Informácie o spracúvaní osobných údajov

1. Kto spracúva vaše údaje

Prevádzkovateľ (teda ten, kto určuje, aké údaje a na aký účel spracúvame) je nasledujúca spoločnosť:

Zodpovednú osobu (DPO) sme neurčili, pretože nie je splnený žiadny z prípadov podľa čl. 37 GDPR: nie sme orgánom verejnej moci, našou hlavnou činnosťou nie je rozsiahle, pravidelné a systematické monitorovanie a nespracúvame vo veľkom rozsahu osobitné kategórie údajov. Na otázky ochrany údajov odpovedáme na uvedenej e-mailovej adrese a tam prijímame aj všetky žiadosti dotknutých osôb.

Tento dokument sa vzťahuje na uvedenú webovú stránku a služby dostupné na nej. Na komunikáciu telefonicky, e-mailom alebo osobne platia rovnaké pravidlá.

2. Aké údaje, na aký účel a na akom právnom základe

Nasledujúca tabuľka uvádza všetky naše spracovateľské činnosti. Nepýtame a nezhromažďujeme viac, než si daný účel vyžaduje. Je to zásada minimalizácie údajov, čl. 5 ods. 1 písm. c) GDPR.

Osobitné kategórie údajov (čl. 9 GDPR: zdravotný stav, biometria, presvedčenie a pod.) nespracúvame. Ak nám takýto údaj napíšete vo voľnom texte správy, použijeme ho len na odpoveď na vašu žiadosť a po odpovedi ho vymažeme.

3. Cookies a údaje uložené v prehliadači

Nepoužívame merací, analytický ani reklamný cookie. To, čo ukladáme, je buď nevyhnutné na prevádzku, alebo sa do prehliadača ukladá na základe vášho súhlasu. Názvy, účely a doby platnosti jednotlivých položiek podrobne uvádzajú Informácie o cookies a ukladaní, kde môžete svoje rozhodnutie aj kedykoľvek zmeniť alebo odvolať.

4. Komu údaje poskytujeme

Vaše údaje nepredávame a neposkytujeme na reklamné ani obchodné účely s údajmi. Prístup majú len tí poskytovatelia, bez ktorých systém nefunguje. S každým z nich je alebo bude uzatvorená zmluva o spracúvaní (čl. 28 GDPR) a konajú podľa našich pokynov:

5. Prenos údajov do tretej krajiny

Údaje spracúvame primárne v rámci Európskej únie. Niektorí z poskytovateľov uvedených v bode 4 majú materskú spoločnosť v USA, preto k vašim údajom môžu teoreticky pristupovať aj mimo EÚ (napríklad pri podpore alebo prevádzke). V takom prípade je právnym základom prenosu rozhodnutie Európskej komisie o primeranosti (rámec EÚ-USA), a ak ho niet, štandardné zmluvné klauzuly (SCC) prijaté Európskou komisiou podľa čl. 46 ods. 2 písm. c) GDPR, s dodatočnými technickými opatreniami (šifrovaný prenos a ukladanie).

Kópiu príslušných záruk vám na požiadanie zašleme na e-mailovej adrese uvedenej v bode 1.

6. Ako dlho údaje uchovávame

Konkrétne doby uchovávania sú uvedené v tabuľke v bode 2 podľa účelu. Princíp je jednoduchý: údaj si ponecháme, kým to vyžaduje účel alebo kým to prikazuje právny predpis. Potom ho vymažeme alebo nezvratne anonymizujeme.

Najdlhšia povinná doba je 10 rokov pri účtovných dokladoch (§ 35 zák. 431/2002 Z. z.). Znamená to aj to, že údaje z uzatvorenej zmluvy nemôžeme na vašu žiadosť o vymazanie okamžite odstrániť. V takom prípade ďalšie použitie obmedzíme a údaje si ponecháme len na plnenie zákonnej povinnosti, podľa čl. 17 ods. 3 písm. b) GDPR.

7. Vaše práva

Podľa GDPR vám patria nasledujúce práva. Všetky môžete uplatniť bezplatne a nemusíte zdôvodňovať, prečo sa pýtate:

• Prístup (čl. 15). Môžete zistiť, či o vás spracúvame údaje, a ak áno, aké; môžete si vyžiadať ich kópiu.
• Oprava (čl. 16). Môžete žiadať opravu nesprávneho a doplnenie neúplného údaja.
• Vymazanie (čl. 17). Môžete žiadať vymazanie údaja, ak jeho účel skončil, ak ste odvolali súhlas alebo ak je spracúvanie nezákonné. Zákonná povinnosť uchovávania to môže obmedziť (pozri bod 6).
• Obmedzenie spracúvania (čl. 18). Použitie sporného údaja môžeme „pozastaviť“, kým situáciu neobjasníme.
• Prenosnosť údajov (čl. 20). Údaje, ktoré ste nám poskytli a spracúvame ich na základe súhlasu alebo zmluvy, môžete dostať v strojovo čitateľnom formáte (napr. JSON, CSV) alebo žiadať ich prenos k inému poskytovateľovi.
• Namietanie (čl. 21). Proti spracúvaniu na základe oprávneného záujmu môžete namietať; posúdime to, a ak nemáme závažný dôvod pokračovať, spracúvanie zastavíme.
• Odvolanie súhlasu (čl. 7 ods. 3). Kedykoľvek, rovnako jednoducho, ako ste ho dali. Odvolanie nemá vplyv na zákonnosť predchádzajúceho spracúvania.
• Sťažnosť a súdna ochrana (čl. 77 až 79). Pozri bod 8.

Ako svoje práva uplatníte: napíšte na e-mailovú adresu uvedenú v bode 1 s predmetom „Žiadosť podľa GDPR“ a opíšte, čo žiadate. Žiadosť vyriešime najneskôr do 1 mesiaca; v zložitom prípade sa táto lehota môže predĺžiť najviac o ďalšie 2 mesiace, o čom vás vopred informujeme (čl. 12 ods. 3 GDPR). Ak vás na základe žiadosti nedokážeme identifikovať, môžeme si vyžiadať doplňujúci údaj, výlučne preto, aby sme vaše údaje nevydali cudzej osobe.

Údaje uložené vo vašom prehliadači si môžete okamžite vymazať aj sami: na stránke Informácie o cookies a ukladaní jedným kliknutím.

8. Sťažnosť a opravné prostriedky

Ak sa domnievate, že vaše údaje spracúvame nezákonne, radi to vyriešime priamo, nie je to však vaša povinnosť. So sťažnosťou sa môžete kedykoľvek obrátiť priamo na dozorný orgán:

Úrad na ochranu osobných údajov Slovenskej republiky
Hraničná 12, 820 07 Bratislava 27
Telefón: +421 2 3231 3214
E-mail: statny.dozor@pdp.gov.sk
Web: dataprotection.gov.sk

Zároveň sa môžete obrátiť na súd a žiadať náhradu škody, ak vám spracúvaním vznikla škoda (čl. 79 a 82 GDPR).

Sťažnosť spotrebiteľského charakteru (teda nie o ochrane údajov) môžete podať spôsobom opísaným na stránke Reklamácie a riešenie sporov.

9. Automatizované rozhodovanie a profilovanie

Neexistuje výlučne automatizované rozhodovanie (čl. 22 GDPR), ktoré by malo voči vám právne účinky. Kalkulačky a odporúčania klubovej úrovne sú informatívne výpočty, ktoré spúšťate vy a ktorých výsledok nie je rozhodnutím: o uzatvorení zmluvy vždy rozhoduje človek po dohode s vami.

Profilovanie na marketingové účely nevykonávame, na reklamné účely vás medzi stránkami nesledujeme.

10. Údaje detí

Naša služba je určená osobám nad 18 rokov, ktoré sú spôsobilé uzatvoriť zmluvu. Údaje detí do 16 rokov zámerne nezhromažďujeme. Ak sa k nám takýto údaj napriek tomu dostal, oznámte to na e-mailovej adrese v bode 1 a bezodkladne ho vymažeme.

11. Ako údaje chránime

Uplatňujeme opatrenia primerané riziku podľa čl. 32 GDPR. Aktuálne najdôležitejšie sú:

• Šifrovaný prenos (HTTPS/TLS) na všetkých stránkach, vynútený pomocou HSTS.
• Interné rozhrania (zákaznícky portál, rozhranie správcu) nie sú súčasťou verejnej stránky: nevedie na ne žiadny odkaz a vylúčili sme ich z indexovania vyhľadávačmi. Tam, kde pracujeme s databázou, požiadavky na rozhranie správcu overujeme na strane servera podľa platnej relácie a príslušnej roly.
• Zabezpečenie na úrovni riadkov (Row Level Security) v databáze: oprávnenia vynucuje databáza, nie iba aplikácia.
• Ochranné hlavičky na strane prehliadača: politika bezpečnosti obsahu (CSP), ochrana pred clickjackingom, vynútenie MIME typu, obmedzené funkcie prehliadača (kamera, mikrofón, geolokácia zakázané).
• Formuláre s minimom údajov: na kontakt nežiadame údaje z dokladov totožnosti.
• Heslá neuchovávame ani nevidíme: autentifikáciu vykonáva Supabase Auth s jednosmerným šifrovaním (hash).

Pri narušení ochrany osobných údajov postupujeme podľa čl. 33 až 34 GDPR: dotknuté prípady oznámime dozornému orgánu do 72 hodín, a ak incident predstavuje pre vás vysoké riziko, informujeme priamo aj vás. Bezpečnostnú chybu môžete nahlásiť spôsobom opísaným na stránke Impressum.

12. Zmeny týchto informácií

Ak sa zmení služba alebo právne prostredie, tento dokument aktualizujeme. V hlavičke dokumentu je vždy uvedené číslo verzie a dátum poslednej zmeny. Ak sa vás zmena vecne dotýka (napríklad pribudne nový sprostredkovateľ alebo nový účel), výslovne to na stránke oznámime, a ak sa to týka súhlasu ako právneho základu, znova vás požiadame o súhlas.