Informacje prawne

Polityka prywatności

Stand: 21 października 2026 r. · Wszystkie dokumenty prawne

Tłumaczenie w celach informacyjnych. Wiążąca prawnie jest wyłącznie wersja niemiecka.

Tłumaczenie w celach informacyjnych. Wiążąca prawnie jest wyłącznie wersja niemiecka.

---

1. Administrator danych i kontakt

Administratorem danych w rozumieniu ogólnego rozporządzenia o ochronie danych (DSGVO) jest:

Matthias Anderer GmbH
Abt-Kaspar-Str. 19, 83607 Holzkirchen, Niemcy
Prezes zarządu: Matthias Anderer
E-mail: privacy@snapories.com · Telefon: +49 151 22837719
Amtsgericht München HRB 224848 · Nr VAT DE305934264

W przypadku wszelkich pytań dotyczących ochrony danych oraz w celu wykonywania swoich praw: privacy@snapories.com.

Obecnie nie powołano inspektora ochrony danych; zgodnie z naszą oceną nie są spełnione przesłanki § 38 BDSG. Jeśli ulegnie to zmianie, opublikujemy dane kontaktowe w tym miejscu.

---

2. Za co odpowiadamy my — a za co organizator

Snapories jest zawsze używane w ramach wydarzenia, które ktoś zarezerwował. To, kto jest administratorem danych, zależy od tego, kto dokonuje rezerwacji:

Niezależnie od tego zawsze jesteśmy odrębnym administratorem w zakresie: realizacji umowy i rozliczeń, bezpieczeństwa operacyjnego i informatycznego, przeciwdziałania nadużyciom, zagregowanych danych o korzystaniu bez odniesienia do osób, pomiaru skuteczności naszych własnych działań reklamowych (punkt 4) oraz wypełniania obowiązków prawnych.

W przypadku aplikacji dla gości łączy nas ponadto bezpośrednia relacja z Tobą jako gościem: korzystasz z aplikacji z własnej decyzji; podstawą prawną jest w tym zakresie Art. 6 Abs. 1 lit. b DSGVO (stosunek korzystania).

---

3. Przegląd sześciu interfejsów

Snapories składa się z sześciu oddzielnych witryn/aplikacji. Znajdują się one we własnych domenach i nie współdzielą żadnej pamięci w przeglądarce — z wyjątkiem plików cookie piksela Reddit, które powstają wyłącznie po wyrażeniu przez Ciebie zgody na witrynie marketingowej (punkt 4.6):

---

4. Witryna marketingowa (snapories.com)

4.1 Dane dziennika serwera. Podczas wywołania strony przetwarzane są dane technicznie niezbędne: adres IP, data i godzina, wywołany zasób, kod statusu, ilość przesłanych danych, referrer, User-Agent. Cel: dostarczanie treści, stabilność, bezpieczeństwo IT. Podstawa prawna: Art. 6 Abs. 1 lit. f DSGVO (uzasadniony interes w bezpiecznej, sprawnie działającej ofercie). Okres przechowywania: krótkotrwale w ramach dzienników eksploatacyjnych naszego dostawcy hostingu.

Nasza sieć dostarczania treści prowadzi dla witryny marketingowej dodatkowo dziennik dostępu z tymi samymi danymi. Analizujemy go raz dziennie, aby policzyć, które strony pobierają zautomatyzowane programy (np. roboty indeksujące wyszukiwarek), oraz aby rozpoznać programy, które podają się za takie, nimi nie będąc. Następnie zapisywane jest tylko to, ile razy taki program pobrał daną stronę w ciągu dnia — bez adresu IP. Sam dziennik jest usuwany po 7 dniach. Podstawa prawna: Art. 6 Abs. 1 lit. f DSGVO (uzasadniony interes w obserwowaniu wykrywalności witryny i rozpoznawaniu nadużywających wywołań).

4.2 Zliczanie stron bez plików cookie. Abyśmy wiedzieli, które strony są pomocne i w którym miejscu formularz rezerwacji traci odwiedzających, każda strona wysyła naszemu własnemu serwerowi krótki komunikat: która strona została wywołana, jak daleko dotarłeś/dotarłaś w formularzu rezerwacji, domenę strony odsyłającej (nie jej pełny adres) oraz dane kampanii, które znajdowały się w adresie, przez który trafiłeś/trafiłaś na witrynę (np. utm_source lub identyfikator kliknięcia sieci reklamowej). Komunikat ten nie zawiera żadnego identyfikatora i nie umieszcza na Twoim urządzeniu ani pliku cookie, ani żadnego innego wpisu.

Aby połączyć strony jednej wizyty, nasz serwer tworzy z Twojego adresu IP — skróconego do zakresu sieci (IPv4 /24, IPv6 /64) — oraz z generowanej codziennie na nowo wartości losowej wartość skrótu (hash). Służy ona wyłącznie do odnalezienia trwającej wizyty; dla danej wizyty zapisywany jest losowy numer, który wygasa po 30 minutach bez wywołania strony. Codzienna wartość losowa jest usuwana po 2 dniach; potem również my nie jesteśmy w stanie ustalić, który zakres sieci należał do której wizyty. User-Agent Twojej przeglądarki odczytujemy przy tym wyłącznie po to, aby odfiltrować zadeklarowane roboty indeksujące; nie jest on zapisywany. Pozostają zbiorcze dane dzienne — wywołania stron, wizyty, kroki w formularzu rezerwacji, pochodzenie wizyt — bez odniesienia do osoby. Dane nie opuszczają naszych własnych systemów.

Podstawa prawna: Art. 6 Abs. 1 lit. f DSGVO. Nasz uzasadniony interes polega na zrozumieniu, które treści są wykorzystywane i gdzie rezerwacja się nie udaje, aby ulepszać ofertę. Twoje interesy uważamy za zabezpieczone dzięki temu, że nie powstaje żaden identyfikator wykraczający poza jedną wizytę, nic nie jest zapisywane na Twoim urządzeniu, nie jest tworzony żaden profil i nic nie jest przekazywane osobom trzecim. Możesz wnieść sprzeciw wobec tego przetwarzania na podstawie Art. 21 DSGVO (punkt 13). Ponieważ zliczanie działa bez identyfikatora, podczas późniejszej wizyty nie rozpoznajemy Cię ponownie i dlatego nie możemy przypisać sprzeciwu do żadnej przyszłej wizyty; sam komunikat można jednak w każdej chwili zablokować za pomocą blokera treści w Twojej przeglądarce, bez ograniczania przez to funkcjonowania witryny.

4.3 Formularz rezerwacji. W celu dokonania rezerwacji przetwarzamy imię i nazwisko, adres e-mail, adres rozliczeniowy i kraj, nazwę i okres wydarzenia, wybraną liczbę gości i kontyngenty oraz ewentualny kod rabatowy. Podstawa prawna: Art. 6 Abs. 1 lit. b DSGVO (realizacja umowy), a w przypadku danych rozliczeniowych i podatkowych dodatkowo Art. 6 Abs. 1 lit. c DSGVO (§ 14 UStG, § 147 AO).

Jeśli trafiłeś/trafiłaś na witrynę przez reklamę lub link kampanii, zapisujemy przy rezerwacji dodatkowo dane kampanii z adresu wejściowego (źródło, kampania, identyfikator kliknięcia sieci reklamowej), sam adres wejściowy oraz wyprowadzone z niego pochodzenie rezerwacji. W ten sposób rozpoznajemy, która reklama prowadzi do rezerwacji. Podstawa prawna: Art. 6 Abs. 1 lit. f DSGVO (uzasadniony interes w mierzeniu skuteczności własnej reklamy). Dane te pozostają u nas. Do sieci reklamowej trafiają wyłącznie za Twoją zgodą zgodnie z punktem 4.6; tylko wtedy rejestrujemy przy rezerwacji dodatkowo Twój adres IP i identyfikator Twojej przeglądarki (User-Agent), i to tylko krótkotrwale na potrzeby tego komunikatu (punkt 4.6, 14).

4.4 Nawiązanie kontaktu. Jeśli do nas napiszesz, przetwarzamy Twoje dane w celu udzielenia odpowiedzi. Podstawa prawna: Art. 6 Abs. 1 lit. b lub lit. f DSGVO. Usuwamy korespondencję, gdy tylko przestanie być potrzebna i nie będzie temu stał na przeszkodzie obowiązek przechowywania.

4.5 Twój wybór podczas pierwszej wizyty. Podczas pierwszej wizyty na witrynie marketingowej pytamy Cię, czy zezwalasz na pomiar reklam zgodnie z punktem 4.6. Odmowa jest tak samo prosta jak zgoda, a dopóki nie wyrazisz zgody, nic z tego nie jest ładowane. Jeśli Twoja przeglądarka wysyła sygnał „Global Privacy Control", traktujemy to jako odmowę i nie pytamy. Twój wybór zapisujemy w pamięci lokalnej Twojej przeglądarki (data, wersja tego zapytania i Twoja odpowiedź, bez identyfikatora), abyśmy nie pytali ponownie przy każdym wywołaniu strony; obowiązuje on 12 miesięcy lub do momentu, gdy zmienimy treść zapytania. Za pośrednictwem linku „Cookies" w stopce każdej strony możesz w każdej chwili przejrzeć i zmienić swój wybór. Podstawa prawna: Art. 6 Abs. 1 lit. c DSGVO w związku z Art. 7 Abs. 1 DSGVO (wykazanie zgody); zapisanie wyboru nie wymaga zgody zgodnie z § 25 Abs. 2 Nr. 2 TDDDG. Aplikacja dla gości, panel organizatora i nasze pozostałe interfejsy nie pytają, ponieważ nie odbywa się tam żaden pomiar reklam.

4.6 Pomiar naszych reklam na Reddicie (tylko za Twoją zgodą). Reklamujemy się na platformie Reddit. Abyśmy mogli rozpoznać, które z tych reklam prowadzą do wizyt i rezerwacji, oraz aby Reddit mógł pokazywać nasze reklamy tym osobom, dla których są one interesujące, korzystamy — wyłącznie na witrynie marketingowej i tylko wtedy, gdy wyraziłeś/wyraziłaś zgodę — z dwóch sposobów pomiaru oferowanych przez Reddit:

a) Piksel Reddita w przeglądarce. Po wyrażeniu przez Ciebie zgody strona ładuje skrypt z www.redditstatic.com. Umieszcza on w naszej domenie do dwóch plików cookie: _rdt_uuid, losowy numer, po którym Reddit rozpoznaje Twoją przeglądarkę na przestrzeni wielu wizyt, oraz — jeśli trafiłeś/trafiłaś przez reklamę na Reddicie — _rdt_cid z identyfikatorem kliknięcia tej reklamy. Oba obowiązują 90 dni. Znajdują się one w domenie snapories.com i dlatego technicznie są wysyłane również przy wywołaniach naszych pozostałych interfejsów; tam nikt ich nie odczytuje. Skrypt zgłasza Redditowi przy każdym wywołaniu strony zdarzenie odsłony strony, a po opłaconej rezerwacji zdarzenie zakupu z kwotą netto, walutą i identyfikatorem zdarzenia. Reddit otrzymuje przy tym adres strony, stronę odsyłającą, wartości wymienionych plików cookie, dane dotyczące Twojej przeglądarki i rozmiaru ekranu oraz — ze względów technicznych — Twój adres IP. Jeśli jesteś zalogowany/zalogowana na Reddicie, Twoja przeglądarka wysyła przy tym również pliki cookie z reddit.com; Reddit może wtedy przypisać komunikat do Twojego konta Reddit. Nie przekazujemy pikselowi żadnego adresu e-mail ani numeru telefonu, a automatyczne dopasowywanie danych kontaktowych wyświetlanych na stronie jest wyłączone.

b) Zgłoszenie rezerwacji z naszego serwera. Ponieważ przeglądarki i blokery reklam często uniemożliwiają zgłoszenia z przeglądarki, dodatkowo nasz serwer zgłasza opłaconą rezerwację Redditowi (Conversions API) — również tylko wtedy, gdy przy rezerwacji wyraziłeś/wyraziłaś zgodę na pomiar reklam. Przekazywane są: zdarzenie „zakup" i jego moment, kwota netto i waluta, ten sam identyfikator zdarzenia co w przeglądarce (aby Reddit nie liczył rezerwacji podwójnie), wartość skrótu SHA-256 Twojego adresu e-mail, identyfikator kliknięcia Reddita, wartość pliku cookie _rdt_uuid, adres, przez który trafiłeś/trafiłaś na witrynę, oraz adres IP i identyfikator przeglądarki (User-Agent), za pomocą których wysłałeś/wysłałaś rezerwację. Reddit wykorzystuje adres IP i identyfikator przeglądarki, aby przypisać rezerwację do reklamy, przez którą trafiłeś/trafiłaś. Oba rejestrujemy przy kliknięciu „Zapłać" tylko wtedy, gdy w tym momencie wyraziłeś/wyraziłaś zgodę na pomiar reklam, i nie zapisujemy ich przy Twojej rezerwacji, lecz oddzielnie od niej tylko tak długo, aż komunikat zostanie wysłany do Reddita: naszą kopię usuwamy, gdy tylko komunikat zostanie przekazany, najpóźniej jednak po 14 dniach — także wtedy, gdy komunikat nie dojdzie do skutku. Nie przekazujemy Twojego imienia i nazwiska, Twojego adresu ani danych dotyczących Twojego wydarzenia. Wartość skrótu nie jest anonimizacją: Reddit porównuje ją z wartościami skrótu adresów e-mail swoich użytkowników i może w ten sposób przypisać rezerwację do konta Reddit.

Co Reddit z tym robi. Reddit wykorzystuje te dane zgodnie ze swoimi warunkami, aby pokazać nam, ile wizyt i rezerwacji wynika z naszych reklam, aby optymalizować dostarczanie naszych reklam i aby ulepszać swoje usługi reklamowe; Reddit może na tej podstawie tworzyć również grupy docelowe dla reklam na Reddicie. Od Reddita otrzymujemy wyłącznie zbiorcze analizy, bez danych o poszczególnych osobach.

Podstawa prawna. Zapisywanie plików cookie i odczytywanie informacji z Twojej przeglądarki: § 25 Abs. 1 TDDDG, czyli Twoja zgoda. Dalsze przetwarzanie, w tym zgłoszenie z naszego serwera: Art. 6 Abs. 1 lit. a DSGVO, również Twoja zgoda.

Współadministrowanie i własna odpowiedzialność. W zakresie gromadzenia danych na naszej witrynie i ich przekazywania Redditowi my i Reddit wspólnie decydujemy o celach i środkach; w tym zakresie jesteśmy wraz z Redditem współadministratorami w rozumieniu Art. 26 DSGVO (TSUE, wyrok z dnia 29 lipca 2019 r., C-40/17 — Fashion ID). Za uzyskanie Twojej zgody i za informację zgodną z niniejszym oświadczeniem odpowiadamy my. Za wszystko, co Reddit robi z danymi po ich otrzymaniu, odpowiada wyłącznie Reddit; warunki reklamowe Reddita (Reddit Business Tool Terms oraz Reddit Advertising Data Processing Agreement) opisują Reddit w tym zakresie jako niezależnego administratora. Swoich praw zgodnie z punktem 13 możesz dochodzić wobec nas oraz wobec Reddita; to, co kierujesz do nas, a co dotyczy przetwarzania przez Reddit, przekazujemy dalej. Sposób, w jaki Reddit przetwarza dane, opisuje polityka prywatności Reddita.

Odbiorcy. Partnerem umownym dla klientów reklamowych w Europejskim Obszarze Gospodarczym jest Reddit Netherlands B.V., Euro Business Center, Looiersgracht 43, 1016 VR Amsterdam, Holandia. Dane są ponadto przetwarzane przez Reddit, Inc., 548 Market St. #16093, San Francisco, CA 94104, USA. Kontakt w sprawach ochrony danych Reddita: dpo@reddit.com.

Przekazywanie do państwa trzeciego. Reddit, Inc. posiada certyfikat w ramach EU-US Data Privacy Framework; przekazywanie do USA opiera się na decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony z dnia 10 lipca 2023 r. Na wypadek, gdyby ta podstawa nie miała zastosowania lub przestała obowiązywać, Reddit i my uzgodniliśmy dodatkowo standardowe klauzule umowne Komisji Europejskiej (Moduł 1, przekazywanie między administratorami) (punkt 11).

Okres przechowywania. Pliki cookie _rdt_uuid i _rdt_cid obowiązują 90 dni. W powiązaniu z rezerwacją zapisujemy fakt, że wyraziłeś/wyraziłaś zgodę, oraz wartość _rdt_uuid, tak długo, jak przechowujemy rezerwację (punkt 14). Adres IP i identyfikator przeglądarki z rezerwacji usuwamy, gdy tylko komunikat zostanie wysłany do Reddita, najpóźniej po 14 dniach. To, jak długo Reddit przechowuje dane, określa polityka prywatności Reddita.

Wycofanie zgody. Możesz w każdej chwili ze skutkiem na przyszłość wycofać swoją zgodę — najprościej za pośrednictwem linku „Cookies" w stopce każdej strony. Od tego momentu witryna nie zgłasza już niczego Redditowi i nie ładuje piksela podczas kolejnych wizyt, oba pliki cookie są usuwane z naszej domeny, a nasz serwer nie zgłasza Redditowi żadnej kolejnej rezerwacji. Zgodność z prawem przetwarzania dokonanego do tego momentu pozostaje nienaruszona. To, co Reddit już otrzymał, znajduje się u Reddita; usunięcia tych danych możesz zażądać od Reddita, a my Cię w tym wesprzemy. Bez zgody możesz korzystać z witryny i dokonać rezerwacji bez ograniczeń.

---

5. Aplikacja dla gości (app.snapories.com)

5.1 Tożsamość bez konta

Nie zakładasz konta. Aby Twoje zdjęcia i Twoja rolka filmowa pozostały przypisane do Ciebie, nasz serwer wystawia Ci podpisany bilet dostępu. Bilet ten znajduje się w trzech miejscach: w lokalnej pamięci Twojej przeglądarki, w ustawionym przez nas pliku cookie (spr_id) oraz — dla bieżącego wywołania — w krótkotrwałym drugim wpisie.

Wyraźnie nie stosujemy pobierania odcisków urządzeń (fingerprinting). Stosowana wcześniej metoda, która rozpoznawała Twoje urządzenie na podstawie cech technicznych, została całkowicie usunięta: mogła mylić dwa identyczne urządzenia i nie dawała się uzasadnić z punktu widzenia ochrony danych. Urządzenie bez ważnego biletu jest dla nas nową, nieznaną osobą.

Podstawa prawna: Art. 6 Abs. 1 lit. b DSGVO. Ustawienie biletu jest technicznie bezwzględnie konieczne i dlatego zgodnie z § 25 Abs. 2 Nr. 2 TDDDG nie wymaga zgody.

5.2 Twoje imię

Imię podane przy dołączeniu można wybrać dowolnie. Jest ono wyświetlane innym uczestnikom tego wydarzenia, jeśli organizator(ka) tak ustawił(a). Podstawa prawna: Art. 6 Abs. 1 lit. b DSGVO.

5.3 Zdjęcia i obrazy

Przetwarzamy obrazy wykonane przez Ciebie, pochodne technicznie wersje (miniatury) oraz metadane (moment, wymiary, przypisanie do Ciebie i do wydarzenia). Cel: udostępnienie galerii wydarzenia. Podstawa prawna: Art. 6 Abs. 1 lit. b DSGVO wobec Ciebie; w odniesieniu do innych przedstawionych na obrazach osób Art. 6 Abs. 1 lit. f DSGVO (uzasadniony interes uczestników we wspólnym dokumentowaniu wydarzenia w zamkniętym gronie).

Osoby przedstawione na obrazach, które nie korzystają z aplikacji, mają prawa wynikające z punktu 13 — w szczególności prawo sprzeciwu zgodnie z Art. 21 DSGVO. Praktycznie dostępne są dwie drogi: organizator(ka) może natychmiast zablokować pojedynczy obraz, a my usuwamy obrazy na żądanie. Automatyczne rozpoznawanie twarzy, automatyczne maskowanie ani porównywanie ze zdjęciem referencyjnym nie odbywa się.

Brak danych biometrycznych. Snapories nie tworzy wzorców twarzy (szablonów) ani wektorów twarzy i nie przeprowadza żadnego porównania biometrycznego. Nie rozpoznajemy nikogo po twarzy, nie porównujemy obrazów ze zdjęciem referencyjnym i nie jesteśmy w stanie odczytać z obrazu, kto jest na nim widoczny. Zaplanowana wcześniej funkcja maskowania własnej twarzy została usunięta przed wprowadzeniem na rynek i nie występuje w systemie.

Co opisuje analiza SI. Gdy obraz jest analizowany na potrzeby fotobudki SI (punkt 6), powstaje przy tym krótki opis każdej osoby przedstawionej na pierwszym planie — w tym jej widocznego odcienia skóry i jej widocznego pochodzenia etnicznego. Służy on temu, aby wygenerowany obraz zachowywał wygląd przedstawionych osób, a nie zastępował go cudzym. Są to dane szczególnej kategorii w rozumieniu Art. 9 DSGVO i nazywamy je tutaj wprost, zamiast twierdzić, że nie powstają. Są one wykorzystywane wyłącznie do tego jednego celu: nie używamy ich, aby kogokolwiek klasyfikować, profilować, segmentować, oceniać ani rozpoznawać, i w ramach usługi nie wpływają one na nic poza obrazem, który jest generowany. Nie są zapisywane w naszej bazie danych. Na potrzeby wygenerowania są one przenoszone w postaci zaszyfrowanej w tokenie sesji, który Twoja aplikacja przechowuje przez czas trwania tej sesji; przy automatycznej kontroli zgodnie z punktem 6.1a są odrzucane, gdy tylko wyprowadzona z nich zostanie odpowiedź tak/nie. Szczegóły dotyczące przekazywania, podstawy prawnej i przechowywania u dostawcy SI: punkt 6.

5.4 Kontyngenty i udostępnianie

Liczymy, ile zdjęć i kredytów zużyłeś(-aś) oraz czy dany obraz został udostępniony. Te liczniki są niezbędne do działania usługi (zarządzanie kontyngentem) i zasilają zagregowane, nieosobowe statystyki. Podstawa prawna: Art. 6 Abs. 1 lit. b und lit. f DSGVO.

5.5 Dostęp do galerii

Galeria wydarzenia jest dostępna za pomocą siedmioznakowego, losowego kodu dołączenia. Kodu praktycznie nie da się odgadnąć, nie stanowi on jednak logowania: kto go zna, może zobaczyć udostępnione obrazy wydarzenia. Zwracamy na to uwagę, abyś mógł(-mogła) ocenić, kto może zobaczyć Twoje obrazy.

Dostęp ten istnieje tylko w okresie trwania wydarzenia. Wraz z zakończeniem wydarzenia galeria nie jest już dostępna dla gości; osoba organizująca może następnie udostępnić obrazy za pomocą ograniczonego czasowo linku udostępniającego (punkt 14).

5.6 Osobisty link do odzyskiwania

Za pomocą funkcji „Zapisz zdjęcia” tworzysz link, który zawiera Twój identyfikator. Kto posiada ten link, uzyskuje dostęp do Twoich obrazów i kontyngentów. Traktuj go jak hasło. Link jest ważny do 400 dni i można go użyć wyłącznie do przejęcia tożsamości, nie zaś jako ogólnego klucza dostępu.

---

6. Fotobudka SI i automatyczna kontrola obrazów — przekazywanie do dostawcy SI

6.1 Co dzieje się w fotoboxie. Fotobox nie ma własnego aparatu. Fotografujesz jednym aparatem aplikacji; następnie wybierasz jedno z własnych zdjęć, które już znajduje się w galerii, i opisujesz, co ma się z nim stać. To zdjęcie zostaje wraz z wprowadzonym przez Ciebie tekstem przekazane do dostawcy sztucznej inteligencji Google (Gemini API, generativelanguage.googleapis.com). Tam w kilku krokach ustalana jest liczba przedstawionych osób, generowane są propozycje kostiumów, a na koniec powstaje obraz wynikowy. Wynik zapisujemy jako dodatkowy obraz Twojego wydarzenia.

Twoje pierwotne zdjęcie nie jest ani zmieniane, ani zastępowane — pozostaje w galerii dokładnie takie, jak je zrobiłeś(-aś). Jeśli zastosujesz SI dwukrotnie do tego samego zdjęcia, otrzymasz dwa obrazy wynikowe.

Na czas trwania jednej generacji tworzymy w regionie danych wydarzenia kopię roboczą wybranego przez Ciebie zdjęcia. Nie jest ona nigdzie wyświetlana; istnieje po to, aby obraz, który odrzucimy jako nieodpowiedni, mógł zostać usunięty bez naruszania Twojego zdjęcia w galerii. Jeśli Twoje zdjęcie zostanie odrzucone, usuwamy tę kopię natychmiast. W przeciwnym razie należy ona do danych wydarzenia i zostaje usunięta wraz z nim; możesz w każdej chwili zażądać jej usunięcia (punkt 13).

6.1a Automatyczne sprawdzanie każdego przesłanego obrazu. Aby aplikacja wiedziała, przy których obrazach może Ci w ogóle zaoferować funkcję SI, każdy przesłany przez Ciebie obraz jest automatycznie sprawdzany — nie tylko te, które później faktycznie wykorzystasz. Dzieje się to bez Twojego udziału, bezpośrednio po przesłaniu, a w tym celu obraz jest przekazywany do tego samego dostawcy SI na tych samych warunkach co zgodnie z punktem 6.1 (Google, Gemini API) — zmniejszony do długości krawędzi wynoszącej najwyżej 1.280 pikseli, o ile nasze oprogramowanie jest w stanie ponownie zakodować obraz, w przeciwnym razie bez zmniejszenia.

O co pytamy i co zachowujemy. Pytamy o dwie rzeczy: czy na obrazie w ogóle znajduje się jakaś osoba oraz czy kadr jest wystarczająco szeroki, aby zmieścił się kostium. Na tej podstawie wyprowadzamy jedną jedyną odpowiedź tak/nie i tylko tę odpowiedź — jedną wartość, nic poza tym — zapisujemy przy obrazie. Samej odpowiedzi dostawcy nie zapisujemy; zostaje ona odrzucona, gdy tylko wyprowadzimy z niej odpowiedź tak/nie (to, co zawiera, opisuje ramka w punkcie 5.3).

Kiedy sprawdzanie nie następuje. Sprawdzanie przebiega tylko przy wydarzeniach, dla których osoba organizująca zarezerwowała obrazy SI. Przy wydarzeniu bez nich nic nie jest przekazywane i nic nie jest sprawdzane. Jeśli sprawdzanie się nie powiedzie lub potrwa zbyt długo, Twój obraz pozostaje po prostu nieoceniony — zostaje przesłany, zapisany i wyświetlony jak dotychczas, a nic się w nim nie zmienia.

Co to dla Ciebie oznacza. Odpowiedź decyduje wyłącznie o tym, czy funkcja SI zostanie zaoferowana dla tego obrazu. Nie jest to ocena obrazu ani przedstawionych na nim osób, nie jest nikomu wyświetlana, nie jest przekazywana dalej i nie wpływa na nic innego w usłudze.

6.2 Podstawa prawna. Dla żądanej przez Ciebie generacji: Art. 6 Abs. 1 lit. b DSGVO — generacja jest żądaną przez Ciebie usługą. Dla automatycznego sprawdzania zgodnie z punktem 6.1a: Art. 6 Abs. 1 lit. f DSGVO — nasz prawnie uzasadniony interes oraz interes osoby organizującej, polegający na oferowaniu zarezerwowanej funkcji SI tylko tam, gdzie może ona faktycznie działać, zamiast oferowania działania, które by się nie powiodło. Zgodnie z Art. 21 DSGVO możesz w każdej chwili wnieść sprzeciw (punkt 13); wystarczy wiadomość do nas.

6.3 Co dostawca z tym robi. Zgodnie z warunkami obowiązującymi dla korzystania odpłatnego Google nie wykorzystuje danych wejściowych ani wyników do trenowania swoich modeli. Google rejestruje dane wejściowe i wyniki przez ograniczony czas wyłącznie w celu wykrywania nadużyć i wypełniania obowiązków prawnych.

6.4 Miejsce przetwarzania i przekazywanie do państwa trzeciego. Wykorzystywany interfejs przetwarza również w przypadku wydarzeń z regionem danych UE poza Unią Europejską, w szczególności w Stanach Zjednoczonych. Podstawą jest decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony dla EU-US Data Privacy Framework, o ile odbiorca jest certyfikowany, uzupełniająco standardowe klauzule umowne Komisji Europejskiej wraz z dodatkowymi środkami ochrony. Mimo tych instrumentów przy przekazywaniu do USA pozostają ryzyka resztkowe, w szczególności w odniesieniu do możliwości dostępu przez organy państwowe.

6.5 Granice. Przekazujemy obrazy oraz, w przypadku generacji, wprowadzony przez Ciebie tekst — nic poza tym: nie Twoje imię, nie Twój identyfikator, nie Twój adres e-mail ani nie obrazy innych gości. Przy generacji jest to dokładnie to jedno wybrane przez Ciebie zdjęcie. Przy automatycznym sprawdzaniu zgodnie z punktem 6.1a jest to każdorazowo przesyłany obraz, pojedynczo podczas przesyłania — nigdy cała Twoja galeria.

6.6 Oznaczanie. Wyniki fotoboxu są w aplikacji widocznie oznaczane jako wygenerowane przez SI (Art. 50 Abs. 4 KI-VO).

---

7. Ochrona przed zautomatyzowanymi nadużyciami (Cloudflare Turnstile)

7.1 W formularzach, które uruchamiają generację lub wysyłają wiadomość e-mail, stosujemy Cloudflare Turnstile — przyjazną dla prywatności alternatywę dla zagadek obrazkowych.

7.2 Co jest przy tym przetwarzane. Moduł sprawdzający ładuje się z challenges.cloudflare.com i analizuje sygnały Twojej przeglądarki. Przy potwierdzeniu po stronie serwera przekazujemy Cloudflare wystawiony token weryfikacyjny oraz Twój adres IP.

7.3 Co przy tym nie następuje. Zmierzyliśmy, że Turnstile nie pozostawia na naszej domenie ani pliku cookie, ani żadnego innego wpisu w pamięci Twojej przeglądarki. Nie jest ustawiany żaden identyfikator reklamowy ani nie jest tworzony profil obejmujący wiele witryn.

7.4 Podstawa prawna. Art. 6 Abs. 1 lit. f DSGVO (motyw 49: bezpieczeństwo sieci i informacji, zapobieganie oszustwom). Pobranie modułu sprawdzającego jest technicznie bezwzględnie konieczne dla żądanej przez Ciebie funkcji i tym samym nie wymaga zgody zgodnie z § 25 Abs. 2 Nr. 2 TDDDG.

7.5 Odbiorca i państwo trzecie. Cloudflare, Inc., USA, lub Cloudflare Germany GmbH. Przekazywanie do USA odbywa się na podstawie EU-US Data Privacy Framework oraz uzupełniająco standardowych klauzul umownych.

---

8. Dalsze operacje przetwarzania w ramach działalności

8.1 Granice nadużyć bezpłatnej wersji demonstracyjnej. Aby bezpłatna funkcja testowania nie była wykorzystywana w sposób zautomatyzowany, zliczamy wygenerowania przypadające na każdą kartę dostępu i na każdy zakres sieci. Twój adres IP nie jest przy tym zapisywany: najpierw zostaje skrócony do zakresu sieci (IPv4 /24, IPv6 /64), a następnie wartość ta jest nieodwracalnie skracana za pomocą kryptograficznej funkcji skrótu. Zapisywany jest wyłącznie ten skrót oraz licznik. Okres przechowywania: 2 dni. Podstawa prawna: Art. 6 Abs. 1 lit. f DSGVO (ochrona przed nadużyciami i przed niekontrolowanymi kosztami).

8.2 Obsługa płatności. Płatności realizujemy za pośrednictwem Stripe (Stripe Payments Europe, Ltd., Irlandia). Dane płatnicze i rozliczeniowe są przy tym przekazywane bezpośrednio do Stripe; pełne dane karty nie trafiają do naszych systemów. Jeśli płacisz za pomocą PayPal, odbywa się to jako metoda płatności w ramach Stripe. Podstawa prawna: Art. 6 Abs. 1 lit. b DSGVO, a w zakresie dokumentacji podatkowej Art. 6 Abs. 1 lit. c DSGVO. Stripe częściowo przetwarza dane płatnicze również jako samodzielny administrator w celu zapobiegania oszustwom oraz wypełniania własnych obowiązków wynikających z przepisów nadzorczych.

8.3 Logowanie za pomocą kodu jednorazowego. W celu logowania do panelu organizatora oraz do konsoli wewnętrznej wysyłamy sześciocyfrowy kod jednorazowy na podany adres. Kod jest ważny 10 minut, a następnie zostaje usunięty. Podstawa prawna: Art. 6 Abs. 1 lit. b DSGVO.

8.3a Odzyskiwanie kluczy administratora. Za pośrednictwem funkcji odzyskiwania wysyłamy klucze administratora danego wydarzenia wyłącznie na zapisany adres. Podstawa prawna: Art. 6 Abs. 1 lit. b DSGVO.

8.4 Dane organizatorów, partnerów i dane z programu polecającego. Przetwarzamy imię i nazwisko, adres e-mail, region, zarezerwowane wydarzenia, dane rozliczeniowe i płatnicze, a także — w przypadku partnerów — nazwę firmy, stronę internetową, kraj, logo i kolor marki oraz — w programie polecającym — osobisty kod, powiązane z nim realizacje oraz stan punktów. Podstawa prawna: Art. 6 Abs. 1 lit. b DSGVO, a w odniesieniu do danych istotnych podatkowo Art. 6 Abs. 1 lit. c DSGVO.

8.5 Konsola wewnętrzna. Nasi pracownicy widzą w konsoli wewnętrznej wskaźniki biznesowe, dane podstawowe wydarzeń i kont, kody, realizacje oraz dane partnerów. Dostęp jest ograniczony do wyraźnie zapisanej listy adresów, a wszyscy pracownicy są zobowiązani do zachowania poufności.

8.6 Czynności po zakończeniu wydarzenia: zdjęcia oraz jedno pytanie w wiadomości e-mail. Około 35 godzin po zakończeniu zarezerwowanego wydarzenia piszemy na adres e-mail, za pomocą którego wydarzenie zostało zarezerwowane. Wiadomość zawiera link o ograniczonym czasie ważności, za pośrednictwem którego można pobrać wszystkie zdjęcia z wydarzenia w postaci archiwum, oraz prośbę o krótką odpowiedź, jak przebiegło wydarzenie. Trafia ona wyłącznie do osoby dokonującej rezerwacji — w odniesieniu do gości nie przechowujemy żadnego adresu e-mail (punkt 5.1). Przetwarzane są w tym celu adres e-mail oraz imię i nazwisko osoby dokonującej rezerwacji, nazwa i okres trwania wydarzenia, a także wygenerowany w tym celu link udostępniający.

Dwa cele, dwie podstawy prawne. Udostępnienie zdjęć to zakupione przez Ciebie świadczenie: Art. 6 Abs. 1 lit. b DSGVO. Pytanie zwrotne jest reklamą bezpośrednią własnych podobnych świadczeń: Art. 6 Abs. 1 lit. f DSGVO (uzasadniony interes polegający na reklamowaniu i ulepszaniu własnej oferty), uregulowaną szczegółowo w § 7 Abs. 3 UWG. Spełniamy jego przesłanki: adres otrzymaliśmy od Ciebie w związku ze sprzedażą, używamy go wyłącznie dla własnych podobnych świadczeń, nie piszemy do nikogo, kto wniósł sprzeciw, oraz informujemy Cię o przysługującym Ci prawie sprzeciwu zarówno przy pozyskiwaniu adresu, jak i w każdej takiej wiadomości e-mail.

8.7 Sprzeciw wobec tej wiadomości e-mail oraz co w związku z nim przechowujemy. W każdej chwili możesz wnieść sprzeciw wobec używania Twojego adresu do pytania zwrotnego — za pośrednictwem linku w każdej takiej wiadomości e-mail lub w dowolnej formie na adres support@snapories.com. Nie powstają przy tym po Twojej stronie żadne koszty poza kosztami przekazania według taryf podstawowych. Po wniesieniu sprzeciwu nadal otrzymasz wiadomość e-mail ze swoimi zdjęciami, ponieważ stanowi ona wykonanie umowy; pytanie zwrotne zostaje pominięte. Szczegóły dotyczące prawa sprzeciwu znajdziesz w punkcie 13.

W odniesieniu do samego sprzeciwu przechowujemy Twój adres e-mail, moment jego wniesienia oraz drogę, którą do nas dotarł. Podstawa prawna: Art. 6 Abs. 1 lit. c DSGVO w związku z § 7 Abs. 3 Nr. 3 UWG oraz Art. 6 Abs. 1 lit. f DSGVO (uzasadniony interes polegający na możliwości trwałego uwzględniania raz wniesionego sprzeciwu). Wpis ten nie jest usuwany; dlaczego — wyjaśniamy w punkcie 14.

---

9. Przechowywanie na Twoim urządzeniu końcowym

Bez Twojej zgody Snapories przechowuje wyłącznie to, co jest bezwzględnie konieczne dla żądanej usługi. Konkretnie są to: kilka ustawionych przez nas plików cookie — spr_id w aplikacji dla gości, aby Twoje zdjęcia pozostały przypisane do Ciebie, spr_oclaim podczas rezerwacji, dzięki któremu rozpoznajemy, że Twoja strona potwierdzenia jest tą, z której dokonano płatności, oraz spr_lang dla wybranego przez Ciebie języka — a także kilka wpisów w pamięci lokalnej Twojej przeglądarki dotyczących karty dostępu, wyboru języka, wyglądu, ostatnio otwartego wydarzenia, Twojego wyboru w zapytaniu o zgodę oraz wersji offline aplikacji. W przypadku tego przechowywania § 25 Abs. 2 Nr. 2 TDDDG wymaga informacji, a nie zgody.

Za Twoją zgodą na stronie marketingowej dochodzą pliki cookie piksela Reddit (punkt 4.6). Są one ustawiane dopiero po wyrażeniu przez Ciebie zgody na pomiar skuteczności reklam i usuwane, gdy wycofasz swoją zgodę. W aplikacji dla gości, w panelu organizatora oraz na pozostałych naszych interfejsach nie występuje przechowywanie wymagające zgody; dlatego nie pojawia się tam również żadne zapytanie.

Pełną, zawsze aktualną listę każdego pojedynczego wpisu — klucz, cel, czas życia, dostawca — znajdziesz pod adresem snapories.com/de/cookies. Lista ta jest generowana bezpośrednio z kodu źródłowego i wymuszana przez automatyczne porównanie: nowy wpis w pamięci w kodzie powoduje niepowodzenie testu, dopóki nie zostanie tam zadeklarowany. Dzięki temu informacja ta nie może się zdezaktualizować.

---

10. Odbiorcy Twoich danych

Dane osobowe przekazujemy wyłącznie w zakresie, w jakim jest to konieczne dla prowadzenia działalności lub w jakim jesteśmy do tego prawnie zobowiązani. Kategorie odbiorców:

• Hosting i przechowywanie: Amazon Web Services (centra danych we Frankfurcie lub w Północnej Wirginii, w zależności od regionu danych wydarzenia; zbiory danych kont i danych handlowych zawsze we Frankfurcie — punkt 12) oraz dostarczanie zdjęć za pośrednictwem sieci dostarczania treści tego samego dostawcy (punkt 12)
• Generowanie przez SI i automatyczna kontrola zdjęć: Google (punkt 6)
• Ochrona przed nadużyciami: Cloudflare (punkt 7)
• Pomiar skuteczności reklam, wyłącznie za Twoją zgodą: Reddit (punkt 4.6) — nie jako podmiot przetwarzający, lecz jako administrator wspólny z nami lub samodzielny
• Obsługa płatności: Stripe (punkt 8.2)
• Wysyłka wiadomości e-mail: nasz usługodawca w zakresie wysyłki
• Doradcy i organy: doradztwo podatkowe, doradztwo prawne, audyt oraz organy i sądy, w zakresie wymaganym przepisami prawa

Imienny, zawsze aktualny wykaz wraz z siedzibą, miejscem przetwarzania i podstawą przekazywania znajduje się w Liście podmiotów przetwarzających na zlecenie.

Poza Redditem w ramach Twojej zgody zgodnie z punktem 4.6 nie przekazujemy Twoich danych sieciom reklamowym ani nie przekazujemy ich pośrednikom w handlu danymi lub dostawcom usług analitycznych. Sprzedaż danych nie następuje.

---

11. Przekazywanie do państw trzecich

Przekazywanie do państw spoza Europejskiego Obszaru Gospodarczego następuje przy generowaniu z wykorzystaniem sztucznej inteligencji oraz przy automatycznym sprawdzaniu obrazów (Google, USA — punkt 6), przy ochronie przed nadużyciami (Cloudflare, USA), przy pomiarze skuteczności reklam za Twoją zgodą (Reddit, USA — punkt 4.6) oraz przy dostarczaniu obrazów (Amazon Web Services): dopóki trwa dane wydarzenie, obrazy są w celu dostarczenia tymczasowo buforowane w lokalizacjach brzegowych, także poza UE (punkt 12). Podstawą jest:

• decyzja stwierdzająca odpowiedni stopień ochrony Komisji Europejskiej z dnia 10 lipca 2023 r. dotycząca EU-US Data Privacy Framework, o ile przedsiębiorstwo odbierające posiada stosowny certyfikat, oraz
• uzupełniająco standardowe klauzule umowne Komisji Europejskiej (decyzja wykonawcza (UE) 2021/914) wraz z oceną skutków przekazywania oraz dodatkowymi środkami ochronnymi (szyfrowanie podczas przesyłania i w spoczynku, minimalizacja danych, brak przekazywania imion i nazwisk lub identyfikatorów dostawcy usług sztucznej inteligencji).

Kopię poszczególnych gwarancji otrzymasz na żądanie pod adresem privacy@snapories.com.

---

12. Region danych (UE / USA)

Dla każdego wydarzenia przy rezerwacji ustalany jest region danych. Określa on, w którym regionie dane tego wydarzenia są przez nas przechowywane i przetwarzane:

• UE → Frankfurt nad Menem (eu-central-1)
• USA → Wirginia Północna (us-east-1)

Dane danego wydarzenia nie są odzwierciedlane (mirrorowane) pomiędzy regionami. Każdy region ma w tym celu własne bazy danych i własne obszary pamięci.

Dane konta i rozliczeniowe. Twoje konto u nas — adres e-mail, kody logowania oraz zarządzane za ich pomocą wydarzenia — znajduje się w Unii Europejskiej (Frankfurt nad Menem), i to w przypadku każdego wydarzenia, niezależnie od jego regionu danych. To samo dotyczy kont partnerskich i poleceniowych, kodów rabatowych i ich wykorzystania, roszczeń z tytułu poleceń, a także odbiorcy faktury i faktury do danej rezerwacji. Te zbiory danych są przechowywane jednokrotnie i odczytywane z obu regionów: jedno konto zarządza wydarzeniami w obu regionach, a bon wydany w jednym regionie musi być możliwy do zrealizowania w drugim — podział na regiony oznaczałby, że kod jest odrzucany w regionie, w którym nie został wydany. Dla wydarzenia z regionem danych USA oznacza to: obrazy wydarzenia i dane jego gości znajdują się w Wirginii Północnej, konto, za pomocą którego dokonano rezerwacji, oraz faktura do niego znajdują się we Frankfurcie.

Dostarczanie obrazów. Aby obrazy wszędzie docierały szybko i niezawodnie, dostarczamy je za pośrednictwem sieci dostarczania treści (Amazon CloudFront). Są przy tym tymczasowo buforowane w lokalizacjach brzegowych — także poza UE; zakres lokalizacji obejmuje Stany Zjednoczone, Kanadę, Europę i Izrael. To buforowanie istnieje tylko dopóki trwa wydarzenie; z chwilą zakończenia wydarzenia opróżniamy bufor i pobranie tą drogą nie jest już możliwe. Przechowywana wersja obrazu nie opuszcza regionu danych.

Co obejmuje region danych, a czego nie: Region danych decyduje o danych tego wydarzenia — jego obrazach oraz o tym, co jest rejestrowane w odniesieniu do wydarzenia i do osób w nim uczestniczących — i określa, gdzie są one przechowywane, przetwarzane i usuwane. Trzy rzeczy znajdują się poza nim. Nie opisuje on każdego miejsca, w którym bajt jest na potrzeby dostarczenia krótkotrwale przechowywany (powyżej). Nie obejmuje zbiorów danych konta i danych biznesowych (powyżej), które są przechowywane jednokrotnie w UE i odczytywane z obu regionów. I nie obejmuje on opisanych w punkcie 6 i punkcie 7 wywołań dostawców zewnętrznych; podmioty te przetwarzają niezależnie od wybranego regionu danych, miarodajny jest tam punkt 11.

---

13. Twoje prawa

Na podstawie RODO masz prawo do:

Jak korzystać ze swoich praw: w dowolnej formie za pośrednictwem wiadomości e-mail na adres privacy@snapories.com. Odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu jednego miesiąca. Jeśli nie możemy Cię bez dodatkowych informacji zidentyfikować — co w przypadku korzystania z aplikacji dla gości bez konta jest regułą — potrzebujemy informacji umożliwiających przyporządkowanie (Art. 11 ust. 2 RODO), takich jak kod przystąpienia do wydarzenia, użyte imię oraz przybliżony moment.

Przypadek szczególny — osoby przedstawione na zdjęciu: Jeśli jesteś widoczny na zdjęciu, nie korzystając z aplikacji, zwróć się na adres privacy@snapories.com i opisz wydarzenie oraz zdjęcie możliwie najdokładniej. Usuniemy zdjęcie lub — w przypadku wydarzeń biznesowych, w których jesteśmy podmiotem przetwarzającym — niezwłocznie przekażemy zapytanie organizacji będącej administratorem i wesprzemy ją w jego realizacji.

Przypadek szczególny — marketing bezpośredni. Przetwarzaniu Twoich danych w celu marketingu bezpośredniego — którym jest u nas wyłącznie pytanie w wiadomości e-mail po wydarzeniu (punkt 8.6) — możesz w każdej chwili sprzeciwić się zgodnie z Art. 21 Abs. 2 DSGVO. Sprzeciw ten jest bezwarunkowy: nie dochodzi do ważenia interesów i nie musisz go uzasadniać. Od tego momentu nie przetwarzamy już Twoich danych w tym celu. Najszybszą drogą jest odnośnik w każdej takiej wiadomości e-mail; wystarczy również nieformalna wiadomość na adres support@snapories.com.

Prawo do wniesienia skargi. Masz prawo wnieść skargę do organu nadzorczego ds. ochrony danych, w szczególności do organu właściwego dla nas:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 27, 91522 Ansbach
https://www.lda.bayern.de

---

14. Przegląd okresów przechowywania

---

15. Brak zautomatyzowanego podejmowania decyzji

Nie odbywa się żadne zautomatyzowane podejmowanie decyzji w indywidualnych przypadkach, w tym profilowanie, w rozumieniu Art. 22 DSGVO. Fotobudka AI tworzy zdjęcie; nie podejmuje żadnej decyzji dotyczącej osoby i nie wywołuje skutków prawnych. Automatyczne sprawdzenie zdjęcia (punkt 6.1a) decyduje wyłącznie o tym, czy funkcja AI jest oferowana dla pojedynczego zdjęcia; nie ocenia nikogo, nie wywołuje skutków prawnych ani nie powoduje podobnie istotnego negatywnego oddziaływania. Decyzje o usunięciu treści podejmują ludzie.

---

16. Bezpieczeństwo

Stosujemy środki techniczne i organizacyjne zgodnie z Art. 32 DSGVO. Należą do nich szyfrowanie transportu (TLS), szyfrowanie danych w spoczynku, ścisłe oddzielenie regionów danych dla danych wydarzeń, wewnętrzne systemy z ograniczonym dostępem, podpisane, krótkotrwałe tokeny dostępu do plików graficznych, serwerowa ochrona przed nadużyciami oraz regularna aktualizacja stosowanych komponentów. Szczegóły znajdują się w Załączniku 2 do umowy powierzenia przetwarzania danych.

---

17. Zmiany niniejszego oświadczenia

Dostosowujemy niniejsze oświadczenie, gdy zmienia się usługa, wykorzystywani usługodawcy lub stan prawny. Aktualna wersja jest dostępna pod adresem snapories.com/privacy.html; data w nagłówku wskazuje stan aktualności.

---

18. Wiążąca wersja językowa

Wiążąca jest wyłącznie niemiecka wersja niniejszej polityki prywatności. Wersje w innych językach udostępniamy wyłącznie w celach informacyjnych. W przypadku rozbieżności rozstrzygająca jest wersja niemiecka. Wobec osób, których dane dotyczą, które zawierzyły udostępnionej przez nas wersji w innym języku, obowiązuje to tylko w zakresie, w jakim wersja niemiecka nie jest dla nich mniej korzystna.