Zásady ochrany osobních údajů

Stručně

Nepoužíváme Google Analytics ani žádné reklamní systémy. Nemáme cookie lištu, protože není co povolovat — do vašeho zařízení neukládáme nic, co by vyžadovalo souhlas. Návštěvnost měříme vlastním nástrojem, který běží na našem serveru v Německu, nepoužívá cookies a nesleduje vás napříč weby. Bez registrace se na náš server nedostanou žádné údaje, které by vás identifikovaly.

Níže je totéž podrobně, včetně přesného seznamu toho, co si aplikace ukládá ve vašem prohlížeči.

1. Kdo jsme

Webovou aplikaci Mathedu.online provozuje společnost MB Market, s.r.o., která je správcem ve smyslu čl. 4 odst. 7 GDPR.

Úplné identifikační a kontaktní údaje včetně sídla, IČO a zápisu v obchodním rejstříku najdete v tiráži.

Ve věcech ochrany osobních údajů nás kontaktujte na mbmarket491@gmail.com.

Pověřence pro ochranu osobních údajů (DPO) jsme nejmenovali — nesplňujeme podmínky čl. 37 GDPR, protože naší hlavní činností není rozsáhlé systematické monitorování a nezpracováváme zvláštní kategorie údajů.

2. Jaké údaje zpracováváme

Mathedu.online je volně přístupná. Registrace je dobrovolná — všechna cvičení i články fungují bez účtu.

Bez registrace

• Serverové logy — IP adresa, typ prohlížeče a navštívená adresa. Slouží výhradně k provozu, ochraně před zneužitím a řešení technických problémů.
• Měření návštěvnosti — navštívená stránka, země, typ zařízení, zdroj návštěvy. Podrobnosti v části 6.
• Údaje ve vašem prohlížeči — vaše odpovědi a nastavení. Ty neopouštějí vaše zařízení, pokud nejste přihlášeni. Seznam v části 3.

S registrací

• E-mailová adresa — jediný osobní údaj, který při registraci žádáme. Jméno, datum narození ani adresu nesbíráme.
• Heslo — ukládáme výhradně jako kryptografický otisk (argon2id), nikdy v čitelné podobě. Nedokážeme ho přečíst ani my.
• Výsledky cvičení — typ cvičení, obtížnost, správnost, čas řešení a čas odpovědi.
• Obsah odpovědi — u některých cvičení ukládáme i text otázky a text odpovědi, aby se vám dala zobrazit historie. Pokud dítě do odpovědi napíše cokoli jiného, uloží se to také. Jedna odpověď je omezena na 6 000 znaků.

Zvláštní kategorie údajů podle čl. 9 GDPR (zdraví, náboženství, etnicita a podobně) nezpracováváme a nežádáme.

3. Údaje uložené ve vašem prohlížeči

Aplikace si některé věci ukládá přímo do vašeho zařízení. Žádná z nich nevyžaduje souhlas — jde buď o nezbytné fungování, nebo o nastavení, které jste si sami zvolili.

Dvě věci si zaslouží zdůraznit:

4. Cookies

Cookies `session` a `app_lang` z tabulky výše jsou nezbytné pro službu, kterou jste si vyžádali: první vás udrží přihlášené, druhá si pamatuje jazyk, který jste si sami zvolili. Podle čl. 5 odst. 3 směrnice ePrivacy (v ČR §89 odst. 3 zákona o elektronických komunikacích) jsou od souhlasu osvobozeny.

Pokud vám v prohlížeči zůstala starší cookie `cookie_consent` z dob, kdy web používal Google Analytics, už se nečte ani nezapisuje a sama vyprší.

5. Co neděláme

Aby bylo jasné, co v tomto dokumentu nehledat:

• Nepoužíváme Google Analytics, Google Tag Manager ani žádný jiný nástroj třetí strany k měření.
• Nezobrazujeme reklamu a nepoužíváme reklamní identifikátory.
• Nesledujeme vás napříč jinými weby a nevytváříme reklamní profily.
• Neprodáváme ani nesdílíme osobní údaje.
• Nenačítáme písma, styly ani skripty třetích stran. Písma a styly se servírují z naší domény. Jediný skript z jiné adresy je naše vlastní měření návštěvnosti (část 6) — běží na našem serveru ve Frankfurtu, ne u služby, která by údaje používala pro vlastní účely.

6. Měření návštěvnosti

Používáme Umami, nástroj s otevřeným zdrojovým kódem, který provozujeme sami na vlastním serveru ve Frankfurtu. Údaje neodcházejí třetí straně.

Měření je bez cookies — do vašeho zařízení se při něm nic nezapíše. Opakovaného návštěvníka nástroj rozpozná otiskem, který se počítá na serveru ze soli měnící se jednou za měsíc. V rámci měsíce tak vidíme, že se někdo vrátil; po změně soli se spojitost ztrácí a staré otisky už k nikomu nevedou.

Sbíráme: navštívenou stránku, odkazující stránku, zemi, typ zařízení, prohlížeč a operační systém. Nesbíráme nic, co by vedlo ke konkrétní osobě.

Právním základem je oprávněný zájem podle čl. 6 odst. 1 písm. f) GDPR — potřebujeme vědět, která cvičení a články se používají, abychom věděli, co doplňovat. Protože se při výpočtu otisku zpracovává IP adresa, jde o zpracování osobních údajů, i když výsledek už k osobě nevede. Proti tomuto zpracování můžete vznést námitku na kontaktní adrese; stejně tak ho zastaví kterýkoli běžný blokovač obsahu, bez jakéhokoli dopadu na fungování webu.

7. Děti jako uživatelé

Obsah Mathedu.online je určen dětem přibližně od 5 do 15 let a bereme to vážně.

Toto uspořádání jsme zvolili záměrně: věková hranice souhlasu dítěte se v našich trzích liší (Slovensko a Německo 16, Česko 15, Španělsko 14, Spojené království a USA 13) a účet vlastněný dospělým je pro dítě i pro rodiče jednoznačnější než pět různých pravidel.

Protože děti jsou zranitelnou skupinou, k jejich údajům přistupujeme přísněji: žádná reklama, žádné profilování, žádné předávání třetím stranám k marketingovým účelům a žádné prvky, které by tlačily ke sdílení většího množství údajů.

8. Právní základ zpracování

• Plnění smlouvy — čl. 6 odst. 1 písm. b): účet, profily, ukládání a synchronizace výsledků.
• Oprávněný zájem — čl. 6 odst. 1 písm. f): serverové logy (provoz a bezpečnost) a měření návštěvnosti.
• Zákonná povinnost — čl. 6 odst. 1 písm. c): účetní a daňové doklady, pokud vzniknou.

Souhlas jako právní základ nepoužíváme nikde — není pro něj důvod.

9. Jak dlouho údaje uchováváme

Účet včetně všech výsledků smažete sami na stránce svého účtu. Z živé databáze zmizí okamžitě; ze záloh vypadne s jejich přirozenou rotací, nejpozději do 60 dnů.

10. Příjemci údajů

Údaje předáváme jen poskytovatelům, bez kterých by služba nefungovala. Se všemi máme uzavřenou smlouvu o zpracování podle čl. 28 GDPR.

Jiným třetím stranám údaje neposkytujeme, pokud to nevyžaduje zákon.

11. Předávání mimo EU

Servery i databáze stojí ve Frankfurtu, takže běžný provoz Evropu neopouští. Uvedení poskytovatelé jsou však americké společnosti a jejich technická podpora může mít k údajům přístup. Předávání se opírá o standardní smluvní doložky Evropské komise, případně o certifikaci v rámci EU–U.S. Data Privacy Framework, a doplnili jsme k němu posouzení dopadu.

Konkrétně: zálohy databáze vytváří automat běžící na infrastruktuře GitHubu v USA. Údaje se tam šifrují a putují do evropského úložiště.

12. Vaše práva

Jako subjekt údajů máte právo:

• na přístup ke svým údajům (čl. 15),
• na opravu nepřesných údajů (čl. 16),
• na výmaz (čl. 17) — účet smažete sami v nastavení účtu,
• na omezení zpracování (čl. 18),
• na přenositelnost (čl. 20) — v účtu najdete tlačítko Stáhnout moje údaje, které vám okamžitě stáhne vše, co o vás na serveru máme, jako soubor JSON,
• vznést námitku proti zpracování na základě oprávněného zájmu (čl. 21), tedy proti měření návštěvnosti i serverovým logům,
• podat stížnost dozorovému úřadu (čl. 77).

Pište na mbmarket491@gmail.com. Odpovídáme do jednoho měsíce. Pokud žádost nedokážeme vyřídit, řekneme proč.

13. Dozorové úřady

Stížnost můžete podat v kterémkoli členském státě, zejména v místě svého pobytu. Náš vedoucí dozorový úřad:

• Slovensko — Úrad na ochranu osobných údajov SR, dataprotection.gov.sk

Dále připadají v úvahu:

• Česko — Úřad pro ochranu osobních údajů, uoou.cz
• Německo — příslušný zemský úřad pro ochranu údajů, případně BfDI, bfdi.bund.de
• Španělsko — Agencia Española de Protección de Datos, aepd.es
• Spojené království — Information Commissioner's Office, ico.org.uk

14. Návštěvníci ze Spojeného království

Na zpracování údajů obyvatel Spojeného království se vztahuje UK GDPR a dozorovým úřadem je ICO. Protože nepoužíváme cookies vyžadující souhlas, nevzniká nám povinnost podle britského PECR.

15. Návštěvníci ze Spojených států

16. Bezpečnost

Spojení je vždy šifrované (HTTPS) a hesla ukládáme jako argon2id otisk. Databáze i zálohy jsou šifrované, zálohy navíc samostatným klíčem. Server posílá bezpečnostní hlavičky včetně politiky obsahu, která omezuje, odkud se smí cokoli načítat. Přístup do produkčního prostředí má jen provozovatel.

Pokud by přesto došlo k porušení zabezpečení údajů s rizikem pro vaše práva, oznámíme to dozorovému úřadu do 72 hodin a v případě vysokého rizika i vám přímo.

17. Změny těchto zásad

Zásady můžeme aktualizovat, zejména při rozšíření funkcí. Aktuální verze je vždy na této stránce s datem poslední aktualizace. Při podstatné změně, která se dotýká registrovaných uživatelů, dáme vědět e-mailem.

18. Kontakt

E-mail: mbmarket491@gmail.com

Web: https://mathedu.online

Identifikační údaje a sídlo: tiráž