Zásady ochrany osobních údajů

Správcem osobních údajů ve smyslu čl. 4 bodu 7 GDPR je Bartosz Różycki, registrovaná živnost (JDG), ul. Bednarska 26 lok. 56, 93-030 Łódź, Polsko, NIP 7292772054, REGON 545403173 (dále jen Správce nebo AlbumQR).

Ve všech záležitostech týkajících se zpracování osobních údajů kontaktujte Správce na adrese team@albumqr.io nebo písemně na výše uvedené adrese.

Správce nemá povinnost jmenovat pověřence pro ochranu osobních údajů podle čl. 37 GDPR a nejmenoval jej. Kontaktním místem pro záležitosti ochrany osobních údajů je Správce sám.

Rozsah zpracovávaných údajů závisí na roli, ve které Službu používáte. Níže uvádíme kategorie údajů pro jednotlivé role.

• Organizátoři — E-mailová adresa a základní údaje profilu Google sdílené při přihlášení (OAuth), název a konfigurace akce, údaje nezbytné k provedení platby (Przelewy24 v Polsku, Stripe mimo Polsko — čísla karet neukládáme) a technické údaje včetně IP adresy a serverových protokolů.
• Hosté — Nahrané fotografie a jejich náhledy (odesílané přímo do Amazon S3 pomocí presigned URL), nepovinně uvedené jméno a zpráva, metadata souborů (datum pořízení, velikost, EXIF) a technické údaje. Označení fotografií jako oblíbených se ukládá výhradně lokálně v prohlížeči Hosta a na naše servery se nedostane.
• Návštěvníci webu — Údaje o návštěvnosti a interakcích shromažďované službami Google Analytics 4 a Microsoft Clarity — výhradně po udělení souhlasu v cookie liště (Google Consent Mode v2). Bez souhlasu se žádný z nástrojů nenačte. Údaje se předávají společnostem Google LLC a Microsoft Corporation se sídlem ve Spojených státech.
• Analýza fotografií (AI) — Každá fotografie nahraná do Alba je automaticky analyzována službou Amazon Rekognition: rozpoznávají se štítky a vlastnosti obrazu, detekují se obličeje včetně atributů jako úsměv, otevřené oči a emoce, a obsah je kontrolován na nepřípustný materiál. Analýza slouží k hodnocení kvality fotografií, automatickému výběru nejlepších záběrů a filtrování podle štítků. Nevytváříme databázi vzorů obličejů ani obličeje neporovnáváme napříč fotografiemi — nezpracováváme tedy biometrické údaje ve smyslu čl. 9 GDPR.

Osobní údaje zpracováváme výhradně pro níže uvedené účely a pouze v rozsahu nezbytném k jejich dosažení.

• Založení účtu a poskytování Služby — Údaje účtu, konfigurace akce, fotografie a metadata (Čl. 6 odst. 1 písm. b GDPR — plnění smlouvy)
• Zpracování plateb a vyúčtování — Údaje o transakcích a vyúčtování (Čl. 6 odst. 1 písm. b a c GDPR — smlouva a právní povinnost)
• Vystavování a uchovávání účetních dokladů — Fakturační údaje (Čl. 6 odst. 1 písm. c GDPR — daňové a účetní předpisy)
• Automatická analýza fotografií a detekce nepřípustného obsahu — Fotografie, štítky a atributy obrazu (Čl. 6 odst. 1 písm. b a f GDPR — smlouva a oprávněný zájem)
• Zajištění bezpečnosti a předcházení zneužití — IP adresa, serverové protokoly, údaje o požadavcích (Čl. 6 odst. 1 písm. f GDPR — oprávněný zájem)
• Analytika návštěvnosti a používání webu — Identifikátory cookies, události, údaje o zařízení (Čl. 6 odst. 1 písm. a GDPR — souhlas)
• Volitelná integrace s Google Drive — Přístupový token k vybrané složce (Čl. 6 odst. 1 písm. a GDPR — souhlas)
• Vyřizování reklamací a uplatňování či obrana nároků — Kontaktní údaje, korespondence, údaje o transakcích (Čl. 6 odst. 1 písm. f GDPR — oprávněný zájem)

Poskytnutí údajů je dobrovolné, údaje nezbytné k uzavření a plnění Smlouvy jsou však podmínkou užívání Služby — bez e-mailové adresy a údajů potřebných k vypořádání platby nelze založit účet ani zpřístupnit Album. Uvedení jména a zprávy Hostem je zcela dobrovolné a není podmínkou nahrání fotografie. Údaje zpracovávané na základě souhlasu se poskytují dobrovolně a jeho neudělení či odvolání nemá žádné nepříznivé důsledky kromě ztráty přístupu k dotčené funkci.

Ve vztahu k fotografiím a údajům Hostů nahraným do Alba je správcem Organizátor, zatímco AlbumQR vystupuje jako zpracovatel na jeho doložený pokyn. Tento vztah upravuje smlouva o zpracování osobních údajů, která je součástí Obchodních podmínek. Ve vztahu k údajům účtu Organizátora a analytickým údajům je správcem AlbumQR.

Údaje svěřujeme výhradně poskytovatelům nezbytným k poskytování Služby, a to na základě smluv splňujících požadavky čl. 28 GDPR.

• Vercel Inc. — Hosting aplikace a webu (USA — standardní smluvní doložky (SCC))
• Amazon Web Services EMEA SARL — Ukládání fotografií (S3), jejich distribuce (CloudFront) a automatická analýza obrazu (Rekognition) (EHP — region eu-central-1 (Frankfurt))
• Neon Inc. — Databáze PostgreSQL (EHP — infrastruktura AWS eu-central-1)
• PayPro S.A. (Przelewy24) — Zpracování tuzemských plateb (Polsko — samostatný správce)
• Stripe Inc. — Zpracování zahraničních plateb (USA — samostatný správce; standardní smluvní doložky (SCC))
• Google LLC — Přihlášení OAuth, Google Analytics 4, volitelně Google Drive (USA — Data Privacy Framework a standardní smluvní doložky (SCC))
• Microsoft Corporation — Microsoft Clarity — analýza chování, pouze se souhlasem (USA — Data Privacy Framework a standardní smluvní doložky (SCC))

K předání údajů do třetí země dochází pouze tehdy, pokud poskytovatel zajišťuje odpovídající úroveň ochrany — na základě rozhodnutí Evropské komise o odpovídající ochraně nebo standardních smluvních doložek podle čl. 46 odst. 2 písm. c GDPR. Kopii použitých záruk získáte na adrese team@albumqr.io.

Uplatňujeme technická a organizační opatření odpovídající riziku podle čl. 32 GDPR. Patří mezi ně zejména:

• šifrování přenosu protokolem HTTPS/TLS u všech spojení;
• odesílání fotografií přímo do Amazon S3 pomocí presigned URL s platností 15 minut;
• šifrování dat v klidu na straně Amazon S3 (SSE-S3);
• přístup do soukromých galerií omezený podepsanými cookies CloudFront s platností 24 hodin;
• omezení četnosti požadavků (rate limiting) na koncových bodech nahrávání souborů;
• zásada minimálního přístupu k produkční infrastruktuře a dohledatelnost administrativních operací.

Údaje uchováváme pouze po dobu nezbytnou k účelům, pro které byly shromážděny, nebo po dobu vyžadovanou právními předpisy.

• Fotografie a metadata Alba — Do smazání Organizátorem nebo do uplynutí doby aktivity Alba stanovené v Obchodních podmínkách
• Údaje účtu Organizátora — Po dobu existence účtu; po jeho zrušení neprodleně odstraněny
• Účetní doklady a fakturační údaje — 5 let od konce daňového roku, v němž vznikla daňová povinnost
• Údaje potřebné k obraně proti nárokům — Do uplynutí promlčecí lhůty podle polského občanského zákoníku
• Technické a bezpečnostní protokoly — Až 90 dnů
• Analytická data (se souhlasem) — Až 14 měsíců v Google Analytics 4; v Clarity podle zásad společnosti Microsoft

V souvislosti se zpracováním údajů máte tato práva:

• právo na přístup k údajům a na získání jejich kopie (čl. 15 GDPR);
• právo na opravu nesprávných nebo neúplných údajů (čl. 16 GDPR);
• právo na výmaz (čl. 17 GDPR);
• právo na omezení zpracování (čl. 18 GDPR);
• právo na přenositelnost údajů zpracovávaných na základě smlouvy nebo souhlasu (čl. 20 GDPR);
• právo vznést námitku proti zpracování založenému na oprávněném zájmu (čl. 21 GDPR);
• právo kdykoli odvolat souhlas, aniž je dotčena zákonnost zpracování provedeného před jeho odvoláním (čl. 7 odst. 3 GDPR).

K uplatnění těchto práv stačí napsat na adresu team@albumqr.io. Odpovídáme bez zbytečného odkladu, nejpozději do jednoho měsíce od doručení žádosti. Organizátoři mohou svůj účet se všemi souvisejícími údaji smazat také sami v sekci /settings.

Pokud se domníváte, že zpracování údajů porušuje GDPR, máte právo podat stížnost u dozorového úřadu — předsedy polského Úřadu pro ochranu osobních údajů, ul. Stawki 2, 00-193 Varšava, uodo.gov.pl.

Osobám s bydlištěm v Kalifornii náleží další práva podle California Consumer Privacy Act ve znění California Privacy Rights Act. Tato práva uplatňujeme nezávisle na právech vyplývajících z GDPR.

Ke správnému fungování Služby používáme nezbytné cookies: relační cookies NextAuth obsluhující přihlášení a podepsané cookies CloudFront zajišťující přístup do soukromé galerie po dobu 24 hodin. Lokální úložiště prohlížeče uchovává oblíbené fotografie a zvolenou jazykovou verzi. Tyto údaje se na servery Správce nepřenášejí.

Po udělení souhlasu v cookie liště nastavujeme cookies Google Analytics 4 (_ga, _ga_*, doba uchovávání až 2 roky) a načítáme skript Microsoft Clarity, který zapisuje vlastní analytické cookies. Bez souhlasu se žádný z těchto nástrojů nespustí. Souhlas lze kdykoli odvolat vymazáním dat webu v nastavení prohlížeče.

Google Consent Mode v2 může uplatňovat modelování chování včetně modelování konverzí, a to i tehdy, když souhlas s analytikou nebyl udělen v plném rozsahu. Google tak odhaduje vzorce návštěvnosti z agregovaných dat zbavených identifikátorů. Podrobnosti najdete zde: Google Consent Mode v2.

Fotografie nahrané do Alba jsou automaticky kontrolovány na nepřípustný obsah. Fotografie označená systémem jako nepřípustná je skryta a označena jako zamítnutá bez předchozího posouzení člověkem. Podle posouzení Správce tento mechanismus nemá vůči subjektům údajů právní účinky ani se jich obdobně významně nedotýká ve smyslu čl. 22 GDPR. Bez ohledu na to zaručujeme právo na lidský zásah, na vyjádření vlastního stanoviska a na napadení takového rozhodnutí — stačí napsat na adresu team@albumqr.io. Kromě popsaného mechanismu neuplatňujeme automatizované rozhodování ani profilování pro marketingové účely.

Služba je určena osobám starším 16 let. Tento požadavek vyplývá z čl. 8 GDPR a — u uživatelů ze Spojených států — ze zákona Children's Online Privacy Protection Act (COPPA).

AlbumQR vědomě neshromažďuje osobní údaje osob mladších 16 let. Pokud zjistíme, že k jejich shromáždění došlo, neprodleně je odstraníme.

Zajištění toho, aby účastníci akce používající Album splňovali požadavek minimálního věku, je povinností Organizátora.

V případě porušení zabezpečení osobních údajů Správce ohlásí tuto skutečnost předsedovi polského Úřadu pro ochranu osobních údajů (ul. Stawki 2, 00-193 Varšava, uodo.gov.pl) bez zbytečného odkladu, nejpozději do 72 hodin od okamžiku, kdy se o něm dozvěděl, v souladu s čl. 33 GDPR.

Pokud je pravděpodobné, že porušení bude mít za následek vysoké riziko pro práva a svobody fyzických osob, Správce tyto osoby informuje přímo a bez zbytečného odkladu v souladu s čl. 34 GDPR.

Podezření na bezpečnostní incident prosím hlaste na adresu team@albumqr.io. Každé hlášení řešíme přednostně.

Aktuální znění těchto zásad je vždy dostupné na adrese albumqr.io/cs/privacy spolu s datem účinnosti a číslem verze. O podstatných změnách informujeme Organizátory s aktivním účtem e-mailem nejméně 14 dnů předem. Změny čistě technické nebo redakční povahy nabývají účinnosti dnem zveřejnění.

Bartosz Różycki, ul. Bednarska 26 lok. 56, 93-030 Łódź, Polsko, NIP 7292772054, REGON 545403173. Korespondence ve věcech ochrany osobních údajů: team@albumqr.io.