ZÁSADY OCHRANY OSOBNÝCH ÚDAJOV REZERVAČNÉHO SYSTÉMU INSTANTLY

1. Úvodné ustanovenia

1.1 Tieto Zásady ochrany osobných údajov (ďalej len „Zásady“) vysvetľujú, ako spracúvame osobné údaje pri prevádzke internetovej softvérovej rezervačnej a plánovacej služby Instantly vrátane webového sídla instantly.sk, webového rozhrania, rezervačných formulárov, mobilnej aplikácie, API rozhraní a súvisiacich funkcií (ďalej len „Rezervačný systém“).

1.2 Osobné údaje spracúvame v súlade s Nariadením Európskeho parlamentu a Rady (EÚ) 2016/679 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov (ďalej len „GDPR“), so zákonom č. 18/2018 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov a so zákonom č. 452/2021 Z. z. o elektronických komunikáciách.

1.3 Pojmy s veľkým začiatočným písmenom, ktoré nie sú definované v týchto Zásadách, majú význam podľa Všeobecných obchodných podmienok rezervačného systému Instantly (ďalej len „VOP“) a Podmienok používania rezervačného systému Instantly (ďalej len „Podmienky používania“).

1.4 Rezervačný systém spracúva osobné údaje v dvoch odlišných postaveniach:

a) ako prevádzkovateľ – pri údajoch návštevníkov webového sídla, držiteľov Účtu, Používateľov a osôb konajúcich za Používateľov, ktoré spracúvame na vlastné účely (najmä na poskytovanie Rezervačného systému, fakturáciu a bezpečnosť); týmto údajom sa venujú články 3 až 10 týchto Zásad;

b) ako sprostredkovateľ – pri údajoch Koncových používateľov (zákazníkov), ktorí si rezervujú služby Poskytovateľov služby, a pri údajoch zamestnancov Poskytovateľov služby, ktoré Poskytovateľ služby vedie v Rezervačnom systéme; prevádzkovateľom týchto údajov je príslušný Poskytovateľ služby; tomuto postaveniu sa venuje článok 11 týchto Zásad.

2. Prevádzkovateľ a kontaktné údaje

2.1 Prevádzkovateľom je obchodná spoločnosť Instant s. r. o., so sídlom 1. mája 2598/43, 902 01 Pezinok, IČO: 57 628 068, zapísaná v Obchodnom registri Mestského súdu Bratislava III, oddiel Sro, vložka č. 199435/B (ďalej len „Prevádzkovateľ“ alebo „my“).

2.2 Vo veciach ochrany osobných údajov nás môžete kontaktovať e-mailom na adrese info@instantly.sk alebo písomne na adrese sídla.

2.3 Prevádzkovateľ nevymenoval zodpovednú osobu podľa čl. 37 GDPR.

3. Koho osobné údaje spracúvame

3.1 Ako prevádzkovateľ spracúvame osobné údaje týchto kategórií dotknutých osôb:

a) návštevníci webového sídla instantly.sk a verejných stránok Rezervačného systému;

b) držitelia Účtu – fyzické osoby, ktoré si vytvorili používateľský účet, a to aj pri rezervácii prostredníctvom rezervačného formulára;

c) osoby konajúce za Používateľa – fyzická osoba – podnikateľ, ktorá je Používateľom, štatutárni zástupcovia, majitelia, administrátori a ďalší členovia tímu Používateľa, ktorí majú prístup do Rezervačného systému;

d) kontaktné a fakturačné osoby Používateľa, ktorým vystavujeme faktúry alebo s ktorými komunikujeme;

e) osoby, ktoré nás kontaktujú – napríklad so žiadosťou o podporu, spätnou väzbou, žiadosťou o vytvorenie webovej stránky alebo s nahlásením nevhodného obsahu.

4. Účely, právne základy a rozsah spracúvania

4.1 Vytvorenie a správa Účtu. Spracúvame meno, priezvisko, e-mailovú adresu, telefónne číslo, heslo (výlučne v zahashovanej podobe), jazyk, nastavenia Účtu, dátum posledného prihlásenia a údaje, ktoré nepovinne doplníte (dátum narodenia, adresa, profilová fotografia). Právnym základom je plnenie zmluvy podľa čl. 6 ods. 1 písm. b) GDPR.

4.2 Overenie e-mailovej adresy pri registrácii. Na zadanú e-mailovú adresu zasielame jednorazový overovací kód. Právnym základom je plnenie zmluvy podľa čl. 6 ods. 1 písm. b) GDPR.

4.3 Prihlásenie, správa relácií a bezpečnosť Účtu. Spracúvame identifikátor Účtu, prihlasovacie tokeny, IP adresu a identifikáciu prehliadača. Počet pokusov o prihlásenie obmedzujeme podľa e-mailovej adresy a IP adresy. Právnym základom je plnenie zmluvy podľa čl. 6 ods. 1 písm. b) GDPR a náš oprávnený záujem na ochrane Účtov a Rezervačného systému pred zneužitím podľa čl. 6 ods. 1 písm. f) GDPR.

4.4 Evidencia súhlasu s právnymi dokumentmi. Pri odsúhlasení Podmienok používania, VOP, Zmluvy o spracúvaní osobných údajov a týchto Zásad (vrátane ich nových verzií) zaznamenávame identifikátor Účtu, prípadne Používateľa, za ktorého konáte, verziu a jazyk dokumentu, čas odsúhlasenia, IP adresu a identifikáciu prehliadača. Právnym základom je náš oprávnený záujem na preukázaní uzavretia zmluvy a obsahu dojednaných podmienok podľa čl. 6 ods. 1 písm. f) GDPR.

4.5 Poskytovanie Rezervačného systému Používateľovi. Spracúvame údaje o Používateľovi a jeho pobočkách (obchodné meno, sídlo, IČO, DIČ, IČ DPH, kontaktný e-mail a telefón, webové sídlo, odkazy na sociálne siete, logo, popis) a údaje členov tímu (meno, priezvisko, e-mail, pracovná pozícia, fotografia, priradenie k pobočkám, služby a ich ceny, rozvrh, prístupové roly a oprávnenia). Kontaktné údaje Používateľa a jeho pobočiek, meno a fotografiu členov tímu, ktorí poskytujú služby, zverejňujeme v rezervačnom formulári Používateľa. Právnym základom je plnenie zmluvy s Používateľom podľa čl. 6 ods. 1 písm. b) GDPR; vo vzťahu k členom tímu, ktorí nie sú zmluvnou stranou, náš oprávnený záujem a oprávnený záujem Používateľa na poskytovaní a používaní Rezervačného systému podľa čl. 6 ods. 1 písm. f) GDPR.

4.6 Pozvanie člena tímu. Ak Používateľ pozve do Rezervačného systému ďalšiu osobu, spracúvame jej e-mailovú adresu a údaje o pozvánke (pobočky, pozícia, platnosť pozvánky) a zašleme jej pozvánku e-mailom. Právnym základom je oprávnený záujem Používateľa a náš oprávnený záujem podľa čl. 6 ods. 1 písm. f) GDPR.

4.7 Vyhľadanie údajov o Používateľovi vo verejných registroch. Pri vytváraní Používateľa umožňujeme doplniť jeho identifikačné údaje podľa IČO z registra právnických osôb vedeného Štatistickým úradom Slovenskej republiky a z otvorených údajov Finančnej správy Slovenskej republiky. Pri fyzickej osobe – podnikateľovi ide o meno, obchodné meno a adresu miesta podnikania. Právnym základom je náš oprávnený záujem na správnosti údajov a zjednodušení registrácie podľa čl. 6 ods. 1 písm. f) GDPR.

4.8 Prevádzkové oznámenia. Zasielame oznámenia súvisiace s používaním Rezervačného systému (napríklad potvrdenie registrácie, obnovenie hesla, zmena hesla, pozvánka, zmena oprávnení, nové a zmenené rezervácie priradené členovi tímu, stav objednávky, vystavená faktúra, nízky alebo vyčerpaný SMS kredit, expirácia platobnej karty) e-mailom, SMS správou, oznámením v prehliadači (ak ste ho povolili) alebo v rozhraní Rezervačného systému. Právnym základom je plnenie zmluvy podľa čl. 6 ods. 1 písm. b) GDPR.

4.9 Platby, SMS kredity a fakturácia. Pri objednávke Predplatného, SMS kreditov alebo iných platených služieb spracúvame fakturačné údaje Používateľa (obchodné meno alebo meno, adresa, IČO, DIČ, IČ DPH, e-mail), údaje o objednávke, identifikátory platby u externého poskytovateľa platobných služieb a pri uloženej platobnej karte jej značku, posledné štyri číslice a dátum platnosti. Úplné číslo platobnej karty a bezpečnostný kód zadávate výlučne u externého poskytovateľa platobných služieb a k nám sa nedostanú. Ak si zvolíte uloženie karty na automatické dobíjanie, kartu u externého poskytovateľa platobných služieb uložíme na Vašu žiadosť. Právnym základom je plnenie zmluvy podľa čl. 6 ods. 1 písm. b) GDPR a pri vystavovaní a uchovávaní faktúr plnenie zákonnej povinnosti podľa čl. 6 ods. 1 písm. c) GDPR (najmä zákon č. 431/2002 Z. z. o účtovníctve a zákon č. 222/2004 Z. z. o dani z pridanej hodnoty).

4.10 Podpora, spätná väzba a iné žiadosti. Ak nás kontaktujete, pošlete spätnú väzbu, požiadate o vytvorenie webovej stránky alebo nahlásite nevhodný obsah (napríklad hodnotenie), spracúvame Vaše identifikačné a kontaktné údaje, obsah správy a záznamy o jej vybavení. Právnym základom je plnenie zmluvy podľa čl. 6 ods. 1 písm. b) GDPR, prípadne náš oprávnený záujem na vybavení žiadosti podľa čl. 6 ods. 1 písm. f) GDPR.

4.11 Analýza návštevnosti webového sídla. Iba ak nám na to udelíte súhlas v lište súborov cookie, používame službu Google Analytics 4 prostredníctvom nástroja Google Tag Manager na meranie návštevnosti webového sídla instantly.sk a toho, ako návštevníci prechádzajú cenníkom a registráciou. Spracúvajú sa pritom online identifikátory (súbory cookie), IP adresa, informácie o zariadení a prehliadači a o navštívených stránkach. Reklamné funkcie nepoužívame. Právnym základom je Váš súhlas podľa čl. 6 ods. 1 písm. a) GDPR a § 109 ods. 8 zákona č. 452/2021 Z. z. Súhlas môžete kedykoľvek odvolať v nastaveniach súborov cookie v pätičke webového sídla.

4.12 Zobrazenie mapy. Na stránke s potvrdením rezervácie a v detaile rezervácie zobrazujeme polohu pobočky prostredníctvom vloženej mapy služby Google Maps. Pri jej načítaní sa Vaša IP adresa a údaje o prehliadači odovzdávajú spoločnosti Google. Právnym základom je náš oprávnený záujem na zobrazení miesta poskytnutia služby podľa čl. 6 ods. 1 písm. f) GDPR.

4.13 Bezpečnosť, prevádzkové záznamy a zálohy. Na zabezpečenie prevádzky, odhaľovanie a riešenie chýb a útokov vedieme prevádzkové záznamy (IP adresa, identifikácia prehliadača, čas a druh požiadavky, identifikátory) a pravidelne zálohujeme databázy. Právnym základom je náš oprávnený záujem na bezpečnosti a dostupnosti Rezervačného systému podľa čl. 6 ods. 1 písm. f) GDPR a povinnosť zabezpečiť osobné údaje podľa čl. 32 GDPR.

4.14 Uplatňovanie a obrana právnych nárokov. V nevyhnutnom rozsahu spracúvame údaje uvedené v tomto článku na uplatnenie, preukazovanie a obhajobu našich právnych nárokov. Právnym základom je náš oprávnený záujem podľa čl. 6 ods. 1 písm. f) GDPR.

4.15 Plnenie ďalších zákonných povinností. Osobné údaje poskytujeme orgánom verejnej moci, ak nám to ukladá právny predpis. Právnym základom je čl. 6 ods. 1 písm. c) GDPR.

4.16 Poskytnutie údajov označených v Rezervačnom systéme ako povinné je zmluvnou požiadavkou; bez nich nie je možné Účet vytvoriť, Rezervačný systém používať alebo objednávku vybaviť. Poskytnutie ostatných údajov je dobrovoľné.

4.17 Osobné údaje nepoužívame na automatizované individuálne rozhodovanie vrátane profilovania, ktoré by malo voči Vám právne účinky alebo by Vás podobne významne ovplyvnilo.

5. Príjemcovia osobných údajov

5.1 Osobné údaje sprístupňujeme iba v rozsahu nevyhnutnom na daný účel. Na prevádzku Rezervačného systému využívame týchto sprostredkovateľov a príjemcov:

a) OVH SAS (Francúzsko) – prevádzka serverov, databáz a záloh výlučne v dátových centrách v Európskej únii a odosielanie e-mailov;

b) Amazon Web Services EMEA SARL (Luxembursko) – odosielanie e-mailov prostredníctvom služby Amazon SES v regióne Európska únia (Frankfurt); odovzdáva sa e-mailová adresa príjemcu, obsah správy a prílohy; Služba zaznamenáva aj technické údaje o doručení správy (doručenie, odmietnutie, nahlásenie ako nevyžiadanej pošty) a ak by bolo zapnuté meranie, aj údaje o otvorení správy a kliknutí na odkaz;

c) Sendinblue SAS (Brevo) (Francúzsko) – odosielanie SMS správ; odovzdáva sa telefónne číslo a obsah správy;

d) Stripe Payments Europe, Ltd. (Írsko) – spracúvanie platieb kartou a uloženie platobnej karty;

e) GOPAY s.r.o. (Česká republika) – spracúvanie platieb;

f) SuperFaktura, s. r. o. (Slovenská republika) – vystavovanie a evidencia faktúr; odovzdávajú sa fakturačné údaje odberateľa a rozpis plnenia;

g) BunnyWay d.o.o. (Slovinsko) – úložisko a doručovanie súborov (logá, fotografie, obrázky, faktúry v neverejnom úložisku); pri načítaní obrázkov sa odovzdáva IP adresa a údaje o prehliadači;

h) Cloudflare, Inc. (USA) – správa DNS a presmerovanie adries subdomén; pri presmerovaní sa odovzdáva IP adresa a údaje o prehliadači;

i) Google Ireland Limited (Írsko) – analýza návštevnosti (iba so súhlasom podľa bodu 4.11) a zobrazenie mapy (bod 4.12);

j) prevádzkovatelia služieb doručovania oznámení v prehliadači (napríklad Google, Mozilla, Apple) – iba ak ste oznámenia v prehliadači povolili; odovzdáva sa šifrovaný obsah oznámenia a adresa odberu.

5.2 Príjemcami osobných údajov môžu byť aj naši poradcovia (advokáti, účtovníci, audítori), ktorí sú viazaní povinnosťou mlčanlivosti, a orgány verejnej moci, ak to vyžaduje právny predpis.

5.3 Údaje Používateľa a jeho pobočiek a údaje členov tímu podľa bodu 4.5 sú prístupné ostatným členom tímu toho istého Používateľa v rozsahu ich oprávnení a v rozsahu uvedenom v bode 4.5 aj Koncovým používateľom v rezervačnom formulári.

6. Prenos osobných údajov do tretích krajín

6.1 Servery, databázy a zálohy Rezervačného systému prevádzkujeme výlučne v dátových centrách v Európskej únii. Osobné údaje spracúvame v Európskej únii a Európskom hospodárskom priestore. Niektorí príjemcovia uvedení v článku 5 (najmä Google, Cloudflare, Amazon Web Services, Stripe a prevádzkovatelia služieb doručovania oznámení v prehliadači) sú súčasťou skupín so sídlom v Spojených štátoch amerických a môžu k údajom pristupovať z tretích krajín.

6.2 Takýto prenos sa uskutočňuje na základe rozhodnutia Európskej komisie o primeranosti (rámec ochrany údajov EÚ – USA, ak je príjemca certifikovaný) alebo na základe štandardných zmluvných doložiek schválených Európskou komisiou podľa čl. 46 ods. 2 písm. c) GDPR.

7. Doba uchovávania

7.1 Osobné údaje uchovávame len po dobu nevyhnutnú na účel, na ktorý boli získané:

a) overovací kód pri registrácii: 30 minút; nedokončená registrácia sa vymaže najneskôr do 7 dní;

b) údaje Účtu: počas existencie Účtu; po zrušení Účtu údaje vymažeme alebo anonymizujeme do 30 dní, s výnimkou údajov, ktoré musíme alebo smieme uchovávať podľa písmen c) až j);

c) prihlasovacie relácie: 12 hodín, pri zvolení možnosti „zapamätať si ma“ 30 dní; záznamy o pokusoch o prihlásenie: 15 minút;

d) záznamy o súhlase s právnymi dokumentmi: počas trvania zmluvného vzťahu a 4 roky po jeho skončení;

e) údaje Používateľa a členov tímu: počas trvania Zmluvy; po jej skončení postupujeme podľa VOP a Zmluvy o spracúvaní osobných údajov;

f) faktúry a účtovné doklady: 10 rokov od konca roka, ktorého sa týkajú;

g) údaje o objednávkach a platbách: počas trvania Zmluvy a 4 roky po jej skončení;

h) komunikácia, spätná väzba a žiadosti: počas ich vybavovania a 3 roky po vybavení;

i) oznámenia v rozhraní Rezervačného systému: 90 dní; záznamy o odoslaných e-mailoch a SMS správach: 12 mesiacov;

j) prevádzkové záznamy: najviac 30 dní; zálohy databáz: najviac 30 dní;

k) súbory cookie Google Analytics: najviac 2 roky alebo do odvolania súhlasu.

7.2 Ak je to potrebné na uplatnenie alebo obranu právnych nárokov, môžeme údaje uchovávať až do právoplatného skončenia príslušného konania.

8. Práva dotknutých osôb

8.1 Podľa čl. 15 až 22 GDPR máte právo:

a) na prístup k svojim osobným údajom a na ich kópiu;

b) na opravu nesprávnych a doplnenie neúplných osobných údajov;

c) na vymazanie osobných údajov, ak sú splnené podmienky čl. 17 GDPR;

d) na obmedzenie spracúvania;

e) na prenosnosť osobných údajov, ktoré ste nám poskytli a ktoré spracúvame na základe zmluvy alebo súhlasu;

f) namietať proti spracúvaniu založenému na oprávnenom záujme z dôvodov týkajúcich sa Vašej konkrétnej situácie;

g) kedykoľvek odvolať súhlas; odvolanie súhlasu nemá vplyv na zákonnosť spracúvania pred jeho odvolaním.

8.2 Svoje práva si uplatníte e-mailom na adrese info@instantly.sk alebo písomne na adrese sídla. Na žiadosť odpovieme bez zbytočného odkladu, najneskôr do jedného mesiaca; v odôvodnených prípadoch môžeme lehotu predĺžiť o ďalšie dva mesiace, o čom Vás budeme informovať. Ak budeme mať pochybnosti o Vašej totožnosti, môžeme Vás požiadať o jej overenie, aby sme údaje neposkytli neoprávnenej osobe. Žiadosť odošlite podľa možnosti z e-mailovej adresy, ktorú ste uviedli v Účte.

8.3 Údaje Účtu môžete sami zobraziť a upraviť v nastaveniach Účtu.

8.4 Ak sa domnievate, že spracúvaním Vašich osobných údajov dochádza k porušeniu právnych predpisov, máte právo podať návrh na začatie konania dozornému orgánu, ktorým je Úrad na ochranu osobných údajov Slovenskej republiky, Hraničná 12, 820 07 Bratislava 27, www.dataprotection.gov.sk.

9. Súbory cookie a lokálne úložisko

9.1 Nevyhnutné súbory cookie používame na prihlásenie a ochranu pred podvrhnutím požiadaviek: access_token (15 minút), refresh_token a csrf_token (12 hodín, pri možnosti „zapamätať si ma“ 30 dní). Bez nich prihlásenie nefunguje, a preto na ne nepotrebujeme súhlas.

9.2 Analytické súbory cookie služby Google Analytics (_ga, _ga_*) ukladáme iba s Vaším súhlasom podľa bodu 4.11.

9.3 V lokálnom úložisku prehliadača ukladáme údaje potrebné na fungovanie rozhrania: zvolený vzhľad a jazyk, rozhodnutie o súboroch cookie, identifikátor prihláseného Účtu, zvoleného Používateľa a pobočku, stav prvkov rozhrania a filtrov a počas rezervácie alebo nákupu dočasne aj údaje rozpracovanej objednávky (napríklad e-mailovú adresu kupujúceho permanentky). Po odhlásení sa údaje viazané na Účet z lokálneho úložiska vymažú.

9.4 Podrobnosti uvádzajú Zásady používania súborov cookie zverejnené na webovom sídle.

10. Zabezpečenie osobných údajov

10.1 Prijali sme primerané technické a organizačné opatrenia na ochranu osobných údajov, najmä šifrovanie prenosu (HTTPS), oddelenie údajov jednotlivých Používateľov na úrovni databázy, ukladanie hesiel výlučne v zahashovanej podobe, šifrovanie prístupových údajov k platobným bránam, riadenie prístupu podľa rolí a oprávnení, obmedzovanie počtu pokusov o prihlásenie a overenie, oddelené testovacie a produkčné prostredie a pravidelné zálohovanie.

11. Spracúvanie údajov Koncových používateľov v mene Poskytovateľov služby

11.1 Ak si prostredníctvom Rezervačného systému rezervujete službu, kupujete permanentku alebo darčekovú permanentku, zapisujete sa ako náhradník alebo hodnotíte absolvovanú službu, prevádzkovateľom Vašich osobných údajov je Poskytovateľ služby, u ktorého rezerváciu vytvárate. Poskytovateľ služby určuje, na aké účely a ako dlho sa Vaše údaje spracúvajú. Jeho identifikačné a kontaktné údaje sú uvedené v rezervačnom formulári a v informácii o spracúvaní osobných údajov, ktorú Vám zobrazíme pred odoslaním rezervácie.

11.2 Prevádzkovateľ Rezervačného systému spracúva tieto údaje ako sprostredkovateľ podľa čl. 28 GDPR, na základe Zmluvy o spracúvaní osobných údajov uzatvorenej s Poskytovateľom služby a výlučne podľa jeho pokynov.

11.3 V mene Poskytovateľa služby spracúvame najmä: meno, priezvisko, e-mailovú adresu, telefónne číslo, jazyk, údaje o rezervácii (služba, termín, zamestnanec, cena, zľava, platba, stav), poznámku k rezervácii, údaje o permanentkách a darčekových permanentkách (vrátane mena a e-mailu kupujúceho a obdarovaného a venovania), hodnotenia a ich komentáre, údaje o zaradení medzi náhradníkov a údaje, ktoré o Vás vedie Poskytovateľ služby (interné poznámky, štítky, počet návštev a nedostavení sa, dátum poslednej návštevy, údaje prenesené z jeho predchádzajúceho rezervačného systému).

11.4 Svoje práva podľa článku 8 vo vzťahu k týmto údajom uplatňujte u Poskytovateľa služby. Ak svoju žiadosť zašlete nám, postúpime ju bez zbytočného odkladu príslušnému Poskytovateľovi služby a poskytneme mu súčinnosť pri jej vybavení.

11.5 Ako prevádzkovateľ spracúvame o Koncových používateľoch iba údaje potrebné na overenie rezervácie jednorazovým kódom a ochranu Rezervačného systému pred zneužitím (telefónne číslo alebo e-mailová adresa, IP adresa, počet a čas pokusov o overenie), a to na základe nášho oprávneného záujmu podľa čl. 6 ods. 1 písm. f) GDPR po dobu najviac 24 hodín, a údaje Účtu, ak si ho Koncový používateľ vytvorí (článok 4).

12. Záverečné ustanovenia

12.1 Tieto Zásady môžeme aktualizovať, najmä pri zmene Rezervačného systému, príjemcov alebo právnych predpisov. Aktuálne znenie s označením verzie a dátumu účinnosti zverejňujeme v Rezervačnom systéme. O podstatných zmenách Vás budeme informovať v rozhraní Rezervačného systému alebo e-mailom.