Zásady ochrany soukromí

Melodystats provozuje PE Ishtvan Komonii, podnikající fyzická osoba (фізична особа-підприємець) registrovaná na Ukrajině pro programování a související činnosti. Tato osoba je správcem osobních údajů popsaných v tomto dokumentu.

• Registrovaná adresa: Petliury Street 4, apt. 210, Lviv 79054, Ukraine.
• E-mail: contact@melodystats.me

Pověřenec pro ochranu osobních údajů zde není a není ani vyžadován: Melodystats nikoho rozsáhle nemonitoruje a nemá za cíl zpracovávat zvláštní kategorie osobních údajů. Každý dotaz týkající se ochrany osobních údajů směřuje na výše uvedenou adresu a dostane se k člověku, který tento kód napsal.

Týkají se webu Melodystats na melodystats.me a ničeho jiného. Netýkají se Spotify – váš účet Spotify se řídí vlastními zásadami ochrany osobních údajů Spotify – ani žádného jiného webu, na který se odsud dostanete přes odkaz.

Nežádáme vás, abyste s nimi souhlasili. Čtení stránky není souhlas a není jím ani další prohlížení. Většina toho, co se tu děje, běží na propojení, které jste zřídili, když jste autorizovali Spotify: to je smlouva, o kterou jste požádali, a jejím právním základem je čl. 6 odst. 1 písm. b) GDPR. Tam, kde je základem skutečně souhlas – dnes je to analytika a nic jiného – se o něj žádá zvlášť a můžete jej vzít zpět v „Nastavení cookies“ v patičce každé stránky.

Na tomto webu není žádný registrační formulář. Není tu účet, není tu heslo a není tu nikde políčko, které by vás žádalo o vyplnění osobního údaje. Všechno osobní, co tu je, přišlo ze Spotify, protože jste to autorizovali.

Cesta dovnitř je jen jedna: Melodystats autorizujete ze svého účtu Spotify. Spotify pak vydá token, který nese pevně daný seznam oprávnění. Nic z toho, co následuje, není veřejný údaj a nic z toho nám neposkytujete vy sami – zdrojem každého osobního údaje, který máme, je Spotify.

Melodystats může číst:

• váš profil: zobrazované jméno, e-mailovou adresu, zemi, typ předplatného, počet sledujících a profilový obrázek;
• vaše top umělce a top skladby ve třech oknech, která Spotify počítá (zhruba poslední čtyři týdny, posledních šest měsíců a několik let);
• vašich posledních 50 přehrání;
• skladbu, na které je právě váš přehrávač Spotify;
• vaše uložené skladby – nejnovějších 2 000 pro stránky, které si prohlížíte, a až 10 000, když si vyžádáte soubor se svou knihovnou – a vaše uložená alba;
• umělce, které sledujete;
• vaše playlisty, včetně soukromých.

Do vašeho účtu Spotify nemůže zapsat vůbec nic. Každé oprávnění, o které žádá, je oprávnění ke čtení.

Melodystats nežádá o oprávnění ovládat přehrávání, takže nemůže na vašich zařízeních nic spustit, zastavit ani přeskočit. Stejně tak nežádá o oprávnění měnit vaši knihovnu, takže nemůže přidat skladbu do vašich Oblíbených skladeb ani ji odtud odebrat. Tam, kde už skladba ve vašich Oblíbených skladbách je, se vedle ní zobrazí srdíčko, a to je všechno, co srdíčko dělá – označuje ty uložené a nic jiného neumí. Nežádá ani o oprávnění vytvářet nebo měnit playlisty: může ty vaše číst, aby je spočítal, a nemůže s nimi udělat nic. A do vašeho profilu na Spotify nikdy nezapisuje.

Z těchto dat web odvozuje rozbory o vás: žánry, dekády, skóre obskurity, posluchačskou osobnost, barevnou paletu vzatou z obalů vašich alb. Historie poslechu může naznačovat věci, které by většina lidí označila za soukromé – víru, politické názory, to, kým jsou. Tyto rozbory existují proto, aby vykreslily vaši vlastní stránku. S nikým se nesdílejí, nikomu se neprodávají a k ničemu jinému se nepoužívají. Co se rozhodnete exportovat nebo zveřejnit, je vaše rozhodnutí, ne naše.

Udělené oprávnění si můžete kdykoli prohlédnout a zrušit na spotify.com/account/apps. Ve chvíli, kdy to uděláte, už Melodystats nemůže číst nic.

Žádné automatizované rozhodování. Nic zde nemá vůči vám právní účinky ani se vás obdobně významně nedotýká. Rozbory jsou popisy, nikoli rozhodnutí, a nejedná na jejich základě člověk ani stroj.

Nic se po vás nevyžaduje. Poskytnutí těchto údajů není zákonným ani smluvním požadavkem. Je to prostě to, z čeho je web udělaný: bez propojení se Spotify není co počítat a není co ukazovat.

Žádná databáze neexistuje. Nic o vás se nezapisuje na disk, do zálohy ani do žádného našeho logu.

Existuje ale cache, a zaslouží si přesný popis, protože „nic neukládáme“ by nebyla pravda. Aby druhá stránka znovu nenačítala všechno, co načetla první, drží se to, co Spotify vrátí, ve vlastní paměti serverového procesu. Tato paměť je:

• klíčovaná jednosměrným otiskem SHA-256 vašeho obnovovacího tokenu Spotify, zkráceným – samotný token se nikdy neukládá a z klíče jej nelze získat zpět;
• nikdy sdílená mezi posluchači: dva lidé nemohou skončit ve stejném jmenném prostoru;
• omezená celkem na 200 položek napříč všemi, kdo daný server používají, přičemž se nejdříve zahazují ty nejdéle nepoužité;
• nikdy zapisovaná na disk, nikdy zálohovaná, nikdy nikam odesílaná;
• pryč, jakmile se server restartuje – a každé nasazení ho restartuje.

Jak dlouho žije každý druh položky:

Jedno upřesnění, aby se tabulka nečetla přísněji, než jaká je: položka, které právě vypršela platnost, může být ještě jednou vydána, zatímco se na pozadí vaší stránky načítá čerstvá kopie, a to nejvýše po dobu dvojnásobku své vlastní životnosti. Krajní mez pro cokoli v té tabulce je tedy trojnásobek uvedeného čísla – tři hodiny u profilu, devadesát minut u top seznamů.

Vaše relace se na našem serveru nedrží vůbec. Žije v cookie ve vašem vlastním prohlížeči a odhlášením ji zničíte. Viz následující oddíl.

Každá položka, kterou tento web nastavuje, k čemu slouží a jestli ji můžete odmítnout. Nic zde není reklamní cookie a nic z toho se nesdílí s reklamní sítí.

ms_session je zde jediný objekt kritický pro bezpečnost. Drží tokeny, které Spotify vydalo pro váš účet, šifrované pomocí AES-256-GCM klíčem, který má jen server. Je označená jako httpOnly, takže ji nemůže přečíst žádný skript na stránce; SameSite=Lax, takže jiný web nemůže přimět váš prohlížeč, aby ji odeslal; a Secure, takže v produkci nikdy neputuje po nešifrovaném HTTP. Odhlášením ji zničíte a odvoláním na spotify.com/account/apps se to, co je uvnitř, stane bezcenným.

Tři předvolbové cookies nesou nastavení a žádný identifikátor. Dvě položky v úložišti prohlížeče váš prohlížeč vůbec neopouštějí.

Melodystats používá Google Analytics 4 – a to jen tehdy, když řeknete ano.

• Značka Google na stránce není, dokud ji nepřijmete. Ne načtená a zadržená, ne načtená s nastaveným příznakem: nepřítomná. Pokud jste neodpověděli, počítá se to jako ne.
• Přijmout a odmítnout jsou v banneru v jedné řadě, každé na jedno kliknutí a se stejnou vizuální váhou. Není tam tlačítko pro zavření, protože zavření není souhlas, a banner nikdy neblokuje stránku za sebou.
• Vaše odpověď se uchovává v cookie ms_consent po dobu 182 dní. Poté se banner zeptá znovu, místo aby předpokládal, že stará odpověď stále platí.
• Odvolat souhlas je stejně snadné jako jej udělit. Otevřete „Nastavení cookies“ v patičce kterékoli stránky. Přechod z přijato na odmítnuto stránku znovu načte, takže z toho, co se během té relace měřilo, nic nepokračuje.
• Když už běží, je nakonfigurována s anonymize_ip a Google nastavuje cookies _ga a _ga_<id> uvedené výše.
• Co se měří. Zobrazení stránek a pojmenované události interakcí: přihlášení a odhlášení, sdílení obrázku, export souboru, otevření funkce z dlaždic na úvodní stránce, změna jazyka, motivu nebo časového období a použití odkazů na kontakt a na podporu. Událost o nenalezené stránce zaznamená adresu, která nikam nevedla, a událost o pádu zaznamená referenční kód nebo typ chyby – nikdy její zprávu ani obsah. U každé události se poznamená, jestli byl návštěvník přihlášený, nebo host; nic z toho nenese vaše jméno, vaši identitu na Spotify ani nic z toho, co jste poslouchali.
• Analytika běží jen na ostrém webu. Ve vývoji se nikdy nenačítá.

Google Ireland Limited vystupuje jako zpracovatel pro návštěvníky v EHP a ve Spojeném království a údaje se dostávají ke Google LLC ve Spojených státech. Jak se toto předání uskutečňuje, popisuje následující oddíl.

Každý z nich jedná podle svých vlastních písemných podmínek, jako zpracovatel – nebo, u hostitelů obrázků, prostě jako hostitel souboru, o který si váš prohlížeč řekne. Nikomu z nich vaše údaje nepředáváme k použití pro jeho vlastní účely.

Nic se neprodává. Není tu žádná reklamní síť, žádný datový broker, žádné affiliate sledování a pro nikoho kromě vás se nevytváří žádný profil. Osobní údaje se dostanou k někomu dalšímu jen tam, kde to vyžaduje zákon – soudní příkaz nebo zákonná žádost příslušného orgánu – a jen v rozsahu, v jakém to vyžaduje.

Předávání mimo EHP a mimo Ukrajinu. Vercel a Google jsou ve Spojených státech. Pro čtenáře v EHP a ve Spojeném království jde o předání podle čl. 44–49 GDPR, uskutečněné na základě rámce EU–US Data Privacy Framework tam, kde je příjemce podle něj certifikován, a jinak na základě standardních smluvních doložek Evropské komise. Protože je správce usazen na Ukrajině, uskutečňují se táž předání podle čl. 29 zákona Ukrajiny „O ochraně osobních údajů“, a to z toho důvodu, že předání je nezbytné pro plnění propojení, o které jste požádali.

Pokud Melodystats podporujete na Patreonu a požádáte o uvedení, objeví se na stránce patronů vaše křestní jméno a iniciála příjmení – „Oleksandr K.“ místo celého jména. Děje se tak s vaším souhlasem, je to všechno, co se zveřejňuje, a k ničemu jinému se to nepoužívá.

Napište na contact@melodystats.me a uvedení zmizí při nejbližším nasazení webu. Nemusíte uvádět důvod.

Tam, kde se na vás vztahuje GDPR, vám náleží všechna následující práva a žádné z nich nic nestojí:

• Přístup – kopie osobních údajů, které o vás vedeme. Většinu té odpovědi tvoří už tyto zásady: žádná databáze neexistuje, takže tím, co existuje, je položka v cache, jejíž platnost vyprší ve lhůtách uvedených v oddíle Kde jsou vaše údaje uloženy.
• Oprava – oprava čehokoli chybného. Skoro všechno zde pochází ze Spotify, takže oprava obvykle patří do vašeho profilu na Spotify; při dalším načtení se propíše sem.
• Výmaz – odhlaste se a odvolejte přístup na spotify.com/account/apps. Cookie relace se zničí, tokeny přestanou fungovat a položky v cache samy vyprší. Napište nám, pokud to chcete potvrdit.
• Omezení zpracování a námitka – včetně námitky proti zpracování založenému na oprávněných zájmech uvedenému v oddíle Proč a na jakém právním základě.
• Přenositelnost – většina stránek, které zobrazují nějaký rozbor, nese ovládací prvek pro export: CSV, XLSX nebo JSON s daty, která za tou stránkou stojí. Vaše uložená knihovna a to, jak měsíc po měsíci rostla, se stejným způsobem dají získat z vašeho profilu. Tam, kde ten prvek je, nás o něj nemusíte žádat; tam, kde stránka žádný nemá, nám napište a stejný soubor vám sestavíme.
• Odvolání souhlasu – u analytiky kdykoli, v „Nastavení cookies“ v patičce. Odvolání zastaví budoucí měření; nemůže vzít zpět to, co už změřeno bylo, což je to jediné, co odvolání nikdy nedokáže.
• Právo nebýt předmětem automatizovaného rozhodování – žádné takové zde neprobíhá, takže jeho předmětem být nemůžete.

Napište na contact@melodystats.me. Odpověď budete mít do jednoho měsíce, a pokud se žádost ukáže jako složitá, dozvíte se to ještě v této lhůtě, ne až po ní.

Stížnosti. Pokud jste v EHP, můžete podat stížnost u dozorového úřadu v místě svého bydliště, v místě výkonu práce nebo v místě, kde se podle vás něco pokazilo. Na Ukrajině je tímto orgánem Verkhovna Rada Commissioner for Human Rights. Nemusíte psát nejprve nám, i když to bývá rychlejší.

• Přihlášení probíhá přes OAuth 2.0 s PKCE. K Melodystats se nikdy nedostane žádné heslo, protože Melodystats žádné heslo nemá.
• Cookie relace je šifrovaná pomocí AES-256-GCM klíčem, který drží jen server, a je httpOnly, SameSite=Lax a Secure.
• Nic o vás se nezapisuje na disk, takže není žádná databáze, do které by šlo proniknout, ani žádná záloha, která by mohla uniknout.
• Klíč cache je jednosměrný hash; váš obnovovací token z něj nelze získat zpět a otisk nikdy neopustí server.

Žádný systém není dokonale bezpečný a tyto zásady nebudou předstírat opak. Pokud se stane něco, co ohrozí vaše údaje, řekneme to – vám i dozorovému úřadu tam, kde to zákon vyžaduje.

Melodystats není určen dětem. K tomu, abyste jej vůbec mohli používat, potřebujete účet Spotify, a Spotify si pro vaši zemi stanovuje vlastní minimální věk.

Tam, kde se uplatní GDPR, je věk, od kterého můžete se službou informační společnosti souhlasit sami za sebe, 16 let, pokud jej vaše země nesnížila – níže než na 13 let jej snížit nelze. Pod tímto věkem musí souhlasit rodič nebo zákonný zástupce.

Není tu žádný formulář ani žádný náš vlastní profil, takže nemáme jak něčí věk ověřit. Je to pravidlo, ne závora. Pokud se domníváte, že si Melodystats se Spotify propojilo dítě, odvolání uděleného oprávnění na spotify.com/account/apps to okamžitě zastaví – nic dalšího už nelze přečíst a položky v cache vyprší ve lhůtách uvedených v oddíle Kde jsou vaše údaje uloženy. Napište na contact@melodystats.me, pokud s tím chcete pomoci nebo potvrdit, že je to hotové.

Melodystats je provozován z Ukrajiny, takže se na správce vztahuje zákon Ukrajiny „O ochraně osobních údajů“ (č. 2297-VI) – včetně jeho povinností ohledně účelů shromažďování, informování o předávání třetím osobám, bezpečnosti a důvodů pro předávání údajů do zahraničí.

Web je nabízen čtenářům v EHP, a to v jejich vlastních jazycích, takže se na toto zpracování souběžně uplatní GDPR podle čl. 3 odst. 2 písm. a).

Tam, kde tyto dva předpisy stanoví odlišné standardy, uplatňuje Melodystats ten vyšší, místo aby volil ten pohodlnější. Stížnosti směřují na Verkhovna Rada Commissioner for Human Rights na Ukrajině nebo na váš vlastní vnitrostátní dozorový úřad v EHP.

Tyto zásady nesou jediné datum, nahoře na stránce, a to je jejich verze. Neexistuje žádné druhé, protichůdné razítko.

• Oprava, která nemění to, co se děje – překlep, jasnější věta – nabývá účinnosti okamžikem zveřejnění.
• Změna toho, co se shromažďuje, proč se to děje nebo kdo to dostává, se oznamuje na webu dříve, než nabude účinnosti, a tam, kde změna vyžaduje váš souhlas, budete požádáni znovu, nikoli pouze informováni. Pokračování v používání Melodystats se nepovažuje za souhlas s podstatnou změnou.

PE Ishtvan Komonii, Petliury Street 4, apt. 210, Lviv 79054, Ukraine.

contact@melodystats.me – pro cokoli v těchto zásadách, včetně každého práva uvedeného v oddíle Vaše práva. Dostane se to k člověku, ne do fronty.

Používání samotného webu se řídí Podmínkami použití.