1. Jak přistupujeme k ochraně osobních údajů
Při nákupu nábytku přes internet vznikají situace, kdy je nutné pracovat s osobními údaji – například při vytvoření objednávky, ověření platby, doručení zboží nebo vyřízení reklamace.
Tyto zásady vysvětlují, jak jsou osobní údaje zpracovávány při používání webových stránek camrelveris.com, jaké jsou účely a právní základy zpracování a jaká práva mají návštěvníci a zákazníci podle obecného nařízení o ochraně osobních údajů (GDPR).
Při zpracování osobních údajů uplatňujeme zejména tyto zásady:
Účelové omezení: údaje používáme pouze pro konkrétní a oprávněné účely.
Minimalizace údajů: požadujeme pouze údaje nezbytné pro danou činnost.
Oddělení nákupu od marketingu: uskutečnění objednávky samo o sobě neznamená souhlas se všemi marketingovými aktivitami.
Transparentnost: informace o zpracování poskytujeme srozumitelně a v rozsahu požadovaném právními předpisy.
Omezení doby uchovávání: údaje uchováváme pouze po dobu odůvodněnou účelem zpracování nebo právními povinnostmi.
Tyto zásady je třeba číst společně s dokumenty Zásady ochrany osobních údajů, Zásady používání souborů cookie a Zásady ochrany osobních údajů. Každý dokument upravuje odlišnou oblast a jejich obsah musí být vzájemně konzistentní.
2. Kdo odpovídá za zpracování osobních údajů
Správcem osobních údajů je osoba, která určuje účely a prostředky jejich zpracování.
Aktuálně dostupné kontaktní údaje webových stránek jsou:
Název webových stránek: Camrelveris
Webová adresa: camrelveris.com
E-mail: support@camrelveris.com
Telefon: +1 (727) 714-5826
Kontaktní adresa: 10342 111th Ave, Largo, FL 33773, USA
Oblast doručení: celé území České republiky
Zákaznická podpora: pondělí až pátek, 09:00–12:00 a 14:00–18:00
Před zveřejněním je nutné doplnit skutečný právní název správce a další identifikační údaje vyžadované právními předpisy. Samotný název webových stránek ani kontaktní adresa nemusí postačovat k jednoznačné identifikaci správce.
Vzhledem k uvedené adrese v USA je rovněž nutné posoudit použitelnost GDPR na konkrétní činnosti a ověřit, zda vzniká povinnost jmenovat zástupce v Evropské unii podle článku 27 GDPR. Tato povinnost závisí na konkrétních okolnostech a případných zákonných výjimkách.
Stejně tak je třeba posoudit, zda je podle článku 37 GDPR nutné jmenovat pověřence pro ochranu osobních údajů (DPO). Bez ověření skutečného stavu nelze tvrdit, že byl zástupce nebo pověřenec jmenován, ani že takové jmenování není potřebné.
3. Jaké údaje mohou být zpracovávány
Rozsah zpracovávaných údajů závisí na tom, jaké funkce návštěvník využije a jaké informace jsou nezbytné pro konkrétní účel.
3.1 Údaje při objednávce
Při nákupu mohou být zpracovávány zejména:
jméno a příjmení zákazníka;
e-mailová adresa a telefonní číslo, pokud jsou potřebné pro objednávku nebo doručení;
fakturační a doručovací adresa;
údaje o objednaném zboží, ceně a stavu objednávky;
údaje potřebné k ověření platby a zpracování vrácení peněz;
komunikace související s objednávkou.
Tyto údaje slouží především k uzavření a plnění kupní smlouvy, doručení zboží, informování o průběhu objednávky a vyřízení souvisejících požadavků.
Údaje, které nejsou pro daný účel nezbytné, by neměly být vyžadovány jako povinné bez odpovídajícího důvodu.
3.2 Údaje související s doručením nábytku
Pro doručení zboží mohou být nezbytné údaje o příjemci, doručovací adrese a kontaktní údaje potřebné k organizaci přepravy.
Pokud konkrétní způsob doručení vyžaduje další informace, měly by být požadovány pouze v nezbytném rozsahu a s vysvětlením jejich účelu.
Tyto zásady nepředpokládají, že jsou automaticky shromažďovány přesné údaje o poloze, fotografie domácnosti nebo jiné informace, jejichž skutečné získávání nebylo ověřeno.
3.3 Platební údaje
V souvislosti s platbami a vrácením peněz mohou být zpracovávány údaje o stavu transakce, referenční čísla transakcí a další informace nezbytné k přiřazení platby k objednávce.
Rozsah údajů, ke kterým má web přístup, závisí na skutečně používané platební metodě a jejím poskytovateli. Tyto zásady proto netvrdí, že web přímo ukládá úplné údaje o platebních kartách.
3.4 Údaje při zákaznické podpoře a reklamacích
Při vyřizování dotazů, odstoupení od smlouvy, vrácení zboží, reklamací nebo požadavků na vrácení peněz mohou být zpracovávány kontaktní údaje, informace o objednávce, obsah požadavku a související komunikace.
Použití těchto údajů je omezeno na rozsah potřebný k vyřízení požadavku, splnění právních povinností nebo uplatnění či obhajobu právních nároků, pokud je pro takové zpracování splněn příslušný právní základ.
3.5 Technické údaje
V závislosti na skutečném nastavení webových stránek mohou být zpracovávány technické záznamy potřebné pro provoz, zabezpečení a řešení technických problémů, například informace o požadavcích na server nebo o čase přístupu.
Konkrétní kategorie těchto údajů musí odpovídat skutečné konfiguraci webu.
3.6 Údaje získané prostřednictvím souborů cookie
Pokud web používá soubory cookie nebo podobné technologie, mohou být zpracovávány informace související s nezbytným provozem webu, uloženými preferencemi, analytikou nebo marketingem.
Konkrétní názvy, účely, doby uchovávání a nastavení souborů cookie jsou popsány v dokumentu Zásady používání souborů cookie. Uvedené informace musí odpovídat skutečně používaným technologiím.
3.7 Zdroj údajů
Osobní údaje mohou pocházet přímo od uživatele, z průběhu objednávky a komunikace nebo z nezbytných technických záznamů. Pokud se na vyřízení objednávky skutečně podílejí externí poskytovatelé, mohou být v nezbytném rozsahu získávány také informace související s platbou nebo doručením.
Pokud údaje nejsou získány přímo od subjektu údajů, poskytují se informace podle článku 14 GDPR, pokud se neuplatní některá ze zákonných výjimek.
4. Účely a právní základy zpracování
Osobní údaje zpracováváme pouze tehdy, pokud pro daný účel existuje odpovídající právní základ podle článku 6 GDPR.
4.1 Vyřízení objednávky a plnění smlouvy
Údaje se používají k přijetí a potvrzení objednávky, zpracování nákupu, zajištění doručení, zasílání nezbytných informací o objednávce a řešení souvisejících požadavků.
Právní základ: čl. 6 odst. 1 písm. b) GDPR – zpracování nezbytné pro plnění smlouvy nebo pro provedení opatření přijatých před uzavřením smlouvy na žádost subjektu údajů.
Pokud zákazník neposkytne údaje nezbytné pro uzavření nebo plnění smlouvy, může být nemožné objednávku přijmout nebo řádně vyřídit.
4.2 Platby a vrácení peněz
Údaje mohou být zpracovávány za účelem ověření plateb, přiřazení transakcí k objednávkám a vyřízení oprávněných požadavků na vrácení peněz.
Právní základ: čl. 6 odst. 1 písm. b) GDPR, pokud je zpracování nezbytné pro plnění smlouvy; čl. 6 odst. 1 písm. c) GDPR, pokud je zpracování nezbytné ke splnění právní povinnosti.
4.3 Plnění zákonných povinností
Údaje mohou být uchovávány nebo zpracovávány za účelem splnění příslušných účetních, daňových, evidenčních a dalších zákonných povinností.
Právní základ: čl. 6 odst. 1 písm. c) GDPR.
Konkrétní rozsah údajů a doba jejich uchovávání se stanoví podle skutečně použitelných právních předpisů a typu dokumentace.
4.4 Zákaznická podpora a vyřizování reklamací
Údaje mohou být používány k odpovědím na dotazy, vyřízení reklamací, žádostí o vrácení zboží, refundací a dalších požadavků souvisejících s nákupem.
Právním základem může být plnění smlouvy podle čl. 6 odst. 1 písm. b) GDPR nebo splnění právní povinnosti podle písm. c). Pokud je uchování určitých údajů nezbytné pro uplatnění nebo obhajobu právních nároků, může být za splnění příslušných podmínek použit také čl. 6 odst. 1 písm. f) GDPR.
4.5 Bezpečnost webových stránek a prevence zneužití
Technické údaje mohou být zpracovávány k ochraně webu, odhalování neoprávněného přístupu, řešení bezpečnostních incidentů a ochraně právních zájmů.
Právní základ: čl. 6 odst. 1 písm. f) GDPR, pokud je zpracování nezbytné pro oprávněný zájem a nad tímto zájmem nepřevažují práva a svobody subjektu údajů.
Oprávněný zájem musí být konkrétně posouzen s ohledem na účel, rozsah údajů a dopad na uživatele.
4.6 Marketingová sdělení
Pokud jsou marketingová sdělení skutečně zasílána, mohou být kontaktní údaje zpracovávány za účelem propagace zboží nebo služeb v rozsahu povoleném právními předpisy.
Právní základ podle GDPR a podmínky samotného zasílání elektronických obchodních sdělení se posuzují odděleně. Podle konkrétní situace může být relevantní souhlas podle čl. 6 odst. 1 písm. a) GDPR nebo oprávněný zájem podle písm. f), pokud jsou splněny všechny příslušné podmínky.
Zasílání elektronických obchodních sdělení podléhá také českému zákonu č. 480/2004 Sb., o některých službách informační společnosti, zejména jeho pravidlům pro elektronický marketing.
Možnost zasílat nabídky stávajícím zákazníkům bez předchozího souhlasu lze využít pouze při splnění všech zákonných podmínek, včetně možnosti jednoduchého a bezplatného odmítnutí takového zasílání. Pokud právní předpisy vyžadují předchozí souhlas, musí být získán před zahájením příslušné činnosti.
Uživatel může kdykoli vznést námitku proti zpracování osobních údajů pro účely přímého marketingu. Po vznesení námitky se údaje pro tento účel dále nezpracovávají.
4.7 Analytika a personalizované technologie
Pokud web skutečně používá analytické nebo marketingové technologie, mohou být údaje zpracovávány za účelem měření návštěvnosti, zlepšování uživatelského prostředí nebo vyhodnocování marketingových aktivit.
U technologií, které podle příslušných právních předpisů vyžadují souhlas, musí být souhlas získán před jejich aktivací. Následné zpracování osobních údajů musí mít také samostatný odpovídající právní základ podle GDPR.
4.8 Nové účely zpracování
Pokud vznikne potřeba použít údaje pro nový účel, posoudí se slučitelnost tohoto účelu s původním účelem a případná povinnost poskytnout další informace nebo získat nový právní základ.
5. Komu mohou být údaje zpřístupněny
Osobní údaje mohou být v nezbytném rozsahu zpřístupněny příjemcům, kteří se skutečně podílejí na vyřízení objednávky, provozu webu nebo plnění zákonných povinností.
Podle skutečného provozního uspořádání může jít například o:
poskytovatele platebních služeb;
dopravce a poskytovatele doručovacích služeb;
poskytovatele webhostingu, údržby a zabezpečení;
poskytovatele systémů pro správu objednávek nebo zákaznickou podporu;
soudy, správní orgány nebo jiné oprávněné orgány, pokud zpřístupnění vyžaduje právní předpis nebo platné rozhodnutí.
Tento výčet popisuje možné kategorie příjemců a nepotvrzuje, že web využívá konkrétního poskytovatele.
Před zveřejněním je nutné ověřit skutečné dodavatele, smluvní vztahy a rozsah předávaných údajů. Pokud poskytovatel zpracovává údaje jménem správce jako zpracovatel, musí být v příslušných případech splněny požadavky článku 28 GDPR. Pokud sám určuje účely a prostředky zpracování, může mít postavení samostatného správce.
Údaje nejsou zpřístupňovány pro nesouvisející účely bez odpovídajícího právního základu.
6. Jak dlouho údaje uchováváme
Osobní údaje uchováváme pouze po dobu nezbytnou pro příslušný účel, splnění právních povinností nebo ochranu oprávněných právních nároků.
Konkrétní doba závisí na kategorii údajů, účelu zpracování, příslušných právních předpisech a skutečném provozním postupu.
Objednávky a doručení: po dobu potřebnou k vyřízení smlouvy, souvisejících požadavků a případných sporů.
Účetní a daňové dokumenty: po dobu stanovenou příslušnými právními předpisy podle typu dokumentu.
Zákaznická podpora a reklamace: po dobu potřebnou k vyřízení požadavku a případnému uplatnění nebo obhajobě právních nároků.
Marketingové údaje: po dobu, kdy je příslušné zpracování zákonné a nezbytné; záznamy o námitkách nebo odhlášení mohou být uchovány v nezbytném rozsahu, aby bylo možné respektovat přání uživatele.
Technické záznamy: po dobu odpovídající jejich bezpečnostnímu nebo provoznímu účelu.
Údaje ze souborů cookie: podle konkrétní technologie a nastavení uvedeného v dokumentu Zásady používání souborů cookie.
Před zveřejněním je nutné ověřit konkrétní doby uchovávání v používaných systémech a doplnit přesné lhůty tam, kde je to požadováno nebo vhodné pro transparentní informování uživatelů.
Pokud údaje již nejsou potřebné a neexistuje jiný zákonný důvod k jejich uchování, budou vymazány, anonymizovány nebo jinak zákonným způsobem zpracovány. Údaje, které musí být uchovány na základě právního předpisu nebo jsou nezbytné pro právní nároky, nemusí být možné vymazat okamžitě.
7. Práva subjektů údajů
Za podmínek stanovených GDPR mohou uživatelé uplatnit následující práva.
Právo na přístup
Uživatel může požádat o potvrzení, zda jsou jeho osobní údaje zpracovávány, a v příslušném rozsahu získat přístup k těmto údajům a zákonem požadovaným informacím.
Právo na opravu
Uživatel může požádat o opravu nepřesných údajů nebo doplnění neúplných údajů.
Právo na výmaz
Uživatel může požádat o výmaz údajů, pokud jsou splněny podmínky článku 17 GDPR. Toto právo není absolutní, zejména pokud je další uchovávání nezbytné ke splnění právní povinnosti nebo k uplatnění či obhajobě právních nároků.
Právo na omezení zpracování
V případech stanovených článkem 18 GDPR může uživatel požadovat omezení zpracování svých údajů.
Právo vznést námitku
Pokud je zpracování založeno na oprávněném zájmu, může uživatel za podmínek článku 21 GDPR vznést námitku.
Pokud jde o přímý marketing, má uživatel právo kdykoli vznést námitku proti zpracování osobních údajů pro tento účel. Po vznesení námitky se údaje pro přímý marketing dále nezpracovávají.
Právo na přenositelnost údajů
Pokud jsou splněny podmínky článku 20 GDPR, může uživatel získat údaje, které poskytl, ve strukturovaném, běžně používaném a strojově čitelném formátu a případně požádat o jejich předání jinému správci.
Právo odvolat souhlas
Pokud je zpracování založeno na souhlasu, může uživatel souhlas kdykoli odvolat. Odvolání nemá vliv na zákonnost zpracování provedeného před jeho odvoláním.
Práva související s automatizovaným rozhodováním
Pokud by skutečné zpracování spadalo do působnosti článku 22 GDPR, měl by uživatel práva a záruky stanovené tímto ustanovením.
Právo podat stížnost
Uživatel může podat stížnost u příslušného dozorového úřadu, pokud se domnívá, že zpracování jeho osobních údajů porušuje GDPR nebo jiné použitelné právní předpisy.
Jednotlivá práva se uplatní v rozsahu stanoveném GDPR a mohou podléhat zákonným podmínkám či výjimkám.
8. Jak uplatnit svá práva
Žádosti týkající se osobních údajů lze zaslat na e-mail:
support@camrelveris.com
Pro rychlejší vyřízení je vhodné uvést, čeho se žádost týká a jaké právo chce uživatel uplatnit. Dodatečné informace k ověření totožnosti mohou být vyžádány pouze tehdy, je-li to nezbytné a přiměřené.
Podle článku 12 GDPR bude uživatel zpravidla informován o přijatých opatřeních do jednoho měsíce od obdržení žádosti.
S ohledem na složitost nebo počet žádostí lze tuto lhůtu za podmínek GDPR prodloužit až o další dva měsíce. O prodloužení a jeho důvodech musí být uživatel informován během prvního měsíce.
Pokud žádosti nebude vyhověno, bude uživatel v souladu s GDPR informován o důvodech a o možnosti podat stížnost u dozorového úřadu a využít soudní ochranu.
Vyřízení žádosti je zpravidla bezplatné. U zjevně nedůvodných nebo nepřiměřených žádostí lze poplatek nebo odmítnutí uplatnit pouze za podmínek stanovených GDPR.
Žádosti podle GDPR je třeba odlišovat od žádostí týkajících se vrácení zboží, refundace nebo reklamace, které se řídí příslušnými pravidly pro spotřebitelské vztahy.
9. Předávání osobních údajů mimo Evropský hospodářský prostor
Kontaktní adresa v USA sama o sobě neprokazuje, kde jsou osobní údaje uloženy, odkud k nim lze přistupovat ani zda dochází k jejich předávání do třetích zemí.
Před zveřejněním je proto nutné ověřit skutečné umístění a přístup k údajům u poskytovatelů webhostingu, platebních služeb, dopravy, zákaznické podpory a dalších používaných služeb.
Pokud jsou osobní údaje předávány do země mimo Evropský hospodářský prostor nebo mezinárodní organizaci a použije se kapitola V GDPR, musí být zajištěn odpovídající právní mechanismus.
Podle konkrétní situace může jít například o rozhodnutí Evropské komise o odpovídající ochraně, vhodné záruky podle článku 46 GDPR nebo výjimky podle článku 49 GDPR, pokud jsou splněny jejich zákonné podmínky.
Pokud se používají vhodné záruky, musí být uživatelům poskytnuty informace požadované právními předpisy a v příslušných případech také informace o možnosti získat jejich kopii.
Tyto zásady nepředpokládají použití konkrétního mechanismu předávání. Konečné informace musí vycházet ze skutečných datových toků, smluv a právního posouzení.
10. Soubory cookie a nastavení webu
Web může podle svého skutečného technického nastavení používat soubory cookie nebo podobné technologie k zajištění nezbytných funkcí a případně k dalším účelům povoleným právními předpisy.
U technologií, které vyžadují souhlas, musí být platný souhlas získán před jejich aktivací. Pouhé pokračování v prohlížení webu, posouvání stránky nebo nečinnost uživatele se nepovažují za platný souhlas s nepovinnými soubory cookie.
Uživatel musí mít možnost spravovat nebo odvolat souhlas způsobem odpovídajícím příslušným právním předpisům.
Souhlas s používáním souborů cookie není automaticky souhlasem se všemi následnými operacemi zpracování osobních údajů. Každá operace musí mít odpovídající právní základ podle GDPR.
Podrobnosti o kategoriích, názvech, účelech, době uchovávání a správě souborů cookie jsou uvedeny v dokumentu Zásady používání souborů cookie. Jeho obsah musí odpovídat skutečně nasazeným technologiím.
11. Osobní údaje nezletilých osob
Při případném zpracování osobních údajů nezletilých osob je nutné zohlednit povahu konkrétní služby, účel zpracování a příslušné právní předpisy.
Pokud by šlo o situaci spadající pod článek 8 GDPR, tedy přímé nabízení služeb informační společnosti dítěti při zpracování založeném na souhlasu, musí být splněny požadavky tohoto článku a příslušné české právní úpravy.
Tyto zásady netvrdí, že web nikdy nezpracovává údaje nezletilých osob, ani nestanovují neověřenou jednotnou věkovou hranici pro všechny situace.
12. Zabezpečení osobních údajů a bezpečnostní incidenty
Osobní údaje musí být chráněny vhodnými technickými a organizačními opatřeními odpovídajícími povaze, rozsahu, okolnostem a účelům zpracování i souvisejícím rizikům.
Podle skutečného provozního a technického uspořádání mohou opatření zahrnovat řízení přístupových oprávnění, omezení přístupu na nezbytné osoby, zabezpečení systémů a postupy pro řešení bezpečnostních incidentů.
Konkrétní bezpečnostní opatření musí odpovídat skutečnosti. Bez ověření nelze tvrdit, že web používá konkrétní šifrovací standard, bezpečnostní certifikaci nebo nezávislý audit.
Pokud dojde k porušení zabezpečení osobních údajů, posoudí se riziko pro práva a svobody fyzických osob a přijmou se odpovídající opatření.
Pokud jsou splněny podmínky článku 33 GDPR, musí být porušení zabezpečení oznámeno příslušnému dozorovému úřadu bez zbytečného odkladu a pokud možno do 72 hodin od okamžiku, kdy se o něm správce dozvěděl.
Pokud je pravděpodobné, že porušení povede k vysokému riziku pro práva a svobody fyzických osob, postupuje se podle článku 34 GDPR, který upravuje informování dotčených osob, včetně stanovených výjimek.
13. Pověřenec pro ochranu osobních údajů a zástupce v EU
Povinnost jmenovat pověřence pro ochranu osobních údajů se posuzuje podle článku 37 GDPR a skutečné povahy zpracování.
Povinnost jmenovat zástupce v Evropské unii se posuzuje podle článku 27 GDPR, zejména s ohledem na místo usazení správce, jeho činnosti vůči osobám v EU a případné zákonné výjimky.
Pokud je jmenování povinné nebo pokud byl pověřenec či zástupce skutečně jmenován, musí být doplněny jeho pravdivé identifikační a kontaktní údaje.
Bez ověření nelze tvrdit, že příslušná osoba byla jmenována nebo že jmenování není nutné.
14. Změny těchto zásad
Tyto zásady mohou být aktualizovány v případě změn právních předpisů, provozních postupů, funkcí webových stránek nebo způsobů zpracování osobních údajů.
Aktuální znění bude zveřejněno na webových stránkách s uvedením skutečného data aktualizace. Pokud změna vyvolá další informační povinnost, potřebu získat nový souhlas nebo jinou povinnost podle právních předpisů, budou přijata odpovídající opatření.
Samotná aktualizace těchto zásad nemůže zpětně zlegalizovat dřívější zpracování, které nebylo zákonné.
15. Kontaktní údaje a možnost podat stížnost
V případě dotazů týkajících se zpracování osobních údajů nebo při uplatňování práv podle GDPR lze využít následující kontakty:
Webové stránky: camrelveris.com
E-mail: support@camrelveris.com
Telefon: +1 (727) 714-5826
Kontaktní adresa: 10342 111th Ave, Largo, FL 33773, USA
Zákaznická podpora: pondělí až pátek, 09:00–12:00 a 14:00–18:00
Pokud se uživatel domnívá, že zpracování jeho osobních údajů porušuje GDPR nebo jiné použitelné právní předpisy, může podat stížnost u příslušného dozorového úřadu.
V České republice je dozorovým úřadem Úřad pro ochranu osobních údajů (ÚOOÚ).
Podání stížnosti dozorovému úřadu není podmíněno tím, že uživatel nejprve podá žádost správci. Uživatel může podle příslušných právních předpisů využít také další správní nebo soudní prostředky ochrany.