Zásady ochrany osobních údajů

Tyto zásady ochrany osobních údajů vysvětlují, jaké osobní údaje služba ShiftPanda shromažďuje, proč je shromažďujeme, komu je předáváme a co po nás v souvislosti s nimi můžete požadovat. Vztahují se na webovou aplikaci ShiftPanda i na prezentační web.

Čtěte je společně s dokumentem Obchodní podmínky.

Platí tu dva odlišné vztahy. Na nich závisí, jaká práva můžete uplatnit a u koho.

Pokud nás požádáte o něco, co zpracováváme pouze jako zpracovatel, odkážeme vás na správce vaší organizace a s jejími údaji nebudeme nakládat na vlastní pěst.

Tyto údaje získáváme přímo od vás při registraci, když vás vaše organizace pozve, a během používání služby. Osobní údaje od třetích stran nekupujeme a z externích zdrojů nevytváříme profily.

• Osobní údaje neprodáváme, nepronajímáme ani s nimi neobchodujeme.
• Obsah vašich předávek nepoužíváme k trénování modelů strojového učení.
• Neukládáme celá čísla platebních karet – ta zpracovává přímo Stripe.
• Do protokolů nezapisujeme hesla, tokeny relací, tokeny pozvánek, platební tajné klíče ani soukromé adresy URL příloh.

• Provoz služby – ověření vaší totožnosti, zobrazení předávek vaší organizace a přiřazení záznamů jejich autorům.
• Odesílání nezbytných e-mailů – pozvánky, obnovení hesla a denní souhrny, které má vaše organizace zapnuté.
• Správná fakturace – správa zkušebních období, předplatného a počtu licencí.
• Zabezpečení služby – odhalování zneužití, omezování počtu pokusů o přihlášení a prošetřování incidentů.
• Poskytování podpory – odpovědi na dotazy, které nám pošlete.
• Porozumění tomu, jak se web používá – měření návštěvnosti veřejného webu a konverzí od registrace k předplatnému, aniž bychom sledovali práci s předávkami.
• Plnění zákonných povinností – vedení daňové a účetní evidence a vyřizování oprávněných žádostí orgánů.

Tam, kde se uplatní GDPR nebo podobný předpis, zpracováváme údaje na základě plnění smlouvy (provoz služby a fakturace), oprávněného zájmu (zabezpečení, prevence zneužití, podpora a měření používání veřejného webu a konverzí od registrace k předplatnému) a právní povinnosti (daňová a účetní evidence). Proti zpracování na základě oprávněného zájmu můžete vznést námitku, když nás kontaktujete.

ShiftPanda používá dva nezbytně nutné soubory cookie pro přihlášení a zabezpečení. Google Analytics může navíc k měření návštěvnosti veřejného webu a konverzních událostí používat identifikátory prohlížeče a podobné technologie. Lištu se souhlasem s cookies nezobrazujeme; analytika se načítá pouze v produkčním prostředí a odesílají se jen události popsané v těchto zásadách.

Osobní údaje sdílíme jen s poskytovateli, které potřebujeme k provozu služby, a pokud je měření zapnuté, také k měření používání veřejného webu. Jejich role a způsob nakládání s údaji popisujeme níže a v podmínkách, které pro jednotlivé služby platí.

Kontaktní formulář chrání Cloudflare Turnstile, který běží v prohlížeči neviditelně a odlišuje lidi od automatického provozu. Jeho používání se řídí dokumentem Dodatek o ochraně soukromí služby Cloudflare Turnstile.

Údaje můžeme zpřístupnit také tehdy, když to vyžaduje zákon, nebo v rámci fúze či prodeje majetku – v takovém případě vás upozorníme dříve, než se na vaše údaje začnou vztahovat jiné zásady ochrany osobních údajů.

Při registraci správce zvolí hosting v EU, nebo v USA. Účty a data organizací v EU využívají aplikační servery v Německu a databáze ve Frankfurtu; účty a data organizací v USA využívají aplikační servery a databáze ve Virginii. Soukromé přílohy, profilové fotky, exporty sestav a nezávislé výpisy databáze se ukládají do úložišť Cloudflare R2 v odpovídající jurisdikci EU, nebo USA.

Účty a relace jsou v každém regionu oddělené. Se stejnou e-mailovou adresou můžete mít nezávislý účet v obou regionech. Region hostingu je po registraci pevně daný.

Volba regionu neomezuje zpracování u všech poskytovatelů jen na tento region: globální síťové doručování, e-maily, platby, monitorování a podpora poskytovatelů mohou zahrnovat i jiné země.

Naši poskytovatelé mohou údaje zpracovávat i mimo vaši zemi. Tam, kde je to nutné, se předávání opírá o standardní smluvní doložky nebo rovnocennou záruku.

• Obsah předávek uchováváme po celou dobu, kdy má vaše organizace účet – trvalý záznam je smyslem celého produktu.
• Údaje o účtech mažeme do 30 dnů od smazání organizace.
• Serverové a bezpečnostní protokoly uchováváme nejvýše 90 dní.
• Fakturační a daňové záznamy uchováváme po dobu, kterou vyžadují účetní předpisy, obvykle 7 let.
• Zálohy se po smazání neupravují jednotlivě, ale zanikají v rámci své běžné rotace.

• Hesla ukládáme jako hash, nikdy je neuchováváme ani nepřenášíme v čitelné podobě.
• Relace používají soubory cookie s příznaky Secure a HttpOnly, ochranu proti CSRF a přísná pravidla pro požadavky mezi doménami.
• Každý dotaz na data organizace je omezen na vaše ověřené členství, takže jedna organizace nemůže číst data jiné.
• Oprávnění se vynucují na serveru, nejen skrytím v rozhraní.
• Odkazy v pozvánkách jsou neprůhledné jednorázové tokeny; ukládáme pouze jejich hash.
• Každé stažení přílohy se autorizuje zvlášť a soukromá úložiště nejsou nikdy veřejně dostupná.

Podle toho, kde žijete, můžete mít právo na přístup ke svým osobním údajům, na jejich opravu, výmaz a přenositelnost, na omezení zpracování a právo vznést proti zpracování námitku. Můžete také podat stížnost u dozorového úřadu pro ochranu osobních údajů.

Svá práva můžete uplatnit e-mailem na adrese privacy@getshiftpanda.com. Odpovíme do 30 dnů a za žádost vám nic neúčtujeme ani s vámi kvůli ní nebudeme jednat jinak.

ShiftPanda je pracovní nástroj a není určen dětem. Vědomě neshromažďujeme osobní údaje osob mladších 16 let. Pokud se domníváte, že nám údaje poskytlo dítě, napište na privacy@getshiftpanda.com a údaje smažeme.

Pokud porušení zabezpečení zasáhne vaše osobní údaje a pravděpodobně pro vás bude představovat riziko, oznámíme to správcům dotčených organizací a tam, kde to vyžaduje zákon, i příslušnému dozorovému úřadu – bez zbytečného odkladu, a pokud se uplatní GDPR, do 72 hodin od okamžiku, kdy se o něm dozvíme. V oznámení popíšeme, co se stalo, kterých údajů se to týká a co proti tomu děláme.

Tyto zásady budeme aktualizovat podle toho, jak se bude produkt měnit. Podstatné změny oznámíme správcům organizací e-mailem nebo v aplikaci nejméně 14 dní před jejich účinností. Datum „poslední aktualizace“ v horní části stránky vždy odpovídá aktuálnímu znění.

S dotazy k ochraně osobních údajů nebo kvůli uplatnění svých práv pište na privacy@getshiftpanda.com. Se vším ostatním se obracejte na team@getshiftpanda.com.