Zpracování osobních údajů
Zásady zpracování osobních údajů
Prohlášení o ochraně osobních údajů
I. Úvod a vymezení pojmů
Naši zákazníci nám svěřují své osobní údaje. My zodpovídáme za konzistentní zásady a postupy pro spolehlivou ochranu svěřených osobních údajů. Zde Vás seznamujeme s těmito zásadami a právy, které máte v souvislosti s NAŘÍZENÍM EVROPSKÉHO PARLAMENTU A RADY (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (dále také jen „GDPR“). Účelem těchto zásad zpracování osobních údajů (dále jen „Zásady“) je podrobné vysvětlení podmínek zpracování osobních údajů, k němuž dochází ze strany společnosti XTREME Invest s.r.o., se sídlem Holubinková 169/8, 104 00, Praha 10, IČO: 06552251 (dále jen „Správce osobních údajů“ či „Správce“), při provozování internetového obchodu „Lékárna Pod svatým Matějem“ (dále také jen jako „e-shop“) umístěného na stránkách www.lekarna-matej.cz (dále jen „e-shop“). Kromě provozování internetového obchodu Správce provozuje též Lékárnu Pod svatým Matějem (dále jen „lékárna“).
Při provozování e-shopu jsou zpracovávány osobní údaje zákazníka, který je fyzickou osobou a který provede v e-shopu nákup či rezervaci zboží (dále také jen „Zákazník“ či „Subjekt nebo „Subjekt údajů“).
Osobním údajem je jakákoliv informace týkající se určeného nebo určitelného Subjektu údajů.
Subjekt se považuje za určený nebo určitelný, jestliže lze subjekt přímo či nepřímo identifikovat zejména na základě čísla, kódu nebo jednoho či více prvků, specifických pro jeho fyzickou, fyziologickou, psychickou, ekonomickou, kulturní nebo sociální identitu; osobním údajem je například jméno, příjmení, e-mail, mobilní telefon; osobním údajem může ve spojení s dalším osobním údajem být i údaj o nákupní preferenci (společně dále jen „Osobní údaj“ či „Údaj“).
Osobní údaje Subjektu jsou zpracovávány v souladu s těmito zásadami. Zpracováním osobních údajů se rozumí jakákoliv operace nebo soustava operací prováděná s osobními údaji automatizovaně nebo manuálně, prostředky výpočetní techniky i jinými prostředky, a to zejména shromažďování, ukládání na nosiče informací, zpřístupňování, úprava nebo pozměňování, vyhledávání, používání, předávání, uchovávání, třídění nebo kombinování, blokování a likvidace (dále jen „zpracování“).
Subjekt je povinen si tyto zásady pečlivě prostudovat dříve, než provede nákup či rezervaci zboží v e-shopu (nákup a rezervace společně dále také jen „transakce“) či než udělí souhlas se zpracováním osobních údajů. V případě, že Subjekt kterémukoliv bodu nebo podmínce dle těchto zásad nerozumí, může se obrátit na Správce na kontaktech uvedených níže.
K ochraně poskytnutých osobních údajů přistupuje správce s vysokou pečlivostí. Osobní údaje jsou Správcem zpracovávány transparentně a v souladu s příslušnou právní úpravou.
Správce zásadně shromažďuje jen ty osobní údaje, které skutečně potřebuje ke stanovenému účelu. Správce vše činí tak, aby průběžně hodnotil zpracování, ať již z hlediska náležitého zabezpečení, minimalizace osobních údajů, tak i z hlediska transparentnosti, korektnosti a zákonnosti. Správce dodržuje zásadu odpovědnosti, integrity, důvěrnosti, přesnosti a omezení uložení.
Tyto zásady jsou platné a účinné od 21.07.2019. Správce je oprávněn v případě potřeby zásady změnit, avšak toto nemá dopad na podmínky již odsouhlaseného zpracování. Při užívání e-shopu je Subjekt povinen znění zásad pravidelně kontrolovat.
II. Zpracovávané osobní údaje, právní základ, účely a doba zpracování
Účel a důvod zpracování osobních údajů:
1) Ke zpracování osobních údajů dochází na základě čl. 6 odst. 1 písm. b) GDPR. Zpracování osobních údajů zákazníka je nezbytné zejména pro realizaci kupní smlouvy specifikované v obchodních podmínkách. Osobní údaje, které jsou Správcem za tímto účelem zpracovávány:
a. Za účelem přijetí objednávky, uzavření a plnění kupní smlouvy se zákazníkem Správce zpracovává osobní údaje Subjektu údajů, které jsou nezbytné k vyřízení objednávky v následujícím rozsahu:
- jméno, příjmení, telefonní číslo a e-mailová adresa zákazníka, IP adresa zákazníka;
- údaje o objednaném zboží (druh, množství, cena);
- údaj o zvolené platební metodě;
- údaj o zvoleném způsobu dodání zboží;
- fakturační adresa (ulice, číslo popisné, město PSČ);
- dodací adresa, pokud je zboží zasíláno na adresu určenou zákazníkem a tato adresa se liší od fakturační adresy;
- údaj o firmě, IČ a DIČ, pokud ho zákazník uvede (k zákonné povinnosti pro vystavování a evidenci daňových dokladů);
- případná poznámka k objednávce, pokud ji zákazník uvede;
Poskytnutí a zpracování těchto osobních údajů je nezbytné pro naplnění výše uvedeného účelu. Zpracování osobních údajů je současně nutné pro provedení opatření přijatých před uzavřením smlouvy a pro plnění smlouvy uzavřené mezi Subjektem údajů a Správcem, pro plnění povinností Správce vyplývajících z právních předpisů, a to zejména z předpisů upravujících poskytování zdravotních služeb, zacházení s léčivy a ochranu spotřebitele, a rovněž pro ochranu oprávněných zájmů Správce z důvodu prokázání souladu při kontrolách ze strany orgánů dozoru a pro obhajobu a výkon práv Správce.
Údaje uvedené v čl. II. odst. 1 písm. a) Správce zpracovává po dobu 3 let od uzavření kupní smlouvy. Daňové doklady, které mohou obsahovat osobní údaje, se pak uchovávají po dobu 10 let od konce zdaňovacího období, ve kterém se plnění uskutečnilo.
b. Reklamace a odstoupení od smlouvy: Za účelem vyřízení reklamace Subjektu údajů Správce zpracovává osobní údaje Subjektu údajů v následujícím rozsahu:
- jméno a příjmení zákazníka;
- kontaktní údaje zákazníka (adresa bydliště, e-mailová adresa a/nebo telefonní číslo, IP adresa zákazníka, je-li reklamace a odstoupení od smlouvy zpracovávána elektronickou formou);
- údaj o reklamovaném zboží, včetně pořizovací ceny zboží a data prodeje zboží;
- údaj o důvodech reklamace a požadavku zákazníka na způsob vyřízení reklamace;
- údaj o datu, kdy byla reklamace vyřízena, a o způsobu jejího vyřízení.
c. Pokud Subjekt údajů odstoupí od smlouvy uzavřené se Správcem, Správce za účelem vyřízení souvisejících úkonů zpracovává osobní údaje Subjektu údajů v následujícím rozsahu:
- jméno a příjmení zákazníka;
- údaj o zboží, kterého se odstoupení týká, včetně pořizovací ceny zboží a data prodeje zboží;
- údaj o způsobu vrácení peněz zákazníkovi.
d. Pokud není odstoupení vyřešeno přímo v lékárně, správce zpracovává též:
- adresu bydliště zákazníka;
- číslo účtu zákazníka;
- kontaktní údaje zákazníka (e-mail a/nebo telefonní číslo).
Údaje uvedené v čl. II. odst. 1 písm. b), c) a d) těchto zásad Správce zpracovává do doby uplynutí 3 let od vyřízení reklamace či odstoupení od smlouvy.
2) Ke zpracování osobních údajů může docházet na základě čl. 6 odst. 1 písm. a) GDPR, a to za účelem zasílání obchodních sdělení a za účelem registrace ve věrnostním programu – to ovšem pouze v případě, že Subjekt údajů udělil výslovný souhlas se zpracováním osobních údajů pro účely zasílání obchodních sdělení a tento souhlas účinně neodvolal. V takovém případě jsou zpracovávány osobní údaje v rozsahu stanoveném v souhlasu se zasíláním obchodních sdělení, který Subjekt údajů odsouhlasil a jedná se o jméno, příjmení, adresu Subjektu údajů, e-mailovou adresu, IP adresu a telefonní číslo Subjektu údajů. Osobní údaje dle tohoto odstavce Správce zpracovává po dobu účasti Zákazníka ve věrnostním programu, resp. od okamžiku udělení souhlasu Subjektu údajů do jeho účinného odvolání.
3) Správce také provozuje kamennou lékárnu, kde dochází k vyzvednutí zboží zákazníkem. Tato kamenná lékárna je z bezpečnostních důvodů monitorována a dochází tak ke zpracování fyzické podoby. Tyto záznamy jsou limitovány co do kvality záznamu a jsou v pravidelných 48 hodinových intervalech likvidovány.
4) Dalším zákonným důvodem zpracování osobních údajů je zákonná povinnost, která je Správci uložena dle čl. 6 odst. 1 písm. c) GDPR obecně závaznými právními předpisy, a to zejména ve vztahu k daňovým povinnostem Správce a ve vztahu k povinnosti Správce v rámci případné reklamace či uplatnění práv z vad Zákazníkem.
III. Personalizace stránek pomocí tzv. Cookies
Za účelem zlepšení poskytovaných služeb využívá Správce soubory cookie. Soubory cookie jsou malé soubory, které ukládají informace ve vašem prohlížeči a běžně slouží k rozlišování jednotlivých uživatelů. Osoba uživatele však není na základě těchto informací identifikovatelná. Soubory cookies tak pomáhají například:
- ke správné funkčnosti internetových stránek, aby bylo možné dokončit proces nákupu s co nejmenšími obtížemi;
- při zjišťování, které stránky a funkce používají návštěvníci nejčastěji, na základě toho můžeme co nejlépe přizpůsobit naši nabídku požadavkům zákazníků.
Na internetových stránkách využívá Správce následující soubory cookie: Facebook, Google Analytics, Heuréka, Sklik, Zboží.cz.
Používání souborů cookie lze nastavit pomocí internetového prohlížeče. Většina prohlížečů soubory automaticky přijímá již ve výchozím nastavení. Soubory cookie lze pomocí webového prohlížeče odmítnout nebo nastavit užívání jen některých souborů cookie. Informace o způsobu nastavení najdete zde:
Internet Explorer - windows.microsoft.com
Mozilla Firefox - support.google.com
Google Chrome - support.google.com
Opera - help.opera.com
Safari - support.apple.com
IV. Způsob zpracování, zpracovatelé a kategorie příjemců osobních údajů
Osobní údaje budou zpracovávány vlastními zaměstnanci správce nebo osobami v postavení zpracovatelů, které Správce zpracováním osobních údajů pověřil a s nimiž uzavřel příslušné smlouvy o zpracování osobních údajů (taková osoba dále jen „Zpracovatel“). Zpracování bude prováděno rovněž prostředky výpočetní techniky.
Subjekt bere na vědomí, že správce využívá ke splnění daného účelu Zpracovatele, kteří mají přístup k nezbytnému rozsahu osobních údajů Subjektu pro splnění svého úkolu. Jedná se o zpracovatele zejména z následujících kategorií:
osoby provádějící účetnictví, audit, právní služby;
osoby poskytující IT služby;
osoby zabývající se marketingem;
osoby zabývající se zpracováním tištěných materiálů;
osoby zabývající se vývojem, prodejem a servisem lékárenských systémů;
osoby zabývající se vývojem a implementací podnikových systémů;
osoby zabývající se vývojem webových a mobilních aplikací;
osoby zabývající se on-line komunikací, včetně komunikace na sociálních sítích;
osoby zabývající se zjišťováním zákaznické spokojenosti.
Osobní údaje subjektu mohou být poskytnuty též dalším příjemcům, kteří jsou zapojeni do provozu e-shopu. Těmito příjemci jsou zejména osoby provozující Lékárnu Pod svatým Matějem nebo zajišťující přepravu zásilek či provozující zákazníkem zvolenou metodu úhrady zboží.
Aktuální seznam příjemců, včetně zpracovatelů, si lze vyžádat na info@lekarna-matej.cz
Osobní údaje mohou být rovněž poskytnuty orgánům veřejné moci oprávněným získávat osobní údaje dle příslušných právních předpisů. Zpracování osobních údajů těmito orgány veřejné moci musí být v souladu s použitelnými pravidly ochrany údajů pro daný účel zpracování.
Předání srovnávačům
Většinu zpracovatelských operací zvládáme sami, přesto ve vyjmenovaných případech využíváme služeb a aplikací zpracovatelů, kteří se na dané zpracování specializují a jsou s námi ve smluvním vztahu v souladu s požadavky směrnice GDPR. Pokud zákazník udělí Správci souhlas s předáním údajů o jeho transakci za účelem zjištění spokojenosti zákazníka, správce předá e-mail zákazníka a informace o jeho transakci (druh, množství a cena zboží) provozovatelům cenových srovnávačů Heureka.cz a Zboží.cz.
Provozovatelem portálu Heureka.cz je společnost Heureka Shopping s.r.o., IČ: 02387727, se sídlem Karolinská 650/1, Karlín, 186 00 Praha 8, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze, oddíl C, vložka 218977.
Vaši spokojenost s nákupem zjišťujeme prostřednictvím e-mailových dotazníků v rámci programu Ověřeno zákazníky, do něhož je náš e-shop zapojen. Ty vám zasíláme pokaždé, když u nás nakoupíte, pokud ve smyslu § 7 odst. 3 zákona č. 480/2004 Sb. o některých službách informační společnosti neodmítnete zasílání našich obchodních sdělení nebo neodvoláte svůj dříve udělený souhlas. Pro zasílání dotazníků, vyhodnocování Vaší zpětné vazby a analýz našeho tržního postavení využíváme zpracovatele, kterým je provozovatel portálu Heureka.cz; tomu pro tyto účely můžeme předávat informace o zakoupeném zboží a vaši e-mailovou adresu.
Provozovatelem portálu Zboží.cz je společnost Seznam.cz, a.s., IČ: 26168685, se sídlem Praha 5 - Smíchov, Radlická 3294/10, PSČ 15000, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze, oddíl B, vložka 6493.
Technická, organizační a bezpečnostní opatření – veškerý přenos dat probíhá po šifrovaných kanálech a odpovídá průmyslovým standardům. Ukládaná data jsou šifrována, a to jak na úrovni souborového systému, tak databáze. Je zajištěn řízený přístup k datům, školení oprávněných osob, vedení záznamů o předání záznamů oprávněným orgánům a osobám.
Předání údajů do třetích zemí - Vaše osobní údaje nejsou Správcem předávány do třetích zemí ve smyslu čl. 13 odst. 1 písm. f) GDPR.
V. Uplatnění práv, odvolání souhlasu
Veškeré dotazy, poznámky či žádosti týkající se zpracování osobních údajů, a to včetně odvolání souhlasu se zpracováním osobních údajů, může Subjekt směřovat na info@lekarna-matej.cz
O ukončení zasílání obchodních sdělení elektronickými prostředky může subjekt požádat též způsobem uvedeným v každém jednotlivém obchodním sdělení.
Žádost, dotaz, odvolání souhlasu, uplatnění práva, požadavek na přístup či jiný požadavek subjektu bude po přijetí správcem zpracován bez zbytečného odkladu, v odůvodněných případech nejdéle do 1 měsíce. Tuto lhůtu je možné v případě potřeby a s ohledem na složitost a počet žádostí prodloužit o další 2 měsíce. Správce informuje Subjekt údajů o jakémkoliv takovém prodloužení do jednoho měsíce od obdržení žádosti spolu s důvody pro tento odklad. Odvolání souhlasu k zasílání obchodních sdělení prostřednictvím elektronických kontaktů (telefon, e-mailová adresa) bude vyřízeno bez zbytečného prodlení, nejpozději do 7 kalendářních dní.
V případě potřeby mohou být při vyřizování požadavků dle tohoto článku ze strany Správce vyžadovány dodatečné informace pro přiřazení osoby ke konkrétnímu subjektu. V odůvodněných případech, pro ochranu práv subjektů, může být požadována kontrola/ověření identifikace osoby žadatele.
Orgánem dozoru pro zpracování osobních údajů je Úřad pro ochranu osobních údajů, jehož kontaktní údaje jsou uvedeny na www.uoou.cz. Subjekt je oprávněn podat stížnost k orgánu dozoru.
VI. Podrobné poučení o právech Subjektu údajů
Správce osobních údajů poskytne Subjektu údajů na žádost podle článků 15 až 22 GDPR informace o přijatých opatřeních, a to bez zbytečného odkladu a v každém případě do jednoho měsíce od obdržení žádosti. Tuto lhůtu je možné v případě potřeby a s ohledem na složitost a počet žádostí prodloužit o další dva měsíce. Správce subjektu údajů informuje Subjekt údajů o jakémkoliv takovém prodloužení do jednoho měsíce od obdržení žádosti spolu s důvody pro tento odklad. Jestliže Subjekt údajů podává žádost v elektronické formě, poskytnou se informace v elektronické formě, je-li to možné, pokud Subjekt údajů nepožádá o jiný způsob.
Veškeré informace, sdělení a úkony jsou udělovány bezplatně. Pokud jsou žádosti podané Subjektem údajů vyhodnocené jako zjevně nedůvodné nebo nepřiměřené, a zejména pokud se opakují, může správce buď: (i) uložit přiměřený poplatek zohledňující administrativní náklady spojené s poskytnutím požadovaných informací, sdělení nebo s učiněním požadovaných úkonů, nebo (ii) odmítnout žádosti vyhovět.
Pokud má správce důvodné pochybnosti o totožnosti fyzické osoby, která podává žádost podle článků 15 až 21 GDPR, může požádat o poskytnutí dodatečných informací nezbytných k potvrzení subjektu.
Správce neodmítne vyhovět žádosti subjektu při výkonu práv subjektu, ledaže nemůže věrohodně zjistit totožnost subjektu údajů, k němuž se dotčené údaje vztahují.
A. Právo Subjektu údajů na přístup k osobním údajům
Díky právu na přístup nás můžete kdykoli vyzvat a my Vám doložíme, jaké vaše osobní údaje zpracováváme a z jakého důvodu.
Subjekt údajů má právo získat od Správce osobních údajů potvrzení, zda jsou jeho osobní údaje zpracovávány, a pokud ano, má právo získat přístup k těmto osobním údajům a má právo požadovat následující informace:
1) o účelu zpracování osobních údajů;
2) o kategoriích dotčených osobních údajů;
3) o příjemcích nebo kategoriích příjemců, kterým osobní údaje jsou nebo budou zpřístupněny;
4) o plánované době, po kterou budou osobní údaje uloženy, nebo není-li možné ji určit, kritéria použitá ke stanovení této doby;
5) o existenci práva na opravu či výmaz osobních údajů týkajících se Subjektu údajů, omezení zpracování osobních údajů Subjektu údajů a vznášet námitky proti tomuto zpracování;
6) o podání stížnosti u dozorového úřadu;
7) o veškerých dostupných informací o zdroji osobních údajů, pokud nejsou získány od subjektu údajů;
8) o skutečnosti, že dochází k automatizovanému rozhodování, včetně profilování dle čl. 22 odst. 1 a 4 GDPR a informace o takovémto postupu, významu i důsledku takového zpracování pro Subjekt údajů.
Správce má nastavena opatření, aby každému subjektu poskytl veškeré informace a sdělení o zpracování. Správce informace poskytne elektronicky, popřípadě písemně.
B. Právo na opravu
Subjekt údajů má právo na to, aby Správce bez zbytečného odkladu opravil nepřesné osobní údaje, které se subjektu týkají. S přihlédnutím k účelům zpracování má Subjekt také právo na doplnění neúplných osobních údajů, a to i poskytnutím dodatečného prohlášení.
C. Právo na výmaz („právo být zapomenut“)
Subjekt údajů má právo na to, aby Správce bez zbytečného odkladu vymazal osobní údaje, které se Subjektu údajů týkají, a Správce má povinnost osobní údaje bez zbytečného odkladu vymazat, pokud je dán jeden z těchto důvodů:
a) osobní údaje již nejsou potřebné pro účely, pro které byly shromážděny nebo jinak zpracovány;
b) Subjekt údajů odvolá souhlas, na jehož základě byly údaje podle čl. 6 odst. 1 písm. a) nebo čl. 9 odst. 2 písm. a) GDPR zpracovávány, a neexistuje žádný další právní důvod pro zpracování;
c) Subjekt údajů vznese námitky proti zpracování dle čl. 21 odst. 1 GDPR (podle níže uvedeného „Práva vznést námitku“) a neexistují žádné převažující oprávněné důvody pro zpracování nebo Subjekt údajů vznese námitky proti zpracování podle čl. 21 odst. 2 GDPR;
d) osobní údaje byly zpracovány protiprávně;
e) osobní údaje musí být vymazány ke splnění právní povinnosti stanovené v právu Evropské unie nebo členského státu, které se na Správce vztahuje;
f) osobní údaje byly shromážděny v souvislosti s nabídkou služeb informační společnosti v případě osoby mladší 16 let, u níž musí ke zpracování dle účinné právní úpravy dát souhlas osoba vykonávající rodičovskou zodpovědnost.
Výše uvedené se neuplatní, pokud je zpracování nezbytné:
a) pro výkon práva na svobodu projevu a informace;
b) pro splnění právní povinnosti, jež vyžaduje zpracování podle právních předpisů, nebo pro splnění úkolu provedeného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je Správce pověřen;
c) z důvodů veřejného zájmu v oblasti veřejného zdraví;
d) pro účely archivace ve veřejném zájmu, pro účely vědeckého či historického výzkumu či pro statistické účely, pokud je pravděpodobné, že by výše uvedené právo znemožnilo nebo vážně ohrozilo splnění cílů uvedeného zpracování;
e) pro určení, výkon nebo obhajobu právních nároků.
D. Právo na omezení zpracování osobních údajů
Subjekt údajů má právo na omezení zpracování osobních údajů, tj. může se obrátit na Správce osobních údajů, aby omezil zpracování osobních údajů Zákazníka.
Aby mohlo zpracování údajů být omezeno, musí se jednat o jeden z těchto případů:
- Subjekt údajů popírá přesnost svých osobních údajů, nebo
- zpracování údajů je protiprávní, ale Zákazník odmítá výmaz takových osobních údajů a žádá místo toho o omezení jejich použití, nebo
- Zákazník požaduje zpracování osobních údajů pro potřeby uplatnění svých nároků, přestože již byl splněn účel, pro který společnost Správce osobní údaje zpracovával, nebo
- Zákazník vznesl námitku proti zpracování a zatím nebylo ověřeno, zda oprávněný zájem Správce osobních údajů převažuje nad oprávněnými zájmy Zákazníka.
E. Právo na přenositelnost osobních údajů
Subjekt údajů má právo na přenos osobních údajů, tj. může se obrátit na Správce osobních údajů, aby byly jeho osobní údaje byly poskytnuty ve strukturovaném, běžně používaném a strojově čitelném formátu nebo aby tyto údaje byly rovnou přeneseny k jinému správci. K přenosu údaje může dojít jedině v případě, že zpracování je založeno na uzavřené smlouvě nebo na souhlasu Subjektu údajů a zároveň se jedná o automatizované zpracování. Tímto výkonem práva Subjektu údajů nesmí být nepříznivě dotčena práva a svobody jiných osob.
F. Právo vznést námitku proti zpracování
Právo vznést námitku má Subjekt údajů zejména v těchto případech:
- Subjekt údajů může vznést námitku proti zpracování osobních údajů, které Správce osobních údajů zpracovává na základě svého oprávněného zájmu. V takovém případě Vaše osobní údaje nebudou dále zpracovávány, ledaže Vám Správce osobních údajů prokáže, že jeho oprávněný zájem má přednost před zájmy Subjektu údajů.
- Subjekt údajů může vznést námitku proti zpracování osobních údajů, a to v případě, že jsou jeho osobní údaje zpracovávány pro účely přímého marketingu. V takovém případě již osobní údaje Subjektu údajů nebudou dále zpracovávány.
G. Právo podat stížnost u dozorového úřadu
Subjekt údajů má právo podat stížnost u dozorového úřadu, kterým je Úřad pro ochranu osobních údajů.