Zásady GDPR

1. Přehled GDPR a náš závazek

Obecné nařízení o ochraně osobních údajů (GDPR) je komplexní právní předpis, který upravuje, jak se shromažďují, zpracovávají a ukládají osobní údaje osob v Evropském hospodářském prostoru (EHP).

Printedin se plně zavazuje dodržovat GDPR. Osobní údaje zpracováváme zákonně, korektně a transparentně. Údaje shromažďujeme pouze pro určité, výslovně vyjádřené a legitimní účely a dbáme na to, aby byly přiměřené, relevantní a omezené na nezbytný rozsah.

2. Informace o správci

Podle GDPR je Printedin správcem osobních údajů svých uživatelů. To znamená, že určujeme účely a prostředky zpracování osobních údajů.

3. Právní základ zpracování

Podle článku 6 GDPR zpracováváme osobní údaje na těchto právních základech:

Pokud zpracování zakládáme na souhlasu, máš právo svůj souhlas kdykoli odvolat. Odvolání souhlasu nemá vliv na zákonnost zpracování, které proběhlo před jeho odvoláním.

4. Kategorie osobních údajů

Zpracováváme tyto kategorie osobních údajů:

5. Práva subjektu údajů

Podle GDPR máš v souvislosti se svými osobními údaji následující práva. Na všechny oprávněné žádosti odpovíme do 30 dní (u složitých žádostí lze lhůtu prodloužit o 60 dní):

5.1 Právo na přístup (čl. 15)

Máš právo získat potvrzení, zda tvé osobní údaje zpracováváme, a požádat o kopii svých údajů v běžně používaném elektronickém formátu.

5.2 Právo na opravu (čl. 16)

Máš právo požádat o opravu nepřesných osobních údajů nebo o doplnění neúplných údajů. Většinu údajů můžeš upravit přímo v nastavení svého profilu.

5.3 Právo na výmaz (čl. 17)

Máš právo požádat o výmaz svých osobních údajů („právo být zapomenut“), s výhradou platných právních povinností (např. daňových záznamů, které je nutné uchovávat).

5.4 Právo na omezení zpracování (čl. 18)

Můžeš požádat o omezení zpracování svých údajů po dobu, kdy ověřujeme jejich přesnost nebo posuzujeme naše oprávněné zájmy, nebo pokud je zpracování protiprávní, ale výmaz odmítáš.

5.5 Právo na přenositelnost údajů (čl. 20)

Máš právo získat své osobní údaje ve strukturovaném, běžně používaném a strojově čitelném formátu (JSON nebo CSV) a předat je jinému správci.

5.6 Právo vznést námitku (čl. 21)

Máš právo vznést námitku proti zpracování založenému na oprávněných zájmech nebo zpracování pro účely přímého marketingu. Zpracování ukončíme, ledaže prokážeme závažné oprávněné důvody, které převažují nad tvými zájmy.

5.7 Práva související s automatizovaným rozhodováním (čl. 22)

Nepoužíváme automatizované rozhodování ani profilování, které by pro tebe mělo právní účinky nebo se tě obdobně významně dotýkalo.

6. Činnosti zpracování

Vedeme záznamy o činnostech zpracování (ROPA), jak vyžaduje článek 30 GDPR. Mezi naše hlavní činnosti zpracování patří:

• Registrace uživatelů: zpracování jména, e-mailu a hesla pro založení účtu.
• Návrh produktu: zpracování nahraných obrázků a textů pro vytvoření náhledů návrhů.
• Vyřízení objednávek: zpracování adres a platebních údajů pro tisk a odeslání.
• Zákaznická podpora: zpracování komunikace a údajů o účtu pro vyřešení dotazů.
• Marketing: zpracování e-mailových adres, abychom ti připomněli nedokončený návrh (na základě souhlasu, podle tvého nastavení oznámení).
• Odpovědi na poptávky: odesílání tvé korespondence s námi a záznamu zakázky, ke které patří, poskytovateli služeb AI, který pro nás připraví koncept odpovědi ke kontrole (plnění smlouvy a oprávněný zájem).
• Analytika: zpracování údajů o používání za účelem zlepšování našich služeb (na základě souhlasu).
• Reklama: zpracování návštěv stránek a nákupů za účelem měření reklamy a vytváření publik (na základě souhlasu).

6.1 Další zpracovatelé

Využíváme tyto kategorie dalších zpracovatelů a se všemi máme uzavřené odpovídající smlouvy o zpracování osobních údajů (DPA):

7. Mezinárodní předávání údajů

Osobní údaje ukládáme a zpracováváme především v Evropském hospodářském prostoru (EHP). Pokud je nutné předat údaje mimo EHP, zajišťujeme odpovídající ochranu takto:

• Rozhodnutí o odpovídající ochraně: předávání do zemí, o kterých Evropská komise rozhodla, že zajišťují odpovídající úroveň ochrany.
• Standardní smluvní doložky (SCC): smluvní podmínky schválené EU, které zajišťují rovnocennou ochranu údajů.
• Doplňková opatření: další technická a organizační opatření tam, kde je to nutné (šifrování, pseudonymizace).

8. Opatření na ochranu údajů

V souladu s článkem 32 GDPR zavádíme vhodná technická a organizační opatření, abychom zajistili úroveň zabezpečení odpovídající danému riziku:

8.1 Technická opatření

• šifrování TLS 1.2 nebo 1.3 všech dat mezi tvým prohlížečem a našimi servery
• externí zálohy šifrované pomocí AES-256 ještě předtím, než opustí server
• hesla uložená pouze jako solené hashe PBKDF2-HMAC-SHA256 (600 000 iterací)
• automatizované testy včetně bezpečnostních kontrol, které běží před každým vydáním
• segmentace sítě a ochrana firewallem
• přihlášení a změny účtů a objednávek zaznamenávané v auditním logu

8.2 Organizační opatření

• školení a osvětové programy pro zaměstnance v oblasti ochrany osobních údajů
• řízení přístupu podle zásady nejnižších oprávnění
• dohody o mlčenlivosti se všemi zaměstnanci a smluvními partnery
• posouzení vlivu na ochranu osobních údajů (DPIA) u zpracování s vysokým rizikem
• pravidelné kontroly a audity činností zpracování
• postupy reakce na incidenty a eskalační protokoly

9. Ohlašování porušení zabezpečení údajů

V souladu s články 33 a 34 GDPR máme zavedené postupy pro reakci na porušení zabezpečení osobních údajů:

• Dozorové úřady: porušení zabezpečení osobních údajů, které pravděpodobně povede k riziku pro práva a svobody fyzických osob, ohlásíme příslušnému dozorovému úřadu do 72 hodin od okamžiku, kdy se o něm dozvíme. U subjektů údajů ve Spojeném království je to Information Commissioner’s Office (ICO). U subjektů údajů v Evropském hospodářském prostoru je to příslušný úřad v daném členském státě – nejsme usazeni v EU, a ohlášení proto neprobíhá prostřednictvím jediného vedoucího úřadu.
• Dotčené osoby: pokud je pravděpodobné, že porušení bude mít za následek vysoké riziko pro práva a svobody dotčených subjektů údajů, oznámíme jim ho bez zbytečného odkladu.
• Dokumentace: všechna porušení zabezpečení údajů bez ohledu na jejich závažnost dokumentujeme v našem registru porušení, včetně skutečností, důsledků a přijatých nápravných opatření.

10. Kontakt pro ochranu osobních údajů

Pověřence pro ochranu osobních údajů jsme nejmenovali a GDPR to po nás nevyžaduje: podle čl. 37 odst. 1 musí pověřence jmenovat pouze orgány veřejné moci a správci, kteří ve velkém rozsahu monitorují osoby nebo ve velkém rozsahu zpracovávají zvláštní kategorie údajů. Za ochranu osobních údajů odpovídá vedení společnosti, které tyto žádosti vyřizuje. Kontaktovat nás můžeš zde:

11. Dozorový úřad a stížnosti

Pokud se domníváš, že naše zpracování tvých osobních údajů porušuje předpisy o ochraně osobních údajů, máš právo podat stížnost u dozorového úřadu (článek 77). O který úřad jde, závisí na tom, kde se nacházíš ty, a ne na tom, kde jsme my:

11.1 Pokud se nacházíš v Evropském hospodářském prostoru

Stížnost můžeš podat u dozorového úřadu v členském státě svého obvyklého bydliště, místa výkonu práce nebo místa, kde došlo k údajnému porušení. Protože jsme usazeni ve Spojeném království, a ne v Unii, žádný úřad pro nás nepůsobí jako vedoucí dozorový úřad – příslušný je dozorový úřad tvého státu. V České republice je to Úřad pro ochranu osobních údajů (ÚOOÚ), Pplk. Sochora 27, 170 00 Praha 7, www.uoou.cz. Aktuální kontaktní údaje všech vnitrostátních dozorových úřadů zveřejňuje Evropský sbor pro ochranu osobních údajů:

11.2 Pokud se nacházíš ve Spojeném království

Dozorovým úřadem pro Spojené království je Information Commissioner’s Office. Níže uvedené údaje jsou údaje samotného ICO – nejsou to naše kontaktní údaje; pokud chceš kontaktovat nás, podívej se do oddílu „Kontakt pro ochranu osobních údajů“ výše.

Uplatnění tohoto práva tě nic nestojí a nemusíš nás předtím kontaktovat – raději bychom ale problém napravili sami, aby to vůbec nebylo potřeba. Pokud napíšeš na privacy@printedin.com, odpovíme do 30 dní.