ZÁSADY OCHRANY OSOBNÍCH ÚDAJŮ

1. Správce osobních údajů

Správcem osobních údajů zpracovávaných v souvislosti s provozem platformy Home4Bitcoin.com je:

(dále jen „Správce“).

Správce je současně Provozovatelem Platformy ve smyslu Všeobecných obchodních podmínek Home4Bitcoin.com.

Pro účely těchto Zásad se „Platformou“ rozumí Home4Bitcoin.com a „Uživatelem“ fyzická osoba, která Platformu používá.

2. Zásada minimalizace údajů

Home4Bitcoin je navržen tak, aby pro běžné používání Platformy nebylo nutné sdělovat Správci občanskou totožnost Uživatele.

Platforma při vytvoření běžného uživatelského účtu standardně nepožaduje zejména:

• •jméno a příjmení,
• •datum narození,
• •adresu bydliště,
• •telefonní číslo,
• •číslo občanského průkazu nebo jiného dokladu,
• •bankovní účet,
• •údaje platební karty,
• •klasické uživatelské heslo,
• •seed phrase nebo privátní klíč Lightning peněženky,
• •privátní Nostr klíč.

K rozpoznání uživatelského účtu používá Platforma především pseudonymní technický identifikátor spojený s použitým způsobem přihlášení.

Při současném přihlášení prostřednictvím LNURL-auth jde o kryptografický veřejný identifikátor. V budoucnu může být obdobně použit veřejný identifikátor spojený s účtem Nostr nebo jiný podporovaný autentizační mechanismus.

Takový identifikátor sám o sobě Správci nesděluje občanskou totožnost Uživatele. Z pohledu GDPR však může být osobním údajem.

3. Jaké údaje zpracováváme

3.1. Přihlášení a uživatelský účet

V souvislosti s účtem může Platforma zpracovávat zejména:

• •pseudonymní kryptografický identifikátor používaný pro přihlášení,
• •interní identifikátor účtu,
• •technické údaje autentizačního procesu,
• •hash session tokenu,
• •časy vzniku, platnosti a případného zneplatnění session,
• •stav účtu a nezbytné technické údaje související s jeho zabezpečením.

Platforma neukládá běžnému Uživateli klasické uživatelské heslo.

3.2. Údaje v Inzerátu

Uživatel do Inzerátu zadává zejména informace vztahující se k nabízenému nebo poptávanému pronájmu, například:

• •stát, region a lokalitu,
• •případně ulici,
• •typ nemovitosti,
• •cenu a podmínky,
• •titulek a popis,
• •fotografie u nabídek.

Tyto údaje zpravidla neslouží k identifikaci Uživatele. Uživatel však může do volného textu nebo fotografie vložit informaci, která osobním údajem je.

Veřejná pole Inzerátu jsou určena ke zveřejnění.

3.3. Kontaktní údaje

Uživatel může dobrovolně uvést jeden nebo více podporovaných kontaktů, například:

• •e-mailovou adresu,
• •Signal,
• •Telegram,
• •Nostr.

Tyto kontakty nejsou používány k ověřování občanské identity Uživatele.

Kontaktní údaje u Inzerátu nejsou standardně zobrazeny každému návštěvníkovi. Mohou být zpřístupněny jinému oprávněnému Uživateli prostřednictvím příslušné funkce Platformy.

Pokud Uživatel dobrovolně použije jako kontakt údaj obsahující telefonní číslo, například u některých způsobů používání služby Signal, je takový údaj zpracováván jako součást jím zvoleného kontaktu. Platforma telefonní číslo sama nevyžaduje.

3.4. Hlídací pes a upozornění

Pokud Uživatel využívá upozornění na nové odpovídající nabídky, může Platforma zpracovávat zejména:

• •e-mailovou adresu určenou pro upozornění,
• •veřejný Nostr identifikátor určený pro upozornění,
• •nastavení Hlídacího psa,
• •informace o nalezených shodách,
• •stav doručení upozornění,
• •technické údaje potřebné k ověření a doručení zprávy.

E-mail nebo Nostr identifikátor používaný pro upozornění je technicky oddělen od kontaktního údaje uvedeného u Inzerátu.

3.5. Bezpečnostní a provozní údaje

Za účelem zabezpečení Platformy, ochrany proti spamu, podvodům a zneužití mohou být zpracovávány zejména:

• •časy provedení vybraných operací,
• •technické identifikátory akcí,
• •záznamy o zpřístupnění kontaktu,
• •záznamy o moderaci,
• •údaje související s nahlášením obsahu,
• •krátkodobé rate-limit identifikátory.

Neupravená IP adresa se standardně neukládá do aplikační databáze.

Pro některé krátkodobé bezpečnostní mechanismy může být IP adresa převedena na hashovanou nebo HMAC reprezentaci, která slouží k rozlišení požadavků bez potřeby dlouhodobě uchovávat samotnou IP adresu.

Na úrovni serverové infrastruktury mohou vznikat běžné technické provozní a bezpečnostní logy.

3.6. Nahlášení nezákonného obsahu

Běžná registrace ani používání účtu nevyžadují jméno Uživatele.

Pokud však osoba podává formální oznámení nezákonného obsahu podle příslušných právních předpisů, může být pro řádné vyřízení oznámení požadováno:

• •jméno osoby nebo název oznamujícího subjektu,
• •e-mailová adresa,
• •identifikace oznamovaného obsahu,
• •vysvětlení důvodu, proč je obsah považován za nezákonný,
• •prohlášení o správnosti a úplnosti oznámení.

V případech, kdy právní předpis umožňuje výjimku z požadavku na jméno nebo e-mail, Platforma tuto výjimku respektuje.

Tyto údaje slouží výhradně k vyřízení oznámení a souvisejících zákonných povinností a nejsou součástí běžného uživatelského profilu.

3.7. Případné placené funkce

Pokud jsou prostřednictvím Platformy poskytovány placené funkce, mohou být zpracovávány údaje potřebné k vytvoření, ověření a evidenci platby, například:

• •interní identifikátor platby,
• •částka,
• •Lightning invoice,
• •identifikátor faktury nebo platebního požadavku,
• •stav platby,
• •čas vytvoření, expirace nebo zaplacení.

Platforma standardně nepožaduje identitu Lightning peněženky, jméno plátce, bankovní účet ani údaje platební karty.

4. Proč údaje zpracováváme a na jakém právním základě

4.1. Poskytování Platformy

Na základě čl. 6 odst. 1 písm. b) GDPR zpracovává Správce údaje nezbytné zejména pro:

• •vytvoření a rozpoznání pseudonymního účtu,
• •přihlášení a správu session,
• •zveřejnění a správu Inzerátů,
• •zpřístupnění kontaktu,
• •poskytování Hlídacího psa,
• •odesílání Uživatelem vyžádaných upozornění,
• •automatický překlad Inzerátů,
• •případné poskytování placených funkcí,
• •zrušení uživatelského účtu.

Bez údajů nezbytných pro určitou funkci nemusí být možné tuto funkci poskytnout.

4.2. Bezpečnost a ochrana Platformy

Na základě oprávněného zájmu Správce podle čl. 6 odst. 1 písm. f) GDPR mohou být v nezbytném rozsahu zpracovávány údaje za účelem:

• •ochrany Platformy a uživatelských účtů,
• •prevence spamu, podvodů a zneužití,
• •rate limitingu,
• •řešení bezpečnostních incidentů,
• •moderace obsahu,
• •ochrany právních nároků Správce nebo jiných osob,
• •diagnostiky technických problémů.

Správce má zájem provozovat Platformu bezpečně a zabránit jejímu zneužívání, přičemž se snaží používat pouze minimální rozsah technických údajů.

4.3. Plnění právních povinností

Na základě čl. 6 odst. 1 písm. c) GDPR mohou být údaje zpracovávány zejména pro:

• •přijímání a vyřizování zákonných oznámení nezákonného obsahu,
• •plnění povinností vůči příslušným orgánům,
• •splnění případných účetních a daňových povinností,
• •vyřizování práv subjektů údajů,
• •jiné povinnosti uložené českým nebo evropským právem.

4.4. Souhlas

Základní fungování Platformy není založeno na souhlasu se zpracováním osobních údajů.

Pokud bude v budoucnu zavedena funkce vyžadující souhlas jako právní základ zpracování, bude souhlas vyžádán samostatně a bude možné jej odvolat.

5. Co je veřejné a co neveřejné

Veřejné jsou údaje, které Uživatel vloží do veřejných částí aktivního Inzerátu, zejména:

• •titulek a popis,
• •lokalita,
• •cena a podmínky,
• •fotografie,
• •další veřejně určené informace.

Neveřejné jsou zejména:

• •autentizační identifikátor účtu,
• •session údaje,
• •interní identifikátory,
• •notifikační endpointy,
• •interní bezpečnostní záznamy,
• •údaje o případných platbách,
• •neveřejné záznamy související s moderací.

Kontaktní údaj u Inzerátu se zpřístupňuje pouze prostřednictvím příslušné funkce Platformy.

Po jeho oprávněném zpřístupnění může jiný Uživatel kontakt uložit nebo jej použít ke komunikaci mimo Platformu. Takové následné nakládání jinou osobou již Správce nemůže plně kontrolovat.

6. Fotografie

Fotografie mohou obsahovat osobní údaje, pokud například zachycují osoby, dokumenty nebo jiné identifikující informace.

Uživatel odpovídá za to, že je oprávněn fotografii zveřejnit.

Platforma při zpracování nahraných fotografií odstraňuje běžná metadata obrázku, včetně EXIF, XMP a IPTC údajů, a vytváří technicky upravené verze pro jejich zveřejnění.

7. Automatické překlady

Titulek a popis Inzerátu mohou být automaticky přeloženy do dalších podporovaných jazyků.

Pro účely překladu mohou být externímu poskytovateli překladové služby předány:

• •titulek,
• •popis,
• •zdrojový a cílový jazyk.

Autentizační identifikátor účtu ani kontaktní údaje uložené v oddělených kontaktních polích nejsou standardně součástí překladového požadavku.

Uživatel by do titulku a popisu neměl vkládat osobní údaje, které nejsou pro Inzerát nezbytné.

8. Příjemci a poskytovatelé technických služeb

Správce osobní údaje neprodává, neposkytuje reklamním sítím a nepoužívá je k vytváření marketingových profilů.

V nezbytném rozsahu však mohou být údaje zpracovány prostřednictvím poskytovatelů technických služeb.

8.1. Hostingová a serverová infrastruktura

Data Platformy jsou zpracovávána na technické infrastruktuře používané Správcem pro provoz aplikace, databáze, úložiště a souvisejících služeb.

8.2. Brevo

Pro zasílání e-mailových upozornění a jiných transakčních zpráv může být využívána služba Brevo.

Předána může být zejména:

• •e-mailová adresa příjemce,
• •předmět zprávy,
• •obsah zprávy,
• •technické informace potřebné k doručení.

Home4Bitcoin nepoužívá Brevo pro reklamní profilování Uživatelů.

8.3. DeepL

Pro automatický překlad může být využívána služba DeepL.

Předává se text potřebný k překladu, zejména titulek a popis Inzerátu. Samostatně uložený kontakt ani autentizační identifikátor účtu se do překladového požadavku standardně nezahrnují.

8.4. Nostr relaye

Pokud Uživatel dobrovolně aktivuje upozornění prostřednictvím sítě Nostr, může Platforma využít Nostr relaye.

Relay může obdržet zejména:

• •veřejný Nostr identifikátor potřebný pro směrování,
• •šifrovaný Nostr event,
• •související technická síťová a časová metadata.

Obsah soukromé zprávy je před odesláním kryptograficky šifrován.

Nostr je decentralizovaná síť a jednotlivé relaye mohou provozovat nezávislé třetí osoby.

8.5. Platební infrastruktura

Pokud jsou aktivovány placené funkce, může Platforma využívat BTCPay Server nebo jinou podporovanou platební infrastrukturu.

Zpracovávány jsou pouze údaje nezbytné k vytvoření a ověření platby.

9. Předávání údajů mimo Evropský hospodářský prostor

Některé externí nebo decentralizované služby mohou podle své technické konfigurace zahrnovat zpracování údajů mimo Evropský hospodářský prostor.

Pokud je takové předání pod kontrolou Správce a vztahují se na něj pravidla GDPR pro předávání do třetích zemí, Správce použije odpovídající právní mechanismus požadovaný GDPR.

Zejména při dobrovolném použití decentralizované sítě Nostr mohou šifrované zprávy a technická metadata procházet přes relaye provozované nezávislými subjekty v různých zemích.

Správce nemůže zaručit odstranění údajů z nezávislé decentralizované infrastruktury poté, co byly na žádost Uživatele řádně odeslány mimo systémy ovládané Správcem.

10. Jak dlouho údaje uchováváme

Správce uchovává osobní údaje pouze po dobu potřebnou pro účel jejich zpracování nebo po dobu, po kterou je jejich uchování vyžadováno či dovoleno právními předpisy.

10.1. Účet a Inzeráty

Údaje potřebné k vedení uživatelského účtu jsou uchovávány po dobu jeho existence.

Údaje související s aktivním Inzerátem uchovává Správce po dobu jeho zveřejnění a platnosti. Platnost Inzerátu může být v rámci služby automaticky obnovována aktivitou Uživatele, například přihlášením nebo jiným používáním uživatelského účtu.

Uživatel může svůj účet kdykoli sám odstranit prostřednictvím jeho nastavení.

Po potvrzení zrušení účtu jsou aktivní Inzeráty znepřístupněny a osobní údaje spojené s účtem, pro které již neexistuje další právní důvod, jsou odstraněny nebo anonymizovány.

10.2. Fotografie a kontaktní údaje

Fotografie, kontakty, notifikační nastavení a další osobní údaje spojené výhradně se zrušeným účtem jsou odstraněny, pokud neexistuje samostatný právní důvod pro jejich další omezené uchování.

10.3. Session a krátkodobé bezpečnostní údaje

Session se uchovává pouze po dobu své platnosti nebo do jejího zneplatnění.

Krátkodobé hashované nebo HMAC identifikátory používané pro bezpečnost a rate limiting jsou uchovávány pouze po dobu nezbytného bezpečnostního okna.

10.4. Oznámení a moderace

Údaje související s oznámením nezákonného obsahu, moderací nebo bezpečnostním incidentem mohou být uchovávány po dobu potřebnou k vyřízení věci a následně po dobu nezbytnou k plnění právních povinností nebo ochraně právních nároků.

10.5. Platby

Údaje, které je Správce povinen uchovávat z účetních, daňových nebo jiných zákonných důvodů, mohou být uchovány po zákonem stanovenou dobu i po zrušení uživatelského účtu.

10.6. Bezpečnostní zálohy

Po smazání uživatelského účtu jsou osobní údaje odstraněny z aktivních systémů Platformy. Jejich kopie mohou po omezenou dobu přetrvávat v bezpečnostních zálohách, které slouží výhradně k obnově systému v případě technické havárie nebo bezpečnostního incidentu. Tyto zálohy nejsou používány k běžnému provozu ani k dalšímu zpracování osobních údajů a jsou automaticky odstraňovány nebo přepisovány nejpozději do 30 dnů.

Pokud by během této doby bylo nutné zálohu obnovit, budou údaje již dříve určené k výmazu znovu odstraněny v rámci procesu obnovy.

11. Smazání uživatelského účtu

Uživatel může svůj účet kdykoli sám a bez nutnosti kontaktovat Správce trvale odstranit v nastavení účtu.

Po potvrzení této operace:

• •jsou Inzeráty Uživatele znepřístupněny,
• •je ukončen přístup k účtu,
• •jsou osobní údaje spojené s účtem odstraněny z aktivních systémů, pokud pro jejich další uchování neexistuje jiný právní důvod,
• •jsou zrušena související aktivní nastavení a notifikace.

Kopie odstraněných údajů mohou následně po omezenou dobu přetrvávat pouze v bezpečnostních zálohách podle čl. 10.6 těchto Zásad, nejdéle však 30 dnů.

Výmaz nemůže zpětně odstranit:

• •kontaktní údaj, který si předtím oprávněně uložil jiný Uživatel,
• •již doručenou e-mailovou nebo Nostr zprávu ze zařízení jejího příjemce,
• •údaje, které musí Správce uchovat ze zákona,
• •údaje, jejichž omezené uchování je nezbytné pro určení, výkon nebo obhajobu právních nároků,
• •informace již předané do nezávislé decentralizované infrastruktury, kterou Správce neovládá.

Zrušení účtu proto znamená odstranění osobních údajů z aktivních systémů ovládaných Správcem bez zbytečného odkladu a z bezpečnostních záloh nejpozději do 30 dnů, s výjimkou údajů, pro jejichž další uchování existuje samostatný právní důvod.

12. Cookies

Platforma používá pouze technické cookies nezbytné pro bezpečné přihlášení a fungování služby.

Session cookie slouží k rozpoznání přihlášeného Uživatele a zabezpečení jeho session.

Platforma v současnosti nepoužívá zejména:

• •reklamní cookies,
• •remarketing,
• •behaviorální reklamní tracking,
• •Google Analytics,
• •Meta Pixel,
• •marketingový fingerprinting.

Technické cookies nejsou používány k marketingovému profilování.

Pokud Platforma v budoucnu zavede cookies nebo obdobné technologie, pro které je podle právních předpisů vyžadován souhlas, budou aktivovány až po získání příslušného souhlasu.

13. Automatizované rozhodování a Hlídací pes

Platforma neprovádí automatizované rozhodování, které by vůči Uživateli vyvolávalo právní účinky nebo jej obdobně významně ovlivňovalo ve smyslu čl. 22 GDPR.

Hlídací pes automaticky porovnává parametry poptávky s parametry nabídek a při nalezení odpovídající nabídky může Uživateli zaslat upozornění.

Tato funkce je pouze informační a nerozhoduje o tom, zda Uživatel může uzavřít smlouvu nebo jaké smluvní podmínky může sjednat.

Platforma dále používá některé automatické bezpečnostní mechanismy, například validaci vstupů, omezení četnosti požadavků nebo ochranu proti spamu.

14. Práva subjektu údajů

V rozsahu stanoveném GDPR má osoba, jejíž osobní údaje Správce zpracovává, zejména právo:

• •získat informace o zpracování svých údajů,
• •požadovat přístup ke svým osobním údajům,
• •požadovat opravu nepřesných údajů,
• •požadovat výmaz osobních údajů,
• •požadovat omezení zpracování,
• •vznést námitku proti zpracování založenému na oprávněném zájmu,
• •využít právo na přenositelnost údajů, jsou-li splněny zákonné podmínky,
• •odvolat souhlas, pokud je určité zpracování založeno na souhlasu,
• •podat stížnost u příslušného dozorového úřadu.

Právo na výmaz není absolutní. Osobní údaje nemusí být vymazány například tehdy, pokud je jejich další zpracování nezbytné pro splnění právní povinnosti nebo pro určení, výkon či obhajobu právních nároků.

15. Ověření žádosti týkající se pseudonymního účtu

Protože Home4Bitcoin standardně nezná občanskou totožnost Uživatele, Správce nebude za účelem vyřízení žádosti bezdůvodně požadovat občanský průkaz, adresu bydliště nebo jiné údaje, které pro provoz Platformy jinak nepotřebuje.

Pokud je Uživatel přihlášen, může svá data a účet spravovat přímo prostřednictvím funkcí Platformy.

Pokud žadatel přístup k účtu nemá a žádá Správce o zásah do konkrétního pseudonymního účtu, může Správce požadovat přiměřené ověření jeho oprávnění, například kryptografické ověření prostřednictvím autentizačního prostředku spojeného s účtem.

Pokud spojení žadatele s pseudonymním účtem nelze přiměřeně ověřit, nemusí být možné požadovaný zásah bezpečně provést.

16. Zabezpečení osobních údajů

Správce používá technická a organizační opatření odpovídající povaze zpracovávaných údajů.

Mezi používaná opatření patří zejména:

• •pseudonymní autentizace bez klasických hesel běžných Uživatelů,
• •ukládání pouze hashů session tokenů,
• •zabezpečené session cookies,
• •oddělení veřejného obsahu od neveřejných kontaktů a autentizačních údajů,
• •řízení přístupu k neveřejným údajům,
• •rate limiting a ochrana proti automatizovanému zneužití,
• •omezení dlouhodobého ukládání IP adres,
• •odstraňování běžných metadat z nahrávaných fotografií,
• •kryptografické šifrování soukromých Nostr zpráv,
• •oddělení aplikačních a interních infrastrukturních služeb.

Žádný informační systém však nemůže zaručit absolutní bezpečnost dat.

17. Osobní údaje jiných osob

Uživatel nesmí prostřednictvím Platformy neoprávněně zveřejňovat osobní údaje jiných osob.

Pokud Uživatel zveřejní fotografii jiné osoby, její kontaktní údaje nebo jiné identifikující informace, odpovídá za to, že je oprávněn takové údaje použít.

Platforma není určena ke zveřejňování zvláštních kategorií osobních údajů, například údajů o zdravotním stavu, biometrických nebo genetických údajů nebo údajů o sexuálním životě.

18. Osoby mladší 18 let

Platforma je určena pouze osobám starším 18 let.

Správce standardně věk Uživatele neověřuje a vědomě nepožaduje údaje za účelem ověřování jeho věku.

Pokud Správce zjistí, že účet používá osoba, která podmínku věku nesplňuje, může její přístup k Platformě ukončit a související údaje odstranit nebo jinak zpracovat v souladu s právními předpisy.

19. Dozorový úřad

Ve věcech ochrany osobních údajů lze Správce kontaktovat na:

h4b.com@cryptobyte.cz

Tím není dotčeno právo podat stížnost u příslušného dozorového úřadu.

V České republice je tímto úřadem:

Úřad pro ochranu osobních údajů Pplk. Sochora 27 170 00 Praha 7 Česká republika

Subjekt údajů může mít podle GDPR rovněž právo obrátit se na dozorový úřad zejména v členském státě svého obvyklého bydliště, místa výkonu práce nebo místa údajného porušení GDPR.

20. Změny těchto Zásad

Správce může tyto Zásady aktualizovat zejména při změně:

• •funkcí Platformy,
• •používaných technických služeb,
• •rozsahu nebo způsobu zpracování údajů,
• •právních předpisů.

Aktuální verze bude vždy zveřejněna na Platformě.

Pokud změna významně ovlivní způsob zpracování osobních údajů, budou o ní Uživatelé informováni vhodným způsobem.

21. Jazykové verze

Tyto Zásady byly původně vytvořeny v českém jazyce.

Překlady do jiných jazyků jsou poskytovány pro usnadnění používání Platformy zahraničními Uživateli a představují překlad českého dokumentu.

V případě rozdílu nebo nejasnosti mezi českým textem a jeho překladem je české znění referenčním textem pro určení zamýšleného významu. Tím nejsou dotčena práva subjektu údajů ani povinnosti Správce vyplývající z kogentních právních předpisů.

22. Kontakt

Dotazy týkající se ochrany osobních údajů nebo žádosti o výkon práv podle GDPR lze zasílat na:

h4b.com@cryptobyte.cz

Správce: