NanoKids

Zásady ochrany osobních údajů

1. Správce

Správcem ve smyslu nařízení o ochraně osobních údajů (GDPR) je:
Web Nano – IT Solutions, Inh. Jozef Nano
Steinbach 8b, 84329 Wurmannsquick, Německo
E-mail: info@web-nano.com

Pověřenec pro ochranu osobních údajů není vzhledem k velikosti provozu ze zákona povinen (§ 38 BDSG). S dotazy týkajícími se ochrany osobních údajů se obraťte prosím přímo na výše uvedenou e-mailovou adresu.

2. Hosting

Tento web i aplikace NanoKids (webová aplikace, API, databáze) jsou hostovány na vlastním, námi provozovaném serveru, který si pronajímáme od následujícího poskytovatele:
netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, Německo.
Server se nachází v datovém centru v Německu. Se společností netcup GmbH je uzavřena smlouva o zpracování osobních údajů podle čl. 28 GDPR. Nedochází tím k přenosu vašich údajů do třetích zemí mimo EU, pokud v tomto prohlášení není pro jednotlivé služby (např. zpracování plateb, přihlášení přes Google/Facebook, reCAPTCHA) výslovně uvedeno jinak.

3. Zásada: minimalizace údajů, zejména u dětí

NanoKids je určeno dětem ve věku přibližně 6–10 let. Dětské profily vytváří a spravuje výhradně rodič; děti nepotřebují vlastní e-mailovou adresu a samy se neregistrují. Smluvní stranou a osobou odpovědnou za souhlas se zpracováním údajů dítěte je vždy registrující rodič s rodičovskými právy – nikoli samotné dítě. Vlastní souhlas dítěte ve smyslu čl. 8 GDPR se proto nevyžaduje, jelikož s dítětem se přímo neuzavírá smlouva o službě informační společnosti. Pro dětské profily shromažďujeme pouze to, co je nutné pro provoz výuky: volně zvolenou přezdívku, volitelně rok narození (nikoli úplné datum narození), třídu, avatara a údaje o pokroku v učení. Neexistují žádné veřejné dětské profily, žádné dětské chaty a žádná komunikace mezi dětmi.

4. Jaké údaje zpracováváme

Rodičovský účet: e-mailová adresa, jméno a příjmení, heslo (jako hash, nikdy v čitelné podobě), časy registrace a přihlášení, stav předplatného. Při přihlášení přes Google nebo Facebook (viz část 8) navíc: jméno, e-mailová adresa a identifikátor uživatele na straně poskytovatele. Pokud aktivujete volitelné dvoufaktorové ověření (2FA), ukládáme navíc potřebný tajný klíč TOTP.
Interní statistika používání: k jednotlivým akcím (např. registrace, vytvoření dětského profilu, zahájení/dokončení vzdělávací mise, změny předplatného) interně ukládáme událost s časovým razítkem, příslušným identifikátorem uživatele, resp. dětského profilu, a několika technickými doplňkovými údaji. Tyto údaje neopouštějí naši vlastní infrastrukturu a nejsou poskytovány žádným třetím stranám.
Dětské profily: přezdívka, volitelný rok narození, třída, avatar, volitelný 4místný PIN (jako hash) pro přepínání mezi sourozeneckými profily, pokrok v učení (např. hodnoty kompetencí podle tématu, odehrané mise).
Technické údaje: session cookie (viz část 7), IP adresa a časové razítko v serverových lozích pro detekci útoků a hledání chyb (krátkodobě ukládané, bez výukového obsahu dětí v čitelné podobě).
Platební údaje: Při uzavření předplatného Family zpracovává platební údaje náš platební poskytovatel Stripe (viz část 9); my sami nezískáváme ani neukládáme úplné platební údaje (např. žádná čísla kreditních karet).

5. Účely a právní základy

Osobní údaje zpracováváme k těmto účelům a na těchto právních základech:

6. Registrace a přihlášení e-mailovou adresou

Při registraci e-mailovou adresou a heslem zpracováváme vámi uvedené údaje k vytvoření a správě vašeho rodičovského účtu. Heslo se ukládá výhradně jako hash (Argon2id) a není pro nás v čitelné podobě viditelné. K potvrzení e-mailové adresy zasíláme automatický e-mail s časově omezeným potvrzovacím odkazem.

7. Cookies

My sami používáme výhradně technicky nezbytné session cookie pro přihlášení rodičovského účtu (httpOnly, v produkčním provozu přenášené výhradně přes šifrovaná spojení) — žádné reklamní ani sledovací cookies. Písma se vkládají serverově (next/font) a při načtení stránky se nestahují ze serverů Google. Pokud používáte volitelné funkce, jako je přihlášení přes Google/Facebook (část 8), nebo je aktivní ochrana proti botům reCAPTCHA (část 9), mohou tito poskytovatelé navíc ukládat vlastní cookies — podrobnosti v příslušných částech. Pro naše vlastní, čistě technicky nezbytné cookie není podle § 25 odst. 2 TDDDG nutný souhlas prostřednictvím cookie banneru; přesto vás na to při první návštěvě informativně upozorníme.

8. Přihlášení přes Google nebo Facebook (Social Login)

Namísto registrace e-mailovou adresou a heslem se můžete volitelně přihlásit přes svůj účet Google nebo Facebook. Pokud zvolíte tuto možnost, budete přesměrováni na stránku příslušného poskytovatele a přihlásíte se tam svými přístupovými údaji. Od Googlu, resp. Facebooku pak obdržíme pouze údaje potřebné k vytvoření účtu (jméno, e-mailová adresa, identifikátor uživatele na straně poskytovatele) – nikdy vaše heslo u příslušného poskytovatele. Právním základem je plnění smlouvy o používání (čl. 6 odst. 1 písm. b GDPR).

Poskytovateli jsou Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irsko (zásady ochrany osobních údajů: policies.google.com/privacy) a Meta Platforms Ireland Limited, 4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Irsko (zásady ochrany osobních údajů: facebook.com/privacy/policy). Za zpracovávání vašich údajů společností Google, resp. Meta v rámci přihlašování jsou tito poskytovatelé odpovědní samostatně.

9. Google reCAPTCHA

K ochraně registrace a přihlášení před automatizovanými přístupy (boti, hromadné registrace) používáme Google reCAPTCHA v3 od Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irsko. reCAPTCHA v3 pracuje neviditelně na pozadí, aniž byste museli řešit obrázkové nebo textové hádanky, a analyzuje přitom určité znaky chování (mimo jiné IP adresu, pohyby myši, dobu setrvání). Právním základem je náš oprávněný zájem na bezpečnosti naší platformy a zabránění zneužití (čl. 6 odst. 1 písm. f GDPR). Údaje mohou být přitom přenášeny také na servery Google v USA; Google je podle vlastních údajů certifikován v rámci EU-U.S. Data Privacy Framework. Další informace najdete v zásadách ochrany osobních údajů společnosti Google (viz část 8), jakož i na policies.google.com/privacy.

10. Zpracování plateb přes Stripe

Pro placená předplatná (NanoKids Family) používáme platebního poskytovatele Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irsko ("Stripe"). Při uzavření předplatného zpracovává vaše platební údaje (např. údaje kreditní karty) přímo Stripe; tyto údaje neprocházejí přes naše vlastní servery. Od Stripe obdržíme pouze stav předplatného a údaje potřebné k vystavení faktur. Právním základem je plnění smlouvy o předplatném Family (čl. 6 odst. 1 písm. b GDPR). Stripe může údaje přenášet také do USA; Stripe je podle vlastních údajů certifikován v rámci EU-U.S. Data Privacy Framework. Další informace obsahují zásady ochrany osobních údajů společnosti Stripe: stripe.com/de/privacy.

11. Transakční e-maily

K odesílání nezbytných systémových e-mailů (potvrzení registrace, obnovení hesla, volitelné týdenní přehledy) používáme e-mailové služby následujícího poskytovatele:
ALL-INKL.COM – Neue Medien Münnich, Inh. René Münnich, Hauptstraße 68, 02742 Friedersdorf, Německo.
Se společností ALL-INKL.COM je uzavřena smlouva o zpracování osobních údajů podle čl. 28 GDPR. V těchto e-mailech se nepoužívají žádné sledovací pixely ani sledování otevření/kliknutí. Právním základem je plnění smlouvy o používání (čl. 6 odst. 1 písm. b GDPR).

12. Volitelné funkce umělé inteligence

Určité funkce (např. pestré formulace úloh, rodičovské přehledy) mohou volitelně využívat externího poskytovatele umělé inteligence. Přednastavena je Mistral AI, jejíž servery se nacházejí v EU (Paříž, Francie) — v této standardní konfiguraci nedochází k přenosu do třetí země mimo EU/EHP. Pokud je aktivně nakonfigurován poskytovatel umělé inteligence, přenášejí se přitom výhradně textové obsahy nezbytné pro příslušný požadavek a redukované na minimum – nikdy jména, e-mailové adresy ani jiné přímo identifikující údaje rodičů nebo dětí. Obsahy vytvořené umělou inteligencí se serverově kontrolují, než se zobrazí dítěti. Právním základem je náš oprávněný zájem na dalším rozvoji výukových obsahů vhodných pro děti (čl. 6 odst. 1 písm. f GDPR). Technické rozhraní v zásadě umožňuje změnu poskytovatele; pokud bychom přitom v budoucnu použili poskytovatele mimo EU/EHP, odpovídajícím způsobem upravíme toto prohlášení ještě před takovým přenosem. Bez nakonfigurovaného poskytovatele umělé inteligence funguje NanoKids plně s pravidlovou alternativou bez účasti externího AI.

13. Doba uchovávání

Údaje účtu a dětských profilů uchováváme, dokud existuje rodičovský účet. Po zrušení rodičovského účtu se účet a všechny související dětské profily včetně pokroku v učení neprodleně a neodvolatelně smažou. Výjimkou jsou fakturační a účetní doklady k placeným předplatným, které musíme vzhledem k obchodním a daňovým povinnostem uchovávání (§ 257 HGB, § 147 AO) uchovávat až deset let po skončení smlouvy. Serverové logy pro detekci útoků se automaticky po krátké době (zpravidla do 30 dnů) smažou nebo anonymizují.

14. Vaše práva

Podle GDPR máte ve vztahu ke svým osobním údajům a údajům svých dětských profilů tato práva:

Zrušení účtu a dětského profilu můžete kdykoli sami spustit v rodičovském dashboardu pod „Einstellungen“. S dalšími dotazy se obraťte na info@web-nano.com.

15. Právo podat stížnost dozorovému úřadu

Máte právo podat stížnost dozorovému úřadu pro ochranu osobních údajů na zpracovávání vašich osobních údajů námi. Dozorový úřad příslušný pro naše sídlo je:
Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 27, 91522 Ansbach
www.lda.bayern.de

16. Změny těchto zásad ochrany osobních údajů

Tyto zásady ochrany osobních údajů upravíme vždy, když se změní právní rámcové podmínky nebo naše zpracovávání osobních údajů. Vždy platí aktuální verze zveřejněná na této stránce v době vaší návštěvy.

17. Kontakt pro ochranu osobních údajů

Jozef Nano, info@web-nano.com