Información sobre el RGPD
1. Establecimiento y aplicación del RGPD
DickPic Pro es operado por [YOUR CYPRUS LTD LEGAL NAME], una private company limited by shares constituida conforme a la legislación de the Republic of Cyprus. La Sociedad está establecida dentro de la Unión Europea y el RGPD se aplica a todo su tratamiento de datos personales en el contexto de las actividades de dicho establecimiento, con independencia de dónde se realice el tratamiento o de dónde resida el interesado (art. 3.1 del RGPD).
2. Funciones — reparto entre la operación del Servicio y el tratamiento del contenido
Nuestra función en virtud del RGPD se reparte entre dos ámbitos distintos (véase también la Política de privacidad § 3 y el Acuerdo de Tratamiento de Datos):
- Operación del Servicio — somos el responsable del tratamiento de los datos de cuenta, los registros de facturación, los registros de auditoría y los datos de seguridad.
- Tratamiento del contenido — somos el encargado del tratamiento de las imágenes enviadas, los informes PDF generados y los metadatos de análisis. El usuario (o, en el contexto de Agency / API, el Cliente empresarial) es el responsable del tratamiento. Las condiciones de nuestro tratamiento se establecen en el DPA.
Este reparto se aplica de manera uniforme a todos los productos. Refleja el hecho de que el usuario determina qué enviar, qué prompt aplicar, qué plantilla utilizar y en nombre de quién — y nosotros seguimos esas instrucciones sin utilizar el contenido para nuestros propios fines.
3. Bases jurídicas
Para nuestro tratamiento como responsable del tratamiento, nos basamos en las siguientes bases jurídicas:
- Ejecución de un contrato (art. 6.1.b) — para el tratamiento necesario para prestar el Servicio que el usuario ha solicitado o para cumplir nuestras obligaciones frente a un Cliente empresarial.
- Intereses legítimos (art. 6.1.f) — para la seguridad, la prevención del fraude, la integridad del servicio y la mejora del producto, ponderados frente a los derechos y libertades de los interesados.
- Obligación legal (art. 6.1.c) — para la conservación de registros exigida por la normativa fiscal, contable u otra normativa aplicable, y para las comunicaciones obligatorias cuando proceda.
- Consentimiento (art. 6.1.a y, cuando proceda, art. 9.2.a) — cuando solicitamos el consentimiento para un tratamiento opcional específico.
Para el tratamiento del contenido en el que actuamos como encargado del tratamiento, la base jurídica la determina el Cliente (responsable del tratamiento). El DPA exige a los Clientes que se aseguren de disponer de una base jurídica válida para el tratamiento que ordenan.
4. Datos de categorías especiales
Parte del contenido enviado al Servicio puede, según las circunstancias, constituir «datos de categorías especiales» en el sentido del art. 9 del RGPD. El envío de dicho contenido se rige por nuestras Condiciones Generales del Servicio: el usuario (o Cliente) declara que se han obtenido todos los consentimientos necesarios de las personas representadas y que el envío es lícito en su jurisdicción. Cuando actuamos como encargado del tratamiento, garantizar que existe una base jurídica adecuada con arreglo al art. 9 es responsabilidad del Cliente en su condición de responsable del tratamiento.
5. Derechos de los interesados
Con sujeción a la verificación de la identidad y a las excepciones aplicables, los interesados pueden ejercer los siguientes derechos:
- Derecho de acceso (art. 15)
- Derecho de rectificación (art. 16)
- Derecho de supresión (art. 17)
- Derecho a la limitación del tratamiento (art. 18)
- Derecho a la portabilidad de los datos (art. 20)
- Derecho de oposición (art. 21)
- Derecho a retirar el consentimiento en cualquier momento, cuando el consentimiento sea la base (art. 7.3)
- Derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado que produzca efectos jurídicos o significativos de modo similar (art. 22) — actualmente no realizamos ese tipo de toma de decisiones
Para las solicitudes relativas a los datos que tratamos como responsable del tratamiento (datos de cuenta, facturación, seguridad), envíenos su solicitud directamente a través del canal de contacto de la Política de privacidad.
Para las solicitudes relativas al tratamiento del contenido en el que actuamos como encargado del tratamiento (imágenes enviadas, PDF generados), lo más eficaz es dirigir la solicitud al Cliente que ordenó el tratamiento en su nombre (para los usuarios de Agency, su agencia; para los usuarios de un integrador de API, dicho integrador). Les prestaremos asistencia para responder.
Responderemos a las solicitudes directas en el plazo de un mes desde una solicitud verificable, prorrogable en dos meses adicionales para solicitudes complejas, con notificación dentro del primer mes (art. 12.3 del RGPD).
6. Transferencias internacionales
El Servicio opera desde the Republic of Cyprus, un Estado miembro de la UE. Por tanto, el envío de datos personales al Servicio constituye un tratamiento dentro de la Unión Europea y no es, en sí mismo, una transferencia internacional a efectos del capítulo V del RGPD.
Cuando se transfieren datos personales a subencargados del tratamiento fuera del Espacio Económico Europeo, dichas transferencias se rigen por las Cláusulas Contractuales Tipo de la Comisión Europea (Decisión (UE) 2021/914) u otro mecanismo de transferencia lícito con arreglo al capítulo V del RGPD, actuando nosotros como exportador de datos. La lista actual de subencargados del tratamiento y sus ubicaciones de tratamiento se publica en /legal/subprocessors.
El DPA entre nosotros y los Clientes que actúan como responsables del tratamiento está estructurado para respaldar dichas transferencias ulteriores sin necesidad de acción adicional por parte del Cliente cuando actuamos como encargado del tratamiento.
7. Representante en la UE y delegado de protección de datos
Dado que la Sociedad está establecida en la Unión Europea (the Republic of Cyprus), no resulta aplicable la obligación del art. 27 del RGPD de designar un representante en la UE.
La designación de un delegado de protección de datos (DPO) con arreglo al art. 37 del RGPD solo es obligatoria cuando las actividades principales del responsable del tratamiento requieren una observación habitual y sistemática de los interesados a gran escala, o consisten en el tratamiento a gran escala de datos de categorías especiales. Evaluamos nuestras obligaciones en materia de DPO de forma continua y designaremos un DPO si nuestras actividades de tratamiento alcanzan los umbrales del art. 37 y cuando así sea. Hasta entonces, los asuntos de privacidad y protección de datos se gestionan internamente y pueden plantearse a través del canal de contacto de la Política de privacidad.
8. Derecho a presentar una reclamación
Los interesados tienen derecho a presentar una reclamación ante una autoridad de control, en particular en el Estado miembro de su residencia habitual, lugar de trabajo o lugar de la supuesta infracción, si consideran que el tratamiento de sus datos personales infringe el RGPD (art. 77 del RGPD).
La autoridad de control competente respecto de la Sociedad, en su condición de establecida en the Republic of Cyprus, es:
Office of the Commissioner for Personal Data Protection of the Republic of Cyprus
Dirección: Iasonos 1, 1082 Nicosia, Cyprus
Sitio web: https://www.dataprotection.gov.cy
Correo electrónico: commissioner@dataprotection.gov.cy
Animamos a los interesados a que se pongan en contacto con nosotros primero a través del canal de la Política de privacidad, para que podamos atender sus inquietudes directamente.