Ochrana osobních údajů

podle článků 12 až 14 Nařízení Evropského parlamentu a Rady (EU) 2016/679 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (obecné nařízení o ochraně osobních údajů – GDPR) a podle zákona č. 110/2019 Sb., o zpracování osobních údajů.

Tyto Zásady zpracování osobních údajů (dále jen „Zásady“) obsahují informace o zpracování osobních údajů fyzických osob v souladu s články 12 až 14 GDPR a příslušnými právními předpisy České republiky.

Zásady poskytují informace zejména o:

rozsahu zpracovávaných osobních údajů,
účelech a právních základech jejich zpracování,
kategoriích příjemců osobních údajů,
době uchovávání osobních údajů,
právech subjektů údajů.

Tyto Zásady se vztahují na zpracování osobních údajů fyzických osob, které:

navštěvují webové stránky správce,
registrují se nebo se přihlašují do uživatelského účtu,
využívají online platformu learn.bexpera.com,
zakoupí nebo využívají digitální obsah (online kurzy),
komunikují se správcem elektronickými prostředky.

Zásady jsou vypracovány v souladu s právním řádem České republiky a právem Evropské unie.

1.1. Správcem osobních údajů ve smyslu článku 4 bodu 7 Nařízení Evropského parlamentu a Rady (EU) 2016/679 (dále jen „GDPR“) je:

Obchodní firma: match them s.r.o.
IČO: 08271046
Sídlo: K lánu 561/8, Vokovice, 160 00 Praha 6, Česká republika
E-mail: hello@bexpera.com (dále jen „Správce“).

1.2. Správce zpracovává osobní údaje v souvislosti s provozem online platformy learn.bexpera.com, zejména při registraci uživatelských účtů, poskytování digitálního obsahu (online kurzů), správě objednávek a zajišťování komunikace se subjekty údajů.

1.3. Správce nejmenoval pověřence pro ochranu osobních údajů (DPO), protože mu tato povinnost nevyplývá z článku 37 GDPR ani ze zvláštních právních předpisů.

1.4. Subjekty údajů mohou Správce kontaktovat ve věcech týkajících se zpracování osobních údajů prostřednictvím e-mailové adresy uvedené v bodě 1.1 tohoto článku.

2.1. Správce zpracovává osobní údaje následujících kategorií subjektů údajů:
a) fyzických osob, které navštěvují webové stránky Správce,
b) fyzických osob, které se registrují nebo přihlašují do uživatelského účtu na Platformě,
c) zákazníků, kteří si zakoupili nebo využívají digitální obsah (online kurzy),
d) fyzických osob, které komunikují se Správcem prostřednictvím elektronických komunikačních prostředků,
e) fyzických osob, které využívají autentizaci prostřednictvím služeb třetích stran.

2.2. Správce zpracovává osobní údaje výhradně v rozsahu nezbytném pro naplnění účelů uvedených v těchto Zásadách a v souladu se zásadou minimalizace osobních údajů podle článku 5 odst. 1 písm. c) GDPR.

2.3. Správce nezpracovává osobní údaje nezletilých osob mladších 16 let, pokud není získán souhlas zákonného zástupce v souladu s článkem 8 GDPR.

3.1. Správce zpracovává osobní údaje v souladu se zásadami zpracování osobních údajů stanovenými v článku 5 GDPR, a to zejména se zásadou:
a) zákonnosti, korektnosti a transparentnosti,
b) účelového omezení,
c) minimalizace údajů,
d) přesnosti,
e) omezení uložení,
f) integrity a důvěrnosti,
g) odpovědnosti.

3.2. Osobní údaje jsou zpracovávány zákonným a korektním způsobem, transparentně a pouze pro předem vymezené, výslovně uvedené a legitimní účely, přičemž nejsou dále zpracovávány způsobem, který by byl s těmito účely neslučitelný.

3.3. Správce zpracovává pouze takové osobní údaje, které jsou přiměřené, relevantní a omezené na nezbytný rozsah vzhledem k účelům, pro které jsou zpracovávány.

3.4. Správce přijímá přiměřená opatření k zajištění toho, aby zpracovávané osobní údaje byly přesné a v případě potřeby aktualizované, přičemž osobní údaje, které jsou nepřesné, jsou bez zbytečného odkladu vymazány nebo opraveny.

3.5. Osobní údaje jsou uchovávány ve formě umožňující identifikaci subjektů údajů pouze po dobu nezbytnou pro dosažení účelů, pro které se osobní údaje zpracovávají, pokud zvláštní právní předpisy nestanoví jinak.

3.6. Správce zpracovává osobní údaje způsobem, který zajišťuje jejich náležité zabezpečení, včetně ochrany před neoprávněným či protiprávním zpracováním a před náhodnou ztrátou, zničením nebo poškozením, a to pomocí vhodných technických a organizačních opatření.

3.7. Správce odpovídá za dodržování zásad zpracování osobních údajů a je schopen toto dodržování kdykoli doložit v souladu se zásadou odpovědnosti podle článku 5 odst. 2 GDPR.

4.1. Poskytnutí osobních údajů ze strany subjektu údajů je dobrovolné a subjekt údajů není povinen poskytnout své osobní údaje nad rámec zákonných povinností Správce.

4.2. Subjekt údajů bere na vědomí, že poskytnutí určitých osobních údajů je nezbytné pro účely vytvoření a správy uživatelského účtu, uzavření a plnění smlouvy o poskytování digitálního obsahu, jakož i pro zpřístupnění Online kurzů prostřednictvím Platformy.

4.3. V případě, že subjekt údajů neposkytne osobní údaje v rozsahu nezbytném pro účely uvedené v bodě 4.2 tohoto článku, Správce nebude schopen zajistit registraci uživatelského účtu, uzavření smluvního vztahu ani zpřístupnění digitálního obsahu, přičemž tím nejsou dotčena ostatní práva subjektu údajů vyplývající z GDPR.

5.1. Správce zpracovává osobní údaje výhradně v rozsahu nezbytném pro splnění účelů zpracování uvedených v těchto Zásadách, v souladu se zásadou minimalizace osobních údajů podle článku 5 odst. 1 písm. c) GDPR.

5.2. V závislosti na konkrétním účelu zpracování a způsobu využívání Platformy mohou být zpracovávány zejména následující kategorie osobních údajů:

5.2.1 Správce zpracovává identifikační a kontaktní údaje subjektů údajů v rozsahu potřebném pro jejich jednoznačnou identifikaci a komunikaci, zejména: jméno a příjmení a e-mailová adresa. Tyto údaje jsou zpracovávány zejména pro účely vytvoření a správy uživatelského účtu, plnění smlouvy o poskytnutí digitálního obsahu a komunikace se subjektem údajů.

5.2.2 Správce zpracovává údaje související s uživatelským účtem, které jsou nezbytné pro zajištění přístupu k Platformě a digitálnímu obsahu, zejména:
a) jedinečný identifikátor uživatelského účtu,
b) způsob registrace nebo přihlášení (standardní registrace nebo autentizace prostřednictvím služeb třetích stran),
c) stav uživatelského účtu (aktivní, pozastavený, zrušený),
d) údaje o přístupech k Online kurzům a o jejich využívání v rozsahu nezbytném pro zajištění funkčnosti Platformy.
Správce nezpracovává přihlašovací údaje (hesla) k účtům vedeným u poskytovatelů autentizačních služeb třetích stran.

5.2.3 Technické a provozní údaje
V souvislosti s provozem Platformy a zajištěním její technické a bezpečnostní funkčnosti Správce zpracovává technické a provozní údaje, zejména:
a) IP adresu zařízení,
b) typ, verzi a jazykové nastavení internetového prohlížeče,
c) typ a operační systém zařízení,
d) datum, čas a rozsah přístupu k Platformě,
e) systémové, bezpečnostní a přístupové logy.
Tyto údaje jsou zpracovávány především pro účely zajištění provozu Platformy, prevence zneužití a ochrany právních nároků Správce.

5.2.4 V souvislosti s úhradou ceny za Online kurzy Správce zpracovává údaje o uskutečněných platbách v rozsahu nezbytném pro evidenci a kontrolu úhrad, zejména:
a) identifikaci transakce,
b) datum a čas úhrady,
c) uhrazenou částku a měnu,
d) identifikaci zakoupeného digitálního obsahu.
Správce nezpracovává údaje o platebních kartách, bankovních účtech ani jiné citlivé platební údaje, protože tyto jsou zpracovávány výhradně poskytovatelem platebních služeb, který vystupuje jako samostatný správce nebo zpracovatel osobních údajů.

5.3. Správce nezpracovává zvláštní kategorie osobních údajů ve smyslu článku 9 GDPR ani osobní údaje týkající se rozsudků v trestních věcech a trestných činů podle článku 10 GDPR.

5.4. Správce zpracovává osobní údaje automatizovanými i neautomatizovanými prostředky, vždy však způsobem, který zajišťuje náležitou ochranu osobních údajů v souladu s GDPR.

6.1. Správce zpracovává osobní údaje subjektů údajů výhradně pro konkrétní, výslovně vymezené a legitimní účely a pouze v rozsahu nezbytném pro jejich naplnění, přičemž ke každému účelu je určen odpovídající právní základ zpracování v souladu s článkem 6 odst. 1 GDPR.

6.2. Osobní údaje jsou zpracovávány zejména pro účely uzavření a plnění smlouvy o poskytování digitálního obsahu, včetně registrace a správy uživatelského účtu, umožnění přístupu k Online kurzům, správy objednávek, zajištění technické funkčnosti Platformy, poskytování uživatelské a technické podpory a komunikace se subjekty údajů v souvislosti s plněním smlouvy.
Právním základem zpracování osobních údajů pro tyto účely je článek 6 odst. 1 písm. b) GDPR.

6.3. Osobní údaje jsou dále zpracovávány pro účely plnění právních povinností Správce vyplývajících zejména z účetních, daňových a archivačních právních předpisů, jakož i pro účely plnění povinností vůči orgánům veřejné moci.
Právním základem zpracování osobních údajů pro tyto účely je článek 6 odst. 1 písm. c) GDPR.

6.4. Správce zpracovává osobní údaje také na základě svých oprávněných zájmů, a to zejména pro účely zajištění řádného, bezpečného a funkčního provozu Platformy, ochrany před neoprávněným přístupem, zneužitím nebo poškozením, prevence porušování smluvních podmínek, ochrany právních nároků Správce a řešení sporů, jakož i pro nezbytné interní administrativní a statistické účely.
Právním základem zpracování osobních údajů pro tyto účely je článek 6 odst. 1 písm. f) GDPR.
Správce před zpracováním osobních údajů na tomto právním základě provedl test proporcionality a dospěl k závěru, že jeho oprávněné zájmy nepřevažují nad právy a svobodami subjektů údajů.

6.5. V případech, kdy není možné osobní údaje zpracovávat na jiném právním základě, zpracovává Správce osobní údaje na základě souhlasu subjektu údajů, zejména pro účely zasílání marketingové komunikace a používání analytických nebo marketingových cookies.
Udělení souhlasu je dobrovolné a subjekt údajů je oprávněn souhlas kdykoli odvolat, přičemž odvolání souhlasu nemá vliv na zákonnost zpracování osobních údajů před jeho odvoláním.
Právním základem zpracování osobních údajů pro tyto účely je článek 6 odst. 1 písm. a) GDPR.

6.6. Správce nezpracovává osobní údaje subjektů údajů pro účely automatizovaného individuálního rozhodování ani profilování ve smyslu článku 22 GDPR.

6.7. Subjekt údajů má právo kdykoli vznést námitku proti zpracování osobních údajů založenému na oprávněném zájmu Správce v souladu s článkem 21 GDPR.

7.1. Platforma umožňuje registraci a přihlášení uživatelů i prostřednictvím autentizačních služeb třetích stran, zejména prostřednictvím služeb Google, Facebook a Apple.

7.2. V případě využití autentizace prostřednictvím třetí strany Správce zpracovává výhradně základní identifikační údaje subjektu údajů v rozsahu nezbytném pro vytvoření a správu uživatelského účtu na Platformě, zpravidla zejména e-mailovou adresu a jméno, a to v souladu se zásadou minimalizace osobních údajů podle článku 5 odst. 1 písm. c) GDPR.

7.3. Správce nezpracovává přihlašovací údaje (zejména přihlašovací jména a hesla) k účtům subjektů údajů vedeným u poskytovatelů autentizačních služeb třetích stran a nemá k těmto údajům žádný přístup.

7.4. Poskytovatelé autentizačních služích třetích stran vystupují při zpracování osobních údajů jako samostatní správci osobních údajů a zpracování osobních údajů ze strany těchto subjektů se řídí jejich vlastními smluvními a právními podmínkami.

7.5. Správce nenese odpovědnost za zpracování osobních údajů poskytovateli autentizačních služeb třetích stran, ani za dostupnost, funkčnost nebo bezpečnost těchto autentizačních služeb.

8.1. Osobní údaje subjektů údajů mohou být zpřístupněny třetím osobám výhradně v rozsahu nezbytném pro naplnění účelů zpracování uvedených v těchto Zásadách a v souladu s článkem 28 a násl. GDPR.

8.2. Příjemci osobních údajů mohou být zejména subjekty zajišťující technickou a provozní podporu Platformy, včetně poskytovatele platformového řešení pro Online kurzy (LearnWorlds), poskytovatelů IT, hostingových a cloudových služeb, jakož i poskytovatelů platebních služeb, zejména společnost Stripe nebo jiný obdobný subjekt.

8.3. Poskytovatelé platebních služeb zpracovávají osobní údaje v rozsahu potřebném pro provedení platebních transakcí jako samostatní správci nebo zpracovatelé osobních údajů v souladu s jejich vlastními právními předpisy a smluvními podmínkami.

8.4. Osobní údaje mohou být dále zpřístupněny orgánům veřejné moci, soudům nebo jiným oprávněným subjektům, pokud to vyžaduje nebo umožňuje obecně závazný právní předpis.

8.5. Správce zajišťuje, aby každé zpřístupnění osobních údajů příjemcům podle tohoto článku probíhalo na základě odpovídajícího právního základu a při zachování přiměřených technických a organizačných opatření k ochraně osobních údajů.

9.1. V případě, že dochází k předávání osobních údajů subjektů údajů do zemí mimo Evropskou unii nebo Evropský hospodářský prostor, Správce zajišťuje, aby takové předávání probíhalo výhradně v souladu s články 44 až 49 GDPR.

9.2. Předávání osobních údajů do třetích zemí se uskutečňuje jen v případech, kdy je to nezbytné pro zajištění provozu Platformy nebo poskytování digitálního obsahu, a to zejména prostřednictvím poskytovatelů služeb se sídlem nebo servery mimo EU/EHP.

9.3. Správce zajišťuje odpovídající úroveň ochrany osobních údajů při předávání do třetích zemí zejména prostřednictvím uzavření standardních smluvních doložek schválených Evropskou komisí, přijetí doplňkových technických a organizačních opatření k ochraně osobních údajů a provedení posouzení přiměřenosti předávání osobních údajů.

9.4. Správce pravidelně přehodnocuje podmínky předávání osobních údajů do třetích zemí a přijímá přiměřená opatření s cílem zajistit, aby úroveň ochrany osobních údajů nebyla v důsledku takového předávání snížena.

10.1. Správce uchovává osobní údaje subjektů údajů pouze po dobu nezbytnou pro naplnění účelů zpracování, pro které byly osobní údaje získány, a to v souladu se zásadou omezení uložení podle článku 5 odst. 1 písm. e) GDPR. Konkrétní lhůty uchovávání osobních údajů se určují podle účelu zpracování, zejména podle trvání smluvního vztahu a povinností vyplývajících ze zvláštních právních předpisů.

10.2. Osobní údaje zpracovávané pro účely plnění smlouvy jsou uchovávány po dobu trvání smluvního vztahu mezi Správcem a subjektem údajů a po jeho skončení po dobu nezbytnou pro uplatnění nebo obhajobu právních nároků Správce.

10.3. Osobní údaje zpracovávané pro účely plnění právních povinností jsou uchovávány po dobu stanovenou příslušnými právními předpisy, zejména účetními, daňovými a archivačními předpisy.

10.4. Osobní údaje zpracovávané na základě oprávněného zájmu Správce jsou uchovávány po dobu trvání tohoto oprávněného zájmu, pokud subjekt údajů proti takovému zpracování nevznese oprávněnou námitku.

10.5. Osobní údaje zpracovávané na základě souhlasu subjektu údajů jsou uchovávány do doby odvolání tohoto souhlasu, pokud zvláštní právní předpisy nestanoví jinak.

10.6. Po uplynutí příslušné doby uchovávání Správce zajistí smazání nebo anonymizaci osobních údajů, pokud jejich další uchovávání není nezbytné pro splnění právních povinností nebo ochranu oprávněných zájmů Správce.

Přehled doby uchovávání osobních údajů

11.1. Subjekt údajů má právo na přístup k osobním údajům podle článku 15 GDPR. Na základě tohoto práva je oprávněn získat od Správce potvrzení o tom, zda jsou či nejsou zpracovávány jeho osobní údaje, a pokud ano, má právo získat přístup k těmto osobním údajům a k informacím o účelech zpracování, kategoriích osobních údajů, příjemcích, plánované době uchovávání, jakož i o existenci ostatních práv.

11.2. Subjekt údajů má právo na opravu osobních údajů podle článku 16 GDPR. Toto právo zahrnuje oprávnění požadovat, aby Správce bez zbytečného odkladu opravil nepřesné osobní údaje, které se ho týkají, nebo doplnil neúplné osobní údaje.

11.3. Subjekt údajů má právo na výmaz osobních údajů („právo být zapomenut“) podle článku 17 GDPR. Toto právo se uplatní zejména v případech, pokud osobní údaje již nejsou potřebné pro účely, pro které byly zpracovávány, pokud subjekt údajů odvolá souhlas a neexistuje jiný právní základ zpracování, nebo pokud subjekt údajů vznese námitku proti zpracování.

11.4. Subjekt údajů má právo na omezení zpracování osobních údajů podle článku 18 GDPR. Toto právo se uplatní v případech napadení přesnosti údajů, nezákonnosti zpracování při odmítnutí výmazu, nebo pokud subjekt údajů vznesl námitku proti zpracování.

11.5. Subjekt údajů má právo na přenositelnost údajů podle článku 20 GDPR. Na základě tohoto práva je oprávněn získat své osobní údaje ve strukturovaném, běžně používaném a strojově čitelném formátu a má právo předat tyto údaje jinému správci.

11.6. Subjekt údajů má právo vznést námitku proti zpracování osobních údajů podle článku 21 GDPR, zejména pokud je zpracování založeno na oprávněném zájmu Správce.

11.7. Pokud je zpracování založeno na souhlasu, má subjekt údajů právo tento souhlas kdykoli odvolat podle článku 7 odst. 3 GDPR.

11.8. Subjekt údajů má právo podat stížnost u dozorového úřadu podle článku 77 GDPR, kterým je v České republice Úřad pro ochranu osobních údajů, se sídlem Pplk. Sochora 27, 170 00 Praha 7 (www.uoou.cz).

11.9. Uplatnění práv subjektu údajů je bezplatné. Správce je oprávněn požadovat přiměřený poplatek pouze tehdy, jsou-li žádosti zjevně neopodstatněné nebo nepřiměřené (zejména u opakujících se žádostí).

11.10. Správce poskytne informace o přijatých opatřeních bez zbytečného odkladu, nejpozději do jednoho měsíce od doručení žádosti.

12.1. Správce přijal a udržuje přiměřená technická a organizační opatření k zajištění ochrany osobních údajů v souladu s článkem 32 GDPR, a to s přihlédnutím k povaze, rozsahu, kontextu a účelům zpracování, jakož i k rizikům pro práva a svobody fyzických osob.

12.2. Tato opatření jsou zaměřena zejména na zajištění důvěrnosti, integrity, dostupnosti a odolnosti systémů a zahrnují řízení přístupů, šifrování, pravidelné testování a hodnocení účinnosti opatření.

12.3. Správce zajišťuje, aby k osobním údajům měly přístup pouze osoby, které jsou k tomu oprávněny a které jsou vázány povinností mlčenlivosti.

12.4. V případě porušení zabezpečení osobních údajů Správce postupuje v souladu s články 33 a 34 GDPR.