Zásady ochrany osobních údajů

1 Správce osobních údajů

Správcem osobních údajů je:

• Obchodní firma: Kvepex s.r.o. (dále jen „Kvepex" nebo „my")
• Sídlo: [Doplňte adresu], Praha, Česká republika
• IČO: [Doplňte IČO]
• E-mail: gdpr@kvepex.cz
• Web: https://qpx.cz

Kvepex provozuje online rezervační platformu dostupnou na adrese qpx.cz, která umožňuje propojení zákazníků s poskytovateli služeb (dále jen „Platforma").

2 Kategorie zpracovávaných osobních údajů

2.1 Registrační a profilové údaje

• Jméno a příjmení
• E-mailová adresa
• Telefonní číslo (volitelně)
• Profilová fotografie (volitelně)
• Hashované heslo (nikdy neukládáme heslo v čitelné podobě)

2.2 Údaje poskytovatele služeb

• Obchodní jméno nebo živnostenské oprávnění
• Adresa provozovny / oblast působení
• Popis nabízených služeb, ceník, pracovní doba

2.3 Transakční údaje

• Záznamy o rezervacích (datum, čas, služba, cena)
• Recenze a hodnocení
• Komunikace prostřednictvím Platformy

2.4 Technické údaje

• IP adresa, typ prohlížeče, operační systém
• Soubory cookies (viz sekce 7)
• Záznamy o přístupu (logy)

Zvláštní kategorie údajů: Kvepex zpracovává výhradně běžné osobní údaje. Nezpracováváme údaje o zdravotním stavu, rase, politických názorech ani jiné zvláštní kategorie dle čl. 9 GDPR.

3 Účely a právní základy zpracování

4 Příjemci osobních údajů

Vaše osobní údaje mohou být sdíleny s následujícími kategoriemi příjemců:

• Poskytovatelé hostingových služeb – server qpx.cz provozuje společnost WEDOS Internet, a.s., se sídlem v ČR
• Druhá smluvní strana – zákazník vidí veřejný profil poskytovatele (jméno, hodnocení, město); poskytovatel vidí jméno zákazníka a kontakt pro účely rezervace
• Orgány veřejné moci – pouze na základě zákonné povinnosti (soudy, správní orgány, ÚOOÚ)

Vaše údaje neprodáváme třetím stranám ani je nepoužíváme pro cílenou reklamu bez vašeho výslovného souhlasu.

Předávání do třetích zemí

Kvepex zpracovává data výhradně na serverech v EHP. K předávání osobních údajů do zemí mimo EHP nedochází. Geolokační API (bigdatacloud.net) zpracovává pouze souřadnice GPS bez vazby na identifikátor uživatele.

5 Doba uchování osobních údajů

• Uživatelský účet – po dobu trvání účtu + 3 roky po jeho zrušení (zákonná lhůta)
• Záznamy o rezervacích – 5 let od uskutečnění (zákon č. 563/1991 Sb., o účetnictví)
• Recenze a hodnocení – po dobu existence profilu poskytovatele
• Serverové logy – 90 dní
• Cookies – dle tabulky v Zásadách cookies

Po uplynutí doby uchování jsou údaje bezpečně anonymizovány nebo smazány.

6 Vaše práva v oblasti ochrany osobních údajů

Jako subjekt údajů máte dle GDPR tato práva:

• Právo na přístup (čl. 15) – můžete požádat o kopii vašich osobních údajů
• Právo na opravu (čl. 16) – můžete požádat o opravu nepřesných údajů
• Právo na výmaz / „být zapomenut" (čl. 17) – za podmínek GDPR
• Právo na omezení zpracování (čl. 18) – v zákonem stanovených případech
• Právo na přenositelnost (čl. 20) – získat údaje ve strojově čitelném formátu
• Právo vznést námitku (čl. 21) – zejména proti zpracování na základě oprávněného zájmu
• Právo odvolat souhlas – kdykoliv, bez vlivu na dřívější zpracování

Žádost o uplatnění práva zasílejte na gdpr@kvepex.cz. Odpovíme do 30 dní od přijetí žádosti.

Právo na stížnost

Máte právo podat stížnost u dozorového úřadu – Úřadu pro ochranu osobních údajů (ÚOOÚ):

• Web: www.uoou.cz
• Adresa: Pplk. Sochora 27, 170 00 Praha 7
• Tel.: +420 234 665 111
• E-mail: posta@uoou.cz

7 Cookies

Platforma používá soubory cookies v souladu se zákonem č. 127/2005 Sb. a Směrnicí 2002/58/ES (ePrivacy). Podrobné informace naleznete v Zásadách cookies. Svůj souhlas můžete kdykoliv odvolat kliknutím na „Nastavení cookies" v zápatí stránky.

8 Zabezpečení osobních údajů

Přijali jsme přiměřená technická a organizační opatření k ochraně vašich údajů:

• Přenos dat šifrován protokolem HTTPS/TLS
• Hesla ukládána výhradně ve formě bcrypt hash (nikdy v čitelné podobě)
• Přístup k databázi omezen na dedikovaného uživatele s minimálními právy
• Ochrana před CSRF útoky prostřednictvím tokenů
• Pravidelné zálohy databáze na straně poskytovatele hostingu

V případě porušení zabezpečení osobních údajů postupujeme dle čl. 33 a 34 GDPR a oznamujeme jej ÚOOÚ a dotčeným subjektům ve stanovených lhůtách.