Zásady ochrany osobních údajů a právní informace

1. Správce osobních údajů a kontaktní údaje

Správcem osobních údajů zpracovávaných v rámci tohoto webového portálu je provozovatel projektu Sport je věda:

Správce nejmenoval pověřence pro ochranu osobních údajů (DPO), neboť k tomu dle čl. 37 GDPR není povinen. Veškerou agendu vyřizuje přímo odpovědná redakce.

2. Právní základy a účely zpracování údajů

Veškeré zpracování osobních údajů na tomto portálu probíhá výhradně na základě platných právních titulů dle čl. 6 odst. 1 GDPR:

• Plnění smlouvy (čl. 6 odst. 1 písm. b) GDPR): Zřízení a vedení uživatelského účtu, správa předplatného, ověření oprávnění k přístupu k prémiovým studijním materiálům, přednáškám a metodikám.
• Oprávněný zájem správce (čl. 6 odst. 1 písm. f) GDPR): Zajištění síťové a informační bezpečnosti serveru, prevence neoprávněného stahování materiálů, ochrana před zneužitím, prevence DoS/DDoS útoků, zamezení spamu a technická diagnostika.
• Souhlas subjektu údajů (čl. 6 odst. 1 písm. a) GDPR): Zpracování a zodpovězení zprávy zaslané prostřednictvím kontaktního formuláře.
• Plnění právních povinností (čl. 6 odst. 1 písm. c) GDPR): Vedení účetních a daňových záznamů souvisejících s platebními transakcemi přes Stripe.

3. Přihlašování a správa uživatelských účtů

Web nevyužívá klasické ukládání uživatelských hesel. Aplikujeme moderní autentizační standardy (NextAuth.js) s cílem maximalizovat bezpečnost a ochranu vašeho soukromí. Nabízíme dva způsoby přihlášení:

• OAuth 2.0 (Google a Microsoft): Při federovaném přihlášení dochází k bezpečné výměně autorizačních tokenů. Naše servery nikdy nezískají přístup k vašemu heslu u poskytovatele. Získáme pouze vaši e-mailovou adresu, jméno, profilový obrázek a unikátní identifikátor (Provider Sub ID).
• Magický odkaz (E-mail): Passwordless ověření. Uživatel obdrží na jím zadanou e-mailovou adresu jednorázový bezpečnostní odkaz s dočasnou platností k přihlášení.

Uživatelská relace je po přihlášení udržována pomocí bezpečně šifrovaného JWT (JSON Web Token) uloženého ve striktním HTTP-only cookie.

4. Platby, předplatné a stornovací podmínky (Stripe)

Pro zpracování online plateb využíváme výhradně zabezpečenou globální platformu Stripe (Stripe Payments Europe, Ltd.), která disponuje nejpřísnější certifikací bankovního sektoru PCI-DSS Level 1.

5. Bezpečné poskytování digitálního obsahu (Vercel Blob)

Pro zajištění ochrany našich exkluzivních výukových materiálů, přednášek a metodických listů před neoprávněným šířením využíváme systém soukromého (private) cloudového úložiště Vercel Blob s dvoufázovou autorizací.

• Všechny soubory uložené v cloudu jsou striktně chráněny před veřejným přístupem a nelze je volně zobrazit pomocí veřejné URL.
• Při pokusu o stažení nebo zobrazení materiálu (endpoint /api/download) náš server nejprve kryptograficky ověří vaši relaci a ověří v databázi platnost vašeho aktivního předplatného.
• Až po úspěšném ověření je prostřednictvím zabezpečeného proxy spojení obsah doručen k zobrazení či stažení.

6. Databázová architektura a osobní údaje (Neon Postgres)

K bezpečnému ukládání vašich údajů (profily, aktivní předplatná) využíváme moderní cloudovou relační databázi Neon Serverless Postgres, provozovanou v datových centrech na území Evropské unie (Frankfurt, Německo / AWS eu-central-1).

• Data jsou plně šifrována jak při síťovém přenosu (TLS 1.3 / SSL), tak v klidovém stavu na discích úložiště (AES-256).
• Ukládáme výhradně tyto nezbytné informace: Váš e-mail, jméno, profilový obrázek, platební identifikátory ze Stripe (Customer ID, Subscription ID, status) a nezbytné tokeny k přihlášení.

7. Kontaktní formulář, rate-limiting a ochrana proti spamu

Při kontaktování naší redakce pomocí kontaktního formuláře zpracováváme Vámi vyplněné jméno, e-mail a text zprávy. Odeslání zprávy je technicky zprostředkováno přes autorizovanou evropskou službu Brevo (dříve Sendinblue).

8. Soubory cookies a technické úložiště

Náš portál uplatňuje striktní přístup "Privacy First" a záměrně nepoužívá žádné sledovací, analytické (např. Google Analytics) ani marketingové reklamní cookies třetích stran. Využíváme pouze to, co je nezbytně nutné:

• Nezbytné cookies relace (Session): Bezpečnostní HTTP-only tokeny sloužící pro ověření přihlášení uživatele a autorizaci požadavků k zabezpečenému obsahu.
• CSRF Tokeny: Ochranné cookies zabraňující typickým kybernetickým útokům na webové formuláře.

Protože se jedná výhradně o technicky a bezpečnostně nezbytné provozní záznamy, nevyžadujeme před jejich uložením souhlas návštěvníka v tzv. "cookie liště" (dle zákona č. 127/2005 Sb., o elektronických komunikacích).

9. Vaše práva podle Nařízení GDPR

Jako subjekt údajů máte podle článků 15 až 22 Nařízení GDPR zaručena následující práva:

• Právo na přístup k osobním údajům (čl. 15): Kdykoli můžete nahlédnout do své sekce Můj účet, kde vidíte přehled zpracovávaných údajů a aktuální stav vašeho předplatného.
• Právo na výmaz ("být zapomenut", čl. 17): Máte právo na kompletní a nevratné smazání vašeho účtu a všech s ním spojených dat z databáze (pokud nebrání archivační povinnosti). Upozorňujeme, že tím ihned dojde ke zrušení vašeho přístupu k placenému obsahu bez nároku na kompenzaci.
• Dále: Právo na opravu (čl. 16), Právo na omezení zpracování (čl. 18), Právo na přenositelnost údajů (čl. 20) a Právo vznést námitku (čl. 21).

Pro uplatnění těchto práv nás neváhejte kontaktovat na adrese: sluzhor.tablet@gmail.com.

V případě nespokojenosti máte právo podat stížnost u Úřadu pro ochranu osobních údajů (ÚOOÚ), Pplk. Sochora 27, 170 00 Praha 7, www.uoou.gov.cz.