Ochrana osobních údajů

1. Kdo údaje zpracovává

Správcem osobních údajů je MerchLab. Napsat nám můžete na kontaktní e-mail uvedený v patičce webu.

Zpracování se řídí nařízením GDPR (EU 2016/679) a zákonem č. 110/2019 Sb. Nemáme jmenovaného pověřence pro ochranu osobních údajů — nemusíme ho mít.

2. Co sbíráme a proč

Objednávka

Jméno a příjmení, e-mail, volitelně telefon, a podle způsobu dodání buď jméno a třídu žáka (vyzvednutí ve škole), nebo zvolené výdejní místo (doručení dopravcem). K tomu obsah objednávky, částku a vaši poznámku, pokud nějakou napíšete.

Právní základ: plnění smlouvy. Bez těchto údajů objednávku vyřídit nejde — jméno žáka a třída jsou jediný způsob, jak poznat, komu zboží ve škole předat.

Platba

Z bankovního výpisu párujeme platby podle variabilního symbolu; vidíme u nich jméno plátce a referenci transakce. Právní základ: plnění smlouvy a účetní povinnosti.

E-maily o objednávce

Posíláme potvrzení objednávky, potvrzení platby a zprávu, že je zboží připravené. Nejde o newsletter a nedá se z něj odhlásit jinak než zrušením objednávky — je to součást vyřízení. Právní základ: plnění smlouvy.

Přihlášení

Pokud se přihlásíte odkazem v e-mailu, vedeme u vašeho účtu e-mail a roli. Díky tomu vidíte v sekci Moje objednávky své objednávky. Právní základ: plnění smlouvy, u pracovních rolí náš oprávněný zájem na provozu obchodu.

Účetnictví

Údaje o uskutečněných objednávkách musíme uchovat kvůli účetním a daňovým předpisům. Právní základ: plnění právní povinnosti.

3. Komu se údaje dostanou

Údaje nikomu neprodáváme. Předáváme je jen službám, bez kterých by e-shop nefungoval, a to v nezbytném rozsahu:

• Supabase — databáze objednávek a přihlašování. Data leží v EU (Frankfurt).
• Vercel — provoz samotného webu a souhrnné měření návštěvnosti (viz bod 5).
• Resend — odesílání e-mailů o objednávce.
• Zásilkovna (Packeta) — jen když si vyberete doručení dopravcem, a jen údaje potřebné k doručení.
• Banka — v rámci platby a jejího spárování.

Někteří z těchto zpracovatelů mohou data zpracovávat i mimo EU; v tom případě se tak děje na základě standardních smluvních doložek Evropské komise. Do zemí mimo EU sami nic aktivně nepředáváme.

Ve škole se ke jménu a třídě žáka dostane ten, kdo zboží vydává — bez toho by ho nemohl předat.

4. Jak dlouho je držíme

• Objednávka — po dobu jejího vyřízení a dále po dobu záruční lhůty a po dobu, kterou ukládají účetní předpisy (zpravidla 5 let od konce účetního období).
• Účet a role — dokud účet trvá. O jeho smazání můžete kdykoli požádat.
• Záznamy o odeslaných e-mailech a o pohybu objednávky — po stejnou dobu jako samotná objednávka; slouží k doložení, co se s objednávkou dělo.

5. Cookies a měření návštěvnosti

Nemáme reklamní systémy ani skripty, které by vás sledovaly napříč weby, a nechceme po vás souhlas s cookies — měření návštěvnosti žádnou cookie nenastavuje. Web si ve vašem prohlížeči ukládá jen tohle:

• Košík — zůstává v úložišti vašeho prohlížeče (localStorage). Na server se dostane až ve chvíli, kdy objednávku odešlete.
• Přihlašovací cookie — jen když se přihlásíte. Bez ní by přihlášení nevydrželo mezi stránkami.

Obojí je technicky nezbytné pro fungování obchodu. Košík si můžete kdykoli vysypat v košíku, cookie zmizí odhlášením.

Měření návštěvnosti

Abychom věděli, jestli se lidé do obchodu vůbec dostanou a odkud přicházejí, používáme Vercel Web Analytics. Sbírá jen souhrnná čísla: navštívenou stránku, odkaz, ze kterého jste přišli, typ zařízení a zemi. Neukládá do prohlížeče nic, nepracuje s cookie ani jiným trvalým identifikátorem, takže vás nepozná při příští návštěvě ani na jiném webu — a my se k jednotlivým návštěvníkům nedostaneme, vidíme jen počty.

Adresa vaší objednávky se do měření nedostane: je zároveň klíčem k jejímu obsahu, takže se před odesláním zkrátí na /objednavka/[id]. Administrace se neměří vůbec. Právní základ: náš oprávněný zájem vědět, jestli obchod funguje. Proti tomuto zpracování můžete vznést námitku (viz bod 6).

6. Vaše práva

Kdykoli máte právo:

• vědět, jaké údaje o vás máme, a dostat jejich kopii,
• nechat opravit nepřesné údaje,
• nechat údaje vymazat, pokud už je nepotřebujeme a nebrání tomu zákonná povinnost je uchovat,
• omezit zpracování nebo proti němu vznést námitku,
• dostat údaje ve strojově čitelné podobě a přenést je jinam.

Stačí napsat na náš kontaktní e-mail z adresy, na kterou objednávka běží. Ozveme se nejpozději do měsíce.

Když se vám nebude naše odpověď zamlouvat, můžete si stěžovat u Úřadu pro ochranu osobních údajů (Pplk. Sochora 27, 170 00 Praha 7).

7. Bezpečnost

Web běží celý přes HTTPS. Do administrace se chodí jen odkazem v e-mailu, bez hesla, a každý účet má roli, která určuje, co uvidí — obsluha objednávky, zákazník jen ty svoje. Přístup k datům hlídá databáze sama, ne jen aplikace.