Ochrana osobných údajov

I Prevádzkovateľ

Prevádzkovateľom osobných údajov podľa nariadenia GDPR a zákona č. 18/2018 Z. z. o ochrane osobných údajov je spoločnosť Chochi Webworks OÜ, so sídlom Tartu mnt 67/1-13b, Kesklinna district, 10115 Tallinn, Estónsko, IČO: 17337347, konajúca prostredníctvom konateľa Martina Chocholáča (ďalej len „prevádzkovateľ").

Kontakt pre otázky ochrany údajov: info@vyhrat.sk

Osobnými údajmi sú informácie o identifikovanej alebo identifikovateľnej fyzickej osobe.

II Aké údaje spracúvame

Rozsah údajov závisí od toho, či Portál používate ako host (bez prihlásenia) alebo ako registrovaný používateľ či partner.

Registrovaní používatelia

identifikačné a prihlasovacie údaje: používateľské meno, e-mail, hash hesla;
voliteľné profilové údaje: rok narodenia, nastavenie obsahu pre dospelých (18+), dátum registrácie a posledného prihlásenia;
gamifikačné údaje: zostatok Body, XP, úroveň, odznaky, história účtovných pohybov (ledger);
nastavenia notifikácií: e-mailové notifikácie, upozornenia na koniec súťaže, výsledky, kategórie záujmu (výber kategórií v účte);
newsletter: e-mail a stav odberu (aktívny / neaktívny), token na potvrdenie alebo odhlásenie;
referral program: vlastný referral kód a väzba na osobu, ktorá vás odporučila (ak bola použitá pri registrácii);
účasť v súťažiach: evidencia splnených podmienok v účte, priradené súťaže;
interakcie na Portáli: kliknutia na súťažné tlačidlá a promo prvky a zobrazenia bannerov sa pri prihlásených používateľoch evidujú s ID účtu (u hostí len s anonymnou reláciou);
kvízy: pokusy o kvíz (počet správnych odpovedí, získané Body/XP, čas začiatku a dokončenia);
obchod s poukážkami: záznamy o získaných poukážkach (typ, odpočítané Body, kód alebo stav uplatnenia);
PRO členstvo: stav predplatného, dátum expirácie, spôsob aktivácie (platba Stripe, Body a pod.);
technické tokeny prihlásenia: trvalý remember-me token v databáze (pozri časť IV).

Hostia (návštevníci bez prihlásenia)

anonymný identifikátor relácie (vyhrat_sid v cookie a v serverových záznamoch);
udalosti návštevy: typ udalosti, URL stránky, čas — tabuľka guest_event_log;
kliknutia na tlačidlá a odkazy (účasť v súťaži, promo pásy a pod.): zdroj kliknutia, cieľ, čas, prípadne ID relácie — tabuľka click_event;
zobrazenia bannerov na detaile súťaže: ID banneru, relácia alebo ID používateľa (ak je prihlásený), skrátený user-agent, hash IP adresy (nie surová IP), príznak podozrenia na bota, klik na CTA, zatvorenie banneru.

Partneri (firemné účty)

údaje účtu partnera (rovnako ako pri používateľoch) plus firemný profil: obchodné meno, kontaktná osoba, fakturačný e-mail, telefón, IČO, DIČ, logo, farba značky;
obsah vytvorený partnerom: súťaže, kvízy, poukážky (vrátane stavu schválenia a poznámok moderátora);
predplatné a platby: stav partnerského balíka, dátum expirácie, referencia na Stripe platbu; po skončení predplatného aj stav ochrannej lehoty (predvolene 7 dní) a prípadné pozastavenie partnerských výhod (skrytie poukážok a kvízov, ukončenie zvýhodnenia súťaží) do obnovenia balíka;
servisné e-maily k partnerskému účtu: privítanie, aktivácia balíka, začiatok ochrannej lehoty, pozastavenie výhod a obnovenie — zasielajú sa na e-mail partnerského účtu ako súčasť poskytovania služby;
B2B objednávky: firemné údaje z objednávkového formulára, kontakt na zaslanie výsledkov;
súhrnné logy e-mailových kampaní k súťažiam: počet príjemcov, úspešne doručených a neúspešných správ — bez ukladania e-mailových adries príjemcov v tomto logu.

Čo vedome nezbierame

Nezbierame zdravotné údaje, politické názory, vierovyznanie ani presnú geolokáciu z GPS. Hash IP adresy pri banneroch slúži len na technickú diagnostiku a nie je určený na určenie presnej polohy.

III Účely a právne základy

Prevádzka účtu a poskytovanie služieb — registrácia, prihlásenie, správa súťaží, kvízov, Body a PRO (právny základ: plnenie zmluvy alebo kroky pred uzatvorením zmluvy podľa čl. 6 ods. 1 písm. b) GDPR).
Platby — spracovanie platieb cez Stripe, aktivácia PRO alebo partnerského balíka (plnenie zmluvy; právne povinnosti podľa účtovných a daňových predpisov).
Newsletter a marketing — zasielanie súhrnov súťaží a obchodných oznámení len pri aktívnom odbere alebo súhlase; odhlásenie je možné v každom e-maile alebo v účte (súhlas podľa čl. 6 ods. 1 písm. a); oprávnený záujem na primeranom marketingu voči existujúcim zákazníkom, ak to zákon umožňuje.
Notifikácie podľa nastavení — upozornenia na koniec súťaže, výsledky, kategórie (plnenie zmluvy / súhlas podľa typu notifikácie).
Gamifikácia a referral program — prideľovanie Body, XP, odmien za odporúčanie (plnenie zmluvy / oprávnený záujem na fungovaní vernostného programu).
Analytika a štatistiky — meranie návštevnosti, kliknutí, výkonu súťaží a bannerov pre prevádzkovateľa a partnerov (oprávnený záujem; pri analytických/marketingových cookies aj súhlas — pozri časť IV).
Bezpečnosť a prevencia zneužitia — logy prihlásení, CSRF ochrana, detekcia botov pri banneroch (oprávnený záujem / právna povinnosť).
Re-engagement e-maily — aktivácia neaktívnych účtov a win-back kampane s rešpektovaním nastavení notifikácií (oprávnený záujem alebo súhlas).
Plnenie voči partnerom — export výsledkov kvízov, zaslanie súhrnných B2B reportov a servisné e-maily o stave partnerského balíka (aktivácia, ochranná lehota po expirácii, pozastavenie, obnovenie) (plnenie zmluvy s partnerom a plnenie voči vám pri dobrovoľnej účasti v súťaži/kvíze partnera — pozri časť V).

IV Súbory cookie a podobné technológie

Nevyhnutné cookies (bez súhlasu)

Relačná cookie (JSESSIONID) — udržanie prihlásenej relácie počas návštevy.
CSRF cookie (XSRF-TOKEN) — ochrana formulárov pred útokmi cross-site request forgery.
Remember-me cookie (remember-me) — trvalé prihlásenie po úspešnom prihlásení. Pri prihlásení je k dispozícii voľba „Zostať prihlásený". Ak ju zaškrtnete, cookie platí maximálne 30 dní; ak ju nezaškrtnete, platí 7 dní. V databáze sa uchováva spárovaný token. Odhlásením alebo zmenou hesla sa token zneplatní.
Identifikátor relácie (vyhrat_sid) — anonymná cookie (platnosť približne 90 dní) na prepojenie návštevy hosta s neskoršou registráciou a analytikou.

Analytické a marketingové cookies

Na Portáli používame nástroj CookieScript (cookie-script.com) na správu súhlasu. Analytické a marketingové cookies (vrátane Google Tag Manager a súvisiacich služieb) sa aktivujú až po súhlase v cookie lište. Nastavenie súhlasu môžete kedykoľvek zmeniť cez cookie lištu alebo nastavenia prehliadača.

V Zdieľanie údajov s partnermi

Ak sa dobrovoľne zapojíte do súťaže, kvízu alebo akcie konkrétneho partnera na Portáli, môžu sa partnerovi poskytnúť údaje nevyhnutné na vyhodnotenie a reporting:

Export kvízu (CSV) — partner so schváleným kvízom si môže stiahnuť súbor so stĺpcami: používateľské meno, počet správnych odpovedí, počet otázok, pridelené Body, dátum dokončenia. E-mailová adresa sa v tomto exporte neuvádza.
B2B e-mail s výsledkami súťaže — po skončení plateného balíka partner dostane na kontaktný e-mail z objednávky súhrnné KPI: názov súťaže, počty zobrazení, unikátnych divákov, účastníkov, zdieľaní, výhercov, externých kliknutí. Zoznam mien alebo e-mailov účastníkov sa v e-maile neposiela.
Štatistiky v partnerskom dashboarde — agregované metriky súťaží: zobrazenia detailu, kliknutia prihlásených používateľov na súťažný odkaz, účasti, a štatistiky e-mailovej propagácie (počty príjemcov a doručených správ z logu bez adries). Partner vidí len súhrnné čísla — identita jednotlivých používateľov sa v dashboarde nezobrazuje.

Právny základ: plnenie zmluvy (medzi vami a prevádzkovateľom pri používaní Portála, medzi partnerom a prevádzkovateľom pri partnerskej službe) a vaša dobrovoľná účasť v súťaži alebo kvíze, ktorej pravidlá sú zverejnené pri danej akcii. Organizátor súťaže môže mať vlastné podmienky ochrany údajov — odporúčame ich prečítať pred účasťou.

VI Doba uchovávania

Účet používateľa — po dobu existencie účtu; po žiadosti o vymazanie účtu údaje zmažeme alebo anonymizujeme, pokiaľ zákon nevyžaduje dlhšie uchovanie (napr. účtovné doklady k platbám).
Newsletter — do odhlásenia z odberu alebo vymazania účtu.
Remember-me tokeny — do expirácie cookie (7 alebo 30 dní), odhlásenia alebo zmeny hesla.
Rozpracované platby PRO — záznam čakajúci na platbu sa po uplynutí lehoty (predvolene 7 dní, nastaviteľné v systéme) označí ako opustený a neaktivuje službu.
Logy udalostí a kliknutí — po dobu potrebnú na analytiku, reporting partnerom a bezpečnosť; agregované štatistiky môžu byť uchované dlhšie v anonymizovanej podobe.
Logy e-mailových kampaní (competition_email_log, activation_email_log) — na audit odoslaní a prevenciu duplicitných kampaní; neobsahujú zoznam adries príjemcov v prípade súhrnného logu súťaží.
Údaje o platbách — podľa zákonných lehôt pre účtovníctvo a daňové účely; Stripe uchováva platobné záznamy podľa svojich pravidiel.

Po uplynutí doby uchovávania údaje vymažeme alebo anonymizujeme.

VII Príjemcovia a sprostredkovatelia

Údaje môžu byť sprístupnené týmto kategóriám príjemcov:

Stripe — spracovanie online platieb (platobný sprostredkovateľ).
Poskytovatelia hostingu a e-mailovej infraštruktúry — prevádzka serverov a doručovanie správ.
Google / CookieScript — analytika a správa cookie súhlasov (po vašom súhlase).
Partneri — v rozsahu popísanom v časti V.
Oprávnené orgány — ak to vyžaduje zákon.
Poverené osoby prevádzkovateľa — zamestnanci a spolupracovníci viazaní mlčanlivosťou.

Prenos údajov mimo EHP môže nastať u globálnych poskytovateľov (napr. Stripe, Google) na základe štandardných zmluvných doložiek alebo iných zákonných mechanizmov.

VIII Práva dotknutej osoby

Za podmienok zákona o ochrane osobných údajov a GDPR máte právo:

požiadať o prístup k osobným údajom;
požiadať o opravu nesprávnych údajov;
požiadať o vymazanie („právo zabudnutia"), ak na spracovanie nie je iný zákonný dôvod;
požiadať o obmedzenie spracovania;
namietať proti spracovaniu založenému na oprávnenom záujme;
požiadať o prenositeľnosť údajov, ak sa spracovanie zakladá na súhlase alebo zmluve a prebieha automatizovane;
kedykoľvek odvolať súhlas so spracovaním založeným na súhlase (bez vplyvu na zákonnosť spracovania pred odvolaním);
vymazať účet v nastaveniach účtu alebo kontaktovaním info@vyhrat.sk.

Žiadosti posielajte na info@vyhrat.sk. Odpovieme v zákonnej lehote.

Máte právo podať sťažnosť na Úrad na ochranu osobných údajov Slovenskej republiky (dataprotection.gov.sk), ak sa domnievate, že bolo porušené vaše právo na ochranu údajov.

IX Zabezpečenie údajov

Prevádzkovateľ prijal primerané technické a organizačné opatrenia: šifrované prenosy (HTTPS), hashovanie hesiel, obmedzený prístup k databáze, logovanie bez ukladania surovej IP pri banneroch (používa sa hash), ochrana formulárov CSRF tokenom a pravidelná údržba systému.

X Záverečné ustanovenia

Registráciou alebo pokračovaním v používaní Portálu potvrdzujete, že ste sa oboznámili s týmto dokumentom.

Prevádzkovateľ môže tieto podmienky aktualizovať. Nové znenie zverejní na tejto stránke s dátumom poslednej aktualizácie. Pri podstatných zmenách vás môžeme informovať aj e-mailom, ak máme vašu adresu.

Súvisiace dokumenty: obchodné podmienky, štatút vybranej súťaže (ak sa súťaže účastníte).