Ochrana osobních údajů

1. Kdo je správce

Správce: Media Logic, s.r.o.
Sídlo: Štúrova 1701/55, Krč, 142 00 Praha 4
IČO: 28971621
Kontakt pro ochranu údajů: info@carodej.cz

Pověřence pro ochranu osobních údajů jsme nejmenovali – nemáme zákonnou povinnost ho mít. Ve všech věcech ochrany údajů se obracejte na kontaktní e-mail výše.

2. Jaké údaje zpracováváme a proč

Údaje	Účel	Právní titul
Účet – e-mail, heslo (uložené jen jako otisk), datum registrace, poslední přihlášení	Vedení účtu, přihlašování, obnova hesla	Plnění smlouvy – čl. 6 odst. 1 písm. b) GDPR
Profil – oslovení, pohlaví, datum a čas narození, místo narození, nastavení a zvolená persona	Přizpůsobení výkladů. Datum a čas narození vyplňujete jen tehdy, když chcete výklady vázané na narození.	Plnění smlouvy – čl. 6 odst. 1 písm. b) GDPR
Osoby – jména a data narození lidí, které si do účtu uložíte	Výklady o vztahu ke konkrétnímu člověku. Ukládáte je vy a odpovídáte za to, že k tomu máte důvod.	Plnění smlouvy – čl. 6 odst. 1 písm. b) GDPR
Výklady – vaše otázky, vylosované karty, vygenerované texty, PDF	Dodání objednané služby a její uchování ve vašem účtu	Plnění smlouvy – čl. 6 odst. 1 písm. b) GDPR
Grimoár – poznámky, sny a témata, která si zapíšete, a shrnutí, která si z nich služba dělá	Aby si Čaroděj pamatoval vaši cestu a navazoval na ni	Plnění smlouvy – čl. 6 odst. 1 písm. b) GDPR
Platby – částka, měna, stav, identifikátor transakce, historie kouzel a předplatného	Vyřízení objednávky, účetnictví a daně	Plnění smlouvy – písm. b); po dodání pak právní povinnost – písm. c) GDPR
E-maily o odběru karty dne – e-mailová adresa	Zasílání karty dne, dokud se neodhlásíte	Souhlas – čl. 6 odst. 1 písm. a) GDPR
Návštěvnost – událost, čas, anonymní identifikátor odvozený ze session (viz článek 6)	Zjistit, které stránky lidem pomáhají a kde odcházejí	Oprávněný zájem – čl. 6 odst. 1 písm. f) GDPR
Provozní a bezpečnostní záznamy – kdo provedl citlivou operaci (např. smazání účtu), kdy a z jaké IP adresy	Bezpečnost účtů, prokázání provedených úkonů, řešení sporů	Oprávněný zájem – čl. 6 odst. 1 písm. f) GDPR

Nezpracováváme žádné zvláštní kategorie údajů ve smyslu čl. 9 GDPR a nechceme je. Do otázek prosím nepište údaje o svém zdravotním stavu, rodná čísla, čísla platebních karet ani hesla – nepotřebujeme je a jejich zpracování bychom se rádi vyhnuli.

3. Zpracování umělou inteligencí

Výklady píše jazykový model, který provozuje externí dodavatel. Dnes je jím OpenAI, v postavení našeho zpracovatele. Aktuální seznam používaných modelů spravujeme v administraci a s dodavatelem máme uzavřenou smlouvu o zpracování osobních údajů.

Dodavateli odchází text vaší otázky, vylosované karty a stručný kontext (například oslovení, datum narození, pokud jste ho vyplnili, a shrnutí dřívějších výkladů). Neposíláme mu vaši e-mailovou adresu, heslo, platební údaje ani identifikátor vašeho účtu.

3.1 Co odstraňujeme automaticky

Před odesláním prochází všechno, co má k dodavateli odejít, automatickým filtrem. Ten odstraňuje:

e-mailové adresy,
telefonní čísla a obecně souvislé řady devíti a více číslic,
IP adresy.

Filtr je záměrně přísný – raději začerní číslo, které identifikátorem nebylo, než aby jedno propustil.

3.2 Co filtr nezachytí

Říkáme to na rovinu, protože slib „nic neprojde“ by nebyl pravdivý. Filtr nezachytí rodné číslo napsané v obvyklém tvaru s lomítkem, číslo účtu ve tvaru IBAN ani číslo platební karty rozepsané po čtveřicích. Tyto údaje nám prosím neposílejte. První a nejúčinnější ochranou je, že je do otázky nenapíšete.

4. Komu údaje předáváme

PayU S.A. – platební brána. Zpracovává platbu a údaje o vaší kartě; ty se k nám vůbec nedostanou. U předplatného uchovává token karty, aby bylo možné strhnout platbu za další období.
OpenAI – generování výkladů, viz článek 3. Zpracování může probíhat i mimo Evropskou unii; předání je pokryto standardními smluvními doložkami Evropské komise, případně rozhodnutím o odpovídající ochraně.
Poskytovatel serverů: Internet Partner s.r.o. – provoz serverové infrastruktury. Servery jsou umístěny v České republice.
Odesílatel e-mailů: e-maily odesíláme z vlastní poštovní infrastruktury provozované v datacentru Internet Partner s.r.o. v České republice; externí rozesílací službu nevyužíváme.
Orgány veřejné moci – pouze tehdy, ukládá-li nám to zákon.

Osobní údaje neprodáváme a nepředáváme je pro reklamní účely třetích stran.

5. Jak dlouho údaje držíme

Co	Jak dlouho
Účet, profil a osoby po smazání účtu	30 dní, pak je noční úloha nenávratně smaže
Výklady a záznamy v Grimoáru po smazání účtu	Výklady 30 dní jako účet; záznamy v Grimoáru ihned, bez ochranného okna – jsou to nejosobnější poznámky, které o vás vedeme
Konverzace s Čarodějem po smazání	30 dní
Archiv se staženými daty (ZIP)	Zůstává ve vašem účtu; smaže se spolu s účtem nebo na vaši žádost. Záznam o žádosti zůstává
Anonymní výklad, který si nikdo nevyzvedl	Bez časového omezení – dokud si ho nevyzvednete do účtu nebo nepožádáte o smazání
Oznámení a e-maily o výkladech	Po dobu trvání účtu; smažou se spolu s ním
Údaje o návštěvnosti	Bez automatického mazání. Při smazání účtu z nich okamžitě mizí vazba na účet; zbytek je anonymní.
E-mail pro odběr karty dne	Do odhlášení. Po odhlášení adresu mažeme okamžitě, neuchováváme si ji na „seznamu odhlášených“.
Platby, doklady a pohyby kouzel	Po dobu, kterou ukládají daňové a účetní předpisy. Tyto záznamy přežívají smazání účtu – bez nich bychom nedoložili účetnictví. Zůstává v nich částka, datum a identifikátor transakce; účet, ke kterému patřily, je v té chvíli už anonymizovaný.
Bezpečnostní a auditní záznamy	Po dobu, po kterou je potřebujeme k prokázání provedených úkonů a k obraně proti nárokům. Nemažeme je automaticky.
Technický log volání AI	Neobsahuje text otázky, jméno ani e-mail – jen model, počet tokenů, cenu a výsledek. Uchováváme jej pro kontrolu nákladů a chybovosti, bez automatického mazání.

6. Cookies

Používáme jen nezbytné cookies. Žádné sledovací, žádné reklamní, žádné cookies třetích stran.

Proto po vás nechceme souhlas s cookies: podle § 89 odst. 3 zákona č. 127/2005 Sb., o elektronických komunikacích, se souhlas nevyžaduje u cookies, které jsou nezbytné pro poskytnutí služby, o kterou jste výslovně požádali. Všechny naše cookies takové jsou. Až budeme chtít nasadit cokoli, co nezbytné není, zeptáme se předem.

Cookie	K čemu	Jak dlouho
`PHPSESSID`	Session – přihlášení, hlášky, ochrana formulářů	Do zavření prohlížeče
`REMEMBERME`	Trvalé přihlášení. Nastaví se jen tehdy, když si při přihlášení zaškrtnete „zůstat přihlášen“.	30 dní
`ct`	Drží nárok na výklad, který jste si objednali bez účtu. Bez ní bychom vám zaplacený výklad nedokázali vydat.	400 dní
Ochrana formulářů	Krátkodobá cookie proti podvržení formuláře (CSRF). Zakládá ji prohlížeč při zobrazení formuláře a po odeslání mizí.	Do zavření prohlížeče

Měření návštěvnosti běží bez cookies. Nepoužíváme Google Analytics ani jiný externí nástroj. Identifikátor návštěvníka počítáme jako jednosměrný otisk z identifikátoru session – nedá se z něj zpětně nic zjistit, nesleduje vás mezi návštěvami a bez session neexistuje vůbec.

7. Vaše práva

Máte právo na přístup ke svým údajům, na jejich opravu, na výmaz, na omezení zpracování, na přenositelnost a právo vznést námitku proti zpracování založenému na oprávněném zájmu. Souhlas – u odběru karty dne – můžete kdykoli odvolat, odkaz je v každém e-mailu.

Dvě z těchto práv umíte uplatnit sami, hned a bez čekání, ve svém účtu na stránce Moje data:

Stažení dat. Připravíme vám archiv s údaji o účtu, profilu, platbách, uložených osobách, Grimoáru, konverzacích, oznámeních, dokumentech a doporučeních. Je v něm i to, co si o vás vedeme, aniž byste to sami vyplnili: záznamy o návštěvách stránek a záznamy o vašich zásazích do účtu. Odkaz na stránce platí hodinu, odkaz v e-mailu 48 hodin. O export lze požádat dvakrát denně. Hotový archiv u nás zůstává ve vašem účtu a smaže se spolu s ním nebo na vaši žádost. Záznam o tom, že jste o export požádali a kdy jsme ho připravili, zůstává.
Archiv obsahuje i výklady – vaše otázky, vylosované karty i celý text výkladu, včetně těch, které jste smazali a kterým ještě nedoběhla třicetidenní lhůta.
Smazání účtu. Potvrdíte heslem a je to okamžité: e-mail, heslo, profil i nastavení přepíšeme ihned, ostatní data odejdou do 30 dnů. Co ze zákona zůstat musí – účetní záznamy – je popsané v článku 5.

Cokoli dalšího nám napište na info@carodej.cz. Odpovíme do jednoho měsíce.

Máte také právo podat stížnost u dozorového úřadu, kterým je Úřad pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, uoou.gov.cz.

8. Automatizované rozhodování

Neprovádíme automatizované rozhodování s právními účinky ani profilování ve smyslu čl. 22 GDPR. Doporučení, která vám služba nabízí, vycházejí z toho, na co jste se ptali; nemají žádný právní dopad a můžete je ignorovat.

9. Změny tohoto dokumentu

Když se změní to, co se službou děláme, změníme i tento text a zveřejníme ho na této adrese. U podstatné změny vás upozorníme e-mailem.