Політика конфіденційності

(Проєкт, підготовлений за типовими зразками чеських e-shopів — перед запуском дайте на перевірку вашому бухгалтеру/юристу.)

Політика конфіденційності (захист персональних даних)

Цей текст є перекладом. Юридично обов'язковою є чеська версія цього документа.

Стаття I. Загальні положення

1. Контролером персональних даних згідно зі ст. 4 п. 7 Регламенту Європейського парламенту і Ради (ЄС) 2016/679 про захист фізичних осіб у зв'язку з обробкою персональних даних та про вільний рух таких даних (далі — «GDPR») є компанія [NÁZEV SPOLEČNOSTI s.r.o.], IČO: [DOPLNIT], DIČ: [DOPLNIT], з місцезнаходженням [ADRESA], зареєстрована в торговому реєстрі [SPISOVÁ ZNAČKA] (далі — «контролер»).
2. Контактні дані контролера з питань захисту персональних даних: e-mail [E-MAIL], підтримка в Telegram @7drinks_support, поштова адреса [ADRESA].
3. Контролер керує інтернет-магазином 7-drinks.com (далі — «e-shop»), що продає напої, снеки, солодощі, консерви, побутову хімію та паперові товари споживачам у Чеській Республіці.
4. Контролер не призначав уповноваженого із захисту персональних даних (DPO).
5. Персональними даними є будь-яка інформація про ідентифіковану або ідентифіковану фізичну особу.

Стаття II. Обсяг оброблюваних персональних даних

1. Контролер обробляє персональні дані, які покупець надав сам, а також дані, отримані під час виконання замовлення, зокрема:
   • ідентифікаційні дані — ім'я та прізвище, за наявності — дані для входу в обліковий запис;
   • контактні дані — адреса електронної пошти, номер телефону;
   • дані доставки — адреса доставки, обране відділення видачі (Zásilkovna), часовий інтервал кур'єрської доставки;
   • дані про замовлення — історія замовлень, вміст кошика, обраний спосіб доставки та оплати, дані для рахунку;
   • платіжні дані — статус оплати (сплачено/не сплачено), ідентифікатор транзакції;
   • технічні дані — IP-адреса, дані з cookies в обсязі, зазначеному у статті VII.
2. Контролер не обробляє та не зберігає номери платіжних карток. Дані картки покупець вводить безпосередньо в захищеному середовищі платіжного шлюзу GoPay; контролер отримує лише інформацію про результат оплати.
3. Надання персональних даних, необхідних для виконання замовлення, є договірною вимогою; без них неможливо укласти та доставити замовлення.

Стаття III. Цілі та правові підстави обробки

1. Контролер обробляє персональні дані для таких цілей та на таких правових підставах:
   • виконання договору купівлі-продажу (ст. 6 абз. 1 літ. b) GDPR) — обробка та доставка замовлення, комунікація щодо замовлення, ведення облікового запису, розгляд рекламацій;
   • виконання юридичних обов'язків (ст. 6 абз. 1 літ. c) GDPR) — зокрема виставлення та зберігання податкових документів згідно із законом про ПДВ і бухгалтерськими нормами протягом 10 років;
   • законний інтерес контролера (ст. 6 абз. 1 літ. f) GDPR) — встановлення, здійснення або захист правових вимог контролера (наприклад, протягом строків позовної давності), запобігання шахрайству та забезпечення безпеки e-shopу; доцільна пряма комунікація з наявними клієнтами;
   • згода (ст. 6 абз. 1 літ. a) GDPR) — розсилання комерційних повідомлень (newsletter) особам, які не є клієнтами, та збереження аналітичних cookies. Згоду можна будь-коли відкликати.
2. Контролер не здійснює автоматизованого індивідуального прийняття рішень у розумінні ст. 22 GDPR та профілювання з правовими наслідками для суб'єкта даних.

Стаття IV. Отримувачі персональних даних (оператори-обробники)

1. Отримувачами персональних даних є особи, що беруть участь у доставці товару, здійсненні платежів та забезпеченні роботи e-shopу, зокрема:
   • провайдер хостингу та технічного обслуговування e-shopу — [NÁZEV POSKYTOVATELE HOSTINGU];
   • перевізники та мережі видачі — Zásilkovna s.r.o. та PPL CZ s.r.o. (ім'я, телефон, e-mail і адреса доставки в обсязі, необхідному для доставки відправлення);
   • оператор платіжного шлюзу — GoPay s.r.o. (обробка онлайн-платежів карткою; дані картки обробляє виключно GoPay);
   • зовнішній бухгалтер/податковий консультант — [NÁZEV ÚČETNÍ FIRMY] (дані рахунків в обсязі, необхідному для ведення бухгалтерії);
   • власна кур'єрська служба контролера для доставки по Празі.
2. Контролер не передає персональні дані до третіх країн поза межами Європейського Союзу / Європейського економічного простору та міжнародним організаціям. Якщо в майбутньому така передача відбуватиметься (наприклад, у межах аналітичних інструментів), вона здійснюватиметься лише із забезпеченням належних гарантій згідно з розділом V GDPR.
3. З усіма обробниками контролер уклав договори про обробку персональних даних, які гарантують захист даних щонайменше на рівні, що вимагається GDPR.

Стаття V. Строки зберігання персональних даних

1. Контролер зберігає персональні дані:
   • протягом часу, необхідного для здійснення прав та обов'язків за договором купівлі-продажу та для пред'явлення вимог за ним (протягом 3 років після закінчення договірних відносин, відповідно протягом строків позовної давності);
   • податкові документи та бухгалтерські записи — протягом 10 років з кінця податкового періоду, в якому відбулася операція, згідно із законом про ПДВ;
   • дані, оброблювані на підставі згоди (newsletter, аналітичні cookies) — протягом дії згоди, щонайдовше до її відкликання;
   • дані облікового запису — протягом існування облікового запису; обліковий запис можна будь-коли скасувати за запитом.
2. Після закінчення строку зберігання контролер видаляє або анонімізує персональні дані.

Стаття VI. Права суб'єкта даних

1. За умов, визначених GDPR, ви маєте:
   • право на доступ до своїх персональних даних (ст. 15 GDPR);
   • право на виправлення неточних чи доповнення неповних даних (ст. 16 GDPR);
   • право на видалення («право бути забутим», ст. 17 GDPR), якщо цьому не перешкоджає законний обов'язок зберігання;
   • право на обмеження обробки (ст. 18 GDPR);
   • право на перенесення даних (ст. 20 GDPR);
   • право на заперечення проти обробки на підставі законного інтересу, включно з прямим маркетингом (ст. 21 GDPR);
   • право будь-коли відкликати згоду на обробку, що не впливає на законність обробки до її відкликання.
2. Свої права можна реалізувати електронною поштою на [E-MAIL] або письмово на адресу місцезнаходження контролера. Контролер розгляне запит без зайвої затримки, не пізніше ніж протягом одного місяця з дня його отримання.
3. Ви також маєте право подати скаргу до наглядового органу — Úřad pro ochranu osobních údajů (Управління із захисту персональних даних), Pplk. Sochora 27, 170 00 Praha 7, www.uoou.cz, якщо вважаєте, що обробкою ваших персональних даних порушено GDPR.

Стаття VII. Cookies

1. E-shop використовує файли cookies — невеликі текстові файли, що зберігаються на пристрої відвідувача.
2. Технічні (необхідні) cookies потрібні для базової роботи e-shopу (кошик, вхід до облікового запису, вибір мови та валюти, оформлення замовлення). Такі cookies зберігаються на підставі законного інтересу контролера і не потребують згоди.
3. Аналітичні cookies служать для вимірювання відвідуваності та вдосконалення e-shopу ([NÁZEV ANALYTICKÉHO NÁSTROJE, напр. Google Analytics]). Такі cookies зберігаються лише на підставі вашої згоди, наданої через cookie-панель; згоду можна будь-коли змінити чи відкликати в налаштуваннях cookies на сайті.
4. Збереження cookies також можна обмежити або заборонити в налаштуваннях вашого браузера; у такому разі деякі функції e-shopу можуть працювати некоректно.

Стаття VIII. Безпека персональних даних

1. Контролер вжив належних технічних та організаційних заходів для захисту персональних даних, зокрема шифрування передачі даних (HTTPS/SSL), захист сховищ даних та обмеження доступу до персональних даних лише уповноваженими особами.
2. Контролер заявляє, що доступ до персональних даних мають лише уповноважені ним особи, зобов'язані зберігати конфіденційність.

Стаття IX. Прикінцеві положення

1. Надсилаючи замовлення через форму замовлення в інтернеті, покупець підтверджує, що ознайомився з цією політикою конфіденційності.
2. Контролер має право змінювати цю політику. Нову версію буде опубліковано на сторінках e-shopу.
3. Ця політика набирає чинності з [DATUM].