Ochrana osobných údajov a cookies

Spoločnosť Datarex s. r. o. spracúva osobné údaje v súlade s nariadením (EÚ) 2016/679 (GDPR) a zákonom č. 18/2018 Z. z. o ochrane osobných údajov. Tento dokument popisuje, aké údaje služba rexguard spracúva, prečo a ako dlho.

1. Prevádzkovateľ

Datarex s. r. o., Trieda SNP 1534/22, 974 01 Banská Bystrica, IČO 53058968, zapísaná v obchodnom registri Okresného súdu Banská Bystrica, oddiel Sro, vložka 38756/S.

Kontakt vo veciach ochrany osobných údajov: info@rexguard.app.

2. Kedy sme prevádzkovateľ a kedy sprostredkovateľ

• Údaje zákazníkov (účet, fakturácia, podpora) a návštevníkov rexguard.app a portálu spracúvame ako prevádzkovateľ.
• Údaje návštevníkov stránok našich zákazníkov, ktoré prechádzajú cez službu rexguard, spracúvame ako sprostredkovateľ v mene zákazníka podľa Zmluvy o spracúvaní osobných údajov; prevádzkovateľom je zákazník.
• Niektoré z týchto údajov používame aj na ochranu všetkých stránok, ktoré chránime (článok 4); pri tomto spracúvaní určujeme účel my. [na potvrdenie: postavenie Datarex pri tomto spracúvaní]

3. Aké údaje spracúvame

Účet: meno, e-mail, krajina, jazyk, odtlačok hesla (heslo samotné neuchovávame), pri prihlásení cez Google identifikátor účtu Google, verejné časti prístupových kľúčov (passkeys). Overovacie kódy uchovávame len ako odtlačok a platia 15 minút.

Prihlásenia: pre aktívne prihlásenia IP adresu a prehliadač.

Súhlasy: ktorý dokument a ktorú verziu zákazník prijal, kedy a z akej IP adresy.

Fakturácia: fakturačné kontakty (meno alebo názov firmy, adresa, IČO, DIČ, IČ DPH a výsledok jeho overenia v systéme VIES), objednávky a faktúry. Údaje platobných kariet zadáva zákazník priamo u spoločnosti Stripe; my uchovávame len typ karty, posledné štyri číslice a platnosť.

Podpora: požiadavky (tickety), správy a prílohy.

Oznámenia nezákonného obsahu: meno a e-mail oznamovateľa (pri materiáli so sexuálnym zneužívaním detí môžu chýbať), adresy a popis.

Dopyty na Enterprise: meno, firma, e-mail, telefón, počet stránok a správa; odošleme ich e-mailom, neukladáme ich.

Prevádzka stránok chránených službou rexguard (vrátane rexguard.app): pri každej požiadavke čas, IP adresa a port návštevníka, z nej odvodená krajina a sieť (ASN), parametre šifrovaného spojenia a ich odtlačok (JA4), doména, cesta a parametre adresy, prehliadač (user agent), odkazujúca stránka (referer), veľkosti a stav odpovede a rozhodnutie ochrany. Obsah požiadaviek, cookies ani iné hlavičky neuchovávame. Portál (console.rexguard.app) službou rexguard nechránime; jeho webový server zaznamenáva požiadavky s IP adresami. [na potvrdenie: doba uchovávania záznamov webového servera portálu a záznamov aplikácie]

4. Účely a právne základy

• Plnenie zmluvy: zriadenie a vedenie účtu, poskytovanie služby, podpora, platby.
• Zákonná povinnosť: účtovníctvo a dane, vybavovanie oznámení nezákonného obsahu (nariadenie (EÚ) 2022/2065, akt o digitálnych službách), reklamácie.
• Oprávnený záujem: bezpečnosť služby a sietí, predchádzanie zneužitiu, upozornenia správcom. Na ochranu všetkých stránok používame aj údaje z prevádzky všetkých stránok: adresy, ktoré útočia na niektorú stránku, sa 24 hodín po poslednom útoku blokujú na všetkých stránkach; z pseudonymizovaných údajov (článok 5) sa učí model na roboty a určuje sa bežná prevádzka na odhaľovanie neobvyklej prevádzky.

Údaje nepoužívame na marketing ani na profilovanie s právnymi účinkami a nepredávame ich.

5. Ako dlho údaje uchovávame

• Účet: kým existuje. Po zrušení účtu vymažeme osobné údaje okrem objednávok a faktúr (10 rokov podľa zákona o účtovníctve), žiadostí o vrátenie peňazí, súhlasov udelených s objednávkou a požiadaviek podpory.
• Prihlásenia: 2 hodiny od poslednej činnosti, s voľbou „zapamätať si ma“ do 400 dní.
• Prevádzka s IP adresami: 14 dní (záznamy uzlov aj konzoly).
• Pseudonymizované údaje prevádzky: 1 rok. IP adresa je v nich nahradená kľúčovaným odtlačkom, ktorého kľúč sa mení každý mesiac a 3 dni po skončení mesiaca sa zničí; zostáva sieť (/24 pri IPv4, /48 pri IPv6), krajina, ASN, odtlačok spojenia (JA4), prehliadač, doména, cesta, názvy parametrov adresy bez hodnôt a doména odkazujúcej stránky.
• Súhrnné štatistiky bez IP adries: 1 rok.
• Adresy útočníkov zdieľané medzi stránkami: 24 hodín po poslednom útoku.

6. Príjemcovia

• Stripe – spracovanie platieb kartou.
• Google – len ak sa zákazník prihlasuje účtom Google.
• Slack – interné upozornenia pre správcov služby; môžu obsahovať e-mail zákazníka a pri dopyte na Enterprise meno, e-mail a časť správy záujemcu.
• Európska komisia (VIES) – overenie IČ DPH.
• Let's Encrypt – vydanie certifikátov; domény v certifikátoch sa zapisujú do verejných záznamov (Certificate Transparency), takže domény chránených stránok sú verejne známe.
• Orgány verejnej moci, ak to vyžaduje zákon.

Servery služby prevádzkuje Datarex na Slovensku. Pri spoločnostiach Stripe, Google a Slack môže dochádzať k prenosu údajov mimo Európskeho hospodárskeho priestoru. [na potvrdenie: právny základ prenosu]

7. Cookies

Nepoužívame analytické ani marketingové cookies ani sledovacie skripty; štatistiky návštevnosti počítame zo záznamov servera.

rexguard.app: obsahové stránky nenastavujú žiadne cookies, okrem rexguard_pass po overení prehliadača (rexguard.app chráni rexguard). Stránky s formulárom (kontakt, oznámenie nezákonného obsahu) nastavujú nevyhnutné cookies na ochranu formulára: rexguard-session a XSRF-TOKEN (2 hodiny).

Portál (console.rexguard.app): nevyhnutné cookies rexguard-session (prihlásenie, 2 hodiny), XSRF-TOKEN (ochrana formulárov, 2 hodiny), remember_web_… (len s voľbou „zapamätať si ma“, 400 dní) a rexguard_locale (zvolený jazyk, 400 dní).

Stránky zákazníkov: po úspešnom overení prehliadača (challenge) nastavíme cookie rexguard_pass (24 hodín), aby sa overenie neopakovalo; spadá pod Zmluvu o spracúvaní osobných údajov.

8. Vaše práva

Máte právo na prístup k svojim údajom, ich opravu, vymazanie, obmedzenie spracúvania, prenosnosť (kópiu údajov svojho účtu si stiahnete v portáli) a právo namietať proti spracúvaniu založenému na oprávnenom záujme. Ak ste návštevníkom stránky nášho zákazníka, obráťte sa na jej prevádzkovateľa; my mu pomôžeme.

Sťažnosť môžete podať Úradu na ochranu osobných údajov Slovenskej republiky, Hraničná 12, 820 07 Bratislava 27, www.dataprotection.gov.sk.

9. Automatizované rozhodovanie

Ochrana rozhoduje o každej požiadavke automaticky (prepustí ju, zastaví alebo požiada prehliadač o overenie). Nejde o rozhodnutie s právnymi účinkami; o výnimkách rozhoduje zákazník vo svojom portáli. O blokovaní stránok a účtov rozhodujú ľudia.

10. Zabezpečenie

Komunikáciu šifrujeme (TLS), kľúče certifikátov uchovávame zašifrované, k údajom majú prístup len správcovia služby a údaje prevádzky po uplynutí doby uchovávania automaticky mažeme.

11. Zmeny

Tento dokument môžeme aktualizovať; o podstatných zmenách vás budeme informovať aspoň 30 dní vopred e-mailom alebo oznámením na rexguard.app.