shield_lock Datu aizsardzība

Privātuma politika

Statuss: 2026. gada novembris | Pārzinis: Ostheimer OG, Fabriksgasse 20, 2230 Gänserndorf | office@qr3.app

1. Pamatprincipi

Mēs apstrādājam personas datus saskaņā ar GDPR (ES) 2016/679. Jūsu datu aizsardzība mums ir ārkārtīgi svarīga. qr3.app ir izstrādāta saskaņā ar principu Privacy by Design (integrēta datu aizsardzība): IP adreses nekad netiek saglabātas — tās tiek nekavējoties pseidonimizētas tīkla malā (Cloudflare Workers), izmantojot HMAC-SHA-256, ilglaicīgu noslēpumu, nolūku un UTC dienu, pirms dati tiek saglabāti.

2. Apstrādātie dati

2.1 API lietošana (reģistrēti lietotāji)

  • Konta dati: e-pasta adrese, vārds (izmantojot Clerk.com autentifikāciju)
  • Norēķinu dati: Stripe klienta ID, abonementa statuss (kredītkartes dati netiek saglabāti — Stripe tos apstrādā tieši)
  • Lietošanas dati: izveidotie QR kodi, darba vietas (workspace) konfigurācijas
  • Tiesiskais pamats: GDPR 6. panta 1. punkta b) apakšpunkts (līguma izpilde)

2.2 Skenēšanas analītika (galalietotāji, kuri skenē QR kodus)

  • IP pseidonīms: HMAC-SHA-256 ar ilglaicīgu noslēpumu, nolūku un UTC dienu — pseidonimizēti personas dati; tos nevar tieši atgūt no heša, bet noslēpuma turētājs var konkrētajai dienai pārrēķināt zināmu IP kandidātu
  • Ierīces dati: ierīces veids, operētājsistēma, pārlūkprogramma (no User-Agent, anonimizēti)
  • Ģeogrāfiskie dati: valsts, pilsēta (no Cloudflare CF-IPCountry galvenes — IP adrese netiek saglabāta)
  • Tiesiskais pamats: GDPR 6. panta 1. punkta f) apakšpunkts (QR kodu īpašnieku leģitīmās intereses iegūt statistiku)
  • Glabāšana: 90 dienas, pēc tam automātiska dzēšana

2.3 Tīmekļa vietnes apmeklējums (qr3.app)

  • Nav izsekošanas sīkfailu
  • Servera žurnāli: Cloudflare apstrādā savienojuma datus saskaņā ar savu privātuma politiku

Lai uzskaitītu lapu skatījumus katrai valodas versijai, qr3.app izmanto Cloudflare Web Analytics. Šis pakalpojums neizmanto sīkfailus vai citus klienta puses uzglabāšanas mehānismus, nesaglabā IP adreses un neveido lietotāju profilus. Apkopotie dati kopumā: lapas ceļš, referers (atsaucēja lapa), pārlūkprogrammas un ierīces veids, kā arī valsts. Pakalpojuma sniedzējs: Cloudflare, Inc. kā datu apstrādātājs (Datu apstrādes pielikums). Tiesiskais pamats: GDPR 6. panta 1. punkta f) apakšpunkts — leģitīma interese par sasniedzamību katrā valodā. Atteikšanās sīkfails nav nepieciešams, jo jūsu ierīcē netiek glabāti nekādi dati.

2.4 Lietojuma statistika un webhook žurnāli (reģistrēti lietotāji)

  • Lietojuma statistika: Vadības paneļa aktivitāte pa dienām (kuras UTC dienās lietotājs atvēra darba vietas vadības paneli) un API lietojuma skaitītāji pa operācijām un dienām (vienas API atslēgas pieprasījumu skaits pa operācijām un rezultātiem). Par vadības paneļa aktivitāti tiek saglabāti lietotāja, organizācijas un darba vietas identifikatori, UTC diena un šīs dienas pirmās atvēršanas laiks; par API skaitītājiem — organizācijas, darba vietas un API atslēgas identifikatori, UTC diena, operācija, rezultāts, skaits un dienas pirmā un pēdējā pieprasījuma laiks — bez IP adreses un bez User-Agent.
  • Webhook piegādes žurnāli: Par katru piegādes mēģinājumu: notikuma veids, laiks, statuss, HTTP statusa kods un atbildes laiks, nosūtītie notikuma dati un saņēmēja atbildes pirmais kilobaits (1 KB) vai kļūdas ziņojums. Skenēšanas notikumos notikuma dati satur apmeklētāja valsti, ierīces veidu, operētājsistēmu, pārlūkprogrammu un valodu, koda notikumos — visu kodu ar mērķa adresi un piezīmēm. Apmeklētāju IP adrese un User-Agent netiek saglabāti, taču notikuma datos un saņēmēja atbildē var būt personas dati.
  • Nolūks: Darbība, kļūdu meklēšana un produkta uzlabošana
  • Tiesiskais pamats: GDPR 6. panta 1. punkta f) apakšpunkts (leģitīmās intereses uz drošu darbību, kļūdu meklēšanu un pakalpojuma turpmāku attīstību)
  • Glabāšana: 90 dienas (kārtējā UTC diena un 89 iepriekšējās dienas), pēc tam automātiska dzēšana; ar DELETE /v1/account — nekavējoties

2.5 Audita žurnāls (reģistrēti lietotāji)

  • Saturs: Par katru izmaiņu darba vidē (piemēram, kodos, API atslēgās, dalībniekos vai webhook): laiks, darbība, attiecīgais resurss, mainītās vērtības un kas rīkojās (lietotāja vai API atslēgas ID). Izsaukumiem tieši caur API papildus IP pseidonīms (HMAC-SHA-256 katrai UTC dienai, atsevišķs nolūks) un lietotāja aģents (user agent). IP adrese, noslēpumi (secrets) un API atslēgas netiek glabāti.
  • Nolūks: Izmaiņu izsekojamība darba vides komandai un pakalpojuma drošība
  • Tiesiskais pamats: GDPR 6. panta 1. punkta f) apakšpunkts (leģitīmās intereses uz izsekojamām izmaiņām un pakalpojuma drošību)
  • Glabāšana: IP pseidonīms un user agent – 90 dienas, ieraksts – 365 dienas (katru reizi kārtējā UTC diena un iepriekšējās dienas), pēc tam automātiska dzēšana; ar DELETE /v1/account savu organizāciju ieraksti tiek dzēsti nekavējoties, bet citās komandās tiek noņemts IP pseidonīms un user agent

3. Datu nodošana trešajām personām

Mēs nododam datus tikai šādiem pakalpojumu sniedzējiem. Ja nav norādīts citādi, tie apstrādā datus mūsu uzdevumā (GDPR 28. pants). Ja šajā procesā dati nonāk ASV, tas balstās uz ES un ASV datu privātuma regulējumu (EU-US Data Privacy Framework), saskaņā ar kuru šo pakalpojumu sniedzēju ASV uzņēmumi ir sertificēti (lēmums par aizsardzības līmeņa pietiekamību, GDPR 45. pants), un pakārtoti — uz Eiropas Komisijas standarta līguma klauzulām to datu apstrādes līgumos (GDPR 46. panta 2. punkta c) apakšpunkts).

  • Cloudflare, Inc. (ASV) — infrastruktūra, CDN, Workers: tīmekļa vietnes, vadības paneļa un API mitināšana, datubāze, failu glabātuve un rindas, sistēmas e-pasta ziņojumu sūtīšana (Cloudflare Email Service) un Web Analytics (2.3. sadaļa)
  • Clerk, Inc. (ASV) — autentifikācija: e-pasta adrese, vārds, pieteikšanās un sesijas dati (tostarp IP adrese, no tās noteikta atrašanās vieta un pārlūkprogramma) un apstiprinājuma e-pasta ziņojumi. Reģistrējoties Clerk iegulda aizsardzību pret automatizētām reģistrācijām (Cloudflare Turnstile). Ja piesakāties ar Google kontu, Clerk no šī konta saņem Jūsu vārdu un e-pasta adresi.
  • Stripe Payments Europe, Ltd. (Īrija) — maksājumu apstrāde un rēķini. Maksājumu datus Stripe vāc tieši; mēs nesaņemam karšu datus. Par krāpšanas novēršanu, savām juridiskajām saistībām un savu produktu attīstību Stripe atbild pats.
  • Functional Software, Inc. (Sentry) (ASV, glabāšana ES) — kļūdu analīze API, pāradresācijām un vadības panelim: kļūdu ziņojumi un pieprasījumu paraugi (metode, ceļš bez parametriem, statusa kods, ilgums, iekšējie identifikatori). IP adreses, galvenes, sīkfailus un parametrus mēs noņemam pirms nosūtīšanas; e-pasta adreses un atslēgas tekstā tiek aizklātas. Tiesiskais pamats: GDPR 6. panta 1. punkta f) apakšpunkts (leģitīmās intereses uz darbību bez kļūdām un drošu darbību)
  • Google Cloud EMEA Ltd. (Īrija; Google Cloud Web Risk) — mērķa adrešu pārbaude attiecībā uz pikšķerēšanu un ļaunprogrammatūru: izveidojot vai mainot kodu, pārbaudot ar API un nakts atkārtotajā pārbaudē — koda mērķa adrese vai tā galapunkta lapas saites. Tiek nosūtīta tikai adrese, bez konta vai apmeklētāju datiem; ja pati adrese satur personas datus (piemēram, parametrā), tie tiek nosūtīti kopā ar to. Tiesiskais pamats: GDPR 6. panta 1. punkta f) apakšpunkts (apmeklētāju aizsardzība pret krāpnieciskiem galamērķiem un pakalpojuma drošība)
  • Microsoft (Microsoft 365) — pastkaste office@qr3.app: e-pasta ziņojumi mums, tostarp atbildes uz sistēmas e-pasta ziņojumiem, un mūsu atbildes. Tiesiskais pamats: GDPR 6. panta 1. punkta b) apakšpunkts (pieprasījumi par līgumu) vai f) apakšpunkts (citi pieprasījumi)

Datu nodošana reklāmas nolūkos netiek veikta.

4. Jūsu tiesības (GDPR 15.–22. pants)

  • Piekļuve (15. pants): GET /v1/account/privacy vai rakstot uz e-pastu office@qr3.app
  • Datu pārnesamība (20. pants): GET /v1/account/export — visu datu eksports JSON formātā
  • Dzēšana (17. pants): DELETE /v1/account vai rakstot uz e-pastu. Jūsu konts tiek dzēsts nekavējoties: organizācijas, kuru īpašnieks esat, ar visām darba vietām, kodiem, produktu pasēm, failiem un statistiku (ja šādai organizācijai ir cits organizācijas administrators, viņš to pārņem kopā ar datiem un abonementu), Jūsu dalība citās organizācijās, Jūsu pieteikšanās Clerk un Jūsu klienta ieraksts Stripe. Aktīvs abonements beidzas nekavējoties, bez proporcionālas naudas atmaksas. Ļoti lieliem kontiem dzēšana tiek pabeigta dažu stundu laikā. Datubāzes rezerves kopijās (Cloudflare D1 Time Travel) dzēstie dati paliek atjaunojami līdz 30 dienām, pēc tam tie tiek neatgriezeniski noņemti. Izņēmums ir rēķini, kurus glabājam Stripe likumā noteikto septiņu gadu glabāšanas termiņu (§ 132 BAO), un trešo personu ziņojumi par ļaunprātīgiem kodiem (ļaunprātīgas izmantošanas novēršana).
  • Ierobežošana (18. pants): rakstot uz e-pastu office@qr3.app
  • Iebildumi (21. pants): jebkurā laikā attiecībā uz apstrādi, kas pamatota ar leģitīmām interesēm

5. Sīkfaili (Cookies)

qr3.app izmanto tikai tehniski nepieciešamos sesijas sīkfailus (autentifikācijai ar Clerk). Netiek izmantoti nekādi mārketinga vai izsekošanas sīkfaili. Tāpēc piekrišana saskaņā ar Sīkfailu direktīvu nav nepieciešama. Cloudflare Web Analytics (skatīt 2.3. sadaļu) arī neizmanto sīkfailus.

6. Datu drošība

Visi dati tiek pārraidīti šifrētā veidā (TLS 1.3). Datu bāzes šifrēšana miera stāvoklī (at-rest), izmantojot Cloudflare D1. API atslēgas tiek glabātas hešētā veidā. Tīmekļa āķu (webhook) paraksti tiek nodrošināti ar HMAC-SHA256.

7. Tiesības iesniegt sūdzību

Jums ir tiesības iesniegt sūdzību Austrijas Datu aizsardzības iestādē:
Datenschutzbehörde (dsb.gv.at), Barichgasse 40-42, 1030 Wien

8. Datu aizsardzības kontaktinformācija

Ostheimer OG
Fabriksgasse 20, 2230 Gänserndorf
office@qr3.app