Zásady ochrany osobných údajov

Aplikácia Lab28 Pro slúži členom priestoru Lab28 v budove Nivy Tower na vstup dverami, privolanie výťahu, rezerváciu zasadačiek a prehľad podujatí. Tento dokument popisuje, aké osobné údaje pritom spracúvame, na akom právnom základe a aké máte práva.

1. Kto spracúva vaše údaje

O účeloch a prostriedkoch spracúvania rozhoduje prevádzkovateľ. Jemu adresujte všetky žiadosti a otázky týkajúce sa vašich údajov.

Aplikáciu vyvíja, prevádzkuje a v obchodoch Google Play a App Store vydáva sprostredkovateľ, ktorý spracúva osobné údaje výlučne na základe zmluvy a doložených pokynov prevádzkovateľa (čl. 28 GDPR) a nespracúva ich na žiadne vlastné účely:

Prevádzkovateľ určil zodpovednú osobu (DPO). Je zastihnuteľná na adrese gdpr@lab28.sk — ak sa vaša otázka týka spracúvania osobných údajov, môžete sa obrátiť priamo na ňu.

2. Aké údaje spracúvame

Aplikácia spracúva výlučne osobné údaje uvedené v nasledujúcej tabuľke, v uvedenom rozsahu a na uvedené účely:

Poskytnutie e‑mailovej adresy je požiadavkou, ktorá je potrebná na plnenie zmluvy o členstve v rozsahu služieb poskytovaných aplikáciou; bez jej poskytnutia nie je prihlásenie do aplikácie a používanie týchto služieb možné. Poskytnutie ostatných údajov vyplýva z používania jednotlivých funkcií aplikácie.

Iné osobné údaje aplikácia nespracúva. Neobsahuje analytické, reklamné ani diagnostické nástroje tretích strán, nesleduje používateľa naprieč inými aplikáciami ani webovými stránkami a nevytvára používateľské ani reklamné profily. Pri spracúvaní nedochádza k automatizovanému individuálnemu rozhodovaniu ani profilovaniu v zmysle čl. 22 GDPR.

Uvítací odkaz a QR kód

Prvé prihlásenie si môžete zjednodušiť uvítacím odkazom alebo QR kódom od správcu priestoru. Odkaz má tvar https://lab28.sk/app/?email=… a nesie vašu e‑mailovú adresu, aby ste ju nemuseli prepisovať ručne. Ak už máte aplikáciu nainštalovanú, telefón odkaz odovzdá priamo jej a na internet pritom nič neodíde. Ak ju nainštalovanú nemáte, odkaz sa otvorí v prehliadači a smeruje do obchodu s aplikáciami — vtedy sa vaša adresa objaví v prevádzkových záznamoch webového servera na doméne lab28.sk spolu s IP adresou a časom. Platí pre ne rovnaká 90‑dňová lehota ako pre ostatné technické záznamy spojenia v tabuľke vyššie.

3. Poloha a Bluetooth — dôležité spresnenie

Aplikácia si pýta povolenie polohy, no nezískava vašu geografickú polohu — neobsahuje podporu GPS a súradnice zariadenia nezisťuje v žiadnej podobe. Android aj iOS zaraďujú pod „polohu" aj rozpoznávanie okolitých rádiových signálov — a robí sa z nich jediná vec, navyše výlučne vo vašom zariadení:

• Vyhľadanie majákov (iBeacon) osadených v budove — podľa nich aplikácia rozpozná poschodie. Na iPhone je to jediný spôsob, akým poschodie určuje.
• Názov firemnej Wi‑Fi siete (SSID) — podľa neho rozpozná, že ste na 28. poschodí. Na iPhone systém názov siete aplikáciám bežne nesprístupňuje, takže tam poschodie 28 potvrdzujú majáky pri dverách.

Z týchto signálov vzniká jediný údaj: číslo poschodia. Zoznam sietí ani majákov, ich signálové úrovne či akékoľvek súradnice sa na server neodosielajú. Číslo poschodia opustí zariadenie iba vtedy, keď sami privoláte výťah — vtedy ho server potrebuje, aby vedel, odkiaľ vás vyzdvihnúť.

Poloha sa zisťuje len počas používania aplikácie (while in use, na iPhone „Pri používaní aplikácie"). Aplikácia nemá povolenie na polohu na pozadí a na pozadí polohu nesleduje.

4. Povolenia aplikácie

Prečo sa zoznamy medzi platformami líšia. Nie preto, že by jedna verzia robila viac než druhá — obe robia to isté, len to systémy inak povoľujú. Majáky poschodí sú technicky Bluetooth zariadenia, ale iPhone ich sprístupňuje cez polohové služby, takže samostatné povolenie Bluetooth nepotrebuje. Naopak pohybové senzory a kameru si na iPhone vyžiadať musí, kým na Androide sa na ne povolenie neudeľuje. Žiadne z týchto povolení neslúži na nič iné, než je uvedené v tabuľke.

Kamera a QR kód pri prihlásení

Kamera sa použije jedine vtedy, keď si pri prihlásení sami načítate e‑mailovú adresu z QR kódu, a slúži výhradne na prečítanie tohto kódu — žiadna fotografia ani videozáznam nevzniká a obrazové dáta sa nikam neodosielajú. Na Androide kód číta systémový skener služieb Google Play vo vlastnom okne, takže aplikácia povolenie ku kamere nepotrebuje ani ho nemá. Na iPhone si aplikácia povolenie vyžiada pri prvom skenovaní; ak ho neudelíte, adresu zadáte ručne a o žiadnu funkciu neprídete.

Nad rámec tejto tabuľky aplikácia žiadne ďalšie povolenia nežiada — nepristupuje ku kontaktom, fotografiám, mikrofónu, kalendáru ani k zoznamu nainštalovaných aplikácií.

5. Údaje uložené vo vašom zariadení

Časť údajov zostáva len v zariadení a na server sa neodosiela:

• Prihlasovací token a e‑mail — v úložisku, ktoré chráni operačný systém zariadenia: na Androide v šifrovanom úložisku s kľúčom v systémovom Android Keystore (EncryptedSharedPreferences), na iPhone v systémovej Kľúčenke (Keychain).
• Vyrovnávacia pamäť rezervácií, miestností a podujatí — aby aplikácia zobrazila poslednú známu hodnotu aj bez spojenia.
• Pečiatka poslednej prítomnosti v budove a nastavenia aplikácie (téma, predvolená dĺžka meetingu, zobrazené pomôcky).

Technická stopa na riešenie poruchy. Keď odomykanie dverí alebo privolanie výťahu na konkrétnom telefóne nefunguje, príčinu sa bez záznamu z toho zariadenia nájsť nedá. Aplikácia preto môže — vždy len na obmedzený čas a s cieľom odstrániť poruchu — zapisovať technický záznam o rozpoznaných poschodiach, zdvihnutí telefónu a priebehu vyhľadávania majákov, s časovými údajmi. Pre taký záznam platia bez výnimky tieto hranice: zapisuje sa výhradne do priečinka aplikácie vo vašom zariadení, ktorý iné aplikácie nečítajú, na server sa neodosiela a nikam sa neprenáša, nepoužíva sa na profilovanie ani na žiadny iný účel a odinštalovaním aplikácie sa zmaže. Ak zápis vo vydanej verzii nebeží, aktualizácia aplikácie zmaže aj prípadný starší súbor zo zariadenia.

Tieto údaje sa nedostanú do cloudovej zálohy telefónu — na Androide má aplikácia zálohovanie vypnuté (allowBackup="false"), na iPhone je jej priečinok zo zálohy do iCloudu vylúčený. Odinštalovaním aplikácie sa zmažú, a to vrátane prihlasovacieho tokenu: pri novej inštalácii začínate prihlásením nanovo, nikdy nie s prihlásením prevzatým zo starej.

6. Komu údaje sprístupňujeme

• Digitale, spol. s r.o. — sprostredkovateľ podľa čl. 28 GDPR: vyvíja a spravuje aplikáciu a jej serverovú časť (lab28be.28.sk) na základe zmluvy a pokynov prevádzkovateľa. Údaje nespracúva na vlastné účely.
• Google (Google Play) — distribúcia a aktualizácie verzie pre Android; Google spracúva údaje podľa vlastných podmienok. Služby Google Play sú súčasťou operačného systému telefónu a zabezpečujú aj načítanie QR kódu pri prihlásení (článok 4) — to prebieha priamo v zariadení a žiadne vaše údaje sa im pritom neodosielajú.
• Apple (App Store) — distribúcia a aktualizácie verzie pre iPhone; Apple spracúva údaje podľa vlastných podmienok. Aplikácia nepoužíva žiadnu službu Apple na spracúvanie vašich údajov — neprihlasujeme vás cez Apple ID, nesynchronizujeme nič do iCloudu a nesledujeme vás naprieč aplikáciami (systémový dialóg o sledovaní sa preto nezobrazuje).

Osobné údaje nepredávame a neposkytujeme ich žiadnej tretej strane na marketingové ani reklamné účely. Iným príjemcom ich nesprístupňujeme okrem prípadov, keď nám to ukladá právny predpis alebo o to požiada orgán verejnej moci v medziach zákona.

7. Kde sú údaje uložené a prenos mimo EHP

Serverová časť aplikácie nebeží u externého poskytovateľa cloudu ani hostingu. Je prevádzkovaná na zariadení umiestnenom priamo v priestoroch prevádzkovateľa v budove Nivy Tower v Bratislave. Vaše údaje teda fyzicky neopúšťajú Slovenskú republiku a k ich prenosu do tretích krajín nedochádza.

8. Ako dlho údaje uchovávame

Konkrétne doby uchovávania sú uvedené pri jednotlivých kategóriách v tabuľke v článku 2. Vo všeobecnosti platí:

• Údaje spracúvané na plnenie zmluvy uchovávame počas trvania vášho členstva a po jeho skončení len dovtedy, kým to vyžaduje účel alebo právny predpis.
• Po uplynutí uvedenej doby údaje bezpečne vymažeme alebo anonymizujeme. Výmaz prebieha v pravidelných intervaloch, nie v okamihu uplynutia lehoty — záznam preto môže krátko po jej konci ešte existovať.
• Údaje uložené vo vašom zariadení (čl. 5) zaniknú odinštalovaním aplikácie.
• Kratšie lehoty môžu vzniknúť na základe vašej žiadosti o vymazanie (čl. 9), ak spracúvaniu nebráni zákonná povinnosť — napríklad povinná archivácia účtovných dokladov.

Zálohy

Bezpečnostné zálohy servera uchovávame 12 mesiacov. Kópia údajov v nich preto môže existovať ešte po tom, čo sme ich z prevádzkových systémov vymazali — najviac však do zániku príslušnej zálohy. Zálohy sú medzitým vyradené z používania: neslúžia na žiadny bežný účel, nie sú v prevádzke prehľadávateľné a prístupné sú výlučne pri obnove systému. Ak by k obnove zo staršej zálohy došlo, vykonané výmazy po nej zopakujeme. Podrobnosti opisuje stránka Vymazanie účtu a údajov.

9. Vaše práva

Ako dotknutá osoba máte podľa GDPR právo:

• na prístup k svojim údajom a na ich kópiu (čl. 15),
• na opravu nesprávnych údajov (čl. 16),
• na vymazanie (čl. 17),
• na obmedzenie spracúvania (čl. 18),
• na prenosnosť údajov (čl. 20),
• namietať proti spracúvaniu založenému na oprávnenom záujme (čl. 21).

Práva si uplatnite u prevádzkovateľa — Headway Real Estate, s.r.o. (kontakt v článku 1). Ak sa obrátite na Digitale, spol. s r.o. ako sprostredkovateľa, žiadosť bez zbytočného odkladu postúpime prevádzkovateľovi; sprostredkovateľ o nej nesmie rozhodnúť sám. Žiadosť bude vybavená do jedného mesiaca od doručenia.

Žiadne spracúvanie nezakladáme na vašom súhlase podľa čl. 6 ods. 1 písm. a) GDPR, právo na jeho odvolanie sa preto neuplatní. Systémové povolenia telefónu (článok 4) môžete kedykoľvek odvolať v nastaveniach zariadenia.

Máte tiež právo podať sťažnosť dozornému orgánu:

10. Bezpečnosť

• Všetka komunikácia so serverom prebieha šifrovane cez HTTPS. Aplikácia dôveruje iba systémovým certifikačným autoritám; pri neoverenom certifikáte spojenie odmietne a upozorní vás.
• Prihlasovací token je uložený v úložisku chránenom operačným systémom zariadenia — na Androide v šifrovanom úložisku s kľúčom v systémovom Android Keystore, na iPhone v systémovej Kľúčenke.
• Prihlásenie prebieha jednorazovým kódom zaslaným e‑mailom — aplikácia nepracuje s trvalými heslami.
• Serverová časť je umiestnená vo vlastných priestoroch prevádzkovateľa, pod jeho fyzickou kontrolou; údaje nie sú zverené žiadnemu externému poskytovateľovi cloudu.
• Prevádzkovateľ prijal primerané technické a organizačné opatrenia podľa čl. 32 GDPR. Patrí k nim zabezpečenie miesta, kde server stojí, pravidelné zálohovanie so zdokumentovaným postupom obnovy, a postup pre prípad porušenia ochrany osobných údajov vrátane ohlásenia dozornému orgánu v lehote podľa čl. 33 GDPR.

11. Deti

Aplikácia je určená členom priestoru Lab28, teda dospelým osobám. Nie je určená deťom mladším ako 16 rokov a vedome od nich údaje nezískavame.

12. Zmeny týchto zásad

Zásady môžeme aktualizovať, napríklad pri pridaní novej funkcie. Aktuálne znenie je vždy dostupné na tejto adrese spolu s číslom verzie a dátumom účinnosti. O podstatných zmenách vás budeme informovať v aplikácii.

13. Kontakt

S otázkami k spracúvaniu osobných údajov alebo pri uplatnení práv sa obráťte na prevádzkovateľa Headway Real Estate, s.r.o. — gdpr@lab28.sk alebo písomne na adresu sídla uvedenú v článku 1.

Technické otázky k fungovaniu aplikácie rieši jej vydavateľ, Digitale, spol. s r.o.