Ochrana osobních údajů

1. Správce a kontakt

Správcem osobních údajů zpracovávaných na webu shopzi.cz a v administraci platformy SHOPZI je:

WEBZI s.r.o.
Sídlo: Krásova 2919/31a, Žižkov, 130 00 Praha 3
Kontaktní adresa: Italská 2581/67, 120 00 Praha 2
IČO: 24602175
Zapsána v obchodním rejstříku vedeném Městským soudem v Praze, oddíl C, vložka 442677
E-mail pro ochranu údajů: gdpr@shopzi.cz
Obecný kontakt: podpora@shopzi.cz
Telefon: +420 773 559 645, Po až pá, 9:00 až 17:00

Nejmenovali jsme pověřence pro ochranu osobních údajů, protože nesplňujeme podmínky čl. 37 odst. 1 GDPR. Veškerou agendu vyřizuje kontakt uvedený výše.

2. Na koho se tyto zásady vztahují

Vztahují se na osoby, vůči kterým je WEBZI s.r.o. správcem:

• návštěvníky webu shopzi.cz, tedy kohokoli, kdo si prohlíží marketingové stránky, ceník, blog nebo živou ukázku,
• registrované obchodníky a členy jejich týmu, kteří používají administraci platformy,
• osoby, které nás kontaktovaly formulářem, chatem podpory, e-mailem nebo telefonem,
• zájemce oslovené naším obchodním týmem, jejichž kontakt jsme získali z veřejných zdrojů (čl. 5 níže).

Na co se tyto zásady nevztahují

Tyto zásady nepokrývají zpracování osobních údajů zákazníků jednotlivých obchodů provozovaných na platformě SHOPZI. Správcem těchto údajů je provozovatel příslušného obchodu, který má vlastní zásady ochrany osobních údajů zveřejněné na svém webu. WEBZI s.r.o. je v tomto vztahu zpracovatelem podle čl. 28 GDPR na základě Smlouvy o zpracování osobních údajů, která je nedílnou součástí obchodních podmínek.

3. Návštěvníci webu shopzi.cz

3.1. Co zpracováváme vždy

I bez jakéhokoli souhlasu vzniká při návštěvě webu technický provoz, bez kterého stránku nelze doručit:

• IP adresa, typ prohlížeče a operační systém, zpracovávané v protokolech infrastruktury pro doručení obsahu, pro ochranu proti útokům a proti robotům,
• rychlost načtení stránky v nástroji Vercel Speed Insights. Měří stránku, nikoli osobu: neukládá do vašeho prohlížeče žádnou cookie, nevytváří identifikátor uživatele, nespojuje dvě načtení stránky týmž člověkem a v produkci běží first-party na doméně shopzi.cz. Adresy obsahující jednorázový token jsou před odesláním nahrazeny zástupným textem, aby se do měření nedostaly.
• technické chyby aplikace v nástroji Sentry, který má sběr osobních údajů vypnutý (viz čl. 7).

Právním základem je oprávněný zájem správce podle čl. 6 odst. 1 písm. f) GDPR na provozu, bezpečnosti a měřitelnosti vlastního webu. Vzhledem k tomu, že se neukládají žádné identifikátory a data se nespojují s vaší osobou, je zásah do soukromí minimální.

3.2. Co zpracováváme jen s vaším souhlasem

Souhlas udělujete v liště pro správu cookies. Do jejího udělení jsou všechny signály Google nastaveny na denied (Google Consent Mode v2) a žádný nástroj do vašeho zařízení nic neuloží ani z něj nic nepřečte. Souhlas můžete kdykoliv změnit kliknutím na „Nastavení cookies“ v patičce webu. Podrobný přehled je v Zásadách cookies.

3.3. Písma hostujeme sami

Písma použitá na webu (Montserrat a Inter) se načítají z domény shopzi.cz, nikoli ze služby Google Fonts. Při prohlížení webu se proto společnosti Google nepředává vaše IP adresa ani údaje o prohlížeči. Dřívější verze webu písmo z Google načítala; to už neplatí.

3.4. Právní základ podle účelu

4. Registrovaní obchodníci

Při registraci a používání platformy SHOPZI zpracováváme:

• jméno a příjmení, název obchodu nebo firmy,
• e-mailovou adresu (slouží zároveň jako přihlašovací údaj),
• heslo, uložené výhradně jako jednosměrný haš (bcrypt): jeho čitelnou podobu neznáme a nedokážeme ji zobrazit,
• telefonní číslo, je-li poskytnuto,
• fakturační údaje: IČO, DIČ, fakturační adresa,
• platební údaje: zpracovává je výhradně poskytovatel Stripe, čísla karet neukládáme,
• údaje o aktivitě v administraci: přihlášení, změny nastavení, záznamy o použití AI funkcí a o spotřebě kreditů,
• registrujete-li se účtem Google: e-mail, jméno a informaci o tom, zda je adresa ověřená. Heslo Google nám nikdy nepředává.

Právní základ podle účelu

Poskytnutí údajů označených při registraci jako povinné je smluvním požadavkem: bez nich nelze účet založit a službu poskytovat. Ostatní údaje jsou dobrovolné.

5. Oslovení zájemci a obchodní kontakt

Náš obchodní tým oslovuje provozovatele e-shopů s nabídkou přechodu na SHOPZI. Kontakty na ně nezískáváme od nich samotných, ale z veřejně dostupných zdrojů. Tato část je proto informací podle čl. 14 GDPR.

Obchodní sdělení e-mailem. Uložení kontaktu do naší evidence a jeho rozeslání jsou dvě různé věci. Podle § 7 zákona č. 480/2004 Sb. rozesíláme obchodní sdělení pouze na adresy, k nimž máme souhlas nebo zákaznický vztah. Kontakt získaný z veřejných zdrojů se do hromadné rozesílky nedostane; slouží k individuálnímu oslovení naším obchodním zástupcem.

Ukázkový návrh e-shopu. Pro některé zájemce připravujeme nezávaznou ukázku, jak by jejich obchod mohl na SHOPZI vypadat. Vychází výhradně z veřejně dostupného obsahu jejich webu, je chráněna přístupovým kódem, není veřejně dohledatelná a na požádání ji smažeme.

6. Chat podpory a kontaktní formulář

6.1. Živý chat na shopzi.cz

Chat se spouští teprve tehdy, když jej sami otevřete: do té chvíle neodesílá žádný požadavek. Zahájíte-li konverzaci, zpracováváme:

• jméno a e-mail, pokud je uvedete (nepovinné),
• obsah zpráv,
• stránku, na které jste chat otevřeli, zdroj příchodu a typ prohlížeče, jako kontext pro operátora,
• haš IP adresy se solí měněnou každý den, výhradně k omezení zneužití. Samotnou IP adresu neukládáme.

Konverzace je vázána na náhodný token v technické cookie shopzi_chat, aby se vám vlákno zobrazilo i po znovunačtení stránky. Právním základem je oprávněný zájem na poskytnutí podpory, respektive plnění smlouvy, jde-li o stávajícího obchodníka. Konverzaci automaticky mažeme 12 měsíců od poslední zprávy.

6.2. Kontaktní formulář

Z kontaktního formuláře zpracováváme jméno, e-mail, předmět a text zprávy. Zpráva se odesílá e-mailem na naši adresu a její kopii dostanete i vy; do databáze platformy se neukládá. Právním základem je oprávněný zájem na vyřízení dotazu, respektive provedení opatření před uzavřením smlouvy na vaši žádost.

Formuláře jsou chráněny proti automatizovanému odesílání (Vercel BotID). Ochrana vyhodnocuje technické znaky požadavku, nikoli vaši osobu.

7. Komu údaje předáváme

S každým zpracovatelem máme uzavřenou smlouvu podle čl. 28 GDPR. Údaje neprodáváme a nepředáváme je k marketingovým účelům třetích stran.

Zpracovatelé, kteří se podílejí na provozu obchodů a na zpracování údajů zákazníků obchodníků (platební brány, dopravci, SMS, tisk na zakázku), jsou uvedeni ve Smlouvě o zpracování osobních údajů, čl. 9.

Údaje mohou být dále předány orgánům veřejné moci v případech stanovených zákonem, a našim advokátům, účetním a auditorům, kteří jsou vázáni mlčenlivostí.

8. Předávání mimo EU a EHP

Databáze platformy i aplikační vrstva běží v Evropské unii (Frankfurt, Německo). K předání do třetí země dochází pouze u zpracovatelů uvedených v čl. 7, a to vždy na základě záruky podle kapitoly V GDPR:

• Rozhodnutí o odpovídající ochraně (čl. 45 GDPR): EU-US Data Privacy Framework, prováděcí rozhodnutí Evropské komise ze dne 10. 7. 2023, u certifikovaných amerických poskytovatelů (Vercel, Stripe, Google, Microsoft, OpenAI, Anthropic, Sentry).
• Standardní smluvní doložky (čl. 46 odst. 2 písm. c GDPR) u poskytovatelů bez certifikace DPF (Exa Labs, Inc.), doplněné o posouzení dopadu přenosu.

Platnost použitých záruk průběžně sledujeme. Pozbude-li některá z nich platnosti, zajistíme bez zbytečného odkladu záruku náhradní, nebo zpracování u daného poskytovatele ukončíme.

9. Doba uchování

Po uplynutí uvedených dob údaje mažeme nebo anonymizujeme. Údaje nezbytné pro uplatnění nebo obhajobu právních nároků uchováváme po dobu příslušné promlčecí lhůty.

10. Vaše práva

Podle nařízení GDPR a zákona č. 110/2019 Sb. máte tato práva:

• Právo na přístup (čl. 15): získat potvrzení, zda údaje zpracováváme, a kopii těchto údajů.
• Právo na opravu (čl. 16): nechat opravit nepřesné nebo doplnit neúplné údaje.
• Právo na výmaz (čl. 17): nechat údaje smazat, pominul-li účel zpracování nebo odvoláte-li souhlas. Neuplatní se tam, kde nám uchování ukládá zákon (zejména daňové doklady).
• Právo na omezení zpracování (čl. 18).
• Právo na přenositelnost (čl. 20): získat údaje, které jste nám poskytli na základě souhlasu nebo smlouvy, ve strojově čitelném formátu.
• Právo vznést námitku (čl. 21) proti zpracování založenému na oprávněném zájmu. Jde-li o přímý marketing, vyhovíme jí vždy a bez zkoumání důvodů.
• Právo odvolat souhlas (čl. 7 odst. 3), kdykoliv a bez vlivu na zákonnost předchozího zpracování. Souhlas s cookies odvoláte kliknutím na „Nastavení cookies“ v patičce webu.

Žádosti zasílejte na gdpr@shopzi.cz. Odpovíme bez zbytečného odkladu, nejpozději do jednoho měsíce od obdržení žádosti; tuto lhůtu lze ve složitých případech prodloužit o další dva měsíce, o čemž vás vyrozumíme. Vyřízení je bezplatné; u zjevně nedůvodných nebo nepřiměřených žádostí jsme oprávněni požadovat přiměřený poplatek nebo žádost odmítnout.

11. Zabezpečení

K ochraně údajů používáme zejména:

• šifrovanou komunikaci (HTTPS/TLS) na celém webu,
• šifrování citlivých údajů v databázi (AES-256-GCM u přístupových klíčů k integracím),
• jednosměrné hašování hesel (bcrypt): čitelnou podobu hesla neznáme,
• oddělení dat jednotlivých obchodů na úrovni databázových řádků (Row-Level Security s výchozím zákazem), doplněné filtrováním v aplikaci,
• ochranu proti CSRF a XSS, parametrizované databázové dotazy, ověřování typu nahrávaných souborů podle jejich obsahu,
• omezení počtu požadavků, ochranu proti robotům a filtrování provozu na úrovni Vercel Firewall,
• hlavičky Content Security Policy,
• omezený přístup k údajům na principu need-to-know a dvoufaktorové ověření u účtu podpory,
• zálohování databáze s možností obnovení do bodu v čase a automatizované testy oddělení dat, které blokují vydání změny.

12. Automatizované rozhodování a AI

Neprovádíme automatizované rozhodování ani profilování s právními účinky nebo s obdobně významným dopadem ve smyslu čl. 22 GDPR.

Platforma nabízí dvě různé skupiny AI nástrojů a liší se přesně tím, co se do modelu dostane. U generování obsahu (popis produktu, podklad pro obrázek nebo video) se zpracovává pouze to, co do nástroje sami vložíte: zadání, text nebo obrázek. AI asistent v administraci pracuje jinak, protože jinak by nemohl odpovídat na otázky o vašem obchodě: kromě vašeho dotazu čte i záznamy z databáze obchodu, které si k jeho zodpovězení sám vyžádá, tedy podle povahy otázky produkty, zásoby, objednávky včetně kontaktních a doručovacích údajů zákazníka, zákaznické karty, zprávy z kontaktního formuláře, hodnocení a vystavené doklady. Nepředává se databáze jako celek, jen jednotlivé záznamy k dané otázce, a jen v rozsahu oprávnění vašeho účtu. Požadavky obou skupin směřují přes Vercel AI Gateway k poskytovatelům OpenAI, Anthropic a Google.

Průběh konverzace s asistentem se ukládá, abyste se k ní mohli vrátit. Vidí ji jen její autor a smaže se s vaším obchodem; pokud zákazník uplatní právo na výmaz, odstraní se jeho údaje i z těchto přepisů.

13. Právo podat stížnost

Domníváte-li se, že zpracováním vašich údajů porušujeme GDPR nebo zákon č. 110/2019 Sb., budeme rádi, obrátíte-li se nejprve na nás. Máte však právo podat stížnost přímo u dozorového úřadu:

Úřad pro ochranu osobních údajů
Pplk. Sochora 27, 170 00 Praha 7
Telefon: +420 234 665 111
Web: uoou.gov.cz
Datová schránka: qkbaa2n

14. Změny těchto zásad

Tyto zásady průběžně aktualizujeme, zejména při zapojení nové služby nebo změně způsobu zpracování. O podstatných změnách informujeme na webu a registrovaným obchodníkům je oznámíme e-mailem. Aktuální verze je vždy dostupná na této stránce; datum poslední aktualizace je uvedeno v jejím záhlaví.

Zapojíme-li do budoucna analytickou nebo reklamní platformu, transparentně ji uvedeme zde i v Zásadách cookies, a načte se výhradně po vašem souhlasu s odpovídající kategorií cookies. Odmítnutí platí napříč všemi platformami, současnými i budoucími.

Předchozí znění poskytneme na vyžádání na adrese gdpr@shopzi.cz.