Zásady ochrany osobních údajů StudentHub

1. Kdo osobní údaje zpracovává

Správcem osobních údajů a provozovatelem platformy je Adam Abrahámek, fyzická osoba nepodnikající.

E-mail pro otázky k ochraně osobních údajů

studenthubbrno@gmail.com

Služba

StudentHub, dostupný zejména na adrese studenthubapp.cz

StudentHub není oficiálně spojený s žádnou univerzitou, pokud není u konkrétní spolupráce výslovně uvedeno jinak. Uživatelé by do služby neměli zadávat školní hesla ani jiné přihlašovací údaje ke školním systémům.

2. Pro koho jsou tyto zásady určeny

Tyto zásady vysvětlují, jak StudentHub zpracovává osobní údaje:

• návštěvníků webu,
• registrovaných uživatelů,
• osob, které zveřejní obsah,
• osob používajících chat a další komunitní funkce,
• osob kontaktujících provozovatele,
• osob, jejichž údaje se objeví v hlášení, moderátorském podnětu nebo bezpečnostním incidentu,
• případně osob, jejichž údaje byly získány z externího zdroje.

StudentHub je určen především studentům. Minimální věk pro registraci a používání uživatelských funkcí je 15 let.

Pokud je zpracování osobních údajů dítěte založeno na souhlasu a jde o nabídku služby informační společnosti přímo dítěti, český zákon č. 110/2019 Sb. stanoví způsobilost dítěte k udělení takového souhlasu od 15 let. Tato hranice sama o sobě neurčuje způsobilost ke každému právnímu jednání; ta se posuzuje podle povahy jednání, věku a platných právních předpisů.

3. Jaké osobní údaje zpracováváme

Rozsah údajů závisí na tom, jakou funkci uživatel používá.

3.1 Účet a přihlášení

Při registraci a používání účtu můžeme zpracovávat zejména:

• e-mailovou adresu,
• technický identifikátor účtu,
• údaje potřebné pro ověření a správu přihlášení,
• údaje o potvrzení účtu,
• údaje potřebné k obnově účtu,
• bezpečnostní údaje související s přihlášením a relací.

Jedinou aktivní metodou přihlášení je e-mail a heslo. Autentizaci zajišťuje Supabase Auth. StudentHub neukládá hesla v čitelné podobě; hesla zpracovává autentizační služba. Přístupový token má v současné konfiguraci platnost 3 600 sekund a relace se obnovuje pomocí rotovaného refresh tokenu.

3.2 Profil

Uživatel může podle dostupných funkcí dobrovolně zadat zejména:

• přezdívku,
• uživatelské jméno,
• popis profilu,
• zájmy,
• profilovou fotografii,
• školu,
• fakultu,
• studijní program nebo ročník,
• další údaje výslovně označené jako dobrovolné.

Veřejný profil zobrazuje pouze údaje určené ke zveřejnění. E-mailová adresa, telefonní číslo, přesná poloha, neveřejné kontaktní údaje, interní moderátorské údaje a bezpečnostní záznamy nejsou veřejně dostupné. Uživatel může celý profil nastavit jako soukromý a samostatně vypnout zobrazení fakulty, studijního programu nebo ročníku.

Profilová fotografie se na serveru dekóduje, zmenší a převede do formátu WebP bez původních EXIF metadat. Ukládá se do neveřejného úložiště Supabase Storage a aplikace ji zpřístupňuje časově omezeným podepsaným odkazem.

3.3 Komunita, Burza, Bydlení, Hledám parťáka a akce

Podle použité funkce můžeme zpracovávat zejména:

• příspěvky, komentáře a reakce,
• nabídky a poptávky ve Studentské burze,
• údaje uvedené v nabídce bydlení,
• údaje uvedené při hledání parťáka,
• údaje o vytvoření nebo zájmu o komunitní akci,
• fotografie vložené uživatelem,
• údaje o autorovi obsahu,
• čas vytvoření, úpravy, skrytí nebo odstranění obsahu,
• hlášení obsahu a související moderátorské údaje.

Uživatel by neměl veřejně zveřejňovat více osobních údajů, než je pro daný účel nezbytné.

3.4 Soukromé zprávy a chat

Při používání soukromých zpráv můžeme zpracovávat zejména:

• identifikátory účastníků konverzace,
• text zpráv,
• čas odeslání a stav moderace zprávy,
• stav přečtení,
• ztlumení, archivaci, blokace a další uživatelská nastavení,
• nahlášení zprávy,
• nezbytný kontext potřebný k posouzení nahlášení.

Soukromé zprávy nejsou veřejné a nejde o end-to-end šifrovanou komunikaci. Po nahlášení může oprávněný moderátor zobrazit nahlášenou zprávu a nejvýše omezený okolní kontext, který je nezbytný k posouzení hlášení. Moderátorský zásah se zapisuje do auditní historie. Push upozornění ve výchozím nastavení neobsahuje text soukromé zprávy.

3.5 Kontaktní formulář a komunikace s podporou

Pokud nás uživatel kontaktuje, můžeme zpracovávat:

• jméno nebo přezdívku,
• e-mailovou adresu,
• předmět zprávy,
• obsah zprávy,
• technické údaje nezbytné k doručení a zabezpečení komunikace.

Současný kontaktní formulář nepřijímá přílohy. Tyto údaje používáme k vyřízení dotazu, zpětné vazby, žádosti o opravu, žádosti týkající se osobních údajů nebo partnerské nabídky.

3.6 Technické a bezpečnostní údaje

Při používání služby mohou vznikat například:

• datum a čas požadavku,
• navštívená část služby,
• technický identifikátor relace nebo instalace,
• údaje o zařízení nebo prohlížeči v rozsahu, který vytváří používaná infrastruktura,
• IP adresa zpracovaná hostingem, databázovou, bezpečnostní, mapovou nebo push infrastrukturou,
• záznamy o chybách a výpadcích,
• záznamy potřebné k odhalování zneužití, spamu, automatizovaných útoků nebo neoprávněného přístupu,
• auditní a bezpečnostní logy.

Vlastní analytická tabulka StudentHubu neukládá původní IP adresu ani celý user-agent. Infrastrukturní poskytovatelé však mohou IP adresu a další technické údaje zpracovávat ve svých provozních a bezpečnostních logách.

3.7 Cookies, lokální úložiště a analytika

Informace o cookies a podobných technologiích jsou podrobněji uvedeny v Zásadách používání cookies a lokálního úložiště. Technické technologie používáme v rozsahu nezbytném pro fungování služby, zabezpečení, přihlášení nebo uložení uživatelské volby. Vlastní privacy-first analytika se aktivuje až po souhlasu; externí analytický ani reklamní skript se nepoužívá.

3.8 Zvláštní kategorie osobních údajů

StudentHub standardně nevyžaduje, aby uživatelé zadávali zvláštní kategorie osobních údajů podle čl. 9 GDPR, například údaje o zdravotním stavu, náboženském vyznání, politických názorech, sexuálním životě nebo sexuální orientaci.

Uživatelé by takové údaje neměli zveřejňovat, pokud to není skutečně nutné. Pokud je uživatel přesto vloží do veřejného příspěvku, profilu, soukromé zprávy nebo hlášení, může dojít k jejich technickému zpracování v rozsahu potřebném k provozu, zabezpečení nebo moderaci služby.

3.9 Údaje z externích zdrojů

StudentHub zobrazuje pracovní nabídky ze smluvně povoleného XML feedu Fajn-brigády.cz a obsah z dalších schválených veřejných zdrojů. Z pracovního feedu přebírá identifikátor nabídky, název, zaměstnavatele, popis, lokalitu, odměnu, časové a klasifikační údaje a odkaz na původní nabídku. Zdrojové XML se do databáze neukládá; ukládá se pouze normalizovaná veřejná podoba. Synchronizace probíhá nejvýše v desetihodinovém intervalu a nabídka chybějící ve třech po sobě jdoucích úplných a důvěryhodných aktualizacích se archivuje.

Po kliknutí na nabídku se uživatel přesune na web třetí strany. StudentHub před přechodem uloží vlastní záznam prokliku bez přímého identifikátoru osoby; cílový web následně zpracovává požadavek podle vlastních pravidel. Pokud StudentHub získává osobní údaje jinak než přímo od dotčené osoby, může vzniknout informační povinnost podle čl. 14 GDPR.

4. Proč údaje používáme a na jakém právním základě

Oprávněné zájmy

Pokud zpracování zakládáme na oprávněném zájmu, jde zejména o:

• ochranu StudentHubu a jeho uživatelů před zneužitím,
• prevenci podvodů, spamu a neoprávněných přístupů,
• vymáhání komunitních pravidel,
• vyšetřování hlášení a bezpečnostních incidentů,
• zachování spolehlivosti a stability služby,
• ochranu a obhajobu právních nároků.

U každého takového zpracování posuzujeme, zda nad těmito zájmy nepřevažují práva a svobody uživatelů.

5. Které údaje jsou povinné a které dobrovolné

Údaje označené v registračním nebo jiném formuláři jako povinné jsou potřebné k vytvoření účtu nebo poskytnutí konkrétní funkce. Pokud je uživatel neposkytne, nemusí být možné účet vytvořit nebo danou funkci použít.

Údaje označené jako dobrovolné uživatel poskytovat nemusí. Neposkytnutí dobrovolného údaje samo o sobě nebrání používání funkcí, které tento údaj objektivně nepotřebují.

6. Kdo může osobní údaje přijímat

Osobní údaje mohou být zpřístupněny pouze v nezbytném rozsahu zejména:

• Supabase, Inc. – Postgres databáze, Supabase Auth, neveřejné Storage, Realtime a provozní logy; primární databáze je v regionu Central EU (Frankfurt), eu-central-1,
• Vercel Inc. – hosting, CDN, serverové funkce, cron úlohy a technické logy; serverové funkce projektu jsou konfigurované pro Frankfurt (fra1), zatímco síť CDN a podpůrné zpracování mohou být globální,
• Supabase Auth – doručení potvrzení registrace a obnovy hesla přes výchozí e-mailovou službu Supabase; vlastní SMTP není aktivní,
• OpenStreetMap Foundation a její veřejné služby – mapové dlaždice a serverové geokódování Nominatim při použití mapy nebo ručním vyhledání adresy,
• provozovatel push služby zvolený prohlížečem nebo operačním systémem – například služba výrobce prohlížeče; StudentHub odesílá Web Push přímo na uložený endpoint,
• oprávnění moderátoři a administrátoři StudentHubu,
• právní, bezpečnostní nebo technický poradce, pokud je zapojení nezbytné a je vázán odpovídajícími povinnostmi,
• orgán veřejné moci, pokud zpřístupnění vyžaduje právní předpis nebo vykonatelné rozhodnutí.

StudentHub nepoužívá Google Analytics, Vercel Analytics, Sentry, externí fonty ani externí reklamní skripty. Kontaktní zpráva se ukládá v Supabase; samostatný e-mailový relay pro kontaktní formulář není aktivní. Veřejné příspěvky, nabídky a veřejná část profilu mohou být dostupné ostatním uživatelům nebo návštěvníkům internetu podle nastavení služby a uživatele.

Aktuální seznamy subdodavatelů a podmínky zpracování zveřejňují poskytovatelé na svých stránkách: Supabase DPA a Vercel Trust Center.

7. Předávání osobních údajů mimo Evropský hospodářský prostor

Primární databáze Supabase je umístěna v Německu. Supabase, Vercel a jejich subdodavatelé však mohou při poskytování podpůrných, bezpečnostních nebo infrastrukturních služeb zpracovávat údaje také mimo Evropský hospodářský prostor, zejména ve Spojených státech nebo dalších zemích, kde působí jejich subdodavatelé.

Pro takové předávání poskytovatelé ve svých smluvních dokumentech uvádějí mechanismy podle kapitoly V GDPR, zejména rozhodnutí o odpovídající ochraně nebo standardní smluvní doložky. Přesný seznam subdodavatelů a míst zpracování se může měnit a je dostupný v aktuální dokumentaci Supabase a Vercelu.

8. Jak dlouho údaje uchováváme

Osobní údaje uchováváme pouze po dobu nezbytnou pro daný účel. Níže je popsáno skutečné současné chování aktivního systému. U kategorií bez schválené maximální lhůty neuvádíme odhad; záznam zůstává do odstranění účtu, obsahu nebo oprávněného administrativního zásahu.

Pokud jsou údaje anonymizovány tak, že již není možné osobu rozumně identifikovat, nemusí se na ně GDPR dále vztahovat. Pouhé odstranění jména nebo jeho nahrazení identifikátorem nemusí být skutečnou anonymizací.

9. Veřejný obsah a odstranění účtu

Uživatel může podle dostupných funkcí upravit nebo odstranit svůj profil a vlastní obsah. Odstranění účtu vyžaduje nové ověření hesla.

Při odstranění účtu se odstraní profil a profilová fotografie, soukromé chaty a nepotřebné profilové vazby. Vlastní akce a příspěvky Hledám parťáka se skryjí, inzeráty Burzy se označí jako odstraněné a odpojí od profilu. Neveřejné návrhy míst, vlastní zkušenosti a nabídky Bydlení se odstraní. Veřejné příspěvky a komentáře mohou zůstat bez přímé profilové vazby kvůli návaznosti diskuse.

Text nebo fotografie mohou i po odstranění jména umožnit rozpoznání autora. Pokud chcete odstranit také konkrétní rozpoznatelný obsah, napište na studenthubbrno@gmail.com. Údaje ponecháme pouze tehdy, pokud pro to existuje samostatný právní důvod, například právní povinnost, bezpečnostní potřeba nebo ochrana právních nároků.

10. Vaše práva

Za podmínek stanovených GDPR máte právo:

• požádat o přístup ke svým osobním údajům,
• požádat o opravu nepřesných nebo neúplných údajů,
• požádat o výmaz osobních údajů,
• požádat o omezení zpracování,
• vznést námitku proti zpracování založenému na oprávněném zájmu,
• požádat o přenositelnost údajů, pokud jsou splněny zákonné podmínky,
• kdykoli odvolat souhlas, pokud je konkrétní zpracování na souhlasu založeno,
• podat stížnost u příslušného dozorového úřadu.

Žádost můžete poslat na studenthubbrno@gmail.com. Před vyřízením žádosti můžeme v přiměřeném rozsahu ověřit totožnost žadatele, pokud máme důvodné pochybnosti o jeho totožnosti.

Na žádost odpovíme bez zbytečného odkladu a nejpozději do jednoho měsíce od jejího obdržení. U složitých nebo početných žádostí může být tato lhůta za podmínek GDPR prodloužena o další dva měsíce; o prodloužení a jeho důvodech bude žadatel informován v původní jednoměsíční lhůtě.

11. Cookies a lokální úložiště

Technické cookies a lokální úložiště používáme pouze v rozsahu nezbytném pro provoz požadované funkce, zabezpečení, přihlášení nebo uložení uživatelské volby.

Netechnické cookies nebo obdobné technologie, například některé analytické nebo marketingové nástroje, aktivujeme pouze v souladu s právními požadavky. Tam, kde je nutný souhlas, nejsou takové technologie spuštěny před jeho udělením.

Souhlas lze odmítnout i později změnit nebo odvolat. Odmítnutí volitelných cookies nebrání používání služby, která je bez těchto cookies technicky dostupná.

Podrobnosti včetně účelu, poskytovatele a doby platnosti jednotlivých technologií jsou uvedeny v Zásadách používání cookies a lokálního úložiště.

12. Bezpečnost osobních údajů

Používáme přiměřená technická a organizační opatření odpovídající rizikům zpracování, zejména:

• řízení přístupů podle rolí,
• princip nejmenších oprávnění,
• omezení přístupu moderátorů na nezbytný rozsah,
• zabezpečený přenos dat,
• ochranu účtů a relací,
• omezení spamu a automatizovaných útoků,
• auditní záznamy přístupů a moderátorských zásahů k citlivému nebo nahlášenému obsahu,
• bezpečnou správu tajných klíčů a přístupových údajů,
• pravidelné vyhodnocování bezpečnostních incidentů,
• oddělení veřejných a neveřejných dat databázovými pravidly Row Level Security.

Tato opatření odpovídají současnému systému, ale nezaručují absolutní bezpečnost. StudentHub neslibuje end-to-end šifrování, úplnou anonymitu ani to, že infrastrukturní poskytovatelé nezpracují žádné technické údaje.

13. Bezpečnostní incidenty

Pokud zjistíme porušení zabezpečení osobních údajů, vyhodnotíme jeho rozsah, pravděpodobné dopady a přijmeme opatření k omezení následků.

Pokud to vyžaduje GDPR, oznámíme porušení zabezpečení Úřadu pro ochranu osobních údajů bez zbytečného odkladu a pokud možno do 72 hodin od okamžiku, kdy se o něm dozvíme. Pokud porušení pravděpodobně představuje vysoké riziko pro práva a svobody fyzických osob, informujeme za podmínek GDPR také dotčené osoby.

14. Automatizované rozhodování a profilování

StudentHub nepoužívá výlučně automatizované rozhodování, které by vůči uživateli vyvolávalo právní účinky nebo jej obdobným způsobem významně ovlivňovalo.

Pokud by StudentHub v budoucnu používal například automatické skórování rizika, profilování, automatické blokování účtu nebo jiný systém s významnými účinky, bude tato část před spuštěním funkce znovu posouzena a doplněna.

Běžné technické filtrování spamu nebo automatické bezpečnostní kontroly samy o sobě nepředstavují rozhodování podle čl. 22 GDPR, pokud nemají takový významný účinek; vždy záleží na jejich konkrétním účinku a způsobu použití. Významné moderátorské zásahy může posoudit oprávněná osoba.

15. Externí odkazy a služby třetích stran

StudentHub může obsahovat odkazy na weby nebo služby třetích stran, například na původní zdroj pracovní nabídky.

Po přechodu na externí web se zpracování osobních údajů řídí také podmínkami a zásadami dané třetí strany. StudentHub neodpovídá za obsah jejích zásad ochrany osobních údajů.

U externích pracovních nabídek StudentHub měří proklik vlastním agregovatelným záznamem bez jména, e-mailu nebo přesné IP adresy. Cílový web obdrží běžné technické údaje HTTP požadavku podle nastavení prohlížeče a své infrastruktury. Affiliate nebo reklamní měření není aktivní.

16. Změny těchto zásad

Tyto zásady můžeme aktualizovat například při změně funkcí StudentHubu, dodavatelů, technického řešení nebo právních požadavků.

U podstatných změn uvedeme novou verzi a datum účinnosti a podle povahy změny uživatele vhodným způsobem upozorníme, například přímo v aplikaci nebo e-mailem. Nový souhlas vyžádáme pouze tehdy, pokud je pro nové nebo změněné zpracování právně potřeba; samotná změna textu zásad neznamená automaticky nutnost získat nový souhlas.

17. Stížnost u dozorového úřadu

Pokud se domníváte, že s vašimi osobními údaji nakládáme v rozporu s právními předpisy, můžete se nejprve obrátit na správce prostřednictvím studenthubbrno@gmail.com.

Máte také právo podat stížnost u příslušného dozorového úřadu, zejména v členském státě svého obvyklého bydliště, místa výkonu zaměstnání nebo místa údajného porušení.