Zásady ochrany osobních údajů

Tento dokument poskytuje informace o zpracování osobních údajů v souvislosti s provozem internetové služby DNB CZ EVENTS (dnbczevents.cz) ve smyslu článků 13 a 14 nařízení Evropského parlamentu a Rady (EU) 2016/679 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů (dále jen „GDPR“) a zákona č. 110/2019 Sb., o zpracování osobních údajů.

1. Správce osobních údajů

1.1 Správcem osobních údajů je Tomáš Válek, Třebíč, Česká republika, e-mail: dnbczevents@gmail.com (dále jen „správce“). Správce je nepodnikající fyzickou osobou.

1.2 S ohledem na rozsah a povahu zpracování správce nemá povinnost jmenovat pověřence pro ochranu osobních údajů. Veškeré záležitosti týkající se ochrany osobních údajů lze uplatnit na uvedené e-mailové adrese.

2. Účely, právní základy a doba uchování

Osobní údaje jsou zpracovávány pro níže uvedené účely. U každého účelu je uvedena kategorie údajů, právní základ podle čl. 6 odst. 1 GDPR a doba uchování.

a) Uživatelský účet

Údaje: jméno nebo přezdívka, e-mailová adresa, heslo v podobě kryptografického otisku, datum registrace a datum souhlasu s podmínkami užití.
Účel: zřízení a vedení účtu, přihlašování, správa profilů a akcí, komunikace týkající se účtu.
Právní základ: plnění smlouvy – čl. 6 odst. 1 písm. b) GDPR.
Doba uchování: po dobu existence účtu; po jeho zrušení jsou údaje odstraněny s výjimkou provozních záznamů podle písm. f), které se mažou nejpozději po 6 měsících, a záložních kopií podle článku 6.

Poskytnutí těchto údajů je smluvním požadavkem; bez nich nelze účet zřídit. Prohlížení veřejné části služby registraci nevyžaduje.

Po registraci je zasílán ověřovací e-mail; bez potvrzení není přístup k účtu možný. Nepotvrzenou registraci smažeme po 30 dnech, aby účet zbytečně nedržel e-mailovou adresu, kterou nikdo nepoužívá.

b) Uživatelský obsah (profily, akce, obrázky)

Údaje: umělecké jméno, město nebo stát, profilová fotografie, kontaktní údaje pro booking, odkazy na sociální sítě, popisné texty, plakáty akcí a další údaje vyplněné do formulářů.
Účel: zveřejnění v katalogu akcí a profilů.
Právní základ: plnění smlouvy – čl. 6 odst. 1 písm. b) GDPR; u údajů třetích osob, které uživatel vloží, oprávněný zájem na informování veřejnosti o kulturním dění – čl. 6 odst. 1 písm. f) GDPR.
Doba uchování: po dobu zveřejnění obsahu ve službě.

Tento obsah je veřejně přístupný a může být indexován internetovými vyhledávači. Nevkládejte proto údaje, které nemají být zveřejněny.

c) Profily interpretů, klubů a organizací vytvořené redakcí

Část profilů vytvořil správce sám z veřejně dostupných zdrojů (internetové stránky a profily na sociálních sítích klubů, pořadatelů a interpretů, veřejné pozvánky na akce), tedy bez toho, že by údaje poskytla dotčená osoba (informace podle čl. 14 GDPR).
Údaje: umělecké jméno, město, fotografie, odkazy na veřejné profily, účast na akcích.
Účel: vedení uceleného veřejného katalogu drum & bass scény.
Právní základ: oprávněný zájem – čl. 6 odst. 1 písm. f) GDPR, spočívající v informování veřejnosti o kulturním dění; zpracovávány jsou pouze údaje týkající se veřejné umělecké nebo podnikatelské činnosti, nikoli soukromí dotčených osob. Zveřejnění se opírá rovněž o čl. 85 GDPR a § 17 zákona č. 110/2019 Sb. (zpracování pro účely výkonu práva na svobodu projevu a informace).
Doba uchování: po dobu zveřejnění profilu.

Proti tomuto zpracování lze kdykoli vznést námitku podle čl. 21 GDPR na adrese dnbczevents@gmail.com. Neprokáže-li správce závažné oprávněné důvody pro pokračování zpracování, profil odstraní nebo jeho zveřejnění omezí.

d) Oznámení závadného obsahu

Údaje: zvolený důvod, popis, IP adresa oznamovatele a – je-li přihlášen – identifikace jeho účtu.
Účel: posouzení oznámení, moderace obsahu a ochrana oznamovacího formuláře před zneužitím.
Právní základ: plnění právní povinnosti podle čl. 16 nařízení (EU) 2022/2065 – čl. 6 odst. 1 písm. c) GDPR; u IP adresy oprávněný zájem na ochraně služby před zneužitím – čl. 6 odst. 1 písm. f) GDPR.
Doba uchování: 12 měsíců od vyřízení oznámení; poté je záznam smazán. U oznámení, která dosud nebyla vyřízena, je IP adresa po 12 měsících od podání anonymizována.

e) Seznam podporovatelů

Údaje: jméno nebo přezdívka uvedená ve zprávě pro příjemce u dobrovolného příspěvku.
Účel: zveřejnění poděkování na stránce Podpoř nás.
Právní základ: souhlas – čl. 6 odst. 1 písm. a) GDPR, udělený uvedením jména do zprávy pro příjemce; příspěvek bez uvedení jména zůstává anonymní.
Doba uchování: do odvolání souhlasu.

Souhlas lze kdykoli odvolat e-mailem; jméno bude ze seznamu odstraněno. Odvoláním souhlasu není dotčena zákonnost zpracování před jeho odvoláním. Údaje o platbě samotné zpracovává banka plátce a banka příjemce jako samostatní správci.

f) Provoz a zabezpečení služby

Údaje: provozní a bezpečnostní záznamy webového serveru (IP adresa, čas, požadovaná adresa, typ prohlížeče), záznamy o zobrazených stránkách služby (která stránka, kdy, odkud návštěvník přišel, IP adresa, typ prohlížeče, identifikace účtu, je-li uživatel přihlášen, a pseudonymní označení návštěvy odvozené z relace), záznamy o neúspěšných pokusech o přihlášení, záznamy o odeslaných e-mailech (adresa příjemce, předmět, čas) a záznamy o úkonech provedených ve službě – přihlášení a odhlášení, odeslané žádosti a formuláře včetně jejich obsahu (nikdy však hesel), změny obsahu a zásahy správců – včetně IP adresy, typu prohlížeče a času.
Účel: zajištění provozu, diagnostika chyb, ochrana před útoky a zneužitím, dohledatelnost změn obsahu a zásahů správců a přehled o tom, které stránky služby jsou navštěvovány a jak se po nich návštěvníci pohybují (pro zlepšování služby).
Právní základ: oprávněný zájem na bezpečnosti a integritě služby a na jejím zlepšování – čl. 6 odst. 1 písm. f) GDPR. Záznamy o zobrazených stránkách nevyužívají cookies ani jiné ukládání do zařízení návštěvníka nad rámec technicky nezbytné relace a nejsou předávány třetím stranám.
Doba uchování: nejvýše 6 měsíců; poté se záznamy automaticky mažou. Přístup k nim má pouze hlavní správce služby.

g) Počítadlo zhlédnutí

U akcí a profilů je zobrazován počet zhlédnutí. Samotné počítadlo ukládá pouze souhrnné číslo. Aby se opakované načtení stránky nezapočítalo vícekrát, je v relaci návštěvníka uložena pouze informace, že stránka již byla zobrazena. Zobrazení stránek se kromě toho zaznamenávají v provozních záznamech podle písm. f).

h) Hlášení chyb webu

Údaje: popis chyby, adresa stránky, na které se chyba projevila, případně snímek obrazovky, typ prohlížeče a operačního systému, velikost okna prohlížeče, IP adresa a – je-li oznamovatel přihlášen – identifikace jeho účtu, jinak e-mailová adresa, pokud ji dobrovolně uvede.
Účel: nalezení a oprava chyb služby, případné doptání se oznamovatele a ochrana formuláře před zneužitím.
Právní základ: oprávněný zájem na bezchybném fungování služby a její ochraně před zneužitím – čl. 6 odst. 1 písm. f) GDPR.
Doba uchování: 6 měsíců od vyřešení chyby, nejdéle však 12 měsíců od podání; poté je hlášení i se snímkem obrazovky smazáno. Po zrušení účtu zůstává hlášení do konce této doby uchováno bez vazby na účet. Hlášení vidí pouze hlavní správce služby.

i) Blokace přístupu z IP adresy

Údaje: IP adresa nebo rozsah IP adres, důvod blokace, doba jejího trvání a počet zablokovaných požadavků.
Účel: ochrana služby před zneužitím (spam, útoky, opakované porušování podmínek užití) zablokováním přístupu z dané adresy.
Právní základ: oprávněný zájem na bezpečnosti a integritě služby – čl. 6 odst. 1 písm. f) GDPR.
Doba uchování: po dobu blokace, která trvá nejdéle 1 rok, a dalších 30 dní po jejím skončení; poté je záznam smazán. Přístup k záznamům má pouze hlavní správce služby.

j) Převzetí profilu a ověření přes Instagram

Údaje: účet žadatele, profil, o jehož převzetí žádá, ověřovací kód a uživatelské jméno instagramového účtu uvedeného u profilu, nebo – nemá-li profil účet na Instagramu uvedený – účtu, který žadatel sám uvede. Při kontrole se přes zpracovatele Apify (článek 4) načte veřejný popis (bio) tohoto účtu a porovná se s ověřovacím kódem; samotný popis se neukládá, uchová se jen výsledek kontroly.
Účel: ověření, že o převzetí profilu žádá osoba, které profil náleží, a ochrana profilů před převzetím cizí osobou.
Právní základ: plnění smlouvy – čl. 6 odst. 1 písm. b) GDPR; u načtení veřejného popisu instagramového účtu oprávněný zájem na ochraně profilů před zneužitím – čl. 6 odst. 1 písm. f) GDPR.
Doba uchování: žádost o převzetí se uchovává po dobu existence účtu žadatele podle písm. a); záznamy o průběhu kontroly jsou provozními záznamy podle písm. f).

3. Cookies a obdobné technologie

3.1 Služba nepoužívá analytické, reklamní ani sledovací cookies; nejsou v ní nasazeny nástroje typu Google Analytics, reklamní systémy ani sledovací pixely sociálních sítí. Používány jsou výhradně cookies technicky nezbytné pro poskytování služby ve smyslu § 89 odst. 3 zákona č. 127/2005 Sb., o elektronických komunikacích, k jejichž ukládání se souhlas nevyžaduje. Z tohoto důvodu služba nezobrazuje souhlasnou lištu.

• Relační cookie (session) – identifikuje relaci uživatele, udržuje přihlášení a stav formulářů. Platnost 120 minut od poslední aktivity; poté je relace ukončena.
• XSRF-TOKEN – ochrana formulářů proti útoku typu CSRF. Platnost shodná s relační cookie.
• Cookie „Zůstat přihlášený“ – ukládá se pouze tehdy, zvolí-li uživatel tuto možnost při přihlášení; umožňuje automatické přihlášení bez opakovaného zadávání hesla. Platnost nejvýše 400 dnů; zaniká odhlášením.
• Volba jazyka – je uložena v relaci uživatele (viz relační cookie).
• Volba světlého nebo tmavého režimu – je uložena v úložišti prohlížeče (localStorage) a na server se neodesílá.

3.2 Cookies lze kdykoli smazat nebo zakázat v nastavení prohlížeče; přihlášení a některé funkce služby pak nemusí být dostupné.

3.3 Písma i veškeré další zdroje stránek jsou hostovány na serveru správce; při prohlížení služby nejsou odesílány požadavky na servery třetích stran.

4. Příjemci osobních údajů

Osobní údaje nejsou prodávány ani předávány pro marketingové účely. Přístup k nim mají pouze následující kategorie příjemců, a to v rozsahu nezbytném pro daný účel:

• Microsoft Ireland Operations Limited (služba Microsoft Azure) – poskytovatel infrastruktury, na které je služba provozována; zpracovatel na základě smlouvy o zpracování osobních údajů. Servery jsou umístěny v datovém centru v Evropské unii (Rakousko).
• Google Ireland Limited (služba Gmail) – provozovatel e-mailové schránky správce, jejímž prostřednictvím probíhá komunikace s uživateli.
• Poskytovatel služby pro odesílání systémových e-mailů (ověření e-mailové adresy, obnova hesla, oznámení o vyřízení žádosti) se sídlem v Evropské unii, je-li využíván.
• Apify Technologies s.r.o. (Praha, Česká republika) – zpracovatel, jehož službou se při převzetí profilu načítá veřejný popis instagramového účtu uvedeného u profilu, případně účtu, který uvedl žadatel (článek 2 písm. j); předává se mu pouze uživatelské jméno tohoto účtu.
• Orgány veřejné moci, ukládá-li předání právní předpis nebo je-li nezbytné k určení, výkonu nebo obhajobě právních nároků.

5. Předávání do třetích zemí

Servery služby jsou umístěny v Evropské unii. K předání osobních údajů do Spojených států amerických může dojít u společností Microsoft (podpora a provoz infrastruktury) a Google (e-mailová schránka správce). Obě společnosti jsou certifikovány v rámci EU-U.S. Data Privacy Framework, pro který Evropská komise vydala dne 10. 7. 2023 rozhodnutí o odpovídající ochraně podle čl. 45 GDPR. Zpracovatel Apify může využívat poddodavatele (zejména poskytovatele cloudové infrastruktury) i mimo Evropskou unii; takové předání se řídí standardními smluvními doložkami schválenými Evropskou komisí (čl. 46 GDPR), které jsou součástí jeho smlouvy o zpracování osobních údajů. Jiné předávání do třetích zemí správce neprovádí.

6. Doba uchování a zálohy

6.1 Osobní údaje jsou uchovávány pouze po dobu uvedenou u jednotlivých účelů v článku 2. Po jejím uplynutí jsou automaticky smazány nebo anonymizovány.

6.2 Databáze služby je denně zálohována; zálohy jsou uchovávány po dobu 14 dnů a poté automaticky mazány. Údaje odstraněné ze služby proto mohou zůstat v záloze nejdéle 14 dnů. Zálohy slouží výhradně k obnově provozu a nejsou používány k jiným účelům.

7. Práva subjektu údajů

7.1 Ve vztahu ke svým osobním údajům máte tato práva:

• právo na přístup (čl. 15 GDPR) – získat potvrzení, zda jsou vaše údaje zpracovávány, a kopii těchto údajů;
• právo na opravu (čl. 16 GDPR) – nechat opravit nepřesné a doplnit neúplné údaje;
• právo na výmaz (čl. 17 GDPR) – nechat údaje smazat, pominul-li důvod jejich zpracování;
• právo na omezení zpracování (čl. 18 GDPR);
• právo na přenositelnost (čl. 20 GDPR) – získat údaje, které jste správci poskytli, ve strukturovaném, běžně používaném a strojově čitelném formátu, případně je nechat předat jinému správci;
• právo vznést námitku (čl. 21 GDPR) – proti zpracování založenému na oprávněném zájmu, zejména proti zveřejnění profilu vytvořeného redakcí;
• právo odvolat souhlas (čl. 7 odst. 3 GDPR) – tam, kde je zpracování založeno na souhlasu, kdykoli a s účinky do budoucna.

7.2 Právo na přístup a na přenositelnost lze uplatnit samoobslužně. Po přihlášení v sekci Můj účet → Stáhnout moje data získáte kompletní kopii svých údajů ve strojově čitelném formátu JSON, včetně provozních záznamů o úkonech vašeho účtu podle čl. 2 písm. f).

7.3 Ostatní práva lze uplatnit na adrese dnbczevents@gmail.com. Správce odpoví bez zbytečného odkladu, nejpozději do jednoho měsíce od obdržení žádosti; ve složitých případech může lhůtu prodloužit o další dva měsíce, o čemž žadatele vyrozumí. K ochraně údajů před vydáním neoprávněné osobě může správce požadovat ověření totožnosti žadatele.

7.4 Právo podat stížnost. Domníváte-li se, že zpracováním osobních údajů dochází k porušení právních předpisů, můžete podat stížnost u dozorového úřadu, kterým je Úřad pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, www.uoou.gov.cz. Právo na soudní ochranu tím není dotčeno.

8. Zrušení účtu

8.1 Účet lze kdykoli zrušit samoobslužně po přihlášení v sekci Můj účet → Smazat účet. Zrušení je nevratné; odstraněny jsou přihlašovací údaje, čekající i vyřízené žádosti a seznam skrytých profilů.

8.2 Profily a akce spravované uživatelem zůstávají zveřejněny jako součást katalogu, jsou však od účtu odpojeny (profil pak může převzít jiný uživatel). Přeje-li si uživatel odstranit i tento veřejný obsah, požádá o to před zrušením účtu na adrese dnbczevents@gmail.com.

8.3 Oznámení závadného obsahu, která uživatel podal, zůstávají uchována bez vazby na účet po dobu podle čl. 2 písm. d). Provozní záznamy podle čl. 2 písm. f), které obsahují jméno, e-mailovou adresu nebo IP adresu (například záznam o registraci, přihlášení a zrušení účtu), zůstávají uložené nejdéle 6 měsíců od svého vzniku a poté jsou automaticky smazány. Ostatní údaje správce uchová pouze po dobu a v rozsahu, které vyžaduje právní předpis nebo ochrana právních nároků; jinak je smaže nebo anonymizuje.

9. Automatizované rozhodování

Správce neprovádí profilování. Automaticky se rozhoduje pouze o převzetí profilu ověřeném kódem na Instagramu (článek 2 písm. j): najde-li kontrola ověřovací kód ve veřejném popisu instagramového účtu uvedeného u profilu, převzetí se schválí bez zásahu správce; v ostatních případech žádost posoudí správce. Kdo s výsledkem nesouhlasí – včetně osoby, které profil náleží a která o převzetí nežádala –, může na adrese dnbczevents@gmail.com požádat o přezkoumání fyzickou osobou. Veškerý ostatní obsah posuzuje před zveřejněním fyzická osoba.

10. Zabezpečení osobních údajů

10.1 Správce přijal přiměřená technická a organizační opatření ve smyslu čl. 32 GDPR, zejména šifrovaný přenos dat (HTTPS), ukládání hesel výhradně v podobě kryptografického otisku (bcrypt), řízení přístupu do administrace (pouze ověření správci; provozní záznamy a technické nástroje jsou přístupné pouze hlavnímu správci), zaznamenávání zásahů správců, kontrolu nahrávaných souborů a bezpečnostní hlavičky proti běžným útokům.

10.2 Dojde-li k porušení zabezpečení osobních údajů, které může představovat riziko pro práva subjektů údajů, ohlásí je správce dozorovému úřadu do 72 hodin; je-li riziko vysoké, vyrozumí bez zbytečného odkladu i dotčené osoby (čl. 33 a 34 GDPR).

11. Osoby mladší 15 let

Účet si může zřídit osoba starší 15 let (§ 7 zákona č. 110/2019 Sb.). Osobní údaje osob mladších 15 let jsou zpracovávány pouze se souhlasem zákonného zástupce. Zákonný zástupce, který se domnívá, že dítě poskytlo správci údaje bez jeho souhlasu, může požádat o jejich odstranění na uvedené e-mailové adrese; správce údaje neprodleně odstraní.

12. Odkazy na služby třetích stran

Služba obsahuje odkazy na internetové stránky třetích stran (sociální sítě interpretů, stránky klubů, prodejci vstupenek). Za jejich obsah ani za zpracování osobních údajů na nich správce neodpovídá; řídí se vlastními zásadami, se kterými se doporučujeme seznámit. Samotné zobrazení odkazu ve službě žádné údaje třetí straně nepředává; k přenosu dochází až po jeho otevření.

13. Změny těchto zásad

Správce je oprávněn tyto zásady aktualizovat. Nové znění bude zveřejněno na této stránce s uvedením data účinnosti. O podstatných změnách informuje správce registrované uživatele předem e-mailem nebo oznámením ve službě.

14. Kontaktní údaje správce

Tomáš Válek, Třebíč, Česká republika
E-mail: dnbczevents@gmail.com

Tyto zásady nabývají účinnosti dnem 10. listopadu 2026.