Adatkezelési tájékoztató

Az adatvédelmi kérelmekre indokolatlan késedelem nélkül, egy hónapon belül válaszolunk; a GDPR 12. cikk (3) bekezdése szerinti hosszabbításról ezen belül tájékoztatunk.

A GDPR 4. cikk 7. pontja szerinti adatkezelő Bartosz Różycki, bejegyzett egyéni vállalkozó (JDG), ul. Bednarska 26 lok. 56, 93-030 Łódź, Lengyelország, NIP 7292772054, REGON 545403173 (a továbbiakban: Adatkezelő vagy AlbumQR).

A személyes adatok kezelésével kapcsolatos minden ügyben az Adatkezelő a team@albumqr.io címen vagy írásban a fenti címen érhető el.

Az Adatkezelő a GDPR 37. cikke alapján nem köteles adatvédelmi tisztviselőt kijelölni, és nem is jelölt ki. Az adatvédelmi kérdésekben a kapcsolattartó maga az Adatkezelő.

A kezelt adatok köre attól függ, milyen szerepben használod a Szolgáltatást. Az alábbi kategóriák szerepenként érvényesek.

Szervezők — E-mail-cím és a bejelentkezéskor megosztott alapvető Google-profiladatok (OAuth), az esemény neve és beállításai, a fizetés elszámolásához szükséges tranzakciós adatok (a fizetéseket a Stripe bonyolítja — kártyaszámokat nem tárolunk), valamint technikai adatok, köztük az IP-cím és a szervernaplók.

Vendégek — A feltöltött fényképek és bélyegképeik (közvetlenül az Amazon S3-ba küldve presigned URL segítségével), az opcionálisan megadott név és üzenet, a fájlok metaadatai (készítés dátuma, méret, EXIF) és technikai adatok. A kedvelések kizárólag a Vendég böngészőjében, helyben tárolódnak, és nem jutnak el a szervereinkre.

Az oldal látogatói — A Google Analytics 4 és a Microsoft Clarity által gyűjtött forgalmi és interakciós adatok — kizárólag a cookie-sávban adott hozzájárulás után (Google Consent Mode v2). Hozzájárulás nélkül egyik eszköz sem töltődik be. Az adatok a Google LLC, illetve a Microsoft Corporation egyesült államokbeli társasághoz kerülnek.

Fényképelemzés (MI) — Az Albumok egy évre terméken kívül feltöltött minden fényképet automatikusan elemez az Amazon Rekognition: felismeri a címkéket és a képjellemzőket, észleli az arcokat olyan attribútumokkal együtt, mint a mosoly, a nyitott szem és az érzelem, valamint ellenőrzi a tartalmat tiltott anyag szempontjából. Az elemzés a képminőség értékelését, a legjobb felvételek automatikus kiválasztását és a címkék szerinti szűrést szolgálja. Nem hozunk létre arcmintaadatbázist, és nem vetjük össze az arcokat fényképek között — így a GDPR 9. cikke szerinti biometrikus adatot nem kezelünk. Az Albumok egy évre termékben nincs automatikus képelemzés. A fényképeket sem arcfelismeréshez, sem tulajdonságelemzéshez, sem automatikus moderáláshoz nem továbbítjuk szoftvernek. Ezekre az albumokra az 1. melléklet és az Adatkezelési tájékoztató „Albumok egy évre” része irányadó.

A személyes adatokat kizárólag az alábbi célokból és csak az azok eléréséhez szükséges mértékben kezeljük.

Fiók létrehozása és a Szolgáltatás nyújtása — Fiók- és beállítási adatok, a tulajdonos utasítására kezelt képek nélkül (GDPR 6. cikk (1) b) — szerződés teljesítése)

Válaszadás partneri együttműködésre irányuló jelentkezésre — E-mail-cím, az űrlapon megadott tevékenységi kör (GDPR 6. cikk (1) b) — az érintett kérésére a szerződés megkötését megelőzően tett lépések)

Fizetések és elszámolások kezelése — Tranzakciós és számlázási adatok (GDPR 6. cikk (1) b) és c) — szerződés és jogi kötelezettség)

Számviteli bizonylatok kiállítása és megőrzése — Számlázási adatok (GDPR 6. cikk (1) c) — adó- és számviteli jogszabályok)

Automatikus fényképelemzés és tiltott tartalom felismerése (az Albumok egy évre termékre nem vonatkozik) — Fényképek, képcímkék és képattribútumok (GDPR 6. cikk (1) b) és f) — szerződés és jogos érdek)

A biztonság fenntartása és a visszaélések megelőzése — IP-cím, szervernaplók, kérésadatok (GDPR 6. cikk (1) f) — jogos érdek)

Forgalmi és használati analitika — Cookie-azonosítók, események, eszközadatok (GDPR 6. cikk (1) a) — hozzájárulás)

Opcionális Google Drive-integráció — Hozzáférési token a kiválasztott mappához (GDPR 6. cikk (1) a) — hozzájárulás)

Panaszkezelés, igényérvényesítés és igények elhárítása — Kapcsolattartási adatok, levelezés, tranzakciós adatok (GDPR 6. cikk (1) f) — jogos érdek)

Az adatok megadása önkéntes, a Szerződés megkötéséhez és teljesítéséhez szükséges adatok azonban a Szolgáltatás igénybevételének feltételét képezik — e-mail-cím és a fizetés elszámolásához szükséges adatok nélkül nem hozható létre fiók és nem tehető hozzáférhetővé Album. A név és az üzenet Vendég általi megadása teljes mértékben önkéntes, és nem feltétele a fénykép feltöltésének. A hozzájárulás alapján kezelt adatok megadása önkéntes, és annak megtagadása vagy visszavonása a hozzájárulással érintett funkció elérhetetlenségén kívül semmilyen hátránnyal nem jár. A vásárlón kívüli személyek fényképeit az album tulajdonosának utasítására, adatfeldolgozóként kezeljük. A vásárlói szerződésre vonatkozó GDPR 6. cikk (1) bekezdés b) pontja önmagában nem jogalap mások képmásának kezelésére. Az Albumok egy évre terméket az alábbi külön rész ismerteti.

A Szervező felelőssége

Az AlbumQR technikai eszköz, és nem ellenőrzi, hogy a Szervező beszerezte-e a résztvevők képmásának rögzítéséhez és nyilvánosságra hozatalához szükséges hozzájárulásokat. A résztvevők tájékoztatása a fényképek gyűjtéséről és minden jogszabályban előírt hozzájárulás beszerzése kizárólag a Szervező kötelezettsége.

Az Albumba feltöltött fényképek és a Vendégek adatai tekintetében a Szervező az adatkezelő, az AlbumQR pedig adatfeldolgozóként jár el a Szervező dokumentált utasítása alapján. Ezt a viszonyt az Általános Szerződési Feltételek részét képező adatfeldolgozási megállapodás szabályozza. A Szervező fiókadatai és az analitikai adatok tekintetében az AlbumQR az adatkezelő.

Az adatokat kizárólag a Szolgáltatás nyújtásához szükséges szolgáltatóknak adjuk át, a GDPR 28. cikkének követelményeit teljesítő szerződések alapján. A fizetési szolgáltató és a fizetési módok szolgáltatói nem a mi utasításaink szerint járnak el — önálló adatkezelőként, saját adatkezelési tájékoztatójuk szerint kezelik az adatokat.

Vercel Inc. — Az alkalmazás és a weboldal tárhelye (USA — általános adatvédelmi kikötések (SCC))

Amazon Web Services EMEA SARL — Fényképek tárolása (S3), kiszolgálása (CloudFront) és automatikus képelemzés (Rekognition) (az Albumok egy évre termékben nincs Rekognition) (EGT — eu-central-1 régió (Frankfurt))

Neon Inc. — PostgreSQL adatbázis (EGT — AWS eu-central-1 infrastruktúra)

Stripe Payments Europe, Ltd. — Minden fizetés lebonyolítása: bankkártya, BLIK, Przelewy24, Bancontact, EPS, Klarna (EGT (Írország) — önálló adatkezelő. A Stripe az adatokat továbbíthatja az egyesült államokbeli Stripe, Inc. részére a Data Privacy Framework és általános adatvédelmi kikötések (SCC) alapján)

A vásárló által választott fizetési mód szolgáltatója — A fizetés teljesítése a választott módon, pl. PayPro S.A. (Przelewy24), Polski Standard Płatności sp. z o.o. (BLIK), Klarna Bank AB (publ) (Klarna), illetve a fizető bankja vagy kártyakibocsátója (EGT — önálló adatkezelő)

Google LLC — OAuth-bejelentkezés, Google Analytics 4, opcionálisan Google Drive (USA — Data Privacy Framework és általános adatvédelmi kikötések (SCC))

Microsoft Corporation — Microsoft Clarity — viselkedéselemzés, kizárólag hozzájárulással (USA — Data Privacy Framework és általános adatvédelmi kikötések (SCC))

Harmadik országba csak akkor továbbítunk adatot, ha a szolgáltató megfelelő szintű védelmet biztosít — az Európai Bizottság megfelelőségi határozata vagy a GDPR 46. cikk (2) c) pontja szerinti általános adatvédelmi kikötések alapján. Az alkalmazott garanciák másolata a team@albumqr.io címen kérhető.

A kockázattal arányos technikai és szervezési intézkedéseket alkalmazunk a GDPR 32. cikkével összhangban. Ezek különösen:

1. 1.az adatátvitel titkosítása HTTPS/TLS protokollal minden kapcsolat esetén;
2. 2.a fényképek közvetlen feltöltése az Amazon S3-ba 15 percig érvényes presigned URL használatával;
3. 3.a nyugalmi állapotú adatok titkosítása az Amazon S3 oldalán (SSE-S3);
4. 4.a privát galériák elérése kizárólag 24 óráig érvényes, aláírt CloudFront sütikkel;
5. 5.kéréskorlátozás (rate limiting) a fájlfeltöltési végpontokon;
6. 6.a legszűkebb hozzáférés elve az éles infrastruktúrához, valamint az adminisztratív műveletek visszakövethetősége.

Az adatokat nem őrizzük tovább, mint ameddig az a gyűjtésük céljához szükséges, illetve ameddig jogszabály előírja.

Az Album fényképei és metaadatai — A Szervező általi törlésig, illetve az Általános Szerződési Feltételekben meghatározott aktív időszak lejártáig

A Szervező fiókadatai — A fiók fennállásáig; annak törlését követően haladéktalanul eltávolítva

Számviteli bizonylatok és számlázási adatok — 5 év azon adóév végétől, amelyben az adókötelezettség keletkezett

Igények elhárításához szükséges adatok — A lengyel polgári törvénykönyv szerinti elévülési idő lejártáig

Technikai és biztonsági naplók — Legfeljebb 90 nap

Analitikai adatok (hozzájárulással) — Legfeljebb 14 hónap a Google Analytics 4-ben; a Clarityben a Microsoft szabályzata szerint

Az adatkezeléssel összefüggésben az alábbi jogok illetnek meg:

1. 1.hozzáférési jog és jog az adatok másolatának megszerzésére (GDPR 15. cikk);
2. 2.helyesbítéshez való jog pontatlan vagy hiányos adatok esetén (GDPR 16. cikk);
3. 3.törléshez való jog (GDPR 17. cikk);
4. 4.az adatkezelés korlátozásához való jog (GDPR 18. cikk);
5. 5.adathordozhatósághoz való jog a szerződés vagy hozzájárulás alapján kezelt adatok tekintetében (GDPR 20. cikk);
6. 6.tiltakozáshoz való jog a jogos érdeken alapuló adatkezelés ellen (GDPR 21. cikk);
7. 7.a hozzájárulás bármikori visszavonásának joga, amely nem érinti a visszavonás előtti adatkezelés jogszerűségét (GDPR 7. cikk (3)).

E jogok gyakorlásához elegendő egy üzenet a team@albumqr.io címre. Indokolatlan késedelem nélkül, legkésőbb a kérelem beérkezésétől számított egy hónapon belül válaszolunk. A Szervezők a fiókjukat az összes kapcsolódó adattal együtt maguk is törölhetik a Ustawienia / Settings felületen.

Ha úgy ítéled meg, hogy az adatkezelés sérti a GDPR-t, panaszt tehetsz a felügyeleti hatóságnál — a lengyel Személyes Adatok Védelmi Hivatalának elnökénél, ul. Stanisława Moniuszki 1A, 00-014 Varsó, https://uodo.gov.pl.

A Kaliforniában lakóhellyel rendelkező személyeket további jogok illetik meg a California Consumer Privacy Act alapján, a California Privacy Rights Act által módosított szöveg szerint. E jogokat a GDPR-ból eredő jogoktól függetlenül biztosítjuk.

Tájékoztatáshoz való jog — Jogod van megtudni, mely személyesadat-kategóriákat gyűjtjük. Ezek a következők:

1. 1.azonosítók — e-mail-cím és a Google-bejelentkezés során megosztott profiladatok;
2. 2.az esemény beállítási adatai — az Album neve, dátumai és beállításai;
3. 3.a feltöltött fényképek metaadatai — fájlméret, méretek, EXIF-dátum, tájolás;
4. 4.használati adatok — IP-cím, böngésző- és eszközinformációk;
5. 5.tranzakciós adatok — a fizetéseket a Stripe bonyolítja; kártyaszámokat nem tárolunk.

Törléshez való jog — Kérheted személyes adataid törlését. A Szervezők a fiókjukat az összes kapcsolódó adattal együtt maguk is törölhetik a Ustawienia / Settings felületen, vagy fordulhatnak hozzánk a team@albumqr.io címen.

Az eladás vagy megosztás elleni tiltakozás joga — Az AlbumQR nem ad el személyes adatokat, és nem osztja meg azokat pénzbeli vagy egyéb értékes ellenszolgáltatásért. Adatokat kontextusokon átívelő viselkedésalapú reklám céljából sem osztunk meg.

A hátrányos megkülönböztetés tilalma — A CCPA szerinti jogok gyakorlása soha nem jár a szolgáltatás megtagadásával, magasabb árral vagy alacsonyabb színvonalú kiszolgálással.

A kérelem benyújtásának módja — A kérelmeket a team@albumqr.io címre küldd. Az ellenőrizhető fogyasztói kérelem beérkezésétől számított 45 napon belül válaszolunk, további 45 nappal meghosszabbítható határidővel, amiről külön értesítünk.

A Szolgáltatás működéséhez szükséges sütiket használunk: a bejelentkezést kiszolgáló NextAuth munkamenetsütiket és az aláírt CloudFront sütiket, amelyek 24 órán át biztosítják a privát galéria elérését. A böngésző helyi tárolója a kedveléseket és a választott nyelvi verziót őrzi. Ezek az adatok nem kerülnek át az Adatkezelő szervereire.

A cookie-sávban adott hozzájárulás után Google Analytics 4 sütiket állítunk be (_ga, _ga_*, legfeljebb 2 éves tárolási idővel), és betöltjük a Microsoft Clarity szkriptjét, amely saját analitikai sütiket ír. Hozzájárulás nélkül ezek egyike sem fut. A hozzájárulás bármikor visszavonható a webhely adatainak törlésével a böngésző beállításaiban.

A Google Consent Mode v2 viselkedésmodellezést, ezen belül konverziómodellezést alkalmazhat akkor is, ha az analitikára nem adtak teljes körű hozzájárulást. A Google ilyenkor összesített, azonosítóktól megtisztított adatokból becsli a forgalmi mintázatokat. A részletek itt olvashatók: https://support.google.com/analytics/answer/9976101.

Az Albumok egy évre terméken kívül feltöltött fényképeket automatikusan ellenőrizzük tiltott tartalom szempontjából. A rendszer által tiltottként megjelölt fénykép emberi előzetes értékelés nélkül rejtetté válik, és elutasítottként kerül megjelölésre. Az Adatkezelő megítélése szerint ez a mechanizmus az érintettekre nézve nem jár joghatással, és nem érinti őket hasonlóan jelentős mértékben a GDPR 22. cikke értelmében. Ettől függetlenül biztosítjuk az emberi beavatkozáshoz, a saját álláspont kifejtéséhez és a döntés megtámadásához való jogot — elegendő írni a team@albumqr.io címre. A leírt mechanizmuson túl nem alkalmazunk automatizált döntéshozatalt és marketingcélú profilalkotást. Az Albumok egy évre termékben nincs automatikus képelemzés. A fényképeket sem arcfelismeréshez, sem tulajdonságelemzéshez, sem automatikus moderáláshoz nem továbbítjuk szoftvernek. Ezekre az albumokra az 1. melléklet és az Adatkezelési tájékoztató „Albumok egy évre” része irányadó.

A vásárlóknak nagykorúnak kell lenniük. Az Albumok egy évre termékben csak felnőttek töltenek fel fényképeket; gyermekek nem használják a szolgáltatást, és nem kapnak linket vagy QR-kódot.

Felnőttek az „Albumok egy évre” rész szabályai szerint tölthetnek fel gyermekeket ábrázoló képeket. A képen látható személy életkora nem a felhasználó életkora. A GDPR 8. cikke egyes, közvetlenül gyermekeknek, hozzájárulás alapján kínált szolgáltatásokra vonatkozik, nem minden gyermekfotóra.

A tulajdonos felel azért, hogy a linket felnőttek kapják meg, és a feltöltés jogszerű legyen. Más albumok vendégfunkciói 16 éven felülieknek szólnak.

Adatvédelmi incidens esetén az Adatkezelő indokolatlan késedelem nélkül, legkésőbb az incidensről való tudomásszerzéstől számított 72 órán belül bejelenti azt a lengyel Személyes Adatok Védelmi Hivatalának elnökéhez (ul. Stanisława Moniuszki 1A, 00-014 Varsó, https://uodo.gov.pl) a GDPR 33. cikkével összhangban.

Ha az incidens valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve, az Adatkezelő az érintetteket közvetlenül és indokolatlan késedelem nélkül tájékoztatja a GDPR 34. cikke szerint.

Biztonsági incidens gyanúját a team@albumqr.io címen jelezd. Minden bejelentést kiemelten kezelünk.

A tájékoztató hatályos változata mindig elérhető az albumqr.io/hu/privacy címen, a hatálybalépés dátumával és a verziószámmal együtt. A lényeges módosításokról az aktív fiókkal rendelkező Szervezőket legalább 14 nappal korábban e-mailben értesítjük. A kizárólag technikai vagy szerkesztési jellegű módosítások a közzététel napján lépnek hatályba.

Az egy évre szóló album magáncélú online fényképalbum egymást ismerő emberek egy zárt csoportjának, például osztálynak, óvodai csoportnak, csapatnak, tábori csoportnak vagy családnak. Felnőttek linken vagy QR-kódon keresztül, fiók nélkül töltenek fel képeket. A tulajdonos megtekinti és letölti őket. E változat hatálybalépése előtt a termék neve „Osztályalbumok” volt. A korábbi vásárlásokra a vásárláskor elfogadott melléklet vonatkozik.

Felelősség.

A képek és a rajtuk szereplő személyek adatainak adatkezelője a tulajdonos. A Szolgáltató az ő nevében, adatfeldolgozóként tárolja és teszi elérhetővé őket a Feltételek adatfeldolgozási része és § A9 szerint. A tulajdonos az, akitől a linket kapta. Ha nem ismeri, írjon a team@albumqr.io címre; továbbítjuk az üzenetet. A tulajdonos adja meg a GDPR 13. vagy 14. cikke szerinti tájékoztatást.

Jogalap és képmás.

Jogalap a tulajdonos, a csoporttagok és családjuk közös emlék megőrzéséhez fűződő jogos érdeke (GDPR 6. cikk (1) bekezdés f) pont). Bárki tiltakozhat saját képe ellen, gyermek esetében szülő vagy törvényes képviselő; ekkor a képet törlik (§ A8). A tulajdonos előre mérlegeli, hogy az érdek elsőbbséget élvez-e az érintettek jogaival szemben, különös tekintettel a gyermekekre. Ha nem, ezen az alapon nem helyezheti el a képet. Ez a jogalap nem helyettesíti a képmás terjesztéséhez a lengyel szerzői jogi törvény 81. cikke szerint szükséges engedélyt. Címzettek a tulajdonos, szerkesztők és linkkel rendelkező felnőtt csoporttagok. A feltöltő csak saját képmásáról és az általa képviselhető gyermekéről nyilatkozik; más engedélyét ez nem pótolja. Internetes közzététel tilos.

A saját adatkezelésünk.

A Szolgáltató a vásárlás, fizetés, kapcsolattartás, tulajdonosi és szerkesztői fiókok, biztonsági naplók és jogellenes tartalom bejelentéseinek adatkezelője. Részletek az Adatkezelési tájékoztatóban. A vásárlói és fiókadatokat szerződéshez a GDPR 6. cikk (1) b), kötelező nyilvántartásokat c), biztonsági és igényérvényesítési adatokat f) pontja alapján kezeljük.

A képek feldolgozása.

A tárolás az AWS frankfurti régiójában történik. A CloudFront ideiglenes másolatot tarthat a néző közelében, EGT-n kívül is; garanciák a címzettekről szóló részben. A link birtokosai látják a galériát; a tulajdonos elrejthet és törölhet. Ezekben az albumokban semmilyen program nem ellenőrzi automatikusan a képeket. Nincs arcészlelés vagy arcfelismerés, életkor-, nem- vagy érzelemelemzés, címkézés vagy tiltott tartalom automatikus felismerése. A tulajdonos elrejthet és törölhet (§ A4 (2)); bárki bejelenthet jogellenes tartalmat (§ A8 (4)). Nem használjuk a képeket marketinghez vagy mesterséges intelligencia tanításához, és szolgáltatóinknak sem engedjük ezt. Az albumok nem nyilvánosak, keresőkben nem jelennek meg.

Megőrzés.

Az album a készlet kifizetésétől számított 365 napig fogad képeket. További 30 napig nem fogad új képeket, a tulajdonos letöltheti őket. Ezután töröljük a képeket és az albumadatokat, a biztonsági másolatokat legkésőbb további 30 napon belül. A törlés végleges. A tulajdonos vagy szerkesztők által korábban letöltött másolatokat nem töröljük. A külön fizetett hosszabbítás a választott album határidőit 365 nappal tolja ki. A korábban törölt képek 30 napon belül eltűnnek a mentésekből. Elállás után § A12 szerint 14 nap a letöltés.

Jogok.

Bármely képen szereplő személy, gyermek esetében szülő vagy törvényes képviselő indok nélkül kérheti a törlést. A team@albumqr.io címre vagy a tulajdonosnak küldött kérésben az album nevét vagy linkjét és a képet, például dátumát, eseményét kell megjelölni. A megjelölt képet 3 munkanapon belül töröljük és értesítjük a tulajdonost. A melléklet elfogadásával erre utasít minket. A feltöltő is kérhet törlést. Saját vagy gyermeke képeihez hozzáférést a tulajdonostól kérjen. Panasszal a lengyel adatvédelmi hatóság, UODO elnökéhez fordulhat.

Gyermekek.

Csak a tulajdonostól linket kapó felnőttek tölthetnek fel: csoporttagok, gyermekek szülei és törvényes képviselői, csoportvezetők. A 18 év alatti gyermekek nem használják a szolgáltatást és nem kapnak linket vagy QR-kódot. A gyermekek jogait szülők és törvényes képviselők gyakorolják.

Bartosz Różycki, ul. Bednarska 26 lok. 56, 93-030 Łódź, Lengyelország, NIP 7292772054, REGON 545403173. Adatvédelmi ügyekben a levelezési cím: team@albumqr.io.