ZÁSADY OCHRANY OSOBNÍCH ÚDAJŮ (GDPR)

pro SPA centrum [Doplňte název]

1. Identifikace správce údajů

1.1 Správce osobních údajů:
[Doplňte název společnosti / vaše jméno jako OSVČ]
Sídlo: [Doplňte adresa, např. Děčín 2, Ústecký kraj, CZ]
IČO: [Doplňte IČO]
DIČ: [Doplňte DIČ, pokud jste plátce DPH]
E-mail: [Doplňte e-mail pro GDPR, např. gdpr@holcr.cloud]
Telefon: [Doplňte telefon]
(dále jen „Správce“).

1.2 Pověřenec pro ochranu osobních údajů (DPO):
(Pokud máte povinnost jmenovat DPO – např. zpracováváte citlivé údaje ve velkém rozsahu)
Jméno: [Doplňte jméno DPO]
E-mail: [Doplňte dpo@holcr.cloud]
Telefon: [Doplňte telefon]

(Pokud DPO nepotřebujete – pro běžné SPA centrum OSVČ to často není vyžadováno, protože nezpracováváte citlivé údaje ve velkém rozsahu. Uveďte: „Pověrence pro ochranu osobních údajů jsme nenajali, protože naše činnost nesplňuje podmínky podle čl. 37 GDPR.“)

2. Účely a právní důvody zpracování

Správce zpracovává vaše osobní údaje pouze pro konkrétní, výslovné a oprávněné účely:

2.1 Provedení smlouvy a poskytnutí služeb (čl. 6 odst. 1 písm. b) GDPR)

Zpracováváme údaje pro:

• Provedení rezervace SPA procedur (datum, čas, typu procedury)

• Poskytnutí služby (masáže, bazén, sauna, kosmetika)

• Fakturaci a platby (zálohové platby, faktury, vrácení peněz)

• Komunikaci ohledně rezervace (potvrzení, připomínky SMS/e-mail, změny termínu)

Údaje: Jméno, příjmení, e-mail, telefon, adresa, datum narození (pokud je třeba pro slevu), platební údaje (číslo karty – pouze pro platební bránu), rezervační čísla.

2.2 Splnění zákonných povinností (čl. 6 odst. 1 písm. c) GDPR)

Zpracováváme údaje pro:

• Účetnictví a daňovou evidenci (zákon č. 563/1991 Sb. – uložení 10 let)

• Evidenci tržeb (zákon č. 280/2009 Sb. – EET, pokud platí)

• Hlášení pojištění a ochrana zdraví (zákonná povinnost při úrazech)

Údaje: Jméno, příjmení, IČO/DIČ (pro firmy), adresa, částka, datum, číslo faktury.

2.3 Oprávněný zájem správce (čl. 6 odst. 1 písm. f) GDPR)

Zpracováváme údaje pro:

• Zajištění bezpečnosti (kamery v provozu, přístupové systémy)

• Prevenci podvodů (zneužití karet, rezervací)

• Zlepšování služeb (anonymizovaná analýza návštěvnosti, statistiky)

• Řešení reklamací a sporů

Údaje: IP adresa, cookie ID, záznamy z chatu, histórica rezervací.

2.4 Souhlas subjektu údajů (čl. 6 odst. 1 písm. a) GDPR)

Zpracováváme údaje pro:

• Marketingové e-maily a SMS (novinky, slevy, akce) – s výslovným souhlasem

• Odeslání newsletteru

• Zveřejnění fotografie (pokud souhlasíte s fotkou ve zprávě)

Údaje: E-mail, telefon, jméno, preference.
Souhlas můžete kdykoli odvolat (viz § 7).

3. Kategorie zpracovávaných osobních údajů

Zpracováváme následující údaje:

4. Zdroje osobních údajů

Údaje získáváme:

• Přímo od vás (při rezervaci online, telefonicky, e-mailem, osobně)

• Z rezervačního systému (např. Riversoft, BooksLike, cujobase.cz)

• Z platební brány (GoPay, Comgate, Stripe – pouze tokenizované údaje)

• Z třetích stran (pokud rezervujete přes Booking.com, AirBnb – s vaším souhlasem)

5. Předání údajů třetím stranám (zpracovatelé)

Vaše údaje neposkytujeme třetím stranám bez vašeho souhlasu, pokud není nezbytné pro splnění smlouvy nebo zákona.

5.1 Zpracovatelé údajů (processors)

S prescribed kdo sdílíme údaje:

5.2 Orgány veřejné moci

Mohou být údaje předány na základě zákona:

• Finanční úřad (daňová kontrola)

• ČOI (reklamace, stížnosti)

• Pojišťovna (při úrazu)

• Police ČR (podezření na trestný čin)

6. Doba uchování údajů

Údaje uchováváme pouze nezbytně dlouhou dobu:

Po uplynutí doby jsou údaje smazány nebo anonymizovány.

7. Vaše práva jako subjekt údajů

Máte právo na:

7.1 Přístup k údajům (čl. 15 GDPR)

Zjistit, jaké údaje o vás zpracováváme a za jakým účelem.

7.2 Oprava údajů (čl. 16 GDPR)

Žádat opravu nejpřesných nebo neúplných údajů (např. změna e-mailu, telefonu).

7.3 Vymazání („právo být zapomenut“) (čl. 17 GDPR)

Žádat vymazání údajů, pokud:

• Už nejsou potřeba pro původní účel

• Odvoláte souhlas a není jiný právní důvod

• Byly zpracovány neoprávněně
  (Neplatí pro účetnictví – tam musíme údaje uchovávat 10 let.)

7.4 Omezení zpracování (čl. 18 GDPR)

Žádat pozastavení zpracování (např. při kontrole přesnosti údajů).

7.5 Přenositelnost údajů (čl. 20 GDPR)

Dostat své údaje v strukturovaném, běžném formátu (CSV, JSON) a předat jinému správci.

7.6 Námitka proti zpracování (čl. 21 GDPR)

Namítnout zpracování pro oprávněný zájem nebo přímý marketing.

7.7 Odvolání souhlasu (čl. 7 GDPR)

Kdykoli odvolat souhlas s marketingem nebo zpracováním citlivých údajů bez ovlivnění zákonného zpracování.

7.8 Automatizované rozhodování a profilování

Používáte žádné automatizované rozhodování s právním dopadem. Profilování pro marketing je volitelné a jen s souhlasem.

8. Jak uplatnit svá práva

8.1 Žádost o uplatnění práv můžete podat:

• E-mailem: [Doplňte gdpr@holcr.cloud]

• Písemně poštou: [Doplňte adresu sídla]

• Osobně na recepci (po identifikaci)

8.2 Identifikace: Pro ověření identity musíme zaznamenat:

• Jméno a příjmení

• Kontaktní údaje

• Případně kopii OP (při žádosti o vymazání)

8.3 Lhůta pro vyřízení: 30 kalendářních dnů od doručení žádosti. Pro složitější případy lze prodloužit o dalších 60 dnů (informujeme vás předem).

8.4 Poplatky: Uplatnění práv je zdarma, pokud není žádost zjevně nepřiměřená nebo opakovaná. V takovém případě můžeme účtovat přiměřený poplatek nebo žádost odmítnout.

8.5 Odvolání souhlasu s marketingem: Kliknutím na odkaz „Odhlásit“ v každém newsletteru, nebo e-mailem na [Doplňte e-mail].

9. Opatrnost a bezpečnost údajů

9.1 Provozujeme technická a organizační opatření proti:

• Neoprávněnému přístupu (hesla, 2FA, šifrování SSL/TLS)

• Ztrátě, poškození nebo zničení (zálohy denně)

• Úniku údajů (monitorování, access control)

9.2 Šifrování:

• Webové stránky používají SSL certifikát (HTTPS)

• Platební údaje jsou zpracovávány přes PCI-DSS certifikovanou platební bránu

• Databáze je šifrovaná (AES-256)

9.3 Pracovníci: Pouze oprávnění zaměstnanci mají přístup k údajům (chef, účetní, recepce). Všechny musí podepsat přihlášku k utajení.

9.4 Únik údajů: Při porušení ochrany údajů vás informujeme do 72 hodin apřípadně ÚOOÚ (Úřad pro ochranu osobních údajů).

10. Cookies a webové stránky

10.1 Webové stránky používají cookies pro:

• Fungování webu (nezbytné)

• Analytické účely (Google Analytics)

• Marketing (cílená reklama – s souhlasem)

10.2 Typy cookies:

10.3 Správa cookies:

• Můžete zablokovat cookies v prohlížeči

• Upravovat nastavení na [Doplňte URL politiky cookies]

• Odvolat souhlas kdykoli

10.4 Politika cookies je samostatný dokument dostupný na [Doplňte URL].

11. Mezinárodní přenos údajů

11.1 Údaje nepřenásíme mimo EU/EEA, pokud není zajištěna odpovídající úroveň ochrany:

• Švýcarsko: dostatečná úroveň (EU rozhodnutí)

• USA: pouze s SCC (Standard Contractual Clauses) nebo Privacy Shield (pokud platí)

11.2 Platební brána (např. Stripe) může mít servery mimo EU – používáme SCC schválené Komisí EU.

12. Změny zásad

12.1 Tyto Zásady mohou být změněny v důsledku:

• Změny legislativy (GDPR, národní zákony)

• Změny služeb nebo technologií

• Požadavků ÚOOÚ

12.2 Změny budou zveřejněny na webu s datem nabytí platnosti.
Pokračující používáním služeb po změně souhlasíte se změnou.

13. Stížnosti a dozorový úřad

13.1 Pokud považujete zpracování vašich údajů za porušení GDPR, máte právo podat stížnost:

Úřad pro ochranu osobních údajů (ÚOOÚ)
Pplk. Sochora 27, 170 00 Praha 7
Web: www.uoou.cz
E-mail: post@uoou.cz
Telefon: +420 234 665 111

13.2 Stížnost můžete podat i u soudu podle občanského soudního řádu.

14. Závěrečná ustanovení

14.1 Tyto Zásady nabývají platnosti dnem [Doplňte datum].

14.2 V případě nesouladu mezi jazykovými verzemi platí česká verze.

14.3 Kontakt pro dotazy o GDPR:
📧 E-mail: [Doplňte gdpr@holcr.cloud]
📞 Telefon: [Doplňte telefon]
📍 Adresa: [Doplňte adresu]