1. Kto jest administratorem
W przypadku list gości, zaproszeń i wejść organizator wydarzenia ustala cele i sposoby przetwarzania: jest administratorem, a InviteKey działa w jego imieniu jako podmiot przetwarzający, na warunkach sekcji 6 warunków korzystania.
W przypadku kont użytkowników, rozliczeń, bezpieczeństwa i tej strony administratorem jest InviteKey. Zalecamy gościom zapoznanie się również z polityką prywatności organizatora.
2. Przetwarzane dane i cele
Konta i pomoc techniczna: imię i nazwisko, służbowy adres e-mail, organizacja i rola, dane uwierzytelniające oraz korespondencja z pomocą techniczną. Służą do zapewnienia kont, odpowiadania na zapytania, administrowania usługą i jej ochrony. Podstawa prawna: wykonanie umowy, nasz prawnie uzasadniony interes w prowadzeniu bezpiecznej usługi lub obowiązek prawny, w zależności od przypadku.
Wydarzenia i goście: informacje i obrazy wydarzenia, imię i nazwisko, adres e-mail i kategoria gości, każde inne pole wprowadzone przez organizatora, status zaproszenia i jego doręczenia, identyfikatory przepustek oraz godzina, punkt kontroli i urządzenie wejść. Dane te są przetwarzane na polecenie organizatora w celu tworzenia, wysyłania i weryfikowania dostępów; to organizator określa własną podstawę prawną i wyjaśnia ją swoim gościom.
Śledzenie e-maili: dla każdego e-maila z zaproszeniem nasz dostawca wysyłki rejestruje jego doręczenie oraz, jeśli skrzynka gościa na to pozwala, jego otwarcie i kliknięcia w linki. Informacje te pokazują organizatorowi, czy zaproszenie dotarło, i pozwalają obsłużyć błędne adresy.
Użytkowanie techniczne: adres IP, dzienniki dostępu i bezpieczeństwa, niezbędne informacje o sesji oraz, w przypadku urządzeń weryfikujących zaproszenia (telefonów i tabletów, które odczytują kody QR przy wejściu na wydarzenie) i przepustek Apple Wallet, techniczne identyfikatory urządzenia, w celu zapewnienia działania i bezpieczeństwa aplikacji i API. Podstawa prawna: nasz prawnie uzasadniony interes w bezpieczeństwie i niezawodności usługi.
Ochrona przed botami: przed logowaniem, rejestracją, przyjęciem zaproszenia do zespołu lub ponownym wysłaniem kodu Cloudflare Turnstile sprawdza, czy żądanie pochodzi od człowieka, a nie od zautomatyzowanego programu. W tym celu analizuje informacje techniczne o przeglądarce i urządzeniu, w tym adres IP, zwykle o nic nie prosząc, czasem prosząc o zaznaczenie pola. Podstawa prawna: nasz prawnie uzasadniony interes w ochronie usługi i jej użytkowników przed nadużyciami.
Cloudflare — Pomiar oglądalności strony: wyłącznie na stronie publicznej: odwiedzane strony, strona odsyłająca, kraj, typ urządzenia i przeglądarki, bez plików cookie i bez zapisywania czegokolwiek w Państwa przeglądarce oraz bez śledzenia między witrynami, aby wiedzieć, jak strona jest odwiedzana. Aplikacja, również na urządzeniach weryfikujących, i strony zaproszeń nie są mierzone. Podstawa prawna: nasz prawnie uzasadniony interes w znajomości ruchu na stronie.
Google Analytics: za Państwa zgodą Google Analytics mierzy wyłącznie na stronie publicznej odwiedzane strony i kliknięcia prowadzące do płatnej oferty lub wyceny. Google może zapisywać pliki cookie i otrzymywać dane techniczne dotyczące Państwa wizyty, w szczególności adres IP i cechy przeglądarki. Pomiar ten nie obejmuje aplikacji, stron zaproszeń, kontroli dostępu ani płatności. W każdej chwili mogą Państwo odmówić zgody lub ją wycofać za pomocą opcji „Wybór statystyk” w stopce strony. Podstawa prawna: Państwa zgoda.
Rozliczenia: zamówienia, oferty i transakcje, w przypadku zakupu płatnej oferty, w celu obsługi zakupu i wypełnienia naszych obowiązków księgowych i podatkowych. Płatności kartą obsługuje Paypercut (sekcja 3).
Żadna decyzja wywołująca wobec Państwa skutki prawne lub w podobny sposób istotnie na Państwa wpływająca nie opiera się wyłącznie na zautomatyzowanym przetwarzaniu.
3. Odbiorcy i usługodawcy
Nie sprzedajemy danych osobowych i nie udostępniamy list gości reklamodawcom ani partnerom niezwiązanym z usługą. Dostęp mają wyłącznie upoważnieni użytkownicy organizatora, osoby, które potrzebują go do świadczenia usługi, oraz następujący usługodawcy:
Brevo wysyła e-maile z zaproszeniami i dotyczące kont; otrzymuje adres e-mail i treść wiadomości oraz mierzy doręczenie, otwarcia i kliknięcia; przechowuje historię wysyłek przez miesiąc, bez zachowywania treści wiadomości. Backblaze B2 przechowuje w przestrzeni prywatnej obrazy wydarzeń oraz, na czas importu, plik importowanej listy gości, usuwany najpóźniej trzy dni po jego przesłaniu. Railway hostuje API, przetwarzanie w tle i bazę danych; jego dzienniki techniczne przechowują otrzymane żądania, w tym adres IP urządzenia, przez trzydzieści dni. Cloudflare dostarcza stronę i aplikację, mierzy oglądalność strony publicznej i przed logowaniem lub rejestracją sprawdza, czy żądanie nie pochodzi od zautomatyzowanego programu. Paypercut obsługuje płatności kartą za oferty kupowane online; otrzymuje adres e-mail kupującego, aby wstępnie wypełnić jego stronę płatności, oraz dane karty, wprowadzane bezpośrednio na tej stronie i nigdy nieprzekazywane InviteKey. Google: gdy gość wybierze „Dodaj do Portfela Google”, informacje z jego przepustki — imię i nazwisko, wydarzenie, kategoria, kod QR — są przekazywane Google, które przetwarza je zgodnie z własnymi zasadami. Apple: gdy gość wybierze „Dodaj do Apple Wallet”, przepustka jest pobierana bezpośrednio na jego urządzenie, bez przekazywania przez InviteKey jej treści Apple; usługi Apple, takie jak iCloud, mogą następnie synchronizować ją między jego urządzeniami zgodnie z zasadami Apple.
W przypadku przepustki dodanej do Wallet prosimy zapoznać się z polityką prywatności Apple lub polityką prywatności Google. Opisują one przetwarzanie danych przez te firmy; niniejsza strona pozostaje stroną przetwarzania przez InviteKey.
Organizator może przyznać dostęp swojemu zespołowi i swoim urządzeniom weryfikującym. Możemy również ujawnić informacje, gdy wymaga tego prawo lub w celu ochrony praw lub bezpieczeństwa osób, w ściśle niezbędnym zakresie.
4. Przekazywanie danych poza Unię Europejską
Nasze dane są przechowywane w Unii Europejskiej. Niektórzy usługodawcy lub ich infrastruktura mogą jednak przetwarzać dane poza Europejskim Obszarem Gospodarczym. Takie przekazanie jest wówczas objęte uznanym mechanizmem, takim jak decyzja stwierdzająca odpowiedni stopień ochrony lub standardowe klauzule umowne Komisji Europejskiej. Prosimy o kontakt, aby poznać zabezpieczenia mające zastosowanie do Państwa danych. Apple i Google mogą również przetwarzać dane Wallet zgodnie z własnymi zasadami.
5. Okresy przechowywania
Okres przechowywania danych wydarzenia zależy od wybranej oferty; jest wyświetlany w usłudze i biegnie od dnia rozpoczęcia wydarzenia, którego nie można przesunąć poza okres objęty ofertą. Po jego upływie dostęp wygasa, a dane są usuwane z naszych aktywnych systemów w ramach zautomatyzowanej procedury usuwania. Dopóki dla wydarzenia nie wysłano żadnego zaproszenia, jego dane są przechowywane do wygaśnięcia wykorzystanej oferty – w przypadku oferty bezpłatnej dwanaście miesięcy od utworzenia wydarzenia – a następnie usuwane w ten sam sposób. Po upływie okresu ograniczone kopie mogą tymczasowo pozostać: nie dłużej niż cztery tygodnie w kopiach zapasowych bazy danych, trzydzieści dni w dziennikach technicznych naszego dostawcy hostingu i miesiąc w historii wysyłek naszego dostawcy poczty e-mail. Jeśli kopia zapasowa zostanie przywrócona, dane te pozostają niedostępne i są ponownie usuwane. Nie obiecujemy natychmiastowego usunięcia każdej kopii po upływie okresu.
Trzy rodzaje kopii pozostają poza naszą kontrolą i mogą istnieć po zakończeniu dostępu.
Eksporty pobrane przez organizatora są przechowywane na jego wyłączną odpowiedzialność; to on powinien je usunąć.
Lista gości przechowywana offline na urządzeniach weryfikujących (imiona i nazwiska, kategorie oraz, jeśli organizator to włączy, adresy e-mail) jest usuwana z urządzenia przy jego wylogowaniu lub, w przeciwnym razie, gdy tylko aplikacja zostanie na nim ponownie otwarta po zakończeniu jego dostępu. Urządzenie, które nigdy nie zostanie ponownie otwarte, zachowuje ją do czasu usunięcia danych jego przeglądarki: organizator powinien więc wylogować swoje urządzenia po zakończeniu wydarzenia.
Przepustki zapisane w aplikacji Wallet gościa pozostają na jego urządzeniu: gość może je w każdej chwili usunąć, a Apple i Google same decydują o przechowywaniu danych Wallet. Po usunięciu danych wydarzenia InviteKey zastępuje przepustkę wersją, która nie zawiera już imienia i nazwiska gościa ani jego kodu QR; urządzenie wyłączone lub offline przez ponad 30 dni może zachować poprzednią wersję.
Dane kont i pomocy technicznej są przechowywane, dopóki istnieje konto i wymagają tego zapytania, a następnie przez ograniczony czas, gdy wymaga tego bezpieczeństwo, spór lub obowiązek prawny. Dane rozliczeniowe są przechowywane przez okresy wymagane przepisami rachunkowymi i podatkowymi. Mogą Państwo zapytać nas o okres mający zastosowanie do konkretnych danych.
Dziennik bezpieczeństwa i audytu jest przechowywany przez rok, i co najmniej sześć miesięcy po usunięciu danych wydarzenia, którego dotyczy; ślady wysyłek, płatności i decyzji dotyczących ofert są przechowywane przez pięć lat.
6. Państwa prawa
W zależności od Państwa sytuacji i danego przetwarzania mogą Państwo żądać dostępu do swoich danych, ich sprostowania, usunięcia, ograniczenia przetwarzania lub przeniesienia, wnieść sprzeciw wobec przetwarzania oraz wycofać zgodę, jeśli jest ona podstawą przetwarzania. Prawa te mogą być ograniczone przez prawo. Prosimy pisać na adres support@invitekey.app; przed podjęciem działań możemy potrzebować weryfikacji Państwa tożsamości.
Jeśli są Państwo gośćmi wydarzenia, pierwszym adresatem wszelkich żądań dotyczących zaproszenia lub obecności jest co do zasady organizator. Mogą Państwo również napisać do nas: przekażemy lub rozpatrzymy żądanie, w zależności od przypadku. Mogą Państwo wnieść skargę do francuskiego organu ochrony danych (Commission nationale de l’informatique et des libertés, CNIL), www.cnil.fr, lub do organu ochrony danych w swoim kraju.
7. Bezpieczeństwo i przechowywanie na Państwa urządzeniu
Stosujemy kontrolę dostępu oraz inne środki techniczne i organizacyjne służące ochronie danych. Żadna usługa online nie może zagwarantować absolutnego bezpieczeństwa. Prosimy zgłaszać wszelkie podejrzewane nadużycia na adres support@invitekey.app.
Strona zapisuje w Państwa przeglądarce wybrany język, preferencję jasnego lub ciemnego motywu oraz wybór dotyczący statystyk. Aplikacja zapisuje w niej wybrany język, motyw, wybraną metodę logowania, ukryte komunikaty oraz, przez dwadzieścia cztery godziny, zakup do wznowienia po zalogowaniu; na czas logowania lub rejestracji karta przeglądarki przechowuje też trwające żądanie — wpisany adres i identyfikator —, usuwane po jej zamknięciu. Aplikacja używa niezbędnego pliku cookie sesji, aby utrzymać zalogowanie użytkowników i zabezpieczyć dostęp, a urządzenia weryfikujące przechowują dane wydarzenia potrzebne do weryfikacji offline. Czcionki i obrazy interfejsu są dostarczane przez sam InviteKey; skrypt zewnętrzny ładują jedynie ochrona przed botami Cloudflare, na stronach logowania i rejestracji — także na stronie dołączania do zespołu — oraz Google Analytics, na stronie publicznej i za Państwa zgodą.
8. Zmiany i pytania
Możemy zmieniać niniejszą politykę, gdy zmienia się usługa lub przepisy. Obowiązująca wersja i jej data znajdują się na górze tej strony. W przypadku pytań lub żądań: support@invitekey.app.
Administratorem jest Adrian Tanasescu EI, przedsiębiorca indywidualny zarejestrowany we Francji (SIREN 529 157 810), 9 rue des Grisemottes, 69220 Belleville-en-Beaujolais, France, wydawca InviteKey.