RGPD et protection des données

À qui cela s'applique

QR Code Photos traite des données personnelles pour le compte de deux groupes de personnes :

• Titulaires de compte — les clients qui créent un compte et hébergent des événements sur notre service.
• Invités des événements — les personnes qui téléversent ou consultent des photos lors d'un événement créé par un titulaire de compte.

Lorsqu'un titulaire de compte téléverse des photos d'invités, il agit en tant que responsable du traitement de ces photos. QR Code Photos agit en tant que sous-traitant et stocke les photos pour son compte.

Quelles données nous collectons

Informations de compte

Lorsque vous créez un compte, nous stockons votre adresse e-mail, une clé API hachée utilisée pour authentifier vos téléversements, votre formule d'abonnement et votre statut de facturation, ainsi qu'un identifiant client Stripe reliant votre compte à notre prestataire de paiement.

Données d'événements et de photos

Pour chaque événement que vous créez, nous stockons le nom de l'événement, son tag, sa date et toutes les métadonnées que vous choisissez d'y associer. Les photos téléversées dans un événement sont stockées avec leur taille de fichier, leur nombre de vues, leur nombre de téléchargements et une référence à l'événement auquel elles appartiennent.

Données techniques

Nous journalisons les requêtes adressées à notre service, notamment l'horodatage, l'adresse IP, l'agent utilisateur, la méthode HTTP, l'URL et le statut de la réponse. Nous utilisons ces journaux à des fins de sécurité, de débogage et de prévention des abus.

Conservation des données

Nous ne conservons les données personnelles que le temps nécessaire pour fournir le service ou satisfaire à une obligation légale.

Photos d'événements

Les photos téléversées dans un événement sont conservées pendant un an à compter de leur date de téléversement, sauf si le titulaire du compte supprime l'événement et ses photos plus tôt. Cette limite de conservation est appliquée automatiquement par une règle de cycle de vie sur notre stockage d'objets. Lorsqu'un titulaire de compte supprime un événement, toutes les photos associées sont retirées du stockage actif et purgées de notre CDN.

Photos supprimées et sauvegardes

Les photos ne sont pas conservées dans un système de sauvegarde distinct. Lorsqu'une photo est supprimée — par le titulaire du compte ou par la limite automatique de conservation d'un an — elle est retirée du stockage actif et purgée de notre CDN, et toute copie résiduelle au niveau du stockage est définitivement supprimée de manière automatique dans les 24 heures. Les sauvegardes de la base de données contiennent les métadonnées des événements, des comptes et des photos (comme la taille des fichiers et le nombre de vues), mais jamais les fichiers photo eux-mêmes. La suppression d'un événement retire immédiatement ses métadonnées d'événement et de photos de la base de données active, et toute copie de ces métadonnées disparaît des sauvegardes dans les 7 jours.

Journaux serveur

Les journaux serveur (y compris les journaux de requêtes, d'erreurs et d'accès) sont conservés pendant 30 jours, puis supprimés. Ces journaux peuvent contenir des adresses IP, des horodatages et des chemins de requête.

Données de compte

Les informations de compte (e-mail, enregistrements de facturation et paramètres du compte) sont conservées tant que votre compte est actif. Les sauvegardes de la base de données sont conservées pendant 7 jours. Certains enregistrements peuvent être conservés après la fermeture du compte afin de respecter des obligations fiscales, comptables ou autres obligations légales.

QR codes, liens et suppression des photos

Chaque QR code et chaque lien de galerie renvoie vers un événement hébergé sur notre service. Il n'existe pas d'état « désactivé » distinct pour un QR code ou un lien : la suppression de l'événement — via les commandes de suppression du tableau de bord du compte — supprime les photos associées et invalide à la fois le QR code et le lien.

Jeter un QR code imprimé ne supprime pas les photos en soi. Pour retirer des photos avant la limite automatique de conservation d'un an, le titulaire du compte doit supprimer l'événement depuis son tableau de bord.

Où vos données sont stockées

QR Code Photos est hébergé aux États-Unis (US East / Virginie du Nord). Les photos sont conservées jusqu'à un an après leur téléversement, ou jusqu'à ce que le titulaire du compte supprime l'événement. Les journaux serveur sont conservés 30 jours. Les données de compte sont conservées tant que votre compte est actif. Consultez la section Conservation des données pour le détail complet.

Mesures de sécurité

• Tout le trafic entre vous et QR Code Photos est chiffré en transit avec TLS 1.2 ou supérieur.
• Les photos et le contenu de la base de données sont chiffrés au repos avec des clés de chiffrement gérées par AWS.
• Notre base de données et notre cache ne sont accessibles que depuis l'intérieur d'un réseau virtuel privé — ils ne sont pas exposés à l'internet public.
• Les téléversements utilisent des URL signées à usage unique et de courte durée, de sorte que les photos ne peuvent être téléversées que dans l'événement pour lequel elles ont été demandées.
• Les données des cartes de paiement sont entièrement gérées par Stripe. Nous ne voyons ni ne stockons jamais les numéros de carte ou les codes CVC.

Sous-traitants ultérieurs

Nous faisons appel aux services tiers suivants pour fournir QR Code Photos. Chacun d'eux traite un ensemble limité de données personnelles pour notre compte :

• Amazon Web Services (AWS) — hébergement, stockage d'objets, base de données, CDN et diffusion de contenu. Région : US East (Virginie du Nord).
• Stripe — traitement des paiements et facturation des abonnements. Stripe stocke les moyens de paiement et traite les débits pour notre compte.
• PostHog — analyse produit et rapports d'erreurs. Nous envoyons des événements d'utilisation anonymisés, des messages d'erreur et des métadonnées de requête (y compris l'adresse IP) pour nous aider à surveiller la fiabilité.

Vos droits

Si vous vous trouvez dans l'EEE, au Royaume-Uni ou dans une juridiction équivalente, vous avez le droit d'accéder à vos données personnelles, de les rectifier, de les supprimer, d'en limiter le traitement ou de les exporter, de vous opposer au traitement et de déposer une réclamation auprès de votre autorité de protection des données.

Demandes des titulaires de compte

Si vous êtes titulaire d'un compte, vous pouvez demander l'accès, la rectification ou la suppression de vos données de compte en écrivant à hello+qrcode@sparkbooth.com. Pour supprimer des événements spécifiques et leurs photos, utilisez les commandes de suppression du tableau de bord de votre compte. Consultez nos Instructions de suppression des données pour plus de détails.

Demandes des invités des événements

Les photos d'événements étant hébergées pour le compte du titulaire du compte, c'est lui qui contrôle ce qu'il advient de ces photos. Si vous êtes un invité et souhaitez qu'une photo soit retirée, ou exercer tout autre droit au titre du RGPD sur une photo sur laquelle vous apparaissez ou que vous avez téléversée :

1. Contactez directement le titulaire du compte qui a organisé l'événement. Il peut supprimer la photo ou l'événement depuis son tableau de bord.
2. Si vous ne parvenez pas à joindre le titulaire du compte, ou si vous estimez que votre demande n'a pas été prise en compte, écrivez-nous à hello+qrcode@sparkbooth.com. Nous transmettrons votre demande au titulaire du compte et, le cas échéant, assurerons un suivi pour veiller à sa résolution.

Nous transmettons les demandes de suppression des invités au titulaire du compte plutôt que d'y donner suite directement, car le titulaire du compte est le responsable du traitement du contenu de l'événement. Nous intervenons si le titulaire du compte ne répond pas ou si une obligation légale claire nous impose d'agir.

Base juridique du traitement

Nous traitons les données personnelles sur les bases suivantes :

• Contrat — pour fournir le service aux titulaires de compte inscrits.
• Intérêts légitimes — pour sécuriser le service, prévenir les abus et améliorer la fiabilité.
• Consentement — lorsque vous y avez consenti, par exemple pour recevoir des e-mails marketing.
• Obligation légale — pour satisfaire aux exigences fiscales, comptables et autres exigences réglementaires.

Transferts internationaux de données

QR Code Photos est hébergé aux États-Unis (AWS US East / Virginie du Nord). Si vous accédez au service depuis l'Espace économique européen, le Royaume-Uni ou une autre juridiction en dehors des États-Unis, vos données personnelles seront transférées et traitées aux États-Unis. Lorsque nous transférons des données personnelles au-delà des frontières, nous nous appuyons sur des garanties appropriées, telles que les clauses contractuelles types de la Commission européenne, pour que vos données restent protégées.

Nous contacter

Pour exercer l'un des droits ci-dessus, ou si vous avez une question sur la manière dont nous traitons vos données personnelles, écrivez-nous à hello+qrcode@sparkbooth.com. Nous nous efforçons de répondre à toutes les demandes dans un délai de 30 jours.