Ochrana osobních údajů

Portál Reservuj provozuje Petr Fořt, U Hrubých 650, 252 50 Vestec, fyzická osoba nezapsaná v obchodním rejstříku (dále jen „provozovatel"). Kontakt: podpora@reservuj.cz.

Část C — osobní údaje

Na tom, že je služba bezplatná, tyhle povinnosti nezávisí.

C1. Kdo je za co odpovědný

Reservuj má dvojí roli.

Provozovatel je správcem u účtu člověka (jeden pro všechny podniky), u veřejného katalogu a u účtů obsluhy portálu.

Podnik je správcem a provozovatel zpracovatelem u toho, co dává smysl jen uvnitř jedné firmy: klientská databáze, poznámky, štítky, rezervace, kurzy, hlídání volných termínů, online platby, uplatněné kupony, firemní klienti a doklady, žádosti o zavolání a marketingové souhlasy. Podnik určuje, co se s daty jeho klientů děje, a provozovatel je zpracovává na jeho pokyn — podmínky jsou v článku C7, který se uzavírá přijetím těchto podmínek.

C2. Jaké údaje se vedou

Účet člověka (správce: provozovatel): jméno, příjmení, e-mail, telefon, heslo uložené jen jako otisk, jazyk, ověření e-mailu, kterou verzi těchto podmínek a kdy přijal, a čas posledního přihlášení. Kdo se přihlašuje přes Google, Seznam nebo Facebook, má uložený identifikátor toho účtu, ne heslo.

Klient u konkrétního podniku (správce: podnik): k údajům z účtu navíc poznámka ke klientovi, štítky a kategorie, odkud se klient vzal, stav, udělené souhlasy a historie rezervací — termíny, služba, pobočka, cena, případně čas příchodu.

K tomu poznámka u jednotlivé rezervace, jméno účastníka kurzu, když se zapisuje někdo jiný než držitel účtu (typicky dítě), hodnocení a podněty, které klient napsal, hlídání volných termínů, které si klient zapnul, a kdo koho na portál pozval, pokud k tomu došlo přes doporučení. Adresu, na kterou klient pošle pozvánku známému, portál jen odešle a neukládá.

Platby a doklady (správce: podnik), jen u podniku se zapnutými moduly: u online platby za kurz e-mail plátce, částka, stav platby a záznam o jejím průběhu, u platby převodem na účet podniku jen to, že a kdy obsluha přijetí převodu potvrdila (výpis z banky portál nevidí), u uplatněného kuponu Slevomatu jeho kód a ke komu patří, u firemních klientů podniku jejich název, IČO, DIČ, adresa a e-mail.

Žádost „Zavolejte mi“ (správce: podnik), jen u podniku, který si formulář na profilu zapnul: jméno, telefon, nepovinný vzkaz, jazyk stránky a čas, kdy zájemce dal souhlas se zpracováním. Účet k tomu potřeba není a na žádný se žádost neváže.

Poznámka ke klientovi i poznámka u rezervace jsou volná pole. Co do nich podnik napíše, je jeho odpovědnost — systém tam nic nekontroluje a citlivé údaje tam nepatří.

Pokusy a brzdy. Aby šlo bránit se hádání hesla a kódů kuponů a opakovanému rozesílání aktivačních odkazů, drží portál počet pokusů pro daný účet nebo e-mail a z dané IP adresy. Záznam se maže po dni bez dalšího pokusu. Déle zůstává IP adresa jen u online platby: adresa, ze které se klient vrátil z platební brány, se ukládá do záznamu o průběhu té platby.

Cookies. Portál si ukládá dvě vlastní technické cookies: relační, která drží přihlášení a rozpracované formuláře, a pomocnou cookie frameworku, která chrání před požadavky podvrženými z cizích webů. Nic nesledují a k ničemu jinému neslouží. Volbu v liště o cookies si pamatuje jen váš prohlížeč, na server neodchází. Žádné reklamní ani analytické cookies portál nenastavuje. Ochrana formulářů proti robotům může nastavit vlastní cookie; bez ní se formulář neodešle.

Obsluha a správci: jméno, příjmení, e-mail, telefon, role, pobočka a čas posledního přihlášení.

C3. K čemu to je

Rezervace a zprávy k nim (potvrzení, změna, zrušení, připomínka), účet a přihlášení, provoz a bezpečnost, a marketingová sdělení podniku — ta jen pro toho, kdo k tomu dal souhlas navíc, odvolatelný jedním odkazem v patičce každé zprávy.

Na jakém základu. Účet, rezervace a zprávy k nim stojí na plnění smlouvy; provoz a bezpečnost na oprávněném zájmu provozovatele a podniku na tom, aby portál fungoval a nešel zneužít; marketingová sdělení výhradně na souhlasu; a co je nutné uchovat podle předpisů, na právní povinnosti.

K ničemu jinému. Údaje se neprodávají, nepředávají nikomu pro jeho vlastní účely, nepoužívají se k profilování ani k reklamě mimo portál. Žádná reklamní analytika ani sledování napříč weby na portálu nejsou; cizí skripty v prohlížeči jsou jen tři — ochrana formulářů proti robotům, editor textu pro obsluhu podniku a měření návštěvnosti veřejných stránek, vše podle článku C4.

C4. Komu se data dostanou

Nikomu k jeho vlastním účelům. Technicky je za provozovatele zpracovávají dodavatelé, kteří s nimi nesmějí nakládat jinak než na jeho pokyn:

Služby, které si sjednává podnik, jsou jiný případ. Podnik si je zapíná jako volitelné moduly, vybírá si poskytovatele a má u něj vlastní účet, který si sám platí; přístupové údaje k němu vloží do portálu a provozovatel je drží zašifrované. Provozovatel takové službě jen předává, co podnik potřebuje odeslat:

• SMS brána (SMSbrana.cz, SmsManager nebo GoSMS) — telefon a text zprávy, ne jméno (to v textu je, jen když ho tam obsluha podniku sama napíše). Přes bránu jdou tři druhy zpráv: připomínka termínu, když si ji podnik zapne a klient o připomínku požádá; jednorázová provozní zpráva obsluhy podniku k rezervaci (posunutý termín, nemoc, změna místa); a marketingová kampaň podniku, ta jen se souhlasem klienta. SMS jdou jen na česká a slovenská čísla a mezi 21:00 a 8:00 se připomínky ani provozní zprávy neposílají;
• platební brána (GP webpay, GoPay, ComGate nebo Benefit Plus) — u online platby za kurz číslo objednávky, částku a název kurzu, a podle brány e-mail plátce (GP webpay, GoPay) nebo e-mail a jméno (ComGate); platební údaje klient zadává až na stránce brány a portál je nevidí;
• iDoklad — u dokladů za návštěvy a online platby službu, datum a cenu bez jména klienta, u faktur firemním klientům podniku jejich název, IČO, DIČ, adresu a e-mail;
• Slevomat — jen kód kuponu, který klient zadal, a pokyn k jeho uplatnění; údaj o klientovi tam neodchází.

Nejsou to tedy dodavatelé provozovatele, ale služby, které si sjednal podnik, a vztah s nimi, včetně ochrany osobních údajů, je věcí podniku.

Push upozornění jsou jiný případ. Kdo si v prohlížeči nebo v aplikaci sám zapne upozornění, tomu portál posílá zprávy k rezervacím přes push službu výrobce jeho prohlížeče nebo systému (Google Firebase Cloud Messaging, Mozilla, Apple nebo Microsoft) — tu nevybírá provozovatel, ale prohlížeč. Služba dostane adresu zařízení, kterou prohlížeč pro upozornění vydal, a zašifrovaný obsah zprávy, který přečíst nemůže; rozšifruje ho až prohlížeč příjemce. Dozví se tedy, že a kdy portál na to zařízení něco poslal, ne co. Tyto služby mohou běžet i mimo Evropskou unii. Upozornění jde kdykoli vypnout v účtu nebo v prohlížeči; adresa zařízení se tím z portálu smaže.

Cloudflare je jiný případ. Formuláře chrání proti robotům widget, který se načítá přímo do prohlížeče. Portál mu ze svého serveru neposílá žádný osobní údaj — odchází jen ověřovací token. Cloudflare se ale IP adresu a otisk prohlížeče dozví přímo od návštěvníka. Do výčtu to patří právě proto, že se to děje mimo portál.

Ze stejné sítě se načítá editor textu v administraci a v posledním kroku registrace podniku, takže při psaní popisu pobočky nebo aktuality se Cloudflare dozví IP adresu obsluhy podniku. Klientů se to netýká.

Měření návštěvnosti je stejný případ. Na veřejných stránkách běží měřicí skript Ahrefs Analytics, který se načítá přímo do prohlížeče. Portál mu ze svého serveru neposílá žádný osobní údaj; Ahrefs se ale přímo od návštěvníka dozví IP adresu, údaje o prohlížeči a adresu stránky, kterou si otevřel. V katalogu ta adresa nese i to, co návštěvník hledá, a když povolí polohu, i její souřadnice zaokrouhlené zhruba na sto metrů. Slouží to k počítání návštěvnosti, ne k profilování ani k reklamě, a výsledkem jsou souhrnná čísla, ne záznamy o jednotlivcích. Administrace podniku ani členská sekce klienta měřené nejsou — skript běží jen na veřejné části, a ani tam ne na stránkách, které mají v adrese jednorázový odkaz (obnova hesla, odhlášení z obchodních sdělení).

Kam se posílá adresa provozovny a hledané místo, ne údaj klienta: aby se podnik dal najít na mapě, odchází adresa jeho provozovny ke Geoapify, a když ten adresu nenajde nebo neodpoví, k Nominatim (OpenStreetMap). K téže dvojici odchází i místo, které návštěvník napíše do hledání v katalogu — ze serveru portálu, bez IP adresy návštěvníka a bez vazby na účet; souřadnice hledaného místa se nikam neukládají. Při registraci se podle IČO načte název a sídlo z ARES (ČR) nebo RPO (SR). Texty profilu, poboček, služeb a aktualit, které si podnik nechá přeložit, jdou k DeepL. Ani v jednom případě neodchází údaj klienta — pozor u OSVČ, které mají provozovnu na adrese bydliště.

C5. Jak dlouho se to drží

Osobní údaje se drží šest měsíců od poslední aktivity — nejpozdější z přihlášení k účtu, přihlášení u podniku a rezervace, přičemž objednaný termín v budoucnu se počítá taky. Koho se to netýká: kdo se aspoň jednou za půl roku přihlásí nebo objedná. Měsíc před koncem lhůty se vám pokusíme poslat e-mail — stačí se pak přihlásit a lhůta běží znovu. Není to ale podmínka smazání: komu adresa nefunguje nebo má účet pozastavený, tomu zpráva nepřijde a lhůta běží dál. Úklid běží pravidelně.

• Klient bez jediné rezervace a bez zápisu na kurz — záznam u podniku se smaže celý.
• Klient, který si někdy něco rezervoval nebo byl zapsán na kurz — smaže se jméno, e-mail, telefon, poznámka provozovny, poznámka u rezervace i jméno účastníka kurzu. Řádek rezervace zůstane, ale už bez osobního údaje; je to záznam provozovny o vlastním provozu, ne údaj o klientovi. Zároveň se ten záznam odpojí od portálového účtu a smažou se štítky, hlídání termínů, přihlášení přes Google, Seznam či Facebook, záznamy o rozeslaných obchodních sděleních a o doporučení.
• Záznamy o online platbách (e-mail plátce, částka, průběh platby včetně IP adresy) se tímto úklidem nemažou; zůstávají u podniku, dokud trvá jeho účet.
• Záznam o odeslaných SMS — úklidem i smazáním účtu se z něj smaže telefon klienta a text jednorázových zpráv, které mu obsluha poslala, a zprávy, které ještě čekaly na odeslání, se už neodešlou. Zůstane jen záznam, že a kdy zpráva odešla, s textem připomínky (podnik, den a čas termínu) nebo kampaně.
• Žádost „Zavolejte mi“ — 30 dní od chvíle, kdy ji podnik označí jako vyřízenou, nevyřízená 90 dní od podání. Podnik ji může smazat i dřív.
• Rozpracovaná registrace podniku, kterou nikdo nedokončil — 30 dní.
• Portálový účet se maže, až na něj neukazuje žádný podnik a sám je půl roku nepoužitý.

Smazání účtu si jde vyžádat kdykoli, nemusí se čekat na lhůtu. Co musí zůstat podle právních předpisů, se nemaže.

C6. Práva

Každý má právo vědět, co se o něm vede, dostat to v čitelné podobě, nechat si to opravit, nechat to smazat, omezit zpracování a vznést námitku. Souhlas jde kdykoli odvolat a odvolání nepůsobí zpětně.

Kopii svých údajů si klient stáhne sám v účtu (Stáhnout moje data, po zadání hesla): soubor JSON s účtem a se vším, co o něm vedou všechny podniky, u kterých má profil — rezervace, platby, zálohy, permanentky, kurzy, hodnocení, souhlasy, hlídané termíny a přijaté newslettery. Je to strojově čitelný formát, takže ho jde přenést jinam. Hesla a přístupové klíče v něm nejsou; interní poznámky obsluhy podniku také ne, o ty se žádá přímo podnik. Stažení je omezené na několik za den.

Kam se obrátit: podpora@reservuj.cz. Když odpověď nestačí, je tu Úřad pro ochranu osobních údajů (ČR) nebo Úrad na ochranu osobných údajov (SR).

U údajů, kde je správcem podnik, se obracejte na ten podnik. Provozovatel mu žádost předá a pomůže ji vyřídit, ale rozhoduje o ní podnik.

C7. Zpracování osobních údajů pro podnik

Tenhle článek upravuje, jak provozovatel zpracovává údaje, u kterých je správcem podnik. Uzavírá se přijetím těchto podmínek podnikem a trvá, dokud trvá jeho účet; klienta se nedotýká.

Předmět a účel: provoz rezervačního portálu pro podnik — příjem a správa rezervací, vedení klientské databáze, odesílání zpráv klientům a provoz zapnutých modulů. Doba: po dobu trvání účtu a poté podle článku B7. Kategorie subjektů: klienti podniku a jeho personál. Typ údajů: identifikační a kontaktní údaje, poznámky a štítky vedené podnikem, historie rezervací a docházky, udělené souhlasy a u zapnutých modulů údaje o online platbách, uplatněných kuponech a firemních klientech.

Zvláštní kategorie údajů (zdravotní stav a podobně) portál pro tento účel nevyžaduje; vloží-li je podnik do volných poznámek, činí tak na vlastní odpovědnost a musí pro to mít vlastní právní základ.

Provozovatel se zavazuje, že:

• zpracovává údaje jen podle pokynů podniku a pro účely uvedené výše; za pokyn se považuje i běžné užívání portálu,
• zavazuje osoby, které se k údajům dostanou, mlčenlivostí,
• drží přiměřená technická a organizační opatření — přístup podle rolí, oddělení dat mezi podniky, hesla ukládaná jen jako otisk, šifrování přístupových údajů k SMS branám, platebním branám, iDokladu a Slevomatu a zálohování u poskytovatele hostingu,
• pomůže podniku vyřídit žádost klienta o přístup, opravu, výmaz, přenositelnost nebo námitku v rozsahu, v jakém to podnik nezvládne sám v administraci,
• ohlásí podniku porušení zabezpečení bez zbytečného odkladu poté, co se o něm dozví, a poskytne informace potřebné pro jeho vlastní ohlášení úřadu,
• po ukončení účtu údaje smaže, s výjimkou toho, co musí uchovat podle právních předpisů,
• upozorní podnik, má-li za to, že jeho pokyn porušuje právní předpisy o ochraně údajů,
• uloží stejné povinnosti dalším zpracovatelům, které do zpracování zapojí,
• na vyžádání poskytne podniku informace potřebné k doložení, že tyto povinnosti plní, a umožní kontrolu provedenou podnikem nebo auditorem, kterého podnik pověří.

Jak dlouho se údaje drží, určuje podnik. Přijetím těchto podmínek dává podnik provozovateli pokyn uchovávat záznam klienta šest měsíců od poslední aktivity a poté z něj odstranit osobní údaje tak, jak to popisuje článek C5. Jednotlivé záznamy může podnik smazat kdykoli sám v administraci.

Další zpracovatelé. Provozovatel je oprávněn zapojit další zpracovatele; ke dni účinnosti jsou to ti vyjmenovaní v tabulce v článku C4. Služby, které si podnik sjednává sám — SMS brána, platební brána, iDoklad a Slevomat — mezi ně nepatří; vztah s nimi má podnik a odpovídá za ně sám. Změnu v tomto seznamu oznámí předem a podnik může proti novému zpracovateli vznést námitku; nevyhoví-li jí provozovatel, může podnik účet ukončit. Lhůta je stejná jako u změny podmínek, tedy nejméně 15 dnů.

Kam data putují. Databáze i zálohy leží na webhostingu v Evropské unii. Dva dodavatelé z článku C4 ale zpracovávají i mimo ni: Cloudflare u ochrany formulářů proti robotům a u editoru textu, Google u přihlášení účtem Google a Meta u přihlášení přes Facebook. Předání mimo EU stojí na standardních smluvních doložkách Evropské komise podle čl. 46 odst. 2 písm. c) GDPR, a je-li dodavatel certifikován, také na rozhodnutí Komise (EU) 2023/1795 o Rámci EU–USA pro ochranu údajů; kopii doložek provozovatel na požádání poskytne. Zapojení dalšího zpracovatele, které by znamenalo přenos mimo EU, oznámí spolu se změnou seznamu.