Polityka prywatności

Masz przekazać komuś obcemu zdjęcie swojej twarzy, aby złożyć wniosek o dokument urzędowy. To poważna prośba, a twarzy po wycieku nie da się zmienić jak hasła. Ta strona dokładnie opisuje, co zbieramy, w jakim celu, kto jeszcze ma z tym styczność, jak długo to przechowujemy i czego postanowiliśmy nigdy z tym nie robić.

Kto odpowiada za twoje zdjęcie

Administratorem danych w odniesieniu do wszystkiego, co przesyłasz, oraz powiązanego z tym rekordu zamówienia jest spółka, która prowadzi serwis IDPhoto.now: BEO TECHNOLOGY SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ. Opieka nad zdjęciem należy do nas i nie przenosimy tej odpowiedzialności na nikogo innego. Nasz dostawca płatności, Dodo Payments, jest odrębnym administratorem danych płatniczych, które przetwarza. Zobacz: kto przetwarza twoje dane.

W sprawie swoich danych skontaktuj się z administratorem przez stronę kontaktową. Jeśli masz numer zamówienia, podaj go.

Jakie dane zbieramy i w jakim celu

Jakie dane o przeglądarce przechowujemy, a jakich nie

Przy sesji przeglądarki możemy zapisać ogólny typ przeglądarki na potrzeby wyjaśniania nadużyć. Nie jest to ciąg user-agent ani odcisk przeglądarki (fingerprint). To zawsze jedno z dokładnie czterech słów: mobile, desktop, automated lub unknown.

Nie zapisujemy adresów IP w rekordach sesji ani w dzienniku audytowym. To świadoma decyzja projektowa, zapisana w modelu danych, a nie w obietnicy. Nasi dostawcy hostingu i platform prowadzą własne logi żądań, które zawierają adresy IP i są przechowywane według ich własnych harmonogramów. Te logi należą do nich, nie do nas, i nie będziemy ich opisywać tak, jakbyśmy je kontrolowali.

Na jakiej podstawie prawnej przetwarzamy dane

Zdjęcie, pomiary i rekord zamówienia: wykonanie umowy zawartej, gdy zlecasz nam sprawdzenie zdjęcia, oraz podjęcie działań na twoje żądanie przed jej zawarciem. Dziennik audytowy oraz mechanizmy przeciwdziałania oszustwom i nadużyciom: nasz prawnie uzasadniony interes w prowadzeniu usługi, która potrafi wykazać, kto miał styczność ze zdjęciem twarzy klienta. Dokumentacja księgowa: nasze obowiązki prawne.

Dwa uczciwe zastrzeżenia. Po pierwsze, analiza podstaw prawnych jest jedną z kwestii, które musi rozstrzygnąć oczekująca weryfikacja prawna; przedstawiamy ją tak, jak ją rozumiemy, zamiast zostawiać tę sekcję pustą. Po drugie, zdjęcie twarzy staje się danymi biometrycznymi w rozumieniu art. 9 RODO, gdy jest przetwarzane w celu jednoznacznej identyfikacji osoby. Nasz projekt celowo unika takiego celu: mierzymy właściwości obrazu i geometrię twarzy (liczymy jedną twarz; nachylenie, położenie i wielkość głowy mierzymy jako liczby i porównujemy z wymaganiami dokumentu), nie tworzymy wzorców, a detektor nigdy nie rozpoznaje, nie generuje ani nie edytuje twarzy. Nie mamy opinii prawnej potwierdzającej tę analizę i nie będziemy udawać, że ją mamy.

Kto przetwarza twoje dane

Z tej tabeli wynikają dwie ważne konsekwencje, bo język marketingowy wokół modelu sprzedawcy (merchant of record) regularnie je zaciera.

• Dodo nigdy nie otrzymuje twojego zdjęcia. Pliki są wydawane wyłącznie z naszego własnego magazynu z uwierzytelnionym dostępem, nigdy przez kanał realizacji zamówień dostawcy płatności.
• To, że Dodo jest sprzedawcą (merchant of record), nie zdejmuje z nas żadnych obowiązków wobec ciebie. Dodo rozlicza podatki od transakcji i figuruje jako sprzedawca. Wszystkie obowiązki w zakresie ochrony danych dotyczące twojego zdjęcia, a także odpowiedzialność za prawdziwość wszystkiego, co mówimy o działaniu usługi, pozostają po naszej stronie.

Pliki cookie i analityka

Ustawiamy pliki cookie opisane poniżej. Każdy jest potrzebny do czegoś, z czego korzystasz na tej stronie, dlatego nie wyświetlamy banera z prośbą o zgodę.

• idp_guest: losowy token z atrybutami HttpOnly i SameSite=Lax, ważny trzydzieści dni; po naszej stronie przechowujemy tylko jego skrót. Nie zawiera danych osobowych: pozwala przeglądarce, w której utworzono zamówienie, do niego wrócić. Bez niego usługa nie działa.
• locale: ostatnio używany lub wybrany język stron, przechowywany przez rok. Ma atrybuty HttpOnly i Secure, więc sama strona nie może go odczytać, i nie zawiera niczego innego.
• Pliki cookie logowania Better Auth, oprogramowania, którego używamy do logowania, ustawiane tylko wtedy, gdy ktoś zaloguje się na stronie konta. Mają atrybut HttpOnly i utrzymują zalogowanie do wylogowania albo wygaśnięcia sesji.

Na żadnej stronie, która pokazuje zdjęcie lub zamówienie, nie ma analitycznych plików cookie, pikseli reklamowych ani tagów podmiotów trzecich. Nie wybraliśmy dostawcy analityki, a jeśli kiedyś to zrobimy, na tych stronach żaden dostawca nie będzie dopuszczony.

Jak długo przechowujemy dane

• Zdjęcia z zamówienia, które nie zostało opłacone: 24 godziny.
• Zdjęcia z opłaconego zamówienia: 30 dni, aby można było wrócić po plik.
• Wcześniej, kiedy tylko zechcesz. Na stronie twojego zamówienia jest przycisk usuwania. Zobacz: usuwanie zdjęć i danych.

Oba okresy to decyzje produktowe podjęte do czasu weryfikacji prawnej i mogą się zmienić, gdy wyjaśnione zostaną kwestie prawa konsumenckiego i księgowości. Nie są to wnioski prawne.

Rekord zamówienia celowo istnieje dłużej niż zdjęcie

Po usunięciu zdjęć rekord zamówienia pozostaje, z oznaczeniem, że jego materiały zostały usunięte. Pozostają też zdarzenia płatności, rekordy zwrotów i dziennik audytowy. Żaden z nich nie zawiera zdjęcia. Przechowujemy je, ponieważ księgowość i rozpatrywanie reklamacji wymagają zapisu tego, co sprzedano i co się wydarzyło, a takie rozwiązanie sprawia, że te potrzeby nigdy nie stają się powodem do zatrzymania twojej twarzy.

Nie będziemy ukrywać jednego: obecnie pomiary wykonane na twoim zdjęciu pozostają po usunięciu obrazu, a część z nich to ciągi znaków z danych EXIF, takie jak model aparatu i data wykonania zdjęcia. To, czy powinny być usuwane razem z obrazem, jest otwartą kwestią naszej weryfikacji prawnej. Piszemy o tym tutaj, zamiast to po cichu pominąć.

Kopie zapasowe

Dane bieżące usuwamy natychmiast. Nasi dostawcy tworzą własne kopie zapasowe i migawki według własnych harmonogramów, których nie kontrolujemy i których nie używamy do przywracania pojedynczych rekordów klientów. Nie będziemy twierdzić, że dane znikają natychmiast z każdej kopii zapasowej na świecie, bo nie byłaby to prawda.

Przekazywanie danych za granicę i czego nie oznacza „hosting w UE”

Nasi dostawcy to globalne platformy i przetwarzanie może odbywać się poza krajem, w którym jesteś. Umowa o przetwarzanie danych Dodo Payments w odniesieniu do przekazań dokonywanych przez Dodo odwołuje się do standardowych klauzul umownych UE (2021/914) i brytyjskiego aneksu dotyczącego międzynarodowego przekazywania danych (UK International Data Transfer Addendum). Nasze własne mechanizmy przekazywania danych i miejsca przetwarzania u poszczególnych dostawców nie są jeszcze ustalone i nie napiszemy tu zdania, które sugerowałoby, że jest inaczej.

Dwóch twierdzeń celowo nie formułujemy:

• Hosting w UE sam w sobie nie oznacza zgodności z RODO. To tylko jeden z wielu czynników. Każda strona, która przedstawia flagę UE jako deklarację zgodności, sprzedaje ci samo wrażenie.
• Wskazówka lokalizacji magazynu to tylko wskazówka, a nie gwarancja miejsca przechowywania. Nasz magazyn obiektów obsługuje wskazówkę lokalizacji, którą dostawca określa jako realizowaną w miarę możliwości (best effort). Jedynym mechanizmem gwarantującym, gdzie przechowywane są obiekty, jest ograniczenie jurysdykcyjne, ustalane przy pierwszym utworzeniu zasobnika (bucket) i niemożliwe do późniejszej zmiany. Dopóki ta strona nie poinformuje, że je wybraliśmy, nie złożyliśmy ci żadnej obietnicy co do miejsca przechowywania danych.

Czego nigdy nie robimy

Każdą z tych rzeczy moglibyśmy technicznie zbudować, ale postanowiliśmy tego nie robić. To zobowiązania, a nie aspiracje.

• Nie trenujemy modeli na zdjęciach klientów. Ani własnych, ani cudzych.
• Nie budujemy bazy danych do rozpoznawania twarzy. Nigdzie w systemie nie ma indeksu, który prowadziłby od twarzy do osoby.
• Nie tworzymy ani nie przechowujemy wzorców biometrycznych ani wektorów cech twarzy (embeddingów). Liczby zmierzone przez nasze sprawdzenia są zapisywane jako zwykłe wartości w wierszach sprawdzeń twojego raportu, na przykład liczba twarzy, położenie oczu, pochylenie głowy, wysokość głowy jako część wysokości zdjęcia, odległość między oczami w pikselach, zakres od ciemnego do jasnego na twarzy oraz poziom pewności każdego wyniku, także odpowiedzi modelu obrazu. Przy nowych zdjęciach nie zapisujemy żadnej ramki kadrowania. Przy starszych zapisywaliśmy położenie twarzy użyte do wykadrowania podglądu i jest ono usuwane razem ze zdjęciem. Gdy w ramach retencji usuwamy twoje zdjęcia, zapisane obrazy znikają, a te wartości zostają oznaczone jako należące do usuniętego pliku, ale same liczby, tak jak wszystkie rekordy zamówień, pozostają na potrzeby księgowości i sporów. Nadal nie ma żadnego zestawu punktów charakterystycznych, szablonu, osadzenia (embeddingu) ani rozpoznawania.
• Nie wnioskujemy ze zdjęcia o cechach wrażliwych (ani o pochodzeniu etnicznym, zdrowiu, wyznaniu, wieku, ani o płci). Nic w naszym procesie tego nie próbuje. Kolor skóry na twarzy odczytujemy tylko po to, żeby ocenić, czy skóra błyszczy, oraz żeby zmniejszyć ten połysk, jeśli o to poprosisz. Niczego z niego nie wnioskujemy.
• Nie sprzedajemy, nie wynajmujemy ani nie udostępniamy zdjęć reklamodawcom, brokerom danych ani nikomu spoza wymienionych wyżej podmiotów przetwarzających.
• Nigdy nie umieszczamy zdjęć, bajtów obrazu, tokenów dostępu ani pełnych adresów e-mail w logach ani w dzienniku audytowym. Adresy e-mail w dzienniku audytowym są maskowane do postaci a*****@example.com.
• Nie wykorzystujemy jednego zdjęcia w wielu zamówieniach. Przesłany plik należy do jednego zamówienia i tylko do niego.
• Nikt nie ogląda twojego zdjęcia, chyba że poprosisz o to naszą obsługę, a każde wyświetlenie przez personel w naszej aplikacji jest zapisywane w dzienniku audytowym wraz z kontem, z którego je wykonano.
• Nie zmieniamy rysów ani kształtu twarzy. Połysk skóry zmniejszamy tylko na twoją prośbę. Niczego nie generujemy i nie powiększamy zdjęć. W przypadku dokumentów polskich, hiszpańskich, francuskich i argentyńskich możemy zastąpić tło jednolitym kolorem i obrócić całe zdjęcie, żeby wyrównać przechyloną głowę. Przy paszportach meksykańskich i kolumbijskim paszporcie online możemy zastąpić tło białym. Przy wszystkich tych dokumentach możemy też raz zmienić jasność albo kontrast całego zdjęcia i raz zmniejszyć w nim odcień nadany przez światło. Jeśli zrobiliśmy którąś z tych rzeczy, raport o tym mówi. Jeśli urząd zakazuje edytowanych zdjęć, wymieniamy tło albo poprawiamy jasność lub kontrast tylko na twoją prośbę. Przy papierowym wniosku o paszport brytyjski możemy raz poprawić jasność albo kontrast bez pytania, bo HM Passport Office każe swoim urzędnikom przyjmować taką zmianę. Szczegóły: standardy, według których sprawdzamy.
• Nigdy nie prosimy o przesłanie nam zdjęcia e-mailem. Zobacz: kontakt.

Dane o lokalizacji w twoim pliku

Oryginalny plik oddajemy w niezmienionej postaci, więc zostają w nim wszystkie metadane zapisane przez aparat, w tym współrzędne GPS, jeśli telefon je rejestrował. Nie odczytujemy tych współrzędnych i ich nie przechowujemy, ale też ich nie usuwamy, ponieważ oznaczałoby to zmianę oryginalnego pliku.

Jeśli to dla ciebie ważne, wyłącz lokalizację w aplikacji aparatu przed zrobieniem zdjęcia albo usuń dane o lokalizacji w telefonie przed przesłaniem pliku. Gotowe zdjęcie i arkusze do druku, które przygotowujemy z przesłanego pliku, nie zawierają metadanych aparatu, w tym lokalizacji.

Dzieci

Jeden z obsługiwanych dokumentów, odnowienie paszportu USA online, jest według zasad Departamentu Stanu dostępny tylko dla osób w wieku co najmniej 25 lat. Sprzedajemy też profil dziecięcy: zdjęcie do paszportu dla dziecka w Polsce, wniosek online. Nie kierujemy marketingu do dzieci. Nie zbieramy daty urodzenia i nie możemy zweryfikować niczyjego wieku, więc nie projektujemy usługi wokół weryfikacji wieku, której nie mamy. To, czy profil dziecięcy wymaga osobnej informacji, pozostaje otwartą kwestią weryfikacji prawnej.

Twoje prawa i jak z nich skorzystać

W zależności od miejsca zamieszkania przysługują ci niektóre lub wszystkie z następujących praw do twoich danych osobowych: prawo do otrzymania ich kopii, ich sprostowania, usunięcia, ograniczenia przetwarzania lub wniesienia sprzeciwu, otrzymania ich w formacie umożliwiającym przeniesienie oraz wniesienia skargi do organu ochrony danych. Nie utrudniamy korzystania z żadnego z nich.

• Usunięcie zdjęć jest samoobsługowe i natychmiastowe. Otwórz stronę zamówienia i naciśnij przycisk usuwania. Na stronie Usuwanie zdjęć i danych wyjaśniamy dokładnie, co zostaje usunięte, a co pozostaje.
• Wszystko inne załatwisz przez stronę kontaktową. Aby skorzystać z pozostałych praw, skontaktuj się z nami przez stronę kontaktową i podaj numer zamówienia (zaczyna się od ord_). Nie załączaj zdjęcia.

Poprosimy o wykazanie, że wniosek pochodzi od ciebie, i zrobimy to przy użyciu jak najmniejszej ilości danych, zwykle łącząc wniosek z zamówieniem, które już możesz otworzyć. Nie poprosimy o skan paszportu ani o twoje zdjęcie jako dowód tożsamości. Jeśli naprawdę nie będziemy w stanie powiązać wniosku z zamówieniem, powiemy ci o tym, zamiast na ślepo usuwać dane kogoś innego.

Bezpieczeństwo

W skrócie: pliki zdjęć są przechowywane w prywatnym magazynie obiektów bez żadnego publicznego adresu; identyfikatory to długie losowe wartości, a sama znajomość jednego z nich do niczego nie uprawnia; tokeny dostępu przechowujemy wyłącznie jako skróty; każda prywatna strona jest oznaczona tak, by nie trafiała do pamięci podręcznej ani do indeksu wyszukiwarek; linki wysyłane e-mailem są jednorazowe i wygasają po godzinie. Pełna wersja, łącznie ze znanymi nam lukami, jest dokumentem roboczym, a nie materiałem marketingowym, i ta strona będzie aktualizowana wraz z jego zmianami.

Przed czym nie możemy cię ochronić

Łatwo byłoby poprzestać na poprzedniej sekcji. Oto granice, nazwane wprost: przejęty telefon lub przeglądarka, gdy zdjęcie jest narażone, zanim w ogóle do nas trafi; ktoś, kto na dłużej przejął kontrolę nad twoją skrzynką e-mail; wszystko, co zrobisz z plikiem po jego pobraniu; nakaz wydany zgodnie z prawem i doręczony nam lub któremuś z naszych dostawców; poważne włamanie u dostawcy. Ograniczamy zasięg możliwych szkód (prywatny magazyn, klucze niemożliwe do odgadnięcia, krótki okres przechowywania), ale nie twierdzimy, że go wyeliminowaliśmy.

Zmiany w tej informacji

Gdy ta strona zmienia się w istotny sposób, zmienia się też data na górze. Po zakończeniu weryfikacji prawnej baner wersji roboczej zniknie, a otwarte kwestie na tej stronie otrzymają odpowiedzi, zamiast zostać po cichu usunięte.

Powiązane strony

• Usuwanie zdjęć i danych
• Regulamin
• Kontakt