Política de privacidad

1. Responsable del tratamiento

Cloud Ninja Consulting ApS
Apeldoorn Allé 20, 2791 Dragør, Denmark
Número de IVA: DK46044118
Eventphoto.io es el responsable del tratamiento de los datos personales recogidos a través del servicio.
Contacto: support@eventphoto.io

Esta política abarca Eventcam.dk, Eventphoto.io, Eventcam.se, Eventkamera.de, Eventphoto.fr, Eventcamera.es y Eventfoto.it, que son el mismo servicio con un único operador.

2. ¿Qué datos recogemos?

• Datos del anfitrión y del evento: dirección de correo electrónico del anfitrión, nombre del evento, código de evento, token privado del anfitrión, idioma seleccionado, hora de apertura, plan, fecha de caducidad y, en su caso, el PIN opcional para invitados.
• Datos de la cuenta del anfitrión y de la organización (usuarios del panel): correo electrónico de inicio de sesión, idioma de la cuenta y, en el caso de las organizaciones, el nombre de la organización, un nombre de marca opcional, el logotipo y el color, así como el saldo de créditos de evento y el registro de compras.
• Contenido subido: fotos, vídeos, la selección opcional de la imagen de portada y metadatos como el tipo de archivo, el tamaño, la hora de subida y el nombre opcional del invitado.
• Mensajes del libro de visitas: el texto del mensaje, el nombre opcional del invitado y la hora en que se escribió, cuando el anfitrión ha activado el libro de visitas.
• Identificadores de sesión de los invitados: un identificador de sesión anónimo que sirve para vincular las subidas y los mensajes del libro de visitas al mismo dispositivo del invitado y para aplicar los límites del plan.
• Registro de actividad del evento: un registro de las acciones realizadas en un evento (por ejemplo, subidas, eliminaciones, descargas, inicio de una mejora de plan) con la hora y si quien actuó fue el anfitrión o un invitado, para que los anfitriones puedan ver qué ha pasado con su evento y nosotros podamos investigar las consultas de soporte.
• Referencias de pago y facturación de los planes de pago: las referencias de Stripe a la sesión, el cliente, la intención de pago (payment intent) y la factura, necesarias para activar y documentar la compra. Stripe conserva los datos de la tarjeta y la dirección de facturación; nunca vemos los números completos de las tarjetas.
• Datos de acceso e inicio de sesión: sesiones de autenticación del panel y del área de administración, cookies de desbloqueo de los eventos protegidos con PIN y cookies de verificación del anfitrión para las acciones de descarga y administración.
• Datos de las solicitudes: tu dirección IP y la identificación de tu navegador se utilizan en memoria para limitar la frecuencia de las solicitudes abusivas y aparecen en los registros de solicitudes, de corta duración, de nuestro proveedor de alojamiento. No elaboramos perfiles a partir de ellos.
• Etiquetas generadas por IA en los planes de pago: si un evento de pago utiliza el etiquetado con IA, las etiquetas derivadas de las imágenes se guardan en los registros de las subidas.
• Opiniones: si respondes a las preguntas de opinión enlazadas desde un correo electrónico anterior enviado tras el evento, tu respuesta y cualquier comentario se guardan con el evento.
• Referencia del clic en el anuncio: si llegas desde uno de nuestros anuncios en ChatGPT y la analítica está activada (sección 8), los nombres de campaña del enlace del anuncio y la referencia del clic que OpenAI añadió a él. Tu navegador los conserva durante 30 días. Un evento gratuito que crees en ese plazo los guarda hasta que se elimine el evento, y un proceso de pago que inicies los guarda con el registro del pago.

3. Finalidades y base jurídica

El Reglamento General de Protección de Datos (RGPD) exige una base jurídica para cada finalidad:

• Creación y gestión del evento (subidas de los invitados, libro de visitas, acceso a la galería, compartir mediante QR, inicio de sesión del anfitrión, descargas, gestión de la portada, correos electrónicos transaccionales como confirmaciones, enlaces de inicio de sesión, códigos de descarga, recibos, avisos de la primera subida y recordatorios de caducidad): ejecución del contrato con el anfitrión, art. 6.1.b) RGPD. Para los invitados, nuestro interés legítimo en prestar el servicio que el anfitrión ha solicitado, art. 6.1.f) RGPD.
• Pago, activación y contabilidad: ejecución del contrato, art. 6.1.b) RGPD, y nuestra obligación legal de llevar la contabilidad conforme a la Ley danesa de contabilidad (bogføringsloven), art. 6.1.c) RGPD.
• Seguridad y prevención de abusos (límites de frecuencia, protección con PIN, verificación del anfitrión, registro de actividad, registros de solicitudes): nuestro interés legítimo en mantener la seguridad del servicio y de sus usuarios, art. 6.1.f) RGPD.
• Etiquetado de imágenes con IA en los eventos de pago: ejecución del contrato con el anfitrión, art. 6.1.b) RGPD. El etiquetado genera palabras clave descriptivas para la búsqueda; no se utiliza para identificar a personas y no emplea reconocimiento facial.
• Analítica del sitio web (Google Analytics 4): tu consentimiento a la analítica, art. 6.1.a) RGPD, que en nuestras páginas en inglés está activado por defecto para los visitantes de América (sección 8) y, en los demás casos, se presta en el banner de cookies; puedes desactivarlo en cualquier momento en Ajustes de cookies, en el pie de página.
• Medición de nuestros anuncios en ChatGPT (sección 5): tu consentimiento a la analítica, art. 6.1.a) RGPD, que en nuestras páginas en inglés está activado por defecto para los visitantes de América (sección 8). Desactivar la analítica en Ajustes de cookies detiene esta medición y elimina de tu navegador la entrada del clic en el anuncio; una referencia ya guardada con un evento se conserva hasta que se elimine el evento.
• Medición del rendimiento web (Vercel Speed Insights): nuestro interés legítimo en que el sitio sea rápido, art. 6.1.f) RGPD. Envía a Vercel los tiempos de carga de las páginas y la URL de la página; no instala cookies ni guarda ningún identificador en tu dispositivo.
• Opiniones sobre el producto (respuestas a esas preguntas de opinión): nuestro interés legítimo en mejorar el servicio, art. 6.1.f) RGPD. Responder es voluntario.
• Correo de reseña e invitaciones: tras un evento de pago, una vez que al menos siete invitados han subido contenido y no ha habido subidas durante dos días, enviamos un único correo electrónico al anfitrión para pedirle una reseña en Trustpilot; el correo indica cuántos invitados compartieron cuántas fotos y vídeos. Qué anfitriones de eventos de pago lo reciben depende únicamente de esa actividad de subida, nunca de cómo fue el evento ni de lo que pudieran decir. Se envía una copia a Trustpilot, que aproximadamente una semana después envía al anfitrión una invitación propia. Los anfitriones de eventos gratuitos reciben el mismo correo solo si lo enviamos manualmente, y Trustpilot no recibe nada de nosotros sobre ellos. Los eventos creados desde un espacio de coordinador no reciben ni lo uno ni lo otro. Nuestro interés legítimo en recoger reseñas auténticas de clientes, art. 6.1.f) RGPD. Escribir una reseña es voluntario, y puedes oponerte en cualquier momento.

4. Conservación y supresión

La caducidad del evento depende del plan elegido:

• Plan gratuito: el evento caduca 14 días después de su creación.
• Plan de pago: el evento caduca 365 días después de su creación.

Cuando un evento ha caducado, se dejan de admitir subidas y la galería se cierra. A continuación, un proceso automático elimina de forma permanente el evento, sus fotos y vídeos, los mensajes del libro de visitas, las imágenes de portada, los archivos comprimidos de descarga, el registro de actividad y el propio registro del evento; solo un registro técnico de la generación de los archivos de descarga (código de evento, tamaños, tiempos) y el registro de créditos de una organización pueden conservar el código de evento. El proceso se ejecuta una vez al día, por lo que la supresión se produce el día siguiente a la fecha de caducidad, normalmente en las 48 horas siguientes a la caducidad. Los anfitriones también pueden eliminar un evento o archivos concretos en cualquier momento desde el panel, y nosotros podemos eliminarlos previa solicitud. El contenido eliminado no se puede recuperar, así que descarga lo que necesites antes de la fecha de caducidad. Enviamos correos electrónicos de recordatorio antes de la caducidad.

Las demás categorías se conservan durante los plazos que se indican aquí:

• Datos de la cuenta del anfitrión y de la organización: hasta que nos pidas que eliminemos la cuenta.
• Registros de pagos y facturas: 5 años desde el final del ejercicio en que se realizó la compra, tal como exige la Ley danesa de contabilidad. Stripe conserva sus propios registros conforme a su propia política.
• Correspondencia de soporte: hasta 2 años después de cerrar la consulta.
• Respuestas a las preguntas de opinión: hasta 2 años.
• Registros de solicitudes en nuestro proveedor de alojamiento: un periodo breve, actualmente unos pocos días.
• Datos de analítica: Google Analytics 4 conserva los datos a nivel de evento durante 14 meses.

5. Encargados del tratamiento y transferencias fuera de la UE

No vendemos ni compartimos tus datos con terceros, salvo con los siguientes encargados del tratamiento, que actúan siguiendo nuestras instrucciones en virtud de contratos de encargo del tratamiento:

• Supabase Inc. – base de datos, autenticación y almacenamiento de archivos. Nuestro proyecto se ejecuta en la región de Londres de Supabase (Reino Unido). El Reino Unido está amparado por una decisión de adecuación de la UE, por lo que no se necesita ninguna garantía adicional.
• Vercel Inc. (EE. UU.) – alojamiento de la aplicación, entrega de contenidos y Speed Insights. Nuestras funciones de servidor se ejecutan en Fráncfort; la red perimetral (edge) y los sistemas de soporte de Vercel son globales. Las transferencias se basan en la certificación de Vercel en el Marco de Privacidad de Datos UE-EE. UU. (EU-US Data Privacy Framework) y en las cláusulas contractuales tipo de la UE.
• Brevo (Sendinblue SAS, Francia) – correos electrónicos transaccionales como confirmaciones, enlaces de inicio de sesión, recordatorios y avisos. Tratamiento en la UE.
• Stripe (Stripe Payments Europe Ltd., Irlanda, y Stripe Inc., EE. UU.) – procesamiento de pagos, facturas, cálculo de impuestos y metadatos relacionados con los pagos de los planes de pago. Las transferencias a EE. UU. se basan en la certificación de Stripe en el Data Privacy Framework y en cláusulas contractuales tipo.
• OpenAI (OpenAI Ireland Ltd. y OpenAI, L.L.C., EE. UU.) – etiquetado de imágenes con IA en los eventos de pago. Las fotos se envían como miniaturas de tamaño reducido mediante enlaces de corta duración; OpenAI las procesa para devolver palabras clave y no utiliza los datos de la API para entrenar sus modelos. Las transferencias se basan en la certificación de OpenAI en el Data Privacy Framework y en cláusulas contractuales tipo.
• Trustpilot A/S (Dinamarca) – invitaciones a dejar una reseña dirigidas a los anfitriones de eventos de pago. Recibe una copia del correo de reseña enviado tras el evento, incluida la dirección de correo electrónico del anfitrión, el nombre del evento y el número de invitados, fotos y vídeos del evento. La reseña que decidas escribir se rige por la política de privacidad de Trustpilot.
• Google (Google Ireland Ltd. y Google LLC, EE. UU.) – analítica web basada en el consentimiento mediante Google Analytics 4. Las transferencias se basan en la certificación de Google en el Data Privacy Framework y en cláusulas contractuales tipo. Google Analytics 4 no registra ni almacena direcciones IP.

Si llegas desde un anuncio mostrado en ChatGPT y la analítica está activada, informamos a OpenAI (OpenAI, L.L.C., EE. UU.) de que el anuncio dio lugar a un evento gratuito, a un proceso de pago o a una compra, para poder medir el anuncio. Enviamos la referencia del clic en el anuncio que OpenAI añadió al enlace, nuestro propio identificador de ese paso (la referencia de pago de Stripe en el caso de un proceso de pago o una compra, un código derivado de la referencia del clic en el caso de un evento gratuito), el importe y la moneda del pedido, la dirección de la página (nunca la página de un evento o de una cuenta) y la hora. No enviamos tu nombre, tu dirección de correo electrónico, tu dirección IP ni ningún otro dato de contacto. Las transferencias se basan en la certificación de OpenAI en el Data Privacy Framework y en cláusulas contractuales tipo.

También podemos comunicar datos cuando la ley lo exija, por ejemplo a las autoridades tributarias o en cumplimiento de un requerimiento legal válido.

6. Invitados y otras personas que aparecen en las fotos

Los invitados suben contenido por invitación del anfitrión. Solo utilizamos el contenido de los invitados para gestionar el evento del anfitrión: mostrarlo en la galería del evento, ponerlo a disposición del anfitrión para su descarga y, en los eventos de pago, etiquetarlo para la búsqueda. Nunca lo publicamos, lo usamos con fines de marketing ni lo compartimos con nadie que no sea el anfitrión y los invitados de ese evento. El anfitrión es responsable de informar a los invitados de que se están recopilando fotos y de obtener los permisos que requiera el evento.

7. Tus derechos

En virtud del RGPD, tienes derecho a:

• acceder a los datos personales que tenemos sobre ti y recibir una copia;
• la rectificación de los datos inexactos;
• la supresión («derecho al olvido»), por ejemplo de una foto tuya que haya subido un invitado;
• la limitación del tratamiento mientras se tramita una solicitud o hay una controversia abierta;
• la portabilidad de los datos que nos has facilitado, en un formato de lectura mecánica;
• oponerte al tratamiento basado en nuestros intereses legítimos, incluidos el registro de actividad y la medición del rendimiento;
• retirar el consentimiento en cualquier momento cuando el tratamiento se base en el consentimiento (cookies analíticas), sin que ello afecte al tratamiento realizado antes de la retirada.

Escribe a support@eventphoto.io para ejercer cualquiera de estos derechos. Respondemos en el plazo de un mes. Si eres un invitado y quieres que se retire una foto, indícanos el código de evento y el archivo; el anfitrión también puede retirarla directamente.

También puedes presentar una reclamación ante la autoridad danesa de protección de datos, Datatilsynet, Carl Jacobsens Vej 35, 2500 Valby, Dinamarca, o ante la autoridad de control del país de la UE o del EEE en el que residas.

8. Cookies y almacenamiento del navegador

Utilizamos cookies necesarias y el almacenamiento del navegador asociado, imprescindibles para el inicio de sesión, el desbloqueo de eventos, la verificación del anfitrión, la elección de idioma, la continuidad de la sesión de los invitados y para recordar tu elección sobre las cookies. La analítica es opcional: Google Analytics 4 para medir el tráfico y, si llegaste desde uno de nuestros anuncios en ChatGPT, un registro de ese clic en el anuncio que tu navegador guarda durante 30 días (sección 5). En nuestras páginas en inglés, los visitantes de América (según la zona horaria configurada en el dispositivo) tienen la analítica activada por defecto, sin banner; para todos los demás solo se activa después de pulsar Aceptar. Cualquiera puede desactivarla en Ajustes de cookies. No utilizamos cookies publicitarias ni píxeles de marketing. La lista completa está en la Política de cookies.

9. Seguridad

Los datos se cifran en tránsito (TLS) y en reposo en nuestro proveedor de almacenamiento. Solo se puede acceder a las galerías de los eventos con el código de evento y, si el anfitrión lo establece, con un PIN para invitados; las acciones del anfitrión requieren un enlace de anfitrión firmado o un inicio de sesión. El acceso a los sistemas de producción está limitado al operador. Ningún método de transmisión o almacenamiento es completamente seguro, por lo que no podemos garantizar una seguridad absoluta.

10. Cambios en esta política

Actualizamos esta política cuando cambian el servicio o la ley y mostramos arriba la fecha de la última actualización. Los cambios sustanciales en la forma en que utilizamos los datos de los anfitriones se comunican por correo electrónico a los anfitriones con eventos activos.