Политика конфиденциальности

Эта политика объясняет, какие персональные данные мы обрабатываем, когда вы пользуетесь QRTint и когда кто-то сканирует созданный в нём код. Мы собираем минимум, необходимый для работы сервиса. Мы не продаём данные и не используем рекламные или следящие инструменты.

Кто отвечает

Оператор данных — [Company name], [Registered address], IČO [IČO]. По любым вопросам о ваших данных пишите на [Support email].

Что мы обрабатываем и зачем

Ваш аккаунт

• Email и пароль. Пароль хранится только в виде одностороннего хэша (argon2id) и никогда в читаемом виде. Если вы входите через Google, мы получаем ваш email и идентификатор аккаунта Google, но не пароль.
• Сессия входа. Случайный идентификатор сессии в cookie, чтобы вы оставались в аккаунте. См. раздел cookies ниже.
• Ссылки для сброса пароля. По вашему запросу мы присылаем одноразовую ссылку. Мы храним только её хэш, и она истекает через 1 час.

Правовое основание: исполнение договора с вами (ст. 6(1)(b) GDPR).

Ваши коды и файлы

Названия, адреса ссылок, дизайны и логотипы, которые вы добавляете, и загруженные файлы. Они нужны, чтобы показывать, отрисовывать и перенаправлять ваши коды (ст. 6(1)(b) GDPR). Если вы пользуетесь ИИ-дизайнером, введённое описание отправляется в OpenAI для создания вариантов дизайна. Не указывайте в нём персональные данные.

Платежи

Платежи обрабатывает Stripe. Мы получаем и храним ваш тариф, статус подписки, расчётный период и идентификаторы клиента и подписки в Stripe. Полный номер карты мы не видим. Правовые основания: договор (ст. 6(1)(b)) и наша обязанность вести бухгалтерский учёт (ст. 6(1)(c) GDPR).

Люди, которые сканируют код

Когда кто-то сканирует код, мы записываем:

• время сканирования;
• тип устройства (iOS, Android или компьютер), определённый по user agent браузера;
• страну и примерное местоположение (широту и долготу, округлённые примерно до 10 км), которые сообщает наша хостинговая сеть. Точное местоположение мы никогда не записываем;
• идентификатор посетителя — односторонний хэш IP-адреса и user agent. Он нужен, чтобы отличать уникальных посетителей от повторных сканирований. Сам IP-адрес мы не храним.

Владелец кода видит эти данные только как статистику (количество по дням, устройствам и странам и тепловую карту примерных мест) и никогда не видит отдельных посетителей. Мы обрабатываем эти данные от имени владельца, чтобы предоставить статистику, а также в нашем законном интересе (ст. 6(1)(f) GDPR) — для работы перенаправления и выявления злоупотреблений. Коды не ставят cookies на устройство того, кто сканирует.

Безопасность и защита от злоупотреблений

Чтобы защитить людей от фишинга и вредоносных программ, мы отправляем адреса ссылок в сервис Google Web Risk при сохранении кода и при сканировании. Мы также недолго храним технические журналы запросов и ограничиваем число попыток входа по IP-адресу. Правовое основание: законный интерес в безопасности сервиса и его пользователей (ст. 6(1)(f) GDPR).

Письма

Мы отправляем только необходимые письма — например, ссылки для сброса пароля и важные уведомления об аккаунте или об этих условиях. Маркетинговые письма без вашего согласия мы не отправляем.

Кто обрабатывает данные по нашему поручению

Для работы сервиса мы пользуемся следующими поставщиками. Каждый получает только нужные ему данные по договору об обработке данных.

При передаче данных в США они защищены рамочным соглашением EU–US Data Privacy Framework, если поставщик сертифицирован, а в остальных случаях — стандартными договорными условиями Европейской комиссии.

Сколько мы храним данные

• Аккаунт, коды и файлы: пока существует аккаунт. Удаляются вместе с аккаунтом.
• Статистика сканирований: пока не удалён код (или аккаунт).
• Сессии входа: 30 дней после последнего визита или до выхода из аккаунта либо сброса пароля.
• Ссылки для сброса пароля: 1 час или до использования.
• Несохранённые дизайны из редактора на главной странице: 7 дней.
• Счета и платёжные записи: 10 лет, как требует словацкий Закон о бухгалтерском учёте (№ 431/2002 Сб.).

Cookies и локальное хранилище

Мы используем cookie сессии — qr_sid. Она сохраняет вход в аккаунт, и без неё сервис не работает. Она помечена HttpOnly, поэтому скрипты не могут её прочитать, и истекает через 30 дней после последнего визита. Ещё одна cookie, qr_locale, запоминает выбранный язык. Кроме того, в локальном хранилище браузера мы держим несколько небольших записей: отметку, что вы уже видели приветственный экран, дизайн, над которым вы работаете в редакторе на главной, и идентификатор дизайна, начатого до регистрации. Всё это строго необходимо для функций, которые вы сами используете, поэтому согласие не требуется. Мы не используем аналитические, рекламные и сторонние отслеживающие cookies.

Ваши права

По GDPR у вас есть право:

• получить копию своих данных и исправить их;
• потребовать их удаления или ограничения обработки;
• получить данные в переносимом формате;
• возразить против обработки на основании нашего законного интереса;
• отозвать данное согласие с действием на будущее.

Напишите на [Support email], и мы ответим в течение месяца. Если вы сканировали код и у вас есть вопрос об этом сканировании, обратитесь к нам или к владельцу кода.

Вы также можете подать жалобу в орган по защите данных. Наш надзорный орган — Управление по защите персональных данных Словацкой Республики (Úrad na ochranu osobných údajov SR), Hraničná 12, 820 07 Bratislava, dataprotection.gov.sk. Также можно обратиться в орган страны ЕС, где вы живёте.

Изменения

Если мы существенно изменим эту политику, мы обновим дату выше и заранее сообщим владельцам аккаунтов по email.