Zpracování osobních údajů pro kupující poukazů

1. Úvod a vymezení pojmů

Společnost Nxtrope s.r.o., IČO 21884919, se sídlem Podbělohorská 3349, 150 00 Praha (dále jen „Provozovatel" nebo „VášPoukaz") provozuje platformu VasPoukaz.cz, jejímž prostřednictvím obchodníci (provozovny, tedy restaurace, hotely, lázně, wellness studia apod., dále jen „Obchodník") prodávají vlastní dárkové poukazy svým zákazníkům.

Kupujícím je fyzická osoba, která prostřednictvím prodejního formuláře na platformě zakoupí poukaz konkrétního Obchodníka, případně osoba, která takový poukaz uplatní (dále jen „Kupující").

Vztah mezi Provozovatelem a Obchodníkem se řídí Obchodními podmínkami platformy. Vztah mezi Obchodníkem a Kupujícím (kupní smlouva ohledně poukazu a následné poskytnutí služby/zboží) je vztahem mezi Obchodníkem a Kupujícím. Provozovatel není jeho stranou.

2. Role v rámci zpracování osobních údajů

Vůči osobním údajům Kupujícího vystupuje VášPoukaz ve dvou odlišných rolích. Toto rozlišení je zásadní pro uplatňování vašich práv:

3. Správce osobních údajů: totožnost a kontakt

Provozovatel nejmenoval pověřence pro ochranu osobních údajů, neboť jeho hlavní činností není rozsáhlé zpracování zvláštních kategorií osobních údajů ani systematické monitorování subjektů údajů ve velkém rozsahu (čl. 37 GDPR).

4. Kategorie zpracovávaných osobních údajů

• Identifikační a kontaktní údaje: jméno a příjmení, e-mailová adresa, telefonní číslo;
• Údaje o objednávce a poukazu: obsah a hodnota poukazu, variabilní symbol, kód poukazu, datum vystavení, případné personalizované sdělení (věnování);
• Platební údaje: číslo bankovního účtu, ze kterého byla úhrada poukazu odeslána, částka, datum a identifikace platby (jakožto údaje vyplývající z výpisu bankovního účtu Provozovatele jednajícího jako příkazník);
• Doručovací údaje: adresa pro doručení, pokud Kupující objedná i fyzický tisk poukazu;
• Údaje o obdarovaném: jméno, e-mail a telefon příjemce poukazu, věnování a - pokud je Kupující při odeslání poukazu nebo na stránce objednávky vyplní - příležitost (např. narozeniny nebo svátek), její datum, jméno toho, pro koho je dárek, a zvolený den odeslání;
• Profilové údaje od poskytovatele přihlášení: pohlaví, datum narození a profilová fotografie, pokud se přihlásíte přes Google, Seznam, Facebook nebo MojeID a jejich sdílení na přihlašovací obrazovce poskytovatele povolíte. V sekci Můj účet → Moje údaje je lze kdykoliv opravit nebo smazat;
• Údaje o čerpání poukazu: datum, místo a rozsah čerpání u Obchodníka;
• Technické a provozní údaje: IP adresa, identifikátor zařízení a prohlížeče, časová razítka, identifikátory relace a cookies;
• Zdroj návštěvy: odkud jste na platformu přišli, uložený k objednávce a k registraci - parametry UTM, identifikátor kliknutí z reklamy (gclid, fbclid) a adresa odkazující stránky.

5. Účely zpracování a právní základy (VášPoukaz jako správce)

a) Plnění zákonných povinností (účetnictví, daně, AML)

• Účel: evidence účetních dokladů, fakturace, plnění povinností dle zákona č. 563/1991 Sb., o účetnictví, zákona č. 235/2004 Sb., o DPH, a zákona č. 253/2008 Sb., o některých opatřeních proti legalizaci výnosů z trestné činnosti.
• Právní základ: plnění právní povinnosti (čl. 6 odst. 1 písm. c GDPR).

b) Zprostředkování platby v režimu příkazníka

• Účel: přijetí platby od Kupujícího jménem a na účet Obchodníka, identifikace platby, následný převod na zůstatek Obchodníka v Aplikaci. Provozovatel jedná jako příkazník dle § 2430 a násl. občanského zákoníku.
• Právní základ: nezbytnost pro splnění smluvního příkazu mezi Provozovatelem a Obchodníkem (čl. 6 odst. 1 písm. b GDPR), v kombinaci s plněním právních povinností (čl. 6 odst. 1 písm. c GDPR).

c) Prevence podvodů a ověření plateb

• Účel: ochrana Kupujícího, Obchodníka i Provozovatele před podvodným jednáním; ověření oprávněnosti plateb (např. mikroplatba dle Obchodních podmínek), evidence pokusů o zneužití, kontrola omezení počtu objednávek a opakovaných refundací.
• Právní základ: oprávněný zájem Provozovatele a třetích osob (Obchodníka, ostatních uživatelů Aplikace) na bezpečném provozu platformy a předcházení škodám (čl. 6 odst. 1 písm. f GDPR).

d) Provoz, dostupnost a bezpečnost Aplikace

• Účel: zajištění funkčnosti, dostupnosti a bezpečnosti Aplikace, řešení provozních incidentů, ladění chyb, ochrana před zneužitím.
• Právní základ: oprávněný zájem Provozovatele (čl. 6 odst. 1 písm. f GDPR).

e) Vyřizování reklamací plnění Provozovatele

• Účel: vyřízení reklamací směřujících k plnění Provozovatele (např. funkčnost Aplikace, technický refund, zpracování platby), komunikace s Kupujícím, řešení sporů a ochrana právních nároků.
• Právní základ: plnění smluvních a zákonných povinností (čl. 6 odst. 1 písm. b a c GDPR) a oprávněný zájem Provozovatele na ochraně právních nároků (čl. 6 odst. 1 písm. f GDPR).

f) Novinky z katalogu

• Údaje: e-mailová adresa, volitelně kategorie zájmu, datum přihlášení k odběru a IP adresa odesílatele formuláře.
• Účel: zasílání upozornění na nové poukazy a obchodníky v katalogu, případně jen ve zvolené zájmové kategorii.
• Právní základ: u přihlášení odesláním formuláře souhlas subjektu údajů (čl. 6 odst. 1 písm. a GDPR). U osob, které si na platformě založily uživatelský účet, oprávněný zájem Provozovatele na přímém marketingu vlastních obdobných služeb (čl. 6 odst. 1 písm. f GDPR ve spojení s bodem 47 odůvodnění GDPR a § 7 odst. 3 zákona č. 480/2004 Sb.); odběr je v takovém případě zřízen při založení účtu a lze jej kdykoliv zdarma ukončit - na tuto možnost je upozorněno v každém zaslaném e-mailu.
• Doba uchování: do odhlášení z odběru, nejdéle však 24 měsíců od posledního zaslaného upozornění.
• Odhlášení a námitka: kdykoliv odkazem pro odhlášení v každém e-mailu, přepínačem „Novinky a upozornění" v sekci Můj účet → Moje údaje, nebo e-mailem na info@vaspoukaz.cz. Odhlášení je konečné - odběr se neobnovuje ani při dalším nákupu či registraci.

g) Věrnostní kartičky obchodníků

• Údaje: jméno a e-mail z vašeho účtu, dále evidence razítek (datum a čas každé návštěvy, provozovna, kdo razítko přidal, vydané odměny a případné ruční opravy počtu).
• Účel: provoz věrnostní kartičky, kterou jste si u obchodníka zřídili: počítání razítek, zobrazení stavu kartičky a výdej odměny.
• Právní základ: plnění smlouvy, případně provedení opatření před jejím uzavřením na vaši žádost (čl. 6 odst. 1 písm. b GDPR), kartičku si zřizujete sami naskenováním kódu u obchodníka.
• Příjemce: obchodník, u kterého kartičku máte. Ve vztahu k údajům o vaší kartičce je samostatným správcem (vidí vaše jméno, e-mail a historii razítek). Jiní obchodníci k vaší kartičce přístup nemají.
• Doba uchování: po dobu, po kterou máte kartičku aktivní. Pokud na kartičku nepřibude nové razítko po dobu její platnosti nastavené obchodníkem (zpravidla 12 měsíců), kartička propadá. Evidenci mažeme nejpozději do 24 měsíců od posledního razítka nebo při zrušení účtu.

h) Odeslání poukazu v naplánovaný den a připomenutí příležitosti

• Údaje: údaje o obdarovaném a e-mailová adresa Kupujícího.
• Účel: odeslání poukazu příjemci ve zvolený den a - pokud o to Kupující při odeslání požádá zaškrtnutím „Připomenout mi to za rok" - připomenutí dané příležitosti e-mailem přibližně dva týdny předem v dalších letech. Připomínku dostává výhradně Kupující; obdarovaného kvůli ní nekontaktujeme a jeho údaje k jinému účelu nepoužíváme.
• Právní základ: odeslání v naplánovaný den je plněním smlouvy (čl. 6 odst. 1 písm. b GDPR). Připomínka je oprávněným zájmem Provozovatele na přímém marketingu vlastních obdobných služeb vůči zákazníkovi (čl. 6 odst. 1 písm. f GDPR ve spojení s § 7 odst. 3 zákona č. 480/2004 Sb.); možnost ji odmítnout máte při zadání i v každém zaslaném e-mailu. Údaj o příležitosti obdarovaného poskytl sám Kupující a slouží jen k připomínce jemu.
• Doba uchování: spolu s údaji o poukazu (viz čl. 6). Připomínky končí odhlášením; seznam odhlášených e-mailových adres uchováváme, aby odhlášení platilo i pro další nákupy.
• Odhlášení a námitka: odkazem v každé připomínce nebo e-mailem na info@vaspoukaz.cz. Připomínky neposíláme ani adresám odhlášeným z novinek z katalogu.

i) Přizpůsobení komunikace a nabídky

• Údaje: pohlaví, datum narození a město z fakturační nebo doručovací adresy.
• Účel: gramaticky správné oslovení v e-mailech (čeština rozlišuje např. „koupil" a „koupila"), narozeninové přání a nabídka poukazů od podniků ve vašem městě (odkaz „Poukazy ve vašem okolí" v katalogu).
• Právní základ: oprávněný zájem Provozovatele (čl. 6 odst. 1 písm. f GDPR). Narozeninové přání posíláme jen odběratelům novinek z katalogu (písm. f) a odhlášením z novinek končí i ono.
• Doba uchování: po dobu existence uživatelského účtu, nebo do smazání údajů v sekci Můj účet → Moje údaje. Město nikam neukládáme zvlášť - čteme ho z adresy, kterou jste sami zadali.

j) Vyhodnocení účinnosti marketingu

• Údaje: zdroj návštěvy uložený k objednávce a e-mailová adresa, podle které rozpoznáme objednávky téhož zákazníka.
• Účel: zjištění, které kanály přivádějí zákazníky, kteří se vracejí; výstupem jsou výhradně souhrnné interní statistiky.
• Právní základ: oprávněný zájem Provozovatele (čl. 6 odst. 1 písm. f GDPR). Jednotlivé zákazníky na základě těchto údajů neoslovujeme ani nehodnotíme.
• Doba uchování: spolu s údaji o objednávce.

k) Online reklama, analytika a měření konverzí

• Údaje: identifikátory cookies a reklamních relací (např. Google Click ID, Sklik ID, Meta Pixel ID), síťové identifikátory a informace o provedených konverzních akcích (např. nákup poukazu v katalogu nebo objednávka tisku).
• Účel: měření návštěvnosti a vyhodnocování efektivity online reklamních kampaní na platformách Google (Google Ads), Seznam.cz (Sklik), Meta (Facebook a Instagram) a OpenAI (ChatGPT Ads); cílení relevantních nabídek dárkových poukazů.
• Právní základ: Váš dobrovolný souhlas (čl. 6 odst. 1 písm. a GDPR) udělený prostřednictvím cookie lišty. Souhlas můžete kdykoli změnit nebo odvolat prostřednictvím odkazu „Nastavení cookies" v patičce webu.
• Doba uchování: dle doby platnosti jednotlivých cookies (90–180 dní, viz Zásady používání cookies), případně do odvolání vašeho souhlasu.

l) Uložení rozpracovaných návrhů vlastního poukazu k účtu

• Údaje: obsah rozpracovaných návrhů v editoru vlastního poukazu (texty, věnování, odkazy na vložené fotografie, název návrhu) a čas jejich poslední úpravy.
• Účel: uložení návrhů k vašemu uživatelskému účtu, abyste je po přihlášení otevřeli na jakémkoli zařízení. Bez přihlášení zůstávají návrhy jen ve vašem prohlížeči a na server je neukládáme. Pokud odebíráte novinky (bod f), pošleme vám k návrhu, který jste neobjednali, jednou e-mailovou připomínku; odhlášením z novinek ji vypnete.
• Právní základ: plnění smlouvy o užívání uživatelského účtu (čl. 6 odst. 1 písm. b GDPR).
• Doba uchování: do smazání návrhu nebo zrušení účtu. Ze smazaného návrhu uchováváme jen jeho identifikátor a čas smazání, aby se na jiném zařízení znovu neobjevil.

6. Doby uchování osobních údajů

• Účetní a daňové doklady: 10 let od konce zdaňovacího období, kterého se týkají, dle zákona o účetnictví a zákona o DPH.
• Údaje vyžadované zákonem č. 253/2008 Sb. (AML): po dobu stanovenou tímto zákonem, zpravidla 10 let.
• Údaje o poukazu a objednávce (jako zpracovatel Obchodníka): po dobu platnosti poukazu, případně do jeho vyčerpání, a dále po dobu nezbytnou pro ochranu právních nároků (zpravidla 3 roky po skončení platnosti, v souladu s pokyny Obchodníka jako správce).
• Údaje pro prevenci podvodů: nejdéle 12 měsíců od posledního relevantního záznamu, v případě prokázaného pokusu o zneužití až do promlčení nároků.
• Provozní a bezpečnostní logy: 30–180 dní.
• Reklamační agenda: 3 roky od vyřízení reklamace (promlčecí lhůta).
• Profilové údaje (pohlaví, datum narození): po dobu existence účtu, nebo do jejich smazání.
• Seznam adres odhlášených z připomínek příležitostí: po dobu provozu platformy - jinak by odhlášení nebylo možné dodržet.
• Rozpracované návrhy vlastního poukazu uložené k účtu: do smazání návrhu nebo zrušení účtu.

Po uplynutí příslušné doby uchování jsou osobní údaje anonymizovány nebo bezpečně vymazány.

7. Příjemci a subzpracovatelé

Osobní údaje Kupujícího mohou být zpřístupněny následujícím kategoriím příjemců, a to vždy v rozsahu nezbytném pro konkrétní účel:

• Obchodník jako jiný správce ve vztahu k údajům souvisejícím s prodaným poukazem;
• Externí účetní a daňoví poradci v rozsahu nezbytném pro plnění zákonných povinností;
• Orgány veřejné moci (zejména správce daně, orgány činné v trestním řízení, finanční analytický úřad), pokud to vyžaduje právní předpis.

Provozovatel zapojuje do zpracování následující subzpracovatele:

• WEDOS Internet, a.s. (IČO 28115708, CZ): hosting Aplikace, databáze a provozní infrastruktury.
• Seznam.cz, a.s. (IČO 26168685, CZ): služba Email Profi pro odesílání transakčních a provozních e-mailů a reklamní systém Sklik pro měření konverzí a retargeting.
• Google Ireland Limited (IE): analytika návštěvnosti (Google Analytics 4) a měření a optimalizace online reklamy (Google Ads); přenos do třetí země je založen na standardních smluvních doložkách dle čl. 46 odst. 2 písm. c GDPR a na aktuálně účinném rámci EU–US Data Privacy Framework.
• Meta Platforms Ireland Limited (IE): reklamní systém Meta Ads (Facebook a Instagram) a Meta Pixel pro měření konverzí a cílení reklamy; přenos do třetí země je založen na standardních smluvních doložkách dle čl. 46 odst. 2 písm. c GDPR a na aktuálně účinném rámci EU–US Data Privacy Framework.
• OpenAI Ireland Ltd. (IE): reklamní systém OpenAI Ads (ChatGPT Ads) a měření konverzí reklamy; přenos do třetí země je založen na standardních smluvních doložkách dle čl. 46 odst. 2 písm. c GDPR a na aktuálně účinném rámci EU–US Data Privacy Framework.
• Premio Inc. (USA): služba ChatWay pro online chatovou podporu; přenos do třetí země je založen výhradně na standardních smluvních doložkách dle čl. 46 odst. 2 písm. c GDPR.
• Functional Software, Inc. (USA): sběr a vyhodnocení chybových a provozních diagnostik v Aplikaci (Sentry); přenos do třetí země je založen na standardních smluvních doložkách dle čl. 46 odst. 2 písm. c GDPR a na aktuálně účinném rámci EU–US Data Privacy Framework.
• Fio banka, a.s. (IČO 61858374, CZ): banka Provozovatele a poskytovatel bankovního API.

Aktuální seznam subzpracovatelů je vždy dostupný na této stránce. O záměru zapojit nového subzpracovatele Provozovatel informuje s dostatečným předstihem; ve vztahu ke zpracování pro Obchodníka platí lhůty a postupy sjednané ve zpracovatelské smlouvě.

8. Předávání mimo Evropský hospodářský prostor

Aplikace VášPoukaz, její databáze, e-mailová a bankovní infrastruktura jsou provozovány v České republice. Hlavní zpracování osobních údajů Kupujících tedy probíhá v rámci EHP.

K předávání osobních údajů do třetích zemí mimo Evropský hospodářský prostor (zejména do USA) dochází pouze v souvislosti s využitím následujících poskytovatelů:

• Google Ireland Limited (Google Analytics, Google Ads) - přenos do USA společnosti Google LLC je založen na standardních smluvních doložkách (SCC) a certifikaci v rámci EU–US Data Privacy Framework;
• Meta Platforms Ireland Limited (Meta Ads, Meta Pixel) - přenos do USA společnosti Meta Platforms, Inc. je založen na standardních smluvních doložkách (SCC) a certifikaci v rámci EU–US Data Privacy Framework;
• OpenAI Ireland Ltd. (ChatGPT Ads) - přenos do USA společnosti OpenAI, L.L.C. je založen na standardních smluvních doložkách (SCC) a certifikaci v rámci EU–US Data Privacy Framework;
• Functional Software, Inc. (Sentry) - sběr chybové diagnostiky, přenos do USA je založen na standardních smluvních doložkách (SCC) a certifikaci v rámci EU–US Data Privacy Framework;
• Premio Inc. (ChatWay) - online chatová podpora, přenos do USA je založen výhradně na standardních smluvních doložkách (SCC) dle čl. 46 odst. 2 písm. c GDPR.

Do jiných třetích zemí mimo EHP osobní údaje nepředáváme.

9. Vaše práva

Ve vztahu k osobním údajům, které o vás zpracováváme jako samostatný správce, máte následující práva:

• právo na přístup k osobním údajům (čl. 15 GDPR);
• právo na opravu nepřesných údajů (čl. 16 GDPR);
• právo na výmaz za podmínek čl. 17 GDPR;
• právo na omezení zpracování (čl. 18 GDPR);
• právo na přenositelnost údajů (čl. 20 GDPR);
• právo vznést námitku proti zpracování založenému na oprávněném zájmu (čl. 21 GDPR);
• právo podat stížnost u Úřadu pro ochranu osobních údajů (www.uoou.cz), Pplk. Sochora 27, 170 00 Praha 7.

Důležité upozornění: pokud chcete uplatnit práva ve vztahu k osobním údajům, jejichž správcem je Obchodník (zejména údaje o poukazu, jeho čerpání a doručení), kontaktujte přímo Obchodníka, jehož kontaktní údaje naleznete v e-mailu s poukazem nebo na jeho prodejní stránce. Pokud nás kontaktujete vy, předáme vaši žádost příslušnému Obchodníkovi a budeme s ním v rámci zpracovatelské smlouvy součinní.

10. Automatizované rozhodování a profilování

Při zpracování osobních údajů Kupujících nedochází k automatizovanému individuálnímu rozhodování ve smyslu čl. 22 GDPR ani k profilování s právními nebo obdobně významnými dopady na subjekt údajů. Algoritmické vyhodnocování v rámci prevence podvodů (kontrola limitů, duplicit a podezřelých vzorců) slouží pouze jako podklad pro lidské posouzení odpovědným pracovníkem Provozovatele.

Nabídku „Poukazy ve vašem okolí" odvozujeme pouze z města ve vámi zadané adrese a připomínku příležitosti z data, které jste sami zadali. Nejde o profilování s právními ani obdobně významnými účinky.

11. Cookies a sledovací technologie

V Aplikaci jsou používány pouze technicky nezbytné soubory cookies a identifikátory přihlašovacích relací pro správné fungování prodejního formuláře a postupu úhrady. Podrobnosti viz Zásady používání cookies.

12. Zabezpečení osobních údajů

Provozovatel přijal přiměřená technická a organizační opatření k zabezpečení osobních údajů, zejména šifrovanou komunikaci (HTTPS/TLS), šifrované úložiště, řízení přístupu na principu nejmenších oprávnění, oddělení testovacích a produkčních prostředí, pravidelná zálohování, logování přístupů a pravidelné bezpečnostní revize. Subzpracovatele si pečlivě vybíráme a smluvně jim ukládáme stejnou úroveň ochrany.

13. Povinnost poskytnout osobní údaje

Poskytnutí osobních údajů Kupujícím je smluvní a v rozsahu daňových a účetních povinností zákonný požadavek. Bez poskytnutí nezbytných údajů (jméno, e-mail, údaje o platbě) nelze poukaz vystavit, doručit ani zaúčtovat.

14. Změny zásad

Provozovatel je oprávněn tyto zásady zpracování osobních údajů aktualizovat. Aktuální verze je vždy zveřejněna na této stránce s uvedením data účinnosti. O podstatných změnách Provozovatel Kupujícího vhodným způsobem informuje.

15. Kontakt pro uplatnění práv

Pro uplatnění svých práv nebo v případě dotazů ohledně zpracování osobních údajů Provozovatelem nás kontaktujte na e-mailu info@vaspoukaz.cz nebo písemně na adresu sídla správce uvedenou v čl. 3.