Política de privacidad

Versión de: septiembre de 2026 · Versión 1.3

1. Responsable del tratamiento

Responsable del tratamiento en el sentido del RGPD:

2. Ámbito de aplicación

Esta Política de privacidad se aplica al uso de la plataforma SaaS Pixalo y del sitio web asociado. Pixalo está dirigida exclusivamente a usuarios comerciales (B2B) y ofrece a fotógrafos profesionales una plataforma técnica para operar tiendas digitales.

Pixalo no es un marketplace ni un intermediario. No existen relaciones contractuales entre Pixalo y los clientes finales de los fotógrafos.

3. Distribución de funciones conforme al RGPD

3.1 Pixalo como Responsable del tratamiento

Pixalo es el Responsable del tratamiento (art. 4 n.º 7 RGPD) para las siguientes actividades de tratamiento:

• Registro y gestión de las cuentas de los Clientes (fotógrafos)
• Facturación de la suscripción a Pixalo a través de Stripe
• Funcionamiento y seguridad de la plataforma
• Comunicación con los Clientes
• Estadísticas de visitantes del sitio web (previo consentimiento)

3.2 Pixalo como Encargado del tratamiento

En la medida en que los fotógrafos (Clientes) traten datos personales de sus clientes finales a través de la plataforma, Pixalo actúa exclusivamente como Encargado del tratamiento conforme al art. 28 RGPD.

En este caso, el Cliente es el Responsable del tratamiento de datos. Al registrarse se celebra con carácter vinculante un Acuerdo de Encargo de Tratamiento (DPA).

4. Datos tratados y bases jurídicas

4.1 Datos de la cuenta del Cliente

Datos: nombre, dirección de correo electrónico, nombre de la empresa, dirección, credenciales de acceso, datos de facturación

Base jurídica: art. 6 apdo. 1 letra b RGPD (ejecución del contrato)

Plazo de conservación: duración de la relación contractual más los plazos legales de conservación

4.2 Pago de la suscripción (Stripe)

El pago de la suscripción a Pixalo se procesa a través de Stripe. Pixalo transmite a Stripe Payments Europe Ltd. (Irlanda) los datos necesarios para ello.

Base jurídica: art. 6 apdo. 1 letra b RGPD (ejecución del contrato)

Stripe procesa los datos de pago bajo su propia responsabilidad. Más información: stripe.com/de/privacy

4.3 Procesamiento de pagos por los Clientes

Los Clientes pueden conectar sus propios proveedores de pago (p. ej., Stripe, PayPal). Pixalo únicamente proporciona la interfaz técnica.

4.4 Datos de registro y seguridad

Datos: dirección IP, marca de tiempo, rutas de acceso, agente de usuario, registros de errores

Finalidad: seguridad, estabilidad, análisis de errores, prevención de abusos

Base jurídica: art. 6 apdo. 1 letra f RGPD (interés legítimo)

Plazo de conservación: máximo 90 días, salvo que sea necesaria una conservación más prolongada para fines de investigación

4.5 Registros jurídicos (DPA, AGB)

Datos: momento del consentimiento, dirección IP, versión del documento

Base jurídica: art. 6 apdo. 1 letra c RGPD (obligación legal)

Plazo de conservación: indefinido (carga legal de la prueba)

4.6 Contacto

Cuando se pone en contacto con nosotros por correo electrónico o mediante nuestro formulario de contacto, tratamos los datos que nos facilita (p. ej., nombre, dirección de correo electrónico, contenido de la consulta) exclusivamente para gestionar su solicitud. El formulario de contacto es operado por nosotros; no interviene ningún proveedor de servicios externo.

Base jurídica: art. 6 apdo. 1 letra b RGPD (inicio/ejecución del contrato) o art. 6 apdo. 1 letra f RGPD (interés legítimo en responder a consultas)

Plazo de conservación: eliminación una vez gestionada completamente la consulta, salvo que sean aplicables obligaciones legales de conservación

4.7 Reconocimiento de texto mediante IA (listas de clase)

Los Clientes pueden cargar fotografías de listas de clase impresas o manuscritas, de las que se extraen automáticamente los nombres de los alumnos y las clases (reconocimiento de texto). El tratamiento se realiza mediante Amazon Bedrock utilizando modelos de Anthropic; la conexión se establece a través de la región de AWS Fráncfort (eu-central-1) y la inferencia se ejecuta exclusivamente en regiones de AWS de la UE (perfil de inferencia de la UE), por lo que los datos no salen de la UE. AWS y Anthropic no utilizan las entradas ni las salidas para entrenar los modelos y estas no se almacenan permanentemente. Los datos extraídos se muestran al Cliente para su revisión antes de importarlos.

Base jurídica: art. 6 apdo. 1 letra b RGPD (ejecución del contrato); para datos de clientes finales, tratamiento siguiendo instrucciones del Cliente (art. 28 RGPD)

Plazo de conservación: la imagen de la lista se procesa únicamente para realizar la extracción y no se almacena permanentemente; los datos de alumnos importados están sujetos a los plazos de conservación habituales

4.8 Newsletter e información de producto (Clientes)

Si ha dado su consentimiento expreso durante la configuración de la tienda o en otro momento, le informaremos por correo electrónico sobre novedades, nuevas funciones y ofertas de Pixalo. Tratamos su nombre, dirección de correo electrónico, configuración de idioma y la prueba de su consentimiento (momento, dirección IP y texto del consentimiento que se le mostró).

El consentimiento es voluntario y no constituye un requisito para utilizar Pixalo. Puede revocarlo en cualquier momento con efecto para el futuro mediante el enlace para darse de baja incluido en cada correo electrónico o de manera informal escribiendo a [email protected]. La licitud del tratamiento realizado hasta la revocación no se ve afectada.

Base jurídica: art. 6 apdo. 1 letra a RGPD (consentimiento); en relaciones con clientes existentes, adicionalmente § 7 apdo. 3 UWG.

Conservación: hasta que se revoque el consentimiento o se elimine su cuenta. La prueba del consentimiento se conserva durante el tratamiento para cumplir la obligación de responsabilidad proactiva (art. 5 apdo. 2 RGPD); después de darse de baja, su dirección solo se mantiene en una lista de supresión para impedir futuros envíos.

5. Fotografías, descargas y minimización de datos

Pixalo aplica de forma sistemática el principio de minimización de datos:

• Imágenes de vista previa: resolución reducida y marca de agua. No se accede a los originales sin una compra.
• Enlaces de descarga: válidos durante el período definido por el fotógrafo (de 7 a 90 días desde el pedido, por defecto 7 días). Una vez caducados, el acceso deja de ser posible.
• Datos de clientes finales: tratados exclusivamente siguiendo las instrucciones del Cliente (procesamiento de pedidos).

6. Plazos de conservación

7. Alojamiento e infraestructura

La plataforma funciona en servidores situados dentro de la Unión Europea (Amazon Web Services, región de Fráncfort / eu-central-1: alojamiento, base de datos, almacenamiento de objetos, copias de seguridad diarias de la base de datos y envío de correo electrónico mediante Amazon SES).

Los contenidos se distribuyen mediante Amazon CloudFront y la red de Cloudflare (DNS, proxy inverso, terminación TLS, protección DDoS); los contenidos cifrados y los datos de conexión pueden almacenarse en caché o tratarse en ubicaciones de todo el mundo (véase la sección 9). En el Anexo 2 del DPA figura una lista completa de subencargados.

Base jurídica: art. 6 apdo. 1 letras b y f RGPD

8. Aplicación móvil (Pixalo Photographer)

Los fotógrafos utilizan la aplicación móvil de Pixalo para iniciar sesiones fotográficas y crear etiquetas de alumnos.

La aplicación no almacena ni procesa fotografías directamente en el dispositivo móvil. Las fotografías se procesan posteriormente a través del panel de control de Pixalo.

La aplicación puede transmitir los siguientes datos:

• ID de sesión
• Información de etiquetado (asociación de alumnos con fotografías)
• Cuenta de usuario del fotógrafo (autenticación)

Base jurídica: art. 6 apdo. 1 letra b RGPD (ejecución del contrato)

9. Transferencias a terceros países

Si se transfieren datos personales a países fuera de la UE/EEE, esto se realiza exclusivamente sobre la base de:

• Decisiones de adecuación de la Comisión Europea (art. 45 RGPD, p. ej., el Marco de Privacidad de Datos UE-EE. UU.)
• Cláusulas contractuales tipo (art. 46 apdo. 2 letra c RGPD)
• Medidas técnicas y organizativas de protección adicionales

10. Cookies y seguimiento

Pixalo utiliza un banner de consentimiento de cookies conforme al § 25 TDDDG y al art. 6 apdo. 1 letra a RGPD. Su selección se guarda localmente en su navegador y puede modificarse o eliminarse allí en cualquier momento.

Cookies técnicamente necesarias

Estas cookies son necesarias para el funcionamiento de la plataforma y se establecen sin consentimiento.

Base jurídica: § 25 apdo. 2 n.º 2 TDDDG, art. 6 apdo. 1 letra f RGPD

Cookies de análisis

Las herramientas de estadísticas y análisis (actualmente Google Analytics) solo se activan tras el consentimiento expreso. Los datos pueden transferirse a EE. UU.; esto se basa en el Marco de Privacidad de Datos UE-EE. UU. y en las Cláusulas Contractuales Tipo de la UE.

Base jurídica: art. 6 apdo. 1 letra a RGPD (consentimiento)

El consentimiento puede revocarse en cualquier momento a través del banner de cookies.

Meta Pixel (Facebook e Instagram)

En determinadas partes de nuestro sitio web, en particular en las páginas de destino de campañas y en las páginas de inicio de sesión y registro, utilizamos el Meta Pixel proporcionado por Meta Platforms Ireland Limited (Merrion Road, Dublin 4, Irlanda). El píxel solo se carga después de su consentimiento expreso. Si no presta su consentimiento, no se carga ningún script de Meta ni se transmiten datos a Meta.

La finalidad es medir y evaluar nuestra publicidad en Facebook e Instagram: podemos saber si un anuncio dio lugar a una visita de página o a un registro para la prueba gratuita y orientar nuestra publicidad en consecuencia. Meta trata, entre otros datos, su dirección IP, información del navegador y del dispositivo, la página visitada y los eventos activados (p. ej., «visita de página», «interés en la prueba», «registro completado»).

Además, transmitimos los mismos eventos a Meta desde nuestro servidor mediante la Conversions API. La razón es que las extensiones del navegador y las funciones de protección contra el seguimiento bloquean con frecuencia el píxel; sin este segundo canal, la medición quedaría incompleta. Se transmiten los datos indicados anteriormente y, si se ha registrado, una versión de su dirección de correo electrónico cifrada mediante hash SHA-256; Meta nunca recibe su dirección de correo electrónico en texto plano. Ambos canales envían el mismo identificador de evento para que una acción solo se contabilice una vez. Esta transmisión desde el servidor también se realiza únicamente con su consentimiento; si lo revoca, la transmisión se detiene por completo.

Para la recogida y transmisión de estos datos, nosotros y Meta somos corresponsables del tratamiento en el sentido del art. 26 RGPD; los detalles se establecen en el Controller Addendum de Meta. Meta es la única responsable del tratamiento posterior de los datos.

No puede excluirse una transferencia de datos a EE. UU. Esta transferencia se basa en el Marco de Privacidad de Datos UE-EE. UU. y en las Cláusulas Contractuales Tipo de la UE.

Base jurídica: art. 6 apdo. 1 letra a RGPD y § 25 apdo. 1 TDDDG (consentimiento).

Puede revocar su consentimiento en cualquier momento con efecto para el futuro a través del banner de cookies. Encontrará más información sobre el tratamiento de datos por parte de Meta en la política de privacidad de Meta.

11. Comunicación de datos

Los datos personales solo se transfieren:

• para la ejecución del contrato (p. ej., procesamiento de pagos a través de Stripe)
• si existe una obligación legal
• en el marco de un encargo de tratamiento con los contratos correspondientes
• a Meta Platforms Ireland Limited para medir y orientar nuestra publicidad, únicamente después de su consentimiento (véase la sección 10.3)

No vendemos sus datos. Cualquier transmisión con fines publicitarios tiene lugar exclusivamente en el marco del Meta Pixel descrito en la sección 10.3 y únicamente si ha prestado previamente su consentimiento expreso.

12. Toma de decisiones automatizada

No se realiza ninguna toma de decisiones automatizada, incluida la elaboración de perfiles, en el sentido del art. 22 RGPD.

13. Derechos de los interesados

Los interesados disponen de los siguientes derechos:

• Acceso (art. 15 RGPD) a los datos tratados
• Rectificación (art. 16 RGPD) de datos incorrectos
• Supresión (art. 17 RGPD), siempre que no existan obligaciones de conservación
• Limitación del tratamiento (art. 18 RGPD)
• Portabilidad de los datos (art. 20 RGPD)
• Oposición al tratamiento (art. 21 RGPD)
• Revocación de los consentimientos otorgados con efecto para el futuro
• Presentar una reclamación ante una autoridad de control (art. 77 RGPD)

Dirija sus solicitudes a: [email protected]

En la medida en que Pixalo actúe como encargado del tratamiento, las solicitudes deberán dirigirse al respectivo responsable del tratamiento (Cliente).

Autoridad de control competente: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen

13.1 Derecho a la supresión de datos

Los usuarios tienen derecho a solicitar la supresión de su cuenta de usuario y de todos los datos personales asociados (art. 17 RGPD).

Por regla general, la supresión se realiza en un plazo de 30 días, salvo que existan obligaciones legales de conservación (p. ej., obligaciones fiscales o mercantiles de conservación conforme al § 147 AO y § 257 HGB) que lo impidan.

14. Modificaciones de esta Política de privacidad

Esta Política de privacidad podrá adaptarse en caso de cambios legales, técnicos u organizativos. La versión vigente está disponible en todo momento en esta página.