Zásady ochrany osobních údajů HABS

Tyto zásady vysvětlují, jak společnost Hair and Beauty school s.r.o. zpracovává osobní údaje při provozu webu habs.cz, uživatelského portálu HABS, při registraci, nákupech, studiu, spolupráci s Tvůrci, fakturaci, výplatách a související komunikaci.

Tyto zásady jsou informačním dokumentem podle GDPR. Nejde o souhlas se zpracováním osobních údajů. Pokud HABS potřebuje souhlas pro konkrétní dobrovolný účel, vyžádá si jej samostatně.

1. Správce osobních údajů

Správcem osobních údajů je:

Hair and Beauty school s.r.o.
IČO: 21501220
sídlo: Brigádnická 78/50, Heřmanice, 713 00 Ostrava
zapsaná u Krajského soudu v Ostravě, oddíl C, vložka 95877
(dále jen „HABS“).

Kontakt pro otázky ochrany osobních údajů a uplatnění práv:

podpora@habs.cz

2. Koho se zásady týkají

Zásady se vztahují zejména na:

• návštěvníky webu a portálu HABS,

• registrované uživatele a Studenty,

• zákazníky objednávající digitální obsah nebo služby,

• Tvůrce a zájemce o tvůrčí účet,

• osoby komunikující s podporou HABS,

• osoby, jejichž údaje jsou součástí právních, účetních, auditních, bezpečnostních nebo provozních záznamů HABS.

3. Jaké osobní údaje zpracováváme

Rozsah závisí na tom, které funkce HABS používáte.

3.1 Účet, identita a profil

Můžeme zpracovávat zejména:

• jméno a příjmení,

• e-mailovou adresu,

• telefonní číslo, pokud jej uvedete,

• interní identifikátor účtu a autentizační identifikátor,

• typ, stav a oprávnění účtu,

• profilový obrázek,

• bio a další profilové informace,

• jazyk a časové pásmo.

Autentizaci zajišťuje vlastní instance Keycloak provozovaná v infrastruktuře HABS.

3.2 Veřejný profil Tvůrce

Pokud jste Tvůrcem, mohou být podle vašeho nastavení veřejně zobrazeny zejména:

• veřejné jméno,

• profesní popis, bio a specializace,

• město,

• web,

• odkazy na sociální sítě,

• veřejné obrázky a další údaje určené k prezentaci Tvůrce.

3.3 Objednávkové a fakturační údaje

Můžeme zpracovávat zejména:

• jméno nebo název fakturačního subjektu,

• fakturační e-mail a adresu,

• stát,

• IČO a DIČ, pokud jsou relevantní,

• identifikátor zákazníka ve fakturačním systému,

• číslo, obsah a stav objednávky,

• objednané produkty,

• cenu, slevu, DPH a měnu,

• použitý slevový kód,

• zdroj objednávky a údaje potřebné pro referral/provizní atribuci,

• storna a refundace,

• snapshot fakturačních údajů platný při objednávce.

Pokud použijete vyhledání podle IČO, mohou být identifikační údaje doplněny z veřejného systému ARES.

3.4 Platební údaje

HABS může evidovat zejména:

• identifikátor platby přidělený platební bránou,

• stav a výsledek platby,

• částku, měnu a vazbu na objednávku,

• technické údaje potřebné pro ověření, párování, refundaci a reklamaci plateb.

HABS standardně neukládá celé číslo platební karty ani CVC/CVV. Karetní údaje potřebné k provedení platby zpracovává platební brána ČSOB.

3.5 Studijní údaje

Můžeme zpracovávat zejména:

• získané přístupy k produktům,

• dobu a stav přístupu,

• průběh studia a dokončení lekcí,

• výsledky a pokusy u kvízů,

• vydané certifikáty,

• uživatelské poznámky k lekcím.

Poznámky jsou volný obsah vložený uživatelem; nevkládejte do nich zbytečně citlivé údaje o sobě ani jiných osobách.

3.6 Údaje Tvůrců, provize a výplaty

Můžeme zpracovávat zejména:

• smluvní a kontaktní údaje,

• IČO, DIČ, adresu a údaje o daňovém statusu,

• bankovní účet pro výplatu,

• smluvní snapshot identity při přijetí právního dokumentu,

• provize, jejich výpočet a zdroj atribuce,

• payouty, bankovní exporty a jejich stav,

• self-billing doklady, opravné doklady a jejich stav přijetí nebo námitky,

• obsah nahraný nebo vytvořený Tvůrcem,

• evidenci právních dokumentů a jejich přijetí.

3.7 Právní a auditní evidence

Pro prokázání právně významných úkonů můžeme zpracovávat zejména:

• konkrétní verzi a kontrolní otisk právního dokumentu,

• datum a čas zveřejnění nebo přijetí,

• účel a kontext přijetí,

• identifikátor účtu,

• IP adresu a user-agent, pokud jsou při daném úkonu evidovány,

• administrátorskou auditní stopu včetně aktéra, akce, cíle a času,

• evidenci výslovného souhlasu se zahájením poskytování placeného digitálního obsahu před uplynutím lhůty pro odstoupení.

Zobrazení Privacy Policy při checkoutu je evidováno jako informační notice; nejde o souhlas se zpracováním osobních údajů.

3.8 Technické a provozní údaje

Při provozu služby mohou vznikat zejména:

• IP adresa,

• user-agent a technické informace o klientovi,

• časové údaje,

• autentizační a bezpečnostní události,

• aplikační, infrastrukturní a chybové logy,

• technické identifikátory,

• interní eventové zprávy potřebné k doručení e-mailu, vytvoření faktury nebo jiné asynchronní operaci,

• metadata nahraných souborů.

HABS provozuje vlastní observability stack Grafana, Prometheus, Loki a Alloy v infrastruktuře hostované u Hetzneru. Nejde o službu Grafana Cloud.

3.9 Komunikace

Při kontaktu s HABS můžeme zpracovávat obsah zprávy, kontaktní údaje, historii komunikace a informace potřebné k vyřízení podpory, reklamace, refundace, námitky nebo právního požadavku.

4. Odkud údaje získáváme

Údaje získáváme zejména:

• přímo od vás,

• automaticky při používání HABS,

• z ARES a jiných veřejných rejstříků v rozsahu potřebném pro daný účel,

• od ČSOB v souvislosti s výsledkem platební transakce,

• od Fakturoidu v souvislosti s fakturačními procesy,

• od technických poskytovatelů v rozsahu potřebném k provozu služby,

• od Tvůrce nebo smluvního partnera, pokud je to nezbytné pro konkrétní službu nebo právní vztah.

5. Účely a právní základy

5.1 Účet a poskytování služby

Účet, autentizaci, přístupy, studijní funkce a nastavení zpracováváme zejména pro plnění smlouvy nebo provedení kroků před jejím uzavřením podle čl. 6 odst. 1 písm. b) GDPR.

5.2 Objednávky, platby, digitální obsah a podpora

Údaje potřebné pro objednávku, platbu, zpřístupnění produktu, reklamaci, refundaci a podporu zpracováváme zejména podle čl. 6 odst. 1 písm. b) GDPR. V rozsahu zákonných povinností také podle čl. 6 odst. 1 písm. c) GDPR.

5.3 Fakturace, účetnictví a daně

Účetní a daňové údaje zpracováváme pro splnění právních povinností podle čl. 6 odst. 1 písm. c) GDPR.

5.4 Tvůrci, provize a payouty

Údaje potřebné pro tvůrčí členství, smlouvu, výpočet odměny, payout a self-billing zpracováváme zejména pro plnění smlouvy podle čl. 6 odst. 1 písm. b) GDPR a pro zákonné účetní a daňové povinnosti podle čl. 6 odst. 1 písm. c) GDPR.

5.5 Referral atribuce

Po přihlášení může být k účtu přiřazena platná referral atribuce Tvůrce. Jejím účelem je určit zdroj případné objednávky, správně vypočítat smluvní provizi a předcházet sporům a zneužití referral systému.

Právním základem je oprávněný zájem HABS a dotčeného Tvůrce podle čl. 6 odst. 1 písm. f) GDPR. HABS nepoužívá tento mechanismus pro sledování návštěvníka napříč cizími weby.

Anonymní referral kód se před přihlášením zachovává v podporovaném toku v URL a neukládá se pro tento účel do dlouhodobého persistentního browser storage. Po úspěšném přiřazení k přihlášenému účtu je serverová atribuce časově omezena, aktuálně nejvýše na 30 dnů. Novější platná atribuce nahrazuje předchozí.

Pokud následně vznikne objednávka, údaje nutné k prokázání skutečně použité atribuce a provize se stávají součástí objednávkové a účetní evidence.

5.6 Bezpečnost, audit a ochrana práv

Pro zabezpečení účtů a infrastruktury, prevenci zneužití, diagnostiku incidentů, audit významných operací a ochranu právních nároků zpracováváme nezbytné údaje zejména na základě oprávněného zájmu podle čl. 6 odst. 1 písm. f) GDPR; pokud evidenci vyžaduje zákon, na základě čl. 6 odst. 1 písm. c) GDPR.

5.7 Souhlas

Souhlas používáme pouze pro oddělené dobrovolné účely, pokud je pro ně právně vyžadován nebo zvolen jako odpovídající právní základ, například pro budoucí netechnické cookies, analytické nebo marketingové technologie.

Běžné fungování účtu, nákup, účetnictví ani poskytování zakoupeného obsahu nejsou podmíněny obecným „souhlasem s GDPR“.

6. Povinné a volitelné údaje

Pokud je údaj nezbytný pro registraci, objednávku, fakturaci, smlouvu s Tvůrcem nebo výplatu, bez jeho poskytnutí nemusí být možné příslušnou službu poskytnout.

Volitelné profilové údaje poskytovat nemusíte.

7. Příjemci a dodavatelé

7.1 Hetzner

HABS používá infrastrukturu a Object Storage společnosti Hetzner Online GmbH pro provoz aplikací, databází, souborů, médií a záloh. Hetzner pro HABS v relevantním rozsahu vystupuje jako zpracovatel.

7.2 ČSOB

Online karetní platby zajišťuje ČSOB. ČSOB získává údaje potřebné k autentizaci, autorizaci, zúčtování a správě plateb. Pro vlastní regulatorní a platební povinnosti vystupuje v odpovídajícím rozsahu jako samostatný správce/příjemce.

7.3 Fakturoid

HABS používá Fakturoid s.r.o. pro fakturační a související účetní procesy, zejména zákaznické faktury a účetní synchronizaci související s Tvůrci.

7.4 Resend

Pro transakční, provozní a bezpečnostní e-maily používá HABS službu Resend, provozovanou společností Plus Five Five, Inc. Zpracovává zejména e-mailovou adresu příjemce, obsah odeslané zprávy a technické údaje o doručení.

7.5 Banky a poskytovatelé finančních služeb

Při výplatách Tvůrcům mohou být potřebné údaje předány bance nebo jinému poskytovateli finanční služby.

7.6 Odborní poradci a orgány veřejné moci

Údaje mohou být v nezbytném rozsahu zpřístupněny účetním, daňovým nebo právním poradcům a orgánům veřejné moci, pokud to vyžaduje zákon nebo ochrana práv.

7.7 Interní monitoring

Grafana, Prometheus, Loki a Alloy jsou součástí infrastruktury HABS provozované na Hetzneru. Nejde o samostatného externího cloudového příjemce typu Grafana Cloud.

8. Předávání mimo EHP

Některé osobní údaje mohou být zpracovávány mimo Evropský hospodářský prostor.

To se týká zejména služby Resend, u které mohou být zákaznická e-mailová a doručovací data ukládána ve Spojených státech amerických. Předávání musí být kryto mechanismem podle kapitoly V GDPR, například rozhodnutím o odpovídající ochraně, použitelným rámcem EU–US Data Privacy Framework nebo standardními smluvními doložkami podle konkrétní situace.

HABS nebude tvrdit, že všechna osobní data zůstávají výhradně v EHP.

9. Jak dlouho údaje uchováváme

Dobu uchování určujeme podle účelu, smluvních a zákonných povinností a potřeby ochrany práv.

9.1 Účet a profil

Aktivní účetní a profilové údaje zpracováváme po dobu používání účtu. Při žádosti o ukončení nebo výmaz posoudíme jednotlivé kategorie dat. Údaje bez dalšího právního důvodu odstraníme nebo anonymizujeme; údaje potřebné pro účetnictví, smluvní důkaz, reklamaci, spor nebo jinou zákonnou povinnost uchováme odděleně po příslušnou dobu.

HABS v současnosti nemá automatický account-wide anonymizační workflow. Žádosti o výmaz se proto vyřizují individuálně a mohou vyžadovat ruční zásah ve více systémech.

9.2 Objednávky, smlouvy a právní důkazy

Údaje potřebné pro probíhající smluvní vztah uchováváme po dobu jeho trvání. Po jeho skončení můžeme relevantní smluvní a důkazní údaje uchovávat po dobu potřebnou pro ochranu právních nároků, typicky s přihlédnutím k obecné promlčecí době, pokud konkrétní případ nebo právní předpis nevyžaduje jinak.

Při sporu, reklamaci, kontrole nebo jiném právním nároku může být relevantní evidence uchována po dobu nezbytnou k jeho vyřešení a ochraně navazujících práv.

9.3 Účetní a daňové doklady

Účetní a daňové záznamy uchováváme po zákonem stanovenou dobu. Podle typu záznamu jde typicky o 5 let u vybraných účetních záznamů a 10 let tam, kde se použije zákonná desetiletá archivační povinnost pro daňové doklady podle předpisů o DPH.

9.4 Tvůrci, payouty a self-billing

Údaje potřebné pro spolupráci uchováváme po dobu jejího trvání a následně v rozsahu nutném pro vypořádání odměn, účetní a daňové povinnosti, dokladování přijatých smluv a ochranu právních nároků.

9.5 Studijní údaje

Studijní postup, kvízy, poznámky a certifikáty uchováváme po dobu, kdy jsou potřebné pro poskytování studijní funkce. Po ukončení účtu nebo přístupu jejich další potřebnost posoudíme podle účelu, vydaných certifikátů a případných právních nároků.

9.6 Referral atribuce

Aktivní serverová referral atribuce přihlášeného účtu má maximální platnost 30 dnů od úspěšného přiřazení. Po expiraci ji automatický cleanup odstraní. Atribuce, která se stala součástí uskutečněné objednávky nebo provize, se řídí retenční dobou příslušné obchodní a účetní evidence.

9.7 Provozní a technická evidence

Aktuální provozní nastavení počítá zejména s:

• zpracovanými interními outbox eventy: standardně 14 dnů,

• Loki logy: konfigurovaná retence 14 dnů,

• Prometheus metrikami: konfigurovaná retence 30 dnů s kapacitním limitem.

Pending/failed eventy, fronty, incidentní exporty a jiné provozní kopie mohou mít odlišnou životnost; HABS je spravuje podle provozní potřeby a zásady minimalizace.

Pokud je konkrétní záznam nutný pro vyšetření incidentu, podvodu nebo právního nároku, může být jeho relevantní část oddělena a držena déle po dobu nezbytnou pro daný účel.

9.8 Zálohy

Produkční databáze je pravidelně zálohována. Údaj odstraněný z aktivního systému proto může dočasně existovat v historickém backup setu až do jeho rotace nebo expirace.

Zálohy nejsou používány k běžnému vracení smazaných osobních údajů do produkce. Pokud dojde k obnově celého systému ze starší zálohy, HABS musí znovu zohlednit platné výmazy nebo omezení provedené po okamžiku této zálohy.

10. Vaše práva

Za podmínek GDPR máte zejména právo:

• na informace a přístup k osobním údajům,

• na opravu nepřesných údajů,

• na výmaz, jsou-li splněny zákonné podmínky,

• na omezení zpracování,

• na přenositelnost tam, kde se použije čl. 20 GDPR,

• vznést námitku proti zpracování založenému na oprávněném zájmu,

• odvolat souhlas, pokud je konkrétní zpracování na souhlasu založeno,

• podat stížnost u dozorového úřadu.

Žádost pošlete na podpora@habs.cz.

HABS odpoví bez zbytečného odkladu a zpravidla nejpozději do jednoho měsíce. Pokud GDPR umožňuje lhůtu prodloužit, HABS vás o tom včas informuje.

Je-li to potřebné k ochraně údajů, můžeme před vyřízením žádosti přiměřeně ověřit totožnost žadatele.

Právo na výmaz není absolutní. HABS například nesmí odstranit účetní nebo daňovou evidenci, kterou musí uchovávat ze zákona, pouze proto, že byl ukončen uživatelský účet.

11. Jak probíhá výmaz účtu a osobních údajů

Protože jsou data rozdělena mezi více systémů a některé záznamy musí být zachovány, žádost o výmaz se neposuzuje jako prosté smazání jednoho databázového řádku.

HABS podle povahy účtu prověří zejména:

• Keycloak a HABS účet,

• profil a volitelné údaje,

• studijní údaje a poznámky,

• nahrané soubory,

• objednávky a fakturační evidence,

• právní acceptance evidence,

• Fakturoid,

• e-mailovou/doručovací evidenci v rozsahu dostupném u Resend,

• relevantní technické logy,

• u Tvůrce také smlouvy, provize, payouty a self-billing.

Data, která již nejsou potřebná a není pro ně jiný právní důvod, HABS odstraní nebo anonymizuje. Data, která musí zůstat kvůli právní povinnosti nebo právním nárokům, budou nadále používána pouze pro tento omezený účel.

12. Automatizované zpracování

HABS používá automatizovaná pravidla například pro:

• cenu a slevy,

• technický stav objednávky a platby,

• studijní postup a vyhodnocení kvízů,

• referral atribuci,

• výpočet provizí a payoutů.

HABS podle současného produkčního modelu nepoužívá rozhodování založené výhradně na automatizovaném zpracování osobních aspektů, které by vůči uživateli bez odpovídajícího přezkumu zakládalo právní účinky nebo jej obdobně významně ovlivňovalo ve smyslu čl. 22 GDPR.

Pokud se domníváte, že automatizovaný výsledek týkající se vaší objednávky, přístupu nebo provize není správný, kontaktujte podpora@habs.cz.

13. Zabezpečení

HABS používá přiměřená technická a organizační opatření, zejména:

• řízení přístupových oprávnění,

• autentizaci a oddělení rolí,

• šifrovanou komunikaci,

• omezení přístupu k produkčním systémům,

• ochranu secrets,

• zálohování a obnovu,

• audit významných administrativních operací,

• provozní a bezpečnostní monitoring,

• oddělení produkčního a vývojového prostředí.

Žádný informační systém nelze považovat za absolutně bezpečný. Případný incident HABS posoudí a splní oznamovací povinnosti podle GDPR, pokud jsou dány jejich podmínky.

14. Cookies, localStorage a obdobné technologie

HABS používá technické prostředky nezbytné pro přihlášení, bezpečnost a funkce požadované uživatelem a browser storage pro vybrané aplikační stavy, například košík.

Aktuální podrobnosti jsou uvedeny v Zásadách používání cookies a obdobných technologií.

Privacy Policy sama o sobě není cookie consent. Pokud HABS v budoucnu aktivuje netechnické technologie vyžadující předchozí souhlas, budou před udělením souhlasu blokovány a souhlas bude spravován samostatně.

15. Změny zásad

HABS může zásady aktualizovat při změně funkcí, dodavatelů, účelů zpracování nebo právních požadavků.

Aktuální účinná verze je zveřejněna prostřednictvím HABS. Pokud změna podstatně mění zpracování, HABS dotčené osoby vhodným způsobem informuje, pokud to povaha změny a právní předpisy vyžadují.

Nové znění Privacy Policy samo o sobě nenahrazuje souhlas tam, kde je pro nový účel souhlas vyžadován.

16. Dozorový úřad

Máte právo podat stížnost u:

Úřad pro ochranu osobních údajů
Pplk. Sochora 27
170 00 Praha 7
e-mail: posta@uoou.gov.cz
web: https://uoou.gov.cz

Verze a datum účinnosti: jsou uvedeny u konkrétní publikované verze dokumentu v právním systému HABS.