Legal
Subencargados del tratamiento y destinatarios externos
Traducción a título informativo. Únicamente la versión alemana es jurídicamente vinculante.
Traducción a título informativo. Únicamente la versión alemana es jurídicamente vinculante.
Esta lista es el Anexo 3 del Contrato de Encargo del Tratamiento y, al mismo tiempo, la relación nominal correspondiente al punto 10 de la Política de Privacidad. Las modificaciones las comunicamos, conforme al § 5.2 del Contrato de Encargo del Tratamiento, con una antelación mínima de 30 días.
1. En uso
| Proveedor | Entidad jurídica | Servicio | Datos tratados | Ubicación | Base de la transferencia | Estado |
|---|---|---|---|---|---|---|
| Amazon Web Services | Amazon Web Services EMEA SARL, Luxemburgo (región UE) · Amazon Web Services, Inc., EE. UU. (región EE. UU.) | alojamiento, almacenamiento de objetos, base de datos; entrega de las imágenes a través de una red de distribución de contenidos (sección 1.1) | datos del evento y archivos de imagen; registros de cuenta, de socios y comerciales (sección 1.2) | Datos del evento: UE: Fráncfort (eu-central-1) · EE. UU.: Virginia del Norte (us-east-1), según la región de datos del evento. Registros de cuenta y comerciales: Fráncfort (eu-central-1), en cada evento (sección 1.2). Entrega: adicionalmente, ubicaciones perimetrales (edge) en los Estados Unidos, Canadá, Europa e Israel | Los datos de un evento se almacenan, tratan y suprimen exclusivamente en la región de datos elegida para ese evento; los registros de cuenta y comerciales se conservan una sola vez en la UE y se leen desde ambas regiones (sección 1.2). Durante la entrega, las imágenes se almacenan temporalmente también fuera de la UE (sección 1.1); la base la constituyen el AWS-DPA con cláusulas contractuales tipo y, en la medida en que se vean afectados los EE. UU., la decisión de adecuación EU-US DPF. | ✅ |
| Google Ireland Limited / Google LLC, EE. UU. | (a) fotomatón con IA: análisis de la imagen elegida por el invitado, sugerencias de disfraces, generación de imágenes; (b) comprobación automática de cada imagen cargada para determinar si puede ofrecerse para ella la función de IA (sección 1.3) — ambas a través de la Gemini API | la imagen correspondiente y, en caso de generación, la entrada de texto del invitado | predominantemente EE. UU. — también con la región de datos UE | decisión de adecuación EU-US DPF (en la medida en que esté certificado) + cláusulas contractuales tipo | ✅ | |
| Cloudflare | Cloudflare, Inc., EE. UU. · Cloudflare Germany GmbH | protección contra bots (Turnstile) en el fotomatón y en los formularios que envían correo electrónico | token de verificación, dirección IP, señales del navegador | EE. UU. / global | decisión de adecuación EU-US DPF + cláusulas contractuales tipo | ✅ |
1.1 Entrega de las imágenes (red de distribución de contenidos)
Entregamos las imágenes de un evento a través de la red de distribución de contenidos de Amazon (CloudFront). Para que lleguen a todas partes de forma rápida y fiable, durante este proceso se almacenan temporalmente en ubicaciones perimetrales (edge) — también fuera de la UE. Para la entrega de las imágenes, el conjunto de ubicaciones se limita a los Estados Unidos, Canadá, Europa e Israel.
Este almacenamiento temporal existe únicamente mientras el evento está en curso. Al finalizar el evento, vaciamos la memoria temporal; después, ya no es posible ninguna recuperación por esta vía.
La versión almacenada de una imagen no abandona la región de datos elegida en el momento de la reserva. La región de datos determina dónde se almacena, se trata y se suprime una imagen — no cada lugar en el que un byte se conserva brevemente para la entrega.
Para el sitio web de marketing y los archivos de programa de las aplicaciones (JavaScript, hojas de estilo, imágenes del sitio web) utilizamos la misma red con un conjunto de ubicaciones más amplio. Estos archivos no contienen datos personales.
1.2 Registros de cuenta y comerciales (Unión Europea)
La región de datos elegida en el momento de la reserva rige los datos de ese evento: las imágenes y lo que se registra sobre el evento y sobre las personas que participan en él. Estos se almacenan, tratan y suprimen en esa región y no se replican en la otra.
Los registros de cuenta y comerciales se encuentran en la Unión Europea — Fráncfort (eu-central-1) — y ello en cada evento, con independencia de su región de datos. Son los siguientes:
- la cuenta de la organizadora: dirección de correo electrónico, códigos de acceso y los eventos gestionados con ella
- registros de socios y de recomendación, incluidos los ajustes de marca de una socia
- códigos de descuento y de vales, sus canjes, así como los derechos de recomendación
- la destinataria de la factura de una reserva y el registro de facturación correspondiente
- una declaración de desistimiento conforme al § 356a BGB
Estos registros se conservan una sola vez en la Unión Europea y se leen desde ambas regiones. Se trata de un diseño deliberado y no de un subproducto. Una cuenta gestiona eventos en ambas regiones, una socia es una empresa con un único registro de marca, y un vale emitido con ocasión de un evento debe poder canjearse contra una reserva en la otra región — un registro que debe poder leerse desde ambas regiones no puede dividirse entre ellas, y una división significaría que un código emitido en una región fuera rechazado en la otra. Nuestro prestador de servicios de pago y nuestro servicio de envío de correo electrónico son, por la misma razón, cada uno un único servicio establecido en la UE.
Para un evento con región de datos EE. UU. esto significa: las imágenes del evento y los datos de sus invitados se encuentran en Virginia del Norte, mientras que la cuenta con la que se reservó y la factura correspondiente se encuentran en Fráncfort.
1.3 Comprobación automática de las imágenes cargadas (Google)
Más allá de una generación solicitada por el invitado, existe una segunda transmisión automática a Google. La mencionamos aquí por separado porque también alcanza imágenes cuya autora o autor no utiliza en absoluto la IA.
El fotomatón con IA no tiene cámara propia: un invitado lo aplica a una imagen tomada por él mismo que ya se encuentra en la galería. Para que la aplicación sepa en qué imágenes puede ofrecer la función, cada imagen cargada se transmite una vez a la Gemini API inmediatamente después de la carga — reducida a una longitud de borde máxima de 1.280 píxeles, siempre que nuestro software pueda recodificar la imagen, y, en caso contrario, sin reducir — y se evalúa en dos aspectos: si en ella aparece alguna persona y si el encuadre es lo bastante amplio para un disfraz. Se almacena únicamente la respuesta sí/no derivada de ello, concretamente respecto a la imagen; la respuesta del propio proveedor se descarta en cuanto se ha derivado de ella la respuesta sí/no.
La verificación se ejecuta solo en eventos para los que la persona organizadora ha contratado imágenes de IA — en un evento sin ellas no se transmite nada. Un error o un tiempo de espera agotado deja la imagen sin evaluar y no cambia nada más en ella.
Las condiciones, la base de la transferencia y el almacenamiento en el proveedor se corresponden con los de una generación y figuran en la tabla anterior. Lo que se transmite, lo que permanece almacenado y cómo puede oponerse un invitado se indica en el punto 6.1a de la Política de Privacidad.
2. Previsto
| Proveedor | Entidad jurídica | Servicio | Datos tratados | Lugar | Base de la transferencia | Estado |
|---|---|---|---|---|---|---|
| Stripe | Stripe Payments Europe, Ltd., Irlanda (Stripe, Inc., EE. UU. como sociedad del grupo) | tramitación de pagos, determinación de impuestos, datos de facturación; PayPal como método de pago dentro de Stripe | nombre, correo electrónico, dirección de facturación, país, importe, medio de pago | UE / EE. UU. | DPA de Stripe con SCC; EU-US DPF | ⏳ |
| Servicio de envío de correo electrónico | aún no seleccionado | envío de códigos de un solo uso, recuperación de claves, confirmaciones de reserva, avisos de eliminación | dirección de correo electrónico, contenido del mensaje | preferentemente UE | AVV con SCC, en la medida en que haya un tercer país | ⏳ |
3. Eliminado
| Proveedor | Entidad jurídica | Servicio | Lugar | Estado |
|---|---|---|---|---|
| fal.ai | Features and Labels, Inc., EE. UU. | procesamiento automático de imágenes (reducción de ruido, nitidez, escalado) | EE. UU. | ❌ — eliminado el 30 de julio de 2026 y ya no forma parte del sistema. Este proveedor nunca estuvo activado; nunca se le transmitieron datos. |
4. Destinatarios que no son subencargados del tratamiento
Los siguientes destinatarios tratan los datos no por encargo nuestro, sino como responsables. Por ello no figuran en la lista de la sección 1 y no son objeto del deber de información conforme al § 5.2 AVV; la Política de Privacidad los describe allí donde se utilizan.
| Destinatario | Entidad jurídica | Finalidad | Datos | Función | Base de la transferencia |
|---|---|---|---|---|---|
| Reddit Netherlands B.V., Ámsterdam (parte contratante) · Reddit, Inc., EE. UU. | medición de nuestros anuncios de Reddit en el sitio web de marketing — solo con el consentimiento de la persona visitante (píxel de Reddit y notificación de una reserva desde nuestro servidor) | visitas a páginas y reservas pagadas del sitio web: dirección de la página, identificadores de cookies, identificador de clic de Reddit, datos del navegador, dirección IP; para una reserva, además, el importe neto, la moneda, el identificador del evento y un valor hash de la dirección de correo electrónico de la persona que realiza la reserva | corresponsable junto con nosotros de la recogida y la transmisión, responsable único del tratamiento posterior (punto 4.6 de la Política de Privacidad) | decisión de adecuación EU-US DPF (Reddit, Inc. certificada) + SCC (Módulo 1) |
Los contenidos del evento no llegan a Reddit. La medición se ejecuta exclusivamente en el sitio web de marketing snapories.com. En la app para invitados, en el panel del organizador y en nuestras demás interfaces no está integrada; las imágenes, los datos de los invitados y todo lo que procesamos como encargada del tratamiento conforme al AVV no se transmite a Reddit.
5. Sin destinatarios
No utilizamos ninguno:
- servicios externos de análisis, estadística o medición de alcance — el recuento de páginas del sitio web de marketing se ejecuta en nuestros propios servidores
- otras redes publicitarias o píxeles de conversión además de la medición basada en el consentimiento conforme a la sección 4
- servicios externos de fuentes tipográficas, iconos o scripts, redes de distribución de contenidos ajenas
- complementos de redes sociales, vídeos incrustados o mapas
- plataformas de datos de clientes, rastreo CRM, grabación de sesiones
- intermediarios de datos
El sitio web de marketing y todas las aplicaciones cargan archivos desde nuestros propios servidores y a través de nuestra propia red de distribución (sección 1.1). Las excepciones son el módulo de protección contra bots de la sección 1 y —solo en el sitio web de marketing y solo tras el consentimiento— el script del píxel de Reddit conforme a la sección 4. Ambos están declarados como tales en el registro central de almacenamiento.
6. Destinatarios internos
| Destinatario | Acceso | Base jurídica |
|---|---|---|
| Dirección y personal | consola interna: indicadores de negocio, datos maestros de eventos y de cuentas, códigos, canjes, datos de socios | acceso únicamente a través de una lista de direcciones expresamente registrada; obligación de confidencialidad |
| Asesoría fiscal | datos de facturación y contabilidad | obligación legal, secreto profesional |
| Asesoría jurídica | según el caso | interés legítimo, secreto profesional |
Versión lingüística vinculante
Únicamente la versión alemana de este documento es vinculante. Las versiones en otros idiomas se facilitan exclusivamente con fines informativos. En caso de discrepancias, prevalecerá la versión alemana.