Zásady ochrany osobních údajů

Tento dokument popisuje, jak v EduLocky zpracováváme osobní údaje v souladu s nařízením Evropského parlamentu a Rady (EU) 2016/679 (GDPR) a zákonem č. 110/2019 Sb., o zpracování osobních údajů.

1. Správce osobních údajů

Michal Kučinka, IČO 21528616, se sídlem č.p. 116, 391 61 Opařany, Česká republika (OSVČ). Pro dotazy ohledně zpracování osobních údajů nás kontaktujte na gdpr@edulocky.cz.

Vzhledem k rozsahu činnosti nejsme povinni jmenovat pověřence pro ochranu osobních údajů (DPO). Veškeré dotazy vyřizuje provozovatel osobně.

2. Jaké údaje zpracováváme

Údaje o rodiči (uživatel účtu)

• E-mailová adresa (pro přihlášení a komunikaci)
• Hashované heslo (nikdy není uloženo v čitelné podobě)
• IP adresa a údaje o zařízení (automaticky, pro bezpečnost)
• Datum vytvoření účtu, datum posledního přihlášení, datum souhlasu s podmínkami
• Platební údaje — zpracovává výhradně Stripe (viz bod 5), my vidíme pouze ID zákazníka

Údaje o dětech (zapsané rodičem)

• Jméno nebo přezdívka dítěte (zapisuje rodič)
• Nastavení úrovně obtížnosti, kategorie úloh, časové odměny
• Výsledky úloh: počet správných odpovědí, chyb, vydělaný herní čas, trvání relace
• Údaje o zařízení dítěte: typ (PC/mobil), operační systém, seznam nainstalovaných aplikací pro blokování (jen v případě instalace EduLocky klienta)

Nezpracováváme žádné citlivé údaje dětí — žádné zdravotní údaje, polohy (nad rámec IP adresy), biometrická data, zvuk, obraz ani obsah psaných odpovědí nad rámec ukládaných statistik.

3. Účely zpracování a právní základ

Nezasíláme marketingové e-maily bez vašeho výslovného souhlasu. Pokud se v budoucnu rozhodneme takové zprávy posílat, bude k tomu opt-in checkbox a kdykoliv se budete moci odhlásit jedním klikem.

4. Děti mladší 15 let

Služba EduLocky je určena rodičům (nebo zákonným zástupcům). Dítě samo si v EduLocky nezakládá účet ani se nepřihlašuje — všechny údaje o dítěti zapisuje rodič. Zpracování údajů o dítěti probíhá na základě smluvního vztahu s rodičem, který za dítě jedná jako jeho zákonný zástupce.

5. Komu údaje předáváme

Údaje nepředáváme třetím stranám za účelem zisku. Využíváme však technické zpracovatele, kteří nám poskytují provozní infrastrukturu:

• Supabase, Inc. — databáze a autentizace (EU region, Frankfurt). Zásady Supabase
• Netlify, Inc. — hostování webu a CDN. Zásady Netlify
• Stripe Payments Europe Ltd. (Irsko) — zpracování plateb. Do Stripe předáváme jen e-mail a ID zákazníka; číslo karty ani platební údaje nevidíme. Zásady Stripe
• Intuition Machines, Inc. (hCaptcha) — ochrana proti botům při registraci. Zásady hCaptcha

S každým zpracovatelem máme (nebo budeme mít) uzavřenou zpracovatelskou smlouvu (DPA) dle čl. 28 GDPR. Předávání do zemí mimo EU (USA) probíhá pouze na základě standardních smluvních doložek (SCC) schválených Evropskou komisí.

6. Jak dlouho údaje uchováváme

• Údaje účtu a dětí: po dobu existence účtu. Po jeho smazání data do 30 dnů odstraníme.
• Fakturační údaje a platební záznamy: 10 let od konce daňového roku (povinnost dle zákona č. 235/2004 Sb., o DPH, a zákona č. 563/1991 Sb., o účetnictví).
• Záznamy pro auditní účely (IP, přihlášení): 12 měsíců.
• Webhooky Stripe a log aplikačních událostí: 180 dní.

7. Vaše práva

Podle GDPR máte následující práva:

• Právo na přístup (čl. 15) — v dashboardu v sekci „Nastavení“ si kdykoliv stáhnete JSON export všech dat, která o vás máme.
• Právo na opravu (čl. 16) — základní údaje si upravíte v dashboardu, v případě jiných údajů nás kontaktujte na gdpr@edulocky.cz.
• Právo na výmaz (čl. 17) — v sekci „Nastavení“ je tlačítko „Smazat účet“. Akce je nevratná a všechna data (včetně dětí) do 30 dnů smažeme (kromě zákonem povinných fakturačních záznamů).
• Právo na omezení zpracování (čl. 18).
• Právo na přenositelnost (čl. 20) — JSON export v dashboardu.
• Právo vznést námitku (čl. 21) proti zpracování na základě oprávněného zájmu.
• Právo podat stížnost u dozorového úřadu: Úřad pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, https://www.uoou.cz.

8. Cookies

Používáme pouze technicky nezbytné cookies a místní úložiště prohlížeče:

• Autentizační session (Supabase) — drží vaše přihlášení
• Preference jazyka (next-intl) — pamatuje si, kterou jazykovou verzi jste zvolili
• Souhlas s cookies lištou (localStorage) — aby se lišta znovu neobjevila

Žádné analytické, reklamní ani tracking cookies. Žádný Google Analytics, Facebook Pixel ani jiné sledovače. Pokud v budoucnu zavedeme analytický nástroj, půjde o řešení šetrné k soukromí (Plausible nebo PostHog), bude oznámeno a bude vyžadovat váš explicitní souhlas.

9. Zabezpečení

• Veškerá komunikace probíhá přes HTTPS (TLS 1.2+)
• Hesla jsou hashována pomocí Supabase Auth (bcrypt)
• Citlivé operace (mazání účtu, změna hesla) vyžadují ověření
• Platby zpracovává Stripe (PCI DSS Level 1)
• Pravidelně aktualizujeme závislosti a sledujeme bezpečnostní upozornění
• Pro hlášení zranitelností: security@edulocky.cz (viz security.txt)

10. Změny tohoto dokumentu

Dokument můžeme čas od času aktualizovat. O materiálních změnách vás informujeme e-mailem nebo oznámením v aplikaci a požádáme o nový souhlas. Aktuální verzi vždy najdete na této stránce s datem poslední aktualizace v hlavičce.

11. Kontakt

Pro jakékoli dotazy ohledně ochrany osobních údajů nás prosím kontaktujte:
E-mail: gdpr@edulocky.cz
Poštou: Michal Kučinka, č.p. 116, 391 61 Opařany