Zásady ochrany osobních údajů — Bombarda

Aplikace: Bombarda
Správce osobních údajů: Ing. Michal Skalický, IČO: 03290531, sídlo: Třebenice 23, 252 08 Štěchovice, zapsán v živnostenském rejstříku (Městský úřad Černošice)
Verze: 1.6
Datum účinnosti: [TODO: doplnit datum]

Tento dokument popisuje, jakým způsobem aplikace Bombarda zpracovává osobní údaje fyzických osob — jak střelců, kteří Aplikaci využívají v soukromé kapacitě, tak fyzických osob, které v Aplikaci vystupují za Partnerskou střelnici (dále jen „Zástupce střelnice"). Zpracování probíhá v souladu s Nařízením Evropského parlamentu a Rady (EU) 2016/679 (GDPR) a zákonem č. 110/2019 Sb., o zpracování osobních údajů.

Osobní údaje má vždy jen fyzická osoba; na údaje o právnické osobě se GDPR nevztahuje (recitál 14). Tyto Zásady proto pokrývají obě role, zatímco smluvní vztah se řídí podle povahy protistrany buď Všeobecnými obchodními podmínkami pro fyzické osoby, nebo pro osoby právnické.

Článek I — Správce osobních údajů

1.1 Správcem osobních údajů je Ing. Michal Skalický, IČO: 03290531, se sídlem Třebenice 23, 252 08 Štěchovice, fyzická osoba podnikající na základě živnostenského oprávnění, zapsaná v živnostenském rejstříku vedeném Městským úřadem Černošice (dále jen „Správce" nebo „Provozovatel"), který provozuje mobilní a webovou aplikaci Bombarda (dále jen „Aplikace").

1.2 Kontaktní údaje Správce pro záležitosti ochrany osobních údajů:

• E-mail: gdpr@bombarda.app
• Poštovní adresa: Ing. Michal Skalický, Třebenice 23, 252 08 Štěchovice
• Datová schránka: g9p3icr

1.3 Správce nejmenoval pověřence pro ochranu osobních údajů (DPO), neboť mu tato povinnost nevzniká dle čl. 37 GDPR. Veškeré dotazy a žádosti týkající se ochrany osobních údajů směřujte na kontaktní e-mail uvedený výše.

Článek II — Jaké osobní údaje zpracováváme

2.1 Registrační a identifikační údaje

Při vytváření Uživatelského účtu zpracováváme:

• jméno nebo přezdívku,
• e-mailovou adresu (slouží zároveň jako identifikátor účtu a jediná cesta k přihlášení a obnově přístupu),
• jednorázový přihlašovací kód (OTP) zasílaný na e-mailovou adresu, s omezenou dobou platnosti — Aplikace nepoužívá hesla, žádné heslo tedy nevzniká, nepřenáší se ani neukládá,
• v případě přihlášení přes třetí stranu (Google, Apple) — identifikátor účtu a e-mailovou adresu poskytnutou danou platformou.

2.2 Profilové údaje

Uživatel může doplnit v rámci profilu v Aplikaci:

• profilovou fotografii,
• telefonní číslo (pokud je vyžadováno Partnerskou střelnicí nebo pro ověření identity).

2.3 Údaje o rezervacích

V rámci rezervační funkce zpracováváme:

• zvolenou Partnerskou střelnici, typ aktivity a termín rezervace,
• historii rezervací Uživatele,
• případné poznámky k rezervaci zadané Uživatelem.

2.4 Platební údaje

Platby za rezervace jsou zpracovávány výhradně prostřednictvím platební brány třetí strany ([TODO: doplnit název platební brány]). Správce nepřichází do kontaktu s citlivými platebními údaji (číslo platební karty, CVC apod.) a tyto údaje neukládá. Ze strany platební brány obdržíme pouze potvrzení o úspěšném nebo neúspěšném provedení platby a anonymizovaný identifikátor transakce.

2.5 Uživatelem generovaný obsah

Pokud Uživatel vloží do Aplikace hodnocení, recenzi nebo fotografii Partnerské střelnice, zpracováváme tento obsah včetně data jeho vložení.

2.6 Technické a provozní údaje

Při používání Aplikace automaticky zpracováváme:

• IP adresu,
• typ a verzi zařízení, operační systém,
• technický stav zařízení v okamžiku chyby: dostupnou paměť a úložiště, typ procesoru, nastavený jazyk a časové pásmo a oprávnění udělená Aplikaci; hlášení o pádu, který nastane mimo vlastní kód Aplikace (v systémové části Aplikace), může navíc obsahovat stav baterie a čas posledního zapnutí zařízení, protože takové hlášení sestavuje přímo nástroj pro monitorování chyb a Aplikace z něj tyto údaje nedokáže odebrat,
• náhodný identifikátor instalace Aplikace — vzniká při první instalaci, není spojen s Uživatelským účtem, jménem ani e-mailem a zaniká odinstalací; slouží k rozlišení, kolika zařízení se chyba týká,
• datum a čas přístupu, navštívené sekce Aplikace,
• provozní logy a záznamy chyb (pro účely technické podpory a bezpečnosti).

2.7 Údaje Zástupce střelnice

Zástupcem střelnice se rozumí fyzická osoba, která zakládá a spravuje účet Partnerské střelnice — ať už jako osoba samostatně výdělečně činná, člen statutárního orgánu, nebo pověřený zaměstnanec provozovatele střelnice.

Při registraci a provozu střelnice zpracováváme:

• kontaktní e-mailovou adresu — slouží zároveň jako identifikátor účtu a jediná cesta k přihlášení a obnově přístupu (viz §2.1),
• kontaktní telefonní číslo — pro ověření a dokončení registrace střelnice,
• jméno a roli v rámci střelnice, byla-li uvedena,
• záznam o udělení souhlasu s Všeobecnými obchodními podmínkami: verzi dokumentu, datum a čas a způsob potvrzení,
• údaje o přihlášení a provozní logy v rozsahu podle §2.6.

Tyto údaje jsou osobními údaji i tehdy, jde-li o kontakt pracovní. GDPR nezná výjimku pro kontaktní údaje uvedené v pracovní nebo podnikatelské roli; rozhodné je, zda lze údaj přiřadit ke konkrétní fyzické osobě. U Aplikace to platí vždy, neboť zadaná e-mailová adresa se stává přihlašovacím identifikátorem konkrétního člověka, a to i v případě, že sama o sobě působí neosobně (např. sdílená schránka provozovny).

Údaje o provozovateli střelnice jako právnické osobě — obchodní firma, IČO, DIČ, fakturační adresa — osobními údaji nejsou a tyto Zásady se na ně nevztahují. U osoby samostatně výdělečně činné se však tyto údaje s údaji o fyzické osobě překrývají a nakládáme s nimi jako s osobními údaji.

Kontaktní údaje střelnice mohou být zobrazeny střelcům v detailu střelnice v Aplikaci. Zástupci střelnice proto doporučujeme uvádět neosobní kontakt provozovny všude tam, kde to jeho role umožňuje.

Článek III — Účely a právní základy zpracování

Článek IV — Příjemci osobních údajů

4.1 Osobní údaje nejsou prodávány ani pronajímány třetím stranám pro jejich vlastní marketingové účely.

4.2 V rámci provozu Aplikace mohou být osobní údaje sdíleny s následujícími kategoriemi příjemců:

• Partnerské střelnice — v rozsahu nezbytném pro realizaci rezervace (jméno, kontaktní e-mail, čas rezervace). Partnerská střelnice vystupuje jako samostatný správce pro účely přímého plnění střelecké aktivity.
• Poskytovatel platební brány ([TODO: doplnit název]) — pro zpracování platební transakce.
• Poskytovatel cloudové a hostingové infrastruktury — Supabase — provozuje databázi Aplikace, správu uživatelských účtů a přihlašování, úložiště souborů a serverovou logiku. Zpracovává tedy veškeré údaje uvedené v článku II. Data jsou uložena v datovém centru v regionu `eu-central-1` (Frankfurt nad Mohanem, Německo). Supabase k provozu datových center využívá dalšího zpracovatele (sub-processora) Amazon Web Services (AWS); k případnému přenosu mimo Evropský hospodářský prostor viz článek VI.
• Nástroj pro monitorování chyb a stability — Sentry — přijímá hlášení o pádech a chybách Aplikace včetně technických a provozních údajů dle §2.6, aby bylo možné závadu najít a odstranit. Účet Správce je zřízen v evropském regionu služby a hlášení jsou zpracovávána a uložena v Evropské unii. Poskytovatel sídlí v USA; k přenosu mimo Evropský hospodářský prostor viz článek VI.
• Zprostředkovatel push notifikací — Expo Push — doručuje oznámení do zařízení Uživatele (potvrzení a připomínky rezervací); zpracovává identifikátor zařízení pro doručování oznámení (tzv. push token) a obsah oznámení. Oznámení dále předává platformovým službám Apple (APNs) a Google (FCM), bez nichž nelze oznámení do zařízení doručit; k případnému přenosu mimo Evropský hospodářský prostor viz článek VI.
• Poskytovatel služby pro odesílání transakčních e-mailů — Resend — odesílá e-maily související s provozem účtu, zejména jednorázový přihlašovací kód (OTP) dle §2.1 a potvrzení rezervací; zpracovává e-mailovou adresu příjemce a obsah zprávy. K případnému přenosu mimo Evropský hospodářský prostor viz článek VI.
• Poskytovatel firemních e-mailových schránek — Proton Mail — provozuje schránky, na které Uživatel píše (zejména gdpr@bombarda.app pro žádosti o uplatnění práv a podpora@bombarda.app pro podporu a hlášení dle VOP); zpracovává e-mailovou adresu odesílatele a obsah zprávy včetně údajů, které Uživatel ve zprávě sám uvede. Obsah schránek je šifrovaný tak, že jej poskytovatel nemůže číst. Poskytovatel sídlí ve Švýcarsku, pro které platí rozhodnutí Evropské komise o odpovídající ochraně; k přenosu mimo Evropský hospodářský prostor viz článek VI.
• Orgány veřejné moci — na základě zákonné povinnosti nebo na žádost příslušného orgánu (policie, soudy, správní orgány).

4.3 Aplikace nevyužívá nástroje třetích stran pro analytiku chování uživatelů (např. Google Analytics, Firebase Analytics, Mixpanel) a osobní údaje se pro tento účel žádnému dalšímu příjemci nepředávají. Bude-li takový nástroj nasazen, budou tyto Zásady předem aktualizovány postupem podle článku XII.

4.4 Se všemi zpracovateli (kategorie výše, s výjimkou orgánů veřejné moci a Partnerských střelnic) má Správce uzavřeny smlouvy o zpracování osobních údajů dle čl. 28 GDPR.

Článek V — Doba uchovávání osobních údajů

5.1 Osobní údaje jsou uchovávány pouze po dobu nezbytně nutnou k naplnění účelu jejich zpracování nebo po dobu stanovenou právními předpisy.

Článek VI — Mezinárodní přenos osobních údajů

6.1 Databáze Aplikace, a tedy i údaje uvedené v článku II, je uložena v Evropské unii (Frankfurt nad Mohanem, Německo). K přenosu osobních údajů mimo Evropský hospodářský prostor (EHP) přesto dochází, a to všude tam, kde zpracovatel nebo jeho další zpracovatel sídlí mimo EHP. Takový poskytovatel může k údajům přistupovat ze země svého sídla, například při technické podpoře nebo zajištění provozu, i když jsou údaje uloženy v EU. Přenos probíhá jen do zemí, pro které Evropská komise vydala rozhodnutí o odpovídající ochraně (čl. 45 GDPR), nebo na základě standardních smluvních doložek schválených Evropskou komisí (čl. 46 odst. 2 písm. c) GDPR).

6.2 Přehled přenosů u příjemců uvedených v článku IV §4.2:

6.3 Rozhodnutím o odpovídající ochraně je pro Švýcarsko rozhodnutí Komise 2000/518/ES a pro USA prováděcí rozhodnutí Komise (EU) 2023/1795 o rámci EU–USA pro ochranu osobních údajů (EU-U.S. Data Privacy Framework). To druhé se vztahuje jen na organizace, které jsou v tomto rámci certifikovány; jejich veřejný seznam vede ministerstvo obchodu USA na www.dataprivacyframework.gov.

6.4 Standardní smluvní doložky jsou součástí smluv o zpracování osobních údajů, které poskytovatelé zveřejňují — u Supabase na supabase.com/legal/dpa, u Resend na resend.com/legal/dpa. Kopii záruk k jakémukoli z uvedených přenosů si můžete vyžádat na gdpr@bombarda.app.

Článek VII — Práva subjektů údajů

7.1 Jako subjekt údajů máte ve vztahu ke svým osobním údajům následující práva:

Právo na přístup (čl. 15 GDPR)
Máte právo získat od Správce potvrzení, zda jsou vaše osobní údaje zpracovávány, a pokud ano, právo na přístup k těmto údajům a na informace o zpracování.

Právo na opravu (čl. 16 GDPR)
Máte právo na opravu nepřesných nebo neúplných osobních údajů. Většinu údajů lze opravit přímo v nastavení profilu v Aplikaci.

Právo na výmaz / „právo být zapomenut" (čl. 17 GDPR)
Máte právo požadovat výmaz svých osobních údajů, pokud:

• údaje již nejsou potřebné pro účel, pro který byly shromážděny,
• odvoláte souhlas a neexistuje jiný právní základ pro zpracování,
• podáte námitku a neexistují převažující oprávněné důvody pro zpracování,
• údaje byly zpracovávány protiprávně.

Právo na výmaz se neuplatní, pokud je zpracování nezbytné pro splnění právní povinnosti nebo pro určení, výkon nebo obhajobu právních nároků.

Právo na omezení zpracování (čl. 18 GDPR)
Máte právo na omezení zpracování svých osobních údajů v zákonem stanovených případech (např. po dobu prověřování správnosti údajů nebo námitky).

Právo na přenositelnost údajů (čl. 20 GDPR)
Máte právo obdržet osobní údaje, které jste Správci poskytli, ve strukturovaném, běžně používaném a strojově čitelném formátu, a právo předat tyto údaje jinému správci — pokud se zpracování zakládá na souhlasu nebo na smlouvě a provádí se automatizovaně.

Právo vznést námitku (čl. 21 GDPR)
Máte právo kdykoliv vznést námitku proti zpracování osobních údajů prováděnému na základě oprávněného zájmu Správce (čl. 6 odst. 1 písm. f) GDPR). Správce zpracování ukončí, ledaže prokáže závažné oprávněné důvody pro zpracování, které převažují nad zájmy nebo právy subjektu údajů.

Právo odvolat souhlas (čl. 7 odst. 3 GDPR)
Tam, kde je zpracování založeno na vašem souhlasu (zejména marketingová komunikace), máte právo souhlas kdykoliv odvolat, aniž by tím byla dotčena zákonnost zpracování před odvoláním. Odvolání lze provést prostřednictvím nastavení Aplikace nebo na kontaktním e-mailu Správce.

7.2 Jak uplatnit svá práva

Žádosti o uplatnění práv zasílejte e-mailem na adresu gdpr@bombarda.app nebo písemně na poštovní adresu Správce. Správce odpoví bez zbytečného odkladu, nejpozději do jednoho měsíce od obdržení žádosti. Ve výjimečných případech lze tuto lhůtu prodloužit o další dva měsíce — o takovém prodloužení bude Správce Uživatele informovat.

7.3 Právo podat stížnost u dozorového úřadu

Máte právo podat stížnost u Úřadu pro ochranu osobních údajů (ÚOOÚ):

• Webové stránky: www.uoou.cz
• Adresa: Pplk. Sochora 27, 170 00 Praha 7
• E-mail: posta@uoou.cz

Článek VIII — Soubory cookie a sledovací technologie

8.1 Webová verze Aplikace může využívat soubory cookie a podobné sledovací technologie. Používáme následující kategorie:

8.2 Preference týkající se souborů cookie lze spravovat prostřednictvím nastavení Aplikace nebo webového prohlížeče. Odmítnutí analytických nebo marketingových cookies nemá vliv na funkčnost základních služeb Aplikace.

Článek IX — Zabezpečení osobních údajů

9.1 Správce přijal a průběžně aktualizuje technická a organizační opatření k ochraně osobních údajů před neoprávněným přístupem, ztrátou, zničením nebo zveřejněním, zejména:

• šifrování přenášených dat (HTTPS/TLS) i dat uložených v databázi a v zálohách,
• oddělení dat jednotlivých střelnic přímo v databázi — pravidla přístupu k jednotlivým záznamům ve výchozím stavu nepustí nikoho a jejich dodržení ověřují automatické testy při každé změně Aplikace,
• přihlašování zcela bez hesel — jednorázové kódy s omezenou dobou platnosti; přístup k účtu na již přihlášeném zařízení chrání biometrické odemčení a přístupový token uložený v zabezpečeném úložišti zařízení,
• přístup k provozním účtům Aplikace (databáze, sestavení Aplikace, odesílání e-mailů, hlášení chyb) má pouze Správce a každý z nich je chráněn dvoufázovým ověřením,
• pravidelné automatické zálohy databáze,
• automatické mazání záznamů v databázi Aplikace, jakmile uplyne jejich doba uchovávání podle článku V.

9.2 V případě porušení zabezpečení osobních údajů (bezpečnostní incident), které pravděpodobně způsobí vysoké riziko pro práva a svobody fyzických osob, bude Správce dotčené Uživatele informovat bez zbytečného odkladu v souladu s čl. 34 GDPR.

Článek X — Automatizované rozhodování a profilování

10.1 Správce neprovádí automatizované rozhodování ve smyslu čl. 22 GDPR, které by mělo pro Uživatele právní nebo obdobně závažné účinky.

10.2 Aplikace může využívat základní profilování za účelem personalizace zobrazovaného obsahu (např. doporučení střelnic na základě předchozích rezervací) — toto profilování nemá právní účinky a Uživatel jej může vypnout v nastavení Aplikace.

Článek XI — Zvláštní kategorie osobních údajů

11.1 Správce zpravidla nezpracovává zvláštní kategorie osobních údajů dle čl. 9 GDPR (zdravotní stav, biometrické údaje apod.). Biometrické odemčení Aplikace (otisk prstu, sken obličeje) probíhá výhradně na zařízení Uživatele prostřednictvím funkce jeho operačního systému; Aplikace obdrží pouze informaci, zda ověření proběhlo úspěšně. Správce k biometrickým údajům nemá přístup, nepřenáší je ani neukládá.

11.2 Pokud by Uživatel v rámci komunikace se zákaznickou podporou nebo v poznámkách k rezervaci dobrovolně sdělil informace spadající do zvláštních kategorií (např. zdravotní omezení), budou tyto informace zpracovány výhradně pro účel, ke kterému byly poskytnuty, a bez zbytečného odkladu smazány.

Článek XII — Změny těchto Zásad

12.1 Správce si vyhrazuje právo tyto Zásady ochrany osobních údajů kdykoli aktualizovat. O každé podstatné změně bude Správce Uživatele informovat prostřednictvím e-mailu nebo oznámení v Aplikaci, a to nejméně 14 dní před nabytím účinnosti nového znění.

12.2 Aktuální verze Zásad je vždy dostupná v Aplikaci a na webových stránkách Provozovatele na adrese https://bombarda.app/privacy.

12.3 Pokud Uživatel pokračuje v používání Aplikace po datu účinnosti aktualizovaných Zásad, vyjadřuje tím souhlas s jejich novým zněním — s výjimkou případů, kdy by bylo k danému zpracování vyžadováno výslovné svolení.

Článek XIII — Závěrečná ustanovení

13.1 Tyto Zásady ochrany osobních údajů jsou vydány v souladu s čl. 13 a 14 GDPR a zákonem č. 110/2019 Sb., o zpracování osobních údajů.

13.2 Tyto Zásady se vztahují na všechny fyzické osoby, jejichž osobní údaje Správce v souvislosti s Aplikací zpracovává — na střelce využívající Aplikaci v soukromé kapacitě i na Zástupce střelnice podle článku II §2.7. Smluvní vztah samotný se řídí Všeobecnými obchodními podmínkami ve verzi odpovídající povaze protistrany — pro fyzické osoby https://bombarda.app/terms, pro právnické osoby a podnikatele https://bombarda.app/terms-business; na údaje o právnické osobě se GDPR ani tyto Zásady nevztahují.

13.3 Tato verze Zásad (v. 1.6) nabývá účinnosti dne [TODO: doplnit datum].

Máte-li jakékoliv dotazy týkající se zpracování vašich osobních údajů, neváhejte nás kontaktovat na gdpr@bombarda.app.