Zásady ochrany osobních údajů

Kdo za vaše údaje odpovídá

Správcem ve smyslu čl. 4 odst. 7 GDPR je:

• GoodVibes – Essen, Kleidung und niederschwellige Hilfe in Wien für Menschen in Notlagen („GoodVibes Foundation“), neziskový spolek podle rakouského zákona o spolcích z roku 2002
• Číslo ZVR 1741769261, vedené u Zemského policejního ředitelství Vídeň
• Spittelauer Lände 12 / Bogen 335A, 1090 Vídeň, Rakousko
• sup@gvs.foundation

Jsme pod hranicí, od níž je nutné jmenovat pověřence pro ochranu osobních údajů, a žádného jsme nejmenovali. Napište na výše uvedenou adresu a odpoví vám člen výboru. Všechny registrační údaje včetně úředního výpisu z rejstříku najdete v tiráži.

Kde tento web běží

gvs.foundation běží na jediném dedikovaném serveru pronajatém u společnosti Scaleway (Online S.A.S.) ve Francii. Web sám je WordPress s WooCommerce. Webový server zapisuje běžné protokoly přístupů: IP adresu, požadovanou adresu, čas a identifikaci prohlížeče. Tyto protokoly slouží pouze k řešení potíží a k odhalování útoků. K jinému účelu se nevyhodnocují a nespojují se s vaší objednávkou ani s našimi statistikami.

Co shromažďujeme, když koupíte vstupenku

Prodej vstupenek zajišťuje WooCommerce na našem vlastním serveru. Když zadáte objednávku, ukládáme:

• vaše jméno a příjmení
• vaši e-mailovou adresu
• vaši fakturační adresu — ulici, PSČ, obec, zemi
• co jste objednali, kolik jste zaplatili, v jaké měně, kdy, a stav objednávky
• IP adresu a identifikaci prohlížeče, které WooCommerce zaznamenává u každé objednávky jako záznam proti podvodům

Neptáme se na telefonní číslo a nenabízíme pole pro poznámku. Pokladna nevytváří uživatelský účet: objednávky vstupenek probíhají jako host.

Právní základ: čl. 6 odst. 1 písm. b) GDPR — údaje jsou nutné k plnění smlouvy o vstupence. Po dokončení objednávky se účetní doklad uchovává podle čl. 6 odst. 1 písm. c) GDPR, protože nám to ukládá rakouské daňové právo.

Placení — Stripe

Platby kartou zpracovává Stripe. Nyní jsou zapnuty karta, Link, EPS a Bancontact a dále expresní tlačítka Apple Pay a Google Pay.

Platební pole na naší pokladní stránce vykresluje Stripe uvnitř naší stránky. Číslo vaší karty, datum platnosti a bezpečnostní kód jdou přímo do Stripe. Nikdy se nepřenášejí na náš server, nezpracovávají se na něm ani se na něm neukládají. Zpět k nám přichází platební reference a informace, zda platba proběhla.

Stripe je Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Dublin 2, Irsko. Pro vlastní povinnosti v oblasti prevence podvodů a regulatorní shody vystupuje Stripe jako samostatný správce a může předávat údaje společnosti Stripe, Inc. ve Spojených státech na základě standardních smluvních doložek Evropské komise. Zásady Stripe: stripe.com/privacy.

Pokud jste na tomto webu přihlášeni k účtu, může Stripe vaši kartu uložit jako opakovaně použitelný platební prostředek. Samotná karta zůstává u Stripe; my držíme pouze token, který na ni odkazuje. Hostům se tato možnost nenabízí.

Vaše vstupenka a její QR kód

Jakmile platba proběhne, vytvoříme pro každou zakoupenou vstupenku vlastní kód a do databáze tohoto webu uložíme: kód, číslo objednávky, o kterou vstupenku jde, den a část programu, na kterou opravňuje, zaplacenou cenu, vaše jméno, vaši e-mailovou adresu, čas vydání a — později — čas kontroly u vchodu.

Samotný obrázek QR kódu vytváří jednorázově, v okamžiku vydání vstupenky, externí služba: api.qrserver.com, provozovaná společností goQR.me v Německu. Této službě se předává výhradně kontrolní adresa vstupenky ve tvaru https://gvs.foundation/door/?c=KÓD. Vaše jméno, e-mailová adresa, objednávka ani cena se tam nikdy neposílají. Získaný obrázek se uloží na náš server a tato služba už není k dané vstupence nikdy kontaktována.

U vchodu náš tým tuto adresu otevře a zadá sdílený PIN. Dokud není PIN přijat, nezobrazí se o vstupence nic — ani jméno, ani část programu, ani to, zda už byla použita. Vyfocený nebo přeposlaný QR kód tedy sám o sobě nic neprozradí.

Právní základ: čl. 6 odst. 1 písm. b) GDPR — vydání vstupenky a její kontrola u vchodu je přesně ta smlouva, kterou jste uzavřeli.

E-maily, které vám posíláme

Potvrzení objednávky a vaši vstupenku posíláme z adresy sup@gvs.foundation přes poštovní server, který spolek provozuje sám, na stejném stroji jako tento web. Zprávy jsou podepsány DKIM a kryty záznamy SPF a DMARC zveřejněnými pro gvs.foundation. Pro tyto zprávy nepoužíváme Mailchimp, Brevo, SendGrid ani jinou službu hromadné rozesílky.

Váš QR kód je přiložen přímo ke zprávě a při otevření se nestahuje ze serveru. Je to záměr: otevření našeho e-mailu nám nic neprozradí. Nepoužíváme potvrzení o přečtení ani sledovací pixely.

Pošta, kterou posíláte vy nám na sup@gvs.foundation, k nám přichází přes Google Workspace, našeho poskytovatele příchozí pošty (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4). Vaše zpráva tedy leží ve schránce Google Workspace.

Statistiky — PostHog, a v čem zaostáváme

Používáme PostHog k počítání zobrazení stránek a ke zjištění, které stránky se skutečně používají. Je nastaven na evropský server PostHog https://eu.i.posthog.com, události se tedy zpracovávají v Evropské unii. Náš identifikátor projektu phc_n7fN… je vidět ve zdrojovém kódu této stránky; tak je to navrženo a není to tajemství.

PostHog je nastaven na identified_only: běžnému návštěvníkovi se nevytváří profil osoby. Zaznamenávají se zobrazení a události spolu s adresou stránky, odkazující stránkou, přibližnou polohou odvozenou z IP adresy, typem prohlížeče a zařízení a náhodným identifikátorem zařízení uloženým ve vašem prohlížeči.

Řekněme to na rovinu: tento skript se dnes načítá na každé stránce, aniž bychom se vás předem zeptali. Rakouské právo (§ 165 TKG 2021) zpravidla vyžaduje váš souhlas dříve, než se do vašeho zařízení uloží nebo se z něj načte cokoli, co není nezbytně nutné. Tento krok se souhlasem jsme zatím nevytvořili. Nebudeme to vydávat za oprávněný zájem: je to mezera na naší straně a pracujeme na jejím odstranění.

Než ji odstraníme, můžete statistiky zcela vypnout, aniž by na tomto webu cokoli přestalo fungovat: zablokujte eu.i.posthog.com a eu-assets.i.posthog.com v prohlížeči nebo v blokovači obsahu, případně použijte prohlížeč s ochranou proti sledování. Naše vlastní administrátorské relace jsou z měření už vyloučeny.

Poskytovatelem je PostHog, Inc.; údaje evropského cloudu se zpracovávají na infrastruktuře v Evropské unii. Vlastní dobu uchování jsme nenastavili, platí tedy výchozí nastavení PostHog. Jejich zásady: posthog.com/privacy.

Pokud se přihlásíte k odběru novinek

Formulář pro odběr novinek zapíše vaši e-mailovou adresu do tabulky v databázi tohoto webu spolu s údajem, že jste zaškrtli políčko souhlasu, s tím, ze které stránky jste se přihlásili, v jakém jazyce jste četli, s jednosměrným otiskem (hash) vaší IP adresy — používaným jen proti zahlcení formuláře — a s časem. Nikam jinam se nic neposílá: k tomuto webu není připojen žádný poskytovatel newsletteru a všechna přihlášení jsou zatím vedena jako nepotvrzená.

Právní základ: čl. 6 odst. 1 písm. a) GDPR — váš souhlas. Napište na sup@gvs.foundation a záznam smažeme.

Jak se o vaší objednávce dozví dobrovolník

Jakmile je objednávka zaplacena, odešle tento web krátkou zprávu na automatizační server spolku (n8n.gvs.foundation, tentýž stroj), aby sloužící dobrovolník dostal upozornění přes Telegram a mohl jednat. Tato zpráva obsahuje číslo objednávky, stav, celkovou částku, objednané položky a vaše jméno. Neobsahuje vaši e-mailovou adresu, poštovní adresu ani nic o vaší platbě. Samotné upozornění putuje přes Telegram do telefonů sloužících dobrovolníků.

Účty a členství

Ke koupi vstupenky účet nepotřebujete a pokladna vám žádný nevytvoří. Pokud se zaregistrujete nebo u nás máte členství, WordPress a WooCommerce uloží vaše uživatelské jméno, e-mailovou adresu, jméno, případně zadanou adresu a historii objednávek a po dobu přihlášení nastaví přihlašovací cookies.

Cookies a co se ukládá ve vašem prohlížeči

Toto je úplný seznam toho, co tento web ukládá do vašeho prohlížeče:

• pll_language — nastavuje Polylang na každé stránce. Pamatuje si, který z našich osmi jazyků čtete. Platnost jeden rok. Nezbytně nutné, aby se web zobrazil ve správném jazyce.
• woocommerce_items_in_cart, woocommerce_cart_hash a wp_woocommerce_session_… — nastavuje WooCommerce až ve chvíli, kdy něco vložíte do košíku. Nesou košík a příslušnou relaci. Nezbytně nutné pro funkci obchodu.
• ph_phc_n7fN…_posthog — nastavuje PostHog. Náhodný identifikátor zařízení, aby se opakované návštěvy počítaly jako jedno zařízení. Není nezbytně nutné; výše je popsáno, jak jej zablokovat.
• wordpress_logged_in_… a wp-settings-… — pouze pro osoby, které se přihlašují ke správě webu.

Nenastavujeme žádné reklamní cookies. Na tomto webu není Google Analytics, pixel Meta ani Facebook, značka Google Ads ani pixel TikTok.

Odkazy na jiné weby na našich stránkách — například na arneiron.net nebo na náš kanál na Telegramu — jsou běžné odkazy. Dokud na ně nekliknete, nic se z nich nenačítá a nic se jim neposílá.

Jak dlouho údaje uchováváme

• Objednávky a platební doklady — sedm let, protože § 132 rakouského spolkového daňového řádu (BAO) tuto lhůtu pro účetní doklady vyžaduje.
• Kódy vstupenek a záznamy o vstupu — do konce příslušné akce, poté další tři měsíce pro vyřešení případných sporů, pak se mažou.
• Přihlášení k odběru novinek — dokud nepožádáte o odhlášení.
• Statistické události v PostHog — výchozí doba uchování PostHog; neprodloužili jsme ji.
• Protokoly serveru — krátkodobě, jen pro řešení potíží a bezpečnost.
• E-maily, které nám pošlete — dokud jsou užitečné pro odpověď a pro spolkovou evidenci.

Komu se vaše údaje předávají

Nikdo je od nás nekupuje a nikdo je nedostává pro vlastní reklamu. Toto je úplný seznam třetích stran zapojených do provozu webu:

• Stripe Payments Europe, Limited (Irsko) — zpracování vaší platby
• PostHog, Inc. (evropský cloud) — statistiky webu
• goQR.me / api.qrserver.com (Německo) — jednorázově vytvoří obrázek QR pro vstupenku a dostane pouze kontrolní adresu
• Google Ireland Limited — příchozí pošta na sup@gvs.foundation
• Telegram — přenáší výše popsané upozornění dobrovolníkům
• Scaleway / Online S.A.S. (Francie) — server, na kterém web běží

Nad rámec toho vaše údaje opouštějí naše ruce jen tehdy, vyžaduje-li to zákon — například vůči finančnímu úřadu nebo soudu.

Vaše práva

Podle GDPR nás můžete kdykoli požádat, abychom:

• vám sdělili, jaké údaje o vás máme, a předali kopii — čl. 15
• opravili nepřesnosti — čl. 16
• vaše údaje vymazali — čl. 17, s výhradou dokladů, které musíme ze zákona uchovat
• omezili zpracování — čl. 18
• předali údaje ve strojově čitelném formátu — čl. 20
• vyhověli vaší námitce proti zpracování včetně statistik — čl. 21
• umožnili odvolat udělený souhlas, aniž je dotčena zákonnost dřívějšího zpracování — čl. 7 odst. 3

Napište na sup@gvs.foundation. Odpovíme do jednoho měsíce. Je to zdarma a nebudeme po vás chtít více identifikačních údajů, než potřebujeme, abychom měli jistotu, že jste to opravdu vy.

Na tomto webu neprobíhá automatizované rozhodování ani profilování ve smyslu čl. 22 GDPR.

Domníváte-li se, že vaše údaje zpracováváme nesprávně, můžete podat stížnost rakouskému dozorovému úřadu: Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Vídeň, dsb@dsb.gv.at, dsb.gv.at. Žijete-li v jiném státě Unie, můžete se obrátit na úřad ve své zemi.

Změny této stránky

Tato stránka byla 3. září 2026 zcela přepsána tak, aby popisovala, co tento web skutečně dělá. Přidáme-li službu nebo něco změníme, změníme nejprve tuto stránku. Žádnou starší verzi neskrýváme.