1. Overzicht
Deze privacybeleid beschrijft welke persoonsgegevens wij verwerken wanneer u photogala.net bezoekt, een account aanmaakt, een galerij maakt of als gast lid wordt van een galerij — en welke rechten u daarbij hebt.
Het belangrijkste in het kort: galerijen zijn niet openbaar en verschijnen niet in zoekmachines. Wij verkopen geen gegevens en gebruiken uw foto's niet voor reclame en evenmin voor het trainen van AI-modellen. Analyse- en advertentiecookies plaatsen wij alleen met uw toestemming — en op galerijpagina's voor gasten helemaal niet.
2. Verwerkingsverantwoordelijke
Verwerkingsverantwoordelijke in de zin van de Algemene Verordening Gegevensbescherming (AVG) voor photogala.net en de exploitatie van het platform is:
Peter Wassermair
Rödham 20, 4922 Geiersberg, Oostenrijk
E-mail: [email protected]
Er is geen functionaris voor gegevensbescherming aangesteld, omdat daartoe geen wettelijke verplichting bestaat. Richt alle vragen over gegevensbescherming aan het hierboven genoemde e-mailadres.
3. Wie is waarvoor verantwoordelijk?
Bij galerijen zijn er twee rollen:
- Organisatoren (bijv. een bruidspaar, een bedrijf of een vereniging) maken een galerij aan, nodigen gasten uit en bepalen de instellingen ervan: wie toegang heeft, of gasten mogen uploaden en downloaden, of inhoud vóór publicatie wordt gecontroleerd en of de gezichtsherkenning actief is. Voor de inhoud van hun galerij zijn de organisatoren verwerkingsverantwoordelijken.
- Photogala verwerkt de inhoud van een galerij in opdracht van de organisator (Art. 28 AVG, zie de bijlage bij onze gebruiksvoorwaarden). Voor accounts, de beveiliging van het platform, de facturering en deze website zijn wij zelf verwerkingsverantwoordelijke.
Biedt een partner (bijv. een fotograaf of een bureau) een galerij onder een eigen merk aan, dan gelden daarnaast de juridische teksten van de partner die in de galerij zijn gelinkt.
Vragen over een bepaalde galerij stelt u het best eerst aan de organisator. U kunt zich echter ook altijd tot ons wenden; wij helpen u rechtstreeks of sturen uw verzoek door.
4. Informatie voor gasten
Wanneer u via een link, QR-code of uitnodigingscode lid wordt van een galerij, verwerken wij:
- de weergavenaam die u vrijwillig opgeeft, en een gastaccount op uw apparaat, zodat u uw uploads, likes en reacties kunt terugvinden en verwijderen;
- de foto's en video's die u uploadt, inclusief de metadata van het bestand (bijv. opnametijd, cameramodel en — als uw apparaat die opslaat — opnamelocatie);
- technische gegevens zoals IP-adres, browser en apparaat, die nodig zijn voor een veilige werking;
- welke versie van de gebruiksvoorwaarden u bij het betreden is getoond en wanneer — als bewijs.
Rechtsgronden zijn het beschikbaar stellen van de galerij waarvan u lid wordt (Art. 6 lid 1 onder b AVG), alsmede het gerechtvaardigd belang van de organisator en ons eigen gerechtvaardigd belang bij een gezamenlijke herinnering aan het evenement en een veilige werking (Art. 6 lid 1 onder f AVG).
Voorbeeld- en webversies van uw foto's bevatten geen camera- of locatiegegevens. Het originele bestand blijft ongewijzigd; staat de organisator downloads toe, dan kunnen andere gasten het met alle metadata downloaden. Wilt u dat niet, verwijder dan vóór het uploaden de locatie via de instellingen van uw apparaat.
Staat u op een foto en wilt u dat niet? Open de foto en tik op ‘Melden’. De organisator ontvangt een notificatie en kan de foto verwijderen. Hebt u geen toegang tot de galerij of reageert de organisator niet, schrijf ons dan via [email protected] — wij beoordelen elke melding. Uw eigen uploads kunt u altijd zelf verwijderen.
Voor een gastaccount hebt u geen e-mailadres nodig. Geeft u er een op, bijvoorbeeld om op de hoogte te worden gehouden van nieuwe foto's of om een download te ontvangen, dan gebruiken wij het alleen daarvoor. Gasten ontvangen alleen reclame als zij daarvoor uitdrukkelijk toestemming hebben gegeven.
5. Welke gegevens wij verder verwerken
- Account: e-mailadres, naam en wachtwoord (alleen als veilige hash opgeslagen) of, bij aanmelding met Google, naam, e-mailadres en profielfoto.
- Galerijen: naam, datum, locatie, instellingen en vormgeving, uitnodigingen, taken, albums en alle inhoud die organisatoren en gasten uploaden.
- Communicatie: uw supportverzoeken en de e-mails die wij u sturen (bijv. bevestigingen of berichten over uw galerij).
- Aankopen: naam, e-mailadres, land, gekocht pakket en betalingsstatus. Uw kaart- of rekeninggegevens ontvangt alleen onze verkoper Paddle, nooit wij.
- Gebruik en techniek: IP-adres, browser, apparaat, bezochte pagina's, tijdstippen en foutrapporten.
6. Doeleinden en rechtsgronden
- Beschikbaarstelling van het platform (account, galerijen, uploads, downloads, notificaties): overeenkomst, Art. 6 lid 1 onder b AVG.
- Beveiliging en bescherming tegen misbruik (serverlogs, beperking van het aantal verzoeken, reCAPTCHA, beoordeling van meldingen, automatische detectie van ontoelaatbare inhoud): gerechtvaardigd belang, Art. 6 lid 1 onder f AVG, alsmede onze verplichtingen als aanbieder van hostingdiensten op grond van de Digitaledienstenverordening (DSA), Art. 6 lid 1 onder c AVG.
- Bewijs van de aanvaarding van de gebruiksvoorwaarden: gerechtvaardigd belang, Art. 6 lid 1 onder f AVG.
- Facturering en boekhouding: wettelijke bewaarplichten, Art. 6 lid 1 onder c AVG juncto § 132 BAO.
- Paginastatistieken zonder cookies op photogala.net (anoniem en geaggregeerd, met Plausible): gerechtvaardigd belang, Art. 6 lid 1 onder f AVG.
- Productanalyse en advertentietracking: alleen met toestemming, Art. 6 lid 1 onder a AVG en § 165 lid 3 TKG 2021.
- Nieuwsbrief en reclame-e-mails: met toestemming, Art. 6 lid 1 onder a AVG, of aan klanten voor eigen soortgelijke producten met de mogelijkheid om zich op elk moment af te melden, § 174 lid 4 TKG 2021.
- Gezichtsherkenning: uitdrukkelijke toestemming, zie punt 7.
Baseren wij ons op gerechtvaardigde belangen, dan kunt u bezwaar maken (punt 13). Een toestemming kunt u altijd met werking voor de toekomst intrekken.
7. Gezichtsherkenning (optioneel)
Organisatoren kunnen voor hun galerij de functie ‘Vind mij’ inschakelen. Standaard staat deze uit.
Is de functie actief, dan herkent een AI-model op onze eigen servers gezichten op de geüploade foto's en berekent het daaruit kenmerkvectoren. Uploadt een gast een selfie, dan vergelijken wij die met deze vectoren en tonen wij de gast de foto's waarop hij of zij te zien is. Zulke vectoren zijn biometrische gegevens (Art. 9 AVG).
Wij verwerken ze alleen met uitdrukkelijke toestemming (Art. 9 lid 2 onder a AVG). Uw selfie wordt pas geanalyseerd nadat u dat uitdrukkelijk hebt bevestigd. Voor de overige personen op de foto's is de organisator verantwoordelijk: deze moet de gasten vooraf informeren en hun toestemming verkrijgen voordat hij de functie inschakelt.
De vectoren worden versleuteld opgeslagen, niet aan derden doorgegeven en niet gebruikt voor het trainen van AI-modellen. Wij verwijderen ze zodra de organisator de functie uitschakelt, de galerij wordt verwijderd of u uw toestemming intrekt. Uw selfie dient alleen voor de vergelijking en verschijnt niet in de galerij.
Daarnaast controleert een AI-model op onze servers uploads op duidelijk ontoelaatbare inhoud zoals naaktheid, zodat de organisator deze vóór publicatie kan controleren. Daarbij worden geen personen geïdentificeerd.
8. Ontvangers en dienstverleners
Wij geven gegevens alleen door voor zover dat voor de genoemde doeleinden nodig is, en verkopen geen persoonsgegevens. Onze dienstverleners verwerken gegevens in onze opdracht en zijn contractueel gebonden (Art. 28 AVG):
- Hetzner Online GmbH, Duitsland: servers, database en opslag van alle platformgegevens in een datacenter in Helsinki, Finland.
- Backblaze, Inc., VS: back-ups van de media in een datacenter in Amsterdam, Nederland.
- Cloudflare, Inc., VS: netwerk, snelle levering van inhoud en bescherming tegen aanvallen; daarbij worden IP-adressen en verzoekgegevens verwerkt.
- Paddle.com Market Ltd, Verenigd Koninkrijk: verkoop en betalingsafhandeling als verkoper (Merchant of Record). Voor de aankoop is Paddle zelf verwerkingsverantwoordelijke; daarvoor geldt de privacybeleid van Paddle.
- Google Ireland Ltd en Google LLC: aanmelden met Google (alleen als u daarvoor kiest) en reCAPTCHA ter bescherming van formulieren tegen bots; daarbij worden IP-adres en browsergegevens aan Google doorgegeven.
- Klaviyo, Inc., VS: verzending van e-mails aan klanten en geïnteresseerden; nieuwsbrief alleen met toestemming.
- OpenStreetMap Foundation en CARTO: kaarttegels, wanneer een galerij een kaart toont. Uw browser laadt deze rechtstreeks en geeft daarbij uw IP-adres door.
- Advertentieplatforms — alleen na uw toestemming, zie punt 11.
Op onze eigen servers en zonder doorgifte aan derden draaien wij: de e-mailserver (Mailcow), de foutrapporten (GlitchTip), de paginastatistieken (Plausible), de productanalyse (OpenPanel, alleen met toestemming) en de AI-modellen voor beeldcontrole, gezichtsherkenning en vertalingen.
Binnen een galerij zien de organisator en de andere gasten uw uploads, uw weergavenaam, likes en reacties — afhankelijk van de instellingen van de galerij. Autoriteiten ontvangen alleen gegevens als wij daartoe wettelijk verplicht zijn.
9. Doorgifte naar derde landen
Uw gegevens slaan wij op in de EU. Enkele dienstverleners (Cloudflare, Backblaze, Google, Klaviyo en — na toestemming — de advertentieplatforms) zijn gevestigd in de VS of kunnen van daaruit toegang krijgen. Grondslag is het EU-US Data Privacy Framework, voor zover de aanbieder gecertificeerd is, en anders de standaardcontractbepalingen van de Europese Commissie (Art. 46 AVG). Voor het Verenigd Koninkrijk (Paddle) bestaat een adequaatheidsbesluit van de Europese Commissie.
11. Reclame en conversiemeting (alleen met toestemming)
Geeft u op photogala.net toestemming, dan meten wij welke advertenties tot registraties en aankopen leiden. Daarvoor gebruiken wij pixels en server-side interfaces van:
- Google Ads (Google Ireland Ltd)
- Meta Pixel en Conversions API (Meta Platforms Ireland Ltd)
- TikTok Pixel en Events API (TikTok Technology Ltd, Ierland)
- Microsoft Advertising (Microsoft Ireland Operations Ltd, Ierland)
- Pinterest (Pinterest Europe Ltd)
- Amazon Ads (Amazon Europe Core S.à r.l., Luxemburg)
- Taboola (Taboola Europe Ltd)
- OpenAI Ads (OpenAI Ireland Ltd)
Doorgegeven worden klik-ID's (bijv. gclid of fbclid), de gebeurtenis (bijv. ‘Registratie’ of ‘Aankoop’), het tijdstip, IP-adres en browsergegevens, alsmede uw e-mailadres in gehashte vorm. Rechtsgrond is uw toestemming (Art. 6 lid 1 onder a AVG). Zonder toestemming wordt niets doorgegeven; u kunt uw toestemming altijd intrekken.
12. Bewaartermijn
- Account: totdat u het verwijdert. Daarna verwijderen wij uw gegevens binnen 30 dagen, voor zover er geen bewaarplicht bestaat.
- Galerijen en media: zolang de galerij bestaat, maximaal tot het einde van de geboekte looptijd. Verwijderde inhoud kan 90 dagen lang worden hersteld, ook in de back-up, en wordt daarna definitief verwijderd.
- Gastaccounts: zolang de galerij bestaat. Op verzoek verwijderen wij ze eerder.
- Bewijs van de gebruiksvoorwaarden: zolang de galerij bestaat en daarna drie jaar (verjaringstermijn, § 1489 ABGB).
- Factuur- en boekhoudgegevens: zeven jaar (§ 132 BAO).
- Serverlogs en foutrapporten: in de regel maximaal 90 dagen, bij beveiligingsincidenten tot deze zijn opgehelderd.
- Toestemmingen: tot de intrekking ervan; het bewijs daarvan drie jaar langer.
13. Uw rechten
U hebt het recht op inzage (Art. 15 AVG), rectificatie (Art. 16), wissing (Art. 17), beperking van de verwerking (Art. 18), overdraagbaarheid van gegevens (Art. 20) en bezwaar (Art. 21). Een toestemming kunt u altijd intrekken (Art. 7 lid 3); wat tot dan is verwerkt, blijft rechtmatig.
Schrijf daarvoor naar [email protected]. Wij antwoorden binnen een maand.
U kunt daarnaast een klacht indienen bij een toezichthoudende autoriteit, in Oostenrijk bij de Österreichische Datenschutzbehörde (Oostenrijkse gegevensbeschermingsautoriteit), Barichgasse 40–42, 1030 Wien, www.dsb.gv.at.
Geautomatiseerde besluiten met rechtsgevolgen voor u (Art. 22 AVG) nemen wij niet. De automatische controle van uploads markeert inhoud alleen, zodat een mens deze controleert.
14. Kinderen
Alleen meerderjarigen mogen galerijen aanmaken en pakketten kopen. Kinderen jonger dan 14 jaar mogen alleen met toestemming van een ouder lid worden van een galerij (§ 4 lid 4 DSG).
Foto's van kinderen verdienen bijzondere bescherming. Organisatoren zouden vooraf de toestemming van de ouders moeten verkrijgen, en ouders kunnen foto's van hun kinderen altijd via ‘Melden’ of per e-mail aan ons laten verwijderen.
15. Gegevensbeveiliging
Alle verbindingen zijn met TLS versleuteld. Galerijen zijn alleen bereikbaar met een link, code of wachtwoord, en mediabestanden alleen via in tijd beperkte, ondertekende adressen. De toegang is beperkt op basis van rollen, wachtwoorden worden alleen als hash opgeslagen en back-ups worden bij een tweede aanbieder bewaard.
Absolute veiligheid kan niemand garanderen. Doet zich een datalek voor, dan informeren wij de autoriteit en de betrokkenen overeenkomstig Art. 33 en 34 AVG.
16. Wijzigingen
Wij passen deze privacybeleid aan wanneer onze verwerking of de rechtssituatie verandert. Van toepassing is steeds de versie die hier is gepubliceerd. Over wezenlijke wijzigingen informeren wij geregistreerde gebruikers per e-mail of in de app.
17. Informatie voor inwoners van de VS
Als u in Californië of in een andere Amerikaanse staat met een eigen privacywet woont, kunt u te weten komen welke persoonsgegevens wij over u verwerken, deze laten rectificeren of verwijderen en bezwaar maken tegen de ‘verkoop’ of het ‘delen’ ervan voor reclamedoeleinden. Wij verkopen geen persoonsgegevens. Advertentietracking vindt alleen plaats na toestemming, die u altijd kunt intrekken. Als u uw rechten uitoefent, ondervindt u daarvan geen nadelen. Verzoeken kunt u richten aan [email protected].
18. Contact
Vragen over gegevensbescherming beantwoorden wij graag:
Peter Wassermair, Rödham 20, 4922 Geiersberg, Oostenrijk
E-mail: [email protected]