Zásady ochrany osobných údajov

1. Správca údajov

Signal Core s.r.o., Rybná 716/24, 110 00 Praha 1, Česká republika · IČO: 24460354 · DIČ: CZ24460354

Zápis: Mestský súd v Prahe, oddiel C, vložka 198765

Kontakt pre otázky GDPR: [email protected]

2. Poverenec pre ochranu osobných údajov (DPO)

Vymenovali sme Data Protection Officera zodpovedného za GDPR compliance. DPO je nezávislý a má priame spojenie s manažmentom.

Kontakt: [email protected] · poštou: Signal Core s.r.o., k rukám DPO, Rybná 716/24, Praha 1

3. Aké údaje spracúvame

Podľa typu používateľa a účelu spracúvame nasledujúce kategórie údajov:

Identifikačné a kontaktné

• Meno, priezvisko (creator) / názov firmy (brand)
• E-mailová adresa, telefón (voliteľne)
• Adresa (fakturačná, sídlo)
• IČO, DIČ, číslo bankového účtu (IBAN, BIC)
• Daňové identifikačné číslo (TIN) pre DAC7

Profilové údaje

• Avatar, bio, sociálne profily (IG, TikTok, YouTube), počty sledujúcich
• Kategórie obsahu (lifestyle, gaming, fashion atď.)
• Referencie, predchádzajúce výsledky

Transakčné údaje

• História kampaní, konverzií, výplat
• Faktúry, daňové doklady
• Logy prihlásení, IP adresa, user agent

Tracking a meranie

• Cookies (len funkčné v základe, pozri Cookies)
• Click ID, Conversion ID, fraud score
• IP geolokácia (krajina, región) — pre reporting a anti-fraud, neukladáme presnú polohu

KYC a daňové údaje

• ID doklad (občiansky / pas) — cez Stripe Identity, neuchovávame image, len status verifikácie
• Selfie biometrika — uložená u Stripe / Sumsub, nie u nás
• VAT VIES check log

4. Účely a právny základ (GDPR čl. 6)

Pre každú kategóriu údajov jasne vieme prečo ju spracúvame a podľa ktorého ustanovenia GDPR čl. 6:

Súhlas môžete kedykoľvek odvolať (e-mail, in-app nastavenia) bez vplyvu na spracovanie pred odvolaním.

5. Príjemcovia a sprostredkovatelia

Údaje zdieľame s pečlivo vybranými sprostredkovateľmi, všetci majú DPA podľa GDPR čl. 28:

• Stripe (Írsko/USA) — platby, KYC; SCC + adekvátnosť pre USA
• Polygon.io (USA) — trhové údaje; SCC
• Cloudflare (USA) — CDN, anti-DDoS; SCC + ENISA
• DigitalOcean (USA/EU regióny) — hosting; SCC, EU servery vo Frankfurte
• Sumsub (UK) — KYC fallback; UK adequacy decision
• Twilio / SendGrid (USA) — transakčné e-maily; SCC
• Anthropic (USA) — Claude AI pre analýzu obsahu (voliteľne, len metadáta, nie osobné údaje)
• Účtovná firma (CZ) — fakturácia, dane; zmluvný vzťah

Zoznam je verejný a aktualizovaný v Nastavenia → Súkromie → Subprocessors.

6. Medzinárodné transfery

Niektoré údaje smerujú mimo EU/EHP (USA — Stripe, Cloudflare, Polygon, atď.). Pre každý transfer máme:

• Standard Contractual Clauses (SCC) — verzia 2021/914
• Data Privacy Framework (DPF) — pre certifikovaných partnerov (Stripe, Cloudflare)
• Doplňujúce opatrenia — šifrovanie v pokoji aj v prenose (TLS 1.3, AES-256)
• TIA (Transfer Impact Assessment) — vykonaná pre každý transfer mimo EU

7. Doby uchovávania

8. Vaše práva (GDPR čl. 15–22)

Máte právo na:

• Prístup (čl. 15) — kópiu vašich údajov zdarma; export cez Nastavenia → Súkromie → Stiahnuť údaje
• Opravu (čl. 16) — opraviť nepresné údaje
• Výmaz / Right to be forgotten (čl. 17) — odstránenie údajov (s výnimkou zákonných archivačných povinností)
• Obmedzenie spracovania (čl. 18) — pozastaviť spracovanie pri spore
• Prenosnosť (čl. 20) — exportovať údaje v štruktúrovanom strojovo čitateľnom formáte (JSON / CSV)
• Námietku (čl. 21) — proti spracovaniu na základe oprávneného záujmu
• Sťažnosť u dozorného úradu — ÚOOÚ ČR, uoou.gov.cz

Reagujeme do 30 dní od podania žiadosti. Pri komplexných prípadoch môžeme predĺžiť o ďalších 60 dní s oznámením.

9. Automatizované rozhodovanie a profilovanie

Používame automatizované rozhodovanie len v obmedzenom rozsahu:

• Anti-fraud scoring — algoritmus priraďuje fraud score 0–100. Score ≥ 80 znamená automatickú neautorizáciu konverzie. Môžete požiadať o ľudský prezkum cez support
• Odporúčanie kampaní — algoritmus matchuje creators s kampaňami podľa audience, niche, anti-fraud score. Nemá právne dôsledky, môžete ignorovať

Nepoužívame automatizované rozhodovanie s právnymi dôsledkami podľa čl. 22 GDPR.

10. Deti a maloletí

Tandemio nie je určené pre deti pod 18 rokov. Pri registrácii overujeme vek cez KYC (creator) alebo IČO (brand).

Ak zistíme registráciu maloletého, účet okamžite zrušíme a údaje zmažeme. Ak ste rodič a zistíte, že vaše dieťa používa Tandemio, kontaktujte [email protected].

11. Bezpečnosť

Implementujeme technické a organizačné opatrenia podľa GDPR čl. 32:

• Šifrovanie v pokoji — AES-256 na databázach a zálohách
• Šifrovanie v prenose — TLS 1.3 + HSTS, no fallback
• Hashing hesiel — Argon2id (memory-hard)
• 2FA — voliteľné pre používateľov, povinné pre admin
• Rate limiting + WAF — Cloudflare
• Penetration testing — externý audit ročne
• ISO 27001 alignment — bez certifikácie, ale procesy v súlade
• Background checks — pre zamestnancov s prístupom k produkčným údajom

12. Oznámenie o porušení (Breach notification)

V prípade úniku údajov:

• Dozornému úradu (ÚOOÚ ČR) do 72 hodín od zistenia (čl. 33 GDPR)
• Dotknutým používateľom bez zbytočného odkladu, ak vzniká vysoké riziko (čl. 34 GDPR)
• Oznámenie obsahuje: povahu úniku, kategórie a počet dotknutých, pravdepodobné dôsledky, opatrenia

Verejný status: tandemio.app/security (chystáme).

13. Zmeny zásad

Tieto zásady môžeme meniť. Pri významných zmenách (nové kategórie údajov, nové príjemcovia) vás notifikujeme minimálne 30 dní vopred cez e-mail.

Aktuálna verzia je vždy na tejto stránke s dátumom účinnosti. Historické verzie archivujeme.

14. Kontakt a sťažnosti

DPO: [email protected] · General: [email protected]

Poštou: Signal Core s.r.o., k rukám DPO, Rybná 716/24, 110 00 Praha 1

Sťažnosť u úradu: Úrad pre ochranu osobných údajov (ÚOOÚ), Pplk. Sochora 27, 170 00 Praha 7, uoou.gov.cz