Zásady ochrany osobních údajů

a) Údaje Klienta (organizace)

• Údaje o účtu — e-mailová adresa pověřené osoby, název organizace.
• Veřejný šifrovací klíč — vygenerovaný a uložený pro E2E šifrování oznámení.
• Komunikace — obsah e-mailů zaslaných na naši adresu, žádosti o podporu.

b) Údaje Oznamovatele

c) Automaticky shromažďované údaje (pouze na dashboardu)

• Technické údaje — IP adresa, typ prohlížeče (pouze pro autentizované uživatele na dashboardu).
• Soubory cookie relace — v souladu se Zásadami používání souborů cookie.

• Poskytování Služeb — vytvoření a správa účtu, provoz kanálu pro oznamování, šifrování a uchovávání oznámení.
• Servisní komunikace — oznámení o nových podáních, vypršení zákonných lhůt, aktualizacích Platformy.
• Bezpečnost — ochrana infrastruktury, detekce zneužití, prevence neoprávněného přístupu.
• Soulad se zákonem — plnění zákonných povinností (Směrnice (EU) 2019/1937, GDPR, daňová legislativa).

Osobní údaje uživatelů neprodáváme, nepronajímáme ani nesdílíme s třetími stranami pro marketingové účely.

Osobní údaje zpracováváme na základě následujících právních základů (čl. 6 GDPR):

• Údaje o účtu — po dobu existence účtu a maximálně 30 dní po žádosti o smazání.
• Šifrovaná oznámení — v souladu s politikou uchovávání Klienta a povinnostmi dle Směrnice (EU) 2019/1937 (minimálně 5 let od data oznámení).
• Technické údaje (dashboard) — maximálně 12 měsíců od shromáždění.
• Komunikace a žádosti o podporu — maximálně 3 roky od poslední komunikace.
• Fakturační údaje — 10 let v souladu s rumunskou daňovou legislativou (Legea 82/1991).

Osobní údaje mohou být zpřístupněny nebo zpracovávány následujícími zpracovateli:

Pro přenosy údajů mimo EHP se opíráme o Standardní smluvní doložky (SCCs) schválené Evropskou komisí.

Důležité: Obsah oznámení je E2E šifrován a není přístupný žádnému zpracovateli.

V souladu s GDPR máte následující práva:

• Právo na přístup (čl. 15) — získání kopie zpracovávaných osobních údajů.
• Právo na opravu (čl. 16) — oprava nepřesných nebo neúplných údajů.
• Právo na výmaz (čl. 17) — výmaz údajů za podmínek stanovených zákonem.
• Právo na omezení zpracování (čl. 18) — omezení zpracování v určitých situacích.
• Právo na přenositelnost (čl. 20) — obdržení údajů ve strukturovaném formátu (JSON/CSV).
• Právo vznést námitku (čl. 21) — námitka proti zpracování na základě oprávněného zájmu.
• Právo na odvolání souhlasu (čl. 7) — odvolání kdykoli.
• Právo nebýt předmětem automatizovaného rozhodování (čl. 22) — včetně profilování.

Pro uplatnění svých práv zašlete e-mail na adresu contact@whistle-box.eu s předmětem „Žádost GDPR WhistleBox”.

Implementujeme přiměřená technická a organizační opatření k ochraně osobních údajů:

• End-to-end šifrování (E2E) obsahu oznámení.
• Šifrování při přenosu (TLS 1.2+) pro veškerou komunikaci se serverem.
• Hesla jsou ukládána pomocí bezpečných hashovacích algoritmů (bcrypt se solí).
• Omezený přístup k databázím a infrastruktuře na principu minimálních oprávnění.
• Servery v Evropské unii (Hetzner Online GmbH, Německo).
• Pravidelné a šifrované zálohy.
• Průběžný monitoring přístupu a anomálií.
• Autentizace prostřednictvím tokenů JWT s omezenou platností.
• Stránky pro oznamování (/r/) nenastavují soubory cookie a neshromažďují identifikační údaje.

Provozovatel může tyto zásady pravidelně aktualizovat. Uživatelé budou informováni e-mailem a/nebo oznámením na Platformě minimálně 15 dní před vstupem podstatných změn v platnost.