Podmínky ochrany osobních údajů

I Provozovatel

Provozovatelem osobních údajů podle nařízení GDPR a zákona č. 18/2018 Z. z. o ochraně osobních údajů je společnost Chochi Webworks OÜ, se sídlem Tartu mnt 67/1-13b, Kesklinna district, 10115 Tallinn, Estonsko, IČO: 17337347, jednající prostřednictvím jednatele Martina Chocholáče (dále jen „provozovatel").

Kontakt pro dotazy k ochraně údajů: info@vyhrat.sk

Osobními údaji jsou informace o identifikované nebo identifikovatelné fyzické osobě.

II Jaké údaje zpracováváme

Rozsah údajů závisí na tom, zda Portál používáte jako host (bez přihlášení) nebo jako registrovaný uživatel či partner.

Registrovaní uživatelé

• identifikační a přihlašovací údaje: uživatelské jméno, e-mail, hash hesla;
• volitelné profilové údaje: rok narození, nastavení obsahu pro dospělé (18+), datum registrace a posledního přihlášení;
• gamifikační údaje: zůstatek bodů, XP, úroveň, odznaky, historie účetních pohybů (ledger);
• nastavení notifikací: e-mailové notifikace, upozornění na konec soutěže, výsledky, kategorie zájmu (výběr kategorií v účtu);
• newsletter: e-mail a stav odběru (aktivní / neaktivní), token pro potvrzení nebo odhlášení;
• referral program: vlastní referral kód a vazba na osobu, která vás doporučila (pokud byla použita při registraci);
• účast v soutěžích: evidence splněných podmínek v účtu, přiřazené soutěže;
• interakce na Portálu: kliknutí na soutěžní tlačítka a promo prvky a zobrazení bannerů se u přihlášených uživatelů evidují s ID účtu (u hostů jen s anonymní relací);
• kvízy: pokusy o kvíz (počet správných odpovědí, získané body/XP, čas začátku a dokončení);
• obchod s poukázkami: záznamy o získaných poukázkách (typ, odečtené body, kód nebo stav uplatnění);
• PRO členství: stav předplatného, datum expirace, způsob aktivace (platba Stripe, body apod.);
• technické tokeny přihlášení: trvalý remember-me token v databázi (viz část IV).

Hosté (návštěvníci bez přihlášení)

• anonymní identifikátor relace (vyhrat_sid v cookie a v serverových záznamech);
• události návštěvy: typ události, URL stránky, čas — tabulka guest_event_log;
• kliknutí na tlačítka a odkazy (účast v soutěži, promo pásy apod.): zdroj kliknutí, cíl, čas, případně ID relace — tabulka click_event;
• zobrazení bannerů na detailu soutěže: ID banneru, relace nebo ID uživatele (pokud je přihlášen), zkrácený user-agent, hash IP adresy (nikoli surová IP), příznak podezření na bota, klik na CTA, zavření banneru.

Partneři (firemní účty)

• údaje účtu partnera (stejně jako u uživatelů) plus firemní profil: obchodní jméno, kontaktní osoba, fakturační e-mail, telefon, IČO, DIČ, logo, barva značky;
• obsah vytvořený partnerem: soutěže, kvízy, poukázky (včetně stavu schválení a poznámek moderátora);
• předplatné a platby: stav partnerského balíčku, datum expirace, reference na Stripe platbu; po skončení předplatného také stav ochranné lhůty (výchozí 7 dní) a případné pozastavení partnerských výhod (skrytí poukázek a kvízů, ukončení zvýhodnění soutěží) do obnovení balíčku;
• servisní e-maily k partnerskému účtu: přivítání, aktivace balíčku, začátek ochranné lhůty, pozastavení výhod a obnovení — zasílají se na e-mail partnerského účtu jako součást poskytování služby;
• B2B objednávky: firemní údaje z objednávkového formuláře, kontakt pro zaslání výsledků;
• souhrnné logy e-mailových kampaní k soutěžím: počet příjemců, úspěšně doručených a neúspěšných zpráv — bez ukládání e-mailových adres příjemců v tomto logu.

Co vědomě nesbíráme

Nesbíráme zdravotní údaje, politické názory, vyznání ani přesnou geolokaci z GPS. Hash IP adresy u bannerů slouží jen k technické diagnostice a není určen k určení přesné polohy.

III Účely a právní základy

• Provoz účtu a poskytování služeb — registrace, přihlášení, správa soutěží, kvízů, bodů a PRO (právní základ: plnění smlouvy nebo kroky před uzavřením smlouvy podle čl. 6 odst. 1 písm. b) GDPR).
• Platby — zpracování plateb přes Stripe, aktivace PRO nebo partnerského balíčku (plnění smlouvy; právní povinnosti podle účetních a daňových předpisů).
• Newsletter a marketing — zasílání souhrnů soutěží a obchodních sdělení jen při aktivním odběru nebo souhlasu; odhlášení je možné v každém e-mailu nebo v účtu (souhlas podle čl. 6 odst. 1 písm. a); oprávněný zájem na přiměřeném marketingu vůči stávajícím zákazníkům, pokud to zákon umožňuje.
• Notifikace podle nastavení — upozornění na konec soutěže, výsledky, kategorie (plnění smlouvy / souhlas podle typu notifikace).
• Gamifikace a referral program — přidělování bodů, XP, odměn za doporučení (plnění smlouvy / oprávněný zájem na fungování věrnostního programu).
• Analytika a statistiky — měření návštěvnosti, kliknutí, výkonu soutěží a bannerů pro provozovatele a partnery (oprávněný zájem; u analytických/marketingových cookies také souhlas — viz část IV).
• Bezpečnost a prevence zneužití — logy přihlášení, CSRF ochrana, detekce botů u bannerů (oprávněný zájem / právní povinnost).
• Re-engagement e-maily — aktivace neaktivních účtů a win-back kampaně s respektováním nastavení notifikací (oprávněný zájem nebo souhlas).
• Plnění vůči partnerům — export výsledků kvízů, zaslání souhrnných B2B reportů a servisní e-maily o stavu partnerského balíčku (aktivace, ochranná lhůta po expiraci, pozastavení, obnovení) (plnění smlouvy s partnerem a plnění vůči vám při dobrovolné účasti v soutěži/kvízu partnera — viz část V).

IV Soubory cookie a podobné technologie

Nezbytné cookies (bez souhlasu)

• Relační cookie (JSESSIONID) — udržení přihlášené relace během návštěvy.
• CSRF cookie (XSRF-TOKEN) — ochrana formulářů před útoky cross-site request forgery.
• Remember-me cookie (remember-me) — trvalé přihlášení po úspěšném přihlášení. Při přihlášení je k dispozici volba „Zůstat přihlášen". Pokud ji zaškrtnete, cookie platí maximálně 30 dní; pokud ji nezaškrtnete, platí 7 dní. V databázi se uchovává spárovaný token. Odhlášením nebo změnou hesla se token zneplatní.
• Identifikátor relace (vyhrat_sid) — anonymní cookie (platnost přibližně 90 dní) pro propojení návštěvy hosta s pozdější registrací a analytikou.

Analytické a marketingové cookies

Na Portálu používáme nástroj CookieScript (cookie-script.com) pro správu souhlasu. Analytické a marketingové cookies (včetně Google Tag Manager a souvisejících služeb) se aktivují až po souhlasu v cookie liště. Nastavení souhlasu můžete kdykoli změnit přes cookie lištu nebo nastavení prohlížeče.

V Sdílení údajů s partnery

Pokud se dobrovolně zapojíte do soutěže, kvízu nebo akce konkrétního partnera na Portálu, mohou se partnerovi poskytnout údaje nezbytné pro vyhodnocení a reporting:

• Export kvízu (CSV) — partner se schváleným kvízem si může stáhnout soubor se sloupci: uživatelské jméno, počet správných odpovědí, počet otázek, přidělené body, datum dokončení. E-mailová adresa se v tomto exportu neuvádí.
• B2B e-mail s výsledky soutěže — po skončení placeného balíčku partner dostane na kontaktní e-mail z objednávky souhrnná KPI: název soutěže, počty zobrazení, unikátních diváků, účastníků, sdílení, výherců, externích kliknutí. Seznam jmen nebo e-mailů účastníků se v e-mailu neposílá.
• Statistiky v partnerském dashboardu — agregované metriky soutěží: zobrazení detailu, kliknutí přihlášených uživatelů na soutěžní odkaz, účasti a statistiky e-mailové propagace (počty příjemců a doručených zpráv z logu bez adres). Partner vidí jen souhrnná čísla — identita jednotlivých uživatelů se v dashboardu nezobrazuje.

Právní základ: plnění smlouvy (mezi vámi a provozovatelem při používání Portálu, mezi partnerem a provozovatelem při partnerské službě) a vaše dobrovolná účast v soutěži nebo kvízu, jejíž pravidla jsou zveřejněna u dané akce. Organizátor soutěže může mít vlastní podmínky ochrany údajů — doporučujeme si je přečíst před účastí.

VI Doba uchovávání

• Účet uživatele — po dobu existence účtu; po žádosti o vymazání účtu údaje smažeme nebo anonymizujeme, pokud zákon nevyžaduje delší uchování (např. účetní doklady k platbám).
• Newsletter — do odhlášení z odběru nebo vymazání účtu.
• Remember-me tokeny — do expirace cookie (7 nebo 30 dní), odhlášení nebo změny hesla.
• Rozpracované platby PRO — záznam čekající na platbu se po uplynutí lhůty (výchozí 7 dní, nastavitelné v systému) označí jako opuštěný a neaktivuje službu.
• Logy událostí a kliknutí — po dobu potřebnou pro analytiku, reporting partnerům a bezpečnost; agregované statistiky mohou být uchovány déle v anonymizované podobě.
• Logy e-mailových kampaní (competition_email_log, activation_email_log) — pro audit odeslání a prevenci duplicitních kampaní; neobsahují seznam adres příjemců v případě souhrnného logu soutěží.
• Údaje o platbách — podle zákonných lhůt pro účetnictví a daňové účely; Stripe uchovává platební záznamy podle svých pravidel.

Po uplynutí doby uchovávání údaje vymažeme nebo anonymizujeme.

VII Příjemci a zpracovatelé

Údaje mohou být zpřístupněny těmto kategoriím příjemců:

• Stripe — zpracování online plateb (platební zprostředkovatel).
• Poskytovatelé hostingu a e-mailové infrastruktury — provoz serverů a doručování zpráv.
• Google / CookieScript — analytika a správa cookie souhlasů (po vašem souhlasu).
• Partneři — v rozsahu popsaném v části V.
• Oprávněné orgány — pokud to vyžaduje zákon.
• Pověřené osoby provozovatele — zaměstnanci a spolupracovníci vázaní mlčenlivostí.

Přenos údajů mimo EHP může nastat u globálních poskytovatelů (např. Stripe, Google) na základě standardních smluvních doložek nebo jiných zákonných mechanismů.

VIII Práva subjektu údajů

Za podmínek zákona o ochraně osobních údajů a GDPR máte právo:

• požádat o přístup k osobním údajům;
• požádat o opravu nesprávných údajů;
• požádat o vymazání („právo být zapomenut"), pokud pro zpracování není jiný zákonný důvod;
• požádat o omezení zpracování;
• vznést námitku proti zpracování založenému na oprávněném zájmu;
• požádat o přenositelnost údajů, pokud se zpracování zakládá na souhlasu nebo smlouvě a probíhá automatizovaně;
• kdykoli odvolat souhlas se zpracováním založeným na souhlasu (bez vlivu na zákonnost zpracování před odvoláním);
• smazat účet v nastavení účtu nebo kontaktováním info@vyhrat.sk.

Žádosti posílejte na info@vyhrat.sk. Odpovíme v zákonné lhůtě.

Máte právo podat stížnost u Úřadu pro ochranu osobních údajů Slovenské republiky (dataprotection.gov.sk), pokud se domníváte, že bylo porušeno vaše právo na ochranu údajů.

IX Zabezpečení údajů

Provozovatel přijal přiměřená technická a organizační opatření: šifrované přenosy (HTTPS), hashování hesel, omezený přístup k databázi, logování bez ukládání surové IP u bannerů (používá se hash), ochrana formulářů CSRF tokenem a pravidelná údržba systému.

X Závěrečná ustanovení

Registrací nebo pokračováním v používání Portálu potvrzujete, že jste se seznámili s tímto dokumentem.

Provozovatel může tyto podmínky aktualizovat. Nové znění zveřejní na této stránce s datem poslední aktualizace. Při podstatných změnách vás můžeme informovat i e-mailem, pokud máme vaši adresu.

Související dokumenty: obchodní podmínky, statut vybrané soutěže (pokud se soutěže účastníte).