política de privacidad

Al registrarse: nombre, correo electrónico, número de teléfono, contraseña (almacenada como un hash de bcrypt, nunca como texto sin formato), tipo de cuenta (TALENTO/EMPRESA/MIEMBRO) y para talentos y empresas: disciplina, subcategoría, ubicación, servicios ofrecidos y campos de perfil básico.

Documentos KYC: pasaporte/identificación de los Emiratos/licencia comercial de la empresa/selfies, cargados para verificación de identidad. Los documentos KYC se cifran en reposo, solo acceden a ellos el nivel de administrador COMPLETO/SOPORTE para una revisión de coincidencias y nunca se envían a las respuestas del perfil público.

Datos operativos: reservas, ofertas, trabajos que publicas o a los que postulas, transacciones (solo ID de Stripe; no almacenamos números de tarjetas completos), mensajes entre usuarios de la plataforma, notificaciones, reseñas, informes, lista de deseos + búsquedas guardadas y contenido del carrito (guardado en tu cuenta para que te sigan entre dispositivos).

Datos de notificaciones push: si habilita las notificaciones push, almacenamos el punto final que emite su navegador y sus claves de cifrado en su cuenta, únicamente para enviar la notificación. Deshabilitar las notificaciones las elimina.

Auditoría + datos de seguridad: IP de inicio de sesión/agente de usuario, recuentos de inicios de sesión fallidos, versión del token, marcas de tiempo de bloqueo de cuenta, contadores de límite de velocidad y un registro de auditoría de administrador que registra qué administrador abrió qué registro y cuándo.

Para ejecutar la plataforma: autenticarlo, enrutar reservas + pagos, enviar notificaciones + recibos por correo electrónico (mediante Reenvío), traducir contenido público (mediante Google Translate) y evitar fraudes. Los datos KYC se utilizan únicamente para verificación de identidad + moderación administrativa; No utilizamos OCR de documentos para marketing.

Nuestras bases legales para el procesamiento son: ejecución de un contrato (operación de su cuenta, reservas, pagos), obligación legal (KYC/antilavado de dinero, mantenimiento de registros fiscales y contables), intereses legítimos (prevención de fraude, seguridad de la plataforma, análisis anónimos) y consentimiento (cookies no esenciales y comunicaciones de marketing opcionales, que puede retirar en cualquier momento).

La información de contacto del talento (correo electrónico, teléfono, nombre completo) queda sellada de las empresas hasta que se firma un Contrato de Trabajo. La identidad de la empresa está sellada a los talentos en la fuente pública de empleo (las publicaciones se muestran como "Hashtags publicados en un trabajo" o se anonimizan por subtipo de empresa). Las notas administrativas, las banderas internas, la información de contacto de los padres (para talentos menores de 18 años), el IBAN de pago/detalles bancarios y los saldos de crédito básicos nunca aparecen en las superficies públicas.

Los administradores de la plataforma pueden abrir registros que no son públicos, y vale la pena decirlo claramente en lugar de dejarlo a inferencias:

• Mensajes privados: un administrador del nivel requerido puede leer el hilo de mensajes entre dos usuarios al investigar una disputa, un informe o un problema de seguridad. Cada una de estas vistas se escribe en el registro de auditoría del administrador con la identidad del administrador y la hora.
• Mensajes eliminados ("retirados"): un mensaje que usted elimina desaparece para el otro participante, pero se retiene y permanece visible para los administradores, de modo que la parte que lo causó no puede borrar un caso de disputa o acoso. No trate la eliminación de un mensaje como si lo borrara.
• Documentos KYC: solo nivel de SOPORTE/COMPLETO, para revisión de coincidencias.
• Detalles de transacciones y pagos: para reembolsos, disputas y contabilidad.

Los administradores están sujetos a una política interna y su acceso queda registrado. Si cree que un administrador ha hecho un uso indebido del acceso, escriba a privacidad@hashtagsstudios.com.

Un tutor confirmado de un talento menor de 18 años puede ingresar a la cuenta de ese niño para operarla. Mientras está activado, el tutor ve y puede actuar sobre los datos del niño: perfil, reservas, ofertas y mensajes. El cambio se registra y una cuenta infantil administrada no tiene un inicio de sesión propio. Los datos de contacto de los padres recopilados durante el flujo de aprobación de los padres nunca se muestran en superficies públicas.

• Stripe: pagos (pago, transferencias Connect), verificación de identidad, reembolsos. La política de privacidad de Stripe se aplica a los datos que procesa en nuestro nombre.
• Reenviar: entrega de correo electrónico transaccional.
• Google Translate (google-translate-api-x): traducción automática de contenido público en nuestras configuraciones regionales admitidas.
• Hostinger — hosting + base de datos MySQL.
• Cloudflare / image CDN: entrega de imágenes públicas.

No vendemos datos de usuarios a terceros con fines publicitarios ni para ningún otro fin.

Consulte la política de Cookies dedicada. Usamos cookies de sesión para autenticación, una cookie local para preferencia de idioma, una cookie de país para indicar desde dónde está comprando y, solo con su consentimiento, una tienda funcional de "vistos recientes" y análisis propios. Los análisis son anónimos, se escriben en nuestra propia base de datos y nunca se comparten con terceros; La plataforma no carga cookies de seguimiento o publicidad de terceros.

Las contraseñas se almacenan como hashes de bcrypt y se comparan con la lista de infracciones Have I Been Pwned durante el registro y el cambio. La autenticación de dos factores (TOTP) opcional está disponible en cada tipo de cuenta. Los documentos KYC están cifrados en reposo. Las acciones del servidor están protegidas por CSRF y cada respuesta conlleva una estricta Política de seguridad de contenido. El inicio de sesión, el envío de KYC, el envío de mensajes y el envío de informes tienen una velocidad limitada y diez inicios de sesión fallidos bloquean una cuenta durante treinta minutos.

Si se produce una violación de datos personales que pueda resultar en un riesgo para sus derechos, notificaremos a la Oficina de Datos de los EAU y, cuando sea necesario, a los usuarios afectados, sin demoras indebidas.

Cuentas activas: datos retenidos mientras la cuenta esté activa. Después del cierre de la cuenta: la PII se anonimiza dentro de los 90 días, excepto cuando se conserva por motivos legales, fiscales o de prevención de fraude (los registros financieros se conservan durante 7 años según las normas de contabilidad de los EAU). Los registros de auditoría de administración se conservan según la configuración de la plataforma (predeterminado 12 meses).

• Acceso — solicita una copia de tus datos a través de /contacts.
• Corrección: edite su perfil en su panel de control o solicite una corrección para los campos que no puede editar usted mismo.
• Eliminación: solicita la eliminación de la cuenta a través de /contacts. Aceptamos solicitudes dentro de los 30 días, sujeto a obligaciones legales de retención.
• Portabilidad: las exportaciones de perfil de talento e historial de reservas están disponibles previa solicitud.
• Retiro de consentimiento: deshabilite las notificaciones opcionales desde su configuración o desactive las cookies analíticas/funcionales/de marketing en el banner o en el panel Administrar cookies en la página de Cookies.
• Objeción + restricción: objetar o solicitar que restrinjamos el procesamiento en función de intereses legítimos.
• Queja: puede presentar una queja ante la Oficina de datos de los EAU (o, si se encuentra en la UE, el EEE o el Reino Unido, ante su autoridad supervisora ​​local) si cree que sus datos han sido maltratados.

No tomamos decisiones exclusivamente automatizadas que produzcan efectos legales o igualmente significativos sobre usted sin una revisión humana.

Los talentos menores de 18 años requieren la aprobación de los padres. Los miembros deben tener al menos 13 años. No recopilamos intencionalmente datos de ninguna persona menor de 13 años.

La aplicación Hashtags Studio para iOS y Android muestra esta misma plataforma dentro de un shell nativo. Todo lo contenido en esta política también se aplica a la aplicación. Además: (a) Notificaciones automáticas: si las permite, almacenamos un token de dispositivo para su cuenta para que podamos enviarle alertas de reservas, mensajes, competiciones y eventos. La entrega se realiza a través del servicio Firebase Cloud Messaging (Google) y Apple Push Notification. Puedes desactivar las notificaciones en la pestaña Yo de la aplicación o en la configuración de tu teléfono, y el token se elimina cuando cierras la sesión. (b) Cámara y biblioteca de fotografías: se usa solo cuando elige agregar una fotografía a su portafolio, tarjeta de presentación o verificación de identidad; Las imágenes se cargan de la misma manera que en el sitio web y, de lo contrario, no se lee nada de su biblioteca. (c) Face ID, Touch ID y huella digital: su teléfono verifica el bloqueo de la aplicación; Nunca recibimos sus datos biométricos. El PIN de su aplicación se almacena únicamente en su dispositivo. (d) Informes de fallos: se envían diagnósticos de fallos anónimos a Firebase Crashlytics para que podamos solucionar los problemas; no contienen contenido de mensaje ni detalles de pago. (e) Análisis: la aplicación no ejecuta seguimiento de marketing ni análisis, y la opción de cookies que ve en el sitio web está configurada como esencial dentro de la aplicación.

Los datos pueden ser procesados ​​por nuestros procesadores externos (Stripe, Resend, Google Translate) en la UE, EE. UU. y otras regiones donde operan. Para estas transferencias nos basamos en las garantías contractuales de los procesadores (DPA, cláusulas contractuales estándar).

Los cambios materiales se anuncian en la aplicación + por correo electrónico al menos 14 días antes de su entrada en vigor. Preguntas: privacidad@hashtagsstudios.com (o a través de /contacts).

Este contenido puede ser actualizado en vivo por un administrador desde /admin/settings (clave: legal.privacy).