Prywatność
Co robimy z Waszymi danymi
Aplikacja weselna to lista nazwisk Waszych bliskich pod publicznym adresem. Traktujemy to poważnie i piszemy tutaj konkretnie: co trafia na serwer, gdzie ten serwer stoi, jak długo dane tam leżą i co zrobić, żeby zniknęły wcześniej.
Nie śledzimy nikogo. Na tej stronie i na stronie Waszego wesela nie ma Google Analytics, nie ma piksela Facebooka ani żadnego innego narzędzia reklamowego. Nie sprzedajemy i nie udostępniamy nikomu danych Waszych gości. Dlatego nie wyświetlamy też baneru zgody na ciasteczka — nie mamy o co pytać.
Nazwiska gości nie opuszczają infrastruktury Cloudflare. Poniższa zasada dotyczy wyłącznie materiałów, które para wgrywa w panelu, żeby automat je odczytał i wypełnił nimi aplikację: wgrany tekst czytamy u siebie, wgrane zdjęcie dokumentu wysyłamy do Google. Wklejona lista, notatki i pliki z arkusza albo dokumentu są przetwarzane na Cloudflare. Zdjęcie dokumentu — kartka z planem sali, wydrukowany rozkład jazdy, karta menu — trafia do Google AI Studio, żeby model odczytał z niego numery stołów, godziny i nazwy dań.
Zdjęcia z wesela to zupełnie co innego. Galeria gości i zdjęcia wgrane przez parę na stronę wesela nie idą do Google ani do żadnego innego modelu. Leżą na Cloudflare R2, nikt ich nie czyta ani nie opisuje automatem.
Dlatego listy gości nie da się wgrać jako zdjęcia. Przyjmujemy ją tylko jako tekst, arkusz albo dokument. To jedyny sposób, żeby nazwiska Waszych bliskich nigdzie nie pojechały.
Model uruchamia się tylko wtedy, gdy sami o to poprosicie.Wgrywając plik albo wklejając tekst do odczytania, albo zaznaczając przy podpisach pole „przetłumacz". Para, która wpisuje wszystko ręcznie i nie zaznacza tego pola, nie uruchamia żadnego modelu — nie ma tu automatu działającego w tle. Szczegóły w sekcjiSztuczna inteligencja.
Poza tym adres e-mail organizatora trafia do Resend (wysyłka wiadomości) i Stripe (płatność). Kroje pisma na tej stronie serwujemy z własnego serwera, więc otwierając ją nie łączycie się z Google. Na stronie wesela kroje wciąż pobieramy z Google Fonts — tam adres IP gościa trafia do Google przy otwarciu strony. Wszystkich wymieniamy niżej z nazwy.
Kto jest administratorem
Administratorem danych jest podmiot prowadzący serwis calm.wedding, wskazany w regulaminie. Kontakt w sprawach danych osobowych: data@calm.wedding lub formularz kontaktowy.
W odniesieniu do danych gości para młoda jest administratorem, a my podmiotem przetwarzającym: to para decyduje, kogo wpisać na listę i jak długo wydarzenie ma być dostępne. Wobec danych konta organizatora (adres e-mail, płatność) administratorem jesteśmy my.
Co przechowujemy
| Dane | Po co | Gdzie |
|---|---|---|
| Imiona i nazwiska gości, przypisanie do stołów, prywatne notatki pary, podpisy przy nazwiskach (jeśli para je włączy) | Żeby gość znalazł swoje miejsce — główna funkcja wykorzystująca te dane | Cloudflare R2 |
| Harmonogram, miejsca, numery telefonów do transportu, treści wpisane przez parę | Treść aplikacji dla gości | Cloudflare R2 |
| Zdjęcia i filmy dodane przez gości | Wspólna galeria wesela | Cloudflare R2 |
| Adres e-mail organizatora | Logowanie linkiem, powiadomienia o szkicu i o końcu galerii, płatność | Cloudflare R2 + Resend + Stripe (płatność za publikację) |
| Sesja organizatora i identyfikator osoby wgrywającej zdjęcia | Utrzymanie zalogowania i limitów; identyfikator jest losowy i anonimowy | Cloudflare Durable Objects, ciasteczko w przeglądarce |
| Logi żądań: adres IP, typ przeglądarki, adres strony, data i godzina | Bezpieczeństwo, wykrywanie nadużyć i diagnostyka awarii. Nie łączymy ich z listą gości | Cloudflare |
Czego nie zbieramy
- Nie prowadzimy kont ani indywidualnych logowań dla gości. Organizator może ustawić jedno wspólne hasło wyłącznie do galerii.
- Nie zbieramy RSVP ani informacji o dietach i alergiach. To była świadoma decyzja produktowa: im mniej danych, tym mniejsze ryzyko.
- Nie używamy zewnętrznej analityki, pikseli reklamowych ani ciasteczek marketingowych. Cloudflare jako nasz hosting tworzy zbiorcze statystyki ruchu — bez ciasteczek i bez łączenia ich z konkretnym gościem. Jak mierzymy skuteczność reklam bez tego wszystkiego, opisujemy niżej.
- Z każdego zdjęcia i filmu usuwamy metadane przed zapisaniem — w tym współrzędne GPS. Pliki HEIC odrzucamy, bo ich metadanych nie da się bezpiecznie usunąć bez przepisania całego pliku.
Na jakiej podstawie
RODO wymaga, żeby każde przetwarzanie miało wskazaną podstawę prawną. Nasze są takie:
| Co | Podstawa |
|---|---|
| Zbudowanie i udostępnienie wydarzenia, obsługa płatności, logowanie linkiem | Wykonanie umowy — art. 6 ust. 1 lit. b RODO |
| Dane gości: imiona, nazwiska, przypisanie do stołów | Powierzenie przez parę młodą — art. 28 RODO. Administratorem jest para, my przetwarzamy na jej polecenie |
| Zdjęcia i filmy dodane przez gości | Powierzenie przez parę młodą — art. 28 RODO. Gość dodaje plik dobrowolnie i może go sam usunąć |
| Logi żądań, limity, zapobieganie nadużyciom | Prawnie uzasadniony interes — art. 6 ust. 1 lit. f RODO |
| Faktury i dokumentacja rozliczeniowa | Obowiązek prawny — art. 6 ust. 1 lit. c RODO |
Podanie danych jest dobrowolne, ale bez adresu e-mail organizatora nie da się założyć wydarzenia ani się do niego zalogować, a bez listy gości aplikacja nie ma czego wyszukiwać. Nie wysyłamy newslettera i nie prosimy o zgodę marketingową, więc nie ma tu zgody, którą trzeba by wycofywać.
Sztuczna inteligencja
Ta sekcja mówi wyłącznie o materiałach, które para wgrywa w panelu, żeby automat wypełnił nimi aplikację — nie o zdjęciach z wesela.
Cała ta sekcja jest opcjonalna. Odczyt automatyczny uruchamia się wyłącznie wtedy, gdy sami o to poprosicie: wgrywając plik albo wklejając tekst do odczytania. Wszystko, co robi automat, możecie wpisać ręcznie — listę gości, stoły, harmonogram, menu i atrakcje. Para, która wpisuje wszystko sama, nie uruchamia żadnego modelu: jej dane nie trafiają ani do Workers AI, ani do Google AI Studio, bo nie ma czego odczytywać. Nie ma tu żadnego automatu działającego w tle.
Bez wyjątków i bez gwiazdki. Jedyne miejsce w panelu poza wgrywaniem plików, gdzie Wasz tekst trafia do modelu, to tłumaczenie podpisów („Wasze słowa”) na pozostałe języki wesela — i dzieje się to wyłącznie wtedy, gdy sami zaznaczycie przy zapisie odpowiednie pole. Domyślnie jest odznaczone. Zapisujecie wtedy tylko swoją wersję językową, a w pozostałych językach zostaje nasz tekst. Tłumaczenie, jeśli o nie poprosicie, wykonuje model na Cloudflare Workers AI i obejmuje wyłącznie ten jeden podpis — nigdy listy gości ani żadnych danych Waszych gości.
Tekst czytamy na Cloudflare, zdjęcia dokumentów w Google. Wklejona lista gości, notatki o przebiegu dnia i pliki z arkusza albo dokumentu są odczytywane przez modele uruchamiane na Cloudflare Workers AI. Zdjęcie dokumentu — kartka z planem sali, wydrukowany rozkład jazdy, karta menu — wysyłamy do Google AI Studio (Google Ireland Limited), które odczytuje z niego numery stołów, godziny i nazwy dań.
Listy gości nie przyjmujemy jako zdjęcia, więc nazwisko gościa nigdy nie jest częścią obrazu wysyłanego do Google.
Zdjęć i filmów z galerii wesela — tych, które dodają goście, i tych, które para wgrywa na swoją stronę — nie wysyłamy nigdzie i nie przepuszczamy przez żaden model. Zostają na Cloudflare R2.
Nie trenujemy na Waszych danych żadnych modeli i nie podejmujemy wobec nikogo decyzji w sposób zautomatyzowany. Wynik odczytu zawsze pokazujemy do poprawy przed zapisaniem — automat proponuje, decydujecie Wy.
Ile z nazwiska widzi gość
Plan stołów jest dostępny pod adresem, który znają Wasi goście — ale to wciąż publiczny adres. Dlatego w panelu, przy liście gości, wybieracie jeden z trzech trybów wyświetlania: pełne imię i nazwisko, imię z inicjałem („Anna K.”) albo samo imię. Wyszukiwarka dopasowuje tylko tekst widoczny na ekranie. Jeśli wybierzecie „Anna K.”, pełne nazwisko nie trafi do przeglądarki gościa i nie będzie można po nim wyszukać osoby.
Przy każdym nazwisku możecie dopisać krótki podpis — „matka panny młodej”, „kolega ze studiów” — żeby goście wiedzieli, kto z kim siedzi. Domyślnie te podpisy są wyłączone i nie trafiają do aplikacji, dopóki sami ich nie włączycie jednym przełącznikiem przy liście gości. Piszecie je Wy, nie automat: to, co nasz model wyczyta z Waszego pliku, ląduje w osobnej kolumnie „Grupa”, która zostaje wyłącznie dla Was i nigdy nie jest widoczna dla gości. Podpis jest zdaniem o innej osobie, więc wpisujcie tylko to, co ta osoba spokojnie zobaczyłaby na ekranie u sąsiada przy stole. Podpisy kasujemy razem z nazwiskami, po 60 dniach od wesela.
Jak długo
- Szkic bez zmian — usuwamy po 7 dniach od ostatniej edycji, po ostrzeżeniu wysłanym na piąty dzień.
- Imiona i nazwiska gości — kasujemy je z dokumentu wydarzenia po 60 dniach od daty wesela. W każdym pakiecie, bez wyjątku: dłuższego przechowywania danych gości nie da się u nas kupić. Wyszukiwarka miejsc kończy wtedy pracę, a sama strona zostaje.
- Zdjęcia i filmy gości — galeria jest dostępna przez okres wybrany przez parę młodą: od 60 dni do 5 lat od daty wesela. Termin obowiązujący dla tego wesela pokazujemy na ekranie wgrywania, zanim gość wyśle plik. Dwa tygodnie przed końcem wysyłamy parze link do pobrania całości, potem pliki są usuwane. Bezterminowo nie przechowujemy niczego.
- Dokument wydarzenia (lista gości, plan, harmonogram) — usuwamy razem z galerią.
- Dane rozliczeniowe — przechowujemy tak długo, jak wymagają tego przepisy podatkowe.
- Logi żądań — przechowuje je dostawca infrastruktury przez krótki okres wynikający z jego ustawień; nie tworzymy z nich własnego archiwum.
Wasze prawa
Przysługuje Wam dostęp do danych, ich kopia, sprostowanie, usunięcie, ograniczenie przetwarzania, przenoszenie oraz sprzeciw wobec przetwarzania. Wniosek składacie przez formularz kontaktowy (temat „Dane osobowe”) albo mailem na data@calm.wedding. Odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca. Jeśli wniosek jest skomplikowany lub jest ich wiele, termin może zostać przedłużony o dwa kolejne miesiące; poinformujemy o tym w ciągu pierwszego miesiąca.
Parze młodej nie trzeba nas o to prosić: w panelu organizatora, w sekcji „Pobierz albo usuń”, można w każdej chwili pobrać wszystkie zdjęcia w oryginalnej rozdzielczości oraz cały dokument wydarzenia w formacie JSON, a także skasować całe wydarzenie od razu. Usunięcie jest natychmiastowe i nieodwracalne — nie trzymamy kopii zapasowych, z których dałoby się je odtworzyć.
Z tego kanału może skorzystać także gość, a nie tylko para młoda — jeśli ktoś nie chce być na liście, wystarczy napisać. Możecie też złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).
Podprocesorzy
Korzystamy z 5 podmiotów przetwarzających. Pełny, datowany rejestr — z celem, lokalizacją i zakresem danych — publikujemy na stronie Podprocesorzy.
Skąd wiemy, że reklama zadziałała
Reklamy i posty prowadzą do nas linkiem z parametrem ?ref= — na przykładcalm.wedding/pl/?ref=ig. To jedno słowo z zamkniętej listy: ig, fb, tiktok, pin, google, yt, partner, grupa, qr, stopka, poradnik, narzedzia, organic. Nazwa kanału, nic więcej — żadnego identyfikatora, więc nie ma czego łączyć ani między stronami, ani między urządzeniami.
Zapisujemy z tego dwie rzeczy: licznik wejść po stronie serwera (nazwa kanału i język strony, bez adresu IP i bez identyfikatora przeglądarki), który Cloudflare kasuje w ciągu około trzech miesięcy, oraz — jeśli para zakłada u nas szkic wesela — to samo jedno słowo w dokumencie jej wydarzenia, znikające razem z nim w terminie z sekcji „Jak długo”. Poza tym nie zapisujemy niczego na Waszym urządzeniu: parametr jedzie w adresie i kończy się razem z wizytą.
Ciasteczka i pamięć przeglądarki
Używamy najwyżej trzech ciasteczek, wszystkie są niezbędne: sesji organizatora, anonimowego identyfikatora osoby wgrywającej zdjęcia (do limitów i możliwości usunięcia własnego zdjęcia) oraz — tylko gdy Organizator zabezpieczy galerię — podpisanego potwierdzenia poprawnego wpisania wspólnego hasła. Nie zapisujemy w nim hasła.
Poza tym w pamięci przeglądarki gościa zapisujemy wybrane imię z listy — żeby aplikacja pamiętała, czyje miejsce pokazać — oraz postęp w wyzwaniach foto. Te dane zostają na urządzeniu gościa i nie trafiają do nas. Język wynika z adresu strony, nie z ciasteczka.
Nie ma tu ciasteczek analitycznych ani reklamowych, więc nie prosimy o zgodę, której i tak nie potrzebujemy. Dotyczy to również mierzenia skuteczności reklam: robimy to parametrem w adresie, a nie ciasteczkiem, właśnie po to, żeby nie musieć stawiać Wam baneru.
Bezpieczeństwo
Cały ruch idzie po HTTPS. Panel organizatora otwiera się linkiem wysłanym na adres e-mail wpisany przy zakładaniu wydarzenia — nie ma tu hasła, które można by wykraść ani użyć ponownie gdzie indziej. Dane wydarzenia leżą w magazynie, do którego sięga wyłącznie nasza aplikacja, a strony organizatora nie są indeksowane przez wyszukiwarki.
Dwie rzeczy robimy dlatego, że są nieodwracalne, jeśli się je zaniedba: z każdego zdjęcia usuwamy metadane, zanim trafi do galerii, oraz kasujemy dane po terminie automatycznie, a nie wtedy, gdy ktoś sobie o tym przypomni. Żaden system nie jest odporny na wszystko — jeśli mimo to dojdzie do naruszenia ochrony danych, zawiadomimy organ nadzorczy i, gdy przepisy tego wymagają, osoby, których dane dotyczą.
Zmiany
O istotnych zmianach tej strony informujemy mailem organizatorów aktywnych wydarzeń. Data ostatniej aktualizacji jest zawsze na górze.