Legal

Política de Privacidad

Status: 21 de octubre de 2026 · Todos los documentos legales

Traducción a título informativo. Únicamente la versión alemana es jurídicamente vinculante.

Traducción a título informativo. Únicamente la versión alemana es jurídicamente vinculante.

---

1. Responsable y contacto

El responsable del tratamiento en el sentido del Reglamento General de Protección de Datos (DSGVO) es:

Matthias Anderer GmbH
Abt-Kaspar-Str. 19, 83607 Holzkirchen, Alemania
Director gerente: Matthias Anderer
Correo electrónico: privacy@snapories.com · Teléfono: +49 151 22837719
Amtsgericht München HRB 224848 · N.º de IVA DE305934264

Para cualquier consulta sobre protección de datos y para ejercer tus derechos: privacy@snapories.com.

Actualmente no se ha designado a un delegado o una delegada de protección de datos; según nuestra evaluación, no se cumplen los requisitos del § 38 BDSG. Si esto cambia, publicaremos los datos de contacto en este lugar.

---

2. De qué somos responsables nosotros — y de qué lo es el organizador o la organizadora

Snapories se utiliza siempre en el marco de un evento que alguien ha reservado. Quién es responsable en materia de protección de datos depende de quién realiza la reserva:

Con independencia de ello, somos siempre responsables independientes de: la ejecución del contrato y la facturación, la seguridad operativa y de TI, la prevención de abusos, las cifras de uso agregadas sin referencia personal, la medición de nuestra propia publicidad (apartado 4), así como el cumplimiento de obligaciones legales.

Para la app para invitados mantenemos además una relación directa contigo como invitado: utilizas la app por decisión propia; la base jurídica en ese aspecto es el Art. 6 Abs. 1 lit. b DSGVO (relación de uso).

---

3. Las seis superficies de un vistazo

Snapories se compone de seis sitios web/aplicaciones separados. Se alojan en dominios propios y no comparten ningún almacenamiento en el navegador, con excepción de las cookies del píxel de Reddit, que solo se generan tras tu consentimiento en el sitio web de marketing (apartado 4.6):

---

4. Sitio web de marketing (snapories.com)

4.1 Datos de registro del servidor (logs). Al acceder se tratan datos técnicamente necesarios: dirección IP, fecha y hora, recurso solicitado, código de estado, volumen de datos transferido, referente (referrer), agente de usuario (user-agent). Finalidad: entrega, estabilidad, seguridad informática. Base jurídica: Art. 6 Abs. 1 lit. f DSGVO (interés legítimo en una oferta segura y funcional). Plazo de conservación: a corto plazo, en el marco de los registros operativos de nuestro proveedor de alojamiento.

Nuestra red de entrega escribe además, para el sitio web de marketing, un registro de accesos con los mismos datos. Lo analizamos una vez al día para contar qué páginas solicitan los programas automatizados (como los rastreadores de los motores de búsqueda) y para detectar programas que se hacen pasar por tales sin serlo. Después solo se almacena cuántas veces ha solicitado una página un programa de ese tipo en un día, sin la dirección IP. El propio registro se elimina tras 7 días. Base jurídica: Art. 6 Abs. 1 lit. f DSGVO (interés legítimo en observar la visibilidad del sitio web y en detectar solicitudes abusivas).

4.2 Recuento de páginas sin cookie. Para saber qué páginas resultan útiles y en qué punto el formulario de reserva pierde a las personas visitantes, cada página envía a nuestro propio servidor un breve mensaje: qué página se abrió, hasta dónde has llegado en el formulario de reserva, el dominio de la página de procedencia (no su dirección completa) así como los datos de campaña que figuraban en la dirección a través de la cual llegaste al sitio web (como utm_source o el identificador de clic de una red publicitaria). Este mensaje no contiene ningún identificador y no coloca ni una cookie ni ninguna otra entrada en tu dispositivo.

Para agrupar las páginas de una visita, nuestro servidor forma, a partir de tu dirección IP —abreviada al rango de red (IPv4 /24, IPv6 /64)— y de un valor aleatorio generado de nuevo cada día, un valor hash. Solo sirve para volver a encontrar una visita en curso; de una visita se almacena un número aleatorio que caduca tras 30 minutos sin que se abra ninguna página. El valor aleatorio diario se elimina tras 2 días; después, ni siquiera nosotros podemos reconstruir qué rango de red correspondía a qué visita. El agente de usuario de tu navegador lo leemos únicamente para descartar los rastreadores declarados; no se almacena. Lo que queda son cifras diarias agregadas —páginas vistas, visitas, pasos en el formulario de reserva, procedencia de las visitas— sin relación con ninguna persona. Los datos no salen de nuestros propios sistemas.

Base jurídica: Art. 6 Abs. 1 lit. f DSGVO. Nuestro interés legítimo consiste en comprender qué contenidos se utilizan y dónde fracasa la reserva, con el fin de mejorar la oferta. Consideramos tus intereses salvaguardados por el hecho de que no se genera ningún identificador más allá de una visita, no se almacena nada en tu dispositivo, no se elabora ningún perfil y no se cede nada a terceros. Puedes oponerte a este tratamiento conforme al Art. 21 DSGVO (apartado 13). Como el recuento funciona sin identificador, no te reconocemos en una visita posterior y, por ello, no podemos asociar una oposición a ninguna visita futura; el propio mensaje puede, no obstante, bloquearse en cualquier momento con un bloqueador de contenidos en tu navegador, sin que el sitio web quede por ello limitado.

4.3 Formulario de reserva. Para la reserva tratamos el nombre, la dirección de correo electrónico, la dirección de facturación y el país, el nombre y el período del evento, el número de invitados y los contingentes elegidos, así como un posible código de descuento. Base jurídica: Art. 6 Abs. 1 lit. b DSGVO (ejecución del contrato); para los datos de facturación y fiscales, además, Art. 6 Abs. 1 lit. c DSGVO (§ 14 UStG, § 147 AO).

Si has llegado al sitio web a través de un anuncio o de un enlace de campaña, almacenamos además, junto con la reserva, los datos de campaña de la dirección de entrada (fuente, campaña, identificador de clic de la red publicitaria), la propia dirección de entrada y la procedencia de la reserva derivada de ellos. Así reconocemos qué publicidad conduce a reservas. Base jurídica: Art. 6 Abs. 1 lit. f DSGVO (interés legítimo en medir el éxito de la propia publicidad). Estos datos permanecen con nosotros. A una red publicitaria solo se envían con tu consentimiento conforme al apartado 4.6; solo entonces registramos además, en la reserva, tu dirección IP y el identificador de tu navegador (user-agent), y únicamente de forma breve para ese mensaje (apartados 4.6, 14).

4.4 Contacto. Si nos escribes, tratamos tus datos para responderte. Base jurídica: Art. 6 Abs. 1 lit. b o lit. f DSGVO. Eliminamos la correspondencia tan pronto como deja de ser necesaria y no se opone ninguna obligación de conservación.

4.5 Tu elección en la primera visita. En la primera visita al sitio web de marketing te preguntamos si permites la medición publicitaria conforme al apartado 4.6. Rechazar es tan sencillo como aceptar y, hasta que no hayas dado tu consentimiento, no se carga nada de ello. Si tu navegador envía la señal «Global Privacy Control», lo interpretamos como un rechazo y no preguntamos. Tu elección la almacenamos en el almacenamiento local de tu navegador (fecha, versión de esta consulta y tu respuesta, sin identificador), para no volver a preguntar en cada acceso a una página; es válida durante 12 meses o hasta que modifiquemos el contenido de la consulta. A través del enlace «Cookies» en el pie de página de cada página puedes consultar y modificar tu elección en cualquier momento. Base jurídica: Art. 6 Abs. 1 lit. c DSGVO en relación con el Art. 7 Abs. 1 DSGVO (prueba del consentimiento); el almacenamiento de la elección no requiere consentimiento conforme al § 25 Abs. 2 Nr. 2 TDDDG. La app para invitados, el panel del organizador y nuestras demás interfaces no preguntan, porque allí no se realiza ninguna medición publicitaria.

4.6 Medición de nuestros anuncios en Reddit (solo con tu consentimiento). Hacemos publicidad en la plataforma Reddit. Para reconocer cuáles de esos anuncios conducen a visitas y reservas, y para que Reddit pueda mostrar nuestros anuncios a aquellas personas para quienes resultan interesantes, utilizamos —solo en el sitio web de marketing y solo si has dado tu consentimiento— dos vías de medición de Reddit:

a) El píxel de Reddit en el navegador. Tras tu consentimiento, la página carga un script de www.redditstatic.com. Coloca en nuestro dominio hasta dos cookies: _rdt_uuid, un número aleatorio con el que Reddit reconoce tu navegador a lo largo de varias visitas, y —si has llegado a través de un anuncio de Reddit— _rdt_cid con el identificador de clic de ese anuncio. Ambas son válidas durante 90 días. Se encuentran en el dominio snapories.com y, por ello, se envían también técnicamente al acceder a nuestras demás interfaces; allí nadie las lee. El script comunica a Reddit, en cada acceso a una página, un evento de página vista y, tras una reserva pagada, un evento de compra con el importe neto, la moneda y un identificador de evento. En ese proceso, Reddit recibe la dirección de la página, la página de procedencia, los valores de las cookies mencionadas, datos sobre tu navegador y sobre el tamaño de pantalla así como —por razones técnicas— tu dirección IP. Si has iniciado sesión en Reddit, tu navegador envía entonces también las cookies de reddit.com; Reddit puede en tal caso asociar el mensaje a tu cuenta de Reddit. No facilitamos al píxel ninguna dirección de correo electrónico ni ningún número de teléfono, y la comparación automática de los datos de contacto mostrados en la página está desactivada.

b) La comunicación de una reserva desde nuestro servidor. Como los navegadores y los bloqueadores de publicidad impiden con frecuencia los mensajes desde el navegador, nuestro servidor comunica además a Reddit una reserva pagada (Conversions API), también solo si en el momento de la reserva habías dado tu consentimiento a la medición publicitaria. Se transmiten: el evento «compra» y su momento, el importe neto y la moneda, el mismo identificador de evento que en el navegador (para que Reddit no cuente una reserva dos veces), un valor hash SHA-256 de tu dirección de correo electrónico, el identificador de clic de Reddit, el valor de la cookie _rdt_uuid, la dirección a través de la cual llegaste al sitio web, así como la dirección IP y el identificador del navegador (user-agent) con los que enviaste la reserva. Reddit utiliza la dirección IP y el identificador del navegador para asociar la reserva al anuncio a través del cual llegaste. Ambos los registramos al hacer clic en «Pagar» solo si en ese momento has dado tu consentimiento a la medición publicitaria, y no los almacenamos junto con tu reserva, sino de forma separada y solo hasta que el mensaje se haya enviado a Reddit: eliminamos nuestra copia tan pronto como el mensaje se haya transmitido, pero a más tardar tras 14 días, incluso cuando el mensaje no llegue a producirse. No transmitimos tu nombre, tu dirección ni datos sobre tu evento. Un valor hash no es una anonimización: Reddit lo coteja con los valores hash de las direcciones de correo electrónico de sus usuarios y puede así asociar la reserva a una cuenta de Reddit.

Qué hace Reddit con ello. Reddit utiliza estos datos, conforme a sus condiciones, para mostrarnos cuántas visitas y reservas se deben a nuestros anuncios, para optimizar la entrega de nuestros anuncios y para mejorar sus servicios publicitarios; Reddit puede también formar con ellos públicos objetivo para publicidad en Reddit. De Reddit recibimos únicamente análisis agregados, ningún dato sobre personas individuales.

Base jurídica. El almacenamiento de las cookies y la lectura de información de tu navegador: § 25 Abs. 1 TDDDG, es decir, tu consentimiento. El tratamiento posterior, incluida la comunicación desde nuestro servidor: Art. 6 Abs. 1 lit. a DSGVO, igualmente tu consentimiento.

Corresponsabilidad y responsabilidad propia. Para la recogida de los datos en nuestro sitio web y su transmisión a Reddit, Reddit y nosotros decidimos conjuntamente sobre los fines y los medios; en esa medida somos corresponsables con Reddit en el sentido del Art. 26 DSGVO (TJUE, sentencia de 29 de julio de 2019, C-40/17 — Fashion ID). De la obtención de tu consentimiento y de la información conforme a esta declaración nos ocupamos nosotros. De todo lo que Reddit haga con los datos tras su recepción, Reddit es el único responsable; las condiciones publicitarias de Reddit (Reddit Business Tool Terms y Reddit Advertising Data Processing Agreement) describen a Reddit, en esa medida, como responsable independiente. Tus derechos conforme al apartado 13 puedes ejercerlos frente a nosotros y frente a Reddit; lo que nos dirijas que afecte al tratamiento de Reddit lo trasladamos. Cómo trata Reddit los datos se describe en la política de privacidad de Reddit.

Destinatarios. La parte contratante para los clientes publicitarios en el Espacio Económico Europeo es Reddit Netherlands B.V., Euro Business Center, Looiersgracht 43, 1016 VR Amsterdam, Países Bajos. Los datos son tratados además por Reddit, Inc., 548 Market St. #16093, San Francisco, CA 94104, EE. UU. Contacto de protección de datos de Reddit: dpo@reddit.com.

Transferencia a un tercer país. Reddit, Inc. está certificada conforme al EU-US Data Privacy Framework; la transmisión a EE. UU. se basa en la decisión de adecuación de la Comisión Europea de 10 de julio de 2023. Para el caso de que esta base no sea aplicable o deje de existir, Reddit y nosotros hemos acordado adicionalmente las cláusulas contractuales tipo de la Comisión Europea (Módulo 1, transmisión entre responsables) (apartado 11).

Plazo de conservación. Las cookies _rdt_uuid y _rdt_cid son válidas durante 90 días. Respecto de una reserva, almacenamos que habías dado tu consentimiento y el valor de _rdt_uuid mientras conservemos la reserva (apartado 14). La dirección IP y el identificador del navegador de la reserva los eliminamos tan pronto como el mensaje se haya enviado a Reddit, a más tardar tras 14 días. Cuánto tiempo almacena Reddit los datos se rige por la política de privacidad de Reddit.

Revocación. Puedes revocar tu consentimiento en cualquier momento con efecto para el futuro, del modo más sencillo a través del enlace «Cookies» en el pie de página de cada página. A partir de ese momento, el sitio web no comunica nada más a Reddit y no vuelve a cargar el píxel en visitas posteriores, las dos cookies se eliminan de nuestro dominio y nuestro servidor no comunica ninguna reserva más a Reddit. La licitud del tratamiento efectuado hasta ese momento no se ve afectada por ello. Lo que Reddit ya haya recibido obra en poder de Reddit; su eliminación puedes solicitarla a Reddit, y nosotros te apoyamos en ello. Sin consentimiento puedes utilizar el sitio web y la reserva sin ninguna restricción.

---

5. Aplicación para invitados (app.snapories.com)

5.1 Identidad sin cuenta

No creas ninguna cuenta. Para que tus imágenes y tu carrete fotográfico sigan asociados a ti, nuestro servidor te expide un pase de acceso firmado. Este pase se almacena en tres lugares: en el almacenamiento local de tu navegador, en una cookie que nosotros establecemos (spr_id) y —para la consulta actual— en una segunda entrada de corta duración.

No utilizamos de forma expresa ninguna técnica de huella digital del dispositivo (fingerprinting). Un procedimiento empleado anteriormente, que reconocía tu dispositivo a partir de características técnicas, ha sido eliminado por completo: podía confundir dos dispositivos idénticos y no era justificable desde el punto de vista de la protección de datos. Un dispositivo sin un pase válido es para nosotros una persona nueva y desconocida.

Base jurídica: Art. 6 Abs. 1 lit. b DSGVO. El establecimiento del pase es técnicamente imprescindible y, por tanto, no requiere consentimiento conforme al § 25 Abs. 2 Nr. 2 TDDDG.

5.2 Tu nombre

El nombre introducido al unirse es de libre elección. Se muestra a los demás participantes de este evento cuando la persona organizadora así lo haya configurado. Base jurídica: Art. 6 Abs. 1 lit. b DSGVO.

5.3 Fotos e imágenes

Tratamos las imágenes que captas, las versiones derivadas técnicamente (miniaturas) así como metadatos (momento, dimensiones, asociación a ti y al evento). Finalidad: puesta a disposición de la galería del evento. Base jurídica: Art. 6 Abs. 1 lit. b DSGVO respecto a ti; en cuanto a otras personas que aparezcan en las imágenes, Art. 6 Abs. 1 lit. f DSGVO (interés legítimo de los participantes en la documentación conjunta de un acontecimiento dentro de un círculo cerrado).

Las personas que aparecen en las imágenes y que no utilizan la aplicación tienen los derechos del apartado 13 — en particular el derecho de oposición conforme al Art. 21 DSGVO. En la práctica existen dos vías: la persona organizadora puede bloquear de inmediato una imagen concreta, y nosotros eliminamos las imágenes a petición. No se lleva a cabo ningún reconocimiento facial automático, ningún difuminado automático ni ningún cotejo con una imagen de referencia.

Sin datos biométricos. Snapories no crea plantillas faciales (templates) ni vectores faciales y no realiza ningún cotejo biométrico. No reconocemos a nadie por su rostro, no cotejamos imágenes con una imagen de referencia y no podemos deducir de una imagen quién aparece en ella. Una función planificada anteriormente para difuminar el propio rostro fue suprimida antes del lanzamiento al mercado y no existe en el sistema.

Lo que describe el análisis de IA. Cuando se analiza una imagen para la fotomatón de IA (apartado 6), se genera con ello una breve descripción de cada persona que aparece en primer plano — incluido su tono de piel aparente y su origen étnico aparente. Sirve para que la imagen generada conserve el aspecto de las personas representadas y no lo sustituya por otro ajeno. Se trata de datos de una categoría especial en el sentido del Art. 9 DSGVO, y los mencionamos aquí en lugar de afirmar que no se producen. Se utilizan exclusivamente para esta única finalidad: no los empleamos para clasificar, perfilar, segmentar, evaluar o reconocer a nadie, y en el servicio no influyen en nada salvo en la imagen que se genera. No se escriben en nuestra base de datos. Para una generación se transportan cifrados en el token de sesión que tu aplicación conserva durante la duración de esa sesión; en la comprobación automática conforme al apartado 6.1a se descartan en cuanto se deriva de ellos la respuesta de sí/no. Detalles sobre la transmisión, la base jurídica y el almacenamiento en el proveedor de IA: apartado 6.

5.4 Contingentes y compartición

Contamos cuántas capturas y créditos has consumido y si una imagen se ha compartido. Estos contadores son necesarios para el funcionamiento (gestión de contingentes) y se integran en estadísticas agregadas y no personales. Base jurídica: Art. 6 Abs. 1 lit. b y lit. f DSGVO.

5.5 Acceso a la galería

La galería de un evento es accesible mediante el código de acceso aleatorio de siete caracteres. El código es prácticamente imposible de adivinar, pero no constituye un inicio de sesión: quien lo conozca puede ver las imágenes liberadas del evento. Lo señalamos para que puedas valorar quién puede ver tus imágenes.

Este acceso existe únicamente durante el periodo del evento. Al finalizar el evento, la galería ya no es accesible para los invitados; la persona organizadora puede poner a disposición las imágenes posteriormente a través de un enlace de compartición de duración limitada (apartado 14).

5.6 Enlace personal de recuperación

Mediante la función «Guardar fotos» generas un enlace que contiene tu identificador. Quien posea el enlace obtiene acceso a tus imágenes y contingentes. Trátalo como una contraseña. El enlace tiene una validez de hasta 400 días y solo puede utilizarse para asumir la identidad, no como clave de acceso general.

---

6. Fotomatón de IA y comprobación automática de imágenes — transmisión al proveedor de IA

6.1 Qué ocurre en el fotomatón. El fotomatón no tiene cámara propia. Tú haces las fotos con la única cámara de la aplicación; a continuación seleccionas una de tus propias imágenes que ya se encuentra en la galería y describes qué debe hacerse con ella. Esa imagen se transmite, junto con tu entrada de texto, al proveedor de IA Google (Gemini API, generativelanguage.googleapis.com). Allí se determina en varios pasos el número de personas representadas, se generan propuestas de disfraces y, por último, se genera la imagen de resultado. El resultado lo guardamos como imagen adicional de tu evento.

Tu imagen original no se modifica ni se sustituye — permanece en la galería exactamente tal como la tomaste. Si aplicas la IA dos veces a la misma imagen, obtienes dos imágenes de resultado.

Durante el tiempo que dura una generación, creamos en la región de datos del evento una copia de trabajo de la imagen que has elegido. No se muestra en ningún sitio; existe para que una imagen que rechazamos por considerarla inadecuada pueda descartarse sin tocar tu foto en la galería. Si tu imagen es rechazada, eliminamos esa copia de inmediato. En caso contrario, forma parte de los datos del evento y se elimina junto con él; puedes solicitar su eliminación en cualquier momento (apartado 13).

6.1a Comprobación automática de cada imagen subida. Para que la aplicación sepa en qué imágenes puede ofrecerte siquiera la función de IA, cada imagen que subes se comprueba automáticamente — no solo aquellas que realmente utilizas después. Esto ocurre sin intervención por tu parte, inmediatamente después de la subida, y para ello la imagen se transmite al mismo proveedor de IA en las mismas condiciones que según el apartado 6.1 (Google, Gemini API) — reducida a una longitud de borde de 1.280 píxeles como máximo, siempre que nuestro software pueda recodificar la imagen y, de lo contrario, sin reducir.

Qué preguntamos y qué conservamos. Preguntamos dos cosas: si hay siquiera una persona en la imagen y si el encuadre es lo suficientemente amplio como para que un disfraz tenga cabida. De ello derivamos una única respuesta de sí/no, y únicamente esa respuesta — un valor, nada más — es lo que guardamos junto a la imagen. La respuesta del proveedor en sí no la guardamos; se descarta en cuanto se ha derivado de ella la respuesta de sí/no (lo que contiene se describe en el recuadro del apartado 5.3).

Cuándo no se realiza. La comprobación se ejecuta solo en eventos para los que la persona organizadora ha contratado imágenes de IA. En un evento sin ellas, no se transmite nada ni se comprueba nada. Si la comprobación falla o tarda demasiado, tu imagen simplemente queda sin evaluar — se sube, se guarda y se muestra como antes, y nada cambia en ella.

Qué significa esto para ti. La respuesta decide únicamente si la función de IA se ofrece para esta imagen. No es un juicio sobre la imagen ni sobre las personas representadas en ella, no se muestra a nadie, no se transmite y no tiene efecto sobre ninguna otra cosa del servicio.

6.2 Base jurídica. Para una generación solicitada por ti: Art. 6 Abs. 1 lit. b DSGVO — la generación es la prestación solicitada por ti. Para la comprobación automática según el apartado 6.1a: Art. 6 Abs. 1 lit. f DSGVO — nuestro interés legítimo, y el de la persona organizadora, en ofrecer la función de IA contratada únicamente allí donde pueda funcionar, en lugar de ofrecer una acción que fracasaría. Conforme al Art. 21 DSGVO puedes oponerte en cualquier momento (apartado 13); basta con enviarnos un mensaje.

6.3 Qué hace el proveedor con ello. Según las condiciones aplicables al uso de pago, Google no utiliza las entradas y los resultados para entrenar sus modelos. Google registra las entradas y los resultados durante un periodo limitado exclusivamente para detectar abusos y cumplir obligaciones legales.

6.4 Lugar de tratamiento y transferencia a terceros países. La interfaz utilizada trata datos, también en el caso de eventos con región de datos UE, fuera de la Unión Europea, en particular en los Estados Unidos. La base es la decisión de adecuación de la Comisión Europea relativa al EU-US Data Privacy Framework, en la medida en que el destinatario esté certificado, complementada por las cláusulas contractuales tipo de la Comisión Europea junto con medidas de protección adicionales. A pesar de estos instrumentos, en una transferencia a los EE. UU. subsisten riesgos residuales, en particular en lo relativo a las posibilidades de acceso por parte de las autoridades estatales.

6.5 Límites. Transmitimos imágenes y, para una generación, tu entrada de texto — nada más: ni tu nombre, ni tu identificador, ni tu dirección de correo electrónico, ni las imágenes de otros invitados. En una generación se trata exactamente de la única imagen elegida por ti. En la comprobación automática según el apartado 6.1a es la imagen subida en cada caso, individualmente al subirla — nunca tu galería en su conjunto.

6.6 Etiquetado. Los resultados del fotomatón se etiquetan de forma visible en la aplicación como generados por IA (Art. 50 Abs. 4 KI-VO).

---

7. Protección contra el uso indebido automatizado (Cloudflare Turnstile)

7.1 En los formularios que activan una generación o envían un correo electrónico utilizamos Cloudflare Turnstile — una alternativa respetuosa con la protección de datos frente a los acertijos de imágenes.

7.2 Qué se trata en ello. El módulo de verificación se carga desde challenges.cloudflare.com y evalúa señales de tu navegador. En la confirmación del lado del servidor, transmitimos a Cloudflare el token de verificación emitido y tu dirección IP.

7.3 Qué no ocurre en ello. Hemos medido que Turnstile no deja en nuestro dominio ni una cookie ni ninguna otra entrada en el almacenamiento de tu navegador. No se establece ningún identificador publicitario ni se crea ningún perfil entre sitios.

7.4 Base jurídica. Art. 6 Abs. 1 lit. f DSGVO (considerando 49: seguridad de las redes y de la información, prevención del fraude). La carga del módulo de verificación es técnicamente imprescindible para la función solicitada por ti y, por tanto, no requiere consentimiento conforme al § 25 Abs. 2 Nr. 2 TDDDG.

7.5 Destinatario y tercer país. Cloudflare, Inc., EE. UU., o bien Cloudflare Germany GmbH. Las transferencias a los EE. UU. se realizan sobre la base del EU-US Data Privacy Framework y, de forma complementaria, de las cláusulas contractuales tipo.

---

8. Otros tratamientos en el funcionamiento del negocio

8.1 Límites frente al uso abusivo de la demo gratuita. Para que la función gratuita de prueba no se explote de forma automatizada, contamos las generaciones por cada pase de acceso y por cada rango de red. Tu dirección IP no se almacena en este proceso: primero se recorta a un rango de red (IPv4 /24, IPv6 /64) y, a continuación, ese valor se reduce de forma irreversible mediante un procedimiento criptográfico de hash. Solo se almacena ese hash y un contador. Plazo de conservación: 2 días. Base jurídica: Art. 6 Abs. 1 lit. f DSGVO (protección frente al uso abusivo y frente a costes no controlados).

8.2 Tramitación de pagos. Tramitamos los pagos a través de Stripe (Stripe Payments Europe, Ltd., Irlanda). En este proceso, los datos de pago y de facturación se transmiten directamente a Stripe; los datos completos de la tarjeta no llegan a nuestros sistemas. Si pagas con PayPal, ello se realiza como método de pago dentro de Stripe. Base jurídica: Art. 6 Abs. 1 lit. b DSGVO y, para la documentación fiscal, Art. 6 Abs. 1 lit. c DSGVO. Stripe trata en parte los datos de pago también como responsable propio para la prevención del fraude y para el cumplimiento de sus propias obligaciones de supervisión.

8.3 Inicio de sesión mediante código de un solo uso. Para iniciar sesión en el panel del organizador y en la consola interna enviamos un código de un solo uso de seis dígitos a la dirección indicada. El código tiene una validez de 10 minutos y se elimina después. Base jurídica: Art. 6 Abs. 1 lit. b DSGVO.

8.3a Recuperación de las claves de administrador. A través de la función de recuperación enviamos las claves de administrador de un evento exclusivamente a la dirección registrada. Base jurídica: Art. 6 Abs. 1 lit. b DSGVO.

8.4 Datos de organizadores, socios y recomendaciones. Tratamos el nombre, la dirección de correo electrónico, la región, los eventos reservados, los datos de facturación y de pago, así como —en el caso de los socios— el nombre de la empresa, el sitio web, el país, el logotipo y el color de marca y —en el programa de recomendaciones— el código personal, los canjes asociados y el saldo de puntos. Base jurídica: Art. 6 Abs. 1 lit. b DSGVO y, para los datos relevantes a efectos fiscales, Art. 6 Abs. 1 lit. c DSGVO.

8.5 Consola interna. Nuestro personal ve en la consola interna indicadores de negocio, datos maestros de eventos y cuentas, códigos, canjes y datos de socios. El acceso está limitado a una lista de direcciones expresamente registrada y todo el personal está obligado a la confidencialidad.

8.6 Seguimiento de un evento: las imágenes y una consulta por correo electrónico. Unas 35 horas después de que finalice un evento reservado escribimos a la dirección de correo electrónico con la que se reservó el evento. El mensaje contiene un enlace de duración limitada a través del cual se pueden descargar todas las imágenes del evento como archivo comprimido, junto con la petición de que nos respondas brevemente para contarnos cómo fue. Se dirige exclusivamente a la persona que realizó la reserva: de los invitados no tenemos almacenada ninguna dirección de correo electrónico (apartado 5.1). Para ello se tratan la dirección de correo electrónico y el nombre de la persona que realiza la reserva, el nombre y el periodo del evento, así como el enlace de acceso generado para ello.

Dos finalidades, dos bases jurídicas. La puesta a disposición de las imágenes es la prestación que has adquirido: Art. 6 Abs. 1 lit. b DSGVO. La consulta es publicidad directa de prestaciones propias similares: Art. 6 Abs. 1 lit. f DSGVO (interés legítimo en promocionar y mejorar la propia oferta), regulada de forma sectorial en § 7 Abs. 3 UWG. Cumplimos sus requisitos: hemos obtenido tu dirección en relación con la venta, la utilizamos únicamente para prestaciones propias similares, no escribimos a nadie que haya presentado oposición y te informamos de tu derecho de oposición tanto en el momento de la recogida de la dirección como en cada uno de esos correos electrónicos.

8.7 Oposición a este correo electrónico y qué almacenamos al respecto. Puedes oponerte en cualquier momento al uso de tu dirección para la consulta, a través del enlace que figura en cada uno de esos correos electrónicos o de forma no sujeta a formalidades escribiendo a support@snapories.com. Ello no te genera ningún coste más allá de los costes de transmisión según las tarifas básicas. Tras una oposición seguirás recibiendo el correo electrónico con tus imágenes, pues constituye el cumplimiento del contrato; la consulta queda suprimida. Más información sobre el derecho de oposición en el apartado 13.

Sobre la oposición en sí almacenamos tu dirección de correo electrónico, el momento y la vía por la que nos ha llegado. Base jurídica: Art. 6 Abs. 1 lit. c DSGVO en relación con § 7 Abs. 3 Nr. 3 UWG, así como Art. 6 Abs. 1 lit. f DSGVO (interés legítimo en poder respetar de forma permanente una oposición una vez declarada). Esta entrada no se elimina; el apartado 14 explica por qué.

---

9. Almacenamiento en tu dispositivo

Sin tu consentimiento, Snapories solo almacena lo que es estrictamente necesario para el servicio solicitado. En concreto, se trata de: unas pocas cookies establecidas por nosotros —spr_id en la app para invitados, para que tus imágenes sigan asociadas a ti; spr_oclaim durante una reserva, con la que reconocemos que tu página de confirmación es aquella desde la que has pagado; y spr_lang para el idioma que has elegido— así como algunas entradas en el almacenamiento local de tu navegador para el pase de acceso, la elección de idioma, la apariencia, el último evento abierto, tu elección en la solicitud de consentimiento y la versión sin conexión de la app. Para este almacenamiento, el § 25 Abs. 2 Nr. 2 TDDDG exige una información, no un consentimiento.

Con tu consentimiento, en el sitio web de marketing se añaden las cookies del píxel de Reddit (apartado 4.6). Solo se establecen después de que hayas dado tu consentimiento a la medición publicitaria y se eliminan cuando revocas tu consentimiento. En la app para invitados, en el panel del organizador y en nuestras demás interfaces no existe ningún almacenamiento sujeto a consentimiento; por ello, allí tampoco aparece ninguna solicitud.

La lista completa y siempre actualizada de cada una de las entradas —clave, finalidad, vida útil, proveedor— la encuentras en snapories.com/de/cookies. Esta lista se genera directamente a partir del código fuente y se impone mediante una comprobación automática: una nueva entrada de almacenamiento en el código hace que la prueba falle hasta que se declara allí. De este modo, la información no puede quedar desactualizada.

---

10. Destinatarios de tus datos

Solo cedemos datos personales en la medida en que ello sea necesario para el funcionamiento o estemos legalmente obligados a hacerlo. Categorías de destinatarios:

• Alojamiento y almacenamiento: Amazon Web Services (centros de datos en Fráncfort o Virginia del Norte, según la región de datos del evento; los registros de cuentas y comerciales siempre en Fráncfort — apartado 12), así como la entrega de las imágenes a través de la red de distribución de contenidos del mismo proveedor (apartado 12)
• Generación por IA y comprobación automática de imágenes: Google (apartado 6)
• Protección frente al uso abusivo: Cloudflare (apartado 7)
• Medición publicitaria, solo con tu consentimiento: Reddit (apartado 4.6) — no como encargado del tratamiento, sino como corresponsable junto con nosotros o como responsable independiente
• Tramitación de pagos: Stripe (apartado 8.2)
• Envío de correos electrónicos: nuestro proveedor de servicios de envío
• Asesores y autoridades: asesoría fiscal, asesoría jurídica, auditoría, así como autoridades y tribunales, en la medida en que lo exija la ley

La relación nominal y siempre actualizada, con domicilio social, lugar de tratamiento y base de la transferencia, figura en la Lista de subencargados del tratamiento.

Salvo a Reddit, en el marco de tu consentimiento conforme al apartado 4.6, no cedemos tus datos a redes publicitarias ni tampoco a intermediarios de datos o proveedores de análisis. No se produce ninguna venta.

---

11. Transferencia a terceros países

Se produce una transferencia a países fuera del Espacio Económico Europeo en la generación por IA y en la verificación automática de imágenes (Google, EE. UU. — apartado 6), en la protección frente a usos indebidos (Cloudflare, EE. UU.), en la medición publicitaria con tu consentimiento (Reddit, EE. UU. — apartado 4.6), así como en la entrega de las imágenes (Amazon Web Services): mientras un evento está en curso, las imágenes se almacenan temporalmente en ubicaciones de borde (edge) para su entrega, también fuera de la UE (apartado 12). La base es:

• la decisión de adecuación de la Comisión Europea de 10 de julio de 2023 relativa al Marco de Privacidad de Datos UE-EE. UU., en la medida en que la empresa receptora esté certificada, así como
• con carácter complementario, las cláusulas contractuales tipo de la Comisión Europea (Decisión de Ejecución (UE) 2021/914), junto con una evaluación de impacto de la transferencia y medidas de protección adicionales (cifrado en tránsito y en reposo, minimización de datos, ninguna transmisión de nombres o identificadores al proveedor de IA).

Puedes obtener una copia de las garantías correspondientes, previa solicitud, en privacy@snapories.com.

---

12. Región de datos (UE / EE. UU.)

Para cada evento se establece una región de datos en el momento de la reserva. Esta determina en qué región se almacenan y tratamos los datos de ese evento:

• UE → Fráncfort del Meno (eu-central-1)
• EE. UU. → Virginia del Norte (us-east-1)

No se produce ninguna réplica de los datos de un evento entre las regiones. Cada región dispone para ello de sus propias bases de datos y sus propios espacios de almacenamiento.

Datos de la cuenta y de facturación. Tu cuenta con nosotros —dirección de correo electrónico, códigos de acceso y los eventos gestionados con ella— se encuentra en la Unión Europea (Fráncfort del Meno), y ello para cada evento, con independencia de la región de datos de este. Lo mismo rige para las cuentas de socios y de recomendación, para los códigos de descuento y sus canjes, para los derechos derivados de recomendaciones, así como para la destinataria de la factura y la factura correspondiente a una reserva. Estos registros se mantienen una sola vez y se leen desde ambas regiones: una cuenta gestiona eventos en ambas regiones, y un vale emitido en una región debe poder canjearse en la otra; un reparto entre las regiones significaría que un código se rechazara en la región en la que no fue emitido. Para un evento con región de datos EE. UU. esto significa: las imágenes del evento y los datos de sus invitados se encuentran en Virginia del Norte; la cuenta con la que se reservó y la factura correspondiente se encuentran en Fráncfort.

Entrega de las imágenes. Para que las imágenes lleguen a todas partes de forma rápida y fiable, las entregamos a través de una red de distribución de contenidos (Amazon CloudFront). En ese proceso se almacenan temporalmente en ubicaciones de borde (edge) —también fuera de la UE; el conjunto de ubicaciones comprende los Estados Unidos, Canadá, Europa e Israel. Este almacenamiento temporal existe únicamente mientras el evento está en curso; al finalizar el evento vaciamos la memoria intermedia y ya no es posible ninguna recuperación por esta vía. La versión almacenada de una imagen no abandona la región de datos.

Qué abarca la región de datos y qué no: la región de datos rige sobre los datos de ese evento —sus imágenes y aquello que se registra sobre el evento y sobre las personas que participan en él— y determina dónde se almacenan, tratan y suprimen. Tres cosas quedan fuera. No describe cada lugar en el que un byte se conserva brevemente para la entrega (arriba). No comprende los registros de cuenta y comerciales (arriba), que se mantienen una sola vez en la UE y se leen desde ambas regiones. Y no abarca las llamadas a proveedores externos descritas en el apartado 6 y el apartado 7; estos tratan los datos con independencia de la región de datos elegida; allí rige el apartado 11.

---

13. Tus derechos

Conforme al DSGVO, tienes derecho a:

Cómo ejerces tus derechos: de manera informal, por correo electrónico a privacy@snapories.com. Respondemos sin dilación indebida y, a más tardar, en el plazo de un mes. Si no podemos identificarte sin información adicional —lo que constituye el caso habitual en el uso sin cuenta de la app para invitados—, necesitamos datos que permitan la atribución (Art. 11 Abs. 2 DSGVO), como el código de acceso al evento, el nombre utilizado y el momento aproximado.

Caso especial de personas que aparecen en imágenes: Si apareces en una imagen sin usar la aplicación, dirígete a privacy@snapories.com y describe el evento y la imagen con la mayor precisión posible. Eliminaremos la imagen o —en el caso de eventos empresariales en los que actuamos como encargada del tratamiento— transmitiremos la solicitud sin dilación indebida a la organización responsable y le prestaremos apoyo en su gestión.

Caso especial de publicidad directa. Al tratamiento de tus datos con fines de publicidad directa —que en nuestro caso es únicamente la consulta en el correo electrónico de seguimiento (punto 8.6)— puedes oponerte en cualquier momento conforme al Art. 21 Abs. 2 DSGVO. Esta oposición es incondicional: no se realiza ninguna ponderación de intereses y no tienes que motivarla. A partir de entonces, dejaremos de tratar tus datos con ese fin. La vía más rápida es el enlace que figura en cada uno de esos correos electrónicos; un mensaje informal a support@snapories.com también basta.

Derecho de reclamación. Tienes derecho a presentar una reclamación ante una autoridad de control en materia de protección de datos, en particular ante la competente para nosotros:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 27, 91522 Ansbach
https://www.lda.bayern.de

---

14. Plazos de conservación de un vistazo

---

15. Ausencia de decisiones automatizadas

No se produce ninguna decisión automatizada en casos concretos, incluida la elaboración de perfiles, en el sentido del Art. 22 DSGVO. La fotomatón con IA genera una imagen; no adopta ninguna decisión sobre una persona ni tiene efecto jurídico alguno. La comprobación automática de la imagen (punto 6.1a) decide únicamente si la función de IA se ofrece para una imagen concreta; no evalúa a nadie, no tiene efecto jurídico alguno ni produce un perjuicio significativo de modo comparable. Las decisiones sobre la eliminación de contenidos las adoptan personas.

---

16. Seguridad

Adoptamos medidas técnicas y organizativas conforme al Art. 32 DSGVO. Entre ellas se incluyen el cifrado en el transporte (TLS), el cifrado de los datos en reposo, la separación estricta de las regiones de datos para los datos de eventos, sistemas internos con acceso restringido, tokens de acceso firmados y de corta duración para los archivos de imagen, una protección contra abusos del lado del servidor, así como la actualización periódica de los componentes utilizados. Los detalles figuran en el Anexo 2 del contrato de encargo del tratamiento.

---

17. Modificaciones de la presente declaración

Adaptamos la presente declaración cuando cambian el servicio, los proveedores de servicios utilizados o la situación jurídica. La versión vigente en cada momento está disponible en snapories.com/privacy.html; la fecha que figura en el encabezado indica su estado de actualización.

---

18. Versión lingüística vinculante

Únicamente la versión alemana de la presente declaración de protección de datos es vinculante. Las versiones en otros idiomas las ponemos a disposición exclusivamente con fines informativos. En caso de discrepancias, prevalece la versión alemana. Frente a las personas interesadas que se hayan basado en una versión en otro idioma facilitada por nosotros, esto solo se aplica en la medida en que la versión alemana no les resulte más desfavorable.