Ochrana soukromí

1. Kdo jsme a koho kontaktovat

Správcem osobních údajů je Luboš Vysloužil, IČO 70759138, se sídlem Jagellonská 2430, 130 00 Praha 3. Identifikaci provozovatele najdete v Impressu.

Pro veškerá podání týkající se ochrany osobních údajů používejte adresu . Vzhledem k rozsahu a povaze zpracování nejmenujeme pověřence pro ochranu osobních údajů — článek 37 GDPR to v našem případě nevyžaduje.

2. Jaké údaje zpracováváme

2.1 Údaje, které získáváme automaticky

Při každé návštěvě serveru se v systémových logech dočasně objeví vaše IP adresa a informace z hlavičky User-Agent. IP adresu neukládáme v čitelné podobě — převádíme ji na jednosměrný otisk (SHA-256) s měsíčně rotovanou solí. Tento otisk slouží výhradně k omezení počtu požadavků (rate limit) a k detekci útoků; po výměně soli ho nelze převést zpět na původní adresu.

Dále zpracováváme technickou cookie sess_id pro účely zabezpečení formulářů (token CSRF). Podrobnosti najdete na stránce Cookies.

2.2 Údaje, které nám dobrovolně předáte

• E-mail v newsletteru — pouze ten, nic dalšího.
• Recenze uživatele — zveřejněný text, volitelně jméno či přezdívka, e-mail pro ověření (nezveřejňujeme).
• Lead formulář (pokud ho v dané kategorii nabízíme) — jméno, e-mail, případně telefon a obsah poptávky.
• Žádost podle GDPR — jméno, kontaktní e-mail, typ žádosti a její upřesnění.
• Přímý kontakt e-mailem — text vaší zprávy a odesilatelská adresa.

2.3 Odvozené údaje

Aktuálně nepoužíváme analytické nástroje typu Google Analytics, reklamní pixely ani nástroje pro nahrávání relací (Hotjar, FullStory apod.). Nevytváříme profily uživatelů ani nepřijímáme automatizovaná rozhodnutí ve smyslu čl. 22 GDPR.

Pokud bychom v budoucnu nasadili analytický nástroj, bude provozovaný s anonymizací IP adresy a bez sdílení s reklamními sítěmi. Před prvním načtením takového skriptu požádáme o váš aktivní souhlas a tuto stránku aktualizujeme — změnu oznámíme rovněž ve veřejném seznamu aktualizací.

2.4 Údaje, které nezpracováváme

Pro úplnost uvádíme, co na portálu nezpracováváme a nikdy jsme k tomu neoprávněni souhlasem, který je na webu vyžadován:

• rodné číslo, číslo občanského průkazu, datum narození;
• údaje o zdravotním stavu nebo jiné zvláštní kategorie podle čl. 9 GDPR;
• platební údaje (čísla karet, bankovní účty) — neprovozujeme e-shop ani platbu za obsah;
• údaje o pohybu (GPS, lokalizační data) a údaje o zařízení nad rámec hlavičky User-Agent;
• údaje nezletilých osob, u kterých bychom cíleně prováděli marketing.

Pokud se rozhodneme některou z těchto kategorií začít zpracovávat (typicky rozšíření o placenou službu), upravíme tuto stránku a doplníme právní základ. Bez úpravy tohoto textu k takovému zpracování nedojde.

3. Účel zpracování a právní základ

4. Doba uchovávání

• Otisk IP v access logu: maximálně 60 dnů (dvojnásobek měsíčního cyklu rotace soli).
• E-mail v newsletteru: do vašeho odhlášení, dále 30 dnů v auditním logu (prokázání platnosti souhlasu).
• Recenze uživatele: bez časového omezení (zveřejněný obsah); ověřovací e-mail pouze do momentu publikace, pak se odděluje.
• Lead: 90 dnů od posledního kontaktu s poptávkou, pak dochází k anonymizaci.
• Log hlášení CSP: 90 dnů.
• Log přístupu k API: 30 dnů.
• Záznamy o žádostech podle GDPR: 3 roky (obecná promlčecí lhůta pro případné spory).
• Záznamy v účetní a daňové evidenci (faktury, pokud vznikne obchodní vztah): podle účetních a daňových předpisů, zpravidla až 10 let.

5. Komu údaje předáváme

Osobní údaje předáváme pouze zpracovatelům, bez kterých nelze web provozovat, a v rozsahu nezbytném pro daný účel:

• Poskytovatel serverového hostingu v České republice — provoz serveru a záloh. Údaje nejsou předávány mimo EU.

Aktuálně nevyužíváme služby typu Google Analytics, Ecomail, Mailchimp, Facebook Pixel ani jiné marketingové nástroje. Pokud některý z nich v budoucnu nasadíme, nejprve tuto stránku aktualizujeme a u služeb, které vyžadují souhlas, přidáme samostatný souhlasný banner.

Osobní údaje nepředáváme mimo Evropský hospodářský prostor ani je neprodáváme třetím stranám.

6. Vaše práva podle GDPR

Ve vztahu ke svým osobním údajům máte následující práva:

• Právo na přístup (čl. 15 GDPR): můžete se zeptat, jaké údaje o vás zpracováváme a získat jejich kopii.
• Právo na opravu (čl. 16 GDPR): pokud jsou údaje nepřesné nebo neúplné, máte právo na jejich opravu či doplnění.
• Právo na výmaz (čl. 17 GDPR): v zákonem stanovených případech („právo být zapomenut") máte nárok, aby byly údaje smazány.
• Právo na omezení zpracování (čl. 18 GDPR): v určitých situacích lze dočasně zastavit zpracování údajů bez jejich výmazu.
• Právo na přenositelnost (čl. 20 GDPR): u údajů zpracovávaných na základě souhlasu nebo smlouvy máte nárok dostat je ve strukturovaném formátu.
• Právo vznést námitku (čl. 21 GDPR): proti zpracování založenému na oprávněném zájmu můžete kdykoli podat námitku.

Svá práva uplatníte e-mailem na adresu nebo prostřednictvím formuláře Žádost podle GDPR. Žádost vyřizujeme do 30 dnů od doručení (čl. 12 odst. 3 GDPR); ve složitějších případech lze lhůtu prodloužit o další dva měsíce s tím, že vás o tom předem informujeme. Vyřízení žádosti je bezplatné, pokud není zjevně neopodstatněná nebo nepřiměřená.

Jak probíhá vyřízení žádosti — krok za krokem

1. Doručení žádosti. Obdržíme-li žádost e-mailem nebo formulářem, začíná běžet 30denní lhůta od dne doručení.
2. Ověření totožnosti. Na uvedený e-mail zasíláme potvrzovací odkaz. Krok slouží k ochraně proti zneužití — bez potvrzení bychom cizí osobě mohli vydat vaše údaje.
3. Vyhledání záznamů. Po ověření prohledáváme databázi (newsletter, recenze, lead, gdpr_requests) podle kontaktního e-mailu.
4. Rozhodnutí o žádosti. V rámci lhůty zasíláme odpověď: co jsme nalezli, co jsme provedli (výmaz, opravu, omezení) nebo proč žádosti nelze vyhovět (zákonná povinnost uchování, oprávněný zájem).
5. Záznam do evidence. Každá žádost je evidována v tabulce gdpr_requests po dobu tří let (promlčecí lhůta).

Pokud máte za to, že zpracováním vašich osobních údajů dochází k porušení právních předpisů, máte právo podat stížnost u dozorového úřadu, kterým je v České republice Úřad pro ochranu osobních údajů (Pplk. Sochora 27, 170 00 Praha 7, telefon 234 665 111). Stížnost můžete podat přímo bez toho, abyste dříve kontaktovali nás — doporučujeme však začít u nás, většinu věcí dokážeme vyřídit rychleji než úřad.

6b. Děti a mladiství

Portál Poradit.cz není cílen na děti a žádné údaje od dětí záměrně nesbíráme. Souhlas se zpracováním osobních údajů v souvislosti se službami informační společnosti může podle § 7 zákona č. 110/2019 Sb. samostatně udělit až osoba starší 15 let — Česká republika využila možnost snížit hranici z 16 let podle čl. 8 GDPR. U dítěte mladšího 15 let musí souhlas udělit nebo schválit zákonný zástupce. Formuláře webu (newsletter, recenze, lead, žádost podle GDPR) předpokládají plnoletou osobu nebo zákonného zástupce. Pokud nám nedopatřením odešle osobní údaje osoba mladší 15 let a dozvíme se o tom, její údaje smažeme bez zbytečného odkladu — stačí napsat na .

7. Cookies

Přehled cookies, které na webu používáme, najdete na samostatné stránce Cookies. Aktuálně pracujeme pouze s nezbytnou cookie sess_id pro zabezpečení formulářů.

7b. Marketingová komunikace

Newsletter zasíláme pouze těm, kteří se k odběru aktivně přihlásili potvrzením e-mailu (dvojí potvrzení). Obsah newsletteru odpovídá zaměření portálu — souhrn novinek v hodnocených kategoriích, upozornění na změny ceníků a čas od času odkaz na partnerskou službu s jasně označeným partnerským vztahem. Z odběru se odhlásíte jedním kliknutím v každém e-mailu; v té chvíli vaši adresu vyjmeme ze seznamu a po 30 dnech auditního logu smažeme.

Mimo newsletter vám nezasíláme obchodní sdělení třetích stran a nesdílíme e-mail s jinými provozovateli. Tato politika platí i pro případ, že by se portál v budoucnu spojil s jiným subjektem — v takovém případě vás nejprve informujeme a dáme možnost z odběru odejít.

8. Zabezpečení

Web provozujeme výhradně přes HTTPS s aktivním HSTS. Vůči databázi používáme připravené dotazy (prepared statements) a formuláře chráníme tokenem CSRF, honeypotem a rate limitem. IP adresy pracují výhradně v podobě jednosměrného otisku s rotovanou solí. Přístup k databázi i administraci je omezený na vyjmenované účty.

Zálohy databáze vznikají pravidelně a jsou uchovávány po dobu 14 dnů. Konkrétní bezpečnostní konfiguraci v tomto textu záměrně neuvádíme, aby neposkytla vodítko případnému útočníkovi.

V případě bezpečnostního incidentu, který by mohl mít za následek vysoké riziko pro vaše práva a svobody, vás budeme informovat bez zbytečného odkladu podle čl. 34 GDPR — a to zprávou na e-mailovou adresu, kterou u nás evidujete. Dozorovému úřadu incident ohlásíme do 72 hodin od jeho zjištění (čl. 33 GDPR). Pokud bude incident plošný, zveřejníme ho také v sekci Aktualizace.

9. Změny zásad

Zásady ochrany soukromí můžeme v čase upravit — typicky při rozšíření rozsahu zpracování (například přidání analytického nástroje). Pokud půjde o podstatnou změnu, upozorníme na ni předem v seznamu aktualizací a u odběratelů newsletteru přímo v e-mailu. Datum poslední revize naleznete na konci této stránky.

9b. Historie změn této stránky

Tuto verzi zásad jsme publikovali při spuštění portálu. Při každé úpravě přidáváme záznam do veřejného seznamu aktualizací; chronologický přehled změn tak dokáže čtenář zpětně dohledat i poté, co došlo k jejich úpravě v textu výše.

10. Kontakt

Veškerou komunikaci týkající se osobních údajů směřujte na nebo písemně na adresu provozovatele: Luboš Vysloužil, Jagellonská 2430, 130 00 Praha 3. Odpovíme do 30 dnů od doručení.