Política de privacidad y protección de datos (RGPD / GDPR)

1. Quiénes somos

Photohawk es una plataforma de fotografía de eventos que permite a fotógrafos y organizadores publicar, buscar y vender fotos de eventos.

• Entidad jurídica: CLOUDCONCUR LTD (número de sociedad 13399913), sociedad registrada en Inglaterra y Gales, que opera bajo el nombre comercial Photohawk.
• Domicilio social: 23 Caldey Gardens, Ingleby Barwick, Stockton-on-Tees, TS17 5HW, Reino Unido.
• Delegado de Protección de Datos (DPO): Andrew Hammond — contacto support@photohawk.com.
• Representante en la UE (Art. 27 del RGPD): no hemos designado un representante en la UE, sobre la base de que nuestro tratamiento de datos de residentes de la UE es ocasional y no constituye nuestra actividad principal (Art. 27(2)). Revisamos periódicamente este punto y designaremos un representante si nuestro tratamiento cambia.
• Autoridades de control: la Information Commissioner's Office (ICO) del Reino Unido para el Reino Unido, y las autoridades de la UE, incluida la CNIL francesa, para las personas situadas en la UE.

2. Nuestros dos roles — responsable del tratamiento y encargado del tratamiento

Photohawk se dirige a dos categorías de personas, y nuestro rol jurídico difiere para cada una:

• Fotógrafos y organizadores (nuestros clientes). Respecto a los datos de su cuenta (nombre, correo electrónico, datos profesionales, credenciales, facturación e información de pagos), Photohawk es el responsable del tratamiento.
• Asistentes y compradores (sus clientes). Respecto a los datos de las personas que aparecen en las fotos y que las compran, usted (el fotógrafo/organizador) es el responsable del tratamiento y Photohawk es su encargado del tratamiento — tratamos esos datos siguiendo sus instrucciones para gestionar las galerías, la búsqueda y las ventas que usted ha configurado. Un acuerdo de tratamiento de datos (véase §11) rige esta relación.

3. Qué datos personales tratamos

Para fotógrafos/organizadores (somos responsables del tratamiento):

• Identidad y contacto: nombre, correo electrónico, teléfono, razón social, dirección.
• Cuenta y seguridad: credenciales de acceso (a través de AWS), sesiones.
• Datos financieros: datos de suscripción/facturación (a través de Stripe) y datos de pagos (a través de Trolley).

Para asistentes/compradores (somos encargados del tratamiento, por cuenta del organizador):

• Identidad y contacto: nombre, correo electrónico, número de teléfono, dirección postal/de facturación.
• Fotografías de los asistentes.
• Datos biométricos — cuando la búsqueda por rostro/selfie está activada (véase §4).
• Datos de pedido y de pago (tratados a través de nuestros proveedores de pago; no conservamos los números de tarjeta completos).
• Estado del consentimiento de marketing, cuando el asistente lo otorga.

4. Búsqueda por rostro y selfie (datos biométricos de categoría especial)

Cuando un organizador activa la búsqueda por selfie/rostro, Photohawk crea una representación matemática de los rostros para que un asistente pueda encontrar sus propias fotos.

• Finalidad: únicamente para asociar a una persona con sus propias fotos del evento.
• Ubicación: tratados y almacenados en la Unión Europea (AWS, región de Irlanda).
• Conservación: los datos biométricos/de rostro se eliminan automáticamente cuando una galería caduca (en un plazo de ~60 días) y cuando se elimina una galería — lo que ocurra primero.
• Base jurídica (Art. 9 del RGPD): los datos biométricos constituyen una categoría especial, tratados sobre la base del consentimiento explícito de la persona. En su condición de responsable del tratamiento de los asistentes, el organizador es responsable de obtener el consentimiento explícito requerido antes de activar la búsqueda por rostro. Para facilitarlo, Photohawk ofrece un paso de consentimiento integrado: se solicita al asistente que otorgue su consentimiento antes de que su selfie se utilice para la búsqueda por rostro, y puede negarse.
• Menores: véase §13.

5. Por qué usamos los datos y nuestras bases jurídicas

• Para prestar el servicio (alojar galerías, ejecutar la búsqueda, procesar pedidos): ejecución de un contrato.
• Pagos, abonos, registros fiscales y contables: ejecución de un contrato y cumplimiento de una obligación legal.
• Búsqueda por rostro/selfie: el consentimiento explícito de la persona (Art. 9), obtenido según lo descrito en §4.
• Correos electrónicos/mensajes de marketing: únicamente con el consentimiento del destinatario (opt-in), que puede retirarse en cualquier momento.
• Cookies de analítica y publicidad: únicamente con su consentimiento, otorgado a través de nuestro banner de cookies (véase §12).
• Seguridad, prevención del fraude y mejora del servicio: nuestro interés legítimo, ponderado frente a sus derechos.

6. Dónde se almacenan sus datos y transferencias internacionales

• Residencia de los datos: los datos de los asistentes y de las cuentas — incluidas las fotos y los datos biométricos de rostro — se alojan en la Unión Europea (AWS, Irlanda / eu-west-1). Nuestro servicio de identidad (AWS) también se encuentra en la UE.
• Transferencias internacionales: algunos de nuestros subencargados del tratamiento (véase §7) operan fuera de la UE/el Reino Unido (por ejemplo, en Estados Unidos). Cuando se transfieren datos personales fuera de la UE/el Reino Unido, nos basamos en una decisión de adecuación cuando resulta aplicable y, en su defecto, en las Cláusulas Contractuales Tipo (CCT) de la Comisión Europea junto con el Addendum de Transferencia Internacional de Datos del Reino Unido, además de garantías adicionales cuando sea necesario.

7. Subencargados del tratamiento

Recurrimos a un número reducido de proveedores cuidadosamente seleccionados para prestar el servicio, cada uno de ellos vinculado por un acuerdo de tratamiento de datos (y por las CCT/el Addendum del Reino Unido cuando tratan datos fuera de la UE/el Reino Unido):

Puede solicitarse una lista actualizada.

8. Cuánto tiempo conservamos los datos (conservación)

• Datos biométricos / de rostro: eliminados en un plazo de ~60 días tras la caducidad de una galería, y al eliminarse una galería (véase §4).
• Fotos y vídeos: la conservación la controla el titular de la cuenta (el organizador/fotógrafo). El contenido se conserva mientras el titular de la cuenta lo conserve; los titulares de cuenta pueden eliminar fotos, vídeos, galerías y fichas de asistentes en cualquier momento, y las eliminamos cuando ellos lo hacen. Photohawk no impone una vida útil fija a este contenido.
• Pedidos y registros financieros: conservados durante 7 años para cumplir las obligaciones fiscales y contables.
• Fichas de contacto de asistentes/compradores: controladas por el organizador — conservadas mientras el organizador las conserve, y eliminadas cuando el organizador las elimina o ante una solicitud de supresión verificada.
• Listas de marketing: conservadas hasta que se retire el consentimiento.
• Los registros operativos/de seguridad se conservan durante 30 días.

9. Cómo protegemos los datos

• En tránsito: cifrados mediante HTTPS/TLS en todas partes.
• En reposo: las fotos y el contenido se almacenan en AWS y Cloudflare R2, que cifran los datos en reposo de forma predeterminada; las credenciales sensibles (por ejemplo, tokens de cuentas conectadas) se cifran además con AWS.
• Controles de acceso: acceso autenticado a través de AWS; el acceso del personal se limita a lo necesario para operar el servicio.

10. Sus derechos

Conforme al GDPR/RGPD y al UK GDPR, usted tiene derecho a: acceder a sus datos; rectificarlos; suprimirlos («derecho al olvido»); limitar el tratamiento u oponerse a él; a la portabilidad de los datos; y a retirar su consentimiento en cualquier momento. También tiene derecho a presentar una reclamación ante una autoridad de control (la ICO en el Reino Unido, o su autoridad local, como la CNIL en Francia).

Cómo ejercerlos:

• Fotógrafos/organizadores (somos responsables del tratamiento): contacte con nuestro DPO en support@photohawk.com. Respondemos en el plazo de un mes.
• Asistentes/compradores (el organizador es el responsable del tratamiento): póngase en contacto con el fotógrafo u organizador que gestionó su evento. Los fotógrafos pueden eliminar los datos personales de un asistente — incluidas sus fotos y cualquier dato de búsqueda por rostro — desde dentro de Photohawk, y Photohawk ejecutará una solicitud verificada por cuenta del organizador.

El cierre de una cuenta de Photohawk cancela la facturación, pero no suprime por sí solo los datos almacenados; solicítenos la supresión de los datos si es eso lo que necesita.

11. Acuerdo de tratamiento de datos (DPA)

Para los fotógrafos/organizadores, nuestro tratamiento de los datos de sus asistentes se rige por un acuerdo de tratamiento de datos conforme al Art. 28 del RGPD, que ponemos a disposición previa solicitud en support@photohawk.com.

12. Cookies y tecnologías similares

• Las cookies estrictamente necesarias (para el inicio de sesión, la seguridad y la funcionalidad básica) están siempre activas; no requieren consentimiento.
• Las cookies de analítica y publicidad — Google Analytics y el Meta Pixel (véase §7) — no son esenciales y se cargan únicamente después de que usted otorgue su consentimiento a través de nuestro banner de consentimiento de cookies. Puede modificar o retirar su elección en cualquier momento a través del banner / los ajustes de cookies. Rechazarlas deja el servicio plenamente utilizable.
• Encontrará más detalles en nuestra Política de cookies independiente.

13. Datos de menores

Los eventos pueden incluir a menores. El consentimiento para la búsqueda por rostro/selfie es responsabilidad del organizador (véase §4); cuando puedan estar presentes menores, el organizador debe obtener el consentimiento de un padre, madre o tutor antes de activar la búsqueda por rostro para ellos. Photohawk no crea deliberadamente datos biométricos de un menor sin ese consentimiento, y el paso de consentimiento integrado refuerza este principio.

14. Violaciones de datos

En caso de que se produzca una violación de datos personales, Photohawk notificará al responsable del tratamiento afectado sin dilación indebida tras tener conocimiento de ella, y le asistirá en el cumplimiento de sus propias obligaciones de notificación a las autoridades de control y a las personas afectadas (Arts. 33–34 del RGPD).

15. Cambios en esta política

Podemos actualizar esta política; la «Fecha de entrada en vigor» que figura arriba indica la versión vigente. Los cambios sustanciales se comunicarán a los titulares de cuenta.

16. Contacto

Delegado de Protección de Datos — Andrew Hammond. CLOUDCONCUR LTD (número de sociedad 13399913), que opera bajo el nombre Photohawk. Correo electrónico: support@photohawk.com · 23 Caldey Gardens, Ingleby Barwick, Stockton-on-Tees, TS17 5HW, Reino Unido.