Privacybeleid

1. Verwerkingsverantwoordelijke

Cloud Ninja Consulting ApS
Apeldoorn Allé 20, 2791 Dragør, Denmark
Btw-nummer: DK46044118
Eventphoto.io is de verwerkingsverantwoordelijke voor de verwerking van persoonsgegevens die via de dienst worden verzameld.
E-mail: support@eventphoto.io

Dit beleid geldt voor Eventcam.dk, Eventphoto.io, Eventcam.se, Eventkamera.de, Eventphoto.fr, Eventcamera.es en Eventfoto.it, die samen één dienst van één aanbieder vormen.

2. Welke gegevens verzamelen we?

• Gegevens van de organisator en het evenement: e-mailadres van de organisator, naam van het evenement, evenementcode, privétoken van de organisator, gekozen taal, openingstijd, plan, vervaldatum en een eventuele optionele pincode voor gasten.
• Account- en organisatiegegevens van de organisator (gebruikers van het dashboard): inlog-e-mailadres, accounttaal en, voor organisaties (werkruimten voor coördinatoren), de naam van de organisatie, een optionele merknaam, logo en kleur, en het saldo aan evenementcredits en het aankooplogboek.
• Geüploade inhoud: foto's, video's, eventueel gekozen omslagfoto's en metadata zoals bestandstype, grootte, uploadtijd en een optionele gastnaam.
• Gastenboekberichten: de tekst van het bericht, de optionele gastnaam en het tijdstip waarop het is geschreven, als een organisator het gastenboek heeft ingeschakeld.
• Identificatoren van gastsessies: een anonieme sessie-id waarmee uploads en gastenboekberichten aan hetzelfde apparaat van de gast gekoppeld blijven en de limieten van het plan worden gehandhaafd.
• Activiteitenlogboek van het evenement: een overzicht van handelingen in een evenement (bijvoorbeeld uploads, verwijderingen, downloads, gestarte upgrade) met het tijdstip en of de handeling door de organisator of een gast werd uitgevoerd, zodat organisatoren kunnen zien wat er met hun evenement is gebeurd en wij supportzaken kunnen onderzoeken. Als analyse is ingeschakeld (punt 8), leggen we bij een evenement dat je aanmaakt en bij elke aankoop ook vast hoe je bij ons bent gekomen: het domein van de verwijzende website (of dat je van een van onze eigen pagina's kwam of terugkwam van de betaalpagina), de campagnetags in de link, het type advertentieklik (niet de id ervan) en de eerste pagina die je opende.
• Betalings- en factuurreferenties voor betaalde plannen: referenties van de Stripe-sessie, de klant, de betaling (payment intent) en de factuur die nodig zijn om de aankoop te activeren en vast te leggen. Stripe bewaart de kaartgegevens en het factuuradres; volledige kaartnummers zien wij nooit.
• Toegangs- en inloggegevens: authenticatiesessies voor het dashboard en het beheer, ontgrendelcookies voor evenementen die met een pincode zijn beveiligd en verificatiecookies van de organisator voor download- en beheerhandelingen.
• Verzoekgegevens: je IP-adres en de identificatie van je browser worden in het werkgeheugen gebruikt om het aantal verzoeken bij misbruik te beperken en komen voor in de kortstondig bewaarde verzoeklogboeken van onze hostingprovider. We maken er geen profielen van.
• Resultaat van AI-tagging voor betaalde plannen: als een betaald evenement AI-tagging gebruikt, worden uit de afbeeldingen afgeleide tags bij de uploadgegevens opgeslagen.
• Feedback: als je de feedbackvragen beantwoordt waarnaar een eerdere e-mail na het evenement linkte, worden je antwoord en een eventuele opmerking bij het evenement opgeslagen.
• Advertentieklikreferentie: als je via een van onze advertenties in ChatGPT komt en analyse is ingeschakeld (punt 8), de campagnenamen in de link van de advertentie en de klikreferentie die OpenAI eraan heeft toegevoegd. Je browser bewaart ze 30 dagen. Een gratis evenement dat je in die periode aanmaakt, bewaart ze tot het evenement wordt verwijderd, en een betaling die je start, bewaart ze bij de betalingsgegevens.
• Advertentiemeting via Microsoft: als analyse is ingeschakeld (punt 8), stuurt de Microsoft Advertising-tag op onze pagina's voor elke pagina die je hier opent het adres en de titel van de pagina, de pagina waar je vandaan kwam, technische gegevens over je browser (taal, schermformaat, laadtijd van de pagina) en je IP-adres naar Microsoft, samen met de id's die Microsoft aan je browser koppelt: de id's in de cookies van Microsoft en, als je via een van onze advertenties op Bing of in het netwerk van Microsoft bent gekomen, de klik-id die Microsoft aan de link van de advertentie heeft toegevoegd. Dat gebeurt ook als je niet via een advertentie bent gekomen.

3. Doeleinden en rechtsgrond

De Algemene verordening gegevensbescherming (AVG) vereist voor elk doel een rechtsgrond:

• Het aanmaken en beheren van het evenement (uploads van gasten, gastenboek, toegang tot de galerij, delen via QR-code, inloggen van de organisator, downloads, beheer van omslagfoto's, transactionele e-mails zoals bevestigingen, inloglinks, downloadcodes, betalingsbewijzen, meldingen van de eerste upload en herinneringen aan het verlopen): uitvoering van de overeenkomst met de organisator, art. 6 lid 1 sub b AVG. Voor gasten: ons gerechtvaardigd belang bij het leveren van de dienst waar de organisator om heeft gevraagd, art. 6 lid 1 sub f AVG.
• Betaling, activering en boekhouding: uitvoering van de overeenkomst, art. 6 lid 1 sub b AVG, en onze wettelijke verplichting om de boekhoudkundige administratie te bewaren op grond van de Deense boekhoudwet (bogføringsloven), art. 6 lid 1 sub c AVG.
• Beveiliging en voorkoming van misbruik (limieten op verzoeken, beveiliging met pincode, verificatie van de organisator, activiteitenlogboek, verzoeklogboeken): ons gerechtvaardigd belang bij het veilig houden van de dienst en de gebruikers ervan, art. 6 lid 1 sub f AVG.
• AI-tagging van afbeeldingen bij betaalde evenementen: uitvoering van de overeenkomst met de organisator, art. 6 lid 1 sub b AVG. De tagging levert beschrijvende trefwoorden voor het zoeken op; ze wordt niet gebruikt om personen te identificeren en maakt geen gebruik van gezichtsherkenning.
• Websiteanalyse (Google Analytics 4): je toestemming voor analyse, art. 6 lid 1 sub a AVG; voor bezoekers in Noord- en Zuid-Amerika staat die op onze Engelstalige pagina's standaard aan (punt 8), anders wordt ze gegeven in de cookiebanner; je kunt analyse op elk moment uitzetten via Cookie-instellingen onderaan de pagina.
• Het meten van onze advertenties in ChatGPT (punt 5): je toestemming voor analyse, art. 6 lid 1 sub a AVG, die voor bezoekers in Noord- en Zuid-Amerika op onze Engelstalige pagina's standaard aan staat (punt 8). Als je analyse uitzet onder Cookie-instellingen, stopt de meting en wordt de advertentieklikvermelding in je browser verwijderd; een referentie die al bij een evenement is opgeslagen, blijft bewaard tot het evenement wordt verwijderd.
• Het meten van onze advertenties op Bing en in het netwerk van Microsoft (Microsoft Advertising, punt 5): je toestemming voor analyse, art. 6 lid 1 sub a AVG, die voor bezoekers in Noord- en Zuid-Amerika op onze Engelstalige pagina's standaard aan staat (punt 8). Zo zien we welke van onze Microsoft-advertenties tot bezoeken en aankopen leiden, zodat we ze kunnen meten en kunnen bepalen waar we adverteren. Als je analyse uitzet onder Cookie-instellingen, stopt de tag vanaf dat moment en worden de cookies ervan op deze site verwijderd.
• Begrijpen hoe evenementen en aankopen tot stand komen (hoe je bij ons bent gekomen, punt 2): je toestemming voor analyse, art. 6 lid 1 sub a AVG, die voor bezoekers in Noord- en Zuid-Amerika op onze Engelstalige pagina's standaard aan staat (punt 8). Zo zien we welke websites, campagnes en advertenties tot evenementen en verkopen leiden. Als je analyse uitzet onder Cookie-instellingen, stopt dit vanaf dat moment; gegevens die al zijn vastgelegd, blijven bewaard bij het evenement tot het wordt verwijderd, en bij de betalingsgegevens (punt 4).
• Meting van de websiteprestaties (Vercel Speed Insights): ons gerechtvaardigd belang bij een snelle website, art. 6 lid 1 sub f AVG. Hierbij worden laadtijden en de URL van de pagina naar Vercel gestuurd; er worden geen cookies geplaatst en er wordt geen identificator op je apparaat opgeslagen.
• Productfeedback (antwoorden op die feedbackvragen): ons gerechtvaardigd belang bij het verbeteren van de dienst, art. 6 lid 1 sub f AVG. Antwoorden is vrijwillig.
• Reviewmail en uitnodigingen: na een betaald evenement, zodra ten minste zeven gasten iets hebben geüpload en er twee dagen geen uploads meer zijn binnengekomen, sturen we de organisator eenmalig een e-mail met het verzoek om een review op Trustpilot; de e-mail vermeldt hoeveel gasten hoeveel foto's en video's hebben gedeeld. Welke organisatoren van betaalde evenementen deze e-mail krijgen, hangt alleen af van die uploadactiviteit, nooit van hoe het evenement is verlopen of wat ze zouden kunnen schrijven. Een kopie ervan gaat naar Trustpilot, dat de organisator ongeveer een week later zelf eenmalig een uitnodiging stuurt. Organisatoren van gratis evenementen krijgen dezelfde e-mail alleen als wij die handmatig versturen, en Trustpilot ontvangt voor die evenementen niets van ons. Evenementen die vanuit een werkruimte voor coördinatoren zijn aangemaakt, krijgen geen van beide. Ons gerechtvaardigd belang bij het verzamelen van echte klantreviews, art. 6 lid 1 sub f AVG. Een review schrijven is vrijwillig, en je kunt op elk moment bezwaar maken.

4. Bewaartermijnen en verwijdering

Het verlopen van een evenement hangt af van het gekozen plan:

• Gratis plan: het evenement verloopt 14 dagen na het aanmaken.
• Betaald plan: het evenement verloopt 365 dagen na het aanmaken.

Als een evenement is verlopen, stoppen de uploads en wordt de galerij gesloten. Een automatisch proces verwijdert daarna het evenement, de foto's en video's, gastenboekberichten, omslagfoto's, downloadarchieven, het activiteitenlogboek en het evenementrecord zelf definitief; alleen een technisch overzicht van het aanmaken van downloadarchieven (evenementcode, groottes, tijden) en het creditlogboek van een organisatie kunnen de evenementcode blijven bevatten. Het proces draait één keer per dag, dus de verwijdering vindt plaats op de dag na de vervaldatum, normaal gesproken binnen 48 uur na het verlopen. Organisatoren kunnen een evenement of afzonderlijke bestanden ook op elk moment via het dashboard verwijderen, en wij kunnen op verzoek verwijderen. Verwijderde inhoud kan niet worden hersteld, dus download wat je nodig hebt vóór de vervaldatum. We sturen herinneringsmails voordat een evenement verloopt.

Andere categorieën worden bewaard zolang hier is aangegeven:

• Account- en organisatiegegevens van de organisator: tot je ons vraagt het account te verwijderen.
• Betalings- en factuurgegevens: 5 jaar vanaf het einde van het boekjaar van de aankoop, zoals voorgeschreven door de Deense boekhoudwet (bogføringsloven). Stripe bewaart zijn eigen gegevens volgens zijn eigen beleid. Als bij een aankoop is vastgelegd hoe je bij ons bent gekomen (punt 2), hoort dat bij de gegevens van die betaling bij Stripe en wordt het samen met die gegevens bewaard, ook nadat het evenement is verwijderd.
• Supportcorrespondentie: tot 2 jaar nadat de zaak is afgesloten.
• Antwoorden op feedbackvragen: tot 2 jaar.
• Verzoeklogboeken bij onze hostingprovider: een korte periode, momenteel enkele dagen.
• Analysegegevens: Google Analytics 4 bewaart gegevens op gebeurtenisniveau 14 maanden.
• Advertentiemeting via Microsoft: de cookies van de tag op deze site gelden 1 dag (_uetsid), 90 dagen (_uetmsclkid) en 390 dagen (_uetvid), en de eigen cookie MUID van Microsoft 13 maanden; als je analyse uitzet, worden de cookies op deze site verwijderd. Microsoft bewaart de gegevens die het via de tag ontvangt 390 dagen.

5. Verwerkers en doorgiften buiten de EU

We verkopen je gegevens niet en delen ze niet met derden, behalve met de volgende verwerkers, die volgens onze instructies handelen op grond van verwerkersovereenkomsten, en voor de advertentiemeting die na de lijst wordt beschreven:

• Supabase Inc. – database, authenticatie en bestandsopslag. Ons project draait in de Londense regio van Supabase (Verenigd Koninkrijk). Voor het Verenigd Koninkrijk geldt een adequaatheidsbesluit van de EU, zodat er geen verdere waarborg nodig is.
• Vercel Inc. (VS) – hosting en levering van de applicatie en Speed Insights. Onze serverfuncties draaien in Frankfurt; het edgenetwerk en de supportsystemen van Vercel zijn wereldwijd. Doorgiften zijn gebaseerd op de certificering van Vercel onder het EU-VS-kader voor gegevensbescherming (EU-US Data Privacy Framework) en op de modelcontractbepalingen van de EU.
• Brevo (Sendinblue SAS, Frankrijk) – transactionele e-mails zoals bevestigingen, inloglinks, herinneringen en meldingen. Verwerking in de EU.
• Stripe (Stripe Payments Europe Ltd., Ierland, en Stripe Inc., VS) – betalingsverwerking, facturen, belastingberekening en betalingsgerelateerde metadata voor betaalde plannen. Doorgiften naar de VS zijn gebaseerd op de certificering van Stripe onder het Data Privacy Framework en op modelcontractbepalingen.
• OpenAI (OpenAI Ireland Ltd. en OpenAI, L.L.C., VS) – AI-tagging van afbeeldingen bij betaalde evenementen. Foto's worden als verkleinde miniaturen via kortstondig geldige links verstuurd; OpenAI verwerkt ze om trefwoorden terug te geven en gebruikt API-gegevens niet om zijn modellen te trainen. Doorgiften zijn gebaseerd op de certificering van OpenAI onder het Data Privacy Framework en op modelcontractbepalingen.
• Trustpilot A/S (Denemarken) – reviewuitnodigingen aan organisatoren van betaalde evenementen. Trustpilot ontvangt een kopie van de reviewmail die na het evenement wordt verstuurd, met daarin het e-mailadres van de organisator, de naam van het evenement en het aantal gasten, foto's en video's. Een review die je besluit te schrijven, valt onder het eigen privacybeleid van Trustpilot.
• Google (Google Ireland Ltd. en Google LLC, VS) – websiteanalyse op basis van toestemming via Google Analytics 4. Doorgiften zijn gebaseerd op de certificering van Google onder het Data Privacy Framework en op modelcontractbepalingen. Google Analytics 4 registreert of bewaart geen IP-adressen.

Als je via een advertentie in ChatGPT komt en analyse is ingeschakeld, laten we OpenAI (OpenAI, L.L.C., VS) weten dat de advertentie tot een gratis evenement, een gestarte betaling of een aankoop heeft geleid, zodat we de advertentie kunnen meten. We sturen de advertentieklikreferentie die OpenAI aan de link heeft toegevoegd, onze eigen id voor die stap (de Stripe-betalingsreferentie bij een gestarte betaling of een aankoop, een uit de klikreferentie afgeleide code bij een gratis evenement), de orderwaarde en valuta, het adres van de pagina (nooit een evenement- of accountpagina) en het tijdstip. We sturen niet je naam, e-mailadres, IP-adres of andere contactgegevens. Doorgiften zijn gebaseerd op de certificering van OpenAI onder het Data Privacy Framework en op modelcontractbepalingen.

Als analyse is ingeschakeld, laden onze pagina's de Microsoft Advertising-tag (UET) en ontvangt Microsoft (Microsoft Ireland Operations Ltd., Ierland, en Microsoft Corporation, VS) de gegevens die in punt 2 onder 'Advertentiemeting via Microsoft' worden beschreven. Microsoft verwerkt ze niet volgens onze instructies: Microsoft is zelf verwerkingsverantwoordelijke en gebruikt de gegevens om onze advertenties te meten en zijn advertentiedienst te leveren, ook voor eigen doeleinden zoals het verbeteren van zijn diensten, zoals beschreven in de privacyverklaring van Microsoft. Volgens Microsoft worden deze gegevens niet doorverkocht of gedeeld met andere adverteerders. Doorgiften naar de VS zijn gebaseerd op de certificering van Microsoft onder het Data Privacy Framework en op modelcontractbepalingen.

We kunnen gegevens ook verstrekken als de wet dat vereist, bijvoorbeeld aan belastingautoriteiten of op grond van een rechtsgeldig bevel.

6. Gasten en andere personen op de foto's

Gasten uploaden inhoud op uitnodiging van de organisator. We gebruiken inhoud van gasten alleen om het evenement van de organisator te laten draaien: we tonen die in de galerij van het evenement, stellen die beschikbaar aan de organisator om te downloaden en taggen die bij betaalde evenementen voor het zoeken. We publiceren die inhoud nooit, gebruiken haar niet voor marketing en delen haar met niemand anders dan de organisator en de gasten van dat evenement. De organisator is ervoor verantwoordelijk de gasten te laten weten dat er foto's worden verzameld en de toestemmingen te verkrijgen die het evenement vereist.

7. Je rechten

Op grond van de AVG heb je het recht op:

• inzage in de persoonsgegevens die we over je hebben, en op een kopie daarvan;
• rectificatie van onjuiste gegevens;
• gegevenswissing ('recht op vergetelheid'), bijvoorbeeld van een foto van jou die een gast heeft geüpload;
• beperking van de verwerking zolang een verzoek wordt behandeld of een geschil loopt;
• overdraagbaarheid van de gegevens die je ons hebt verstrekt, in een machineleesbaar formaat;
• bezwaar tegen verwerking op grond van onze gerechtvaardigde belangen, waaronder het activiteitenlogboek en de prestatiemeting;
• intrekking van je toestemming op elk moment, als de verwerking op toestemming is gebaseerd (analyse- en advertentiecookies), zonder dat dit afbreuk doet aan de verwerking vóór de intrekking.

Schrijf naar support@eventphoto.io om een van deze rechten uit te oefenen. We antwoorden binnen één maand. Ben je gast en wil je een foto laten verwijderen, geef ons dan de evenementcode en het betreffende bestand door; de organisator kan de foto ook zelf verwijderen.

Je kunt ook een klacht indienen bij de Deense toezichthoudende autoriteit, Datatilsynet, Carl Jacobsens Vej 35, 2500 Valby, Denemarken, of bij de toezichthoudende autoriteit in het EU- of EER-land waar je woont.

8. Cookies en browseropslag

We gebruiken noodzakelijke cookies en bijbehorende browseropslag die nodig zijn om in te loggen, evenementen te ontgrendelen, de organisator te verifiëren, je taalkeuze te onthouden, de gastsessie voort te zetten en je cookiekeuze te onthouden. Analyse is optioneel: Google Analytics 4 voor het meten van het websiteverkeer, de Microsoft Advertising-tag en de cookies ervan voor het meten van onze advertenties op Bing en in het netwerk van Microsoft (punt 5) en, als je via een van onze advertenties in ChatGPT bent gekomen, het 30 dagen onthouden van die advertentieklik in je browser (punt 5). Op onze Engelstalige pagina's staat analyse voor bezoekers in Noord- en Zuid-Amerika (op basis van de tijdzone die op het apparaat is ingesteld) standaard aan, zonder banner; alle anderen krijgen het pas nadat ze op Accepteren hebben gedrukt. Iedereen kan analyse uitzetten onder Cookie-instellingen. Behalve de Microsoft Advertising-tag gebruiken we geen advertentiecookies of marketingpixels. De volledige lijst staat in het cookiebeleid.

9. Beveiliging

Gegevens worden versleuteld tijdens de overdracht (TLS) en in opgeslagen toestand bij onze opslagprovider. Galerijen van evenementen zijn alleen bereikbaar via de evenementcode en, als de organisator er een instelt, een pincode voor gasten; handelingen van de organisator vereisen een ondertekende organisatorlink of een login. Toegang tot productiesystemen is beperkt tot de exploitant. Geen enkele methode van overdracht of opslag is volledig veilig, dus we kunnen geen absolute veiligheid garanderen.

10. Wijzigingen in dit beleid

We werken dit beleid bij wanneer de dienst of de wet verandert en vermelden bovenaan de datum van de laatste wijziging. Wezenlijke wijzigingen in hoe we gegevens van organisatoren gebruiken, kondigen we per e-mail aan bij organisatoren met actieve evenementen.