Ochrana osobných údajov

Kdo zaplatí za zápis v žebříčku zebricekfirem.cz nebo požádá o zápis webu, svěří nám pár údajů. Tady je, které to jsou, k čemu je potřebujeme, jak dlouho je máme a komu je předáváme.

Správce

Správcem osobních údajů je provozovatel služby: Tomáš Drašnar, fyzická osoba podnikající zapsaná v živnostenském rejstříku, IČO 19243073, se sídlem Nad Bertramkou 2416/1, Smíchov, 150 00 Praha 5. E-mail info@zebricekfirem.cz, telefon +420 739 881 143. Pověřence pro ochranu osobních údajů jsme nejmenovali.

Jaké údaje zpracováváme

• Z objednávky: e-mailovou adresu, IČO a částku, čas, kdy jste souhlasili s obchodními podmínkami a požádali o zveřejnění hned po připsání platby, které znění podmínek jste přijali, a jestli jste odmítli zprávy o poklesu. K objednávce patří variabilní symbol a odkaz na stránku objednávky.
• Z platby: jak ji vidíme na svém bankovním účtu: číslo účtu, ze kterého platba přišla, a jméno jeho majitele, zprávu pro příjemce a další označení platby od plátce, variabilní symbol, částku, den a označení platby v bance.
• Z platby kartou: číslo karty nevidíme ani neukládáme, kartu zpracovává platební brána Stripe. Od ní dostáváme označení platby, částku, den, poplatek, který si Stripe za platbu vzal, a otisk karty: označení, podle kterého Stripe pozná tutéž kartu, ale ze kterého číslo karty zjistit nejde. Jméno držitele karty, které napíšete do platební stránky, neukládáme. Když platbu zpochybníte u své banky (reklamace platby kartou), dostaneme od Stripe i údaje o tomto sporu: částku, důvod, stav a lhůtu na odpověď.
• Ochrana proti zneužití: IP adresu, ze které jste otevřeli platbu kartou; a když od smlouvy odstoupíte a zaplacenou platbu vrátíme, záznam o tom s e-mailem objednávky, otiskem karty a dnem. Při opakovaném odstoupení k nim patří záznam o dočasném nepřijímání objednávek (od kdy do kdy a kolik odstoupení).
• O živnostnících v žebříčku: obchodní jméno, IČO a sídlo z registru ARES (u slovenských živnostníků z Registra právnických osôb, podnikateľov a orgánov verejnej moci, RPO, který vede Štatistický úrad SR) a doklad o jejich souhlasu se zveřejněním: kdy a jak jsme ho ověřili (platbou z účtu na jejich jméno, nebo jinak, s poznámkou moderátora). U platby je v dokladu i její číslo a jméno majitele účtu, ze kterého přišla, jak ho uvádí banka.
• O e-mailech: na kterou adresu jsme kterou zprávu poslali a kdy, a které adresy se odhlásily ze zpráv o poklesu.
• Z odstoupení od smlouvy odeslaného tlačítkem na webu: k jaké objednávce patří, jméno, pokud ho vyplníte, kdy jste ho odeslali, v jakém stavu tehdy objednávka byla a jak jsme ho vyřídili. Potvrzení přijetí posíláme na e-mail objednávky.
• Ze žádosti o zápis webu (podáte ji objednávkou webu, který v žebříčku ještě není): doménu webu, e-mailovou adresu z objednávky, jazyk stránky, prohlášení, která jste potvrdili, a kdy. K žádosti patří ověřovací kód, který vložíte do značky meta na titulní stránce, do DNS nebo do souboru na webu, a odkaz na stránku žádosti. Ten nese tentýž náhodný kód jako odkaz na stránku vaší objednávky (dostanete ho e-mailem a najdete ho i na stránce objednávky a v „Můj účet“); u dřívějších žádostí ze stránky „Přidat web do žebříčku“ ukládáme z odkazu jen jeho otisk (hash), ze kterého odkaz zjistit nejde. Když doménu ověříte e-mailem, ukládáme adresu na doméně webu, na kterou jsme ověřovací odkaz poslali (vaši adresu z objednávky, je-li na doméně webu, nebo info@, admin@, webmaster@ či kontakt@ na doméně webu, kterou vyberete na stránce ověření), kdy jsme ho poslali a kdy se použil; i z tohoto odkazu ukládáme jen otisk. Dál výsledky ověření a pravidelných kontrol (kdy, jakým způsobem a s jakým výsledkem), výsledek kontroly, jestli web uvádí IČO (jaké, české nebo slovenské, a na které stránce; DIČ fyzické osoby, které obsahuje rodné číslo, neukládáme, jen to, že ho web uvádí), rozhodnutí moderátora s důvodem a jeho poznámkou, a když web připojíme k vašemu jinému zápisu, ke kterému.
• Z přihlášení do „Můj účet“: když si na stránce „Můj účet“ řeknete o přihlašovací odkaz, pošleme ho na adresu, kterou napíšete, ale jen když k ní máme objednávku. Z odkazu ukládáme jen jeho otisk (hash), ze kterého odkaz zjistit nejde, k tomu adresu, kdy jsme ho poslali, do kdy platí a kdy se použil. Po přihlášení vedeme relaci: její otisk, adresu, kdy vznikla, kdy jste ji naposledy použili a kdy vyprší. Prohlížeč, zařízení ani IP adresu k ní neukládáme.
• Z korespondence: co nám sami napíšete, například při reklamaci nebo odstoupení od smlouvy.

Jméno plátce ani jeho e-mail nikde nezveřejňujeme. U zápisu zveřejňujeme jen počet různých podporovatelů, který počítáme podle e-mailových adres. O zapsaných subjektech zveřejňujeme jejich název a sídlo z veřejného registru ARES, u slovenských subjektů z registru RPO (zdroj: Štatistický úrad Slovenskej republiky, licence CC BY 4.0). U webu zveřejňujeme jeho doménu, zemi, kategorii a odkaz na něj, e-mail žadatele ne; když z domény jde poznat člověk, zveřejňujeme ji proto, že o zápis požádal provozovatel webu nebo někdo s jeho souhlasem. Živnostníka, tedy fyzickou osobu podnikající, jejíž obchodní jméno je jménem člověka, zveřejníme jen s jeho souhlasem: když aspoň jedna platba za jeho zápis přišla z účtu na jeho jméno, nebo když nám souhlas potvrdí jinak. Do té doby jeho zápis není vidět. Když platbu, se kterou souhlas přišel, banka stornuje nebo ji vrátíme po odstoupení od smlouvy, souhlas s ní padá a zápis není vidět, dokud souhlas znovu nedoložíme. Souhlas může kdykoli odvolat e-mailem na info@zebricekfirem.cz; zápis pak skryjeme.

K čemu a na jakém základě

• Uzavření a splnění smlouvy (čl. 6 odst. 1 písm. b) GDPR): spárovat platbu s objednávkou, připsat ji, poslat vám zprávy, které ke smlouvě patří (potvrzení objednávky se zněním podmínek, že platba dorazila, potvrzení o platbě, zprávu o zamítnutí nebo odstranění zápisu, potvrzení přijetí odstoupení), vyřídit odstoupení a reklamaci a vrátit peníze na účet, ze kterého přišly. E-mail je k objednávce potřeba; bez něj objednávku nepřijmeme.
• Zápis webu (čl. 6 odst. 1 písm. b) GDPR): vyřídit vaši žádost o zápis webu, tedy ověřit doménu, poslat vám postup ověření (a na vaši žádost ověřovací odkaz na adresu na doméně webu) a rozhodnutí moderátora (při zamítnutí i s důvodem), zveřejnit schválený web, pravidelně ověření kontrolovat (u ověření e-mailem poslat jednou za 30 dní odkaz k potvrzení na tutéž adresu na doméně, když jiné ověření nenajdeme) a napsat vám, když zmizí nebo když zápis skryjeme. E-mail je k žádosti potřeba; bez něj žádost nepřijmeme.
• Přihlášení a přehled objednávek (čl. 6 odst. 1 písm. b) GDPR): na vaši žádost poslat přihlašovací odkaz, ukázat vám objednávky z vaší adresy s jejich stavem a platbami a odtud vám umožnit zaplatit, odstoupit od smlouvy, ověřit doménu webu nebo odhlásit zprávy o poklesu. Přihlásit se nemusíte, všechno jde i odkazy z e-mailů.
• Plnění právních povinností (čl. 6 odst. 1 písm. c) GDPR): doložit přijaté a vrácené platby, jak to žádají daňové předpisy.
• Souhlas živnostníka (čl. 6 odst. 1 písm. a) GDPR), u živnostníka, který za svůj zápis zaplatil sám, i smlouva s ním (písm. b): zveřejnit jeho obchodní jméno a sídlo v žebříčku. Jméno majitele účtu, ze kterého platba přišla, proto porovnáváme s názvem subjektu v registru; stejné porovnání u firem a spolků rozhoduje, jestli nový subjekt zveřejníme hned, nebo až po schválení moderátorem.
• Oprávněný zájem (čl. 6 odst. 1 písm. f) GDPR): bránit se zneužití služby opakovaným objednáváním kartou a odstupováním od smlouvy (k tomu slouží IP adresa, otisk karty a záznamy o odstoupení), posílat vám zprávy o poklesu zápisu, který jste podpořili, a obhájit případné právní nároky. U žádostí o zápis webu z toho důvodu hlídáme, aby jeden provozovatel neměl víc zápisů a aby web firmy nebyl zapsaný zvlášť: moderátor u žádosti vidí ostatní žádosti a zápisy z téhož e-mailu a nápovědu, jestli doména neodpovídá názvu firmy v žebříčku nebo doméně e-mailu, ze kterého za firmu někdo platil; a doklad o prohlášeních ze žádosti potřebujeme, kdyby se ukázalo, že web zapsal někdo bez souhlasu jeho provozovatele. Zprávy o poklesu jsou obchodní sdělení: nabízejí vám další platbu za tentýž zápis. Posíláme je jen tomu, kdo za zápis zaplatil, podle § 7 odst. 3 zákona č. 480/2004 Sb. Odmítnout je můžete už při objednávce zaškrtnutím políčka ve formuláři, nebo kdykoli později odkazem v každé zprávě. Odhlášení platí pro tu adresu a ten zápis.

O nikom nerozhodujeme automatizovaně ve smyslu čl. 22 GDPR. Formulář sice sám odmítne objednávku subjektu, který sem podle podmínek nepatří, a platba z účtu na jméno subjektu ho sama zveřejní, ale to je rozhodnutí o subjektu, ne o vás; živnostníka tak zveřejníme jen na základě jeho vlastní platby a každé takové zveřejnění dodatečně kontroluje člověk.

Jak dlouho údaje máme

Mazání hlídá automatický běh, který se spouští každou hodinu.

• Nezaplacená objednávka (propadlá nebo zrušená): e-mail smažeme 30 dní po konci lhůty k zaplacení, i když jste ji nebo jsme ji zrušili dřív, a to i ze záznamů o zprávách, které jsme vám k ní poslali; jméno z odstoupení od takové objednávky smažeme zároveň. Že a kdy jste odstoupili, zůstává bez jména a adresy. Pokud na našem účtu ještě čeká nevyřízená platba, která k objednávce může patřit, počkáme, až ji vyřídíme. Objednávka, kterou jste zaplatili jinou částkou (platbu jsme připsali jako novou objednávku odvozenou z ní), se počítá jako zaplacená.
• Platba, kterou jsme vrátili: číslo účtu, jméno majitele, zprávu pro příjemce a označení od plátce smažeme 30 dní po vrácení. Totéž platí 30 dní po našem rozhodnutí pro platbu, kterou jsme vyřadili jako platbu mimo službu, a pro platbu, kterou banka stornovala. Částka, den a variabilní symbol zůstávají, osobní údaj to už není. Jméno majitele účtu u platby, podle které jsme ověřili souhlas živnostníka nebo sami zveřejnili nový subjekt, ale zůstává v dokladu o tom (bod o dokladu souhlasu níž).
• Platba, která čeká na vyřízení nebo na vrácení: dokud ji nevyřídíme; pak platí předchozí body.
• Odstoupení od zaplacené objednávky: po dobu provozu služby, stejně jako platba, ke které patří; dokládá, proč jsme peníze vrátili, nebo proč odstoupit nešlo.
• Připsaná platba a zaplacená objednávka: e-mail, číslo účtu a jméno majitele po dobu provozu služby. Potřebujeme je k doložení platby a k vrácení peněz, kdybychom provoz ukončili (článek 11 obchodních podmínek). E-mail u zaplacené objednávky zůstává po dobu provozu i tehdy, když jsme peníze později vrátili, protože se zápis skryl nebo neschválil.
• Záznamy o odeslaných e-mailech a seznam odhlášených adres po dobu provozu služby, jen u nezaplacené objednávky z nich adresu smažeme spolu s ní (první bod); bez seznamu bychom nepoznali, komu už zprávy o poklesu posílat nesmíme.
• Doklad o souhlasu živnostníka a záznam o tom, že nový subjekt zveřejnila platba z účtu na jeho jméno (kdy, číslo platby a jméno majitele účtu, jak ho uvádí banka), po dobu provozu služby, i když jsme platbu později vrátili, banka ji stornovala nebo souhlas padl; dokládá, proč jsme subjekt zveřejnili.
• IP adresa u platby kartou 30 dní od otevření platby. Otisk karty u platby 60 dní od platby. Záznam o odstoupení s e-mailem a otiskem karty 12 měsíců od odstoupení, záznam o nepřijímání objednávek do jeho konce; pak je smažeme. Označení platby kartou, částka, den, poplatek a údaje o sporu zůstávají jako doklad o platbě po dobu provozu služby.
• Žádost o zápis webu, kterou neověříte: e-mail smažeme 30 dní po konci lhůty k ověření (14 dní od první objednávky, u dřívější žádosti ze stránky „Přidat web do žebříčku“ 72 hodin), i ze záznamů o zprávách, které jsme vám k ní poslali; stejně 30 dní po uzavření žádosti, za kterou do 14 dní od první objednávky nepřišla platba. Spolu s e-mailem smažeme i adresu, kterou se doména ověřila, a výsledek kontroly IČO na webu. Zamítnutá žádost o zápis webu: e-mail smažeme stejně, 30 dní po zamítnutí. Doména, prohlášení, důvod zamítnutí a záznam o rozhodnutí zůstávají bez adresy.
• Schválená žádost o zápis webu, i u webu připojeného k jinému zápisu: e-mail a ostatní údaje ze žádosti po dobu provozu služby, i když se zápis později skryje nebo se web odpojí. Potřebujeme je k pravidelným kontrolám, ke zprávám k zápisu a k doložení, kdo web zapsal a co prohlásil (články 2 a 10 obchodních podmínek).
• Odkaz na stránku žádosti o zápis webu: u objednávky webu platí, dokud běží lhůta k ověření, a jeho kód je v databázi stejně dlouho jako objednávka; u dřívější žádosti je v databázi jen jeho otisk, stejně dlouho jako žádost. Celý odkaz je i v potvrzení objednávky, v připomínce a v ověřovacím e-mailu ve frontě zpráv; odtud ho smažeme při nejbližším hodinovém úklidu po konci lhůty k ověření, kdy už doménu podle něj ověřit nejde. Odkaz na ověření e-mailem: v databázi je jen jeho otisk, platí jednou a jen do konce lhůty k ověření (odkaz k potvrzení při pravidelné kontrole do konce 14denní lhůty); celý je jen v potvrzení objednávky, v ověřovacím e-mailu a ve zprávě s odkazem k potvrzení domény při pravidelné kontrole ve frontě zpráv, odkud ho smažeme při nejbližším hodinovém úklidu po konci té lhůty. Záznam o odkazu (otisk, adresa, kdy jsme ho poslali a kdy se použil) smažeme 30 dní po konci jeho platnosti; adresu, kterou se doména ověřila, máme u žádosti stejně dlouho jako e-mail žádosti.
• Přihlášení: celý přihlašovací odkaz je jen v e-mailu a ve frontě zpráv, odkud ho smažeme, jakmile přestane platit (15 minut po odeslání); záznam o odkazu (otisk, adresa, kdy jsme ho poslali a kdy se použil) smažeme do dvou hodin od odeslání. Relaci smažeme, když se odhlásíte (tlačítko „Odhlásit“, nebo „Odhlásit na všech zařízeních“), jinak 30 dní po jejím posledním použití, nejpozději ale 90 dní od přihlášení. Záznam o odeslané přihlašovací zprávě patří k poslední objednávce adresy a platí pro něj bod o záznamech o odeslaných e-mailech.
• Korespondence po dobu, kterou potřebujeme k vyřízení vaší věci a k obhajobě případných nároků.

Po ukončení provozu údaje smažeme, jakmile je nebudeme potřebovat k vrácení peněz a k daňové evidenci.

Komu údaje předáváme

• Cloudflare, Inc.: na jeho serverech web běží, ukládá databázi, odesílá naše e-maily, přeposílá nám poštu, kterou pošlete na info@zebricekfirem.cz, jeho služba Turnstile ověřuje, že objednávku nebo žádost o přihlašovací odkaz odesílá člověk, a jeho DNS služba (cloudflare-dns.com) nám při ověření domény odpovídá na dotaz na záznam TXT. Je naším zpracovatelem. Cloudflare je americká společnost, takže údaje mohou být zpracovány i mimo Evropskou unii; předání se řídí jeho smlouvou o zpracování osobních údajů se standardními smluvními doložkami EU.
• Naše banka, u které vedeme účet pro službu: platba k ní přirozeně dorazí a údaje o ní z bankovního výpisu čteme.
• Stripe Payments Europe, Ltd. (1 Grand Canal Street Lower, Dublin 2, Irsko): když platíte kartou, zadáváte údaje o kartě přímo na jeho platební stránce a my mu předáváme částku, variabilní symbol, naše interní číslo objednávky, e-mail z objednávky, abyste ho tam nemuseli psát znovu, a název subjektu, za který platíte (u živnostníka je to jeho jméno), který se ukáže jako popis platby. Stripe platbu zpracuje, vrací peníze, když o to požádáme, a pro vlastní povinnosti, třeba ochranu proti podvodům a praní peněz, s údaji nakládá jako samostatný správce podle svých zásad ochrany osobních údajů (stripe.com/cz/privacy). Údaje může zpracovávat i mimo Evropskou unii, podle standardních smluvních doložek EU.
• Google Ireland Limited (Gmail): schránka provozovatele, do které nám Cloudflare přeposílá vaše e-maily. Google je součástí americké skupiny, takže údaje mohou být zpracovány i mimo Evropskou unii; předání se řídí jeho podmínkami zpracování dat se standardními smluvními doložkami EU.
• Úřady a soudy, jen když nám to ukládá zákon.

Registr ARES, u slovenských subjektů registr RPO Štatistického úradu SR, se ptáme na subjekt, za který platíte; posíláme jen IČO, žádné údaje o vás. Při ověření domény a pravidelné kontrole se ptáme DNS služby Cloudflare na záznam TXT domény a stahujeme z webu ověřovací soubor; posíláme jen doménu a adresu souboru, žádné údaje o vás. Kvůli značce meta stáhneme i titulní stránku webu (jen přes https, z téže domény, nejvýš 256 kB a s krátkým časovým limitem) a čteme z ní jen hlavičku; i tady posíláme jen adresu stránky. Ověřovací odkaz na adresu na doméně webu pošleme jen tehdy, když o to požádáte na stránce ověření (nebo když je e-mail z objednávky na doméně webu, dostanete ho v potvrzení objednávky); zpráva na adresu na doméně uvádí jen doménu a to, že někdo objednal zápis webu, adresu objednatele ne. Při ověření domény a na pozadí, když moderátor otevře seznam žádostí, stáhneme z webu i jeho titulní stránku a kontaktní stránky (například /kontakt, /o-nas, /impressum, jen přes https, z téže domény, nejvýš 256 kB a s krátkým časovým limitem) a hledáme na nich IČO; když ho najdeme, zeptáme se na ně registru ARES (u slovenského IČO registru RPO). Titulní a kontaktní stránky při tom stahujeme po jedné a skončíme u první, která IČO uvádí. I tady posíláme jen adresy stránek a IČO. Server webu při tom vidí jen to, že se ptá náš žebříček. Údaje neprodáváme a nikomu jinému je nedáváme.

Cookies a návštěva webu

Reklamní ani analytické cookies nepoužíváme. Cookies nastavujeme jen kvůli „Můj účet“. Když otevřete formulář pro přihlašovací odkaz nebo stránku s tlačítkem „Přihlásit“, uložíme cookie s náhodnou hodnotou, která platí 60 minut a chrání přihlášení před formulářem podvrženým cizí stránkou. Po přihlášení uložíme cookie s náhodným identifikátorem relace, podle kterého vás při dalších návštěvách poznáme; platí 30 dní od posledního použití, nejdéle 90 dní od přihlášení, a odhlášením se smaže. Obě jsou nezbytné pro službu, o kterou jste požádali, a proto k nim souhlas nepotřebujeme (§ 89 odst. 3 zákona č. 127/2005 Sb.); kdo „Můj účet“ neotevře, žádnou cookie od nás nedostane. Jinak do vašeho zařízení ukládáme jen to, že jste zavřeli nabídku jiného jazyka, aby se neukazovala znovu. Reklamní měřicí kódy nemáme. Návštěvnost veřejných stránek (titulka, obory, stránky subjektů a webů, pravidla, podmínky a tato stránka) měříme službou Ahrefs Web Analytics (Ahrefs Pte. Ltd., Singapur), takže se údaje o návštěvě zpracují i mimo Evropskou unii. Podle jejího provozovatele nepoužívá cookies, nic neukládá do vašeho zařízení a IP adresu použije jen k určení země a města a k anonymnímu spočítání unikátních návštěv a neukládá ji. Vidíme jen souhrnné počty návštěv, odkud lidé přišli a z jakých zařízení. Na stránce objednávky s platebními údaji, na stránkách „Můj účet“, při odstoupení a odhlašování analytika neběží; formulář objednávky je ale součástí titulky, kde běží. Právním základem je náš oprávněný zájem vědět, jak se web používá. Písmo stahuje prohlížeč z našeho webu, ne od cizí služby. Cloudflare při doručení stránky zpracovává vaši IP adresu a technické údaje o požadavku a vede o provozu služby záznamy; IP adresu do databáze ukládáme jen tehdy, když otevřete platbu kartou (body výš); jinak ji neukládáme a používáme ji jen k ověření níže a k omezení, jak často lze z jedné adresy opakovat hledání v registru, ověření domény a žádost o přihlašovací odkaz. Na titulce, kde je formulář objednávky, na stránce, kde objednávku nového webu doplníte o prohlášení, a ve formuláři pro přihlašovací odkaz běží ověření Cloudflare Turnstile: v prohlížeči nenápadně ověří, že formulář odesílá člověk, a zpracuje k tomu IP adresu a technické údaje o prohlížeči a zařízení; při odeslání formuláře mu vaši IP adresu předáme i my, aby ověření mohl dokončit. Cookies nenastavuje a výsledek ukládá jen Cloudflare; my se dozvíme jen to, jestli ověření prošlo. Právním základem je náš oprávněný zájem chránit objednávky a naše e-maily před zneužitím roboty. Platební stránka Stripe běží na jeho webu a platí na ní jeho pravidla, včetně cookies. Další cookie nastavuje jen přihlášení do administrace, a to jen lidem, kteří službu provozují.

Vaše práva

Máte právo na přístup ke svým údajům, na jejich opravu, výmaz a omezení zpracování, na přenositelnost údajů, které jste nám dali kvůli smlouvě, a právo vznést námitku proti zpracování na základě oprávněného zájmu. Námitku proti zprávám o poklesu nemusíte nijak zdůvodňovat a vyhovíme jí vždy; nejrychlejší je odkaz v každé zprávě. Ostatní žádosti pošlete na info@zebricekfirem.cz; odpovíme nejpozději do měsíce.

Pokud si myslíte, že s údaji zacházíme v rozporu s předpisy, můžete podat stížnost u Úřadu pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, https://uoou.gov.cz.