Ochrana osobných údajov

1. Prevádzkovateľ

Prevádzkovateľom portálu Kami – Akcie pre deti je:

Kontakt pre ochranu osobných údajov: info@akciepredeti.sk.

V tomto dokumente neuvádzame zodpovednú osobu ani poverenca pre ochranu osobných údajov, pretože ich určenie nebolo v auditovanom projekte potvrdené.

2. Aké osobné údaje spracúvame

Údaje účtu a autentifikácie

Pri registrácii, prihlasovaní a obnove hesla sa spracúva najmä e-mail, identifikátor používateľa a údaje session a autentifikácie. Autentifikáciu zabezpečuje Supabase Auth; heslá nie sú v aplikácii sprístupnené v otvorenej podobe.

Inzerenti a organizátori

Podľa formulára sa spracúva meno alebo názov, e-mail, telefón, fakturačné a firemné údaje, údaje o podujatí, lokalita, fotografie, video a externé odkazy. Údaje právnickej osoby nemusia byť osobnými údajmi; kontaktné údaje fyzických osôb nimi byť môžu.

Neregistrované pridanie podujatia

Pri guest flow sa spracúva e-mail a údaje potrebné na vytvorenie, zaplatenie a správu podujatia. Používa sa aj bezpečnostný management token, ktorého konkrétnu hodnotu ani formát nezverejňujeme.

Platby a komunikácia

Aplikácia eviduje údaje objednávky, balík, cenu, identifikátor a stav platby, e-mail a fakturačné údaje. Platobná komunikácia prebieha cez Comgate. Z auditovaného kódu nevyplýva, že by portál ukladal celé číslo platobnej karty. Na portáli nie je kontaktný formulár; pri e-mailovej komunikácii môžeme spracúvať e-mail, meno, obsah správy a dobrovoľne poskytnuté údaje.

Technické a bezpečnostné údaje

Poskytovatelia infraštruktúry môžu pri používaní služieb spracúvať technické údaje požiadavky, napríklad IP adresu, user-agent, čas požiadavky, session údaje a údaje potrebné na bezpečnosť. Konkrétný rozsah a dobu uchovávania určujú aj ich nastavenia.

Upozornenia na nové podujatia

Ak sa prihlásite na upozornenia, spracúvame váš e-mail, zadané PSČ, okres odvodený z PSČ a technické údaje o vyžiadaní, potvrdení a odvolaní súhlasu. Účelom je zasielanie nových podujatí vo zvolenom okrese a súvisiacich informácií o partneroch projektu. Registrácia používa double opt-in: odber aktivujeme až po potvrdení odkazu z e-mailu.

3. Účely a právne základy spracúvania

Nepovinná analytika alebo reklama je založená na súhlase podľa GDPR čl. 6 ods. 1 písm. a) a pravidlách § 109 ods. 8 zákona č. 452/2021 Z. z. Oprávnený záujem nenahrádza súhlas tam, kde sa vyžaduje.

4. Cookies a podobné technológie

Cookies sú malé súbory v zariadení používateľa. Pravidlá sa môžu týkať aj localStorage, pixelov, identifikátorov zariadenia a podobných technológií.

Technológie používané dnes

Supabase Auth používa session mechanizmy potrebné na autentifikáciu. Uložené podujatia používajú browserový localStorage s aplikačným kľúčom. Konkrétne cookie názvy a doby platnosti neuvádzame, pretože neboli spoľahlivo potvrdené z nasadenej konfigurácie.

Nepovinné technológie a CMP

Na správu súhlasov používame CookieYes. Nepovinná analytika sa aktivuje až po príslušnom súhlase. Svoje rozhodnutie môžete kedykoľvek zmeniť alebo odvolať cez odkaz „Nastavenia cookies“ v pätičke stránky.

5. Google Tag Manager

Google Tag Manager používame na správu analytických tagov. Načíta sa až po udelení súhlasu s analytickými cookies.

6. Google Analytics 4

Google Analytics 4 používame na meranie používania portálu až po udelení analytického súhlasu. Môže spracúvať online identifikátory, údaje o zariadení a prehliadači, navštívené stránky, interakcie, zdroj návštevy a údaje relácie.

7. Google Ads a meranie reklamy

Google Ads conversion tracking ani remarketing nie sú aktuálne aktívne. Google Consent Mode v2 pred rozhodnutím používateľa nastavuje signály analytics_storage, ad_storage, ad_user_data a ad_personalization na „denied“; CookieYes ich aktualizuje podľa voľby používateľa.

8. Meta Pixel a reklama na platformách Meta

Meta Pixel ani Meta Ads integrácia v produkčnom kóde neboli nájdené ako aktívne. Ak budú aktivované, môžu podľa konfigurácie slúžiť na meranie reklamy, atribúciu, tvorbu publík alebo remarketing. Právne postavenie Meta pri konkrétnom spracúvaní treba pred aktiváciou manuálne overiť.

9. Komu môžu byť údaje poskytované

• Supabase: databáza, autentifikácia a Storage.
• Vercel: hosting a infraštruktúra aplikácie.
• Resend: transakčné e-maily.
• Comgate: platobná brána.
• Nominatim/OpenStreetMap, MET Norway a OpenHolidays API: požiadavky potrebné na geokódovanie, počasie alebo školské prázdniny.

Google Maps, CP.sk a weby organizátorov sú v projekte používané ako externé odkazy. Konkrétne postavenie poskytovateľov podľa GDPR sa pri službách závislých od budúcej konfigurácie musí potvrdiť individuálne.

10. Prenosy mimo EHP

Nie je možné všeobecne potvrdiť, že všetky údaje zostávajú v EHP. Ak infraštruktúra alebo podmienky poskytovateľa zahŕňajú tretiu krajinu, prenos sa uskutoční iba pri splnení kapitoly V GDPR, napríklad na základe rozhodnutia o primeranosti, EU–U.S. Data Privacy Framework pre certifikované organizácie, štandardných zmluvných doložiek alebo inej zákonnej záruky. Konkrétny mechanizmus treba overiť pri poskytovateľovi.

11. Doba uchovávania

Údaje uchovávame iba po dobu potrebnú na splnenie účelu, právnej povinnosti alebo ochranu nárokov. Účet a profil počas existencie účtu; údaje podujatia podľa jeho životného cyklu; objednávky, platby a doklady podľa zákonných lehôt; komunikáciu do vybavenia a primerane na ochranu nárokov; bezpečnostné údaje iba nevyhnutne dlho. Konkrétne retenčné doby GA4, cookies a externých služieb neboli potvrdené.

Údaje odberu upozornení spracúvame do odvolania súhlasu alebo odhlásenia; pending registrácie s nepotvrdeným súhlasom a expirovaným odkazom možno vymazať podľa prevádzkových pravidiel. Potvrdenia a odhlásenia evidujeme v rozsahu potrebnom na preukázanie súhlasu a jeho odvolania.

12. Deti

Portál je určený rodinám a informáciám o podujatiach pre deti, používateľské, inzertné a obchodné služby však najmä rodičom, zákonným zástupcom, organizátorom a dospelým osobám. Ak by sa údaje osoby mladšej ako 16 rokov spracúvali na základe súhlasu pri službe informačnej spoločnosti priamo tejto osobe, postupuje sa podľa čl. 8 GDPR a § 15 zákona č. 18/2018 Z. z. V projekte nebolo potvrdené vedomé vytváranie reklamných profilov detí.

13. Profilovanie a automatizované rozhodovanie

V rámci základných služieb portálu nevykonávame výlučne automatizované individuálne rozhodovanie s právnymi alebo obdobne významnými účinkami. Budúce reklamné publikum alebo personalizácia v Google či Meta by predstavovali marketingové profilovanie podľa konkrétnej konfigurácie, nie automaticky rozhodovanie podľa čl. 22 GDPR.

14. Práva dotknutej osoby

V závislosti od okolností máte právo na informácie, prístup, opravu, vymazanie, obmedzenie spracúvania, prenosnosť pri splnení zákonných podmienok, namietať spracúvanie založené na oprávnenom záujme a absolútne namietať priamy marketing. Ak je spracúvanie založené na súhlase, môžete ho kedykoľvek odvolať; odvolanie nemá spätný vplyv na predchádzajúce spracúvanie. Žiadosti posielajte na info@akciepredeti.sk.

15. Právo podať sťažnosť

Máte právo podať návrh alebo sťažnosť príslušnému dozornému orgánu:

Úrad na ochranu osobných údajov Slovenskej republiky

Aktuálne kontaktné údaje sú dostupné na oficiálnom webe úradu: dataprotection.gov.sk.

16. Ako chránime osobné údaje

Používame primerané technické a organizačné opatrenia, najmä riadenie prístupových práv, autentifikáciu, bezpečné databázové pravidlá, primerané obmedzenie prístupu a šifrovanú HTTPS komunikáciu. Bezpečnosť systému nemožno zaručiť absolútne.

17. Externé odkazy a služby

Portál obsahuje odkazy na Google Maps, CP.sk, weby organizátorov a externé odkazy udalostí. Po kliknutí používateľ opúšťa portál Kami a ďalšie spracúvanie sa riadi pravidlami príslušného poskytovateľa. Obyčajný odkaz na Google Maps nie je vložený skript alebo iframe.

18. Zmeny týchto informácií

Dokument môžeme aktualizovať pri zmene funkcionality portálu, poskytovateľov, analytických alebo reklamných služieb, účelov spracúvania alebo právnych predpisov. Aktuálny dátum zmeny uvádzame na začiatku dokumentu.

19. Právny základ

Spracúvanie sa posudzuje najmä podľa nariadenia (EÚ) 2016/679 (GDPR), zákona č. 18/2018 Z. z. o ochrane osobných údajov, zákona č. 452/2021 Z. z. o elektronických komunikáciách, smernice 2002/58/ES a ďalších uplatniteľných predpisov.