Zásady ochrany osobních údajů

1. Kdo je správcem vašich osobních údajů

Správcem osobních údajů je:

Josef Kocurek
IČO: 06431119
Adresa místa podnikání: Halenkov 31, 756 03 Halenkov
E-mail: hi@onemorestud.com
Web: onemorestud.com

Pověřence pro ochranu osobních údajů (DPO) nejmenujeme — rozsah zpracování tuto povinnost nevyvolává.

2. Jaké osobní údaje zpracováváme a proč

2.1 Registrace a přihlášení

Zpracovávané údaje: e-mailová adresa.

Účel: ověření totožnosti jednorázovým kódem (OTP) nebo odkazem zaslaným e-mailem; provoz uživatelského účtu.

Právní základ: plnění smlouvy — čl. 6 odst. 1 písm. b) nařízení (EU) 2016/679 (GDPR). Bez e-mailu vám nelze zpřístupnit účet.

Doba uchování: e-mail je uchováván po dobu existence účtu. Přihlašovací tokeny jsou platné 15 minut; po použití nebo vypršení jsou smazány.

2.2 Data účtu a projektů

Zpracovávané údaje: e-mail; volitelné jméno autora (handle) a URL profilu; název projektu; nahraný soubor modelu (.ldr/.mpd); volitelné popis, obrázek obálky a PDF návodu.

Účel: zobrazení a sdílení interaktivních návodů, správa projektů v dashboardu.

Právní základ: plnění smlouvy — čl. 6 odst. 1 písm. b) GDPR.

Doba uchování: po dobu existence projektu nebo účtu. Po smazání jsou soubory z primárního úložiště odstraněny okamžitě; záložní kopie (zálohování a replikace dat pro účely obnovy) jsou odstraněny do 30 dní od smazání — viz čl. 5.1 Obchodních podmínek.

Poskytování dat: volitelná pole (handle, popis, obrázek, PDF, URL profilu) nejsou podmínkou pro použití služby a lze je kdykoli smazat.

Veřejné zobrazení: u modelů publikovaných ve veřejném nebo komerčním režimu jsou handle tvůrce, jméno autora a URL profilu veřejně viditelné na stránce modelu (jsou součástí adresy /one/{handle}/{model}). Po spuštění komunitní galerie budou tyto údaje — pokud tvůrce zapnul sdílení do komunity — zobrazeny i v ní. Zveřejnění je důsledkem rozhodnutí tvůrce model publikovat; u soukromých modelů se údaje veřejně nezobrazují.

2.3 Platby za komerční předplatné přes Creem

Platby za komerční předplatné (čl. 3.3 Obchodních podmínek) zpracovává Armitage Labs OÜ (Estonsko), provozující platformu Creem (dále jen „Creem“), který vystupuje jako Merchant of Record — smlouvu o koupi uzavíráte přímo s Creem, nikoliv s námi. Creem je samostatným správcem vašich platebních a fakturačních údajů a řídí se vlastními zásadami ochrany osobních údajů.

Od Creem obdržíme pouze údaje nezbytné pro plnění naší části služby: potvrzení platby, identifikátor předplatného a e-mail pro transakční notifikace.

Právní základ (naše zpracování): plnění smlouvy — čl. 6 odst. 1 písm. b) GDPR (aktivace komerčního modelu na základě potvrzení platby). Uchování transakčních záznamů: plnění právní povinnosti — čl. 6 odst. 1 písm. c) GDPR (zákon č. 235/2004 Sb. o DPH § 100; zákon č. 563/1991 Sb. § 31).

Doba uchování: záznamy o transakcích za komerční předplatné uchováváme 10 let v souladu s daňovými předpisy.

Mikro-dárcovství (Ko-fi): tlačítko „Podpořit na Ko-fi“ (čl. 3.4 Obchodních podmínek) vede na externí platformu Ko-fi (ko-fi.com/onemorestud), mimo Provozovatele. Provozovatel tuto platbu nezpracovává, nezíská od Ko-fi žádné údaje o dárci ani o transakci a žádná osobní data z tohoto toku u nás nevznikají. Otevřením odkazu opouštíte web OneMoreStud a řídíte se zásadami ochrany osobních údajů Ko-fi (ko-fi.com/privacy), ne těmito zásadami.

2.4 Transakční e-maily

Zpracovávané údaje: e-mailová adresa.

Účel: doručení přihlašovacího kódu; upozornění na blížící se konec zkušební doby nebo vypršení komerčního předplatného.

Právní základ: plnění smlouvy — čl. 6 odst. 1 písm. b) GDPR.

Zpracovatel: e-maily odesíláme prostřednictvím Resend Inc. (USA). S Resend máme uzavřenu smlouvu o zpracování dat (DPA); přenos do USA probíhá na základě standardních smluvních doložek (SCC) schválených Evropskou komisí.

Doba uchování: obsah odeslaných e-mailů neuchováváme; logy odeslání podléhají retenční politice Resend.

2.5 Bezpečnost a prevence zneužití

Zpracovávané údaje: IP adresa (při přihlašovacím procesu i při pokusech o přístup k modelu chráněnému heslem); datum a čas přihlášení a přístupových pokusů; serverové (přístupové) logy infrastruktury — IP adresa, čas a cíl požadavku.

Účel: omezení počtu pokusů (max. 10 / IP / hodinu), ochrana před útoky hrubou silou; diagnostika provozu a bezpečnostní audit serveru.

Právní základ: oprávněný zájem — čl. 6 odst. 1 písm. f) GDPR (zajištění bezpečnosti a integrity služby). Balancing test (test poměřování oprávněného zájmu proti právům a svobodám subjektu údajů) je zdokumentován interně a k dispozici na vyžádání na hi@onemorestud.com.

Doba uchování: IP adresa při přihlašovacím procesu nejdéle 30 dní; záznamy pokusů o přístup nejdéle 30 dní; serverové logy nejdéle 30 dní; poté průběžně mazány.

2.6 Analytika webu — Google Analytics

Zpracovávané údaje: anonymizovaná IP adresa, typ zařízení a prohlížeče, navštívené stránky, délka návštěvy, zdroj návštěvy — sbíráno prostřednictvím analytických cookies.

Účel: měření návštěvnosti a chování uživatelů za účelem zlepšování služby.

Právní základ: souhlas — čl. 6 odst. 1 písm. a) GDPR pro cookies a identifikaci návštěvníka. Bez vašeho souhlasu odchází z prohlížeče jen anonymní technický signál bez cookies a bez identifikátoru, na základě oprávněného zájmu na ověření funkčnosti měřicího nástroje (čl. 6 odst. 1 písm. f) GDPR); k přiřazení cookies a identifikaci vaší návštěvy dochází až po vašem souhlasu v cookie banneru.

Zpracovatel: Google Ireland Ltd, Gordon House, Barrow Street, Dublin 4, Irsko. Pro přenosy dat z Google Ireland do Google LLC (USA) se uplatní standardní smluvní doložky (SCC) dle čl. 46 odst. 2 písm. c) GDPR.

Doba uchování: v Google Analytics konfigurujeme dobu uchování dat na 14 měsíců (nastavení GA Admin → Data Settings → Data Retention).

Riziko přenosu dat do USA: jsme si vědomi, že několik evropských dozorových úřadů (např. rakouský DSB, francouzský CNIL a italský Garante, 2022) v minulosti konstatovalo, že samotné SCC bez dalších technických opatření nemusí být pro přenos dat do USA v souvislosti s Google Analytics dostatečné ve světle rozsudku Soudního dvora EU Schrems II. Toto riziko jsme zvážili a akceptovali s ohledem na anonymizaci IP adresy a omezený rozsah zpracovávaných údajů (viz výše); situaci průběžně sledujeme a v případě potřeby doplníme další záruky. Bez vašeho souhlasu navíc odchází pouze anonymní signál bez cookies a bez identifikátoru, což riziko přenosu dále snižuje.

Odvolání souhlasu: nastavení cookies lze kdykoli změnit prostřednictvím cookie banneru, odkazu „Nastavení cookies“ na domovské stránce, v dashboardu, na stránce modelu nebo na stránce Zásad cookies. Odvolání souhlasu nemá vliv na zákonnost zpracování před odvoláním.

2.7 Úložiště v prohlížeči (localStorage a IndexedDB)

Zpracovávané údaje: localStorage — preferenční nastavení (oms_locale, oms_new_part_view, oms_cookie_consent, oms_guest_save_ack_*); IndexedDB — v anonymním náhledu (preview režim) nahraný soubor modelu a jeho metadata (název, popis, případně jméno autora).

Účel: zachování uživatelské preference (jazyk, zobrazení dílků, souhlas s cookies) a lokální ukládání modelu při anonymním náhledu bez přenosu dat na server.

Právní základ: oprávněný zájem — čl. 6 odst. 1 písm. f) GDPR (zajištění funkčnosti a personalizace rozhraní). Data v IndexedDB jsou zpracovávána výhradně lokálně ve vašem zařízení a nejsou automaticky přenášena na server.

Doba uchování: do manuálního vymazání dat webu v nastavení prohlížeče nebo do smazání projektu v aplikaci.

2.8 Přístup k modelu chráněnému heslem

Zpracovávané údaje: cookie model_access_* — identifikátor potvrzující úspěšné zadání hesla k danému modelu; osobní údaje stavitele mimo tento identifikátor nezpracováváme.

Účel: umožnit staviteli opakovaný přístup k modelu chráněnému heslem bez nutnosti heslo zadávat znovu při každé návštěvě.

Právní základ: oprávněný zájem — čl. 6 odst. 1 písm. f) GDPR (zajištění přístupu k funkci, kterou si tvůrce nastavil, bez nutnosti registrace stavitele).

Doba uchování: 30 dní od zadání hesla.

3. Příjemci osobních údajů

Vaše údaje neprodáváme a nesdílíme za účelem přímého marketingu třetích stran. Předáváme je pouze v rozsahu nezbytném pro provoz:

Příjemce Vztah Účel Sídlo
Armitage Labs OÜ (Creem) Správce (MOR) Zpracování plateb komerčního předplatného Estonsko (EU)
Resend Inc. Zpracovatel (DPA uzavřena) Doručování e-mailů USA (SCC)
Hetzner Online GmbH Zpracovatel (DPA uzavřena) Hosting a infrastruktura serveru Německo (EU)
Google Ireland Ltd Zpracovatel (DPA uzavřena) Webová analytika (identifikace jen po souhlasu) Irsko (EU)

Se všemi zpracovateli jsou uzavřeny smlouvy o zpracování osobních údajů dle čl. 28 GDPR.

4. Přenos osobních údajů mimo EU/EHP

Příjemce Mechanismus přenosu Poznámka
Resend Inc. (USA) Standardní smluvní doložky (SCC) — rozhodnutí Komise (EU) 2021/914 Kopie doložek k dispozici na vyžádání na hi@onemorestud.com
Google LLC (USA), přes Google Ireland Ltd Standardní smluvní doložky (SCC) dle čl. 46 odst. 2 písm. c) GDPR K posouzení rizika tohoto přenosu viz čl. 2.6; kopie doložek k dispozici na vyžádání na hi@onemorestud.com

Armitage Labs OÜ (Creem), zpracovatel plateb komerčního předplatného (viz čl. 3), sídlí v Estonsku (EU/EHP) — nejde o přenos osobních údajů mimo EU/EHP, proto zde není uveden.

5. Přehled dob uchování

Kategorie dat Doba uchování
E-mail (uživatelský účet) Do smazání účtu
Data projektů a nahrané soubory Do smazání projektu nebo účtu
Data a soubory po ukončení účtu Do 30 dní od ukončení (s výjimkou zákonných povinností)
Přihlašovací tokeny (OTP, magic link) 15 minut; po použití nebo vypršení smazány
Session cookie oms_session 7 dní (pevná expirace)
Cookie přístupu k modelu model_access_* 30 dní
Data Google Analytics (jen po souhlasu) 14 měsíců (nastavení GA Admin)
localStorage / IndexedDB (preference, anonymní náhled) Do manuálního vymazání dat webu nebo smazání projektu
IP adresa (přihlašovací proces a pokusy o přístup) Nejdéle 30 dní
Serverové (přístupové) logy Nejdéle 30 dní
Transakční záznamy (platby za komerční předplatné) 10 let (daňová povinnost)

6. Vaše práva

Jako subjekt údajů máte tato práva (čl. 15–22 GDPR):

  • Přístup — požádat o přehled osobních údajů, které o vás zpracováváme, a získat jejich kopii.
  • Oprava — požádat o opravu nepřesných nebo doplnění neúplných údajů.
  • Výmaz — požádat o smazání účtu a všech přidružených dat; data jsou smazána do 30 dní od přijetí žádosti nebo ukončení účtu. Výmaz se nevztahuje na data, která jsme povinni uchovávat ze zákona (zejména daňové záznamy).
  • Omezení zpracování — požádat o pozastavení zpracování v zákonem stanovených situacích.
  • Přenositelnost — získat vaše data ve strukturovaném, strojově čitelném formátu (JSON nebo CSV).
  • Námitka — viz odstavec níže.
  • Odvolání souhlasu — souhlas s analytickými cookies kdykoli odvoláte v nastavení cookies.

Právo vznést námitku (čl. 21 GDPR): Zpracováváme-li vaše osobní údaje na základě oprávněného zájmu (čl. 6 odst. 1 písm. f), máte právo kdykoli vznést námitku. Po obdržení námitky zpracování zastavíme, pokud neprokážeme závažné oprávněné důvody, které převažují nad vašimi zájmy, nebo jde-li o zpracování pro určení, výkon nebo obhajobu právních nároků.

Povinnost poskytnout údaje: Poskytnutí e-mailové adresy je smluvním požadavkem nezbytným pro vytvoření účtu; bez e-mailu nelze službu používat. Ostatní údaje (handle, URL profilu, popis projektu, obrázek obálky, PDF) jsou dobrovolné.

Jak uplatnit práva: Žádosti zasílejte na hi@onemorestud.com. Odpovíme do jednoho měsíce; ve složitých případech lhůtu prodloužíme o další 2 měsíce a budeme vás o tom předem informovat. Odpověď je bezplatná — poplatek lze účtovat pouze za zjevně neopodstatněné nebo opakované žádosti.

7. Právo na stížnost u dozorového úřadu

Pokud se domníváte, že zpracování vašich osobních údajů porušuje GDPR, máte právo podat stížnost u:

Úřad pro ochranu osobních údajů (ÚOOÚ)
Pplk. Sochora 27, 170 00 Praha 7
web: www.uoou.cz
e-mail: posta@uoou.cz

Stížnost lze podat v zemi vašeho obvyklého bydliště nebo pracoviště, případně v místě, kde došlo k tvrzenému porušení.

8. Zabezpečení

Uplatňujeme přiměřená technická a organizační opatření pro ochranu vašich dat:

  • Session tokeny jsou uloženy jako HttpOnly cookie (nedostupné JavaScriptu v prohlížeči).
  • Přihlašovací tokeny jsou v databázi uloženy jako SHA-256 hash, nikdy jako čitelný text.
  • Přístupová hesla k modelům (volitelná ochrana nastavená tvůrcem) jsou uložena jako bcrypt hash; uživatelská přihlašovací hesla systém nepoužívá — přihlášení probíhá výhradně přes jednorázový kód (OTP) zaslaný e-mailem.
  • Veškerá komunikace probíhá šifrovaně přes HTTPS/TLS.
  • Přístup k databázi je omezen na serverovou infrastrukturu.

9. Soubory cookie

Podrobné informace o používaných souborech cookie jsou v samostatném dokumentu: Zásady používání souborů cookie.

Stručný přehled:

Typ Cookie Souhlas Platnost
Nezbytná (session) oms_session Není třeba 7 dní
Nezbytná (přístup k modelu) model_access_* Není třeba 30 dní
Analytická Google Analytics (_ga, _ga_*) Vyžadován 2 roky

10. Automatizované rozhodování a profilování

Neprovádíme automatizované rozhodování s právními účinky dle čl. 22 GDPR. V případě aktivace Google Analytics dochází k analytickému profilování (agregované statistiky chování) na základě vašeho souhlasu; toto profilování nemá právní účinky ani jiný podstatný dopad na vaše osobní situaci.

11. Věkové omezení

Služba je určena osobám starším 18 let. Vědomě neshromažďujeme osobní údaje osob mladších 18 let. Pokud zjistíme, že jsme takové údaje omylem zpracovali, neprodleně je smažeme.

12. Změny těchto zásad

O podstatných změnách vás budeme informovat e-mailem nebo oznámením na webu nejméně 14 dní před jejich účinností. Aktuální verze je vždy dostupná na onemorestud.com/legal/privacy. Datum poslední aktualizace je uveden v záhlaví dokumentu.

Tyto zásady jsou účinné od 10. 7. 2026.

Správce: Josef Kocurek · IČO: 06431119 · hi@onemorestud.com · onemorestud.com

Zpět na domovskou stránku