Zásady ochrany osobních údajů a používání cookies

Feevent je platforma, přes kterou pořadatelé zveřejňují akce a účastníci se na ně hlásí s vratnou kaucí: při rezervaci se na platební kartě zablokuje dohodnutá částka, po účasti se uvolní a při nedostavení bez včasného zrušení propadne pořadateli. Aby to fungovalo, potřebujeme o vás některé údaje. Tento dokument srozumitelně popisuje, které to jsou, proč je potřebujeme, kde a jak dlouho je držíme, komu je předáváme a jak si je můžete zkontrolovat nebo nechat smazat.

Řídíme se nařízením (EU) 2016/679 (GDPR), zákonem č. 110/2019 Sb., o zpracování osobních údajů, a pravidly pro cookies v § 89 odst. 3 zákona č. 127/2005 Sb., o elektronických komunikacích. Zvýrazněná místa DOPLNIT jsou v tomto návrhu údaje, které ještě čekají na doplnění nebo rozhodnutí.

Ve zkratce. Správcem vašich údajů je Feevent s.r.o. Sbíráme jen to, co platforma a kauce potřebují: údaje k účtu, k vašim rezervacím a účasti, bezpečný otisk platební karty (celé číslo karty má jen Stripe), technické a bezpečnostní záznamy a — pouze s vaším souhlasem — měřicí a reklamní cookies Google a Meta. Data leží na serverech v Německu; platby zpracovává Stripe (EU/USA). Své údaje si zobrazíte v aplikaci v profilu, výmaz si vyžádáte tamtéž nebo e-mailem na DOPLNIT: privacy@feevent.com a vyřídíme ho do 30 dnů.

1. Kdo je správce a jak nás kontaktovat

Na e-mail pro ochranu osobních údajů můžete psát česky i anglicky. Odpovídáme nejpozději do jednoho měsíce; u složitých žádostí může být lhůta prodloužena o další dva měsíce, o čemž vás informujeme.

2. Koho se tento dokument týká

Platformu používají lidé v různých rolích. Podle role se liší, jaké údaje o vás máme a odkud je máme.

3. Jaké údaje zpracováváme, proč a na jakém právním základě

GDPR dovoluje údaje zpracovávat jen z konkrétního důvodu. V tabulce je u každé skupiny údajů účel a právní základ: smlouva (čl. 6 odst. 1 písm. b) — bez těchto údajů vám službu nemůžeme poskytnout; právní povinnost (písm. c) — ukládá nám to zákon; oprávněný zájem (písm. f) — náš nebo pořadatelův zájem, který nepřevažuje nad vašimi právy a proti kterému můžete vznést námitku; souhlas (písm. a) — jen pokud jste ho udělili, a můžete ho kdykoli odvolat.

Co nesbíráme. Číslo vaší platební karty ani bezpečnostní kód nikdy neprochází našimi servery — zadáváte je do zabezpečeného formuláře společnosti Stripe (při platbě Google Pay nebo Apple Pay přes Stripe platí totéž). Neukládáme datum narození, adresu bydliště, polohu zařízení ani zvláštní kategorie údajů (zdraví, náboženství apod.). Nesledujeme vás mimo naši aplikaci a údaje neprodáváme.

Co se stane, když údaje neposkytnete. Bez údajů označených jako smlouva nelze účet založit ani rezervaci s kaucí dokončit. Souhlas s analytickými a marketingovými cookies je dobrovolný a jeho odmítnutí nijak neomezí používání aplikace.

4. Cookies a podobné technologie

Cookies jsou malé soubory, které si prohlížeč ukládá a které nám (nebo třetí straně) umožňují rozpoznat váš prohlížeč při dalším požadavku. Stejná pravidla platí pro podobné technologie — úložiště prohlížeče (localStorage, sessionStorage), měřicí pixely a skripty.

4.1 Jak udělujete a odvoláváte souhlas

• Při první návštěvě se zobrazí lišta cookies. Tlačítka „Přijmout vše" a „Odmítnout vše" jsou rovnocenná — odmítnutí je stejně snadné jako přijetí. Podrobné nastavení po kategoriích je dostupné přímo z lišty.
• Dokud souhlas neudělíte, analytické a marketingové skripty se nenačtou; nástroje Google běží v režimu Consent Mode v2, kdy bez souhlasu neukládají cookies ani identifikátory.
• Rozhodnutí můžete kdykoli změnit přes odkaz „Nastavení cookies" v patičce každé stránky nebo smazáním cookies v prohlížeči. Vaši volbu si pamatujeme DOPLNIT: 12 měsíců; poté se zeptáme znovu.
• Používání aplikace není podmíněno souhlasem (žádná „cookie zeď").

4.2 Přehled používaných cookies a úložišť

4.3 Co dělají měřicí a reklamní nástroje

• Google Analytics 4 (Google Ireland Limited): statistiky návštěvnosti a chování v aplikaci. IP adresy Google u GA4 neukládá; data uchováváme DOPLNIT: 14 měsíců a nepropojujeme je s vaším účtem ani nezapínáme Google Signals. Sběr můžete blokovat také doplňkem Google Analytics Opt-out.
• Google Ads (Google Ireland Limited): měření konverzí z reklam Google a remarketing — zobrazení reklamy Feevent lidem, kteří už web navštívili. Nastavení reklam: adssettings.google.com. DOPLNIT: potvrdit, že „Google Pixel" = značka Google Ads (konverze + remarketing), ne Google Tag Manager — otázka č. 3
• Meta Pixel (Meta Platforms Ireland Limited): měření konverzí z reklam na Facebooku a Instagramu a tvorba reklamních publik. Pro sběr a předání údajů Metě jsme s ní společnými správci; za další zpracování odpovídá Meta (zásady Meta). Nastavení: Aktivita mimo technologie Meta.

5. Komu údaje předáváme

Údaje nikomu neprodáváme. Předáváme je jen těm, kdo se podílejí na poskytování služby, a jen v rozsahu, který k tomu potřebují.

6. Předávání údajů mimo EU a EHP

Hlavní data aplikace zůstávají v Evropské unii (Německo). Mimo EHP mohou být údaje předány pouze těmto příjemcům, vždy se zárukami podle kapitoly V GDPR:

• Stripe, Inc., Google LLC, Meta Platforms, Inc., Microsoft Corporation, Apple Inc. a CARTO (USA) — společnosti certifikované v rámci EU-U.S. Data Privacy Framework (rozhodnutí Komise o odpovídající ochraně z 10. 7. 2023) DOPLNIT: ověřit certifikaci CARTO. Pro případ, že by rozhodnutí pozbylo platnosti, jsou sjednány standardní smluvní doložky Evropské komise a přijata doplňková opatření (pseudonymizace identifikátorů, minimalizace rozsahu).
• Pořadatelé se sídlem mimo EHP — pokud se přihlásíte na akci pořadatele mimo EHP, obdrží vaše údaje jako samostatný správce v zemi svého sídla. Zemi pořadatele vidíte v detailu akce. DOPLNIT: potvrdit, zda platforma pořadatele mimo EHP připouští — otázka č. 8

Kopii použitých záruk vám na vyžádání poskytneme.

7. Pořadatelé, účastníci a hosté — kdo za co odpovídá

• Feevent je správcem údajů pro provoz platformy: účty, rezervace, kauce, platby, bezpečnost, podpora, měření a marketing.
• Pořadatel je samostatným správcem údajů účastníků své akce od chvíle, kdy mu je zpřístupníme (seznam účastníků, odbavení, poznámky ke schválení účasti, komunikace s účastníky mimo platformu, vlastní adresář kontaktů). Pořadatel musí mít pro další použití údajů vlastní právní důvod a vlastní informační povinnost; podle našich podmínek smí údaje účastníků a kontaktů použít jen pro organizaci svých akcí, ne pro vlastní marketing bez vašeho souhlasu, a nesmí je předávat dál.
• Pozvaní hosté a nahrané kontakty — pořadatel může na akci pozvat e-mailem člověka, který u nás nemá účet, nebo si nahrát adresář kontaktů. Pořadatel odpovídá za to, že je k tomu oprávněn (např. jde o jeho zákazníky či členy). Pozvaný od nás dostane pozvánku s odkazem na tyto zásady (informace podle čl. 14 GDPR), může ji odmítnout a požádat o výmaz; jeho údaje pak smažeme do DOPLNIT: 30 dnů. Pozvánka se posílá jen jednou s nejvýše DOPLNIT: počet připomínkami.

8. Kde a jak jsou údaje uloženy a zabezpečeny

• Servery a databáze: servery si pronajímáme od společnosti Hetzner Online GmbH a běží v jejím datacentru ve Falkensteinu (Německo). Databáze, nahrané soubory (profilové fotky) i zálohy jsou na serverech v Německu; mimo EU neběží žádná kopie databáze. Zálohy se vytvářejí denně a uchovávají 30 dní DOPLNIT: šifrování a umístění mimo hlavní server — otázka č. 2.
• Platby: údaje o kartách a výplatních účtech drží Stripe ve svých datacentrech v EU a USA (kapitoly 5 a 6).
• Zabezpečení: veškerá komunikace je šifrovaná (HTTPS/TLS s vynuceným HSTS); hesla ukládáme pouze jako jednosměrný otisk se solí; přihlašovací cookies jsou chráněné proti přístupu skriptů a proti podvrženým požadavkům; přístupové tokeny ke kalendářům jsou v databázi šifrované; mobilní přihlašovací tokeny mají krátkou platnost a lze je zneplatnit; přístup k datům mají jen pověřené osoby s vlastními přístupy a zásahy do účtů se zaznamenávají; aplikace je průběžně bezpečnostně testována a nalezené chyby opravujeme podle závažnosti. DOPLNIT: potvrdit oddělení testovacího a ostrého prostředí — dnes sdílejí infrastrukturu
• Bezpečnostní incident: pokud by došlo k porušení zabezpečení, které ohrožuje vaše práva, oznámíme to Úřadu pro ochranu osobních údajů do 72 hodin a vás budeme informovat bez zbytečného odkladu.

9. Jak dlouho údaje uchováváme

Údaje držíme jen tak dlouho, jak je nutné pro účel, ke kterému jsme je získali. Po uplynutí lhůty je smažeme nebo nevratně anonymizujeme (odstraníme vše, podle čeho by šlo poznat, o koho jde).

10. Jaká máte práva

Kromě práva na informace (tento dokument) máte podle GDPR tato práva. Uplatníte je v aplikaci (kapitoly 11 a 12) nebo e-mailem na DOPLNIT: privacy@feevent.com.

• Přístup — potvrzení, zda vaše údaje zpracováváme, a jejich kopii (čl. 15).
• Oprava — nepřesné údaje opravíme, neúplné doplníme (čl. 16).
• Výmaz („právo být zapomenut") — za podmínek čl. 17; co a proč musíme ponechat, je v kapitole 12.
• Omezení zpracování — např. po dobu, než ověříme přesnost údajů (čl. 18).
• Přenositelnost — údaje, které jste nám poskytli, dostanete ve strojově čitelném formátu (JSON/CSV) (čl. 20).
• Námitka — proti zpracování z důvodu oprávněného zájmu (čl. 21). Proti přímému marketingu lze vznést námitku vždy a bez udání důvodu — zpracování pro tento účel okamžitě ukončíme.
• Odvolání souhlasu — kdykoli, stejně snadno, jako jste ho udělili (lišta cookies, odkaz v e-mailu, nastavení v profilu). Odvolání nemá vliv na zpracování před odvoláním.
• Nebýt předmětem automatizovaného rozhodnutí bez lidského přezkumu — viz kapitola 13.
• Stížnost u dozorového úřadu — kapitola 16. Uvítáme, když se nejdřív obrátíte na nás, ale není to podmínkou.

Jak žádost vyřizujeme. Abychom údaje nevydali cizí osobě, ověříme vaši totožnost — zpravidla tím, že žádost přijde z e-mailu vašeho účtu, nebo potvrzením v aplikaci; výjimečně si vyžádáme další ověření. Žádost vyřídíme do jednoho měsíce (u složitých žádostí až do tří měsíců, o prodloužení vás informujeme). Uplatnění práv je bezplatné; jen u zjevně nedůvodných nebo opakovaných žádostí můžeme účtovat přiměřený poplatek nebo žádost odmítnout.

11. Jak si ověřit, jaké údaje o vás máme

Přímo v aplikaci — po přihlášení v sekci Profil vidíte a můžete upravit:

• své identifikační a kontaktní údaje, profilovou fotku, jazyk a časové pásmo,
• uložené platební metody (značka karty a poslední 4 číslice — víc nemáme ani my),
• historii rezervací, odbavení a výsledků kaucí včetně částek,
• své spory a jejich stav,
• nastavení notifikací a udělené souhlasy (sekce Soukromí a data).

Pořadatelé navíc vidí v sekci Organizace údaje organizace, členy týmu, stav výplatního účtu a propojené kalendáře; podrobnosti ověření u Stripe spravujete přímo ve svém účtu Stripe.

Kompletní výpis (právo na přístup, čl. 15). Pokud chcete všechno, co o vás evidujeme — včetně technických záznamů, historie notifikací a údajů, které v aplikaci nevidíte — použijte tlačítko „Exportovat moje data" v sekci Profil → Soukromí a data DOPLNIT: funkce je v aplikaci připravena, ale zatím nefunkční — do zprovoznění jen e-mailem, nebo napište na DOPLNIT: privacy@feevent.com z e-mailu svého účtu. Do 30 dnů dostanete srozumitelný přehled (kategorie údajů, účely, příjemci, doby uchování, zdroj) a strojově čitelný soubor (JSON). Výpis je zdarma.

Údaje u třetích stran. Co o vás má Stripe, zjistíte na stripe.com/privacy; u Google a Meta v jejich nastavení soukromí (odkazy v kapitole 4.3).

12. Jak požádat o výmaz

V aplikaci: Profil → Smazat účet DOPLNIT: tlačítko existuje, ale zatím nefunkční — do zprovoznění jen e-mailem. Před potvrzením zobrazíme, co se smaže a co musíme ponechat.

E-mailem: napište „žádost o výmaz" na DOPLNIT: privacy@feevent.com z e-mailu, který je u vašeho účtu. Potvrdíme přijetí a výmaz provedeme do 30 dnů.

Pozvaný host bez účtu: použijte odkaz „Odmítnout pozvánku / smazat mé údaje" v pozvánce, nebo napište na uvedený e-mail.

Co se stane po žádosti:

1. Účet je ihned deaktivován — nelze se přihlásit, nikdo vás v aplikaci nevidí.
2. Identifikační a kontaktní údaje, profil, fotku, nastavení, propojené kalendáře, platební metody u Stripe a technické identifikátory smažeme nebo nevratně anonymizujeme do 30 dnů. Pořadatelům, u kterých jste byli přihlášeni na proběhlé akce, zůstane jen anonymizovaný záznam účasti („účastník #…").
3. Ponecháme jen to, co ponechat musíme, a jen po dobu z kapitoly 9: účetní a daňové doklady k uskutečněným platbám; záznamy o kaucích a důkazní balíček ke strženým kaucím, protože reklamaci platby u banky lze uplatnit i měsíce po akci; údaje k otevřenému sporu do jeho vyřízení; bezpečnostní záznamy do uplynutí jejich lhůty; minimální záznam o tom, že výmaz proběhl (abychom vás omylem znovu nekontaktovali). Tyto záznamy jsou odděleny od běžného provozu a nejsou propojené s vaším jménem.
4. Výmaz se propíše do záloh jejich obměnou (nejdéle 30 dní).

Kdy výmaz nelze provést hned: máte-li aktivní rezervaci se zablokovanou kaucí nebo otevřený spor, je potřeba rezervaci nejdřív zrušit nebo počkat na uvolnění či stržení kauce — jinak by nebylo možné kauci vypořádat. Pořadatel nemůže zrušit účet, dokud má akce s přihlášenými účastníky a nevypořádanými kaucemi; výplatní účet Stripe se ruší samostatně u Stripe.

Cookies a reklamní nástroje: cookies smažete v prohlížeči a souhlas odvoláte v liště; údaje shromážděné nástroji Google a Meta smažete v jejich nastavení (kapitola 4.3).

13. Automatizované rozhodování — propadnutí kauce při nedostavení

Rozhodnutí o tom, zda se kauce vrátí, nebo propadne, dělá po skončení akce automaticky náš systém: kdo byl odbaven (sken QR kódu, ruční potvrzení pořadatelem nebo uznané hlášení „jsem tady, odbavení nefunguje"), dostane kauci uvolněnu; kdo odbaven nebyl a rezervaci včas nezrušil, tomu kauce propadne ve prospěch pořadatele — ale teprve po uplynutí námitkového okna DOPLNIT: 24 hodin po skončení akce a po ověření řady kontrolních podmínek (např. že se akce skutečně konala a odbavení bylo dostupné). Jde o rozhodnutí s finančním dopadem, proto platí záruky podle čl. 22 GDPR:

• Toto zpracování je nezbytné pro plnění smlouvy mezi vámi a pořadatelem (čl. 22 odst. 2 písm. a). Pravidla — výši kauce, lhůtu pro bezplatné zrušení a podmínky — vidíte před potvrzením rezervace a jejich znění v té chvíli si uložíme.
• Námitku „něco nefungovalo" (nešlo se odbavit, pořadatel nepřišel, akce se nekonala, technická chyba) podáte v aplikaci během námitkového okna. Podání okamžitě zastaví stržení; námitku posoudíme proti zaznamenaným důkazům a na vaši žádost ji přezkoumá člověk z našeho týmu, ke kterému se můžete vyjádřit DOPLNIT: potvrdit — kánon sporů dnes počítá s automatem; GDPR lidský přezkum na žádost vyžaduje. Není-li námitka vyřízena do finanční uzávěrky, kauce se vrací.
• Žádost o prominutí z osobních důvodů (nemoc, doprava) míří k pořadateli, který může kauci vrátit; osobní důvody sami neposuzujeme.
• Kdykoli můžete požádat o lidský přezkum také e-mailem na DOPLNIT: privacy@feevent.com.
• Žádné jiné automatizované rozhodování ani profilování (např. hodnocení spolehlivosti účastníků nebo pořadatelů) dnes neprovádíme. Pokud bychom ho zavedli, předem tyto zásady doplníme.

14. Děti

Platforma je určena osobám starším 18 let — rezervace vyžaduje platební kartu a uzavření smlouvy s kaucí DOPLNIT: potvrdit hranici; v ČR je pro souhlas dítěte u online služeb hranice 15 let. Vědomě neshromažďujeme údaje dětí; pokud zjistíme, že účet založila osoba mladší, účet zrušíme a údaje smažeme. Rodiče či zákonní zástupci nás mohou kontaktovat na e-mailu pro ochranu osobních údajů.

15. Změny těchto zásad

Dokument aktualizujeme, když se změní služba, dodavatelé nebo právní předpisy. Aktuální verze je vždy na DOPLNIT: URL, např. feevent.com/privacy s datem účinnosti; o podstatných změnách (nový účel, nový příjemce mimo EHP, změna dob uchování) vás informujeme předem e-mailem nebo oznámením v aplikaci. Předchozí verze poskytneme na vyžádání.

16. Dozorový úřad

Pokud se domníváte, že vaše údaje zpracováváme v rozporu s právem, můžete podat stížnost u dozorového úřadu:

Úřad pro ochranu osobních údajů, Pplk. Sochora 727/27, 170 00 Praha 7, tel. +420 234 665 111, e-mail posta@uoou.gov.cz, datová schránka qkbaa2n, www.uoou.gov.cz. Stížnost lze podat i u dozorového úřadu ve státě EU, kde bydlíte nebo pracujete.