Polityka prywatności

1. Administrator danych

Administratorem Twoich danych osobowych jest itworked, NIP: 8952272359, adres email: kontakt@fotoclick.pl (dalej: "Administrator").

2. Jakie dane zbieramy

Organizatorzy z kontem

• Adres email — podawany przy rejestracji konta. Służy do logowania, wysyłki emaili transakcyjnych oraz identyfikacji użytkownika.
• Hasło — przechowywane wyłącznie przez zewnętrznego dostawcę uwierzytelniania (Supabase). Administrator nie ma dostępu do haseł użytkowników w formie jawnej.
• Dane płatności — przetwarzane wyłącznie przez operatora płatności Stripe. Administrator nie przechowuje numerów kart, danych bankowych ani kodów CVV.

Organizatorzy bez konta (plan Free)

• Kod eventu i PIN organizatora — przechowywane w formie zahashowanej. Nie wymagamy podania żadnych danych osobowych.

Goście

• Identyfikator urządzenia — anonimowy, losowo wygenerowany identyfikator przechowywany w pliku cookie. W bazie danych zapisywany jest wyłącznie jego skrót kryptograficzny. Nie jest powiązany z żadnymi danymi osobowymi.
• Zdjęcia — pliki graficzne przesyłane do galerii eventu.
• Dane opcjonalne — imię autora (max 30 znaków) oraz wiadomość (max 100 znaków), podawane dobrowolnie przez gościa przy przesyłaniu zdjęcia.

Dane zbierane automatycznie

• Metadane zdjęć: wymiary, format pliku, rozmiar, data wykonania (jeśli dostępna w metadanych zdjęcia).
• Zdjęcia przesyłane na Platformę mogą zawierać metadane zapisane przez urządzenie (np. data, lokalizacja GPS, model aparatu). Platforma nie odczytuje ani nie wykorzystuje tych danych, ale są one przechowywane jako część pliku zdjęcia.
• Adresy IP mogą być tymczasowo przetwarzane w celu ochrony przed nadużyciami (ograniczenie częstotliwości zapytań), ale nie są zapisywane w bazie danych ani w logach.

3. Cele przetwarzania danych

• Świadczenie usługi — tworzenie i zarządzanie galeriami zdjęć, wyświetlanie zdjęć, generowanie miniatur, umożliwienie pobrania.
• Automatyczne opisy scen (plan Full) — generowanie krótkich nazw rozdziałów galerii (np. "Pierwszy taniec", "Tort") przez zewnętrznego dostawcę AI (OpenAI) na podstawie pojedynczego zdjęcia reprezentującego scenę. Opisy dotyczą sceny, nie identyfikują osób.
• Uwierzytelnianie — logowanie organizatorów (email i hasło lub PIN).
• Obsługa płatności — przetwarzanie rozszerzeń planów przez Stripe.
• Identyfikacja urządzenia — egzekwowanie limitów przesyłania zdjęć na urządzenie, oznaczanie zdjęć jako "moje" w galerii, zliczanie unikalnych urządzeń w statystykach eventu.
• Komunikacja transakcyjna — wysyłanie emaili związanych ze świadczeniem usługi (potwierdzenie rejestracji, płatności, ostrzeżenie o wygaśnięciu, podsumowanie eventu - z podglądem kilku zdjęć i wpisów gości z wydarzenia).
• Monitorowanie błędów — rejestrowanie błędów technicznych w celu poprawy jakości usługi (dane techniczne, bez danych osobowych).
• Statystyki korzystania — zbiorcze statystyki ruchu i działań na Platformie (np. utworzenie wydarzenia, przesłanie zdjęć), zbierane bez plików cookie i bez zapisu na Twoim urządzeniu.
• Pomiar skuteczności reklam — wyłącznie za Twoją zgodą (piksel Meta), zob. punkt 5.

4. Podstawy prawne przetwarzania (RODO)

• Art. 6 ust. 1 lit. b) RODO — przetwarzanie jest niezbędne do wykonania umowy o świadczenie usługi (tworzenie eventów, przechowywanie zdjęć, obsługa płatności).
• Art. 6 ust. 1 lit. f) RODO — prawnie uzasadniony interes Administratora: zapewnienie bezpieczeństwa Platformy, identyfikacja urządzeń w celu egzekwowania limitów, monitorowanie błędów, statystyki korzystania z Platformy.
• Art. 6 ust. 1 lit. a) RODO w związku z art. 399 ustawy Prawo komunikacji elektronicznej — Twoja zgoda: pomiar skuteczności reklam pikselem Meta.

5. Pliki cookie, lokalna pamięć przeglądarki i zgoda

Niezbędne do działania usługi (bez zgody)

Używamy plików cookie niezbędnych do działania usługi: do identyfikacji urządzenia gościa (anonimowy identyfikator), utrzymania sesji organizatora (autoryzacja PIN) oraz sesji zalogowanych użytkowników. W lokalnej pamięci przeglądarki zapisujemy też Twój wybór dotyczący plików cookie.

Poza plikami cookie korzystamy z lokalnej pamięci przeglądarki (IndexedDB, Cache API) wyłącznie w celach niezbędnych do działania usługi: buforowania oglądanej galerii do przeglądania bez połączenia (offline) oraz kolejkowania zdjęć przesyłanych przy braku sieci. Dane te pozostają na Twoim urządzeniu, nie służą do śledzenia i znikają po wyczyszczeniu danych przeglądarki lub odinstalowaniu aplikacji.

Statystyki bez zapisu na urządzeniu

Do zbiorczych statystyk korzystania z Platformy używamy narzędzi PostHog oraz Vercel Web Analytics i Speed Insights. Działają one bez plików cookie i niczego nie zapisują na Twoim urządzeniu, dlatego nie wymagają zgody.

Pomiar skuteczności reklam (za zgodą)

Za Twoją zgodą na stronach informacyjnych, w panelu organizatora i na koncie uruchamiamy piksel Meta (Meta Platforms Ireland Ltd.). Mierzy on, czy nasze reklamy na Facebooku i Instagramie prowadzą do odwiedzin, utworzenia wydarzenia, rejestracji konta lub zakupu, i zapisuje w przeglądarce pliki cookie (_fbp, _fbc). Bez zgody piksel nie jest ładowany, a na stronie wydarzenia dla gości (galeria) nie działa nigdy.

Wybór zapisujemy, gdy klikniesz „Akceptuję” albo „Odrzucam” na pasku u dołu strony. Zgodę możesz w każdej chwili wycofać przyciskiem „Ustawienia cookies” w stopce strony: pasek pojawi się ponownie, a pliki cookie piksela zostaną usunięte z przeglądarki.

6. Podmioty przetwarzające dane (subprocesory)

W celu świadczenia usługi korzystamy z usług podmiotów zewnętrznych:

• Supabase — uwierzytelnianie użytkowników i baza danych
• Stripe — obsługa płatności
• Cloudflare — przechowywanie zdjęć
• Resend — wysyłka emaili
• Vercel — hosting Platformy oraz statystyki ruchu (Web Analytics, Speed Insights) bez plików cookie
• PostHog — statystyki korzystania z Platformy (serwery w UE), bez plików cookie
• Sentry — monitorowanie błędów technicznych (serwery w UE)
• OpenAI — generowanie krótkich opisów scen (nazw rozdziałów galerii) dla planu Full. Do usługi przekazywane jest pojedyncze zdjęcie reprezentujące scenę; dostawca nie wykorzystuje przekazanych danych do trenowania modeli.

Dane z piksela Meta (wyłącznie za zgodą) zbieramy i przekazujemy wspólnie z Meta Platforms Ireland Ltd.; dalej Meta przetwarza je jako odrębny administrator, zgodnie ze swoją polityką prywatności.

7. Okres przechowywania danych

• Zdjęcia — przechowywane przez okres ważności planu. Po wygaśnięciu eventu są dostępne jeszcze przez 30 dni (okres karencji), po czym zostają trwale i automatycznie usunięte.
• Podstawowe dane wydarzenia (nazwa, data, liczba zdjęć) — po usunięciu zdjęć pozostają w koncie jako historia wydarzeń przez okres do 24 miesięcy, po czym zostają trwale usunięte.
• Dane konta — przechowywane do momentu usunięcia konta przez użytkownika.
• Dane płatności — przechowywane przez Stripe zgodnie z obowiązującymi przepisami prawa. W bazie Platformy przechowujemy jedynie identyfikator transakcji, kwotę, metodę płatności i adres email kupującego.
• Pliki cookie — identyfikator urządzenia: do 1 roku; sesja organizatora: do 7 dni; sesja konta: do końca sesji przeglądarki; pliki cookie piksela Meta (tylko za zgodą): do 90 dni lub do wycofania zgody.
• Wybór dotyczący plików cookie — 6 miesięcy po odmowie, 12 miesięcy po zgodzie (potem zapytamy ponownie), chyba że wcześniej go zmienisz lub wyczyścisz dane przeglądarki.
• Lokalna pamięć przeglądarki (cache offline) — buforowana galeria: do 24 godzin; zdjęcia z kolejki offline: do czasu wysłania, nie dłużej niż 7 dni. W każdej chwili usuwalne przez wyczyszczenie danych przeglądarki.

8. Twoje prawa (RODO)

Jako użytkownik masz prawo do:

• dostępu do swoich danych osobowych,
• sprostowania nieprawidłowych danych,
• usunięcia danych ("prawo do bycia zapomnianym"),
• ograniczenia przetwarzania,
• przenoszenia danych do innego administratora,
• sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie,
• wycofania zgody — w dowolnym momencie (dla piksela Meta: przycisk „Ustawienia cookies” w stopce strony), bez wpływu na zgodność z prawem przetwarzania dokonanego przed wycofaniem.

Aby skorzystać z powyższych praw, skontaktuj się z nami: kontakt@fotoclick.pl

Masz również prawo do wniesienia skargi do organu nadzorczego — Prezesa Urzędu Ochrony Danych Osobowych (UODO), ul. Stawki 2, 00-193 Warszawa.

9. Bezpieczeństwo danych

Administrator stosuje odpowiednie środki techniczne i organizacyjne w celu ochrony danych, w tym:

• szyfrowanie połączeń (HTTPS/TLS),
• hashowanie haseł (realizowane przez Supabase) i PIN-ów,
• ograniczenie częstotliwości zapytań API (rate limiting),
• przechowywanie danych w zabezpieczonej infrastrukturze chmurowej,
• cookies z flagami httpOnly i secure (w środowisku produkcyjnym).

10. Przekazywanie danych poza Europejski Obszar Gospodarczy

Część podmiotów, z których korzystamy (Supabase, Stripe, Resend, OpenAI, Vercel, a za Twoją zgodą także Meta), ma siedzibę poza Europejskim Obszarem Gospodarczym albo przekazuje dane poza ten obszar. Przekazywanie danych do tych podmiotów odbywa się na podstawie standardowych klauzul umownych (SCC) zatwierdzonych przez Komisję Europejską lub innych odpowiednich zabezpieczeń przewidzianych w RODO.

11. Zmiany polityki prywatności

Administrator zastrzega sobie prawo do zmiany niniejszej polityki prywatności. Aktualna wersja jest zawsze dostępna na Platformie pod adresem fotoclick.pl/privacy.

12. Kontakt

W sprawach dotyczących ochrony danych osobowych prosimy o kontakt: kontakt@fotoclick.pl

Ostatnia aktualizacja: 3 listopada 2026