Zásady zpracování osobních údajů

1. Čeho se tyto zásady týkají

Tyto zásady popisují zpracování osobních údajů v registračním systému dostupném na adrese inlineskola-registrace.cz a ve stejnojmenné mobilní aplikaci. Přihlašujete se v něm na příměstské tábory, kroužky a kurzy, spravujete profily svých dětí, platíte zálohy a komunikujete s instruktory.

Prezentační web inlineskola.cz je provozován samostatně a má vlastní podmínky. Průběh samotných akcí — platby, storno, zdravotní způsobilost, vybavení, fotografie — upravují Všeobecné podmínky zveřejněné na inlineskola.cz/vseobecne-podminky.

2. Kdo je správcem a jak nás zastihnete

Pod značkou Inlineškola.cz vystupují dvě organizace, které registrační systém provozují společně a společně určují, proč a jak se v něm údaje zpracovávají. Jsou proto společnými správci ve smyslu čl. 26 GDPR:

• Sportškola, z.s., IČO 07136323, se sídlem Štúrova 1701/55, Krč, 142 00 Praha 4
• Sportfun Camp s.r.o., IČO 04966881, se sídlem Ostravská 623, Letňany, 199 00 Praha 9, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze, sp. zn. C 256366

Kontaktním místem pro všechna práva podle těchto zásad je společná adresa níže. Svá práva můžete uplatnit u kterékoli z obou organizací a vždy je vyřídíme za obě; nemusíte zjišťovat, která z nich zrovna pořádá akci, na kterou je vaše dítě přihlášené. Nejmenovali jsme pověřence pro ochranu osobních údajů — zákon nám tuto povinnost neukládá.

3. Koho se zpracování týká

• Zákonný zástupce, který si založí účet a přihlašuje dítě na akce.
• Dítě, které je na akci přihlášeno — údaje o něm vyplňuje jeho zákonný zástupce.
• Instruktor a vedoucí akce, kteří systém používají pro svou práci.
• Návštěvník, který si jen prohlíží nabídku nebo napíše přes kontaktní formulář.

4. Jaké údaje zpracováváme

Zpracováváme jen údaje, které nám sami zadáte, které vzniknou používáním systému, nebo které dostaneme od banky při párování vaší platby. Nikde je nekupujeme ani nedohledáváme.

O zákonném zástupci a jeho účtu:

• jméno, příjmení, e-mail a telefon,
• heslo — ukládáme je výhradně jako nevratný otisk (BCrypt), skutečné heslo neznáme a nikdy vám ho nepošleme,
• interní registrační číslo účtu, které systém přiděluje sám,
• číslo bankovního účtu, pokud si přejete vrátit peníze na účet,
• fakturační údaje, pokud chcete fakturu na firmu — název, IČO, DIČ a adresa; údaje k IČO doplňujeme z veřejného registru ARES,
• počet neúspěšných pokusů o přihlášení a případné dočasné uzamčení účtu,
• tajemství pro dvoufázové přihlášení, pokud máte roli s přístupem k cizím údajům,
• identifikátor u Googlu a e-mail v době propojení, pokud se přihlašujete přes něj.

O dítěti:

• jméno, příjmení a případně oslovení, kterým dítěti říkáte,
• datum narození, pohlaví a škola,
• alergie, zdravotní omezení, užívané léky, zdravotní pojišťovna a číslo pojištěnce — o těchto údajích mluví samostatně článek 6,
• jméno a telefon osoby pro případ nouze,
• poznámka o individuálním přístupu, pokud nám ji napíšete,
• půjčované vybavení a jeho velikosti a text na jmenovku trička,
• docházka na jednotlivé dny, omluvenky a jejich důvod,
• získané odznaky dovedností a jméno instruktora, který je udělil.

O přihláškách a platbách:

• přihlášky, jejich stav, pořadí na čekací listině a variabilní symbol,
• ceny, zálohy, hotovostní doplatky a evidence přijaté zálohy včetně toho, který vedoucí ji převzal,
• kredity a jejich pohyby včetně důvodu (storno, vratka, ruční úprava),
• faktury — odběratel, adresa, IČO, DIČ a částka,
• platby a jejich spárování s bankovním výpisem, včetně čísla účtu plátce ve formátu IBAN a identifikátoru transakce,
• žádosti o vratku a číslo účtu, na který ji posíláme, a vystavené dobropisy.

O komunikaci a průběhu akce:

• zprávy v chatu akce včetně jména odesílatele, reakcí a případných příloh,
• údaj o tom, zda jste právě online a kdy jste byli naposledy viděni,
• zprávy odeslané kontaktním formulářem — jméno, e-mail, předmět a text,
• stížnosti, jejich vyřízení a poznámky k němu,
• záznamy o ztrátách a nálezech.

O instruktorech a vedoucích:

• přihlášky na akce, nominace na vedoucího a rozhodnutí o nich,
• nahlášená dostupnost — termíny, časy a preferovaná místa,
• docházka na akcích a odměny včetně čísla účtu pro výplatu,
• e-mailové pozvánky pro nové instruktory a informace, kdo pozvánku poslal.

Technické údaje:

• IP adresa u záznamu v protokolu činností (kdo, kdy a co v systému udělal),
• IP adresa zablokovaná automatickou ochranou po pokusu o zneužití systému,
• otisk odhlášeného přihlašovacího tokenu, aby ho už nešlo použít,
• u mobilní aplikace identifikátor zařízení pro doručování upozornění.

5. Proč údaje zpracováváme, na jakém základě a jak dlouho

• Vedení účtu a přihlašování do systému

  Právní základ

  Plnění smlouvy (čl. 6 odst. 1 písm. b) GDPR)

  Doba uchování

  Po dobu existence účtu. Po jeho zrušení údaje odstraníme do 30 dnů, kromě těch, které si musíme nechat ze zákona.

• Přihláška dítěte na akci, její vyřízení, docházka a odznaky

  Právní základ

  Plnění smlouvy

  Doba uchování

  Po dobu konání akce a 4 roky poté — po tuto dobu lze uplatnit nároky ze smlouvy.

• Zdravotní údaje dítěte kvůli jeho bezpečnosti na akci

  Právní základ

  Výslovný souhlas (čl. 9 odst. 2 písm. a) GDPR)

  Doba uchování

  Dokud má dítě v systému profil, nebo dokud souhlas neodvoláte. Údaje můžete kdykoli sami smazat v profilu dítěte.

• Platby, párování s bankou, vratky a kredity

  Právní základ

  Plnění smlouvy

  Doba uchování

  4 roky od uzavření platby; účetní část viz řádek níže.

• Faktury, dobropisy a účetní evidence

  Právní základ

  Plnění právní povinnosti (čl. 6 odst. 1 písm. c) GDPR)

  Doba uchování

  10 let od konce zdaňovacího období, ve kterém byl doklad vystaven.

• Chat akce a zprávy mezi rodiči, instruktory a vedením

  Právní základ

  Plnění smlouvy

  Doba uchování

  Po dobu konání akce a 12 měsíců poté.

• Zprávy z kontaktního formuláře

  Právní základ

  Oprávněný zájem — odpovědět na dotaz (čl. 6 odst. 1 písm. f) GDPR)

  Doba uchování

  12 měsíců od vyřízení dotazu.

• Stížnosti na průběh akce a jejich vyřízení

  Právní základ

  Plnění právní povinnosti a oprávněný zájem na doložení vyřízení

  Doba uchování

  4 roky od vyřízení.

• Spolupráce s instruktory — přihlášky, dostupnost, docházka, odměny

  Právní základ

  Plnění smlouvy a právní povinnosti u odměn

  Doba uchování

  Po dobu spolupráce; doklady o odměnách 10 let.

• Protokol činností a zabezpečení systému včetně IP adres

  Právní základ

  Oprávněný zájem na bezpečnosti systému a doložitelnosti změn

  Doba uchování

  12 měsíců.

• Rozepsaná přihláška bez účtu a odkaz zaslaný e-mailem

  Právní základ

  Provedení opatření před uzavřením smlouvy na vaši žádost

  Doba uchování

  Místo držíme 60 minut, odkaz platí 24 hodin. Nevyužitý záznam systém sám smaže.

Uvedené údaje jsou nutné k tomu, abychom dítě mohli na akci přijmout. Bez jména, kontaktu a data narození přihlášku vyřídit nelze. Výjimkou jsou zdravotní údaje a poznámka o individuálním přístupu, které jsou dobrovolné — jen nám bez nich uniká informace, která by mohla být pro bezpečí dítěte důležitá.

6. Zdravotní údaje dítěte

Alergie, zdravotní omezení, užívané léky a údaj o zdravotní pojišťovně jsou podle GDPR zvláštní kategorií osobních údajů — údaji o zdraví. Zpracováváme je jen na základě vašeho výslovného souhlasu, který nám dáte při jejich vyplnění v profilu dítěte.

• Vyplnění je dobrovolné. Bez těchto údajů se dítě na akci přihlásit může.
• Slouží výhradně k tomu, aby instruktor na místě věděl, na co si dát pozor, a mohl správně zareagovat, kdyby se něco stalo.
• Vidí je jen instruktoři a vedoucí té akce, na kterou je dítě přihlášeno, a vedení organizace.
• Souhlas můžete kdykoli odvolat — buď údaje smažete přímo v profilu dítěte, nebo nám napište na info@inlineskola.cz. Odvolání nemá vliv na zákonnost zpracování do té doby.
• Pokud by na akci došlo k úrazu nebo náhlé zdravotní příhodě, můžeme tyto údaje předat zdravotnické záchranné službě nebo lékaři — tam už jde o ochranu životně důležitých zájmů dítěte (čl. 9 odst. 2 písm. c) GDPR).

7. Kdo se k údajům dostane uvnitř systému

Systém rozlišuje role a každá vidí jen to, co ke své práci potřebuje. Přístup se kontroluje na serveru, ne v prohlížeči.

• Zákonný zástupce vidí své vlastní údaje, své děti, své přihlášky, platby a faktury. K údajům jiných rodin se nedostane.
• Instruktor přiřazený k akci vidí seznam dětí na té akci, jejich zdravotní poznámky, kontakt pro případ nouze a docházku.
• Vedoucí akce vidí navíc přijaté zálohy a docházku personálu své akce.
• Vedení a správce systému mají přístup ke všem záznamům; jejich kroky se zapisují do protokolu činností.
• V chatu akce vidí ostatní účastníci chatu jméno odesílatele a text zprávy. Nevkládejte tam prosím údaje, které nemají vidět ostatní rodiny.

8. Komu údaje předáváme

Nikomu údaje neprodáváme ani nepředáváme pro cizí marketing. Níže je úplný seznam toho, kudy údaje ze systému odcházejí.

• vpsFree.cz — provozovatel serveru

  Co se předává

  Vše, co je v systému uloženo

  Proč

  Server, na kterém aplikace i databáze běží, stojí v Praze. Provozovatel k datům nepřistupuje, jen zajišťuje stroj.

• Google Ireland Limited

  Co se předává

  E-mailová adresa příjemce a obsah odeslaného e-mailu; u přihlášení přes Google navíc identifikátor a e-mail účtu; IP adresa vašeho prohlížeče při stažení písma stránky

  Proč

  Odesílání potvrzení a informačních e-mailů, přihlášení přes účet Google a písmo webu.

• Fio banka, a.s.

  Co se předává

  Variabilní symbol, částka a číslo účtu u vratky

  Proč

  Automatické párování přijatých plateb a odesílání vratek. Banka je vůči vám samostatným správcem.

• CARTO a OpenStreetMap

  Co se předává

  IP adresa prohlížeče a údaj o zobrazené oblasti mapy

  Proč

  Mapové podklady na stránce s nabídkou akcí načítá váš prohlížeč přímo od poskytovatele.

• ARES — registr Ministerstva financí ČR

  Co se předává

  IČO, které zadáte do fakturačních údajů

  Proč

  Doplnění názvu a adresy firmy na faktuře.

• Účetní a další smluvní spolupracovníci

  Co se předává

  Fakturační a účetní údaje

  Proč

  Vedení účetnictví a mzdové agendy. Se všemi máme uzavřenou smlouvu o zpracování osobních údajů.

• Orgány veřejné moci

  Co se předává

  Jen to, co konkrétně vyžádají

  Proč

  Pokud nám povinnost údaje předat ukládá zákon.

9. Předávání mimo Evropskou unii

Databáze i zálohy zůstávají na serveru v České republice. K předání mimo EU může dojít u služeb Googlu (odesílání e-mailů, přihlášení přes Google, písmo webu) a u mapových podkladů, jejichž poskytovatel sídlí ve Spojených státech. Tyto přenosy jsou kryté rozhodnutím Evropské komise o odpovídající ochraně pro USA, případně standardními smluvními doložkami schválenými Komisí.

10. Jak údaje chráníme

• Veškerá komunikace s aplikací běží šifrovaně přes HTTPS.
• Hesla ukládáme jen jako nevratný otisk algoritmem BCrypt.
• Přihlášení platí 24 hodin, poté je potřeba se přihlásit znovu; odhlášený token je neplatný okamžitě.
• Role s přístupem k cizím údajům mohou mít zapnuté dvoufázové ověření.
• Počet pokusů o přihlášení je omezen a opakované pokusy o zneužití systému vedou k automatické blokaci IP adresy.
• Každý zásah do dat se zapisuje do protokolu činností.
• Databáze běží na serveru v ČR, přístup k němu má jen úzký okruh pověřených osob a všechny je váže mlčenlivost.

11. Co ukládáme ve vašem prohlížeči

Aplikace nepoužívá reklamní ani analytické cookies a nesleduje vaše chování na jiných webech. V úložišti prohlížeče si drží pouze tři věci, bez kterých by nefungovala tak, jak očekáváte:

• přihlášení — abyste po obnovení stránky nemuseli zadávat heslo znovu,
• zvolený jazyk rozhraní,
• volbu světlého nebo tmavého vzhledu.

Všechno tři zůstává ve vašem zařízení a smažete je vymazáním dat webu v prohlížeči. Souhlas s nimi zákon nevyžaduje, protože jsou nezbytné pro poskytnutí služby, kterou jste si vyžádali.

12. Automatizované rozhodování

Neprobíhá. Žádné rozhodnutí, které by se vás dotklo — přijetí přihlášky, pořadí na čekací listině, výše vratky — nedělá systém sám za sebe. Pořadí na čekací listině určuje čas přihlášení a o přijetí nad kapacitu rozhoduje člověk.

13. Vaše práva

Ve vztahu ke svým údajům i k údajům dítěte, jehož jste zákonným zástupcem, máte tato práva:

• Právo na přístup — můžete si vyžádat kopii údajů, které o vás vedeme, a informaci, proč je zpracováváme.
• Právo na opravu — nepřesný údaj opravíme; většinu si můžete opravit sami v profilu.
• Právo na výmaz — pokud už údaje nepotřebujeme k účelu, pro který jsme je získali, smažeme je. Nevztahuje se na doklady, které musíme ze zákona uchovat.
• Právo na omezení zpracování — než vyřešíme spornou přesnost nebo námitku, údaje jen uložíme a dál s nimi nepracujeme.
• Právo na přenositelnost — údaje, které jste nám dali a zpracováváme je na základě smlouvy nebo souhlasu, vám vydáme ve strojově čitelném formátu.
• Právo vznést námitku proti zpracování založenému na oprávněném zájmu.
• Právo odvolat souhlas tam, kde na něm zpracování stojí — tedy u zdravotních údajů dítěte.

Žádost stačí poslat na info@inlineskola.cz z adresy, kterou máte v systému uloženou. Odpovíme nejpozději do jednoho měsíce. Upřímně: v aplikaci zatím není tlačítko, které by účet smazalo nebo údaje vyexportovalo — vyřizujeme to ručně, ale ve stejné lhůtě.

14. Změny těchto zásad

Když se změní to, jak systém s údaji nakládá, změníme i tento dokument a posuneme datum účinnosti. O podstatné změně vás vyrozumíme e-mailem nebo upozorněním v aplikaci. Starší znění vám na vyžádání pošleme.