Ochrana osobních údajů

Úvod

Tyto Zásady ochrany osobních údajů vysvětlují, jak služba buymeabigmac zpracovává osobní údaje uživatelů, podporovatelů, tvůrců a návštěvníků Platformy.

1. Správce

Správcem osobních údajů je:

• Reinspiro, s.r.o.
• IČO: 09673881
• Nové sady 988/2, Staré Brno, 602 00 Brno, Česká republika

provozovatel služby buymeabigmac, součást rodiny fairplay.events.

Kontakt pro záležitosti ochrany osobních údajů: info@fairplay.events.

Pokud není níže uvedeno jinak, Reinspiro, s.r.o. určuje účely a prostředky zpracování osobních údajů souvisejících s provozem Platformy a je jejich správcem ve smyslu GDPR.

2. Koho se tyto Zásady týkají

Tyto Zásady se týkají zejména:

• návštěvníků Platformy,
• registrovaných uživatelů,
• podporovatelů,
• členů,
• kupujících digitálního nebo fyzického obsahu,
• tvůrců,
• osob komunikujících s podporou,
• osob podávajících oznámení týkající se obsahu nebo uživatele.

3. Odkud osobní údaje získáváme

Osobní údaje získáváme zejména:

• přímo od vás při registraci, nákupu, podpoře Tvůrce, vytvoření profilu nebo komunikaci s Platformou;
• z vašeho používání Platformy;
• od poskytovatelů platebních služeb v souvislosti s platbou, refundací, chargebackem nebo výplatou;
• od poskytovatelů ověřování identity a KYC, pokud jsou využíváni;
• od Tvůrce, pokud je to nezbytné například pro vyřízení nákupu, refundace nebo sporu;
• z technických systémů používaných pro provoz, zabezpečení a prevenci podvodů;
• z veřejných rejstříků nebo jiných veřejně dostupných zdrojů, je-li to nezbytné pro ověření podnikatele nebo splnění zákonné povinnosti.

4. Účet a profil

Při vytvoření a používání účtu můžeme zpracovávat zejména:

• e-mailovou adresu,
• jméno nebo zobrazované jméno,
• uživatelské jméno,
• profilovou fotografii,
• jazyk,
• zemi nebo region,
• nastavení účtu,
• datum registrace a posledního přihlášení,
• informace o aktivních členstvích a nákupech.

Tyto údaje zpracováváme zejména za účelem vytvoření a správy účtu, přihlášení, poskytování funkcí Platformy a plnění smlouvy.

Právní základ: plnění smlouvy.

Údaje, které uživatel označí jako veřejné nebo které jsou svou povahou určeny ke zveřejnění na profilu, mohou být veřejně dostupné.

5. Veřejný obsah a profil

Pokud jste Tvůrce, mohou být podle vašeho nastavení veřejně dostupné zejména:

• jméno nebo název Tvůrce,
• uživatelské jméno,
• profilová fotografie,
• popis profilu,
• odkazy,
• publikované příspěvky určené veřejnosti,
• veřejné Extras,
• ceny,
• počet podporovatelů nebo jiné veřejně zobrazované statistiky, pokud je Platforma poskytuje.

Pokud jako Podporovatel přidáte jméno nebo vzkaz, Platforma vás před jeho zveřejněním informuje, zda bude údaj veřejný.

Pokud Platforma umožňuje soukromou podporu nebo soukromý vzkaz, takový obsah nebude veřejně zobrazen.

Právní základ: plnění smlouvy a váš úkon spočívající ve zveřejnění příslušného obsahu.

6. Podpory, členství a nákupy

V souvislosti s podporou, členstvím nebo nákupem můžeme zpracovávat zejména:

• identifikátor transakce,
• cenu a měnu,
• čas platby,
• Tvůrce, kterého podporujete,
• zakoupený produkt, členství nebo obsah,
• stav platby,
• stav členství,
• informace o refundaci nebo chargebacku,
• zemi platebního prostředku nebo jiné omezené údaje poskytnuté platebním poskytovatelem,
• jméno a e-mail, pokud byly v rámci platby poskytnuty,
• případně typ karty a poslední čtyři číslice nebo token platebního prostředku, pokud nám je poskytovatel platební služby zpřístupní.

Úplné číslo platební karty, CVC ani jiné úplné bezpečnostní údaje karty neukládáme.

Tyto údaje používáme pro provedení transakce, správu členství, zpřístupnění obsahu, účetnictví, refundace, řešení reklamací, platební spory a prevenci podvodů.

Právní základ: plnění smlouvy, splnění zákonných povinností a oprávněný zájem na ochraně Platformy a jejích uživatelů před podvodnými transakcemi.

7. Údaje sdílené s Tvůrcem

Pokud podpoříte Tvůrce, stanete se jeho členem nebo od něj zakoupíte produkt, mohou být Tvůrci zpřístupněny údaje potřebné pro správu vztahu s vámi a poskytnutí zakoupeného plnění.

Podle typu transakce může jít zejména o:

• jméno nebo zobrazované jméno,
• e-mail,
• datum podpory nebo začátku členství,
• výši podpory nebo cenu nákupu,
• typ členství nebo zakoupeného produktu,
• váš vzkaz Tvůrci,
• stav členství,
• informace nezbytné pro vyřízení reklamace nebo refundace,
• u fyzického zboží také doručovací adresu, případně telefonní číslo, pokud je nezbytné pro dopravu.

Tvůrci nikdy neposkytujeme úplné údaje platební karty.

Tvůrce smí získané osobní údaje používat pouze pro zákonné účely a v souladu s Obchodními podmínkami a příslušnými právními předpisy.

8. Role Tvůrce jako správce

Pro osobní údaje zpracovávané přímo Platformou za účelem fungování účtu, plateb, bezpečnosti a provozu Platformy je správcem Reinspiro, s.r.o.

Jakmile Tvůrce používá osobní údaje svých Podporovatelů pro vlastní samostatné účely, může být samostatným správcem těchto osobních údajů.

To se může týkat například:

• vyřízení a doručení fyzického zboží,
• vlastní zákaznické podpory Tvůrce,
• zákonných účetních a daňových povinností Tvůrce,
• vlastního marketingu Tvůrce,
• exportu seznamu Podporovatelů a jeho dalšího zákonného používání.

Tvůrce odpovídá za existenci příslušného právního základu pro své další zpracování.

Pokud Platforma pouze technicky zpracovává údaje jménem Tvůrce podle jeho pokynů, například při některých funkcích rozesílky zpráv jeho Podporovatelům, může Reinspiro v tomto omezeném rozsahu vystupovat jako zpracovatel Tvůrce.

9. Ověření Tvůrce, výplaty a daňové údaje

U Tvůrců můžeme zpracovávat údaje potřebné pro aktivaci plateb, výplat, ověření totožnosti a plnění daňových nebo regulatorních povinností.

Může jít zejména o:

• jméno a příjmení,
• datum narození,
• adresu nebo sídlo,
• IČO,
• DIČ nebo jiné daňové identifikační číslo,
• stát daňové rezidence,
• bankovní účet,
• podnikatelský status,
• údaje o právnické osobě a skutečných majitelích,
• údaje potřebné pro DAC7 nebo jiné zákonné oznamovací povinnosti,
• stav provedeného KYC ověření,
• případně identifikační dokumenty, pokud je jejich zpracování skutečně nezbytné.

Pokud je ověření prováděno přímo poskytovatelem platebních nebo KYC služeb, může tento poskytovatel vystupovat také jako samostatný správce podle vlastních zásad ochrany osobních údajů.

Pokud pro splnění účelu postačuje výsledek ověření nebo identifikátor ověření, snažíme se neuchovávat kopii identifikačního dokumentu sami.

Právní základ: splnění zákonné povinnosti, plnění smlouvy a případně oprávněný zájem na prevenci podvodů a ochraně platebního systému.

10. Digitální obsah a souhlasy související se smlouvou

Pokud je digitální obsah poskytován okamžitě, evidujeme zejména:

• okamžik udělení souhlasu s okamžitým zahájením plnění,
• znění souhlasu,
• verzi Podmínek,
• identifikátor transakce,
• způsob, jakým byl souhlas udělen.

Údaj uchováváme proto, abychom mohli doložit splnění povinností souvisejících se spotřebitelským právem.

Právní základ: splnění zákonné povinnosti a určení, výkon nebo obhajoba právních nároků.

11. Reklamace, odstoupení, refundace a chargebacky

Pokud požádáte o refundaci, uplatníte reklamaci, odstoupíte od smlouvy nebo vznikne platební spor, zpracováváme zejména:

• identifikační a kontaktní údaje,
• údaje o dotčené transakci,
• obsah žádosti,
• související komunikaci,
• předložené důkazy,
• rozhodnutí a jeho důvody,
• informace od platebního poskytovatele.

Právní základ: plnění smlouvy, splnění zákonné povinnosti a oprávněný zájem na určení, výkonu a obhajobě právních nároků.

12. Moderace, hlášení obsahu a bezpečnost Platformy

V souvislosti s hlášením obsahu nebo uživatele můžeme zpracovávat:

• identifikaci oznámeného obsahu nebo účtu,
• důvod oznámení,
• popis a případné důkazy,
• kontaktní údaj oznamovatele, pokud jej poskytne,
• související komunikaci,
• rozhodnutí,
• důvody rozhodnutí,
• případnou žádost o přezkum.

Údaje používáme k provozu bezpečné Platformy, vymáhání pravidel a plnění povinností vyplývajících z právních předpisů.

Právní základ: splnění zákonné povinnosti a oprávněný zájem na ochraně Platformy, Tvůrců, Podporovatelů a třetích osob.

13. Technické a bezpečnostní údaje

Při používání Platformy mohou být technicky zpracovávány například:

• IP adresa,
• datum a čas požadavku,
• typ prohlížeče,
• operační systém,
• typ zařízení,
• požadovaná URL,
• referer,
• informace o chybě aplikace,
• bezpečnostní události.

Tyto informace jsou používány zejména pro provoz, diagnostiku chyb, zabezpečení, ochranu proti zneužití a prevenci podvodů.

Právní základ: oprávněný zájem na bezpečném a spolehlivém provozu Platformy.

14. Ochrana před podvody

Platforma může automaticky vyhodnocovat četnost a charakter některých událostí, zejména pokusů o platbu, s cílem zabránit zneužití platebních prostředků, automatizovaným útokům a podvodům.

Pro některé vlastní mechanismy prevence podvodů můžeme místo přímo čitelné IP adresy ukládat pseudonymizovaný identifikátor vytvořený z IP adresy.

Takový identifikátor považujeme pro účely ochrany osobních údajů za osobní údaj, dokud jej lze použít k rozlišení nebo propojení aktivit konkrétního uživatele či zařízení.

Původní IP adresa může být technicky zpracována hostingovým, bezpečnostním nebo platebním poskytovatelem i v případech, kdy ji neukládáme do vlastní aplikační databáze.

15. Analytika

Pro základní měření používání Platformy můžeme používat Vercel Web Analytics nebo obdobný nástroj nastavený bez marketingových cookies.

Analytické údaje využíváme zejména ke zjištění počtu návštěv, používaných stránek, přibližné země návštěvníka, typu zařízení a dalších agregovaných statistických údajů.

Analytiku nepoužíváme k prodeji osobních údajů ani k vytváření reklamního profilu návštěvníka napříč cizími weby.

Právní základ: oprávněný zájem na měření používání a zlepšování Platformy, pokud analytický nástroj nevyžaduje souhlas podle právních předpisů upravujících ukládání informací do zařízení uživatele.

16. E-maily a komunikace

Zpracováváme vaši e-mailovou adresu a historii relevantní komunikace za účelem:

• potvrzení registrace,
• potvrzení plateb,
• správy členství,
• bezpečnostních upozornění,
• obnovení přístupu,
• informování o změnách služby nebo Podmínek,
• komunikace se zákaznickou podporou.

Tyto zprávy jsou součástí poskytování služby a nelze se od nich vždy odhlásit, pokud jsou nezbytné pro fungování účtu nebo splnění právní povinnosti.

Marketing Platformy. Marketingová sdělení zasíláme pouze tehdy, pokud pro jejich zasílání máme odpovídající právní základ a jsou splněny podmínky právních předpisů upravujících elektronická obchodní sdělení.

Může jít zejména o:

• váš předchozí souhlas; nebo
• nabídku našich vlastních obdobných služeb stávajícím zákazníkům, pokud právní předpisy takové zasílání umožňují.

Z marketingových sdělení se můžete kdykoli bezplatně odhlásit prostřednictvím odkazu v e-mailu.

Odhlášení od marketingu nemá vliv na nezbytné servisní a transakční zprávy.

17. Údaje o přístupu a exportech

Z bezpečnostních důvodů můžeme evidovat:

• kdo přistoupil k administrativním údajům,
• kdy k přístupu došlo,
• zda Tvůrce provedl export údajů Podporovatelů,
• rozsah nebo počet exportovaných záznamů.

Auditní záznam nemusí obsahovat samotná exportovaná data.

Právní základ: oprávněný zájem na zabezpečení osobních údajů a schopnosti doložit, kdo s nimi nakládal.

18. Komu osobní údaje předáváme

Osobní údaje nepřijímáme za účelem jejich prodeje a osobní údaje neprodáváme ani nepronajímáme třetím osobám.

Podle potřeby je můžeme zpřístupnit:

• Tvůrci, kterého podporujete nebo od kterého nakupujete;
• poskytovatelům hostingové a databázové infrastruktury;
• poskytovatelům e-mailových služeb;
• poskytovatelům monitoringu chyb a bezpečnosti;
• poskytovatelům platebních služeb;
• poskytovatelům KYC nebo fraud-prevention služeb;
• účetním, daňovým a právním poradcům;
• auditorům;
• orgánům veřejné moci, pokud nám takovou povinnost ukládá zákon nebo závazný příkaz;
• případnému právnímu nástupci v souvislosti s přeměnou, fúzí, prodejem společnosti nebo podstatné části jejího podnikání.

Každému příjemci poskytujeme pouze údaje potřebné pro daný účel.

19. Hlavní poskytovatelé

Pro provoz Platformy v současnosti používáme zejména:

Supabase — databáze, autentizace a ukládání aplikačních dat. Primární projektová data jsou nakonfigurována v regionu eu-central-1, Frankfurt, Německo.

Vercel — hosting webové aplikace, edge infrastruktura a základní webová analytika.

Resend — odesílání transakčních a dalších e-mailů.

Sentry — monitoring chyb a technická diagnostika. Pokud používáme evropský Sentry region, jsou příslušná projektová data ukládána v evropském datovém regionu.

SumUp — poskytovatel platebních služeb: zpracování plateb, případně ověřování Tvůrců, payouty a řešení platebních sporů.

Přehled zpracovatelů včetně regionu a možného předávání mimo EHP najdete na stránce Zpracovatelé a subdodavatelé.

Aktuální seznam významných poskytovatelů můžeme průběžně aktualizovat, pokud se technická infrastruktura Platformy změní.

20. Předávání údajů mimo Evropský hospodářský prostor

Ačkoli primární aplikační databáze může být uložena v Evropské unii, někteří naši poskytovatelé nebo jejich subdodavatelé působí mimo Evropský hospodářský prostor, zejména ve Spojených státech.

K předání osobních údajů mimo EHP dochází pouze za podmínek stanovených příslušnými právními předpisy.

Podle konkrétního poskytovatele může být předání založeno zejména na:

• rozhodnutí Evropské komise o odpovídající ochraně;
• EU-U.S. Data Privacy Framework, pokud se na příslušného příjemce vztahuje;
• standardních smluvních doložkách Evropské komise;
• jiném zákonném mechanismu podle GDPR.

Pokud je to relevantní, používáme také smluvní a technická opatření k omezení přístupu k údajům.

Informaci o konkrétním mechanismu předávání můžete získat na info@fairplay.events.

21. Jak dlouho údaje uchováváme

Osobní údaje neuchováváme déle, než je nezbytné pro účel, pro který byly získány, nebo než vyžadují právní předpisy.

Účet a profil. Údaje účtu uchováváme po dobu existence účtu. Po zahájení smazání je účet okamžitě deaktivován a veřejný obsah spojený s účtem je skryt v rozsahu umožněném funkcemi Platformy. Následně používáme 30denní ochrannou lhůtu umožňující obnovu omylem smazaného účtu. Pokud uživatel požádá o okamžitější výmaz a neexistuje důvod pro další zpracování, žádost posoudíme bez zbytečného odkladu.

Transakční, účetní a daňové údaje. Údaje, které musíme uchovávat z účetních, daňových nebo jiných zákonných důvodů, uchováváme po dobu stanovenou příslušnými právními předpisy. Tyto údaje nemusí být možné po smazání účtu okamžitě anonymizovat, pokud právní předpisy vyžadují zachování identifikace dotčené osoby nebo transakce.

Reklamace, refundace a právní spory. Údaje uchováváme po dobu potřebnou k vyřízení záležitosti a následně v rozsahu nezbytném pro určení, výkon nebo obhajobu právních nároků.

KYC a daňové údaje Tvůrců. Údaje jsou uchovávány pouze po dobu vyžadovanou příslušnými právními předpisy nebo pravidly poskytovatele, který ověření provádí. Identifikační dokumenty, které sami již nepotřebujeme uchovávat, odstraníme nebo jejich ukládání vůbec neprovádíme.

Technické a bezpečnostní záznamy. Technické a bezpečnostní údaje uchováváme pouze po přiměřenou dobu odpovídající jejich účelu.

Zálohy. Odstraněné údaje mohou po omezenou dobu existovat v technických zálohách až do jejich standardní rotace. Tyto kopie nejsou používány k běžnému provoznímu zpracování.

22. 30denní lhůta při smazání účtu

Smazání účtu probíhá ve dvou krocích.

Po potvrzení žádosti:

• účet se deaktivuje,
• přihlášení se zablokuje,
• veřejná stránka Tvůrce se skryje,
• veřejné jméno a zprávy se přestanou zobrazovat v rozsahu umožněném Platformou.

Po dobu 30 dní držíme údaje potřebné pro případné obnovení účtu.

Po uplynutí této lhůty dojde k výmazu nebo anonymizaci údajů, které již nejsou potřebné.

Výmaz se netýká informací, které jsme povinni nebo oprávněni nadále uchovávat například z důvodu účetnictví, daňových povinností, otevřeného chargebacku, právního sporu nebo ochrany před podvodem.

Úplný výmaz může být odložen, dokud nejsou vypořádány například:

• aktivní nebo neukončené opakované platby,
• nevyřízené objednávky,
• refundace,
• chargebacky,
• nevyplacený nebo záporný zůstatek Tvůrce.

Co brání okamžitému dokončení výmazu, Platforma uživateli podle možností zobrazí.

23. Vaše práva

Za podmínek stanovených GDPR máte zejména právo:

• získat informace o zpracování;
• získat přístup ke svým osobním údajům;
• získat kopii osobních údajů;
• požadovat opravu nepřesných údajů;
• požadovat výmaz;
• požadovat omezení zpracování;
• získat údaje v přenositelném formátu, jsou-li splněny zákonné podmínky;
• vznést námitku proti zpracování založenému na oprávněném zájmu;
• kdykoli odvolat souhlas tam, kde je zpracování založeno na souhlasu;
• vznést námitku proti přímému marketingu;
• podat stížnost u dozorového úřadu.

Odvolání souhlasu nemá vliv na zákonnost zpracování provedeného před jeho odvoláním.

24. Jak práva uplatnit

Některá práva můžete uplatnit přímo v Platformě:

• Nastavení → Účet → Stáhnout moje data
• Nastavení → Účet → Smazat účet

Další požadavky můžete zaslat na info@fairplay.events.

Abychom zabránili zpřístupnění nebo smazání dat neoprávněnou osobou, můžeme před vyřízením žádosti přiměřeně ověřit vaši totožnost, například přihlášením do účtu nebo potvrzením prostřednictvím registrovaného e-mailu.

Na žádost odpovíme bez zbytečného odkladu a ve lhůtách stanovených GDPR.

25. Stížnost

Pokud se domníváte, že s vašimi osobními údaji nakládáme v rozporu s právními předpisy, můžete nás nejprve kontaktovat na info@fairplay.events.

Máte také právo podat stížnost u:

• Úřad pro ochranu osobních údajů
• Pplk. Sochora 27, 170 00 Praha 7, Česká republika
• uoou.gov.cz

26. Automatizované rozhodování

Nepoužíváme výhradně automatizované rozhodování, které by mělo pro uživatele právní účinky nebo jej obdobným způsobem významně ovlivňovalo ve smyslu čl. 22 GDPR.

Automatizované systémy mohou vyhodnocovat například neobvyklou četnost pokusů o platbu, bezpečnostní události nebo podezřelou aktivitu.

Výsledkem může být například dočasné omezení konkrétního požadavku nebo platby.

Podezřelé případy mohou být následně předány k lidskému přezkoumání.

O trvalém odstranění obsahu nebo závažném omezení účtu není rozhodováno pouze na základě takového jednoduchého automatického anti-fraud mechanismu.

27. Cookies a podobné technologie

Platforma nepoužívá reklamní nebo cross-site tracking cookies.

Bez souhlasu používáme pouze cookies nebo obdobné technologie, které jsou nezbytné pro fungování služby, například:

• přihlašovací relaci,
• bezpečnost,
• volbu jazyka,
• měny,
• vzhledu,
• další technické preference.

Pokud bychom v budoucnu začali používat analytické, reklamní nebo jiné technologie vyžadující souhlas uživatele, zavedeme příslušné mechanismy pro získání souhlasu ještě před jejich použitím.

28. Zabezpečení

Používáme přiměřená technická a organizační opatření odpovídající povaze zpracovávaných údajů a souvisejícím rizikům.

Patří mezi ně podle povahy systému například:

• šifrovaná komunikace,
• omezení přístupu podle rolí,
• oddělení veřejných a neveřejných dat,
• auditní záznamy,
• bezpečnostní monitoring,
• řízení přístupových oprávnění,
• zálohování,
• ochrana proti automatizovanému zneužití,
• pravidelné aktualizace používané infrastruktury.

Přístup k citlivějším údajům Tvůrců, například údajům souvisejícím s ověřením identity, mají pouze osoby, které jej potřebují pro svou práci.

29. Děti

Účet Platformy je určen osobám starším 18 let v souladu s Obchodními podmínkami.

Pokud zjistíme, že byl účet vytvořen osobou, která nesplňuje věkovou podmínku Platformy, můžeme účet omezit nebo odstranit a související osobní údaje vymazat, pokud jejich další uchování není vyžadováno právními předpisy.

30. Prodej nebo reorganizace společnosti

Pokud dojde k fúzi, přeměně, prodeji společnosti nebo převodu podstatné části Platformy na jiného provozovatele, mohou být osobní údaje součástí takového převodu.

Nový správce bude povinen osobní údaje zpracovávat v souladu s použitelnými právními předpisy.

Pokud to právní předpisy vyžadují, budeme uživatele o změně správce informovat.

31. Změny těchto Zásad

Tyto Zásady můžeme aktualizovat například při změně Platformy, používaných poskytovatelů nebo právních předpisů.

O významných změnách, které podstatně mění způsob zpracování osobních údajů, budeme registrované uživatele vhodným způsobem informovat.

Pokud nové zpracování vyžaduje souhlas, nebudeme jej provádět pouze na základě změny těchto Zásad, ale požádáme vás o odpovídající souhlas.

32. Souvislosti

Obchodní pravidla Platformy upravují Obchodní podmínky.

Pravidla publikovaného obsahu upravují Pravidla obsahu.

Tyto Zásady ochrany osobních údajů vysvětlují pouze způsob zpracování osobních údajů a samy o sobě nepředstavují souhlas se zpracováním tam, kde je podle právních předpisů vyžadován samostatný souhlas.