Zásady ochrany osobních údajů

1. Kdo jsme

Road to Headliner je online hra pro správu kapel pro více hráčů provozovaná nezávislým vývojářem se sídlem na Slovensku v Evropské unii. Jsme správcem osobních údajů zpracovávaných prostřednictvím této služby podle nařízení (EU) 2016/679 (obecné nařízení o ochraně osobních údajů, „GDPR“). Naše herní servery a databáze jsou hostovány Hetzner Cloudem ve Falkensteinu v Německu (EU). V případě jakýchkoli dotazů na ochranu osobních údajů, žádostí subjektů údajů nebo stížností nás kontaktujte na adrese [email protected].

2. Jaká data shromažďujeme

• Údaje o účtu: e-mailová adresa, zobrazované jméno, hashované heslo
• Preferovaná data: jazyk, časové pásmo
• Technické údaje: adresa IP, uživatelský agent (prohlížeč), identifikátory relace
• Údaje o hře: název kapely, herní akce, statistiky, skóre sezóny
• Komunikační údaje: přímé zprávy, příspěvky na fóru (obsah vytvářený uživateli)
• Bezpečnostní data: pokusy o autentizaci, signály detekce více účtů

3. Jak používáme vaše data

• Poskytování a provozování herní služby
• Bezpečnost, ochrana před podvody a podvody
• Analýza produktů bez souborů cookie prostřednictvím cloudu PostHog EU (pouze paměť, žádné soubory cookie nebo místní úložiště).
• Transakční e-maily (ověřovací kódy, resetování hesla, bezpečnostní varování) zasílané prostřednictvím našeho poštovního serveru s vlastním hostitelem.

4. Právní základy pro zpracování (GDPR)

• Plnění smlouvy (čl. 6 odst. 1 písm. b)): Správa účtu, herní data, komunikace
• Oprávněný zájem (čl. 6 odst. 1 písm. f)): Sledování bezpečnosti, anti-cheat, analýzy
• Souhlas (čl. 6 odst. 1 písm. a)): Pouze pokud to budou vyžadovat konkrétní budoucí funkce

5. Uchovávání dat

Osobní údaje uchováváme pouze po dobu nezbytně nutnou pro účely, pro které byly shromážděny, v souladu se zásadou omezení ukládání (čl. 5 odst. 1 písm. e) GDPR). Následující doby uchování jsou vynucovány automaticky prostřednictvím denního plánovaného čištění:

• Aktivní účty: data uchovávaná, dokud váš účet existuje a je aktivní
• Pokusy o autentizaci: automaticky vymazány po 90 dnech
• Relace: maximálně 30 dní, relace, jejichž platnost vypršela, se denně čistí
• Protokoly požadavků a zabezpečení: automaticky ořezány po 90 dnech
• Protokoly administrátorského auditu: uchovány po dobu 1 roku kvůli souladu s předpisy, poté smazány
• Upozornění: přečtená upozornění smazána po 90 dnech, nepřečtená po 180 dnech
• Bezpečnostní upozornění: vyřešená upozornění smazána po 180 dnech, otevřená upozornění smazána po 365 dnech
• Protokoly herního systému: smazány po 30 dnech. Trasování výpočtů a záznamy auditu RNG: odstraněny po 90 dnech
• Přímé zprávy: přečtené zprávy smazány po 180 dnech, nepřečtené zprávy smazány po 365 dnech
• Protokoly akcí hráče: smazány po 30 dnech
• Stavové snímky a týdenní snímky: odstraněny po 365 dnech
• Hlášení hráčů: vyřešené nebo zamítnuté hlášení smazané po 180 dnech
• Platnost nebo použité tokeny pro ověření a resetování hesla: smazány po 7 dnech
• Smazané účty: osobní údaje anonymizovány ihned po smazání účtu. Herní záznamy (umístění kapel, historie žebříčku) jsou uchovávány v pseudonymizované podobě pro soutěžní integritu
• Zálohy: osobní údaje mohou uchovat v šifrovaných zálohách až 30 dní po vymazání. Zálohy jsou v klidu zašifrovány, řízeny a automaticky vyčištěny v rámci uchovávání. Toto je akceptované omezení uvedené v bodě odůvodnění 65 GDPR

6. Vaše práva

Podle GDPR (články 15-22) máte následující práva týkající se vašich osobních údajů. Chcete-li uplatnit kterékoli z těchto práv, zašlete e-mail na adresu [email protected] s předmětem „Žádost subjektu údajů“ a uveďte právo, které chcete uplatnit. Před zpracováním vaší žádosti ověříme vaši identitu. Odpovíme do 30 dnů (čl. 12 odst. 3 GDPR), u složitých požadavků lze prodloužit o dalších 60 dnů. V takovém případě vás budeme o prodloužení informovat během počáteční 30denní lhůty.

• Právo na přístup (článek 15): Vyžádejte si kopii všech osobních údajů, které o vás uchováváme. Svá data si také můžete kdykoli stáhnout ve strojově čitelném formátu JSON prostřednictvím Nastavení > Exportovat data nebo odesláním požadavku GET na /api/v1/auth/data-export, když jste přihlášeni. Export zahrnuje data účtu, herní data, zprávy, příspěvky na fóru a historii transakcí.
• Právo na výmaz (čl. 17): Požadujte trvalé vymazání vašeho účtu a anonymizaci všech osobních údajů. Můžete to kdykoli provést sami přes Nastavení > Smazat účet (vyžaduje potvrzení hesla). Vaše osobní údaje jsou okamžitě anonymizovány. Herní záznamy (umístění kapel, zápisy v žebříčcích) jsou uchovávány v pseudonymizované podobě pro soutěžní integritu. Upozornění: anonymizovaná data mohou zůstat v šifrovaných zálohách až 30 dní.
• Právo na opravu (čl. 16): Požadovat opravu nepřesných osobních údajů. Informace ve svém profilu můžete aktualizovat prostřednictvím nastavení účtu. Pro data, která nelze změnit prostřednictvím UI (jako je vaše e-mailová adresa), kontaktujte [email protected].
• Právo na přenositelnost údajů (článek 20): Získejte své osobní údaje ve strukturovaném, běžně používaném, strojově čitelném formátu (JSON). Použijte funkci exportu dat popsanou výše nebo si vyžádejte kopii e-mailem.
• Právo vznést námitku (čl. 21): Vznést námitku proti zpracování založenému na našem oprávněném zájmu (čl. 6 odst. 1 písm. f)), včetně profilování proti podvodům a sledování bezpečnosti. Zašlete e-mail na adresu [email protected] s konkrétním zpracováním, proti kterému nesouhlasíte. Zpracování ukončíme, pokud neprokážeme přesvědčivé oprávněné důvody, které převažují nad vašimi zájmy.
• Právo na omezení (čl. 18): Požádat o dočasné omezení zpracování, dokud ověříme přesnost vašich údajů, posoudíme vaši námitku nebo zjistíme, zda naše oprávněné důvody převažují nad vašimi. Během omezení budeme příslušné údaje ukládat, ale nebudeme je aktivně zpracovávat. Požádejte o omezení e-mailem na [email protected].
• Právo na odvolání souhlasu (čl. 7 odst. 3): Pokud je zpracování založeno na vašem souhlasu, můžete jej kdykoli odvolat. Odstoupení nemá vliv na zákonnost zpracování provedeného před odstoupením. V současné době je veškeré zpracování založeno na plnění smlouvy nebo oprávněném zájmu, nikoli na souhlasu.
• Právo podat stížnost (čl. 77): Máte právo podat stížnost u dozorového úřadu. Příslušným orgánem pro naši činnost je Úrad na ochranu osobných údajov Slovenskej republiky, Hraničná 12, 820 07 Bratislava, Slovensko (https://dataprotection.gov.sk). Můžete se také obrátit na dozorový úřad v členském státě EU vašeho obvyklého bydliště nebo místa výkonu práce.

7. Sdílení dat a dílčí procesory

K provozování této služby využíváme následující dílčí zpracovatele. Každý dílčí zpracovatel je zapojen na základě smlouvy o zpracování údajů (článek 28 GDPR) a zpracovává pouze údaje, které jsou nezbytně nutné pro jeho účel:

• Hetzner Cloud (Hetzner Online GmbH, Německo): Hosting infrastruktury a šifrované úložiště záloh. Kategorie dat: veškerý obsah databáze (údaje o účtu, herní údaje, komunikace). Umístění: datové centrum Falkenstein, Německo -- žádný mezinárodní přenos. DPA: Hetznerův standard DPA podle Art. 28 GDPR (https://docs.hetzner.com/general/general-terms-and-conditions/data-privacy-faq/).
• Cloudflare (Cloudflare, Inc., US s okrajovými uzly EU): CDN, ochrana DDoS a firewall webových aplikací. Kategorie dat: adresy IP, hlavičky požadavků HTTP, adresy URL požadavků. Mechanismus přenosu: EU-US Data Privacy Framework (DPF, článek 45 rozhodnutí o přiměřenosti) a standardní smluvní doložky (SCC, Modul 2: Controller-to-Processor, Article 46(2)(c)). DPA: Zákazník Cloudflare DPA (https://www.cloudflare.com/cloudflare-customer-dpa/).
• Transakční doručování e-mailů: ověřovací e-maily, resetování hesla a bezpečnostní upozornění jsou v současné době zasílány prostřednictvím našeho serveru SMTP/Postfix s vlastním hostitelem na stejné infrastruktuře hostované společností Hetzner jako aplikace. E-mailové adresy a zobrazovaná jména jsou zpracovávány pouze pro doručování zpráv.
• PostHog Cloud (oblast EU): Analytika produktů a analýza veřejných stránek CTA. Kategorie dat: pseudonymní ID uživatelů, ID kapel, ID sezón, cesty stránek a explicitní vlastnosti událostí. Klientské úložiště je zakázáno (`persistence: memory`), takže PostHog v prohlížeči nevytváří žádné analytické soubory cookie ani identifikátory localStorage. DPA: https://posthog.com/dpa.

Vaše osobní údaje neprodáváme, nepronajímáme, neobchodujeme ani je nesdílíme s žádnými třetími stranami za účelem marketingu, reklamy nebo profilování. Údaje jsou sdíleny pouze s výše uvedenými dílčími zpracovateli, a to výhradně pro popsané účely.

8. Mezinárodní přenosy dat

Vaše data jsou primárně uložena v Německu (Hetzner Cloud, datové centrum Falkenstein). Cloudflare zpracovává data požadavku HTTP na okrajových uzlech EU; pro jakékoli zpracování mimo EU se Cloudflare účastní rámce ochrany osobních údajů EU-US (DPF, rozhodnutí o přiměřenosti článku 45) a poskytuje standardní smluvní doložky (SCC, modul 2, čl. 46(2)(c)) jako doplňkovou ochranu. Analýzy produktů jsou zpracovávány prostřednictvím cloudové oblasti PostHog EU v režimu paměti bez souborů cookie. Transakční doručování e-mailů v současné době využívá náš server SMTP/Postfix s vlastním hostitelem na infrastruktuře hostované společností Hetzner, takže ve výrobě není aktivní žádný samostatný zpracovatel e-mailů ze třetí země. Všechna data při přenosu jsou šifrována pomocí TLS 1.2+. Žádné osobní údaje nejsou předávány do zemí bez rozhodnutí o přiměřenosti EU nebo odpovídajících záruk (článek 46 GDPR).

9. Bezpečnostní opatření

• Šifrování při přenosu (TLS 1.2+)
• Hesla hašovaná pomocí Argon2id (nejlepší algoritmus v oboru)
• Soubory cookie relace HttpOnly s ochranou CSRF
• Řízení přístupu na základě rolí a komplexní protokolování auditu

10. Soubory cookie a místní úložiště

Používáme pouze nezbytně nutné a funkční soubory cookie, jak je definováno ve směrnici o soukromí a elektronických komunikacích (čl. 5 odst. 3 směrnice 2002/58/EC). Pro tyto soubory cookie není vyžadován žádný souhlas, protože jsou nezbytné pro poskytování vámi požadované služby. Nepoužíváme žádné sledovací, reklamní ani analytické soubory cookie třetích stran:

• access_token (httpOnly, Secure, SameSite=Strict, 1 hour): Cookie relace ověřování. Nezbytně nutné pro udržení relace přihlášení.
• refresh_token (httpOnly, Secure, SameSite=Strict, 30 days): Soubor cookie pro obnovení relace. Nezbytně nutné pro bezproblémové opětovné ověření.
• rth-lang (funkční): Uloží vaše jazykové preference. Funkční soubor cookie vyňatý podle čl. ePrivacy. 5(3), protože je to nezbytné pro poskytování služby ve vámi zvoleném jazyce.
• __cf_bm (Cloudflare, třetí strana, trvání relace): Soubor cookie pro správu robota. Nezbytně nutné pro ochranu a zabezpečení DDoS.
• Analytics: PostHog používáme v režimu pouze paměti pro analýzu produktů a veřejných stránek. PostHog v této konfiguraci nenastavuje v prohlížeči analytické soubory cookie ani identifikátory localStorage.
• Místní úložiště: V místním úložišti vašeho prohlížeče ukládáme neosobní preference UI (odmítnutí upozornění na soubory cookie, postup ve výuce, rady UI). Tyto neobsahují žádné osobní údaje.

11. Ochrana soukromí dětí a ověření věku

Road to Headliner vyžaduje, aby uživatelé byli starší 16 let v souladu s čl. GDPR. 8 (podmínky pro udělení souhlasu dítěte ve vztahu ke službám informační společnosti). Při registraci musí všichni uživatelé potvrdit, že je jim alespoň 16 let, zaškrtnutím políčka povinného potvrzení věku. Toto potvrzení je zaznamenáno jako auditovatelný důkaz. Vědomě neshromažďujeme ani nezpracováváme osobní údaje od dětí mladších 16 let. Pokud zjistíme, že je uživateli mladší 16 let, neprodleně smažeme jeho účet a všechny související osobní údaje. Pokud se domníváte, že si účet vytvořila osoba mladší 16 let, kontaktujte nás na adrese [email protected].

12. Anti-Cheat & Automatické profilování

Abychom zachovali fair play, používáme automatickou korelaci založenou na IP k detekci potenciálního využití více účtů. Tento systém porovnává adresy IP a vzory přihlášení napříč účty. Výstrahy detekce jsou kontrolovány lidským správcem před provedením jakékoli akce – žádný účet není automaticky zakázán nebo penalizován pouze na základě automatické detekce. Toto zpracování je založeno na našem oprávněném zájmu na zachování integrity hry (čl. 6(1)(f) GDPR). Proti tomuto zpracování můžete vznést námitku kontaktováním [email protected].

13. Oznámení o narušení údajů

V případě porušení ochrany osobních údajů, které představuje riziko pro vaše práva a svobody, informujeme příslušný dozorový úřad do 72 hodin od okamžiku, kdy jsme se o porušení dozvěděli (čl. 33 GDPR). Pokud je pravděpodobné, že porušení bude mít za následek vysoké riziko pro vás, upozorníme vás také bez zbytečného odkladu prostřednictvím e-mailu nebo oznámení ve hře (článek 34 GDPR).

14. Pověřenec pro ochranu osobních údajů a dozorčí úřad

Jako správce osobních údajů malého rozsahu, který neprovádí rozsáhlé zpracování zvláštních kategorií údajů ani rozsáhlé systematické monitorování, jsme osvobozeni od povinnosti jmenovat pověřence pro ochranu osobních údajů podle čl. 37(1) GDPR. V případě jakýchkoli dotazů na ochranu osobních údajů, žádostí subjektů údajů nebo stížností nás kontaktujte přímo na adrese [email protected]. Příslušným dozorovým úřadem pro tuto službu je Úřad na ochranu osobních údajů Slovenské republiky, Hraničná 12, 820 07 Bratislava, Slovensko, webové stránky: https://dataprotection.gov.sk. Máte také právo podat stížnost u dozorového úřadu v členském státě EU vašeho obvyklého bydliště nebo místa výkonu práce. ZX3PH77 (článek.

15. Změny těchto zásad

Tyto Zásady ochrany osobních údajů můžeme čas od času aktualizovat. Podstatné změny budou sděleny prostřednictvím oznámení ve hře nebo e-mailem. Pokračování v používání služby po změnách představuje přijetí aktualizovaných zásad.

16. Kontakt

V případě dotazů na ochranu osobních údajů, žádostí o přístup subjektu údajů (SAR), žádostí o vymazání dat, žádostí o nápravu nebo stížností nás kontaktujte na adrese [email protected]. Pro rychlejší zpracování uveďte prosím do předmětu "Požadavek na data". Naším cílem je potvrdit přijetí do 5 pracovních dnů a věcně odpovědět na všechny žádosti subjektu údajů do 30 dnů od obdržení (čl. 12 odst. 3 GDPR). Pokud je žádost složitá nebo obdržíme velký objem, můžeme prodloužit lhůtu pro odpověď až o 60 dnů, v takovém případě vás budeme informovat během počátečních 30 dnů.