Zásady ochrany osobních údajů

1. Kdo je správce osobních údajů

Provozovatelem aplikace olaf (dostupné na olaf.events) a správcem osobních údajů ve smyslu nařízení (EU) 2016/679 (GDPR) a zákona č. 110/2019 Sb. je BIfactory s.r.o., IČO: 01999923, se sídlem v České republice, zapsaná v obchodním rejstříku. Kontakt: hulin@bifactory.cz.

Pověřenec pro ochranu osobních údajů (DPO): Vzhledem k povaze a rozsahu zpracování nejsme dle čl. 37 GDPR povinni jmenovat DPO. Veškeré dotazy ohledně osobních údajů směřuj na výše uvedený e-mail správce — odpovídáme do 30 dnů od doručení žádosti.

olaf vystupuje jako jednotný správce pro veškeré osobní údaje zpracovávané v aplikaci — registrace uživatelů, profily, přihlášky na akce, komunikace. Pořadatelé akcí (vlastníci workspacu) získávají údaje účastníků pouze prostřednictvím olafu a podléhají těmto zásadám.

2. Jaké údaje zpracováváme

Při registraci na akci: jméno, příjmení, e-mailová adresa, telefonní číslo (pokud pořadatel vyžaduje), odpovědi na dotazníkové sekce konkrétní akce (např. velikost trika, dieta, kondice, kontakt v nouzi, fotografický souhlas).

Při založení účtu: e-mail, heslo (uložené jako jednosměrný hash), jméno, příjmení.

Při užívání aplikace: přihlašovací cookies, technické logy (IP adresa, čas requestu), historie tvých registrací, platby (variabilní symbol, status), nahrané dokumenty (smlouvy, pojištění) — pokud relevantní pro konkrétní akci.

3. Účel a právní základ zpracování

• Organizace akce a komunikace s účastníky — právní základ: plnění smlouvy mezi pořadatelem a účastníkem (čl. 6 odst. 1 písm. b GDPR).
• Zdravotní údaje (dieta, alergie, kondice, zdravotní poznámky) — zpracováváme pouze na základě explicitního souhlasu při registraci (čl. 9 odst. 2 písm. a GDPR). Souhlas můžeš kdykoli odvolat zrušením registrace.
• Provoz aplikace, prevence zneužití, bezpečnost — oprávněný zájem správce (čl. 6 odst. 1 písm. f GDPR).
• Plnění zákonných povinností (účetnictví u placených akcí) — čl. 6 odst. 1 písm. c GDPR.

4. Komu údaje předáváme

Údaje předáváme následujícím zpracovatelům, kteří působí v rámci EU/EHP a podléhají GDPR:

• Microsoft Azure (Irsko/Nizozemsko) — hosting aplikace, databáze, blob storage pro nahrané soubory.
• Azure Communication Services — odesílání transakčních e-mailů (potvrzení registrace, zrušení).
• Pořadatel akce (vlastník konkrétního workspacu) — má přístup k údajům účastníků své akce v rámci aplikace. Nesmí je vyvádět ven nebo používat k jiným účelům.

Žádné údaje nepředáváme do třetích zemí mimo EU/EHP a neprodáváme je třetím stranám pro marketingové účely.

5. Jak dlouho údaje uchováváme

Registrační údaje na akci uchováváme po dobu nezbytně nutnou k jejímu uskutečnění a vypořádání případných nároků. Účetní doklady uchováváme po dobu stanovenou zákonem o účetnictví (typicky 10 let). Údaje účtu uchováváme po dobu, kdy účet existuje. Po zrušení účtu údaje anonymizujeme nebo smažeme, s výjimkou těch, které musíme držet kvůli zákonné povinnosti.

6. Tvoje práva

Máš následující práva, která můžeš kdykoli uplatnit:

• Přístup k tvým osobním údajům (čl. 15 GDPR).
• Oprava nepřesných údajů (čl. 16 GDPR).
• Výmaz osobních údajů („právo být zapomenut", čl. 17 GDPR) — pokud nejsou potřebné k účelu zpracování nebo plnění zákonné povinnosti.
• Omezení zpracování (čl. 18 GDPR).
• Přenositelnost tvých údajů ve strojově-čitelné podobě (čl. 20 GDPR).
• Námitka proti zpracování založenému na oprávněném zájmu (čl. 21 GDPR).
• Odvolání souhlasu — kde je souhlas právním základem (např. zdravotní údaje).
• Stížnost u dozorového úřadu — Úřad pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, uoou.cz.

Pro uplatnění práv nás kontaktuj na hulin@bifactory.cz. Odpovídáme do 30 dnů.

7. Cookies a sledování

olaf používá pouze technicky nezbytné cookies (přihlašovací session, CSRF token, jazyk). Tyto cookies nejsou určeny pro marketingové sledování a nepřenášíme je třetím stranám. Nepoužíváme Google Analytics ani jiné third-party tracking pixely. Podrobný seznam cookies a jejich účel najdeš v Informacích o cookies →.

8. Bezpečnost

Veškerá komunikace s aplikací probíhá přes šifrované spojení (HTTPS, TLS 1.2+). Hesla ukládáme jako kryptografické hashe (Argon2id). Databáze i nahrané soubory jsou uloženy v datacentrech Microsoft Azure v EU s certifikací ISO 27001. Přístup k produkčním datům má pouze omezený okruh autorizovaných osob.

9. Změny zásad

Aktuální verzi zásad ochrany osobních údajů publikujeme na této stránce. O podstatných změnách informujeme uživatele s aktivním účtem e-mailem alespoň 14 dní před účinností.