Poučení o zpracování osobních údajů zákazníků e-shopu

Milion Chvilek z. s., IČO: 06760538, se sídlem Husinecká 808/5, Žižkov, 130 00 Praha 3, zapsaný ve spolkovém rejstříku vedeném Městským soudem v Praze, oddíl L, vložka 69778 (dále jen „Milion Chvilek“, „MCH“ nebo „my“), zpracovává osobní údaje v souladu s nařízením Evropského parlamentu a Rady (EU) 2016/679, obecným nařízením o ochraně osobních údajů (dále jen „GDPR“), a souvisejícími právními předpisy.

Toto poučení vysvětluje, jak zpracováváme osobní údaje zákazníků, dárců, příjemců zásilek, zástupců zákazníků a návštěvníků webových stránek v souvislosti s provozem e-shopu na internetové adrese eshop.milionchvilek.cz, uzavíráním a plněním smluv a souvisejícími službami. Nevztahuje se na jiné činnosti Milionu Chvilek.

1. Kdo je správcem Vašich osobních údajů

Správcem Vašich osobních údajů je Milion Chvilek. Ve věcech zpracování osobních údajů a při uplatňování svých práv nás můžete kontaktovat na adrese sídla uvedené výše nebo prostřednictvím e-mailu info@milionchvilek.cz.

2. Jaké osobní údaje zpracováváme a odkud je získáváme

V souvislosti s provozem e-shopu můžeme zpracovávat zejména následující kategorie osobních údajů:

identifikační údaje, zejména jméno a příjmení; u podnikajících osob rovněž obchodní firmu, IČO a DIČ, pokud se vztahují k fyzické osobě;
kontaktní údaje, zejména e-mailovou adresu a telefonní číslo;
fakturační a doručovací údaje, zejména trvalý pobyt, místo podnikání, fakturační a doručovací adresu;
údaje o objednávce a smluvním vztahu, zejména objednané výrobky nebo služby, cenu, číslo a stav objednávky, zvolený způsob dopravy a údaje o reklamaci, odstoupení od smlouvy nebo vrácení zboží;
platební a transakční údaje, zejména zvolený způsob platby, částku, stav platby, identifikátor transakce a případně číslo bankovního účtu pro bankovní převod nebo vrácení platby;
údaje související se zákaznickým účtem, bude-li e-shop tuto funkci nabízet, zejména přihlašovací identifikátor, uložené adresy, nastavení účtu a historii objednávek;
obsah komunikace s Milionem Chvilek a údaje, které uvedete v poznámce k objednávce, reklamaci nebo jiném formuláři;
technické údaje o používání e-shopu, zejména IP adresu, datum a čas přístupu, informace o zařízení, operačním systému a prohlížeči, navštívené stránky, zdroj návštěvy a identifikátory uložené v cookies nebo obdobných technologiích.

Údaje zpravidla získáváme přímo od Vás. Některé údaje můžeme získat také od osoby, která objednávku učinila Vaším jménem nebo Vám nechala zásilku doručit, od platební brány či banky, od dopravce nebo výdejního místa a automaticky při používání e-shopu.

3. Pro jaké účely a na jakém právním základě údaje zpracováváme

3.1 Uzavření a plnění smlouvy

Osobní údaje zpracováváme za účelem přijetí a potvrzení objednávky, uzavření smlouvy zejména kupní a darovací, přijetí a přiřazení platby, dodání zboží nebo zpřístupnění či poskytnutí služby, komunikace o průběhu objednávky, vyřízení odstoupení od smlouvy, reklamace nebo vrácení platby a splnění dalších povinností vyplývajících ze smlouvy.

Právním základem je čl. 6 odst. 1 písm. b) GDPR, tedy provedení opatření na Vaši žádost před uzavřením smlouvy a plnění smlouvy, jejíž smluvní stranou jste.

Pokud jednáte za právnickou osobu nebo podnikající fyzickou osobu anebo pokud je příjemcem zásilky jiná fyzická osoba než zákazník, zpracováváme osobní údaje zástupce zákazníka nebo příjemce na základě čl. 6 odst. 1 písm. f) GDPR. Naším oprávněným zájmem je v takovém případě řádné uzavření a plnění smlouvy, doručení objednávky a komunikace se zákazníkem, jeho zástupcem nebo příjemcem.

3.2 Zákaznický účet

Pokud e-shop umožní založení zákaznického účtu, budeme údaje v účtu zpracovávat za účelem jeho vytvoření, zabezpečení a správy, umožnění přístupu k historii objednávek a poskytování funkcí, které si zákazník prostřednictvím účtu vyžádá.

Právním základem bude čl. 6 odst. 1 písm. b) GDPR. Založení účtu nebude podmínkou uzavření smlouvy a zejména nákupu, nebude-li to nezbytné pro povahu poskytované služby.

3.3 Plnění právních povinností

Osobní údaje zpracováváme také tehdy, je-li to nezbytné ke splnění právních povinností Milionu Chvilek, zejména povinností podle účetních, daňových a spotřebitelských předpisů, povinností souvisejících s vyřizováním reklamací a povinností poskytnout údaje oprávněným orgánům veřejné moci.

Právním základem je čl. 6 odst. 1 písm. c) GDPR.

3.4 Ochrana práv, bezpečnost a prevence zneužití

V nezbytném rozsahu můžeme údaje zpracovávat za účelem evidence a vymáhání pohledávek, určení, výkonu nebo obhajoby právních nároků, prokazování řádného plnění smlouvy, předcházení podvodům a jinému zneužití e-shopu a zajištění bezpečnosti informačních systémů.

Právním základem je čl. 6 odst. 1 písm. f) GDPR. Naším oprávněným zájmem je ochrana majetku, práv a bezpečného provozu e-shopu.

3.5 Přímý marketing a newsletter

E-mailovou adresu získanou v souvislosti s prodejem výrobku nebo služby můžeme za podmínek § 7 odst. 3 zákona č. 480/2004 Sb., o některých službách informační společnosti, používat k zasílání obchodních sdělení týkajících se našich vlastních obdobných výrobků nebo služeb.

Právním základem zpracování osobních údajů je náš oprávněný zájem podle čl. 6 odst. 1 písm. f) GDPR. Takové využití e-mailové adresy můžete bezplatně a jednoduše odmítnout již při jejím získání a následně v každém obchodním sdělení. Po vznesení námitky nebudeme Vaše údaje pro tento účel dále zpracovávat.

Osobám, které nejsou našimi zákazníky, budeme newsletter týkající se nabídky e-shopu zasílat pouze na základě jejich předchozího dobrovolného souhlasu podle čl. 6 odst. 1 písm. a) GDPR a § 7 odst. 2 zákona č. 480/2004 Sb. Souhlas lze kdykoli odvolat prostřednictvím odkazu v každém sdělení nebo kontaktem uvedeným v tomto poučení. Odvoláním souhlasu není dotčena zákonnost zpracování před jeho odvoláním.

4. Je poskytnutí osobních údajů povinné

Údaje označené v objednávkovém procesu jako povinné jsou smluvním požadavkem nebo údajem nezbytným k uzavření a plnění smlouvy. Bez jejich poskytnutí nemůžeme objednávku přijmout nebo řádně splnit. Poskytnutí ostatních údajů je dobrovolné a jejich neposkytnutí nebude bránit uzavření smlouvy, nevyžaduje-li je zákazníkem zvolený způsob plnění, dopravy nebo platby.

5. Komu osobní údaje zpřístupňujeme

Osobní údaje zpřístupňujeme pouze v nezbytném rozsahu. Podle konkrétního způsobu fungování e-shopu mohou mezi příjemce patřit zejména:

poskytovatel e-shopové platformy, hostingu, cloudových služeb, správy domény, zabezpečení a technické podpory;
poskytovatelé platebních služeb, platební brány a banky;
dopravci, provozovatelé výdejních míst, skladů;
poskytovatel účetního, fakturačního, skladového nebo zákaznického systému a externí účetní či daňoví poradci;
poskytovatelé e-mailových, newsletterových, zákaznických, analytických a marketingových nástrojů, jsou-li využívány;
advokáti, auditoři a další odborní poradci, je-li to nezbytné k ochraně našich práv;
orgány veřejné moci a jiné osoby, jimž jsme povinni údaje zpřístupnit podle právních předpisů.

Někteří příjemci zpracovávají osobní údaje naším jménem jako zpracovatelé podle čl. 28 GDPR. Jiní, například banky, platební instituce, dopravci nebo orgány veřejné moci, mohou v rozsahu svých zákonných nebo samostatně stanovených účelů vystupovat jako samostatní správci.

6. Předávání osobních údajů mimo Evropský hospodářský prostor

Pokud budou osobní údaje předávány do země mimo Evropský hospodářský prostor nebo mezinárodní organizaci, uskuteční se předání pouze při splnění podmínek kapitoly V GDPR.

7. Jak dlouho osobní údaje uchováváme

Osobní údaje uchováváme pouze po dobu nezbytnou pro účel, pro který jsou zpracovávány, zejména:

údaje potřebné k uzavření a plnění smlouvy po dobu vyřízení objednávky a úplného vypořádání práv a povinností ze smlouvy;
údaje nezbytné k ochraně práv a právních nároků zpravidla po dobu tří let od úplného vypořádání smluvního vztahu; pokud je zahájen spor, kontrola nebo jiné řízení, po dobu jeho trvání a následného výkonu rozhodnutí;
účetní a daňové doklady po dobu stanovenou příslušnými právními předpisy, podle druhu dokumentu zpravidla pět nebo deset let;
údaje používané pro přímý marketing do vznesení námitky nebo odvolání souhlasu; v omezeném rozsahu můžeme dále uchovat informaci o odmítnutí rozesílky, abychom zajistili, že další sdělení nebudou zasílána;
údaje zákaznického účtu po dobu jeho používání a po dobu 2 let od jeho zrušení, s výjimkou údajů, které jsme povinni nebo oprávněni uchovat z jiného právního důvodu;
technické záznamy a údaje z cookies po dobu odpovídající jejich bezpečnostnímu nebo technickému účelu a údajům uvedeným v nastavení cookies.

8. Cookies a obdobné technologie

Při provozu e-shopu můžeme používat cookies a obdobné technologie, které ukládají informace do Vašeho zařízení nebo z něj informace získávají. Některé z těchto údajů mohou být osobními údaji.

Nezbytné cookies používáme bez souhlasu pouze tehdy, jsou-li nezbytné pro přenos sdělení prostřednictvím sítě elektronických komunikací nebo pro poskytnutí služby, kterou jste výslovně požadovali, v souladu s § 89 odst. 3 zákona č. 127/2005 Sb., o elektronických komunikacích. Pokud jejich prostřednictvím zpracováváme osobní údaje, je právním základem podle jejich konkrétní funkce plnění smlouvy podle čl. 6 odst. 1 písm. b) GDPR nebo náš oprávněný zájem podle čl. 6 odst. 1 písm. f) GDPR na bezpečném a řádném provozu e-shopu.

Funkční, analytické, marketingové a jiné cookies, které nejsou nezbytné, aktivujeme až po udělení předchozího souhlasu prostřednictvím nastavení cookies. Jsou-li jejich prostřednictvím zpracovávány osobní údaje na základě souhlasu, je právním základem čl. 6 odst. 1 písm. a) GDPR. Souhlas můžete kdykoli stejně snadno změnit nebo odvolat prostřednictvím odkazu „“. Neudělení nebo odvolání souhlasu nemá vliv na používání základních funkcí e-shopu.

Podrobný seznam používaných cookies a obdobných technologií, jejich poskytovatelů, účelů, dob fungování a případných příjemců bude uveden v nastavení cookies nebo v samostatném přehledu dostupném z e-shopu.

9. Automatizované rozhodování a profilování

Při zpracování osobních údajů v souvislosti s e-shopem nedochází k rozhodování založenému výhradně na automatizovaném zpracování, které by pro Vás mělo právní účinky nebo se Vás obdobným způsobem významně dotýkalo ve smyslu čl. 22 GDPR.

10. Jak osobní údaje chráníme

Přijímáme přiměřená technická a organizační opatření odpovídající povaze, rozsahu a rizikům zpracování, abychom osobní údaje chránili před neoprávněným přístupem, ztrátou, zničením, změnou, zpřístupněním nebo jiným zneužitím. Přístup k osobním údajům mají pouze osoby, které jej potřebují k plnění svých pracovních nebo smluvních povinností a jsou vázány povinností mlčenlivosti.

11. Jaká máte práva

Za podmínek stanovených GDPR máte zejména následující práva:

Právo na přístup: můžete získat potvrzení, zda zpracováváme Vaše osobní údaje, informace o zpracování a kopii zpracovávaných údajů.

Právo na opravu: můžete požadovat opravu nepřesných údajů a doplnění neúplných údajů.

Právo na výmaz: můžete požadovat výmaz osobních údajů, pokud je splněn některý z důvodů podle čl. 17 GDPR. Právo na výmaz se neuplatní, pokud údaje potřebujeme ke splnění právní povinnosti nebo k určení, výkonu či obhajobě právních nároků.

Právo na omezení zpracování: můžete požadovat, abychom za podmínek čl. 18 GDPR dočasně omezili způsob, jakým s Vašimi údaji nakládáme.

Právo na přenositelnost: pokud je zpracování založeno na souhlasu nebo smlouvě a provádí se automatizovaně, můžete získat údaje, které jste nám poskytli, ve strukturovaném, běžně používaném a strojově čitelném formátu a případně požádat o jejich předání jinému správci, je-li to technicky proveditelné.

Právo vznést námitku: zpracováváme-li údaje na základě oprávněného zájmu, můžete z důvodů týkajících se Vaší konkrétní situace vznést námitku. Proti zpracování pro účely přímého marketingu můžete námitku vznést kdykoli a bez uvedení důvodu; poté již nebudeme Vaše údaje pro tento účel zpracovávat.

Právo odvolat souhlas: je-li zpracování založeno na souhlasu, můžete jej kdykoli odvolat. Odvoláním není dotčena zákonnost zpracování založeného na souhlasu před jeho odvoláním.

Právo podat stížnost: domníváte-li se, že zpracováním osobních údajů bylo porušeno GDPR, můžete podat stížnost u příslušného dozorového úřadu. V České republice je jím Úřad pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, www.uoou.cz, e-mail: posta@uoou.cz, tel.: +420 234 665 111.

Svá práva můžete uplatnit prostřednictvím kontaktních údajů uvedených v článku 1. Na žádost odpovíme bez zbytečného odkladu, zpravidla do jednoho měsíce. S ohledem na složitost a počet žádostí může být tato lhůta za podmínek GDPR prodloužena o další dva měsíce.

12. Účinnost a změny tohoto poučení

Toto poučení je účinné ode dne jeho zveřejnění. Pokud dojde k podstatné změně způsobu zpracování osobních údajů, bude aktualizované znění zveřejněno na e-shopu a v případech vyžadovaných právními předpisy budou dotčené osoby o změně vhodným způsobem informovány.