Política de privacidad

1 · Quién es responsable

La responsabilidad del tratamiento de sus datos personales en el sentido de la Ley suiza de protección de datos (DSG) corresponde a:

Michael Bolliger
Earhart-Strasse 19
8152 Glattpark (Opfikon)
Suiza
info@migumento.com

Somos una empresa individual y no tenemos delegado de protección de datos. Todas las consultas van directamente a la dirección de arriba y las responde la persona que figura en ella.

2 · Qué datos tratamos

Como persona anfitriona

• Su dirección de correo electrónico. Para que podamos enviarles los enlaces del evento y para que puedan pedir que se los reenviemos. Es lo único que les pedimos activamente — no hay cuenta, no hay contraseña y no hay perfil.
• Los datos sobre la ocasión que introducen ustedes mismos: título, fecha, lugar, diseño, ajustes del evento.
• De dónde viene su visita. Se registra una sola vez al crear el álbum y después no se vuelve a tocar nunca más: los datos de campaña del enlace por el que llegaron hasta nosotros («utm_source», «utm_medium», «utm_campaign»), la ruta de la página en la que estaban (por ejemplo «/hochzeit») y, si venían de otro sitio web, su host — es decir, algo como «www.google.com» y nunca la dirección completa. A eso se suma la respuesta voluntaria a «¿Cómo nos conocieron?» en el formulario; esa pueden dejarla en blanco. Todo ello sirve únicamente para saber cuánta gente nos encuentra y desde dónde — nunca para volver a reconocerlos. Lo que no ocurre: ninguna cookie, ninguna dirección IP, ningún user agent, ningún perfil a lo largo de varias visitas. Y si su navegador envía «Do Not Track» o «Global Privacy Control», no se recoge nada de esto. Estos datos van unidos al álbum y se eliminan con él.
• Datos de pago — véase la sección 5.

Como invitado

• El nombre que introducen ustedes mismos. A su elección. Aparece junto a sus fotos y comentarios para que los demás sepan de quién son.
• Una contraseña, si establecen una. Es voluntario — nadie tiene que crear ninguna. Con ella vuelven a entrar con su nombre desde un teléfono nuevo, por ejemplo si han perdido el anterior. No la guardamos en texto claro, sino solo un valor hash a partir del cual la contraseña no se puede reconstruir — nosotros tampoco podemos leerla.
• Un código de acceso, si lo crean ustedes o los anfitriones. Ocho caracteres, válido 30 minutos, de un solo uso — con él conectan un segundo dispositivo a su nombre, por ejemplo una tableta además del teléfono. También de él guardamos solo un valor hash, nunca el código en sí. Para que puedan volver a entrar incluso sin contraseña, los anfitriones pueden crear un código así para ustedes: quien lo canjee dentro de esos 30 minutos sube fotos con el nombre de ustedes a partir de ese momento.
• Fotos, vídeos, comentarios y reacciones que suben o dejan.
• Qué fotos han marcado como favoritas. Una entrada por foto e invitado, con la hora. Esta lista la ve solo el invitado que la ha creado — no los anfitriones, no los demás invitados. No hay ningún número en la foto, ninguna clasificación y ningún análisis de qué fotos se han marcado más veces. No necesitan ningún nombre para ello; eso sí, sin nombre la lista se queda en ese único dispositivo hasta que introduzcan uno. Se elimina junto con el evento.
• Qué fotos han abierto en la vista grande («Vistas»). Se cuenta por dispositivo y por foto, a partir de aproximadamente un segundo de visualización — un deslizamiento rápido no cuenta y sus propias fotos no cuentan nunca. Esto se queda dentro de este único evento: en la foto se indica cuántos invitados distintos la han abierto, y los demás invitados de ese mismo evento pueden abrir esa lista. Si han introducido un nombre, aparecen ahí con ese nombre; si no han introducido ninguno, aparecen solo como una cifra («+ 3 invitados más») y ahí no hay manera de distinguirlos. Un evento es un grupo cerrado de personas que se conocen entre sí — por eso nos parece justificable. Si no quieren aparecer en esa lista, no introduzcan ningún nombre.
• El recuento sigue también con la indicación desactivada. Los anfitriones pueden desactivar «Vistas» para su evento; entonces nadie ve cifras ni nombres. El recuento continúa igualmente, para que las cifras estén completas si más adelante se vuelve a activar.
• Tipo de dispositivo, modelo y sistema operativo de su navegador, en la medida en que los revele — p. ej. «Pixel 7 · Android 15». Muchos navegadores (todos los del iPhone) no dicen el modelo; entonces ahí aparece menos, o nada. Lo usamos para mejorar Migumento para los dispositivos que se usan de verdad, y aparece junto a ustedes en la lista de invitados de los anfitriones — para los dispositivos sin nombre es lo único con lo que pueden diferenciar dos dispositivos. Si usan varios dispositivos con el mismo nombre — teléfono y tableta, o un teléfono nuevo después de una pérdida —, los reunimos en esa lista: los anfitriones ven entonces cuántos dispositivos les pertenecen, los datos del primero y si han establecido una contraseña — nunca la contraseña en sí. Está vinculado al evento y se elimina con él.
• Sin contraseña no hay inicio de sesión: a quien abre un evento no lo identificamos, y la asociación «estas son mis subidas» vive únicamente en el almacenamiento de su navegador y no sale de su dispositivo. Si establecen una contraseña o conectan un dispositivo con un código de acceso, eso deja de valer para ese dispositivo concreto — justamente para eso están los dos.

Cuando algo falla

• Informes de error de su navegador. Si algo sale mal en la app — una subida se queda colgada, una parte de la página no carga, se produce un error —, su navegador nos envía un informe breve. Contiene: el mensaje de error junto con la línea técnica de la que procede, la dirección de la página en la que estaban (es decir, el enlace a su evento, que de todos modos han abierto ustedes mismos), la versión de nuestra app, además de datos del entorno — navegador, sistema operativo, tamaño de pantalla, calidad de la conexión, memoria disponible — y los últimos pasos que llevaron al error. Si una subida ha fallado, ahí figura también el nombre del archivo afectado, para que nosotros y ustedes sepamos de qué elemento se trataba. Si una parte de la página no carga, ahí figura la dirección del archivo que faltaba — de lo contrario solo sabríamos que falta algo, pero no qué.
• Lo que no figura en él: su nombre, su dirección de correo electrónico, ninguna contraseña, ninguna foto ni contenido de vídeo, y nada con lo que pudiéramos reconocerlos como personas. Un informe se genera solo cuando algo sale mal — en una página que funciona no se envía nada. Con ello no contamos qué miran, y no formamos perfiles a partir de eso.
• Para qué y durante cuánto tiempo. Únicamente para encontrar errores y corregirlos — una boda solo se celebra una vez, y queremos enterarnos de un problema mientras todavía se puede resolver, y no semanas después. Los errores iguales se agrupan en una sola entrada y se eliminan a los 90 días. Los informes están en el mismo servidor que el propio evento; una vez por hora nos llega un resumen por correo electrónico, y en él los enlaces a su evento aparecen ocultos.

Lo técnico, en cada petición

• Dirección IP e identificación del navegador. Se producen en cada petición a cualquier sitio web y constan — como en cualquier servidor web — junto con la dirección solicitada en nuestros registros de funcionamiento. Las usamos para frenar abusos (limitación de las peticiones por remitente) y para encontrar fallos. No las analizamos con fines estadísticos, no las vinculamos con nada de lo anterior y no formamos perfiles a partir de ellas. En particular, «Vistas» no depende de la dirección IP, sino del identificador que su navegador ha creado para este único evento.
• Volumen de datos transferido por evento. Contamos cuántos bytes ha generado un evento en descargas y reproducciones de vídeo. Es una simple suma por evento — sin IP, sin dispositivo, sin persona — y sirve para contrastar nuestros precios con nuestros gastos reales.

3 · Lo que se queda en su dispositivo, y las dos cookies

La mayor parte de lo que Migumento recuerda está guardado localmente en su dispositivo y nunca se envía a un servidor: el identificador con el que su navegador reconoce sus propias subidas, qué álbumes tienen fotos nuevas desde su última visita, sus ajustes de color y de visualización, y las subidas que siguen en la cola.

Una excepción, desde que existe «Vistas»: qué fotos concretas han abierto sí se envía al servidor — véase la sección 2. «Qué álbumes son nuevos para mí», en cambio, se queda puramente en local; eso es otra cosa y no sale de su dispositivo.

También sus favoritos están en el servidor, y a propósito: para que la lista sea la misma en todos sus dispositivos y para que puedan descargar exactamente esas fotos, el servidor tiene que saber cuáles son. Aun así, solo puede leerla quien la ha creado. En su dispositivo hay además una copia, para que las estrellas estén ahí desde el primer momento y no aparezcan después.

Dos cookies pequeñas sí viajan en cada petición, porque el servidor las necesita para dibujar bien la primera página en lugar de tener que corregirla acto seguido:

• qué vista tenían abierta por última vez en este evento;
• si este dispositivo tiene el enlace de Gestionar — para que la vista de Gestionar esté ahí de inmediato y no aparezca después.

Las dos valen solo para este único evento, no contienen ningún identificador de ustedes y no sirven para ningún análisis. No son cookies de rastreo, no vienen de nadie más que de nosotros, y por eso aquí tampoco hay ningún banner de cookies. Se deshacen de ellas y de todo lo demás eliminando los datos del sitio web en su navegador.

4 · Datos de ubicación en sus fotos

Una cámara escribe en cada foto datos adicionales invisibles — la hora, el modelo de cámara y, en muchos teléfonos, las coordenadas del lugar donde se tomó. Estos datos no los eliminamos: forman parte de la toma, y quien descargue su evento más adelante debe recuperar exactamente el archivo que se tomó — con la hora real y con todo lo que lleva consigo.

Pero eso significa también: quien tiene acceso a un evento y descarga un original puede leer ahí el lugar donde se tomó la foto. Si no lo quieren así, desactiven el registro de ubicación en su app de cámara antes de tomar fotos. En el sitio web en sí nunca se muestra ningún lugar ni se dibuja ningún mapa.

En los vídeos esto vale solo para el original. La versión que se reproduce en la app la recodificamos nosotros mismos — y en ese proceso desaparecen los datos adicionales del dispositivo, las coordenadas incluidas. Así que quien solo ve un vídeo no ve ningún lugar; quien descarga el original, sí.

5 · Pagos

El pago se hace a través de Stripe. Los números de tarjeta, los datos de TWINT y todo lo equivalente los recoge y los trata Stripe directamente — nosotros nunca los vemos y no los guardamos en ninguna parte. A nosotros solo vuelve esto: que un pago se ha realizado con éxito, por qué importe y un número de referencia.

La proveedora es Stripe Payments Europe Ltd., Irlanda, para los pagos europeos, con Stripe, Inc. (EE. UU.) como matriz del grupo. Su política de privacidad: stripe.com/privacy.

Si su dirección de facturación está fuera de Suiza, Stripe es el comerciante registrado de la compra (Link, LLC (Stripe)) y responde de forma independiente de ese pago — recoge sus datos de facturación por cuenta propia, emite el recibo y los necesita para sus propias obligaciones fiscales.

6 · Quién más trata los datos

Los menos posibles, y todos como encargados del tratamiento — solo pueden tratar los datos para nosotros, no para fines propios.

Una excepción: con una dirección de facturación fuera de Suiza, Stripe no es encargado del tratamiento para el pago en sí, sino responsable independiente como comerciante registrado (véase la sección 5).

En la medida en que con ello lleguen datos a EE. UU., nos apoyamos en las cláusulas contractuales tipo de la Comisión Europea y en la decisión de adecuación del Consejo Federal sobre el Swiss-U.S. Data Privacy Framework. No vendemos datos ni los cedemos a nadie que no figure aquí — salvo que ustedes mismos ordenen una exportación a su propia cuenta de Google (sección 7) o que la ley nos obligue a ello.

Google no figura en la tabla precisamente por eso: en la exportación, Google no trabaja para nosotros, sino para ustedes, en su propia cuenta y bajo su propio acuerdo con Google. Lo que ocurre entonces está en la sección siguiente.

7 · Exportación a su propia cuenta de Google

Migumento puede copiar las fotos y los vídeos de un evento a su propio Google Drive o a su propia biblioteca de Google Fotos. Esto ocurre únicamente cuando ustedes mismos conectan una cuenta de Google e inician la exportación. Sin ese paso no llega nada a Google — no hay exportación automática, ni programada, ni posterior, y para los invitados no existe en absoluto. Al conectar los redirigimos a Google; en ese momento Google ve su dirección IP, como en cualquier visita a un sitio web.

Se transfieren: las fotos y los vídeos que hayan seleccionado para esa exportación, sus nombres de archivo y el momento en que se tomaron. A eso se añade el nombre del evento y del álbum — en Google Drive, como nombre de las carpetas en las que están los archivos; en Google Fotos, como texto en cada foto, para que las vuelvan a encontrar allí. A cada archivo en Google Drive le añadimos además un identificador técnico de la foto o del vídeo; y si piden la exportación a Google Drive como un único archivo comprimido (ZIP), ese archivo comprimido lleva el identificador de la exportación. Gracias a ellos, una segunda exportación reconoce lo que ya está subido, en lugar de subirlo todo una segunda vez. Son cadenas de caracteres sin significado fuera de nuestro servicio, y Google solo se las entrega a nuestra propia aplicación — en su Google Drive no ven nada de eso.

Un original pasa tal y como se tomó — con todos los datos adicionales invisibles de la cámara de los que habla la sección 4, incluidas las coordenadas del lugar de la toma. Al exportar no los quitamos, igual que tampoco los quitamos al descargar. Solo cuando, para la exportación a Google Drive, eligen la versión más pequeña de una foto o la versión convertida de un vídeo, pasa el archivo recalculado, y ese ya no lleva esos datos. A Google Fotos pasan siempre los originales.

No se transfieren nombres de invitados, comentarios, favoritos ni direcciones de correo electrónico. En su cuenta de Google acaban las fotos y los vídeos en sí, no los datos sobre quién los subió, los marcó como favoritos, los comentó o los miró.

Las copias quedan después en su cuenta, bajo su propio acuerdo con Google. Nosotros somos solo el camino, no el destinatario; para esas copias Google no es nuestro encargado del tratamiento y por eso no figura en la tabla de la sección 6. Lo que Google hace con los datos en su cuenta se rige por la propia política de privacidad de Google: policies.google.com/privacy.

Podemos escribir en su cuenta de Google, pero no leer en ella. Para sus fotos y vídeos pedimos exactamente dos permisos, y ambos son tan estrechos como Google los ofrece: en Google Drive, solo el acceso a los archivos y las carpetas que nuestra propia aplicación haya creado allí (drive.file) — todo lo que ya estaba antes en su Google Drive permanece invisible para nosotros. En Google Fotos, solo añadir (photoslibrary.appendonly): podemos guardar allí fotos y vídeos y crear un álbum para ellos, pero no podemos buscar en su biblioteca, ni verla, ni borrar nada de ella. A eso se añade, al iniciar sesión, la autorización para ver la dirección de su cuenta (openid, email). No pedimos nada más.

De la conexión en sí guardamos en nuestros sistemas solo lo que una exportación necesita: un acceso que ustedes nos conceden en Google y que conservamos únicamente cifrado, para que una exportación pueda ejecutarse sin que tengan que volver a iniciar sesión cada vez; la dirección de correo de la cuenta conectada, para que vean a qué cuenta se exporta — mucha gente tiene más de una, y exportar a la equivocada no se podría deshacer; qué permisos nos han concedido; y el identificador de la carpeta creada y de los álbumes creados, para que una segunda exportación siga usando los mismos en lugar de crear duplicados. Ninguna contraseña, y ningún acceso a Gmail, contactos ni calendario.

Pueden desconectar en cualquier momento. En la vista Gestionar del evento está «Desconectar». Al hacerlo ocurren dos cosas, y no son igual de fiables. Nuestro registro lo borramos en todo caso — después no tenemos ni ese acceso ni la dirección de su cuenta de Google, y una exportación en curso se detiene. Y pedimos a Google que revoque el permiso — eso es una solicitud a Google, y normalmente Google la ejecuta. Si no llega a Google, o si Google la rechaza, el permiso puede seguir existiendo en su cuenta de Google aunque en nuestros sistemas ya no quede nada de él. Después no podemos repetir la revocación: el acceso con el que se haría se ha borrado junto con el registro. En nuestra vista pone «Cuenta de Google desconectada» en los dos casos — ese aviso describe nuestro registro, no su cuenta de Google.

Pueden consultar y retirar ustedes mismos el permiso en cualquier momento, con independencia de nosotros y sin que nosotros intervengamos: en su cuenta de Google, en «Seguridad», entre las aplicaciones de terceros con acceso a la cuenta: myaccount.google.com. Ahí figura lo que todavía podemos hacer en su cuenta, y ahí se lo quitan. Ese lugar es suyo, y es el único que les da la respuesta con seguridad.

Si se elimina el evento, nuestro registro desaparece con él; en ese caso no pedimos nada a Google — así que aquí la vía a través de su cuenta de Google vale con más razón. En caso de una revocación directamente en Google, nuestro acceso pierde su validez de inmediato; el registro con la dirección de su cuenta, en cambio, sigue ahí, para que al menos podamos decirles qué conexión ha dejado de ser válida — desaparece con «Desconectar» o con el evento. Lo que ya se haya exportado sigue en su cuenta — es suyo, y nosotros ya no podemos acceder a ello.

8 · Lo que no hacemos

• Ni publicidad, ni redes publicitarias, ni reventa de datos.
• Ni software de análisis, ni píxeles de seguimiento, ni Google Analytics — Migumento no carga ningún script ajeno, en absoluto.
• Ni cookies de terceros ni ninguna cookie publicitaria o de rastreo — solo las dos funcionales de la sección 3.
• Ni reconocimiento facial, ni detección automática de personas, ni decisiones individuales automatizadas.
• No miramos sus fotos — salvo que nos pidan ayuda o que un reporte nos obligue a ello.

9 · Cuánto tiempo conservamos cada cosa

• El evento y todo lo que contiene: mientras corra el periodo de acceso (véase Condiciones). Después el evento queda bloqueado y, a partir de ese momento, podemos eliminarlo en cualquier instante. No garantizamos ninguna conservación más allá del periodo de acceso. Por norma general conservamos un evento bloqueado más tiempo, para que puedan reabrirlo — pero no pueden contar con ello. Antes de eso, se elimina cuando lo eliminan ustedes o cuando nos lo piden.
• Eventos nunca usados: un evento que 12 meses después de crearse sigue completamente intacto, lo eliminamos automáticamente. Intacto quiere decir: nunca se subió una foto ni un vídeo, ningún invitado escribió su nombre, la dirección de correo nunca se confirmó, no se pagó nada, no se creó ninguna tarjeta de mesa. En un evento así no hay nada que nadie pueda perder. En cuanto una sola de esas cosas haya pasado, el primer punto se aplica sin cambios.
• Eventos demo: automáticamente y por completo a las 48 horas.
• Subidas fallidas: a los 7 días.
• Dirección de correo de la persona anfitriona: mientras exista el evento.
• Conexión con una cuenta de Google: hasta que la desconecten, como máximo mientras exista el evento — después desaparece todo el registro correspondiente, el acceso y la dirección de la cuenta (véase la sección 7).
• Registros de funcionamiento: de vida corta. Se sobrescriben por rotación y no se archivan ni se analizan en ninguna parte.
• Comprobantes de pago: diez años, porque la ley lo exige (Art. 958f OR, el Código suizo de obligaciones).

10 · Sus derechos

Tienen derecho a obtener información sobre los datos que tratamos sobre ustedes, a que se corrijan los datos erróneos, a la eliminación, a que se les entreguen en un formato habitual y a oponerse a un tratamiento. Basta con un correo a info@migumento.com — no necesitamos para ello ningún formulario ni ninguna justificación.

Si aparecen en una foto de un evento y no lo quieren así, escríbannos también. Para eso no necesitan ni el enlace al evento ni el consentimiento de la persona anfitriona.

Además, pueden presentar una reclamación ante el Encargado Federal de Protección de Datos y Transparencia (EDÖB) en Berna.

11 · Seguridad

Todo funciona exclusivamente a través de conexiones cifradas (TLS). A un evento se llega por un enlace largo que no se puede adivinar; quien no lo tiene, no entra. Los archivos originales solo se entregan mediante enlaces de vida corta y firmados uno a uno. El enlace de Gestionar y el enlace para los invitados están separados — se puede compartir uno sin revelar el otro.

Pero eso significa también: quien tiene el enlace, está dentro. No compartan el enlace de Gestionar.

Revisamos nuestro código de forma continua — de manera automatizada y con ayuda de IA — y cada cambio pasa por una serie fija de pruebas y controles antes de publicarse. Eso es diligencia, no una garantía: la seguridad absoluta no existe en internet, y por eso tampoco la prometemos. Lo que eso significa para la responsabilidad está en la sección 12 de las Condiciones.

12 · Cambios

Adaptamos esta política cuando algo cambia en el producto. Vale en cada momento la versión publicada aquí; la fecha de abajo indica cuándo se cambió por última vez.