Ochrana osobních údajů

1. Kdo zpracovává vaše údaje

Správcem osobních údajů je XC platform s.r.o., IČO 17838339, se sídlem Kolbenova 616/34, 190 00 Praha 9, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze, spis. zn. C 377607. Kompletní kontaktní údaje najdete na stránce Provozovatel a kontakt.

2. Jaké údaje zpracováváme

Údaje získané z XContestu (při přihlášení přes OAuth):

• uživatelské jméno a XContest ID
• celé jméno
• e-mailová adresa
• číslo pilotního průkazu (licence)
• identifikátor uživatele (UUID)

Údaje vznikající provozem služby:

• záznamy o letech (datum, startoviště, identifikátor letu na XContestu)
• záznamy o platbách (částka, datum, variabilní symbol, údaje o protistraně z bankovního výpisu)
• kreditní zůstatek a historie kreditních transakcí
• záznamy o akcích administrátora (audit log)

Technické údaje: přihlašovací cookie (HMAC-SHA256 podepsaná, 180 dní), IP adresa v serverovém logu (Cloudflare, 30 dní), údaje o prohlížeči.

3. Účel a právní základ zpracování

• Plnění smlouvy (čl. 6 odst. 1 písm. b GDPR) — provoz aplikace, zobrazení vašich letů, generování platebních údajů, párování příchozích plateb, evidence zaplaceného a dlužného startovného, správa kreditního zůstatku.
• Plnění právních povinností (čl. 6 odst. 1 písm. c GDPR) — vedení záznamů o platbách pro účetní a daňové účely.
• Oprávněný zájem (čl. 6 odst. 1 písm. f GDPR) — zabezpečení služby, prevence zneužití, ochrana proti útokům, řešení provozních incidentů.

4. Doba uchování údajů

• Uživatelský účet: po dobu používání služby a dále 3 roky od posledního přihlášení. Po této době je účet anonymizován nebo vymazán.
• Záznamy o platbách a daňové doklady: 10 let (v souladu s § 35 zákona č. 235/2004 Sb., o DPH, a § 31 zákona č. 563/1991 Sb., o účetnictví).
• Serverové logy: 30 dní (výchozí retence Cloudflare).

5. Příjemci a zpracovatelé

Vaše údaje předáváme následujícím subjektům výhradně v rozsahu nezbytném pro provoz služby:

• Příslušný paraglidingový klub — administrátoři klubu, jehož startoviště používáte, vidí vaše jméno, identifikátor pilota, lety a platby vztahující se k tomuto klubu. Kluby jsou samostatnými správci osobních údajů pro vlastní právní vztah pilot↔klub.
• Cloudflare, Inc. (USA) — hosting aplikace, edge cache, ochrana proti DDoS útokům. Převod dat do USA probíhá na základě EU-US Data Privacy Framework (DPF) a standardních smluvních doložek.
• Neon, Inc. — provozovatel databázové služby. Vaše data jsou fyzicky uložena v EU (region Frankfurt, AWS eu-central-1). Smluvní vztah s Neon je uzavřen v souladu s GDPR.
• XContest (xcontest.org) — autentizace uživatele přes OAuth a zdroj informací o letech (server-to-server API).
• Letecká amatérská asociace ČR (LAA ČR) — ověření vašeho členství ve Svazu paraglidingu/závěsného létání. Předáváme pouze číslo pilotního průkazu, žádné jiné osobní údaje.

FIO banka NENÍ příjemcem vašich osobních údajů. Z bankovního výpisu klubu pouze čteme informace o příchozích transakcích za účelem párování plateb. Vlastní vztah mezi klubem a bankou je samostatný a startovne.online v něm nevystupuje.

6. Vaše práva

Jako subjekt údajů máte právo:

• na přístup ke svým osobním údajům (čl. 15 GDPR)
• na opravu nesprávných nebo neúplných údajů (čl. 16 GDPR)
• na výmaz ("právo být zapomenut", čl. 17 GDPR)
• na omezení zpracování (čl. 18 GDPR)
• na přenositelnost údajů (čl. 20 GDPR)
• vznést námitku proti zpracování na základě oprávněného zájmu (čl. 21 GDPR)
• nebýt předmětem automatizovaného rozhodování (čl. 22 GDPR — neuplatňuje se, automatizované rozhodování zde neprobíhá)

Tato práva uplatníte e-mailem na info@xcontest.org. Vaši žádost vyřídíme bez zbytečného odkladu, nejpozději do 30 dnů. Některá práva (zejména výmaz) mohou být omezena povinností uchovávat účetní a daňové doklady.

7. Cookies a localStorage

Aplikace ukládá pouze technicky nezbytné údaje:

• Přihlašovací cookie (HMAC-SHA256 podepsaná, platnost 180 dní) — bez ní by nebylo možné zůstat přihlášen.
• localStorage v prohlížeči — ukládá obsah košíku před odesláním platby. Údaje neopouštějí vaše zařízení.

Nepoužíváme žádné analytické, marketingové ani sledovací cookies. Žádné údaje o vašem chování nepředáváme třetím stranám pro reklamní účely. Souhlasový banner proto není potřeba.

8. Stížnost u dozorového orgánu

Pokud se domníváte, že zpracování vašich osobních údajů porušuje GDPR, máte právo podat stížnost u Úřadu pro ochranu osobních údajů (Pplk. Sochora 27, 170 00 Praha 7, www.uoou.cz).

9. Změny těchto zásad

Tyto zásady ochrany osobních údajů můžeme čas od času aktualizovat. O významných změnách budeme uživatele informovat e-mailem nebo upozorněním v aplikaci. Aktuální verze je vždy dostupná na této stránce.

Účinné od: 30. 4. 2026