Privacybeleid
Dit beleid legt uit welke gegevens we verwerken, waarom en hoe lang. Er is een apart deel voor mensen die op een evenement worden gefotografeerd, de gevoeligste verwerking van ons hele bedrijf.
Geldig sinds: 17 september 2026 Laatst bijgewerkt: 14 oktober 2026 Versie: 1.7
1. Wie je gegevens verwerkt
De verwerkingsverantwoordelijke voor de gegevens die via deze website en bij de aankoop van onze producten worden verzameld, is:
- Onderneming: TWO MILLIONS DREAMS, S.L. (hierna “PictiaX”, “wij”)
- CIF (Spaans fiscaal identificatienummer): B13744396
- Statutair adres: Calle Correa de Araújo 2, 41702 Dos Hermanas (Sevilla), Spanje
- Contactadres voor gegevensbescherming: hello@pictiax.com
PictiaX® is een merk van TWO MILLIONS DREAMS, S.L. Je kunt ons op dit adres schrijven met elke vraag over dit beleid of om je rechten uit te oefenen.
2. Drie heel verschillende situaties: jij, de gasten op je evenementen en de proef op deze website
Dit is het belangrijkste deel van het hele beleid, want hiervan hangt af wie waarvoor verantwoordelijk is. Ons product wordt op drie niveaus gebruikt en we hebben niet overal dezelfde rol.
Als je klant van ons bent
Als je het systeem koopt, ons schrijft, je aanmeldt voor onze berichten of op deze website surft, zijn wij de verwerkingsverantwoordelijke voor die gegevens en beslissen wij hoe ze worden gebruikt. Alles hieronder geldt rechtstreeks voor jou.
Als je op een evenement bent gefotografeerd
Als een operator ons systeem gebruikt op een bruiloft, een beurs of een bedrijfsfeest, is die operator de verwerkingsverantwoordelijke voor die gegevens, en niet wij. Hij organiseert het evenement, beslist om je foto en e-mailadres te verzamelen, vraagt je om toestemming en bepaalt wat er met het resultaat gebeurt.
Wij treden op als verwerker in de zin van artikel 28 van de Algemene Verordening Gegevensbescherming (AVG): we leveren het hulpmiddel en verwerken de afbeelding volgens zijn instructies, en we gebruiken die gegevens niet voor eigen doeleinden.
Is er op een evenement een karikatuur van je gemaakt en wil je je rechten uitoefenen, neem dan eerst contact op met de organisator van dat evenement: hij is degene met wie je een relatie hebt. Weet je niet hoe je hem bereikt of antwoordt hij niet, schrijf ons dan op hello@pictiax.com. We helpen je hem te vinden en sturen je verzoek aan hem door.
Elke operator die ons systeem gebruikt, gaat akkoord met een verwerkersovereenkomst waarin hij zich onder meer verplicht om de deelnemers te informeren, hun toestemming te vragen en de bijbehorende informatie ter plaatse te tonen, tijdens het evenement.
Als je de karikatuur op deze website uitprobeert
Als je je foto uploadt in het proefformulier op deze website, zijn wij de verwerkingsverantwoordelijke, net als bij een klant: je geeft hem rechtstreeks aan ons en wij beslissen wat ermee gebeurt. Voor deze verwerking gelden eigen regels, die in deel 5 staan.
3. Welke gegevens we verwerken, op welke rechtsgrond en hoe lang
We verwerken alleen de gegevens die voor elk doel nodig zijn. Dit is de volledige lijst:
| Waarom | Welke gegevens | Rechtsgrond | Bewaartermijn |
|---|---|---|---|
| Het systeem verkopen, leveren en ondersteunen | Naam, bedrijf, fiscaal nummer of btw-nummer, adres, telefoon, e-mail, gegevens van de bestelling en de licentie | Uitvoering van de overeenkomst | Zolang de relatie duurt en daarna 6 jaar, vanwege de wettelijke verplichting in handelszaken |
| Betalingen ontvangen | Bedrag en referentie van de betaling. Kaartgegevens worden door Stripe verwerkt: wij zien ze niet en bewaren ze niet | Uitvoering van de overeenkomst en wettelijke verplichting | 6 jaar (artikel 30 van het Código de Comercio, het Spaanse wetboek van koophandel) |
| Je verzoek via het formulier beantwoorden | Naam, e-mail, bedrijf, telefoon en het bericht zelf | Gerechtvaardigd belang om iedereen te antwoorden die ons schrijft | Tot het verzoek is afgehandeld, daarna 12 maanden |
| Je nieuws, aanbiedingen en commerciële berichten van PictiaX® per e-mail sturen en je laten meedoen aan winacties. Wie meedoet aan een winactie, stemt bij het verzenden van het formulier in met het ontvangen ervan | Naam, e-mail en telefoon | Je toestemming | Tot je je afmeldt, wat vanuit elk bericht kan |
| Het gebruik van de website meten en advertenties tonen | Cookie-ID, IP-adres, bekeken pagina’s, apparaat | Je toestemming, behalve voor strikt noodzakelijke cookies | Hoogstens 24 maanden, en na 24 maanden vragen we je opnieuw om toestemming |
| De karikatuur van een gast maken en naar hem sturen | Foto, gemaakte karikatuur, naam en e-mail | Toestemming van de gast, gevraagd door de organisator van het evenement | De foto 7 dagen. Het portret en het e-mailadres 30 dagen |
Als we je gegevens ooit voor een ander doel dan hierboven willen gebruiken, laten we je dat vooraf weten en vragen we je om toestemming.
4. Foto’s die op een evenement worden gemaakt
Deze verwerking willen we het duidelijkst uitleggen, want het gaat om mensen die geen klant van ons zijn en die op een feest gewoon naar een robot zijn gelopen.
Wat er precies gebeurt
- De gast laat zich fotograferen bij de opstelling van de organisator.
- Die afbeelding gaat naar onze leverancier van kunstmatige intelligentie, die het portret maakt.
- De robot tekent het op papier en de gast neemt het mee.
- Als de gast erom heeft gevraagd, krijgt hij ook een digitale kopie op het e-mailadres dat hij heeft opgegeven.
Wat we NIET met die afbeeldingen doen
- We gebruiken ze niet om modellen voor kunstmatige intelligentie te trainen, niet die van ons en niet die van anderen.
- We gebruiken ze niet in onze reclame, tenzij de persoon op de afbeelding daar uitdrukkelijk en specifiek toestemming voor geeft. Toestemming van de organisator is niet genoeg.
- We verkopen ze niet en geven ze aan niemand door voor commerciële doeleinden.
- We koppelen ze niet tussen evenementen en maken er geen profiel van de persoon mee.
Bewaartermijn
De originele foto wordt 7 dagen bewaard vanaf het moment van de opname en daarna verwijderd.
Het portret en het e-mailadres voor de levering worden 30 dagen bewaard vanaf het evenement en daarna verwijderd. Geeft de organisator ons schriftelijk een kortere termijn, dan geldt die.
Toestemming intrekken. Iedereen die is gefotografeerd, kan vragen om zijn afbeelding en portret vóór die termijnen te verwijderen, zonder reden op te geven en zonder kosten. We handelen het verzoek af, ook als het rechtstreeks bij ons binnenkomt en niet via de organisator.
5. De karikatuurproef op deze website
Op deze website bieden we een proef aan: je uploadt een foto van jezelf en we tonen je op het scherm een karikatuur die is gemaakt met dezelfde engine als die van de robot. Hier zijn we voor niemand verwerker: de verwerkingsverantwoordelijke voor die foto zijn wij, want jij geeft hem rechtstreeks aan ons en wij beslissen wat ermee gebeurt. Dat is het verschil met een evenement, waar de operator de verwerkingsverantwoordelijke is.
Wat we verwerken en waarom
We verwerken de foto die je uploadt, je e-mailadres en, als je die opgeeft, je naam. Voor de foto is de rechtsgrond je toestemming (artikel 6, lid 1, onder a, van de Algemene Verordening Gegevensbescherming), die je geeft door het vakje in het formulier aan te vinken voordat je het verstuurt. Zonder dat vinkje wordt het formulier niet verstuurd. Voor je e-mailadres en je naam is de rechtsgrond de uitvoering van precontractuele maatregelen op jouw verzoek (artikel 6, lid 1, onder b): als je een voorbeeld van een professioneel product aanvraagt, vraag je ons om informatie over dat product.
Waarvoor we hem gebruiken, en waarvoor niet
De foto dient om deze karikatuur te maken en aan je te tonen en, samen met de gemaakte tekening, om ons team de kwaliteit van de resultaten te laten controleren en het systeem te verbeteren. Je e-mailadres en je naam dienen om je proef te herkennen, je het resultaat te sturen en ons verkoopteam contact met je te laten opnemen over je aanvraag en over hoe PictiaX op je evenementen werkt. Wil je liever niet dat we contact opnemen, schrijf ons dan op hello@pictiax.com en dan doen we dat niet. We schrijven je niet in voor een nieuwsbrief of een massale mailinglijst omdat je de proef hebt gedaan, we geven je gegevens aan niemand door voor reclame en we publiceren je foto en de gemaakte tekening nergens.
Bewaartermijn
De foto die je uploadt en de gemaakte tekening worden 90 dagen bewaard in onze Google Workspace-omgeving, waar alleen ons team toegang toe heeft, om de kwaliteit van de resultaten te controleren. Daarna worden ze verwijderd en zijn ze binnen hoogstens 30 extra dagen definitief weg. Ze worden niet gepubliceerd, niet gebruikt om modellen voor kunstmatige intelligentie te trainen en aan niemand doorgegeven. Je kunt vragen om ze eerder te verwijderen door te schrijven naar hello@pictiax.com. Daarnaast blijft de tekening een uur op de server van de website, alleen om hem op je scherm te tonen. Je e-mailadres wordt twaalf maanden bewaard vanaf de proef, om je aanvraag af te handelen en commercieel op te volgen, en daarna verwijderd.
Wie hem verwerkt
Om de tekening te maken, gaat de foto naar OpenAI, dat namens ons optreedt als verwerker, onder dezelfde voorwaarden als in de delen 7 en 9. De afbeeldingen worden niet gebruikt om modellen voor kunstmatige intelligentie te trainen.
Upload alleen je eigen foto. Upload geen afbeelding van iemand anders zonder zijn toestemming, en upload nooit een afbeelding van een minderjarige. Als we zien dat een foto zich niet aan deze regels houdt, wordt hij niet verwerkt.
Deze verwerking is geen biometrische identificatie: we meten en bewaren geen gezichtskenmerken om iemand te herkennen, zoals deel 6 uitlegt. Je kunt je toestemming intrekken en vragen om je e-mailadres te verwijderen wanneer je wilt, door te schrijven naar hello@pictiax.com.
6. We doen geen biometrische identificatie
We zeggen het uitdrukkelijk, want de twijfel is terecht als een machine een gezicht analyseert.
PictiaX® maakt, berekent en bewaart geen gezichtssjablonen, gezichtsgeometrieën of andere biometrische kenmerken die bedoeld zijn om een persoon eenduidig te identificeren of te authenticeren, in de zin van artikel 4, punt 14, van de Algemene Verordening Gegevensbescherming. Evenmin in de zin van de Amerikaanse regels voor biometrische privacy, in het bijzonder de Biometric Information Privacy Act van Illinois, de CUBI-wet van Texas en de HB 1493 van de staat Washington.
De analyse die het systeem doet, dient alleen om een afbeelding om te zetten in een lijn die getekend kan worden. Het is een eenmalige berekening: ze wordt niet opgeslagen, niet hergebruikt en maakt het niet mogelijk die persoon op een andere foto of op een ander evenement te herkennen.
Als een operator op eigen initiatief tools van derden aansluit die echt gezichtsherkenning doen op het gemaakte materiaal, is hij in alle opzichten de verwerkingsverantwoordelijke voor die verwerking, moet hij zorgen voor de rechtsgronden en de specifieke toestemmingen die de regelgeving eist, en vrijwaart hij ons tegen elke claim die daaruit voortkomt.
7. Kunstmatige intelligentie
Het systeem gebruikt modellen voor kunstmatige intelligentie van OpenAI om een foto om te zetten in een portret dat getekend kan worden. Daarover is het goed om het volgende te weten:
- Het resultaat wordt gemaakt met kunstmatige intelligentie en de persoon wordt daarover geïnformeerd bij de opstelling waar de foto wordt gemaakt, volgens artikel 50 van Verordening (EU) 2024/1689 betreffende kunstmatige intelligentie.
- Het is geen geautomatiseerd besluit met rechtsgevolgen in de zin van artikel 22 van de Algemene Verordening Gegevensbescherming: er wordt een tekening gemaakt, er wordt geen besluit over de persoon genomen.
- Het resultaat is niet uniek. Vergelijkbare generatieve modellen kunnen bij vergelijkbare foto’s vergelijkbare lijnen maken. We garanderen niet dat het resultaat exclusief is.
- De afbeeldingen die we naar OpenAI sturen, worden niet gebruikt om zijn modellen te trainen, volgens de voorwaarden van zijn programmeerinterface voor bedrijven.
8. Minderjarigen
Op een evenement zijn kinderen, en dat los je niet op met een algemene zin.
In Spanje mag iemand volgens artikel 7 van Ley Orgánica 3/2018 (de Spaanse wet op de gegevensbescherming) vanaf 14 jaar zelf toestemming geven voor de verwerking van zijn gegevens. Daaronder is toestemming nodig van wie het ouderlijk gezag of de voogdij heeft. Andere landen hanteren andere leeftijden, en de organisator moet de leeftijd toepassen die geldt waar het evenement plaatsvindt.
We leggen deze verplichting via de overeenkomst bij de organisator van het evenement, en hij verplicht zich om:
- De toestemming van de verantwoordelijke volwassene te vragen als de gefotografeerde persoon jonger is dan 14 jaar.
- Geen e-mailadres te vragen van een minderjarige jonger dan 14 jaar: de digitale kopie gaat naar de volwassene die hem begeleidt.
- Hierover ter plaatse te informeren, tijdens het evenement, en niet alleen op een scherm dat niemand leest.
Onze website en onze winkel zijn niet bedoeld voor minderjarigen en we verzamelen via die weg niet bewust gegevens van minderjarigen.
9. Met wie we gegevens delen en internationale doorgifte
We verkopen geen persoonsgegevens. We delen alleen het hoogstnodige met leveranciers die ons diensten leveren en die onder contract als onze verwerkers optreden:
- Het portret maken: OpenAI. De foto van de gast gaat naar OpenAI, dat er het portret mee maakt.
- Opslag van de karikatuurproef: Google (Google Workspace). De foto en de tekening van de proef op deze website worden 90 dagen bewaard in onze Google Workspace-omgeving, zoals deel 5 uitlegt.
- Betalingen: Stripe, om de betaling te verwerken.
- Infrastructuur en beveiliging: Cloudflare, om de website te leveren en te beschermen.
- Bezoekersmeting: Google (Google Analytics), voor de analyse van de website, alleen als je de cookies voor “Analyse” accepteert.
- Reclame: Google (Google Ads) en Meta Platforms Ireland (Facebook en Instagram), om te meten welke advertenties ons bezoeken en contacten opleveren, alleen als je de cookies voor “Marketing” accepteert. Bij Meta gaat het om de Meta-pixel (dataset van PictiaX®), die de campagnes op Facebook en Instagram meet en het mogelijk maakt je advertenties te tonen. Meta Platforms Ireland Limited (Ierland) kan deze gegevens doorgeven aan Meta Platforms, Inc. (Verenigde Staten) op basis van het EU-US Data Privacy Framework of van modelcontractbepalingen. Naast de pixel gebruiken we de Conversions API van Meta in de vorm die Meta zelf beheert (“Conversions API met Meta”, die we vanuit de dataset activeren): Meta stuurt vanaf zijn server de gebeurtenissen door die de pixel heeft opgevangen. Er wordt niets verstuurd tenzij je de categorie “Marketing” hebt geaccepteerd, want zonder die toestemming laadt de pixel niet. Het gaat om dezelfde gebeurtenissen als die van de pixel (bezoek aan de pagina en direct contact of contact via WhatsApp), met de technische gegevens van je browser (IP-adres, user agent en cookie-ID’s van Meta). De rechtsgrond is je toestemming, en de gezamenlijke verantwoordelijkheid met Meta Platforms Ireland en de doorgifte zijn zoals in dit deel beschreven. Je kunt je toestemming wanneer je wilt intrekken via “Voorkeuren” onderaan de pagina. Met Meta zijn we gezamenlijk verwerkingsverantwoordelijke voor het verzamelen en versturen van deze gegevens vanaf deze website (artikel 26 van de Algemene Verordening Gegevensbescherming). Wat Meta er daarna mee doet, valt onder zijn eigen privacybeleid.
- E-mail: onze leverancier voor het versturen van berichten.
Deze leveranciers zijn gevestigd buiten de Europese Economische Ruimte. In die gevallen berust de doorgifte op een adequaatheidsbesluit van de Europese Commissie, op het EU-US Data Privacy Framework als de leverancier daarbij is aangesloten, of op modelcontractbepalingen die door de Commissie zijn goedgekeurd, met de bijbehorende effectbeoordeling.
Je kunt ons op elk moment vragen om de actuele lijst van leveranciers, met hun functie, hun locatie en het mechanisme waarop de doorgifte berust.
We kunnen ook gegevens aan de autoriteiten verstrekken als een wet ons daartoe verplicht.
10. Je rechten
Je kunt op elk moment de volgende rechten uitoefenen:
- Inzage: weten welke gegevens we over je hebben.
- Rectificatie: onjuiste gegevens laten corrigeren.
- Wissen: ons vragen ze te verwijderen.
- Bezwaar: bezwaar maken tegen een verwerking die op ons gerechtvaardigd belang berust.
- Beperking: vragen dat we ze bewaren zonder ze te gebruiken.
- Overdraagbaarheid: ze ontvangen in een formaat dat je kunt meenemen.
- Je toestemming intrekken wanneer je wilt, zonder dat dit gevolgen heeft voor wat eerder is gedaan.
Schrijf ons op hello@pictiax.com en vermeld welk recht je wilt uitoefenen. We antwoorden binnen een maand. Het uitoefenen van deze rechten kost je niets.
Vind je dat we je verzoek niet goed hebben afgehandeld, dan kun je een klacht indienen bij de Agencia Española de Protección de Datos (de Spaanse toezichthouder), op www.aepd.es, of bij de toezichthoudende autoriteit van het land waar je woont.
11. Als je buiten de Europese Unie woont
We verkopen en leveren onze diensten wereldwijd. Houd naast het voorgaande rekening met het volgende, afhankelijk van waar je bent:
Verenigd Koninkrijk
We passen de UK GDPR en de Data Protection Act 2018 toe op inwoners van het Verenigd Koninkrijk, met dezelfde rechten als in deel 10. De toezichthouder is het Information Commissioner’s Office.
Zwitserland
We passen de Zwitserse federale wet op de gegevensbescherming toe op inwoners van Zwitserland.
Verenigde Staten
Ook al halen we door onze omvang en ons volume vandaag de drempels van de California Consumer Privacy Act niet, we geven inwoners van Californië vrijwillig het recht om te weten welke informatie we verzamelen, om verwijdering te vragen, om die te corrigeren en om niet te worden benadeeld omdat ze die rechten hebben uitgeoefend.
We verkopen geen persoonlijke informatie in de zin van die wet. We delen alleen surfgegevens met Google en Meta om onze advertenties te meten, en alleen als je de cookies voor “Marketing” accepteert, die je kunt weigeren of intrekken wanneer je wilt. We houden rekening met algemene opt-outsignalen van de browser, zoals Global Privacy Control.
Latijns-Amerika en de rest van de wereld
We houden ons naast het voorgaande aan de lokale regelgeving die van toepassing is, en in het bijzonder aan de Braziliaanse algemene wet op de gegevensbescherming (LGPD) voor inwoners van dat land. Je kunt je rechten uitoefenen op hetzelfde contactadres.
12. Beveiliging
We nemen technische en organisatorische maatregelen om de gegevens te beschermen: versleuteling tijdens verzending, toegangsbeheer op basis van profielen, een log van de toegang, back-ups en een geheimhoudingsplicht voor het personeel.
Geen enkel systeem is onfeilbaar. Bij een beveiligingsincident met een risico voor je rechten laten we je dat weten en melden we het bij de toezichthouder binnen de termijn die de wet voorschrijft.
14. Wijzigingen in dit beleid
We kunnen dit beleid bijwerken als de regelgeving of onze manier van werken verandert. De geldende versie is altijd de versie op deze pagina, met de datum en het versienummer bovenaan en onderaan.
Is de wijziging ingrijpend en raakt ze je als klant, dan laten we je dat minstens 30 dagen van tevoren per e-mail weten.
Versie 1.7 van 14 oktober 2026. We bewaren de eerdere versies van dit beleid. Als je die nodig hebt, sturen we je de versie die op een bepaalde datum gold.