R Rivalio

Zásady ochrany osobních údajů služby Rivalio

Správce osobních údajů: Rivalio s.r.o., IČ 29509751, se sídlem Nové sady 988/2, Staré Brno, 602 00 Brno, zapsaná v obchodním rejstříku vedeném Krajským soudem v Brně, sp. zn. C 151679 (dále jen „Správce").

Verze: 1.6 Datum účinnosti: 16. září 2026 Návaznost na Obchodní podmínky: verze 1.5

Kontakt pro otázky ochrany osobních údajů: privacy@rivalio.cz

1. Úvodní ustanovení

1.1 Účel dokumentu

1.1.1. Tyto Zásady ochrany osobních údajů (dále jen „Zásady" nebo „PP") popisují, jaké osobní údaje Správce zpracovává v souvislosti s provozem digitální služby Rivalio dostupné na https://rivalio.cz (dále jen „Služba" nebo „Rivalio"), za jakými účely, na jakém právním základě, jak dlouho a komu je předává.

1.1.2. Zásady jsou závaznou součástí smluvního vztahu se Subjektem údajů a doplňují Obchodní podmínky služby Rivalio (verze 1.5).

1.1.3. Zásady jsou zpracovány v souladu zejména s:

  • Nařízením (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů (dále jen „GDPR"),
  • zákonem č. 110/2019 Sb., o zpracování osobních údajů,
  • zákonem č. 480/2004 Sb., o některých službách informační společnosti,
  • zákonem č. 127/2005 Sb., o elektronických komunikacích (§ 89 — cookies),
  • nařízením (EU) 2022/2065 o jednotném trhu digitálních služeb (DSA) — v rozsahu povinností poskytovatele hostingové služby pro obsah nahrávaný uživateli,
  • rozsudkem SDEU C-210/16 (Wirtschaftsakademie) a C-40/17 (Fashion ID) k joint controllership.

1.2 Pro koho jsou Zásady určeny

1.2.1. Zásady platí pro všechny Subjekty údajů, jejichž osobní údaje Správce zpracovává — zejména:

  • Uživatele (registrované Spotřebitele i Podnikatele, kteří uzavřeli smlouvu se Správcem) — včetně užívání uživatelského Portálu a jeho komunitních funkcí (čl. 4.10),
  • Hráče a další osoby, jejichž údaje do Rivalia zadávají organizátoři turnajů/lig (vůči nim Správce vystupuje jako zpracovatel, viz čl. 10),
  • návštěvníky webu (cookies, analytika — pokud bude aktivována se souhlasem).

2. Definice pojmů

Pojem Definice
Správce Rivalio s.r.o., subjekt určující účely a prostředky zpracování (čl. 4 odst. 7 GDPR).
Subjekt údajů Identifikovaná nebo identifikovatelná fyzická osoba, jejíž osobní údaje Správce zpracovává.
Zpracovatel Třetí subjekt, který zpracovává osobní údaje pro Správce na základě smlouvy (čl. 28 GDPR). Příjemci uvedeni v čl. 7 níže.
Osobní údaje Veškeré informace o identifikované nebo identifikovatelné fyzické osobě (čl. 4 odst. 1 GDPR).
Zpracování Jakákoli operace s osobními údaji (sběr, uložení, organizace, použití, výmaz, atd.) — čl. 4 odst. 2 GDPR.
Cookies Malé textové soubory ukládané v prohlížeči Subjektu údajů.
Účet Uživatelský profil v Rivaliu chráněný přihlašovacími údaji.
Portál Přihlášená část Služby pro Uživatele (přehled, kalendář, zprávy, komunitní funkce) dle Obchodních podmínek.
Veřejný profil Volitelná veřejně dostupná stránka Uživatele dle čl. 4.10.1.
Služba Aplikace Rivalio dle čl. 1 Obchodních podmínek.

3. Pověřenec pro ochranu osobních údajů (DPO)

3.1 Správce DPO nejmenoval

3.1.1. Správce není povinen jmenovat pověřence pro ochranu osobních údajů dle čl. 37 odst. 1 GDPR ani § 6 zákona č. 110/2019 Sb. Důvod:

  • Správce není veřejným orgánem ani institucí,
  • hlavní činností Správce není rozsáhlé pravidelné a systematické monitorování Subjektů údajů ve velkém rozsahu,
  • Správce nezpracovává ve velkém rozsahu zvláštní kategorie osobních údajů dle čl. 9 GDPR ani údaje o trestných činech dle čl. 10 GDPR.

3.2 Kontaktní bod pro ochranu osobních údajů

3.2.1. Veškeré dotazy, žádosti a stížnosti týkající se zpracování osobních údajů směřujte na:

E-mail: privacy@rivalio.cz Korespondenční adresa: Rivalio s.r.o., Nové sady 988/2, Staré Brno, 602 00 Brno

3.2.2. Pokud se zpracování změní tak, že povinnost jmenovat DPO vznikne, Správce DPO jmenuje a Zásady aktualizuje.

4. Kategorie zpracovávaných osobních údajů

4.1 Identifikační a kontaktní údaje

  • jméno a příjmení,
  • e-mailová adresa,
  • telefonní číslo (nepovinné u Uživatele, povinné u Hráčů zadávaných organizátorem),
  • uživatelské jméno (login).

4.2 Fakturační údaje (pro Podnikatele a vystavování daňových dokladů)

  • obchodní jméno,
  • IČ,
  • DIČ (pokud Subjekt je plátcem DPH),
  • fakturační adresa.

4.3 Přístupové údaje

  • uživatelské jméno,
  • kryptografický otisk hesla (heslo se nikdy neukládá v čitelné podobě),
  • datum a IP poslední úspěšné registrace/přihlášení,
  • volitelně dvoufaktorové ověření (2FA) — sdílené tajemství šifrované v databázi.

4.4 Údaje o Účtu a Službě

  • zakoupený Tarif,
  • datum nákupu, datum vypršení, datum konce read-only fáze,
  • historie objednávek a plateb,
  • využité funkce, počet vytvořených turnajů/lig.

4.5 Provozní a technické údaje

  • IP adresa — v rozsahu a podobě dle typu záznamu:
    • u bezpečnostních záznamů o pokusech o přihlášení se IP adresa ukládá anonymizovaně (IPv4 zkrácena na /24, IPv6 na /48),
    • u záznamů známých (ověřených) zařízení — sloužících k rozpoznání nového zařízení a odeslání bezpečnostního upozornění — se ukládá úplná IP adresa po omezenou dobu dle čl. 6 (oprávněný zájem na zabezpečení Účtu),
    • z úplné IP adresy Správce při odeslání bezpečnostního upozornění odvozuje přibližnou polohu (město, stát) a název poskytovatele internetového připojení, aby Subjekt snáze rozpoznal neoprávněné přihlášení; odvození probíhá výhradně na serverech Správce proti lokální kopii databáze GeoLite2 (MaxMind, Inc.) — IP adresa ani žádný jiný údaj Subjektu se přitom žádné třetí straně nepředává; odvozené údaje jsou pouze součástí obsahu e-mailového upozornění a Správce je samostatně neukládá,
  • User-Agent prohlížeče,
  • časová razítka (registrace, přihlášení, akce v aplikaci),
  • log soubory (chyby, audit přístupu, autorizace).

4.6 Obsah Uživatele

  • názvy turnajů a lig, jejich nastavení,
  • loga týmů, statistiky, výsledky zápasů,
  • jména a kontaktní údaje hráčů zadávané organizátorem (zpracovává Správce jako zpracovatel, viz čl. 10),
  • vlastní obsah, který Uživatel vytváří v Portálu (čl. 4.10) — u něj Správce vystupuje jako správce.

4.7 Provozní a produktová telemetrie a analytika

4.7.1. First-party provozní statistiky (oprávněný zájem, čl. 6 odst. 1 písm. f) GDPR). Správce vede agregované interní statistiky o užívání Služby pro účely jejího měření, zabezpečení a zlepšování, zejména:

  • počet zobrazení veřejných stránek Turnajů a článků,
  • počet prokliků na weby partnerů uvedené organizátory,
  • průchod konverzním trychtýřem (zobrazení nabídky, dokončení objednávky) - pouze u přihlášených Uživatelů,
  • počet zobrazení a prokliků ve veřejném katalogu turnajů,
  • počet zobrazení a kliknutí na reklamní plochy (čl. 4.11) — pouze souhrnné čítače bez identifikace návštěvníka,
  • anonymní technické metriky rychlosti načítání webu (Web Vitals) — bez cookies, bez IP adresy, bez jakéhokoli identifikátoru návštěvníka; uchovávají se nejdéle 30 dnů.

Tyto statistiky neobsahují IP adresu ani identifikaci anonymního návštěvníka (IP adresa se používá nejvýše jako dočasný (efemérní) otisk pro krátkodobou deduplikaci v paměti a neukládá se k záznamu), jsou agregované a uchovávají se nejdéle 2 roky (není-li výše uvedeno jinak). Nejde o profilování (čl. 12) ani o analytiku poskytovanou třetí stranou. Subjekt má právo vznést námitku dle čl. 11.

4.7.2. Analytické a měřicí nástroje třetích stran (pouze se souhlasem). Správce používá Google Analytics 4 (Google Ireland Limited) pro statistiku návštěvnosti a Meta Pixel (Meta Platforms Ireland Limited) pro měření účinnosti reklamy na Facebooku a Instagramu. Oba nástroje se v prohlížeči načtou až po udělení souhlasu v cookie banneru — Google Analytics 4 po souhlasu s kategorií Statistical, Meta Pixel po souhlasu s kategorií Marketing. Bez souhlasu se příslušný skript vůbec nenačte. Rozsah předávaných údajů uvádí čl. 7.4, serverové měření konverzí popisuje čl. 4.7.3.

4.7.3. Serverové měření konverzí (Meta Conversions API). Vedle měření v prohlížeči předává Správce údaje o dokončených konverzích společnosti Meta přímo ze svého serveru. Účelem je změřit účinnost placené reklamy, za kterou Správce platí, a omezit vícenásobné započtení téže konverze. Předávají se výhradně tyto údaje:

  • e-mailová adresa, telefonní číslo, jméno a příjmení výhradně v podobě nevratného otisku (SHA-256); Meta z otisku nezíská původní hodnotu, otisk slouží jen k porovnání s otiskem, který Meta již má. Jméno a příjmení se otiskují odděleně a bez diakritických úprav,
  • IP adresa a údaj o prohlížeči (User-Agent) v nezkrácené podobě,
  • identifikátor kliknutí na reklamu (fbclid), pokud Subjekt přišel z reklamy,
  • identifikátor prohlížeče z cookie _fbp, pokud byl Meta Pixel se souhlasem načten; jde o náhodné číslo bez vazby na totožnost, které Metě umožní spojit serverovou a prohlížečovou událost do jedné,
  • u zaplacené objednávky částka a měna, u přihlášky na přednášku označení dané přednášky.

Nepředává se adresa, datum narození ani obsah Účtu. Předávají se tři události: odeslání přihlášky na přednášku, dokončení registrace organizace a zaplacení objednávky. U zaplacené objednávky se IP adresa, User-Agent ani identifikátor prohlížeče nepředávají - událost vzniká až při spárování platby na serveru, kdy Subjekt na webu není.

Právní základ: souhlas Subjektu údajů (čl. 6 odst. 1 písm. a) GDPR) udělený v cookie banneru pro kategorii Marketing. Bez tohoto souhlasu Správce na Metu neodesílá nic — ani ze serveru. Souhlas lze kdykoli odvolat v nastavení cookies; odvolání se promítne i do serverového měření. Identifikátor kliknutí na reklamu Správce uchovává nejdéle 90 dnů (čl. 6), poté jej automaticky maže.

4.8 Marketingové údaje a obchodní sdělení

4.8.1. Obchodní sdělení o vlastních obdobných službách (soft opt-in, § 7 odst. 3 zák. 480/2004 Sb.). Správce je oprávněn zasílat Uživateli, jehož e-mailovou adresu získal v souvislosti s registrací nebo poskytnutím Služby, obchodní sdělení týkající se vlastních obdobných služeb Správce. Právní základ: oprávněný zájem (čl. 6 odst. 1 písm. f) GDPR) ve spojení s § 7 odst. 3 zák. č. 480/2004 Sb. Uživatel může zasílání kdykoli bezplatně odmítnout (opt-out) - odkaz pro odhlášení je v každém takovém sdělení; po odmítnutí Správce další obchodní sdělení nezasílá.

4.8.2. Marketing nad rámec obdobných služeb (souhlas). Zasílání dalších marketingových sdělení (např. obecný newsletter) probíhá pouze na základě dobrovolného souhlasu Subjektu (čl. 6 odst. 1 písm. a) GDPR), který lze kdykoli odvolat (čl. 11).

4.9 Audit § 1837 NOZ — záznam souhlasu před zahájením digitální služby

4.9.1. V souvislosti s § 1837 písm. l) občanského zákoníku a § 1822 NOZ Správce uchovává neměnný auditní záznam o tom, že Spotřebitel před zahájením plnění udělil výslovný souhlas a byl poučen o ztrátě práva na 14denní odstoupení. Záznam obsahuje:

  • vyjádření obou souhlasů (checkbox A a B),
  • doslovný text souhlasů, který Subjekt viděl v okamžiku objednávky,
  • jazyk objednávky, verzi Obchodních podmínek účinnou v daný okamžik,
  • IP adresu a User-Agent zařízení,
  • časové razítko serveru.

4.9.2. Tento záznam je nezbytný k prokázání zákonnosti zpracování a uplatnění práv ze smlouvy. Doba uchování: viz čl. 6.

4.10 Portál a komunitní funkce

4.10.1. Veřejný profil (opt-in). Uživatel si může v nastavení Portálu dobrovolně aktivovat veřejný profil — veřejně dostupnou stránku, která zobrazuje jeho jméno, herní statistiky, formu, trofeje, odznaky, týmy a datum členství. Veřejný profil je ve výchozím stavu vypnutý; Uživatel jej může kdykoli jedním přepínačem vypnout (stránka přestane být okamžitě dostupná). E-mail, telefon ani datum narození se na veřejném profilu nikdy nezobrazují. Právní základ: souhlas projevený aktivací (čl. 6 odst. 1 písm. a) GDPR), odvolatelný vypnutím.

4.10.2. Komentáře a reakce u zápasů. Uživatel může u živých zápasů (pokud to organizátor povolí) psát komentáře a přidávat reakce. Komentáře vidí ostatní přihlášení diváci daného zápasu spolu se jménem autora. Komentář může smazat autor, organizátor soutěže nebo Správce. Právní základ: plnění smlouvy (čl. 6 odst. 1 písm. b) GDPR).

4.10.3. Přímé zprávy (DM). Uživatelé si mohou v Portálu vyměňovat soukromé zprávy. Obsah zpráv je v databázi šifrován a je dostupný pouze účastníkům konverzace (a v nezbytném rozsahu Správci při vyřizování nahlášení dle čl. 4.10.6). Uživatel může jiného uživatele zablokovat — blokovaný mu nadále nemůže psát. Právní základ: plnění smlouvy.

4.10.4. Inzeráty spoluhráčů a výzvy týmům. Uživatel může zveřejnit inzerát (hledám tým / hledáme hráče — text a region) viditelný ostatním přihlášeným uživatelům, a vyzvat jiný tým k přátelskému zápasu (text výzvy). Právní základ: plnění smlouvy.

4.10.5. Odznaky a herní statistiky. Služba Uživateli automaticky přiděluje odznaky za herní milníky (např. počet odehraných zápasů) a zobrazuje mu jeho statistiky. Jde o zobrazení výsledků sportovní činnosti, nikoli o hodnocení osoby s právními účinky (čl. 12).

4.10.6. Nahlášení obsahu. U komentářů a přímých zpráv je k dispozici funkce „Nahlásit". Záznam nahlášení obsahuje identifikaci nahlašujícího, nahlášený obsah, důvod a volitelnou poznámku; slouží k prověření a případnému odstranění závadného obsahu (postup dle Obchodních podmínek, čl. o uživatelském obsahu). Právní základ: plnění právní povinnosti (nařízení DSA) a oprávněný zájem na bezpečném prostředí Služby.

4.10.7. Propojené účty třetích stran (OAuth). Pokud se Uživatel přihlašuje přes Google nebo Microsoft (čl. 7.4), Správce eviduje identifikátor propojeného účtu a e-mail. Uživatel může propojení kdykoli zrušit v nastavení Portálu.

4.11 Reklamní plochy

4.11.1. Rivalio zobrazuje na vybraných veřejných stránkách vlastní reklamní plochy (sponzorská sdělení, partnerské odkazy, vlastní sdělení Správce) — podrobně Obchodní podmínky, čl. „Reklama a partnerský obsah". V souvislosti s reklamou Správce zpracovává pouze souhrnné (agregátní) čítače zobrazení a kliknutí, které neobsahují žádné osobní údaje — žádnou IP adresu, identifikátor uživatele ani otisk zařízení.

4.11.2. Výběr zobrazované reklamy neprobíhá podle osobních údajů, chování ani profilu Subjektu (žádná personalizace ani cílení). Krátkodobé technické identifikátory používané k deduplikaci měření popisují Zásady používání cookies (čl. 5).

5. Účely zpracování a právní tituly

5.1 Plnění smlouvy (čl. 6 odst. 1 písm. b) GDPR)

5.1.1. Správce zpracovává osobní údaje pro:

  • registraci a vedení Účtu,
  • poskytování Služby v rozsahu zvoleného Tarifu,
  • provoz Portálu a komunitních funkcí (čl. 4.10) — komentáře, přímé zprávy, inzeráty, výzvy, odznaky, kalendář,
  • zpracování objednávky a platby,
  • vystavení daňového dokladu (faktury),
  • transakční e-mailovou komunikaci (potvrzení registrace, objednávky, platby, vypršení Tarifu, bezpečnostní upozornění),
  • poskytování zákaznické podpory.

5.1.2. Pokud Subjekt odmítne poskytnout údaje nezbytné pro plnění smlouvy, Správce nemůže smlouvu uzavřít ani plnit.

5.2 Plnění právní povinnosti (čl. 6 odst. 1 písm. c) GDPR)

5.2.1. Správce uchovává:

  • daňové doklady (faktury) po dobu 10 let dle § 35 zákona č. 235/2004 Sb., o DPH,
  • účetní záznamy po dobu 10 let dle § 31 a § 32 zákona č. 563/1991 Sb., o účetnictví,
  • evidenci reklamací po dobu trvání zákonných práv z vad,
  • záznamy o splnění informačních povinností vůči Subjektu údajů (čl. 13 a 14 GDPR),
  • záznamy o vyřízení nahlášení závadného obsahu (nařízení DSA).

5.3 Oprávněný zájem (čl. 6 odst. 1 písm. f) GDPR)

5.3.1. Správce zpracovává údaje na základě oprávněného zájmu pro:

  • bezpečnost a provoz aplikace — error tracking přes Sentry (záznam stack trace + IP při chybě), logování přístupů, audit administrativních akcí, rozpoznávání známých zařízení a upozornění na přihlášení z nového zařízení včetně odvození přibližné polohy a poskytovatele připojení z IP adresy (lokálně, bez předání třetí straně),
  • prevenci podvodů — analýzu vzorů přístupu (např. opakované neúspěšné přihlášení),
  • moderaci obsahu — prověřování nahlášeného uživatelského obsahu a ochranu ostatních uživatelů,
  • uplatnění a obhajobu právních nároků Správce (např. vymáhání pohledávek),
  • vnitřní administrativní účely v rámci skupiny organizací (čl. 47 GDPR, recitál 48 — Správce aktuálně nemá pobočky).

5.3.2. Subjekt má právo vznést námitku proti zpracování na základě oprávněného zájmu (čl. 21 GDPR) — viz čl. 11.

5.4 Souhlas Subjektu údajů (čl. 6 odst. 1 písm. a) GDPR)

5.4.1. Na základě souhlasu Subjektu (uděleného v cookie banneru, samostatném formuláři nebo aktivací funkce) Správce zpracovává:

  • non-essential cookies (analytika, marketing — v rozsahu dle Zásad používání cookies),
  • veřejný profil (čl. 4.10.1) — aktivací přepínače v nastavení,
  • Google reCAPTCHA v3 na public registračních formulářích (pokud je aktivováno),
  • embedované YouTube video na stránkách turnajů (přehrávání cookie-gated),
  • (Webové fonty Inter jsou self-hostované přímo z rivalio.cz. Žádný požadavek se neodesílá k Googlu — fonty se renderují i bez souhlasu.)

5.4.2. Souhlas je dobrovolný, konkrétní, informovaný a jednoznačný. Subjekt jej může kdykoli odvolat — viz čl. 11.

5.5 Rivalio jako zpracovatel pro údaje hráčů (čl. 28 GDPR)

5.5.1. Pokud organizátor (Uživatel — typicky klub, asociace, sportovní svaz) zadává do Rivalia osobní údaje hráčů (jména, kontakty, statistiky), je organizátor správcem těchto údajů a Správce vůči těmto údajům vystupuje jako zpracovatel dle čl. 28 GDPR.

5.5.2. Organizátor:

  • odpovídá za zákonný titul zpracování vůči svým hráčům (zpravidla plnění smlouvy nebo oprávněný zájem na vedení sportovní evidence),
  • splňuje informační povinnost vůči hráčům (čl. 13 GDPR),
  • může požádat Správce o uzavření Smlouvy o zpracování osobních údajů (DPA) — vzor poskytne Správce na vyžádání na privacy@rivalio.cz.

6. Doby uchování

Správce uchovává osobní údaje pouze po dobu nezbytnou pro daný účel:

Kategorie údajů Doba uchování Právní základ pro retenci
Registrační a kontaktní údaje po dobu existence Účtu + 3 roky po jeho zrušení obecná promlčecí lhůta dle § 629 NOZ
Fakturační údaje, daňové doklady 10 let od konce zdaňovacího období § 35 zák. 235/2004 Sb., § 31 zák. 563/1991 Sb.
Účetní záznamy 10 let § 31 a § 32 zák. 563/1991 Sb.
Audit § 1837 NOZ souhlasů 10 let návaznost na účetní doklady + důkazní břemeno
Záznamy o neúspěšných a úspěšných pokusech o přihlášení (anonymizovaná IP) 90 dnů bezpečnostní forenzika
Známá (ověřená) zařízení (úplná IP, User-Agent) 180 dnů od poslední aktivity zařízení, nejdéle 365 dnů zabezpečení Účtu (upozornění na nové zařízení)
Ostatní provozní logy 12 měsíců bezpečnostní forenzika
Auditní log administrativních akcí 12 měsíců bezpečnostní a auditní účely
Záznam změn dat (auditní log) 12 měsíců minimalizace dat
Relace (session cookies) 30 dní od posledního použití automatický úklid
Push subscriptions (web push) 90 dní od poslední aktivity stale endpoints
Notifikace (read) 6 měsíců inbox cleanup
Přímé zprávy (DM) po dobu existence Účtů účastníků; při výmazu Účtu se obsah zpráv odesílatele nahradí zástupným textem (redakce) smlouva; čl. 17 GDPR s ohledem na práva protistrany
Komentáře u zápasů do smazání autorem/organizátorem/Správcem; smazané komentáře definitivně odstraněny do 30 dnů; při výmazu Účtu odstraněny smlouva
Inzeráty spoluhráčů a výzvy týmům 12 měsíců od vytvoření, poté automatický výmaz; při výmazu Účtu ihned smlouva
Odznaky a herní statistiky po dobu existence Účtu smlouva
Záznamy o nahlášení obsahu 12 měsíců od vyřízení DSA; obhajoba právních nároků
Technické metriky rychlosti webu (Web Vitals, bez identifikátorů) 30 dnů provozní měření
Identifikátor kliknutí na reklamu (fbclid) a čas jeho zachycení 90 dnů od zachycení měření účinnosti reklamy (čl. 4.7.3); poté automatický výmaz
Cookies (essential) dle expirace v banneru, max. 12 měsíců EDPB 05/2020
Cookies (non-essential, na základě souhlasu) dle expirace, do odvolání souhlasu čl. 7 odst. 3 GDPR
Marketingové údaje (souhlas s newslettery) do odvolání souhlasu čl. 7 odst. 3 GDPR
Obsah Uživatele (turnaje, statistiky) po dobu existence Účtu, po smazání volitelná anonymizace smlouva
Osobní údaje hráčů a registrací zadané organizátorem po dobu existence organizace organizátora; nejpozději do 3 let od archivace/zrušení organizace dochází k anonymizaci (redakci) kontaktních údajů (jméno, e-mail, telefon, datum narození) smlouva / pokyn organizátora (čl. 10)

Správce má automatizovaný proces úklidu dat — jednou denně maže záznamy starší než výše uvedené doby.

7. Příjemci osobních údajů (Zpracovatelé a třetí strany)

Správce předává osobní údaje pouze následujícím Zpracovatelům:

7.1 Infrastruktura

Subjekt Sídlo Účel Kategorie údajů US přenos
Hetzner Online GmbH Industriestraße 25, 91710 Gunzenhausen, Německo Hosting aplikace, databáze, file storage, zálohy Všechny údaje uložené v Rivaliu NE (DE/EU)

7.2 Platby a fakturace

7.2.1. Platby probíhají bankovním převodem na účet Správce. Banka Správce vystupuje jako samostatný správce platebního styku, nikoli jako zpracovatel pro Správce. Správce se nedostává k platebním údajům platební karty.

7.2.2. Daňové doklady (faktury) Správce vystavuje vlastními prostředky — k jejich vystavení nevyužívá externí fakturační službu jako zpracovatele.

7.2.3. Pokud Správce v budoucnu zapojí externí platební bránu nebo fakturační službu (jako zpracovatele osobních údajů), tyto Zásady aktualizuje a Subjekt znovu informuje.

7.3 Bezpečnost a monitoring

Subjekt Sídlo Účel Kategorie údajů US přenos
Functional Software, Inc. (Sentry) 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA Error tracking, monitoring aplikace (jen backend) Stack trace, IP, User-Agent, případně user ID ANO — DPF certifikace + SCC

7.4 Funkční integrace třetích stran

Subjekt Sídlo Účel Kategorie údajů US přenos Aktivace
Google Ireland Limited (reCAPTCHA v3) Gordon House, Barrow Street, Dublin 4, Irsko (smluvní strana pro EU); data v USA/EU Ochrana před boty na veřejném registračním formuláři IP, User-Agent, behaviorální údaje ANO — DPF + SCC jen pokud organizátor aktivuje ochranu reCAPTCHA
Google Ireland Limited (YouTube embed) Dublin, IE; data v USA Přehrání embedovaného live stream videa (pokud organizátor vloží YouTube URL) IP, User-Agent, behaviorální údaje, cookies ANO — DPF + SCC podmíněně; varianta youtube-nocookie.com, gated by Functional consent
Google LLC (Sign in with Google) Mountain View, CA, USA (smluvní strana Google Ireland Limited, Dublin, IE) Přihlášení k Účtu přes účet Google (OAuth) jméno, e-mailová adresa, identifikátor účtu, profilový obrázek ANO - DPF + SCC jen pokud Uživatel zvolí přihlášení přes Google
Microsoft Corporation (Sign in with Microsoft) One Microsoft Way, Redmond, WA, USA Přihlášení k Účtu přes účet Microsoft (OAuth) jméno, e-mailová adresa, identifikátor účtu ANO - DPF + SCC jen pokud Uživatel zvolí přihlášení přes Microsoft
Google Ireland Limited (Google Analytics 4) Gordon House, Barrow Street, Dublin 4, Irsko; data v USA/EU Statistika návštěvnosti webu identifikátor návštěvníka v cookie, IP adresa, navštívené stránky ANO - DPF + SCC jen po souhlasu s kategorií Statistical
Meta Platforms Ireland Limited (Meta Pixel, Conversions API) Merrion Road, Dublin 4, D04 X2K5, Irsko; data zpracovávána i v USA Měření účinnosti placené reklamy na Facebooku a Instagramu otisk (SHA-256) e-mailu, telefonu, jména a příjmení, IP adresa, User-Agent, identifikátor kliknutí na reklamu, identifikátor prohlížeče (_fbp), částka a měna objednávky ANO - DPF + SCC jen po souhlasu s kategorií Marketing; serverové předání viz čl. 4.7.3

Nad rámec výše uvedených integrací Správce nepoužívá žádné další tracking pixely, marketingové nástroje (např. Google Ads, Microsoft Clarity), e-mailové marketingové platformy (např. Brevo) ani CDN třetí strany. Reklamní plochy Rivalio (čl. 4.11) jsou plně first-party — v souvislosti s nimi se žádné údaje třetím stranám nepředávají. Pokud se to v budoucnu změní, Správce aktualizuje Zásady a Subjekt znovu informuje.

7.5 Veřejné orgány

7.5.1. Správce předává osobní údaje veřejným orgánům pouze na základě zákona — typicky finanční úřad (kontrola DPH), soud, Policie ČR, ÚOOÚ.

8. Přenosy mimo EU/EHP

8.1 Země a procesoři

8.1.1. Některé osobní údaje jsou zpracovávány v USA těmito procesory:

  • Functional Software, Inc. (Sentry) — Kalifornie, USA,
  • Google LLC (přes Google Ireland Limited jako smluvní stranu) — část serverů pro reCAPTCHA, YouTube a přihlášení přes Google je v USA,
  • Microsoft Corporation - přihlášení přes Microsoft (jen pokud jej Uživatel zvolí), USA,
  • Meta Platforms, Inc. (přes Meta Platforms Ireland Limited jako smluvní stranu) - měření účinnosti reklamy (čl. 4.7.3), část zpracování v USA; jen po souhlasu s kategorií Marketing.

8.2 Právní mechanismus

8.2.1. Přenos do USA je založen na rozhodnutí Evropské komise (EU) 2023/1795 ze dne 10. července 2023 o adekvátnosti ochrany osobních údajů v rámci EU-US Data Privacy Framework (DPF).

8.2.2. Všechny uvedené US společnosti jsou (nebo musí být před produkčním nasazením) certifikovány v DPF (https://www.dataprivacyframework.gov/list).

8.2.3. Podpůrně se použijí standardní smluvní doložky (SCC) dle rozhodnutí Komise (EU) 2021/914 ze dne 4. června 2021.

8.3 Subjekt může požádat o kopii záruk

8.3.1. Subjekt má právo požádat o kopii vhodných záruk pro přenos do třetí země (čl. 46 odst. 2 GDPR) na privacy@rivalio.cz.

9. Společní správci (Joint Controllership)

9.1.1. Při měření účinnosti reklamy prostřednictvím Meta Pixel (čl. 4.7.2) a Meta Conversions API (čl. 4.7.3) vystupují Správce a Meta Platforms Ireland Limited jako společní správci ve smyslu čl. 26 GDPR, a to v rozsahu shromáždění údajů a jejich předání Metě. Pro následné zpracování pro vlastní účely Mety je Meta samostatným správcem.

9.1.2. Rozdělení odpovědnosti upravuje Dodatek o společné správě, který Meta zveřejňuje na https://www.facebook.com/legal/controller_addendum. Správce odpovídá za získání souhlasu Subjektu a za splnění informační povinnosti (tyto Zásady a cookie banner); Meta odpovídá za zpracování na své straně.

9.1.3. Subjekt údajů může svá práva uplatnit u kteréhokoli ze společných správců (čl. 26 odst. 3 GDPR) — u Správce na privacy@rivalio.cz, u Mety prostřednictvím nástrojů dostupných v jejím uživatelském účtu.

9.1.4. Pokud Správce zavede další nástroj vyvolávající společné správcovství, Zásady budou aktualizovány a Subjekt znovu informován.

10. Vztah Rivalio ↔ organizátor ↔ hráč

10.1 Dvojí role Správce

10.1.1. Vůči Uživateli (organizátor — typicky klub, asociace, sportovní svaz, nebo Spotřebitel hostující soukromý turnaj) je Rivalio správcem osobních údajů. Vztah se řídí těmito Zásadami. Správcem je Rivalio i vůči vlastnímu obsahu a komunitní aktivitě Uživatele v Portálu (čl. 4.10).

10.1.2. Vůči hráčům, rozhodčím, dalším osobám, jejichž údaje organizátor zadává do Rivalia (pro účely sportovních soutěží), je Rivalio zpracovatelem ve smyslu čl. 28 GDPR. Organizátor je správcem těchto údajů a:

  • odpovídá za zákonný titul vůči svým hráčům,
  • splňuje informační povinnost vůči hráčům (čl. 13 GDPR),
  • reaguje na žádosti hráčů o uplatnění práv (čl. 15–22 GDPR).

10.1a Veřejné zobrazení údajů hráčů

10.1.3. Rozsah veřejného zpřístupnění údajů hráčů - zejména prostřednictvím veřejných stránek Turnaje, přenosových (streamovacích) grafik (overlays) a veřejného katalogu turnajů včetně kontaktních údajů organizátora - určuje organizátor v nastavení Služby. Organizátor odpovídá za to, že má pro takové zveřejnění právní základ a že o něm dotčené osoby informoval; zveřejněním vlastních kontaktních údajů v katalogu organizátor souhlasí s jejich veřejným zobrazením. Správce poskytuje pouze technické prostředky a v rozsahu zpracovatele se řídí pokyny organizátora.

10.1.4. Od veřejného zobrazení dle předchozího odstavce se odlišuje Veřejný profil Uživatele (čl. 4.10.1) — ten si aktivuje a vypíná sám Uživatel a Rivalio je u něj správcem.

10.2 Doporučená Smlouva o zpracování (DPA)

10.2.1. B2B Uživatelům, kteří zadávají osobní údaje třetích osob, Správce doporučuje uzavřít Smlouvu o zpracování osobních údajů (DPA) dle čl. 28 GDPR. Vzor DPA poskytne Správce na vyžádání na privacy@rivalio.cz.

10.2.2. Bez uzavřené DPA Správce a Uživatel jsou vázáni obecnými ustanoveními těchto Zásad a Obchodních podmínek.

11. Práva Subjektu údajů

11.1 Přehled práv (čl. 15–22 GDPR)

Subjekt má následující práva:

Právo Popis
Právo na přístup (čl. 15) Subjekt má právo získat potvrzení, zda Správce zpracovává jeho osobní údaje, a získat jejich kopii.
Právo na opravu (čl. 16) Subjekt má právo na opravu nepřesných údajů.
Právo na výmaz (čl. 17, „právo být zapomenut") Subjekt může požádat o výmaz svých údajů, není-li dán zákonný důvod pro jejich uchování.
Právo na omezení zpracování (čl. 18) Subjekt může požádat o omezení zpracování v zákonem stanovených případech.
Právo na přenositelnost (čl. 20) Subjekt má právo získat své údaje ve strukturovaném, běžně používaném a strojově čitelném formátu.
Právo vznést námitku (čl. 21) Subjekt může vznést námitku proti zpracování na základě oprávněného zájmu nebo pro účely přímého marketingu.
Právo nebýt předmětem automatizovaného rozhodování (čl. 22) Viz čl. 12 níže — Správce neprovádí automatizované rozhodování.
Právo odvolat souhlas (čl. 7 odst. 3) Subjekt může kdykoli odvolat souhlas s účinkem do budoucna.

11.2 Uplatnění práv

11.2.1. Žádost lze podat:

  • samoobslužně přímo v Portálu (nastavení účtu): export vlastních dat (právo na přístup a přenositelnost) a smazání Účtu (právo na výmaz — provádí se anonymizací dle čl. 6; údaje, jejichž uchování ukládá zákon, např. daňové doklady, zůstávají zachovány po zákonnou dobu),
  • e-mailem na privacy@rivalio.cz (preferováno pro ostatní práva),
  • písemně na adresu sídla Správce.

11.2.2. Pro ověření totožnosti může Správce požádat o doplňující údaje (např. potvrzení e-mailu z registrované adresy). Cílem je zabránit zneužití práva třetí osobou.

11.2.3. Lhůta vyřízení: nejdéle 30 dnů ode dne přijetí žádosti (čl. 12 odst. 3 GDPR). Ve složitějších případech může být lhůta prodloužena o 2 měsíce s informováním Subjektu. Samoobslužné úkony dle čl. 11.2.1 se provádějí okamžitě.

11.2.4. Vyřízení žádosti je zdarma. Pokud jsou žádosti zjevně nedůvodné nebo nepřiměřené (zejména opakované), Správce může:

  • účtovat přiměřený poplatek na pokrytí administrativních nákladů,
  • odmítnout vyhovět žádosti (čl. 12 odst. 5 GDPR).

11.3 Stížnost u dozorového úřadu

11.3.1. Subjekt má právo podat stížnost u Úřadu pro ochranu osobních údajů (ÚOOÚ):

Pplk. Sochora 27, 170 00 Praha 7 tel.: +420 234 665 111 web: https://www.uoou.cz e-mail: posta@uoou.cz

12. Automatizované rozhodování a profilování

12.1.1. Správce neprovádí automatizované rozhodování ve smyslu čl. 22 GDPR, které by mělo právní účinky pro Subjekt údajů nebo by se Subjektu obdobně významně dotýkalo.

12.1.2. Správce neprovádí profilování Subjektů údajů pro účely marketingu nebo cenové diferenciace. Výběr zobrazované reklamy (čl. 4.11) probíhá bez použití osobních údajů a bez personalizace; automatické přidělování herních odznaků (čl. 4.10.5) je pouze zobrazením sportovních výsledků bez právních účinků.

13. Zabezpečení osobních údajů

Správce přijal vhodná technická a organizační opatření k ochraně osobních údajů (čl. 32 GDPR):

13.1 Technická opatření

  • HTTPS/TLS šifrování komunikace mezi prohlížečem a serverem,
  • hashování hesel (heslo se ukládá pouze jako kryptografický otisk, ne v čitelné podobě),
  • šifrování citlivých údajů v databázi pro:
    • e-maily, telefony a data narození hráčů,
    • kontaktní údaje registrací (jméno, e-mail, telefon),
    • obsah přímých zpráv mezi uživateli (čl. 4.10.3),
    • IP adresy ve zpětné vazbě,
    • čísla bankovních účtů (IBAN) v nastavení organizací,
    • tajemství a záložní kódy dvoufaktorového ověření.
  • šifrované zálohy,
  • auditní záznamy všech administrativních akcí,
  • neměnný auditní záznam souhlasů dle § 1837 NOZ,
  • automatický úklid starých dat (denně),
  • pravidelné bezpečnostní aktualizace.

13.2 Organizační opatření

  • Řízení přístupů podle rolí (správce systému, vlastník a administrátor organizace, rozhodčí, hosteska, vedoucí týmu),
  • Dvoufaktorové ověření (2FA) povinné pro správce systému; ostatním uživatelům dostupné jako volitelné zabezpečení,
  • Omezení přístupu zaměstnanců a dodavatelů na nezbytné minimum,
  • Smluvní závazek mlčenlivosti ze strany všech osob s přístupem k údajům,
  • Smlouvy o zpracování (DPA) s každým Zpracovatelem (viz čl. 7).

13.3 Incidenty zabezpečení

13.3.1. V případě porušení zabezpečení osobních údajů, které pravděpodobně bude mít za následek vysoké riziko pro práva a svobody Subjektů, Správce:

  • bez zbytečného odkladu (do 72 hodin od zjištění) informuje ÚOOÚ (čl. 33 GDPR),
  • bez zbytečného odkladu informuje dotčené Subjekty údajů (čl. 34 GDPR).

14. Cookies

14.1.1. Správce používá cookies kategorií:

Kategorie Účel Právní základ
Essential Nezbytné pro funkčnost a bezpečnost — session, CSRF, cookie consent state, rozpoznání ověřeného zařízení, integrita agregátních čítačů reklamy čl. 6 odst. 1 písm. f) GDPR; cookies pro nezbytně potřebné účely poskytování služby (§ 89 odst. 3 zák. 127/2005 Sb.)
Functional (volitelné) Načítání obsahu třetích stran (YouTube, reCAPTCHA) Souhlas (čl. 6 odst. 1 písm. a) GDPR)
Statistical (volitelné) Statistická analýza návštěvnosti (Google Analytics 4) Souhlas (čl. 6 odst. 1 písm. a) GDPR)
Marketing (volitelné) Měření účinnosti placené reklamy na Facebooku a Instagramu (Meta Pixel, čl. 4.7.2) a identifikátory měření interakcí s reklamou (deduplikace kliků). Tentýž souhlas se vztahuje i na serverové měření konverzí dle čl. 4.7.3. Souhlas (čl. 6 odst. 1 písm. a) GDPR)

14.1.2. Cookie banner se zobrazí při první návštěvě a umožňuje Subjektu udělit nebo odmítnout souhlas pro non-essential kategorie. Souhlas je uložen v úložišti prohlížeče (localStorage) a v serverově čitelné podobě (šifrovaná cookie cc_prefs).

14.1.3. Podrobnosti o jednotlivých cookies, jejich expiraci a poskytovatelích jsou uvedeny v samostatném dokumentu Zásady používání cookies, dostupném na https://rivalio.cz/zasady-cookies.

15. Ochrana údajů dětí

15.1.1. Služba Rivalio není primárně určena dětem mladším 15 let. Dle § 7 zákona č. 110/2019 Sb. je v souvislosti s nabídkou služeb informační společnosti přímo dítěti zpracování osobních údajů zákonné, pokud je dítěti alespoň 15 let.

15.1.2. Pokud je Subjekt mladší 15 let, vyžaduje se souhlas zákonného zástupce.

15.1.3. Pozn. pro organizátory: Pokud organizátor zadává do Rivalia osobní údaje hráčů mladších 15 let, odpovídá za získání souhlasu zákonných zástupců těchto hráčů, a to i pro případné veřejné zobrazení jejich jmen (veřejné stránky Turnaje, overlays, katalog). Správce na tuto skutečnost upozorňuje, ale neověřuje ji.

15.1.4. Pokud se Správce dozví, že shromáždil osobní údaje dítěte mladšího 15 let bez souhlasu zákonného zástupce, údaje bez zbytečného odkladu smaže.

16. Změny Zásad

16.1.1. Správce je oprávněn Zásady kdykoli změnit (zejména v souvislosti se změnou právní úpravy, technologie zpracování nebo rozsahu Služby).

16.1.2. O podstatné změně Zásad Správce informuje Subjekty údajů:

  • e-mailem na adresu uvedenou v Účtu,
  • oznámením v aplikaci při dalším přihlášení,
  • nejméně 30 dnů před účinností změny.

16.1.3. Subjekt má právo souhlasy udělené dle dosavadního znění Zásad kdykoli odvolat — viz čl. 11.

16.1.4. Verze Zásad je vždy uvedena v hlavičce dokumentu. Aktuální znění je dostupné na https://rivalio.cz/zasady-ochrany-osobnich-udaju.

17. Stížnost u dozorového úřadu

Subjekt má právo podat stížnost u dozorového úřadu, pokud se domnívá, že zpracování jeho osobních údajů porušuje GDPR nebo zákon č. 110/2019 Sb.

Úřad pro ochranu osobních údajů (ÚOOÚ) Pplk. Sochora 27, 170 00 Praha 7 tel.: +420 234 665 111 web: https://www.uoou.cz ePodatelna: posta@uoou.cz

18. Závěrečná ustanovení

18.1 Rozhodné právo

18.1.1. Zásady se řídí právem České republiky, zejména GDPR a zákonem č. 110/2019 Sb.

18.2 Návaznost na Obchodní podmínky

18.2.1. Zásady tvoří nedílnou součást smluvního vztahu se Subjektem údajů. Pojmy nedefinované v Zásadách mají význam uvedený v Obchodních podmínkách verze 1.5 (/obchodni-podminky).

18.3 Účinnost

18.3.1. Tyto Zásady nabývají účinnosti dne 18. července 2026 a nahrazují všechna předchozí znění.

18.4 Kontakt na Správce

Údaj Hodnota
Obchodní jméno Rivalio s.r.o.
IČ 29509751
Sídlo Nové sady 988/2, Staré Brno, 602 00 Brno
Zápis Krajský soud v Brně, sp. zn. C 151679
E-mail pro GDPR privacy@rivalio.cz
Obecný kontakt info@rivalio.cz
Telefon +420 775 132 147

Konec Zásad ochrany osobních údajů. Verze 1.4, účinnost 18. července 2026.

Verze Zásad ochrany osobních údajů: 1.7 · Domovská stránka