shield_lock Ochrana osobných údajov

Zásady ochrany osobných údajov

Stav: november 2026 | Prevádzkovateľ: Ostheimer OG, Fabriksgasse 20, 2230 Gänserndorf | office@qr3.app

1. Základné zásady

Osobné údaje spracúvame v súlade s GDPR (EÚ) 2016/679. Ochrana Vašich údajov je pre nás kľúčovou prioritou. Služba qr3.app bola vyvinutá podľa princípu Privacy by Design: IP adresy sa nikdy neukladajú — na okraji siete (Cloudflare Workers) sa okamžite pseudonymizujú pomocou HMAC-SHA-256, dlhodobého tajomstva, účelu a dňa UTC pred uložením údajov.

2. Spracúvané údaje

2.1 Používanie API (registrovaní používatelia)

  • Údaje o účte: e-mailová adresa, meno (prostredníctvom autentifikácie Clerk.com)
  • Fakturačné údaje: ID zákazníka v Stripe, stav predplatného (žiadne údaje o platobných kartách — Stripe ich spracúva priamo)
  • Údaje o používaní: vytvorené QR kódy, konfigurácie pracovného priestoru (Workspace)
  • Právny základ: čl. 6 ods. 1 písm. b) GDPR (plnenie zmluvy)

2.2 Analytika skenovania (koncoví používatelia, ktorí skenujú QR kódy)

  • IP pseudonym: HMAC-SHA-256 s dlhodobým tajomstvom, účelom a dňom UTC — pseudonymizovaný osobný údaj; z hashu ho nemožno priamo obnoviť, držiteľ tajomstva však môže pre daný deň znova vypočítať známeho kandidáta IP adresy
  • Údaje o zariadení: typ zariadenia, operačný systém, prehliadač (z User-Agenta, anonymizované)
  • Geografické údaje: krajina, mesto (z hlavičky Cloudflare CF-IPCountry — neukladá sa žiadna IP adresa)
  • Právny základ: čl. 6 ods. 1 písm. f) GDPR (oprávnený záujem držiteľov QR kódov na štatistikách)
  • Uchovávanie: 90 dní, potom automatické vymazanie

2.3 Návšteva webovej stránky (qr3.app)

Na počítanie zobrazení stránok podľa jazykových verzií používa qr3.app službu Cloudflare Web Analytics. Táto služba nepoužíva súbory cookie ani žiadne iné mechanizmy ukladania údajov na strane klienta, neuchováva IP adresy a nevytvára profily používateľov. Súhrnne zhromažďované údaje: cesta k stránke, odkazujúca stránka (referrer), typ prehliadača a zariadenia a krajina. Poskytovateľ: Cloudflare, Inc., ako sprostredkovateľ (Dodatok o spracúvaní údajov). Právny základ: čl. 6 ods. 1 písm. f) GDPR — oprávnený záujem na meraní dosahu jednotlivých jazykových verzií. Keďže vo vašom zariadení sa neukladajú žiadne údaje, nevyžaduje sa žiadny súbor cookie na odhlásenie (opt-out).

2.4 Štatistiky používania a logy webhookov (registrovaní používatelia)

  • Štatistiky používania: Aktivita v dashboarde podľa dní (v ktoré dni UTC používateľ otvoril dashboard workspace) a počítadlá používania API podľa operácie a dňa (počet požiadaviek jedného API kľúča podľa operácie a výsledku). Pri aktivite v dashboarde sa ukladajú identifikátory používateľa, organizácie a workspace, deň UTC a čas prvého otvorenia v daný deň; pri počítadlách API identifikátory organizácie, workspace a API kľúča, deň UTC, operácia, výsledok, počet a čas prvej a poslednej požiadavky dňa — žiadna IP adresa a žiadny User-Agent.
  • Logy doručenia webhookov: Pri každom pokuse o doručenie: typ udalosti, čas, stav, stavový kód HTTP a čas odpovede, odoslané údaje udalosti a prvý kilobajt (1 KB) odpovede príjemcu alebo chybové hlásenie. Pri udalostiach skenovania obsahujú údaje udalosti krajinu, typ zariadenia, operačný systém, prehliadač a jazyk návštevníka, pri udalostiach kódov úplný kód vrátane cieľovej adresy a poznámok. IP adresa ani User-Agent návštevníkov sa neukladajú, údaje udalosti a odpoveď príjemcu však môžu obsahovať osobné údaje.
  • Účel: Prevádzka, hľadanie chýb a zlepšovanie produktu
  • Právny základ: čl. 6 ods. 1 písm. f) GDPR (oprávnený záujem na bezpečnej prevádzke, hľadaní chýb a ďalšom rozvoji služby)
  • Uchovávanie: 90 dní (aktuálny deň UTC a 89 predchádzajúcich dní), potom automatické vymazanie; pri DELETE /v1/account okamžite

2.5 Záznam auditu (registrovaní používatelia)

  • Obsah: Pri každej zmene v pracovnom priestore (napríklad kódov, API kľúčov, členov alebo webhookov) čas, akcia, dotknutý zdroj, zmenené hodnoty a kto konal (ID používateľa alebo API kľúča). Pri volaniach priamo cez API navyše pseudonym IP adresy (HMAC-SHA-256 pre každý deň UTC, samostatný účel) a user agent. Neukladá sa žiadna IP adresa, žiadne tajomstvá (secrets) ani API kľúče.
  • Účel: Dohľadateľnosť zmien pre tím pracovného priestoru a bezpečnosť služby
  • Právny základ: čl. 6 ods. 1 písm. f) GDPR (oprávnený záujem na dohľadateľných zmenách a na bezpečnosti služby)
  • Uchovávanie: pseudonym IP adresy a user agent 90 dní, záznam 365 dní (vždy aktuálny deň UTC a predchádzajúce dni), potom automatické vymazanie; pri DELETE /v1/account sa záznamy vlastných organizácií vymažú okamžite, v iných tímoch sa odstráni pseudonym IP adresy a user agent

3. Poskytovanie údajov tretím stranám

Údaje poskytujeme iba týmto poskytovateľom služieb. Ak nie je uvedené inak, spracúvajú údaje v našom mene (čl. 28 GDPR). Ak sa pritom údaje dostanú do USA, zakladá sa to na rámci EU-US Data Privacy Framework, podľa ktorého sú americké spoločnosti týchto poskytovateľov certifikované (rozhodnutie o primeranosti, čl. 45 GDPR), a podporne na štandardných zmluvných doložkách Európskej komisie v ich zmluvách o spracúvaní (čl. 46 ods. 2 písm. c) GDPR).

  • Cloudflare, Inc. (USA) — infraštruktúra, CDN, Workers: prevádzka webovej stránky, dashboardu a API, databáza, úložisko súborov a fronty, odosielanie systémových e-mailov (Cloudflare Email Service) a Web Analytics (oddiel 2.3)
  • Clerk, Inc. (USA) — autentifikácia: e-mailová adresa, meno, prihlasovacie údaje a údaje o relácii (vrátane IP adresy, z nej odvodenej polohy a prehliadača) a potvrdzovacie e-maily. Pri registrácii Clerk vkladá ochranu pred automatizovanými registráciami (Cloudflare Turnstile). Ak sa prihlásite účtom Google, Clerk z tohto účtu dostane Vaše meno a e-mailovú adresu.
  • Stripe Payments Europe, Ltd. (Írsko) — spracovanie platieb a faktúry. Platobné údaje zhromažďuje Stripe priamo; údaje o kartách nedostávame. Za predchádzanie podvodom, za svoje vlastné zákonné povinnosti a za ďalší vývoj svojich produktov zodpovedá Stripe sám.
  • Functional Software, Inc. (Sentry) (USA, uloženie v EÚ) — analýza chýb pre API, presmerovania a dashboard: chybové hlásenia a vzorky požiadaviek (metóda, cesta bez parametrov, stavový kód, trvanie, interné identifikátory). IP adresy, hlavičky, cookies a parametre pred odoslaním odstraňujeme; e-mailové adresy a kľúče v texte sa začierňujú. Právny základ: čl. 6 ods. 1 písm. f) GDPR (oprávnený záujem na bezchybnej a bezpečnej prevádzke)
  • Google Cloud EMEA Ltd. (Írsko; Google Cloud Web Risk) — kontrola cieľových adries na phishing a malvér: pri vytvorení alebo zmene kódu, pri kontrole cez API a pri nočnej opakovanej kontrole cieľová adresa kódu alebo odkazy jeho landing page. Odosiela sa iba adresa, žiadne údaje o účtoch ani návštevníkoch; ak adresa sama obsahuje osobné údaje (napríklad v parametri), odošlú sa s ňou. Právny základ: čl. 6 ods. 1 písm. f) GDPR (ochrana návštevníkov pred podvodnými cieľmi a bezpečnosť služby)
  • Microsoft (Microsoft 365) — e-mailová schránka office@qr3.app: e-maily, ktoré nám píšete, vrátane odpovedí na systémové e-maily, a naše odpovede. Právny základ: čl. 6 ods. 1 písm. b) GDPR (otázky k zmluve), prípadne písm. f) (ostatné otázky)

K poskytovaniu údajov na reklamné účely nedochádza.

4. Vaše práva (čl. 15–22 GDPR)

  • Prístup k údajom (čl. 15): GET /v1/account/privacy alebo e-mailom na adresu office@qr3.app
  • Prenosnosť údajov (čl. 20): GET /v1/account/export — export všetkých údajov vo formáte JSON
  • Vymazanie (čl. 17): DELETE /v1/account alebo e-mailom. Váš účet sa vymaže okamžite: organizácie, ktorých ste vlastníkom, so všetkými pracovnými priestormi, kódmi, produktovými pasmi, súbormi a štatistikami (ak má takáto organizácia ďalšieho správcu organizácie, prevezme ju aj s údajmi a predplatným), vaše členstvá v iných organizáciách, vaše prihlásenie cez Clerk a váš zákaznícky záznam v Stripe. Prebiehajúce predplatné sa končí okamžite, bez pomerného vrátenia peňazí. Pri veľmi rozsiahlych účtoch sa vymazanie dokončí v priebehu niekoľkých hodín. V zálohách databázy (Cloudflare D1 Time Travel) zostávajú vymazané údaje obnoviteľné až 30 dní, potom sú definitívne odstránené. Výnimkou sú faktúry, ktoré počas zákonnej sedemročnej lehoty uchovávania uchovávame v Stripe (§ 132 BAO), a hlásenia tretích strán o zneužívajúcich kódoch (prevencia zneužitia).
  • Obmedzenie spracúvania (čl. 18): e-mailom na adresu office@qr3.app
  • Namietanie (čl. 21): kedykoľvek v prípade oprávnených záujmov

5. Súbory cookie

Služba qr3.app používa výhradne technicky nevyhnutné relačné súbory cookie (autentifikácia prostredníctvom Clerk). Nepoužívame žiadne marketingové ani sledovacie súbory cookie. Súhlas v zmysle smernice o súboroch cookie preto nie je potrebný. Služba Cloudflare Web Analytics (pozri sekciu 2.3) taktiež nepoužíva súbory cookie.

6. Bezpečnosť údajov

Všetky údaje sa prenášajú v šifrovanej podobe (TLS 1.3). Šifrovanie databázy v pokoji (at-rest) prostredníctvom Cloudflare D1. API kľúče sa ukladajú v zahashovanom stave. Podpisy webhookov prostredníctvom HMAC-SHA256.

7. Právo podať sťažnosť

Máte právo podať sťažnosť na rakúskom úrade na ochranu osobných údajov:
Datenschutzbehörde (dsb.gv.at), Barichgasse 40-42, 1030 Viedeň

8. Kontakt pre oblasť ochrany osobných údajov

Ostheimer OG
Fabriksgasse 20, 2230 Gänserndorf
office@qr3.app