Política de privacidad

1 · Quién es responsable

La responsabilidad del tratamiento de sus datos personales en el sentido de la Ley suiza de protección de datos (DSG) corresponde a:

Michael Bolliger
Earhart-Strasse 19
8152 Glattpark (Opfikon)
Suiza
info@migumento.com

No tenemos delegado de protección de datos.

2 · Qué datos tratamos

Como anfitrión

• Su dirección de correo electrónico. Para que podamos enviarles los enlaces del evento y el código para eliminar el evento, para que puedan pedir que les volvamos a enviar los enlaces y para que podamos enviarles correos sobre su evento. Pueden darse de baja desde cada uno de esos correos.
• Los datos de la ocasión, que introducen ustedes mismos: título, fecha, lugar, diseño, ajustes del evento.
• La procedencia de su visita. Se registra al crear el álbum: los datos de campaña («utm_source», «utm_medium», «utm_campaign», «utm_content») de la página en la que crean el álbum; si no los hay, los primeros de la misma visita; si tampoco los hay y la cookie «migu_d» está colocada (sección 3), los primeros del mismo dispositivo en los 7 días anteriores. A eso se añaden la ruta de esa página, el host del sitio web del que vienen si su navegador lo envía (nunca la dirección completa), y la respuesta voluntaria a «¿Cómo nos conocieron?». Si «migu_d» está colocada, su identificador de dispositivo y su identificador de visita; si todavía no han respondido a la pregunta sobre la cookie, el identificador de la visita sin cookie (más abajo); y si la cookie estaba colocada, rechazada, sin respuesta o ausente. Además, la versión del sitio web con la que se creó el álbum y, si «migu_d» está colocada, el identificador de «migu_xp» (sección 3). Finalidad: saber cuánta gente nos encuentra y por qué vía, asociar el álbum a las páginas vistas del mismo navegador e imputar la primera compra a la oferta de esta versión. Estos datos solo los analizamos nosotros y no los transmitimos a terceros; en el sitio web no funciona ningún seguimiento de terceros. Van unidos al álbum y se eliminan con él; los identificadores, a más tardar a los doce meses.
• Datos de pago — véase la sección 5.

Como invitado

• El nombre que escriben ustedes mismos. Aparece junto a sus fotos y comentarios, para que los demás sepan de quién son.
• Una contraseña, si establecen una. Voluntaria. Con ella vuelven a entrar con su nombre en otro dispositivo. Solo se guarda un valor hash.
• Un código de acceso, si lo crean ustedes o los anfitriones. Ocho caracteres, válido 30 minutos, de un solo uso — con él conectan un dispositivo más a su nombre. Solo se guarda un valor hash. Los anfitriones pueden crear un código así para ustedes: quien lo canjee dentro de esos 30 minutos, sube después con su nombre.
• Las fotos, los vídeos, los comentarios y las reacciones que suben o dejan.
• Mediciones de cada subida. Cuánto duró cada paso, desde el envío hasta que se muestra, cuántas veces se repitió un paso, la velocidad de transferencia medida y cuál de nuestros servidores ejecutó un paso. Finalidad: mejorar las subidas y su procesamiento. Se eliminan doce meses después de la subida, o antes con el evento.
• Qué fotos han marcado como favoritas. Una entrada por foto e invitado, con la hora. Esta lista la ve únicamente el invitado que la ha creado. Sin nombre, la lista se queda en este dispositivo hasta que introduzcan uno. Se elimina junto con el evento.
• Qué fotos han abierto en la vista grande («Vistas»). Se cuenta por dispositivo y por foto, a partir de aproximadamente un segundo mirándola; sus propias fotos no cuentan. Eso se queda dentro de este único evento: junto a la foto aparece cuántos invitados distintos la han abierto, y los demás invitados del mismo evento pueden abrir esa lista. Si han introducido un nombre, figuran en ella con ese nombre; si no tienen ninguno, aparecen solo como cifra («+ 3 invitados más») y ahí no se les puede distinguir.
• También se cuenta cuando la visualización está desactivada. Los anfitriones pueden desactivar «Vistas» para su evento; entonces nadie ve cifras ni nombres. El recuento sigue en marcha de todos modos.
• El tipo de dispositivo, el modelo y el sistema operativo de su navegador, en la medida en que los revele — p. ej. «Pixel 7 · Android 15». Finalidad: mejorar Migumento para los dispositivos que se usan; además aparece junto a ustedes en la lista de invitados de los anfitriones. Si usan varios dispositivos con el mismo nombre, los fusionamos en esa lista: los anfitriones ven entonces cuántos dispositivos les pertenecen, los datos del primero y si han establecido una contraseña. Todo ello está vinculado al evento y se elimina con él.
• Reportes. Si reportan una foto, un vídeo o un comentario, registramos: el contenido reportado, el motivo, su detalle opcional, su entrada de invitado con su nombre, si han introducido uno, y el momento. Finalidad: revisar y eliminar contenidos no permitidos. Los reportes de fotos y vídeos los ven la persona anfitriona y los moderadores del evento; los de comentarios, la persona anfitriona.
• Quién saca fotos en bloque. Si descargan un archivo ZIP a través del enlace de invitados o inician una exportación a Google Drive o Google Fotos, también como anfitriones, registramos: su nombre en ese momento, la vía (ZIP, Google Drive o Google Fotos), qué se llevaron (todo el evento, un álbum, sus favoritos o una selección), el número de fotos y vídeos, en el ZIP la cantidad de datos transferida y el momento. Finalidad: poder saber quién sacó en bloque las fotos de un evento.
• Uso del evento. Se registra el uso: vistas y acciones, app o navegador, el momento. Junto con ello, el evento, su entrada de invitado, si la hay, el identificador de su navegador y su dirección IP acortada (más abajo), y, si la cookie «migu_d» está colocada (sección 3), su identificador de dispositivo y su identificador de visita; si todavía no han respondido a la pregunta sobre la cookie, el identificador de la visita sin cookie (más abajo). Tras «Rechazar», solo el evento. Finalidad: saber qué funciones de un evento se usan y cómo. Se elimina a los doce meses.
• Valoración. Si después del evento dejan una valoración, también como persona anfitriona, registramos: las estrellas, el texto voluntario, su entrada de invitado o que son la persona anfitriona, el número de fotos que han subido y que han abierto en vista ampliada, app o navegador, el idioma y el momento. Si cierran la pregunta, registramos cuántas veces y cuándo. Finalidad: mejorar Migumento y mostrar en el sitio web la media y el número de todas las valoraciones, sin nombres. El texto solo lo leemos nosotros. Se elimina con el evento.

Cuando algo falla

• Informes de error de su navegador. Si en la aplicación algo sale mal, su navegador nos envía al respecto un informe. Contiene: el mensaje de error junto con la línea técnica de origen, la dirección de la página en la que estaban (es decir, el enlace a su evento), la versión de nuestra aplicación, además de datos del entorno — navegador, sistema operativo, tamaño de pantalla, calidad de la conexión, memoria disponible — y los últimos pasos que llevaron al error. En una subida fallida figura ahí también el nombre de archivo del archivo afectado. Si una parte de la página no carga, figura ahí la dirección del archivo que faltaba.
• Para qué y durante cuánto tiempo. Finalidad: encontrar y corregir errores. Los errores iguales se agrupan en una sola entrada y se eliminan a los 90 días. Los informes están en el mismo servidor que el propio evento.

Con una cuenta (voluntario)

Una cuenta es voluntaria. Finalidad: encontrar todos sus eventos en un solo sitio y en cualquier dispositivo. Para ello guardamos:

• Su dirección de correo electrónico y el nombre que indican en la cuenta. La dirección es la llave de la cuenta; todos los códigos de inicio de sesión van a ella.
• Una contraseña, si establecen una — como valor hash. Sin contraseña inician sesión con un código de seis cifras que vale diez minutos; también de él guardamos solo un valor hash.
• Sus sesiones: por cada dispositivo con la sesión iniciada, un identificador, cuándo se usó por última vez, la dirección IP y el identificador del navegador del dispositivo — para que en «Sesiones» vean dónde tienen la sesión iniciada y puedan cerrar sesión en dispositivos concretos. Una sesión termina al cabo de un año sin uso, o cuando la terminan ustedes.
• Qué eventos pertenecen a la cuenta — como anfitrión o como invitado con el nombre que usan ahí.
• Un registro de los inicios de sesión — cuándo, desde qué dirección IP, con qué resultado —, para que podamos detectar usos indebidos.

Inicio de sesión con Google. Si eligen «Continuar con Google», Google nos transmite el identificador de su cuenta («sub»), su dirección de correo electrónico y su nombre. Guardamos el identificador para reconocerlos la próxima vez. Lo que Google registre por su parte sobre el inicio de sesión se rige por la propia política de privacidad de Google.

Inicio de sesión con Apple. Si eligen «Continuar con Apple», Apple nos transmite el identificador de su cuenta («sub»), una dirección de correo electrónico verificada y, solo la primera vez, su nombre. Si en Apple eligen «Ocultar mi correo electrónico», la dirección es una dirección de reenvío de Apple. Guardamos el identificador para reconocerlos la próxima vez. Apple responde de forma independiente del inicio de sesión en Apple; lo que Apple registre en ese proceso se rige por la propia política de privacidad de Apple.

Protección frente a inicios de sesión automatizados. La página de inicio de sesión puede incorporar una comprobación de Cloudflare («Turnstile») que distingue los intentos de inicio de sesión de una persona de los de un programa. En ella, Cloudflare trata la dirección IP y características técnicas de su navegador — solo durante la comprobación, y solo en esa página.

La cuenta la eliminan ustedes mismos en «Inicio de sesión → Eliminar cuenta». Con ello se retiran las asociaciones con los eventos y las sesiones; los eventos, las fotos y los nombres de los invitados se quedan en el evento.

Con la app para Android (voluntaria)

La app es voluntaria. Muestra el mismo sitio web, y todo lo que dice esta sección vale ahí igual. A eso se añade:

• La instalación de la app. En el primer inicio, la app se registra con nosotros: con un identificador, una clave de la que solo guardamos un valor hash, la versión de la app y el idioma en que la usan. Además registramos cuándo se comunicó con nosotros por última vez. Finalidad: enviar a este teléfono notificaciones en su idioma, y solo este teléfono puede configurarlas.
• Notificaciones, si las permiten. El identificador con el que Firebase Cloud Messaging de Google llega a su teléfono (un ID de instalación de Firebase o un token de registro). Por evento: a qué invitado pertenece allí el teléfono, si tiene el enlace de Gestionar, sus interruptores en «Notificaciones», hasta cuándo han visto las fotos y cuándo enviamos qué notificación. De cada intento de envío registramos además: el tipo de notificación, si el teléfono contaba en ese momento como invitado o como persona anfitriona, el idioma, el sistema operativo, el canal en el que se muestra la notificación y la cifra que indica. A esto se suma el resultado: la respuesta de Firebase Cloud Messaging o nuestro propio motivo cuando de allí no llegó ninguna respuesta. Si tocan una notificación, la app nos lo comunica y registramos el momento. Finalidad: ver si las notificaciones llegan y si se tocan. Una notificación contiene el título del evento, un texto con una cifra y los nombres de invitados que han hecho una subida, el enlace al álbum, el identificador del intento de envío — siempre que hayamos podido registrarlo — y la dirección de una imagen de vista previa que pueden ver en el álbum. Llega a su teléfono a través de Firebase Cloud Messaging y, en un iPhone, después a través del Apple Push Notification Service (sección 6). Si un interruptor está desactivado, no enviamos ese tipo de notificación. En los ajustes del teléfono desactivan la visualización para toda la app.
• Acceso a las fotos y los vídeos del teléfono, si lo permiten. La app lee la fototeca del teléfono para mostrarla al seleccionar y para sugerir fotos tomadas durante el evento; para las sugerencias, también cuando la app no está abierta. Una foto o un vídeo solo sale del teléfono cuando lo suben. Para que la app pueda marcar las fotos y los vídeos que el álbum ya tiene, y no sugerirlos, antes nos envía su tamaño de archivo, el momento de la toma y el nombre de archivo. Respondemos cuáles de ellos contiene ya el evento, y no guardamos esos datos.
• Un código de instalación, si importan eventos del navegador a la app. Para ello, el navegador obtiene para cada evento un código válido 24 horas y de un solo uso. La app lo usa para abrir el evento con su nombre. Del código guardamos un valor hash y el propio código, cifrado: puede recogerse durante 15 minutos como máximo y después se elimina.
• Escanear un código QR. La imagen de la cámara la analizan los servicios de Google Play en el teléfono. La app solo recibe el contenido del código.
• Iniciar sesión en la app. El inicio de sesión con Google funciona a través de los servicios de Google Play del teléfono. Iniciar sesión con Apple y la conexión de una cuenta de Google para la exportación ocurren en el navegador del teléfono; pasamos su resultado a la app con un ticket que vale una sola vez y caduca a los cinco minutos.

Técnico, en cada visita

• Dirección IP e identificador del navegador. Se generan cada vez que se abre un sitio web y figuran junto con la dirección solicitada en nuestros registros de funcionamiento. Finalidad: frenar los usos indebidos (limitación de las solicitudes por remitente) y localizar averías.
• Una página vista, contada por el servidor. Se registra: la página solicitada, como su dirección base en alemán (por ejemplo «/hochzeit») — en este recuento no figura nunca un enlace de álbum, un álbum cuenta solo como álbum, Gestionar o acceso de subida; el idioma y la región de precios de la dirección; los datos de campaña del enlace; el identificador que una plataforma publicitaria añade por su cuenta a su enlace; la clave corta de uno de nuestros propios enlaces; y, si vienen de otro sitio web, el host de este — es decir algo como «www.google.com» y nunca la dirección completa. Finalidad: saber qué páginas se abren, cuántas veces y por qué vía. Si la cookie «migu_d» está colocada (sección 3), su identificador de dispositivo y su identificador de visita constan en la línea; si todavía no han respondido a la pregunta sobre la cookie, el identificador de la visita sin cookie (más abajo). La línea registra además si la cookie estaba colocada, rechazada o sin respuesta, y qué versión del sitio web se entregó; si «migu_d» está colocada, también el identificador de «migu_xp» (sección 3). Si crean una demo, se registra para ello una línea con los mismos datos. De su dispositivo solo se leen el idioma que han elegido, «migu_d» y «migu_xp» (sección 3).
• Uso del sitio web. Se registra el uso del sitio web: vistas y acciones, el momento. Junto con ello, la página como su dirección base en alemán, el idioma y la región de precios de la dirección, el identificador de su navegador y su dirección IP acortada (más abajo), y, si la cookie «migu_d» está colocada (sección 3), su identificador de dispositivo y su identificador de visita; si todavía no han respondido a la pregunta sobre la cookie, el identificador de la visita sin cookie (más abajo). Además, la versión del sitio web que se entregó y, si «migu_d» está colocada, el identificador de «migu_xp» (sección 3). Tras «Rechazar», lo mismo sin el identificador de su navegador, la dirección IP y los identificadores del dispositivo y de la visita. Finalidad: saber qué partes de estas páginas se usan y cómo. Se elimina a los doce meses.
• Un identificador por día. Para que varias páginas de una misma visita no cuenten como varios visitantes, nuestro servidor calcula una suma de comprobación a partir de su dirección IP, del identificador de su navegador y de su ajuste de idioma. En ese cálculo entra un valor secreto que se genera de nuevo para cada día y se elimina a los dos días. Para ello solo se guarda la suma de comprobación. El identificador de su navegador responde además a si la solicitud venía de un programa automático. Tras «Rechazar» (sección 3) esa suma de comprobación no se calcula.
• Identificador del navegador y dirección IP acortada con la página vista. En la línea de una página vista y de una demo constan además el identificador de su navegador y su dirección IP sin su última parte: en IPv4 sin el último de los cuatro números, en IPv6 solo los tres primeros bloques. Finalidad: reconocer nuestras propias solicitudes según reglas que fijamos nosotros y marcarlas como internas, y reconocer las solicitudes de programas automáticos. Eliminamos ambos a los doce meses de la solicitud de la línea.
• Una visita sin cookie. Si se encuentran en la UE, en el EEE, en el Reino Unido o no se puede asignar ningún país, y todavía no han respondido a la pregunta sobre la cookie «migu_d» (sección 3), nuestro servidor agrupa sus páginas vistas en una visita. Para ello calcula una suma de comprobación a partir de su dirección IP, del identificador de su navegador, de la característica de su conexión cifrada que forma nuestro proveedor de red («JA4») y de su ajuste de idioma. En el cálculo entra el valor secreto del día del punto anterior, que se elimina a los dos días. Se guardan la suma de comprobación, un identificador de visita aleatorio y el inicio y la última solicitud de la visita. Una visita termina tras 30 minutos sin solicitudes o 24 horas después de su inicio. Finalidad: asociar entre sí las páginas vistas de una visita y a un álbum creado durante esa visita. Tras «Rechazar», no se calcula nada de eso.
• Datos de campaña en los enlaces. Si llegan por un enlace con datos de campaña («utm_source», «utm_medium», «utm_campaign», «utm_content») y todavía no han respondido a la pregunta sobre la cookie «migu_d» o la han rechazado, nuestro servidor añade estos datos a los enlaces de la página que siguen dentro de Migumento. Si la cookie está colocada, la página quita de la barra de direcciones los datos de campaña, el identificador de una plataforma publicitaria y nuestra clave corta en cuanto la página vista se ha contado.

3 · Qué se queda en su dispositivo, y las cookies

En local en su dispositivo, sin enviarse a un servidor: qué álbumes tienen fotos nuevas desde su última visita, sus ajustes de color y de visualización, y las subidas que siguen en la cola. En su dispositivo hay además una copia de sus favoritos (sección 2).

Cookies para este único evento. Cinco, colocadas por su navegador, válidas como mucho un año. El servidor las lee para entregar la primera página en el estado que describen:

• qué vista tenían abierta por última vez en este evento;
• si este dispositivo tiene el enlace de Gestionar;
• sus ajustes de visualización y hasta dónde han visto las fotos de este evento;
• cuántas fotos han marcado como favoritas — una cifra, no una lista;
• una suma de comprobación (SHA-256) del identificador que su navegador ha creado para este evento. Con ella el servidor reconoce sus propias subidas y no se las muestra como nuevas.

Cookies para todo el sitio web. Si eligen un idioma o una región de precios, dos cookies conservan esa elección durante un año. Una tercera recuerda para esta visita que han cerrado el aviso sobre otra región de precios.

Con una cuenta (sección 2) se añaden otras. Valen para todo el sitio web, mientras tengan la sesión iniciada:

• una cookie que muestra que tienen la sesión iniciada y que en la siguiente visita encuentra la sesión correspondiente — termina al cabo de un año sin uso, o cuando cierran sesión;
• una segunda que solo registra que tienen la sesión iniciada y que guarda sus iniciales para el icono de arriba a la derecha;
• si inician sesión con Google o Apple, además una que protege ese proceso de inicio de sesión concreto frente a manipulaciones y que caduca por sí sola a los diez minutos, tanto si completan el inicio de sesión como si no.

Se deshacen de ellas y de todo lo demás cerrando sesión o eliminando los datos del sitio web en su navegador.

En la app para Android, estas cookies y todo lo anterior están en el almacenamiento de la app en lugar del navegador. Además, la app guarda en el teléfono la lista de sus eventos con sus accesos, el identificador de la instalación con su clave, qué fotos y vídeos de la fototeca ha subido y qué sugerencias han descartado. Esas dos listas se quedan en el teléfono. Se deshacen de todo ello desinstalando la app o eliminando sus datos en los ajustes de Android.

Una cookie que reconoce este navegador: «migu_d». La coloca nuestro servidor cuando entrega una página de Migumento. Válida 400 días desde la última solicitud. Contenido: un identificador de dispositivo aleatorio, un identificador de visita aleatorio, el inicio y la última solicitud de la visita, y si han dado su consentimiento. Una visita termina tras 30 minutos sin solicitudes o 24 horas después de su inicio. Finalidad: asociar entre sí las páginas vistas de un navegador a lo largo de varios días y desde el sitio web hasta un álbum, y un álbum nuevo a la visita desde la que se creó (sección 2). Sus identificadores no van a nadie.

Dónde se coloca sin preguntar: en Suiza y en cualquier país fuera de la UE, del EEE y del Reino Unido. Lo determinante es el país que nuestro proveedor de red asigna a su conexión. En la UE, en el EEE, en el Reino Unido y cuando no se puede asignar ningún país, solo se coloca con su consentimiento; sin él, allí no se coloca nada y una cookie ya existente no se lee. Mientras no hayan respondido, allí se aplica «Una visita sin cookie» (sección 2).

Su elección: Dejar de reconocer este navegador — la cookie se sustituye por otra que durante 400 días solo registra su rechazo. Permitir el reconocimiento — eso es su consentimiento, donde se necesita uno. Pueden cambiar la elección en cualquier momento.

Una cookie que determina qué versión del sitio web ven: «migu_xp». La coloca nuestro servidor cuando entrega una página de Migumento, en todos los países. Válida 400 días. Contenido: un identificador aleatorio y, tras una visita desde un anuncio de Google, una anotación sobre ello. Finalidad: que este navegador vea en cada visita la misma versión del sitio web y los mismos precios. Su identificador no va a nadie.

Cualquier otra cookie de esta lista la necesita el servicio que han solicitado.

Otra cookie más la colocamos exclusivamente detrás del inicio de sesión en nuestra administración interna. Contenido: la indicación de que las visitas de ese dispositivo no entran en nuestras cifras. Duración: un año.

No viene de nosotros: la comprobación de Cloudflare («Turnstile») en los dos campos de inicio de sesión puede colocar una cookie. Finalidad: distinguir a una persona de un programa. Proveedor: sección 6. Según nuestra valoración, es estrictamente necesaria para el proceso que ustedes han solicitado y por eso no requiere consentimiento.

4 · Datos de ubicación en sus fotos

Una cámara escribe en cada foto datos adicionales invisibles — la hora, el modelo de cámara y, en muchos teléfonos, las coordenadas del lugar donde se tomó. Estos datos no los eliminamos.

Quien tiene acceso a un evento y descarga un original puede leer ahí el lugar donde se tomó la foto.

A través de la app para Android, las fotos y los vídeos llegan con esos datos, las coordenadas incluidas. Si los seleccionan en un navegador en Android, Android quita las coordenadas antes de la subida; en la app también, si no tiene acceso a la fototeca.

El anfitrión puede hacer quitar esos datos para los demás invitados. Si desactiva «Incluir metadatos» en «Descargar originales», en la descarga y en la exportación por parte de invitados quitamos de las fotos y los vídeos de los demás invitados las coordenadas, los datos del dispositivo como el número de serie, los nombres guardados, los textos y las imágenes de vista previa incrustadas. Cada invitado recibe sus propias fotos y vídeos sin cambios, igual que todo lo que pasa por el enlace de Gestionar.

En los vídeos esto vale solo para el original. La versión que se reproduce en la app la recodificamos nosotros mismos — y en ese proceso desaparecen los datos adicionales del dispositivo, las coordenadas incluidas.

5 · Pagos

El pago se hace a través de Stripe. Los números de tarjeta, los datos de TWINT y todo lo equivalente los recoge y los trata Stripe directamente. A nosotros solo vuelve esto: que un pago se ha realizado con éxito, por qué importe y un número de referencia.

La proveedora es Stripe Payments Europe Ltd., Irlanda, para los pagos europeos, con Stripe, Inc. (EE. UU.) como matriz del grupo. Su política de privacidad: stripe.com/privacy.

Si su dirección de facturación está fuera de Suiza, Stripe es el comerciante registrado de la compra (Link, LLC (Stripe)) y responde de forma independiente de ese pago — recoge sus datos de facturación por cuenta propia, emite el recibo y los necesita para sus propias obligaciones fiscales.

6 · Quién más trata los datos

Todos son encargados del tratamiento; tratan los datos exclusivamente para nosotros.

Una excepción: con una dirección de facturación fuera de Suiza, Stripe no es encargado del tratamiento para el pago en sí, sino responsable independiente como comerciante registrado (véase la sección 5).

En la medida en que con ello lleguen datos a EE. UU., nos apoyamos en las cláusulas contractuales tipo de la Comisión Europea y en la decisión de adecuación del Consejo Federal sobre el Swiss-U.S. Data Privacy Framework. No cedemos datos a nadie que no figure aquí — salvo que ustedes mismos ordenen una exportación a su propia cuenta de Google (sección 7) o que la ley nos obligue a ello.

7 · Exportación a su propia cuenta de Google

Migumento puede copiar las fotos y los vídeos de un evento a su propio Google Drive o a su propia biblioteca de Google Fotos. Esto ocurre únicamente cuando ustedes mismos conectan una cuenta de Google e inician la exportación. La exportación existe para los anfitriones y para los invitados; cada persona conecta su propia cuenta de Google y exporta solo a ella. Al conectar los redirigimos a Google; en ese momento Google ve su dirección IP, como en cualquier visita a un sitio web.

Se transfieren: las fotos y los vídeos que hayan seleccionado para esa exportación, sus nombres de archivo y el momento en que se tomaron. A eso se añade el nombre del evento y del álbum — en Google Drive, como nombre de las carpetas en las que están los archivos; en Google Fotos, como texto en cada foto. A cada archivo en Google Drive le añadimos además un identificador técnico de la foto o del vídeo; y si piden la exportación a Google Drive como un único archivo comprimido (ZIP), ese archivo comprimido lleva el identificador de la exportación. Finalidad: una segunda exportación reconoce con ellos lo que ya está transferido.

Un original pasa tal y como se tomó — con todos los datos adicionales invisibles de la cámara de los que habla la sección 4, incluidas las coordenadas del lugar de la toma. Solo cuando, para la exportación a Google Drive, eligen la versión más pequeña de una foto o la versión convertida de un vídeo, pasa el archivo recalculado, y ese ya no lleva esos datos. A Google Fotos pasan siempre los originales.

Las copias quedan después en su cuenta, bajo su propio acuerdo con Google. Google no es nuestro encargado del tratamiento para esas copias. Lo que Google hace con los datos en su cuenta se rige por la propia política de privacidad de Google: policies.google.com/privacy.

Podemos escribir en su cuenta de Google, pero no leer en ella. Por cada conexión pedimos para sus fotos y vídeos exactamente un permiso — el del destino que hayan elegido: en Google Drive, solo el acceso a los archivos y las carpetas que nuestra propia aplicación haya creado allí (drive.file). En Google Fotos, solo añadir (photoslibrary.appendonly): podemos guardar allí fotos y vídeos y crear un álbum para ellos, pero no podemos buscar en su biblioteca, ni verla, ni eliminar nada de ella. Si quieren usar los dos destinos, conectan dos veces, y entonces tenemos los dos permisos. A eso se añade, al iniciar sesión, la autorización para ver la dirección de su cuenta (openid, email).

De la conexión en sí guardamos en nuestros sistemas solo lo que una exportación necesita: un acceso que ustedes nos conceden en Google y que conservamos únicamente cifrado, para que una exportación pueda ejecutarse sin un nuevo inicio de sesión; la dirección de correo de la cuenta conectada, para que vean a qué cuenta se exporta; qué permisos nos han concedido; y el identificador de la carpeta creada y de los álbumes creados, para que una segunda exportación siga usando los mismos.

Pueden desconectar en cualquier momento. En la exportación, la página de Google Drive y la de Google Fotos tienen «Desconectar», tanto para invitados como para anfitriones; desconecta solo la propia conexión. Nuestro registro lo eliminamos en todo caso — después no tenemos ni ese acceso ni la dirección de su cuenta de Google, y su exportación en curso se detiene. Y pedimos a Google que revoque el permiso — eso es una solicitud a Google, y normalmente Google la ejecuta. Si no llega a Google, o si Google la rechaza, el permiso puede seguir existiendo en su cuenta de Google aunque en nuestros sistemas ya no quede nada de él.

Pueden consultar y retirar ustedes mismos el permiso en cualquier momento en su cuenta de Google, en «Seguridad», entre las aplicaciones de terceros con acceso a la cuenta: myaccount.google.com.

Si se elimina el evento, nuestro registro desaparece con él; en ese caso no pedimos nada a Google. En caso de una revocación directamente en Google, nuestro acceso pierde su validez de inmediato; el registro con la dirección de su cuenta, en cambio, sigue ahí hasta que elijan «Desconectar» o se elimine el evento. Lo que ya se haya exportado sigue en su cuenta.

8 · Lo que no hacemos

• Ninguna decisión individual automatizada.

9 · Cuánto tiempo conservamos cada cosa

• El evento con sus contenidos: mientras corra el plazo de acceso (véase Condiciones). Después, el evento se bloquea, y a partir de ese momento podemos eliminarlo en cualquier momento. Por regla general conservamos más tiempo un evento bloqueado, para que puedan volver a abrirlo. Se elimina antes si lo eliminan ustedes mismos o si nos lo piden. Si ustedes mismos eliminan un evento con fotos o vídeos, deja de ser accesible de inmediato y se elimina definitivamente siete días después; hasta entonces solo se usa para restaurarlo.
• Eventos nunca usados: un evento que 12 meses después de haberse creado sigue estando totalmente intacto, lo eliminamos automáticamente. Intacto significa: nunca se subió ninguna foto ni ningún vídeo, ningún invitado introdujo un nombre, la dirección de correo electrónico nunca se confirmó, no se pagó nada, no se creó ninguna tarjeta de mesa. En cuanto ha ocurrido aunque sea una sola de esas cosas, vale el primer punto.
• Eventos de demo: automáticamente y por completo a las 48 horas.
• Subidas fallidas: a los 30 días.
• Archivos de fotos y vídeos eliminados: se borran definitivamente en un plazo de 30 días desde la eliminación, también de las copias de seguridad. Hasta entonces solo se usan para restaurarlos. Para ello conservamos de cada eliminación, durante 45 días, un registro: los identificadores de la foto o el vídeo, del álbum, del evento y del invitado, las rutas de almacenamiento de los archivos y el momento y el motivo de la eliminación. Después se borra el registro.
• Dirección de correo electrónico del anfitrión: mientras exista el evento.
• Conexión con una cuenta de Google: hasta que la desconecten, como máximo mientras exista el evento — después desaparece toda la entrada al respecto, el acceso y la dirección de la cuenta (véase la sección 7).
• Reportes: mientras exista el evento. Si la persona anfitriona retira los reportes de un contenido, se eliminan.
• Registro de las descargas y exportaciones en bloque: mientras exista el evento. Si se elimina a un invitado, su nombre sigue en él.
• Instalación de la app y notificaciones: la entrada de este teléfono para un evento (sección 2) nunca sobrevive al evento ni a la instalación. La eliminamos, por ejemplo, cuando desactivan todos los interruptores en «Notificaciones», cuando quitan el evento de la lista de la app, o cuando el enlace de invitados se asigna de nuevo y la entrada pertenecía a un invitado o a un enlace de Gestionar más antiguo. Si quitan el último evento, la app elimina su instalación en nuestros sistemas y su ID de instalación de Firebase en Google; después, Google elimina ese ID también de sus copias de seguridad en un plazo de 180 días. La instalación la eliminamos cuando lleva 270 días sin comunicarse con nosotros, por ejemplo tras desinstalar la app. Para la entrada de un intento de envío rige el punto siguiente.
• Entrada de un intento de envío: 270 días desde el intento, después eliminada. Remite al evento, a la instalación y a la entrada de este teléfono para este evento; si se elimina alguno de ellos, quitamos solo la referencia a él.
• Notificaciones que no llegan al teléfono: como máximo 24 horas en Firebase Cloud Messaging.
• Páginas vistas contabilizadas: por tiempo indefinido.
• Identificador del navegador y dirección IP acortada de una página vista (sección 2): doce meses después de la solicitud.
• El valor secreto de la suma de comprobación diaria de la sección 2: dos días.
• Identificador de dispositivo e identificador de visita de «migu_d» (sección 3): doce meses — en la línea de una página vista desde la solicitud, en un álbum desde su creación. La cookie en sí: 400 días después de la última solicitud, o hasta que la eliminen en su navegador.
• El identificador de «migu_xp» (sección 3): doce meses — en la línea de una página vista desde la solicitud, en un álbum desde su creación. La cookie en sí: 400 días después de la primera solicitud, o hasta que la eliminen en su navegador.
• Suma de comprobación de una visita sin cookie (sección 2): se elimina a más tardar dos días después de la última solicitud. Su identificador de visita en la línea de una página vista y en un álbum: doce meses, como los identificadores de «migu_d».
• El identificador que una plataforma publicitaria ha añadido a su enlace: doce meses. Finalidad: poder indicar a la plataforma qué anuncio ha llevado a un álbum. Se elimina doce meses después de la solicitud.
• Registros de funcionamiento: hasta que la rotación los sobrescribe.
• Copias de seguridad de la base de datos: como máximo 16 meses, después se borran. Solo se usan para restaurar datos.
• Justificantes de pago: diez años (Art. 958f OR).

10 · Sus derechos

Tienen derecho a obtener información sobre los datos que tratamos sobre ustedes, a que se corrijan los datos erróneos, a la eliminación, a que se les entreguen en un formato habitual y a oponerse a un tratamiento. Basta con un correo a info@migumento.com.

Si aparecen en una foto de un evento y no lo quieren así, escríbannos también.

Además, pueden presentar una reclamación ante el Encargado Federal de Protección de Datos y Transparencia (EDÖB) en Berna.

11 · Seguridad

Entre su dispositivo y nosotros, todo funciona exclusivamente a través de conexiones cifradas (TLS). A un evento se llega por un enlace largo que no se puede adivinar; quien no lo tiene, no entra. Los archivos originales solo se entregan mediante enlaces firmados uno a uno que dejan de ser válidos a las 24 horas. El enlace de Gestionar y el enlace para los invitados están separados. Quien tiene un enlace, está dentro.

En internet no existe la seguridad absoluta. Lo que eso significa para la responsabilidad está en la sección 12 de las Condiciones.

12 · Cambios

Adaptamos esta política cuando algo cambia en el producto. Vale en cada momento la versión publicada aquí; la fecha de abajo indica cuándo se cambió por última vez.