Zásady ochrany osobních údajů

1. Správce osobních údajů

Správcem osobních údajů je Lubomír Unar, IČO 05000386, se sídlem č.p. 220, 768 75 Loukov, provozovatel služby Resovu dostupné na adrese resovu.com (dále jen "Správce"). Správce nepodléhá povinnosti jmenovat pověřence pro ochranu osobních údajů (DPO) podle čl. 37 GDPR, neboť hlavní činností není rozsáhlé zpracování zvláštních kategorií údajů ani rozsáhlé systematické monitorování. Pro veškeré dotazy týkající se ochrany osobních údajů kontaktujte: resovu@resovu.com. Dozorovým úřadem je Úřad pro ochranu osobních údajů (www.uoou.cz).

2. Rozsah zpracovávaných údajů

Zpracováváme následující kategorie osobních údajů: Účetní údaje: e-mailová adresa, celé jméno, název firmy, adresa sídla, daňové identifikační čísla (pro fakturaci), zvolený jazyk a časové pásmo. Údaje o rezervacích: jména zákazníků, e-mailové adresy, telefonní čísla, data a časy rezervací, vybrané služby, poznámky k rezervacím, odpovědi na vlastní formulářová pole, stav platby. Údaje o pobytech (ubytování): termín pobytu a počet hostů; pokud je ubytovatel potřebuje pro zákonnou evidenci hostů a hlášení úřadům, také jméno, datum a místo narození, pohlaví, státní občanství, adresa bydliště, druh a číslo dokladu totožnosti, číslo víza a účel pobytu. Rozsah určuje předpis země, kde se ubytování nachází. Věrnostní body, hodnocení a doklady: stav a pohyby věrnostních bodů, hodnocení, která zákazník napíše, a doklady, které podnik zákazníkovi vystaví. Platební údaje: identifikátory transakcí, údaje na fakturách, informace o předplatném. Čísla platebních karet zpracovává výhradně Stripe a nikdy nejsou uložena na serverech Resovu. Pokud host při rezervaci ubytování souhlasí s uložením karty (automatický doplatek nebo vratná kauce), uchováváme pouze identifikátor zákazníka a karty u Stripe, značku karty, poslední čtyři číslice, čas a znění souhlasu a přehled stržení a blokací. Technické údaje: IP adresy (pro bezpečnost a rate limiting), typ a verze prohlížeče, operační systém, typ zařízení, odkazující URL, navštívené stránky, doba relace, cookies (jak je popsáno v sekci 8). Komunikační údaje: e-mailové adresy a telefonní čísla používaná pro zasílání potvrzení rezervací, připomínek a systémových oznámení. Údaje o personálu: jména členů personálu, e-mailové adresy, pracovní doby, přiřazené služby a dostupnost kalendáře. Údaje jsou shromažďovány přímo od Uživatelů při registraci a používání služby, od zákazníků Uživatele během rezervačního procesu, z prohlížeče Uživatele prostřednictvím cookies a podobných technologií (se souhlasem, kde je vyžadován) a od služeb třetích stran (např. data z Google Kalendáře při povolené synchronizaci).

3. Účel zpracování

Osobní údaje zpracováváme za účelem: poskytování a správy služby Resovu, včetně správy rezervací, zákazníků, personálu a služeb; zpracování plateb a správy předplatného prostřednictvím Stripe; zasílání potvrzení rezervací, připomínek a systémových oznámení prostřednictvím e-mailu (Resend) a SMS (přes poskytovatele SMS, kterého si podnik sám připojil, např. BulkGate nebo seven.io); zlepšování kvality služby prostřednictvím analytiky a statistik využívání (pouze se souhlasem prostřednictvím cookie banneru); zajištění bezpečnosti služby, včetně rate limitingu, detekce podvodů a ochrany proti zneužití; plnění zákonných povinností, zejména účetních, daňových a retenčních požadavků; poskytování zákaznické podpory a reagování na dotazy; monitorování chyb a spolehlivosti služby prostřednictvím Sentry (pouze technická diagnostika chyb; session replay je vypnutý a osobní údaje jsou z chybových hlášení odstraněny před odesláním); generování faktur a vedení účetních záznamů; u ubytování na pokyn ubytovatele vedení evidence hostů a příprava podkladů pro hlášení úřadům, synchronizace obsazenosti s rezervačními portály a stržení doplatku nebo blokace kauce z uložené karty hosta v rozsahu, se kterým host souhlasil.

4. Právní základ zpracování

Osobní údaje zpracováváme na základě následujících právních základů: Plnění smlouvy (čl. 6(1)(b) GDPR): Zpracování nezbytné pro poskytování služby Resovu, včetně správy účtu, zpracování rezervací, zpracování plateb a zasílání transakčních komunikací (potvrzení, připomínky). Oprávněný zájem (čl. 6(1)(f) GDPR): Bezpečnost služby (rate limiting, ochrana proti zneužití), monitorování chyb (Sentry), zlepšování služby prostřednictvím agregované analytiky a zajištění integrity systému. Provedli jsme test vyváženosti, abychom zajistili, že naše oprávněné zájmy nepřevažují nad právy subjektů údajů. Souhlas (čl. 6(1)(a) GDPR): Marketingová komunikace a na webu resovu.com analytické nástroje (Google Analytics 4, Microsoft Clarity) a marketingové nástroje (Meta Pixel). Souhlas lze kdykoli odvolat přes „Nastavení cookies“ v patičce webu nebo e-mailem na resovu@resovu.com. Plnění zákonné povinnosti (čl. 6(1)(c) GDPR): Uchovávání účetních a daňových záznamů (nejméně 10 let podle zákona o DPH a zákona o účetnictví), reagování na žádosti orgánů činných v trestním řízení a plnění soudních rozhodnutí.

5. Sdílení údajů s třetími stranami

Osobní údaje sdílíme pouze s důvěryhodnými poskytovateli služeb, kteří jsou nezbytní pro provoz: Supabase (hostování databáze, EU), Stripe (zpracování plateb), Vercel (hostování aplikace), Resend (transakční e-maily), Google (synchronizace kalendáře, volitelné; Google Analytics 4 a Google Tag Manager pro analýzu návštěvnosti), Sentry (monitorování chyb), Upstash (rate limiting, EU). S každým zpracovatelem máme uzavřenou smlouvu o zpracování osobních údajů (DPA). Analytické a marketingové nástroje na webu resovu.com – Google Analytics 4 přes Google Tag Manager (Google Ireland Ltd.), Microsoft Clarity (Microsoft Corporation, USA) a Meta Pixel (Meta Platforms Ireland Ltd.) – se spouštějí jen se souhlasem, jak popisuje sekce 8. Microsoft podle svých podmínek používá údaje z Clarity i pro vlastní účely a v tomto rozsahu je samostatným správcem. U Meta Pixelu jsme s Meta společnými správci pro shromáždění a předání údajů; další zpracování provádí Meta jako samostatný správce. Údaje z těchto nástrojů mohou být předány do USA; přenosy jsou zabezpečeny v rámci EU-US Data Privacy Framework nebo standardními smluvními doložkami. V administraci Resovu a na stránkách podniků tyto nástroje nespouštíme. Některé osobní údaje mohou být předány do zemí mimo EU/EHP (zejména USA) v rámci služeb subzpracovatelů (Stripe, Resend, Sentry, Google). Tyto přenosy jsou zabezpečeny standardními smluvními doložkami (SCC) schválenými Evropskou komisí a/nebo rozhodnutím o přiměřenosti v rámci EU-US Data Privacy Framework. Podrobnosti o zárukách jednotlivých zpracovatelů naleznete v sekci GDPR — Seznam subzpracovatelů. SMS připomínky: SMS se odesílají pouze tehdy, když si podnik (Uživatel) připojí vlastní účet u poskytovatele SMS (např. BulkGate nebo seven.io). Resovu pak na pokyn podniku předává tomuto poskytovateli telefonní číslo příjemce a text připomínky. Poskytovatel SMS zpracovává tyto údaje jako zpracovatel podniku na základě jeho vlastní smlouvy s podnikem, nikoli jako subzpracovatel Resovu; platí pro něj jeho vlastní zásady ochrany osobních údajů. Další příjemci: Adresu podniku převádíme na souřadnice pro zobrazení na mapě přes službu Nominatim (OpenStreetMap Foundation, Spojené království); předává se jen zadaná adresa. Mapa na stránkách podniku se načítá ze serverů OpenStreetMap (OpenStreetMap Foundation, Spojené království), kterým prohlížeč návštěvníka při tom předá svou IP adresu. Mapu zobrazujeme na základě oprávněného zájmu podniku ukázat, kde se nachází, a s označením © OpenStreetMap contributors. Provozovatel Resovu dostává upozornění na nové tikety podpory a technické výstrahy také přes Telegram; tato upozornění neobsahují obsah tiketu ani údaje zákazníků. Služby, které si podnik sám připojí (vlastní poskytovatel SMS, PriceLabs, rezervační portály přes kalendář iCal, webhooky nebo Zapier), dostávají údaje na pokyn podniku jako jeho vlastní zpracovatelé nebo příjemci, nikoli jako subzpracovatelé Resovu.

6. Doba uchování údajů

Osobní údaje uchováváme po následující dobu: Účetní údaje: Po dobu trvání účtu Uživatele plus 30 dnů po smazání účtu. Účetní a fakturační údaje jsou uchovávány po dobu stanovenou právními předpisy, nejméně 10 let (zákon č. 235/2004 Sb., o DPH, a zákon č. 563/1991 Sb., o účetnictví). Údaje o rezervacích: Konfiguratelné Uživatelem v administraci Resovu. Výchozí doba uchování je 365 dnů. Po uplynutí doby uchování jsou osobní údaje v rezervacích automaticky anonymizovány systémovou úlohou (PII purge cron), zatímco statistické údaje jsou zachovány v anonymizované podobě. Údaje hostů pro evidenci (ubytování): Mažou se 7 dní po odjezdu. Pokud předpis země ubytování ukládá vést evidenci hostů déle (např. Česko 6 let, Rakousko 7 let, Španělsko 3 roky, Slovensko 2 roky, Německo 15 měsíců, Spojené království 12 měsíců, Francie 6 měsíců), smažou se po uplynutí této lhůty. Údaje zrušených pobytů se mažou ihned. Uložená karta hosta: Odkaz na kartu u Stripe se odstraní nejpozději 7 dní po odjezdu (a ne dříve, než se uvolní nebo strhne kauce). Značka karty, poslední čtyři číslice a záznam souhlasu se smažou spolu s údaji o rezervaci po uplynutí doby uchování. Údaje rate limitingu: IP adresy uložené v systému rate limitingu jsou automaticky mazány po vypršení okna rate limitu (typicky 60 sekund). Analytické údaje (jen se souhlasem): Google Analytics 4 uchovává data 14 měsíců. Microsoft Clarity uchovává záznamy 30 dní, heatmapy a souhrnné statistiky 9 měsíců. Údaje z Meta Pixelu se uchovávají podle podmínek Meta. Dobu platnosti jednotlivých cookies uvádí sekce 8. Monitorování chyb: Sentry uchovává technická data o chybách po dobu 90 dnů. Session replay je vypnutý a osobní údaje (e-mailové adresy, telefonní čísla, platební identifikátory) jsou z chybových hlášení automaticky odstraněny ještě před odesláním. Komunikační logy: Logy doručení e-mailů a SMS jsou uchovávány po dobu 30 dnů pro účely řešení problémů. Poskytovatel SMS zvolený podnikem uchovává vlastní záznamy podle svých podmínek. Po smazání účtu jsou všechny osobní údaje smazány do 30 dnů, s výjimkou případů, kdy zákonné požadavky vyžadují delší uchování. Uživatelé mohou požádat o dřívější smazání kontaktováním resovu@resovu.com, s výhradou zákonných retenčních povinností.

7. Vaše práva

V souladu s GDPR máte následující práva: Právo na přístup (čl. 15): Máte právo získat potvrzení, zda jsou vaše osobní údaje zpracovávány, a pokud ano, získat k nim přístup a obdržet kopii. Právo na opravu (čl. 16): Máte právo požadovat opravu nepřesných osobních údajů nebo doplnění neúplných údajů. Právo na výmaz / právo být zapomenut (čl. 17): Máte právo požadovat smazání svých osobních údajů, pokud již nejsou potřebné pro účel, pro který byly shromážděny, pokud odvoláte souhlas, nebo pokud neexistuje jiný právní základ pro zpracování. Právo na omezení zpracování (čl. 18): Máte právo požadovat omezení zpracování za určitých okolností, například když zpochybňujete přesnost údajů. Právo na přenositelnost údajů (čl. 20): Máte právo obdržet své osobní údaje ve strukturovaném, běžně používaném a strojově čitelném formátu (CSV export je k dispozici v administraci Resovu). Právo vznest námitku (čl. 21): Máte právo vznest námitku proti zpracování založenému na oprávněném zájmu. Zpracování ukončíme, pokud neprokážeme závažné oprávněné důvody. Právo odvolat souhlas (čl. 7(3)): Pokud je zpracování založeno na souhlasu, můžete jej kdykoli odvolat. Odvolání nemá vliv na zákonnost zpracování před odvoláním. Právo podat stížnost: Máte právo podat stížnost u dozorového úřadu, zejména u Úřadu pro ochranu osobních údajů (Ú OOÚ, www.uoou.cz). Pro uplatnění kteréhokoliv z těchto práv nás kontaktujte na resovu@resovu.com. Odpovíme do 30 dnů. Může být vyžadováno ověření identity. Za uplatnění práv se neúčtuje žádný poplatek, pokud žádosti nejsou zjevně nedůvodné nebo nadměrné.

8. Cookies a podobné technologie

Web resovu.com (marketingové stránky, blog, registrace a přihlášení): Nezbytné cookies jsou aktivní vždy. Analytické a marketingové nástroje spouštíme jen s vaším souhlasem. – V EU/EHP a ve Spojeném království se Google Tag Manager ani žádný z těchto nástrojů nenačte, dokud souhlas nedáte. Používáme Google Consent Mode v2 v základním režimu, takže Googlu se před souhlasem neposílají ani anonymní signály. – Mimo tyto země se nástroje načítají hned a můžete je odmítnout. – Region určujeme podle IP adresy. Když ho nelze určit, postupujeme jako v EU. Administrace Resovu a stránky podniků (veřejný profil, rezervace, poukazy, platby, storno a odstoupení od smlouvy, hodnocení, zákaznický portál, online check-in a widget na webu podniku): Resovu tu nespouští žádné vlastní analytické, nahrávací ani reklamní nástroje a používá jen nezbytné cookies. – Pokud podnik připojí vlastní Google Analytics 4 nebo Meta Pixel, zobrazí se lišta se jménem podniku. Tyto nástroje se spustí až po vašem souhlasu. – Správcem těchto údajů je podnik a podrobnosti uvádí ve svých zásadách (odkaz najdete v patičce jeho stránek). – Souhlas daný na resovu.com a souhlas daný podniku se navzájem nepřenášejí. Nezbytné cookies (vždy aktivní): – cc_cookie: vaše volba cookies na resovu.com, 182 dnů – cc_tenant_*: vaše volba cookies na stránkách podniku, 182 dnů – sb-*-auth-token: přihlášení, po dobu relace – locale: jazyk, 1 rok – admin_locale: jazyk administrace, 1 rok – rv_lang_*: jazyk, který jste zvolili na stránkách podniku, 1 rok – geo_consent_region: region pro režim souhlasu, 182 dnů – _rpc: zapamatování volby zákaznického portálu při rezervaci; ukládá jen otisk e-mailu, ne e-mail samotný, 60 dnů – rv_wl_offer: nabídka místa z čekací listiny, 1 den Analytické cookies (jen se souhlasem): – _ga, _ga_*: Google Analytics 4, statistiky návštěvnosti, 2 roky. GA4 neukládá IP adresy. – _clck (1 rok), _clsk (1 den): Microsoft Clarity. Zaznamenává pohyb myši, kliknutí a posouvání, abychom viděli, kde je web nepřehledný. Obsah formulářových polí se maskuje a do záznamu se nedostane. Marketingové cookies (jen se souhlasem): – _fbp: Meta Pixel, měření účinnosti reklam, 90 dnů Podobné technologie: Pro drobná nastavení používáme také úložiště prohlížeče (localStorage), například abychom si pamatovali, že jste odmítli nabídku jiného jazyka. Pokud začneme používat další nástroj, doplníme ho sem dřív, než ho spustíme. Volbu můžete kdykoli změnit nebo odvolat přes „Nastavení cookies“ v patičce. Už uložené cookies smažete v nastavení prohlížeče.

9. Údaje dětí

Účet v Resovu si smí založit pouze osoba starší 18 let. Provozovatelé, kteří Resovu používají (např. dětské kroužky, kurzy či tábory), však mohou v rezervačním formuláři sbírat údaje o dětech — typicky jméno dítěte. V takovém případě je správcem těchto údajů daný provozovatel; Resovu je zpracovává výhradně podle jeho pokynů jako zpracovatel. Věk, od kterého dítě může udělit souhlas samo, se v našich zemích liší (Česko a Francie 15 let, Německo, Polsko, Maďarsko a Slovensko 16, Španělsko 14, Norsko 13); u mladších dětí odpovídá za souhlas zákonný zástupce a zajišťuje ho provozovatel. Pokud se domníváte, že jsou u některého provozovatele zpracovávány údaje vašeho dítěte neoprávněně, napište nám na resovu@resovu.com a spojíme vás se správcem, případně údaje na jeho pokyn smažeme.

10. Automatizované rozhodování

Resovu neprovádí automatizované rozhodování ani profilování ve smyslu článku 22 GDPR, které by mělo právní nebo obdobně závažné účinky na subjekty údajů. Automatizované zpracování se omezuje na: rate limiting (ochrana proti zneužití na základě IP adresy), řazení a filtrování rezervací, automatické zasílání potvrzení a připomínek. Žádné z těchto zpracování neprodukuje rozhodnutí s právními účinky.