Política de privacidad

1. Lo esencial en pocas palabras

Gathery es una aplicación para compartir fotos en eventos. Aquí se explica qué datos se generan, para qué los necesitamos y qué derechos tiene usted. En resumen:

Solo tratamos lo que Gathery necesita para funcionar. Sin seguimiento, sin publicidad y sin venta de datos.
Los invitados fotografían sin cuenta. La cámara les registra de forma anónima con un identificador de usuario aleatorio.
Gathery solo puede utilizarse a partir de los 18 años, tanto por anfitriones como por invitados.
Solo el anfitrión de un evento ve sus fotos. Se eliminan 14 días después de la finalización del evento.
Gathery funciona con Google Firebase. Google trata los datos por encargo nuestro.
Envíe sus preguntas y solicitudes sobre sus datos a support@gathery.de.

2. Responsable del tratamiento

El responsable del tratamiento de sus datos es:

Jan-Philipp Hansen
Kaiserstraße 41
76131 Karlsruhe
Alemania

Teléfono: +49 15734729778
Correo electrónico: contact@gathery.de

No tenemos delegado de protección de datos porque la ley no nos obliga a ello.

3. Ámbito de aplicación

Esta política se aplica a:

el sitio web gathery.de,
la cámara para invitados, que los invitados abren en el navegador a través del enlace o del código QR de un evento,
la aplicación web en web.gathery.de,
la aplicación Gathery para Android e iOS.

Lo que de todo ello se guarda en su navegador o en su dispositivo se detalla en la información sobre cookies.

4. Sitio web

Alojamiento

El sitio web está alojado en Firebase Hosting, un servicio de Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlanda. Google entrega las páginas a través de una red mundial de servidores (red de distribución de contenidos) para que carguen de forma rápida y fiable.

Al abrir una página, Google trata necesariamente por motivos técnicos:

su dirección IP,
la fecha y la hora de la solicitud,
la página solicitada y la página de la que procede,
su navegador y su sistema operativo.

Utilizamos estos datos únicamente para entregar las páginas y protegerlas frente a ataques. No los analizamos ni los combinamos con otros datos. La base jurídica es nuestro interés legítimo en un sitio web seguro y rápido (art. 6, apdo. 1, letra f) del RGPD).

Aviso de cookies

El sitio web no establece cookies ni integra servicios de terceros, salvo en el formulario de contacto después de su consentimiento (véase más abajo). Solo recuerda en el almacenamiento local de su navegador que ha cerrado el aviso de cookies. Esto es necesario para la página (§ 25, apdo. 2, n.º 2, del TDDDG).

Contacto por correo electrónico

Si nos escribe un correo electrónico, tratamos su dirección, su nombre si lo indica y su mensaje para responderle. La base jurídica es el contrato de uso si se trata de su cuenta (art. 6, apdo. 1, letra b) del RGPD) y, en los demás casos, nuestro interés legítimo en responder a las consultas (art. 6, apdo. 1, letra f) del RGPD). Nuestro buzón está alojado en mailbox.org, un servicio de Heinlein Hosting GmbH, Schwedter Straße 8/9a, 10119 Berlín, Alemania, en servidores situados en Alemania. Heinlein Hosting trata los correos electrónicos como nuestro encargado del tratamiento y solo siguiendo nuestras instrucciones; para ello hemos celebrado con ella un contrato de encargo del tratamiento (art. 28 del RGPD). Eliminamos los mensajes cuando su asunto está resuelto y no existe ninguna obligación legal de conservarlos.

Formulario de contacto

Con el formulario de contacto del sitio web y de la aplicación nos escribe sin abrir su programa de correo. Tratamos el asunto, su dirección de correo electrónico, su nombre si lo indica y su mensaje para responderle, así como el idioma, si el mensaje procede del sitio web o de la aplicación, en la aplicación la plataforma (Android, iOS o web) y el identificador de usuario de su inicio de sesión; en el sitio web, el identificador de usuario aleatorio del inicio de sesión anónimo. La base jurídica y el plazo de conservación son los mismos que para un correo electrónico. Una Cloud Function envía el mensaje como correo electrónico a nuestro buzón a través de Resend, un servicio de Plus Five Five, Inc., San Francisco, EE. UU. Resend lo trata como nuestro encargado del tratamiento y solo siguiendo nuestras instrucciones; para ello se aplica el contrato de encargo del tratamiento de Resend (art. 28 del RGPD). No guardamos el mensaje en nuestra base de datos.

Para que nadie abuse del formulario para enviar spam, contamos por identificador de usuario cuántos mensajes llegan en un día. El contador solo contiene el identificador de usuario, la fecha y el número, y se elimina como máximo a los tres días. La base jurídica es nuestro interés legítimo en la protección frente a abusos (art. 6, apdo. 1, letra f) del RGPD). En el sitio web, el formulario solo carga Firebase y Google reCAPTCHA al enviarlo y solo si ha dado antes su consentimiento; después inicia su sesión de forma anónima como la cámara (véase «Protección frente a abusos»). Revoca su consentimiento eliminando los datos del sitio gathery.de en su navegador; más información en la información sobre cookies.

5. Aplicación, aplicación web y cámara

Google Firebase

La aplicación, la aplicación web y la cámara utilizan Google Firebase de Google Ireland Limited (dirección arriba). Utilizamos Firebase Authentication (inicio de sesión), Cloud Firestore (base de datos), Cloud Storage for Firebase (fotos), Cloud Functions (tratamiento en el servidor, región europe-west1 en Bélgica) y Firebase App Check (protección frente a abusos) y, en la aplicación para Android e iOS, también Firebase Crashlytics y Firebase Performance Monitoring. Google trata los datos como nuestro encargado del tratamiento y solo siguiendo nuestras instrucciones; para ello se aplican las condiciones de tratamiento de datos de Google (art. 28 del RGPD). Almacenamos la base de datos y las fotos en centros de datos de la UE.

Su cuenta

Solo necesita una cuenta como anfitrión. Inicia sesión con una dirección de correo electrónico y una contraseña, con su cuenta de Google o, en iPhone y iPad, con su cuenta de Apple. Almacenamos:

su dirección de correo electrónico y, si inicia sesión con Google, el nombre y el enlace a la foto de perfil de su cuenta de Google y, si inicia sesión con Apple, el nombre que comparte con nosotros a través de Apple,
su perfil: nombre y apellidos, un nombre de usuario derivado de su dirección de correo electrónico y su idioma,
sus eventos: nombre, descripción, período y límite de fotos,
sus conjuntos de desafíos y sus ajustes, por ejemplo el diseño, el idioma y las entradas ocultas del feed.

Firebase Authentication guarda su contraseña solo como hash; nosotros nunca la vemos. Si la olvida, Firebase Authentication le envía, si lo solicita, un correo electrónico con un enlace para restablecerla. La base jurídica es el contrato de uso que celebra al registrarse (art. 6, apdo. 1, letra b) del RGPD). La ley no le obliga a facilitarnos datos. Sin embargo, sin una dirección de correo electrónico, una cuenta de Google o una cuenta de Apple no podemos crearle una cuenta, y sin cuenta no puede organizar eventos.

Si inicia sesión con Apple, Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irlanda, confirma su identidad como responsable independiente; se aplica la política de privacidad de Apple: https://www.apple.com/legal/privacy/. Si elige «Ocultar mi correo electrónico», solo recibimos una dirección de reenvío de Apple. Si elimina su cuenta, la aplicación también revoca el inicio de sesión con Apple.

Conjuntos con IA

Puede pedir a una IA que le escriba un conjunto de desafíos. Para ello, una Cloud Function envía su descripción del evento, el estilo elegido, el número de desafíos y su idioma a Gemini, un modelo de IA de Google, a través de Vertex AI de Google Cloud. La solicitud se trata en centros de datos de la UE. Google trata los datos como nuestro encargado del tratamiento solo para escribir los desafíos y no los utiliza para entrenar sus modelos; se aplican las condiciones de tratamiento de datos de Google (art. 28 del RGPD). Guardamos el conjunto terminado como sus demás conjuntos de desafíos; la descripción no la guardamos. Contamos cuántos conjuntos ha creado ya con la IA, porque cada usuario recibe un número limitado de forma gratuita. La base jurídica es el contrato de uso (art. 6, apdo. 1, letra b) del RGPD). Escriba en la descripción solo lo que los desafíos necesitan y nada sobre otras personas que estas no querrían compartir.

Cámara para invitados

Los invitados abren la cámara en el navegador a través del enlace o del código QR de un evento; los anfitriones también fotografían con ella. Antes de cargar servicios de Google, la cámara le pide su consentimiento. Sin su consentimiento no puede utilizar la cámara: sin Firebase no puede guardar fotos y, sin la protección de App Check y reCAPTCHA, programas automatizados podrían subir fotos en masa a eventos ajenos. No podemos ofrecer de forma segura una cámara sin esta protección. Después le registra de forma anónima con un identificador de usuario aleatorio; no necesita indicar su nombre ni su dirección de correo electrónico. Para hacer fotos, su navegador le pide acceso a la cámara de su dispositivo; una imagen solo sale de su dispositivo cuando hace una foto. El permiso para la cámara lo gestiona en su navegador y puede retirarlo allí en cualquier momento.

Cada foto se sube a Cloud Storage y una Cloud Function genera a partir de ella una miniatura. Para cada foto almacenamos el evento, su identificador de usuario aleatorio y la hora. La foto se crea directamente en el navegador a partir de la imagen de la cámara y, por eso, no contiene metadatos como la ubicación (GPS), el modelo del dispositivo o los ajustes de la toma (EXIF). Solo el anfitrión del evento puede ver y descargar las fotos.

La base jurídica para subir y almacenar las fotos y ponerlas a disposición del anfitrión es el contrato de uso que celebra con nuestros Términos de uso al hacer fotos (art. 6, apdo. 1, letra b) del RGPD). Que la cámara cargue servicios de Google y almacene datos en su navegador se basa en su consentimiento (art. 6, apdo. 1, letra a) del RGPD y § 25, apdo. 1, del TDDDG). Puede revocarlo en cualquier momento con «Retirar consentimiento» al pie de la página de la cámara; más información en la información sobre cookies.

Personas en las fotos

En las fotos también pueden aparecer personas que no utilizan la cámara. Almacenamos estas fotos únicamente para ponerlas a disposición del anfitrión. No las analizamos, no reconocemos rostros ni asociamos a las personas que aparecen con ningún nombre ni ninguna cuenta. La base jurídica es el interés legítimo del anfitrión y de sus invitados en reunir recuerdos del evento, así como nuestro interés en hacerlo posible (art. 6, apdo. 1, letra f) del RGPD).

Si aparecen niños, damos especial importancia a sus intereses. Por eso, en Gathery solo el anfitrión ve las fotos, ninguna es pública y todas se eliminan, como máximo, 14 días después de la finalización del evento.

No conocemos a las personas que aparecen y, por tanto, no podemos informarlas individualmente; eso solo sería posible si analizáramos los rostros. En su lugar, las informamos mediante esta política (art. 14, apdo. 5, letra b) del RGPD). En nuestras Condiciones de uso pedimos a los anfitriones que avisen previamente a sus invitados de la cámara.

Según nuestras Condiciones de uso, no se pueden subir fotos de personas que no estén de acuerdo. Si aparece en una foto y no lo desea, pida al anfitrión que la elimine o escríbanos a support@gathery.de. Le corresponden todos los derechos del apartado 7, en particular el derecho de oposición. En cualquier caso, todas las fotos se eliminan 14 días después de la finalización del evento.

Papel del anfitrión

Somos responsables de la cámara y del almacenamiento de las fotos en Gathery. El anfitrión crea el evento, invita a sus invitados y recibe sus fotos. Lo que haga con las fotos que ha descargado lo decide él mismo y es responsabilidad suya; según nuestras Condiciones de uso, solo puede usarlas con fines privados. Gathery solo está pensado para celebraciones privadas, no para eventos de empresas, asociaciones u otras organizaciones. En celebraciones puramente privadas, el RGPD no se aplica por regla general a ello (art. 2, apdo. 2, letra c) del RGPD).

Fotos notificadas

El anfitrión puede eliminar una foto de su evento y notificárnosla, por ejemplo porque infringe nuestras Condiciones de uso. En ese caso almacenamos una copia de la foto y una notificación con el evento, el motivo, el comentario opcional del anfitrión, el identificador de usuario aleatorio del invitado que subió la foto y la hora. Solo nosotros tenemos acceso a ellas. La copia y la notificación se conservan hasta que las hayamos revisado, aunque el evento, sus fotos o la cuenta del anfitrión se eliminen antes, como máximo 30 días después del aviso; después las eliminamos automáticamente. Si hay indicios de un delito, podemos transmitirlas a las autoridades competentes; si corre peligro la vida o la seguridad de personas, lo hacemos. Si las autoridades necesitan los datos, los conservamos el tiempo que lo exijan. La base jurídica es nuestro interés legítimo en eliminar contenidos ilícitos y evitar abusos (art. 6, apdo. 1, letra f) del RGPD). Si el anfitrión notifica una foto como contenido sexual con menores, no la miramos. La denunciamos de inmediato a la policía, junto con los datos de la subida, incluida la dirección IP de los registros del servidor, y conservamos la copia, la notificación y estos datos hasta que las autoridades los liberen. La base jurídica es entonces también nuestra obligación de comunicar estos delitos a las autoridades (art. 6, apdo. 1, letra c) del RGPD en relación con el art. 18 del Reglamento de Servicios Digitales).

Protección frente a abusos

Para que solo la aplicación real, la aplicación web real, la página real de la cámara y el formulario de contacto real utilicen Firebase, Firebase App Check comprueba cada solicitud. En la aplicación para Android e iOS lo hace mediante Google Play Integrity (Android) o Apple App Attest y DeviceCheck (iOS); la base jurídica es nuestro interés legítimo en la protección frente a abusos y spam (art. 6, apdo. 1, letra f) del RGPD). En el navegador, App Check utiliza Google reCAPTCHA v3, pero solo en la cámara para invitados, en el formulario de contacto del sitio web y en la aplicación web, y siempre después de que haya dado su consentimiento. Las demás páginas de gathery.de no cargan reCAPTCHA. reCAPTCHA evalúa, entre otras cosas, la dirección IP, información del navegador y del dispositivo y el comportamiento en la página, y la transmite a Google. La base jurídica es su consentimiento (art. 6, apdo. 1, letra a) del RGPD y § 25, apdo. 1, del TDDDG), que puede revocar en cualquier momento; cómo hacerlo se explica en la información sobre cookies. Más información en la política de privacidad de Google: https://policies.google.com/privacy.

Aplicación web

La aplicación web en web.gathery.de solo carga Firebase y reCAPTCHA después de que haya dado su consentimiento en el aviso al abrirla por primera vez (art. 6, apdo. 1, letra a) del RGPD y § 25, apdo. 1, del TDDDG). Recuerda su consentimiento en el almacenamiento local de su navegador. Puede revocarlo en cualquier momento en los ajustes con «Retirar consentimiento»; la aplicación web borrará entonces su inicio de sesión y los datos de Firebase en su navegador y volverá a preguntarle la próxima vez que la abra. La aplicación web guarda los datos de sus eventos solo en la memoria. Si a la aplicación web le faltan caracteres, por ejemplo para emojis o escrituras no latinas, carga las fuentes correspondientes desde Google Fonts; en ese proceso Google recibe su dirección IP. También esto ocurre solo después de su consentimiento.

Google Play

La aplicación para Android se descarga a través de Google Play, un servicio de Google Ireland Limited (dirección arriba). Para ello, Google trata como responsable independiente datos como su cuenta de Google, datos del dispositivo y el momento de la descarga. No tenemos ninguna influencia sobre ello; se aplica la política de privacidad de Google: https://policies.google.com/privacy. De Google solo recibimos estadísticas agregadas sin relación con personas concretas.

App Store

La aplicación para iOS se descarga a través del App Store, un servicio de Apple Distribution International Ltd. (dirección arriba). Para ello, Apple trata como responsable independiente datos como su cuenta de Apple, datos del dispositivo y el momento de la descarga. No tenemos ninguna influencia sobre ello; se aplica la política de privacidad de Apple: https://www.apple.com/legal/privacy/. De Apple solo recibimos estadísticas agregadas sin relación con personas concretas.

Registros del servidor

Cada vez que se llama a nuestras funciones del servidor, Google registra, por motivos técnicos, la fecha y la hora, la función llamada, su dirección IP e información sobre su navegador o aplicación. Nuestras funciones también escriben en estos registros mensajes de error y de eventos que pueden contener identificadores de usuarios, eventos o fotos. Solo utilizamos los registros para encontrar errores y defendernos de abusos, y Google los borra automáticamente al cabo de 30 días. La base jurídica es nuestro interés legítimo en un servicio seguro y que funcione (art. 6, apdo. 1, letra f) del RGPD).

Informes de errores y datos de rendimiento

En la aplicación para Android e iOS utilizamos Firebase Crashlytics y Firebase Performance Monitoring. Crashlytics nos informa de bloqueos y errores; Performance Monitoring mide lo rápido que se inicia la aplicación y cuánto duran operaciones como subir una foto. Para ello se tratan datos técnicos: modelo del dispositivo, sistema operativo y su versión, versión de la aplicación, momento y desarrollo del error o la duración medida, país aproximado (a partir de la dirección IP) y un identificador de instalación aleatorio. No se incluyen fotos, nombres ni textos de eventos. Utilizamos los datos únicamente para corregir errores y hacer la aplicación más rápida. Ambos solo funcionan si ha aceptado la pregunta «¿Enviar informes de errores?» después de iniciar sesión; antes y sin su consentimiento están desactivados. La base jurídica es su consentimiento (art. 6, apdo. 1, letra a) del RGPD y § 25, apdo. 1, del TDDDG). Puede revocarlo en cualquier momento en los ajustes, en «Informes de errores»; la aplicación borrará entonces los informes que aún no se hayan enviado. Crashlytics conserva los informes de errores durante 90 días.

En su dispositivo

La aplicación guarda miniaturas y una copia sin conexión de la base de datos en su dispositivo para cargar con rapidez (§ 25, apdo. 2, n.º 2, del TDDDG). Elimina ambas al cerrar sesión y al eliminar su cuenta. Si como anfitrión guarda fotos en la galería de su dispositivo, quedan fuera de Gathery y no las eliminamos.

Plazo de conservación

Fotos y miniaturas: hasta 14 días después de la finalización del evento; la eliminación se ejecuta una vez al día. El anfitrión puede eliminar antes fotos sueltas o todo el evento.
Perfil, eventos sin fotos, conjuntos de desafíos, ajustes y el contador de conjuntos con IA: hasta que los elimine usted o elimine su cuenta.
Cuentas anónimas de la cámara y del formulario de contacto: solo contienen el identificador de usuario aleatorio y los momentos de creación y de último inicio de sesión, y se eliminan automáticamente 30 días después de su creación.
Fotos notificadas: hasta que las hayamos revisado, como máximo 30 días después del aviso, salvo que las autoridades las necesiten más tiempo; las fotos notificadas como contenido sexual con menores, hasta que las autoridades las liberen.
Informes de errores: 90 días.
Registros del servidor: 30 días.
Correos electrónicos: hasta que su asunto esté resuelto.
Mensajes del formulario de contacto: en nuestro buzón hasta que su asunto esté resuelto; en Resend, 30 días. El contador contra el spam: como máximo tres días.

Puede eliminar su cuenta en los ajustes de la aplicación. En ese caso eliminamos su perfil, sus eventos con todas las fotos, sus conjuntos de desafíos, entradas del feed y ajustes, así como su cuenta de inicio de sesión. Cómo solicitar la eliminación de su cuenta sin la aplicación y qué se conserva después se explica en Eliminar cuenta.

Lo que no hacemos

No utilizamos servicios de análisis ni de publicidad, no creamos perfiles y no vendemos datos. No tomamos decisiones automatizadas, incluida la elaboración de perfiles (art. 22 del RGPD), ni utilizamos reconocimiento facial.

6. Destinatarios y transferencias a terceros países

Sus datos solo los reciben quienes los necesitan para Gathery:

Google como nuestro encargado del tratamiento para el alojamiento, la base de datos, el almacenamiento, las funciones del servidor, los conjuntos con IA, la protección frente a abusos y los informes de errores,
Google como proveedor de Google Fonts cuando la aplicación web carga fuentes,
Heinlein Hosting GmbH (mailbox.org) como nuestro encargado del tratamiento para nuestro buzón cuando nos escribe,
Plus Five Five, Inc. (Resend), San Francisco, EE. UU., como nuestro encargado del tratamiento para el envío de los mensajes del formulario de contacto,
el anfitrión de un evento, que recibe las fotos de sus invitados,
las autoridades competentes si hay indicios de un delito.

Google también puede tratar datos en EE. UU. Google LLC está certificada conforme al Marco de Privacidad de Datos UE-EE. UU. (EU-US Data Privacy Framework), para el que existe una decisión de adecuación de la Comisión Europea (art. 45 del RGPD); además se aplican las cláusulas contractuales tipo de la Comisión Europea (art. 46 del RGPD): https://cloud.google.com/terms/eu-model-contract-clause.

Resend almacena los mensajes del formulario de contacto en EE. UU. La transferencia se basa en las cláusulas contractuales tipo de la Comisión Europea incluidas en el contrato de encargo del tratamiento con Resend (art. 46 del RGPD).

7. Sus derechos

Tiene derecho a:

obtener información sobre los datos almacenados sobre usted (art. 15 del RGPD),
la rectificación de datos incorrectos (art. 16 del RGPD),
la supresión de sus datos (art. 17 del RGPD),
la limitación del tratamiento (art. 18 del RGPD),
la portabilidad de los datos (art. 20 del RGPD),
revocar su consentimiento con efecto para el futuro (art. 7, apdo. 3, del RGPD).

Basta con que nos escriba a support@gathery.de.

Derecho de oposición

Cuando tratamos datos sobre la base de nuestro interés legítimo (art. 6, apdo. 1, letra f) del RGPD), puede oponerse en cualquier momento por motivos relacionados con su situación particular (art. 21 del RGPD). Dejaremos entonces de tratar los datos, salvo que podamos acreditar motivos legítimos imperiosos que prevalezcan sobre sus intereses o que el tratamiento sirva para la formulación, el ejercicio o la defensa de reclamaciones.

Reclamaciones

Puede presentar una reclamación ante una autoridad de control de protección de datos (art. 77 del RGPD), por ejemplo ante la competente para nosotros: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (Comisionado para la Protección de Datos y la Libertad de Información de Baden-Wurtemberg), Lautenschlagerstraße 20, 70173 Stuttgart, Alemania, https://www.baden-wuerttemberg.datenschutz.de.

8. Seguridad

Todas las conexiones con Gathery están cifradas mediante TLS; lo reconocerá por «https://» en lugar de «http://» en la barra de direcciones de su navegador. La aplicación, la aplicación web y la cámara acceden a los datos de Firebase solo a través de reglas de seguridad que determinan quién puede leer y escribir qué. Por ejemplo, solo el anfitrión de un evento puede consultar sus fotos.

9. Cambios

Si Gathery o la legislación cambian, adaptaremos esta política. Se aplica la versión publicada aquí.

Última actualización: octubre de 2026