Transparència RGPD · 2026-10-18.photo1

Privacitat i autorització d’imatge

Darrera actualització: 11 d’octubre de 2026

Informació essencial

Qui decideix: El professional identificat a l’autorització decideix la sessió i els usos d’imatge o veu i és el responsable d’aquests tractaments. José Irún Sánchez opera ImageConsent com a encarregat dels registres que allotja per compte del professional i com a responsable independent de comptes, seguretat, compres, suport i compliment propi.
Titular d’ImageConsent: José Irún Sánchez · NIF 37292698S · C/ Gavà 21–23, 4t 2a, 08014 Barcelona, Espanya · info@imageconsent.eu.
Delegat de protecció de dades: No s’ha designat cap delegat de protecció de dades. Les consultes de privacitat s’atenen a info@imageconsent.eu.
Finalitats: Prestar i protegir la plataforma; gestionar compte, accés, suport i compres; crear i conservar per compte del professional l’evidència d’autoritzacions, signatures, lliuraments i revocacions; atendre drets, incidents i reclamacions.
Bases d’ImageConsent: Contracte per al compte i el servei (art. 6.1.b RGPD); obligacions legals, fiscals o de consum quan correspongui (art. 6.1.c); i interès legítim en seguretat, prevenció d’abús, continuïtat i defensa de reclamacions (art. 6.1.f). El professional ha de determinar i documentar les bases del seu tractament.
Decisions automatitzades: No es prenen decisions amb efectes jurídics ni s’elaboren perfils mitjançant tractament exclusivament automatitzat. La informació no s’utilitza per a publicitat comportamental.

1. Repartiment de funcions

El professional és responsable del tractament quan decideix a qui fotografia o grava, amb quina finalitat, durant quant de temps, en quin territori i a quins destinataris comunica el material. Ha d’informar, comprovar la capacitat i la representació, limitar l’ús al que s’ha autoritzat, tramitar revocacions i drets i decidir quan cal esborrar l’expedient.

ImageConsent és encarregat respecte de les dades d’autorització que el professional introdueix i conserva a la plataforma. Les instruccions documentades són les funcions sol·licitades pel professional, les opcions seleccionades i l’acord d’encàrrec incorporat a les Condicions. ImageConsent no reutilitza aquestes dades per a finalitats pròpies incompatibles.

ImageConsent és responsable independent de les dades necessàries per obrir i protegir comptes, registrar l’acceptació de condicions, administrar llicències i compres, prestar suport, mantenir telemetria de seguretat i complir obligacions pròpies. Normalment les parts no actuen com a corresponsables: cadascuna respon de les decisions que adopta efectivament.

2. Dades, origen i caràcter obligatori

Compte i perfil: correu, nom visible i professional, identitat del proveïdor d’accés, logotip opcional, idioma, acceptació de condicions i dades de l’espai de treball. Autorització: nom de la persona, tipus i número de document quan s’introdueixi, contacte, dades del representant, sessió o projecte, finalitats, abast, signatura dibuixada, mètode de signatura, idioma, versió del text, marques temporals, empremta d’integritat, lliurament i revocació.

Accés i seguretat: identificadors de sessió, codis conservats només com a empremta o HMAC quan així s’indica, resultat d’intents, acció realitzada, referència tècnica, data, agent d’usuari i una empremta derivada de la IP en lloc de la IP en clar dins la telemetria de l’aplicació. Compres: plataforma, producte, transacció, entorn, estat i dates; ImageConsent no rep el número complet de targeta.

Les dades provenen del professional, de la persona signant o representant, del proveïdor d’accés i, per a compres o lliuraments, d’Apple, Google o el proveïdor de correu. Els camps marcats com a obligatoris són necessaris per prestar la funció; ometre’ls impedeix crear el compte, acreditar l’autorització o lliurar-ne la còpia. Els camps opcionals es poden deixar buits.

En produccions i grups, el professional crea una invitació individual d’un sol ús o un enllaç col·lectiu reutilitzable i decideix per quin canal el comparteix. Cada participant completa les seves dades al seu dispositiu. Les altres persones participants no les poden veure; el professional organitzador sí que pot consultar l’estat, la referència mínima de seguiment i, un cop completada, l’autorització individual. ImageConsent no envia missatges de WhatsApp ni necessita conservar un número de telèfon per distribuir la invitació; el telèfon continua sent opcional dins l’expedient.

Les plantilles i els duplicats reutilitzen la configuració professional sense copiar signatures ni participants. Si el professional activa recordatoris, ImageConsent utilitza el correu ja verificat per enviar missatges transaccionals periòdics amb un enllaç personal nou; el professional els pot desactivar o enviar manualment. En el mode sense connexió, una autorització pendent es pot conservar temporalment al dispositiu del professional i se sincronitza quan torna la connexió; fins aleshores, la còpia per correu i la conservació al servidor no es consideren completades.

La foto de referència és opcional: la pot aportar el professional o la persona participant o representant. Se’n redueix la mida, se n’eliminen les metadades d’ubicació i es conserva xifrada. Si s’accepta abans de signar, forma part de l’expedient i de les còpies per correu i PDF. No fa reconeixement facial ni verifica la identitat. Es pot continuar sense foto. La foto interna afegida després de signar només és visible per al professional, no modifica l’autorització ni les còpies, i requereix que el professional disposi d’una base vàlida i informi la persona. S’apliquen els terminis de conservació i els drets descrits en aquest avís; les còpies ja lliurades no es retiren automàticament. Les altres fotografies, els vídeos i els àudios de la sessió romanen sota control del professional o dels destinataris, fora d’aquest expedient.

3. Imatge, veu, revocació i menors

L’autorització només cobreix els actes i les finalitats seleccionats. No empara finalitats noves, usos denigrants ni intromissions il·legítimes en l’honor, la intimitat o la pròpia imatge. Als canals en línia la difusió pot tenir abast mundial i les còpies de tercers poden quedar fora del control efectiu del professional.

La persona pot retirar el consentiment de protecció de dades i revocar l’autorització d’imatge contactant amb el professional o amb info@imageconsent.eu i indicant la referència. La retirada no afecta la licitud del tractament anterior. S’aturaran els usos futurs sota control del responsable i s’avaluaran la retirada, la conservació probatòria limitada i, quan correspongui, les conseqüències de la Llei orgànica 1/1982; no es promet esborrar còpies controlades legítimament per tercers.

Si hi intervé un menor, el representant ha d’acreditar la seva facultat, informar el menor de manera comprensible, escoltar-lo segons l’edat i la maduresa i prioritzar-ne l’interès superior. Quan el flux registra prou maduresa, el menor signa personalment la seva decisió i el representant signa separadament l’assistència i la declaració. La valoració i les facultats declarades queden registrades pel professional, però ImageConsent no les verifica ni decideix automàticament la capacitat. Els casos de conflicte, dubte o possible perjudici s’han d’aturar fins a comprovar els requisits aplicables.

4. Signatura i valor probatori

La signatura dibuixada, l’acceptació expressa, el contingut versionat i la traçabilitat formen evidència electrònica. En la signatura remota, el codi enviat al correu acredita l’accés a aquella adreça en aquell moment, no la identitat civil per si sol.

ImageConsent no presta actualment un servei qualificat de confiança, no emet certificats qualificats, no verifica documentalment la identitat i no afirma que la signatura sigui avançada o qualificada. Segons l’article 25 eIDAS, una signatura electrònica no es pot rebutjar només pel fet de ser electrònica, però només la signatura qualificada té per aquest Reglament equivalència automàtica amb la manuscrita. El pes probatori depèn de l’expedient complet i de les circumstàncies.

5. Destinataris, proveïdors i transferències

Hi pot haver accés estrictament necessari per part de proveïdors tècnics i autoritats competents. Les marques següents descriuen serveis utilitzats o previstos segons la configuració tècnica; no equivalen a afirmar que hi hagi una certificació, un DPA signat o residència exclusiva a la UE. L’entitat contractant, les ubicacions, els subencarregats i el mecanisme de transferència s’han de verificar i registrar abans de basar-s’hi per a producció.

Servei o categoria	Funció	Informació de localització i garanties
OpenAI Sites / infraestructura Cloudflare i D1	Aplicació, API, autenticació integrada i base principal.	La geografia efectiva, l’entitat contractant i els annexos vigents estan subjectes a verificació documental. No s’afirma allotjament exclusiu a l’EEE.
Supabase	Còpia independent xifrada i recuperació operativa.	El projecte està configurat a West EU (París); això no demostra per si sol que suport, còpies o subencarregats romanguin íntegrament a l’EEE.
Resend	Codis d’accés, verificació i còpies transaccionals.	Rep el destinatari, contingut mínim i metadades de lliurament. Entitat, conservació, DPA, subencarregats i transferències s’han de confirmar a la fitxa de proveïdor.
OVHcloud / Zimbra	Bústia de suport, privacitat i revocacions.	La configuració de la bústia i les seves condicions s’han de conservar com a evidència; no s’estén al servei cap afirmació no verificada sobre residència total.
Apple i Google	Distribució, cobrament, restauració i validació de drets de compra.	Tracten la relació de botiga segons els seus avisos i poden actuar com a responsables independents. ImageConsent rep dades limitades de transacció, no dades completes de pagament.

Quan el tractament impliqui una transferència fora de l’EEE, la part responsable ha d’identificar i documentar un mecanisme vàlid del capítol V RGPD —com una decisió d’adequació o les clàusules contractuals tipus de 2021 aplicables—, a més de l’avaluació de transferència i les mesures complementàries necessàries. L’existència d’aquestes garanties no es presumeix pel simple fet que aquí s’esmenti un proveïdor.

6. Conservació

La caducitat d’un codi n’impedeix la reutilització, però no significa necessàriament que tota evidència tècnica s’esborri en aquell instant. La política per categories és:

Compte, perfil, espais, compres i mètodes d’accés: mentre el compte sigui actiu; s’eliminen dels sistemes actius en executar l’esborrament del compte, excepte informació separada que s’hagi de bloquejar per obligació legal o reclamació.
Autoritzacions, signatures i revocacions: fins que el professional esborri el registre o elimini el compte. La revocació canvia l’estat i conserva evidència fins a aquell esborrament; el professional ha d’aplicar el seu calendari i no conservar expedients indefinidament per comoditat.
Enllaç de signatura remota: vàlid 20 minuts. Codi de verificació o accés: vàlid 10 minuts i d’un sol ús. Sessió de compte per correu: validesa màxima de 90 dies. Els registres caducats es poden conservar temporalment per auditoria i neteja operativa i mai no recuperen validesa.
Telemetria de seguretat de l’aplicació: 180 dies; en esborrar un compte se’n desvinculen les referències d’usuari i recurs. Els comptadors de limitació es conserven durant la seva finestra i el temps tècnic de neteja.
Suport, drets i incidents: durant la tramitació i, després, només mentre calgui per acreditar la resposta o atendre responsabilitats. La durada concreta es fixa al registre intern del cas.
Còpies i proveïdors: l’esborrament retira la còpia activa independent quan el servei pot verificar-ho. Les instantànies de recuperació i els registres propis de cada proveïdor segueixen els seus cicles contractuals; els terminis exactes han de constar al registre de proveïdors i no es presumeix un esborrament instantani no acreditat.
Les còpies descarregades pel professional, les imatges de la sessió i les publicacions externes no estan sota el control d’ImageConsent i segueixen el calendari del professional o del tercer que les tingui.

7. Drets de les persones

Accés a les dades i a una còpia; rectificació de dades inexactes; supressió quan correspongui; limitació; oposició a tractaments basats en interès legítim; i portabilitat quan se’n compleixin els requisits.
Retirar el consentiment en qualsevol moment sense afectar la licitud anterior i sol·licitar que quedi constància de la revocació de l’autorització d’imatge.
No ser objecte d’una decisió exclusivament automatitzada amb els efectes de l’article 22 RGPD; ImageConsent no pren actualment aquestes decisions.
Presentar una reclamació davant l’autoritat de control, sense perjudici d’altres recursos administratius o judicials.

Per a dades de la sessió o ús d’imatges, adreça’t primer al professional identificat a l’autorització. També pots escriure gratuïtament a info@imageconsent.eu, indicant la referència i el dret sol·licitat; ImageConsent respondrà com a responsable o traslladarà/assistirà el professional quan actuï com a encarregat. Es pot demanar informació addicional proporcionada per evitar lliurar dades a una altra persona.

El termini general de resposta és d’un mes des de la recepció, prorrogable dos mesos més en casos complexos amb avís dins del primer mes. Pots reclamar davant l’ Agència Espanyola de Protecció de Dades.

8. Seguretat i telemetria

S’apliquen controls proporcionats al risc: HTTPS, accés autenticat, separació per compte/espai, xifratge d’aplicació per a camps identificatius i signatures, empremtes d’integritat, secrets fora del codi, enllaços temporals, codis d’un sol ús, límits d’intents, còpies independents xifrades i registre d’operacions rellevants.

La telemetria pròpia registra acció, resultat, data, referència tècnica, agent d’usuari limitat i una empremta derivada d’IP; s’utilitza per detectar abús, investigar incidents i demostrar operacions, no per a publicitat ni seguiment entre aplicacions.

Cap mesura elimina tot el risc. Aquestes descripcions no són una certificació, una garantia d’invulnerabilitat ni una afirmació d’auditoria independent. Les mesures i la seva eficàcia es revisen davant de canvis rellevants i incidents.

9. Incidents i bretxes de dades

Comunica immediatament accessos, enllaços o correus no reconeguts a info@imageconsent.eu i no reutilitzis l’enllaç o el codi afectat.

Quan ImageConsent actuï com a encarregat, informarà el professional responsable sense dilació indeguda i aportarà la informació disponible perquè valori el risc. Quan actuï com a responsable, documentarà tota bretxa i ho notificarà a l’AEPD, quan sigui exigible, sense dilació indeguda i com a màxim 72 hores després de tenir-ne constància.

Si és probable un risc alt, la persona afectada rebrà una comunicació clara sense dilació indeguda, tret que hi concorri una excepció legal. La comunicació explicarà la naturalesa, les possibles conseqüències, les mesures i el contacte; no es faran promeses abans de conèixer els fets.