Podklady pro IT, bezpečnost a pověřence
Večírkovky a vaše data na jedné stránce
Shrnutí pro security review a GDPR. Závazné znění je ve Zpracovatelské smlouvě (verze 1.4, účinná od 27. 9. 2026), která je součástí obchodních podmínek. Stav k 27. 9. 2026.
Co služba dělá
Firma založí akci a vloží seznam týmu (jméno, oddělení, pracovní e-mail). Kolegové dostanou e-mail a sami se rozhodnou, jestli budou ve hře: nahrají fotku, ze které vznikne tečkový portrét, a napíšou o sobě jednu větu. Z toho vzniknou hry, které se na akci hrají na projektoru a na telefonech hostů v prohlížeči. Hráči se neregistrují.
Role
| Správce údajů kolegů | Vaše firma (zákazník). |
|---|---|
| Zpracovatel | Právo pro makléře, s.r.o., IČO 07548222, Klicperova 1266/1, 500 03 Hradec Králové. Zpracovatelská smlouva podle čl. 28 GDPR vzniká s registrací. |
| Samostatný správce | Pro údaje kontaktních osob zákazníka, hráčů a návštěvníků webu jsme správcem my, podle Zásad ochrany osobních údajů. |
| AI služba zákazníka | Když si firma připojí Claude nebo ChatGPT přes konektor, údaje, které si tam načte, předáváme na její pokyn. Poskytovatel AI je příjemcem správce, ne naším subzpracovatelem (čl. 4.2 smlouvy). Bez konektoru se dá všechno připravit na webu. |
Jaké údaje kolegů zpracováváme
| Údaj | Zdroj | Jak dlouho |
|---|---|---|
| Jméno a příjmení, oddělení, pracovní e-mail | správce | 30 dní po datu akce, u akce bez data 180 dní po založení |
| Příznak šéfa (karta Černého Petra) | správce | jako výše |
| Rozhodnutí o účasti a jeho čas | kolega | jako výše |
| Tečkový portrét (PNG vytvořený v zařízení kolegy) | kolega | jako výše, nezálohuje se |
| Zajímavost o sobě (nejvýš 140 znaků) | kolega | jako výše |
| Záznamy o odeslaných pozvánkách a připomínkách | systém | jako výše |
- Originál fotografie nikdy nedostaneme. Fotka neopustí zařízení kolegy, portrét se nakreslí v prohlížeči a na server jde jen tečkový portrét. Portréty mažeme 30 dní po akci.
- Citlivá témata hlídá filtr. Texty o politice, víře, sexualitě, penězích a propouštění server odmítne. U zmínky o zdraví autora upozorní a uloží ji, jen když ji autor potvrdí.
- Účast je dobrovolná a odmítnutí nejde dohledat. Organizátor vidí u kolegy jen „ve hře“ nebo „zatím ne“; odmítnutí vypadá stejně jako nevyplněná jmenovka. Připomínky nejvýš dvě.
- Hry a jmenovky bez reklamních kódů. Google Ads, Sklik a ChatGPT Ads měříme jen na stránkách, které službu představují, a jen se souhlasem návštěvníka. Stránky her, jmenovek a účtů žádný měřicí kód třetí strany nenačítají, kolegové ani hráči se na souhlas neptají.
Kde data jsou
| Subzpracovatel | Činnost | Umístění |
|---|---|---|
| Hetzner Online GmbH, Německo | server, aplikace a databáze | Norimberk, DE |
| Amazon Web Services EMEA SARL, Lucembursko | odesílání e-mailů kolegům (Amazon SES) | Frankfurt, DE |
| Google Ireland Limited, Irsko | schránky @vecirkovky.cz včetně podpory, jen když nám někdo pošle údaje e-mailem; pošta se nepřeposílá mimo Workspace Večírkovek | EU, případně USA (EU–US Data Privacy Framework) |
Údaje kolegů v databázi, portréty a e-maily kolegům zůstávají v EU. Aktuální seznam je v Příloze 3 zpracovatelské smlouvy. Změnu subzpracovatele oznamujeme e-mailem 30 dní předem.
Zabezpečení
- Přenos: veškerá komunikace přes TLS, HSTS a přísná Content Security Policy.
- Přihlášení bez hesel: jednorázový odkaz nebo 6místný kód z e-mailu, relační cookie HttpOnly. Konektor AI služby přes OAuth.
- Tokeny jen jako hash: odkazy, relace, tokeny hráčů a klíče moderátora se v databázi ukládají jako SHA-256.
- Přístup: k serveru a databázi má přístup jen jednatel zpracovatele a pověřený správce systému. Aplikace běží pod databázovou rolí jen s nezbytnými oprávněními.
- Nezměnitelné záznamy: auditní záznam, pohyby balíčků a souhlasy jsou jen pro zápis, bez úprav a mazání.
- Neveřejné hry: hry nejsou ve vyhledávačích a otevřou se jen odkazem nebo kódem, platnost 30 dní. Moderátor má samostatný tajný odkaz.
- Zálohy: šifrované (restic, AES-256), uložené mimo server v EU, nejdéle 12 měsíců. Portréty se nezálohují. Aplikační logy nejdéle 1 měsíc.
Mazání
Údaje kolegů a portréty se automaticky mažou 30 dní po datu akce, u akce bez data 180 dní po jejím založení. Výmaz se zapíše do auditního záznamu a odkazy na hry přestanou fungovat. Správce může smazat dřív: smazáním akce nebo zrušením účtu.
Incidenty a audit
- Porušení zabezpečení hlásíme správci bez zbytečného odkladu, s cílem do 48 hodin.
- Audit správcem nebo auditorem vázaným mlčenlivostí: nahlášený 30 dní předem, nejvýš jednou za 12 měsíců.
Co zůstává na vás jako správci
- Právní titul pro zpracování (pozvánka je oprávněný zájem, portrét a zajímavost souhlas kolegy, který služba sbírá).
- Informovat kolegy. Text podle čl. 13 GDPR je na stránce jmenovky, kterou kolega otevře z e-mailu (Informace pro kolegy).
- Nevkládat citlivé údaje a nesnažit se zjistit, kdo účast odmítl.
- Pokud používáte konektor v Claude nebo ChatGPT, řídí se předání údajů vaší smlouvou s poskytovatelem AI. Konektor povoluje admin vašeho AI workspace, bez něj stačí web.
Dokumenty ke stažení
- Zpracovatelská smlouva (čl. 28 GDPR, přílohy: údaje, opatření, subzpracovatelé)
- Obchodní podmínky
- Zásady ochrany osobních údajů
- Informace pro kolegy
- Pravidla obsahu
Máte doplňující dotazy k bezpečnosti? Napište na podpora@vecirkovky.cz nebo volejte +420 775 234 383. Vyplněný bezpečnostní dotazník vrátíme obvykle do 2 pracovních dnů.