Zásady ochrany osobních údajů

1. Správce

Správcem pro provoz platformy Quizment, uživatelské účty, smluvní a fakturační vztahy, podporu a vlastní hodnocení provozovatele je:

2. Rozsah působnosti a role správců

Tyto zásady platí pro návštěvníky webu, registrované uživatele, členy organizací, zákazníky, osoby kontaktující podporu a účastníky veřejných hodnocení nebo hodnocení na pozvání.

Pokud uživatel nebo organizace vytvoří hodnocení pro vlastní účely, určuje zejména jeho téma, otázky, okruh účastníků, vyhodnocení a další použití odpovědí. Pro toto odborné zpracování je proto zpravidla sám správcem ve smyslu čl. 4 bodu 7 GDPR. Pokud Quizment takové údaje zpracovává výhradně podle doložených pokynů a na základě platné smlouvy podle čl. 28 GDPR, jedná jako zpracovatel; jinak se konkrétní role určí samostatně podle skutečných okolností. Tvůrce musí účastníkům poskytnout vlastní informace o ochraně osobních údajů a jím zvoleném právním základu.

Pokud Andre Sieger vytvoří vlastní hodnocení a sám rozhoduje o účelu a prostředcích, je rovněž správcem údajů účastníků tohoto hodnocení. Dotazy týkající se cizího hodnocení by měly být přednostně směřovány jeho tvůrci; Quizment pomáhá s přiřazením a vyřízením žádostí týkajících se ochrany osobních údajů.

3. Kategorie dat a zdroje dat

Quizment zpracovává následující kategorie osobních údajů v závislosti na využití:

• Údaje o připojení a protokolech: IP adresa, čas, navštívená adresa, metoda a stav HTTP, objem přenesených dat, referrer a údaje o prohlížeči nebo zařízení;
• Údaje o účtu a profilu: e-mailová adresa, zobrazované jméno, role, jazyk, profilový obrázek nebo avatar, stav účtu a ověření a události přihlášení a zabezpečení;
• Údaje o hodnoceních a organizacích: názvy, popisy, otázky, logika odpovědí, verze, obrázky, sdílení, členství, role a komentáře;
• Údaje o účasti: adresa pro pozvání, stav pozvánky a jejího otevření, odpovědi, výsledek, doba vyplňování, čas odeslání a pseudonymní identifikátor účastníka nebo zařízení;
• Smluvní a fakturační údaje: tarif, stav předplatného, doby platnosti, identifikátory poskytovatele, zákazníka a předplatného a metadata související s fakturací;
• Komunikační údaje a údaje podpory: obsah a stav žádostí, odpovědi, interní poznámky ke zpracování, chybová hlášení a přílohy;
• Údaje o používání AI: zadání, dotčený obsah hodnocení, kontext konverzace, vytvořené výsledky, nastavení vyhledávání na webu a pseudonymní bezpečnostní identifikátor.

Údaje v zásadě pocházejí od subjektu údajů. Adresy pro pozvání, role v organizaci a sdílený obsah hodnocení mohou pocházet také od tvůrce hodnocení, správce organizace nebo jiného oprávněného uživatele. Příslušný tvůrce musí informace požadované podle čl. 13 nebo 14 GDPR včas sám zahrnout do nastavitelného textu pozvánky nebo je poskytnout jiným přímo dostupným způsobem.

4. Načtení webu, hosting a protokoly

Při načtení webu server zpracovává údaje o připojení a protokolech, aby doručil požadovanou stránku, analyzoval chyby, odvracel útoky a zajistil stabilní a bezpečný provoz. Právním základem je čl. 6 odst. 1 písm. b GDPR, pokud je načtení nutné k využití smluvní nabídky, jinak čl. 6 odst. 1 písm. f GDPR. Oprávněný zájem spočívá v dostupnosti, integritě, prevenci zneužití a zabezpečení IT.

Doména quizment.com v současnosti směřuje na infrastrukturu společnosti netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe. Pokud přitom netcup zpracovává osobní údaje podle pokynů, působí jako zpracovatel. Serverové protokoly jsou potřebné pro provoz, analýzu chyb a bezpečnostní účely; při bezpečnostním incidentu mohou dotčené záznamy zůstat uloženy až do jeho objasnění a uplatnění nebo obrany právních nároků.

Informace společnosti netcup o ochraně osobních údajů

5. Registrace, účet a bezpečnost

Pro registraci, přihlášení a správu účtu se zpracovává zejména e-mailová adresa, zobrazované jméno, jazyk, údaje o roli a stavu a heslo uložené pouze jako bezpečný hash. Pro ověření a změny hesla nebo e-mailu se zpracovávají časově omezené tokeny, časy odeslání a informace o omezení četnosti. Bezpečnostní kontrola při registraci probíhá zcela v infrastruktuře Quizmentu; externí službě CAPTCHA se neodesílá žádný požadavek. Za účelem omezení zneužití se adresa připojení okamžitě převede na identifikátor vytvořený pomocí tajného klíče; úplná adresa se pro tento účel neukládá. Použité kontroly a tyto identifikátory se uchovávají pouze dočasně. Dřívější e-mailové adresy zůstávají jako historie změn uloženy až do smazání účtu, aby bylo možné při smazání spolehlivě dohledat a anonymizovat pozvánky a odpovědi související s účtem. Profilový obrázek a nastavení avataru jsou dobrovolné.

Zpracování probíhá za účelem sjednání a plnění smlouvy o užívání podle čl. 6 odst. 1 písm. b GDPR. Neúspěšné pokusy o přihlášení se spolu s identifikátorem uživatele a IP adresou v omezeném rozsahu zaznamenávají a po pěti neúspěšných pokusech může být přihlášení na jednu hodinu zablokováno. Právním základem je čl. 6 odst. 1 písm. f GDPR; oprávněný zájem spočívá v ochraně účtů a platformy před neoprávněným přístupem a zneužitím.

6. Hodnocení, organizace a spolupráce

Za účelem vytváření a správy hodnocení zpracovává Quizment zadaný obsah, verze, obrázky, nastavení publikování a pozvánek a přiřazení k autorům a organizacím. U týmových funkcí se zpracovává název organizace, členství, role, pozvánky, sdílení a komentáře. Oprávnění členové příslušné organizace mohou k těmto údajům přistupovat podle své role. U kvízů hostů se pro interní statistiku využití trvale zaznamenává pouze čas vytvoření s přesností na minuty; tento statistický záznam neobsahuje obsah kvízu, IP adresy, tokeny relací ani údaje o účtu. Nahrané obrázky hodnocení a podpory mohou obsahovat metadata původního souboru; pokud nemají být zveřejněna, měla by být před nahráním odstraněna.

Právním základem pro funkce platformy objednané držitelem účtu je čl. 6 odst. 1 písm. b GDPR. Pokud má Quizment zpracovávat obsah jako zpracovatel pro podnik nebo jinou organizaci, předpokládá to smlouvu podle čl. 28 GDPR a doložené pokyny příslušného správce.

Statistika vytváření kvízů hostů bez obsahu je vedena na základě čl. 6 odst. 1 písm. f GDPR. Oprávněný zájem spočívá v měření využití s minimálním množstvím údajů, plánování kapacit a dalším rozvoji nabídky pro hosty.

Quizment není určen ke zjišťování zvláštních kategorií osobních údajů podle čl. 9 GDPR ani vysoce citlivých tajemství bez předchozího právního a organizačního posouzení. Tvůrci hodnocení odpovídají za to, že shromažďují pouze nezbytné údaje a případně stanoví zvláštní právní základ, ochranná opatření a lhůty pro smazání.

7. Pozvánky, účast a výsledky

U osobních pozvánek zpracovává Quizment e-mailovou adresu poskytnutou tvůrcem, náhodný token pozvánky, časy odeslání, chyb doručení, otevření a dokončení a pseudonymní identifikátor účastníka. U identifikovaných pozvánek je e-mailová adresa přiřazena k odpovědi; v režimu bez přiřazení odpovědi k e-mailu zůstává pozvánka se stavem otevření a dokončení uložena samostatně.

Při veřejné účasti bez přiřazení e-mailu Quizment neukládá e-mailovou adresu a v odpovědi nepoužívá IP adresu jako identifikátor účastníka. Nezávisle na tom mohou údaje o připojení vznikat v serverových protokolech. Pokud je zapnuta jednorázová účast, nastaví se náhodný podepsaný identifikátor prohlížeče; v databázi se ukládá pouze jeho hash specifický pro dané hodnocení. Tyto pseudonymní identifikátory ztěžují vícenásobnou účast ve stejném prohlížeči, ale neumožňují spolehlivou identifikaci napříč zařízeními.

Pokud Quizment zpracovává odpovědi pro externího tvůrce hodnocení, musí tento tvůrce před shromážděním údajů sdělit účel, právní základ, příjemce a dobu uchování, například v nastavitelném textu pozvánky nebo ve vlastních přímo odkazovaných zásadách ochrany osobních údajů. Pro úplné vyhodnocení je nutné zodpovědět otázky, ke kterým se účastník ve zvoleném průběhu dostane; bez těchto údajů nelze účast dokončit.

8. Funkce AI a volitelné vyhledávání na webu

Když oprávněný uživatel aktivně spustí tvorbu pomocí AI nebo asistenta AI, předá Quizment rozhraní OpenAI API zadání a v rozsahu nezbytném pro úkol také název, shrnutí, otázky, logiku a dosavadní kontext konverzace dotčeného hodnocení. Navíc se předává pseudonymní bezpečnostní identifikátor odvozený z interního ID uživatele. Uživatel rozhoduje, zda je volitelné vyhledávání na webu vypnuté, použije se automaticky, nebo povinně; přitom mohou být zpracovány vyhledávací dotazy a navštívené zdroje.

Poskytovatelem služby je OpenAI Ireland Limited, 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, D01 YC43, Irsko. Volání API je nastaveno na store=false. Podle pravidel ochrany údajů platných pro API se vstupy a výstupy standardně nepoužívají k trénování modelů; omezené protokoly sledování zneužití mohou být zpravidla uchovávány až 30 dní, pokud zákonná povinnost nebo bezpečnostní výjimka nevyžaduje delší dobu.

Právním základem je čl. 6 odst. 1 písm. b GDPR pro funkci požadovanou uživatelem a čl. 6 odst. 1 písm. f GDPR pro kontroly zneužití a bezpečnosti. Oprávněný zájem spočívá v bezpečném a dohledatelném provozu funkcí AI. Uživatelé nesmějí do zadání pro AI zahrnovat osobní údaje, které nejsou nezbytné, zvláštní kategorie osobních údajů ani důvěrné informace třetích stran.

Informace společnosti OpenAI o ochraně osobních údajů · Smlouva společnosti OpenAI o zpracování údajů

9. Předplatné a Stripe

Po aktivaci placené fakturace a objednání tarifu vás Quizment přesměruje na platební stránku a zákaznický portál poskytované službou Stripe. Předává se zejména e-mailová adresa, interní identifikátor uživatele, zvolený tarif, fakturační období a u tarifu Business objednaný počet licenčních míst. Stripe navíc shromažďuje požadovanou fakturační adresu, daňové identifikátory a platební údaje. Úplné údaje o kartě nebo účtu se na serverech Quizmentu neukládají.

Pro zákazníky v Evropském hospodářském prostoru poskytuje službu společnost Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irsko. Podle povahy činnosti zpracovává Stripe údaje jako zpracovatel a pro vlastní zákonem stanovené účely, zejména zpracování plateb, prevenci podvodů a kontroly praní peněz a sankcí, jako samostatný správce.

Právním základem u Quizmentu je čl. 6 odst. 1 písm. b GDPR pro smlouvu a platbu, čl. 6 odst. 1 písm. c GDPR pro povinnosti podle obchodního a daňového práva a čl. 6 odst. 1 písm. f GDPR pro prevenci podvodů a ochranu před platebními a právními riziky. Oprávněný zájem spočívá v bezpečném a doložitelném zpracování plateb. Doplňkově platí zásady ochrany osobních údajů společnosti Stripe.

Informace společnosti Stripe o ochraně osobních údajů · Smlouva společnosti Stripe o zpracování údajů

10. E-mail, podpora a soubory

Při kontaktování a žádostech o podporu zpracovává Quizment kontaktní údaje, zprávy, stav požadavku, odpovědi, interní poznámky ke zpracování a dobrovolně nahrané přílohy, aby mohl záležitost vyřídit. Právním základem je u smluvních záležitostí čl. 6 odst. 1 písm. b GDPR, jinak čl. 6 odst. 1 písm. f GDPR. Oprávněný zájem spočívá v efektivní komunikaci, odstraňování chyb a dokumentaci. Právně vyžadovaná komunikace navíc probíhá podle čl. 6 odst. 1 písm. c GDPR.

Pro ověření, obnovení účtu, pozvánky a zprávy organizace a podpory lze použít e-mailovou službu SMTP. Ta obdrží adresu příjemce, předmět, text zprávy a technické informace o doručení. Kategorií příjemce je vždy nastavená služba pro přenos e-mailů; v současné produkční konfiguraci není nastaven žádný externí poskytovatel SMTP. Před aktivací poskytovatele se prověří jeho podmínky ochrany osobních údajů a předávání do třetích zemí a aktualizuje se dokumentace.

11. Cookies a úložiště prohlížeče

Quizment nepoužívá analytické, reklamní ani cookies sociálních sítí. Úložiště pro relaci, zabezpečení, jednorázovou účast a předání výsledku AI se používají pouze tehdy, jsou-li nezbytně nutná pro výslovně požadovanou službu (§ 25 odst. 2 bod 2 TDDDG). Jazyk, vzhled a interval fakturace se ukládají až na základě výslovné volby a poté se pouze načítají, aby se toto požadované nastavení zachovalo. Pokud tyto informace představují osobní údaje, jejich následné zpracování se zakládá na čl. 6 odst. 1 písm. b nebo f GDPR, jak je popsáno níže. Pokud by v budoucnu přibyly operace ukládání vyžadující souhlas, budou aktivovány až po udělení souhlasu podle § 25 odst. 1 TDDDG.

Všechny uvedené cookies a obsah úložišť nastavuje Quizment jako poskytovatel první strany; do prohlížeče se přitom nevkládají žádné sledovací prvky třetích stran.

Prohlížeče mohou cookies a obsah místních úložišť mazat nebo blokovat. V takovém případě může být omezeno přihlášení, volba jazyka a vzhledu, převzetí výsledku AI nebo omezení vícenásobné účasti.

12. Příjemci a osoby s právem přístupu

Údaje získávají pouze subjekty, které je potřebují pro uvedené účely. Patří mezi ně provozovatel a oprávnění administrátoři, příslušný tvůrce hodnocení a oprávnění členové organizace, poskytovatelé hostingu a infrastruktury IT, případně nastavená služba pro přenos e-mailů a pouze při aktivním využití také OpenAI a Stripe. Úřady, soudy a právní nebo daňoví poradci údaje získají jen při zákonné povinnosti nebo v rozsahu nezbytném k uplatnění, výkonu či obraně právních nároků.

Pokud příjemce zpracovává údaje podle pokynů, je před jeho zapojením nutná smlouva podle čl. 28 GDPR. Pokud poskytovatel služby zpracovává údaje pro vlastní zákonné nebo bezpečnostní účely, jedná v uvedeném rozsahu jako samostatný správce.

13. Předávání mimo EU a EHP

Při aktivním používání OpenAI nebo Stripe mohou být údaje předávány příjemcům a dílčím zpracovatelům mimo EU a EHP. Quizment před produkčním nasazením konkrétní služby a znovu při podstatných změnách prověřuje příjemce, záruky a podmínky zpracování údajů platné pro tuto službu.

Smlouva OpenAI o zpracování údajů stanoví pro předávání příjemcům bez odpovídající úrovně ochrany osobních údajů standardní smluvní doložky Evropské komise; na příjemce v USA certifikovaného podle rámce EU–USA pro ochranu osobních údajů se může vztahovat rozhodnutí o odpovídající ochraně podle čl. 45 GDPR. Stripe upravuje mezinárodní předávání ve své smlouvě o zpracování údajů a dodatku Data Transfers Addendum rovněž podle příjemce prostřednictvím rámce EU–USA pro ochranu osobních údajů nebo standardních smluvních doložek. Kopii nebo další informace o konkrétních zárukách použitých při aktivaci lze vyžádat na admin@quizment.com.

14. Doba uchování a smazání

Quizment uchovává osobní údaje pouze po dobu, kterou vyžaduje příslušný účel, smlouva, pokyny odpovědného tvůrce hodnocení, zákonné povinnosti uchování nebo zajištění právních nároků.

• Údaje o účtu včetně dřívějších e-mailových adres zůstávají uloženy po dobu, kdy je účet aktivní. Po žádosti o smazání běží sedmidenní lhůta pro odvolání; poté budou údaje při spuštění procesu mazání odstraněny, pokud tomu nebrání zákonná povinnost nebo neuzavřený fakturační proces.
• Osobní hodnocení smazaného účtu budou odstraněna. Hodnocení organizace nebo společnosti lze za účelem zachování společného pracovního obsahu převést na jiného oprávněného člena. Pozvánky zaslané na e-mail účtu budou smazány a odpovídající e-mailové adresy u odpovědí anonymizovány.
• Odpovědi k hodnocení, verze a pozvánky zůstávají uloženy do smazání příslušného hodnocení nebo do dřívějšího pokynu odpovědného správce. Pouhé ukončení publikování nebo uplynutí období účasti stávající odpovědi nesmaže.
• Obsah kvízu hosta se po uplynutí třídenní lhůty automaticky smaže, pokud kvíz nebyl dříve převeden do účtu. Odděleně od něj zůstává pro interní statistiku využití zachován pouze čas vytvoření bez obsahu a s přesností na minuty.
• Relace jsou zpravidla platné až 14 dní a končí při odhlášení nebo smazání účtu. Ověřovací odkazy a odkazy pro změny či obnovení zpravidla ztrácejí platnost po 24 hodinách; související záznamy mohou přetrvat do nahrazení, potvrzení nebo smazání účtu.
• Protokoly přihlášení, zabezpečení a chyb se vedou odděleně od uživatelského účtu, a proto se nemusí smazat současně s ním. Uchovávají se po dobu nezbytnou k ochraně před zneužitím, objasnění incidentů nebo právním nárokům; při incidentech mohou potřebné výpisy přetrvat až do vyřešení.
• Údaje podpory a komunikace se uchovávají do uzavření případu a poté pouze po dobu, kterou vyžadují doplňující dotazy, záruka, právní obrana nebo zákonné povinnosti.
• Smazané týmové komentáře se nejprve pouze skryjí. Jejich obsah může kvůli dohledatelnosti společných pracovních postupů přetrvat až do smazání příslušné organizace nebo hodnocení, pokud oprávněný nárok na smazání nevyžaduje dřívější odstranění.
• Dokumenty vyžadované obchodním a daňovým právem se podle druhu zpravidla uchovávají šest, osm nebo deset let. To se týká pouze dokumentů podléhajících povinnosti uchování, nikoli paušálně všech údajů o účtu nebo obsahu.
• Pokud se vytvářejí záložní kopie, uchovávají se výhradně pro účely obnovení a zabezpečení. Údaje již naplánované ke smazání se po obnovení znovu smažou a nepoužijí se k jiným účelům. Příslušný cyklus zálohování se řídí použitou produkční infrastrukturou.

15. Práva dotčených osob

Za zákonných podmínek existují práva na přístup k údajům a jejich kopii (čl. 15 GDPR), opravu (čl. 16), smazání (čl. 17), omezení zpracování (čl. 18), informování příjemců (čl. 19) a přenositelnost údajů (čl. 20). Souhlas lze kdykoli odvolat s účinky do budoucna; zákonnost předchozího zpracování tím není dotčena.

Právo na vznesení námitky: Pokud se zpracování údajů zakládá na čl. 6 odst. 1 písm. e nebo f GDPR, lze kdykoli vznést námitku z důvodů vyplývajících ze zvláštní situace subjektu údajů. U přímého marketingu platí námitka bez zvláštního odůvodnění. Quizment v současnosti neprovádí přímý marketing založený na uživatelských profilech.

Žádosti lze zasílat na admin@quizment.com. Pouze při odůvodněných pochybnostech o totožnosti mohou být vyžádány dodatečné informace nezbytné k jejímu potvrzení. Týká-li se žádost odpovědí nebo obsahu cizího hodnocení, bude zapojen příslušný tvůrce nebo mu bude žádost předána. Žádosti se zpravidla vyřizují do jednoho měsíce; ve složitých případech lze lhůtu prodloužit podle čl. 12 GDPR.

16. Právo na podání stížnosti

Subjekty údajů mohou podat stížnost u dozorového úřadu pro ochranu osobních údajů, zejména v členském státě svého obvyklého bydliště, pracoviště nebo údajného porušení. Pro provozovatele se sídlem v Hamburku je zpravidla příslušný:

Podat stížnost nebo podnět hamburskému dozorovému úřadu

17. Povinnost poskytnout údaje

Údaje o připojení jsou technicky nezbytné k poskytování webu. E-mailová adresa, zobrazované jméno a heslo jsou nezbytné pro uživatelský účet; bez nich nelze účet vytvořit ani používat. Smluvní a platební údaje jsou nezbytné pro placený tarif. Profilový obrázek, avatar a údaje neoznačené jako povinné jsou dobrovolné.

U hodnocení určuje průběh otázek příslušný tvůrce. Otázky zobrazené v dosažené části průběhu je nutné zodpovědět, aby bylo možné hodnocení úplně odeslat a vyhodnotit. Samotná účast je dobrovolná, pokud samostatný právní nebo smluvní vztah s tvůrcem hodnocení nestanoví jinak.

Quizment není určen výhradně dětem a v současnosti neprovádí technické ověření věku. Pokud mají hodnocení cíleně používat nezletilé osoby, musí příslušný správce zajistit informace přiměřené věku, dostatečný právní základ a případně souhlas zákonných zástupců požadovaný podle čl. 8 GDPR.

18. Automatizované vyhodnocování a profilování

Quizment může odpovědi automaticky vyhodnotit podle pravidel bodování, větvení a výsledků stanovených tvůrcem hodnocení. Provozovatel na základě těchto výsledků nepřijímá výhradně automatizovaná rozhodnutí o uživatelských účtech nebo smlouvách s právními či obdobně významnými účinky. Pokud tvůrce hodnocení použije výsledky pro rozhodnutí s takovými účinky, musí sám posoudit podmínky čl. 22 GDPR a informovat účastníky o použité logice, významu a předpokládaných důsledcích.

Výstupy AI jsou koncepty a nezveřejňují se samostatně ani se nepoužívají jako právně významná rozhodnutí o osobách. Quizment nevytváří reklamní profily a nepoužívá výhradně automatizované rozhodování o uzavření nebo pokračování uživatelské smlouvy.

19. Bezpečnostní opatření a změny

Quizment používá technická a organizační opatření přiměřená riziku. Patří mezi ně šifrovaný přenos přes HTTPS, hashovaná hesla, omezená oprávnění relací a rolí, ochrana před podvrženými požadavky, omezení četnosti a protokolování bezpečnostně významných chyb. Při aktivní fakturaci Stripe se webhooky zpracují pouze po úspěšném ověření podpisu. Žádný postup neposkytuje absolutní bezpečnost; opatření se proto kontrolují a dále rozvíjejí podle rizika a aktuálního stavu techniky.

Tyto zásady budou upraveny, pokud se podstatně změní funkce, poskytovatelé služeb, účely zpracování nebo právní požadavky. O významných změnách budou registrovaní uživatelé vhodným způsobem informováni. Platí znění zveřejněné na této stránce.