Ochrana osobních údajů

veřejný dokument pro Vyservisuj.cz

Návrh dokumentu — před uvedením do produkce je doporučeno právní review, zejména rozsah zpracovatelů a doby uchování.

1. Úvod

Tyto zásady popisují, jaké osobní údaje provozovatel platformy Vyservisuj.cz (dále jen „provozovatel” nebo „správce”) zpracovává, za jakým účelem, na jakém právním titulu, jak dlouho je uchovává a jaká práva máte jako subjekt údajů.

Provozovatel zpracovává osobní údaje v souladu s Nařízením Evropského parlamentu a Rady (EU) ²⁰¹⁶⁄₆₇₉ ze dne 27. dubna 2016 (GDPR), zákonem č. ¹¹⁰⁄₂₀₁₉ Sb., o zpracování osobních údajů, a souvisejícími předpisy.

2. Kategorie subjektů údajů

Tyto zásady se vztahují na následující kategorie osob:

• Uživatelé platformy — fyzické osoby (spotřebitelé), kteří si zaregistrují účet, vyhledávají autoservisy, spravují svá vozidla nebo komunikují s autoservisy přes platformu.
• Partneři a osoby jednající za partnery — fyzické osoby zastupující právnické osoby nebo OSVČ, které jsou na platformě registrovány jako autoservisy.
• Návštěvníci webu a aplikace — osoby, které platformu používají bez registrace.
• Osoby v komunikaci s provozovatelem (zákaznická podpora, stížnosti, právní agenda).

3. Jaké osobní údaje zpracováváme

V závislosti na kategorii subjektu a způsobu užívání platformy zpracováváme:

Identifikační a kontaktní údaje: jméno, příjmení, e-mail, telefon, případně adresa fakturace, IČO, DIČ a obchodní firma u partnerů.

Údaje o účtu: přihlašovací jméno, ověření hesla (uloženo výhradně jako kryptografický hash, nikdy v otevřené podobě), datum a čas posledního přihlášení, IP adresa přihlášení, identifikátor relace, identifikátor zařízení v případě mobilní aplikace, push notification token.

Údaje o vozidlech: značka, model, rok výroby, VIN, najetá vzdálenost, údaje o servisních zásazích — pokud je sami vložíte do svého garáže profilu.

Údaje o aktivitě: historie vyhledávání, historie poptávek a rezervací, hodnocení a recenze, které jste zveřejnili, údaje o tom, které profily autoservisů jste si zobrazili.

Komunikace: obsah zpráv vyměněných s autoservisem přes platformu, obsah komunikace s podporou provozovatele.

Platební údaje: u partnerů údaje o úhradách členství; samotné údaje o platební kartě nezpracováváme — platby probíhají prostřednictvím poskytovatele platebních služeb (Stripe), který je samostatným správcem ve vztahu k údajům o kartě.

Technické údaje: IP adresa, typ prohlížeče, operační systém, jazykové preference, časová pásma, údaje o tom, jaké stránky platformy jste navštívili (rozsah závisí na vašem souhlasu s analytickými cookies).

Cookies a obdobné technologie: podrobnosti najdete v samostatných Zásadách cookies.

4. Účely zpracování a právní tituly

Souhlas se zpracováním osobních údajů, který udělíte (např. v cookie liště), můžete kdykoliv odvolat — odvolání nemá vliv na zákonnost zpracování provedeného před odvoláním.

5. Příjemci a zpracovatelé osobních údajů

Provozovatel zpřístupňuje osobní údaje pouze v rozsahu nezbytném pro daný účel a v souladu s GDPR. Příjemci jsou:

Zpracovatelé:

• MinIO (selfhosted úložiště) — provozováno provozovatelem na vlastní infrastruktuře v Rakousku (EU). Slouží k uložení nahraných souborů, fotografií profilu, příloh komunikace.
• Stripe Payments Europe, Limited (Irsko, EU) — poskytovatel platebních služeb, samostatný správce ve vztahu k platebním údajům karty.
• Google Ireland Limited (Irsko, EU) — poskytovatel služby Google Analytics 4, na základě vašeho souhlasu s analytickými cookies. Měření výkonu platformy.
• Poskytovatel push notifikací (Firebase Cloud Messaging — Google Ireland Limited / Apple Push Notification service — Apple Distribution International Limited) — pro doručování notifikací do vašeho mobilního zařízení, pokud používáte mobilní aplikaci.
• Poskytovatel e-mailových služeb — pro odesílání transakčních e-mailů (potvrzení registrace, faktura, upozornění). Konkrétní poskytovatel může být uveden v evidenci zpracovatelů, kterou vám provozovatel na vyžádání zpřístupní.

Samostatní správci, kteří mohou údaje obdržet:

• partneři (autoservisy) — v rozsahu nezbytném pro reakci na vaši poptávku nebo rezervaci,
• účetní a daňový poradce provozovatele — v rozsahu nezbytném pro vedení účetnictví,
• právní zástupce provozovatele — pouze v případě sporu,
• orgány veřejné moci — pouze na základě právního titulu (např. soud, ÚOOÚ, Policie ČR).

Provozovatel uzavírá s každým zpracovatelem písemnou smlouvu o zpracování osobních údajů (čl. 28 GDPR).

6. Předávání mimo EU/EHP

Provozovatel přednostně využívá zpracovatele se sídlem a infrastrukturou v EU/EHP. Pokud výjimečně dochází k předání mimo tuto oblast (zejména v rámci infrastruktury Google nebo Apple), je předání zajištěno standardními smluvními doložkami schválenými Evropskou komisí (čl. 46 GDPR), případně rozhodnutím Evropské komise o odpovídající úrovni ochrany.

7. Doby uchování

Osobní údaje uchováváme pouze po dobu nezbytnou pro daný účel:

Po uplynutí příslušné doby údaje anonymizujeme nebo bezpečně odstraníme. V případech, kdy nelze údaje smazat z technických důvodů (např. zálohy), údaje řádně chráníme proti dalšímu zpracování.

8. Vaše práva

Jako subjekt údajů máte podle GDPR následující práva:

• právo na přístup k osobním údajům (čl. 15) — můžete požádat o kopii údajů, které o vás zpracováváme,
• právo na opravu nepřesných nebo neúplných údajů (čl. 16),
• právo na výmaz („právo být zapomenut”, čl. 17) — pokud již údaje nejsou potřebné nebo pokud odvoláte souhlas,
• právo na omezení zpracování (čl. 18),
• právo na přenositelnost údajů (čl. 20) — strukturovaný strojově čitelný export vašich údajů,
• právo vznést námitku proti zpracování založenému na oprávněném zájmu (čl. 21),
• právo nebýt předmětem automatizovaného rozhodování (čl. 22) — provozovatel automatizované rozhodování s právními účinky vůči subjektu údajů neprovádí,
• právo odvolat souhlas kdykoli (čl. 7 odst. 3),
• právo podat stížnost u dozorového úřadu — Úřad pro ochranu osobních údajů (www.uoou.cz).

Žádost o uplatnění práv je možné podat e-mailem na [email protected] nebo poštou na adresu sídla provozovatele. Provozovatel je povinen reagovat zpravidla do 30 dnů od přijetí žádosti.

9. Zabezpečení osobních údajů

Provozovatel přijímá přiměřená technická a organizační opatření k ochraně osobních údajů, zejména:

• šifrování přenosu (TLS) mezi zařízením uživatele a platformou,
• ukládání hesel výhradně v podobě kryptografického hashe,
• zúžený přístup zaměstnanců k osobním údajům podle principu nejnižších nezbytných oprávnění,
• pravidelné zálohování a obnovitelnost dat,
• monitoring podezřelé aktivity (přihlášení z neobvyklých lokalit, opakované neúspěšné pokusy),
• pravidelnou aktualizaci softwaru a bezpečnostních záplat,
• segregaci dat mezi službami platformy podle principu „data zůstávají v rámci své služby”.

10. Cookies a obdobné technologie

Podrobnosti k cookies (kategorie, účely, doby životnosti, jak udělit nebo odvolat souhlas) najdete v samostatném dokumentu Zásady cookies.

11. Děti

Platforma není určena osobám mladším 16 let. Pokud se provozovatel dozví, že byly registrovány osobní údaje dítěte mladšího 16 let bez souhlasu zákonného zástupce, takový účet bez zbytečného odkladu zruší a údaje vymaže.

12. Změny zásad

Provozovatel je oprávněn tyto zásady aktualizovat zejména v reakci na změny právních předpisů, technologie platformy nebo rozsahu zpracování. Aktuální znění je vždy zveřejněno na platformě s uvedením verze a data účinnosti.

O podstatné změně provozovatel uživatele informuje vhodným způsobem (např. e-mailem nebo upozorněním v rozhraní) zpravidla 30 dnů před účinností.

13. Závěrečná ustanovení

Tyto zásady jsou účinné od data uvedeného v rozhraní platformy. Předchozí znění zůstávají k dispozici v archivu verzí dokumentu pro účely auditu.

Pokud máte k těmto zásadám nebo ke zpracování svých osobních údajů jakoukoliv otázku, kontaktujte nás na [email protected].