Zásady ochrany osobných údajov

1. Prevádzkovateľ

Prevádzkovateľom zodpovedným za spracúvanie údajov v rámci QRown je:

2. Aké údaje zhromažďujeme

2.1 Údaje o účte

Pri registrácii zhromažďujeme:

• E-mailovú adresu (potrebnú na prihlásenie a komunikáciu)
• Meno a priezvisko (voliteľné, kedykoľvek ich môžete zmeniť v profile)
• Heslo (uložené ako bcrypt hash, nikdy nie ako čistý text)
• Názov firmy a jazyk (voliteľné)
• Preferovanú menu faktúr (CHF / EUR)
• Fakturačnú adresu (voliteľné; zobrazuje sa na vašich faktúrach a synchronizuje sa so Stripe, aby bola správna aj na dokladoch Stripe)

2.2 Obsah QR kódov

Pri vytváraní QR kódov ukladáme:

• Obsah QR kódu (URL, texty, vCard, údaje Wi-Fi a ďalšie)
• Nastavenia dizajnu a brandingu
• Nahrané súbory (logá, obrázky, PDF pri nahrávaní súborov)

2.3 Štatistiky skenov (iba dynamické QR kódy)

Pri každom naskenovaní dynamického QR kódu zaznamenávame:

• Čas skenu
• IP adresu — okamžite anonymizovanú (posledný oktet pri IPv4, posledných 80 bitov pri IPv6); ukladá sa alebo na určenie polohy sa používa iba anonymizovaná podoba
• Približnú polohu na základe anonymizovanej IP: krajinu, región/mesto a približné súradnice na úrovni mesta — nie polohu GPS vášho zariadenia (k polohovým službám zariadenia sa nikdy nepristupuje)
• Reťazec user agent prehliadača a z neho odvodený typ zariadenia, operačný systém a rodinu prehliadača
• Preferovaný jazyk prehliadača (Accept-Language) a referrer (ak je k dispozícii)

Statické QR kódy dekóduje priamo zariadenie a negenerujú žiadne serverové logy. Pri naskenovaní kódu sa nastaví technicky nevyhnutný session cookie, aby sa zabránilo dvojitému započítaniu. Jednotlivé záznamy o skenoch sa vymazávajú po 90 dňoch (pozri bod 7).

Rozdelenie úloh: Ak poskytujeme štatistiky skenov v mene osoby, ktorá QR kód vytvorila, spracúvame tieto údaje ako sprostredkovateľ (čl. 28 GDPR); na účely bezpečnosti, predchádzania zneužitiu a prevádzky platformy sme samostatným prevádzkovateľom. Firemní zákazníci, ktorí potrebujú zmluvu o spracúvaní údajov, sa môžu obrátiť na adresu uvedenú v bode 1.

2.4 Technické údaje

Pri návšteve webstránky sa automaticky zaznamenáva:

• Serverové logy (IP, dátum, čas, požadovaná URL, stavový kód)
• Typ a verzia prehliadača, operačný systém
• Jazykové nastavenia použité na výber jazyka rozhrania

2.5 Platobné údaje

Údaje o kreditnej karte a bankové údaje spracúva výlučne Stripe a nikdy sa neukladajú na našich serveroch (PCI-DSS Level 1). Ukladáme iba ID zákazníka v Stripe, fakturovanú sumu, menu, stav platby a — ak ste ju uviedli — vašu fakturačnú adresu pre faktúry vo formáte PDF.

2.6 Tímy a pozvánky

Ak vás používateľ pozve e-mailom do tímu, uložíme vašu e-mailovú adresu výlučne na doručenie pozvánky. E-mail s pozvánkou vás informuje, odkiaľ vaše údaje pochádzajú (čl. 14 GDPR). Ak pozvánku neprijmete, adresa sa automaticky vymaže po 7 dňoch; ak ju odmietnete, okamžite. Aktivita v tíme sa zaznamenáva s anonymizovanou IP a vymaže sa po 180 dňoch.

2.7 Hromadné vytváranie (hromadný import)

Pri hromadnom importe cez súbor CSV (napríklad kontaktné údaje vCard) sa nahraný súbor okamžite po spracovaní vymaže; obsah sa priradí novo vytvoreným QR kódom zákazníka. Za zákonnosť nahraných údajov tretích osôb zodpovedá zákazník ako prevádzkovateľ; QRown ich spracúva ako sprostredkovateľ výlučne na vytvorenie QR kódov.

2.8 Sťahovanie súborov cez QR kódy

Pri stiahnutí súboru zdieľaného cez QR kód zaznamenávame anonymizovanú IP adresu, user agent, približnú polohu (krajina/mesto) a čas, aby sme mohli autorovi poskytnúť štatistiky sťahovania a odhaliť zneužitie.

2.9 Hlásenia zneužitia a bezpečnostné kontroly URL

Hlásenia zneužitia odoslané cez náš formulár na nahlasovanie sa ukladajú s pseudonymizovanou IP (hash) na 12 mesiacov. Cieľové URL dynamických QR kódov automaticky kontrolujeme na phishing a malvér (pozri bod 6.7), aby sme chránili ľudí, ktorí naše QR kódy skenujú.

2.10 Formuláre a stránky hodnotenia našich zákazníkov

Naši zákazníci môžu na svojich stránkach používať kontaktné formuláre a stránky hodnotenia. Čo tam návštevníci zadajú (napr. meno, e-mailovú adresu, telefónne číslo, správu alebo hodnotenie), ukladáme spolu s časom, jazykom a pseudonymizovaným hashom IP adresy (iba na ochranu pred hromadným odosielaním) a sprístupňujeme príslušnému zákazníkovi, na želanie aj e-mailom. Prevádzkovateľom týchto údajov je prevádzkovateľ príslušnej stránky; QRown ich spracúva výlučne v jeho mene ako sprostredkovateľ (čl. 28 GDPR, čl. 9 švajčiarskeho zákona o ochrane údajov). Žiadosti týkajúce sa vašich práv smerujte, prosím, na prevádzkovateľa stránky; pri tom ho podporujeme.

2.11 Digitálne vernostné karty

Ak prevádzka používa našu vernostnú kartu, ukladáme pre každú zákaznícku kartu náhodné číslo, tajný kľúč (v odkaze na kartu a v technicky nevyhnutnom cookie), pečiatky a uplatnenia s časom a pseudonymizovaný hash IP adresy (ochrana pred zneužitím). Zákazník môže dobrovoľne uviesť e-mailovú adresu; po potvrdení kódom slúži výlučne na obnovenie karty a zlúčenie kariet s rovnakou adresou – nie na reklamu. Prevádzkovateľom je príslušná prevádzka; QRown tieto údaje spracúva v jej mene ako sprostredkovateľ (čl. 28 GDPR, čl. 9 švajčiarskeho zákona o ochrane údajov). Ak zákazník pridá kartu do Google Wallet, odovzdávame Googlu číslo karty, stav pečiatok a odkaz na kartu.

3. Účely spracúvania

• Poskytovanie a prevádzka generátora QR kódov a platformy na správu
• Overovanie a správa vášho používateľského účtu
• Poskytovanie štatistík skenov pre dynamické QR kódy
• Spracovanie platieb, fakturácia a účtovníctvo
• Komunikácia súvisiaca so službou (overenie e-mailu, faktúry, podpora)
• Voliteľná marketingová komunikácia (iba s vaším výslovným súhlasom)
• Bezpečnosť (odhaľovanie zneužitia, ochrana pred spamom, auditné logy)
• Zákonné povinnosti (najmä obchodné a daňové povinnosti uchovávania)

4. Právne základy

Spracúvanie prebieha na týchto základoch:

• Čl. 6 ods. 1 písm. b GDPR / čl. 31 ods. 2 písm. a revDSG: Plnenie zmluvy — poskytovanie platformy.
• Čl. 6 ods. 1 písm. c GDPR: Zákonné povinnosti — napríklad desaťročná povinnosť uchovávania faktúr.
• Čl. 6 ods. 1 písm. f GDPR / čl. 31 ods. 1 revDSG: Oprávnené záujmy — bezpečnosť, predchádzanie zneužitiu, zlepšovanie služby.
• Čl. 6 ods. 1 písm. a GDPR / čl. 31 ods. 1 revDSG: Súhlas — napríklad pri newsletteri, voliteľných cookies a Google OAuth.

Žiadne automatizované rozhodovanie: Nedochádza k automatizovanému rozhodovaniu v jednotlivých prípadoch vrátane profilovania v zmysle čl. 22 GDPR.

5. Cookies a sledovanie

Používame cookies a podobné technológie (local storage). Cookies sú malé textové súbory, ktoré váš prehliadač ukladá vo vašom zariadení.

5.1 Nevyhnutné cookies

Potrebné na prevádzku stránky (session cookie po prihlásení, token CSRF, súhlas s cookies, zvolený jazyk a mena). Právny základ: čl. 6 ods. 1 písm. f GDPR. Nemožno ich odmietnuť bez narušenia fungovania webstránky.

5.2 Analytické cookies (voliteľné) — Google Analytics 4

S vaším výslovným súhlasom udeleným cez cookie lištu používame Google Analytics 4 (Google Ireland Limited, Dublin; materská spoločnosť Google LLC, USA), aby sme pochopili, ako sa naša webstránka používa. Nastavujú sa cookies ako _ga a _ga_*. Google Analytics 4 nezaznamenáva ani neukladá IP adresy; navyše posielame signál na skrátenie IP. Bez súhlasu sa nenačíta žiadny skript Google. Súhlas môžete kedykoľvek odvolať na stránke Nastavenia cookies (odkaz je aj v päte stránky).

Prenos údajov do USA na základe štandardných zmluvných doložiek a rámca EU-US Data Privacy Framework.

Vaše rozhodnutie o súhlase (udelenie, zmena, odvolanie) zaznamenávame na serveri s anonymizovanou IP ako dôkaz podľa čl. 7 ods. 1 GDPR (uchovávanie: 3 roky). Ak sa tieto zásady podstatne zmenia, cookie lišta sa zobrazí znova.

6. Tretie strany

6.1 Stripe (spracovanie platieb)

Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Írsko. Stripe dostáva vaše meno, e-mailovú adresu, fakturačnú adresu, spôsob platby a sumu. Údaje o karte a bankové údaje sa spracúvajú výlučne na infraštruktúre Stripe certifikovanej podľa PCI-DSS a nikdy sa neodovzdávajú QRown. Prenos údajov do USA sa zakladá na štandardných zmluvných doložkách EÚ a rámci EU-US Data Privacy Framework.

Zmluva o spracúvaní (DPA): stripe.com/legal/dpa, Zásady ochrany osobných údajov: stripe.com/privacy.

6.2 Infomaniak (hosting a e-mail)

Infomaniak Network SA, Rue Eugène-Marziano 25, 1227 Les Acacias, Švajčiarsko. Hosťuje naše servery a odosiela transakčné e-maily (overenie, faktúry, obnovenie hesla). Údaje zostávajú výlučne vo Švajčiarsku.

Zásady ochrany osobných údajov: infomaniak.com/legal.

6.3 Google OAuth (voliteľné prihlásenie)

Ak sa rozhodnete prihlásiť cez Google, QRown dostane vašu e-mailovú adresu, meno, ID používateľa Google a URL profilovej fotky. Nežiada sa žiadny prístup k Drive, Gmailu ani Kalendáru. Poskytovateľ: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Írsko (materská spoločnosť Google LLC, USA). Prenos údajov na základe štandardných zmluvných doložiek a rámca EU-US Data Privacy Framework.

Ochrana údajov: policies.google.com/privacy.

6.5 Brevo (rozosielanie newslettera)

Náš newsletter rozosielame cez Brevo (Sendinblue SAS, 106 boulevard Haussmann, 75008 Paríž, Francúzsko; servery v EÚ). Brevo dostáva vašu e-mailovú adresu, jazyk a udalosti doručenia (nedoručenie, odhlásenie, otvorenie/kliknutie na meranie doručiteľnosti). Právny základ: váš súhlas (čl. 6 ods. 1 písm. a GDPR, double opt-in). Je uzavretá zmluva o spracúvaní údajov podľa čl. 28 GDPR. Ak odstránite svoj účet alebo sa odhlásite z newslettera, váš kontaktný záznam v Brevo sa vymaže alebo zablokuje.

Ochrana údajov: brevo.com/legal/privacypolicy.

6.6 Služba GeoIP ipapi.co (určenie polohy)

Na určenie približnej polohy pri skenoch QR kódov (štatistiky) a na automatický výber meny (CHF/EUR) sa dopytujeme služby ipapi.co (Kloudend Ltd., so sídlom v USA). Prenáša sa výlučne už anonymizovaná IP adresa (posledný oktet alebo posledných 80 bitov vynulovaných) cez šifrované spojenie — nikdy nie vaša úplná IP. Právny základ: čl. 6 ods. 1 písm. f GDPR (štatistiky na anonymizovanom základe). Prenos na základe štandardných zmluvných doložiek EÚ.

6.7 Google Web Risk (bezpečnostná kontrola URL)

Cieľové URL dynamických QR kódov automaticky kontrolujeme voči databáze Google Web Risk (Google LLC, USA) na phishing a malvér, a to pred presmerovaním alebo počas presmerovania ľudí, ktorí ich skenujú. Prenáša sa iba kontrolovaná URL, žiadne údaje o skenujúcej osobe. Právny základ: čl. 6 ods. 1 písm. f GDPR (ochrana skenujúcich osôb pred zneužívajúcimi odkazmi). Prenos na základe štandardných zmluvných doložiek a rámca EU-US Data Privacy Framework.

6.8 VirusTotal (kontrola súborov)

Ak je to zapnuté, súbory nahrané na platformu a verejne zdieľané sa pred zverejnením odosielajú na kontrolu malvéru do služby VirusTotal (Chronicle LLC, dcérska spoločnosť Google, USA). Ak si túto kontrolu neželáte, nenahrávajte súbory obsahujúce dôverné osobné údaje. Právny základ: čl. 6 ods. 1 písm. f GDPR (bezpečnosť príjemcov). Prenos na základe štandardných zmluvných doložiek.

6.10 Vyhľadávanie adries (OpenStreetMap / geo.admin.ch)

Pri QR kódoch s polohou môžete v editore vyhľadávať adresy; vyhľadávací dopyt sa odošle službe Nominatim nadácie OpenStreetMap Foundation (Spojené kráľovstvo). Ak nevráti výsledok, dopyt sa dodatočne odošle službe SearchServer na geo.admin.ch (Spolkový úrad pre topografiu swisstopo, Švajčiarsko), ktorá pokrýva oficiálny švajčiarsky register budov. Právny základ: čl. 6 ods. 1 písm. b GDPR (funkcia, ktorú ste si vyžiadali).

6.11 Písma a knižnice

Všetky písma (Inter, Font Awesome) a knižnice JavaScript hosťujeme lokálne na vlastných serveroch. Pri návšteve našich stránok sa nenačítavajú žiadne knižnice ani písma z externých sietí na doručovanie obsahu.

7. Doby uchovávania

• Údaje o účte: Kým svoj účet neodstránite (kedykoľvek v časti „Profil → Odstrániť účet“). Neaktívne účty vymazávame automaticky: po 23 mesiacoch bez prihlásenia pošleme e-mailom upozornenie; ak do 30 dní nedôjde k prihláseniu, účet sa úplne vymaže.
• Obsah QR kódov: Počas existencie účtu alebo kým QR kód neodstránite.
• Anonymné QR kódy (bez prihlásenia): 24 hodín, potom automatické vymazanie vrátane anonymizovanej IP; anonymné koncepty v editore 12 hodín.
• Jednotlivé záznamy o skenoch: 90 dní. Agregované anonymné počítadlá sa uchovávajú.
• Platobné a fakturačné údaje: 10 rokov (obchodná a daňová povinnosť uchovávania).
• Newsletter: Kým sa neodhlásite; odhlásené adresy sa uchovávajú na zozname blokovaných adries 24 mesiacov.
• Záznamy o súhlase: 3 roky ako dôkaz.
• Serverové a bezpečnostné logy: Najviac 90 dní (logy bezpečnostných udalostí až 180 dní).
• Log doručovania e-mailov: 90 dní po odoslaní.
• Pozvánky do tímu: 7 dní (otvorené pozvánky), potom automatické vymazanie; prijaté, odmietnuté alebo stiahnuté pozvánky okamžite.
• Súbory hromadného importu (CSV): Vymažú sa okamžite po spracovaní.
• Tikety podpory: 3 roky po uzavretí.
• Hlásenia zneužitia: 12 mesiacov.
• Odoslané formuláre a hodnotenia na stránkach zákazníkov: Kým ich zákazník nevymaže, najneskôr s vymazaním stránky, QR kódu alebo účtu.
• Vernostné karty: Automatické vymazanie zákazníckej karty a protokolu 24 mesiacov po poslednej aktivite; potvrdzovacie kódy najneskôr po 7 dňoch.

8. Vaše práva

V súvislosti s vašimi osobnými údajmi, ktoré má QRown, máte tieto práva:

• Prístup (čl. 15 GDPR / čl. 25 revDSG): aké údaje o vás uchovávame?
• Oprava (čl. 16 GDPR / čl. 32 revDSG): oprava nesprávnych údajov.
• Vymazanie (čl. 17 GDPR / čl. 32 revDSG): ak sa neuplatňujú povinnosti uchovávania.
• Obmedzenie spracúvania (čl. 18 GDPR).
• Prenosnosť údajov (čl. 20 GDPR): export vašich údajov v štruktúrovanom, strojovo čitateľnom formáte — po prihlásení kedykoľvek dostupný v časti „Profil → Moje údaje → Exportovať údaje“.
• Námietka proti spracúvaniu (čl. 21 GDPR).
• Odvolanie súhlasu kedykoľvek s účinnosťou do budúcnosti.
• Sťažnosť dozornému orgánu (Švajčiarsko: FDPIC/EDÖB, EÚ: príslušný orgán na ochranu údajov).

Ako prihlásený používateľ môžete získať prístup k svojim údajom a ich export okamžite a bez žiadosti cez odkaz na export vo svojom profile. Vo všetkých ostatných záležitostiach kontaktujte info@qrown.io. Odpovedáme do 30 dní.

9. Bezpečnosť údajov

Uplatňujeme tieto technické a organizačné opatrenia:

• Šifrovanie prenosu TLS 1.2+ na celej platforme
• Hashovanie všetkých hesiel pomocou bcrypt (faktor náročnosti aspoň 12)
• Hlavičky HSTS, CSP, X-Frame-Options a X-Content-Type-Options
• Tokeny CSRF pre všetky požiadavky meniace stav
• Cookies SameSite (Lax) a príznaky HttpOnly
• Pseudonymizácia IP adries pred uložením
• Princíp minimálnych oprávnení pri prístupe k databáze
• Denné šifrované zálohy
• Auditné logy administrátorských akcií
• Pravidelné bezpečnostné kontroly a aktualizácie závislostí

10. Prenosy do tretích krajín

Naše servery sa nachádzajú vo Švajčiarsku (Infomaniak); platí to aj pre naše presmerovacie domény qrwn.ch a qron.ch, cez ktoré sa rozpoznávajú skrátené odkazy QR kódov — vzťahujú sa na ne tieto zásady ochrany osobných údajov a rovnaké právne informácie. Niektoré tretie strany (Stripe, Google, Cloudflare, VirusTotal, ipapi.co) spracúvajú údaje aj v USA. Pri týchto prenosoch sa opierame o:

• Rozhodnutie Európskej komisie o primeranosti pre Švajčiarsko (Švajčiarsko → EÚ)
• Štandardné zmluvné doložky EÚ vrátane doplnkových opatrení
• Rámec EU-US Data Privacy Framework (pre certifikovaných poskytovateľov z USA)

11. Maloleté osoby

Naša služba nie je určená osobám mladším ako 16 rokov. Vedome nezhromažďujeme osobné údaje maloletých bez súhlasu rodiča alebo zákonného zástupcu. Ak sa o takýchto údajoch dozvieme, bezodkladne ich vymažeme.

12. Zmeny týchto zásad ochrany osobných údajov

Tieto zásady ochrany osobných údajov môžeme upraviť, ak sa zmení právny rámec alebo naše spracúvanie údajov. Aktuálna verzia s dátumom a číslom verzie je vždy dostupná na tejto stránke. Pri podstatných zmenách sa znova zobrazí cookie lišta a vyžiada sa nový súhlas.