Ochrana osobních údajů

1. Kdo je správce údajů

Správcem osobních údajů je [TODO: jméno / firma], [TODO: IČO], [TODO: adresa]. Ve všem, co se týká vašich údajů, se na nás můžete obrátit na [TODO: e-mail]. Nemáme jmenovaného pověřence pro ochranu osobních údajů – na velikost a povahu našeho zpracování to zákon nevyžaduje.

2. Jaké údaje zpracováváme

Zpracováváme tyhle kategorie údajů:

• Registrační údaje vlastníka účtu: jméno, e-mail, heslo (uložené jen jako nevratný hash), volitelně telefon a datum narození.
• Profily členů skupiny: jméno, barva a ikona profilu, volitelně e-mail, telefon a datum narození. Profil může patřit i dítěti – viz samostatná sekce níž.
• Obsah, který do aplikace vložíte: události v kalendáři (název, popis, místo, čas), seznamy a jejich položky, termíny, komu je co přiřazené, kdo co odškrtl, narozeniny a výročí.
• Provozní a technické údaje: přihlašovací tokeny (uložené jako hash), IP adresa a údaj o prohlížeči u aktivních přihlášení, čas poslední aktivity.
• Záznam aktivity ve skupině: kdo ve skupině co změnil (například vytvořil seznam nebo smazal událost) – aby členové viděli, co se ve skupině děje.
• Bezpečnostní záznamy: u neúspěšných pokusů o přihlášení ukládáme e-mail nebo kód skupiny, IP adresu, údaj o prohlížeči a důvod selhání.

3. Proč to zpracováváme a z jakého právního důvodu

Každé zpracování má svůj účel a právní základ podle čl. 6 GDPR:

• Abychom vám mohli aplikaci poskytovat (účet, skupina, profily, váš obsah) – plnění smlouvy. Bez těchto údajů službu poskytnout nelze.
• Abychom službu udrželi v provozu a bezpečnou (bezpečnostní záznamy, omezení počtu pokusů o přihlášení, ochrana před zneužitím) – náš oprávněný zájem.
• Abychom mohli řešit vaše dotazy a požadavky – plnění smlouvy, případně oprávněný zájem.
• Pokud nás podpoříte finančním darem, uchováváme údaje o platbě – plnění právní povinnosti (účetnictví a daně).
• Nepoužíváme vaše údaje k reklamě, nepředáváme je pro marketing a neděláme na jejich základě žádné automatizované rozhodování ani profilování.

4. Údaje dětí

Hanee je navržená tak, aby dítě nemuselo mít vlastní účet ani e-mail – jeho profil zakládá a spravuje dospělý, který skupinu vytvořil, a činí tak jako zákonný zástupce dítěte. V České republice může dítě samostatně souhlasit se zpracováním u služeb informační společnosti od 15 let; u mladších dětí za zpracování odpovídá zákonný zástupce. U dětských profilů doporučujeme zadávat opravdu jen to nejnutnější, typicky jméno nebo přezdívku a barvu. Dětem nezobrazujeme reklamu, neprofilujeme je a jejich údaje nikomu nepředáváme.

5. Jak dlouho údaje uchováváme

Držíme se pravidla, že co není potřeba, nemá se uchovávat:

• Účet, skupina a váš obsah: po dobu, kdy Hanee používáte. Když požádáte o smazání, běží 14denní lhůta, ve které se to dá vzít zpět – po ní se data smažou trvale.
• Přihlašovací tokeny: platnost 30 dní od posledního použití, pak se automaticky odstraní. Odhlášením token zneplatníte hned.
• Bezpečnostní záznamy o neúspěšných přihlášeních: nejdéle 30 dní.
• Záznam aktivity ve skupině: po dobu existence skupiny, smaže se spolu s ní.
• Údaje k darům: po dobu, kterou vyžadují účetní a daňové předpisy.

6. Komu údaje předáváme

Vaše údaje neprodáváme a nepředáváme je nikomu pro marketingové účely. Ke zpracování využíváme jen poskytovatele hostingu, který pro nás data ukládá jako zpracovatel na základě smlouvy o zpracování osobních údajů a jen podle našich pokynů. Pokud si sami připojíte externí kalendář, odesílá aplikace požadavek na adresu, kterou jste zadali – co s ním udělá její provozovatel, se řídí jeho podmínkami. Údaje můžeme předat orgánům veřejné moci, pokud nám to ukládá zákon.

7. Kde jsou data uložená

Data jsou uložená na serverech v Evropské unii, takže nedochází k předávání do třetích zemí. Pokud by se to v budoucnu mělo změnit, dáme vědět dopředu a zajistíme odpovídající záruky podle GDPR.

8. Jak údaje chráníme

Hesla neukládáme v čitelné podobě, jen jako nevratný hash; stejně nakládáme s přihlašovacími tokeny. Komunikace mezi vaším zařízením a serverem je šifrovaná. Přístup k datům má jen omezený počet lidí, kteří ho potřebují k provozu služby. Žádné zabezpečení není absolutní – pokud by došlo k porušení zabezpečení s rizikem pro vaše práva, ohlásíme ho Úřadu pro ochranu osobních údajů do 72 hodin a při vysokém riziku informujeme i vás.

9. Cookies a ukládání v prohlížeči

Veřejné stránky (úvodní stránka, tento dokument, podmínky) nepoužívají žádné cookies ani analytiku – proto vás neobtěžujeme lištou se souhlasem. V samotné aplikaci si prohlížeč ukládá přihlašovací token a vaše nastavení, aby vás nemusel odhlašovat při každém otevření; to je technicky nutné k fungování služby. Žádné reklamní ani sledovací nástroje třetích stran nepoužíváme.

10. Jaká máte práva

Ve vztahu ke svým údajům máte podle GDPR tato práva:

• Právo na přístup – dozvědět se, jaké údaje o vás zpracováváme, a získat jejich kopii.
• Právo na opravu – nechat si nepřesné údaje upravit; většinu si můžete opravit sami v aplikaci.
• Právo na výmaz – nechat údaje smazat; účet i skupinu si můžete smazat sami.
• Právo na omezení zpracování – nechat zpracování pozastavit, dokud se něco nevyřeší.
• Právo na přenositelnost – dostat své údaje ve strojově čitelném formátu. Nemusíte o to ani žádat: v Nastavení si kdykoli sami stáhnete ZIP se všemi svými daty (JSON, kalendář jako .ics, seznamy jako CSV).
• Právo vznést námitku – proti zpracování založenému na našem oprávněném zájmu.
• Právo podat stížnost u Úřadu pro ochranu osobních údajů (uoou.gov.cz), pokud si myslíte, že s údaji nezacházíme správně.

11. Jak práva uplatnit

Napište nám na [TODO: e-mail] a napište, o co jde. Vyřídíme to nejpozději do jednoho měsíce; pokud by to mělo trvat delší (u složitých žádostí to GDPR umožňuje), dáme vám vědět a vysvětlíme proč. Za vyřízení běžné žádosti nic neúčtujeme. Abychom údaje nevydali cizímu, můžeme si potřebovat ověřit, že žádost je skutečně od vás.

12. Změny těchto zásad

Zásady můžeme upravit – například když přidáme funkci, změníme hostingového partnera nebo zavedeme platby. O podstatných změnách vás informujeme v aplikaci nebo e-mailem, ne potichu. Datum poslední úpravy najdete v záhlaví.