隐私政策
1. 数据处理责任方
数据处理责任方为Johann Flipo（个体企业主，SIREN编号107 376 071），地址：6 rue d'Armaillé, 75017 Paris, France。联系方式： contact@fotelya.com。未设立数据保护官（DPO），因业务活动无需此职位；个人数据相关申请由编辑方直接处理。
2. 我们的原则
Fotelya以 数据最小化 为核心设计理念：嘉宾 无需注册账户即可分享照片与视频。我们仅收集服务运行所必需的最少数据。我们不出售任何数据，也不投放广告。任何照片和留言都不会被用于训练 AI：Fotelya 不会，我们的审核服务商也不会（训练选项已关闭）。
3. 处理的数据
- 组织者：电子邮箱，活动的标题、日期与设置，语言，以及 Pro 方案的品牌标志和颜色。支付数据（银行卡、账单身份信息）由 Paddle 处理：我们仅接收交易编号、所选套餐和金额。
- 嘉宾：嘉宾自行选择发送的照片和视频，以及嘉宾如有留下的留言簿文字或语音留言，连同其填写的姓名。保存在 Cookie 和浏览器本地存储中的随机标识符可让嘉宾删除或修改自己上传的内容。EXIF 定位数据会在上传时删除。
- 发送日志：每次提交内容时的 IP 地址、所用浏览器和时间戳（法定义务，见第4节）。
- 技术与安全数据：安全日志（IP 地址、国家、浏览器、时间戳）、已隐去访问链接的技术错误报告，以及聚合的访问计数。
- 访问量统计：不使用 Cookie 的 Cloudflare Web Analytics，以及一个在服务器端运行的工具（PostHog，服务器位于法兰克福）。这两个工具都不会在您的设备上存放 Cookie 或追踪器。您的 IP 地址不会传递给 PostHog，而是被替换为不可逆的技术指纹；该指纹每天更新，因此无法跨日追踪。统计数据为聚合形式，不会用于建立任何画像。
- 活动后评价（可选）：评分、评论，以及在您同意公开时您的名字和所在城市。
- 面向专业人士的商务拓展：活动行业专业人士（场地、策划、服务商）的姓名、工作邮箱和公司名称，采集自其公开网站。
4. 目的与法律依据
| 目的 | 法律依据 |
|---|---|
| 提供服务（相册、直播墙、下载、留言簿、服务邮件） | 履行合同；对嘉宾而言，为其自行选择发送内容 |
| 安全、防滥用及防欺诈 | 合法利益 |
| 内容审核 | 合法利益与法定义务 |
| 识别内容贡献者（发送日志：每次上传的 IP 地址、浏览器与时间戳） | 法定义务（LCEN 第 6 条与第 2021-1362 号法令） |
| 计费与会计 | 法定义务 |
| 访问量统计与技术错误检测 | 合法利益 |
| 向组织者发送的 Fotelya 资讯与优惠（每封邮件均可一键退订） | 同意，或对我们的客户而言为合法利益（法国《邮政与电子通信法典》第 L34-5 条） |
| 发布评价 | 同意 |
| 面向活动行业专业人士的商务拓展 | 合法利益；每封邮件均可提出反对 |
5. 接收方与分包商
您的数据可由编辑方访问；对于某场活动的内容，还可由该活动的组织者访问。我们使用下列分包商，并与其签订了数据处理协议（GDPR 第 28 条）。其中数家为美国公司：我们如实注明，并列出处理地点以及每次传输所适用的机制。
| 服务商 | 职责与数据 | 处理地点 | 保障措施 |
|---|---|---|---|
| Cloudflare, Inc.（美国） | 应用托管；照片、视频和语音留言的存储；防御网络攻击；不使用 Cookie 的访问量统计；转发发送至我们邮箱地址的邮件 | 照片、视频和语音留言存储于欧盟司法管辖范围内；页面和请求由 Cloudflare 全球网络提供，该网络还会将相册内容列表的技术副本最长保留十五分钟 | EU-US Data Privacy Framework；标准合同条款 |
| Neon, LLC，隶属 Databricks, Inc.（美国） | 数据库：组织者邮箱、设置、文字留言、日志 | 法兰克福（德国） | EU-US Data Privacy Framework；数据处理协议 |
| Mistral AI（法国） | 照片和文字留言的自动审核 | 欧盟 | 数据处理协议；不向欧盟以外传输 |
| Plus Five Five, Inc.，「Resend」服务（美国） | 发送邮件：收件人地址和邮件内容 | 美国 | EU-US Data Privacy Framework；标准合同条款 |
| PostHog, Inc.（美国） | 服务器端访问量统计：每日指纹、页面浏览、技术事件 | 法兰克福（德国） | EU-US Data Privacy Framework；数据处理协议 |
| Functional Software, Inc.，「Sentry」服务（美国） | 技术错误检测：错误信息、浏览器、已隐去访问链接的页面地址 | 欧盟（德国） | EU-US Data Privacy Framework；数据处理协议 |
| Google LLC（美国） | 编辑方的电子邮箱（Gmail）：接收内部提醒邮件（销售、退款、内容举报、撤回），其中只包含活动代码，从不包含活动标题 | 美国及 Google 全球网络 | EU-US Data Privacy Framework |
| Discord, Inc.（美国） | 发给编辑方的内部提醒：成交时的金额、套餐和订单编号；不含个人数据的安全提醒 | 美国 | EU-US Data Privacy Framework |
| Hetzner Online GmbH（德国） | 异地备份，发送前已加密 | 赫尔辛基（芬兰） | 欧盟；加密 |
| Contabo GmbH（德国） | 数据库的加密备份副本 | 欧盟 | 欧盟；加密 |
Paddle.com Market Limited（英国）是我们的官方经销商（Merchant of Record），以其自身名义销售付费套餐：它作为独立的数据处理责任方，依据其自身的隐私政策处理您的支付数据。英国已获得欧盟委员会的充分性认定。
编辑方还在其于法国自行运营的服务器上保存备份副本。我们不会出售任何数据，也不会为广告目的转让数据。任何新的分包商都会在投入使用前加入此表。
由 AI 自动审核。 当组织者启用时（三级设置，可关闭），上传的照片和文字留言会由 Mistral AI（法国，在欧盟境内处理）自动分析，以检测明显不当的内容（露骨裸露、暴力等）。视频不做自动分析。此分析不会单独做出最终决定：组织者保留控制权和最终决定权（通过、恢复或手动删除）。任何照片和留言都不会被用于训练 AI：Fotelya 不会，我们的审核服务商也不会（训练选项已关闭）。
6. 欧盟以外的数据传输
照片、视频和语音留言存储于欧盟司法管辖范围内，数据库托管于法兰克福（德国），自动审核在欧盟境内进行。不过，在第5节所列情形下，部分数据会在欧盟以外或由美国公司处理：由 Cloudflare 全球网络提供页面和请求、由 Resend（美国）发送邮件、通过电子邮件（Google）和 Discord 发送的内部提醒。
这些传输依据欧盟委员会 2023 年 7 月 10 日关于 EU-US Data Privacy Framework 的充分性认定，上述公司均为该框架的参与者（官方名单：dataprivacyframework.gov）；在服务商提供的情况下，另以欧盟委员会的标准合同条款加以补充。美国公司可能收到美国当局的访问请求，包括针对存储于欧盟境内的数据：静态加密与传输加密、数据最小化和自动删除可限制其影响范围。英国（Paddle）已获得充分性认定。如需获取适用保障措施的副本，请发送邮件至 contact@fotelya.com。
7. 保留期限
- 活动媒体和数据（照片、视频、留言簿、设置）：在套餐到期时自动删除。到期时间自活动日期起计：免费版至少 30 天，活动版 6 个月，高级版 12 个月，通过 Pro 方案创建的活动为 3 个月。组织者移入回收站的相册可在 7 天内恢复，之后将被删除。
- 为下载准备的 ZIP 压缩包：准备完成 7 天后删除。
- 账单数据：按法定期限保存十（10）年（会计义务）。
- 发送日志（贡献者识别）：嘉宾每次提交内容时的 IP 地址、浏览器和时间戳将保留十二（12）个月（依据 LCEN 第 6 条及第 2021-1362 号法令），包括在活动及其媒体删除之后。此日志不包含任何媒体内容；仅在司法当局提出要求时查阅，随后自动删除。
- 访问链接申请日志（电子邮箱）：90 天。
- 访问数据（截断的 IP 地址或每日指纹）：7 至 14 天；访问计数仅以聚合形式保存。
- 套餐变更日志（IP 地址、国家、浏览器）：十二（12）个月。
- 商业邮件发送记录：三（3）年。
- 错误报告和访问量统计：按照我们在 Sentry 和 PostHog 所订阅方案的保留期限删除。
- 退订偏好及因滥用而被屏蔽的地址：在尊重您的选择或防止再次滥用所需的期限内保存。
- 已发布的评价：直至您撤回同意。
- 面向专业人士的商务拓展：最后一次联系后三（3）年，或直至您提出反对。
- 加密备份：为灾难恢复目的，加密备份单独保存；从平台删除的数据在此类备份中最多可保留二十四（24）个月（自动轮换：每周、每月及一份年度归档），之后被彻底覆盖。此类备份仅在紧急恢复时访问，平时不使用。
8. 安全
照片、视频和数据库在我们的托管服务商处静态加密（AES-256），所有连接均传输加密（TLS）。访问通过有时效的签名链接进行，若组织者启用，还需输入访问码（PIN）；相册均为非公开，使用不可枚举的标识符。EXIF 位置元数据会被删除。管理访问先经 Cloudflare Access 身份验证，再以密码保护，错误报告中的访问链接会被隐去。
9. 您的权利
根据GDPR，您享有以下权利：访问、更正、删除、反对、限制处理、数据可移植性，随时撤回同意，并设置您去世后的数据处理指令。任何在媒体中可识别的人士享有 肖像权 ，并可申请移除。如需行使权利： contact@fotelya.com。我们将在一个月内回复。
10. 投诉
您可向 CNIL （法国国家信息与自由委员会， cnil.fr）或您居住国的监管机构提出投诉。
11. 未成年人
未经监护人同意，本服务不面向 15 岁以下人士。活动照片中可能出现儿童：儿童的肖像属于个人数据，分享前须征得其父母同意（见《使用与销售条款》）。父母可随时通过组织者，或直接发送邮件至 contact@fotelya.com，要求删除其子女的照片；我们会尽快删除。如发现未经上述同意的未成年人数据，我们将全部删除。
12. 欧盟以外的居民
我们在全球范围内采用受《通用数据保护条例》（GDPR）启发的保护标准。根据您的居住地，可能适用特定权利：
- 加利福尼亚州（CCPA/CPRA） : 访问、删除及反对出售个人数据的权利。Fotelya 不出售 数据。
- 巴西（LGPD） : 同等的访问、更正及删除权利。
- 其他司法管辖区：请联系我们以行使当地权利。
13. Cookie
Cookie 的使用详见我们的 Cookie 政策。未使用任何广告追踪器。
14. 在线邀请函
Fotelya 还提供在线邀请函，嘉宾通过网页进行回复。本服务适用以下规则。
- 数据处理责任方：与本服务其他部分相同，为Johann Flipo（个体企业主）（见第1节）。
- 处理的数据：每条回复包括：回复人的姓名、是否出席、所选环节、其家庭成员的姓名和年龄、如有的饮食要求或过敏情况，以及一条留言。饮食要求或过敏情况可能属于健康数据，填写为自愿。不收集嘉宾的电子邮箱地址。对于邀请函的组织者：其电子邮箱地址。
- 法律依据：出席情况、所选环节、家庭成员和留言：应嘉宾要求答复邀请函。饮食要求或过敏情况：嘉宾的明确同意（GDPR 第 9 条第 2 款 a 项），通过勾选专门的复选框作出，适用于其本人及其登记的家庭成员。未勾选该复选框时，不会保存任何饮食要求或过敏情况。嘉宾可发送邮件至 contact@fotelya.com 撤回同意。
- 接收方：回复仅提供给邀请函的组织者。饮食要求和过敏情况绝不会通过电子邮件发送，仅在组织者空间中可见。
- 托管：位于欧盟境内的 Cloudflare，数据库和文件在欧盟司法管辖下存储。电子邮件通过 Resend 发送。
- 保存期限：回复将在活动日期后 90 天自动删除。
- 发送给组织者的邮件：回复汇总（每天最多一封）、回复截止后的总结，以及活动前一天的提醒。可在组织者空间中关闭。
15. 修改与联系
本政策可能随时更新。适用版本为本页面发布的版本。如对您的数据有任何疑问： contact@fotelya.com.