Ochrana osobních údajů

Shrnutí

Toto shrnutí slouží pro rychlou orientaci; podrobnosti najdete v jednotlivých článcích.

• Osobní údaje zpracováváme hlavně proto, abychom mohli vyřídit a doručit vaši objednávku.
• Údaje příjemce kytice používáme jen k doručení a k vyřízení případné reklamace, nikdy k marketingu. Text přáníčka, telefon příjemce a poznámku pro kurýra mažeme 90 dní po doručení.
• Analytické a marketingové cookies používáme jen s vaším souhlasem, který můžete kdykoli změnit.
• Údaje neprodáváme. Předáváme je jen v nezbytném rozsahu firmám, které nám pomáhají s provozem (doručení, platby, e-maily, hosting, fakturace), s vaším souhlasem reklamním platformám Google a Meta a úřadům, pokud to ukládá zákon.
• Máte právo na přístup ke svým údajům, jejich opravu, výmaz a další práva. Napište nám na mersiflowers@gmail.com.

1. Správce a kontakt

1.1Správcem osobních údajů je společnost Mersi Flowers s.r.o., se sídlem Volutová 2523/14, Stodůlky, 158 00 Praha 5, IČO 17771919, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze, oddíl C, vložka 376388 (dále jen „správce“ nebo „my“).

1.2Ve věcech ochrany osobních údajů nás kontaktujte e-mailem na mersiflowers@gmail.com, telefonicky na +420 777 002 196 nebo dopisem na adresu prodejny Slavíkova 9, 130 00 Praha 3.

1.3Pověřence pro ochranu osobních údajů jsme nejmenovali, protože nám tato povinnost podle čl. 37 nařízení Evropského parlamentu a Rady (EU) 2016/679, obecného nařízení o ochraně osobních údajů (dále jen „GDPR“), nevzniká.

2. Jaké údaje zpracováváme a odkud je máme

2.1Údaje kupujícího, které nám poskytnete při objednávce nebo v zákaznickém účtu: jméno, e-mail, telefon, doručovací a fakturační adresa, obsah a cena objednávek, záznamy o přihlášení do účtu, stav platby (bez údajů o platební kartě), předplatné, věrnostní body a vaše zprávy.

2.2Údaje firemního kupujícího: název firmy, IČO, DIČ, sídlo a jméno kontaktní osoby.

2.3Údaje příjemce, které nám poskytnete vy jako kupující: jméno, telefon a adresa příjemce, text na přáníčko, údaj o tom, zda si přejete zůstat v anonymitě a zda máme příjemci předem volat. Údaje příjemce tedy nezískáváme přímo od něj; více v článku 5.

2.4Údaje z návštěvy webu: IP adresa, typ zařízení a prohlížeče, identifikátory cookies, navštívené stránky a události na webu (například přidání do košíku). Analytické a marketingové údaje získáváme jen s vaším souhlasem (článek 9).

2.5Poskytnutí údajů pro objednávku je smluvním požadavkem. Bez jména, kontaktu a doručovací adresy objednávku nemůžeme vyřídit. Poskytnutí ostatních údajů je dobrovolné.

3. Účely, právní základy a doba uložení

Vyřízení objednávky a doručení

• Údaje: údaje kupujícího a příjemce, obsah objednávky, termín doručení, stav platby.
• Právní základ: plnění smlouvy (čl. 6 odst. 1 písm. b) GDPR); u údajů příjemce náš oprávněný zájem na doručení objednaného daru (čl. 6 odst. 1 písm. f) GDPR).
• Doba uložení: po dobu vyřizování objednávky a dále 4 roky od jejího splnění kvůli možným nárokům ze smlouvy (tříletá promlčecí lhůta a rok na doručení případné žaloby; oprávněný zájem podle čl. 6 odst. 1 písm. f) GDPR). Text přáníčka, telefon příjemce a poznámku pro kurýra mažeme 90 dní po termínu doručení.

Účetnictví a daně

• Údaje: údaje na daňových dokladech (jméno nebo název, adresa, IČO, DIČ, zboží, cena).
• Právní základ: plnění právní povinnosti (čl. 6 odst. 1 písm. c) GDPR) podle zákona o účetnictví a zákona o DPH.
• Doba uložení: 10 let od konce zdaňovacího období, ve kterém byl doklad vystaven.

Reklamace a stížnosti

• Údaje: údaje objednávky, popis vady, fotografie, komunikace a způsob vyřízení.
• Právní základ: vyřízení reklamace je plněním právní povinnosti (čl. 6 odst. 1 písm. c) GDPR, občanský zákoník a zákon o ochraně spotřebitele); následné uchování záznamů je naším oprávněným zájmem na prokázání řádného vyřízení (čl. 6 odst. 1 písm. f) GDPR).
• Doba uložení: 4 roky od vyřízení reklamace.

Zákaznický účet a věrnostní program

• Údaje: e-mail, jméno, telefon, historie objednávek, předplatné, stav a pohyby věrnostních bodů.
• Právní základ: plnění smlouvy (čl. 6 odst. 1 písm. b) GDPR).
• Doba uložení: po dobu existence účtu, dokud nepožádáte o jeho zrušení. Údaje o objednávkách uchováváme podle předchozích odstavců.

Předplatné

• Údaje: údaje předplatitele a příjemce, zvolená úroveň, den a okno závozu, historie plateb a závozů.
• Právní základ: plnění smlouvy (čl. 6 odst. 1 písm. b) GDPR).
• Doba uložení: po dobu trvání předplatného a 4 roky po jeho skončení.

Komunikace s vámi

• Údaje: kontaktní údaje a obsah zpráv zaslaných e-mailem, telefonicky, přes WhatsApp, zprávou na Instagramu nebo poptávkovým formulářem na stránce Květiny pro firmy (jméno, firma, IČO, e-mail, telefon, popis poptávky).
• Právní základ: plnění smlouvy nebo jednání o ní (čl. 6 odst. 1 písm. b) GDPR), jinak náš oprávněný zájem odpovídat na dotazy (čl. 6 odst. 1 písm. f) GDPR).
• Doba uložení: 1 rok od vyřízení dotazu; týká-li se objednávky, po dobu uchování objednávky.

Obchodní sdělení

• Údaje: e-mail, jméno, případně historie nákupů.
• Právní základ: váš souhlas udělený zaškrtnutím políčka v objednávce nebo při přihlášení k odběru (čl. 6 odst. 1 písm. a) GDPR a § 7 odst. 2 zákona č. 480/2004 Sb.). Souhlas můžete kdykoli odvolat odkazem v každém e-mailu nebo e-mailem na mersiflowers@gmail.com.
• Doba uložení: do odvolání souhlasu. Záznam o udělení a odvolání souhlasu uchováváme 4 roky od odvolání kvůli prokázání (čl. 6 odst. 1 písm. f) GDPR).

Objednávky přes Instagram

• Údaje: uživatelské jméno na Instagramu a údaje, které nám ve zprávě pošlete k objednávce (jméno, kontakt, údaje příjemce, termín, text přáníčka).
• Právní základ: plnění smlouvy nebo jednání o ní (čl. 6 odst. 1 písm. b) GDPR).
• Doba uložení: údaje objednávky zpracujeme stejně jako u objednávky z webu. Samotnou konverzaci na Instagramu mažeme nejpozději 1 rok po vyřízení objednávky. Zprávy prochází přes službu Instagram, kterou provozuje Meta Platforms Ireland Ltd.

Kamerový systém v prodejně

• Údaje: obrazový záznam osob, které vstoupí do prodejny Slavíkova 9. Záznam nepořizuje zvuk. Na kamerový systém upozorňuje informační tabulka u vstupu.
• Právní základ: náš oprávněný zájem na ochraně majetku, zdraví a bezpečnosti zákazníků i zaměstnanců (čl. 6 odst. 1 písm. f) GDPR).
• Doba uložení: 7 dní, poté se záznam automaticky přemaže. Déle záznam uchováme jen tehdy, pokud je potřeba k vyšetření konkrétní události; v takovém případě jej můžeme předat Policii ČR nebo pojišťovně.

Bezpečnost webu a prevence zneužití

• Údaje: IP adresa, údaje o přihlášení, technické záznamy serveru.
• Právní základ: náš oprávněný zájem na zabezpečení webu a ochraně před podvody (čl. 6 odst. 1 písm. f) GDPR).
• Doba uložení: 90 dní, déle jen při řešení bezpečnostního incidentu.

Měření návštěvnosti

• Údaje: identifikátory cookies, údaje o zařízení, navštívené stránky a události, přibližná poloha odvozená z IP adresy.
• Právní základ: váš souhlas (čl. 6 odst. 1 písm. a) GDPR a § 89 odst. 3 zákona č. 127/2005 Sb.).
• Doba uložení: cookies podle článku 9; údaje v Google Analytics uchováváme 14 měsíců.

Reklama a měření účinnosti reklam

• Údaje: identifikátory cookies a prokliků z reklam, události na webu. Při dokončení objednávky také e-mail a telefon v zahashované podobě (SHA-256), aby Google a Meta mohli přiřadit nákup k reklamě. Zahashovaný údaj je stále osobním údajem.
• Právní základ: váš souhlas s marketingovými cookies (čl. 6 odst. 1 písm. a) GDPR a § 89 odst. 3 zákona č. 127/2005 Sb.).
• Doba uložení: cookies podle článku 9; u Google a Meta podle jejich zásad.

Zobrazení recenzí

• Údaje: jméno nebo přezdívka autora recenze, text a hodnocení, zdroj (Google, Instagram, zpráva zákazníka).
• Právní základ: u veřejných recenzí na Google a Instagramu náš oprávněný zájem informovat zákazníky o zkušenostech jiných (čl. 6 odst. 1 písm. f) GDPR); u recenzí ze soukromých zpráv váš souhlas (čl. 6 odst. 1 písm. a) GDPR).
• Doba uložení: po dobu zobrazení na webu; na žádost autora recenzi bez zbytečného odkladu odstraníme nebo anonymizujeme.

Uplatnění a obhajoba právních nároků

• Údaje: údaje potřebné k prokázání nároku z výše uvedených kategorií.
• Právní základ: náš oprávněný zájem (čl. 6 odst. 1 písm. f) GDPR).
• Doba uložení: po dobu promlčecí lhůty a trvání případného sporu.

4. Automatizované rozhodování a profilování

4.1Neprovádíme automatizované rozhodování, které by pro vás mělo právní účinky nebo se vás obdobně významně dotýkalo.

4.2Udělíte-li souhlas s marketingovými cookies, mohou Google a Meta na základě vašeho chování na webu zobrazovat reklamy přizpůsobené vašim zájmům.

5. Údaje příjemce dárku

5.1Objednáte-li kytici pro jinou osobu, poskytujete nám její jméno, telefon, adresu a případně text přáníčka. Tyto údaje používáme k přípravě a doručení objednávky a ke kontaktu s příjemcem při doručení. Jméno a adresu příjemce poté uchováváme jen jako součást záznamu o objednávce pro případné reklamace a nároky ze smlouvy (článek 3).

5.2Údaje příjemce nepoužíváme k marketingu, nepředáváme je reklamním platformám a nezahrnujeme je do analytiky.

5.3Text přáníčka, telefon příjemce a poznámku pro kurýra mažeme 90 dní po termínu doručení. Jméno a adresu příjemce uchováváme jako součást objednávky podle článku 3.

5.4Přejete-li si zůstat v anonymitě, příjemci vaše jméno nesdělíme, ledaže by nám to ukládal zákon.

5.5Prosíme kupující, aby údaje příjemce poskytovali jen tehdy, když lze předpokládat, že příjemce nebude mít proti doručení dárku námitky. Příjemce může svá práva podle článku 10 uplatnit přímo u nás. Příjemce o zpracování neinformujeme zvlášť předem, protože by to zmařilo účel dárku a vyžadovalo nepřiměřené úsilí (čl. 14 odst. 5 písm. b) GDPR); tyto zásady jsou proto veřejně dostupné.

6. Komu údaje předáváme

6.1Osobní údaje neprodáváme. Předáváme je jen v nezbytném rozsahu těmto příjemcům:

• poskytovatel hostingu a serverů (servery v EU), na kterých běží web a databáze – zpracovatel;
• Stripe Payments Europe, Ltd., Irsko – zpracování plateb; pro prevenci podvodů a plnění svých zákonných povinností vystupuje Stripe jako samostatný správce;
• poskytovatel odesílání e-mailů – doručení potvrzení objednávek a dalších e-mailů, zpracovatel;
• Seznam.cz, a.s. (Mapy.cz) – našeptávání adres v pokladně; předáváme pouze zadaný text adresy, nikoli údaje o vás;
• Google Ireland Ltd. – Google Tag Manager, Google Analytics a Google Ads, jen s vaším souhlasem;
• Meta Platforms Ireland Ltd. – Meta Pixel a Conversions API, jen s vaším souhlasem (viz článek 8);
• kurýrní služba Foodora – doručení kytic, zpracovatel (viz odstavec 6.2);
• WhatsApp Ireland Ltd. a Meta Platforms Ireland Ltd. (Instagram) – pokud nás kontaktujete přes WhatsApp nebo zprávou na Instagramu;
• účetní a daňový poradce – vedení účetnictví;
• orgány veřejné moci (například finanční úřad, soudy, Policie ČR), pokud nám to ukládá zákon.

6.2Kytice doručují kurýři služby Foodora. Kurýrní službě předáváme jen údaje nutné k doručení: jméno a telefon příjemce, adresu, termín a poznámku pro kurýra. Údaje kupujícího ani text přáníčka kurýrní službě nepředáváme.

6.3Se všemi zpracovateli máme uzavřenou smlouvu o zpracování osobních údajů podle čl. 28 GDPR.

7. Předávání údajů mimo EU

7.1Někteří příjemci (Google, Meta, Stripe, případně poskytovatel e-mailů) mohou údaje předávat do USA. Předání se opírá o rozhodnutí Evropské komise o odpovídající ochraně údajů v rámci EU-US Data Privacy Framework (čl. 45 GDPR) a podpůrně o standardní smluvní doložky schválené Evropskou komisí (čl. 46 odst. 2 písm. c) GDPR).

8. Společné správcovství s Metou

8.1Používáme-li s vaším souhlasem Meta Pixel a Conversions API, jsme při shromažďování a předávání údajů o vaší návštěvě a nákupu společnými správci se společností Meta Platforms Ireland Ltd., Merrion Road, Dublin 4, D04 X2K5, Irsko (čl. 26 GDPR). Podstatné části ujednání o společném správcovství jsou dostupné na facebook.com/legal/controller_addendum.

8.2Za informování o tomto zpracování a za získání souhlasu odpovídáme my; za další zpracování údajů odpovídá Meta podle svých zásad ochrany osobních údajů. Svá práva můžete uplatnit u nás i u společnosti Meta.

8.3Provozujeme také profil Mersi Flowers na Instagramu. Pro statistiky návštěvnosti profilu (Page Insights) jsme s Meta rovněž společnými správci; podstatu ujednání najdete na facebook.com/legal/terms/page_controller_addendum.

9. Cookies a podobné technologie

9.1Cookies jsou malé soubory, které web ukládá do vašeho prohlížeče. Podobně používáme také místní úložiště prohlížeče (localStorage). Nezbytné cookies a úložiště používáme vždy, protože bez nich web nefunguje. Analytické a marketingové cookies používáme jen s vaším souhlasem.

9.2Souhlas udělujete nebo odmítáte v cookie liště při první návštěvě. Svou volbu můžete kdykoli změnit odkazem „Nastavení cookies“ v patičce webu; odvolání je stejně snadné jako udělení. Po odmítnutí se lišta znovu zobrazí nejdříve za 6 měsíců.

9.3Nástroje Google a Meta se na webu načtou až po udělení souhlasu (Google Consent Mode v režimu „basic“). Bez souhlasu jim neodesíláme žádné údaje.

Nezbytné cookies a úložiště

• mersi_consent (Mersi Flowers): uložení vaší volby cookies, 6 měsíců.
• mersi_customer (Mersi Flowers): přihlášení do zákaznického účtu, 30 dní.
• payload-token (Mersi Flowers): přihlášení pracovníků do administrace, 2 hodiny.
• __stripe_mid, __stripe_sid (Stripe): zabezpečení platby a prevence podvodů, 1 rok a 30 minut.
• mersi.cart.v1, mersi.favorites.v1 (localStorage): obsah košíku a oblíbené kytice, do smazání v prohlížeči.
• mersi.checkout.v1, mersi.subscription.v1 (localStorage): rozpracovaná objednávka včetně údajů příjemce, aby se vám neztratila při obnovení stránky; po dokončení objednávky ji smažeme; neodešlete-li objednávku, po 7 dnech ji již nepoužijeme a smažeme ji při vaší další návštěvě webu.

Analytické cookies (jen se souhlasem)

• _ga, _ga_* (Google Analytics): rozlišení návštěvníků a relací pro statistiky návštěvnosti, 2 roky.

Marketingové cookies (jen se souhlasem)

• _gcl_au, _gcl_aw (Google Ads): měření konverzí z reklam, 90 dní.
• _fbp, _fbc (Meta): měření účinnosti a cílení reklam na Facebooku a Instagramu, 90 dní.
• Cookies třetích stran na doménách Google a Meta: doba podle poskytovatele.

10. Vaše práva

10.1V souvislosti se zpracováním osobních údajů máte tato práva:

• právo na přístup ke svým osobním údajům a na kopii údajů (čl. 15 GDPR);
• právo na opravu nepřesných údajů (čl. 16 GDPR);
• právo na výmaz, zejména pokud údaje již nepotřebujeme, odvoláte souhlas, úspěšně vznesete námitku nebo je zpracováváme protiprávně (čl. 17 GDPR);
• právo na omezení zpracování (čl. 18 GDPR);
• právo na přenositelnost údajů zpracovávaných na základě smlouvy nebo souhlasu (čl. 20 GDPR);
• právo odvolat souhlas kdykoli, aniž by tím byla dotčena zákonnost zpracování před jeho odvoláním (čl. 7 odst. 3 GDPR).

10.2Právo vznést námitku. Proti zpracování na základě našeho oprávněného zájmu můžete kdykoli vznést námitku (čl. 21 GDPR). Vznesete-li námitku proti zpracování pro účely přímého marketingu, údaje k tomuto účelu již nebudeme zpracovávat. Z obchodních sdělení se můžete kdykoli odhlásit také odkazem v každém e-mailu.

10.3Svá práva uplatněte e-mailem na mersiflowers@gmail.com nebo dopisem. Žádost vyřídíme bezplatně bez zbytečného odkladu, nejpozději do jednoho měsíce; ve složitých případech můžeme lhůtu prodloužit o další dva měsíce, o čemž vás budeme informovat. Abychom údaje neposkytli nepovolané osobě, můžeme vás požádat o ověření totožnosti.

10.4Máte-li za to, že zpracováním porušujeme právní předpisy, můžete podat stížnost u Úřadu pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, uoou.gov.cz.

11. Zabezpečení údajů

11.1Údaje chráníme přiměřenými technickými a organizačními opatřeními: šifrovaným přenosem (HTTPS), přihlašováním do účtu jednorázovým odkazem bez ukládání hesel, omezeným přístupem pracovníků, pravidelným zálohováním a smlouvami se zpracovateli. Údaje o platebních kartách neukládáme.

12. Změny zásad

12.1Tyto zásady můžeme aktualizovat, zejména při změně používaných služeb nebo právních předpisů. Aktuální znění je vždy zveřejněno na této stránce s datem účinnosti. O podstatných změnách vás budeme informovat e-mailem nebo na webu.