Ochrana osobních údajů administrátorů

1. Správce

Správcem je Arwell Works s.r.o., se sídlem Příčná 1892/4, Nové Město, 110 00 Praha 1, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze, oddíl C, vložka 458253, IČO 302 09 781 („Arwell“, „my“). Kontakt pro ochranu osobních údajů: privacy@arwell.works. Pověřence pro ochranu osobních údajů jsme nejmenovali, protože nám to GDPR neukládá.

Administraci provozuje Arwell pro všechny kampaně jako samostatný správce údajů o administrátorských účtech. Pokud do administrace přistupujete za pořadatele kampaně, rozhoduje o vašem přístupu administrátor vaší organizace, který vás pozval; údaje o vašem účtu ale spravuje Arwell podle tohoto dokumentu.

2. Jaké údaje zpracováváme

• E-mailová adresa – slouží k přihlášení; pošleme na ni pozvánku a jednorázové přihlašovací kódy.
• Jméno, pokud ho uvedl ten, kdo vás pozval, organizace a oprávnění – ke kterým programům, ročníkům a kampaním máte přístup a co v nich smíte dělat.
• Druhý faktor přihlášení – záznam o autentizační aplikaci, kterou jste si nastavili. Její tajný klíč je uložen v přihlašovací službě Supabase Auth a slouží jen k ověření kódu.
• Přihlašovací záznamy – kdy byl účet vytvořen, kdy jste byli pozváni a kdy jste se naposledy přihlásili; přihlašovací relace, ke kterým přihlašovací služba ukládá i IP adresu a identifikaci prohlížeče, ze kterých se přihlašujete; a záznamy přihlašovací služby o přihlášeních, které mohou obsahovat IP adresu.
• Auditní záznam citlivých kroků – například zveřejnění a aktivace verzí kampaní, ověřování učitelů, exporty, změny oprávnění a přístup k výzkumným datům, s identifikátorem vašeho účtu a časem.
• Záznam o potvrzení tohoto dokumentu – verze a čas.
• Krátkodobé technické záznamy provozu u poskytovatelů Vercel a Supabase, které mohou obsahovat IP adresu.

Údaje máme od vás a od administrátora, který vás pozval.

Musíte údaje poskytnout? Zákon vám to neukládá. Bez e-mailové adresy, autentizační aplikace a potvrzení tohoto dokumentu vám ale přístup do administrace zřídit nemůžeme.

3. Proč a na jakém základě

4. Kdo vaše údaje vidí

• Oprávnění pracovníci Arwellu.
• Administrátoři vaší organizace, kteří spravují přístupy – vidí váš e-mail, jméno, oprávnění a to, zda jste pozvánku přijali.
• Ostatní administrátoři vás v auditním záznamu vidí jen jako „Administrátor“, bez jména a e-mailu.
• Zpracovatelé uvedení v části 5, jen v rozsahu své služby.

Údaje neprodáváme a nepoužíváme k reklamě.

5. Zpracovatelé a předávání

Údaje zpracovávají naši zpracovatelé: Supabase (databáze a přihlašování, EU – Irsko), Vercel (provoz administrace, EU – Dublin, Irsko) a Resend (odesílání pozvánek a přihlašovacích kódů, EU – Irsko). Tito poskytovatelé mají sídlo v USA; případný přístup z USA chrání standardní smluvní doložky (čl. 46 GDPR) a u certifikovaných poskytovatelů také EU–US Data Privacy Framework (čl. 45 GDPR). Kopii těchto záruk vám na požádání poskytneme. Podrobnosti v dokumentu Seznam zpracovatelů.

6. Jak dlouho

• Administrátorský účet – e-mail, přihlašovací faktory a přihlašovací relace: 3 roky od posledního použití účtu. Posledním použitím je ukončení vašeho přístupu, a nebyl-li přístup ukončen, vaše poslední přihlášení nebo poslední činnost v přihlášené relaci. Pak účet automaticky smažeme, včetně přihlašovacího e-mailu. Účet administrátora s přístupem k celé platformě po dobu tohoto přístupu nemažeme; po jeho ukončení platí totéž co pro ostatní.
• Jméno a oprávnění mažeme z účtu hned při ukončení přístupu; která oprávnění byla odebrána, zůstává v auditním záznamu.
• Záznam o potvrzení tohoto dokumentu uchováváme po celou dobu existence účtu, protože jím prokazujeme, že jsme vás informovali; smažeme ho spolu s účtem.
• Auditní záznam: 3 roky od vzniku každého záznamu, nezávisle na účtu.
• Používáte-li stejnou e-mailovou adresu také pro účet učitele nebo ambasadora na eolin.app nebo pro hru v kampani, přihlašovací záznam smažeme až podle pravidel toho účtu; údaje administrátorského účtu smažeme i tak.
• Ze záloh databáze údaje zmizí nejpozději do 7 dnů. Záznamy, které si vede přihlašovací služba Supabase Auth, a technické záznamy Vercelu mažou tito poskytovatelé podle svých pravidel uchovávání.

7. Vaše práva

Právo vznést námitku. Údaje o administrátorském účtu zpracováváme na základě oprávněného zájmu. Proti tomu můžete kdykoli vznést námitku z důvodů týkajících se vaší konkrétní situace, a to na privacy@arwell.works. Vyhovíme jí, ledaže prokážeme závažné oprávněné důvody, které převažují nad vašimi zájmy, nebo jde o určení, výkon či obhajobu právních nároků. Bez přihlašovacích údajů a auditního záznamu ale přístup do administrace poskytovat nemůžeme.

Máte právo na přístup, opravu, výmaz, omezení zpracování a právo vznést námitku proti zpracování na základě oprávněného zájmu.

• Oprava jména nebo oprávnění: u administrátora vaší organizace, který spravuje přístupy, nebo na privacy@arwell.works.
• Výmaz: na privacy@arwell.works. Smazáním účtu přístup do administrace končí.
• Ostatní žádosti: na privacy@arwell.works. Odpovíme bez zbytečného odkladu, nejpozději do jednoho měsíce; vyřízení je zdarma.
• Stížnost: u Úřadu pro ochranu osobních údajů (www.uoou.gov.cz), ze Slovenska také u Úradu na ochranu osobných údajov SR (www.dataprotection.gov.sk).

Neprovádíme automatizované rozhodování s právními účinky.

8. Změny tohoto dokumentu

Když tento dokument změníme, vydáme novou verzi. Než administraci znovu použijete, požádáme vás o potvrzení nové verze; dokud ji nepotvrdíte, administrace se vám neotevře.