Zpracování osobních údajů

1. Správce osobních údajů

1.1 Správcem vašich osobních údajů je Krabičkárna s.r.o., IČO 08805156, se sídlem K Brnkám 448/1, Dolní Chabry, 184 00 Praha 8, provozovna Karla Hlaváčka 2343/6, 180 00 Praha 8 (dále jen „správce“ nebo „my“).

1.2 Kontakt ve věcech ochrany osobních údajů: info@tapizza.cz, +420 799 906 366.

1.3 Pověřence pro ochranu osobních údajů jsme nejmenovali — nesplňujeme podmínky čl. 37 odst. 1 nařízení (EU) 2016/679 (dále jen „GDPR“), které jeho jmenování vyžadují.

2. Jaké údaje zpracováváme

2.1 Zpracováváme pouze údaje, které nám sami poskytnete, a údaje, které vzniknou používáním webu. Nekupujeme údaje od třetích stran a nezískáváme je z veřejných rejstříků.

2.2 Při objednávce:

• identifikační a kontaktní údaje — jméno a příjmení, telefonní číslo, e-mailová adresa;
• doručovací adresa včetně upřesnění (patro, zvonek, kód), zeměpisné souřadnice zvoleného místa;
• obsah objednávky, celková částka, zvolený způsob převzetí a platby, poznámka k objednávce;
• údaje o průběhu objednávky — čas přijetí, stav a její číslo v pokladním systému.

2b. Údaje k zákaznickému účtu

2b.1 Zakládáte-li si účet, zpracováváme navíc:

• e-mailovou adresu jako přihlašovací údaj;
• otisk hesla — heslo samotné neukládáme. V databázi je pouze jeho jednosměrný kryptografický otisk (argon2), ze kterého heslo nelze zpětně odvodit;
• uložené doručovací adresy a jejich pojmenování;
• historii objednávek;
• údaje o přihlášení — čas, IP adresu a označení prohlížeče (user-agent).

3. Účely zpracování a právní tituly

3.1 Plnění smlouvy (čl. 6 odst. 1 písm. b) GDPR) — vyřízení objednávky, její příprava, předání či doručení, komunikace o jejím průběhu a vedení zákaznického účtu. Bez těchto údajů objednávku vyřídit nelze; jejich poskytnutí je smluvním požadavkem.

3.2 Plnění právní povinnosti (čl. 6 odst. 1 písm. c) GDPR) — vedení účetnictví a uchovávání daňových dokladů podle zákona č. 563/1991 Sb., o účetnictví, a zákona č. 235/2004 Sb., o dani z přidané hodnoty; vyřizování reklamací podle zákona č. 634/1992 Sb., o ochraně spotřebitele.

3.3 Oprávněný zájem (čl. 6 odst. 1 písm. f) GDPR) — zabezpečení účtů a webu, prevence zneužití a podvodných objednávek a určení, výkon nebo obhajoba právních nároků. Náš zájem na bezpečném provozu jsme poměřili s vaším právem na soukromí; zpracováváme jen údaje nezbytné k tomuto účelu.

3.4 Souhlas (čl. 6 odst. 1 písm. a) GDPR) — pouze tam, kde jej výslovně udělíte. Souhlas lze kdykoli odvolat; odvolání nemá vliv na zákonnost zpracování před odvoláním.

4. Příjemci a zpracovatelé

4.1 Předáváme pouze údaje nezbytné pro daný účel. Každý příjemce zpracovává údaje na základě smlouvy o zpracování podle čl. 28 GDPR a výhradně podle našich pokynů.

4.2 Zpracovateli jsou:

• Dotypos s.r.o. (pokladní systém Dotykačka) — jméno, telefon, e-mail a obsah objednávky; u doručení také adresa, aby ji obsluha viděla na objednávce;
• Wolt Enterprises Oy, resp. Wolt Česko s.r.o. (rozvoz Wolt Drive) — jméno, telefonní číslo a doručovací adresa, aby kurýr věděl, komu a kam;
• komoot GmbH (našeptávač adres Photon) — výhradně text, který píšete do pole s adresou. Neodesílá se k němu jméno ani jiný údaj, podle kterého by šlo dotaz spojit s vaší osobou;
• Microsoft Ireland Operations Limited, resp. Microsoft Corporation, Spojené státy americké (analytická služba Microsoft Clarity) — pouze pokud k tomu dáte souhlas: údaje o vašem pohybu po webu, tedy kliknutí, posouvání stránky, typ zařízení a přibližnou polohu podle IP adresy. Nepředává se jméno, e-mail ani obsah objednávky. K předání mimo EHP viz článek 5;
• Plus Five Five, Inc., Spojené státy americké (služba Resend, rozesílání e-mailů) — e-mailová adresa a obsah zprávy: potvrzení a zrušení objednávek, kódy pro přihlášení a obnovu hesla. K předání mimo EHP viz článek 5;
• Softo s.r.o., IČO 14087260, se sídlem Na Ladech č. ev. 198, 250 66 Zdiby (vývoj a provoz webu, administrace a serveru) — technická správa všech údajů uložených na serveru;
• INTERNET CZ, a.s., IČO 26043319, se sídlem Ktiš 2, 384 03 Ktiš, vystupující pod značkou FORPSI (serverhousing a datové centrum v České republice) — poskytuje prostředí, ve kterém server běží; k obsahu údajů nepřistupuje;
• Comgate, a.s., IČO 27924505, se sídlem Gočárova třída 1754/48b, 500 02 Hradec Králové (platební brána) — údaje nutné k provedení platby. Číslo platební karty zadáváte přímo u poskytovatele a k nám se nedostane.
• Údaje můžeme dále předat orgánům veřejné moci, ukládá-li nám to právní předpis.

5. Předávání mimo Evropský hospodářský prostor

5.1 Web, administrace i databáze běží na serveru v datovém centru v České republice. Ostatní zpracovatelé uvedení v článku 4 sídlí v Evropském hospodářském prostoru.

5.2 Jediná výjimka je rozesílání e-mailů: službu Resend provozuje americká společnost Plus Five Five, Inc., takže vaše e-mailová adresa a obsah zprávy se předávají do Spojených států amerických. Děje se tak na základě standardních smluvních doložek schválených Evropskou komisí (prováděcí rozhodnutí 2021/914) podle čl. 46 odst. 2 písm. c) GDPR, které jsou součástí smlouvy o zpracování uzavřené s tímto poskytovatelem.

5.3 Dáte-li souhlas s analytickými cookies, předávají se údaje o vašem pohybu po webu společnosti Microsoft, která je zpracovává i mimo EHP. Microsoft Corporation je zapsána v seznamu účastníků rámce EU–US Data Privacy Framework, pro který Evropská komise vydala rozhodnutí o odpovídající ochraně (prováděcí rozhodnutí 2023/1795) podle čl. 45 GDPR; doplňkově se uplatní standardní smluvní doložky. Bez vašeho souhlasu se nepředává nic.

5.4 Dojde-li k předání do třetí země i u dalšího zpracovatele, bude se tak dít pouze při splnění podmínek kapitoly V GDPR — zejména na základě rozhodnutí Komise o odpovídající ochraně nebo standardních smluvních doložek.

6. Doba uchování

6.1 Údaje uchováváme jen po dobu nezbytnou pro daný účel:

• údaje o objednávce a daňové doklady — 10 let od konce zdaňovacího období, ve kterém se plnění uskutečnilo (§ 35 zákona o dani z přidané hodnoty), účetní záznamy 5 let podle zákona o účetnictví;
• zákaznický účet — po dobu jeho trvání; po zrušení údaje mažeme s výjimkou těch, které musíme uchovat podle předchozího bodu;
• přihlášení k účtu — nejdéle 90 dnů od posledního použití, poté relace zaniká;
• kódy pro obnovu hesla — 10 minut, poté se ruší;
• reklamace a související komunikace — 4 roky od vyřízení, po dobu možného uplatnění nároků.

7. Cookies a úložiště prohlížeče

7.1 Nezbytné technické prostředky používáme bez souhlasu — bez nich by web nefungoval (§ 89 odst. 3 věta druhá zákona č. 127/2005 Sb., o elektronických komunikacích). Jsou to:

• přihlašovací cookie — udržuje vás přihlášené. Je označena jako httpOnly, takže k ní skripty na stránce nemají přístup;
• cookie se záznamem vaší volby v nastavení cookies — aby se vás web neptal při každé návštěvě znovu. Platnost 6 měsíců;
• místní úložiště prohlížeče (localStorage) — obsah košíku, rozepsaná objednávka a volba jazyka. Zůstává výhradně ve vašem zařízení a neodesílá se nám.

7.2 Analytické cookies ukládáme pouze s vaším předchozím souhlasem podle § 89 odst. 3 zákona č. 127/2005 Sb. a čl. 6 odst. 1 písm. a) GDPR. Dokud souhlas nedáte, měřicí skript se na stránku vůbec nenačte. Jde o službu Microsoft Clarity (heatmapy a záznamy relací), která ukládá cookie _clck s platností 1 rok a _clsk s platností 1 den a zaznamenává pohyb myši, kliknutí a obsah zobrazených stránek. Do polí formulářů se nezaznamenává, co do nich píšete.

7.3 Souhlas můžete kdykoli odvolat odkazem „Nastavení cookies“ v patičce webu. Po odvolání analytické cookies smažeme a měření se zastaví; zákonnost zpracování před odvoláním tím není dotčena.

8. Vaše práva

8.1 Ve vztahu k vašim osobním údajům máte podle GDPR právo:

• na přístup k údajům a na kopii zpracovávaných údajů (čl. 15);
• na opravu nepřesných nebo doplnění neúplných údajů (čl. 16);
• na výmaz, nejsou-li již potřebné a nebrání-li tomu právní povinnost (čl. 17);
• na omezení zpracování (čl. 18);
• na přenositelnost údajů zpracovávaných na základě smlouvy nebo souhlasu, a to ve strojově čitelném formátu (čl. 20);
• vznést námitku proti zpracování založenému na oprávněném zájmu (čl. 21);
• odvolat souhlas, byl-li udělen (čl. 7 odst. 3).

8b. Jak práva uplatnit

8b.1 Napište na info@tapizza.cz. Vyřídíme to bez zbytečného odkladu, nejpozději do jednoho měsíce od doručení žádosti; tuto lhůtu lze ve složitých případech prodloužit o další dva měsíce, o čemž vás vyrozumíme.

8b.2 Abychom údaje nevydali cizí osobě, můžeme vás požádat o doplňující informace k ověření totožnosti.

9. Automatizované rozhodování

9.1 Nedochází k automatizovanému rozhodování ani profilování ve smyslu čl. 22 GDPR, které by pro vás mělo právní účinky nebo se vás obdobně významně dotýkalo.

10. Dozorový úřad

10.1 Domníváte-li se, že zpracováním vašich údajů porušujeme GDPR, uvítáme, když se nejprve obrátíte na nás.

10.2 Máte však právo podat stížnost u dozorového úřadu: Úřad pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, uoou.gov.cz, posta@uoou.gov.cz.

11. Změny

11.1 Tyto informace můžeme aktualizovat. Aktuální znění je vždy dostupné na této stránce a je opatřeno datem účinnosti.