Zásady zpracování osobních údajů

1. Kdo vaše údaje zpracovává

Správcem osobních údajů je společnost Dakl benefits, s.r.o., IČO 19707118, se sídlem Dolní náměstí 384, 250 70 Odolena Voda, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze, oddíl C, vložka 390447 (dále jen „my“ nebo „Provozovatel“), provozovatel platformy DAKL Benefits na adrese www.daklbenefits.cz (dále jen „Platforma“).

Ve všech záležitostech ochrany osobních údajů nás kontaktujte na e-mailu [email protected] nebo dopisem na adresu sídla. Pověřence pro ochranu osobních údajů jsme nejmenovali, protože nám to právní předpisy neukládají.

Tyto zásady vysvětlují, jak podle nařízení (EU) 2016/679 (dále jen „GDPR“) a zákona č. 110/2019 Sb., o zpracování osobních údajů, nakládáme s osobními údaji návštěvníků webu, zástupců našich klientů a partnerů a uživatelů Platformy.

2. Kdy jsme správcem a kdy zpracovatelem

Platforma slouží firmám (dále jen „Klient“), které prostřednictvím ní zpřístupňují svým zaměstnancům a spolupracovníkům (dále jen „Zaměstnanec“) slevy a výhody našich partnerů (dále jen „Partner“).

Údaje Zaměstnanců, které na Platformu vloží Klient (jméno, pracovní e-mail, osobní číslo, zařazení do skupin) a údaje o zpřístupnění Benefitů zpracováváme jako zpracovatel Klienta. Správcem je v tomto rozsahu Klient (zaměstnavatel); práva k těmto údajům uplatňujte přednostně u něj. Pokud se obrátíte na nás, žádost Klientovi předáme a pomůžeme s jejím vyřízením.
Ve všech ostatních případech popsaných níže jsme samostatným správcem — týká se to zejména provozu a zabezpečení uživatelských účtů, prevence zneužití, statistik, plateb, komunikace s klienty a partnery, marketingu a webu.

Podrobnosti pro Zaměstnance najdete také v dokumentu Informace pro zaměstnance, který se zobrazí při prvním přihlášení do aplikace.

3. Jaké údaje zpracováváme, proč a jak dlouho

3.1 Návštěva webu

Údaje: IP adresa, typ prohlížeče a zařízení, navštívené stránky, odkud jste přišli (včetně parametrů kampaní), jazyk, údaje uložené v cookies.
Účel: zobrazení webu, zabezpečení a ochrana proti útokům, souhrnná statistika návštěvnosti; s vaším souhlasem měření návštěvnosti nástrojem Google Analytics a měření a cílení reklamy Google Ads.
Právní základ: oprávněný zájem na provozu a zabezpečení webu (čl. 6 odst. 1 písm. f GDPR); u analytických a marketingových cookies souhlas (čl. 6 odst. 1 písm. a GDPR a § 89 odst. 3 zákona č. 127/2005 Sb.).
Doba uložení: naše vlastní statistiky ukládáme bez IP adresy — místo ní uchováváme jen jednosměrný otisk s denně měněnou solí, a to 24 měsíců; poté zůstávají jen souhrnná čísla. Doby uložení cookies uvádí dokument Zásady používání souborů cookies.

3.2 Poptávka a kontaktní formulář

Údaje: jméno, e-mail, telefon, firma a obsah zprávy; případně kód obchodního zástupce, přes jehož doporučení jste přišli.
Účel: odpověď na dotaz, příprava nabídky a přidělení poptávky obchodnímu zástupci.
Právní základ: jednání o uzavření smlouvy (čl. 6 odst. 1 písm. b GDPR), jinak oprávněný zájem na vyřízení dotazu.
Doba uložení: po dobu jednání a dále 3 roky od posledního kontaktu, nevznikne-li smluvní vztah.

3.3 Registrace firmy a účet správce Klienta

Údaje: identifikační údaje firmy (název, IČO, DIČ, sídlo — ověřujeme je v registru ARES), jméno, příjmení, e-mail a telefon správce, heslo (ukládáme jen v nevratně zašifrované podobě), jazyk, případně propojení s účtem Google nebo Microsoft, nastavení dvoufázového ověření.
Účel: uzavření a plnění smlouvy, správa účtu Klienta, komunikace o službě.
Právní základ: plnění smlouvy s Klientem (čl. 6 odst. 1 písm. b GDPR); u osoby správce oprávněný zájem Klienta i náš na tom, aby účet spravovala pověřená osoba (čl. 6 odst. 1 písm. f GDPR).
Doba uložení: po dobu trvání smlouvy; poté údaje osoby anonymizujeme, s výjimkou údajů, které musíme uchovat podle bodů 3.4 a 3.8.

3.4 Předplatné, platby a fakturace

Údaje: fakturační údaje firmy, fakturační e-mail, zvolený tarif, historie předplatného, faktury a platby. Údaje platební karty zadáváte přímo do platební brány Stripe — my je nikdy nevidíme ani neukládáme; od Stripe dostáváme jen informaci o výsledku platby a o použité platební metodě.
Účel: vyúčtování předplatného, vymáhání pohledávek, plnění účetních a daňových povinností.
Právní základ: plnění smlouvy a plnění právních povinností (čl. 6 odst. 1 písm. b a c GDPR).
Doba uložení: účetní a daňové doklady 10 let od konce roku, ve kterém vznikly (zákon č. 563/1991 Sb., o účetnictví, a zákon č. 235/2004 Sb., o DPH); technické záznamy o platebních událostech 12 měsíců.

3.5 Účet Zaměstnance a používání aplikace

Údaje: jméno a příjmení, e-mail, osobní číslo (zadá-li ho Klient), firma a skupiny, stav účtu, jazyk, heslo (zašifrované), přihlášení přes Google nebo Microsoft, záznamy o používání — zobrazení Benefitů, vystavení a ověření Kupónů, prokliky na weby Partnerů.
Účel: v roli zpracovatele zpřístupnění Benefitů podle pokynů Klienta (viz bod 2); jako samostatný správce provoz a zabezpečení účtu, ověřování platnosti Kupónů, prevence zneužití, souhrnné statistiky pro Partnery a Klienty, vyúčtování s Partnery a zlepšování služby.
Právní základ: oprávněný zájem na bezpečném a funkčním provozu Platformy a na vyhodnocení její využitelnosti (čl. 6 odst. 1 písm. f GDPR).
Komu údaje ukazujeme: Klient vidí seznam svých Zaměstnanců a stav jejich účtů, o využívání Benefitů ale dostává jen souhrnné přehledy, nikoli údaje o jednotlivcích. Partner při ověření Kupónu vidí vaše jméno (pokud ho Klient zadal), název Klienta a údaje Benefitu; jinak dostává jen souhrnné statistiky.
Doba uložení: údaje účtu po dobu členství u Klienta a trvání smlouvy s Klientem, nejdéle do 90 dnů od jejich skončení, kdy je anonymizujeme; podrobné záznamy o používání 24 měsíců, poté jen souhrnná čísla bez vazby na osobu.

3.6 Bezpečnost a záznamy o činnosti

Údaje: IP adresa a údaje o prohlížeči při přihlášení, záznamy o přihlášeních a relacích, záznamy o změnách provedených v účtu (kdo, co a kdy změnil), záznamy o odeslaných e-mailech a jejich doručení.
Účel: ochrana účtů a Platformy, odhalování a vyšetřování zneužití, doložení provedených úkonů, ochrana právních nároků.
Právní základ: oprávněný zájem (čl. 6 odst. 1 písm. f GDPR).
Doba uložení: přihlášení a relace do 7 dnů po jejich vypršení; záznamy o odeslaných e-mailech 12 měsíců; záznamy o změnách v účtech 10 let (v záznamech o změnách IP adresu neukládáme, jen její jednosměrný otisk).

3.7 Souhlasy s dokumenty a marketing

Údaje: který dokument a jakou jeho verzi jste potvrdili, kdy, z jaké IP adresy a prohlížeče; udělení a odvolání souhlasu s marketingovou komunikací.
Účel: doložení, že jste byli seznámeni s podmínkami a že souhlas byl udělen; zasílání obchodních sdělení správcům Klientů.
Právní základ: oprávněný zájem na prokázání souhlasu a plnění právní povinnosti (čl. 7 odst. 1 GDPR); u marketingu souhlas (čl. 6 odst. 1 písm. a GDPR), u stávajících klientů také § 7 odst. 3 zákona č. 480/2004 Sb.
Doba uložení: záznam o souhlasu po dobu trvání účtu a dále 10 let; marketing do odvolání souhlasu. Souhlas s marketingem můžete kdykoli odvolat v nastavení účtu, odkazem v každém obchodním e-mailu nebo e-mailem na naši adresu.

3.8 Partneři a obchodní zástupci

Údaje: jméno, e-mail a telefon kontaktních osob Partnera, fakturační údaje, faktury; u obchodních zástupců identifikační a fakturační údaje, přehled získaných klientů a provizí.
Účel: uzavření a plnění smlouvy, zveřejnění Partnera na Platformě, vyúčtování.
Právní základ: plnění smlouvy a právních povinností, u kontaktních osob oprávněný zájem (čl. 6 odst. 1 písm. b, c a f GDPR).
Doba uložení: po dobu spolupráce; účetní doklady 10 let.

3.9 Uplatnění práv a ochrana nároků

Údaje potřebné k určení, výkonu nebo obhajobě našich právních nároků můžeme uchovat po dobu promlčecí lhůty a trvání případného sporu (čl. 6 odst. 1 písm. f GDPR).

4. Komu údaje předáváme

Osobní údaje neprodáváme. Předáváme je jen v nezbytném rozsahu těmto příjemcům:

Klientovi — v rozsahu popsaném v bodě 3.5;
Partnerům — při ověření Kupónu (bod 3.5) a souhrnné statistiky;
obchodním zástupcům Provozovatele — kontaktní a obchodní údaje Klientů a Partnerů, které získali nebo spravují;
zpracovatelům, kteří pro nás zajišťují provoz Platformy: Railway Corporation (hosting aplikace a databáze, datové centrum v Nizozemsku), Cloudflare, Inc. (úložiště souborů v EU, doručování obsahu, ochrana formulářů před roboty), Plus Five Five, Inc. — Resend (odesílání e-mailů), OpenAI (strojový překlad textů Partnerů a Benefitů — nepředáváme mu údaje Zaměstnanců ani Klientů), poskytovatelé IT podpory, účetní a daňoví poradci a advokáti vázaní mlčenlivostí;
samostatným správcům: Stripe Payments Europe, Ltd. (platební brána), Google Ireland Limited (Google Analytics, Google Ads a přihlášení účtem Google — jen pokud jste k cookies dali souhlas, resp. přihlášení přes Google zvolili), Microsoft Ireland Operations Limited (přihlášení účtem Microsoft, pokud ho zvolíte);
orgánům veřejné moci, ukládá-li nám to zákon.

5. Předávání mimo Evropskou unii

Data Platformy ukládáme v datových centrech v Evropské unii. Někteří naši dodavatelé mají sídlo v USA a mohou k údajům mít přístup. Předání se v takovém případě opírá o rozhodnutí Evropské komise o odpovídající ochraně (EU-US Data Privacy Framework), u něhož je příjemce certifikován, nebo o standardní smluvní doložky schválené Evropskou komisí.

6. Cookies

Nezbytné cookies používáme vždy, analytické a marketingové jen s vaším souhlasem. Podrobnosti a možnost souhlas změnit najdete v dokumentu Zásady používání souborů cookies.

7. Automatizované rozhodování

Neprovádíme automatizované rozhodování ani profilování, které by pro vás mělo právní účinky nebo se vás obdobně významně dotýkalo. S vaším souhlasem může Google Ads využívat údaje z cookies k zobrazování relevantnější reklamy.

8. Vaše práva

Máte právo:

na přístup ke svým osobním údajům a na jejich kopii;
na opravu nepřesných údajů;
na výmaz, pokud údaje již nejsou potřeba, odvoláte souhlas nebo vznesete důvodnou námitku;
na omezení zpracování;
na přenositelnost údajů, které jste nám poskytli a které zpracováváme na základě smlouvy nebo souhlasu;
vznést námitku proti zpracování na základě oprávněného zájmu — proti zpracování pro přímý marketing kdykoli a bez udání důvodu;
kdykoli odvolat souhlas; odvolání nemá vliv na zákonnost zpracování před odvoláním;
podat stížnost u Úřadu pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, www.uoou.gov.cz.

Žádost nám pošlete e-mailem na [email protected]. Vyřídíme ji bez zbytečného odkladu, nejpozději do jednoho měsíce; ve složitých případech můžeme lhůtu prodloužit o další dva měsíce a dáme vám o tom vědět. Před vyřízením můžeme ověřit vaši totožnost. Týká-li se žádost údajů, které zpracováváme jako zpracovatel Klienta, předáme ji Klientovi.

9. Zabezpečení

Komunikace s Platformou je šifrovaná, hesla ukládáme jen v nevratně zašifrované podobě, přístup k údajům je řízen podle rolí, účty s rozšířenými oprávněními chrání dvoufázové ověření, data pravidelně zálohujeme a vedeme záznamy o změnách. K údajům mají přístup jen osoby, které je potřebují k plnění svých úkolů a jsou vázány mlčenlivostí.

10. Změny zásad

Tyto zásady můžeme aktualizovat, zejména při změně Platformy nebo právních předpisů. Aktuální i předchozí znění najdete na této stránce; o podstatných změnách informujeme uživatele e-mailem nebo v aplikaci.