Zásady ochrany osobních údajů

Správcem osobních údajů ve smyslu čl. 4 odst. 7 nařízení Evropského parlamentu a Rady (EU) 2016/679 (dále jen „GDPR“) je:

Správce jmenoval pověřence pro ochranu osobních údajů ve smyslu čl. 37 GDPR, kterým je:

Na pověřence se můžete obracet ve všech záležitostech týkajících se zpracování Vašich osobních údajů a výkonu Vašich práv podle GDPR.

V souvislosti s provozem oční optiky a webových stránek zpracováváme následující kategorie osobních údajů:

a) Údaje poskytnuté přímo Vámi

• Identifikační údaje: jméno, příjmení
• Kontaktní údaje: e‑mailová adresa, telefonní číslo, případně adresa
• Údaje pro objednání služeb optiky: preferovaná pobočka, typ služby, požadovaný termín
• Údaje při aplikaci kontaktních čoček: dioptrie, zakřivení rohovky a další parametry nezbytné k vyhotovení zakázky
• Obsah zpráv zaslaných prostřednictvím kontaktního formuláře (pokud je na webu nasazen)

b) Údaje získané automaticky při návštěvě webu

• IP adresa, přibližná lokalita
• Typ a verze prohlížeče, operační systém, rozlišení obrazovky
• Údaje o návštěvě (navštívené stránky, čas návštěvy, doba strávená na stránce, zdroj návštěvy)
• Cookies a podobné technologie (viz samostatný dokument Zásady používání cookies)

c) Údaje zpracovávané za účelem ochrany formulářů

Pokud na webu budou kontaktní formuláře, k jejich ochraně před spamem a automatizovaným zneužitím můžeme využívat službu Google reCAPTCHA nebo Cloudflare Turnstile. Tato služba může v této souvislosti zpracovávat IP adresu, údaje o zařízení a prohlížeči.

Vaše osobní údaje předáváme pouze v nezbytném rozsahu těmto kategoriím příjemců:

Zpracovatelé v rámci EU/EHP

• Hetzner Online GmbH (provozovatel serveru, Industriestr. 25, 91710 Gunzenhausen, Německo) — webhosting a databázový server. Veškeré primární údaje včetně databáze (provozované přes Supabase) jsou uloženy výhradně na našem serveru u tohoto poskytovatele v Německu.
• Seznam.cz, a.s. (Sklik — měřicí kód a remarketing), Radlická 3294/10, 150 00 Praha 5

Zpracovatelé mimo EU/EHP

• Google Ireland Limited (Google Analytics 4, Google Ads, Google reCAPTCHA) — část zpracování v USA
• Meta Platforms Ireland Limited (Meta Pixel) — část zpracování v USA

Další příjemci

• Externí pověřenec pro ochranu osobních údajů — Czech DPO Office s.r.o.
• Účetní a daňoví poradci
• Orgány veřejné moci (pokud nám to ukládá zákon)

S každým zpracovatelem máme uzavřenu smlouvu o zpracování osobních údajů dle čl. 28 GDPR. Údaje neprodáváme třetím stranám pro jejich vlastní marketingové účely.

Webhosting, databáze a primární údaje jsou provozovány výhradně v rámci EU (datová centra Hetzner Online GmbH v Německu). Vaše primární údaje (kontaktní údaje, údaje z formulářů, záznamy o zakázkách) neopouštějí EU/EHP.

K předání mimo EU/EHP může docházet pouze v souvislosti s analytickými, marketingovými a podpůrnými nástroji třetích stran (Google, Meta), a to na základě:

• Rozhodnutí Evropské komise o odpovídající ochraně — EU‑US Data Privacy Framework (rozhodnutí ze dne 10. 7. 2023), v rámci kterého jsou Google LLC i Meta Platforms, Inc. certifikovány;
• Standardních smluvních doložek (SCC) přijatých Evropskou komisí dle čl. 46 odst. 2 písm. c) GDPR;
• Vašeho výslovného souhlasu dle čl. 49 odst. 1 písm. a) GDPR uděleného v rámci cookie lišty pro marketingové a analytické cookies.

V souvislosti se zpracováním osobních údajů máte tato práva:

• Právo na přístup (čl. 15 GDPR) — získat informaci o tom, jaké údaje o Vás zpracováváme
• Právo na opravu (čl. 16 GDPR) — opravu nepřesných nebo doplnění neúplných údajů
• Právo na výmaz („právo být zapomenut“, čl. 17 GDPR) — s výjimkami stanovenými zákonem (zejména povinnost archivace účetních dokladů)
• Právo na omezení zpracování (čl. 18 GDPR)
• Právo na přenositelnost údajů (čl. 20 GDPR)
• Právo vznést námitku proti zpracování na základě oprávněného zájmu (čl. 21 GDPR)
• Právo odvolat souhlas kdykoli, aniž je tím dotčena zákonnost zpracování před jeho odvoláním (čl. 7 odst. 3 GDPR) — souhlas s cookies můžete odvolat na stránce Spravovat souhlas v zápatí webu
• Právo nebýt předmětem automatizovaného rozhodování vč. profilování (čl. 22 GDPR) — žádné takové rozhodování neprovádíme
• Právo podat stížnost u dozorového úřadu — Úřad pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, www.uoou.gov.cz

Práva uplatníte zasláním žádosti na e‑mail poverenec@czechdpooffice.eu nebo info@oohp.cz, případně písemně na adresu sídla Správce. Na žádost odpovíme nejpozději do 30 dnů (ve výjimečných případech lze lhůtu prodloužit o dva měsíce).

Pro identifikaci žadatele si můžeme vyžádat dodatečné informace nebo doklad totožnosti.

Přijali jsme technická a organizační opatření odpovídající rizikům zpracování (čl. 32 GDPR), zejména:

• Šifrovaný přenos dat (HTTPS / TLS 1.2+)
• Šifrování dat v klidovém stavu (databáze, zálohy)
• Hashování hesel pomocí moderních algoritmů (bcrypt / Argon2)
• Kontrolovaný přístup k informačním systémům, vícefaktorové ověřování pro administraci
• Ochrana formulářů proti automatizovanému zneužití (reCAPTCHA / Turnstile, rate limiting)
• Pravidelné zálohování s šifrovaným úložištěm
• Pravidelné aktualizace systémů a bezpečnostní záplaty
• Smluvní zajištění mlčenlivosti zaměstnanců a zpracovatelů
• Pravidelná školení personálu
• Servery umístěny v zabezpečených datových centrech v EU (Hetzner DE)

Tyto zásady můžeme čas od času aktualizovat. Aktuální verze je vždy dostupná na této stránce s uvedeným datem účinnosti. O podstatných změnách budeme informovat na webových stránkách s dostatečným předstihem.

Tyto zásady byly vypracovány v souladu s nařízením GDPR, zákonem č. 110/2019 Sb., o zpracování osobních údajů, zákonem č. 127/2005 Sb., o elektronických komunikacích, ve znění zákona č. 374/2021 Sb., a souvisejícími právními předpisy.