Podklady pro IT, bezpečnost a pověřence
Večírkovky a vaše data na jedné stránce
Shrnutí pro security review a GDPR. Závazné znění je ve Zpracovatelské smlouvě (verze 1.4, účinná od 27. 9. 2026), která je součástí obchodních podmínek. Stav k 27. 9. 2026.
Co služba dělá
Firma založí akci a vloží seznam týmu (jméno, oddělení, pracovní e-mail). Kolegové dostanou e-mail a sami se rozhodnou, jestli budou ve hře: nahrají fotku, ze které vznikne tečkový portrét, a napíšou o sobě jednu větu. Z toho vzniknou hry, které se na akci hrají na projektoru a na telefonech hostů v prohlížeči. Hráči se neregistrují.
Role
| Správce údajů kolegů | Vaše firma (zákazník). |
|---|---|
| Zpracovatel | Právo pro makléře, s.r.o., IČO 07548222, Klicperova 1266/1, 500 03 Hradec Králové. Zpracovatelská smlouva podle čl. 28 GDPR vzniká s registrací. |
| Samostatný správce | Pro údaje kontaktních osob zákazníka, hráčů a návštěvníků webu jsme správcem my, podle Zásad ochrany osobních údajů. |
| AI služba zákazníka | Když si firma připojí Claude nebo ChatGPT přes konektor, údaje, které si tam načte, předáváme na její pokyn. Poskytovatel AI je příjemcem správce, ne naším subzpracovatelem (čl. 4.2 smlouvy). Bez konektoru se dá všechno připravit na webu. |
Jaké údaje kolegů zpracováváme
| Údaj | Zdroj | Jak dlouho |
|---|---|---|
| Jméno a příjmení, oddělení, pracovní e-mail | správce | 30 dní po datu akce, u akce bez data 180 dní po založení |
| Příznak šéfa (karta Černého Petra) | správce | jako výše |
| Rozhodnutí o účasti a jeho čas | kolega | jako výše |
| Tečkový portrét (PNG vytvořený v zařízení kolegy) | kolega | jako výše, nezálohuje se |
| Zajímavost o sobě (nejvýš 140 znaků) | kolega | jako výše |
| Záznamy o odeslaných pozvánkách a připomínkách | systém | jako výše |
- Originál fotografie nikdy nedostaneme. Tečkový portrét vzniká v prohlížeči kolegy, na server jde jen výsledek.
- Zvláštní kategorie údajů nezpracováváme. Server odmítá texty s citlivými tématy (zdraví, politika, víra, sexualita).
- Účast je dobrovolná a odmítnutí nejde dohledat. Organizátor vidí u kolegy jen „ve hře“ nebo „zatím ne“; odmítnutí vypadá stejně jako nevyplněná jmenovka. Připomínky nejvýš dvě.
Kde data jsou
| Subzpracovatel | Činnost | Umístění |
|---|---|---|
| Hetzner Online GmbH, Německo | server, aplikace a databáze | Norimberk, DE |
| Amazon Web Services EMEA SARL, Lucembursko | odesílání e-mailů kolegům (Amazon SES) | Frankfurt, DE |
| Google Ireland Limited, Irsko | schránky @vecirkovky.cz včetně podpory, jen když nám někdo pošle údaje e-mailem; pošta se nepřeposílá mimo Workspace Večírkovek | EU, případně USA (EU–US Data Privacy Framework) |
Údaje kolegů v databázi, portréty a e-maily kolegům zůstávají v EU. Aktuální seznam je v Příloze 3 zpracovatelské smlouvy. Změnu subzpracovatele oznamujeme e-mailem 30 dní předem.
Zabezpečení
- Přenos: veškerá komunikace přes TLS, HSTS a přísná Content Security Policy.
- Přihlášení bez hesel: jednorázový odkaz nebo 6místný kód z e-mailu, relační cookie HttpOnly. Konektor AI služby přes OAuth.
- Tokeny jen jako hash: odkazy, relace, tokeny hráčů a klíče moderátora se v databázi ukládají jako SHA-256.
- Přístup: k serveru a databázi má přístup jen jednatel zpracovatele a pověřený správce systému. Aplikace běží pod databázovou rolí jen s nezbytnými oprávněními.
- Nezměnitelné záznamy: auditní záznam, kniha kreditů a souhlasy jsou jen pro zápis, bez úprav a mazání.
- Neveřejné hry: hry nejsou ve vyhledávačích a otevřou se jen odkazem nebo kódem, platnost 30 dní. Moderátor má samostatný tajný odkaz.
- Zálohy: šifrované (restic, AES-256), uložené mimo server v EU, nejdéle 12 měsíců. Portréty se nezálohují. Aplikační logy nejdéle 1 měsíc.
Mazání
Údaje kolegů a portréty se automaticky mažou 30 dní po datu akce, u akce bez data 180 dní po jejím založení. Výmaz se zapíše do auditního záznamu a odkazy na hry přestanou fungovat. Správce může smazat dřív: smazáním akce nebo zrušením účtu.
Incidenty a audit
- Porušení zabezpečení hlásíme správci bez zbytečného odkladu, s cílem do 48 hodin.
- Audit správcem nebo auditorem vázaným mlčenlivostí: nahlášený 30 dní předem, nejvýš jednou za 12 měsíců.
Co zůstává na vás jako správci
- Právní titul pro zpracování (pozvánka je oprávněný zájem, portrét a zajímavost souhlas kolegy, který služba sbírá).
- Informovat kolegy. Text podle čl. 13 GDPR je na stránce jmenovky, kterou kolega otevře z e-mailu (Informace pro kolegy).
- Nevkládat citlivé údaje a nesnažit se zjistit, kdo účast odmítl.
- Pokud používáte konektor v Claude nebo ChatGPT, řídí se předání údajů vaší smlouvou s poskytovatelem AI. Konektor povoluje admin vašeho AI workspace, bez něj stačí web.
Dokumenty ke stažení
- Zpracovatelská smlouva (čl. 28 GDPR, přílohy: údaje, opatření, subzpracovatelé)
- Obchodní podmínky
- Zásady ochrany osobních údajů
- Informace pro kolegy
- Pravidla obsahu
Máte doplňující dotazy k bezpečnosti? Napište na podpora@vecirkovky.cz nebo volejte +420 704 979 070. Vyplněný bezpečnostní dotazník vrátíme obvykle do 2 pracovních dnů.