Zásady ochrany osobních údajů

PRACOVNÍ NÁVRH – NEPUBLIKOVAT
Verze návrhu: 0.3
Datum účinnosti: DOPLNIT před zveřejněním

1. Kdo zpracovává vaše osobní údaje

Správcem osobních údajů je:

Kathelyn Nasayao Marquez-Chovanec
IČO: 19875762
sídlo: Matoušova 1286/5, Smíchov, 150 00 Praha 5, Česká republika
provozovna Essence Thai Spa Massage: Preslova 1286/13, Praha 5 – Smíchov, Česká republika
e-mail: info@essencethaispamassage.cz
telefon: +420 774 481 411

dále jen „správce“ nebo „Essence Thai Spa Massage“.

Na e-mail info@essencethaispamassage.cz se můžete obracet také se žádostmi a dotazy týkajícími se ochrany osobních údajů.

2. Rozsah těchto zásad

Tyto zásady vysvětlují, jak zpracováváme osobní údaje návštěvníků webu, zájemců o služby, zákazníků, kupujících dárkových poukazů a osob, které s námi komunikují. Zásady jsou informačním dokumentem; obecný souhlas s nimi není podmínkou návštěvy webu.

3. Jaké údaje můžeme zpracovávat

Podle způsobu, jakým využíváte naše služby, může jít zejména o:

• identifikační údaje, zejména jméno;
• kontaktní údaje, zejména e-mail a telefonní číslo;
• údaje o rezervaci, zejména vybranou službu, datum, čas, délku, cenu, stav rezervace a související komunikaci;
• u hotelových rezervací také název nebo adresu hotelu a číslo pokoje;
• údaje o platbě a poukazu, například stav platby, částku, měnu, identifikátor transakce nebo kód poukazu; úplné údaje platební karty nezpracováváme přímo my;
• údaje obsažené v dotazu, reklamaci nebo jiné komunikaci;
• technické a provozní údaje, například IP adresu, typ zařízení a prohlížeče, informace o používání webu, cookie identifikátory a údaje o uděleném či odmítnutém souhlasu;
• údaje o zdroji návštěvy a konverzi, včetně transaction ID, hodnoty a měny rezervace, pokud návštěvník povolí příslušné analytické nebo marketingové technologie.

Zdravotní údaje zákazníků systematicky nezapisujeme ani neuchováváme. Pokud zákazník před masáží ústně sdělí terapeutovi informaci potřebnou pro bezpečné provedení služby, například o těhotenství, alergii nebo kontraindikaci, standardně ji neukládáme do rezervačního systému, klientského profilu, e-mailu ani jiné evidence.

Pokud nám zákazník z vlastní iniciativy zašle zdravotní údaj písemně, budeme s ním nakládat pouze v nezbytném rozsahu. DOPORUČENO OVĚŘIT PRÁVNÍKEM: postup, právní titul, omezení přístupu a bezodkladné mazání nevyžádaných zdravotních údajů.

4. Rezervace a Acuity Scheduling

Pro vytvoření a správu rezervace zpracováváme zejména jméno, e-mail, telefonní číslo, vybranou službu, termín a cenu. U hotelové rezervace může být vyžadován název nebo adresa hotelu a číslo pokoje.

Účelem je vytvoření rezervace, její automatické potvrzení, potvrzení termínu e-mailem, poskytnutí služby, umožnění přesunu rezervace, vyřízení změny nebo zrušení a řešení souvisejících požadavků. Právním titulem je provedení opatření před uzavřením smlouvy a plnění smlouvy. V nezbytném rozsahu můžeme údaje uchovat také kvůli splnění právních povinností a ochraně právních nároků.

Rezervační systém poskytuje Acuity Scheduling / Squarespace Scheduling. Úspěšně dokončená rezervace nevyžaduje ruční schválení, je automaticky potvrzena a zákazníkovi je automaticky odeslán potvrzovací e-mail. Zákazník může rezervaci prostřednictvím systému přesunout. Samostatné zrušení v systému není povoleno; rezervaci lze zrušit telefonicky, e-mailem nebo prostřednictvím WhatsApp na čísle +420 774 481 411.

DOPLNIT: skutečnou dobu uchování údajů v Acuity a nastavení mazání. Návrh doby musí odpovídat provozní potřebě, smluvním a zákonným povinnostem a ochraně právních nároků.

5. Platby a Stripe

Zákazník může zaplatit online při rezervaci nebo až v salonu. Online platby technicky zpracovává Stripe. Stripe obdrží údaje potřebné k provedení platby a prevenci podvodů; úplné údaje platební karty nejsou zpřístupněny salonu jako běžná součást rezervace.

Účelem zpracování je přijetí a evidence platby, vrácení platby, vyřízení reklamace, účetnictví a ochrana právních nároků. Právním titulem je plnění smlouvy, splnění právních povinností a v nezbytném rozsahu oprávněný zájem na ochraně práv.

Účetní a daňové doklady uchováváme po dobu vyžadovanou příslušnými právními předpisy. DOPORUČENO OVĚŘIT ÚČETNÍM / PRÁVNÍKEM: konkrétní lhůty podle skutečného daňového postavení podnikatele a typu dokladu.

6. E-mailová, telefonní, WhatsApp a SMS komunikace

Kontaktní údaje a obsah komunikace zpracováváme za účelem potvrzení a připomenutí rezervace, řešení změn a zrušení, odpovědí na dotazy, reklamací a dalších provozních záležitostí. Právním titulem je podle situace jednání o smlouvě, plnění smlouvy, splnění právní povinnosti nebo oprávněný zájem na vyřízení komunikace a ochraně práv.

SMS používáme pouze pro komunikaci související s rezervací, zejména potvrzení, připomenutí a provozní informace. SMS nepoužíváme pro marketing.

E-mailové služby a hosting nového webu poskytuje FORPSI. Rezervační e-maily a SMS mohou být odesílány také prostřednictvím Acuity / Squarespace a jejich dodavatelů.

DOPLNIT: skutečnou dobu uchování běžné zákaznické komunikace a konfiguraci schránek, Acuity a WhatsApp.

7. Webhosting a FORPSI

Nový web a firemní e-mail využívají služby FORPSI. V rozsahu, v jakém FORPSI ukládá nebo technicky zpřístupňuje osobní údaje naším jménem, může vystupovat jako zpracovatel. Může jít zejména o provozní logy webu, e-mailové zprávy a technické zálohy.

DOPLNIT před zveřejněním: přesný smluvní subjekt FORPSI, používané služby, skutečné retenční doby logů a záloh, umístění zpracování a smluvní role. Tyto skutečnosti nebyly v rámci návrhu ověřeny a dokument je nepředjímá.

8. Google Analytics 4 a Google Ads

Pokud návštěvník udělí příslušný souhlas, plánujeme používat:

• Google Analytics 4, Measurement ID G-9CDK7XJLF1, pro měření návštěvnosti a používání webu;
• Google Ads conversion tracking, ID AW-10782951242, pro měření účinnosti reklam a dokončených rezervací.

Při měření konverze mohou být zpracovány technické identifikátory, informace o zdroji návštěvy, zařízení a interakci a údaje o rezervaci v rozsahu transaction ID, hodnoty a měny. Do analytických nebo reklamních systémů nemají být odesílány jméno, e-mail, telefon ani zdravotní údaje.

Účelem je měření návštěvnosti, vyhodnocování reklam a optimalizace marketingu. Právním titulem pro ukládání/čtení netechnických cookies a související zpracování bude souhlas. Bez souhlasu nebudou analytické a marketingové technologie aktivovány, s výhradou případných čistě technických signálů, jejichž přesnou konfiguraci je nutné ověřit před spuštěním.

DOPLNIT: skutečnou konfiguraci GA4, Google Ads, Consent Mode, retenční dobu GA4 a konkrétní seznam cookies po dokončení implementace.
DOPORUČENO OVĚŘIT PRÁVNÍKEM: rozdělení rolí mezi správcem a společností Google, právní mechanismus a záruky případného předávání mimo EU/EHP.

9. Cookies a správa souhlasu

Web může používat:

• nezbytné technologie nutné pro bezpečnost a základní fungování webu a rezervace;
• preferenční technologie, pokud budou zavedeny;
• analytické technologie, zejména Google Analytics;
• marketingové technologie, zejména Google Ads.

Analytické a marketingové technologie budou spuštěny až po souhlasu návštěvníka. Cookie rozhraní musí umožnit souhlas udělit, odmítnout a později stejně snadno odvolat nebo změnit. Odvoláním souhlasu není dotčena zákonnost předchozího zpracování.

Záznam o volbě souhlasu budeme uchovávat po dobu nezbytnou k doložení volby a následně jej obnovovat v přiměřených intervalech. DOPLNIT: poskytovatele consent platformy a skutečnou retenční dobu záznamu.

Doporučujeme před spuštěním vytvořit také samostatnou Cookie Policy s aktuálním seznamem používaných technologií, účelů, poskytovatelů a dob platnosti.

10. Google Fonts

Web může používat Google Fonts. Preferovanou variantou je lokální hostování fontů, při němž pro načtení písma nevzniká přímé spojení návštěvníka se servery Google.

DOPLNIT před zveřejněním: zda budou fonty skutečně hostovány lokálně. Pokud budou načítány externě, je nutné popsat přenos technických údajů a posoudit právní titul a případné předávání mimo EU/EHP.

11. Dárkové poukazy, balíčky a Loyalty

Při nákupu a uplatnění poukazu, balíčku nebo Loyalty programu zpracováváme údaje nutné k objednávce, platbě, vydání a ověření rezervačního nebo voucherového kódu a poskytnutí služby. Právním titulem je jednání o smlouvě a plnění smlouvy; pro účetní doklady splnění právní povinnosti a pro ochranu nároků oprávněný zájem.

Dárkový poukaz se vystavuje na konkrétní službu a může být doručen elektronicky nebo vystaven fyzicky v salonu. K jeho uplatnění slouží voucherový kód. Loyalty program funguje jako předplacený balíček určitého počtu masáží a používá unikátní rezervační/Loyalty kód zasílaný zákazníkovi e-mailem, který slouží k postupné rezervaci a čerpání předplacených masáží. Kódy mají povahu opravňujících údajů, a zákazník by je proto měl chránit před neoprávněným použitím.

Pokud zákazník oznámí ztrátu, odcizení nebo podezření na neoprávněné použití voucherového kódu, můžeme za účelem ověření oprávnění a případného zablokování či nahrazení kódu zpracovat údaje potřebné k dohledání nákupu a ověření oprávněného držitele.

DOPLNIT: přesné údaje kupujícího a případného obdarovaného zpracovávané u jednotlivých variant nákupu a skutečné retenční nastavení Acuity.

12. Příjemci, zpracovatelé a předávání mimo EU/EHP

Podle využité služby mohou mít k údajům v nezbytném rozsahu přístup zejména:

• Acuity Scheduling / Squarespace;
• Stripe;
• FORPSI;
• Google, pokud byl udělen příslušný souhlas;
• poskytovatelé e-mailových a SMS služeb zapojení do rezervace;
• účetní, daňoví nebo právní poradci, pokud je to nezbytné;
• orgány veřejné moci, pokud to vyžaduje právní předpis.

Někteří poskytovatelé jsou součástí mezinárodních skupin a zpracování může zahrnovat předání mimo EU/EHP. V takovém případě musí být použit odpovídající právní mechanismus a záruky podle GDPR, například rozhodnutí o odpovídající ochraně nebo standardní smluvní doložky.

DOPLNIT / DOPORUČENO OVĚŘIT PRÁVNÍKEM: aktuální smluvní subjekty, role, seznam dalších zpracovatelů a mechanismy předávání u Squarespace/Acuity, Stripe, Google a poskytovatele SMS.

13. Doby uchování

Osobní údaje neuchováváme déle, než je nezbytné. Před zveřejněním budou doplněny a provozně zavedeny konkrétní lhůty:

14. Vaše práva

Za podmínek stanovených GDPR máte zejména právo:

• získat potvrzení, zda vaše údaje zpracováváme, a právo na přístup;
• požadovat opravu nepřesných nebo doplnění neúplných údajů;
• požadovat výmaz nebo omezení zpracování;
• vznést námitku proti zpracování založenému na oprávněném zájmu;
• získat údaje v přenositelném formátu, pokud jsou splněny zákonné podmínky;
• kdykoli odvolat souhlas, je-li zpracování založeno na souhlasu;
• podat stížnost u Úřadu pro ochranu osobních údajů.

Žádost můžete zaslat na info@essencethaispamassage.cz. Před vyřízením můžeme přiměřeně ověřit vaši totožnost.

Úřad pro ochranu osobních údajů: Pplk. Sochora 27, 170 00 Praha 7, web uoou.gov.cz.

15. Automatizované rozhodování a profilování

Neprovádíme rozhodování, které by bylo založeno výlučně na automatizovaném zpracování a mělo pro zákazníka právní nebo obdobně významné účinky. Google Analytics a Google Ads mohou po souhlasu pomáhat vytvářet statistiky nebo reklamní publika; DOPLNIT podle finální konfigurace reklamních funkcí.

16. Zabezpečení

Používáme přiměřená technická a organizační opatření odpovídající povaze zpracování. Přístup k údajům je omezen na osoby a dodavatele, kteří jej potřebují pro stanovený účel. Žádný způsob přenosu nebo uložení však nemůže zaručit absolutní bezpečnost.

17. Změny těchto zásad

Zásady můžeme aktualizovat při změně služeb, technologií nebo právních požadavků. Aktuální verze bude označena datem účinnosti a číslem verze. Podstatné změny oznámíme vhodným způsobem.

Prameny použité pro pracovní návrh

• Nařízení (EU) 2016/679 (GDPR), zejména čl. 5, 6, 9, 12–22, 28, 32 a 44–49.
• Úřad pro ochranu osobních údajů: základní příručka, práva subjektů údajů a informace ke cookies.
• Potvrzené technické a provozní informace poskytnuté provozovatelem.