shield_lock Ochrana osobních údajů

Zásady ochrany osobních údajů

Stav: listopad 2026 | Správce: Ostheimer OG, Fabriksgasse 20, 2230 Gänserndorf | office@qr3.app

1. Základní zásady

Osobní údaje zpracováváme v souladu s nařízením GDPR (EU) 2016/679. Ochrana Vašich údajů je pro nás klíčovou prioritou. Služba qr3.app byla navržena v souladu se zásadou Privacy by Design: IP adresy se nikdy neukládají — jsou okamžitě pseudonymizovány na okraji sítě (Cloudflare Workers) pomocí HMAC-SHA-256, dlouhodobého tajemství, účelu a dne UTC ještě před uložením dat.

2. Zpracovávané údaje

2.1 Využívání API (registrovaní uživatelé)

  • Údaje o účtu: e-mailová adresa, jméno (prostřednictvím autentizace Clerk.com)
  • Fakturační údaje: ID zákazníka Stripe, stav předplatného (žádné údaje o platebních kartách — ty zpracovává přímo Stripe)
  • Údaje o používání: vytvořené QR kódy, konfigurace pracovních prostorů
  • Právní základ: čl. 6 odst. 1 písm. b) GDPR (plnění smlouvy)

2.2 Analýza skenování (koncoví uživatelé, kteří skenují QR kódy)

  • IP pseudonym: HMAC-SHA-256 s dlouhodobým tajemstvím, účelem a dnem UTC — pseudonymizovaný osobní údaj; nelze jej přímo obnovit z hashe, držitel tajemství však může pro daný den znovu vypočítat známého kandidáta IP adresy
  • Údaje o zařízení: typ zařízení, operační systém, prohlížeč (z User-Agenta, anonymizováno)
  • Geografické údaje: země, město (z hlavičky Cloudflare CF-IPCountry — IP adresa se neukládá)
  • Právní základ: čl. 6 odst. 1 písm. f) GDPR (oprávněný zájem držitelů QR kódů na statistikách)
  • Doba uchování: 90 dní, poté automatické smazání

2.3 Návštěva webu (qr3.app)

K počítání zobrazení stránek podle jazykových verzí používá qr3.app službu Cloudflare Web Analytics. Tato služba nepoužívá soubory cookies ani žádné jiné mechanismy ukládání dat na straně klienta, neukládá IP adresy a nevytváří profily uživatelů. Souhrnně shromažďované údaje: cesta ke stránce, odkazující stránka (referrer), typ prohlížeče a zařízení a země. Poskytovatel: Cloudflare, Inc., jako zpracovatel osobních údajů (Dodatek o zpracování osobních údajů). Právní základ: čl. 6 odst. 1 písm. f) GDPR — oprávněný zájem na zjišťování dosahu podle jednotlivých jazyků. Vzhledem k tomu, že ve vašem zařízení nejsou ukládány žádné údaje, není vyžadován žádný opt-out cookie.

2.4 Statistiky využití a logy webhooků (registrovaní uživatelé)

  • Statistiky využití: Aktivita v dashboardu podle dnů (ve kterých dnech UTC uživatel otevřel dashboard workspace) a čítače využití API podle operace a dne (počet požadavků jednoho API klíče podle operace a výsledku). U aktivity v dashboardu se ukládají identifikátory uživatele, organizace a workspace, den UTC a čas prvního otevření v daný den; u čítačů API identifikátory organizace, workspace a API klíče, den UTC, operace, výsledek, počet a čas prvního a posledního požadavku dne — žádná IP adresa a žádný User-Agent.
  • Logy doručení webhooků: U každého pokusu o doručení: typ události, čas, stav, stavový kód HTTP a doba odezvy, odeslaná data události a první kilobajt (1 KB) odpovědi příjemce nebo chybové hlášení. U událostí skenování obsahují data události zemi, typ zařízení, operační systém, prohlížeč a jazyk návštěvníka, u událostí kódů úplný kód včetně cílové adresy a poznámek. IP adresa ani User-Agent návštěvníků se neukládají, data události a odpověď příjemce však mohou obsahovat osobní údaje.
  • Účel: Provoz, hledání chyb a zlepšování produktu
  • Právní základ: čl. 6 odst. 1 písm. f) GDPR (oprávněný zájem na bezpečném provozu, hledání chyb a dalším rozvoji služby)
  • Doba uchování: 90 dní (aktuální den UTC a 89 předchozích dnů), poté automatické smazání; při DELETE /v1/account okamžitě

2.5 Záznam auditu (registrovaní uživatelé)

  • Obsah: U každé změny v pracovním prostoru (například u kódů, API klíčů, členů nebo webhooků) čas, akce, dotčený zdroj, změněné hodnoty a kdo jednal (ID uživatele nebo API klíče). U volání přímo přes API navíc pseudonym IP adresy (HMAC-SHA-256 pro každý den UTC, samostatný účel) a user agent. Neukládá se žádná IP adresa, žádná tajemství (secrets) ani API klíče.
  • Účel: Dohledatelnost změn pro tým pracovního prostoru a bezpečnost služby
  • Právní základ: čl. 6 odst. 1 písm. f) GDPR (oprávněný zájem na dohledatelných změnách a na bezpečnosti služby)
  • Doba uchování: pseudonym IP adresy a user agent 90 dní, záznam 365 dní (vždy aktuální den UTC a předchozí dny), poté automatické smazání; při DELETE /v1/account se záznamy vlastních organizací smažou okamžitě, v jiných týmech se odstraní pseudonym IP adresy a user agent

3. Předávání údajů třetím stranám

Údaje předáváme pouze těmto poskytovatelům služeb. Pokud není uvedeno jinak, zpracovávají údaje naším jménem (čl. 28 GDPR). Pokud se přitom údaje dostanou do USA, zakládá se to na rámci EU-US Data Privacy Framework, podle něhož jsou americké společnosti těchto poskytovatelů certifikovány (rozhodnutí o odpovídající ochraně, čl. 45 GDPR), a podpůrně na standardních smluvních doložkách Evropské komise v jejich smlouvách o zpracování (čl. 46 odst. 2 písm. c) GDPR).

  • Cloudflare, Inc. (USA) — infrastruktura, CDN, Workers: provoz webu, dashboardu a API, databáze, úložiště souborů a fronty, odesílání systémových e-mailů (Cloudflare Email Service) a Web Analytics (oddíl 2.3)
  • Clerk, Inc. (USA) — autentizace: e-mailová adresa, jméno, přihlašovací a relační údaje (včetně IP adresy, z ní odvozené polohy a prohlížeče) a potvrzovací e-maily. Při registraci Clerk vkládá ochranu proti automatizovaným registracím (Cloudflare Turnstile). Pokud se přihlásíte účtem Google, Clerk z tohoto účtu obdrží Vaše jméno a e-mailovou adresu.
  • Stripe Payments Europe, Ltd. (Irsko) — zpracování plateb a faktury. Platební údaje shromažďuje Stripe přímo; údaje o kartách nedostáváme. Za prevenci podvodů, za své vlastní zákonné povinnosti a za další vývoj svých produktů odpovídá Stripe sám.
  • Functional Software, Inc. (Sentry) (USA, uložení v EU) — analýza chyb pro API, přesměrování a dashboard: chybová hlášení a vzorky požadavků (metoda, cesta bez parametrů, stavový kód, doba trvání, interní identifikátory). IP adresy, hlavičky, cookies a parametry před odesláním odstraňujeme; e-mailové adresy a klíče v textu se začerňují. Právní základ: čl. 6 odst. 1 písm. f) GDPR (oprávněný zájem na bezchybném a bezpečném provozu)
  • Google Cloud EMEA Ltd. (Irsko; Google Cloud Web Risk) — kontrola cílových adres na phishing a malware: při vytvoření nebo změně kódu, při kontrole přes API a při noční opakované kontrole cílová adresa kódu nebo odkazy jeho landing page. Odesílá se pouze adresa, žádné údaje o účtech ani návštěvnících; obsahuje-li adresa sama osobní údaje (například v parametru), odešlou se s ní. Právní základ: čl. 6 odst. 1 písm. f) GDPR (ochrana návštěvníků před podvodnými cíli a bezpečnost služby)
  • Microsoft (Microsoft 365) — e-mailová schránka office@qr3.app: e-maily, které nám píšete, včetně odpovědí na systémové e-maily, a naše odpovědi. Právní základ: čl. 6 odst. 1 písm. b) GDPR (dotazy ke smlouvě), případně písm. f) (ostatní dotazy)

K předávání údajů pro reklamní účely nedochází.

4. Vaše práva (čl. 15–22 GDPR)

  • Právo na přístup (čl. 15): GET /v1/account/privacy nebo e-mailem na adresu office@qr3.app
  • Právo na přenositelnost údajů (čl. 20): GET /v1/account/export — export všech údajů ve formátu JSON
  • Právo na výmaz (čl. 17): DELETE /v1/account nebo e-mailem. Váš účet se smaže okamžitě: organizace, jejichž jste vlastníkem, se všemi pracovními prostory, kódy, produktovými pasy, soubory a statistikami (má-li taková organizace dalšího správce organizace, převezme ji i s daty a předplatným), vaše členství v jiných organizacích, vaše přihlášení u Clerk a váš zákaznický záznam u Stripe. Běžící předplatné končí okamžitě, bez poměrného vrácení peněz. U velmi rozsáhlých účtů se smazání dokončí během několika hodin. V zálohách databáze (Cloudflare D1 Time Travel) zůstávají smazaná data obnovitelná až 30 dní, poté jsou definitivně odstraněna. Výjimkou jsou faktury, které po zákonnou lhůtu sedmi let uchováváme u Stripe (§ 132 BAO), a hlášení třetích osob o zneužívajících kódech (ochrana před zneužitím).
  • Právo na omezení zpracování (čl. 18): e-mailem na adresu office@qr3.app
  • Právo vznést námitku (čl. 21): kdykoli proti zpracování na základě oprávněných zájmů

5. Soubory cookie

Služba qr3.app používá výhradně technicky nezbytné relační soubory cookie (autentizace přes Clerk). Nepoužíváme žádné marketingové ani sledovací cookies. Souhlas podle směrnice o cookies proto není vyžadován. Služba Cloudflare Web Analytics (viz oddíl 2.3) rovněž nepoužívá soubory cookies.

6. Zabezpečení dat

Všechny údaje jsou přenášeny v šifrované podobě (TLS 1.3). Šifrování databáze v klidovém stavu (at-rest) probíhá přes Cloudflare D1. API klíče jsou ukládány v zahashované podobě. Podpisy webhooků jsou zajištěny pomocí HMAC-SHA256.

7. Právo podat stížnost

Máte právo podat stížnost u rakouského Úřadu pro ochranu osobních údajů (Datenschutzbehörde):
Datenschutzbehörde (dsb.gv.at), Barichgasse 40-42, 1030 Wien

8. Kontakt pro záležitosti ochrany osobních údajů

Ostheimer OG
Fabriksgasse 20, 2230 Gänserndorf
office@qr3.app