Zásady ochrany osobních údajů

Provozovatelem služby Tallago (dále jen „služba“) je Highmont, s.r.o., IČ 05925509, DIČ CZ05925509, se sídlem Stroužníky 748, 561 64 Jablonné nad Orlicí, Česká republika. Kontaktní e-mail správce osobních údajů: tallago.info@gmail.com.

Tallago zpracovává údaje ve třech rolích:

• Admin agentury — jméno, e-mail, šifrovaný hash hesla, název agentury, kontaktní e-mail organizace, platební status, historie her v rámci tvého účtu. Pokud pozveš spoluadmina (více adminů na jedné organizaci), ukládáme i e-mail pozvané osoby, dokud pozvánku nepřijme nebo není zrušena.
• Instruktor — buď dočasně přes jednorázový magic-link (jméno, pokud ho zadáš, expirující token, přiřazené stanoviště, zápisy výsledků), nebo jako trvalý profil — jméno, příjmení, e-mail, telefon (pokud ho vyplníš), přihlašovací údaje pro opakovaný přístup napříč hrami. Poznámku k instruktorovi (interní hodnocení, dostupnost apod.) vidí jen admin agentury, instruktorovi samotnému se nezobrazuje.
• Hráč / divák — žádné identifikační údaje. Veřejná URL výsledků (/r/<kód>), turnajů (/t/<kód>) a případně sdílené knihovny her (/g/<kód>, /gl/<kód>) jsou anonymní a bez přihlášení — žádné cookies kromě nezbytných k provozu.

• Provoz služby (přihlášení, ukládání her, skórování, poznámky instruktorů ke hrám, knihovna her) — právní základ: plnění smlouvy (čl. 6 odst. 1 písm. b GDPR).
• Platby a fakturace (Stripe Checkout, Customer Portal) — právní základ: plnění smlouvy + právní povinnost (účetnictví, čl. 6 odst. 1 písm. b a c GDPR). Stripe je samostatný zpracovatel; jeho zásady viz stripe.com/cz/privacy.
• Provozní e-maily (pozvánky, oznámení o změnách plánu) — právní základ: plnění smlouvy. E-maily odesíláme přes Resend (zpracovatel se sídlem v USA, viz bod 4).
• Analytika návštěvnosti webu (Google Analytics 4 přes Google Tag Manager) — měříme, kolik lidí web navštíví a odkud přichází. Právní základ: souhlas (čl. 6 odst. 1 písm. a GDPR) — spouští se až po tvém odsouhlasení v cookie liště, viz bod 7.
• Logging (Pino na backendu) — IP adresa, čas requestu, status code. Právní základ: oprávněný zájem (zabezpečení, debugging). Doba uchování max. 30 dní.

Třetí strany, které mají k údajům přístup jako naši zpracovatelé:

• Neon (Postgres hosting) — databáze, EU region.
• Stripe — zpracování plateb, údaje karet se k nám nikdy nedostanou (Stripe Checkout je hosted).
• Resend — odesílání transakčních e-mailů. Sídlo v USA — jde o přenos osobních údajů (jméno, e-mail) mimo EU/EHP. Resend je certifikovaný v rámci EU-US Data Privacy Framework, přenos je krytý touto certifikací i standardními smluvními doložkami (SCC).
• Vercel (hosting webové aplikace) a Fly.io (hosting backendu) — obě společnosti sídlí v USA a obě jsou certifikované v rámci EU-US Data Privacy Framework, doplněné standardními smluvními doložkami (SCC).
• Google (Google Analytics 4 / Google Tag Manager) — jen pokud odsouhlasíš analytické cookies; měření návštěvnosti webu. Sídlo mimo EU/EHP, přenos zajištěn standardními smluvními doložkami / DPF.

Žádné údaje neprodáváme. Údaje, které předáváme mimo EU/EHP (Resend, Vercel, Fly.io, případně Google), jsou vždy kryté odpovídajícími zárukami dle GDPR — u všech hlavních poskytovatelů jde konkrétně o certifikaci EU-US Data Privacy Framework doplněnou standardními smluvními doložkami.

• Aktivní účet — dokud existuje. Data hry, výsledky, poznámky instruktorů, magic-link tokeny vč. expirovaných.
• Smazaný účet — všechna data jsou nevratně smazána z databáze nejpozději do 24 hodin od potvrzení smazání v /dashboard/settings.
• Účetní doklady (faktury ze Stripe) — uchovávány 10 let dle českého zákona o účetnictví. Tyto doklady neobsahují data tvých her, jen identifikaci faktury.
• Logy — 30 dní.
• Analytická data (GA4) — uchovávána dle výchozího nastavení Google Analytics (obvykle 14 měsíců), lze upravit v Google Analytics administraci.

Jako subjekt údajů máš podle GDPR tato práva:

• Právo na přístup — kdykoli si v /dashboard/settings stáhneš strukturovaný JSON export dat své organizace.
• Právo na opravu — měň jméno, e-mail, název agentury přímo v nastavení.
• Právo na výmaz — v /dashboard/settings najdeš možnost zrušit svůj přístup k organizaci. Pokud jsi jediný/poslední admin, zrušíš tím celou organizaci a nevratně smažeš všechna její data; pokud má organizace víc adminů, tvým odchodem data zůstávají zachovaná ostatním — celou organizaci může zrušit jen poslední zbývající admin.
• Právo na přenositelnost — JSON export je v otevřeném formátu, přeneseš ho kamkoliv.
• Právo vznést námitku / podat stížnost — můžeš kdykoliv kontaktovat tallago.info@gmail.com nebo se obrátit na Úřad pro ochranu osobních údajů (uoou.cz).

Tallago používá:

• Nezbytné cookies — session cookie po přihlášení (NextAuth, jméno authjs.session-token) a cookie pro volbu jazyka (lang). Tyto se ukládají vždy, bez souhlasu (jsou nutné k fungování služby).
• Analytické cookies (Google Analytics 4 přes Google Tag Manager) — měří návštěvnost webu. Ukládají se jen po tvém souhlasu v cookie liště; dokud souhlas nedáš, tyto cookies se neukládají a analytika neběží. Souhlas můžeš kdykoliv odvolat nebo změnit přes Nastavení cookies v patičce webu.
• Žádné marketingové ani reklamní cookies.

Pokud podstatně změníme rozsah zpracování, oznámíme to e-mailem adminům všech aktivních organizací a aktualizujeme datum účinnosti nahoře.

Otázky? tallago.info@gmail.com