1. Prevádzkovateľ
Prevádzkovateľom systému Kežmarok je Lukáš Fiolek v spolupráci s Mestom Kežmarok ako odberateľom služby. Spracovanie osobných údajov zamestnancov a používateľov systému prebieha v zmysle Nariadenia GDPR (EÚ 2016/679) a zákona č. 18/2018 Z. z. o ochrane osobných údajov.
Kontakt pre otázky k ochrane údajov: info@ikezmarok.sk
2. Aké údaje zbierame
| Kategória | Konkrétne údaje | Účel |
|---|---|---|
| Identifikátory | Email, meno, priezvisko, IP adresa | Autentifikácia, audit log |
| Prihlasovacie údaje | Hash hesla (bcrypt), TOTP secrety, recovery kódy | Bezpečné prihlásenie a 2FA |
| Obsah používateľa | Úlohy, články, podujatia, kalendárové udalosti, komentáre, chat správy, súbory, fotografie | Poskytovanie služby |
| Push token | FCM device token mapovaný na ID používateľa | Doručovanie push notifikácií |
| Aktivita | Časové pečiatky prihlásenia, vykonané akcie, IP adresa pri kritických operáciách | Audit log, bezpečnostné incidenty |
| Diagnostika | Error logy, crash logy (bez PII) | Stabilita aplikácie |
Mobilná aplikácia nesleduje používateľa (žiadne tracking SDK, žiadne analytické nástroje tretích strán, žiadny IDFA/IDFV zber pre marketing).
3. Právny základ spracovania
- Plnenie zmluvy / oprávnený záujem — autentifikácia, prevádzka systému, doručovanie obsahu
- Súhlas — push notifikácie, newsletter (každý sa dá kedykoľvek odvolať)
- Zákonná povinnosť — vedenie auditu prístupov k osobným údajom (zákon č. 18/2018 Z. z.)
4. Zdieľanie údajov s tretími stranami
Údaje nezdieľame so žiadnou treťou stranou na marketingové ani analytické účely. Backend systému beží na vlastnom serveri v Európskej únii (Slovensko, 85.248.130.244).
Jedinou externou službou je Firebase Cloud Messaging (Google), ktorá sa používa výhradne na doručovanie push notifikácií na zariadenia s Androidom a iOS. Spoločnosť Google v tejto úlohe vystupuje ako sprostredkovateľ a získava len anonymný routing token zariadenia a obsah notifikácie (titulok + krátky preview text). Žiadny obsah ako heslá, 2FA kódy, plné chat správy alebo iný citlivý obsah sa cez Firebase neposiela.
5. Šifrovanie a bezpečnosť
| Vrstva | Ochrana |
|---|---|
| Prenos | HTTPS (TLS 1.2+) cez Let's Encrypt certifikát |
| Heslá | bcrypt hash, nikdy plaintext |
| 2FA secrety | AES-256-GCM šifrované v databáze |
| Databázové zálohy | AES-256-CBC, denne, 30-dňová retencia |
| IP adresy v audit logu | Anonymizované po 1 roku |
Aplikácia má dvojfaktorové overenie (TOTP cez Google Authenticator alebo email), rate limiting na login (5 pokusov / 15 minút), account lockout po 5 neúspešných pokusoch a Content Security Policy proti XSS útokom.
6. Doba uchovávania
- Aktívne účty — pokým má používateľ účet
- Audit log — 5 rokov (IP anonymizované po 1 roku)
- Zálohy — 30 dní, potom automatické zmazanie
- Push tokeny — mazané pri logoute, deinštalácii aplikácie alebo zmazaní účtu
- Refresh tokeny — 7 dní
- Soft-deleted obsah (kôš) — 30 dní, potom hard delete
7. Vaše práva (GDPR)
V zmysle GDPR máte právo na:
- Prístup k údajom — vyžiadať si export svojich osobných údajov
- Opravu — opraviť nesprávne údaje (priamo v sekcii Môj účet)
- Výmaz — požiadať o trvalé zmazanie účtu a osobných údajov
- Obmedzenie spracovania — pozastaviť spracovanie
- Prenositeľnosť — získať údaje v strojovo čitateľnom formáte
- Námietku — namietať proti spracovaniu
- Odvolanie súhlasu — kedykoľvek odvolať súhlas s push notifikáciami či newsletterom
Žiadosti môžete podať e-mailom na info@ikezmarok.sk alebo cez sekciu GDPR priamo v aplikácii. Odpoveď doručíme najneskôr do 30 dní.
8. Push notifikácie (mobilná aplikácia)
Po prvom prihlásení mobilná aplikácia požiada o povolenie zasielať push notifikácie. Ak ho udelíte, vaše zariadenie sa zaregistruje v Firebase Cloud Messaging a získa anonymný device token, ktorý sa uloží v našej databáze v tabuľke push_tokens mapovaný na ID vášho účtu.
Notifikácie zasielame výlučne v reakcii na vašu aktivitu v systéme — napríklad keď vám niekto priradí úlohu, pošle správu v chate, nahlási kritickú VPS aktivitu alebo schváli/zamietne vašu úlohu. Žiadne marketingové push notifikácie nezasielame.
Povolenie môžete kedykoľvek odvolať v nastaveniach mobilného zariadenia alebo vypnúť v sekcii Môj účet → Notifikácie v aplikácii.
9. Cookies a lokálne úložisko
Web používa nasledujúce technické súbory:
- HttpOnly cookies — autentifikačný token a CSRF token (povinné pre prihlásenie)
- sessionStorage — užívateľský profil (vymaže sa pri zatvorení záložky)
- Capacitor Preferences (mobilná aplikácia) — refresh token pre auto-login
Žiadne tracking cookies, žiadny Google Analytics, žiadny Facebook Pixel, žiadne reklamy.
10. Deti
Systém Kežmarok je určený zamestnancom mesta a partnerským organizáciám. Účty pre osoby mladšie ako 16 rokov nezakladáme.
11. Zmeny týchto zásad
Tieto zásady môžeme aktualizovať pri zmene legislatívy alebo funkcionality systému. Pri podstatných zmenách budú používatelia upozornení e-mailom a v aplikácii. Aktuálne znenie je vždy dostupné na tejto stránke.
12. Kontakt a dozor
Prevádzkovateľ: Lukáš Fiolek · info@ikezmarok.sk
Dozorný orgán: Úrad na ochranu osobných údajov SR, Hraničná 12, 820 07 Bratislava