Ochrana osobních údajů

1. Kdo údaje zpracovává

Správcem osobních údajů je MerchLab. Napsat nám můžete na info@merchlab.cz.

Zpracování se řídí nařízením GDPR (EU 2016/679) a zákonem č. 110/2019 Sb. Pověřence pro ochranu osobních údajů nemáme jmenovaného.

2. Co sbíráme a proč

Objednávka

Jméno a příjmení, e-mail, volitelně telefon, a podle způsobu dodání buď jméno a třídu žáka (vyzvednutí ve škole), nebo zvolené výdejní místo (doručení dopravcem). K tomu obsah objednávky, částku a vaši poznámku, pokud nějakou napíšete.

Právní základ: plnění smlouvy.

Platba

Z bankovního výpisu párujeme platby podle variabilního symbolu; vidíme u nich jméno plátce a referenci transakce. Právní základ: plnění smlouvy a účetní povinnosti.

E-maily o objednávce

Posíláme potvrzení objednávky, potvrzení platby a zprávu, že je zboží připravené. Jde o provozní zprávy k vyřízení objednávky, nikoli o obchodní sdělení. Právní základ: plnění smlouvy.

Přihlášení

Pokud se přihlásíte odkazem v e-mailu, vedeme u vašeho účtu e-mail a roli. Díky tomu vidíte v sekci Moje objednávky své objednávky. Právní základ: plnění smlouvy, u pracovních rolí náš oprávněný zájem na provozu obchodu.

Účetnictví

Údaje o uskutečněných objednávkách musíme uchovat kvůli účetním a daňovým předpisům. Právní základ: plnění právní povinnosti.

3. Komu se údaje dostanou

Údaje nikomu neprodáváme. Předáváme je jen službám, bez kterých by e-shop nefungoval, a to v nezbytném rozsahu:

• Supabase — databáze objednávek a přihlašování. Data leží v EU (Frankfurt).
• Vercel — provoz samotného webu a souhrnné měření návštěvnosti (viz bod 5).
• Resend — odesílání e-mailů o objednávce.
• Zásilkovna (Packeta) — jen když si vyberete doručení dopravcem, a jen údaje potřebné k doručení.
• Banka — v rámci platby a jejího spárování.

Někteří z těchto zpracovatelů mohou data zpracovávat i mimo EU; v tom případě se tak děje na základě standardních smluvních doložek Evropské komise. Do zemí mimo EU sami nic aktivně nepředáváme.

Ve škole se ke jménu a třídě žáka dostane osoba, která zboží vydává.

4. Jak dlouho je držíme

• Objednávka — po dobu jejího vyřízení a dále po dobu záruční lhůty a po dobu, kterou ukládají účetní předpisy (zpravidla 5 let od konce účetního období).
• Účet a role — dokud účet trvá. O jeho smazání můžete kdykoli požádat.
• Záznamy o odeslaných e-mailech a o pohybu objednávky — po stejnou dobu jako samotná objednávka; slouží k doložení, co se s objednávkou dělo.

5. Cookies a měření návštěvnosti

Web nepoužívá reklamní ani sledovací nástroje a nevyžaduje souhlas s cookies — měření návštěvnosti žádnou cookie nenastavuje. Ve vašem prohlížeči se ukládá pouze:

• Košík — zůstává v úložišti vašeho prohlížeče (localStorage). Na server se dostane až ve chvíli, kdy objednávku odešlete.
• Přihlašovací cookie — jen když se přihlásíte. Bez ní by přihlášení nevydrželo mezi stránkami.

Obojí je technicky nezbytné pro fungování obchodu. Košík si můžete kdykoli vysypat v košíku, cookie zmizí odhlášením.

Měření návštěvnosti

K měření návštěvnosti používáme Vercel Web Analytics. Sbírá jen souhrnné údaje: navštívenou stránku, odkazující adresu, typ zařízení a zemi. Neukládá do prohlížeče nic a nepracuje s cookie ani jiným trvalým identifikátorem, proto jednotlivé návštěvníky nelze rozpoznat; k dispozici jsou pouze souhrnné počty.

Adresa objednávky se do měření nepředává, před odesláním se zkrátí na /objednavka/[id]. Administrace se neměří vůbec. Právní základ: náš oprávněný zájem vědět, jestli obchod funguje. Proti tomuto zpracování můžete vznést námitku (viz bod 6).

6. Vaše práva

Kdykoli máte právo:

• vědět, jaké údaje o vás máme, a dostat jejich kopii,
• nechat opravit nepřesné údaje,
• nechat údaje vymazat, pokud už je nepotřebujeme a nebrání tomu zákonná povinnost je uchovat,
• omezit zpracování nebo proti němu vznést námitku,
• dostat údaje ve strojově čitelné podobě a přenést je jinam.

Stačí napsat na info@merchlab.cz z adresy, na kterou objednávka běží. Ozveme se nejpozději do měsíce.

Nebudete-li s naší odpovědí spokojeni, můžete podat stížnost u Úřadu pro ochranu osobních údajů (Pplk. Sochora 27, 170 00 Praha 7).

7. Bezpečnost

Web běží celý přes HTTPS. Do administrace se chodí jen odkazem v e-mailu, bez hesla, a každý účet má roli, která určuje, co uvidí — obsluha objednávky, zákazník jen ty svoje. Přístup k datům hlídá databáze sama, ne jen aplikace.