Zásady ochrany osobních údajů

Provozovatel: Adam Beniak, IČO 29912938, K Pile 1631/37a, 725 25 Ostrava, info@taborio.cz

#1. Úvodní ustanovení

#1.1 Kdo tyto zásady vydává

Tyto zásady vydává Adam Beniak, IČO 29912938, se sídlem K Pile 1631/37a, 725 25 Ostrava (dále jen „provozovatel"), který provozuje službu Táborio.cz. Kontaktní adresa pro všechno, co se týká osobních údajů, je podpora@taborio.cz. Na adresu info@taborio.cz se doručují právní jednání vůči provozovateli; pro dotazy a žádosti podle těchto zásad slouží adresa podpory.

#1.2 Čeho se zásady týkají

Zásady popisují zpracování, u kterých provozovatel sám určuje účel a prostředky — tedy ta, u nichž je správcem. Je jich jedenáct a jsou vypsána v čl. 2.

Táborio.cz je nástroj, který používají pořadatelé táborů. Údaje o dětech, jejich zákonných zástupcích, přihláškách, zdraví, platbách a fotografiích do služby vkládá pořadatel nebo je získává od zákonných zástupců na svých stránkách. U těchto údajů je správcem pořadatel; provozovatel je pro něj zpracovává jako zpracovatel, na jeho pokyn, na základě uzavřené smlouvy o zpracování osobních údajů. Tyto zásady o nich neříkají nic dalšího a nelze z nich dovozovat, na jakém základě je zpracovává pořadatel — to popisuje informace, kterou vydává pořadatel sám.

#1.3 Kdy v těchto zásadách figuruje zákonný zástupce

Aby to nebylo nutné dovozovat mlčením: údaje zákonného zástupce se v roli správce dotýkají provozovatele právě ve dvou případech, a v žádném dalším.

Ve všech ostatních případech — přihláška, zdravotní údaje, platby, fotografie, komunikace pořadatele — je správcem pořadatel a provozovatel jedná na jeho pokyn. Žádost, která se takových údajů týká, patří pořadateli; jak s ní provozovatel naloží, je v čl. 7.2.

Navštíví-li zákonný zástupce stránky provozovatele, je pro něj návštěvníkem jako kdokoli jiný (čl. 2.5, 2.12 a 2.13). Na stránkách pořadatele a v rodičovském portálu se neměří nic.

#1.4 Kdy tyto zásady neplatí

Neplatí na stránkách, které patří pořadateli — na jeho poddoméně ani na jeho vlastní doméně (veřejná přihláška, rodičovský portál). Tam údaje shromažďuje pořadatel a informaci o zpracování vydává on. Neplatí ani na cizích stránkách, na které z Táboria vede odkaz.

#1.5 Pojmy

Pořadatel je zákazník provozovatele, který pořádá tábor. Člen týmu je osoba, kterou pořadatel do své organizace pozval. Personál provozovatele jsou lidé, kteří obsluhují administrační rozhraní Táboria. Zákonný zástupce je ten, kdo přihlašuje dítě k pořadateli; zákazníkem provozovatele není a nic si u něj neobjednává.

---

#2. Účely, právní tituly a doba uchování

#2.1 Přehled

Právní tituly jsou čl. 6 odst. 1 písm. a), b), c) a f) GDPR. U každého účelu je uvedeno, který z nich se použije a proč.

#2.2 Účet pořadatele a členů týmu

#2.2.1 Rozsah

Jméno, e-mailová adresa, heslo v podobě otisku, nastavení dvoufázového ověření, čas a adresa posledního přihlášení, jazyk, předvolby oznámení a přiřazená role. U organizace dále její název, identifikační a daňové číslo, fakturační adresa, telefon, e-mail, logo a zvolené nastavení.

#2.2.2 Proč to zpracováváme

Vůči pořadateli je zpracování nezbytné pro plnění smlouvy o poskytování služby: bez účtu službu nelze poskytnout. Vůči jednotlivému členovi týmu je titulem oprávněný zájem — účet mu zřídil pořadatel, nikoli provozovatel, a zájmem je, aby přístup ke svěřeným datům měl jen ten, komu ho pořadatel dal. Dvoufázové ověření a omezená životnost přihlášení jsou bezpečnostní opatření, ne samostatný účel.

#2.2.3 Jak dlouho

Po dobu trvání smluvního vztahu. Po jeho skončení provozovatel na pokyn pořadatele odstraní obsah organizace; řádky uživatelských účtů, členství a pozvánek dnes tento výmaz přežijí a provozovatel je odstraňuje samostatně na žádost. Fakturační údaje zůstávají podle čl. 2.3.

#2.3 Předplatné a fakturace

#2.3.1 Rozsah

Název a fakturační adresa pořadatele, identifikační a daňové číslo, e-mail organizace, daňový režim, stav a historie předplatného, částky a data vystavených dokladů. Číslo platební karty provozovatel nikdy nevidí — zadává se přímo u poskytovatele platební brány pro předplatné.

#2.3.2 Proč to zpracováváme

Plnění smlouvy o předplatném a plnění právních povinností v oblasti účetnictví a daní (z. 563/1991 Sb., z. 235/2004 Sb.).

#2.3.3 Jak dlouho

10 let od konce roku, ve kterém byl doklad vystaven. Je to zákonná mez, pod kterou nelze jít ani na žádost o výmaz. Fakturační údaje jsou proto jediné, co u provozovatele zůstává i poté, co byl obsah organizace odstraněn — a je to záměr, ne opomenutí.

#2.3.4 Partner, který pořadatele přivedl

Přivedl-li pořadatele partner programu doporučitelů, vidí partner v portálu název organizace, její tarif a to, zda předplatné platí; kolik pořadatel provozovateli zaplatil, nevidí. Částky přijaté od pořadatele používá provozovatel jako základ provize partnera. Titulem je oprávněný zájem provozovatele na tom, aby mohl splnit smlouvu s partnerem a partner si mohl ověřit, za co mu provize náleží (čl. 6 odst. 1 písm. f) GDPR). Po skončení smlouvy s partnerem mu organizace v portálu dál nepřibývají a z jejích plateb provize nevzniká.

#2.3.5 Pořadatel, který jiného pořadatele doporučil

Přišel-li pořadatel přes odkaz jiného pořadatele (měsíc zdarma za doporučení podle ceníku), eviduje provozovatel, kdo koho doporučil, kdy nová organizace poprvé zaplatila a jaký kredit doporučujícímu připsal. Doporučující pořadatel se nedozví název ani žádný jiný údaj o organizaci, kterou přivedl — vidí jen počet doporučených organizací a připsaných měsíců. Titulem je plnění smlouvy s doporučujícím pořadatelem (čl. 6 odst. 1 písm. b) GDPR). Záznam trvá, dokud trvá účet doporučujícího; vymažou-li se jeho údaje, jeho odkaz přestane platit a nevyřízená doporučení se zruší.

#2.4 Účty personálu provozovatele

Jméno, e-mailová adresa, heslo v podobě otisku, dvoufázové ověření, čas a adresa posledního přihlášení a přidělená role. Titulem je plnění smlouvy nebo obdobného vztahu a plnění právních povinností. Dvoufázové ověření je pro tyto účty povinné. Katalog oprávnění administračního rozhraní záměrně neobsahuje žádné oprávnění ke zdravotním údajům dětí; rozhraní zobrazuje počty a stavy, nikdy zdravotní záznam.

#2.5 Atribuční cookie doporučitele

#2.5.1 Co se ukládá

Otevře-li návštěvník stránku provozovatele s odkazem, který nese kód doporučitele, a udělí-li na liště souhlas, uloží se do jeho zařízení cookie s tímto kódem a ničím jiným. Kód je krátký řetězec velkých písmen a číslic; není v něm jméno, e-mail ani nic, co by návštěvníka popisovalo. Cookie se ukládá jen na stránkách provozovatele, nikdy na stránkách pořadatele.

Bez souhlasu se kód do zařízení neukládá. Přejde-li návštěvník z odkazu rovnou k registraci organizace, nese kód adresa stránky a použije se jen pro tuto registraci.

#2.5.2 Proč to zpracováváme

Uložení do zařízení je zpracování na základě souhlasu: cookie není nezbytná pro službu, kterou si návštěvník vyžádal (§ 89 odst. 3 z. 127/2005 Sb.). Následné použití kódu — přiřazení nové objednávky k tomu, kdo ji doporučil — je oprávněným zájmem provozovatele na tom, aby mohl svůj závazek vůči doporučiteli splnit.

#2.5.3 Jak dlouho

90 dní. První uložený kód platí; pozdější ho nepřepíše. Podrobnosti a způsob odvolání jsou v samostatné informaci o cookies.

#2.6 Bezpečnostní a provozní záznamy

#2.6.1 Rozsah

Záznam o přihlášení a odhlášení, o změnách v datech (kdo, co, kdy), o vstupu personálu provozovatele do účtu pořadatele, o odmítnutých požadavcích a o počtu požadavků z jedné adresy. Součástí je IP adresa, ze které požadavek dorazil na server — k tomu ale čl. 6.2, protože ta adresa sama návštěvníka neurčuje.

#2.6.2 Proč to zpracováváme

Oprávněný zájem na zabezpečení sítí a informací a na doložitelnosti vlastního jednání (čl. 6 odst. 1 písm. f) GDPR, rec. 49). U vstupu personálu do účtu pořadatele je záznam samostatným zájmem: bez něj by nešlo doložit, kdo a kdy do účtu vstoupil.

#2.6.3 Jak dlouho

Provozovatel uvádí jen to, co skutečně dodržuje.

Každou z těchto lhůt uplatňuje úloha, která běží každou noc. Do 8. září 2026 tomu tak u prvních čtyř nebylo; záznamy se do té doby odstraňovaly jen spolu s výmazem údajů organizace. Ten způsob platí dál a stojí vedle lhůt: při výmazu se u vyjmenovaných záznamů nahradí obsah a odstraní údaj o tom, kdo úkon provedl.

Záznamy o doručení zpráv jsou popsány v čl. 2.7.3.

#2.7 Doručitelnost odchozí pošty

#2.7.1 Rozsah

E-mailová adresa příjemce, předmět zprávy, čas odeslání, stav doručení a důvod nedoručení. Týká se zpráv odesílaných z adresy provozovatele — tedy i zpráv, které pořadatel posílá zákonným zástupcům, dokud si pořadatel nenastaví vlastní odesílací server.

#2.7.2 Proč to zpracováváme

Oprávněný zájem na ochraně pověsti vlastní odesílající domény. Kdyby provozovatel nevěděl, které adresy zprávy odmítají, poškodil by doručitelnost všem svým zákazníkům najednou. Pořadatel toto zpracování nemůže vypnout, a právě proto je to vlastní účel provozovatele, ne pokyn pořadatele. Pořadatel, který má nastavený vlastní odesílací server, je z něj u své pošty vyňat.

#2.7.3 Jak dlouho

Jeden rok — po jeho uplynutí se ze záznamu odstraní adresa příjemce i předmět zprávy. Řádek záznamu zůstává a je z něj patrné, že zpráva byla odeslána a jak dopadlo její doručení; nelze z něj ale zjistit komu ani s jakým předmětem.

Že řádek zůstává, je zde nutné a je to popis, ne výhrada: týž řádek zároveň brání tomu, aby tatáž automatická zpráva odešla podruhé. Kdyby zanikl, začaly by se rodinám znovu rozesílat zprávy k táborům, které dávno skončily. Provozovatel proto odstraňuje z takového záznamu obsah, a ne záznam sám. Odstranění probíhá noční úlohou; do 8. září 2026 neprobíhalo vůbec.

Adresa a předmět se týmž způsobem odstraňují i dříve, uplatní-li subjekt údajů právo na výmaz nebo skončí-li vztah s pořadatelem.

Adresa, kterou systém u pořadatele zablokoval po trvalém odmítnutí nebo po stížnosti (čl. 2.7.4), zůstává v seznamu blokovaných adres jeden rok od zablokování, i když blokace mezitím skončila; potom se záznam smaže. Odhlášení nabídek se vede bez časového omezení, protože je dokladem námitky. Dříve zanikne obojí s výmazem údajů dané rodiny nebo s ukončením vztahu s pořadatelem.

#2.7.4 Stížnosti a nedoručitelné adresy

Stížnost příjemce na nevyžádanou poštu a trvalé odmítnutí adresy systém zaznamená a adresu u daného pořadatele zablokuje: po trvalém odmítnutí se na ni neodešle žádná zpráva, po stížnosti žádné obchodní sdělení. Blokace platí jen u pořadatele, jehož zpráva ji vyvolala, a nedoručitelné adrese ji zruší přihlášení do rodičovského portálu kódem zaslaným na tu adresu.

#2.8 Ověření pravosti dokumentu

Stránka pro ověření dokumentu vydaného službou je definována tím, co nedělá:

a) soubor se na server neposílá — otisk dokumentu spočítá prohlížeč a odešle 64 znaků; b) o dotazu se neukládá nic — ani otisk, ani adresa tazatele; c) odpověď obsahuje jen typ dokumentu, název pořadatele, data a stav — nikdy jméno dítěte ani zákonného zástupce.

Jediné zpracování, ke kterému při ověření dochází, je omezení počtu dotazů z jedné adresy podle čl. 2.6. Titulem je oprávněný zájem na tom, aby držitel dokumentu mohl ověřit jeho pravost.

#2.9 Zálohy

Zálohování není samostatný účel — je to bezpečnostní opatření podle čl. 32 odst. 1 písm. c) GDPR. Zálohují se dvě různé věci dvěma různými způsoby: databáze a soubory serveru se denně balí do archivu, kdežto dokumenty a fotografie uložené v objektovém úložišti se kopírují samostatně, objekt po objektu. Pro čtenáře z toho plynou čtyři důsledky, které provozovatel uvádí předem:

a) výmaz nedosáhne na archivy okamžitě: archivy se obměňují a nejstarší z nich se drží až dva roky; b) archiv je platformový — jeden soubor obsahuje data všech pořadatelů, takže z něj nelze vyjmout jednotlivý záznam; c) archiv se šifruje AES-256 a nezašifrovaný nevznikne — ověřuje se hotový soubor, a nenese-li šifrování, záloha skončí chybou místo toho, aby vznikla; d) u dokumentů a fotografií neplatí písmeno a). Jejich kopie drží stav, v jakém soubory ve službě právě jsou; starší verze téhož souboru se neuchovávají a odstraněný soubor z kopie zaniká nejpozději osmý den po odstranění. Dvouletá doba podle písmene a) se týká archivů databáze, nikoli objektů.

#2.10 Kontakty zapsané obchodním partnerem

Partner programu doporučitelů může provozovateli předat kontakt na osobu, která zastupuje potenciálního pořadatele — název organizace, IČO, jméno, e-mail, telefon a poznámku partnera. Účelem je rozhodnout, kterému partnerovi náleží provize, a umět sporný nárok ověřit u kontaktní osoby pořadatele; titulem je oprávněný zájem provozovatele (čl. 6 odst. 1 písm. f) GDPR).

Osobě s uvedenou adresou provozovatel bez odkladu pošle upozornění s odkazem, jímž záznam jedním tlačítkem smaže; adresu pak vede jen jako otisk, aby ji nešlo zapsat znovu. Osobu bez adresy informuje partner nejpozději při prvním oslovení a předá jí týž odkaz; to, že tak učiní, potvrzuje při zápisu.

Záznam, ze kterého zákazník nevznikl, se maže 180 dní po zápisu, nejdříve však po skončení nároku partnera, který trvá 90 dní od schválení. Vznikne-li zákazník, kontaktní údaje se mažou při převodu a zůstává jen název organizace a IČO.

#2.11 Účet partnera programu doporučitelů

#2.11.1 Rozsah

Jméno, e-mailová adresa, telefon, heslo v podobě otisku, nastavení dvoufázového ověření, čas a adresa posledního přihlášení; obchodní firma, IČO, DIČ a údaj o tom, zda je partner plátcem daně — u podnikající fyzické osoby může DIČ obsahovat rodné číslo; typ partnera, referenční kód a sjednané sazby; přivedené organizace, vypočtené provize a výplaty; potvrzení partnerských podmínek; poznámky provozovatele o spolupráci. Údaje poskytuje partner sám při sjednání spolupráce a v portálu.

#2.11.2 Proč to zpracováváme

Plnění smlouvy o zprostředkování podle partnerských podmínek: bez účtu nelze partnerovi přiřadit přivedené organizace, spočítat provizi ani ji vyplatit. U provizí a výplat, které jsou podkladem faktur, jež partner provozovateli vystavuje, jde také o plnění právních povinností v oblasti účetnictví a daní (z. 563/1991 Sb., z. 235/2004 Sb.).

#2.11.3 Komu je předáváme

Údaje leží na serveru provozovatele a procházejí sítí pro doručování obsahu; zprávy partnerovi odcházejí přes poskytovatele odchozí pošty (čl. 4.1). Dostane-li partner slevový kód, vytvoří se u poskytovatele fakturace předplatného kupón, který nese jméno partnera, a kód odvozený z jeho jména. Číslo účtu pro výplatu provozovatel v aplikaci nevede — nese ho faktura, kterou partner vystaví.

#2.11.4 Jak dlouho

Po dobu spolupráce a jeden rok po ní. Rok se počítá od nejpozdější z těchto událostí: skončení smlouvy s partnerem, poslední zaúčtované provize a poslední výplaty — a jen tehdy, když provozovatel partnerovi nic nedluží. Potom se vymaže jméno, kontakt, přihlášení, druhý faktor a poznámky, z potvrzení podmínek adresa a prohlížeč, ze zapsaných příležitostí kontaktní osoby; kupón u poskytovatele fakturace se přejmenuje a kód vyřadí. Provize z přivedených organizací přestávají vznikat už skončením smlouvy.

Provize a výplaty zůstávají jako účetní záznam — částky, data a číslo faktury — bez jména. Obchodní firma, IČO a DIČ zůstávají, dokud neuplyne 10 let od konce roku poslední výplaty: jsou údajem o dodavateli, od kterého provozovatel fakturu přijal. Partner, kterému se nikdy nic nevyplatilo, o ně přichází spolu s ostatním.

Adresa posledního přihlášení slouží zabezpečení účtu podle čl. 2.6 a zapomíná se 90 dní po přihlášení; čas přihlášení zůstává.

Každou z těchto lhůt uplatňuje úloha, která běží každou noc.

#2.11.5 Výpis a výmaz na žádost

O výpis svých údajů i o jejich výmaz žádá partner postupem podle čl. 7.2. Výpis obsahuje údaje účtu včetně poznámek provozovatele, přivedené organizace, provize, výplaty, zapsané příležitosti bez kontaktních osob a potvrzení podmínek; nezahrnuje částky, které pořadatelé zaplatili provozovateli — ty nejsou údajem o partnerovi. Výmaz se provede v rozsahu čl. 2.11.4, jakmile provozovatel partnerovi nic nedluží; do té doby jsou jméno a fakturační údaje nezbytné k výplatě.

#2.12 Souhrnné měření návštěvnosti

#2.12.1 Rozsah

Počty zobrazení stránek, odkud návštěvník přišel, typ zařízení a prohlížeče, země a rychlost načtení stránky. Do zařízení se neukládá nic a měření nespojuje jednotlivé návštěvy do profilu; IP adresu použije poskytovatel jen k určení země a neuchovává ji. Výsledkem je souhrnný přehled, ze kterého nelze určit jednotlivého návštěvníka. Měření pro provozovatele zajišťuje poskytovatel sítě pro doručování obsahu (čl. 4.1).

#2.12.2 Kde měření běží

Pouze na veřejných stránkách provozovatele — na titulní stránce, u právních textů a na servisních stránkách. Na poddoméně pořadatele ani na jeho vlastní doméně — tedy na veřejné přihlášce a v rodičovském portálu — ani po přihlášení do služby se neměří nic. Návštěva zákonného zástupce u pořadatele se tímto účelem nedotýká.

#2.12.3 Proč to zpracováváme

Oprávněný zájem provozovatele vědět, které jeho stránky lidé čtou a odkud přicházejí. Zájem je slabý, a proto je slabý i zásah: měření je zvoleno tak, aby k němu nebylo potřeba nic ukládat do zařízení ani nikoho rozpoznávat.

#2.12.4 Jak dlouho

Uchovávají se souhrnné přehledy, ne jednotlivé návštěvy. Úplné záznamy o načtení stránek drží poskytovatel 7 dní, starší už jen jako výběrový vzorek.

#2.13 Měření návštěvnosti nástrojem Google Analytics

#2.13.1 Rozsah

Jen s vaším souhlasem. Do zařízení se uloží dvě cookies nástroje Google Analytics, jejichž název začíná _ga, s náhodným identifikátorem prohlížeče. Podle něj nástroj pozná opakovanou návštěvu a ukáže, jak lidé stránkami procházejí. S identifikátorem odchází adresa a název zobrazené stránky, odkud návštěvník přišel, typ zařízení a prohlížeče, jazyk a rozlišení obrazovky. IP adresu použije poskytovatel k určení přibližné polohy a u návštěvníků z Evropské unie ji podle svého prohlášení neukládá. Signály Google, reklamní funkce ani propojení s uživatelským účtem zapnuté nejsou; identifikátor se nespojuje se jménem, e-mailem ani účtem ve službě.

#2.13.2 Kde měření běží

Stejně jako v čl. 2.12.2 — jen na veřejných stránkách provozovatele. Cookies se ukládají jen pro adresu taborio.cz, nikoli pro poddomény pořadatelů.

#2.13.3 Proč to zpracováváme

Na základě souhlasu (čl. 6 odst. 1 písm. a) GDPR; § 89 odst. 3 z. 127/2005 Sb.): cookies nejsou nezbytné pro nic, oč návštěvník požádal. Souhlas se uděluje na liště v kategorii „Měření návštěvnosti (Google Analytics)" a lze ho kdykoli odvolat v „Nastavení cookies" v patičce stránky; odvoláním se měření zastaví a cookies se smažou. Bez souhlasu se nástroj vůbec nenačte a stránky fungují stejně.

#2.13.4 Komu je předáváme

Údaje pro provozovatele zpracovává Google Ireland Limited (Irsko) a také Google LLC ve Spojených státech (čl. 4.1 a 4.3).

#2.13.5 Jak dlouho

Cookies v zařízení 2 roky — s každou další návštěvou se lhůta může obnovit —, nebo do odvolání souhlasu. Údaje o jednotlivých návštěvách drží poskytovatel podle nastavení služby, dnes 2 měsíce; souhrnné přehledy tím omezené nejsou.

---

#3. Odkud údaje máme

#3.1 Od koho pocházejí

Většinu údajů, které provozovatel jako správce zpracovává, mu poskytne sám subjekt — pořadatel při registraci, člen týmu při vytvoření účtu, partner programu doporučitelů při sjednání spolupráce. Tři zdroje jsou jiné a informace o nich patří podle čl. 14 GDPR do těchto zásad: veřejné rejstříky (čl. 3.2), pořadatel, který zve člena týmu (čl. 3.3), a obchodní partner, který zapíše kontakt na potenciálního pořadatele (čl. 3.4).

#3.2 Údaje z veřejných rejstříků

#3.3 Údaje o pozvaném členovi týmu

Pozve-li pořadatel do své organizace nového člena týmu, dostane provozovatel jeho e-mailovou adresu od pořadatele, nikoli od něj. Zpracovává ji, aby mohl pozvánku doručit a aby pozvaný mohl účet vytvořit; pozvánka má omezenou platnost. Zdrojem je pořadatel, který ji zadal, a od okamžiku, kdy pozvaný účet vytvoří, platí čl. 2.2.

#3.4 Kontakty od obchodního partnera

Kontakt na osobu zastupující potenciálního pořadatele dostane provozovatel od partnera programu doporučitelů, nikoli od ní. Co se zapisuje, proč, jak se o tom osoba dozví a jak dlouho záznam žije, uvádí čl. 2.10.

---

#4. Komu údaje zpřístupňujeme

#4.1 Příjemci

Provozovatel zapojuje do poskytování služby dodavatele, kteří pro něj zpracovávají osobní údaje. Úplný a závazný seznam je zveřejněn samostatně jako seznam dalších zpracovatelů a je samostatně verzovaný; níže je jeho výtah s uvedením toho, čeho se dotýká v rozsahu těchto zásad. Poslední dva řádky v tom seznamu nejsou: měří pro provozovatele návštěvnost jeho vlastních stránek a s daty pořadatelů nepracují.

Údaje se dále zpřístupňují pořadateli v rozsahu jeho vlastní organizace, partnerovi, který pořadatele přivedl, v rozsahu čl. 2.3.4 a orgánům veřejné moci, ukládá-li to právní předpis; provozovatel v takovém případě prověří, zda je požadavek zákonný a v jakém rozsahu.

#4.2 Síť pro doručování obsahu vidí obsah, ne jen adresu

Provoz na doméně taborio.cz a na poddoménách pořadatelů prochází sítí pro doručování obsahu. Ta proto není pouhou infrastrukturou: vidí každý požadavek včetně obsahu odeslaných formulářů a je u ní ukončeno šifrované spojení návštěvníka. Provozovatel to uvádí výslovně, protože je to nejširší přístup k údajům v celém seznamu.

Provoz na vlastní doméně pořadatele touto sítí neprochází a míří přímo na server provozovatele.

#4.3 Předávání mimo Evropskou unii

Tvrzení, že údaje nikdy neopustí Evropskou unii, provozovatel neuvádí, protože by nebylo pravdivé. Situace se liší dodavatel od dodavatele:

Údaje o dodavatelích jsou uvedeny podle jejich veřejných podmínek ke dni 28. 9. 2026.

---

#5. Ukládání do zařízení

Provozovatel ukládá do zařízení návštěvníka sedm položek: přihlášení k relaci, ochranný token formulářů, volitelné trvalé přihlášení, atribuční cookie doporučitele podle čl. 2.5, dvě cookies nástroje Google Analytics podle čl. 2.13 a záznam volby na liště. Souhlas vyžadují atribuční cookie a cookies Google Analytics, každá ve své kategorii na liště; ostatní jsou nezbytné pro službu, kterou si návštěvník vyžádal — záznam volby proto, že bez něj nelze učiněnou volbu respektovat. Souhrnné měření podle čl. 2.12 do zařízení neukládá nic.

Úplný popis — včetně toho, co se ukládá mimo cookies a co se ukládá na stránkách pořadatele — je v samostatné informaci o cookies. Souhlas se získává lištou, která se zobrazuje jen na stránkách provozovatele — na titulní stránce, u právních textů a na servisních stránkách; na stránkách pořadatele se ukládá jen nezbytné, a proto tam lišta není.

---

#6. Co provozovatel nedělá

#6.1 Nesleduje

Provozovatel měří návštěvnost svých vlastních veřejných stránek podle čl. 2.12 a 2.13. Aby bylo zřejmé, co to znamená a co ne:

Nad rámec toho provozovatel nepoužívá nástroje pro nahrávání relací, reklamní měřicí body ani sledování napříč weby a nesleduje, zda byla odeslaná zpráva otevřena a zda bylo v ní kliknuto na odkaz; toto sledování je u poskytovatele odchozí pošty vypnuté, a kdyby dodavatel takové události přesto poslal, služba je potvrdí a nezapíše.

Kdyby se kterékoli z toho zapnulo — nebo kdyby se měření rozšířilo na stránky pořadatele, do rodičovského portálu nebo do prostředí po přihlášení —, přestala by tato část zásad platit a musela by se změnit dříve, než k tomu dojde. Je to zároveň jeden ze spouštěčů, které provozovatele zavazují znovu posoudit své povinnosti v oblasti ochrany údajů.

#6.2 IP adresu návštěvníka ukládá — a nepovažuje ji za totožnost

Aplikace ukládá IP adresu, ze které požadavek dorazil na její server, a od 9. 9. 2026 je touto adresou adresa návštěvníka. Do té doby provozovatel na doménách taborio.cz ukládal adresu uzlu sítě pro doručování obsahu, přes kterou provoz prochází. Na vlastních doménách pořadatelů, které přes tuto síť nejdou, se adresa návštěvníka ukládala vždycky.

Neplatí tedy ani „IP adresy neukládáme" — ukládají se —, ani opak, že by uložená adresa návštěvníka identifikovala. Adresu přiděluje poskytovatel připojení zpravidla dočasně a sdílí ji celá domácnost i celá firemní síť. Praktický důsledek je tento: kde se v systému objeví IP adresa u záznamu o nějakém úkonu, sama o sobě neurčuje osobu, která ho učinila — u úkonů v rodičovském portálu ji určuje jednorázový kód doručený na ověřenou e-mailovou adresu.

Kde se adresa ukládá a jak dlouho, uvádí čl. 2.6; k žádnému jinému účelu se nepoužívá.

#6.3 Nerozhoduje automatizovaně a neprofiluje

Provozovatel nečiní rozhodnutí založená výhradně na automatizovaném zpracování, která by měla právní účinky nebo se obdobně významně dotýkala subjektu údajů (čl. 22 GDPR), a neprofiluje pořadatele, zákonné zástupce ani děti.

#6.4 Netvoří statistiky z dat pořadatelů

Provozovatel měří dostupnost a rychlost vlastní služby. Tato měření neobsahují žádný údaj z dat pořadatelů — je v nich název sledované součásti, čas, stav a doba odezvy. Ani měření návštěvnosti podle čl. 2.12 a 2.13 se dat pořadatelů nedotýká: běží jen na stránkách provozovatele a nemá k nim přístup.

---

#7. Práva subjektu údajů

#7.1 Jaká práva máte

Právo na přístup k údajům (čl. 15), na opravu (čl. 16), na výmaz (čl. 17), na omezení zpracování (čl. 18), na přenositelnost (čl. 20) a právo vznést námitku (čl. 21) proti zpracování založenému na oprávněném zájmu. Byl-li dán souhlas, lze ho kdykoli odvolat (čl. 7 odst. 3); odvoláním není dotčena zákonnost zpracování před odvoláním.

Námitka proti zpracování pro účely přímého marketingu je absolutní — takové zpracování končí okamžitě a bez poměřování zájmů.

#7.2 Komu žádost adresovat

Nejčastější potíž je, že žadatel neví, kdo je správcem. Rozcestník:

Žádost lze v obou případech poslat na podpora@taborio.cz, nebo podat formulářem na taborio.cz/zadost-o-udaje. Obě cesty jsou rovnocenné a žádost se podle nich nevyřizuje jinak; žádostí je i běžná zpráva, ze které je patrné, že se někdo domáhá svých údajů, a provozovatel ji nevrací s pokynem použít jinou cestu. Provozovatel ověří totožnost žadatele — u zákonného zástupce podle e-mailové adresy vedené u přihlášky, nikdy podle jména samotného — a nevyžaduje k tomu více dokladů, než je nutné.

#7.3 Jak žádost vyřídíme

a) Je-li správcem provozovatel, vyřídí žádost do jednoho měsíce od doručení. Lhůtu lze prodloužit o další dva měsíce, je-li to nutné s ohledem na složitost a počet žádostí; o prodloužení a jeho důvodech provozovatel vyrozumí žadatele do jednoho měsíce. b) Je-li správcem pořadatel, provozovatel žádost do 5 pracovních dnů přepošle vlastníkovi účtu pořadatele, uvědomí o tom žadatele a sdělí mu, komu byla předána. Měsíční lhůta v tomto případě běží pořadateli, nikoli provozovateli, protože je správcem on. c) O každé žádosti provozovatel vede záznam: kdo, čeho se týkala, kdy přišla, komu byla předána a kdy byla vyřízena.

#7.4 Co aplikace umí a co zůstává na člověku

a) Právo na omezení zpracování má v aplikaci příznak „omezeno" u přihlášky. Dokud je nastaven, rodině neodcházejí automatické zprávy ani rozesílky, přihlášku nelze upravovat a po uplynutí doby uchování se nemaže. O omezení u údajů, jejichž správcem je pořadatel, rozhoduje pořadatel. b) Přenositelnost pro jednu rodinu — aplikace vydá archiv údajů jedné rodiny, rozdělený na údaje, které rodina poskytla (čl. 20 GDPR), a údaje k nahlédnutí (čl. 15 GDPR). Vydání je vždy věcí pořadatele jako správce. c) Vyřízení samotné je ruční. Formulář na taborio.cz/zadost-o-udaje žádost zaeviduje, potvrdí její přijetí a hlídá lhůty; odpověď na ni ale sestavuje člověk a u žádosti, jejímž správcem je pořadatel, ji sestavuje pořadatel. Žádné právo se v aplikaci neuplatňuje samo o sobě. d) Rodičovský portál ukazuje, co je o rodině vedeno, a stav souhlasů — ale sám je nemění. Odvolání souhlasu s fotografiemi zanáší k přihlášce pořadatel na základě zprávy od zákonného zástupce; portál říká, co je zapsáno a jak to změnit.

#7.5 Stížnost u dozorového úřadu

Kdo se domnívá, že jeho údaje jsou zpracovávány neoprávněně, může podat stížnost u dozorového úřadu.

Podání stížnosti není podmíněno tím, že se žadatel nejdřív obrátil na správce.

---

#8. Změny těchto zásad

#8.1 Verze a účinnost

Tyto zásady mají verzi a datum účinnosti uvedené v záhlaví. Na jejich adrese je vždy jen znění platné; předchozí znění se na ní neuchovávají.

#8.2 Kdy se verze zvedne

Při každé změně, která mění, co se čtenáři tvrdí — nový účel, nový příjemce, jiná doba uchování, jiný právní titul. Oprava překlepu verzi nezvedá.

#8.3 Změna seznamu příjemců

Zapojení nového dalšího zpracovatele se oznamuje samostatně, postupem podle smlouvy o zpracování osobních údajů uzavřené s pořadatelem, a to nejméně 30 dní předem.