Política de privacidad — To Be Parents

Fecha de entrada en vigor: 24 de octubre de 2026

Esta Política de privacidad explica qué información personal recopila To Be Parents, por qué y cómo puede controlarla. Se aplica a nuestro sitio web (tobeparents.com), a nuestras aplicaciones móviles para iOS y Android, a nuestro portal para socios (partner.tobeparents.com) y a la app TBP Partner, y a nuestro portal administrativo (los «Servicios»).

1. Quiénes somos

Los Servicios son operados por HYPERFOCUS TECH INC. (Estados Unidos). Para los usuarios del Espacio Económico Europeo, del Reino Unido o de Suiza, actuamos como responsable del tratamiento respecto de la información descrita en esta Política. Para los residentes de California, somos la «empresa» que recopila su información personal al amparo de la California Consumer Privacy Act (CCPA), modificada por la California Privacy Rights Act (CPRA). Para contactarnos por cualquier cuestión de privacidad, utilice nuestro formulario de contacto.

2. Qué recopilamos

Solo recopilamos la información necesaria para operar los Servicios:

Cuenta: correo electrónico, contraseña cifrada (hash), idioma preferido, rol.
Perfil: nombre visible, fecha de nacimiento, ciudad y país, coordenadas aproximadas, características físicas, trayectoria, estilo de vida y la información reproductiva y de formación familiar que usted decida compartir (por ejemplo, tipo de usuario, disposición a donar o gestar, preferencias de contacto). Fotografías de perfil y avatar.
Comunicaciones: mensajes de chat y archivos adjuntos, me gusta, emparejamientos, visitas al perfil y denuncias. De las llamadas de voz y vídeo solo se registran metadatos; el contenido de la llamada no se graba.
Verificación de foto (gratuita; solo es necesaria para enviar un nuevo «me gusta» o iniciar una nueva conversación): el resultado de la verificación (aprobada o rechazada) y puntuaciones numéricas de confianza. El selfie, el vídeo de la sesión y cualquier dato biométrico los procesa y conserva el proveedor de verificación, no nosotros (véase «Datos faciales (verificación de foto)» más abajo).
Dispositivo y conexión: dirección IP, localización aproximada derivada de ella, modelo y sistema operativo del dispositivo, versión de la aplicación, identificador de instalación y tokens para notificaciones push.
Uso: eventos en la aplicación y en el sitio web, como pantallas vistas, funciones utilizadas y acciones realizadas, vinculados al identificador de su cuenta, utilizados para medir y mejorar los Servicios.
Pagos: recibos de compras dentro de la aplicación realizadas en Apple App Store y Google Play. Nunca vemos los datos de su tarjeta.

Parte de la información de perfil -incluida la relativa a salud o fertilidad, religión o datos de los que pueda inferirse la orientación sexual- se considera «categoría especial» de datos al amparo del RGPD / RGPD del Reino Unido y «información personal sensible» al amparo de la CPRA. Nunca se le exige facilitarla; la facilita únicamente para ser emparejado con usuarios compatibles y puede retirarla en cualquier momento editando su perfil. No utilizamos ni divulgamos información personal sensible para finalidades distintas de operar los Servicios para usted.

Fuentes de la información personal: recopilamos información (a) directamente de usted cuando se registra, construye su perfil o utiliza los Servicios; (b) automáticamente de su dispositivo y navegador al acceder a los Servicios; y (c) de proveedores que actúan por cuenta nuestra (por ejemplo, el resultado de una verificación de identidad que haya solicitado o la conversión de una ciudad en coordenadas al elegirla).

Qué ocurre si no facilita los datos: el correo electrónico y un perfil mínimo son necesarios para usar los Servicios; sin ellos no podemos crearle una cuenta. El resto es opcional: puede omitirlo y seguir usando los Servicios, aunque algunas funciones (como el emparejamiento, la verificación de identidad o las suscripciones) podrán no estar disponibles.

Utilizamos proveedores de analítica de producto y de atribución móvil respetuosos con la privacidad para medir cómo se usan los Servicios y mejorarlos; los eventos se asocian al identificador de su cuenta. No utilizamos repetición de sesiones, píxeles publicitarios ni rastreadores de comportamiento entre sitios, no vendemos sus datos ni los usamos para publicidad conductual de contexto cruzado. En nuestro sitio web esta analítica funciona solo con su consentimiento (véase la sección «Cookies» más abajo); puede retirar el consentimiento en cualquier momento. En la app, si se encuentra en el EEE, el Reino Unido o Suiza, la analítica, los informes de fallos y la atribución permanecen desactivados hasta que usted elija; en los demás países están activados por defecto y puede desactivarlos en cualquier momento en Perfil, Configuración de privacidad.

Datos faciales (verificación de foto)

La verificación de foto es opcional y gratuita. Solo se necesita para enviar un nuevo me gusta o iniciar una nueva conversación, y es la única función de los Servicios que utiliza datos faciales. No utiliza Face ID, la cámara TrueDepth ni ARKit.

Qué datos faciales se recopilan: cuando inicia la verificación, usted graba con su cámara un breve vídeo-selfie. Nuestro proveedor de verificación de identidad, Didit, lo utiliza para comprobar que hay una persona real frente a la cámara (detección de vida, liveness) y para comparar su rostro con la foto principal de su perfil (comparación facial), que le enviamos a Didit para esa comparación. Esto implica el tratamiento de datos biométricos (geometría facial).

Cómo se utilizan: exclusivamente para confirmar que la foto de su perfil le muestra a usted y para prevenir la suplantación de identidad y el fraude. Los datos faciales nunca se utilizan para iniciar sesión ni para ninguna otra autenticación, para identificarle ante otros miembros, para publicidad, marketing o elaboración de perfiles, ni para analítica.

Quién los recibe y dónde se almacenan: el selfie y el vídeo de la sesión van de la aplicación directamente a Didit, que los trata y almacena en sus propios sistemas como encargado del tratamiento, en virtud de un acuerdo de tratamiento de datos y solo siguiendo nuestras instrucciones. Didit puede tratar estos datos fuera del país en el que usted vive, con las garantías descritas en la sección 6. To Be Parents nunca recibe ni almacena su selfie, el vídeo de la sesión ni geometría facial alguna, y descartamos los atributos derivados del rostro que devuelva el proveedor (como una estimación de edad). Nuestros sistemas conservan únicamente el resultado de la verificación (aprobada o rechazada) y puntuaciones numéricas de confianza. Nunca vendemos datos faciales ni los compartimos con plataformas publicitarias, proveedores de analítica, intermediarios de datos ni con nadie distinto del proveedor de verificación.

Cuánto tiempo se conservan: Didit conserva los datos de la sesión de verificación, incluidos el selfie y el vídeo de la sesión, durante un máximo de 6 meses desde la verificación, tras lo cual se destruyen de forma permanente. Nuestros propios registros de verificación (resultado y puntuaciones) se conservan mientras su cuenta esté activa.

Cómo eliminarlos: puede pedirnos en cualquier momento, a través del chat de soporte o de nuestro formulario de contacto, que eliminemos su sesión de verificación, y ordenaremos a Didit que la elimine. Si elimina su cuenta, ordenamos a Didit que elimine su sesión de verificación como parte del borrado definitivo de sus datos, y nuestros propios registros de verificación se borran, en un plazo de 30 días.

Consentimiento y alternativa: la verificación comienza solo después de que usted revise esta información y otorgue su consentimiento en la pantalla de verificación. Si prefiere no someterse a la verificación facial automatizada, contáctenos a través del chat de soporte: puede estar disponible una revisión manual por nuestro equipo.

3. Cómo la utilizamos

Utilizamos su información para crear y proteger su cuenta, mostrar su perfil a otros usuarios para poder emparejarlos, operar el chat y las llamadas, enviar correo transaccional y notificaciones push, moderar las fotografías cargadas, verificar la identidad cuando así lo solicite, procesar las suscripciones, prevenir el fraude y el abuso, atender sus solicitudes y cumplir la ley.

4. Bases jurídicas (EEE / Reino Unido / Suiza)

Nos basamos en la ejecución de un contrato para prestar los Servicios, en intereses legítimos para la seguridad y la prevención del fraude, en el cumplimiento de una obligación legal cuando procede, y en el consentimiento expreso para la verificación de identidad opcional y para cualquier dato de categoría especial que decida incluir en su perfil (por ejemplo, información sobre fertilidad, religión o inferencias sobre orientación sexual). Puede retirar ese consentimiento en cualquier momento editando o eliminando la información, o eliminando su cuenta.

5. Con quién la compartimos

No vendemos su información personal. Solo la compartimos con:

Otros usuarios, su perfil público es visible para otros usuarios autenticados. Nunca se muestran su correo electrónico, teléfono, dirección IP, coordenadas exactas ni datos de pago.
Proveedores de servicios que actúan por nuestras instrucciones bajo un contrato de encargo del tratamiento, en las categorías de alojamiento en la nube, distribución de contenido y seguridad, moderación automatizada de contenido, geolocalización, verificación de identidad, notificaciones push, pagos dentro de la aplicación, correo transaccional y analítica de producto y atribución móvil. La verificación de identidad la realiza Didit (didit.me) bajo un contrato de encargo del tratamiento, exclusivamente siguiendo nuestras instrucciones. La moderación automática de fotos la realiza Google Cloud Vision (detección SafeSearch): cada foto que usted sube a su perfil se revisa en busca de contenido sexual explícito. Esta revisión no incluye detección ni reconocimiento facial ni ningún tratamiento biométrico; Google no almacena la imagen ni la utiliza para entrenar sus modelos, y nosotros conservamos solo el resultado de la moderación (aprobada o rechazada). Puede solicitar la lista concreta de proveedores a través de nuestro formulario de contacto.
Autoridades o terceros cuando lo exija la ley, para hacer cumplir nuestras Condiciones, o para proteger derechos, bienes o la seguridad.
Entidad sucesora en caso de fusión, adquisición o transferencia de activos.

6. Transferencias internacionales

Nuestros servidores principales se encuentran en los Estados Unidos (Nueva York). Si usted se encuentra en el Espacio Económico Europeo, el Reino Unido o Suiza, el uso de los Servicios implica necesariamente la transferencia de su información personal a los Estados Unidos; además, algunos de nuestros proveedores operan en otros países. Estas transferencias están protegidas por las Cláusulas Contractuales Tipo de la Comisión Europea, el Addendum de transferencia de datos del Reino Unido y otros mecanismos legales equivalentes, junto con medidas técnicas y organizativas complementarias como el cifrado en tránsito y un control de acceso estricto. Puede solicitar más información sobre estas garantías a través de nuestro formulario de contacto.

7. Cuánto tiempo la conservamos

Conservamos sus datos mientras su cuenta esté activa. Al eliminar la cuenta, su perfil, fotos y mensajes se ocultan inmediatamente de los demás usuarios. En un plazo de 30 días, todos sus datos se borran permanentemente de nuestros sistemas. Esto incluye nuestros registros de verificación (resultado y puntuaciones de confianza); también ordenamos a nuestro proveedor de verificación de identidad que elimine su sesión de verificación y, en todo caso, el proveedor conserva los datos de las sesiones de verificación durante un máximo de 6 meses. Después de 30 días, la dirección de correo electrónico que utilizó vuelve a estar disponible para una nueva cuenta, pero la nueva cuenta empezará desde cero, sin historial de la anterior. Si cree que su cuenta se eliminó por error dentro de esos 30 días, contáctenos a través de nuestro formulario de contacto y le ayudaremos con la restauración manual. Apple Inc. es el vendedor de registro para las compras dentro de la aplicación en iOS y conserva el historial de transacciones según sus propias políticas de retención. Las copias de seguridad se guardan hasta 90 días.

8. Sus derechos

Puede solicitar el acceso, la rectificación, la eliminación o la portabilidad de su información personal. También puede restringir nuestro tratamiento u oponerse a él y -cuando nos basemos en su consentimiento- retirarlo en cualquier momento. Para ejercer cualquiera de estos derechos, envíe una solicitud a través de nuestro formulario de contacto; responderemos en un plazo de 30 días (o 45 días para los residentes de California, prorrogable otros 45 días con notificación).

Si se encuentra en el Reino Unido, puede presentar reclamación ante la Information Commissioner's Office. Si se encuentra en el EEE o Suiza, puede presentar reclamación ante su autoridad local de protección de datos.

Si es residente de California, conforme a la CCPA/CPRA tiene derecho a: conocer qué información personal recopilamos, usamos, divulgamos y compartimos; rectificar la información personal inexacta; solicitar la eliminación de la información personal que conservamos sobre usted; limitar el uso de su información personal sensible; oponerse a cualquier venta o intercambio de información personal; y a no ser discriminado por ejercer cualquiera de estos derechos. No vendemos ni compartimos su información personal con fines de publicidad conductual entre contextos y no lo hemos hecho en los 12 meses anteriores. No usamos ni divulgamos información personal sensible más allá de los fines permitidos por la legislación de California. También puede designar a un representante autorizado para presentar la solicitud en su nombre.

9. Residentes de California

Los derechos de los residentes de California según la CCPA y la CPRA están en la sección 8. Dos leyes de California merecen una explicación aparte de lo que hacemos en la práctica.

California Invasion of Privacy Act (CIPA)

La CIPA protege tus comunicaciones frente a la interceptación y la grabación. En concreto:

No grabamos las llamadas de voz ni de vídeo. La grabación no está activada en la plataforma.
Los mensajes entre miembros se guardan, para que la conversación siga ahí cuando vuelvas y para poder aportarla si alguien presenta un reporte.
Tú controlas la analítica. En nuestro sitio web la categoría «Estadísticas» del aviso de cookies está desactivada por defecto y no se mide nada hasta que la actives. En la app, si estás en el EEE, el Reino Unido o Suiza, la analítica permanece desactivada hasta que elijas; en los demás países está activada por defecto. Puedes desactivarla cuando quieras en Perfil, Configuración de privacidad.

California Confidentiality of Medical Information Act (CMIA)

Desde 2023 la CMIA considera proveedores de atención sanitaria a las empresas que ofrecen servicios digitales de salud reproductiva o sexual. Nosotros recogemos información de ese tipo: fertilidad, historial de embarazos, grupo sanguíneo, estado de CMV.

No tratamos el hecho de que sigas usando el Servicio como consentimiento para nada de esto. Ambas autorizaciones se firman antes de que puedas usar el Servicio: una sobre la recogida y otra sobre lo que pueden ver los demás miembros. Cada una se muestra íntegra y se registra con su versión y su fecha. Puedes retirar cualquiera de ellas cuando quieras, y eso cierra tu cuenta, porque sin tu autorización no conservamos esta información. El registro de la autorización y de su retirada se guarda como prueba de cuándo empezó y cuándo terminó tu consentimiento.

Según la CMIA tienes derecho a acceder a tu información médica, a que se mantenga confidencial, a que se exija tu autorización antes de revelarla y a reclamar daños por una revelación no autorizada. El detalle está en nuestra Política de privacidad de datos de salud.

10. Organizaciones socias y su personal

Llamamos socios a las organizaciones que ayudan a las personas a convertirse en padres, como las clínicas de fertilidad, y que se comunican con los miembros a través de To Be Parents. Su personal utiliza nuestro portal para socios (partner.tobeparents.com) y la app TBP Partner (en el App Store y Google Play se llama To Be Parents: Partner). Esta sección describe la información personal que tratamos sobre ese personal. Si usted es miembro y escribe a un socio, el resto de esta Política se le aplica como de costumbre.

Cuenta: correo electrónico de trabajo, nombre, rol, idioma, una foto de perfil si la añade, quién le invitó y cuándo, cuándo se unió y cuándo inició sesión por última vez. No guardamos ninguna contraseña: usted inicia sesión con un código de un solo uso que le enviamos por correo electrónico.
Teléfonos y sesiones: por cada teléfono con sesión iniciada en TBP Partner, la plataforma, el modelo del dispositivo, la versión de la app, cuándo empezó la sesión y cuándo se usó por última vez, y un token de notificaciones push. En el navegador, una cookie de sesión mantiene su sesión iniciada.
Lo que usted crea: mensajes a los miembros, notas internas, mensajes a colegas y a nuestro equipo de soporte, archivos, tareas y citas que añade al recorrido de un miembro, y registros de las videorreuniones (quién inició y terminó la reunión, cuándo y cuánto duró). El audio y el vídeo de las reuniones no se graban.
Datos técnicos: dirección IP y datos del navegador o de la app en los registros del servidor, en contadores de seguridad de corta duración que limitan los intentos de inicio de sesión y en el registro de acciones sobre las cuentas.

Quién lo ve: los miembros ven el nombre del integrante del personal que les escribió, nunca su correo electrónico, rol ni foto. Los colegas de la misma organización ven el nombre, el rol y la foto de los demás, las conversaciones de la organización y sus notas internas. Un chat entre dos colegas solo lo ven esas dos personas. Las notas internas nunca se muestran a los miembros. Las notificaciones y los correos que enviamos al personal no contienen el texto de los mensajes ni los nombres de los miembros. En el portal para socios y en TBP Partner no usamos analítica ni informes de fallos sobre el personal.

Nuestro papel: respecto de las cuentas del personal y de las notas internas, la asignación y el estado de las conversaciones, actuamos como encargado del tratamiento del socio conforme a nuestro Acuerdo de tratamiento de datos. Para todo lo demás, el socio y nosotros somos responsables del tratamiento independientes. Los datos del personal se almacenan en nuestros servidores en Estados Unidos (véase la sección 6); los proveedores de servicios que utilizamos para ello figuran en el Acuerdo de tratamiento de datos.

Cuánto tiempo los conservamos: mientras tenga acceso. Cuando su organización le retira el acceso, sus sesiones y tokens push se eliminan de inmediato. Si solicita eliminar su acceso (en TBP Partner o en el portal para socios), se retira en un plazo de 30 días y, a continuación, se borran su nombre, correo electrónico, foto, sesiones y dispositivos. Los mensajes, notas y archivos que creó permanecen en las conversaciones de su organización sin su nombre, porque los registros sobre pacientes pertenecen a la organización. Cuando se elimina la cuenta de un socio, se eliminan también las cuentas de su personal. El registro de acciones sobre las cuentas se conserva hasta un año y las copias de seguridad, hasta 90 días.

Sus derechos: tiene los derechos descritos en la sección 8; utilice nuestro formulario de contacto. Cuando actuamos como encargado del tratamiento de su organización, trasladamos su solicitud a la organización y la ayudamos a responder.

11. Seguridad

Protegemos sus datos con cifrado en la capa de transporte, cifrado de contraseñas con bcrypt, tokens de sesión de corta duración, limitación de frecuencia y desafíos anti-bot en los endpoints sensibles, control de acceso basado en roles y registro de auditoría de las acciones administrativas. Ningún servicio en línea puede garantizar una seguridad absoluta; si una brecha afecta a su información personal, se lo notificaremos, así como a las autoridades pertinentes, conforme a la ley.

12. Cookies

Las cookies propias estrictamente necesarias siempre funcionan para que los Servicios operen: una cookie de sesión para mantenerle autenticado, un token de protección frente a CSRF y una cookie de preferencia de idioma. Con su consentimiento, también usamos cookies propias de analítica y de atribución para medir el uso del producto y cómo los visitantes llegaron por primera vez a nosotros; usted las elige en nuestro banner de cookies y puede cambiar su elección en cualquier momento. No usamos cookies publicitarias, no vendemos sus datos ni los usamos para publicidad conductual.

13. Menores

Los Servicios están destinados exclusivamente a personas adultas mayores de 18 años. Si cree que un menor ha creado una cuenta, comuníquelo a través de nuestro formulario de contacto y la eliminaremos.

14. Decisiones automatizadas

No adoptamos decisiones con efectos jurídicos o significativamente similares basadas únicamente en un tratamiento automatizado. La ordenación del catálogo y la moderación de fotografías afectan solo a su visibilidad y al estado de cada fotografía; puede solicitar la revisión humana de cualquier decisión de moderación o de estado de cuenta. La verificación de foto implica una comparación automatizada de su selfie con la foto de su perfil; si la verificación es rechazada, puede solicitar una revisión humana por nuestro equipo de moderación a través del chat de soporte.

15. Cambios

Podemos actualizar esta Política de forma puntual. Cuando realicemos cambios sustanciales, actualizaremos la fecha de entrada en vigor indicada arriba y, cuando proceda, le notificaremos por correo electrónico o mediante aviso en la aplicación antes de que el cambio surta efecto.

16. Contacto

Para cualquier consulta, solicitud o queja en materia de privacidad, contacte con nosotros a través de nuestro formulario de contacto.