Zásady ochrany osobních údajů

zapsaná v obchodním rejstříku vedeném Krajským soudem v Ostravě, oddíl C, vložka 100309

Kontakt pro otázky ochrany osobních údajů: 404branding@gmail.com. Společnost aktuálně nemá formálně jmenovaného pověřence pro ochranu osobních údajů (DPO); uvedený kontakt není adresou pověřence, ale obecným kontaktním místem pro dotazy a žádosti týkající se ochrany osobních údajů.

2.1 Tyto Zásady se vztahují na osobní údaje, které 404 Branding s.r.o. zpracovává jako samostatný správce v souvislosti se správou uživatelských účtů, správou prostorů (workspaces), správou předplatného a fakturace, zabezpečením přihlašování a relací, prevencí zneužití a podvodů, provozní a právní komunikací, vedením právních a compliance záznamů a technickým provozem webu a Služby.

2.2 Tyto Zásady se nevztahují na osobní údaje obsažené v kontaktech, odběratelích nebo kampaních, které Zákazník nahraje do Služby nebo v jejím rámci vygeneruje („Údaje Zákazníka“). Zpracování Údajů Zákazníka upravuje článek 6.

3.1 Jako samostatný správce zpracováváme zejména tyto kategorie osobních údajů:

• jméno;
• e-mailová adresa;
• identifikátor uživatelského účtu;
• členství v prostoru (workspace) a role (OWNER/ADMIN/MEMBER);
• informace o účtu a předplatném (zvolený plán, stav předplatného);
• identifikátory a stav fakturace u platebního zprostředkovatele Stripe (např. identifikátor zákazníka a předplatného) - nikoli úplné údaje o platební kartě, které Stripe nezpřístupňuje;
• informace o přihlášení a relaci (session);
• IP adresa a user-agent, jsou-li skutečně zpracovávány - zejména pro účely omezení frekvence požadavků (rate limiting) a ochrany proti zneužití u přihlašování, registrace, obnovy hesla a veřejného odesílání formulářů;
• informace související s bezpečností, omezením frekvence požadavků a prevencí zneužití;
• obsah podpůrné a kontaktní komunikace zaslané na náš kontaktní e-mail;
• provozní e-mailové záznamy (např. e-mail o obnově hesla, připomínka blížícího se výmazu prostoru, potvrzení dokončeného výmazu); a
• právní a compliance záznamy (např. auditní záznam o provedení výmazu).

3.2 Netvrdíme, že zpracováváme kategorie údajů, které v rámci Služby nebo naší činnosti skutečně nezpracováváme. Zejména neukládáme úplné číslo platební karty ani bezpečnostní kód (CVV) - platby zpracovává výhradně Stripe prostřednictvím svého hostovaného řešení.

4.1 Osobní údaje podle článku 3 získáváme zejména:

• přímo od uživatele nebo Zákazníka (např. při registraci nebo vyplnění profilu);
• automaticky v souvislosti s užíváním Služby (např. informace o relaci, bezpečnostní a provozní záznamy);
• od vlastníků nebo správců prostoru (workspace), kteří zvou nebo spravují další uživatele;
• od poskytovatelů služeb, jako je Stripe, v rozsahu relevantním pro fakturaci; a
• z technických a bezpečnostních systémů, je-li to nezbytné pro ochranu Služby.

4.2 Neprovádíme rozsáhlé obohacování dat (data enrichment) ani nenakupujeme osobní údaje o uživatelích od datových makléřů (data brokers).

Plnění smlouvy a kroky před jejím uzavřením (čl. 6 odst. 1 písm. b) GDPR)

• vytvoření a správa uživatelského účtu;
• poskytování Služby;
• správa předplatného a účtu; a
• vyřízení vyžádané podpory.

Plnění právní povinnosti (čl. 6 odst. 1 písm. c) GDPR)

• vedení účetních a daňových záznamů;
• plnění závazných právních povinností; a
• odpovědi vyžadované právními předpisy.

Oprávněný zájem (čl. 6 odst. 1 písm. f) GDPR)

Náš oprávněný zájem spočívá v:

• zabezpečení Služby;
• prevenci podvodů a zneužití;
• zajištění spolehlivosti Služby;
• obraně proti právním nárokům;
• přiměřené provozní správě účtu a prostoru; a
• ochraně infrastruktury a ostatních uživatelů.

Souhlas (čl. 6 odst. 1 písm. a) GDPR)

5.1 Souhlas používáme jako právní základ pouze tam, kde se na konkrétní zpracování na straně správce skutečně spoléháme - v současnosti jej nepoužíváme jako obecný právní základ pro zpracování souvisejícího s účtem nebo poskytováním Služby.

6.1 Kontakty, odběratelé, kampaně a související údaje, které Zákazník nahraje do Služby nebo v jejím rámci vygeneruje, zpravidla zpracovává 404 Branding s.r.o. jménem Zákazníka. Zákazník určuje účely a prostředky tohoto zpracování jako správce; 404 Branding s.r.o. jedná jako zpracovatel.

6.2 404 Branding s.r.o. zpracovává Údaje Zákazníka na základě dokumentovaných pokynů Zákazníka a v souladu se samostatnou Smlouvou o zpracování osobních údajů (DPA), která upravuje toto zpracování podrobně, včetně použitých dílčích zpracovatelů - viz Seznam dílčích zpracovatelů.

6.3 404 Branding s.r.o. nepoužívá databázi odběratelů nebo kontaktů Zákazníka pro vlastní marketing.

7.1 Osobní údaje, které zpracováváme jako samostatný správce, mohou být zpřístupněny poskytovatelům, kteří nám poskytují infrastrukturu nebo služby nezbytné pro chod Služby, zejména:

• OVHcloud (poskytovatel cloudové infrastruktury);
• Plus Five Five, Inc. (Resend) (odesílání provozních e-mailů); a
• Stripe (zpracování plateb a správa předplatného).

7.2 Role těchto poskytovatelů se liší podle konkrétní činnosti - Stripe může jednat jako zpracovatel i jako samostatný správce, v závislosti na povaze zpracování. Aktuální a úplný seznam dílčích zpracovatelů a dalších poskytovatelů služeb je veden na samostatné stránce Dílčí zpracovatelé a další poskytovatelé služeb, která zůstává rozhodujícím zdrojem informací o jednotlivých poskytovatelích a jejich roli.

8.1 Osobní údaje mohou být v souvislosti s poskytováním Služby předávány i mimo Evropský hospodářský prostor (EHP). Netvrdíme, že veškeré zpracování probíhá výhradně v Evropské unii, ani že k žádnému mezinárodnímu předávání nedochází.

8.2 Dochází-li k předání osobních údajů mimo EHP, uplatní se odpovídající záruky, mimo jiné:

• rozhodnutí Evropské komise o odpovídající ochraně (adequacy decision);
• standardní smluvní doložky Evropské komise;
• rámec EU-US Data Privacy Framework, je-li použitelný; a
• případná dodatečná opatření, jsou-li vhodná.

8.3 Podrobnosti mezinárodního předávání Údajů Zákazníka upravuje DPA a Seznam dílčích zpracovatelů - viz články 6 a 7.

9.1 Údaje o účtu a Službě uchováváme po dobu trvání smluvního vztahu a po dobu nezbytnou pro přiměřenou správu tohoto vztahu.

9.2 Prošlé relace (sessions) v aplikaci Better Auth jsou pravidelně odstraňovány z databáze aplikace.

9.3 Účetní a daňové záznamy mohou být uchovávány po dobu vyžadovanou právními předpisy.

9.4 Bezpečnostní, protizneužívací a právní záznamy mohou být uchovávány po dobu nezbytnou pro oprávněné nebo právní účely, včetně uplatnění nebo obrany právních nároků.

9.5 Záznamy podpůrné komunikace uchováváme pouze po dobu přiměřeně nezbytnou.

9.6 Výmaz Údajů Zákazníka se řídí samostatně DPA, Podmínkami a samostatnou Zásadou uchovávání a výmazu údajů - viz článek 10.

9.7 Nezaručujeme okamžitý výmaz ze záloh. Po odstranění z aktivních systémů mohou zbytkové kopie po omezenou dobu přetrvávat v konečných (finitních) zálohách podle zdokumentovaných retenčních cyklů; takové zbytkové kopie nejsou používány pro běžné zpracování. Netvoříme tím právo na neomezené uchovávání údajů.

10.1 Výmaz Údajů Zákazníka a dat prostoru (workspace) se řídí samostatně Podmínkami (článek 11) a DPA a odráží implementovaný 30denní proces uzavření a výmazu prostoru.

10.2 Od nezbytných záznamů na straně správce, které si 404 Branding s.r.o. může samostatně ponechat (např. účetní, právní nebo bezpečnostní záznamy podle článku 9), je třeba odlišit výmaz Údajů Zákazníka a dat prostoru samotného.

10.3 Netvrdíme, že po uplynutí 30denní lhůty zcela zmizí úplně každý záznam týkající se bývalého Zákazníka. Úzce vymezené, právně nezbytné obchodní záznamy mohou být zachovány v souladu s články 9 a 10 DPA.

11.1 Služba v současnosti používá pouze technické cookies nezbytné pro provoz, přihlášení a zabezpečení - zejména relační (session) cookie správy přihlášení, které je nastaveno jako httpOnly, v produkčním prostředí vyžaduje HTTPS (Secure) a používá odpovídající ochranu SameSite.

11.2 Tato cookie slouží výhradně k tomu, aby Služba rozpoznala přihlášeného uživatele mezi jednotlivými požadavky, a k souvisejícímu zabezpečení (ochrana proti CSRF).

11.3 Služba v současnosti nepoužívá reklamní ani analytické sledovací cookies, ani mechanismus souhlasu s takovými cookies, protože žádné takové cookies nejsou nasazeny.

11.4 Služba v současnosti nepoužívá localStorage, sessionStorage ani IndexedDB pro sledování uživatelů, ani žádnou formu digitálního otisku prohlížeče (fingerprinting) pro sledovací účely.

11.5 Dojde-li v budoucnu k zavedení analytických nebo reklamních technologií, budou tyto Zásady odpovídajícím způsobem aktualizovány a bude zaveden odpovídající mechanismus souhlasu, je-li podle použitelného práva vyžadován.

12.1 404 Branding s.r.o. neprovádí výhradně automatizované rozhodování, včetně profilování, které by mělo právní účinky týkající se fyzických osob nebo se jich obdobným způsobem významně dotýkalo ve smyslu článku 22 GDPR.

12.2 Tím není dotčena skutečnost, že Služba nabízí automatizace v oblasti e-mailového marketingu (např. automatizované sekvence kampaní) - tyto automatizace jsou nástrojem Zákazníka pro jeho vlastní marketingovou činnost a nejsou automatizovaným rozhodováním ve smyslu článku 22 GDPR týkajícím se uživatele Služby.

13.1 V rozsahu stanoveném GDPR mohou subjekty údajů uplatnit zejména právo na:

• přístup k osobním údajům;
• opravu nepřesných údajů;
• výmaz („právo být zapomenut“);
• omezení zpracování;
• vznesení námitky proti zpracování;
• přenositelnost údajů; a
• odvolání souhlasu, je-li zpracování založeno na souhlasu, aniž je tím dotčena zákonnost zpracování provedeného před jeho odvoláním.

13.2 Rozsah a podmínky uplatnění jednotlivých práv závisí na konkrétním právním základu a okolnostech zpracování.

13.3 Zpracovává-li 404 Branding s.r.o. Údaje Zákazníka výhradně jako zpracovatel, může být nutné směřovat žádost týkající se těchto údajů na příslušného Zákazníka jako správce, případně ji řešit prostřednictvím tohoto Zákazníka.

14.1 Subjekt údajů má právo podat stížnost u dozorového úřadu. Pro Českou republiku je tímto úřadem Úřad pro ochranu osobních údajů.

14.2 Stížnost lze rovněž podat u jiného příslušného dozorového úřadu, je-li to podle použitelného práva relevantní.

15.1 404 Branding s.r.o. uplatňuje přiměřená technická a organizační opatření odpovídající povaze a rizikům zpracování.

15.2 Tyto Zásady netvrdí, že poskytujeme vícefaktorové ověřování (MFA), zabezpečení na úrovni řádků databáze PostgreSQL (Row-Level Security), plné šifrování disku produkčního serveru, formální externí certifikaci, zaručenou bezpečnost ani zaručenou dostupnost nebo pevné hodnoty RTO/RPO.

15.3 Podrobnější a závazný smluvní popis technických a organizačních opatření obsahuje Příloha 2 DPA, která zůstává rozhodujícím zdrojem informací o zabezpečení Služby.

16.1 Služba je určena osobám jednajícím v souvislosti se svou podnikatelskou, obchodní nebo profesní činností (B2B) a není nabízena spotřebitelům.

16.2 Služba není určena k použití nezletilými osobami jednajícími v osobním nebo spotřebitelském postavení a aktivně necílíme na shromažďování osobních údajů nezletilých osob nad rámec toho, co je nezbytné v rámci běžné podnikatelské činnosti Zákazníka.

17.1 Tyto Zásady můžeme v budoucnu aktualizovat. O podstatných změnách poskytneme přiměřené oznámení odpovídajícím způsobem.

17.2 Aktuální verze a datum účinnosti jsou vždy uvedeny v záhlaví těchto Zásad.

17.3 Aktualizace těchto Zásad sama o sobě nezakládá souhlas se zpracováním tam, kde je souhlas podle použitelného práva vyžadován - takový souhlas musí být získán samostatně.

17.4 Tyto Zásady mohou být k dispozici v češtině a v angličtině. Rozhodující je české znění.

Dotazy a žádosti týkající se ochrany osobních údajů lze zasílat na:

IČO: 23561076

E-mail: 404branding@gmail.com

Přehled všech právních dokumentů