Zásady ochrany a zpracování osobních údajů

1. Účel a rozsah zásad

Tato směrnice popisuje, jak společnost Premium Sport Kft. nakládá s osobními údaji při používání webových stránek Heavy Tools (heavytools.cz), jakož i v rámci nákupu, zákaznického servisu, věrnostního programu, marketingu a náboru zaměstnanců.

Zásady plní informační povinnost podle článků 12–14 GDPR a zákona č. 110/2019 Sb. Pro zvláštní činnosti může být vydáno samostatné podrobné oznámení, které tyto zásady doplňuje.

2. Správce a kontaktní údaje

3. Zásady zpracování

Osobní údaje zpracováváme zejména podle těchto zásad:

·   zákonnost, korektnost a transparentnost;

·   účelové omezení;

·   minimalizace údajů;

·   přesnost;

·   omezení uložení;

·   integrita, důvěrnost a přiměřené zabezpečení;

·   odpovědnost a dokumentování souladu.

4. Hlavní zpracování

Právní titul určujeme samostatně pro každý účel. Nákup ani plnění objednávky nepodmiňujeme souhlasem tam, kde je zpracování nezbytné pro smlouvu nebo právní povinnost.

Doby uchování uvedené v tabulce nepřebíjejí zákonné povinnosti uchovávat údaje, závazné požadavky orgánů veřejné moci, potřebu řešit bezpečnostní incident ani potřebu určit, uplatnit nebo hájit právní nároky. Namísto automatického „okamžitého výmazu“ vždy posuzujeme právní titul a případnou povinnost dalšího uchování údajů.

Telefonické hovory se zákaznickou podporou jsou nahrávány. Na začátku hovoru informujeme volajícího o nahrávání a jeho účelu. K nahrávkám mají přístup pouze oprávněné osoby a právo na přístup se vztahuje i na nahrávku. Je-li právním titulem oprávněný zájem, může subjekt údajů vznést námitku; zákaznickou záležitost lze vyřídit také písemně.

5. Cookies a obdobné technologie

Weby mohou používat cookies, local storage, pixely, tagy a podobné technologie. Technické cookies nezbytné pro vlastní provoz (např. relace, košík, bezpečnost nebo uložení volby) lze podle § 89 odst. 3 zákona č. 127/2005 Sb. používat bez souhlasu v rozsahu zákonné výjimky.

Analytické, marketingové a další netechnické technologie, které ukládají informace do koncového zařízení nebo k nim přistupují, aktivujeme až po platném předchozím souhlasu.

·   odmítnutí netechnických cookies musí být stejně snadné jako souhlas;

·   netechnické tagy se nesmí spouštět před volbou uživatele;

·   cookie nastavení musí uvádět účel, třetí stranu, název a dobu platnosti;

·   souhlas lze kdykoli odvolat;

·   CMP vede přiměřený záznam o udělení/odmítnutí souhlasu.

Aktuálně používané netechnické technologie zahrnují Google Analytics 4 (webová analytika), Microsoft Clarity (behaviorální analytika a přehrávání relací), Meta Pixel a Google Ads remarketing (měření reklamy a remarketing) a podle nastavených funkcí také web tracking/personalizaci SALESmanago. Používáme je na základě příslušného analytického/marketingového souhlasu. Názvy cookies/technologií, účely, poskytovatelé a doby platnosti uvedené v CMP musí vždy odpovídat skutečné konfiguraci GTM/CMP.

6. Obchodní sdělení a přímý marketing

Elektronická obchodní sdělení zasíláme v souladu s § 7 zákona č. 480/2004 Sb. Zpravidla potřebujeme předchozí souhlas adresáta. Výjimku lze použít vůči vlastním zákazníkům pro vlastní obdobné výrobky nebo služby, pokud jsme elektronický kontakt získali v souvislosti s prodejem a zákazník měl při získání kontaktu i v každé zprávě zřetelnou, jednoduchou a bezplatnou možnost odmítnout další zasílání.

Veřejně dostupná e-mailová adresa sama o sobě neopravňuje k zasílání obchodních sdělení. Databáze třetích stran lze použít pouze tehdy, pokud je pro konkrétního odesílatele a kanál prokazatelně zajištěn platný právní základ.

·   souhlas není předem zaškrtnutý a není podmínkou nákupu;

·   soft opt-in se vztahuje jen na vlastní obdobné produkty/služby a skutečné zákazníky;

·   každá zpráva obsahuje jednoduché a bezplatné odhlášení;

·   uchováváme důkaz o souhlasu a o odhlášení;

·   marketing třetích stran vyžaduje samostatný odpovídající právní titul.

7. Příjemci a zpracovatelé

Údaje sdílíme jen s příjemci nezbytnými pro daný účel nebo na základě zákona.

·   provozovatelé e-shopu, hostingu a IT; podle aktuálně zveřejněných údajů je hosting zajišťován NetGo.hu Kft., 2100 Gödöllő, Kossuth u. 32. II/6, Hungary;

·   platební služby: Revolut (zpracování karetních plateb) a PayPal (PayPal (Europe) S.à r.l. et Cie, S.C.A.);

·   přepravní a logističtí partneři: GLS a Packeta;

·   účetní, auditoři a daňoví poradci;

·   CRM, newsletter a marketingová automatizace: SALESmanago (Benhauer sp. z o.o.);

·   analytické a reklamní technologie vázané na souhlas: Google Analytics 4 a Google Ads (Google), Meta Pixel (Meta), Microsoft Clarity (Microsoft);

·   právní zástupci a správci pohledávek, je-li to nutné;

·   orgány veřejné moci a soudy na zákonném základě.

Aktuální jmenný seznam dodavatelů a jejich role musí odpovídat smlouvám a záznamům o činnostech zpracování a je třeba jej před zveřejněním ověřit.

8. Předávání do třetích zemí

Předávání mimo EHP provádíme pouze za podmínek kapitoly V GDPR, zejména na základě rozhodnutí o odpovídající ochraně nebo vhodných záruk, typicky standardních smluvních doložek (SCC).

Při službách Google, Meta a Microsoft mohou být osobní údaje zpřístupněny nebo zpracovávány i mimo EHP, zejména ve Spojených státech. Takové předání může proběhnout pouze na základě mechanismu podle kapitoly V GDPR, například rozhodnutí o odpovídající ochraně včetně EU–US Data Privacy Framework, je-li použitelný, nebo standardních smluvních doložek (SCC) a případných doplňkových opatření. SALESmanago je poskytovatel usazený v EHP; případná předání jeho subdodavatelů se řídí smluvní dokumentací.

9. Zdroje údajů a povinnost poskytnutí

Údaje získáváme zejména:

·   přímo od subjektu údajů (objednávka, registrace, zákaznická korespondence nebo telefonický hovor, marketingový souhlas, žádost o zaměstnání);

·   z objednávkových a platebních transakcí;

·   z technických logů webu a zařízení;

·   z potvrzení poskytovatelů (platba/doručení);

·   z veřejných zdrojů pouze pro konkrétní zákonný účel – veřejnost údaje není sama o sobě právním titulem.

Údaje nezbytné pro uzavření/plnění smlouvy nebo zákonnou povinnost mohou být povinné; bez nich nemusíme službu poskytnout. Marketingové a volitelné profilové údaje jsou dobrovolné.

10. Doba uchování

Údaje uchováváme jen po dobu potřebnou k účelu nebo stanovenou zákonem. Poté je mažeme nebo anonymizujeme, pokud není další uchování nutné pro právní nárok, povinnost nebo bezpečnostní incident.

·   účetní doklady vystavené maďarskou Premium Sport Kft.: dle použitelného maďarského účetního práva 8 let;

·   reklamace/spotřebitelské podněty: po zákonem stanovenou dobu použitelnou na daný prodej;

·   právní nároky: do skončení příslušné promlčecí doby;

·        zákaznická korespondence a telefonické nahrávky: 5 let; nahrávka od data hovoru a korespondence od uzavření příslušného případu;

·   marketing: do odvolání/odhlášení plus minimální suppression/důkazní záznam;

·   účet: do žádosti zákazníka o výmaz / zrušení účtu, kromě údajů povinně uchovávaných pro jiný účel;

·   neúspěšná žádost o práci: zpravidla 6 měsíců, není-li jiný titul.

11. Práva subjektů údajů

Podle GDPR máte podle okolností zejména právo:

·   na přístup a kopii osobních údajů;

·   na opravu;

·   na výmaz za podmínek čl. 17 GDPR;

·   na omezení zpracování;

·   na přenositelnost u automatizovaného zpracování založeného na souhlasu nebo smlouvě;

·   vznést námitku proti zpracování podle čl. 6 odst. 1 písm. e) nebo f); proti přímému marketingu kdykoli;

·   kdykoli odvolat souhlas bez vlivu na předchozí zákonnost;

·   podat stížnost dozorovému úřadu a využít soudní ochranu.

Žádost vyřídíme bez zbytečného odkladu, zpravidla do jednoho měsíce. Za podmínek GDPR lze lhůtu prodloužit o další dva měsíce; o tom a o důvodech informujeme do jednoho měsíce. Žádosti jsou zásadně bezplatné; poplatek nebo odmítnutí přichází v úvahu pouze v případech povolených GDPR, zejména u zjevně nedůvodných nebo nepřiměřených žádostí.

Žádosti zasílejte na gabor.szentkatolnai@heavytools.com nebo poštou do sídla společnosti. K ochraně údajů můžeme v přiměřeném rozsahu požádat o ověření totožnosti.

12. Profilování a automatizované rozhodování

Používáme-li personalizovaný newsletter nebo doporučení, můžeme na příslušném právním základě segmentovat podle nákupní historie, dobrovolných preferencí a po souhlasu i webových interakcí.

Zpracování popsané v těchto zásadách nezahrnuje výlučně automatizované rozhodování s právními nebo obdobně významnými účinky. Pokud by bylo zavedeno, poskytneme předem informace podle čl. 22 GDPR.

13. Zabezpečení a incidenty

Uplatňujeme přiměřená technická a organizační opatření a se zpracovateli sjednáváme podmínky dle čl. 28 GDPR.

·   řízení přístupů;

·   bezpečný přenos a přiměřené šifrování;

·   zálohování, logování a reakce na incidenty;

·   pravidelné revize oprávnění a mlčenlivost;

·   posouzení a evidence incidentů a případné oznámení podle čl. 33–34 GDPR.

14. Údaje dětí

E-shop není koncipován jako služba cíleně shromažďující údaje dětí. Pokud bychom u konkrétní služby informační společnosti spoléhali na souhlas dítěte, předem ověříme věkovou hranici a požadavky na souhlas zákonného zástupce podle českého práva.

15. Stížnost u dozorového úřadu

V České republice lze podat stížnost zejména u:

16. Hlavní právní předpisy

Zejména:

·   Nařízení (EU) 2016/679 (GDPR);

·   zákon č. 110/2019 Sb., o zpracování osobních údajů;

·   zákon č. 480/2004 Sb., o některých službách informační společnosti, zejména § 7;

·   zákon č. 127/2005 Sb., o elektronických komunikacích, zejména § 89 odst. 3;

·   použitelné maďarské účetní, daňové a smluvní předpisy vzhledem k sídlu a fakturaci Premium Sport Kft.;

·   příslušné české spotřebitelské předpisy, pokud se na konkrétní prodej použijí.

17. Změny zásad

Zásady pravidelně revidujeme a aktualizujeme při změně účelů, technologií, dodavatelů nebo právních předpisů. Aktuální verze je dostupná na webu Heavy Tools.

Platné od 9. září 2026