Anexa privind prelucrarea datelor

Versiunea 1, în vigoare din 1 noiembrie 2026. Face parte din contractul descris în Termeni și condiții și se aplică atunci când prelucrăm, în numele tău, datele invitaților tăi sau ale altor persoane.

1. Cine ce rol are

În această anexă, „noi” înseamnă GLOWKIT STUDIO LTD, iar „tu” (sau „gazdele”) înseamnă clientul care a cumpărat invitația și o folosește din cont sau din aplicație.

Tu hotărăști pe cine inviți, ce întrebi, ce funcții pornești și cine vede ce. În măsura în care Regulamentul general privind protecția datelor (GDPR) sau varianta lui britanică (UK GDPR) ți se aplică, tu ești operatorul acestor date, iar noi suntem persoana împuternicită, care le prelucrează în numele tău. Dacă folosești invitația doar pentru un eveniment al familiei tale, s-ar putea ca GDPR să nu ți se aplice ca persoană fizică; noi respectăm oricum regulile din această anexă.

Pentru siguranța platformei, oprirea abuzurilor, jurnalele tehnice, datele tale de client și obligațiile noastre legale, noi suntem operator separat. Pentru acestea se aplică Politica de confidențialitate.

2. Ce prelucrăm și cât timp

Obiectul: găzduim și prelucrăm datele de care are nevoie invitația ta: lista invitaților și răspunsurile lor, așezarea la mese, biletele și, dacă le pornești, melodiile propuse de invitați, galeria foto a invitaților și pozele fotografului.

Ce facem cu ele: le păstrăm, ți le arătăm în cont, le arătăm invitaților doar cum ai ales tu în setări, le numărăm, le exportăm la cererea ta, trimitem emailurile pe care le pornești tu și le ștergem. Fotografiile le micșorăm pentru galerie și facem miniaturi.

Scopul: numai funcționarea invitației și a funcțiilor pe care le-ai pornit. Nu folosim aceste date pentru publicitate sau pentru alte evenimente, nu le vindem, nu le dăm altora decât furnizorilor de la punctul 8 și nu le folosim ca să antrenăm modele de inteligență artificială.

Durata: cât timp ai contul și invitația, apoi până la termenele de ștergere de la punctul 7 din Politica de confidențialitate (de exemplu, 90 de zile după eveniment pentru răspunsuri și melodii; pentru galeria foto, 6 luni după eveniment sau după ultima poză primită, dacă aceasta e mai târziu; pentru pozele fotografului, 30 de zile după publicare sau după ultima poză urcată).

3. Despre cine și ce date

Persoanele: invitații tăi și cei care vin cu ei, persoanele care apar în fotografiile din galerie, fotograful tău și alte persoane pe care le adaugi tu în cont.

Datele:

• numele, și, dacă le scrii tu sau invitatul, telefonul sau emailul;
• răspunsul la invitație: vine sau nu, câte persoane, numele lor, meniul (Adult, Vegetarian sau Copil), mesajul pentru gazde;
• masa la care e așezat și, opțional, un portret pentru planul sălii;
• momentul în care a deschis linkul personal;
• melodia propusă și numele scris de invitat;
• fotografiile trimise de invitați sau de fotograf, fără datele ascunse din fișier (locul, data, aparatul), numele celui care le-a trimis, numele fișierelor fotografului și identificatorul ales la întâmplare din browserul invitatului, asociat pozelor lui.

Nu cerem categorii speciale de date în câmpurile structurate (meniul e o listă închisă), iar invitații sunt rugați să nu le scrie în mesaje. Totuși, conținutul unei fotografii poate uneori dezvălui informații despre sănătate, credințe religioase, origine etnică sau alte categorii protejate. Nu analizăm fotografiile ca să deducem asemenea informații și nu folosim recunoaștere facială. Atunci când GDPR ți se aplică, tu stabilești temeiul juridic și, dacă este necesar, condiția aplicabilă potrivit articolului 9 din GDPR. Fotografiile pot arăta persoane, inclusiv copii; vezi punctul 5.

4. Instrucțiunile tale

Setările din cont și din aplicație sunt instrucțiunile tale documentate: ce funcții pornești, ce întrebi, ce poze aprobi, ascunzi sau publici, cui dai linkurile, ce ștergi. Ne poți da și alte instrucțiuni pe email, la salut@invitatiiaparte.ro.

Prelucrăm datele numai după instrucțiunile tale documentate, inclusiv în privința transferurilor către alte țări. Dacă se aplică GDPR, putem prelucra fără instrucțiunea ta numai când ne obligă dreptul Uniunii Europene sau al unui stat membru care ni se aplică; dacă se aplică UK GDPR, numai când ne obligă legislația britanică aplicabilă. Într-o asemenea situație te informăm înainte, dacă legea respectivă nu interzice informarea din motive importante de interes public.

Dacă o instrucțiune încalcă, în opinia noastră, GDPR, UK GDPR sau o altă regulă aplicabilă privind protecția datelor, te informăm imediat și suspendăm instrucțiunea până se lămurește.

Intrăm într-o invitație numai când ne ceri ajutorul sau ca să păstrăm platforma în siguranță. Fiecare intrare și modificare a noastră rămâne în jurnal, cu data și ora.

5. Ce faci tu

• Adaugi doar date de care ai nevoie pentru eveniment și ai un temei pentru ele.
• Le spui invitaților ce funcții ai pornit: de exemplu, că la eveniment se fac poze care ajung în galerie și că pozele aprobate le vede oricine are codul galeriei.
• Ești mai atent când în poze apar copii și scoți o poză când cineva care apare în ea îți cere asta.
• Dai codul galeriei doar invitaților și linkul de urcare doar fotografului. Linkul fotografului îl poți schimba oricând din cont.
• Răspunzi cererilor invitaților despre datele lor. Noi te ajutăm, ca la punctul 10.

6. Confidențialitatea

Datele invitaților tăi le pot vedea la noi doar persoanele din echipa GLOWKIT STUDIO LTD care au nevoie de ele ca să te ajute sau ca să păstreze platforma în siguranță. Toate sunt obligate să păstreze confidențialitatea, prin contract sau prin lege, și după ce nu mai lucrează cu noi.

7. Măsurile de siguranță

• Fiecare client vede numai invitațiile lui. Regula e pusă direct în baza de date, pe fiecare tabel.
• Toate legăturile sunt criptate (HTTPS). Copiile de siguranță ale bazei de date sunt criptate și se înlocuiesc în cel mult 90 de zile.
• Pozele private, originalele și documentele stau în spații private și se deschid numai prin legături temporare, de câteva minute.
• Codul galeriei și linkul fotografului sunt lungi, aleși la întâmplare și nu apar în motoarele de căutare. Galeria se poate închide oricând, iar linkul fotografului se poate schimba, și atunci cel vechi nu mai merge.
• Varianta pentru galerie și miniatura sunt reconstruite din pixeli, fără metadatele fișierului original. Copia la rezoluția întreagă este primită numai dacă poate fi curățată în siguranță. Serverul verifică fiecare fișier primit și respinge întreaga încărcare, fără să păstreze nimic, dacă detectează metadate rămase în oricare dintre variante. Verificăm că fișierele sunt chiar fotografii JPEG, după conținut, nu după nume.
• Limităm numărul cererilor și al pozelor. Pentru asta folosim un pseudonim al adresei IP, făcut cu o cheie secretă, șters în cel mult două zile.
• Accesul nostru de administrare e limitat la conturile firmei și lasă urme în jurnal.

Putem îmbunătăți aceste măsuri oricând, fără să coborâm nivelul de protecție.

8. Furnizorii care ne ajută

Ne dai acordul general să folosim furnizorii de mai jos pentru datele invitaților. Fiecare are cu noi un contract de prelucrare a datelor, cu obligații de protecție cel puțin la fel de stricte ca acestea, și răspundem față de tine pentru ei.

Înainte să adăugăm sau să schimbăm un furnizor care primește datele invitaților, te anunțăm pe email cu cel puțin 30 de zile înainte și actualizăm această pagină. Te poți opune, cu motive legate de protecția datelor; dacă nu găsim o soluție, poți opri funcțiile respective sau închide contul, iar noi ștergem datele, ca la punctul 11.

9. Unde stau datele

Baza de date și fișierele principale sunt în Regatul Unit, pentru care Comisia Europeană a recunoscut un nivel adecvat de protecție. Pentru transferurile către Statele Unite folosim, după caz, Cadrul UE-SUA privind protecția datelor, pentru datele transferate din UE, și extensia britanică a acestuia (UK Extension), pentru datele transferate din Regatul Unit, numai dacă furnizorul are o certificare activă care acoperă datele respective. În celelalte cazuri folosim clauzele contractuale standard ale Comisiei Europene și, pentru UK GDPR, addendumul britanic la acestea (UK Addendum) sau acordul britanic de transfer internațional de date (International Data Transfer Agreement), împreună cu evaluările necesare ale transferului.

10. Cererile persoanelor și incidentele

Cererile: dacă un invitat sau o persoană dintr-o fotografie ne scrie nouă despre datele lui, îți transmitem cererea în cel mult 5 zile lucrătoare și te ajutăm să răspunzi: găsim, exportăm, corectăm sau ștergem datele. Multe le poți face singur din cont. Când există un risc imediat pentru persoana dintr-o fotografie, putem ascunde fotografia până se lămurește cererea.

Incidentele: dacă aflăm de un incident care pune în pericol datele invitaților tăi, te anunțăm fără întârziere și în cel mult 48 de ore, pe email, cu ce știm: ce s-a întâmplat, ce date și câte persoane sunt atinse, ce am făcut și ce urmează. Te ajutăm cu informațiile de care ai nevoie ca să anunți autoritatea sau persoanele, dacă e cazul.

Te ajutăm, la cerere, și cu informațiile pentru o evaluare a impactului asupra protecției datelor sau pentru discuțiile cu o autoritate de supraveghere.

11. Ștergerea și descărcarea

Datele le poți descărca oricând din cont: listele în PDF și Excel, pozele cu „Descarcă tot”. Așa ți le „returnăm”: nu le trimitem altfel decât prin cont.

Le ștergem singuri la termenele de la punctul 2 sau mai devreme, la cererea ta. Tu poți șterge oricând o poză, o melodie sau un invitat. Copiile de siguranță criptate nu sunt folosite în activitatea curentă și se înlocuiesc în cel mult 90 de zile. Păstrăm mai mult numai ce ne obligă legea să păstrăm.

12. Dovezile și auditul

La cererea ta, îți dăm informațiile de care ai nevoie ca să vezi că respectăm această anexă: descrierea măsurilor de siguranță, lista furnizorilor și confirmările lor. Dacă documentele nu sunt de ajuns, putem face un audit, cu tine sau cu un auditor obligat la confidențialitate, cu un preaviz rezonabil, cel mult o dată pe an (în afară de un incident sau de cererea unei autorități), fără să vedem sau să arătăm datele altor clienți. Fiecare parte își suportă costurile.

13. Acceptarea și schimbările

Accepți această anexă odată cu Termenii și condițiile, la cumpărare. Înainte să pornești melodiile, galeria foto sau linkul fotografului, contul îți arată anexa și îți cere să o accepți din nou, bifând. Păstrăm dovada acceptării (contul, invitația, versiunea, data și ora) timp de 6 ani, ca dovadă a acceptării contractuale și a instrucțiunilor tale documentate.

Putem actualiza anexa. Versiunea nouă are un număr și o dată noi, sus. Dacă schimbarea te privește direct, îți scriem pe email și îți cerem din nou acceptarea versiunii actualizate, în cont, la următoarea pornire a unei funcții. În rest se aplică Termenii și condițiile; pentru protecția datelor invitaților, dacă ceva diferă, are prioritate această anexă.