Ochrana osobních údajů

1. Kdo je správce údajů

Správcem osobních údajů je Jan Theobald Bradáč, IČO 23381345, Přepychy 241, 517 32. Ve všem, co se týká vašich údajů, se na nás můžete obrátit na mail@hanee.cz. Pověřence pro ochranu osobních údajů jsme nejmenovali, protože to zákon vzhledem k rozsahu a povaze našeho zpracování nevyžaduje.

2. Jaké údaje zpracováváme

Zpracováváme tyto kategorie údajů:

• Registrační údaje vlastníka účtu: jméno, e-mail, heslo (uložené jen jako nevratný hash), volitelně telefon a datum narození.
• Profily členů skupiny: jméno, barva a ikona profilu, volitelně e-mail, telefon a datum narození. Profil může patřit i dítěti, vizte samostatnou sekci níže.
• Obsah, který do aplikace vložíte: události v kalendáři (název, popis, místo, čas), seznamy a jejich položky, termíny, komu je co přiřazené, kdo co odškrtl, narozeniny a výročí.
• Provozní a technické údaje: přihlašovací tokeny (uložené jako hash), IP adresa a údaj o prohlížeči u aktivních přihlášení, čas poslední aktivity.
• Záznam aktivity ve skupině: kdo co ve skupině změnil (například vytvořil seznam nebo smazal událost), aby členové měli přehled o dění.
• Bezpečnostní záznamy: u neúspěšných pokusů o přihlášení ukládáme e-mail, IP adresu, údaj o prohlížeči a důvod selhání.
• Oznámení: aplikace si připravuje připomínky (blížící se událost, narozeniny, položka po termínu) a uchovává jejich hotový text, tedy i název události nebo položky, ke které se vztahují. Připomínky ze seznamů zamčených PINem nevznikají vůbec.
• Pokud si na zařízení zapnete systémové notifikace: adresu, na kterou je má poslat push služba vašeho prohlížeče, dva klíče k jejich zašifrování, volitelný popisek zařízení („Tablet v kuchyni“) a údaj o prohlížeči. Bez zapnutí tyto údaje neukládáme.

3. Proč údaje zpracováváme a z jakého právního důvodu

Každé zpracování má svůj účel a právní základ podle čl. 6 GDPR:

• Abychom vám mohli aplikaci poskytovat (účet, skupina, profily, váš obsah). Právní základ: plnění smlouvy. Bez těchto údajů službu poskytnout nelze.
• Abychom službu udrželi v provozu a bezpečnou (bezpečnostní záznamy, omezení počtu pokusů o přihlášení, ochrana před zneužitím). Právní základ: náš oprávněný zájem.
• Abychom mohli řešit vaše dotazy a požadavky. Právní základ: plnění smlouvy, případně oprávněný zájem.
• Abychom vám připomněli, co jste si do aplikace zapsali (oznámení v aplikaci). Právní základ: plnění smlouvy (je to funkce, kterou aplikace nabízí). Systémové notifikace do telefonu nebo prohlížeče navíc zapínáte sami a kdykoli je můžete vypnout, buď v aplikaci, nebo v nastavení prohlížeče.
• Pokud nás podpoříte finančním darem, uchováváme údaje o platbě. Právní základ: plnění právní povinnosti (účetnictví a daně).
• Nepoužíváme vaše údaje k reklamě, nepředáváme je pro marketing a neděláme na jejich základě žádné automatizované rozhodování ani profilování.

4. Údaje dětí

Hanee je navržená tak, aby dítě nemuselo mít vlastní účet ani e-mail. Jeho profil zakládá a spravuje dospělý, který skupinu vytvořil, a činí tak jako zákonný zástupce dítěte. V České republice může dítě samostatně souhlasit se zpracováním u služeb informační společnosti od 15 let; u mladších dětí za zpracování odpovídá zákonný zástupce. Dětem nezobrazujeme reklamu, neprofilujeme je a jejich údaje nikomu nepředáváme.

5. Jak dlouho údaje uchováváme

• Účet, skupina a váš obsah: po dobu, kdy Hanee používáte. Když požádáte o smazání účtu, běží čtrnáctidenní lhůta, během níž můžete žádost vzít zpět. Po ní trvale smažeme váš účet, váš profil a vaše soukromé seznamy. Co jste sdíleli s rodinou (společné seznamy, události v kalendáři, narozeniny a výročí), rodině zůstane, už bez vazby na váš profil. Když odejde poslední člen, smaže se celá skupina se vším obsahem.
• Obsah, který v aplikaci smažete (položky, seznamy, složky, události, narozeniny a výročí): uchováváme ho ještě 30 dní, pak se smaže trvale.
• Přihlašovací tokeny: platnost 30 dní od posledního použití, pak se automaticky odstraní. Odhlášením token zneplatníte hned.
• Bezpečnostní záznamy o neúspěšných přihlášeních: nejdéle 30 dní.
• Záznam aktivity ve skupině: po dobu existence skupiny, smaže se spolu s ní.
• Oznámení: uchováváme posledních 1000 na skupinu, starší se automaticky mažou. Smažou se i tehdy, když zmizí to, čeho se týkala.
• Zapnuté systémové notifikace: odběr zařízení smažeme, když se na něm odhlásíte, když ho push služba označí za neexistující (typicky odinstalovaná aplikace) nebo když na něj déle než 180 dní nebyla doručena žádná notifikace.
• Údaje k darům: po dobu, kterou vyžadují účetní a daňové předpisy.

6. Komu údaje předáváme

Vaše údaje neprodáváme a nepředáváme je nikomu pro marketingové účely. K provozu služby ale potřebujeme několik dodavatelů, kteří pro nás údaje zpracovávají jako zpracovatelé, a to na základě smlouvy o zpracování osobních údajů a jen podle našich pokynů. Všichni sídlí v Evropské unii:

• Hosting (Forpsi, Česko): provozuje server, na kterém běží aplikace i databáze. Leží u něj tedy všechna vaše data.
• Ochrana a doména hanee.cz (WEDOS, Česko): veškerý provoz mezi vaším prohlížečem a naším serverem prochází sítí WEDOS.
• Odesílání e-mailů (Scaleway, Francie): prochází jím transakční e-mailové zprávy, které vám posíláme.
• E-mailová schránka (WEDOS, Česko): provozuje schránku, pomocí které s vámi můžeme komunikovat.

Pokud si sami připojíte externí kalendář, odesílá aplikace požadavek na adresu, kterou jste zadali. Co s ním provozovatel kalendáře udělá, se řídí jeho podmínkami. Pokud si zapnete systémové notifikace, prochází každá taková notifikace push službou vašeho prohlížeče. Posíláme v ní jen titulek a krátký text, tedy typicky název události nebo položky a čas. Bez zapnutí systémových notifikací na push službu neodchází nic. Údaje můžeme předat orgánům veřejné moci, pokud nám to ukládá zákon.

7. Kde jsou data uložená

Data jsou uložená na serverech v Evropské unii a v EU sídlí i všichni dodavatelé vyjmenovaní výš. Jedinou výjimkou jsou systémové notifikace, pokud si je sami zapnete: ty musí projít push službou vašeho prohlížeče a ta může být i mimo EU (Google, Apple). Pokud by se na tom mělo něco změnit, dáme vědět dopředu a zajistíme odpovídající záruky podle GDPR.

8. Jak údaje chráníme

Hesla neukládáme v čitelné podobě, jen jako nevratný hash; stejně nakládáme s přihlašovacími tokeny. Komunikace mezi vaším zařízením a serverem je šifrovaná. Přístup k datům má jen omezený počet lidí, kteří ho potřebují k provozu služby. Žádné zabezpečení není absolutní. Pokud by došlo k porušení zabezpečení s rizikem pro vaše práva, ohlásíme ho Úřadu pro ochranu osobních údajů do 72 hodin a při vysokém riziku informujeme i vás.

9. Cookies a ukládání v prohlížeči

Používáme jen cookies a úložiště prohlížeče, které jsou nutné ke správnému fungování služby (například přihlašovací token, vaše nastavení a uložená podoba aplikace pro otevření bez signálu). Žádné sledovací, analytické ani profilovací techniky nepoužíváme.

10. Jaká máte práva

Ve vztahu ke svým údajům máte podle GDPR tato práva:

• Právo na přístup: dozvědět se, jaké údaje o vás zpracováváme, a získat jejich kopii.
• Právo na opravu: nechat si nepřesné údaje opravit; většinu si můžete opravit sami v aplikaci.
• Právo na výmaz: nechat údaje smazat; účet i skupinu si můžete smazat sami.
• Právo na omezení zpracování: nechat zpracování pozastavit, dokud se něco nevyřeší.
• Právo na přenositelnost: dostat své údaje ve strojově čitelném formátu.
• Právo vznést námitku: proti zpracování založenému na našem oprávněném zájmu.
• Právo podat stížnost u Úřadu pro ochranu osobních údajů (uoou.gov.cz), pokud si myslíte, že s údaji nezacházíme správně.

11. Jak práva uplatnit

Napište nám na mail@hanee.cz, o co jde. Vyřídíme to nejpozději do jednoho měsíce; pokud by to mělo trvat déle (u složitých žádostí to GDPR umožňuje), dáme vám vědět a vysvětlíme proč. Za vyřízení běžné žádosti nic neúčtujeme. Abychom údaje nevydali někomu cizímu, můžeme vás požádat o ověření, že žádost je skutečně od vás.

12. Změny těchto zásad

Zásady můžeme upravit, například když přidáme funkci, změníme hostingového partnera nebo zavedeme platby. O podstatných změnách vás informujeme v aplikaci nebo e-mailem. Datum poslední úpravy najdete v záhlaví.