MONARCHY BY EDUARDO MORÁN
Política de privacidad
Monarchy es una peluquería a domicilio, así que para trabajar hace falta saber dónde vives y cómo está tu pelo. Esta página cuenta qué se guarda de todo eso, quién más lo ve y cómo se borra.
En vigor desde el 4 de septiembre de 2026. Si cambia algo de lo que aquí se dice, cambia también esta fecha.
Quién trata tus datos
Responsable del tratamiento: Rolando Eduardo Morán Rodríguez, con NIF [falta el NIF o CIF] y domicilio en [falta el domicilio], que presta el servicio bajo el nombre comercial Monarchy by Eduardo Morán en Madrid y alrededores.
Para cualquier asunto relacionado con tus datos: info@monarchy.es, o por teléfono en el +34 624 127 887.
Qué se trata, para qué y con qué amparo
Nada de esto se pide «por si acaso»: cada fila existe porque sin ella hay algo del servicio que no se puede hacer. Si una te sobra, dilo y se quita —salvo que sea justo la que hace falta para atenderte, y entonces te lo diremos con esas palabras—.
| Qué | Para qué | Base jurídica | Cuánto tiempo |
|---|---|---|---|
| Identificación y contactoNombre, correo electrónico y teléfono con su prefijo. | Gestionar la cita, mandar la propuesta y los recordatorios, y poder avisar si algo cambia. | Ejecución del contrato (RGPD art. 6.1.b). | Mientras la relación siga viva y, después, durante los plazos de prescripción de las acciones que puedan derivarse del servicio. |
| Dirección del servicioCalle, número, código postal y municipio. | Ir hasta allí y calcular el trayecto en transporte público para no citar dos servicios que no dan tiempo. | Ejecución del contrato (RGPD art. 6.1.b). | Igual que los datos de contacto. La caché del trayecto guarda la dirección resumida sin poder reconstruirla y se borra sola a las 12 horas. |
| Datos del cabelloTipo, longitud, grosor, densidad, estado y notas libres. | Preparar el trabajo, calcular el producto y no partir de cero en la siguiente cita. | Ejecución del contrato (RGPD art. 6.1.b). | Mientras la ficha siga activa. Se pueden corregir en cualquier momento desde el espacio personal. |
| Sensibilidad del cuero cabelludo e historial de tintesSi el cuero cabelludo reacciona a algún producto y qué tratamientos químicos se han hecho: color, decoloración o alisados. | Evitar una reacción y no aplicar un químico sobre otro incompatible. Es la única razón por la que se pregunta. | Consentimiento explícito (RGPD art. 9.2.a). Son datos de salud: se piden con una casilla propia, apagada de origen, y la cita se pide igual sin marcarla. | Mientras la ficha siga activa, y se borra en cuanto se pide. Sin la casilla marcada no llegan a guardarse. |
| FotografíasLas que se envían al pedir la cita y las del resultado que documenta Eduardo. | Ver el punto de partida antes de la cita y guardar el historial. Enseñarlas fuera es un permiso aparte y apagado de origen. | Consentimiento (RGPD art. 6.1.a), por cita para conservarlas y foto a foto para publicarlas. | Hasta que se retire el permiso de conservarlas. Al retirarlo se borran del almacenamiento, y eso no tiene vuelta atrás. |
| Cuenta y accesoCorreo verificado, códigos de un solo uso, el identificador de la cuenta de Google si se usa, y la fecha y la versión de las condiciones aceptadas al entrar. | Entrar al espacio personal sin contraseña y poder demostrar qué condiciones se aceptaron y cuándo. | Ejecución del contrato (RGPD art. 6.1.b) y cumplimiento de la obligación de acreditar el consentimiento (art. 7.1). | Los códigos caducan a los 10 minutos y la sesión, a los 30 días; ambos se borran solos. La aceptación de las condiciones se conserva mientras la cuenta exista, porque es la prueba de que hubo contrato. |
| Mensajes y valoracionesEl chat con Eduardo, los mensajes de una contrapropuesta y el comentario de una valoración. | Atender la cita y, si se marca la casilla al valorar, enseñar el comentario en la portada sin nombre. | Ejecución del contrato (RGPD art. 6.1.b) y consentimiento para publicar el comentario de la valoración (art. 6.1.a). La nota sin comentario solo entra en la media, que es un dato agregado. | Mientras la relación siga viva. El permiso de publicar el comentario se retira desde «Mis citas», en el espacio personal, y deja de verse en ese momento. |
| Datos técnicos y de seguridadRegistros de la aplicación, contadores para frenar peticiones abusivas y la dirección IP resumida. | Que el servicio funcione, detectar abusos y poder investigar un incidente. | Interés legítimo en la seguridad del servicio (RGPD art. 6.1.f). | Los contadores se borran solos al caducar. Los registros no guardan nombres, correos, teléfonos, direcciones ni fotografías. |
Los datos los das tú al pedir la cita o al rellenar tu perfil. Los únicos que no escribes tú son los técnicos —a qué hora entró una petición, cuántas van seguidas desde la misma conexión— que el propio servicio genera para funcionar y para frenar abusos.
Si tus datos los ha dado otra persona
Puede que estés leyendo esto sin haber rellenado nunca nada aquí. Pasa en las citas de evento: quien la contrata apunta a las personas que trae, y Eduardo apunta a las profesionales que van con él. En los dos casos el dato lo escribe alguien que no eres tú, y entonces la ley obliga a decir de dónde salió (RGPD art. 14).
| Quién | De dónde sale | Qué hay | Para qué y con qué amparo | Cuánto tiempo |
|---|---|---|---|---|
| Las personas que van a una cita de evento que ha contratado alguien más: una novia y su cortejo, una familia, un equipo. | Quien contrata el evento, al montar la cita y repartir los servicios entre quienes va a traer. | El nombre y qué servicio le toca. No hay correo ni teléfono: el contacto es con quien organiza. Puede haber además una fotografía de referencia, y de tener permiso para enviarla responde quien la envía. | Saber a cuánta gente se atiende, con qué servicio y en qué orden, que es lo que decide el tiempo y el producto que hay que llevar.Interés legítimo en poder prestar el servicio contratado (RGPD art. 6.1.f): sin saber de quién es cada turno no hay forma de organizarlo. | Lo que dure la cita y su historial, igual que el resto de la ficha de quien la contrató. |
| Las profesionales que trabajan con Eduardo en una cita de evento. | Eduardo, al apuntar quién va a cada evento y qué parte le corresponde. | El nombre y el porcentaje acordado. | Repartir el trabajo de un evento y cuadrar lo que cobra cada una.Ejecución del acuerdo entre ellas (RGPD art. 6.1.b). | Mientras dure la relación profesional, y después lo que impongan los plazos contables y fiscales. |
Esta información se publica aquí en lugar de enviarse una por una, que es lo que permite el artículo 14.5.b cuando avisar a cada persona supondría un esfuerzo desproporcionado. El motivo es sencillo: de ninguna de ellas se guarda un correo ni un teléfono. Pedirlos solo para poder avisarlas sería recoger más datos de los que hay para arreglar el problema de haberlos recogido. Quien organiza el evento sabe quién viene y se compromete a contárselo.
Los derechos del apartado 9 son exactamente los mismos: se piden escribiendo a info@monarchy.es, sin tener cuenta y sin pasar por quien organizó nada.
Lo que no se hace
Se dice porque callarlo se lee como lo contrario:
- Datos de pago. Ni tarjetas, ni cuentas, ni facturación: el cobro se gestiona fuera de esta aplicación y aquí no queda nada de él.
- Coordenadas de ubicación. La dirección se manda a Google para calcular el trayecto, pero ninguna posición del móvil se guarda: de un desplazamiento solo queda la hora a la que se marcó.
- Perfilado ni decisiones automatizadas con efectos jurídicos.
- Publicidad, analítica de terceros o venta de datos a nadie.
Las fotografías van con permiso, y son dos
Conservar una foto y enseñarla fuera no son la misma decisión, así que no se piden en la misma casilla. Cada una se da por separado, se ve el texto entero antes de marcarla y se puede retirar cuando quieras desde tu espacio personal.
En una cita de evento, quien la organiza puede enviar fotos de las personas que trae. Solo puede declarar que tiene su permiso para enviarlas y que sirvan de referencia: enseñar fuera la foto de otra persona no se puede activar desde ahí, porque esa decisión no es suya.
Quién más los ve
Nadie compra estos datos ni los recibe para su propio negocio. Los servicios de abajo son los que hacen falta para que esto funcione, y cada uno recibe lo justo para su tarea:
| Quién | Para qué | Qué recibe | Dónde |
|---|---|---|---|
| Hetzner Online GmbHEncargado del tratamiento | Alojar el servidor donde vive la aplicación, la base de datos y las fotografías, y guardar las copias de seguridad. | Todo lo que se guarda, porque es la máquina que lo guarda. Hetzner no lo consulta: presta el hierro. | Alemania (el servidor) y Finlandia (las copias de seguridad) |
| Google Ireland Limited (Google Maps Platform)Encargado del tratamiento | Calcular cuánto tarda Eduardo en llegar en transporte público, para no dar una hora que no puede cumplir. | La dirección postal de la cita y la de origen. Sin nombre, sin teléfono y sin correo: la petición no los lleva. | Irlanda, con tratamiento en Estados UnidosCláusulas contractuales tipo y el marco de adecuación UE-EE. UU. |
| Google Ireland Limited (Acceso con Google)Responsable independiente | Permitir entrar con una cuenta de Google en lugar de con un código por correo. | Solo si se elige ese camino. Google confirma la identidad y devuelve el correo, el nombre y la foto de perfil; Monarchy no pide nada más y no accede a ningún otro dato de la cuenta. | Irlanda, con tratamiento en Estados UnidosCláusulas contractuales tipo y el marco de adecuación UE-EE. UU. |
| Resend, Inc.Encargado del tratamiento | Entregar los correos: el código de acceso, la propuesta de cita, los recordatorios y los avisos. | La dirección de correo de destino y el contenido del aviso, que según cuál sea lleva el nombre, la fecha, el servicio y la dirección de la cita. | Estados UnidosCláusulas contractuales tipo y el marco de adecuación UE-EE. UU. |
| Cartociudad — Instituto Geográfico NacionalResponsable independiente | Ofrecer portales reales mientras se escribe la dirección, para que no haya que teclearla entera ni quede escrita de cualquier manera. | El trozo de dirección que se está escribiendo, mientras se escribe. Va sin nombre y sin cuenta: es una consulta al callejero, no un envío de la cita. | España |
| El servicio de notificaciones del navegador que se useEncargado del tratamiento | Hacer llegar los avisos al móvil cuando se han activado las notificaciones. | El aviso, cifrado de extremo a extremo por el propio navegador. El servicio lo transporta sin poder leerlo. | Depende del navegador: Google para Chrome, Mozilla para Firefox, Apple para SafariEl navegador elige el servicio y la dirección de entrega; Monarchy solo la guarda para poder usarla. |
El servidor está en Alemania y las copias de seguridad, en Finlandia: los dos dentro de la Unión Europea, y separados a propósito para que un incendio o un corte no se lleve las dos cosas a la vez. Ahí se quedan la base de datos y las fotografías. Lo único que sale del Espacio Económico Europeo son los cálculos de trayecto y el envío de los correos, amparados en las cláusulas contractuales tipo de la Comisión Europea y en el marco de adecuación con Estados Unidos. Los mapas y los trayectos los calcula Google Maps Platform.
También hay enlaces que llevan fuera —wa.me, www.instagram.com, www.google.com, trazora.es—. No reciben nada por su cuenta: hace falta que pinches, y a partir de ahí manda la política de esa web.
Fuera de esto, tus datos solo se entregarían a la administración o a un juzgado si una ley lo exigiera.
Cuánto se conservan
El plazo de cada cosa está en la tabla del apartado 2. Además, hay cosas que se borran solas sin que nadie haga nada: los códigos de acceso a los diez minutos, los permisos temporales para subir una foto a la media hora, las sesiones al caducar y la caché de trayectos a las doce horas.
Cuando pides que se borre algo, se borra de verdad: la foto desaparece del almacenamiento y no hay forma de recuperarla. Lo único que se conserva es el rastro de que el permiso existió y cuándo dejó de existir, porque es justo lo que demuestra que se te pidió y que se respetó.
Cookies
Hay cuatro y todas son técnicas: sostienen tu sesión, comprueban que la vuelta del acceso con Google corresponde a la ida que se pidió desde tu navegador y autorizan la subida de una foto concreta. Ninguna mide nada, ninguna te sigue y ninguna se comparte.
| Cookie | Para qué | Duración |
|---|---|---|
monarchy_client_session | Mantener abierta la sesión del espacio personal. | 30 días |
monarchy_admin_session | Mantener abierta la sesión del panel de Eduardo. | 12 horas |
monarchy_oauth_flow | Comprobar que la vuelta del acceso con Google corresponde a la ida que se pidió desde este navegador. | 10 minutos |
monarchy_upload_ticket | Autorizar la subida de las fotografías de una solicitud concreta. | 30 minutos |
Por eso no verás un aviso de cookies pidiéndote permiso: el artículo 22.2 de la LSSI-CE exime a las estrictamente necesarias para prestar el servicio, y aquí no hay ninguna otra. El día que se añada una que mida algo, se pedirá permiso antes de escribirla y se dirá aquí.
Si además activas las notificaciones, tu navegador guarda una dirección de entrega para poder avisarte. Se desactivan desde el propio navegador o desde tu espacio personal, y al hacerlo esa dirección se borra.
Tus derechos
Se ejercen escribiendo a info@monarchy.es. No hace falta formulario, ni motivo, ni un formato concreto: basta con que se entienda qué pides y que se pueda comprobar que eres tú. La respuesta llega en un mes.
- Acceso
- Saber qué datos hay y para qué se usan.
- Rectificación
- Corregir lo que esté mal o incompleto.
- Supresión
- Pedir que se borren cuando ya no hagan falta.
- Oposición
- Oponerse a un tratamiento que se apoye en el interés legítimo.
- Limitación
- Pedir que se conserven pero no se usen mientras se resuelve una discrepancia.
- Portabilidad
- Recibir los datos en un formato que se pueda llevar a otro sitio.
- Retirar el consentimiento
- En cualquier momento y sin dar explicaciones, sin que afecte a lo hecho antes de retirarlo.
Buena parte de esto no hace falta ni pedirla: desde tu espacio personal puedes corregir tu perfil, revisar tus citas y retirar los permisos de las fotos tú misma, en el momento.
Si la respuesta no te convence, puedes reclamar ante la Agencia Española de Protección de Datos. Antes, si quieres, escríbenos: casi todo se arregla a la primera.
Menores de edad
La cita la pide una persona mayor de edad. Un menor puede recibir el servicio, pero quien lo solicita, da los datos y decide sobre sus fotografías es su madre, su padre o quien tenga su tutela.
Al entrar se declaran 14 años cumplidos, que es la edad a la que el artículo 7 de la LOPDGDD permite consentir sobre los datos propios. No es la edad para contratar: eso siguen siendo dieciocho, y está en las condiciones de uso.
Seguridad
El acceso va sin contraseña —un código de un solo uso por correo, o tu cuenta de Google— para que no haya una contraseña que se pueda filtrar. Las fotos no son públicas ni tienen una dirección que valga por sí sola: cada vez que se pide una, el servidor comprueba tu sesión antes de entregarla. Los registros técnicos no guardan nombres, correos, teléfonos, direcciones ni fotografías, así que un registro filtrado no cuenta nada de nadie. Y las copias de seguridad salen selladas del servidor —la máquina que las hace no puede abrirlas— y viajan por un canal cifrado hasta otra de Finlandia, para que un problema del servidor, o del centro de datos entero, no se lleve por delante también la copia.
Aun así, ningún sistema es infalible. Si alguna vez ocurriera una brecha que pusiera en riesgo tus datos, se notificará a la Agencia y, cuando proceda, a ti, en los plazos que marca el RGPD.
Cambios
Si esto cambia, cambia la fecha de arriba. Los cambios que afecten a un permiso que ya diste no se aplican solos: se vuelve a preguntar, y mientras tanto sigue valiendo lo que aceptaste.