Zásady ochrany osobních údajů

1. Správce osobních údajů

Cloud Ninja Consulting ApS
Apeldoorn Allé 20, 2791 Dragør, Denmark
DIČ: DK46044118
Eventphoto.io je správcem při zpracování osobních údajů shromažďovaných prostřednictvím služby.
Kontakt: support@eventphoto.io

Tyto zásady se vztahují na weby Eventcam.dk, Eventphoto.io, Eventcam.se, Eventkamera.de, Eventphoto.fr, Eventcamera.es a Eventfoto.it, které představují jednu a tutéž službu jednoho provozovatele.

2. Jaké údaje shromažďujeme?

• Údaje o pořadateli a akci: e-mailová adresa pořadatele, název akce, ID akce, soukromý token pořadatele, zvolený jazyk, čas otevření, verze služby, datum vypršení a případný volitelný PIN pro hosty.
• Údaje o účtu pořadatele a organizaci (uživatelé přehledu, tj. dashboardu): přihlašovací e-mail, jazyk účtu a u organizací název organizace, volitelný název značky, logo a barva, zůstatek kreditů na akce a historie nákupů.
• Firemní registrace bez kódu: dokud e-mail nepotvrdíte, je zadaná adresa uložena u vašeho přihlašovacího záznamu (do potvrzení nebo do smazání nepotvrzené registrace). Nezaplacená registrace, která se nikdy nepotvrdí, se smaže přibližně 60 dní po registraci; zaplacená registrace, i ta označená volbou „Nebyl(a) jsem to já“, se uchovává spolu se záznamem o platbě. Abychom omezili uvítací e-maily a respektovali volbu „Nebyl(a) jsem to já“, uchováváme po 30 dní jednosměrný otisk (HMAC) adresy, nikdy adresu samotnou. U placené registrace se do platby ve Stripe ukládá i otisk kontrolní hodnoty prohlížeče. Právní základ: plnění smlouvy a náš oprávněný zájem na prevenci zneužití.
• Nahraný obsah: fotografie, videa, volitelný výběr úvodní fotky a metadata, jako je typ souboru, velikost, čas nahrání a volitelné jméno hosta.
• Vzkazy v knize hostů: text vzkazu, volitelné jméno hosta a čas jeho napsání, pokud pořadatel knihu hostů zapnul.
• Identifikátory relace hosta: anonymní identifikátor relace, který slouží k tomu, aby nahrané soubory a vzkazy v knize hostů zůstaly přiřazeny ke stejnému zařízení hosta, a k uplatňování limitů verze služby.
• Protokol aktivit akce: záznam úkonů týkajících se akce (například nahrání, smazání, stažení, zahájení přechodu na placenou verzi) s časem a informací, zda je provedl pořadatel, nebo host, aby pořadatelé viděli, co se s jejich akcí dělo, a abychom mohli prošetřovat případy řešené podporou. Pokud je analytika zapnutá (oddíl 8), zaznamenáváme u akce, kterou vytvoříte, a u každého nákupu také zdroj vaší návštěvy: doménu webu, který vás k nám odkázal (nebo informaci o příchodu z některé z našich vlastních stránek či o návratu z platební stránky), parametry kampaně v odkazu, typ kliknutí na reklamu (nikoli jeho ID) a první otevřenou stránku.
• Platební a fakturační reference u placené verze: reference Stripe na relaci, zákazníka, platební záměr (payment intent) a fakturu, potřebné k aktivaci a doložení nákupu. Údaje o kartě a fakturační adresu uchovává Stripe; úplná čísla karet nikdy nevidíme.
• Údaje o přístupu a přihlášení: relace ověření pro přehled a administraci, cookies pro odemčení akcí chráněných PINem a cookies pro ověření pořadatele při stahování a administrátorských úkonech.
• Údaje o požadavcích: vaše IP adresa a identifikace prohlížeče se používají v operační paměti k omezování četnosti zneužívajících požadavků a objevují se v krátkodobých protokolech požadavků našeho poskytovatele hostingu. Nevytváříme z nich profily.
• Výstup AI štítkování u placené verze: pokud placená akce využívá AI štítky, štítky odvozené z obrázků se ukládají k záznamům nahraných souborů.
• Zpětná vazba: pokud odpovíte na otázky ke zpětné vazbě, na které odkazoval dřívější e-mail zaslaný po akci, vaše odpověď a případný komentář se uloží k akci.
• Reference kliknutí na reklamu: pokud k nám přijdete z některé z našich reklam v ChatGPT a analytika je zapnutá (oddíl 8), názvy kampaní v odkazu reklamy a reference kliknutí, kterou k němu přidala společnost OpenAI. Váš prohlížeč je uchovává po dobu 30 dní. Pokud v této době vytvoříte akci zdarma, uloží se k ní až do jejího smazání; pokud zahájíte platbu, uloží se se záznamem o platbě.
• Měření reklam prostřednictvím společnosti Microsoft: pokud je analytika zapnutá (oddíl 8), tag Microsoft Advertising na našich stránkách odesílá společnosti Microsoft u každé stránky, kterou zde otevřete, adresu a název stránky, stránku, ze které jste přišli, technické údaje o vašem prohlížeči (jazyk, velikost obrazovky, dobu načtení stránky) a vaši IP adresu, spolu s identifikátory, které Microsoft přiřazuje vašemu prohlížeči: identifikátory uloženými v cookies společnosti Microsoft a, pokud jste přišli z některé z našich reklam na Bingu nebo v síti Microsoft, ID kliknutí, které Microsoft přidal k odkazu reklamy. Děje se tak bez ohledu na to, zda jste přišli z reklamy.

3. Účely a právní základ zpracování

Obecné nařízení o ochraně osobních údajů (GDPR) vyžaduje pro každý účel právní základ:

• Vytvoření a provoz akce (nahrávání hostů, kniha hostů, přístup ke galerii, sdílení přes QR kód, přihlášení pořadatele, stahování, správa úvodní fotky, transakční e-maily, jako jsou potvrzení, přihlašovací odkazy, kódy ke stažení, doklady o platbě, oznámení o prvním nahrání a připomínky vypršení): plnění smlouvy s pořadatelem, čl. 6 odst. 1 písm. b) GDPR. U hostů náš oprávněný zájem na poskytování služby, o kterou pořadatel požádal, čl. 6 odst. 1 písm. f) GDPR.
• Platby, aktivace a účetnictví: plnění smlouvy, čl. 6 odst. 1 písm. b) GDPR, a naše právní povinnost vést účetní záznamy podle dánského zákona o účetnictví (bogføringsloven), čl. 6 odst. 1 písm. c) GDPR.
• Bezpečnost a prevence zneužití (limity požadavků, ochrana PINem, ověření pořadatele, protokol aktivit, protokoly požadavků): náš oprávněný zájem na zajištění bezpečnosti služby a jejích uživatelů, čl. 6 odst. 1 písm. f) GDPR.
• AI štítkování obrázků u placených akcí: plnění smlouvy s pořadatelem, čl. 6 odst. 1 písm. b) GDPR. Štítkování vytváří popisná klíčová slova pro vyhledávání; neslouží k identifikaci osob a nepoužívá rozpoznávání obličejů.
• Analytika webu (Google Analytics 4): váš souhlas s analytikou, čl. 6 odst. 1 písm. a) GDPR, který je na našich anglických stránkách ve výchozím stavu zapnutý pro návštěvníky na americkém kontinentu (oddíl 8) a jinak se uděluje v cookie liště; kdykoli jej můžete vypnout v „Nastavení cookies“ v zápatí.
• Měření našich reklam v ChatGPT (oddíl 5): váš souhlas s analytikou, čl. 6 odst. 1 písm. a) GDPR, který je na našich anglických stránkách ve výchozím stavu zapnutý pro návštěvníky na americkém kontinentu (oddíl 8). Vypnutím analytiky v „Nastavení cookies“ se měření zastaví a záznam o kliknutí na reklamu ve vašem prohlížeči se smaže; reference již uložená u akce zůstává do smazání akce.
• Měření našich reklam na Bingu a v síti Microsoft (Microsoft Advertising, oddíl 5): váš souhlas s analytikou, čl. 6 odst. 1 písm. a) GDPR, který je na našich anglických stránkách ve výchozím stavu zapnutý pro návštěvníky na americkém kontinentu (oddíl 8). Ukazuje nám, které z našich reklam v Microsoft Advertising vedou k návštěvám a nákupům, abychom je mohli měřit a rozhodovat, kde inzerovat. Vypnutím analytiky v „Nastavení cookies“ se tag od té chvíle zastaví a jeho cookies na tomto webu se smažou.
• Zjišťování, jak vznikají akce a nákupy (zdroj vaší návštěvy, oddíl 2): váš souhlas s analytikou, čl. 6 odst. 1 písm. a) GDPR, který je na našich anglických stránkách ve výchozím stavu zapnutý pro návštěvníky na americkém kontinentu (oddíl 8). Díky tomu víme, které weby, kampaně a reklamy vedou k akcím a prodejům. Vypnutím analytiky v „Nastavení cookies“ se zaznamenávání od té chvíle zastaví; již zaznamenané údaje zůstávají uloženy u akce do jejího smazání a u záznamu o platbě (oddíl 4).
• Měření výkonu webu (Vercel Speed Insights): náš oprávněný zájem na rychlém fungování webu, čl. 6 odst. 1 písm. f) GDPR. Nástroj odesílá společnosti Vercel časy načítání stránek a adresu URL stránky; nenastavuje žádné cookies a do vašeho zařízení neukládá žádný identifikátor.
• Zpětná vazba k produktu (odpovědi na uvedené otázky ke zpětné vazbě): náš oprávněný zájem na zlepšování služby, čl. 6 odst. 1 písm. f) GDPR. Odpověď je dobrovolná.
• E-mail se žádostí o hodnocení a pozvánky: po placené akci, jakmile soubory nahraje alespoň sedm hostů a po dobu dvou dnů nepřibude žádné další nahrání, pošleme pořadateli jednou e-mail se žádostí o hodnocení na platformě Trustpilot; e-mail uvádí, kolik hostů sdílelo kolik fotografií a videí. To, kteří pořadatelé placených akcí jej dostanou, závisí výhradně na této aktivitě nahrávání, nikdy na tom, jak akce proběhla nebo co by mohli napsat. Kopii e-mailu obdrží společnost Trustpilot, která pak přibližně o týden později pošle pořadateli jednu vlastní pozvánku. Pořadatelé akcí zdarma dostanou stejný e-mail jen tehdy, pokud jej odešleme ručně, a Trustpilot od nás v jejich případě nic nedostane. U akcí vytvořených z pracovního prostoru koordinátora se neposílá ani e-mail, ani pozvánka. Náš oprávněný zájem na získávání skutečných hodnocení zákazníků, čl. 6 odst. 1 písm. f) GDPR. Napsání hodnocení je dobrovolné a kdykoli můžete vznést námitku.

4. Doba uchovávání a mazání

Vypršení akce se řídí zvolenou verzí služby:

• Verze zdarma: akce vyprší po 14 dnech od vytvoření.
• Placená verze: akce vyprší po 365 dnech od vytvoření.

Po vypršení akce se nahrávání zastaví a galerie se uzavře. Automatický proces pak trvale smaže akci, její fotografie a videa, vzkazy v knize hostů, úvodní fotky, archivy ke stažení, protokol aktivit i samotný záznam akce; ID akce může zůstat pouze v technickém záznamu o sestavení archivů ke stažení (ID akce, velikosti, časy) a v historii kreditů organizace. Proces běží jednou denně, takže ke smazání dojde den po datu vypršení, obvykle do 48 hodin od vypršení. Pořadatelé mohou akci nebo jednotlivé soubory kdykoli smazat také v přehledu a na požádání je můžeme smazat my. Smazaný obsah nelze obnovit, proto si vše potřebné stáhněte před datem vypršení. Před vypršením zasíláme připomínací e-maily.

Ostatní kategorie údajů uchováváme po dobu uvedenou zde:

• Údaje o účtu pořadatele a organizaci: dokud nás nepožádáte o smazání účtu.
• Platební záznamy a faktury: 5 let od konce účetního období, ve kterém byl nákup uskutečněn, jak vyžaduje dánský zákon o účetnictví. Stripe uchovává vlastní záznamy podle svých vlastních zásad. Pokud byl u nákupu zaznamenán zdroj vaší návštěvy (oddíl 2), je součástí záznamu o této platbě ve Stripe a uchovává se spolu s ním i po smazání akce.
• Korespondence s podporou: až 2 roky po uzavření případu.
• Odpovědi na otázky ke zpětné vazbě: až 2 roky.
• Protokoly požadavků u našeho poskytovatele hostingu: krátkou dobu, v současnosti několik dní.
• Analytická data: Google Analytics 4 uchovává data na úrovni událostí 14 měsíců.
• Měření reklam prostřednictvím společnosti Microsoft: cookies tagu na tomto webu platí 1 den (_uetsid), 90 dní (_uetmsclkid) a 390 dní (_uetvid) a vlastní cookie společnosti Microsoft MUID 13 měsíců; vypnutím analytiky se cookies uložené na tomto webu smažou. Microsoft uchovává údaje, které prostřednictvím tagu získá, po dobu 390 dní.

5. Zpracovatelé a předávání mimo EU

Vaše údaje neprodáváme ani je nesdílíme se třetími stranami, s výjimkou následujících zpracovatelů, kteří jednají podle našich pokynů na základě smluv o zpracování osobních údajů, a měření reklam popsaného za seznamem:

• Supabase Inc. – databáze, ověřování a úložiště souborů. Náš projekt běží v londýnském regionu Supabase (Spojené království). Na Spojené království se vztahuje rozhodnutí EU o odpovídající ochraně, takže žádná další záruka není potřeba.
• Vercel Inc. (USA) – hosting aplikace, doručování obsahu a Speed Insights. Naše serverové funkce běží ve Frankfurtu; okrajová síť (edge) a podpůrné systémy společnosti Vercel jsou globální. Předávání je založeno na certifikaci společnosti Vercel podle rámce EU-USA pro ochranu osobních údajů (EU-US Data Privacy Framework) a na standardních smluvních doložkách EU.
• Brevo (Sendinblue SAS, Francie) – transakční e-maily, jako jsou potvrzení, přihlašovací odkazy, připomínky a oznámení. Zpracování probíhá v EU.
• Stripe (Stripe Payments Europe Ltd., Irsko, a Stripe Inc., USA) – zpracování plateb, faktury, výpočet daní a metadata související s platbami u placené verze. Předávání do USA je založeno na certifikaci společnosti Stripe podle rámce Data Privacy Framework a na standardních smluvních doložkách.
• OpenAI (OpenAI Ireland Ltd. a OpenAI, L.L.C., USA) – AI štítkování obrázků u placených akcí. Fotografie se odesílají jako zmenšené náhledy prostřednictvím krátkodobých odkazů; OpenAI je zpracovává, aby vrátila klíčová slova, a data z API nepoužívá k trénování svých modelů. Předávání je založeno na certifikaci společnosti OpenAI podle rámce Data Privacy Framework a na standardních smluvních doložkách.
• Trustpilot A/S (Dánsko) – pozvánky k hodnocení pro pořadatele placených akcí. Dostává kopii e-mailu se žádostí o hodnocení zaslaného po akci, včetně e-mailové adresy pořadatele, názvu akce a počtu hostů, fotografií a videí v ní. Hodnocení, které se rozhodnete napsat, se řídí vlastními zásadami ochrany osobních údajů společnosti Trustpilot.
• Google (Google Ireland Ltd. a Google LLC, USA) – webová analytika založená na souhlasu prostřednictvím Google Analytics 4. Předávání je založeno na certifikaci společnosti Google podle rámce Data Privacy Framework a na standardních smluvních doložkách. Google Analytics 4 nezaznamenává ani neukládá IP adresy.

Pokud k nám přijdete z reklamy zobrazené v ChatGPT a analytika je zapnutá, sdělíme společnosti OpenAI (OpenAI, L.L.C., USA), že reklama vedla k vytvoření akce zdarma, zahájení platby nebo nákupu, abychom mohli reklamu změřit. Odesíláme referenci kliknutí na reklamu, kterou OpenAI přidala k odkazu, naše vlastní ID daného kroku (platební referenci Stripe u zahájené platby nebo nákupu, u akce zdarma kód odvozený z reference kliknutí), hodnotu a měnu objednávky, adresu stránky (nikdy ne stránky akce nebo účtu) a čas. Neodesíláme vaše jméno, e-mailovou adresu, IP adresu ani žádné jiné kontaktní údaje. Předávání je založeno na certifikaci společnosti OpenAI podle rámce Data Privacy Framework a na standardních smluvních doložkách.

Pokud je analytika zapnutá, naše stránky načítají tag Microsoft Advertising (UET) a společnost Microsoft (Microsoft Ireland Operations Ltd., Irsko, a Microsoft Corporation, USA) získává údaje popsané v oddílu 2 pod bodem „Měření reklam prostřednictvím společnosti Microsoft“. Microsoft je nezpracovává podle našich pokynů: je samostatným správcem a používá tyto údaje k měření našich reklam a k provozu své reklamní služby, a to i pro vlastní účely, například ke zlepšování svých služeb, jak popisuje Prohlášení společnosti Microsoft o zásadách ochrany osobních údajů. Microsoft uvádí, že tyto údaje dále neprodává ani je nesdílí s jinými inzerenty. Předávání do USA je založeno na certifikaci společnosti Microsoft podle rámce Data Privacy Framework a na standardních smluvních doložkách.

Údaje můžeme zpřístupnit také tam, kde to vyžaduje zákon, například daňovým orgánům nebo na základě platného soudního či úředního příkazu.

6. Hosté a další osoby na fotografiích

Hosté nahrávají obsah na pozvání pořadatele. Obsah hostů používáme pouze k provozu akce pořadatele: k jeho zobrazení v galerii akce, k jeho zpřístupnění pořadateli ke stažení a u placených akcí k jeho štítkování pro vyhledávání. Nikdy jej nezveřejňujeme, nepoužíváme k marketingu ani jej nesdílíme s nikým kromě pořadatele a hostů dané akce. Pořadatel odpovídá za to, že hosty informuje o shromažďování fotografií, a za získání všech svolení, která akce vyžaduje.

7. Vaše práva

Podle GDPR máte právo na:

• přístup k osobním údajům, které o vás uchováváme, a na jejich kopii;
• opravu nepřesných údajů;
• výmaz („právo být zapomenut“), například fotografie, na které jste zachyceni a kterou nahrál host;
• omezení zpracování po dobu vyřizování žádosti nebo trvání sporu;
• přenositelnost údajů, které jste nám poskytli, ve strojově čitelném formátu;
• vznesení námitky proti zpracování založenému na našich oprávněných zájmech, včetně protokolu aktivit a měření výkonu;
• odvolání souhlasu kdykoli, pokud je zpracování založeno na souhlasu (analytické a reklamní cookies), aniž by tím bylo dotčeno zpracování provedené před jeho odvoláním.

Chcete-li kterékoli z těchto práv uplatnit, napište na support@eventphoto.io. Odpovíme do jednoho měsíce. Pokud jste host a chcete odstranit fotografii, sdělte nám ID akce a o který soubor jde; pořadatel ji může odstranit i přímo.

Můžete také podat stížnost u dánského úřadu pro ochranu osobních údajů Datatilsynet, Carl Jacobsens Vej 35, 2500 Valby, Dánsko, nebo u dozorového úřadu v zemi EU nebo EHP, ve které žijete.

8. Cookies a úložiště prohlížeče

Používáme nezbytné cookies a související úložiště prohlížeče potřebné pro přihlášení, odemykání akcí, ověření pořadatele, volbu jazyka, kontinuitu relace hosta a zapamatování vaší volby ohledně cookies. Analytika je volitelná: Google Analytics 4 k měření návštěvnosti, tag Microsoft Advertising a jeho cookies k měření našich reklam na Bingu a v síti Microsoft (oddíl 5) a, pokud jste k nám přišli z některé z našich reklam v ChatGPT, záznam o tomto kliknutí na reklamu uchovávaný ve vašem prohlížeči po dobu 30 dní (oddíl 5). Na našich anglických stránkách mají návštěvníci na americkém kontinentu (podle časového pásma nastaveného v zařízení) analytiku ve výchozím stavu zapnutou, bez cookie lišty; všichni ostatní až po kliknutí na „Přijmout“. Kdokoli ji může vypnout v „Nastavení cookies“. Kromě tagu Microsoft Advertising nepoužíváme žádné reklamní cookies ani marketingové pixely. Úplný seznam najdete v Zásadách používání cookies.

9. Zabezpečení

Data jsou šifrována při přenosu (TLS) i při uložení u našeho poskytovatele úložiště. Galerie akcí jsou dostupné pouze prostřednictvím ID akce a, pokud jej pořadatel nastaví, PINu pro hosty; úkony pořadatele vyžadují podepsaný odkaz pořadatele nebo přihlášení. Přístup k produkčním systémům má pouze provozovatel. Žádný způsob přenosu ani ukládání není zcela bezpečný, proto nemůžeme zaručit absolutní bezpečnost.

10. Změny těchto zásad

Tyto zásady aktualizujeme, když se změní služba nebo právní předpisy, a datum poslední aktualizace uvádíme nahoře. O podstatných změnách ve způsobu, jakým používáme údaje pořadatelů, informujeme e-mailem pořadatele s aktivními akcemi.