Zásady ochrany osobních údajů VEXiON cards

Správcem osobních údajů je MAMA media s.r.o., se sídlem Na Hrebienku 1, 811 02 Bratislava, Slovenská republika, IČO: 36 767 549, zapísaná v Obchodnom registri Mestského súdu Bratislava III, oddiel: Sro, vložka č. 45585/B, e-mail: support@vexioncards.one (dále jen „Správce“ nebo „my“).

Zákazníci (B2B): obchodníci a jejich zástupci, kteří si u nás objednávají a používají Službu VEXiON cards k provozování vlastního věrnostního programu, ve smyslu Všeobecných obchodních podmínek VEXiON cards (dále jen „VOP“).

Koncoví zákazníci / Členové (B2C): fyzické osoby, které se zaregistrují do věrnostního programu provozovaného některým z našich Zákazníků (obchodníků). Ve vztahu k těmto osobám jsme zpravidla zpracovatelem, nikoli správcem, podrobnosti níže a ve Spotřebitelských podmínkách VEXiON cards.

Kupující a obdarovaní v rámci Dárkových poukazů: podrobnosti o zpracování jejich údajů jsou uvedeny v Podmínkách prodeje dárkových poukazů na adrese https://www.vexioncards.one/cs/gift-card-terms.

Návštěvníci webových stránek: v rozsahu zpracování cookies a analytických nástrojů podle čl. 8.

Zpracovatele uvádíme podle kategorie opakujícího se tvaru vztahu, nikoli podle jednotlivých firem, aby změna konkrétního dodavatele v rámci téže kategorie nevyžadovala změnu tohoto dokumentu. Kategorie jsou shodné s Přílohou 2 VOP:

• Digitální peněženky (Apple Wallet, Google Wallet) vystupují podle vlastních podmínek jako samostatní správci, nikoli jako naši zpracovatelé; stejně tak systémy v kategoriích K2 až K4, které si zvolil a provozuje Zákazník; jejich poskytovatelé jsou zpracovateli Zákazníka, nikoli našimi dalšími zpracovateli.

Aktuální jmenný seznam dalších zpracovatelů v jednotlivých kategoriích, s uvedením právního subjektu, účelu zpracování, umístění údajů a mechanismu předání mimo Evropský hospodářský prostor, průběžně udržujeme a zveřejňujeme v Příloze A těchto Zásad na adrese https://www.vexioncards.one/cs/gdpr#sprostredkovatelia. Seznam obsahuje datum poslední aktualizace. Každé přidání nebo nahrazení zpracovatele, i v rámci téže kategorie, oznámíme Zákazníkům e-mailem nejméně 30 dnů předem; námitku a její důsledky upravuje čl. 8 DPA (Příloha 1 VOP). Seznam vám na požádání poskytneme i v jiné podobě.

Provozovatel služby Google Wallet vystupuje při vydávání a aktualizaci karty podle vlastních podmínek jako samostatný správce, nikoli jako náš zpracovatel, a upravuje to zvláštním dodatkem „Controller-Controller Data Protection Terms“. Postavení poskytovatele Apple Wallet posuzujeme stejně; Apple pro tuto službu zvláštní dodatek o zpracování nezveřejňuje. Za zpracování vašich údajů v rámci této části odpovídají tyto společnosti samostatně, podle svých vlastních zásad ochrany osobních údajů.

Jelikož tito poskytovatelé digitálních peněženek vystupují jako samostatní správci, nevyžaduje se od nich dodatek o zpracování osobních údajů podle čl. 28 GDPR, ten se týká výlučně zpracovatelů. Předání jim předávaných údajů mimo Evropský hospodářský prostor se řídí vhodnými zárukami podle kapitoly V GDPR určenými pro vztah mezi dvěma správci, zejména standardními smluvními doložkami, pokud je daný poskytovatel nabízí.

Pokud některý ze zpracovatelů sídlí mimo Evropský hospodářský prostor, zajišťujeme předání údajů na základě vhodných záruk podle kapitoly V GDPR, zejména standardních smluvních doložek schválených Evropskou komisí, nebo na základě rozhodnutí o odpovídající ochraně, pokud je pro danou zemi v dané době účinné. Aktuální mechanismus předání u každého zpracovatele je uveden v seznamu výše, jelikož rozhodnutí o odpovídající ochraně i seznam certifikovaných společností se v čase mění.

Osobní údaje zpracovávané v rámci Služby jsou uloženy v Evropské unii, v prostředí Amazon Web Services v regionu eu-central-1 (Frankfurt nad Mohanem) a v databázi MongoDB Atlas provozované ve stejném regionu. Přenos mimo Evropský hospodářský prostor nastává výlučně u jednotlivých dalších zpracovatelů uvedených v seznamu a je kryt mechanismem uvedeným u každého z nich. Volbu jiného regionu uložení nenabízíme.

Údaje Zákazníků drží zejména tyto nástroje: Clerk (přihlášení do aplikace), Stripe (platby), SuperFaktura (fakturace), GoHighLevel (CRM), Resend a SMSTools (e-mail a SMS), PostHog (analytika a nahrávání relací), BetterStack (provozní logy a chybová hlášení, údaje v Evropské unii), Amazon Web Services a MongoDB Atlas (infrastruktura), Vercel (marketingový web) a Dub.co (partnerský program).

Bezpečnostní opatření, která při zpracování osobních údajů uplatňujeme, jsou uvedena v Příloze 3 VOP.

Postup a lhůtu při oznamování porušení ochrany osobních údajů Zákazníkovi upravuje čl. 7 DPA (Příloha 1 VOP).

Abychom měřili účinnost vlastní reklamy, předáváme reklamním platformám (zejména Meta a Google Ads) údaje o obchodních událostech na našem webu a kontaktní seznamy zájemců a Zákazníků. Týká se to výlučně podnikatelů a zájemců o naši službu, nikdy ne Členů věrnostních klubů. Naše interní služba pro tvorbu reklamních seznamů čte výhradně seznam obchodních organizací (Zákazníků) a kontakty z našeho CRM, nikdy ne databázi Členů.

Údaje zpravidla předáváme v podobě nevratného otisku (hash). Ve vztahu k Meta podle jejích vlastních podmínek vystupujeme jako společný správce podle čl. 26 GDPR u údajů o obchodní aktivitě na našem webu; ve vztahu ke Google Ads je tato platforma naším zpracovatelem podle kategorie K1. Podrobnosti upravuje i čl. 15 bod 15.5 VOP. Podstatu ujednání o společném správcovství s platformou Meta podle čl. 26 odst. 2 GDPR zpřístupňujeme v Příloze B těchto Zásad na adrese https://www.vexioncards.one/cs/gdpr#meta.

Při předávání údajů reklamním platformám dodržujeme tato pravidla: IP adresu ani hlavičku prohlížeče do Meta Conversions API neposíláme, předáváme jen nevratně hashované kontaktní identifikátory; tzv. lookalike (odvozená) publika vytváříme výhradně ze seznamu aktivních Zákazníků a podnikatelských subjektů za účelem vyhledávání nových obchodních příležitostí, přičemž z databáze Členů žádná odvozená publika nevytváříme a nahrané kontaktní seznamy nastavujeme na expiraci nejvýše 540 dnů, odpovídající délce běžného obchodního cyklu, stejně v Meta i v Google Ads.

Reklamní platformě Google Ads kromě údajů o konverzích předáváme i kontaktní seznamy v podobě nevratného otisku; pokud u konverze chybí identifikátor kliknutí, předáváme hashovaný e-mail.

Osobní údaje uchováváme jen po dobu nezbytnou k naplnění účelu jejich zpracování, nejdéle po dobu trvání smluvního vztahu a následně po dobu vyplývající ze zvláštních předpisů (např. účetních a daňových) nebo po dobu promlčecí doby k uplatnění nároků.

Po zániku smluvního vztahu se Zákazníkem se na údaje Zákazníka a s tím související údaje jeho Členů vztahují lhůty podle čl. 6 bodu 6.3 VOP: 30 dnů na export a poté výmaz nebo anonymizace z produkčních systémů nejpozději do 90 dnů od zániku smlouvy. Zákazník může nejpozději v poslední den exportní lhůty udělit výslovný zdokumentovaný pokyn, abychom údaje namísto vymazání uchovali v neaktivním stavu výlučně za účelem případného obnovení služby, nejvýše však 12 měsíců od zániku smlouvy; po tuto dobu je pouze uchováváme v odděleném úložišti, nezpřístupňujeme je, nepoužíváme k žádnému jinému účelu a na žádost Zákazníka je vymažeme nejpozději do 30 dnů. Pokud Zákazník pokyn neudělí, uchování se neprovede. Kopie v zálohách expirují nejpozději do 6 měsíců a k obnově se nepoužívají. U smluv, které zanikly před účinností těchto Zásad, se lhůty podle tohoto bodu neuplatní; údaje uchováváme podle dosavadních podmínek, dokud Zákazník nepožádá o jejich vrácení nebo výmaz.

Pokud vaše členství ve věrnostním programu zanikne (např. odhlášením nebo vymazáním ze strany obchodníka), vaše údaje vymažeme nebo anonymizujeme podle pokynu obchodníka, který je ve vztahu k těmto údajům správcem, nejpozději do 90 dnů od zániku členství; kopie v zálohách expirují nejpozději do 6 měsíců a k obnově se nepoužívají.

Záznamy o odeslaných notifikacích, které technicky nejsou vázány na konkrétního Člena, uchováváme nejvýše čtyři roky od odeslání, v souladu se zásadou minimalizace uchovávání podle čl. 5 odst. 1 písm. e) GDPR.

Doby uchovávání podle kategorií údajů jsou tyto: údaje Členů ve věrnostním programu po dobu trvání smlouvy se Zákazníkem, poté 30 dnů na export a výmaz nebo anonymizace nejpozději do 90 dnů od zániku smlouvy, a pokud Zákazník udělí výslovný zdokumentovaný pokyn podle bodu 6.2, uchování v neaktivním stavu za účelem obnovení služby nejvýše 12 měsíců od zániku smlouvy; údaje po zániku členství výmaz nebo anonymizace nejpozději do 90 dnů od zániku; technický otisk zařízení podle bodu 8.3 nejvýše 90 dnů od registrace přes doporučovací odkaz; fakturační a účetní doklady Zákazníků 10 let podle § 35 odst. 3 zákona č. 431/2002 Z. z.; záznamy o odvolání souhlasu s marketingovou komunikací nebo o námitce proti ní a o jejich potvrzení 4 roky od odvolání nebo od námitky, jak to vyžaduje § 116 odst. 5 a odst. 6 zákona č. 452/2021 Z. z.; ostatní záznamy o uděleném a odvolaném souhlasu 3 roky od odvolání souhlasu nebo od zániku členství; analytické údaje o návštěvnosti webových stránek 14 měsíců s obnovením při další aktivitě; záznamy o odeslaných notifikacích bez vazby na konkrétního Člena 4 roky (§ 397 Obchodného zákonníka); kontaktní seznamy nahrané do reklamních platforem 540 dnů; údaje kupujícího a obdarovaného u dárkového poukazu do jeho aktivace 3 roky od koupě; auditní záznamy o přístupu podpory do konta Zákazníka trvale; serverové a bezpečnostní záznamy o požadavcích 7 dnů, záznamy bezpečnostního firewallu 14 dnů a záznamy o přístupu na úrovni sítě a úložiště a technické záznamy zpracování nejvýše 30 dnů. Zálohy databáze uchováváme hodinové 1 den, denní 7 dnů, týdenní 4 týdny a měsíční 6 měsíců, s obnovou k přesnému okamžiku v okně jednoho dne.

V souladu s GDPR máte právo na přístup k údajům (čl. 15), jejich opravu (čl. 16), vymazání (čl. 17), omezení zpracování (čl. 18), přenositelnost údajů (čl. 20), právo vznést námitku (čl. 21) a právo nebýt předmětem rozhodnutí založeného výlučně na automatizovaném zpracování (čl. 22). Tato práva můžete uplatnit na support@vexioncards.one . Pokud se vaše žádost týká údajů, u kterých jsme zpracovatelem, postoupíme ji nebo poskytneme součinnost příslušnému správci. Ve věcech ochrany osobních údajů nás můžete kontaktovat na support@vexioncards.one. Máte také právo podat stížnost Úradu na ochranu osobných údajov Slovenskej republiky, Hraničná 12, 820 07 Bratislava, www.dataprotection.gov.sk . Máte také právo kdykoli odvolat udělený souhlas s účinky do budoucna. Na žádost odpovíme do jednoho měsíce. Pokud máte pobyt v jiném členském státě, můžete se obrátit i na dozorový úřad svého státu.

Žádost pošlete na support@vexioncards.one. Pokud jste Členem věrnostního klubu, žádost můžete poslat i přímo obchodníkovi, jehož kartu používáte; jiné rozhraní ani přihlášení pro členy neexistuje, karta v digitální peněžence je jediné rozhraní. Pokud vás nedokážeme spolehlivě identifikovat, můžeme si vyžádat doplňující informace; jiné údaje k tomuto účelu neshromažďujeme.

Marketingové zprávy obchodníka se k členovi dostávají jako upozornění z věrnostní karty v digitální peněžence. Přijímání těchto zpráv je součástí členství ve věrnostním programu. U členů, kteří se zaregistrovali ode dne účinnosti Spotřebitelských podmínek, se opírá o souhlas udělený přijetím těchto podmínek při registraci. U členů, kteří se zaregistrovali před tímto dnem, se opírá o § 116 odst. 15 zákona č. 452/2021 Z. z. o elektronických komunikáciách, tedy o přímý marketing vlastního obdobného zboží a služeb obchodníka, u kterého se členem stali, se stejnými bezplatnými způsoby odmítnutí. Každá marketingová zpráva uvádí totožnost obchodníka, který ji posílá. Zasílání může člen kdykoli a bezplatně ukončit: vypnutím upozornění v nastavení svého telefonu pro Apple Wallet nebo Google Wallet, případně u samotné karty, nebo e-mailem obchodníkovi nebo na support@vexioncards.one. Zprávy, které obchodník posílá ze svého rezervačního, pokladního nebo jiného propojeného systému, řídí tento systém; námitku vůči nim postoupíme obchodníkovi, který ji vyřídí ve svém systému, a vypnutí upozornění v telefonu zastaví i tyto zprávy. Námitku nebo odvolání, které se k nám dostane e-mailem, zaznamenáme, prokazatelně je potvrdíme nejpozději do 30 dnů a záznam o něm uchováváme čtyři roky, jak to vyžaduje § 116 odst. 5 a odst. 6 téhož zákona. Členům, kteří se zaregistrovali před dnem účinnosti Spotřebitelských podmínek, posílá obchodník marketingové zprávy podle § 116 odst. 15 nejpozději do jednoho roku od zániku jejich členství, jak to vyžaduje § 116 odst. 16 téhož zákona. Ukončení zasílání nemá vliv na členství ve věrnostním klubu ani na sbírání bodů.

V tomto článku najdete informace o cookies a podobných technologiích, které používáme, o jejich kategoriích a o tom, jak spravovat svá nastavení souhlasu; samostatný dokument o cookies nevydáváme. Na webových stránkách vexioncards.one používáme nezbytné cookies potřebné k chodu stránky, analytické cookies k měření návštěvnosti a marketingové cookies k měření účinnosti naší reklamy. Analytické a marketingové cookies se načítají až po vaší volbě v cookie liště; nezbytné cookies se spouštějí na základě zákonné výjimky podle § 109 odst. 8 zákona č. 452/2021 Z. z. o elektronických komunikáciách, jelikož jde o technické uložení nebo přístup výlučně nezbytný k poskytnutí Služby, kterou jste si výslovně vyžádali; související zpracování osobních údajů je založeno na našem oprávněném zájmu na fungování stránky.

Volba z cookie lišty na webu vexioncards.one platí i pro přihlášení a prostředí pro obchodníky, protože běží na téže doméně. Na zákaznických stránkách (registrace karty, dárkové poukazy) používáme jen technicky nezbytné uložení k chodu stránky a vlastní analytické měření používání stránky ke zlepšování Služby, které neukládá do zařízení žádné cookies ani identifikátor a nezaznamenává zadávané údaje; jeho právním základem je náš oprávněný zájem na provozu a zlepšování Služby a můžete proti němu vznést námitku. Toto měření neukládá do vašeho zařízení cookies ani jiné údaje, nenahrává průběh vaší návštěvy a nesbírá charakteristiky vašeho zařízení nad rámec toho, co prohlížeč posílá při každém požadavku. Serverové a bezpečnostní záznamy o požadavcích na naše systémy, které mohou obsahovat IP adresu a údaje o prohlížeči, uchováváme 7 dnů, záznamy bezpečnostního firewallu 14 dnů a záznamy o přístupu na úrovni sítě a úložiště a technické záznamy zpracování nejvýše 30 dnů; slouží výlučně k zabezpečení a odstraňování poruch na základě oprávněného zájmu.

Při registraci přes doporučovací odkaz vypočítáme z technických vlastností vašeho zařízení (typ prohlížeče, jazyk, rozlišení, časové pásmo a technické parametry zařízení, nikoli obsah obrazovky) technický otisk, který ukládáme po částech v zahašované podobě a porovnáváme jen s otisky dalších osob doporučených týmž členem, abychom odhalili zneužití doporučovacího programu. Ke stejnému účelu můžeme porovnat technický identifikátor instalace karty v Apple Wallet, který již zpracováváme pro doručování aktualizací karty. Jde o přístup nezbytně nutný k poskytnutí funkce, kterou jste si vyžádali, podle § 109 odst. 8 zákona č. 452/2021 Z. z.; právním základem posouzení je oprávněný zájem Obchodníka a Poskytovatele na ochraně před podvodem. Otisk uchováváme nejvýše 90 dnů od registrace a při běžné registraci bez doporučení jej nesbíráme.

V aplikaci pro obchodníky zaznamenáváme průběh relace (pohyb kurzoru, kliknutí, zobrazený obsah stránky a technické záznamy z konzole prohlížeče) za účelem odstraňování chyb a zlepšování použitelnosti. Hodnoty zadané do formulářových polí se nezaznamenávají. Záznamy uchováváme 30 dnů a na zákaznických stránkách je nahrávání vypnuté.

Tyto Zásady můžeme průběžně aktualizovat. O podstatných změnách vás budeme informovat vhodným způsobem (např. e-mailem nebo oznámením na webových stránkách) před nabytím jejich účinnosti. Verze 1.0, účinná od 29. 10. 2026. Předchozí verze zpřístupníme na požádání.