Správce osobních údajů
- Společnost
- UMOVI PROSTA SPÓŁKA AKCYJNA
- Adresa
- ul. Henryka Sienkiewicza 49, 42-600 Tarnowskie Góry, Polska
- Kontakt pro ochranu soukromí
- privacy@umovi.app
- Telefon
- +48 500 566 563
§ 1. Rozsah Zásad
- Zásady vysvětlují, jak Umovi zpracovává údaje Klientů, návštěvníků veřejného webu, Podnikatelských uživatelů, zaměstnanců Poskytovatelů, osob kontaktujících Umovi a osob používajících integrace.
- Zásady se vztahují na weby, mobilní aplikace, správu, komunikaci, fakturační funkce, rozhraní API a MCP a nastavení soukromí Umovi.
- Poskytovatel může být samostatným správcem údajů Klienta. Jeho vlastní informace o ochraně soukromí jsou uvedeny na profilu, v souhrnu Rezervace nebo ve sdělení před předáním údajů.
§ 2. Správce a kontakt
- Správcem údajů zpracovávaných pro vlastní účely Platformy je UMOVI PROSTA SPÓŁKA AKCYJNA, se sídlem v Tarnowskie Góry, na adrese ul. Henryka Sienkiewicza 49, 42-600 Tarnowskie Góry, Polska, zapsaná v rejstřík podnikatelů polského Národního soudního rejstříku vedený Sąd Rejonowy w Gliwicach, X Wydział Gospodarczy Krajowego Rejestru Sądowego pod číslem 0001263973, NIP 6452601936, REGON 545606947, dále jen „Umovi“.
- Ve věcech osobních údajů lze kontaktovat privacy@umovi.app nebo zaslat dopis na adresu z odst. 1. Bude-li jmenován pověřenec pro ochranu osobních údajů, budou jeho údaje zveřejněny v Právních informacích.
- Pokud Umovi zpracovává údaje výhradně jménem Poskytovatele, pomůže předat žádost příslušnému správci nebo uvede způsob přímého kontaktu.
§ 3. Rozdělení rolí mezi Umovi a Poskytovatele
- Umovi je samostatným správcem údajů potřebných k založení Účtu, ověřování, bezpečnosti, poskytování a rozvoji Platformy, obsluze Rezervací jako platformové služby, vyúčtování s Poskytovatelem, vlastní komunikaci, moderaci, uplatňování nároků a plnění právních povinností.
- Vybraný Poskytovatel je samostatným správcem údajů předaných za účelem Rezervace, uzavření a poskytnutí vlastní služby, provozního kontaktu, vyúčtování, reklamací a plnění oborových a daňových povinností.
- Umovi působí jako zpracovatel, pokud na pokyn Poskytovatele zpřístupňuje Kartotéku Poskytovatele, ukládá její poznámky a přílohy, provádí kampaň Poskytovatele nebo jinou funkci, jejíž účel a zásadní prostředky určuje Poskytovatel.
- Samotný technický záznam vztahu Klient–Poskytovatel vzniklého Rezervací neznamená souhlas s marketingem ani s vytvářením volitelných poznámek. Role se posuzují pro konkrétní operaci, nikoli jednou pro celou Platformu.
- Pokud společné určení účelů a prostředků konkrétní operace povede ke společnému správcovství, Umovi a Poskytovatel uzavřou požadované ujednání a zpřístupní osobě jeho podstatu před zahájením dané operace.
§ 4. Kategorie údajů a zdroje
| Osoba nebo oblast | Kategorie údajů | Hlavní zdroj |
|---|---|---|
| Návštěvník webu | IP adresa, čas a cesta požadavku, typ zařízení a prohlížeče, nastavení soukromí, motiv, jazyk, údaje formuláře a atribuce — byl-li udělen souhlas | zařízení, prohlížeč a sám Uživatel |
| Klient | jméno a příjmení, e-mail, telefon, identifikátory Účtu a přihlášení, profilová fotografie, jazyk, nastavení, relace a 2FA | Klient nebo poskytovatel přihlášení po autorizaci |
| Rezervace | Poskytovatel, místo, služba, pracovník nebo pracoviště, termín, časové pásmo, stav, informativní cena, zprávy, události a potvrzení | Klient, Poskytovatel a provoz Platformy |
| Poloha | souřadnice jednorázově předané pro vyhledávání, ručně zadaná obec nebo adresa, vzdálenost od výsledků | zařízení nebo Klient |
| Podnikatelský uživatel | firemní, rejstříkové, daňové a fakturační údaje, role, oprávnění, nabídka, rozvrhy, personál a aktivita ve správě | Podnikatelský uživatel, veřejné rejstříky a provoz Platformy |
| Platby B2B | Tarif, částka, měna, faktura, identifikátor a stav transakce, token platební metody; bez celého čísla karty u Umovi | Poskytovatel a provozovatel plateb |
| Komunikace | adresa odesílatele a příjemce, telefonní číslo, token zařízení, obsah, přílohy, stav doručení a odhlášení | strany komunikace a dodavatel kanálu |
| Kartotéka Poskytovatele | povolené poznámky, preference bez zvláštních kategorií údajů, přílohy a historie změn | Poskytovatel jako správce |
| Integrace a MCP | aplikace, rozsahy OAuth, tokeny a metadata propojení, pokyny, výsledky, auditní události | Uživatel a autorizovaná aplikace |
| Bezpečnost a podpora | IP, identifikátory zařízení a relace, protokoly, činnosti v Účtu, hlášení, důkazy souhlasů a potvrzení, údaje incidentu | provoz Platformy, Uživatel a dodavatelé |
§ 5. Účely a právní základy
| Účel | Údaje | Právní základ |
|---|---|---|
| Založení Účtu, přihlášení, relace, 2FA a obsluha Účtu | identifikační, kontaktní, ověřovací a technické údaje | čl. 6 odst. 1 písm. b GDPR; čl. 6 odst. 1 písm. f pro ochranu Účtu |
| Vyhledání nabídky a obsluha Rezervace | kritéria, volitelná poloha, údaje Rezervace, zprávy a stavy | čl. 6 odst. 1 písm. b GDPR |
| Předání údajů vybranému Poskytovateli | kontaktní údaje a údaje Rezervace | čl. 6 odst. 1 písm. b GDPR — kroky na žádost Klienta a plnění platformové služby |
| Potvrzení informace o předání | Uživatel, Poskytovatel, verze sdělení, datum, jazyk a rozhraní | čl. 6 odst. 1 písm. f GDPR — doložení souladu a obhajoba nároků |
| Vyúčtování s Poskytovatelem a daňové doklady | firemní údaje, platby, faktury a ověření | čl. 6 odst. 1 písm. b a c GDPR |
| Bezpečnost, audit, předcházení zneužití a nároky | protokoly, relace, IP, události a hlášení | čl. 6 odst. 1 písm. f GDPR; čl. 6 odst. 1 písm. c, pokud povinnost vyplývá ze zákona |
| Provozní oznámení | e-mail, telefon, push token, obsah a stav | čl. 6 odst. 1 písm. b nebo f GDPR |
| Marketing Umovi nebo Poskytovatele | kontakt, odesílatel, kanál, znění souhlasu a důkaz | čl. 6 odst. 1 písm. a GDPR a souhlas vyžadovaný polským zákonem o elektronických komunikacích |
| Doporučení Klientovi | historie Rezervací, uložená místa, četnost a čas | čl. 6 odst. 1 písm. f GDPR — relevantnější objevování služeb; právo vznést námitku |
| Volitelné měření kampaní a analytika | pseudonymní identifikátor, zdroj kampaně, událost a nastavení | čl. 6 odst. 1 písm. a GDPR a souhlas s technologií, je-li požadován |
| Moderace a povinnosti platformy | Obsah, oznámení, rozhodnutí a důkazy | čl. 6 odst. 1 písm. c a f GDPR |
| Provedení pokynu přes MCP | rozsahy, pokyn a údaje operace | čl. 6 odst. 1 písm. b GDPR; čl. 6 odst. 1 písm. f pro bezpečnostní audit |
- Poskytnutí údajů nezbytných pro Účet nebo Rezervaci je dobrovolné, ale bez nich nelze požadovanou funkci provést. Volitelné údaje jsou označeny a jejich neposkytnutí neomezuje základní funkci.
- Potvrzení informace před první Rezervací u Poskytovatele není souhlasem podle GDPR. Marketingový souhlas je samostatný, dobrovolný a odvolatelný.
§ 6. Zvláštní kategorie údajů a nezletilí
- Platforma není určena ke zpracování údajů o zdraví ani jiných zvláštních kategorií údajů. Nevkládejte je do poznámek, zpráv, Kartotéky Poskytovatele ani příloh.
- Omezení platí také pro Poskytovatele ve zdravotnictví, kosmetice, fyzioterapii a dalších oborech, kde takové údaje vznikají mimo Platformu. Umovi není systém zdravotnické dokumentace.
- Účet a Rezervace jsou určeny zletilým osobám. Umovi nezískává datum narození a automaticky neověřuje věk; při registraci ukládá prohlášení o zletilosti spolu s verzí Podmínek.
§ 7. Poloha, mapy a zařízení
- Poloha zařízení se používá pouze po udělení systémového oprávnění k zobrazení služeb v okolí a výpočtu vzdálenosti. Uživatel může odmítnout a zadat polohu ručně.
- Souřadnice se předávají jednorázově ve vyhledávacím dotazu. Umovi je neukládá jako pole profilu ani historii pohybu. Omezené údaje se mohou dočasně objevit ve standardních bezpečnostních protokolech.
- Ručně zvolená obec nebo preference polohy se může uložit v zařízení. Uživatel ji může změnit nebo smazat v nastavení aplikace či paměti prohlížeče.
- Mapy a geokódování mohou podle zařízení a rozhraní navazovat spojení s Apple nebo Google. Dodavatel map získává technické údaje a dotaz potřebný k zobrazení mapy podle vlastních pravidel.
- Přesnou polohu není nutné ukládat do přihlašovacích údajů. Umovi takové ukládání neplánuje; případná změna vyžaduje samostatné posouzení nezbytnosti, minimalizace, uchovávání a aktualizaci informací před zavedením.
§ 8. Příjemci a dodavatelé
- Údaje Rezervace získává vybraný Poskytovatel a jeho oprávněný personál. Klient vidí totožnost příjemce před předáním.
- Níže uvádíme úplné názvy subjektů, jejichž integrace mohou obsluhovat funkce Platformy. Subjekt získá údaje pouze tehdy, je-li pro Uživatele aktivní daná funkce a trasa.
| Subjekt | Funkce | Obvyklý rozsah údajů a umístění |
|---|---|---|
| Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxembourg | cloudová infrastruktura, databáze, soukromé soubory, protokoly a zálohy | údaje Platformy podle funkce; hlavní datový region: Evropská unie, eu-central-1 |
| Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irsko | přihlášení Google, Google Maps a Places na Androidu, Firebase Cloud Messaging | identifikátor přihlášení a údaje sdílené Uživatelem; mapový dotaz; token a údaje oznámení |
| Apple Distribution International Limited, Hollyhill Industrial Estate, Hollyhill, Cork, Irsko | přihlášení Apple, MapKit na webu a iOS, Apple Push Notification service | identifikátor přihlášení a sdílené údaje; mapový dotaz; token a údaje oznámení |
| Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA, provozovatel Resend | produkční odesílání e-mailů po aktivaci této trasy | adresa, jméno, obsah a technický stav zprávy; možné předání do USA |
| PROMOHUB sp. z o.o., ul. Bagatela 10/39, 00-585 Warszawa, NIP 7011181115, provozovatel SMS-fly.pl | odesílání SMS při výběru této trasy | číslo, název odesílatele, obsah a stav doručení |
| Digital Virgo Polska sp. z o.o., rondo Ignacego Daszyńskiego 1, 00-843 Warszawa, KRS 0001068391, NIP 5272317216, provozovatel JustSend | odesílání SMS při výběru této trasy | číslo, název odesílatele, obsah, identifikátor kampaně a stav |
| PayU S.A., ul. Grunwaldzka 186, 60-166 Poznań, KRS 0000274399 | platby Poskytovatele za Platformu | firemní údaje, částka, měna, identifikátor a stav transakce; netýká se plateb Klienta za službu |
| Stripe Payments Europe, Limited a Stripe Technology Europe, Limited, 1 Wilton Park, Wilton Place, Dublin 2, D02 FX04, Irsko | platby Poskytovatele za Platformu | firemní údaje, částka, měna, metoda, identifikátor a stav; netýká se plateb Klienta za službu |
- DIČ a výsledek ověření mohou být předány Evropské komisi a příslušným daňovým správám přes VIES. Údaje potřebné k vystavení nebo obsluze dokladu mohou být předány vedoucímu polské Národní daňové správy přes KSeF.
- Autorizovaná aplikace MCP je samostatným příjemcem pouze v rozsahu zvoleném Uživatelem. Její přesný název, správce, rozsah a zásady ochrany osobních údajů jsou uvedeny před autorizací.
- Údaje mohou získat advokátní kanceláře, auditoři, pojišťovny, nabyvatel podniku a veřejné orgány, pokud existuje právní základ nebo je to nutné pro určení, výkon či obhajobu nároků.
- Umovi neuvádí místní a testovací nástroje, protože nejsou produkčními příjemci údajů Uživatelů. Aktuální seznam dalších zpracovatelů je veden na adrese https://pro.umovi.app/pl/privacy#legal-section-8.
§ 9. Předávání údajů mimo EHP
- Hlavní infrastruktura Umovi funguje v regionu AWS v Evropské unii. To neznamená, že každá podpůrná služba funguje výhradně v EHP.
- Pokud příjemce zpracovává údaje mimo EHP, Umovi používá odpovídající mechanismus podle kapitoly V GDPR: rozhodnutí o odpovídající ochraně, rámec EU–USA pro ochranu osobních údajů pro certifikovaného příjemce nebo standardní smluvní doložky s posouzením předání a dodatečnými zárukami.
- Informace o konkrétním mechanismu a kopii příslušných záruk, s ochranou důvěrných informací, lze získat na kontaktní adrese pro soukromí.
§ 10. Marketing, souhlasy a potvrzení
- Marketingové souhlasy se evidují samostatně pro příslušného správce nebo odesílatele a dostupný kanál, například e-mail, SMS, push, hlasový hovor nebo sdělení v aplikaci.
- Důkaz souhlasu může zahrnovat osobu, odesílatele, účel, kanál, verzi a jazyk prohlášení, rozhraní, datum udělení a odvolání a omezené údaje potřebné k doložení souladu.
- Souhlas lze odvolat v nastavení, odkazem ve zprávě nebo kontaktem se správcem. Odvolání působí do budoucna a nemá vliv na zákonnost dřívějšího zpracování.
- Marketing Poskytovatele zůstává vypnutý, dokud Klient neudělí příslušný souhlas. Postup další Rezervace by neměl marketingový souhlas znovu vyžadovat, je-li již aktivní; pokud je vypnutý, může být nabídnut znovu bez předvolby a bez blokování Rezervace.
- Přijetí Podmínek, potvrzení informace o předání údajů a marketingový souhlas jsou samostatné události s vlastními verzemi a účinky.
§ 11. Doporučení a automatizovaná rozhodnutí
- Umovi může doporučovat Poskytovatele na základě předchozích Rezervací, jejich četnosti, doby od poslední Rezervace a uložených míst. Základem je oprávněný zájem usnadnit opětovné nalezení vhodné služby.
- Uživatel může vznést námitku proti personalizaci. Poté může dál používat vyhledávání a běžné řazení výsledků.
- Doporučení a pořadí nemají právní účinky ani obdobně významný dopad. Umovi vůči Klientovi nepřijímá rozhodnutí podle čl. 22 GDPR výhradně automatizovaně.
- Bezpečnostní pravidla mohou dočasně blokovat podezřelé jednání a systém dostupnosti může odmítnout kolizi termínů. Uživatel může kontaktovat Umovi pro vysvětlení omezení.
§ 12. MCP a externí aplikace
- MCP funguje po autorizaci konkrétních rozsahů OAuth. Umovi ukládá identifikátor propojení, rozsahy, tokeny v zabezpečené podobě a technickou historii potřebnou pro bezpečnost.
- Údaje se používají výhradně k provedení pokynu Uživatele k jeho vlastním Rezervacím a souvisejícím zprávám. Umovi je nepředává modelu AI pro trénování, reklamy, obecné profilování ani účely nesouvisející s pokynem.
- Externí aplikace může používat model AI podle vlastních pravidel. Před autorizací si přečtěte její zásady ochrany osobních údajů. Odvolání propojení blokuje nové operace, ale nemaže kopie dříve vytvořené aplikací v rámci uděleného přístupu.
- Při první Rezervaci u Poskytovatele musí aplikace zobrazit informaci o předání údajů a získat aktivní potvrzení. Samotný rozsah OAuth tento krok nenahrazuje.
§ 13. Doby uchovávání
| Kategorie | Doba nebo ukončující událost |
|---|---|
| Účet | do smazání Účtu nebo ukončení smlouvy, následně výmaz, anonymizace nebo omezení údajů potřebných pro zákonné povinnosti a nároky |
| Přístupový token | obvykle přibližně 15 minut |
| Obnovovací token pro web | obvykle přibližně 7 dnů; relaci lze odvolat dříve |
| Obnovovací token pro mobilní aplikaci | podle relace, nejvýše 365 dnů; relaci lze odvolat dříve |
| Vypršené nebo odvolané tokeny | až 30 dnů od vypršení nebo odvolání pro bezpečnost |
| Dokončené, zrušené Rezervace nebo Rezervace označené jako nedostavení se a související zprávy, revize a události | 1095 dnů od dokončení nebo zrušení, pokud legal hold nebo nárok neodůvodňuje delší dobu |
| Aktivní a budoucí Rezervace | do dokončení nebo zrušení, poté podle výše uvedeného |
| Potvrzení informace o předání údajů | po dobu vztahu s Poskytovatelem a dobu potřebnou k doložení souladu nebo obhajobě nároků, bez jiného základu nejdéle 3 roky od poslední události |
| Marketingové souhlasy a důkazy | po dobu platnosti a až 3 roky po odvolání nebo posledním použití pro doložení souladu |
| Exporty, importy a připravené exportní dokumenty | až 7 dnů |
| Auditní protokoly | až 365 dnů |
| Přečtená oznámení | až 180 dnů |
| Úspěšně doručené webhooky | až 90 dnů |
| Neúspěšná doručení webhooků | až 180 dnů |
| Fakturační a daňové údaje | po dobu vyžadovanou účetními a daňovými předpisy |
| Kartotéka Poskytovatele a její přílohy | podle pokynů Poskytovatele; standardně do smazání záznamu, ukončení vztahu nebo smlouvy, s exportem po dobu 30 dnů a smazáním z aktivních systémů v dalších 30 dnech |
| Zálohy | v rotaci až 90 dnů od smazání z aktivního systému; bez dalšího použití kromě havarijní obnovy |
- Legal hold může dočasně pozastavit automatický výmaz pouze v rozsahu nutném pro incident, nárok nebo právní povinnost. Přístup k takovým údajům je omezen.
- Soft-delete není konečný výmaz. Po uplynutí doby se údaje fyzicky smažou nebo nevratně anonymizují, pokud neexistuje další právní základ.
- Po obnově zálohy Umovi znovu uplatní uložené žádosti a fronty výmazů.
§ 14. Bezpečnost
- Umovi používá opatření přiměřená riziku, včetně šifrování přenosu a ukládání, kontroly rolí a nejmenších oprávnění, oddělení tenantů, bezpečného hashování hesel, správy relací, 2FA, auditních protokolů, ochrany tajných údajů, monitoringu, záloh a postupů pro incidenty.
- Administrátorský přístup je omezen na osoby, které jej potřebují, podléhá ověření a evidenci. Podrobnosti nemusí být zveřejněny, pokud by to oslabilo bezpečnost.
- Uživatel by měl používat jedinečné heslo, chránit zařízení, zapnout 2FA a bezodkladně hlásit podezřelé jednání.
§ 15. Práva subjektu údajů
- V rozsahu stanoveném GDPR může osoba požadovat přístup k údajům a kopii, opravu, výmaz, omezení, přenositelnost a vznést námitku proti zpracování na základě oprávněného zájmu.
- Osoba má bezpodmínečné právo vznést námitku proti přímému marketingu a kdykoli odvolat souhlas bez vlivu na zákonnost dřívějšího zpracování.
- Pokud by bylo zavedeno výhradně automatizované rozhodování podle čl. 22 GDPR, má osoba právo na informace, lidský zásah a napadení rozhodnutí. Umovi nyní taková rozhodnutí vůči Klientovi neuplatňuje.
- Žádost lze zaslat na privacy@umovi.app. Umovi může přiměřeně ověřit totožnost. Zpravidla odpoví do jednoho měsíce; ve složité věci lze lhůtu prodloužit podle GDPR.
- Osoba může podat stížnost předsedovi polského Úřadu pro ochranu osobních údajů (Prezes Urzędu Ochrony Danych Osobowych), ul. Stanisława Moniuszki 1A, 00-014 Warszawa, aktuálními kanály uvedenými na uodo.gov.pl.
§ 16. Cookies, změny a verze
- Informace o cookies, místním úložišti, SDK, oprávněních zařízení a nastavení souhlasu obsahují Zásady cookies a technologií.
- Aktuální verze a datum Zásad jsou zveřejněny na Platformě. O významné změně účelu, příjemce, profilování nebo práv Umovi informuje předem přes Účet, e-mail nebo jiný trvalý nosič.
- Pokud nový účel vyžaduje souhlas, Umovi o něj požádá před zahájením zpracování. Další používání Platformy souhlas nenahrazuje.