Zásady ochrany osobných údajov

1. Kto je zodpovedný

Nose for Horse („Nose“) je softvérová služba na správu jazdeckých škôl — plánovanie lekcií, evidenciu toho, kto sa lekcie zúčastnil a ako zaplatil, správu permanentiek a darčekových poukazov, výpočet zárobkov inštruktorov a sprístupnenie vlastných rezervácií klientom stajne. Prevádzkuje ju DF Daniel Fojcik, poľská fyzická osoba – podnikateľ (jednoosobowa działalność gospodarcza, JDG) zapísaná v poľskom centrálnom registri podnikateľov (CEIDG), s hlavným miestom podnikania na adrese ul. Goplany 36a, 44-321 Marklowice, Poľsko. Daňová identifikácia: NIP 6472592229 · IČ DPH v EÚ PL6472592229 · REGON 387798601. Pre tento produkt používame obchodné označenie Nose for Horse.

Poľským dozorným orgánom pre ochranu osobných údajov je predseda Úradu pre ochranu osobných údajov (UODO), ul. Stawki 2, 00-193 Warszawa, Poľsko — uodo.gov.pl.

Vo veciach ochrany osobných údajov kontaktujte support@nose.horse. Nose neurčil formálnu zodpovednú osobu pre ochranu osobných údajov; ako kontaktná osoba pre ochranu osobných údajov vystupuje majiteľ.

1.1 Naša úloha — kedy sme prevádzkovateľom a kedy len sprostredkovateľom

Nose nakladá s osobnými údajmi v dvoch odlišných úlohách a tieto zásady sú napísané tak, aby ste vedeli, ktorá z nich sa týka Vás. Na tomto rozdiele záleží, pretože rozhoduje o tom, kto je právne zodpovedný za údaje a na koho sa máte obrátiť pri uplatnení svojich práv.

Sme prevádzkovateľom — teda rozhodujeme o tom, prečo a ako sa údaje používajú — pri:

• návštevníkoch našej marketingovej webovej stránky;
• údajoch o účte, kontaktných a fakturačných údajoch osôb, ktoré sa zaregistrujú, aby na Nose prevádzkovali stajňu: správcov stajní a inštruktorov (Vaše meno, prihlasovací e-mail, nepovinné telefónne číslo a prípadné fakturačné údaje predplatného);
• produktovej analytike o tom, ako sa Služba používa (len s Vaším súhlasom — pozri „Analytické údaje“ nižšie);
• logoch o bezpečnosti, predchádzaní zneužitiu a prevádzke.

Vo všetkých vyššie uvedených prípadoch uplatňujete svoje práva (pozri „Vaše práva“ nižšie) priamo u nás a zvyšok týchto zásad opisuje, čo robíme.

Sme len sprostredkovateľom — teda o tom, prečo a ako sa údaje používajú, rozhoduje stajňa a my konáme výhradne podľa jej zdokumentovaných pokynov — pri:

• prevádzkových údajoch, ktoré stajňa zadáva o svojich jazdcoch a klientoch: ich menách, kontaktných údajoch, tom, na ktorých lekciách sa zúčastnili, ako zaplatili (hotovosť / permanentka / darčekový poukaz / prevod ako evidenčné označenia alebo záznam o online platbe tam, kde ju stajňa zapne — pozri „Platobné údaje“ nižšie), permanentkách a darčekových poukazoch, ktoré im boli vystavené, dochádzke a akýchkoľvek voľných textových poznámkach, ktoré stajňa napíše.

Pri týchto údajoch o jazdcoch a klientoch je prevádzkovateľom stajňa a Nose je jej sprostredkovateľom. Tento vzťah upravuje samostatná Zmluva o spracúvaní osobných údajov (DPA), ktorú prijíma každá stajňa a ktorá stanovuje naše povinnosti podľa článku 28 GDPR. Ak ste jazdec alebo rodič, ktorý rezervuje lekcie pre dieťa, za tieto údaje zodpovedá stajňa, v ktorej jazdíte; uchovávame ich v mene stajne a pomáhame stajni odpovedať na Vaše žiadosti (pozri „Vaše práva“ a „Súkromie detí“ nižšie).

Jednou vetou: ak ste sa zaregistrovali, aby ste stajňu prevádzkovali, sme Vaším prevádzkovateľom. Ak stajňa zadala Vaše údaje, pretože v nej jazdíte, prevádzkovateľom je táto stajňa a my sme jej sprostredkovateľom.

2. Zhrnutie — verzia po ľudsky

Nose zarába na jazdeckých školách, ktoré si platia predplatné za správu svojej prevádzky. Osobné údaje nepredávame a netrénujeme na nich modely umelej inteligencie.

• Zhromažďujeme minimum údajov potrebných na prevádzku Služby.
• Osobné údaje nepredávame. Nikdy sme to nerobili a nikdy to robiť nebudeme.
• Nepoužívame reklamné sledovače, nesnímame odtlačok Vášho prehliadača a nie sme súčasťou žiadnej reklamnej siete naprieč webmi. Žiadne pixely Meta, LinkedIn, X ani TikTok.
• Nose nikdy nedrží ani nepresúva ničie peniaze. V predvolenom nastavení sú „hotovosť“, „permanentka“, „darčekový poukaz“ a „prevod“ v aplikácii iba označenia, ktorými si stajňa zaznamená, ako jazdec zaplatil mimo aplikácie. Ak stajňa zapne online platby, jazdci jej môžu v aplikácii zaplatiť kartou, mobilnou peňaženkou alebo — v Poľsku — cez BLIK, no tieto platby idú cez Stripe priamo na vlastný účet stajne: predávajúcim je stajňa, Stripe je regulovaný poskytovateľ platobných služieb a údaje o kartách jazdcov sa k Nose nikdy nedostanú. Samostatne platí, že vlastné predplatné stajne za Nose fakturuje Stripe (poľské stajne, PLN) alebo Dodo Payments ako Merchant of Record (stajne mimo Poľska, EUR/GBP/USD) — pozri „Platobné údaje“ nižšie.
• PostHog (hosťovaný v EÚ) používame len na analytiku zobrazení stránok a interakcií (autocapture) a na metriky výkonu — načíta sa len vtedy, ak kliknete na „Prijať“ v cookie lište; Vašu obrazovku nenahrávame ani neprehrávame. Ak ho odmietnete, nikdy sa nenačíta. Používame aj Vercel Web Analytics, ktorý nepoužíva cookies a nesleduje Vás.
• Spoliehame sa na malý okruh poskytovateľov tretích strán („ďalší sprostredkovatelia“) pri veciach, ktoré by sme rozumne nedokázali postaviť sami — hosting, databáza, e-mail, monitorovanie chýb, ochrana pred botmi. Každý z nich dostane len to, čo potrebuje.
• Väčšina našej infraštruktúry beží v EÚ, ale nie celá — o výnimkách píšeme otvorene v časti „Medzinárodné prenosy“ nižšie.
• K svojim údajom máte práva a my ich rešpektujeme. Ak ste jazdec, niektoré z týchto práv uplatňujete prostredníctvom svojej stajne (pozri „Vaše práva“ nižšie).

Ak chcete podrobnú verziu, čítajte ďalej.

3. Čo zhromažďujeme

3.1 Údaje o účte

Keď si vytvoríte účet na používanie Nose (ako správca stajne, inštruktor alebo klient/jazdec pozvaný stajňou), my alebo stajňa zhromažďujeme:

• E-mailovú adresu (povinná — je Vašou prihlasovacou identitou);
• Meno (pri niektorých rolách nepovinné);
• Telefónne číslo (nepovinné);
• Autentifikačné metadáta nevyhnutne potrebné na Vaše prihlásenie. Nose ponúka výlučne prihlásenie bez hesla: e-mailový „magický odkaz“, ktorý za nás spracúva Supabase Auth, a — voliteľne — prihlásenie cez Google (OAuth), pri ktorom nám Google vráti trvalý identifikátor účtu (nie Vaše heslo do Google).

Ak stajňa vytvorí záznam jazdca pre niekoho, kto ešte nemá skutočný e-mail (napríklad pre dieťa pridané do skupiny), systém interne použije syntetický zástupný identifikátor; skutočným e-mailom sa nahradí len vtedy a až vtedy, keď ho stajňa doplní.

3.2 Platobné údaje

Nose nikdy nie je stranou platby jazdca a údaje o karte nikdy nevidíme. V predvolenom nastavení sú spôsoby ako hotovosť, permanentka, darčekový poukaz a bankový prevod evidenčné označenia, ktorými personál stajne zaznamená, že jazdec zaplatil mimo aplikácie — nie transakcie, ktoré vykonáva Nose. Stajňa môže tiež zapnúť online platby a umožniť jazdcom dobiť si kredit alebo zaplatiť kartou, mobilnou peňaženkou alebo — v Poľsku — cez BLIK priamo v aplikácii. Tieto platby spracúva Stripe (prostredníctvom Stripe Connect) priamo na vlastný účet Stripe danej stajne: predávajúcim a príjemcom peňazí je stajňa, Stripe je regulovaný poskytovateľ platobných služieb, ktorý pracuje s kartou a drží prostriedky, kým ich nevyplatí stajni, a Nose poskytuje iba softvér — peniaze nikdy nedržíme, neprijímame ani neovládame a údaje o karte, peňaženke či BLIK-u sa k nám nikdy nedostanú. Kredit, ktorý si jazdec dobije, je predplatba použiteľná len v stajni, ktorá ho vystavila. V žiadnom prípade nezhromažďujeme ani neuchovávame úplné čísla kariet, čísla bankových účtov ani kódy CVV.

Fakturácia predplatného — poplatok, ktorý za Nose platí stajňa — je v prevádzke. Pre poľské stajne ju v PLN zabezpečuje Stripe Payments Europe, Ltd., pričom obchodníkom a vystavovateľom faktúry zostáva DF Daniel Fojcik / Nose. Pre stajne mimo Poľska ju v EUR, GBP alebo USD zabezpečuje Dodo Payments ako Merchant of Record: Dodo je právnym predávajúcim danej transakcie, vystavuje daňovo súladnú faktúru alebo doklad a vypočítava a odvádza DPH alebo daň z predaja. Dodo je pri samotnej transakcii nezávislým predávajúcim a prevádzkovateľom a zároveň pôsobí ako náš ďalší sprostredkovateľ pre osobné údaje potrebné na fakturáciu tohto predplatného.

Pri tomto predplatnom stajne sa fakturačné údaje obmedzujú na to, čo potrebuje poskytovateľ fakturácie: fakturačné meno, fakturačný e-mail, krajinu a fakturačnú adresu, platobný token držaný poskytovateľom a posledné štyri číslice karty. Pri online platbách jazdcov Nose uchováva len záznam o každej platbe — sumu, typ metódy, stav a čas — kým samotné údaje o karte zostávajú v Stripe na vlastnom účte stajne. Úplné údaje o karte zostávajú v Stripe alebo Dodo; v Nose sa neuchovávajú.

3.3 Prevádzkové údaje, ktoré zadáva stajňa (tu sme sprostredkovateľom)

Keď stajňa používa Nose na svoju každodennú prevádzku, zadáva doň údaje o svojich jazdcoch a klientoch. Pri týchto údajoch je prevádzkovateľom stajňa a Nose je sprostredkovateľom (pozri „Kto je zodpovedný“ vyššie). Môže ísť o:

• mená a kontaktné údaje jazdcov a klientov (e-mail, nepovinne telefón);
• to, na ktoré lekcie bol jazdec zaradený a ktorých sa zúčastnil;
• ako bola lekcia zaplatená (vyššie uvedené označenia hotovosť/permanentka/darčekový poukaz/prevod alebo — tam, kde stajňa používa online platby — záznam o online platbe: suma, metóda, stav, nikdy nie údaje o karte);
• vystavené, uplatnené alebo refundované permanentky a darčekové poukazy;
• jednosmerné oznámenia, ktoré stajňa posiela svojim členom (predmet a text správy);
• voľné textové poznámky, ktoré stajňa píše k permanentkám, platbám, koňom a podobným záznamom;
• súbory nahraté ku koňovi — pas koňa, záznam o očkovaní, doklad o poistení či podobný dokument, vo formáte PDF alebo ako obrázok, pripojené stajňou alebo majiteľom koňa. Samotný súbor uchovávame v súkromnom priestore, ktorý nie je verejne dostupný, a vydávame ho len cez krátkodobo platné odkazy, ktoré vystavíme až po overení, že žiadateľ smie daného koňa vidieť. Popri súbore uchovávame jeho názov, typ, názov súboru, veľkosť, prípadný dátum platnosti, ktorý nastavíte, a údaj o tom, kto ho nahral.

Tieto údaje spracúvame výlučne na poskytovanie Služby stajni, podľa zdokumentovaných pokynov stajne a v režime DPA.

3.4 Údaje o používaní a technické údaje (tu sme prevádzkovateľom)

Zhromažďujú sa automaticky, keď používate webovú stránku alebo aplikáciu, bez ohľadu na to, či súhlasíte s analytikou:

• IP adresa — Nose ju používa na obmedzovanie počtu požiadaviek, predchádzanie zneužitiu a bezpečnosť;
• typ a verzia prehliadača, operačný systém, typ zariadenia;
• navštívené stránky a odkazujúca URL adresa;
• záznamy o pádoch a chybách — zachytáva ich Sentry, náš poskytovateľ monitorovania chýb. Osobné údaje pred odoslaním zámerne odstraňujeme: e-mailové adresy, telefónne čísla, texty správ, voľné textové poznámky a všetko, čo vyzerá ako token, sa odfiltruje. Zostáva technický kontext plus pseudonymný identifikátor používateľa (UUID), identifikátor stajne, jazykové nastavenie a názov operácie, ktorá zlyhala.

3.5 Analytické údaje (PostHog a Vercel Web Analytics)

PostHog (na základe súhlasu, hosťovaný v EÚ). Len ak kliknete na „Prijať“ v cookie lište, načítame PostHog (EU Cloud, eu.posthog.com), aby sme rozumeli tomu, ako sa produkt používa. PostHog zhromažďuje pseudonymný identifikátor, ktorý odlišuje opakované návštevy, udalosti (ktoré tlačidlá alebo obrazovky sa používajú), zobrazené stránky a mieru zapojenia, ďalej zariadenie, prehliadač a operačný systém a odvodenú len približnú krajinu alebo región. Vašu IP adresu PostHog zahodí už pri príjme; surové IP adresy k Vášmu analytickému profilu neuchovávame.

Čo sledujeme — prosím, prečítajte si to. PostHog používame len na analytiku zobrazení stránok a interakcií (autocapture) — ktoré tlačidlá a obrazovky sa používajú — a na metriky výkonu; Vašu obrazovku nenahrávame ani neprehrávame. PostHog sa načíta len vtedy, ak analytiku prijmete; ak ju odmietnete (alebo ak Váš prehliadač posiela signál Do Not Track / Global Privacy Control), nikdy sa nenačíta a nezhromaždia sa žiadne analytické udalosti. PostHog uchováva analytické udalosti 6 mesiacov, po uplynutí tejto doby sa zo systémov PostHog vymažú.

Vercel Web Analytics (bez cookies). Používame aj Vercel Web Analytics, analytický nástroj chrániaci súkromie, ktorý nepoužíva cookies a meria súhrnnú návštevnosť bez nastavovania sledovacích cookies a bez vytvárania Vášho profilu. Keďže nepoužíva cookies a neidentifikuje Vás, nezávisí od lišty so súhlasom tak, ako od nej závisí PostHog.

Ak kliknete na „Odmietnuť“ — alebo ak Váš prehliadač pošle pri prvej požiadavke signál Do Not Track / Global Privacy Control — PostHog sa nikdy nenačíta a jeho cookies ani kľúče v lokálnom úložisku sa nikdy nenastavia. Svoju voľbu môžete kedykoľvek zmeniť cez odkaz „Nastavenia cookies“ v pätičke stránky. Pozri „Do Not Track a Global Privacy Control“ nižšie.

3.6 Údaje z komunikácie

E-maily, ktoré nám pošlete (napríklad na support@nose.horse), sa ukladajú v našej schránke podpory. Uchovávame ich tak dlho, ako je potrebné na vyriešenie Vašej záležitosti, a ešte primeranú dobu na nadväzujúcu komunikáciu.

3.7 Údaje osobitnej kategórie a voľné textové polia — naše stanovisko

Nose nemá v úmysle zhromažďovať údaje osobitnej kategórie (citlivé kategórie uvedené v článku 9 GDPR — napríklad zdravie, zdravotné postihnutie, rasový alebo etnický pôvod, náboženské presvedčenie). Nepýtame sa na ne a produkt nie je navrhnutý na ich uchovávanie.

• Stajne nesmú zadávať údaje osobitnej kategórie do voľných textových polí (poznámky, správy) ani ich nahrávať v súbore. DPA stajniam ukladá, aby to nerobili. Ak stajňa napriek tomu takéto údaje zadá alebo nahrá, prevádzkovateľom zostáva stajňa a nesie za ne zodpovednosť. Nahraté súbory neotvárame ani neprezeráme, takže ich za Vás nedokážeme odfiltrovať — a práve preto tento pokyn leží na stajni.
• Názvy typov lekcií sú názvy, nie údaje o osobe. Stajňa si v nastaveniach volí názvy vlastných typov lekcií; pre Nose sú to prevádzkové plánovacie označenia pripojené k lekcii, nie záznamy o jednotlivcovi.
• Poznámky o koňoch (napríklad o oddychu koňa alebo veterinárna poznámka) sa týkajú zvierat, nie ľudí, a nepatria do pôsobnosti GDPR.

3.8 Čo nezhromažďujeme

• Nepýtame sa na adresy bydliska, čísla dokladov totožnosti ani na identifikátory pridelené štátom a žiadne pole v Nose nie je navrhnuté na to, aby ich obsahovalo. Jedna úprimná výhrada: súbor nahratý ku koňovi (pozri „Prevádzkové údaje, ktoré zadáva stajňa“ vyššie) ukladáme v podobe, v akej bol odovzdaný, a nikdy ho neotvárame ani neprezeráme — takže dokument, ktorý sa niekto rozhodne pripojiť, môže takéto údaje obsahovať. To je rozhodnutie toho, kto ho nahral, nie niečo, čo Služba vyžaduje.
• Nezhromažďujeme ani neuchovávame úplné údaje o platobných kartách či bankových účtoch; tokeny kariet pre predplatné a posledné štyri číslice drží Stripe alebo Dodo a prípadné údaje o kartách pri online platbách jazdcov drží Stripe na vlastnom účte stajne (pozri „Platobné údaje“ vyššie).
• Vedome nezhromažďujeme údaje osobitnej kategórie (článok 9) (pozri „Údaje osobitnej kategórie a voľné textové polia — naše stanovisko“ vyššie).
• Nepoužívame reklamné sledovače, retargetingové pixely ani značky reklamných sietí naprieč webmi.
• Nesnímame odtlačok Vášho prehliadača.
• Nevytvárame behaviorálne profily naprieč webmi na reklamné účely.
• Vaše údaje nikomu nepredávame.
• Netrénujeme na Vašich údajoch modely strojového učenia.

4. Ako údaje používame

Ako prevádzkovateľ (údaje návštevníkov, držiteľov účtov, analytické a bezpečnostné údaje) používame zhromaždené údaje na to, aby sme:

• poskytovali a prevádzkovali Službu a Váš účet;
• posielali transakčné e-maily (magické odkazy na prihlásenie, pozvánky, oznámenia o zmene či zrušení lekcie, oznámenia o účte);
• chránili Službu pred zneužitím, podvodmi a technickými útokmi (obmedzovanie počtu požiadaviek, ochrana pred botmi, auditné logovanie);
• odpovedali na Vaše žiadosti o podporu;
• rozumeli tomu, ako sa produkt používa, a mohli ho zlepšovať — ale len tam, kde ste dali súhlas (pozri „Analytické údaje“ vyššie);
• plnili zákonné povinnosti (napríklad viedli vlastnú evidenciu fakturácie predplatného, faktúr a účtovníctva a odpovedali na zákonné žiadosti).

Ako sprostredkovateľ údajov o jazdcoch a klientoch stajne používame tieto údaje výlučne na poskytovanie Služby stajni podľa jej pokynov — nepoužívame ich na vlastné účely.

Žiadne údaje nepoužívame na trénovanie modelov AI ani strojového učenia, na profilovanie na reklamné účely ani na predaj tretím stranám.

5. Právne základy spracúvania (čl. 6 GDPR)

Nižšie uvedené právne základy sa vzťahujú na spracúvanie, pri ktorom je prevádzkovateľom Nose (pozri „Kto je zodpovedný“ vyššie). Pri údajoch o jazdcoch a klientoch, kde je prevádzkovateľom stajňa, si vlastný právny základ určuje stajňa; Nose spracúva podľa pokynov stajne v režime DPA.

Údaje detí — právny základ leží na stajni. Veľkú časť klientov jazdeckých škôl tvoria rodičia, ktorí rezervujú lekcie pre deti. Ak stajňa zadá do Nose údaje dieťaťa, za určenie právneho základu a za prípadný súhlas alebo oprávnenie rodiča zodpovedá stajňa (ako prevádzkovateľ), a to podľa práva, ktoré sa na stajňu vzťahuje — podľa článku 8 GDPR v znení jeho implementácie v jej členskom štáte (v Poľsku je vek digitálneho súhlasu 16 rokov), alebo, ak ide o stajňu v Spojených štátoch, podľa COPPA a príslušného práva jednotlivých štátov. Nose tento základ sám neurčuje; údaje detí spracúvame len podľa zdokumentovaných pokynov stajne a minimalizujeme ich (pozri „Súkromie detí“ nižšie).

6. Zdieľanie — ďalší sprostredkovatelia

Na prevádzku Nose sa spoliehame na malý okruh poskytovateľov tretích strán („ďalší sprostredkovatelia“). Každý z nich dostáva len údaje nevyhnutné na plnenie svojej funkcie.

K dátumu týchto zásad medzi našich ďalších sprostredkovateľov patria Supabase (databáza, autentifikácia, úložisko), Vercel (hosting), Brevo (e-mail), PostHog (analytika podmienená súhlasom), Sentry (monitorovanie chýb), Upstash (počítadlá limitov požiadaviek), Cloudflare (ochrana pred botmi a DNS), Google (voliteľné prihlásenie cez Google), Stripe (fakturácia predplatného pre poľské stajne a — pri stajniach, ktoré zapnú online platby — spracovanie týchto platieb na vlastný účet stajne) a Dodo Payments (Merchant of Record pre fakturáciu predplatného stajní mimo Poľska). Verejný zoznam ďalších sprostredkovateľov je jediným, vždy aktuálnym záznamom účelu, kategórií údajov, regiónu spracúvania — osobitne pre každý dátový región — a mechanizmu prenosu každého poskytovateľa.

S každým ďalším sprostredkovateľom uzatvárame zmluvu o spracúvaní osobných údajov tam, kde to vyžaduje zákon. Ak sa osobné údaje presúvajú medzi regiónmi alebo cez hranice, prenos sa riadi mechanizmami uvedenými v časti „Medzinárodné prenosy“ nižšie.

Keď ďalšieho sprostredkovateľa pridáme, nahradíme alebo odstránime, aktualizujeme verejný zoznam ďalších sprostredkovateľov a upovedomíme aktívne stajne — e-mailom na adresu konta stajne alebo oznámením v aplikácii zobrazeným správcom stajne — vopred (skôr len vtedy, ak je zmena naliehavá z dôvodu bezpečnosti alebo kontinuity služby), spolu s právom stajne namietať z dôvodov ochrany údajov, ako je uvedené v DPA.

7. Medzinárodné prenosy

Nose beží vo viac než jednom dátovom regióne a s rastom produktu ďalšie regióny pridávame. Údaje zákazníkov stajní v regióne USA sa uchovávajú v Spojených štátoch. Služba je prevádzkovaná, spravovaná a podporovaná z Európskej únie. Každá ostatná stajňa je obsluhovaná z nášho regiónu EÚ. Región, do ktorého stajňa patrí, sa určuje pri jej vytvorení a nemení sa, pokiaľ údaje nepresunieme — a skôr než by sme to urobili, informovali by sme Vás o tom.

Aktuálny primárny región spracúvania každého poskytovateľa — osobitne pre každý dátový región — je uvedený na stránke Ďalší sprostredkovatelia — jedinom, vždy aktuálnom zozname — a môže sa meniť podľa toho, ako sa rozširujeme alebo ako poskytovateľ mení vlastnú infraštruktúru; pri každej zmene ďalšieho sprostredkovateľa dávame stajniam vopred oznámenie (pozri „Zdieľanie — ďalší sprostredkovatelia“ vyššie). Nesľubujeme, že Vaše údaje sa budú spracúvať výlučne v jednom regióne — kdekoľvek sa spracúvajú alebo presúvajú medzi regiónmi, zavádzame pre danú trasu primeraný mechanizmus prenosu. Ak je Vaša stajňa v našom regióne EÚ a Vy sa nachádzate mimo EHP, smer je opačný, než opisuje zvyšok tejto časti: Vaše údaje sa prenášajú do EHP a sú tam chránené GDPR; táto prichádzajúca trasa nevyžaduje podľa Vášho miestneho práva žiadny mechanizmus prenosu.

V našom regióne EÚ prebieha základné spracúvanie v Európskom hospodárskom priestore. V našom regióne USA bežia databáza, úložisko súborov a úložisko limitov požiadaviek v Spojených štátoch a malý okruh služieb spoločných pre oba regióny — transakčné e-maily, monitorovanie chýb a analytika produktu podmienená súhlasom — zostáva v EHP. V oboch regiónoch beží niekoľko komponentov mimo EHP. Ktorý poskytovateľ beží kde — osobitne pre každý dátový región — a na základe akého mechanizmu prenosu, je zaznamenané na stránke Ďalší sprostredkovatelia; túto stránku udržiavame aktuálnu namiesto toho, aby sme jej obsah opakovali tu, aby sa tieto zásady a onen zoznam nemohli rozísť. Opisuje to, kde veci bežia dnes, nie trvalú záruku: s rastom môžeme pridávať ďalšie regióny a stránka Ďalší sprostredkovatelia sa zodpovedajúcim spôsobom aktualizuje.

Kedykoľvek sa osobné údaje prenášajú medzi regiónmi — alebo do inej krajiny, než v ktorej boli získané — spoliehame sa, podľa poskytovateľa a povahy prenosu, na primeranú záruku pre danú trasu:

• rozhodnutie o primeranosti príslušného orgánu (napríklad Európskej komisie), ak sa na cieľovú krajinu vzťahuje;
• EU-U.S. Data Privacy Framework (DPF) a jeho rozšírenie pre Spojené kráľovstvo pri poskytovateľoch v Spojených štátoch, ktorí sa v ňom sami certifikovali;
• štandardné zmluvné doložky (SCC) Európskej komisie — spolu s dodatočnými zárukami vyžadovanými po rozsudku Schrems II (vrátane posúdenia rizík prenosu a v odôvodnených prípadoch doplnkových technických opatrení) — britský dodatok o medzinárodnom prenose údajov tam, kde sa uplatňuje britské GDPR, a rovnocenné mechanizmy prenosu, ktoré vyžadujú ďalšie jurisdikcie, keď v nich začneme pôsobiť.

O kópiu záruk uplatňovaných pri konkrétnom prenose môžete požiadať e-mailom na support@nose.horse.

Spojené kráľovstvo. Prenosy medzi Spojeným kráľovstvom a EHP sú kryté príslušnými rozhodnutiami o primeranosti. Tam, kde britské GDPR vyžaduje vlastný nástroj na prenos, spoliehame sa na britský dodatok o medzinárodnom prenose údajov k štandardným zmluvným doložkám EÚ.

8. Ako dlho údaje uchovávame (retencia)

Naše uchovávanie sa riadi internými zásadami retencie údajov. Vedúcou zásadou je minimalizácia údajov — údaje uchovávame po dobu života aktívneho účtu a potom ich vymažeme alebo im odoberieme osobné identifikátory (čo to znamená v praxi, pozri „Vymazanie“ nižšie). Priamo identifikujúce údaje jazdcov ani držiteľov účtov neuchovávame päť rokov. Jediná päťročná retencia, ktorú uplatňujeme, sú (a) úzko vymedzené pseudonymné záznamy vo finančnom auditnom logu (nižšie) a (b) naša vlastná evidencia fakturácie predplatného a účtovníctva — obe vyžaduje poľské právo.

Údaje držiteľov účtov a jazdcov (po dobu života účtu). Prevádzkové a finančné záznamy uchovávame, kým je príslušný účet alebo predplatné aktívne, pretože stajňa potrebuje na prevádzku vlastnú históriu.

Vymazanie — odobratie Vašich osobných identifikátorov po 30-dňovej odkladnej lehote. Keď je Váš účet vymazaný — o čo môžete kedykoľvek požiadať (pozri „Vaše práva“ nižšie) — po 30-dňovej lehote, počas ktorej to môžete vziať späť, Vám odoberieme osobné identifikátory namiesto tvrdého zmazania: Vaše meno sa zmení na „Deleted user“, telefónne číslo, jazykové nastavenie a časové pásmo sa vyprázdnia a prihlasovací e-mail sa nahradí neidentifikujúcim zástupným údajom. Odidentifikované finančné záznamy a záznamy o lekciách zostávajú v evidencii stajne, kým je účet tejto stajne aktívny, aby jej účtovníctvo sedelo; tieto záznamy už neobsahujú Vaše osobné údaje, ale stále nesú interný odkaz na účet zbavený identifikátorov. Podľa GDPR ide technicky o pseudonymizáciu (čl. 4 bod 5), nie o úplnú anonymizáciu (odôvodnenie 26) — tento prístup volíme preto, že stajňa potrebuje zosúladiť vlastné účtovníctvo a poľské účtovné predpisy ukladajú jeho vedenie stajni, nie Nose.

Ukončenie stajne. Archivácia alebo zatvorenie stajne spúšťa automatické 90-dňové vratné odkladné obdobie. Počas neho možno stajňu obnoviť a na požiadanie je k dispozícii úplný export (e-mail support@nose.horse); po uplynutí 90 dní sa údaje stajne automaticky natrvalo vymažú.

Povinnosť uchovávať daňové doklady — komu patrí. Účtovné a daňové predpisy, ktoré sa na podnikateľa vzťahujú, mu ukladajú uchovávať vlastné finančné záznamy počas zákonom stanovenej lehoty — päť rokov podľa poľských účtovných predpisov a predpisov o DPH; iné krajiny si stanovujú vlastné lehoty. Táto povinnosť patrí stajni (ako prevádzkovateľovi jej vlastného účtovníctva), nie Nose. Nose má tieto údaje len ako sprostredkovateľ stajne a nemá vlastnú povinnosť uchovávať osobné údaje jazdcov päť rokov. Záznamy, ktoré päť rokov uchováva samotný Nose, sú jeho vlastná evidencia fakturácie predplatného, faktúr a účtovníctva, ktorá je evidenciou medzi podnikateľmi a neobsahuje žiadne osobné údaje jazdcov.

Interný auditný log udalostí (pseudonymizovaný). Náš bezpečnostný auditný log zaznamenáva udalosti pomocou pseudonymných identifikátorov (UUID), oddelene od osobných údajov jazdcov, v týchto triedach:

Denné čistenie odstraňuje záznamy po uplynutí okna ich triedy. Keď sa stajňa ukončí, jej auditné záznamy sa tiež vyčistia (s výhradou prípadného minimálneho pozdržania pre bezpečnostný incident).

Serverové a chybové logy. Prevádzkové runtime logy vo Vercel sa uchovávajú 1 deň a build logy 30 dní; chybové stopy v Sentry sa uchovávajú 30 dní pri udalostiach a 90 dní pri nahlásených problémoch.

Vyššie uvedené doby pri našich ďalších sprostredkovateľoch odrážajú vlastné aktuálne prevádzkové zásady retencie každého dodávateľa, nie sľub, ktorý by sme dávali v ich mene — ak dodávateľ zmení svoje retenčné okno, zmení sa s ním aj tento údaj, a keď sa to stane, túto stránku aktualizujeme.

E-maily podpory. Uchovávame ich primeranú dobu po vyriešení Vašej záležitosti.

Ak zákon vyžaduje uchovanie konkrétneho záznamu (napríklad daňového dokladu, ktorý musí uchovávať stajňa), táto povinnosť má prednosť pred vyššie uvedenými dobami — ale len pri konkrétnych záznamoch, na ktoré sa zákon vzťahuje.

9. Vaše práva

Podľa GDPR máte nižšie uvedené práva. Ako ich uplatníte, závisí od toho, kto je prevádzkovateľom (pozri „Kto je zodpovedný“ vyššie):

• Pri údajoch o Vašom vlastnom účte (zaregistrovali ste sa ako správca stajne, inštruktor alebo klient) je prevádzkovateľom Nose a tieto práva uplatňujete priamo u nás.
• Pri údajoch o jazdcoch a klientoch, ktoré zadala stajňa, je prevádzkovateľom stajňa. Svoje práva uplatňujete voči tejto stajni; Nose ako sprostredkovateľ stajni pomáha a Vašu žiadosť jej postúpi — sám o nej nerozhoduje (čl. 28 ods. 3 písm. e) GDPR).

Vaše práva:

• Právo na informácie (čl. 13 a 14) — tieto zásady Vám hovoria, čo zhromažďujeme a prečo, a to bez ohľadu na to, či sme údaje získali od Vás (čl. 13), alebo od stajne, ktorá ich o Vás zadala (čl. 14).
• Prístup (čl. 15) — požiadať o kópiu svojich osobných údajov. Držitelia účtov môžu použiť samoobslužný export „stiahnuť moje údaje“ na /account/export, ktorý vytvorí štruktúrovaný súbor JSON (s limitom jedna žiadosť denne).
• Oprava (čl. 16) — opraviť nesprávne údaje. Vlastný profil (meno, telefón) si môžete upraviť sami v nastaveniach účtu.
• Vymazanie (čl. 17) — požiadať o zmazanie účtu na /account/delete (vyžaduje sa opätovné overenie totožnosti). Po 30-dňovej odkladnej lehote — počas ktorej to môžete vziať späť — Vám odoberieme osobné identifikátory, ako je opísané v časti „Ako dlho údaje uchovávame (retencia)“ vyššie.
• Prenosnosť (čl. 20) — dostať svoje údaje v štruktúrovanom, strojovo čitateľnom formáte (vyššie uvedený export JSON).
• Namietanie (čl. 21) — namietať proti spracúvaniu, ktoré vykonávame na základe oprávneného záujmu. Kontaktujte nás.
• Obmedzenie (čl. 18) — požiadať nás, aby sme obmedzili spracúvanie Vašich údajov, kým sa vyrieši sporná otázka. Kontaktujte nás.
• Odvolanie súhlasu — ak je spracúvanie založené na súhlase (analytika), môžete ho kedykoľvek odvolať cez „Nastavenia cookies“; odvolanie nemá vplyv na spracúvanie vykonané dovtedy.
• Sťažnosť dozornému orgánu — sťažnosť môžete podať poľskému úradu UODO (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl) alebo svojmu miestnemu orgánu v EÚ. Ak sa nachádzate v Spojenom kráľovstve, odkazy na GDPR v týchto zásadách zahŕňajú aj britské GDPR a Data Protection Act 2018 a sťažnosť môžete podať na Information Commissioner’s Office (ICO, ico.org.uk).

Ako práva uplatniť. Pri údajoch, ktoré kontrolujeme my, napíšte na support@nose.horse; overíme Vašu totožnosť (zvyčajne potvrdením, že máte prístup k e-mailu účtu) a odpovieme do 30 dní (GDPR). Pri údajoch jazdcov, ktoré kontroluje stajňa, sa obráťte na svoju stajňu; ak sa obrátite na nás, žiadosť postúpime stajni alebo jej pomôžeme s odpoveďou v rozsahu, ktorý zákon umožňuje. Za primeranú žiadosť si nič neúčtujeme; za zjavne neopodstatnené alebo neprimerané žiadosti si môžeme účtovať primeraný poplatok, ako to dovoľuje čl. 12 ods. 5 GDPR. Ak sa nachádzate v Spojených štátoch: štátne zákony o ochrane súkromia (napríklad California Consumer Privacy Act) sa vzťahujú len na podniky nad prahmi obratu alebo objemu, ktoré Nose nedosahuje; napriek tomu Vám priznávame všetky tu uvedené práva bez ohľadu na to, kde žijete, osobné údaje nepredávame ani nezdieľame a rešpektujeme signál Global Privacy Control.

10. Bezpečnosť

Zavádzame technické a organizačné opatrenia, ktoré majú chrániť osobné údaje pred neoprávneným prístupom, zverejnením, zmenou a stratou. Rozlišujeme medzi opatreniami, ktoré sú zavedené dnes, a tými, ktoré plánujeme s dozrievaním Služby, aby sa žiadne zamýšľané opatrenie neprezentovalo ako existujúce.

Zavedené dnes:

• TLS pri všetkých prenášaných údajoch, s HSTS preload;
• šifrovanie v pokoji u nášho poskytovateľa databázy (Supabase, AES-256);
• zabezpečenie na úrovni riadkov (RLS) vymedzené pre každú stajňu v každej prevádzkovej tabuľke, takže údaje jednej stajne nedokáže prečítať iná — vynútené priamo v databáze, nielen v kóde aplikácie;
• overenie relácie na strane servera pri každej chránenej požiadavke (samotnej prihlasovacej cookie sa nikdy nedôveruje);
• požiadavka na opätovné overenie totožnosti pri deštruktívnych a administratívnych úkonoch;
• PIN kódy k rozvrhu hašované algoritmom bcrypt a pozvánkové tokeny hašované SHA-256, jednorazové, časovo obmedzené a viazané na e-mail (surové tokeny sa nikdy neukladajú);
• validácia vstupov na každej serverovej hranici;
• obmedzovanie počtu požiadaviek (Upstash) a ochrana pred botmi (Cloudflare Turnstile) na koncových bodoch prihlásenia, registrácie a formulárov;
• prísna Content Security Policy s nonce pre každú požiadavku a uzamknuté bezpečnostné hlavičky;
• auditný log bezpečnostne relevantných udalostí, do ktorého sa dá len pripisovať;
• monitorovanie chýb s odstraňovaním osobných údajov (Sentry — pozri „Údaje o používaní a technické údaje (tu sme prevádzkovateľom)“ vyššie).

Plánované s dozrievaním Služby (zatiaľ nie je zavedené):

• vyhradené staging prostredie;
• automatizované skenovanie závislostí a bezpečnosti v našom build pipeline;
• formálne zdokumentovaný proces reakcie na incidenty;
• štvrťročná politika rotácie tajomstiev (rotácia je dnes manuálna);
• záruky tretích strán ako SOC 2 / ISO 27001 a penetračné testovanie — tie dnes nemáme.

Sme malá firma (dnes ju prevádzkuje jeden človek). Ak Váš obstarávací proces vyžaduje formálne certifikácie už dnes, nemusíme byť pre Vás tou správnou voľbou, a povieme Vám to radšej na rovinu.

Žiadny systém sa nedá zabezpečiť dokonale. Ak dôjde k porušeniu ochrany osobných údajov, ktoré pravdepodobne povedie k riziku pre Vaše práva a slobody, oznámime to príslušnému dozornému orgánu (UODO) bez zbytočného odkladu a, ak je to uskutočniteľné, do 72 hodín od chvíle, keď sa o ňom dozvieme (článok 33 GDPR). Ak je pravdepodobné, že porušenie povedie k vysokému riziku pre Vás, bez zbytočného odkladu to oznámime aj Vám (článok 34 GDPR). Tam, kde konáme ako sprostredkovateľ stajne, oznámime to bez zbytočného odkladu stajni, aby mohla splniť vlastné povinnosti.

11. Súkromie detí

Toto je jedno z miest, kde sa Nose líši od mnohých zásad ochrany osobných údajov v SaaS. Nie sme služba „bez maloletých“ — jazdecké školy bežne učia deti, takže Nose vedome spracúva osobné údaje detí v mene stajne (napríklad dieťa zadané ako účastník lekcie, často rodičom, ktorý je klientom stajne).

• Prevádzkovateľom údajov dieťaťa je stajňa a stajňa zodpovedá za právny základ a za prípadný súhlas alebo oprávnenie rodiča vyžadované podľa práva, ktoré sa na ňu vzťahuje — podľa článku 8 GDPR v EÚ a Spojenom kráľovstve; v Spojených štátoch podľa COPPA a príslušného práva jednotlivých štátov (pozri „Právne základy spracúvania (čl. 6 GDPR)“ vyššie). Nose spracúva údaje dieťaťa len podľa zdokumentovaných pokynov stajne.
• Minimalizujeme to, čo sa o dieťati uchováva, na rozsah, ktorý stajňa potrebuje na vedenie lekcií — spravidla meno a absolvované lekcie.
• Nose sa priamo nezameriava na deti ani im neadresuje marketing. S dieťaťom nemáme priamy vzťah; náš vzťah je so stajňou.
• Rodič alebo zákonný zástupca, ktorý chce získať prístup k údajom dieťaťa, opraviť ich alebo ich vymazať, sa má obrátiť na stajňu (prevádzkovateľa); Nose bude stajni ako jej sprostredkovateľ pomáhať (pozri „Vaše práva“ vyššie).

12. Súbory cookie

Úplný zoznam cookies a podobných technológií nájdete v našich Zásadách používania súborov cookie. V skratke používame nevyhnutne potrebné cookies (prihlasovacia relácia, jazykové nastavenie, ochrana pred botmi, prístup k verejnému rozvrhu a zapamätanie Vašej voľby súhlasu — nastavujú sa bez lišty, pretože bez nich Služba nemôže fungovať) a voliteľné analytické technológie (PostHog), ktoré sa načítajú len vtedy, ak kliknete na „Prijať“ v cookie lište. Vercel Web Analytics nepoužíva cookies. Marketingové, retargetingové ani reklamné cookies naprieč webmi nepoužívame.

13. Automatizované rozhodovanie a profilovanie

O Vás nerobíme rozhodnutia s právnymi alebo podobne významnými účinkami, ktoré by boli založené výlučne na automatizovanom spracúvaní. Služba uplatňuje bežné, transparentné prevádzkové pravidlá (napríklad kontrolu kapacity skupiny, zostávajúcich vstupov na permanentke alebo limitu požiadaviek), no ide o predvídateľnú mechaniku produktu, nie o profilovanie, a rezervácie zostávajú pod kontrolou personálu stajne. Ak sa domnievate, že Vás automatické pravidlo ovplyvnilo nesprávne, kontaktujte support@nose.horse (alebo pri údajoch jazdcov svoju stajňu).

14. Do Not Track a Global Privacy Control

Naša webová stránka rešpektuje signály Do Not Track (DNT) a Global Privacy Control (GPC) tam, kde je to technicky možné. Ak Váš prehliadač pošle pri prvej požiadavke ktorýkoľvek z týchto signálov, považujeme to za odmietnutie voliteľnej analytickej kategórie (PostHog) a nenačítame ju, pričom cookie lištu nezobrazíme. Nevyhnutne potrebné cookies a Vercel Web Analytics bez cookies to neovplyvňuje, pretože Vás nesledujú a sú potrebné na poskytovanie Služby, o ktorú ste požiadali.

15. Zmeny týchto zásad

Tieto zásady môžeme aktualizovať, ako sa Služba vyvíja, keď sa zmenia ďalší sprostredkovatelia alebo keď sa zmení právna úprava. Podstatné zmeny oznámime e-mailom aktívnym stajniam a predplatiteľom s primeraným predstihom pred nadobudnutím ich účinnosti (skôr len tam, kde to vyžaduje zákon, pokyn dozorného orgánu alebo skutočný dôvod bezpečnosti či kontinuity služby). Dátum „Naposledy aktualizované“ v hlavičke tohto dokumentu vždy zodpovedá poslednej revízii.

16. Prevod podniku

Ak dôjde k reorganizácii, zlúčeniu alebo predaju Nose, prípadne k prevodu v podstate všetkého majetku súvisiaceho so Službou — alebo ak sa Služba prevedie na nástupcu, ktorý ju bude prevádzkovať — osobné údaje uchovávané v súvislosti so Službou môžu byť prevedené ako súčasť takejto transakcie. V každom takom prípade (a) zabezpečíme, aby bol nástupca zmluvne viazaný nakladať s Vašimi osobnými údajmi za podmienok aspoň tak ochranných, ako sú tieto zásady, (b) dáme aktívnym držiteľom účtov predchádzajúce oznámenie e-mailom najmenej 30 dní pred nadobudnutím účinnosti prevodu, ak to je právne prípustné, a (c) dáme Vám primeranú príležitosť exportovať svoje údaje a zatvoriť účet ešte pred prevodom, a to bez sankcie. Tam, kde konáme ako sprostredkovateľ stajne, podlieha každý takýto prevod aj právam stajne podľa DPA. Osobné údaje neprevedieme v rámci konkurzného ani insolvenčného konania s výnimkou podmienok vyžadovaných príslušným právom vrátane akejkoľvek požiadavky na zachovanie štandardov ochrany údajov.

17. Kontakt

Pri akejkoľvek otázke o ochrane osobných údajov, žiadosti o údaje alebo sťažnosti: support@nose.horse.

Ak ste rezidentom EÚ a nie ste spokojní s našou odpoveďou, máte právo podať sťažnosť poľskému dozornému orgánu — predsedovi Úradu pre ochranu osobných údajov (UODO), ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl — alebo svojmu miestnemu národnému orgánu na ochranu údajov.

Tieto zásady sú vyhotovené v poľštine a angličtine (v britskej verzii, „English (UK)“), ktoré sú rovnako záväzné; každá ďalšia jazyková verzia — vrátane americkej anglickej adaptácie — sa poskytuje len ako zdvorilostný preklad. To, ktorá verzia je rozhodujúca a ako medzi nimi prepínať pomocou voliča jazyka v hornej časti tejto stránky, nájdete v dokumente Podmienky služby → „Jazykové verzie“.