Ochrana osobních údajů

Šablona – před zveřejněním nechte zkontrolovat právníkem.

Toto memorandum popisuje, jak Provozovatel jako správce osobních údajů zpracovává osobní údaje uživatelů služby Omalujto (dále jen „Služba“) v souladu s nařízením Evropského parlamentu a Rady (EU) 2016/679 (dále jen „GDPR“) a zákonem č. 110/2019 Sb., o zpracování osobních údajů.

1. Správce osobních údajů

1.1. Správcem osobních údajů je:

• Obchodní firma / jméno: [doplnit provozovatele]
• IČO: [doplnit IČO]
• Sídlo: [doplnit sídlo]
• E-mail: ahoj@example.cz
• Telefon: [doplnit telefon]
• Web: https://omalovanky.store

1.2. Ve věcech ochrany osobních údajů se lze na Provozovatele obrátit na e-mailu ahoj@example.cz.

2. Jaké osobní údaje zpracováváme

2.1. Identifikační a kontaktní údaje – e-mailová adresa, případně jméno a fakturační adresa, pokud je uživatel vyplní pro účely vystavení daňového dokladu.

2.2. Nahraná fotografie – fotografie, kterou uživatel nahraje za účelem vygenerování omalovánky. Tato fotografie může zobrazovat i jinou osobu než uživatele (typicky dítě uživatele); odpovědnost za zákonnost jejího nahrání nese uživatel dle obchodních podmínek.

2.3. Obsah funkce „Vybarveno“ – fotografie vybarveného výtisku a případně veřejně zobrazené vybarvené dílo, je-li k tomu udělen samostatný souhlas.

2.4. Platební a fakturační údaje – údaje o provedených platbách zpracovává platební brána Stripe; Provozovateli se předávají pouze informace o výsledku platby (nikoli číslo platební karty). Fakturační údaje zpracovává fakturační systém Fakturoid.

2.5. Provozní a technické údaje – logy o chybách a dostupnosti Služby (Sentry, Better Stack), které mohou obsahovat IP adresu, identifikátor zařízení/prohlížeče a technické parametry požadavku.

2.6. Anonymizovaná/agregovaná analytická data – návštěvnost a používání Služby měříme nástrojem Umami, který je cookieless a neshromažďuje osobní identifikátory (viz samostatný dokument „Cookies“).

2.7. Komunikace s podporou – obsah e-mailové či jiné komunikace uživatele s Provozovatelem a případně e-mailová komunikace zasílaná přes nástroj Brevo (transakční e-maily, případně marketingová sdělení při uděleném souhlasu).

2.8. Provozovatel neprovádí rozpoznávání obličejů ani jiné zpracování biometrických údajů za účelem identifikace osob a nahrané fotografie k tomu nevyužívá.

3. Účely a právní základy zpracování

3.1. Plnění smlouvy (čl. 6 odst. 1 písm. b) GDPR) – správa uživatelského účtu, generování omalovánek, zpracování plateb a předplatného, poskytování zákaznické podpory, doplňkové funkce „Vybarveno“.

3.2. Splnění právní povinnosti (čl. 6 odst. 1 písm. c) GDPR) – vedení účetních a daňových dokladů po zákonem stanovenou dobu.

3.3. Oprávněný zájem Provozovatele (čl. 6 odst. 1 písm. f) GDPR) – zabezpečení Služby, prevence podvodů a zneužití, moderace nahraného obsahu, zlepšování Služby na základě agregovaných/anonymizovaných dat, vymáhání práv Provozovatele.

3.4. Souhlas (čl. 6 odst. 1 písm. a) GDPR) – udělován samostatně a je odvolatelný, a to zejména pro:

a) zveřejnění vybarveného díla ve veřejné galerii (čl. 12 obchodních podmínek);

b) použití nahraných fotografií nebo jiného obsahu k trénování/vylepšování AI modelů (bez tohoto samostatného souhlasu se fotografie k trénování modelů nepoužívají);

c) zasílání marketingových sdělení nad rámec transakční komunikace.

3.5. Souhlas lze kdykoli odvolat, aniž je tím dotčena zákonnost zpracování založená na souhlasu uděleném před jeho odvoláním.

4. Doba uchovávání údajů

4.1. Původní nahraná fotografie – uchovává se nejdéle 7 dní od posledního vygenerování (renderu) omalovánky z této fotografie, nebo je vymazána okamžitě na žádost uživatele, podle toho, co nastane dříve.

4.2. Odemčený náhled/výstup bez vodoznaku – uchovává se po dobu 7 dní od odemčení.

4.3. Vygenerovaný soubor PDF – uchovává se po dobu 30 dní od vygenerování, poté je odstraněn z úložiště; uživatel je v tomto rozmezí opakovaně vyzýván ke stažení.

4.4. Účetní a daňové doklady – uchovávají se po dobu 10 let v souladu se zákonem o účetnictví a souvisejícími předpisy.

4.5. Údaje uživatelského účtu – uchovávají se po dobu trvání registrace a přiměřenou dobu po jejím zrušení nutnou k ochraně případných právních nároků, poté jsou anonymizovány nebo vymazány.

4.6. Obsah zveřejněný ve veřejné galerii (funkce „Vybarveno“) – uchovává se do doby odvolání souhlasu se zveřejněním nebo zrušení účtu.

4.7. Provozní logy (Sentry, Better Stack) – uchovávají se po dobu nezbytnou k diagnostice a zabezpečení, standardně v řádu týdnů až měsíců dle nastavení daného nástroje.

5. Kdo má k údajům přístup (zpracovatelé a příjemci)

5.1. Provozovatel využívá k zajištění Služby tyto zpracovatele a příjemce osobních údajů:

a) Google (Gemini API) – zpracování nahrané fotografie za účelem vygenerování omalovánky;

b) fal.ai – infrastruktura pro běh AI modelů generujících omalovánku a související produkty;

c) OpenAI (Moderation API) – automatizovaná kontrola nahraného obsahu z hlediska nevhodnosti/nezákonnosti;

d) Stripe – zpracování plateb a fakturačních podkladů k platbám;

e) Fakturoid – vystavování daňových dokladů;

f) Brevo – zasílání transakčních a (při souhlasu) marketingových e-mailů;

g) Sentry – monitoring chyb aplikace;

h) Better Stack – monitoring dostupnosti a provozních logů;

i) Hetzner Online GmbH (Německo) – hosting serverové infrastruktury;

j) Cloudflare (úložiště R2, s daty v EU jurisdikci) – ukládání souborů (fotografie, PDF).

5.2. Se všemi zpracovateli má Provozovatel uzavřenu smlouvu o zpracování osobních údajů dle čl. 28 GDPR.

6. Předávání údajů do zahraničí

6.1. Data jsou primárně hostována v EU – u poskytovatele Hetzner (Německo) a v úložišti Cloudflare R2 s volbou EU jurisdikce.

6.2. Někteří výše uvedení zpracovatelé (např. Google, OpenAI, Stripe, Brevo) mohou být společnostmi se sídlem nebo částí infrastruktury mimo EU/EHP (typicky USA). V takových případech Provozovatel zajišťuje odpovídající záruky ve smyslu čl. 44 a násl. GDPR, zejména prostřednictvím standardních smluvních doložek Evropské komise a/nebo účasti daného zpracovatele v rámci EU–US Data Privacy Framework, pokud je relevantní.

6.3. Aktuální přehled zpracovatelů a míst zpracování je uživateli na požádání k dispozici na ahoj@example.cz.

7. Automatizované zpracování a umělá inteligence

7.1. Vygenerování omalovánky z fotografie je plně automatizovaný proces s využitím modelů umělé inteligence. Nejde o automatizované rozhodování s právními účinky ve smyslu čl. 22 GDPR – výsledkem je grafický výstup (omalovánka), nikoli rozhodnutí o právech nebo povinnostech uživatele.

7.2. Automatizovaně je rovněž kontrolován nahraný obsah nástrojem pro moderaci (OpenAI Moderation) za účelem odhalení nevhodného či nezákonného obsahu.

7.3. Nahrané fotografie ani jiný obsah nejsou bez samostatného opt-in souhlasu uživatele používány k trénování nebo doladění (fine-tuning) AI modelů.

8. Práva subjektu údajů

8.1. V souladu s čl. 15–22 GDPR má uživatel právo:

a) na přístup ke svým osobním údajům (čl. 15);

b) na opravu nepřesných údajů (čl. 16);

c) na výmaz („právo být zapomenut“) (čl. 17);

d) na omezení zpracování (čl. 18);

e) na přenositelnost údajů (čl. 20);

f) vznést námitku proti zpracování založenému na oprávněném zájmu (čl. 21);

g) nebýt předmětem rozhodnutí založeného výhradně na automatizovaném zpracování s právními účinky (čl. 22);

h) kdykoli odvolat udělený souhlas se zpracováním (čl. 7 odst. 3).

8.2. Tato práva lze uplatnit e-mailem na ahoj@example.cz nebo prostřednictvím nastavení uživatelského účtu. Provozovatel na žádost odpoví bez zbytečného odkladu, nejpozději do 1 měsíce od jejího obdržení.

9. Právo podat stížnost

9.1. Domnívá-li se uživatel, že jeho osobní údaje jsou zpracovávány v rozporu s právními předpisy, má právo podat stížnost u Úřadu pro ochranu osobních údajů (ÚOOÚ), se sídlem Pplk. Sochora 27, 170 00 Praha 7, internetová adresa: www.uoou.cz.

10. Nezletilé osoby na nahraných fotografiích

10.1. Samotná Služba je určena výhradně registrovaným uživatelům starším 18 let. Nahraná fotografie však může zobrazovat dítě uživatele nebo jiné dítě.

10.2. Uživatel jako zákonný zástupce, případně s výslovným souhlasem zákonného zástupce zobrazeného dítěte, odpovídá za zákonnost nahrání takové fotografie a udělení souhlasu za dítě, je-li to potřeba. Podrobnosti viz obchodní podmínky, čl. 13.

11. Zabezpečení údajů

11.1. Provozovatel přijímá vhodná technická a organizační opatření k ochraně osobních údajů, zejména šifrování přenosu dat, omezení přístupu na základě rolí a hostování dat v EU u poskytovatelů uvedených v čl. 5 a 6.

12. Cookies

12.1. Informace o používání cookies a podobných technologií jsou uvedeny v samostatném dokumentu „Cookies“.

13. Změny tohoto dokumentu

13.1. Provozovatel je oprávněn tento dokument aktualizovat, zejména v souvislosti se změnou zpracovávaných údajů, účelů zpracování nebo použitých zpracovatelů. Aktuální znění je vždy dostupné na https://omalovanky.store.

13.2. Tento dokument je účinný od [doplnit datum].