsquedas guardadas se basan en la letra b) y en tu uso revocable en cualquier momento de esta función.

Visibilidad de tus datos: El título, la descripción, la categoría, la ubicación, el precio y las imágenes de un anuncio son públicamente visibles y pueden ser indexados por los motores de búsqueda. Tu dirección de correo electrónico y tu número de teléfono NO se muestran públicamente; sirven exclusivamente para la entrega de notificaciones. El contacto se realiza a través del área de mensajes interna.

Tras la caducidad: Los anuncios caducados se eliminan de la vista general y de la búsqueda, pero permanecen en tu cuenta hasta que los elimines. Si eliminas un anuncio, eliminaremos su contenido e imágenes. Las conversaciones ya mantenidas no se verán afectadas, para que ambas partes conserven el historial.

Denuncias: Si denuncias un anuncio, guardaremos la denuncia con la fecha y hora y —si has iniciado sesión— tu ID de usuario. Esto es necesario para detectar denuncias múltiples y mantener el proceso rastreable. Base legal: Art. 6, apdo. 1, letra c) del RGPD en relación con el Art. 16 del Reglamento (UE) 2022/2065, así como el Art. 6, apdo. 1, letra f) del RGPD. Duración del almacenamiento: doce meses.

5c. Asistente de Telegram

Los salones y profesionales pueden conectar voluntariamente su cuenta con nuestro asistente de Telegram para recibir y responder directamente a las solicitudes de reserva. La conexión es opcional y revocable en cualquier momento, en la cuenta bajo "Asistente de Telegram" o con el comando /stop en el chat.

Se procesan: el ID de chat de Telegram, el nombre de visualización allí almacenado, el idioma seleccionado, así como el contenido de las notificaciones (cita, servicio, nombre abreviado del/de la cliente, mensajes del chat). Los nombres completos, números de teléfono y direcciones de correo electrónico no se transmiten intencionadamente a Telegram.

Transferencia a un tercer país: El proveedor es Telegram FZ-LLC, Dubái, Emiratos Árabes Unidos. No existe una decisión de adecuación de la Comisión Europea para los EAU. La transferencia se realiza sobre la base de tu consentimiento expreso según el Art. 49, apdo. 1, letra a) del RGPD, que otorgas al conectar la cuenta. Sin conexión, no se realiza ninguna transferencia.

Historial de clientes en el asistente: Al acceder a una reserva, el salón puede consultar el historial previo de este/a cliente en su propio salón: número de visitas, fecha de la última visita, servicios utilizados, notas propias del salón y ausencias. Se trata de datos que el salón ya gestiona; simplemente se presentan de otra manera.

Base legal: Art. 6, apdo. 1, letra a) del RGPD (consentimiento) para la transferencia a Telegram, Art. 6, apdo. 1, letra b) del RGPD para la visualización del historial. Duración del almacenamiento: hasta la desconexión.

5d. Protección contra accesos no autorizados

Para proteger las cuentas, registramos los intentos de inicio de sesión fallidos con la dirección IP, la hora y el nombre de usuario utilizado. Si se acumulan intentos fallidos desde una zona de red, esta se bloqueará temporalmente, de forma progresiva, desde una hora hasta siete días.

Este bloqueo es una medida automatizada, pero no tiene efecto legal en el sentido del Art. 22 del RGPD: solo se ve afectado el acceso a la pantalla de inicio de sesión, no un contrato existente. Los bloqueos caducan automáticamente y pueden levantarse de inmediato si se solicita.

Base legal: Art. 6 párr. 1 lit. f del RGPD. Nuestro interés legítimo reside en proteger las cuentas de nuestros/as usuarios/as de posibles apropiaciones. Duración del almacenamiento: 90 días.

5e. Confirmación por correo electrónico, lista de favoritos y lista de espera

Confirmación por correo electrónico: Tras el registro, enviamos un enlace de confirmación. Se guarda un token de un solo uso en formato cifrado, así como la hora de envío. Sin confirmación, no es posible publicar anuncios. Base legal: Art. 6 párr. 1 lit. b y lit. f del RGPD.

Notificaciones sobre anuncios guardados: Si guardas un anuncio, almacenamos su identificador y la hora. Esto genera dos tipos de mensajes: una notificación si el precio o el estado del anuncio cambia, y un recordatorio único después de dos días, en caso de que aún no hayas contactado a la persona que lo ofrece. Ambas opciones pueden desactivarse en Cuenta → Correos electrónicos. Base legal: Art. 6 párr. 1 lit. f del RGPD.

Lista de espera: Si una cita está ocupada, puedes apuntarte a la lista de espera. Se guardan la fecha de la cita deseada, los datos de contacto y un token de un solo uso para el enlace de confirmación. Eliminación después de 30 días o con la cancelación. Base legal: Art. 6 párr. 1 lit. b del RGPD.

5f. Revisión de imágenes subidas

Cada imagen subida se comprueba automáticamente: en busca de metadatos que indiquen una generación por IA (C2PA, IPTC), de componentes de programa incrustados para la protección contra software malicioso, y de coincidencia con imágenes de IA ya conocidas.

Con este fin, calculamos a partir de la imagen un valor numérico corto que describe su estructura de brillo aproximada. La imagen no puede reconstruirse a partir de este; sirve exclusivamente para la comparación. No se realiza reconocimiento facial ni de personas.

Base legal: Art. 6 párr. 1 lit. c del RGPD (obligación de etiquetado según el Art. 50 del Reglamento de IA) y Art. 6 párr. 1 lit. f del RGPD (seguridad de nuestros sistemas).

6. Cookies y tecnologías similares.

Utilizamos exclusivamente cookies técnicamente necesarias (sesiones de inicio de sesión, seguridad, estado de consentimiento de cookies, selección de idioma). Estas cookies son necesarias para el funcionamiento de la plataforma y se instalan sin consentimiento de acuerdo con el § 25, apdo. 2 de la TDDDG.

Cookies de marketing (Meta Pixel) solo se instalan después de tu consentimiento explícito a través de nuestro banner de cookies. El consentimiento puede ser revocado en cualquier momento.

Para el análisis propio de la plataforma, almacenamos adicionalmente datos anonimizados en nuestra propia base de datos (de origen).

Google Analytics 4. Con tu consentimiento expreso (cookies de análisis en el banner de cookies), utilizamos Google Analytics 4 (proveedor: Google Ireland Limited, Gordon House, Barrow Street, Dublín 4, Irlanda). Google Analytics utiliza cookies para evaluar el uso del sitio web —por ejemplo, visitas a páginas, duración de la estancia, dispositivos utilizados y la ubicación geográfica aproximada. Las direcciones IP se procesan de forma anonimizada o abreviada. Los datos pueden ser transmitidos a servidores de Google –también en EE. UU.–; la transmisión se realiza sobre la base del Marco de Privacidad de Datos UE-EE. UU. y/o las Cláusulas Contractuales Tipo de la UE de conformidad con el Art. 46 del RGPD. La base legal es tu consentimiento de conformidad con el Art. 6, apdo. 1, letra a del RGPD. Puedes revocar tu consentimiento en cualquier momento con efecto para el futuro a través de la configuración de cookies. Política de privacidad de Google

7. Duración del almacenamiento

• Cuenta de cliente: hasta su eliminación por el usuario
• Datos de reserva: 10 años (obligación de conservación fiscal según el § 147 AO).
• Valoraciones: permanentes, hasta que el usuario las elimine (pseudonimización posible).
• Sesiones de analíticas: 12 meses
• Registros del servidor: 30 días
• Direcciones IP: 7 días, después anonimización
• Mensajes de chat: hasta la eliminación de la cuenta.
• Consentimiento de marketing por correo electrónico: hasta revocación

8. Tus derechos como interesado

Como persona afectada, tiene derecho en todo momento a:

• Información (Art. 15 DSGVO) — Qué datos procesamos sobre usted
• Rectificación (Art. 16 DSGVO) — Corrección de datos erróneos
• Eliminación (Art. 17 DSGVO) — Derecho al olvido
• Restricción del tratamiento (Art. 18 DSGVO)
• Portabilidad de datos. (Art. 20 DSGVO) — Datos en formato legible por máquina.
• Oposición (Art. 21 DSGVO) — contra el procesamiento basado en interés legítimo
• Revocación del consentimiento (Art. 7 Abs. 3 DSGVO) — con efecto para el futuro

La eliminación de la cuenta es posible en cualquier momento en: Mein Konto → Ajustes
Las solicitudes relativas a los derechos de protección de datos deben dirigirse por correo electrónico a: info@lushly.world

9. Derecho de reclamación ante una autoridad de supervisión

Usted tiene derecho, conforme al Art. 77 del RGPD, a presentar una reclamación ante una autoridad de control de protección de datos — en particular, en el Estado miembro de su residencia habitual, su lugar de trabajo o el lugar de la supuesta infracción.

El responsable para nosotros es:
La Delegada Regional de Protección de Datos y del Derecho de Acceso a Expedientes de Brandeburgo
Stahnsdorfer Damm 77
14532 Kleinmachnow
Teléfono: +49 33203 356-0
https://www.lda.brandenburg.de/

10. Seguridad de datos.

Utilizamos cifrado SSL/TLS (HTTPS) para toda la transferencia de datos. Las contraseñas se cifran con bcrypt y nunca se guardan en texto claro. Los datos de pago son procesados exclusivamente por Stripe (PCI-DSS Nivel 1). Las copias de seguridad se almacenan cifradas.

11. Transferencia a terceros países

En la medida en que los datos se transfieran a terceros países, esto se hará sobre una de las siguientes bases. A EE. UU. — por ejemplo, a través de Groq, el píxel de Meta o Google Analytics — basándose en las cláusulas contractuales tipo de la UE conforme al Art. 46 del RGPD y/o una decisión de adecuación conforme al Art. 45 del RGPD (por ejemplo, el Marco de Privacidad de Datos UE-EE. UU.). A los Emiratos Árabes Unidos — exclusivamente a través del asistente opcional de Telegram, véase la sección 5c — basándose en tu consentimiento expreso conforme al Art. 49 párr. 1 lit. a del RGPD; para los EAU no existe una decisión de adecuación. Sin la conexión del asistente de Telegram, esta transferencia no se produce. Revisamos a los destinatarios cuidadosamente.

12. Decisiones automatizadas, elaboración de perfiles

No utilizamos procesos de toma de decisiones totalmente automatizados con efectos legales. Los informes semanales generados automáticamente para los propietarios de salones tienen un propósito exclusivamente informativo y y no constituyen una decisión legalmente vinculante.

13. Notificaciones push (PWA)

Lushly es una Progressive Web App (PWA). Las notificaciones push solo se envían tras el consentimiento explícito del usuario (permiso del navegador). El consentimiento puede revocarse en cualquier momento en la configuración del navegador.

14. Inicio de sesión social (OAuth de Google / Facebook)

Al registrarte a través de Google o Facebook, se nos transmitirán los siguientes datos: nombre, dirección de correo electrónico e imagen de perfil. No se recuperarán otros datos de tu perfil de Google/Facebook. Además, se aplican las políticas de privacidad de Google y Meta, respectivamente.

15. Cambios en esta Política de Privacidad

Nos reservamos el derecho de adaptar esta política de privacidad ocasionalmente para ajustarla a los requisitos legales actuales o para implementar cambios en nuestros servicios. La versión más reciente estará siempre disponible en esta página. En caso de cambios sustanciales, se informará a los usuarios registrados por correo electrónico.