Qué guardamos, dónde y durante cuánto tiempo.

1. Responsable del tratamiento

Divil d.o.o., Glinškova ulica 9, 2000 Maribor, Eslovenia, representada por su administrador, Sašo Radović. Correo electrónico: hello@gatheredphotos.com. Más datos en el aviso legal.

2. Visita del sitio web (alojamiento)

El sitio funciona en Vercel (Vercel Inc., EE. UU.). Cuando abres una página, Vercel trata los datos técnicamente necesarios: dirección IP, fecha y hora, página solicitada (URL), navegador y sistema operativo. Es necesario para servir la página y protegerla frente a abusos. La base jurídica es nuestro interés legítimo en un funcionamiento seguro (art. 6.1.f RGPD). Vercel trata estos datos como encargado del tratamiento por cuenta nuestra y solo los conserva el tiempo necesario para el funcionamiento y la seguridad. No usamos cookies.

3. Anfitriones (compradores)

• Al pagar, Stripe recoge tu dirección de correo electrónico, tus datos de pago y tu país de facturación. Stripe actúa como comerciante registrado (Merchant of Record) y trata estos datos como responsable independiente, según su propia política de privacidad. Nosotros recibimos tu dirección de correo electrónico y el número de pedido, nunca los datos de tu tarjeta. Comunicamos a Stripe el nombre y la fecha del evento para que aparezcan en el recibo.
• El registro del álbum contiene el nombre y la fecha del evento tal como los escribiste, tu dirección de correo electrónico (para el correo de bienvenida y los recordatorios antes del borrado), el número de pedido, el idioma del álbum, el fin del periodo de subidas y la fecha de borrado. Se guarda cifrado y se borra junto con el álbum.
• Los correos electrónicos (bienvenida, recordatorios, respuestas a tus preguntas) los enviamos a través de Resend (Plus Five Five, Inc., EE. UU.) como encargado del tratamiento.
• La base jurídica es la ejecución del contrato del álbum (art. 6.1.b RGPD). Sin dirección de correo electrónico, nombre y fecha del evento no podemos crear el álbum; aparte de eso, no estás obligado a facilitar ningún dato.

4. Invitados

• Los invitados no necesitan cuenta y no les pedimos ni nombre ni dirección de correo electrónico. Al subir una foto solo se transmite la propia foto, ningún dato identificativo del invitado (sobre los datos de conexión técnicamente necesarios, consulta el apartado 2); no guardamos direcciones IP asociadas a las fotos.
• Antes de la subida, nuestra página de subida elimina, directamente en el teléfono del invitado, los datos de ubicación GPS de las fotos JPEG. Los demás metadatos (cámara, hora) se quedan en el archivo, porque el anfitrión recibe los originales.
• En las fotos pueden aparecer personas. El anfitrión es responsable de informar a los invitados; cualquier persona puede pedir, con el botón «Denunciar» o por correo electrónico, que se quite una foto en la que aparece.
• La base jurídica es nuestro interés legítimo y el del anfitrión en reunir en un solo lugar las fotos de un evento (art. 6.1.f RGPD).

5. Lugar y plazo de conservación

• Las fotos y los registros de los álbumes se guardan en Vercel Blob, en Fráncfort (UE).
• El álbum se borra con todas sus fotos 12 meses después de la fecha del evento (o de la compra, si es posterior). El borrado es automático; no guardamos copias de seguridad de las fotos.
• Los datos del pedido se conservan en Stripe durante el tiempo que exija la normativa fiscal.
• Los correos que nos envías y los mensajes del formulario de contacto los conservamos mientras se tramita la consulta y durante el tiempo necesario para posibles preguntas posteriores.

6. Transferencias a EE. UU.

Vercel y Resend son empresas con sede en EE. UU. Vercel Inc. está certificada en el Marco de Privacidad de Datos UE-EE. UU. (EU-U.S. Data Privacy Framework), respecto del cual la Comisión Europea ha declarado un nivel de protección adecuado (art. 45 RGPD). Resend protege las transferencias con las cláusulas contractuales tipo de la Comisión Europea (art. 46 RGPD) y también participa en el Data Privacy Framework. Supabase Inc. (EE. UU.) aloja las estadísticas de visitas como encargado del tratamiento en un centro de datos de Fráncfort (UE).

7. Contacto por correo electrónico o formulario de contacto

Si nos escribes, tratamos tu dirección de correo electrónico y tu mensaje para responderte. El formulario de contacto envía ambos a nuestro buzón a través de Resend y no guarda nada más. La base jurídica es la aplicación de medidas precontractuales o la ejecución de un contrato (art. 6.1.b RGPD) o nuestro interés legítimo en responder a las consultas (art. 6.1.f RGPD).

8. Estadísticas de visitas

Nuestras páginas cargan un pequeño script de hotelchrono.com (gestionado también por Divil d.o.o.) que cuenta las visitas a las páginas. No usa cookies ni guarda nada en el navegador. Se transmiten la página visitada (sin parámetros), el sitio web desde el que llegaste (solo su dominio) y, al hacer clic en una dirección de correo electrónico o enviar un formulario, solo el tipo de ese evento, nunca su contenido. El servidor añade el país y el tipo de dispositivo y genera, a partir de la dirección IP, un hash con una sal aleatoria (salt) que cambia cada día; la dirección IP en sí no se guarda, y al día siguiente el hash ya no puede asociarse a ninguna persona. Los registros individuales se borran al cabo de una hora; solo se conservan de forma permanente los totales diarios por página (visitas, procedencia, país, tipo de dispositivo) y los valores hash diarios con los que cada visitante se cuenta una sola vez por día. Los datos se guardan en Supabase, en Fráncfort (UE). Las páginas de los álbumes no cargan el script. La base jurídica es nuestro interés legítimo en una medición de audiencia sencilla y que use los mínimos datos posibles (art. 6.1.f RGPD).

9. Lo que no hacemos

Nada de publicidad, nada de vender datos ni de comunicarlos a terceros, salvo a los proveedores mencionados arriba; nada de reconocimiento facial, nada de usar las fotos para entrenar IA ni para publicidad, y ninguna decisión automatizada. Los álbumes nunca aparecen en los buscadores.

10. Tus derechos

Tienes derecho de acceso (art. 15 RGPD), rectificación (art. 16), supresión (art. 17), limitación del tratamiento (art. 18), portabilidad de los datos (art. 20) y oposición a los tratamientos basados en nuestro interés legítimo (art. 21). Para ejercerlos, escribe a hello@gatheredphotos.com. Los anfitriones pueden borrar ellos mismos cualquier foto en todo momento; el borrado del álbum completo se solicita por correo electrónico.

También puedes presentar una reclamación ante una autoridad de control de protección de datos (art. 77 RGPD), por ejemplo la de tu país de residencia, como la Agencia Española de Protección de Datos (AEPD) en España, o la autoridad eslovena competente para nosotros (Informacijski pooblaščenec, IP-RS).