Ochrana osobních údajů (GDPR)

1. Správce osobních údajů

Správcem osobních údajů ve smyslu nařízení Evropského parlamentu a Rady (EU) 2016/679 (dále jen „GDPR") a zákona č. 110/2019 Sb., o zpracování osobních údajů, je:

Kontakt ve věci ochrany osobních údajů: gdpr@ted.pet.

2. Jaké údaje zpracováváme

V rámci provozu sociální sítě ted.pet zpracováváme následující kategorie osobních údajů:

• Identifikační a kontaktní údaje: jméno, příjmení, e-mailová adresa, případně telefonní číslo a doručovací adresa (pokud je dobrovolně doplníte).
• Přihlašovací údaje: hashované heslo, identifikátor poskytovatele Google (pokud používáte přihlášení přes Google).
• Profilové údaje: avatar, biografie, datum narození (pokud uvedete), pohlaví, webové stránky.
• Obsah, který v aplikaci vytvoříte: příspěvky, fotografie, komentáře, lajky, zprávy, profily psů a institucí, úspěchy, záznamy o zdraví a chovu.
• Provozní údaje: IP adresa, časové údaje o přihlášení, identifikátor relace, údaje nezbytné pro fungování push notifikací a chatu v reálném čase (SignalR).

3. Účel a právní základ zpracování

Osobní údaje zpracováváme pouze pro účely, k nimž máme jeden z právních titulů podle čl. 6 GDPR:

• Plnění smlouvy (čl. 6 odst. 1 písm. b GDPR) — zpracování nezbytné pro poskytování služeb ted.pet (registrace, přihlášení, ukládání obsahu, doručování zpráv).
• Oprávněný zájem správce (čl. 6 odst. 1 písm. f GDPR) — zabezpečení účtu, ochrana proti zneužití služby a udržování provozuschopnosti platformy (logování chyb po nezbytnou dobu).
• Souhlas (čl. 6 odst. 1 písm. a GDPR) — pro zasílání nepovinných notifikací a marketingových sdělení, pokud o ně výslovně požádáte. Souhlas můžete kdykoli odvolat v nastavení profilu.
• Plnění právní povinnosti (čl. 6 odst. 1 písm. c GDPR) — uchování údajů, jejichž archivaci vyžadují právní předpisy (např. daňové doklady).

4. Cookies a sledovací technologie

Pro správné fungování aplikace ukládáme do prohlížeče výhradně technicky nezbytné údaje, které jsou podle § 89 odst. 3 zákona č. 127/2005 Sb. (zákon o elektronických komunikacích) a směrnice ePrivacy 2002/58/ES vyňaty z povinnosti získat souhlas:

• Autentizační session token uložený jako HTTP-only cookie poskytovatelem NextAuth — nezbytný pro udržení vašeho přihlášení mezi požadavky. Bez něj aplikaci nelze provozovat.
• CSRF token uložený jako HTTP-only cookie — nezbytný pro ochranu proti útokům typu cross-site request forgery.
• localStorage / sessionStorage prohlížeče pro uložení vašich preferencí (motiv vzhledu, stav uvítací prohlídky) — tato úložiště se nepřenášejí na server a nesledují vás napříč weby.

Nepoužíváme Google Analytics, Facebook Pixel, ani jiné nástroje třetích stran ke sledování chování uživatelů. Z tohoto důvodu vás neobtěžujeme žádnou cookie lištou — není pro ni právní důvod.

5. Příjemci osobních údajů

Vaše osobní údaje sdílíme pouze s vědomě zvolenými zpracovateli, kteří splňují požadavky GDPR a se kterými máme uzavřenou smlouvu o zpracování osobních údajů (čl. 28 GDPR):

• Hosting a databáze (EU): Render Inc. (provozováno v datovém centru Frankfurt, Německo) a Neon Inc. (PostgreSQL databáze, datové centrum Frankfurt, Německo) — veškerá data zůstávají v Evropské unii.
• Doručování obrázků: Cloudinary (úložiště fotografií) — provozuje certifikované služby kompatibilní s GDPR.
• Frontend hosting: Vercel Inc. — datová centra v EU pro provoz uživatelského rozhraní.
• Doručování e-mailů: SMTP server správce — výhradně pro zasílání transakčních e-mailů (potvrzení registrace, obnova hesla).
• Přihlášení přes Google (pokud jej využijete): Google Ireland Limited — pouze pro ověření identity v rámci OAuth 2.0 protokolu.

Osobní údaje nepředáváme do třetích zemí mimo Evropský hospodářský prostor.

6. Doba uchování

Osobní údaje zpracováváme pouze po dobu nezbytně nutnou:

• Údaje účtu — po dobu trvání vašeho účtu. Po zrušení účtu jsou vaše osobní údaje odstraněny nebo anonymizovány do 30 dní.
• Příspěvky a komentáře — po dobu trvání účtu, pokud je sami nesmažete dříve.
• Provozní logy — maximálně 90 dní pro účely bezpečnosti a řešení incidentů.
• Údaje vyžadované zákonem — po zákonem stanovenou dobu (např. daňové doklady 10 let).

7. Vaše práva podle GDPR

Jako subjekt údajů máte v souvislosti se zpracováním právo na:

• Přístup k osobním údajům (čl. 15 GDPR) — můžete si vyžádat výpis údajů, které o vás zpracováváme.
• Opravu nepřesných nebo neúplných údajů (čl. 16 GDPR) — přímo v nastavení profilu nebo na vyžádání.
• Výmaz („právo být zapomenut", čl. 17 GDPR) — odstranění účtu i dat. Některá data však můžeme uchovávat, pokud jejich uchování vyžaduje zákon.
• Omezení zpracování (čl. 18 GDPR).
• Přenositelnost údajů (čl. 20 GDPR) — můžete si vyžádat strojově čitelný export svých dat.
• Vznesení námitky proti zpracování založenému na oprávněném zájmu (čl. 21 GDPR).
• Odvolat souhlas, který jste nám dříve udělili — kdykoli, bez vlivu na zákonnost dříve provedeného zpracování.
• Podat stížnost u dozorového úřadu — Úřad pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7 (www.uoou.cz).

Pro uplatnění libovolného práva nás kontaktujte na gdpr@ted.pet. Odpovídáme do 30 dnů od přijetí žádosti.

8. Zabezpečení

Přijali jsme přiměřená technická a organizační opatření k ochraně osobních údajů:

• Veškerá komunikace probíhá šifrovaně přes HTTPS (TLS 1.2+).
• Hesla ukládáme ve formě bezpečného hashe (bcrypt).
• Autentizace probíhá pomocí krátkodobých JWT tokenů s rotačními refresh tokeny.
• Přístup k produkčním databázím je omezen na nezbytný okruh osob.
• Provozní logy neobsahují citlivé osobní údaje (např. obsah zpráv).

9. Změny tohoto dokumentu

Tento dokument můžeme čas od času aktualizovat, abychom reflektovali změny v právních předpisech nebo v naší službě. O podstatných změnách vás budeme informovat e-mailem nebo přímo v aplikaci. Aktuální verzi vždy najdete na této stránce.