Zásady ochrany osobních údajů

Verze 1.0 · Účinné od 13. května 2026

Tyto zásady popisují, jak služba QR Studio (dále jen služba) zpracovává osobní údaje v souladu s nařízením (EU) 2016/679 (GDPR) a souvisejícími předpisy. Doporučujeme přečíst si je celé před založením účtu.

1. Správce osobních údajů

Správcem osobních údajů je provozovatel služby QR Studio, dostupné na qrstudio.cz. Kontaktní adresa: [email protected].

Pro účely uplatnění práv stačí napsat e-mail na výše uvedenou adresu. Odpovídáme bez zbytečného odkladu, nejpozději do 30 dnů.

2. Jaké údaje zpracováváme

2.1. Údaje o účtu

E-mailová adresa (pro přihlášení a komunikaci ohledně účtu).
Heslo (uloženo pouze v podobě bezpečného hashe, nikdy v otevřené podobě).
Datum vytvoření účtu, datum posledního přihlášení.
Záznam o udělení souhlasu (čas, verze podmínek, prohlížeč použitý při udělení).

2.2. Obsah, který do služby vložíte

Obsah QR kódů, který si uložíte (URL, text, kontaktní vizitky, Wi-Fi přihlašovací údaje, platební údaje SPD/EPC apod.). Tyto údaje vkládáte vědomě a sami určujete jejich povahu.
Design uloženého QR kódu (barvy, šablona, logo).
Jména a struktura složek.

Varování: Pokud do QR kódu vložíte osobní údaje (např. Wi-Fi heslo, telefonní číslo třetí osoby), jste z hlediska GDPR sami správcem ve vztahu k těmto údajům.

2.3. Statistika skenů (pouze dynamické QR)

Pokud používáte dynamické QR kódy (s krátkou URL na qrstudio.cz/r/...), zaznamenáváme při každém skenu následující údaje:

Čas skenu a kód, který byl naskenován.
Typ zařízení (mobil / tablet / desktop) a typ prohlížeče - z hlavičky User-Agent.
Země a přibližná lokalita (město) odvozená z IP adresy. IP adresa samotná se neukládá, ukládáme pouze odvozenou zemi a město.

Tyto údaje slouží výhradně k zobrazení statistiky vlastníkovi QR kódu. Nikdy je nepropojujeme s identitou skenujícího a nesdílíme je s třetími stranami.

2.4. Provozní cookies a analytika

Funkční úložiště prohlížeče (localStorage): jazyk, motiv (světlý/tmavý), volba souhlasu. Bez tohoto úložiště služba technicky funguje, ale ztratíte nastavení.
Autentizační cookies Supabase: jen pro přihlášené uživatele, nutné k udržení relace.
Google Analytics 4 (G-ZBZK60ZG56): anonymizované IP, sledování návštěvnosti webu. Volitelné - aktivuje se pouze s vaším výslovným souhlasem v cookie liště nebo v souhlasu při registraci.

3. Účely a právní základy zpracování

Účel	Údaje	Právní základ
Provoz účtu a ukládání QR kódů	E-mail, heslo (hash), obsah QR kódů, složky	Plnění smlouvy - čl. 6 odst. 1 písm. b) GDPR
Statistika skenů dynamických QR	Čas, typ zařízení, země/město (z IP, IP samotná se neukládá)	Oprávněný zájem - čl. 6 odst. 1 písm. f) GDPR (poskytnout statistiku majiteli kódu)
Google Analytics	Anonymizovaná IP, údaje o návštěvě webu	Souhlas - čl. 6 odst. 1 písm. a) GDPR
Záznam souhlasu a podmínek	Čas, verze, prohlížeč	Plnění právní povinnosti - čl. 6 odst. 1 písm. c) GDPR
Zabezpečení a předcházení zneužití	Záznamy o přístupu (logy serveru, dočasně)	Oprávněný zájem - čl. 6 odst. 1 písm. f) GDPR

4. Příjemci údajů a zpracovatelé

Údaje neprodáváme. K osobním údajům mají přístup pouze tyto subjekty:

Cloudflare, Inc. (USA) - DNS, šifrované spojení (TLS) a síťová proxy, přes kterou prochází veškerý provoz na web; zpracovává IP adresy a údaje o požadavcích. Zásady ochrany.
Supabase (Supabase Inc., USA, EU-region datové centrum) - autentizace a databáze. Zásady ochrany.
Google Ireland Ltd. - Google Analytics (pouze pokud souhlasíte). Zásady ochrany.

Všichni zpracovatelé jsou vázáni smlouvou o zpracování osobních údajů (DPA) podle čl. 28 GDPR. Servery jsou umístěny v EU.

5. Předávání mimo EU

Supabase Inc. má sídlo v USA, infrastruktura služby ale běží v evropském datovém centru. Případné transatlantické přístupy probíhají na základě standardních smluvních doložek (SCC) podle čl. 46 GDPR. Google Analytics využívá Google Ireland Ltd., přenosy do USA jsou zabezpečeny SCC a EU-US Data Privacy Framework. Cloudflare, Inc. má sídlo v USA, přenosy jsou rovněž zabezpečeny SCC a EU-US Data Privacy Framework.

6. Doba uchování

Údaje účtu a QR kódy: po celou dobu existence účtu. Po smazání účtu jsou data nevratně odstraněna do 30 dnů.
Statistika skenů: agregovaná data jsou uchovávána po dobu trvání účtu vlastníka kódu.
Záznam souhlasu: 3 roky od odvolání souhlasu (zákonná povinnost prokázat souhlas).
Serverové logy: maximálně 30 dnů, pouze pro bezpečnostní účely.
Google Analytics: 14 měsíců (výchozí nastavení GA4, vlastnost data retention).

7. Vaše práva

Podle GDPR máte následující práva, která můžete uplatnit e-mailem na [email protected] nebo v nastavení účtu:

Právo na přístup (čl. 15) - dostat kopii svých údajů.
Právo na opravu (čl. 16) - úpravu nepřesných údajů.
Právo na výmaz (čl. 17, právo být zapomenut) - smazání účtu a všech dat.
Právo na omezení zpracování (čl. 18).
Právo na přenositelnost (čl. 20) - export vašich dat ve strukturovaném formátu (JSON).
Právo vznést námitku (čl. 21) proti zpracování na základě oprávněného zájmu.
Právo odvolat souhlas (čl. 7 odst. 3) - kdykoli, bez následků na předchozí zpracování. Pro Google Analytics: tlačítko Cookies v patičce nebo v nastavení účtu.
Právo podat stížnost u dozorového úřadu - v ČR Úřad pro ochranu osobních údajů (uoou.cz).

8. Zabezpečení

Veškerá komunikace probíhá šifrovaně přes HTTPS (TLS 1.2+).
Hesla jsou ukládána pouze jako bezpečné hashe (bcrypt).
Databáze používá Row-Level Security (RLS) - každý uživatel má přístup pouze ke svým datům.
Server odesílá hlavičky CSP, X-Frame-Options a další ochrany proti XSS a clickjacking.

9. Děti

Služba není určena osobám mladším 16 let. Vědomě nezpracováváme osobní údaje dětí. Pokud se domníváte, že dítě poskytlo osobní údaje bez souhlasu zákonného zástupce, kontaktujte nás a údaje odstraníme.

10. Změny těchto zásad

Tyto zásady můžeme aktualizovat. O podstatných změnách vás informujeme e-mailem nebo přes oznámení ve službě a budeme vyžadovat nový souhlas s aktualizovanou verzí. Datum verze najdete v záhlaví tohoto dokumentu.

11. Kontakt

Pro jakékoli dotazy nebo žádosti týkající se osobních údajů použijte: [email protected]