Zásady ochrany osobních údajů

1. Úvod

Společnost Carasius CZ s.r.o., IČ 035 24 728, se sídlem Kaprova 42/14, Staré Město, 110 00 Praha 1, zapsaná v obchodním rejstříku vedeném u Městského soudu v Praze, oddíl C, vložka 230708, založená podle práva České republiky (dále jen „Společnost“ nebo „správce“) je podnikatelem mimo jiné v oblasti výroby a prodeje textilních výrobků, oděvů a doplňků, a provozovatelem e-shopu na adrese www.batohiro.com, kde si zákazníci mohou produkty zakoupit (dále také jen „e-shop“).

Kontaktní údaje správce:

adresa: Husinecká 17, Praha 3, 130 00

email: info@batohiro.com

telefonní číslo: +420 775 578 521

odpovědná osoba: Jakub Beneš.

Společnost jakožto správce v souladu s nařízením Evropského parlamentu a Rady EU 2016/679, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES („GDPR“) a zákonem č. 110/2019 Sb., o zpracování osobních údajů (dále jen „zákon“), tímto informuje subjekty údajů o shromažďování, uchovávání a zpracování osobních údajů subjektů údajů.

„Subjektem údajů“ se rozumí fyzická osoba, jejíž osobní údaje jsou shromažďovány, zpracovávány či uchovávány, zejména zákazníci Společnosti či návštěvníci webových stránek www.batohiro.com.

Osobními údaji se rozumí veškeré informace o identifikované nebo identifikovatelné fyzické osobě; identifikovatelnou fyzickou osobou je fyzická osoba, kterou lze přímo či nepřímo identifikovat, zejména odkazem na určitý identifikátor, například jméno, identifikační číslo, lokační údaje, síťový identifikátor nebo na jeden či více zvláštních prvků fyzické, fyziologické, genetické, psychické, ekonomické, kulturní nebo společenské identity této fyzické osoby.

Správce nejmenoval pověřence pro ochranu osobních údajů.

2. Zpracování údajů v případě přístupů na webové stránky + cookies

Pokud navštívíte náš e-shop pouze pro informační účely, tj. pokud nás nekontaktujete nebo si neobjednáte žádné produkty, shromažďujeme pouze údaje, které váš prohlížeč přenáší na náš server. Při vstupu na náš e-shop shromažďujeme údaje, které jsou technicky nezbytné k tomu, abychom vám mohli e-shop zobrazit: datum a čas přístupu na e-shop, množství odeslaných dat v bytech, zdroj ze kterého jste na stránku přišli, webový prohlížeč a operační systém a použitá IP adresa, není-li anonymizovaná.

Aby byla návštěva našich webových stránek atraktivní a aby bylo možné používat určité funkce, používáme na různých stránkách soubory cookie. Jedná se o malé textové soubory, které se ukládají ve vašem koncovém zařízení. Některé z používaných souborů cookie se na konci relace prohlížeče, tj. po zavření prohlížeče, opět vymažou (tzv. relační soubory cookie). Jiné soubory cookie zůstávají ve vašem koncovém zařízení a umožňují nám nebo našim partnerským společnostem (soubory cookie třetích stran) rozpoznat váš prohlížeč při vaší další návštěvě (trvalé soubory cookie). Pokud jsou soubory cookie nastaveny, shromažďují a zpracovávají určité informace o uživateli, jako jsou údaje o prohlížeči a poloze, jakož i hodnoty IP adres v individuálním rozsahu. Trvalé soubory cookie se automaticky vymažou po uplynutí stanovené doby.

Svůj prohlížeč můžete nastavit tak, abyste byli informováni o nastavení souborů cookie a mohli se individuálně rozhodnout, zda je chcete přijmout nebo zda chcete přijetí souborů cookie pro určité případy nebo obecně vyloučit. Každý prohlížeč se liší způsobem, jakým spravuje nastavení souborů cookie. V případě, že užívání souborů cookies omezíte, může to mít vliv na funkčnost e-shopu.

Technicky nezbytné soubory cookie, bez kterých e-shop nemůže fungovat (např. košík a pokladna), používáme na základě oprávněného zájmu správce. Analytické a marketingové soubory cookie (např. Google Analytics, Google Ads, Meta Pixel, Klaviyo) ukládáme pouze na základě vašeho souhlasu uděleného prostřednictvím cookie lišty. Souhlas můžete kdykoliv odvolat změnou nastavení v cookie liště.

Konkrétní informace o Cookies, které užíváme, naleznete zde: https://www.shopify.com/cz/legal/cookies.

3. Účel zpracování

a) V případě vyplnění kontaktního formuláře na webových stránkách správce www.batohiro.com ze strany subjektu údajů jsou osobní údaje zpracovávány za účelem řešení zadaného požadavku zákazníka (subjektu údajů).

b) V případě subjektů údajů, kteří se přihlásili k odběru novinek a souhlasili se zasíláním marketingových sdělení jsou osobní údaje zpracovávány za účelem zasílání newsletteru a marketingových sdělení adresovaných subjektu údajů o aktivitách správce na základě vlastní žádosti subjektu údajů.

c) V případě subjektů údajů, kteří zakoupili produkty na e-shopu jsou osobní údaje zpracovávány za účelem plnění smlouvy uzavřené mezi správcem a zákazníkem (subjektem údajů), jakož i plnění dalších povinností správce vyplývajících z právních předpisů (zejména účetní a daňové povinnosti). Poskytnutí osobních údajů je nutným požadavkem pro uzavření a plnění smlouvy mezi správcem a zákazníkem.

d) V případě subjektů údajů, kteří si vytvořili na e-shopu uživatelský profil a přihlásili se do Batohiro clubu jsou osobní údaje zpracovávány za účelem řešení požadavku zákazníka (subjektu údajů) ohledně správy objednávek a zakoupeného zboží a komunikace se správcem.

e) V případě subjektů údajů, kteří na e-shopu napsali recenzi, jsou osobní údaje zpracovávány za účelem zveřejnění recenze na e-shopu a ověření, zda recenzi napsal zákazník, který zboží skutečně zakoupil.

4. Zákonnost zpracování

Zákonnost zpracování ve smyslu čl. 6 GDPR je dána:

a) V případě vyplnění kontaktního formuláře na webových stránkách správce: udělením souhlasu subjektu údajů se zpracováním svých osobních údajů za účelem komunikace se správcem a řešení předmětu otázky zvolené subjektem údajů v souladu s čl. 6 odst. 1 písm. a) GDPR. Souhlas je oprávněna udělit jen osoba starší 15 let. Osoba mladší 15 let je oprávněna souhlas udělit jen se souhlasem osoby, která vykonává rodičovská práva.

b) V případě subjektů údajů, kteří se přihlásili k odběru novinek a souhlasili se zasíláním marketingových sdělení: udělením souhlasu subjektu údajů se zpracováním svých osobních údajů za účelem komunikace se správcem a přijímání obsahu o podnikatelské aktivitě správce (zejména pro zasílání obchodních sdělení a newsletterů) v souladu s čl. 6 odst. 1 písm. a) GDPR.

c) V případě subjektů údajů, kteří si zakoupili produkty na e-shopu: za účelem plnění smlouvy, jejíž je subjekt údajů stranou, v souladu s čl. 6 odst. 1 písm. b) GDPR.

d) V případě subjektů údajů, kteří si vytvořili uživatelský profil: udělením souhlasu subjektu údajů se zpracováním svých osobních údajů za účelem komunikace se správcem a správy realizovaných objednávek, v souladu s čl. 6 odst. 1 písm. a) GDPR.

e) V případě zpracování osobních údajů subjektů v rámci kamerového systému umístěného v provozovně Společnosti: je zpracování osobních údajů založeno na oprávněném zájmu správce dle čl. 6 odst. 1 písm. f) GDPR, kterým je ochrana zdraví, osob a majetku nacházejících se v provozovně.

f) V případě napsání recenze: udělením souhlasu subjektu údajů se zveřejněním recenze v souladu s čl. 6 odst. 1 písm. a) GDPR; ověření recenze oproti uskutečněné objednávce je založeno na oprávněném zájmu správce na zveřejňování pravdivých recenzí dle čl. 6 odst. 1 písm. f) GDPR.

5. Rozsah zpracovávaných osobních údajů

a) V případě vyplnění kontaktního formuláře na webových stránkách správce: údaje jsou zpracovány v rozsahu, ve kterém je subjekt údajů dobrovolně poskytl v kontaktním formuláři, nejméně však jméno a kontaktní email.

b) Subjekty údajů, kteří se přihlásili k odběru novinek a souhlasili se zasíláním marketingových sdělení: v rozsahu, ve kterém byly poskytnuty subjektem údajů, zejména jméno, příjmení a kontaktní email.

c) V případě subjektů údajů, kteří si koupili produkty na e-shopu: v rozsahu, ve kterém byly poskytnuty v kontaktním formuláři na e-shopu při objednávce produktů, nejméně však jméno a příjmení, telefonní číslo, kontaktní email, doručovací či fakturační adresa, v případě bezhotovostní platby údaje o platební transakci.

d) V případě subjektů údajů, kteří si vytvořili profil: v rozsahu, ve kterém byly poskytnuty při vytváření uživatelského profilu, nejméně však kontaktní email.

e) V případě subjektů údajů, kteří napsali recenzi: jméno nebo jeho zkrácená podoba, e-mailová adresa (nezveřejňuje se), text recenze, hodnocení, případně fotografie, a údaj o tom, zda byla recenze ověřena oproti objednávce.

6. Příjemci osobních údajů

Příjemcem je fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, kterým jsou osobní údaje poskytnuty (dle čl. 4 odst. 9 GDPR), nejde-li o orgány veřejné moci, které mohou získávat osobní údaje v rámci zvláštního šetření v souladu s obecně závaznými právními předpisy.

Osobní údaje subjektů údajů jsou zpřístupněny těmto příjemcům:

a) poskytovatelům IT podpory a správy webu

b) provozovatelům e-shopové platformy a poskytovatelům nástrojů pro správu e-shopu

c) poskytovatelům e-mailových a hostingových služeb

d) poskytovatelům marketingových služeb a nástrojů pro marketingovou komunikaci

e) poskytovatelům analytických nástrojů a nástrojů pro cílenou reklamu, a poskytovateli aplikace pro správu recenzí (Judge.me Ltd.)

f) poskytovatelům účetních a daňových služeb

g) bankovním institucím a poskytovatelům platebních služeb (zejména PayPal (Europe) S.à r.l. et Cie, S.C.A. a Klarna Bank AB (publ))

h) přepravním službám (zejména PPL CZ s.r.o., Zásilkovna s.r.o. (Packeta) a společnostem skupiny DHL), a v případě doručení mimo Evropskou unii rovněž příslušným celním orgánům

i) provozovateli úložiště pro kamerový systém v provozovně.

Osobní údaje jsou v omezeném rozsahu zpřístupněny rovněž zaměstnancům správce či členům jeho statutárního orgánu, kteří však nejsou považováni za jejich příjemce ve smyslu GDPR.

7. Zpracovatelé osobních údajů

Zpracováním osobních údajů se rozumí jakákoliv operace nebo soubor operací, které jsou prováděny s osobními údaji nebo soubory osobních údajů. Pro správce zpracovávají osobní údaje následující zpracovatelé:

a) výrobci a zpracovatelé produktů

b) poskytovatelé IT podpory a správy webových stránek

c) provozovatelé e-shopové platformy a poskytovatelé nástrojů pro správu e-shopu

d) poskytovatelé e-mailových, hostingových a souvisejících IT služeb

e) poskytovatelé marketingových služeb a nástrojů pro marketingovou komunikaci

f) poskytovatelé analytických nástrojů a nástrojů pro cílenou reklamu

g) poskytovatelé účetních a daňových služeb

h) poskytovatel úložiště dat kamerového systému v provozovně.

8. Způsob zpracování

Správce prohlašuje, že plní veškeré povinnosti vyplývající z GDPR a dalších právních předpisů, zpracovává osobní údaje zákonným, korektním a transparentním způsobem, v nezbytném rozsahu, za stanovenými účely a přijal vhodná technická a organizační opatření pro zabezpečení ochrany těchto osobních údajů.

Správce je oprávněn osobní údaje zejména shromažďovat, ukládat na nosiče informací, zpřístupňovat, ale vždy pouze osobám dle bodů 6. a 7., upravovat nebo pozměňovat (např. v případě, že se změní), vyhledávat, používat, předávat, ale opět pouze osobám dle bodů 6. a 7., uchovávat, třídit nebo kombinovat, blokovat či likvidovat.

Správce přijal technická opatření k zabezpečení datových úložišť a úložišť osobních údajů v listinné podobě, zejména prostřednictvím používání hesel, antivirového programu, šifrování a zálohování dat.

Osobní údaje budou zpracovány prostřednictvím automatizovaných, částečně automatizovaných, nebo neautomatizovaných prostředků zpracování, kdy se uplatní přiměřená technická, organizační a personálně bezpečnostní opatření odpovídající způsobu zpracování. Správce při zpracování osobních údajů neprovádí automatizované individuální rozhodování ani profilování ve smyslu čl. 22 GDPR.

9. Informace o kamerovém systému umístěném v provozovně Společnosti

V provozovně Společnosti na adrese Husinecká 17, Praha 3, 130 00 je nainstalován kamerový systém. V případě, že si zákazník (subjekt údajů) zvolí vyzvednutí objednávky v provozovně, může být jeho podobizna zachycena na kamerovém záznamu. Kamerový systém je instalován za účelem ochrany zdraví, osob a majetku nacházejících se v provozovně a pro účely předcházení trestné činnosti. Zákonnost zpracování osobních údajů je dána oprávněným zájmem Společnosti. Kamerový záznam je uchováván po dobu 72 hodin. Přístup ke kamerovému záznamu má pan Jakub Beneš (vizte kontaktní údaje správce). Úložiště dat kamerového systému zajišťuje aplikace eufy Security společnosti Anker Innovations Technology Co., Ltd.

10. Předávání osobních údajů mimo země EU

Společnost využívá pro provoz e-shopu služby skupiny Shopify (dále jen „Shopify“). V rámci této skupiny společností dochází k předávání osobních dat ze strany společnosti Shopify International Limited společnosti Shopify Inc. registrované v Kanadě a společnosti Shopify Commerce Singapore Pte Ltd. registrované v Singapuru. Shopify za tímto účelem využívá rozhodnutí Evropské komise o odpovídající ochraně Kanady. Shopify má dále vlastní Binding Corporate Rules („BCR“) jež byla schválena příslušnými evropskými dozorovými úřady. Jejich aktuální znění nabylo účinnosti dne 8. července 2026 a jejich znění je k dispozici zde: https://www.shopify.com/cz/legal/binding-corporate-rules. Shopify má zároveň za účelem ochrany osobních údajů uzavřeny standardní smluvní doložky Shopify Data Processing Addendum, jejichž znění je k dispozici zde: https://www.shopify.com/cz/legal/dpa.

Společnost využívá pro analýzu návštěvnosti webových stránek a pro měření a cílení reklamy nástroje Google Analytics a Google Ads poskytované společností Google Ireland Limited (dále jen „Google“). V rámci využívání těchto nástrojů může docházet ke zpracování osobních údajů, zejména údajů o používání webových stránek a online identifikátorů, a v závislosti na nastavení služby také k předávání osobních údajů do třetích zemí, včetně Spojených států amerických. Google pro taková předání využívá příslušné mechanismy podle kapitoly V GDPR, včetně rámce EU–U.S. Data Privacy Framework. Aktuální znění zásad zpracování osobních údajů společnosti Google je k dispozici zde: https://policies.google.com/privacy. Konkrétní znění DPA je k dispozici zde: https://www.google.com/analytics/terms/dpa/dataprocessingamendment_20200816.html. Součástí smluvních ujednání Google je rovněž akceptace smluvních doložek vytvořených Evropskou komisí pro účely předávání osobních dat do třetích zemí. Aktuální znění zde: https://eur-lex.europa.eu/legal-content/CS/TXT/HTML/?uri=CELEX:32021D0914.

Společnost využívá pro zasílání newsletterů a marketingových e-mailů nástroj Klaviyo poskytovaný společností Klaviyo, Inc. se sídlem v USA. Klaviyo je certifikováno v rámci EU–U.S. Data Privacy Framework a s předáním osobních údajů do USA jsou spojeny také standardní smluvní doložky Evropské komise. Zásady zpracování osobních údajů jsou k dispozici zde: https://www.klaviyo.com/legal/privacy-notice.

Společnost využívá pro měření a cílení reklamy nástroje Meta (Meta Pixel, Meta Ads) poskytované společností Meta Platforms Ireland Limited. Při využívání těchto nástrojů může docházet k předávání osobních údajů společnosti Meta Platforms, Inc. v USA, která je certifikována v rámci EU–U.S. Data Privacy Framework. Zásady zpracování osobních údajů jsou k dispozici zde: https://www.facebook.com/privacy/policy.

Společnost využívá pro sběr, ověřování a zobrazování recenzí aplikaci Judge.me poskytovanou společností Judge.me Ltd. Data jsou uložena u poskytovatelů cloudových služeb Heroku a Amazon Web Services, a mohou tak být předávána i do třetích zemí, včetně USA. Pro taková předání využívá Judge.me standardní smluvní doložky vytvořené Evropskou komisí. Podmínky zpracování osobních údajů jsou k dispozici zde: https://judge.me/privacy/data-processing-addendum.

V případě doručení zboží do zemí mimo Evropskou unii (např. do USA) předává Společnost nezbytné údaje (jméno, adresu, kontaktní údaje a údaje o zásilce) dopravci a celním orgánům země určení. Takové předání je nezbytné pro plnění kupní smlouvy ve smyslu čl. 49 odst. 1 písm. b) GDPR.

Společnost využívá v provozovně kamerový systém. Úložiště dat kamerového systému zajišťuje společnost Anker Innovations Technology Co., Ltd., která je součástí skupiny Anker Technology (SG) Pte., Ltd. (dále jen „Anker“). V rámci využívání této služby může Anker přijímat osobní údaje osob vstupujících do prostor provozovny, zejména jejich podobiznu. Anker předává údaje v rámci společností své skupiny – kompletní znění zde: https://www.anker.com/policies/privacy-policy. Rozsah zpracovávaných osobních údajů je uveden pod čl. 3 (3) security related products. Součástí smluvních ujednání Anker je rovněž akceptace smluvních doložek vytvořených Evropskou komisí pro účely předávání osobních dat do třetích zemí (více čl. 7 podmínek Anker).

11. Práva subjektu údajů

Subjekt údajů má právo:

• na přístup k jeho osobním údajům (dle čl. 15 GDPR)
• požadovat opravu, doplnění (dle čl. 16 GDPR) či výmaz jeho osobních údajů (dle čl. 17 GDPR)
• požadovat omezení zpracování jeho osobních údajů (dle čl. 18 GDPR)
• využít práva na přenositelnost osobních údajů zpracovávaných správcem (dle čl. 20 GDPR)
• vznést námitky proti zpracování osobních údajů (dle čl. 21 GDPR)
• odvolat kdykoli souhlas s poskytnutím osobních údajů, a to písemně na adresu nebo elektronicky na email správce, aniž je tím dotčena zákonnost zpracování založeného na souhlasu před jeho odvoláním (dle čl. 7 GDPR)
• podat stížnost u dozorového orgánu
• využít další práva uvedená v právních předpisech o ochraně osobních údajů.

Správce tímto poučuje subjekty údajů, u kterých je právní důvod zpracování dán jejich souhlasem, že poskytnutí osobních údajů je dobrovolné a že souhlas se zpracováním může subjekt údajů kdykoliv odvolat, a že mají právo požádat o informaci o zpracování svých osobních údajů a správce nebo zpracovatel jsou povinni mu tuto informaci bez zbytečného odkladu předat.

Bude-li se subjekt osobních údajů domnívat, že jeho osobní údaje jsou zpracovávány v rozporu s ochranou jeho soukromého a osobního života nebo v rozporu se zákonem, zejména budou-li osobní údaje nepřesné, nesprávné či neúplné, může správce nebo zpracovatele požádat o vysvětlení nebo požadovat, aby takto vzniklý stav byl odstraněn, a to zejména blokováním, opravou, doplněním nebo likvidací osobních údajů, a to zasláním své žádosti na e-mailovou adresu: info@batohiro.com.

Žádost či stížnost subjektu údajů bude vyřízena bez zbytečného odkladu, nejpozději však do jednoho měsíce v souladu s čl. 12 odst. 4 GDPR. Pokud správce stížnosti či žádosti subjektu údajů nevyhoví, je subjekt údajů oprávněn podat stížnost u dozorového úřadu a žádat soudní ochranu.

S případnými stížnostmi se subjekt údajů může obrátit na dozorový orgán. Seznam dozorových úřadů v rámci Evropské unie je zveřejněn zde: https://digital-strategy.ec.europa.eu/en/library/list-personal-data-protection-competent-authorities.

12. Doba uchování

Doba uchování osobních údajů subjektů údajů činí:

a) V případě vyplnění kontaktního formuláře na webových stránkách správce: od okamžiku udělení souhlasu a poskytnutí údajů po dobu 2 let od okamžiku dořešení požadavku subjektu údajů.

b) V případě subjektů údajů, kteří souhlasili se zasíláním marketingových sdělení: od okamžiku udělení souhlasu a poskytnutí údajů do doby odvolání souhlasu řádně doručeného správci.

c) V případě subjektů údajů, kteří uzavřeli se správcem kupní či obdobnou smlouvu: od okamžiku uzavření smlouvy, poskytnutí údajů a dodání produktů po dobu 10 let ode dne posledního úkonu souvisejícího s plněním smlouvy (např. dodání produktu, podání reklamace, vyřešení reklamace…).

d) V případě subjektů údajů, kteří napsali recenzi: po dobu zveřejnění recenze na e-shopu, nejdéle však do odvolání souhlasu.

Po uplynutí doby uchovávání osobních údajů správce osobní údaje vymaže.

13. Závěrečná ustanovení

Odesláním objednávky nebo vytvořením profilu potvrzujete, že jste se seznámil/a s těmito informacemi o zpracování osobních údajů.

Správce je oprávněn tyto podmínky změnit. Novou verzi podmínek ochrany osobních údajů zveřejní na svých internetových stránkách.

Účinnost: 14. 10. 2026.