Ochrana osobných údajov

1. Prevádzkovateľ

Prevádzkovateľom portálu Kami – Akcie pre deti je:

Kontakt pre ochranu osobných údajov: info@akciepredeti.sk.

V tomto dokumente neuvádzame zodpovednú osobu ani poverenca pre ochranu osobných údajov, pretože ich určenie nebolo v auditovanom projekte potvrdené.

2. Aké osobné údaje spracúvame

Údaje účtu a autentifikácie

Pri registrácii, prihlasovaní a obnove hesla sa spracúva najmä e-mail, identifikátor používateľa a údaje session a autentifikácie. Autentifikáciu zabezpečuje Supabase Auth; heslá nie sú v aplikácii sprístupnené v otvorenej podobe.

Inzerenti a organizátori

Podľa formulára sa spracúva meno alebo názov, e-mail, telefón, fakturačné a firemné údaje, údaje o podujatí, lokalita, fotografie, video a externé odkazy. Údaje právnickej osoby nemusia byť osobnými údajmi; kontaktné údaje fyzických osôb nimi byť môžu.

Neregistrované pridanie podujatia

Pri guest flow sa spracúva e-mail a údaje potrebné na vytvorenie, zaplatenie a správu podujatia. Používa sa aj bezpečnostný management token, ktorého konkrétnu hodnotu ani formát nezverejňujeme.

Platby a komunikácia

Aplikácia eviduje údaje objednávky, balík, cenu, identifikátor a stav platby, e-mail a fakturačné údaje. Platobná komunikácia prebieha cez Comgate. Z auditovaného kódu nevyplýva, že by portál ukladal celé číslo platobnej karty. Na portáli nie je kontaktný formulár; pri e-mailovej komunikácii môžeme spracúvať e-mail, meno, obsah správy a dobrovoľne poskytnuté údaje.

Technické a bezpečnostné údaje

Poskytovatelia infraštruktúry môžu pri používaní služieb spracúvať technické údaje požiadavky, napríklad IP adresu, user-agent, čas požiadavky, session údaje a údaje potrebné na bezpečnosť. Konkrétný rozsah a dobu uchovávania určujú aj ich nastavenia.

3. Účely a právne základy spracúvania

Budúca nepovinná analytika alebo reklama bude založená na súhlase podľa GDPR čl. 6 ods. 1 písm. a) a pravidlách § 109 ods. 8 zákona č. 452/2021 Z. z. Oprávnený záujem nenahrádza súhlas tam, kde sa vyžaduje.

4. Cookies a podobné technológie

Cookies sú malé súbory v zariadení používateľa. Pravidlá sa môžu týkať aj localStorage, pixelov, identifikátorov zariadenia a podobných technológií.

Technológie používané dnes

Supabase Auth používa session mechanizmy potrebné na autentifikáciu. Uložené podujatia používajú browserový localStorage s aplikačným kľúčom. Konkrétne cookie názvy a doby platnosti neuvádzame, pretože neboli spoľahlivo potvrdené z nasadenej konfigurácie.

Nepovinné technológie a CMP

Google Analytics 4, Google Tag Manager, Google Ads conversion/remarketing a Meta Pixel v auditovanom produkčnom kóde neboli nájdené ako aktívne. Projekt nemá cookie banner ani CMP. Pred ich aktiváciou treba implementovať CMP s rovnocennými možnosťami „Prijať všetky“, „Odmietnuť všetky“ a „Nastavenia“, bez predvolených súhlasov. Súhlas musí byť možné neskôr rovnako jednoducho zmeniť alebo odvolať.

5. Google Tag Manager

GTM v produkčnom kóde nebol nájdený ako aktívny. Ak bude používaný, slúži na správu tagov, ale nesmie spustiť nepovinné analytické alebo marketingové tagy pred príslušným súhlasom.

6. Google Analytics 4

GA4 v produkčnom kóde nebol nájdený ako aktívny. Po prípadnej aktivácii môže podľa konfigurácie spracúvať online identifikátory, údaje o zariadení a prehliadači, technické sieťové informácie, navštívené stránky, interakcie, zdroj návštevy a session alebo event údaje. Konkrétne nastavenia a úloha Google sa musia potvrdiť podľa účtu.

7. Google Ads a meranie reklamy

Google Ads conversion tracking ani remarketing v produkčnom kóde neboli nájdené ako aktívne. Pri budúcej aktivácii treba overiť Consent Mode v2, najmä signály analytics_storage, ad_storage, ad_user_data a ad_personalization. Consent Mode nie je náhradou právne platného súhlasu a treba určiť, či pôjde o basic alebo advanced režim.

8. Meta Pixel a reklama na platformách Meta

Meta Pixel ani Meta Ads integrácia v produkčnom kóde neboli nájdené ako aktívne. Ak budú aktivované, môžu podľa konfigurácie slúžiť na meranie reklamy, atribúciu, tvorbu publík alebo remarketing. Právne postavenie Meta pri konkrétnom spracúvaní treba pred aktiváciou manuálne overiť.

9. Komu môžu byť údaje poskytované

• Supabase: databáza, autentifikácia a Storage.
• Vercel: hosting a infraštruktúra aplikácie.
• Resend: transakčné e-maily.
• Comgate: platobná brána.
• Nominatim/OpenStreetMap, MET Norway a OpenHolidays API: požiadavky potrebné na geokódovanie, počasie alebo školské prázdniny.

Google Maps, CP.sk a weby organizátorov sú v projekte používané ako externé odkazy. Konkrétne postavenie poskytovateľov podľa GDPR sa pri službách závislých od budúcej konfigurácie musí potvrdiť individuálne.

10. Prenosy mimo EHP

Nie je možné všeobecne potvrdiť, že všetky údaje zostávajú v EHP. Ak infraštruktúra alebo podmienky poskytovateľa zahŕňajú tretiu krajinu, prenos sa uskutoční iba pri splnení kapitoly V GDPR, napríklad na základe rozhodnutia o primeranosti, EU–U.S. Data Privacy Framework pre certifikované organizácie, štandardných zmluvných doložiek alebo inej zákonnej záruky. Konkrétny mechanizmus treba overiť pri poskytovateľovi.

11. Doba uchovávania

Údaje uchovávame iba po dobu potrebnú na splnenie účelu, právnej povinnosti alebo ochranu nárokov. Účet a profil počas existencie účtu; údaje podujatia podľa jeho životného cyklu; objednávky, platby a doklady podľa zákonných lehôt; komunikáciu do vybavenia a primerane na ochranu nárokov; bezpečnostné údaje iba nevyhnutne dlho. Konkrétne retenčné doby GA4, cookies a externých služieb neboli potvrdené.

12. Deti

Portál je určený rodinám a informáciám o podujatiach pre deti, používateľské, inzertné a obchodné služby však najmä rodičom, zákonným zástupcom, organizátorom a dospelým osobám. Ak by sa údaje osoby mladšej ako 16 rokov spracúvali na základe súhlasu pri službe informačnej spoločnosti priamo tejto osobe, postupuje sa podľa čl. 8 GDPR a § 15 zákona č. 18/2018 Z. z. V projekte nebolo potvrdené vedomé vytváranie reklamných profilov detí.

13. Profilovanie a automatizované rozhodovanie

V rámci základných služieb portálu nevykonávame výlučne automatizované individuálne rozhodovanie s právnymi alebo obdobne významnými účinkami. Budúce reklamné publikum alebo personalizácia v Google či Meta by predstavovali marketingové profilovanie podľa konkrétnej konfigurácie, nie automaticky rozhodovanie podľa čl. 22 GDPR.

14. Práva dotknutej osoby

V závislosti od okolností máte právo na informácie, prístup, opravu, vymazanie, obmedzenie spracúvania, prenosnosť pri splnení zákonných podmienok, namietať spracúvanie založené na oprávnenom záujme a absolútne namietať priamy marketing. Ak je spracúvanie založené na súhlase, môžete ho kedykoľvek odvolať; odvolanie nemá spätný vplyv na predchádzajúce spracúvanie. Žiadosti posielajte na info@akciepredeti.sk.

15. Právo podať sťažnosť

Máte právo podať návrh alebo sťažnosť príslušnému dozornému orgánu:

Úrad na ochranu osobných údajov Slovenskej republiky

Aktuálne kontaktné údaje sú dostupné na oficiálnom webe úradu: dataprotection.gov.sk.

16. Ako chránime osobné údaje

Používame primerané technické a organizačné opatrenia, najmä riadenie prístupových práv, autentifikáciu, bezpečné databázové pravidlá, primerané obmedzenie prístupu a šifrovanú HTTPS komunikáciu. Bezpečnosť systému nemožno zaručiť absolútne.

17. Externé odkazy a služby

Portál obsahuje odkazy na Google Maps, CP.sk, weby organizátorov a externé odkazy udalostí. Po kliknutí používateľ opúšťa portál Kami a ďalšie spracúvanie sa riadi pravidlami príslušného poskytovateľa. Obyčajný odkaz na Google Maps nie je vložený skript alebo iframe.

18. Zmeny týchto informácií

Dokument môžeme aktualizovať pri zmene funkcionality portálu, poskytovateľov, analytických alebo reklamných služieb, účelov spracúvania alebo právnych predpisov. Aktuálny dátum zmeny uvádzame na začiatku dokumentu.

19. Právny základ

Spracúvanie sa posudzuje najmä podľa nariadenia (EÚ) 2016/679 (GDPR), zákona č. 18/2018 Z. z. o ochrane osobných údajov, zákona č. 452/2021 Z. z. o elektronických komunikáciách, smernice 2002/58/ES a ďalších uplatniteľných predpisov.