Zásady ochrany osobních údajů

Článek 1. Správce osobních údajů

1.1. Správcem osobních údajů je:

1.2. Zpracování osobních údajů probíhá v souladu s nařízením EU 2016/679 (GDPR) a zákonem č. 110/2019 Sb. o zpracování osobních údajů.

1.3. Poskytovatel nemá povinnost jmenovat pověřence pro ochranu osobních údajů (DPO). V případě dotazů kontaktujte Správce na info@qreturn.cz.

Článek 2. Kategorie zpracovávaných údajů a účely zpracování

2.1. Registrace a správa účtu

Údaje: e-mailová adresa, telefon, fakturační údaje (jméno/název firmy, adresa, IČO, DIČ), heslo (ukládáme pouze jeho kryptografický otisk, nikoli heslo samotné).

Účel: plnění smlouvy, vytvoření a správa uživatelského účtu, fakturace.

Právní základ: plnění smlouvy (čl. 6 odst. 1 písm. b GDPR).

2.2. Obsah vložený Uživatelem

Údaje: soubory nahrané do systému (PDF, obrázky, texty, údaje vizitek, URL adresy apod.).

Účel: poskytování Služby v sjednaném rozsahu.

Právní základ: plnění smlouvy.

2.3. Analytická data ze skenování QR kódů

Údaje: IP adresa, identifikace prohlížeče (tzv. user agent, ze které určujeme typ zařízení, operační systém a prohlížeč), adresa stránky, ze které skenující přišel (referer), datum a čas skenování.

Účel: poskytování statistik Uživateli o využívání jeho QR kódů, zajištění bezpečnosti systému. Uživatel – vlastník QR kódu – vidí v přehledu posledních skenování (ve webové administraci i v mobilní aplikaci) IP adresu, typ zařízení a čas skenování.

Právní základ: oprávněný zájem Správce (čl. 6 odst. 1 písm. f GDPR) a plnění smlouvy.

Poznámka: Provozní data — počet skenování jednotlivých QR kódů agregovaně (celkový počet bez identifikace konkrétního skenujícího). Účel: zobrazení statistiky Uživateli v jeho účtu a správa platformy Poskytovatelem. Právní základ: plnění smlouvy.

2.4. Zákaznická komunikace

Údaje: obsah e-mailové komunikace.

Účel: podpora Uživatelů, vyřizování reklamací, zasílání technických oznámení.

Právní základ: plnění smlouvy, oprávněný zájem.

2.5. Cookies a marketingová analytika

Webové stránky qreturn.cz využívají soubory cookies a obdobné sledovací technologie prostřednictvím platformy Google Tag Manager (GTM). Správa souhlasů je zajištěna nástrojem Cookie-lista.cz (WONDER WEB spol. s r.o., Jindřichov 415, Jindřichov u Krnova, 793 83, IČ: 11924985, DIČ: CZ11924985, zapsána v obchodním rejstříku vedeném Krajským soudem v Ostravě, oddíl C, vložka 87166), který umožňuje Uživateli granulárně řídit, jaké kategorie cookies přijímá.

Kategorie cookies a zpracovávané nástroje:

• Nezbytné cookies – zajišťují technický provoz webu a přihlášení. Právní základ: oprávněný zájem (čl. 6 odst. 1 písm. f GDPR). Souhlas se nevyžaduje.
• Analytické cookies – měření návštěvnosti a chování na webu. Nástroje: Google Analytics 4 (Google LLC, USA – přenos na základě standardních smluvních doložek) a Microsoft Clarity (Microsoft Corp., USA – přenos na základě DPF/SCC; zahrnuje nahrávání relací a tepelné mapy; Clarity je nakonfigurována s aktivním maskováním vstupních polí formulářů, takže obsah zadávaný do polí není zachycen ani přenášen). Právní základ: souhlas (čl. 6 odst. 1 písm. a GDPR).
• Marketingové / remarketingové cookies – cílení reklam a měření jejich účinnosti. Nástroje: Meta Pixel (Meta Platforms Ireland Ltd., přenos do USA na základě standardních smluvních doložek; sledování konverzí a tvorba vlastního publika). Právní základ: souhlas (čl. 6 odst. 1 písm. a GDPR).

Správa souhlasů: Při první návštěvě webu je Uživatel vyzván k udělení souhlasu prostřednictvím lišty Cookie-lista.cz. Souhlas je dobrovolný, může být kdykoli odvolán. Odvolání souhlasu nemá vliv na zákonnost zpracování před odvoláním.

Doba uchovávání cookies: Nezbytné cookies jsou uchovávány po dobu relace nebo nejvýše 12 měsíců. Analytické a marketingové cookies jsou uchovávány dle podmínek jednotlivých nástrojů (zpravidla 13 měsíců pro GA4, 30 dnů pro Meta Pixel). Aktuální přehled je dostupný v nastavení Cookie-lista.cz.

2.6. Přihlášení a ochrana účtů

Údaje: e-mailová adresa zadaná při pokusu o přihlášení, IP adresa, identifikace prohlížeče nebo aplikace (user agent), datum, čas a výsledek pokusu.

Účel: ochrana účtů před hádáním hesel a jiným zneužitím – po opakovaných neúspěšných pokusech se přihlášení dočasně, nejvýše na 15 minut, zablokuje. Platí pro webovou administraci i mobilní aplikaci.

Právní základ: oprávněný zájem Správce na zabezpečení Služby (čl. 6 odst. 1 písm. f GDPR).

2.7. Mobilní aplikace QReturn

Mobilní aplikace QReturn pro iOS a Android slouží stávajícím Uživatelům ke správě jejich QR kódů. Účet se v aplikaci nezakládá – přihlašuje se stejnými údaji jako do webové administrace a platí pro ni stejná pravidla, včetně oprávnění členů týmu.

Údaje:

• Přihlášení – e-mail a heslo. Heslo se použije pouze k přihlášení a v telefonu se neukládá. Po přihlášení aplikace obdrží přístupový klíč platný 90 dní a spolu s e-mailem ho uloží do zabezpečeného úložiště telefonu (Klíčenka v iOS, Android Keystore). Klíč nepřechází přes iCloud ani zálohu na jiné zařízení a odhlášením se z telefonu smaže.
• Obsah QR kódů, stránek QKarta a přílohy – co v aplikaci vytvoříte nebo nahrajete, ukládáme stejně jako obsah vložený přes web (čl. 2.2). Aplikace přistupuje pouze k souboru, který sami vyberete v systémovém výběru souborů.
• Fotoaparát – slouží výhradně ke skenování QR kódů vytvořených v QReturn. Obraz se zpracovává pouze v telefonu, neukládá se ani neodesílá; naskenovaný kód se použije jen k otevření příslušného QR kódu ve Vašem účtu. Přístup k fotoaparátu můžete kdykoli odebrat v nastavení telefonu.

Aplikace nepoužívá cookies ani analytické a reklamní nástroje uvedené v čl. 2.5 a nesleduje Vaši aktivitu v jiných aplikacích. Odkazy na web qreturn.cz (např. do webové administrace) se otevírají v prohlížeči, kde se řídí čl. 2.5.

Aplikaci distribuují společnosti Apple (App Store) a Google (Google Play), které o jejím stažení a používání zpracovávají údaje jako samostatní správci podle svých zásad. Správce od nich dostává pouze souhrnné statistiky a zprávy o pádech aplikace od uživatelů, kteří jejich sdílení povolili v nastavení telefonu.

Účel: poskytování Služby prostřednictvím mobilní aplikace.

Právní základ: plnění smlouvy (čl. 6 odst. 1 písm. b GDPR).

Článek 3. Příjemci osobních údajů

3.1. Správce nepředává osobní údaje třetím stranám s výjimkou:

• poskytovatelů technické infrastruktury a hostingových služeb (zpracovatelé dle čl. 28 GDPR, vázáni smlouvou o zpracování osobních údajů),
• GoPay s.r.o. – platební brána; pro provedení platby jí předáváme jméno, e-mail, případně telefon a údaje o platbě, které zpracovává jako samostatný správce dle svých podmínek,
• provozovatele fakturační služby Fakturoid – vystavování faktur a daňových dokladů z fakturačních údajů Uživatele (zpracovatel dle čl. 28 GDPR),
• Apple Distribution International Ltd. a Google Ireland Limited – distribuce mobilní aplikace (viz čl. 2.7); z aplikace jim Správce žádné osobní údaje nepředává,
• Google LLC (Google Analytics 4, Google Tag Manager) – USA; přenos na základě standardních smluvních doložek dle čl. 46 GDPR,
• Microsoft Corporation (Microsoft Clarity) – USA; přenos na základě standardních smluvních doložek dle čl. 46 GDPR,
• Meta Platforms Ireland Ltd. (Meta Pixel) – EHP/USA; přenos na základě standardních smluvních doložek dle čl. 46 GDPR,
• WONDER WEB spol. s r.o. (Cookie-lista.cz) – Česká republika; zpracování záznamů o souhlasech,
• orgánů veřejné moci, je-li to vyžadováno zákonem.

3.2. Správce neprodává osobní údaje třetím stranám ani je neposkytuje pro marketingové účely jiných subjektů.

Článek 4. Předávání údajů mimo EHP

4.1. Správce primárně zpracovává data na serverech v rámci Evropského hospodářského prostoru (EHP). Pokud je pro provoz Služby využíván poskytovatel se servery mimo EHP, Správce zajistí odpovídající záruky ochrany dle čl. 45 nebo čl. 46 GDPR. Pro přenosy do USA je primárním mechanismem EU-US Data Privacy Framework (DPF) — certifikace Google LLC, Microsoft Corporation a Meta Platforms jsou průběžně ověřovány na dataprivacyframework.gov. Standardní smluvní doložky (SCC) dle rozhodnutí Komise 2021/914 slouží jako záložní mechanismus.

Článek 5. Zabezpečení údajů

5.1. Správce uplatňuje technická a organizační opatření k ochraně osobních údajů, zejména:

• šifrování dat při přenosu (HTTPS/TLS),
• ukládání hesel pouze v podobě kryptografického otisku,
• omezení počtu pokusů o přihlášení (čl. 2.6),
• uložení přístupového klíče mobilní aplikace v zabezpečeném úložišti telefonu (čl. 2.7),
• omezený přístup k datům dle principu minimálního oprávnění,
• pravidelné zálohy a monitorování bezpečnostních incidentů.

Článek 6. Práva subjektů údajů

6.1. Jako Uživatel máte právo:

• na přístup – získat potvrzení, zda jsou Vaše údaje zpracovávány, a kopii těchto údajů.
• na opravu – požádat o opravu nepřesných nebo doplnění neúplných údajů.
• na výmaz („právo být zapomenut") – požádat o vymazání údajů, pokud pominul účel jejich zpracování nebo odvoláte souhlas.
• na omezení zpracování – požádat o pozastavení zpracování v zákonem stanovených případech.
• na přenositelnost – obdržet své údaje ve strukturovaném, strojově čitelném formátu.
• vznést námitku – proti zpracování na základě oprávněného zájmu.
• podat stížnost – u Úřadu pro ochranu osobních údajů (www.uoou.cz), máte-li za to, že jsou Vaše práva porušována.

6.2. Práva lze uplatnit na e-mailové adrese info@qreturn.cz. Správce odpoví bez zbytečného odkladu, nejpozději do 30 dnů.

6.3. Účet můžete kdykoli smazat sami ve webové administraci v sekci Nastavení účtu → Smazání účtu; v mobilní aplikaci na tuto stránku vede položka menu Smazat účet. Smazání se potvrzuje heslem a je okamžité a nevratné. Smaže-li účet jeho vlastník, odstraní se celý účet včetně členů týmu, QR kódů a jejich příloh, záznamů o skenování, API klíčů a záznamů o přihlášení; člen týmu smaže pouze svůj uživatelský účet. Doklady, které je Správce povinen uchovávat ze zákona (čl. 7.2), smazáním účtu nezanikají.

Článek 7. Doba uchovávání údajů

7.1. Údaje aktivních Uživatelů uchováváme po dobu trvání smluvního vztahu.

7.2. Fakturační a účetní doklady uchováváme dle zákonných povinností (10 let dle zákona o účetnictví).

7.3. Data deaktivovaných účtů uchováváme po dobu 12 měsíců pro účely případné reaktivace (viz čl. 11.4 OP), poté jsou trvale odstraněna.

7.4. Záznamy o skenování QR kódů a o přihlášení uchováváme po dobu trvání účtu, ke kterému se vztahují; smazáním účtu (čl. 6.3) se odstraní.

7.5. Při smazání účtu uchováme záznam o žádosti (e-mail, jméno, důvod smazání, datum a IP adresu), abychom mohli doložit, že smazání proběhlo na Váš pokyn.

Článek 8. Kontaktní údaje Správce

8.1. Pro uplatnění práv nebo dotazy týkající se ochrany osobních údajů kontaktujte Správce na e-mailu: info@qreturn.cz.

8.2. Tyto Zásady nabývají platnosti a účinnosti dnem jejich zveřejnění na qreturn.cz. Změny jsou oznamovány v souladu s čl. 12.2 Obchodních podmínek.