Política de privacidad

Estás a punto de entregar a un desconocido una foto de tu cara para solicitar un documento oficial. Es mucho pedir, y una cara filtrada no se puede cambiar como una contraseña. Esta página explica con exactitud qué recogemos, para qué, quién más tiene acceso, cuánto tiempo se guarda y qué hemos decidido no hacer nunca con ello.

Quién es responsable de tu foto

El responsable del tratamiento de todo lo que subes y del registro de pedido asociado es la empresa que opera IDPhoto.now: BEO TECHNOLOGY SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ. Cuidar de la foto nos corresponde a nosotros, y no trasladamos esa responsabilidad a nadie más. Nuestro proveedor de pagos, Dodo Payments, es un responsable del tratamiento independiente para los datos de pago que gestiona. Consulta «Quién trata tus datos».

Para contactar con el responsable del tratamiento sobre tus datos, usa la página de contacto. Indica tu referencia de pedido si tienes una.

Qué recogemos y para qué

El dato del navegador que guardamos y el que no

Junto a una sesión de navegador podemos guardar una familia de navegador aproximada, para investigar abusos. No es una cadena user-agent ni una huella digital del navegador. Es exactamente una de estas cuatro palabras: mobile, desktop, automated o unknown.

No guardamos direcciones IP en nuestros registros de sesión ni en nuestro registro de auditoría. Es una decisión de diseño deliberada, escrita en el modelo de datos y no en una promesa. Nuestros proveedores de alojamiento y de plataforma llevan sus propios registros de solicitudes, que contienen direcciones IP y se conservan según sus propios plazos. Esos registros son suyos, no nuestros, y no los describiremos como si los controláramos.

Con qué base jurídica los tratamos

Para la foto, las mediciones y el registro del pedido: la ejecución del contrato que celebraste al pedirnos que revisáramos una foto, y la aplicación de medidas precontractuales a petición tuya. Para el registro de auditoría y los controles contra el fraude y el abuso: nuestro interés legítimo en gestionar un servicio capaz de dar cuenta de quién ha tenido acceso a la foto de la cara de un cliente. Para los registros contables: nuestras obligaciones legales.

Dos salvedades honestas. Primero, el análisis de las bases jurídicas es uno de los puntos que la revisión jurídica pendiente debe resolver; lo hemos expuesto tal como lo entendemos en lugar de dejar la sección en blanco. Segundo, una foto de la cara pasa a ser un dato biométrico según el artículo 9 del RGPD cuando se trata con el fin de identificar de manera unívoca a una persona. Nuestro diseño evita deliberadamente esa finalidad: medimos propiedades de la imagen y la geometría de la cara (se cuenta una cara; la inclinación, la posición y el tamaño de la cabeza se miden como números y se comparan con las reglas del documento), no creamos plantillas y el detector nunca reconoce, genera ni edita una cara. No tenemos un dictamen jurídico que confirme este análisis y no vamos a fingir que lo tenemos.

Quién trata tus datos

Esta tabla tiene dos consecuencias importantes, que el lenguaje comercial sobre los comerciantes registrados (merchants of record) suele difuminar.

• Dodo nunca recibe tu foto. Los archivos se entregan solo desde nuestro propio almacenamiento con acceso autenticado, nunca a través del canal de entrega de un proveedor de pagos.
• Que Dodo sea el comerciante registrado no nos exime de ninguna de nuestras obligaciones contigo. Dodo gestiona los impuestos de la transacción y es el comerciante registrado. Todas las obligaciones de protección de datos sobre tu foto, y la exactitud de todo lo que decimos sobre lo que hace el producto, siguen siendo nuestras.

Cookies y analítica

Usamos las cookies que se describen abajo. Cada una hace falta para algo que usas en este sitio, y por eso no hay ningún banner que te pida aceptarlas.

• idp_guest: un token aleatorio, marcado HttpOnly, con SameSite=Lax y una duración de treinta días; de nuestro lado solo guardamos su hash. No contiene datos personales: sirve para que el navegador que creó un pedido pueda volver a él. Sin ella el servicio no funciona.
• locale: el idioma de las páginas que usaste o elegiste por última vez, guardado durante un año. Está marcada HttpOnly y Secure, así que la propia página no puede leerla, y no contiene nada más.
• Las cookies de inicio de sesión de Better Auth, el software de inicio de sesión que usamos, que solo se crean cuando alguien inicia sesión en la página de la cuenta. Están marcadas HttpOnly y mantienen la sesión abierta hasta que la cierras o caduca.

No hay cookies analíticas, píxeles publicitarios ni etiquetas de terceros en ninguna página que muestre una foto o un pedido. No hemos elegido ningún proveedor de analítica y, si algún día lo hacemos, ninguno estará permitido en esas páginas.

Cuánto tiempo guardamos los datos

• Imágenes de un pedido que nunca se pagó: 24 horas.
• Imágenes de un pedido pagado: 30 días, para que puedas volver a descargar el archivo.
• Antes de cualquiera de los dos plazos, cuando lo pidas. En la página de tu pedido hay un botón para eliminar. Consulta «Eliminar tus fotos y datos».

Ambos plazos son decisiones de producto tomadas a la espera de la revisión jurídica, y pueden cambiar cuando se aclaren las cuestiones de derecho del consumo y de contabilidad. No son conclusiones jurídicas.

El registro del pedido sobrevive a la foto, a propósito

Cuando se eliminan las imágenes, el registro del pedido se mantiene con una marca que indica que sus materiales ya no existen. Lo mismo ocurre con los eventos de pago, los registros de reembolso y el registro de auditoría. Ninguno contiene una foto. Los conservamos porque la contabilidad y la gestión de reclamaciones necesitan constancia de lo que se vendió y de lo que ocurrió, y porque hacerlo así evita que esas necesidades se conviertan en un motivo para quedarnos con tu cara.

Hay algo que no vamos a ocultar: hoy las mediciones tomadas de tu foto se conservan tras eliminar la imagen, y algunas son cadenas de texto procedentes de EXIF, como el modelo de cámara y la fecha de captura. Si deberían borrarse junto con la imagen es una cuestión abierta de nuestra revisión jurídica. La indicamos aquí en lugar de omitirla discretamente.

Copias de seguridad

Los datos activos se eliminan de inmediato. Nuestros proveedores guardan sus propias copias de seguridad e instantáneas según sus propios calendarios, que no controlamos y que no usamos para restaurar registros de clientes concretos. No afirmaremos que el borrado es instantáneo en todas las copias de seguridad del mundo, porque no sería cierto.

Transferencias internacionales y lo que no significa «alojamiento en la UE»

Nuestros proveedores son plataformas globales y el tratamiento puede producirse fuera del país en el que estás. El acuerdo de tratamiento de datos de Dodo Payments hace referencia a las cláusulas contractuales tipo de la UE (2021/914) y al anexo del Reino Unido sobre transferencias internacionales de datos (UK International Data Transfer Addendum) para sus propias transferencias. Nuestros propios mecanismos de transferencia y los lugares de tratamiento de cada proveedor aún no están definidos, y no vamos a escribir aquí ninguna frase que dé a entender lo contrario.

Dos afirmaciones que nos negamos expresamente a hacer:

• Alojar en la UE no equivale, por sí solo, a cumplir el RGPD. Es un factor entre muchos. Cualquier sitio que presente una bandera de la UE como declaración de cumplimiento te está vendiendo una sensación.
• Una indicación de ubicación del almacenamiento es solo una indicación, no una garantía de residencia. Nuestro almacenamiento de objetos admite una indicación de ubicación, que el proveedor describe como aplicada en la medida de lo posible (best effort). El único mecanismo que garantiza dónde están los objetos es una restricción jurisdiccional, que se fija al crear por primera vez el bucket de almacenamiento y no se puede cambiar después. Mientras esta página no diga que hemos elegido una, no te hemos hecho ninguna promesa de residencia de los datos.

Lo que nunca hacemos

Cada uno de estos puntos es algo que técnicamente podríamos construir y hemos decidido no hacer. Son compromisos, no aspiraciones.

• No entrenamos modelos con fotos de clientes. Ni los nuestros ni los de nadie.
• No creamos una base de datos de reconocimiento facial. En ninguna parte del sistema hay un índice que lleve de una cara a una persona.
• No creamos ni conservamos plantillas biométricas ni vectores faciales (embeddings). Los valores que miden nuestras comprobaciones se guardan como números simples en las filas de comprobación de tu informe: por ejemplo, el número de caras, la posición de los ojos, la inclinación de la cabeza, la altura de la cabeza como proporción de la foto, la distancia en píxeles entre los ojos, el rango de oscuro a claro en la cara y un nivel de confianza para cada resultado, incluidas las respuestas del modelo de imagen. Las fotos nuevas no guardan ninguna guía de recorte. Las más antiguas guardaban la posición de la cara usada para encuadrar la vista previa, y se borra junto con la foto. Cuando el plazo de conservación elimina tus fotos, las imágenes guardadas se borran y esos valores quedan marcados como pertenecientes a un archivo eliminado, pero los números en sí, como todos los registros de pedidos, se conservan para la contabilidad y las disputas. Sigue sin haber puntos faciales, plantillas, embeddings ni reconocimiento.
• No deducimos características sensibles a partir de una foto (ni origen étnico, ni salud, ni religión, ni edad, ni género). Nada en el proceso lo intenta. Medimos el color de la piel de la cara solo para juzgar si la piel tiene brillos, y para atenuar esos brillos si lo pides. No deducimos nada de él.
• No vendemos, alquilamos ni compartimos fotos con anunciantes, intermediarios de datos ni nadie ajeno a los encargados indicados arriba.
• Nunca ponemos fotos, bytes de imagen, tokens de acceso ni direcciones de correo completas en los registros técnicos ni en las filas de auditoría. En las filas de auditoría, las direcciones de correo se enmascaran con un formato como a*****@example.com.
• No reutilizamos una foto en varios pedidos. Un archivo subido pertenece a un solo pedido y a ningún otro.
• Nadie mira tu foto salvo que se lo pidas a nuestro equipo de atención, y cada consulta del personal en nuestra aplicación queda anotada en el registro de auditoría con la cuenta que la hizo.
• No cambiamos los rasgos ni la forma de la cara. Solo atenuamos los brillos de la piel si lo pides. No generamos nada ni ampliamos ninguna foto. En los documentos polacos, españoles, franceses y argentinos podemos sustituir el fondo por un color liso y girar la foto entera para enderezar una cabeza inclinada. En los pasaportes mexicanos y en el pasaporte colombiano en línea podemos sustituir el fondo por blanco. En todos estos documentos también podemos cambiar una vez el brillo o el contraste de la foto entera y reducir una vez un tono de color causado por la luz. Si hicimos alguna de estas cosas, el informe lo dice. Cuando el organismo prohíbe las fotos editadas, solo sustituimos el fondo o corregimos el brillo o el contraste si lo pides. En una solicitud en papel de pasaporte británico podemos corregir el brillo o el contraste una vez sin preguntarte, porque HM Passport Office indica a sus examinadores que acepten ese cambio. Más información: Los estándares con los que comprobamos.
• Nunca te pedimos que nos envíes una foto por correo electrónico. Consulta la página de contacto.

Datos de ubicación en tu propio archivo

Como te devolvemos tu archivo original sin cambios, se conservan en él todos los metadatos que escribió tu cámara, incluidas las coordenadas GPS si tu teléfono las registraba. No leemos esas coordenadas ni las guardamos, pero tampoco las eliminamos, porque eso supondría modificar el archivo original.

Si te importa, desactiva la ubicación de la app de cámara antes de tomar la foto, o elimina la ubicación de la imagen en tu teléfono antes de subirla. La foto final y las hojas para imprimir que generamos a partir de tu archivo no contienen metadatos de la cámara, tampoco la ubicación.

Menores

Uno de los documentos que admitimos, la renovación en línea del pasaporte estadounidense, solo está abierta a solicitantes de 25 años o más según las normas de elegibilidad del State Department. También vendemos un perfil infantil: la foto del pasaporte polaco para niños, solicitud en línea. No hacemos marketing dirigido a menores. No recopilamos la fecha de nacimiento ni podemos verificar la edad de nadie, así que no diseñamos nada en torno a una verificación de edad que no tenemos. Si el perfil infantil necesita un aviso aparte es una cuestión abierta de la revisión legal.

Tus derechos y cómo ejercerlos

Según dónde vivas, tienes algunos o todos estos derechos sobre tus datos personales: obtener una copia, que se rectifiquen, que se supriman, limitar su tratamiento u oponerte a él, recibirlos en un formato portable y presentar una reclamación ante tu autoridad de protección de datos. No te ponemos trabas para ejercer ninguno de ellos.

• La eliminación de tus fotos la haces tú y es inmediata. Abre la página de tu pedido y pulsa el botón de eliminar. En «Eliminar tus fotos y datos» se explica exactamente qué se elimina y qué se conserva.
• Todo lo demás se gestiona a través de la página de contacto. Para ejercer cualquiera de los demás derechos, contáctanos a través de la página de contacto e indica tu referencia de pedido (empieza por ord_). Por favor, no adjuntes la foto.

Te pediremos que demuestres que la solicitud es tuya, con los menos datos posibles, normalmente vinculando la solicitud a un pedido que ya puedes abrir. No te pediremos una copia escaneada de tu pasaporte ni una foto tuya para demostrar quién eres. Si de verdad no podemos vincular una solicitud a un pedido, te lo diremos en lugar de borrar a ciegas los datos de otra persona.

Seguridad

En resumen: los archivos de imagen están en un almacenamiento de objetos privado sin ninguna dirección pública; los identificadores son valores aleatorios largos y conocer uno no autoriza nada por sí solo; los tokens de acceso se guardan solo como hashes; cada página privada está marcada para que no se guarde en caché ni se indexe; y los enlaces que enviamos por correo son de un solo uso y caducan en una hora. La versión completa, incluidas las carencias que conocemos, es un documento de trabajo y no un texto comercial, y esta página se actualizará a medida que cambie.

De qué no podemos protegerte

Sería fácil quedarse en la sección anterior. Estos son los límites, dichos con claridad: un teléfono o un navegador comprometido, donde la foto queda expuesta antes de que nos llegue; alguien con control prolongado de tu buzón de correo; cualquier cosa que hagas con un archivo después de descargarlo; una orden legal dirigida a nosotros o a uno de nuestros proveedores; y un fallo de seguridad grave en un proveedor. Reducimos el alcance de los daños (almacenamiento privado, claves imposibles de adivinar, conservación breve), pero no afirmamos haberlo eliminado.

Cambios en este aviso

Cuando esta página cambie de forma significativa, la fecha de arriba cambiará con ella. Cuando concluya la revisión jurídica, se retirará el aviso de borrador y las cuestiones abiertas de esta página recibirán respuesta en lugar de borrarse discretamente.

Páginas relacionadas

• Eliminar tus fotos y datos
• Condiciones del servicio
• Contacto