La mayoría de los artículos que comparan galerías de selección de fotos por el cliente (proofing) las clasifican por precio, almacenamiento y aspecto de la galería. Todo eso cuenta. Pero si trabajas en Europa, hay una pregunta que ninguna de esas comparativas responde: ¿dónde están físicamente las fotos de tus clientes y qué te obliga eso a hacer?
Esto no es una lección de cumplimiento normativo. Es la lista corta de lo que un fotógrafo europeo debería saber responder sobre su plataforma de galerías, y de lo que cambia cuando los archivos se quedan en Europa.
Primero, la palabra: proofing
En Estados Unidos, «proofing» es el término habitual para la galería que envías a un cliente para que revise, elija y apruebe las imágenes antes de la entrega final. En Europa, ese mismo paso suele llamarse simplemente entrega de la galería, y por eso los fotógrafos europeos que buscan en inglés a menudo se pierden la mitad del mercado.
Conviene saberlo, porque es la palabra en torno a la cual todas las plataformas estadounidenses organizan su producto. Si comparas herramientas en inglés, busca «proofing galleries», no «delivery galleries».
Las fotos de tus clientes son datos personales, y tú eres responsable del tratamiento
Una fotografía en la que se puede identificar a una persona es un dato personal. Ese es el punto de partida, y se aplica tanto a una sesión de retratos corporativos como a una boda.
De ahí se derivan dos papeles. Tú decides de quién se hacen fotos, por qué y cuánto tiempo siguen en línea, lo que te convierte en responsable del tratamiento. La plataforma que aloja la galería actúa siguiendo tus instrucciones, lo que la convierte en encargada del tratamiento.
Esa relación no es informal. El artículo 28 exige un contrato por escrito entre las dos partes, un acuerdo de tratamiento de datos (DPA), que establezca lo que puede hacer el encargado, sus medidas de seguridad, quiénes son sus propios subencargados y qué ocurre con los datos al final.
La prueba práctica: ¿puedes descargar hoy ese acuerdo desde la web de la plataforma, sin contactar con el equipo comercial? En las plataformas serias, sí. Si no puedes, eres tú quien tiene la obligación sin tener los papeles.
Alojar en Estados Unidos no es ilegal. Es papeleo
Aquí se concentra la mayor parte de la confusión, que va en los dos sentidos.
Transferir datos personales fuera del Espacio Económico Europeo es lícito cuando lo cubre un mecanismo jurídico. Desde julio de 2023, el Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework) ofrece exactamente eso: una empresa estadounidense que se ha autocertificado en ese marco puede recibir datos personales de la UE sin más formalidades, igual que en una transferencia dentro de la UE.
Así que una plataforma de selección estadounidense no es automáticamente un problema. Lo que importa es una pregunta de hecho: ¿está certificada esta empresa en concreto?
El registro es público. Busca la razón social de la empresa en dataprivacyframework.gov y comprueba que la certificación esté activa. Ten en cuenta que una página comercial que dice «conforme al RGPD» no es una respuesta, como tampoco lo es una respuesta del soporte que asegura que los datos están «seguros». La certificación es un estado en una lista pública: o la empresa figura en ella o no figura.
Si el proveedor no está en esa lista, la transferencia necesita cláusulas contractuales tipo y una evaluación de impacto de la transferencia, es decir, un análisis de si las leyes del país de destino vacían de contenido esas cláusulas en la práctica. Esa evaluación le corresponde al responsable del tratamiento. A ti, en otras palabras.
Las seis cosas que debes comprobar antes de firmar
Aplícalas a cualquier plataforma, europea o no. La mayoría se comprueban en cinco minutos.
El acuerdo de tratamiento de datos. Descargable sin tener que pedirlo, y firmado por la entidad a la que pagas realmente.
La región de almacenamiento. No la sede de la empresa, sino la región donde están los archivos de imagen y los registros de la base de datos. Algunas plataformas te dejan elegirla; la mayoría, no.
El mecanismo de transferencia. La certificación del Data Privacy Framework, o cláusulas contractuales tipo más tu propia evaluación.
La lista de subencargados. Una plataforma de galerías nunca trabaja sola: almacenamiento de objetos, red de distribución de contenidos (CDN), correo transaccional, analítica. Pide la lista y pregunta cómo se te avisa cuando cambia. Las incorporaciones silenciosas son el fallo habitual.
La conservación y la eliminación. Qué pasa con los archivos cuando una galería expira o cierras tu cuenta. Una plataforma que no sabe indicar un plazo de eliminación no puede ayudarte a responder a la solicitud de supresión de un cliente.
La comparación de caras, si la usas. Las fotografías no son datos biométricos por defecto. El considerando 51 es explícito en este punto. Solo se convierten en datos biométricos cuando se tratan con medios técnicos que permiten una identificación unívoca, que es precisamente lo que hace la comparación de caras, y eso te sitúa en el artículo 9 y en el consentimiento explícito. El marco se explica en detalle en reconocimiento facial y RGPD para fotógrafos.
Lo que cambia realmente la opción europea
Nada mágico. Elimina de tu expediente un capítulo del reglamento.
Con el almacenamiento en la Unión Europea, el capítulo V, sobre las transferencias internacionales, deja de aplicarse a esa parte de tus herramientas. No hay certificación que verificar, ni cláusulas contractuales tipo que adjuntar, ni evaluación de impacto de la transferencia que redactar y mantener al día. Las demás obligaciones siguen exactamente igual.
Donde esto deja de ser abstracto es en el B2B. Cada vez más clientes corporativos envían un cuestionario de proveedores antes de una sesión, y una de sus líneas pregunta dónde almacenan los datos los subencargados. Responder «en la Unión Europea, aquí tienes el acuerdo» cierra el tema en un correo. Responder «en Estados Unidos, bajo un marco de privacidad, déjame buscar el certificado» abre una conversación con un departamento jurídico que no tiene ninguna prisa.
Lo segundo que cambia es la jurisdicción. Un encargado europeo contrata bajo el derecho europeo, con una autoridad de control europea. Si algo sale mal, hay una capa menos entre tú y una solución.
Pixieset, ShootProof y la cuestión europea
Para ser justos con ellos: son buenos productos, creados por equipos serios, y si los fotógrafos los usan es porque funcionan. Nada de lo que decimos aquí lo contradice, y nuestra propia comparativa de alternativas a Pixieset recomienda varios de ellos según el perfil.
Lo que no tienen en el centro es la cuestión europea. Su almacenamiento, su soporte y sus contratos están organizados para un mercado estadounidense en el que este papeleo no existe. No es un defecto, es otro mercado.
Así que no preguntes si cumplen la normativa, porque eso no es una propiedad de sí o no de un producto. Haz las tres preguntas de hecho de antes: qué dice el acuerdo, dónde está el almacenamiento y si la empresa figura en el registro público. Después, decide con las respuestas delante.
Dónde encaja Evokly, y dónde no
Evokly aloja los datos en la Unión Europea, publica un acuerdo de tratamiento de datos y basa la comparación de caras en un consentimiento explícito registrado, con eliminación cuando expira el evento. Las galerías llevan tu propia marca (marca blanca) desde el plan Event Pro, de pago único, sin suscripción.
Está pensado para eventos con muchas personas distintas: bodas, galas, conferencias, jornadas de empresa. Los invitados escanean un código QR y cada persona encuentra las fotos en las que aparece haciéndose un selfie, lo que acaba con el hilo de «¿me puedes buscar las fotos en las que salgo?» la semana siguiente.
Donde no encaja: Evokly no es una plataforma de venta de copias y no gestiona contratos ni facturación. Si tu modelo de negocio se basa en las copias en papel, o si quieres la entrega y la gestión del estudio en un mismo panel, las herramientas anteriores lo hacen y Evokly no.
Cuándo una plataforma estadounidense sigue siendo la respuesta correcta
Tres casos, con franqueza.
Tus clientes son estadounidenses. La cuestión de la transferencia va en sentido contrario, y la plataforma local es la que responde a lo que ellos esperan.
La venta de copias es tu margen. Las integraciones con laboratorios que lo hacen posible están maduras en las plataformas estadounidenses y no existen en la mayoría de las europeas.
Ya lo tienes en marcha y funciona. Migrar cuesta horas reales, y una plataforma que conoces vale más que una ficha algo mejor sobre el papel. Cambia cuando tengas un motivo, no por un artículo.
En resumen
Alojar en un sitio u otro no equivale a cumplir, y alojar en Europa no es un certificado. Lo que sí hace es suprimir un capítulo de tus obligaciones, el de las transferencias internacionales, y darte una respuesta de un solo correo cuando un cliente corporativo pregunta dónde están las fotos.
Antes de firmar nada, consigue por escrito el acuerdo, la región de almacenamiento y el mecanismo de transferencia. Si una plataforma no puede darte los tres en una tarde, ya sabes lo que necesitas saber sobre el resto.
Para saber cuánto tiempo conservar los archivos una vez entregados, consulta la conservación de las fotos de eventos según el RGPD.
Prueba gratis una galería con tu marca en una sesión real, antes de decidir nada.
Preguntas frecuentes
¿Es ilegal alojar las fotos de los clientes en Estados Unidos según el RGPD?
No. Las transferencias fuera del Espacio Económico Europeo son lícitas cuando las cubre un mecanismo jurídico. Desde julio de 2023, el Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework) ofrece uno: una empresa estadounidense que se ha autocertificado en ese marco puede recibir datos personales de la UE sin cláusulas contractuales tipo. Si tu proveedor no está certificado, la transferencia necesita cláusulas contractuales tipo y una evaluación de impacto de la transferencia, y ese trabajo te corresponde a ti como responsable del tratamiento, no al proveedor.
¿Cómo compruebo si una plataforma de selección de fotos está certificada en el Data Privacy Framework?
La lista es pública y se puede consultar en dataprivacyframework.gov. Busca la razón social de la empresa, no el nombre de su producto, y comprueba que la certificación esté activa y que cubra las categorías de datos adecuadas. Que un proveedor diga ser «conforme al RGPD» en una página comercial no equivale a una certificación activa en ese registro.
¿Soy responsable del tratamiento de las galerías de mis clientes?
En el caso normal, sí. Tú decides de quién se hacen fotos, por qué y cuánto tiempo siguen en línea, lo que te convierte en responsable del tratamiento. La plataforma de selección actúa siguiendo tus instrucciones, lo que la convierte en encargada del tratamiento. Esa relación exige un acuerdo de tratamiento de datos por escrito conforme al artículo 28, y es el documento que deberías poder descargar sin contactar con el equipo comercial.
¿Las fotografías son datos biométricos según el RGPD?
No por defecto. El considerando 51 deja claro que las fotografías no son sistemáticamente datos de categorías especiales. Solo se convierten en datos biométricos cuando se tratan con medios técnicos específicos que permiten identificar de forma unívoca a una persona, que es exactamente lo que hace el reconocimiento facial. Una galería normal llena de caras contiene datos personales corrientes; si añades la comparación de caras, pasas al artículo 9, que exige un consentimiento explícito.
¿Alojar en Europa basta por sí solo para cumplir el RGPD?
No, y cualquier proveedor que te diga lo contrario te está vendiendo algo. Alojar en Europa elimina de tu expediente un capítulo del reglamento, el de las transferencias internacionales. Sigues necesitando una base jurídica para las fotos, un acuerdo de tratamiento de datos, un plazo de conservación que apliques de verdad y una forma de responder a una solicitud de supresión. El lugar de alojamiento es una línea de la lista de comprobación, no toda la lista.