Zásady ochrany osobních údajů

Na žádosti týkající se údajů odpovídáme bez zbytečného odkladu, nejpozději do jednoho měsíce; o povoleném prodloužení podle čl. 12 odst. 3 GDPR informujeme v této lhůtě.

Správcem osobních údajů ve smyslu čl. 4 bodu 7 GDPR je Bartosz Różycki, registrovaná živnost (JDG), ul. Bednarska 26 lok. 56, 93-030 Łódź, Polsko, NIP 7292772054, REGON 545403173 (dále jen Správce nebo AlbumQR).

Ve všech záležitostech týkajících se zpracování osobních údajů kontaktujte Správce na adrese team@albumqr.io nebo písemně na výše uvedené adrese.

Správce nemá povinnost jmenovat pověřence pro ochranu osobních údajů podle čl. 37 GDPR a nejmenoval jej. Kontaktním místem pro záležitosti ochrany osobních údajů je Správce sám.

Rozsah zpracovávaných údajů závisí na roli, ve které Službu používáte. Níže uvádíme kategorie údajů pro jednotlivé role.

Organizátoři — E-mailová adresa a základní údaje profilu Google sdílené při přihlášení (OAuth), název a konfigurace akce, údaje o transakci potřebné k vypořádání platby (platby zajišťuje Stripe — čísla karet neukládáme) a technické údaje včetně IP adresy a serverových protokolů.

Hosté — Nahrané fotografie a jejich náhledy (odesílané přímo do Amazon S3 pomocí presigned URL), nepovinně uvedené jméno a zpráva, metadata souborů (datum pořízení, velikost, EXIF) a technické údaje. Označení fotografií jako oblíbených se ukládá výhradně lokálně v prohlížeči Hosta a na naše servery se nedostane.

Návštěvníci webu — Údaje o návštěvnosti a interakcích shromažďované službami Google Analytics 4 a Microsoft Clarity — výhradně po udělení souhlasu v cookie liště (Google Consent Mode v2). Bez souhlasu se žádný z nástrojů nenačte. Údaje se předávají společnostem Google LLC a Microsoft Corporation se sídlem ve Spojených státech.

Analýza fotografií (AI) — Každá fotografie nahraná mimo Alba na rok je automaticky analyzována službou Amazon Rekognition: rozpoznávají se štítky a vlastnosti obrazu, detekují se obličeje včetně atributů jako úsměv, otevřené oči a emoce, a obsah je kontrolován na nepřípustný materiál. Analýza slouží k hodnocení kvality fotografií, automatickému výběru nejlepších záběrů a filtrování podle štítků. Nevytváříme databázi vzorů obličejů ani obličeje neporovnáváme napříč fotografiemi — nezpracováváme tedy biometrické údaje ve smyslu čl. 9 GDPR. V Albech na rok se neprovádí automatická analýza snímků. Fotografie se nepředávají softwaru pro rozpoznávání obličejů, analýzu vlastností ani automatickou moderaci. Pro tato alba mají přednost Příloha č. 1 a část „Alba na rok“ v Zásadách ochrany osobních údajů.

Osobní údaje zpracováváme výhradně pro níže uvedené účely a pouze v rozsahu nezbytném k jejich dosažení.

Založení účtu a poskytování Služby — Údaje účtu a nastavení, bez fotografií zpracovávaných na pokyn vlastníka (Čl. 6 odst. 1 písm. b GDPR — plnění smlouvy)

Odpověď na přihlášku k partnerské spolupráci — E-mailová adresa, druh činnosti uvedený ve formuláři (Čl. 6 odst. 1 písm. b GDPR — opatření přijatá před uzavřením smlouvy na žádost subjektu údajů)

Zpracování plateb a vyúčtování — Údaje o transakcích a vyúčtování (Čl. 6 odst. 1 písm. b a c GDPR — smlouva a právní povinnost)

Vystavování a uchovávání účetních dokladů — Fakturační údaje (Čl. 6 odst. 1 písm. c GDPR — daňové a účetní předpisy)

Automatická analýza fotografií a detekce nepřípustného obsahu (neplatí pro Alba na rok) — Fotografie, štítky a atributy obrazu (Čl. 6 odst. 1 písm. b a f GDPR — smlouva a oprávněný zájem)

Zajištění bezpečnosti a předcházení zneužití — IP adresa, serverové protokoly, údaje o požadavcích (Čl. 6 odst. 1 písm. f GDPR — oprávněný zájem)

Analytika návštěvnosti a používání webu — Identifikátory cookies, události, údaje o zařízení (Čl. 6 odst. 1 písm. a GDPR — souhlas)

Volitelná integrace s Google Drive — Přístupový token k vybrané složce (Čl. 6 odst. 1 písm. a GDPR — souhlas)

Vyřizování reklamací a uplatňování či obrana nároků — Kontaktní údaje, korespondence, údaje o transakcích (Čl. 6 odst. 1 písm. f GDPR — oprávněný zájem)

Poskytnutí údajů je dobrovolné, údaje nezbytné k uzavření a plnění Smlouvy jsou však podmínkou užívání Služby — bez e-mailové adresy a údajů potřebných k vypořádání platby nelze založit účet ani zpřístupnit Album. Uvedení jména a zprávy Hostem je zcela dobrovolné a není podmínkou nahrání fotografie. Údaje zpracovávané na základě souhlasu se poskytují dobrovolně a jeho neudělení či odvolání nemá žádné nepříznivé důsledky kromě ztráty přístupu k dotčené funkci. Fotografie jiných osob než kupujícího zpracováváme jako zpracovatel na pokyn vlastníka alba. Čl. 6 odst. 1 písm. b GDPR pro smlouvu s kupujícím není sám o sobě právním základem pro zpracování podoby jiných osob. Alba na rok upravuje samostatná část níže.

Odpovědnost Organizátora

AlbumQR je technický nástroj a neověřuje, zda Organizátor získal souhlasy se zachycením a šířením podobizny účastníků akce. Povinnost informovat účastníky o sbírání fotografií a získat všechny zákonem vyžadované souhlasy nese výhradně Organizátor.

Ve vztahu k fotografiím a údajům Hostů nahraným do Alba je správcem Organizátor, zatímco AlbumQR vystupuje jako zpracovatel na jeho doložený pokyn. Tento vztah upravuje smlouva o zpracování osobních údajů, která je součástí Obchodních podmínek. Ve vztahu k údajům účtu Organizátora a analytickým údajům je správcem AlbumQR.

Údaje svěřujeme výhradně poskytovatelům nezbytným k poskytování Služby, a to na základě smluv splňujících požadavky čl. 28 GDPR. Provozovatel plateb a poskytovatelé platebních metod nejednají podle našich pokynů — zpracovávají údaje jako samostatní správci podle svých vlastních zásad ochrany osobních údajů.

Vercel Inc. — Hosting aplikace a webu (USA — standardní smluvní doložky (SCC))

Amazon Web Services EMEA SARL — Ukládání fotografií (S3), jejich distribuce (CloudFront) a automatická analýza obrazu (Rekognition) (Rekognition se u Alb na rok nepoužívá) (EHP — region eu-central-1 (Frankfurt))

Neon Inc. — Databáze PostgreSQL (EHP — infrastruktura AWS eu-central-1)

Stripe Payments Europe, Ltd. — Zpracování všech plateb: platební karta, BLIK, Przelewy24, Bancontact, EPS, Klarna (EHP (Irsko) — samostatný správce. Stripe může předávat údaje společnosti Stripe, Inc. v USA na základě Data Privacy Framework a standardních smluvních doložek (SCC))

Poskytovatel platební metody zvolené kupujícím — Provedení platby zvolenou metodou, např. PayPro S.A. (Przelewy24), Polski Standard Płatności sp. z o.o. (BLIK), Klarna Bank AB (publ) (Klarna) nebo banka či vydavatel karty plátce (EHP — samostatný správce)

Google LLC — Přihlášení OAuth, Google Analytics 4, volitelně Google Drive (USA — Data Privacy Framework a standardní smluvní doložky (SCC))

Microsoft Corporation — Microsoft Clarity — analýza chování, pouze se souhlasem (USA — Data Privacy Framework a standardní smluvní doložky (SCC))

K předání údajů do třetí země dochází pouze tehdy, pokud poskytovatel zajišťuje odpovídající úroveň ochrany — na základě rozhodnutí Evropské komise o odpovídající ochraně nebo standardních smluvních doložek podle čl. 46 odst. 2 písm. c GDPR. Kopii použitých záruk získáte na adrese team@albumqr.io.

Uplatňujeme technická a organizační opatření odpovídající riziku podle čl. 32 GDPR. Patří mezi ně zejména:

1. 1.šifrování přenosu protokolem HTTPS/TLS u všech spojení;
2. 2.odesílání fotografií přímo do Amazon S3 pomocí presigned URL s platností 15 minut;
3. 3.šifrování dat v klidu na straně Amazon S3 (SSE-S3);
4. 4.přístup do soukromých galerií omezený podepsanými cookies CloudFront s platností 24 hodin;
5. 5.omezení četnosti požadavků (rate limiting) na koncových bodech nahrávání souborů;
6. 6.zásada minimálního přístupu k produkční infrastruktuře a dohledatelnost administrativních operací.

Údaje uchováváme pouze po dobu nezbytnou k účelům, pro které byly shromážděny, nebo po dobu vyžadovanou právními předpisy.

Fotografie a metadata Alba — Do smazání Organizátorem nebo do uplynutí doby aktivity Alba stanovené v Obchodních podmínkách

Údaje účtu Organizátora — Po dobu existence účtu; po jeho zrušení neprodleně odstraněny

Účetní doklady a fakturační údaje — 5 let od konce daňového roku, v němž vznikla daňová povinnost

Údaje potřebné k obraně proti nárokům — Do uplynutí promlčecí lhůty podle polského občanského zákoníku

Technické a bezpečnostní protokoly — Až 90 dnů

Analytická data (se souhlasem) — Až 14 měsíců v Google Analytics 4; v Clarity podle zásad společnosti Microsoft

V souvislosti se zpracováním údajů máte tato práva:

1. 1.právo na přístup k údajům a na získání jejich kopie (čl. 15 GDPR);
2. 2.právo na opravu nesprávných nebo neúplných údajů (čl. 16 GDPR);
3. 3.právo na výmaz (čl. 17 GDPR);
4. 4.právo na omezení zpracování (čl. 18 GDPR);
5. 5.právo na přenositelnost údajů zpracovávaných na základě smlouvy nebo souhlasu (čl. 20 GDPR);
6. 6.právo vznést námitku proti zpracování založenému na oprávněném zájmu (čl. 21 GDPR);
7. 7.právo kdykoli odvolat souhlas, aniž je dotčena zákonnost zpracování provedeného před jeho odvoláním (čl. 7 odst. 3 GDPR).

K uplatnění těchto práv stačí napsat na adresu team@albumqr.io. Odpovídáme bez zbytečného odkladu, nejpozději do jednoho měsíce od doručení žádosti. Organizátoři mohou svůj účet se všemi souvisejícími údaji smazat také sami v sekci Ustawienia / Settings.

Pokud se domníváte, že zpracování údajů porušuje GDPR, máte právo podat stížnost u dozorového úřadu — předsedy polského Úřadu pro ochranu osobních údajů, ul. Stanisława Moniuszki 1A, 00-014 Varšava, https://uodo.gov.pl.

Osobám s bydlištěm v Kalifornii náleží další práva podle California Consumer Privacy Act ve znění California Privacy Rights Act. Tato práva uplatňujeme nezávisle na právech vyplývajících z GDPR.

Právo na informace — Máte právo vědět, jaké kategorie osobních údajů shromažďujeme. Jsou to:

1. 1.identifikátory — e-mailová adresa a údaje profilu sdílené při přihlášení přes Google;
2. 2.konfigurační údaje akce — název, data a nastavení Alba;
3. 3.metadata nahraných fotografií — velikost souboru, rozměry, datum EXIF, orientace;
4. 4.údaje o používání — IP adresa, informace o prohlížeči a zařízení;
5. 5.údaje o transakcích — platby zajišťuje Stripe; čísla karet neukládáme.

Právo na výmaz — Můžete požádat o výmaz svých osobních údajů. Organizátoři mohou svůj účet se všemi souvisejícími údaji smazat sami v sekci Ustawienia / Settings nebo nás kontaktovat na adrese team@albumqr.io.

Právo odmítnout prodej nebo sdílení údajů — AlbumQR neprodává osobní údaje ani je nesdílí za peněžní či jinou hodnotnou protihodnotu. Údaje rovněž nesdílíme pro účely behaviorální reklamy napříč kontexty.

Právo na nediskriminaci — Uplatnění práv podle CCPA nikdy nevede k odepření služby, vyšší ceně ani nižší úrovni obsluhy.

Jak podat žádost — Žádosti zasílejte na adresu team@albumqr.io. Odpovídáme do 45 dnů od doručení ověřitelné spotřebitelské žádosti, s možností prodloužení o dalších 45 dnů, o čemž vás samostatně informujeme.

Ke správnému fungování Služby používáme nezbytné cookies: relační cookies NextAuth obsluhující přihlášení a podepsané cookies CloudFront zajišťující přístup do soukromé galerie po dobu 24 hodin. Lokální úložiště prohlížeče uchovává oblíbené fotografie a zvolenou jazykovou verzi. Tyto údaje se na servery Správce nepřenášejí.

Po udělení souhlasu v cookie liště nastavujeme cookies Google Analytics 4 (_ga, _ga_*, doba uchovávání až 2 roky) a načítáme skript Microsoft Clarity, který zapisuje vlastní analytické cookies. Bez souhlasu se žádný z těchto nástrojů nespustí. Souhlas lze kdykoli odvolat vymazáním dat webu v nastavení prohlížeče.

Google Consent Mode v2 může uplatňovat modelování chování včetně modelování konverzí, a to i tehdy, když souhlas s analytikou nebyl udělen v plném rozsahu. Google tak odhaduje vzorce návštěvnosti z agregovaných dat zbavených identifikátorů. Podrobnosti najdete zde: https://support.google.com/analytics/answer/9976101.

Fotografie nahrané mimo Alba na rok jsou automaticky kontrolovány na nepřípustný obsah. Fotografie označená systémem jako nepřípustná je skryta a označena jako zamítnutá bez předchozího posouzení člověkem. Podle posouzení Správce tento mechanismus nemá vůči subjektům údajů právní účinky ani se jich obdobně významně nedotýká ve smyslu čl. 22 GDPR. Bez ohledu na to zaručujeme právo na lidský zásah, na vyjádření vlastního stanoviska a na napadení takového rozhodnutí — stačí napsat na adresu team@albumqr.io. Kromě popsaného mechanismu neuplatňujeme automatizované rozhodování ani profilování pro marketingové účely. V Albech na rok se neprovádí automatická analýza snímků. Fotografie se nepředávají softwaru pro rozpoznávání obličejů, analýzu vlastností ani automatickou moderaci. Pro tato alba mají přednost Příloha č. 1 a část „Alba na rok“ v Zásadách ochrany osobních údajů.

Kupující musí být plnoletí. V Albech na rok nahrávají fotografie pouze dospělí; děti službu nepoužívají a nedostávají odkaz ani QR kód.

Dospělí mohou nahrávat fotografie dětí podle části „Alba na rok“. Věk osoby na fotografii není věkem uživatele služby. Čl. 8 GDPR se týká určitých služeb nabízených přímo dítěti na základě souhlasu, nikoli každé fotografie dítěte.

Vlastník odpovídá za sdílení odkazu s dospělými a za zákonné nahrávání fotografií. U ostatních alb jsou funkce hosta určeny osobám od 16 let.

V případě porušení zabezpečení osobních údajů Správce ohlásí tuto skutečnost předsedovi polského Úřadu pro ochranu osobních údajů (ul. Stanisława Moniuszki 1A, 00-014 Varšava, https://uodo.gov.pl) bez zbytečného odkladu, nejpozději do 72 hodin od okamžiku, kdy se o něm dozvěděl, v souladu s čl. 33 GDPR.

Pokud je pravděpodobné, že porušení bude mít za následek vysoké riziko pro práva a svobody fyzických osob, Správce tyto osoby informuje přímo a bez zbytečného odkladu v souladu s čl. 34 GDPR.

Podezření na bezpečnostní incident prosím hlaste na adresu team@albumqr.io. Každé hlášení řešíme přednostně.

Aktuální znění těchto zásad je vždy dostupné na adrese albumqr.io/cs/privacy spolu s datem účinnosti a číslem verze. O podstatných změnách informujeme Organizátory s aktivním účtem e-mailem nejméně 14 dnů předem. Změny čistě technické nebo redakční povahy nabývají účinnosti dnem zveřejnění.

Album na rok je soukromé online fotoalbum pro jednu uzavřenou skupinu lidí, kteří se znají, například třídu, předškolní skupinu, tým, táborovou skupinu nebo rodinu. Dospělí nahrávají fotografie přes odkaz nebo QR kód bez účtu. Vlastník alba je prohlíží a stahuje. Před účinností této verze se tato alba nazývala „Třídní alba“. Pro dřívější nákupy platí verze přílohy přijatá při nákupu.

Odpovědnost.

Vlastník je správcem fotografií a údajů zobrazených osob. Poskytovatel je ukládá a zpřístupňuje jeho jménem jako zpracovatel podle části Podmínek o zpracování údajů a § A9. Vlastník je osoba, která vám dala odkaz. Nevíte-li kdo, napište na team@albumqr.io; zprávu předáme. Vlastník poskytuje informace podle čl. 13 nebo 14 GDPR.

Právní základ a právo na podobu.

Právním základem je oprávněný zájem vlastníka, členů skupiny a jejich rodin zachovat společnou vzpomínku (čl. 6 odst. 1 písm. f GDPR). Každá zobrazená osoba může vznést námitku, za dítě rodič či zákonný zástupce; fotografie se pak smaže (§ A8). Vlastník předem posoudí, zda zájem převažuje nad právy zobrazených osob, zejména dětí. Pokud ne, fotografii na tomto základě nezařadí. Tento základ nenahrazuje svolení k šíření podoby vyžadované čl. 81 polského autorského zákona. Příjemci jsou vlastník, editoři a dospělí členové skupiny s odkazem. Nahrávající povoluje jen svou podobu a podobu dítěte, které smí zastupovat; nenahrazuje svolení jiných osob. Zveřejnění na internetu je zakázáno.

Údaje v naší odpovědnosti.

Poskytovatel je správcem údajů kupujícího o nákupu, platbě a kontaktu, účtů vlastníka a editorů, bezpečnostních logů a hlášení nezákonného obsahu. Podrobnosti uvádějí Zásady ochrany osobních údajů. Údaje kupujícího a účtu zpracováváme pro smlouvu podle čl. 6 odst. 1 písm. b GDPR, zákonné záznamy podle písm. c a bezpečnost a nároky podle písm. f.

Zpracování fotografií.

Ukládání probíhá u AWS ve Frankfurtu. CloudFront může mít dočasné kopie blízko příjemce, i mimo EHP; záruky uvádí část o příjemcích. Držitelé odkazu vidí galerii; vlastník může fotografie skrýt nebo smazat. V Albech na rok fotografie automaticky nekontroluje žádný program. Nezjišťujeme ani nerozpoznáváme obličeje, neanalyzujeme věk, pohlaví či emoce, nepřiřazujeme štítky a automaticky nevyhledáváme zakázaný obsah. Vlastník může fotografie skrýt nebo smazat (§ A4 odst. 2); kdokoli může hlásit nezákonný obsah (§ A8 odst. 4). Fotografie nepoužíváme k marketingu ani trénování umělé inteligence a nedovolujeme to dodavatelům. Alba nejsou veřejná a neobjevují se ve vyhledávačích.

Doba uchování.

Album přijímá fotografie 365 dní od platby za sadu. Dalších 30 dní nepřijímá nové fotografie a vlastník je může stahovat. Potom smažeme fotografie a údaje alba; zálohy nejpozději za dalších 30 dní. Smazání je nevratné. Kopie již stažené vlastníkem nebo editory nemažeme. Samostatně zaplacené prodloužení posouvá lhůty vybraného alba o 365 dní. Dříve smazané fotografie zmizí ze záloh do 30 dní. Po odstoupení platí 14 dní na stažení podle § A12.

Vaše práva.

Každá zobrazená osoba, za dítě rodič či zákonný zástupce, může bez důvodu požádat o smazání. Žádost na team@albumqr.io nebo vlastníkovi označí album názvem či odkazem a fotografii například datem a událostí. Fotografii smažeme do 3 pracovních dnů a informujeme vlastníka. Přijetím přílohy nám vlastník dává tento pokyn. O smazání může požádat i nahrávající. Přístup ke snímkům sebe či svého dítěte žádejte u vlastníka. Můžete podat stížnost předsedovi polského dozorového úřadu UODO.

Děti.

Nahrávají pouze dospělí, kterým vlastník dal odkaz: členové skupiny, rodiče a zákonní zástupci dětí a vedoucí skupiny. Děti do 18 let službu nepoužívají a nedostávají odkaz ani QR kód. Práva dětí vykonávají rodiče a zákonní zástupci.

Bartosz Różycki, ul. Bednarska 26 lok. 56, 93-030 Łódź, Polsko, NIP 7292772054, REGON 545403173. Korespondence ve věcech ochrany osobních údajů: team@albumqr.io.