Zásady ochrany osobních údajů

Ochrana vašich osobních údajů je pro nás prioritou. Tyto Zásady ochrany osobních údajů (dále jen “Zásady”) podrobně vysvětlují, jak shromažďujeme, používáme, sdílíme, uchováváme a chráníme vaše osobní údaje při používání služby Vaše věci.

Tyto Zásady jsou vypracovány v souladu s nařízením Evropského parlamentu a Rady (EU) 2016/679, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů (dále jen “GDPR”), a zákonem č. 110/2019 Sb., o zpracování osobních údajů.

1. Správce osobních údajů

1.1. Správcem vašich osobních údajů je:

1.2. Kontaktní údaje pro záležitosti ochrany osobních údajů:

• E-mail: gdpr@bazar.cz
• Poštovní adresa: [ADRESA], k rukám: Ochrana osobních údajů

1.3. Provozovatel v současné době nejmenoval pověřence pro ochranu osobních údajů (DPO), neboť nesplňuje podmínky dle čl. 37 GDPR. Tato situace bude přehodnocena při významném rozšíření činnosti.

2. Přehled zpracovávaných osobních údajů

2.1. Údaje poskytnuté přímo vámi

2.2. Údaje shromažďované automaticky

2.3. Údaje z externích zdrojů

• Firebase Authentication – potvrzení o úspěšném ověření telefonního čísla (nezískáváme obsah SMS)
• Stripe – potvrzení o úspěšné/neúspěšné platbě, částka, datum (čísla karet ani bankovní údaje nezískáváme)
• Cloudflare Turnstile – výsledek antibot ověření (skóre, bez osobních údajů)

3. Účely a právní základy zpracování

3.1. Vysvětlení oprávněných zájmů

Tam, kde se odvoláváme na oprávněný zájem jako právní základ zpracování (čl. 6 odst. 1 písm. f) GDPR), máme za to, že naše oprávněné zájmy převažují nad vašimi právy, protože:

• Prevence podvodů – ochrana ostatních uživatelů a integrity platformy je nezbytná pro fungování tržiště; zpracování je minimalizováno (hash IP místo plné IP)
• Technický provoz – bez základních technických údajů by služba nemohla fungovat; údaje jsou anonymizovány nebo mazány v krátkém čase
• Ověření identity – SMS ověření významně snižuje spam a podvody, což prospívá všem uživatelům

Máte právo vznést námitku proti zpracování na základě oprávněného zájmu. Viz článek 6 těchto Zásad.

4. Doba uchování osobních údajů

4.1. Osobní údaje uchováváme pouze po dobu nezbytnou pro splnění účelů, pro které byly shromážděny, nebo po dobu vyžadovanou právními předpisy:

4.2. Po uplynutí doby uchování jsou údaje automaticky smazány nebo nevratně anonymizovány.

4.3. V případě probíhajícího právního sporu nebo vyšetřování mohou být údaje uchovány déle, dokud nebude záležitost pravomocně ukončena.

5. Sdílení osobních údajů s třetími stranami

5.1. Poskytovatelé služeb (zpracovatelé)

S následujícími poskytovateli služeb máme uzavřeny smlouvy o zpracování osobních údajů (DPA) v souladu s čl. 28 GDPR:

5.2. Ostatní uživatelé platformy

Kontaktní údaje, které uvedete v inzerátu (jméno, telefon, případně e-mail), budou veřejně přístupné ostatním uživatelům za účelem kontaktování ohledně nabízeného zboží. Toto je nezbytné pro fungování tržiště a zakládá se na plnění smlouvy.

5.3. Orgány veřejné moci

Vaše údaje můžeme zpřístupnit orgánům činným v trestním řízení, soudům, správním orgánům nebo jiným oprávněným subjektům, pokud:

• jsme k tomu povinni na základě právního předpisu (např. zákon č. 141/1961 Sb., trestní řád);
• obdržíme platné soudní rozhodnutí nebo příkaz orgánu veřejné moci;
• je to nezbytné pro ochranu práv, majetku nebo bezpečnosti nás nebo třetích osob.

5.4. Předávání do třetích zemí

Někteří naši poskytovatelé služeb zpracovávají data mimo Evropský hospodářský prostor (EHP), zejména v USA. V těchto případech zajišťujeme přiměřenou úroveň ochrany prostřednictvím:

• EU-U.S. Data Privacy Framework – pro poskytovatele certifikované pod tímto rámcem (Google, Stripe, Cloudflare, Vercel)
• Standardních smluvních doložek EU (SCC) – schválených Evropskou komisí

Na požádání vám poskytneme kopii relevantních záruk.

6. Vaše práva jako subjektu údajů

V souvislosti se zpracováním vašich osobních údajů máte následující práva dle GDPR:

6.1. Jak uplatnit svá práva

Pro uplatnění výše uvedených práv nás kontaktujte:

• E-mailem na gdpr@bazar.cz
• Písemně na adresu sídla s označením “GDPR žádost”

Identifikace: Pro ochranu vašich údajů vás můžeme požádat o ověření totožnosti (např. z telefonního čísla uvedeného v účtu).

Lhůta: Na vaši žádost odpovíme bez zbytečného odkladu, nejpozději do 30 dnů. Ve složitých případech můžeme lhůtu prodloužit o další 2 měsíce, o čemž vás budeme informovat.

Náklady: Uplatnění práv je bezplatné. V případě zjevně nedůvodných nebo nepřiměřených žádostí (zejména opakovaných) můžeme účtovat přiměřený poplatek nebo žádost odmítnout.

7. Automatizované rozhodování a AI

7.1. Automatické generování obsahu inzerátů

Platforma využívá umělou inteligenci (Google Gemini) k automatickému generování návrhu obsahu inzerátu na základě fotografií zboží.

Proces zpracování:

1. Nahrajete fotografie zboží do platformy;
2. Fotografie jsou zašifrovány a odeslány do Google Gemini API;
3. AI model analyzuje vizuální obsah fotografií;
4. Model generuje návrh textu (název, popis, kategorie, cena);
5. Návrh je vrácen do platformy a zobrazen vám k úpravě;
6. Fotografie nejsou poskytovatelem AI trvale uchovávány.

Právní kvalifikace:

• Toto zpracování není automatizovaným rozhodováním ve smyslu čl. 22 GDPR, protože:
• Výstup AI je pouze návrh, který vyžaduje vaše aktivní potvrzení;
• Můžete návrh libovolně upravit nebo zcela přepsat;
• Nemá právní účinky ani se vás významně nedotýká (jde o pomocný nástroj).

7.2. Profilování

Nepoužíváme profilování za účelem cílení reklamy, stanovení cen nebo jiného rozhodování, které by vás významně ovlivňovalo.

Jediné automatizované zpracování, které provádíme, je:

• Rate limiting – omezení počtu požadavků na základě hash IP adresy (ochrana proti zneužití)
• Antibot ověření – Cloudflare Turnstile (detekce botů bez dopadu na běžné uživatele)

8. Zabezpečení osobních údajů

8.1. K ochraně vašich osobních údajů používáme přiměřená technická a organizační opatření odpovídající rizikům zpracování:

Technická opatření:

• Šifrování při přenosu – veškerá komunikace je šifrována pomocí TLS 1.3 (HTTPS)
• Šifrování v klidu – data v databázi jsou šifrována (Firebase encryption at rest)
• Hashování citlivých údajů – IP adresy jsou ukládány pouze jako kryptografický hash (SHA-256)
• Bezpečná autentizace – přihlášení pomocí jednorázových SMS kódů (Firebase Auth)
• Firewall a ochrana proti útokům – DDoS ochrana (Cloudflare), WAF pravidla
• Bezpečnostní hlavičky – CSP, HSTS, X-Frame-Options
• Pravidelné zálohy – automatické denní zálohy s šifrováním

Organizační opatření:

• Princip minimalizace dat – shromažďujeme pouze nezbytné údaje
• Omezení přístupu – k datům mají přístup pouze oprávněné osoby (princip need-to-know)
• Smlouvy se zpracovateli – všichni poskytovatelé služeb mají uzavřené DPA
• Bezpečnostní politiky – interní pravidla pro práci s daty

8.2. Upozornění: Žádná metoda přenosu dat přes internet ani elektronického ukládání není 100% bezpečná. Přestože usilujeme o ochranu vašich údajů, nemůžeme zaručit absolutní bezpečnost.

8.3. V případě narušení bezpečnosti osobních údajů, které by mohlo představovat riziko pro vaše práva a svobody, vás budeme informovat bez zbytečného odkladu v souladu s čl. 34 GDPR.

9. Cookies a podobné technologie

9.1. Platforma využívá cookies a podobné technologie (localStorage) pro zajištění funkčnosti a zlepšování služeb.

9.2. Podrobné informace o používaných cookies, jejich účelu, době platnosti a možnostech správy jsou uvedeny v samostatném dokumentu Zásady používání cookies.

9.3. Souhlas s volitelými cookies (analytické, marketingové, funkční) můžete kdykoliv změnit kliknutím na “Nastavení cookies” v patičce webových stránek.

10. Ochrana údajů dětí

10.1. Služba není určena osobám mladším 16 let. Vědomě neshromažďujeme osobní údaje od dětí mladších 16 let bez souhlasu zákonného zástupce.

10.2. Pokud zjistíte, že dítě bez souhlasu zákonného zástupce poskytlo své osobní údaje, kontaktujte nás na gdpr@bazar.cz. Údaje neprodleně odstraníme.

10.3. Osoby ve věku 16–18 let mohou službu používat se souhlasem zákonného zástupce.

11. Změny těchto Zásad

11.1. Tyto Zásady můžeme čas od času aktualizovat, aby odrážely změny v našich postupech zpracování, změny právních předpisů nebo jiné okolnosti.

11.2. O významných změnách vás budeme informovat:

• e-mailem (pokud ho máme k dispozici);
• oznámením na webových stránkách;
• vyžádáním nového souhlasu (pokud je vyžadován).

11.3. Datum poslední aktualizace je uvedeno v záhlaví tohoto dokumentu. Doporučujeme tyto Zásady pravidelně kontrolovat.

11.4. Pokračováním v používání služby po účinnosti změn vyjadřujete souhlas s aktualizovanými Zásadami.

12. Kontaktní údaje

Máte-li jakékoli dotazy ohledně těchto Zásad nebo zpracování vašich osobních údajů, kontaktujte nás: