XR Asset Gallery — Aviso integral y política de privacidad

Actualizado el 10 de octubre de 2026 · Versión de documento 1.1. Publicación original: 7 de septiembre de 2026.

Fecha de entrada en vigor de esta actualización: 10 de octubre de 2026.

1. Responsable y contacto

Spiral Labs S.A. de C.V., con domicilio en Circuito Economistas 162, Cd. Satélite, Nauclapan, Estado de México, 53100, México, es responsable del tratamiento de datos personales descrito aquí para XR Asset Gallery, también llamada XRAG.

Contacto para privacidad, derechos y eliminación de datos: [email protected], con el asunto «Privacidad XRAG».

Este aviso cubre XR Asset Gallery para Meta Quest, su servicio XRAG Web en xrag.spiral-labs.com y la atención de soporte de XRAG. No cubre otros productos o sitios de Spiral Labs ni sustituye los avisos de los proveedores sobre el tratamiento que realizan por su propia cuenta.

2. Qué hace la aplicación

XRAG permite preparar y visualizar galerías virtuales dentro de un espacio físico. El modo Curador permite elegir obras, colocarlas y ajustar la presentación. El modo Visitante permite visualizar una galería.

XRAG conecta la creación de galerías en el visor con la gestión de contenido en XRAG Web. El acceso a Curador requiere una cuenta autorizada; Visitante puede abrir una galería mediante un QR o código de sala. Para verificar cuentas, sincronizar, publicar o descargar contenido nuevo se necesita internet. Las galerías descargadas pueden volver a verse sin conexión, sin una caducidad automática de su copia local.

3. Información que tratamos

Identidad y sesión

Para autenticar al curador, el flujo de Meta obtiene el identificador de usuario específico de la aplicación y una prueba de identidad temporal. Se comunican a Unity Authentication para iniciar o vincular la sesión. XRAG no solicita la contraseña de tu cuenta Meta.

Unity asigna un identificador de jugador y gestiona información de sesión. El visitante utiliza un perfil de autenticación separado, sin registro nominal dentro de XRAG. Aunque se denomine «anónimo» en el servicio, ese identificador permite reconocer una instalación o sesión: no significa ausencia de datos personales.

XRAG utiliza el identificador y la prueba de identidad de Meta para validar la sesión del visor. Los permisos de plataforma incluyen User ID y User profile; no se utilizan para crear una lista de contactos. Para la cuenta de XRAG Web tratamos el nombre que facilitas, correo electrónico, estado de verificación, credenciales protegidas de acceso, autorizaciones y registros de vínculo entre cuenta, biblioteca y visor. El PIN del visor y las sesiones de Web permiten comprobar el acceso a tus galerías. La asociación entre cuentas se comprueba en el servicio; coincidir en un nombre visible no autoriza el acceso a una biblioteca ajena. XRAG Web utiliza cookies necesarias y tokens de sesión para mantener el acceso y proteger las solicitudes. También trata los datos de verificación y recuperación de cuenta y, si activas otros métodos de acceso o verificación, los registros técnicos necesarios para utilizarlos.

Espacio físico, movimientos y anclajes

La experiencia procesa posición y orientación del visor y los controles, seguimiento de manos cuando se utiliza, información de superficies de la habitación y profundidad del entorno. Esto permite apuntar, interactuar, colocar obras sobre paredes y mostrar correctamente objetos físicos delante de las paredes virtuales. Los mapas de profundidad se proporcionan mediante las funciones del visor. Información de Meta sobre Depth API.

XRAG guarda referencias de habitación y pared, geometría de presentación, identificadores de anclajes y posiciones de obras necesarias para restaurar la galería. La composición publicada y las referencias espaciales necesarias se comunican a la nube de XRAG y a los visores que abren esa galería. Los flujos de anclajes compartidos utilizan servicios de Meta. La colocación de la galería se resuelve con los datos espaciales del visor; no se publica un historial continuo de la posición del visitante.

El código actual de XRAG no implementa grabación o subida de fotografías de las cámaras del visor, audio del micrófono ni un historial continuo de movimientos. Eso no equivale a afirmar que el visor no use sus sensores: Meta los utiliza para prestar las funciones de realidad mixta. Los controles de captura o transmisión propios del sistema Meta están fuera de los controles de XRAG.

Lectura de QR y permisos del visor

Para leer el QR de una galería, XRAG utiliza las funciones de detección de marcadores del visor. El código detectado identifica la sala que se consulta en el servicio; esa consulta comunica el identificador de galería y los datos necesarios de sesión. La app no incorpora grabación ni subida de los fotogramas de las cámaras ni audio del micrófono. Los permisos de cámara y datos espaciales pueden ser necesarios para esta función. Si no deseas escanear, puedes ingresar el código de sala.

Obras, composición y preferencias

Se tratan las obras seleccionadas y sus datos de catálogo —por ejemplo, título, artista, técnica, dimensiones e identificador—, junto con posición, orientación, escala y versión de la galería. La instalación conserva borradores, respaldos de recuperación y, según el flujo utilizado, copias de la última galería cargada.

Los ajustes de paredes virtuales, incluidos color, grosor, dimensiones, márgenes y visibilidad, se guardan con la presentación de la galería y pueden formar parte de su publicación para recuperarlos en otros visores.

El catálogo se gestiona en XRAG Web con los medios que sube el usuario. Se procesan los archivos, sus metadatos y las versiones y miniaturas necesarias para identificarlos y mostrarlos. El visor conserva un catálogo de sesión, miniaturas y copias descargadas de las galerías. Eliminar una galería descargada retira esa copia local; no elimina la publicación en Web ni las copias de otros dispositivos. Si incorporas medios locales a una galería gestionada en Web, deben subirse a ese servicio. No se realiza una importación indiscriminada de archivos del dispositivo.

Diagnóstico y comunicaciones de soporte

Durante las pruebas se generan mensajes técnicos con errores, fechas, versión de la aplicación e identificadores de paneles, habitaciones o anclajes. El equipo puede consultar o extraer registros del visor durante una sesión de diagnóstico autorizada. Los servicios de red y SDK también pueden tratar datos técnicos, como dirección IP, identificadores de instalación y resultados de solicitudes, para prestar y proteger sus servicios. Información de Unity para jugadores y usuarios.

Si nos contactas, tratamos el correo de respuesta, tu solicitud y los archivos que decidas facilitarnos para atenderla. Evita enviar contraseñas, códigos de acceso, documentos innecesarios o imágenes privadas de otras personas.

4. Para qué usamos los datos

Las finalidades necesarias son operar la experiencia, mantener sesiones separadas, comprobar quién puede publicar, recuperar la colocación de las obras, cargar la galería seleccionada y solucionar fallos que impidan su funcionamiento. Las referencias espaciales y, cuando corresponde, los anclajes compartidos permiten recuperar la presentación en distintos visores.

La información que aportes voluntariamente a soporte se utiliza para atender tu consulta. XRAG no incorpora publicidad, compras dentro de la app ni un sistema propio de perfiles comerciales o seguimiento publicitario entre aplicaciones. No se destina la información de la habitación o tus movimientos a publicidad.

Puedes dejar de usar las funciones que no desees y administrar sus permisos desde el visor. Denegar los datos espaciales impide o limita la colocación y la oclusión; denegar el seguimiento de manos afecta esa modalidad de interacción. No se garantiza que la experiencia completa funcione sin sus permisos necesarios.

5. Destinatarios y procesamiento fuera de México

Meta proporciona el sistema del visor, la identidad de plataforma y los servicios espaciales y de anclajes. Unity Gaming Services proporciona Authentication, Cloud Code y Cloud Save para identidad, autorización y datos de galería. Unity utiliza subencargados de infraestructura, entre ellos Google Cloud Platform para esos servicios. Estos son los proveedores del flujo, no una transferencia de la propiedad de tu cuenta a Spiral Labs.

XRAG Web procesa cuentas, sesiones, bibliotecas y archivos de medios en la infraestructura del servicio. Cloudflare proporciona almacenamiento de objetos R2 para los medios y servicios de entrega y protección de red. Los objetos se entregan mediante autorizaciones de descarga; esto no equivale a hacer pública toda la biblioteca. Estos servicios pueden procesar archivos, metadatos y datos técnicos de red. Información de privacidad de Cloudflare.

Correo de cuenta. Los mensajes de verificación y recuperación de XRAG Web utilizan el proveedor Resend; para enviarlos se comunican el correo destinatario y el contenido necesario del mensaje. Información de privacidad de Resend.

Spiral Labs está en México, pero eso no determina dónde operan los proveedores. Unity publica posibles ubicaciones para esos servicios en Australia, Bélgica, Brasil, Alemania, Singapur, Taiwán y Estados Unidos. No significa que cada dato se almacene en todos ellos ni que exista una garantía de residencia exclusiva. La información del proveedor puede actualizarse. Subencargados de Unity y acuerdo de procesamiento de Unity.

Al publicar una composición, los lectores de esa galería pueden obtener las obras, sus metadatos, posiciones y referencias espaciales necesarias. No publiques información confidencial o personal de terceros como contenido de una exposición. La identidad de autenticación del curador no se incluye en el manifiesto público actual. Un identificador de galería no constituye por sí solo una contraseña ni una garantía de acceso privado.

El equipo de Spiral Labs puede acceder a datos necesarios para operar y dar soporte a XRAG. Una comunicación de datos a terceros distinta de los flujos descritos deberá revisarse e informarse y, cuando corresponda, requerir consentimiento. También pueden existir obligaciones legales de conservación o entrega a una autoridad competente; este aviso no declara que la empresa ya cuente con un procedimiento especializado para tales solicitudes.

6. Conservación

Conservamos únicamente lo necesario para las finalidades descritas. Los siguientes son límites máximos ordinarios para las copias bajo control de Spiral Labs; podemos eliminarlas antes si dejan de ser necesarias. Los días de conservación son naturales y los meses se cuentan de fecha a fecha.

La baja de una persona no autoriza borrar obras ajenas. Cuando una galería deba continuar, se evalúa qué datos personales pueden eliminarse o desvincularse sin conservar innecesariamente la identidad de quien deja de participar. Esto no impide tramitar una solicitud sobre los datos personales que aparezcan dentro de una obra o galería.

Una solicitud procedente de eliminación se atiende sin esperar a que terminen los plazos ordinarios anteriores. Actualmente no existe en XRAG una purga global automática por inactividad: el control de plazos y la atención de solicitudes se realizan mediante un procedimiento administrado por el equipo.

Los plazos técnicos de los proveedores no son un plazo universal de borrado de XRAG. En particular, la caducidad de un anclaje no elimina una cuenta, una galería en Unity ni sus respaldos. Gestionamos con los proveedores las acciones correspondientes y comunicamos cualquier alcance pendiente. Si existe una obligación legal o un bloqueo de datos aplicable, se limita el uso a ese motivo, se documenta su duración y se informa al solicitante; no se utiliza como excepción general para conservar todo indefinidamente.

7. Cómo solicitar acceso, corrección o eliminación

Escribe a [email protected] con el asunto «Privacidad XRAG». Indica tu nombre, un medio de respuesta, qué solicitas y, si lo conoces, el identificador de jugador o la sesión de prueba que facilite localizar los datos. Si no lo conoces, te ayudaremos a identificar la instalación. Verificaremos tu identidad y, cuando corresponda, la representación legal con los elementos necesarios y proporcionales al caso; nunca te pediremos contraseñas de Meta o Unity ni tokens de sesión. Para rectificación, señala el cambio solicitado y los elementos que lo sustenten.

Puedes solicitar acceso, rectificación, cancelación, oposición, revocación del consentimiento o limitación del uso de tus datos. La eliminación se ofrece sin costo a participantes de cualquier región, sin exigir una compra, una cuenta nueva ni instalar de nuevo la app.

Nuestro objetivo de atención es acusar recibo en 2 días hábiles y resolver las eliminaciones ordinarias en 15 días hábiles desde que se verifica la identidad y el alcance, sin retrasos innecesarios. Ese objetivo no reinicia ni sustituye los plazos legales: comunicaremos la decisión sobre derechos ARCO en un máximo de 20 días hábiles desde la recepción y, cuando proceda, la haremos efectiva dentro de los 15 días hábiles siguientes a la comunicación. Una ampliación solo se aplicará en los términos legales, por una vez y por un periodo igual, con justificación informada. Se respetará cualquier plazo más estricto que resulte aplicable. Ley mexicana vigente, artículo 31.

El procedimiento consiste en:

1. Registrar la solicitud, verificar identidad o representación y delimitar los datos que corresponden a la persona solicitante.
2. Localizar las cuentas y registros pertinentes en XRAG, sus dispositivos de pruebas, respaldos y servicios utilizados. Revisar por separado los datos individuales y los de una galería compartida.
3. Eliminar los datos procedentes, retirar las autorizaciones pertinentes y gestionar la eliminación con los proveedores. Cuando corresponda un bloqueo legal, restringir su uso e informar el fundamento y duración.
4. Comprobar que los datos eliminados no vuelvan a aparecer desde respaldos, cachés o sincronización en los sistemas bajo nuestro control.
5. Responder por el medio de contacto proporcionado, indicando lo eliminado, lo no localizado y cualquier excepción o gestión que siga pendiente. Una solicitud enviada a un proveedor no se presenta como borrado ya confirmado.

No se eliminará indiscriminadamente el contenido de otras personas. El cierre de tu cuenta Meta completa debe gestionarse con Meta y no se realiza al borrar tus datos de XRAG.

«Limpiar espacio» elimina paneles del borrador; no es una solicitud de eliminación de cuenta o de todos tus datos. Desinstalar o borrar los datos de la aplicación tampoco elimina automáticamente lo que ya se comunicó a la nube. Si participas como visitante con un identificador local, contacta al equipo antes de borrar la instalación para facilitar la localización; no tener el identificador no impide que recibamos tu solicitud.

8. Participantes menores de edad

La clasificación actual de XRAG es 18+ en la mayoría de regiones y Mature 17+ bajo ESRB. Debes cumplir la clasificación y las condiciones de edad aplicables de Meta en tu región. Las obras las eligen los usuarios y pueden incluir desnudos u otros contenidos para adultos; la clasificación no implica que XRAG incluya por defecto tales obras. XRAG no debe utilizarse por debajo del umbral aplicable. Esta declaración no significa que la app implemente una verificación independiente de edad.

Si una persona responsable de un menor considera que se han tratado sus datos indebidamente, puede contactar al correo de privacidad para que revisemos el caso y procedamos a su eliminación cuando corresponda.

9. Seguridad y cambios

La aplicación separa los perfiles de curador y visitante y utiliza comprobaciones de autorización en el servicio de publicación. Estas medidas no constituyen una garantía absoluta de seguridad. No compartas una instalación curatorial ni su sesión con personas que no deban poder operar la galería.

Los cambios se publicarán en spiral-labs.com/xrag-privacidad/, con una nueva fecha y versión. Los cambios relevantes en datos o finalidades se comunicarán a los participantes antes de aplicarse y requerirán consentimiento cuando corresponda. La incorporación de otros proveedores o finalidades y los cambios relevantes de tratamiento requieren una revisión de este aviso; no quedan autorizados automáticamente por las funciones actuales de XRAG.