Ochrana osobních údajů (GDPR)

1. Správce osobních údajů

Správcem osobních údajů je:

Základní škola prof. Otakara Borůvky

• Sídlo: Školní 400, 687 24 Uherský Ostroh
• IČO: 70938172
• Datová schránka: 8eama2v
• Telefon: +420 317 741 790
• E-mail: podatelna@zsuhostroh.cz

Správce je orgánem veřejné moci (územní samosprávný celek) a provozuje tento rezervační systém v rámci zajištění veřejně přístupných sportovišť.

2. Pověřenec pro ochranu osobních údajů

Správce jakožto orgán veřejné moci jmenoval pověřence pro ochranu osobních údajů (čl. 37 GDPR). Aktuální kontaktní údaje pověřence Vám poskytneme na vyžádání na adrese podatelna@zsuhostroh.cz.

3. Jaké osobní údaje zpracováváme

V rámci provozu rezervačního systému zpracováváme následující kategorie osobních údajů:

• Identifikační údaje: jméno a příjmení
• Kontaktní údaje: e-mailová adresa, telefonní číslo
• Adresní údaje: ulice a číslo popisné, město, PSČ
• Fakturační údaje: IČO a DIČ — pouze pokud jsou dobrovolně uvedeny
• Údaje uživatelského účtu: přihlašovací e-mail, heslo (uložené pouze v zašifrované/hashované podobě), údaj o ověření e-mailu
• Provozní údaje: záznamy o uskutečněných rezervacích, objednávkách a provedených platbách
• Technické údaje: IP adresa, identifikace prohlížeče (user-agent) a údaje o přihlašovacích relacích, nezbytné pro zabezpečení a provoz systému
• Provozní logy: technické záznamy o činnosti systému, které mohou dočasně obsahovat identifikátory (např. e-mail nebo ID uživatele)

4. Účel zpracování

Osobní údaje zpracováváme za následujícími účely:

• Zajištění provozu sportovišť: zpřístupnění a správa rezervací veřejných sportovních zařízení
• Správa rezervací: vytváření, evidence a potvrzování rezervací
• Fakturace a účetnictví: vystavování dokladů a vedení účetní evidence
• Komunikace: zasílání potvrzení rezervace a faktur na e-mailovou adresu
• Zabezpečení systému: ochrana před zneužitím, ověřování přístupu a vedení nezbytných provozních záznamů
• Plnění zákonných povinností: uchovávání a archivace dokladů dle platných právních předpisů

5. Právní základ zpracování

Zpracování osobních údajů je prováděno na základě těchto právních titulů:

• Plnění úkolu ve veřejném zájmu / výkon veřejné moci (čl. 6 odst. 1 písm. e) GDPR) — provoz veřejně přístupných sportovišť jako činnost územního samosprávného celku
• Plnění smlouvy (čl. 6 odst. 1 písm. b) GDPR) — zpracování nezbytné pro vyřízení konkrétní rezervace a její úhradu
• Splnění právní povinnosti (čl. 6 odst. 1 písm. c) GDPR) — povinné uchovávání a archivace účetních a daňových dokladů dle zákona č. 563/1991 Sb., o účetnictví, a zákona č. 499/2004 Sb., o archivnictví a spisové službě

6. Doba uchovávání údajů

Osobní údaje uchováváme pouze po dobu nezbytně nutnou k naplnění daného účelu:

• Údaje uživatelského účtu: po dobu existence účtu. Neověřené účty jsou automaticky mazány po 7 dnech od registrace.
• Účetní a daňové doklady (faktury, objednávky, záznamy o platbách): po dobu 10 let v souladu se zákonem č. 563/1991 Sb., o účetnictví, a skartačními lhůtami dle zákona č. 499/2004 Sb., o archivnictví a spisové službě.
• Technické a provozní logy: po krátkou dobu nezbytnou pro provoz a zabezpečení, poté jsou pravidelně mazány.
• Zálohy: uchovávány v rotujícím režimu, nejdéle po dobu odpovídající archivační povinnosti (10 let).

Po zániku účtu, u něhož existují účetní záznamy, jsou osobní údaje uživatele anonymizovány a uchovány jsou pouze údaje nezbytné pro splnění zákonné archivační povinnosti. Po uplynutí výše uvedených lhůt jsou údaje vymazány nebo anonymizovány.

7. Příjemci osobních údajů

Osobní údaje zpřístupňujeme pouze v nezbytném rozsahu následujícím kategoriím příjemců (zpracovatelů), s nimiž máme uzavřeny smlouvy o zpracování osobních údajů dle čl. 28 GDPR:

• Platební brána GoPay (GOPAY s.r.o., Česká republika) — zpracování online plateb
• Poskytovatel serverové infrastruktury (hosting): provoz a uložení dat aplikace
• Poskytovatel e-mailových služeb: odesílání potvrzení rezervací a faktur
• Poskytovatel zálohovacího úložiště (Cloudflare, R2) — bezpečné off-site zálohy uložené v rámci EU
• Zpracovatel účetnictví: vedení účetní a daňové evidence
• Orgány veřejné moci: v případě zákonné povinnosti nebo oprávněného požadavku

Osobní údaje jsou zpracovávány a ukládány v rámci Evropské unie / Evropského hospodářského prostoru. Zálohy jsou uloženy v evropském regionu úložiště Cloudflare R2. Vzhledem k tomu, že mateřská společnost tohoto poskytovatele sídlí v USA, je jako doplňková záruka uplatněn rámec EU-US Data Privacy Framework, případně standardní smluvní doložky schválené Evropskou komisí.

8. Způsob získání údajů

Osobní údaje získáváme zpravidla přímo od Vás při registraci a vytvoření rezervace. Pokud rezervaci výjimečně vytváří pověřený pracovník správce jménem jiné osoby, jsou údaje této osoby zpracovány v rozsahu nezbytném pro rezervaci; dotčená osoba je o zpracování informována.

9. Povinnost poskytnutí údajů

Poskytnutí jména, e-mailu, telefonního čísla a fakturační adresy je nezbytným požadavkem pro vytvoření účtu a rezervace — bez těchto údajů nelze službu poskytnout. Uvedení IČO a DIČ je dobrovolné a slouží pouze pro správné vystavení dokladu.

10. Automatizované rozhodování

Při zpracování osobních údajů nedochází k automatizovanému rozhodování ani k profilování ve smyslu čl. 22 GDPR.

11. Vaše práva

V souladu s GDPR máte jako subjekt údajů následující práva:

• Právo na přístup — máte právo požádat o potvrzení, zda zpracováváme vaše osobní údaje, a o jejich kopii
• Právo na opravu — máte právo požádat o opravu nepřesných nebo neúplných osobních údajů
• Právo na výmaz — máte právo požádat o vymazání svých osobních údajů; toto právo se však nevztahuje na údaje, které jsme povinni uchovávat na základě právní povinnosti (zejména účetní a daňové doklady)
• Právo na omezení zpracování — máte právo požádat o omezení zpracování svých osobních údajů
• Právo na přenositelnost údajů — vztahuje se pouze na údaje zpracovávané automatizovaně na základě smlouvy nebo souhlasu
• Právo vznést námitku — máte právo vznést námitku proti zpracování založenému na plnění úkolu ve veřejném zájmu (čl. 6 odst. 1 písm. e) GDPR)
• Právo podat stížnost — máte právo podat stížnost u dozorového orgánu, kterým je Úřad pro ochranu osobních údajů (ÚOOÚ), Pplk. Sochora 27, 170 00 Praha 7

12. Kontakt

Se žádostí o uplatnění vašich práv nebo s dotazy týkajícími se zpracování osobních údajů se prosím obraťte na správce na adrese podatelna@zsuhostroh.cz, případně na pověřence pro ochranu osobních údajů uvedeného v bodě 2.