Política de privacidad

Última actualización: julio de 2026

1. Responsable del tratamiento

El responsable del tratamiento en el sentido del Reglamento General de Protección de Datos (RGPD) es:

YouVenture! GmbH

Ericusspitze 4

20457 Hamburg

Alemania

Registro Mercantil (Handelsregister): Amtsgericht Hamburg, HRB 172192

Administradores con poder de representación: Finn Alexander Dubbels, Viktor Dik

Correo electrónico: support@confettiprints.com

2. Resumen del tratamiento de datos

Confetti Prints es un servicio en línea en el que los usuarios suben una fotografía personal que, mediante inteligencia artificial, se transforma en un producto individualizado: un libro para colorear («Malbuch») o un libro personalizado (p. ej. «Mutmachbuch», «Gefühlebuch», «ABC-Buch»), en el que la persona representada aparece como personaje en las ilustraciones. Una vez finalizado un pedido, los productos generados se transmiten a una imprenta para su producción y envío. La fotografía subida se trata únicamente durante el tiempo que dura la elaboración y se suprime automáticamente a continuación (véanse los apartados 5 y 8).

3. Datos personales recogidos

En el marco del uso de nuestro servicio recogemos y tratamos los siguientes datos personales:

a) Datos del pedido

Nombre y apellidos, dirección de correo electrónico, dirección de entrega y, en su caso, dirección de facturación, para la tramitación de su pedido y el envío del producto.

b) Datos de pago

Los datos de pago (p. ej. datos de tarjeta de crédito) son tratados exclusivamente por nuestro proveedor de servicios de pago Stripe. Nosotros mismos no almacenamos datos de pago completos (véase el apartado 7.2).

c) Fotografía subida

La fotografía que usted sube se trata exclusivamente con la finalidad de elaborar su producto individualizado. Se transmite a nuestro proveedor de servicios de IA para la generación de la imagen (apartado 5). En los libros personalizados, la fotografía se trata temporalmente en nuestro almacenamiento (UE, véase el apartado 6) durante el tiempo que dura la generación en varias fases y se suprime automáticamente de inmediato una vez finalizada. En el libro para colorear («Malbuch») no se almacena la fotografía en nuestros servidores; únicamente se transmite al proveedor de servicios de IA para su tratamiento.

d) Características derivadas de la fotografía

Para que la persona representada pueda aparecer de forma reconocible en las ilustraciones, la fotografía se evalúa mediante un modelo de IA de análisis de imagen que genera una breve descripción del aspecto (p. ej. color del pelo y de los ojos, tono de piel), así como una edad estimada. Estos datos derivados se utilizan únicamente para la generación y se suprimen tras su finalización junto con la referencia a la fotografía. No se realiza identificación biométrica alguna ni ningún cotejo con otras bases de datos.

e) Datos técnicos y dirección IP

Al visitar nuestro sitio web se recoge automáticamente información técnica (tipo y versión del navegador, sistema operativo, URL de procedencia, fecha y hora del acceso). Para la protección frente a usos abusivos y para limitar el número de generaciones (rate limiting) tratamos además temporalmente su dirección IP. La base jurídica es el art. 6.1.f) del RGPD (interés legítimo en la seguridad, la disponibilidad y el control de costes de nuestro servicio).

f) Datos de candidatura

Si usted se presenta a un puesto de trabajo publicado por nosotros, tratamos los datos y documentos que nos transmita a tal efecto. Encontrará los detalles en el apartado 10.

4. Fines y bases jurídicas del tratamiento

5. Tratamiento de su fotografía mediante inteligencia artificial

5.1 Proveedor de servicios de IA empleado (Replicate)

Para transformar su fotografía en el producto pedido utilizamos la plataforma de IA:

Replicate, Inc.

58 Maiden Lane, San Francisco, CA 94108, USA

Su fotografía se trata a través de la interfaz de programación (API) de Replicate. Para la generación y el análisis de las imágenes, Replicate emplea como subencargados del tratamiento modelos de OpenAI (p. ej. «gpt-image-2» y «gpt-4o-mini»). Nosotros no realizamos ninguna transmisión directa de su fotografía a OpenAI. El producto generado se nos devuelve.

Replicate elimina de forma automática y por defecto los datos de entrada y de salida transmitidos a través de la API al cabo de poco tiempo (por regla general, aprox. 1 hora). OpenAI no utiliza los datos tratados a través de su API para fines propios de entrenamiento y solo los conserva temporalmente para la detección de usos abusivos (por regla general, un máximo de 30 días; puede producirse una conservación más prolongada en la medida en que así lo exijan obligaciones legales). Replicate trata los datos exclusivamente para prestar el servicio de generación de imágenes que le hemos encargado.

La base jurídica de esta transmisión es el art. 6.1.b) del RGPD (ejecución del contrato); en la medida en que se vean afectadas categorías especiales de datos personales (art. 9 del RGPD), basamos el tratamiento además en su consentimiento explícito conforme al art. 9.2.a) del RGPD, que usted otorga al subir la fotografía.

5.2 Plazo de conservación de la fotografía

La fotografía se trata únicamente durante el tiempo que dura la generación mediante IA. En los libros personalizados se suprime automáticamente de nuestro almacenamiento inmediatamente después de finalizar el libro y, a más tardar, en un plazo de 24 horas (proceso de supresión automatizado). En el libro para colorear («Malbuch») no se almacena la fotografía.

5.3 Transferencia a un tercer país (EE. UU.)

Replicate tiene su sede en los Estados Unidos. La transmisión de su fotografía a Replicate constituye una transferencia a un tercer país; se efectúa sobre la base de cláusulas contractuales tipo (Standard Contractual Clauses, SCC) conforme al art. 46.2.c) del RGPD. El subencargado del tratamiento empleado por Replicate, OpenAI, está certificado en el marco del EU-US Data Privacy Framework. Más información:

https://replicate.com/privacy

https://openai.com/policies/privacy-policy

5.4 Ausencia de decisiones automatizadas

No se produce ninguna decisión automatizada en el sentido del art. 22 del RGPD. La transformación de imágenes asistida por IA sirve exclusivamente a la creación artística y no produce sobre usted efectos jurídicos ni le afecta significativamente de modo similar.

6. Almacenamiento en nuestros servidores

Para la prestación del producto y el control del proceso de generación en varias fases utilizamos los siguientes proveedores de servicios, cuyos centros de datos se encuentran en la Unión Europea:

Vercel Inc. (340 S Lemon Ave #4133, Walnut, CA 91789, USA): alojamiento del sitio web y almacenamiento de objetos («Vercel Blob», región Fráncfort/Alemania) para la fotografía subida (solo durante la generación) y las imágenes generadas.

Upstash, Inc. (USA): caché temporal de tratamiento («Redis», centro de datos de Fráncfort/Alemania) para el estado del encargo de generación (entre otros, nombre y sexo de la persona representada, referencia a la fotografía, descripción derivada, referencias de las imágenes generadas).

Con ambos proveedores existe un contrato de encargo del tratamiento conforme al art. 28 del RGPD. Dado que los datos se almacenan en la UE (Fráncfort), en este aspecto no se produce transferencia alguna a terceros países. Los plazos de conservación resultan del apartado 8.

7. Comunicación a terceros

7.1 Imprenta

Tras la finalización correcta del pago, transmitimos los productos generados y los datos necesarios para la impresión y el envío (nombre, dirección de entrega) a nuestro proveedor de servicios de impresión:

mediaprint solutions GmbH

Eggertstraße 28, 33100 Paderborn, Alemania

La base jurídica es el art. 6.1.b) del RGPD (ejecución del contrato). Con la imprenta hemos celebrado un contrato de encargo del tratamiento conforme al art. 28 del RGPD.

7.2 Proveedor de servicios de pago

Para la tramitación de los pagos utilizamos:

Stripe Payments Europe, Ltd. (1 Grand Canal Street Lower, Grand Canal Dock, Dublín, D02 H210, Irlanda) o bien Stripe, Inc. (354 Oyster Point Blvd, South San Francisco, CA 94080, USA).

Stripe trata sus datos de pago directamente y con certificación PCI DSS. Nosotros recibimos únicamente una confirmación del pago y los cuatro últimos dígitos del número de su tarjeta. La base jurídica es el art. 6.1.b) del RGPD. Para un eventual tratamiento de datos en los Estados Unidos, Stripe está certificada en el marco del EU-US Data Privacy Framework; con carácter complementario se aplican cláusulas contractuales tipo. Más información: https://stripe.com/de/privacy

7.3 Envío de correos electrónicos (formulario de contacto y confirmaciones de pedido)

Para el envío de correos electrónicos (p. ej. confirmaciones, respuestas a consultas de contacto) utilizamos el servicio Resend (Resend, Inc., USA; tratamiento y envío en la UE, región de Irlanda). Si utiliza nuestro formulario de contacto, transmitimos a Resend su dirección de correo electrónico, su mensaje y datos técnicos de contexto (p. ej. página consultada, dispositivo) para su entrega. Con Resend existe un contrato de encargo del tratamiento conforme al art. 28 del RGPD. La base jurídica es el art. 6.1.b) o, en su caso, el art. 6.1.f) del RGPD.

7.4 Trusted Shops (Trustbadge®, valoraciones y protección al comprador)

Para mostrar las prestaciones de Trusted Shops (p. ej. el sello de calidad, las valoraciones recopiladas) y para ofrecer los productos de Trusted Shops a los compradores tras un pedido, en nuestra presencia en línea hay integrados widgets de Trusted Shops: en nuestras páginas de producto se muestra el Trustbadge® y, una vez finalizado el pedido, la denominada Trustcard. Ello sirve a la salvaguarda de nuestros intereses legítimos, prevalentes en el marco de una ponderación de intereses, en una comercialización óptima mediante la posibilitación de una compra segura, conforme al art. 6, apdo. 1, párrafo primero, letra f), del RGPD. El Trustbadge y los servicios promocionados con él son una oferta de

Trusted Shops SE

Subbelrather Str. 15C, 50823 Köln, Alemania

con la que somos corresponsables del tratamiento conforme al art. 26 del RGPD. A continuación le informamos sobre los aspectos esenciales del acuerdo, conforme al art. 26, apdo. 2, del RGPD.

Al interactuar con el Trustbadge se establecen cookies de sesión para guardar el estado de inicio de sesión y mostrar la denominada capa de bienvenida (Welcome Layer), que muestra los detalles de la tienda en línea correspondiente (información sobre la empresa, valoraciones, información sobre la existencia de la protección al comprador). Para el reconocimiento de los usuarios que han iniciado sesión se establece una cookie que se conserva durante un máximo de 400 días tras el inicio de sesión. Ello es necesario para que Trusted Shops pueda poner a su disposición el servicio digital solicitado por usted. Del tratamiento de datos en la interacción con el Trustbadge es responsable Trusted Shops.

En el marco de la corresponsabilidad existente entre nosotros y Trusted Shops, para cuestiones de protección de datos y para el ejercicio de sus derechos diríjase preferentemente a Trusted Shops utilizando las vías de contacto indicadas en la información sobre protección de datos de Trusted Shops. Con independencia de ello, siempre puede dirigirse al responsable de su elección. Su solicitud se trasladará entonces, si resulta necesario, al otro responsable para su respuesta.

Tratamiento de datos al integrar el Trustbadge

El Trustbadge lo pone a disposición un proveedor estadounidense de una red de distribución de contenidos (Content Delivery Network). Un nivel adecuado de protección de datos queda garantizado mediante una decisión de adecuación de la Comisión Europea; los proveedores de servicios de los Estados Unidos empleados están, por regla general, certificados en el marco del EU-U.S. Data Privacy Framework. En la medida en que los proveedores de servicios empleados no estén certificados en el marco del DPF, se han celebrado cláusulas contractuales tipo como garantía adecuada.

Al cargarse el Trustbadge, el servidor web guarda automáticamente un denominado archivo de registro del servidor (server logfile) que contiene también su dirección IP, la fecha y la hora de la consulta, el volumen de datos transferido y el proveedor solicitante (datos de acceso), y que documenta la consulta. La dirección IP se anonimiza inmediatamente después de su recogida, de modo que los datos almacenados no pueden asociarse a su persona. Los datos anonimizados se utilizan en particular con fines estadísticos y para el análisis de errores.

Tratamiento de datos tras la finalización del pedido

Tras la finalización del pedido se transmiten a Trusted Shops los datos del pedido (número de pedido, importe del pedido, moneda, forma de pago y fecha de entrega prevista), así como su dirección de correo electrónico convertida en hash mediante una función criptográfica unidireccional. La base jurídica es el art. 6, apdo. 1, párrafo primero, letra f), del RGPD. Ello sirve para comprobar si usted ya está registrado en los servicios de Trusted Shops y es, por tanto, necesario para la satisfacción de nuestros intereses legítimos prevalentes y los de Trusted Shops en la prestación de la protección al comprador vinculada al pedido concreto y de los servicios transaccionales de valoración, conforme al art. 6, apdo. 1, párrafo primero, letra f), del RGPD. Si es así, el tratamiento posterior se realiza conforme al acuerdo contractual celebrado entre usted y Trusted Shops. Si aún no está registrado en los servicios, recibirá a continuación la posibilidad de hacerlo por primera vez. El tratamiento posterior una vez efectuado el registro se rige asimismo por el acuerdo contractual con Trusted Shops. Si usted no se registra, todos los datos transmitidos serán suprimidos automáticamente por Trusted Shops y dejará de ser posible cualquier asociación con su persona.

Invitación a valorar tras el envío

En cuanto nuestra imprenta comunica el envío de su pedido, transmitimos su dirección de correo electrónico, su número de pedido y el momento del envío a través de la interfaz de Trusted Shops, de modo que la invitación a valorar solo se programe cuando su libro esté realmente en camino. La invitación la envía Trusted Shops unos días más tarde y únicamente si usted ha consentido previamente recibir invitaciones a valorar. La base jurídica es el art. 6, apdo. 1, párrafo primero, letra f), del RGPD en relación con el consentimiento prestado por usted ante Trusted Shops.

Trusted Shops recurre a proveedores de servicios en los ámbitos de alojamiento, monitorización y registro (logging). La base jurídica es el art. 6.1.f) del RGPD, con la finalidad de garantizar un funcionamiento sin incidencias. En este contexto puede tener lugar un tratamiento en terceros países (Estados Unidos e Israel). Un nivel adecuado de protección de datos queda garantizado en cada caso mediante una decisión de adecuación de la Comisión Europea.

8. Plazo de conservación y supresión

9. Cookies, medición de audiencia y marketing

Utilizamos cookies técnicamente necesarias, imprescindibles para el funcionamiento del sitio web y la tramitación del proceso de pedido (p. ej. cookies de sesión y de carrito de la compra). La base jurídica es el art. 6.1.f) del RGPD y el § 25, apdo. 2, de la TDDDG (Ley alemana de protección de datos en telecomunicaciones y servicios digitales).

Además, únicamente con su consentimiento expreso (a través de nuestro banner de cookies) empleamos herramientas de marketing y de medición de audiencia. La base jurídica es su consentimiento conforme al art. 6.1.a) del RGPD y al § 25, apdo. 1, de la TDDDG. Puede revocar su consentimiento en cualquier momento con efectos para el futuro.

9.1 Píxel de Meta

Proveedor: Meta Platforms Ireland Ltd. (4 Grand Canal Square, Dublín 2, Irlanda). Para medir la eficacia de nuestra publicidad en Facebook/Instagram y para la formación de públicos objetivo empleamos el píxel de Meta. Este registra determinados eventos (p. ej. visita a la página, carrito de la compra, compra) y transmite a Meta, entre otros datos, identificadores en línea, la dirección IP y datos técnicos del navegador. El píxel de Meta solo se carga tras su consentimiento a través del banner de cookies (art. 6.1.a) del RGPD).

Meta está certificada en el marco del EU-US Data Privacy Framework. Más información: Política de privacidad de Meta.

9.2 Seguimiento de conversiones de Google Ads

Proveedor: Google Ireland Ltd. (Gordon House, Barrow Street, Dublín 4, Irlanda). Para medir el éxito de nuestros anuncios de Google se carga —solo tras su consentimiento— la etiqueta de Google (gtag.js). En ese proceso pueden transmitirse a Google la dirección IP y datos técnicos del navegador. Google está certificada en el marco del EU-US Data Privacy Framework. Más información: Política de privacidad de Google.

9.3 Publicidad directa por correo electrónico (clientes existentes)

En la medida en que usted haya adquirido un producto nuestro, utilizamos la dirección de correo electrónico obtenida en el marco del pedido para hacerle llegar ocasionalmente información sobre productos propios similares. La base jurídica es el art. 6.1.f) del RGPD (interés legítimo en la publicidad directa) en relación con el § 7, apdo. 3, de la UWG (Ley alemana contra la competencia desleal). Puede oponerse a este uso en cualquier momento —a través del enlace de baja incluido en cada correo electrónico o mediante una comunicación informal a support@confettiprints.com—, sin que por ello se generen otros costes que los de transmisión según las tarifas básicas. Tras una oposición dejaremos de utilizar su dirección de correo electrónico con fines publicitarios.

9.4 Newsletter (con consentimiento)

En nuestro sitio web puede suscribirse a nuestro newsletter gratuito, con el que le informamos sobre ofertas, descuentos y novedades. La base jurídica es su consentimiento conforme al art. 6.1.a) del RGPD, que usted otorga marcando la casilla correspondiente en el momento de la suscripción.

La suscripción se realiza mediante el procedimiento de doble confirmación (double opt-in): tras introducir su dirección de correo electrónico le enviamos un correo electrónico de confirmación. Solo cuando usted hace clic en el enlace contenido en él se incorpora su dirección a la lista de distribución del newsletter. Así nos aseguramos de que la suscripción procede realmente de usted.

Se tratan su dirección de correo electrónico y —para acreditar el consentimiento (art. 7, apdo. 1, del RGPD)— el momento de la suscripción y de la confirmación, su dirección IP y la versión del texto de consentimiento. Para el almacenamiento y el envío utilizamos el servicio Resend como encargado del tratamiento (véase el apartado 7.3).

Conservamos estos datos mientras usted esté suscrito al newsletter. Puede revocar su consentimiento en cualquier momento con efectos para el futuro y darse de baja del newsletter, a través del enlace de baja incluido en cada correo electrónico del newsletter o mediante una comunicación informal a support@confettiprints.com. La licitud del tratamiento efectuado hasta la revocación no se ve afectada.

10. Candidaturas

En nuestra página de empleo publicamos puestos vacantes. Las candidaturas nos llegan por correo electrónico a support@confettiprints.com. A los datos transmitidos a tal efecto se les aplica lo siguiente:

10.1 Qué datos tratamos

Tratamos los datos que usted nos facilita en su candidatura: su nombre, sus datos de contacto (dirección de correo electrónico y, en su caso, número de teléfono y dirección postal), sus indicaciones sobre su trayectoria y cualificación, así como todos los demás contenidos y anexos que nos envíe voluntariamente (p. ej. currículum, certificados). Usted mismo decide qué datos facilita: no establecemos campos obligatorios. No obstante, sin datos de contacto y sin datos sobre su persona no podemos tramitar su candidatura.

10.2 Finalidad y base jurídica

Tratamos sus datos de candidatura exclusivamente para llevar a cabo el proceso de selección y decidir sobre el establecimiento de una relación laboral. La base jurídica es el § 26, apdo. 1, frase 1, de la BDSG (Ley Federal alemana de Protección de Datos) en relación con el art. 88 del RGPD, así como el art. 6.1.b) del RGPD (medidas precontractuales). En la medida en que necesitemos datos más allá de ello para defendernos frente a reclamaciones jurídicas —por ejemplo en virtud de la Ley General alemana de Igualdad de Trato (Allgemeines Gleichbehandlungsgesetz, AGG)—, basamos dicho tratamiento en el art. 6.1.f) del RGPD.

10.3 Destinatarios

Su candidatura llega a nuestro buzón de correo electrónico. Este lo operamos con Microsoft 365 (Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublín 18, Irlanda) como encargado del tratamiento conforme al art. 28 del RGPD. Solo tienen acceso las personas que participan en la decisión de selección. No se produce comunicación alguna a otros terceros.

10.4 Sin evaluación por IA, sin decisiones automatizadas

En la gestión de las consultas de clientes empleamos un servicio de IA que nos propone borradores de respuesta. Las candidaturas quedan excluidas de ello: los contenidos de su candidatura no se transmiten a tal efecto al servicio de IA. Sobre su candidatura deciden exclusivamente personas; no se produce ninguna decisión automatizada, incluida la elaboración de perfiles, en el sentido del art. 22 del RGPD.

10.5 Plazo de conservación

Si no llega a producirse una contratación, suprimimos su documentación de candidatura a más tardar seis meses después de la conclusión del proceso de selección. Este plazo tiene en cuenta los plazos legales para el ejercicio de acciones judiciales (§ 15, apdo. 4, de la AGG). Si desea que suprimamos su documentación antes, basta con una comunicación informal a support@confettiprints.com. Si es contratado, incorporamos los datos necesarios a su expediente personal.

11. Resumen de las transferencias a terceros países

En la medida en que los destinatarios en los Estados Unidos estén certificados en el marco del EU-US Data Privacy Framework (OpenAI, Stripe, Meta, Google), la transmisión se efectúa sobre la base de la decisión de adecuación de la Comisión Europea (art. 45 del RGPD). Para los destinatarios no certificados (Replicate) basamos la transmisión en las cláusulas contractuales tipo de la UE (art. 46.2.c) del RGPD). Los datos de la fotografía y del encargo se almacenan en la propia UE (Fráncfort) (apartado 6).

12. Sus derechos como interesado

Conforme al RGPD, usted dispone de los siguientes derechos:

Para el ejercicio de sus derechos, diríjase a: support@confettiprints.com

13. Derecho a presentar una reclamación ante una autoridad de control

Usted tiene derecho a presentar una reclamación ante una autoridad de control en materia de protección de datos. La autoridad de control competente respecto de nosotros es:

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (Autoridad de Protección de Datos y Libertad de Información de Hamburgo)

Ludwig-Erhard-Str. 22, 7. OG

20459 Hamburg

Teléfono: 040 / 428 54 – 4040

Correo electrónico: mailbox@datenschutz.hamburg.de

14. Modificaciones de la presente política de privacidad

Nos reservamos el derecho de adaptar la presente política de privacidad para ajustarla a cambios en la situación jurídica o a modificaciones de nuestro servicio. Encontrará siempre la versión vigente en nuestro sitio web.

15. Contacto

Si tiene preguntas sobre protección de datos, puede contactar con nosotros en:

Correo electrónico: support@confettiprints.com