1. Kdo je správcem údajů
CODEM studio s.r.o., IČO 22327371, se sídlem Kaprova 42/14, Staré Město, 110 00 Praha 1, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze, oddíl C, vložka 414663 je správcem údajů návštěvníků webu, kontaktních osob při vyřizování žádostí, obchodní komunikace a vlastní fakturace. Pro dotazy a uplatnění práv pište na porty@codem.cz.
Správcem pedagogických záznamů dětí, údajů rodičů a zaměstnanců vedených pro činnost školky je konkrétní školka. CODEM studio s.r.o. je v tomto rozsahu jejím zpracovatelem a postupuje podle zpracovatelské smlouvy a doložených pokynů školky. O účelu, právním základu, příjemcích a školní době uchování vás informuje školka.
2. Žádost o přístup a obchodní komunikace
Zpracováváme název organizace, jméno a příjmení kontaktní osoby, pracovní e-mail, nepovinný telefon a IČO, počet dětí jako souhrnný údaj, zvolenou licenci, obsah zprávy a průběh vyřízení. Zdrojem je formulář, vaše následná komunikace a při ověření organizace veřejné rejstříky.
Účelem je vyřízení žádosti, ověření oprávnění jednat za organizaci, příprava nabídky a obsluha smlouvy. U kontaktních osob organizací vycházíme z oprávněného zájmu na komunikaci a poskytování služby jejich organizaci (čl. 6 odst. 1 písm. f GDPR); pokud je smluvní stranou přímo fyzická osoba jednající v rámci své profesní činnosti, jde o jednání o smlouvě a její plnění (písm. b). Účetní a daňové údaje zpracováváme také pro splnění zákonných povinností (písm. c).
Povinné kontaktní údaje potřebujeme k vyřízení žádosti. Bez nich ji nelze dokončit; telefon, IČO ve formuláři a zprávu vyplňovat nemusíte. Žádost nezakládá souhlas se zasíláním reklamního newsletteru. Do formuláře nevkládejte osobní údaje jednotlivých dětí.
3. Účty, provoz a podpora
Při provozu účtů se zpracovává jméno, e-mail, role, vazba na školku, stav pozvánky a aktivace, bezpečně zpracované přihlašovací údaje a relace. Autentizační služba může evidovat také IP adresu a údaje o prohlížeči. Provozní záznamy obsahují technické informace o požadavcích, chybách a doručování pozvánek.
Údaje účtu a oprávnění provozujeme podle pokynů školky. Pro samostatné zabezpečení webu, prevenci zneužití a ochranu vlastních práv je právním základem provozovatele oprávněný zájem. Údaje z podpory používáme k vyřešení konkrétního požadavku; obsah záznamů dětí zpracováváme pouze podle pokynu školky. Do běžné podpůrné komunikace neposílejte hesla ani celé dětské portfolio.
4. Údaje vedené školkou
Aplikace může podle zadání školky obsahovat jméno a datum narození dítěte, třídu, pozorování a hodnocení, zájmy a silné stránky, poznámky, soubory, fotografie, hlasové záznamy a přepisy, podklady pro rodiče a ZŠ a komunikaci s rodiči. Některé poznámky mohou obsahovat citlivé údaje, například o zdraví či speciálních vzdělávacích potřebách. Školka posuzuje jejich nezbytnost a podmínky podle čl. 9 GDPR.
Přístup závisí na roli uživatele a přiřazení ke školce, třídě nebo dítěti. Rodičovský portál je volitelný. O tom, komu školka předá PDF nebo jiný export, rozhoduje školka. Uplatnění práv dítěte nebo rodiče řešte primárně s vedením příslušné školky; provozovatel jí poskytne součinnost.
5. Příjemci a dodavatelé
Provoz využívá Convex pro databázi, soubory a autentizaci a Vercel pro web. Transakční e-maily, například aktivační pozvánky, odesílá Resend; zpracovává adresu příjemce a obsah e-mailu včetně aktivačního odkazu.
Interní oznámení o žádostech se mohou posílat přes Discord do soukromého kanálu týmu. Obsahují název organizace, typ žádosti či licence, souhrnný počet dětí, identifikátor a odkaz do zabezpečené administrace. Neposílají se kontaktní e-mail, telefon, volná zpráva, aktivační token ani individuální záznamy dětí. Název organizace může obsahovat jméno osoby; proto i tento přenos uvádíme.
Údaje mohou v nezbytném rozsahu obdržet také osoby poskytující účetní nebo právní služby a orgány veřejné moci, vyžaduje-li to zákon. Přístup pracovníků provozovatele musí být omezen účelem a povinností mlčenlivosti.
OpenAI zpracovává původní zvuk při hlasovém přepisu. Anthropic zpracovává textové podklady pro návrhy pedagogických textů a obsah dokumentů při AI importu dětí. Importovaný soubor může obsahovat skutečná jména a data narození; tento import není anonymní. Při návrzích se odstraňují známé podoby jména hodnoceného dítěte, což samo o sobě nezaručuje anonymizaci dalších údajů.
AI požadavek se spouští na pokyn uživatele. Ruční zadání je možné bez AI. Nahrávky a soubory minimalizujte na nezbytný obsah. Výstupy musí zkontrolovat člověk. Služba nepřijímá samostatná automatizovaná rozhodnutí o dětech s právními nebo obdobně významnými účinky.
6. Umístění a předávání mimo EHP
Hlavní produkční databáze a soubory aplikace jsou v Irsku (AWS eu-west-1). Serverová část webu je podle ověřené konfigurace v USA (Vercel iad1); web využívá globální distribuční síť. Samostatní dodavatelé e-mailů, AI a dalších služeb mohou zpracovávat údaje i mimo Evropský hospodářský prostor.
Předání do třetí země vyžaduje odpovídající právní mechanismus podle GDPR, například platné rozhodnutí o odpovídající ochraně pro konkrétního příjemce nebo standardní smluvní doložky a potřebná doplňující opatření. Veřejná dostupnost dodavatelského DPA není důkazem jeho uzavření pro konkrétní účet. Informace o uplatněných zárukách a jejich kopii lze vyžádat u provozovatele.
7. Jak dlouho údaje uchováváme
Kontaktní údaje a žádosti uchováváme po dobu jejich vyřizování a navazující potřebné komunikace. Po jejím ukončení je odstraníme, pokud není konkrétní důvod k dalšímu uchování, například trvající smlouva, zákonná povinnost nebo ochrana práv v běžící promlčecí lhůtě či sporu. Účetní a daňové doklady se uchovávají po příslušnou zákonnou dobu; nejsou důvodem k uchovávání dětských portfolií.
O uchovávání školních záznamů za trvání služby rozhoduje školka v souladu s vlastními povinnostmi. Přesun do archivu školních roků neznamená smazání. Požadavky na výmaz, omezení nebo vrácení údajů školka zasílá provozovateli; ten ověří oprávnění žadatele a postupuje podle smlouvy.
Po skončení licence má školka 30 kalendářních dnů na export dat. V tomto období jsou data dostupná pouze pro čtení a export. Nebude-li dohodnuto pokračování služby, provozovatel během následujících 30 kalendářních dnů odstraní osobní údaje školky z aktivní databáze a souborového úložiště. Stejný postup platí pro ukončený zkušební přístup. Školka může požádat o dřívější výmaz nebo vrácení údajů.
Výmaz aktivních dat neznamená okamžité přepsání všech záložních kopií. Jejich skutečná retence závisí na použité službě a konfiguraci. Konkrétní nejzazší lhůtu odstranění ze záloh provozovatel doloží školce před zahájením zpracování v potvrzení ke smlouvě. Po výmazu nejsou údaje ze záloh používány pro běžný provoz; při nezbytné obnově se pokyn k výmazu uplatní znovu. Zákonem vyžadované účetní doklady se uchovávají odděleně od záznamů dětí.
Bezpečnostní a provozní záznamy se uchovávají jen po dobu nezbytnou k vyřešení incidentu, diagnostice nebo ochraně práv; konkrétní nastavení se liší podle poskytovatele. Uchovávání na straně AI a e-mailových poskytovatelů se řídí jejich smluvními podmínkami a skutečnou konfigurací účtu. Netvrdíme nulové uchovávání zvuku nebo promptů u všech dodavatelů.
9. Vaše práva a kontakt
Za podmínek GDPR máte právo na přístup k údajům, opravu, výmaz, omezení zpracování a tam, kde jsou splněny zákonné předpoklady, na přenositelnost. Proti zpracování založenému na oprávněném zájmu můžete vznést námitku. Pokud by se konkrétní zpracování opíralo o souhlas, lze jej kdykoliv odvolat bez vlivu na předchozí zákonnost.
U údajů, jejichž správcem je CODEM, pište na porty@codem.cz. U záznamů vedených školkou se obraťte na školku. Kvůli ochraně cizích údajů může být nutné přiměřeně ověřit totožnost či zastoupení; neposílejte nám předem kopie dokladů. Na žádost se odpovídá ve lhůtách GDPR, zpravidla do jednoho měsíce.
Máte právo podat stížnost Úřadu pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7. Tato informace neomezuje možnost obrátit se na jiný příslušný dozorový úřad.