Ochrana osobních údajů

1. Kdo odpovídá za zpracování

Správcem osobních údajů provozovaných prostřednictvím webu Buddy je provozovatel identifikovaný níže. U údajů, které správce konkrétního Discord serveru samostatně určuje zpracovávat, může mít tento správce vlastní právní odpovědnost. Přesné role a právní vztahy je nutné posoudit podle skutečné konfigurace bota a jednotlivých činností. Tento dokument nenahrazuje informační povinnost správců Discord serverů vůči jejich členům.

2. Jaké údaje web skutečně zpracovává

Kontaktní a podpůrné formuláře: zadané jméno, nepovinný e-mail, předmět, text zprávy, její stav a čas odeslání. Pro omezení zneužití je ukládán také jednosměrný kryptografický otisk IP adresy, nikoli její prostá hodnota v tabulce požadavků. Zpětná vazba není veřejně zobrazována.

Administrace: uživatelské jméno, zobrazované jméno, role, kryptografický otisk hesla, čas přihlášení a záznamy změn. Přihlášení používá technickou relační cookie. Integrační klíč pro statistiky bota je na webu uložen jako kryptografický otisk.

Technický provoz: server hostingu může ukládat přístupové nebo chybové logy, například IP adresu, datum požadavku či identifikaci prohlížeče. Jejich přesný obsah, retenci a přístup k nim musí provozovatel ověřit u hostingu.

Provozní statistiky: web přijímá pouze souhrnné počty serverů, členství, příkazů a technickou odezvu, nikoli seznam členů přes telemetrické rozhraní. Nejde o návštěvnické sledování.

3. Údaje z funkcí Discord bota

V závislosti na aktivovaných funkcích může být pro provoz bota potřebné pracovat s Discord identifikátory uživatelů, serverů, rolí a kanálů, s údaji o moderaci, úrovních a odměnách, s obsahem ticketů nebo přepisy komunikace. Neznamená to, že všechny tyto údaje jsou vždy sbírány nebo ukládány. Konkrétní seznam datových polí, databází, dob uchování a přístupů musí provozovatel před nasazením ověřit ve skutečném zdrojovém kódu a provozní konfiguraci Buddyho.

Bot nesmí data Discordu využívat nad rámec nezbytný pro oznámené funkce a musí respektovat platná pravidla Discord Developer Policy. Je-li funkce vypnutá, neznamená to automaticky zpětné odstranění všech dřívějších údajů; o výmaz lze požádat níže uvedeným postupem.

4. Účel a právní základ

Vyřízení dotazů, hlášení a požadavků stojí podle okolností na jednání o službě, poskytování podpory nebo oprávněném zájmu na komunikaci s uživateli. Oprávněným zájmem může být také ochrana webu proti spamu, bezpečnost a vedení přiměřených provozních záznamů. Uložení účtů administrátorů je nezbytné pro správu služby a ochranu přístupů. Plnění zákonných povinností může vyžadovat uchování konkrétních dokladů a záznamů.

Právní základ pro jednotlivé funkce Discord bota se může lišit. Je nutné jej posoudit podle účelu, použitého nastavení a vztahu se správcem serveru; samotné přidání bota nelze považovat za všeobecný souhlas se zpracováním libovolných údajů.

5. Komu mohou být data zpřístupněna

Údaje z webové administrace jsou dostupné pouze oprávněným účtům podle jejich rolí. Provozně mohou být využiti poskytovatelé hostingu a infrastruktury v roli zpracovatelů nebo samostatných správců podle uzavřených smluv. Informace předané prostřednictvím Discordu zpracovává také společnost Discord podle vlastních zásad. Pokud jsou zapojeny další služby třetích stran, musí být doplněny do tohoto dokumentu před jejich použitím.

Osobní údaje neprodáváme. Konkrétní seznam poskytovatelů, umístění serverů a případné předávání mimo Evropský hospodářský prostor musí provozovatel ověřit a doplnit podle skutečného nasazení.

6. Doba uchování a mazání

Údaje se mají uchovávat pouze po dobu nezbytnou pro jejich účel, zákonnou povinnost nebo ochranu oprávněných práv. Při každém dalším přijetí telemetrie se odstraňují záznamy starší 30 dní. Pokud bot přestane data posílat, mohou starší záznamy v databázi zůstat až do dalšího přijetí nebo ruční údržby. Zprávy podpory a záznamy činnosti administrátorů jsou ve výchozím systému ukládány do jejich smazání; provozovatel musí zavést skutečná pravidla retence a pravidelný výmaz. Automatický termín výmazu se zde neslibuje, pokud není technicky nastaven.

U údajů Discord bota je nutné jednotlivé doby uchování ověřit samostatně. Smazání může být omezeno zákonnou povinností nebo ochranou právních nároků, v takovém případě se však další zpracování omezí na nezbytný rozsah.

7. Bezpečnost a přístupová práva

Web používá hashování hesel, kontrolu přístupu podle rolí, ochranu formulářů proti CSRF, připravené dotazy databáze a omezení četnosti některých požadavků. Nasazení musí používat HTTPS a správně oddělit databázi a zdrojové soubory od veřejně přístupných adres. Provozovatel odpovídá za aktualizace, zálohy, revizi oprávnění a řešení bezpečnostních incidentů.

8. Tvá práva podle GDPR

Za podmínek GDPR máš právo požadovat přístup k osobním údajům, jejich opravu, výmaz, omezení zpracování a v relevantních případech přenositelnost. Proti zpracování na základě oprávněného zájmu lze vznést námitku. Pokud se konkrétní zpracování opírá o souhlas, můžeš jej kdykoli odvolat, aniž je tím dotčena zákonnost předchozího zpracování. Nemusí být možné vyhovět každé žádosti o výmaz, existuje-li převážný zákonný důvod pro další uchování.

Pro uplatnění práv napiš na kontaktní adresu níže nebo prostřednictvím formuláře podpory. Aby nedošlo k vyzrazení údajů třetí osobě, můžeme v přiměřeném rozsahu ověřit totožnost žadatele. Žádosti se vyřizují v zákonných lhůtách, zpravidla do jednoho měsíce s možností prodloužení podle GDPR.

9. Dozorový úřad a automatizované rozhodování

Máš právo podat stížnost u Úřadu pro ochranu osobních údajů. Komunitní či moderátorské automaty mohou provádět technické akce podle příkazů a nastavení serveru. Pokud by některá funkce měla účinky plně automatizovaného individuálního rozhodování podle čl. 22 GDPR, je nutné ji před spuštěním zvlášť posoudit a splnit příslušné podmínky; tento návrh nepotvrzuje, že takové zpracování probíhá.

10. Změny zásad a kontaktní údaje

Tyto zásady mohou být aktualizovány po změně provozu, funkcí či právních požadavků. Rozhodující je znění zveřejněné na webu ke dni použití. Provozovatel musí uživatele o podstatných změnách vhodným způsobem informovat.

11. Komunitní web Buddy 4.0 a Discord přihlášení

Po dobrovolném přihlášení přes Discord ukládá web identifikátor Discord účtu, zobrazené jméno, avatarový identifikátor a čas přihlášení. OAuth přístupový token se uchovává v serverové relaci jen pro načtení údajů účtu a spravovaných serverů; trvalé ukládání obnovovacích tokenů tato verze neprovádí. Seznam serverů se načítá při zobrazení uživatelského přehledu a neukládá se do databáze. Pro přihlášení se používají oprávnění identify a guilds.

Při hlasování o funkcích se eviduje identifikátor návrhu, propojený komunitní účet a čas hlasování. U návrhů se ukládá jejich popis, kategorie, stav a vyjádření týmu. U soukromé podpory se ukládají zprávy, stavy řešení, případné přílohy a historie komunikace. Tyto záznamy slouží k provozu komunitních funkcí, vyřízení požadavků a omezení zneužívání. Přílohy jsou přístupné pouze autorovi požadavku a oprávněnému týmu.

Web také uchovává anonymně souhrnné počty zobrazení jednotlivých veřejných stránek po dnech. Opakované zobrazení jedné stránky ve stejné technické relaci se započítává nejvýše jednou za 30 minut. Nevyužívá externí reklamní analytické nástroje. Doby uchování komunitních záznamů a konkrétní postup vymazání musí provozovatel před nasazením vymezit a zajistit; aktuálně se automaticky nemažou. O výmaz nebo kopii svých údajů může uživatel požádat přes podporu.