Política de privacidad y protección de datos
Esta política explica cómo Bloomsy trata los datos personales de conformidad con el Reglamento (UE) 2016/679 (RGPD) y la legislación aplicable de la República Eslovaca y de la Unión Europea.
1. Disposiciones introductorias
El responsable del tratamiento de los datos personales es Codexio s.r.o. (el “Responsable”).
El servicio Bloomsy es una plataforma online destinada a crear eventos digitales, generar códigos QR y recopilar temporalmente fotos y vídeos de los participantes en los eventos.
El Responsable trata los datos personales de conformidad con el Reglamento (UE) 2016/679 (RGPD), la Ley n.º 18/2018 Recop. de protección de datos personales y demás normas jurídicas de aplicación general de la República Eslovaca y de la Unión Europea.
2. Definiciones
„Responsable“ - Codexio s.r.o..
„Interesado“ - la persona física cuyos datos personales se tratan.
„Organizador del evento“ - la persona física o jurídica que contrata el servicio Bloomsy.
„Invitado“ - la persona que sube contenido mediante un código QR, un enlace o una contraseña.
„Datos personales“ - los datos definidos en el artículo 4, punto 1, del RGPD.
„Contenido“ - fotografías, vídeos y otros archivos audiovisuales subidos al sistema.
„Tratamiento“ - cualquier operación realizada con datos personales según el artículo 4, punto 2, del RGPD.
„Web“ - el sitio web público disponible en https://bloomsy.eu.
3. Identificación del Responsable
Responsable:
Codexio s.r.o.
Lachova 1602/9
851 03 Bratislava V
Número de registro: 55761631
NIF-IVA: SK2122079135
Contacto para cuestiones de protección de datos: privacy@bloomsy.eu
El Responsable no está obligado a designar un delegado de protección de datos conforme al artículo 37 del RGPD, ya que no se cumplen los requisitos legales para dicha designación.
4. Interesados y alcance
El Responsable trata principalmente datos personales de:
- organizadores de eventos,
- invitados a los eventos,
- visitantes del sitio web.
Las categorías de datos personales incluyen:
- datos identificativos (nombre, apellidos, razón social),
- datos de contacto (correo electrónico, número de teléfono),
- datos de facturación y contractuales, incluidos la dirección del domicilio social, el número de registro, el número fiscal, el NIF-IVA, la identificación del pedido, el importe y la moneda,
- datos técnicos (dirección IP, user-agent, registros del sistema),
- contenido audiovisual subido (fotos, vídeos).
El Responsable no trata intencionadamente categorías especiales de datos conforme al artículo 9 del RGPD; no obstante, dichos datos pueden aparecer en el contenido subido por los interesados, y el organizador del evento es responsable de su inclusión.
5. Principios y finalidades del tratamiento
El Responsable trata los datos personales de forma lícita, leal y transparente, conforme a los principios del artículo 5 del RGPD, en particular la limitación de la finalidad, la minimización de datos, la limitación del plazo de conservación, la integridad y la confidencialidad.
Los datos se tratan exclusivamente para finalidades predeterminadas y legítimas relacionadas con la prestación del servicio Bloomsy, su funcionamiento, la prevención técnica, la comunicación con los usuarios, el cumplimiento de obligaciones legales y la protección de los intereses legítimos del Responsable.
El Responsable solo trata datos adecuados, pertinentes y necesarios, y no los trata de forma incompatible con las finalidades indicadas.
Cuando exista la base jurídica correspondiente, se informa a los interesados sobre novedades, cambios del servicio o comunicaciones de marketing sobre la base del consentimiento o del interés legítimo, y pueden rechazar dichos envíos.
5a. Funciones del Organizador del evento y de los Invitados
Al tratar los datos del Organizador del evento con fines de pedido, pago, facturación y gestión de la cuenta, Codexio s.r.o. actúa como responsable del tratamiento.
Al almacenar y poner a disposición el contenido subido por los Invitados en un evento concreto, el Organizador del evento puede determinar la finalidad y el alcance del tratamiento. En tales casos, Codexio s.r.o. proporciona la plataforma técnica y trata el contenido en la medida necesaria para prestar el servicio, y puede actuar como encargado del tratamiento respecto al Organizador del evento. Si el Organizador del evento es una empresa, este tratamiento se rige por el Acuerdo de tratamiento de datos, que el Organizador del evento acepta al realizar el pedido.
El Organizador del evento es la persona que decide la finalidad del evento concreto e invita a él a los invitados; los invitados suben contenido según los ajustes elegidos por el Organizador del evento.
6. Finalidades y conservación
El Responsable garantiza que los datos personales no se conservan más tiempo del necesario para las finalidades para las que se tratan, conforme al principio de limitación del plazo de conservación del RGPD.
Los datos tratados para prestar el servicio, gestionar los eventos y permitir la subida de contenido se conservan durante el evento correspondiente o durante la relación contractual o similar establecida al contratar el servicio.
Los datos de facturación y contables se conservan durante los plazos exigidos por leyes específicas, en particular la normativa contable y fiscal, normalmente durante al menos 10 años.
Los registros técnicos y de seguridad (logs, datos de protección frente a abusos) se conservan solo el tiempo necesario para garantizar la seguridad del sistema y un funcionamiento fiable.
El contenido audiovisual se elimina del almacenamiento activo en un plazo de 14 días desde el archivado del evento. Una vez eliminado, el contenido no se puede recuperar.
Una vez vencidos los plazos de conservación, los datos personales se suprimen de forma segura o se anonimizan, salvo que la ley o el interés legítimo del Responsable exijan conservarlos más tiempo.
7. Base jurídica y destinatarios
El tratamiento se basa en la ejecución del contrato, el consentimiento, el interés legítimo o una obligación legal.
Solo compartimos los datos con encargados del tratamiento autorizados y necesarios para el funcionamiento del servicio.
- Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Alemania) - infraestructura y alojamiento.
- Cloudflare (Inc., 101 Townsend St, San Francisco, CA 94107, EE. UU.) - almacenamiento de objetos Cloudflare R2. Damos prioridad al tratamiento y almacenamiento dentro de la UE cuando el servicio elegido y la configuración técnica lo permiten. Si se producen transferencias a terceros países, se aplican las garantías adecuadas conforme al RGPD.
- Mailgun Technologies (Inc., 112 E Pecan St #1135, San Antonio, TX 78205, EE. UU.) - envío de correos transaccionales (endpoint de la UE).
- Zoho Corporation B.V. (Beneluxlaan 4B, 3527 HT Utrecht, Países Bajos) - buzón de atención al cliente/comunicación por correo electrónico.
- Stripe Ireland Ltd (1 Grand Canal Street Lower, Dublín 2, Irlanda) - procesamiento de pagos. Los datos de las tarjetas de pago los trata Stripe. No tenemos acceso a los datos completos de las tarjetas de pago.
- Google LLC (1600 Amphitheatre Parkway, Mountain View, CA 94043, EE. UU.) - analítica de tráfico mediante Google Analytics. Solo se trata tras el consentimiento del usuario.
- Chatwoot Inc. - atención al cliente mediante el widget de chat en vivo. Solo se trata tras el consentimiento del usuario.
En el caso del Meta Pixel, Meta Platforms Ireland Ltd no es un encargado del tratamiento sino un corresponsable - véase la sección 7b.
7a. Finalidad, base jurídica y conservación
El siguiente resumen relaciona cada finalidad del tratamiento con los datos utilizados, la base jurídica conforme al artículo 6, apartado 1, del RGPD y el plazo de conservación. Complementa, y no sustituye, las secciones 6 y 7.
| Finalidad | Datos utilizados | Base jurídica | Conservación |
|---|---|---|---|
| Prestación del servicio, gestión de los eventos y de la cuenta de usuario | datos identificativos, de contacto, contenido subido, datos técnicos | Art. 6.1.b) - ejecución del contrato | durante el evento y la relación contractual |
| Facturación, contabilidad y cumplimiento fiscal | datos identificativos, de facturación y del pedido | Art. 6.1.c) - obligación legal | normalmente al menos 10 años (normativa contable y fiscal eslovaca) |
| Seguridad, prevención de abusos y estabilidad del servicio | datos técnicos, registros del sistema | Art. 6.1.f) - interés legítimo en la seguridad de nuestras redes y sistemas de información y en la prevención de abusos | solo el tiempo necesario para la seguridad y el funcionamiento fiable |
| Atención de las solicitudes de soporte | datos identificativos, de contacto, contenido del mensaje | Art. 6.1.b) o art. 6.1.f) - interés legítimo en responder a las consultas | hasta resolver la solicitud y durante un breve periodo posterior |
| Envío de novedades del servicio y de productos a clientes existentes | datos de contacto | Art. 6.1.f) - interés legítimo en el marketing directo a clientes existentes (con derecho de oposición en cualquier momento), o art. 6.1.a) - consentimiento cuando sea necesario | hasta que te opongas o te des de baja, o termine la relación con el cliente |
| Analítica de tráfico y medición publicitaria (Google Analytics, Meta Pixel) | datos de uso, identificadores en línea | Art. 6.1.a) - consentimiento (revocable en cualquier momento) | según la política de cookies, hasta 24 meses |
| Formulación, ejercicio o defensa de reclamaciones | datos pertinentes de las finalidades anteriores | Art. 6.1.f) - interés legítimo en la defensa de reclamaciones | hasta que venzan los plazos de prescripción aplicables |
Cuando la base jurídica es el interés legítimo (art. 6.1.f), hemos evaluado que nuestro interés no prevalece sobre tus intereses o derechos fundamentales. Puedes solicitar los detalles de esa evaluación y oponerte en cualquier momento (véase la sección 12).
7b. Meta Pixel - corresponsabilidad
Para la recogida y transmisión de datos mediante el Meta Pixel, Codexio s.r.o. y Meta Platforms Ireland Ltd (4 Grand Canal Square, Grand Canal Harbour, Dublín 2, Irlanda) actúan como corresponsables del tratamiento en el sentido del artículo 26 del RGPD, sobre la base del Meta Controller Addendum. Somos conjuntamente responsables de informarte y de obtener tu consentimiento; Meta es la única responsable del tratamiento posterior de los datos en sus propios sistemas. Puedes ejercer tus derechos como interesado frente a cualquiera de las partes - las solicitudes relativas al tratamiento propio de Meta las gestiona Meta. Este tratamiento solo se produce después de que des tu consentimiento en el banner de cookies.
8. Transferencias internacionales
El servicio es accesible en todo el mundo, mientras que los datos personales se tratan conforme al RGPD y normalmente se conservan dentro de la UE.
Algunos destinatarios tienen su sede o tratan datos en Estados Unidos (Cloudflare, Mailgun, Google, Meta). Las transferencias a ellos se basan en:
- la decisión de adecuación de la Comisión Europea para el Marco de Privacidad de Datos UE-EE. UU., cuando el destinatario está certificado en dicho marco; o
- las cláusulas contractuales tipo de la Comisión Europea junto con medidas técnicas y organizativas complementarias, cuando no lo está.
Puedes solicitar una copia de las garantías aplicadas a una transferencia concreta en privacy@bloomsy.eu.
Cuando se acceda a los datos desde terceros países de otra forma, el Responsable aplica las garantías adecuadas conforme al capítulo V del RGPD.
9. Incidentes de seguridad
El Responsable dispone de procedimientos para detectar, evaluar y notificar las violaciones de la seguridad de los datos conforme a los artículos 33 y 34 del RGPD.
Se informa sin dilación indebida a las personas afectadas y a la autoridad de control cuando el RGPD lo exige.
10. Visibilidad del contenido y responsabilidad
El contenido es privado y solo está disponible para las personas designadas por el organizador del evento.
El organizador del evento debe obtener los consentimientos necesarios de las personas que aparecen en fotos, vídeos u otras grabaciones audiovisuales; el Responsable no responde de posibles omisiones.
11. Inteligencia artificial y menores
El contenido no se utiliza para entrenar inteligencia artificial ni con fines de marketing; cualquier uso futuro requeriría un consentimiento explícito independiente.
La contratación y gestión de un evento están destinadas a personas mayores de 18 años; esto se refiere a la capacidad para celebrar el contrato.
La edad a partir de la cual un menor puede dar válidamente su consentimiento a un servicio de la sociedad de la información conforme al artículo 8 del RGPD varía según el país - 16 años en Alemania, Hungría, Polonia y Eslovaquia, 15 años en la República Checa y 14 años en Austria, Italia y España. Los invitados solo pueden usar la función de subida si tienen la capacidad jurídica o el consentimiento adecuado exigidos por la legislación aplicable. Si un invitado no alcanza la edad aplicable del artículo 8, o si aparecen menores en el contenido subido, el organizador del evento es responsable de garantizar una base jurídica distinta del propio consentimiento del menor.
12. Derechos de los interesados
No tomamos decisiones automatizadas, incluida la elaboración de perfiles, que produzcan efectos jurídicos en el interesado o le afecten significativamente de modo similar en el sentido del artículo 22 del RGPD.
Conforme al RGPD, los interesados tienen los siguientes derechos:
- el derecho de acceso a los datos personales que se tratan sobre ellos,
- el derecho a rectificar los datos inexactos o completar los incompletos,
- el derecho de supresión (“derecho al olvido”) cuando se cumplan las condiciones del RGPD; esto no afecta a las obligaciones de conservación previstas en leyes específicas,
- el derecho a la limitación del tratamiento en los casos previstos por la ley,
- el derecho a la portabilidad de los datos cuando se cumplan las condiciones legales,
- el derecho de oposición al tratamiento basado en el interés legítimo del Responsable,
- el derecho a recibir información sobre las decisiones automatizadas, incluida la elaboración de perfiles, si se produce dicho tratamiento,
- el derecho a retirar el consentimiento en cualquier momento cuando el tratamiento se basa en el consentimiento; la retirada no afecta a la licitud del tratamiento anterior.
Estos derechos se aplican aunque los datos personales no se hayan obtenido directamente del interesado.
El ejercicio de estos derechos puede limitarse en la medida permitida o exigida por leyes específicas (p. ej., la obligación de conservar los registros contables durante al menos 10 años).
Envía tus solicitudes a privacy@bloomsy.eu; respondemos en un plazo de 30 días naturales.
13. Autoridad de control
Los interesados pueden presentar una reclamación ante la autoridad de control:
Oficina de Protección de Datos Personales de la República Eslovaca (Úrad na ochranu osobných údajov)
Galvaniho Business Centrum II, Galvaniho 7/B
821 04 Bratislava
República Eslovaca
Teléfono: +421 2 3231 3214
Web: dataprotection.gov.sk/uoou
También puedes presentar una reclamación ante la autoridad de control del Estado miembro de la UE en el que tengas tu residencia habitual o tu lugar de trabajo, en particular: la Agencia Española de Protección de Datos - AEPD (España), el Garante per la protezione dei dati personali (Italia), la autoridad federal o regional competente de protección de datos (Alemania), la Datenschutzbehörde (Austria), la Nemzeti Adatvédelmi és Információszabadság Hatóság - NAIH (Hungría), el Prezes Urzędu Ochrony Danych Osobowych - UODO (Polonia) o el Úřad pro ochranu osobních údajů (República Checa).
14. Disposiciones finales
La presente Política de privacidad es efectiva desde la fecha de su publicación. El Responsable se reserva el derecho de actualizar o modificar esta Política en cualquier momento, en particular por cambios normativos, en el alcance del tratamiento de datos o en las funcionalidades del servicio.
La versión vigente está siempre disponible en el sitio web del servicio Bloomsy.