Transparencia RGPD · 2026-10-18.photo1

Privacidad y autorización de imagen

Última actualización: 11 de octubre de 2026

Información esencial

Quién decide: El profesional identificado en la autorización decide la sesión y los usos de imagen o voz y es el responsable de esos tratamientos. José Irún Sánchez opera ImageConsent como encargado para los registros que aloja por cuenta del profesional y como responsable independiente para cuentas, seguridad, compras, soporte y cumplimiento propio.
Titular de ImageConsent: José Irún Sánchez · NIF 37292698S · C/ Gavà 21–23, 4.º 2.ª, 08014 Barcelona, España · info@imageconsent.eu.
Delegado de protección de datos: No se ha designado un delegado de protección de datos. Las consultas de privacidad se atienden en info@imageconsent.eu.
Finalidades: Prestar y proteger la plataforma; gestionar cuenta, acceso, soporte y compras; crear y conservar por cuenta del profesional la evidencia de autorizaciones, firmas, entregas y revocaciones; atender derechos, incidentes y reclamaciones.
Bases de ImageConsent: Contrato para cuenta y servicio (art. 6.1.b RGPD); obligaciones legales, fiscales o de consumo cuando correspondan (art. 6.1.c); e interés legítimo en seguridad, prevención de abuso, continuidad y defensa de reclamaciones (art. 6.1.f). El profesional debe determinar y documentar las bases de su propio tratamiento.
Decisiones automatizadas: No se adoptan decisiones con efectos jurídicos ni se elaboran perfiles mediante tratamiento exclusivamente automatizado. No se utiliza la información para publicidad comportamental.

1. Reparto de funciones

El profesional es responsable del tratamiento cuando decide a quién fotografía o graba, con qué finalidad, durante cuánto tiempo, en qué territorio y a qué destinatarios comunica el material. Debe informar, comprobar la capacidad y representación, limitar el uso a lo autorizado, tramitar revocaciones y derechos y decidir cuándo borrar su expediente.

ImageConsent es encargado respecto de los datos de autorización que el profesional introduce y conserva en la plataforma. Las instrucciones documentadas son las funciones solicitadas por el profesional, las opciones seleccionadas y el acuerdo de encargo incorporado a las Condiciones. ImageConsent no reutiliza esos datos para finalidades propias incompatibles.

ImageConsent es responsable independiente de los datos necesarios para abrir y proteger cuentas, registrar la aceptación de condiciones, administrar licencias y compras, prestar soporte, mantener telemetría de seguridad y cumplir obligaciones propias. Las partes no actúan normalmente como corresponsables: cada una responde de las decisiones que efectivamente adopta.

2. Datos, origen y carácter obligatorio

Cuenta y perfil: correo, nombre visible y profesional, identidad del proveedor de acceso, logotipo opcional, idioma, aceptación de condiciones y datos de espacio de trabajo. Autorización: nombre de la persona, tipo y número de documento cuando se introduzca, contacto, datos del representante, sesión o proyecto, finalidades, alcance, firma dibujada, método de firma, idioma, versión del texto, marcas de tiempo, huella de integridad, entrega y revocación.

Acceso y seguridad: identificadores de sesión, códigos conservados solo como huella o HMAC cuando así se indica, resultado de intentos, acción realizada, referencia técnica, fecha, agente de usuario y una huella derivada de la IP en lugar de la IP en claro dentro de la telemetría de aplicación. Compras: plataforma, producto, transacción, entorno, estado y fechas; ImageConsent no recibe el número completo de tarjeta.

Los datos proceden del profesional, de la persona firmante o representante, del proveedor de acceso y, para compras o entregas, de Apple, Google o el proveedor de correo. Los campos marcados como obligatorios son necesarios para prestar la función solicitada; omitirlos impide crear la cuenta, acreditar la autorización o entregar la copia. Los campos opcionales pueden dejarse vacíos.

En producciones y grupos, el profesional crea una invitación individual de un solo uso o un enlace colectivo reutilizable y decide por qué canal compartirlo. Cada participante completa sus propios datos en su dispositivo. Las demás personas participantes no pueden verlos; el profesional organizador sí puede consultar el estado, la referencia mínima de seguimiento y, una vez completada, la autorización individual. ImageConsent no envía mensajes de WhatsApp ni necesita conservar un número de teléfono para distribuir la invitación; el teléfono sigue siendo opcional dentro del expediente.

Las plantillas y duplicados reutilizan la configuración profesional sin copiar firmas ni participantes. Si el profesional activa recordatorios, ImageConsent utiliza el correo ya verificado para enviar mensajes transaccionales periódicos con un enlace personal nuevo; el profesional puede desactivarlos o enviarlos manualmente. En el modo sin conexión, una autorización pendiente puede conservarse temporalmente en el dispositivo del profesional y se sincroniza cuando vuelve la conexión; hasta entonces la copia por correo y la conservación en servidor no se consideran completadas.

La foto de referencia es opcional: puede aportarla el profesional o la persona participante o representante. Se reduce de tamaño, se eliminan sus metadatos de ubicación y se conserva cifrada. Si se acepta antes de firmar, forma parte del expediente y de las copias por correo y PDF. No realiza reconocimiento facial ni verifica la identidad. Se puede continuar sin foto. La foto interna añadida después de firmar solo es visible para el profesional, no modifica la autorización ni sus copias, y requiere que el profesional disponga de una base válida e informe a la persona. Se aplican los plazos de conservación y derechos descritos en este aviso; las copias ya entregadas no se retiran automáticamente. Las demás fotografías, vídeos y audios de la sesión permanecen bajo control del profesional o de los destinatarios elegidos, fuera de este expediente.

3. Imagen, voz, revocación y menores

La autorización solo cubre los actos y finalidades seleccionados. No ampara finalidades nuevas, usos denigrantes ni intromisiones ilegítimas en el honor, la intimidad o la propia imagen. En canales en línea la difusión puede tener alcance mundial y las copias de terceros pueden quedar fuera del control efectivo del profesional.

La persona puede retirar el consentimiento de protección de datos y revocar la autorización de imagen contactando con el profesional o con info@imageconsent.eu e indicando la referencia. La retirada no afecta a la licitud del tratamiento anterior. Se detendrán los usos futuros bajo control del responsable y se evaluarán la retirada, la conservación probatoria limitada y, cuando proceda, las consecuencias previstas en la Ley Orgánica 1/1982; no se promete borrar copias que terceros controlen legítimamente.

Si interviene un menor, el representante debe acreditar su facultad, informar al menor de modo comprensible, escucharle según edad y madurez y priorizar su interés superior. Cuando el flujo registra madurez suficiente, el menor firma personalmente su decisión y el representante firma por separado su asistencia y declaración. La valoración y las facultades declaradas quedan registradas por el profesional, pero ImageConsent no las verifica ni decide automáticamente la capacidad. Los casos de conflicto, duda o posible perjuicio deben detenerse hasta comprobar los requisitos aplicables.

4. Firma y valor probatorio

La firma dibujada, la aceptación expresa, el contenido versionado y la trazabilidad forman evidencia electrónica. En la firma remota, el código enviado al correo acredita acceso a esa dirección en ese momento, no la identidad civil por sí solo.

ImageConsent no presta actualmente un servicio cualificado de confianza, no emite certificados cualificados, no verifica documentalmente la identidad y no afirma que la firma sea avanzada o cualificada. Conforme al artículo 25 eIDAS, una firma electrónica no puede rechazarse solo por ser electrónica, pero únicamente la firma cualificada tiene por ese Reglamento equivalencia automática con la manuscrita. El peso probatorio depende del expediente completo y de las circunstancias.

5. Destinatarios, proveedores y transferencias

Puede existir acceso estrictamente necesario por proveedores técnicos y autoridades competentes. Las marcas siguientes describen servicios utilizados o previstos según la configuración técnica; no equivalen a afirmar que exista una certificación, un DPA firmado o residencia exclusiva en la UE. La entidad contratante, ubicaciones, subencargados y mecanismo de transferencia deben verificarse y registrarse antes de apoyarse en ellos para producción.

Servicio o categoría	Función	Información de localización y garantías
OpenAI Sites / infraestructura Cloudflare y D1	Aplicación, API, autenticación integrada y base primaria.	La geografía efectiva, entidad contratante y anexos vigentes están sujetos a verificación documental. No se afirma alojamiento exclusivo en el EEE.
Supabase	Copia independiente cifrada y recuperación operativa.	El proyecto está configurado en West EU (París); esa configuración no demuestra por sí sola que soporte, copias o subencargados permanezcan íntegramente en el EEE.
Resend	Códigos de acceso, verificación y copias transaccionales.	Recibe destinatario, contenido mínimo y metadatos de entrega. Entidad, retención, DPA, subencargados y transferencias deben confirmarse en la ficha de proveedor.
OVHcloud / Zimbra	Buzón de soporte, privacidad y revocaciones.	La configuración del buzón y sus condiciones deben conservarse como evidencia; no se extiende a este servicio ninguna afirmación no verificada sobre residencia total.
Apple y Google	Distribución, cobro, restauración y validación de derechos de compra.	Tratan la relación de tienda conforme a sus propios avisos y pueden actuar como responsables independientes. ImageConsent recibe datos limitados de transacción, no datos completos de pago.

Cuando el tratamiento implique una transferencia fuera del EEE, la parte responsable deberá identificar y documentar un mecanismo válido del capítulo V RGPD —como una decisión de adecuación o las cláusulas contractuales tipo de 2021 aplicables—, además de la evaluación de transferencia y las medidas complementarias necesarias. La existencia de esas garantías no se presume por el mero hecho de nombrar aquí a un proveedor.

6. Conservación

La caducidad de un código impide reutilizarlo, pero no significa necesariamente que toda evidencia técnica se borre en ese instante. La política aplicable por categorías es:

Cuenta, perfil, espacios, compras y métodos de acceso: mientras la cuenta esté activa; se eliminan de los sistemas activos al ejecutar el borrado de cuenta, salvo información separada que deba bloquearse por una obligación legal o reclamación.
Autorizaciones, firmas y revocaciones: hasta que el profesional borre el registro o elimine la cuenta. La revocación cambia el estado y conserva evidencia hasta ese borrado; el profesional debe aplicar su propio calendario y no mantener expedientes indefinidamente por comodidad.
Enlace de firma remota: válido 20 minutos. Código de verificación o acceso: válido 10 minutos y de un solo uso. Sesión de cuenta por correo: validez máxima de 90 días. Los registros caducados pueden mantenerse temporalmente para auditoría y limpieza operativa y nunca recuperan validez por esa conservación.
Telemetría de seguridad de la aplicación: 180 días; al borrar una cuenta se desvinculan de ella las referencias de usuario y recurso. Los contadores de limitación se conservan durante su ventana y el tiempo técnico de limpieza.
Soporte, derechos e incidentes: durante la tramitación y, después, solo mientras resulte necesario para acreditar la respuesta o atender responsabilidades. La duración concreta se fija en el registro interno del caso.
Copias y proveedores: el borrado retira la copia activa independiente cuando el servicio puede verificarlo. Las instantáneas de recuperación y los registros propios de cada proveedor siguen sus ciclos contractuales; sus plazos exactos deben constar en el registro de proveedores y no se presume un borrado instantáneo no acreditado.
Las copias descargadas por el profesional, las imágenes de la sesión y las publicaciones externas no están bajo el control de ImageConsent y siguen el calendario del profesional o del tercero que las posea.

7. Derechos de las personas

Acceso a los datos y a una copia; rectificación de datos inexactos; supresión cuando proceda; limitación; oposición a tratamientos basados en interés legítimo; y portabilidad cuando concurran sus requisitos.
Retirar el consentimiento en cualquier momento sin afectar a la licitud anterior y solicitar que se deje constancia de la revocación de la autorización de imagen.
No ser objeto de una decisión exclusivamente automatizada con los efectos previstos en el artículo 22 RGPD; ImageConsent no realiza actualmente tales decisiones.
Presentar una reclamación ante la autoridad de control, sin perjuicio de otros recursos administrativos o judiciales.

Para datos de la sesión o uso de imágenes, dirígete primero al profesional identificado en la autorización. También puedes escribir gratuitamente a info@imageconsent.eu, indicando la referencia y el derecho solicitado; ImageConsent responderá como responsable o trasladará/asistirá al profesional cuando actúe como encargado. Puede pedirse información adicional proporcionada para evitar entregar datos a otra persona.

El plazo general de respuesta es un mes desde la recepción, prorrogable otros dos meses en casos complejos con aviso dentro del primer mes. Puedes reclamar ante la Agencia Española de Protección de Datos.

8. Seguridad y telemetría

Se aplican controles proporcionados al riesgo: HTTPS, acceso autenticado, separación por cuenta/espacio, cifrado de aplicación para campos identificativos y firmas, huellas de integridad, secretos fuera del código, enlaces temporales, códigos de un solo uso, límites de intentos, copias independientes cifradas y registro de operaciones relevantes.

La telemetría propia registra acción, resultado, fecha, referencia técnica, agente de usuario limitado y una huella derivada de IP; se usa para detectar abuso, investigar incidentes y demostrar operaciones, no para publicidad o seguimiento entre aplicaciones.

Ninguna medida elimina todo riesgo. Estas descripciones no son una certificación, una garantía de invulnerabilidad ni una afirmación de auditoría independiente. Las medidas y su eficacia se revisan ante cambios relevantes e incidentes.

9. Incidentes y brechas de datos

Comunica inmediatamente accesos, enlaces o correos no reconocidos a info@imageconsent.eu y no reutilices el enlace o código afectado.

Cuando ImageConsent actúe como encargado, informará al profesional responsable sin dilación indebida y aportará la información disponible para que valore el riesgo. Cuando actúe como responsable, documentará toda brecha y notificará a la AEPD, cuando sea exigible, sin dilación indebida y a más tardar 72 horas después de tener constancia.

Si es probable un alto riesgo, la persona afectada recibirá una comunicación clara sin dilación indebida, salvo que concurra una excepción legal. La comunicación explicará naturaleza, posibles consecuencias, medidas y contacto; no se harán promesas antes de conocer los hechos.