Ochrana osobných údajov

1. Prevádzkovateľ osobných údajov

Prevádzkovateľom osobných údajov v zmysle čl. 4 ods. 7 GDPR je:

Obchodné meno: Cacciatore SR s.r.o.

Sídlo: Hrabová 2731/3, 040 22 Košice — mestská časť Vyšné Opátske

IČO: 47608412

DIČ / IČ DPH: DIČ 2023997547 · IČ DPH SK2023997547

Zápis: Obchodný register Mestského súdu Košice, oddiel: Sro, vložka č. 58416/V

Prevádzka služby: WebsiteAudit

E-mail:websiteaudit@cacciatore.sk

Telefón:+421 915 170 050

Zodpovedná osoba (DPO) v zmysle čl. 37 GDPR nie je menovaná, keďže charakter a rozsah spracúvania osobných údajov nespadá pod povinnosť jej ustanovenia podľa čl. 37 ods. 1 GDPR. Kontaktnou osobou vo veciach ochrany osobných údajov je konateľ spoločnosti dostupný na vyššie uvedenom e-maile.

2. Právny základ spracúvania

Osobné údaje spracúvame na základe nasledujúcich právnych základov podľa čl. 6 GDPR:

Plnenie zmluvy — čl. 6 ods. 1 písm. b) GDPR

Spracúvanie je nevyhnutné na poskytnutie Služby, ku ktorej ste pristúpili registráciou alebo spustením auditu. Zahŕňa správu účtu, doručenie reportov a komunikáciu súvisiacu so Službou.

Oprávnený záujem — čl. 6 ods. 1 písm. f) GDPR

Spracúvame IP adresy a technické logy na účely bezpečnosti (ochrana pred zneužitím, rate limiting), prevádzkovej stability a monitorovania chýb (Sentry). Oprávnený záujem Prevádzkovateľa prevažuje nad záujmami dotknutej osoby, keďže spracúvanie je nevyhnutné na ochranu Služby a jej používateľov.

Zákonná povinnosť — čl. 6 ods. 1 písm. c) GDPR

Fakturačné a platobné záznamy uchovávame v súlade so zákonom č. 431/2002 Z.z. o účtovníctve (povinná archivácia 10 rokov) a zákonom č. 222/2004 Z.z. o dani z pridanej hodnoty.

Služba v súčasnosti neposiela marketingové e-maily bez priameho vzťahu k Vašej objednávke alebo auditu. Ak by sme v budúcnosti takúto komunikáciu zaviedli, vyžiadame si na to Váš výslovný súhlas (čl. 6 ods. 1 písm. a) GDPR).

3. Kategórie spracúvaných osobných údajov

V závislosti od toho, ako Službu používate, spracúvame nasledujúce kategórie osobných údajov:

3.1 Údaje poskytnuté priamo

E-mailová adresa — pri registrácii, prihlásení alebo kontaktovaní podpory
Meno a priezvisko — voliteľné, pri registrácii cez Google alebo GitHub OAuth
Heslo — ukladané výhradne v hashovej podobe (bcrypt); Prevádzkovateľ nemá prístup k pôvodnému heslu
Agency profil — obchodné meno, webová adresa, e-mail, telefón, URL loga; iba pre plán Agency, dobrovoľne

3.2 Prevádzkové a auditné dáta

URL adresy zadané na auditovanie — vrátane výsledkov auditov, skóre a nálezov
Sledované URL — URL adresy pridané do zoznamu sledovania (plán Pro a Agency)
História auditov — dátum, čas, URL, výsledky; rozsah závisí od plánu (15 dní / 45 dní / 1 rok)
API kľúč — vygenerovaný identifikátor pre programový prístup (plán Agency)
Stav predplatného — aktuálny plán, dátum expirácie trialu, dátum posledného predplatenia

3.3 Technické a prevádzkové záznamy

IP adresa — zaznamenávaná pri každej požiadavke na účely rate limitingu a bezpečnosti
Session token — ukladaný v HttpOnly cookie na autentifikáciu; platnosť 30 dní
Záznamy o chybách — technické záznamy o výnimkách (stack traces) zasielané do Sentry; neobsahujú heslá ani platobné údaje
Časy požiadaviek — timestamp každého auditu na účely rate limitingu a histórie

3.4 Platobné údaje

Platobné transakcie spracúva výhradne spoločnosť Stripe, Inc. (pozri bod 5). Prevádzkovateľ neukladá čísla platobných kariet, CVV kódy ani bankové spojenia. Zo Stripe-u uchovávame iba identifikátor zákazníka (Stripe Customer ID) a stav predplatného.

3.5 Špeciálne kategórie osobných údajov

Služba nezbiera a nespracúva špeciálne kategórie osobných údajov v zmysle čl. 9 GDPR (zdravotné údaje, biometrické údaje, rasový pôvod, náboženské presvedčenie a pod.).

4. Účely spracúvania

Účel	Údaje	Právny základ
Poskytovanie Služby (audity, reporty)	E-mail, URL, výsledky auditov	Zmluva (čl. 6b)
Správa účtu a autentifikácia	E-mail, hashované heslo, session token	Zmluva (čl. 6b)
Platby a fakturácia	E-mail, Stripe Customer ID, stav plánu	Zmluva + zákon (čl. 6b, 6c)
Emailová komunikácia (audity, reset hesla, verifikácia)	E-mail, meno	Zmluva (čl. 6b)
Rate limiting a ochrana pred zneužitím	IP adresa, časové pečiatky	Oprávnený záujem (čl. 6f)
Monitorovanie chýb a stabilita Služby	IP adresa, stack traces (bez PII)	Oprávnený záujem (čl. 6f)
Účtovná archivácia	Fakturačné záznamy	Zákon (čl. 6c)

5. Príjemcovia a sprostredkovatelia osobných údajov

Osobné údaje nepredávame tretím stranám na marketingové ani iné komerčné účely. Na prevádzku Služby využívame nasledujúcich sprostredkovateľov (čl. 28 GDPR), s ktorými máme uzatvorené zmluvy o spracúvaní údajov (DPA):

Stripe, Inc.

USA (San Francisco, CA)

Účel: Spracúvanie platieb a správa predplatného

Spracúvané údaje: E-mail, fakturačné záznamy, Stripe Customer ID

Záruka (čl. 46 GDPR): Štandardné zmluvné doložky EK (SCC) + certifikácia EU–US Data Privacy Framework (DPF, rozhodnutie EK C(2023) 4745)

Google LLC

USA (Mountain View, CA)

Účel: OAuth prihlásenie, Google PageSpeed Insights API, Google Safe Browsing API, Chrome UX Report (CrUX) API — tieto API prijímajú URL auditovaných stránok, nie osobné údaje Používateľa

Spracúvané údaje: OAuth: e-mail, meno (len pri prihlásení cez Google). Ostatné API: auditovaná URL (verejná adresa webstránky)

Záruka (čl. 46 GDPR): SCC + certifikácia EU–US Data Privacy Framework (DPF)

GitHub, Inc. (Microsoft)

USA

Účel: OAuth prihlásenie cez GitHub účet

Spracúvané údaje: E-mail, GitHub používateľské meno (len pri prihlásení cez GitHub)

Záruka (čl. 46 GDPR): SCC + certifikácia EU–US Data Privacy Framework (DPF)

Functional Software, Inc. dba Sentry

USA (San Francisco, CA)

Účel: Automatizované zaznamenávanie chýb a výnimiek aplikácie na účely ladenia a stability

Spracúvané údaje: IP adresa, stack traces. Heslá, platobné údaje a obsah auditov sú z reportovania vylúčené.

Záruka (čl. 46 GDPR): Štandardné zmluvné doložky EK (SCC)

Hostingový poskytovateľ

EÚ / podľa zmluvy

Účel: Prevádzka serverov, databázy (PostgreSQL), Redis a kontajnerového prostredia

Spracúvané údaje: Všetky dáta uložené v databáze a Redis (session tokeny, výsledky auditov)

Záruka (čl. 46 GDPR): Spracúvanie v rámci EÚ/EHP; zmluva o spracúvaní údajov (DPA)

6. Medzinárodné prenosy osobných údajov

Niektorí sprostredkovatelia sídlia mimo Európskeho hospodárskeho priestoru (EHP), predovšetkým v USA. Prenosy do tretích krajín sú zabezpečené jedným alebo kombináciou nasledujúcich nástrojov v zmysle kapitoly V GDPR:

EU–US Data Privacy Framework (DPF) — rozhodnutie Európskej komisie o primeranosti ochrany č. C(2023) 4745 zo dňa 10. júla 2023, vzťahuje sa na Google, GitHub (Microsoft) a Stripe.
Štandardné zmluvné doložky (SCC) — vzorové doložky prijaté Komisiou rozhodnutím (EÚ) 2021/914 zo dňa 4. júna 2021, využívané najmä pre Sentry.

Prevádzkovateľ je usadený na území Slovenskej republiky (EÚ) a spracúvanie primárne prebieha v EÚ. Prenosy do USA sú minimalizované a nevyhnutné na prevádzku Služby.

7. Doba uchovávania osobných údajov

Kategória údajov	Doba	Dôvod
Účtové údaje (e-mail, meno)	Počas trvania účtu + 30 dní po zmazaní	Zmluva; obnova pri omyle
História auditov — plán Free	15 dní od vytvorenia auditu	Limitácia plánu
História auditov — plán Pro	45 dní od vytvorenia auditu	Limitácia plánu
História auditov — plán Agency	1 rok od vytvorenia auditu	Limitácia plánu
Session tokeny (cookies)	30 dní od posledného prihlásenia	Autentifikácia
Fakturačné záznamy	10 rokov	Zákon č. 431/2002 Z.z.
IP adresy (rate limiting)	24 hodín v Redis; žiadne dlhodobé uchovávanie	Bezpečnosť
Záznamy chýb (Sentry)	90 dní (Sentry predvolené nastavenie)	Ladenie a stabilita
API kľúče	Počas trvania účtu alebo do odvolania	API prístup

Po uplynutí doby uchovávania sú osobné údaje automaticky vymazané alebo anonymizované, pokiaľ ich ďalšie uchovávanie nevyžaduje zákon.

8. Cookies a lokálne úložisko

Služba používa výhradne funkčné cookies nevyhnutné na prevádzku:

Názov / typ	Účel	Platnosť	Typ
better-auth.session_token	Udržiavanie prihlásenej relácie (HttpOnly, Secure, SameSite=Lax)	30 dní	Nevyhnutný
better-auth.session_data	Cache session dát na zníženie záťaže DB (HttpOnly)	5 minút	Nevyhnutný

Služba nepoužíva analytické, reklamné ani sledovacie cookies (napr. Google Analytics, Facebook Pixel). Neboli nasadené žiadne trackingy tretích strán s výnimkou tých, ktoré sú nevyhnutné na fungovanie Služby (platobná brána Stripe zobrazená pri platbe).

Funkčné cookies sú právnym základom čl. 6 ods. 1 písm. b) GDPR (nevyhnutné na plnenie zmluvy) a nevyžadujú osobitný súhlas podľa § 55 ods. 5 zákona č. 452/2021 Z. z. o elektronických komunikáciách. Ukladanie cookies môžete obmedziť v nastaveniach prehliadača, avšak prihlásenie do Služby bez session cookie nie je možné.

9. Automatizované rozhodovanie a profilovanie

Služba nevykonáva automatizované rozhodovanie v zmysle čl. 22 GDPR, ktoré by malo právne účinky alebo by sa Vás podobne závažne dotýkalo. Auditné výsledky sú deterministickým technickým výstupom — nie hodnotením Používateľa ani profilovaním.

Tier (plán) Používateľa sa určuje automaticky na základe stavu predplatného v databáze (Free / Pro / Agency / Trial). Toto automatické priradenie plánu je nevyhnutné na plnenie zmluvy a nie je profilovaním v zmysle GDPR.

10. Vaše práva ako dotknutej osoby

V súlade s kapitolou III GDPR (čl. 15–22) a zákonom č. 18/2018 Z. z. máte voči Prevádzkovateľovi nasledujúce práva:

Čl. 15

Právo na prístup

Máte právo získať potvrdenie, či spracúvame Vaše osobné údaje, a ak áno, prístup k nim a informácie o spracúvaní.

Čl. 16

Právo na opravu

Máte právo na opravu nesprávnych alebo doplnenie neúplných osobných údajov. E-mail a meno môžete zmeniť priamo v nastaveniach účtu.

Čl. 17

Právo na vymazanie („zabudnutie“)

Máte právo požiadať o vymazanie Vašich osobných údajov, ak pominul účel, na ktorý boli zbierané, alebo ste odvolali súhlas. Právo sa neuplatní na údaje, ktoré sme povinní uchovávať zo zákona (napr. fakturačné záznamy).

Čl. 18

Právo na obmedzenie spracúvania

Máte právo požadovať obmedzenie spracúvania, napríklad kým preveríme správnosť Vašich údajov alebo oprávnenosť Vašej námietky.

Čl. 20

Právo na prenosnosť údajov

Máte právo získať osobné údaje, ktoré ste nám poskytli, v štruktúrovanom, bežne používanom a strojovo čitateľnom formáte (napr. JSON export dostupný pre plán Agency), a preniesť ich k inému prevádzkovateľovi.

Čl. 21

Právo namietať

Máte právo namietať proti spracúvaniu Vašich osobných údajov vykonávanému na základe oprávneného záujmu (čl. 6f). Prevádzkovateľ spracúvanie ukončí, ak nepreukáže závažné oprávnené dôvody.

Čl. 7 ods. 3

Právo odvolať súhlas

Ak je spracúvanie založené na súhlase, máte právo ho kedykoľvek odvolať bez toho, aby to malo vplyv na zákonnosť spracúvania pred odvolaním.

Ako uplatniť práva

Žiadosť zašlite e-mailom na websiteaudit@cacciatore.sk. Na žiadosť odpovieme bez zbytočného odkladu, najneskôr do 30 dní od doručenia (čl. 12 ods. 3 GDPR). Lehotu môžeme výnimočne predĺžiť o ďalšie 2 mesiace, o čom Vás informujeme.

Pre overenie Vašej totožnosti si vyžiadame potvrdenie z e-mailovej adresy Vášho účtu. Službu Vám poskytujeme bezplatne; poplatok môžeme účtovať len za zjavne neopodstatnené alebo opakujúce sa žiadosti (čl. 12 ods. 5 GDPR).

11. Právo podať sťažnosť dozornému orgánu

Ak sa domnievate, že spracúvanie Vašich osobných údajov je v rozpore s GDPR alebo zákonom č. 18/2018 Z. z., máte právo podať sťažnosť dozornému orgánu. Príslušným orgánom pre Slovensko je:

Úrad na ochranu osobných údajov Slovenskej republiky

Hraničná 12, 820 07 Bratislava 27

Tel.: +421 2 3231 3214

https://dataprotection.gov.sk

Pred podaním sťažnosti nás odporúčame kontaktovať priamo — väčšinu záležitostí vyriešime rýchlejšie a bez formálneho konania.

12. Bezpečnosť osobných údajov

Prevádzkovateľ implementuje primerané technické a organizačné opatrenia na ochranu osobných údajov v súlade s čl. 32 GDPR:

Šifrovanie prenosov cez protokol TLS 1.2+ (HTTPS)
Hašovanie hesiel algoritmom bcrypt (jednosmerná funkcia; heslo nie je obnoviteľné)
Session cookies s atribútmi HttpOnly, Secure a SameSite=Lax
Rate limiting (obmedzenie počtu požiadaviek) na ochranu pred brute-force útokmi
E-mailová verifikácia účtu pri registrácii
Automatizované monitorovanie chýb a bezpečnostných incidentov
Prístup k databáze výhradne cez interné sieťové rozhranie (nie verejne dostupné)

V prípade bezpečnostného incidentu, ktorý ohrozuje práva a slobody fyzických osôb, to Prevádzkovateľ oznámi dozornému orgánu do 72 hodín od jeho zistenia a dotknutým osobám bez zbytočného odkladu, ak by incident mohol mať na nich vplyv (čl. 33–34 GDPR).

13. Zmeny týchto Zásad

Prevádzkovateľ si vyhradzuje právo tieto Zásady aktualizovať, najmä v prípade zmien v spracúvaní údajov, legislatívnych zmien alebo zavedenia nových funkcií Služby.

O podstatných zmenách (napr. nový účel spracúvania, noví sprostredkovatelia, nový právny základ) budete informovaní e-mailom najmenej 14 dní vopred. Menej podstatné zmeny (opravy textu, aktualizácie kontaktných údajov) nadobúdajú účinnosť zverejnením na tejto stránke s aktualizáciou dátumu „Účinné od“.

Archív predchádzajúcich verzií Zásad je dostupný na vyžiadanie e-mailom.

14. Kontakt vo veciach ochrany osobných údajov

Všetky žiadosti, otázky a sťažnosti týkajúce sa ochrany osobných údajov zasielajte na: