Zásady zpracování osobních údajů
Transparentní přehled toho, jaké osobní údaje Tarifix zpracovává, proč, na jakém právním základě a jak dlouho. Vycházíme z nařízení GDPR (EU 2016/679) a metodiky ÚOOÚ.
Správce osobních údajů
Správcem vašich osobních údajů je obchodní společnost QUIX Global s.r.o., se sídlem Příčná 1892/4, 110 00 Praha 1, IČO 22466444, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze (dále jen „Tarifix" nebo „Společnost"). Tarifix provozuje portál www.tarifix.cz a související asistenční služby.
Tarifix dodržuje pravidla stanovená nařízením Evropského parlamentu a Rady (EU) 2016/679 (GDPR), zákonem č. 110/2019 Sb., o zpracování osobních údajů, a zákonem č. 480/2004 Sb., o některých službách informační společnosti.
Kontakt pro věci ochrany osobních údajů: [email protected]. Tarifix nemá podle GDPR povinnost ustanovit pověřence pro ochranu osobních údajů (DPO), ale veškeré požadavky subjektů údajů vyřizuje pověřená osoba uvnitř Společnosti.
Kategorie zpracovávaných údajů
Podle konkrétního účelu a zvolené služby Tarifix zpracovává následující kategorie osobních údajů. Rozsah je zvolen tak, aby odpovídal zásadě minimalizace údajů (čl. 5 odst. 1 písm. c) GDPR):
- Identifikační údaje — jméno, příjmení, akademický titul, datum narození (není-li jinak zjistitelné z uvedené adresy).
- Kontaktní údaje — e-mail, telefonní číslo, adresa trvalého pobytu nebo doručovací adresa.
- Identifikátory podnikatelů — IČO, DIČ (pouze u Zákazníků jednajících jako podnikatelé).
- Údaje o stávající službě — označení stávajícího dodavatele, číslo tarifu, variabilní symbol, ukončovací datum závazku, spotřeba (u energií EAN/EIC). Jsou nezbytné pro realizaci změny dodavatele nebo přenositelnosti čísla.
- Transakční údaje — informace o uzavřených Smlouvách o poskytování služby, o úhradách a o provedených úkonech vůči dodavateli.
- Technické údaje — IP adresa, typ prohlížeče, typ zařízení, data z analytických cookies po udělení souhlasu.
- Obsah komunikace — e-maily, chatové zprávy, obsah kontaktních formulářů.
- Nahrávky hovorů — pouze v rámci zákaznické podpory na callcentru (viz samostatný článek „Nahrávky telefonních hovorů").
- Zvláštní kategorie — rodné číslo, údaje z dokladů — pouze v konkrétních scénářích s explicitním právním základem, viz článek „Zvláštní kategorie".
Účely, právní základy a doby uchování
Pro každý účel je níže přesně uveden právní základ zpracování (čl. 6 odst. 1 GDPR) a standardní doba uchování údajů. Doba uchování je zkrácena, pokud účel zanikne dříve (například jednorázová poptávka, kterou Zákazník nedokončí).
| Účel zpracování | Právní základ | Doba uchování |
|---|---|---|
| Vyřízení nezávazné poptávky (callback, kontaktní formulář) | Čl. 6 odst. 1 písm. b) — jednání o smlouvě | 6 měsíců od posledního kontaktu, pokud nedojde k uzavření Smlouvy |
| Plnění Smlouvy o poskytování služby — vlastní asistence s výběrem a aktivací tarifu | Čl. 6 odst. 1 písm. b) — plnění smlouvy | Po dobu trvání Smlouvy + 4 roky po skončení (standardní promlčecí lhůta) |
| Plnění daňových a účetních povinností | Čl. 6 odst. 1 písm. c) — plnění právní povinnosti | 10 let od konce daňového období, v němž doklad vznikl (§ 35 zákona o DPH) |
| Uplatnění a obhajoba právních nároků | Čl. 6 odst. 1 písm. f) — oprávněný zájem správce | Po dobu promlčecí lhůty, nejdéle 4 roky po skončení smluvního vztahu |
| Předcházení podvodnému jednání a ochrana systémů (fraud / abuse detection) | Čl. 6 odst. 1 písm. f) — oprávněný zájem správce | 12 měsíců od posledního incidentu nebo detekce |
| Zasílání obchodních sdělení Tarifixu (e-mailový newsletter o nových tarifech a radách) | Čl. 6 odst. 1 písm. a) — výslovný souhlas; u existujících Zákazníků též § 7 odst. 3 zákona č. 480/2004 Sb. | Do odvolání souhlasu; nejdéle 5 let od posledního aktivního využití služby |
| Analytika návštěvnosti (agregovaná, přes Google Analytics po souhlasu) | Čl. 6 odst. 1 písm. a) — souhlas s cookies | 14 měsíců (výchozí nastavení GA4); uživatel může odvolat souhlas kdykoli |
| Personalizace nabídky (profilování, viz dále) | Čl. 6 odst. 1 písm. f) — oprávněný zájem; u dat citlivých pro profilování souhlas dle čl. 6 písm. a) | Po dobu trvání Smlouvy + 12 měsíců od posledního kontaktu |
| Nahrávky telefonních hovorů (zákaznická podpora) | Čl. 6 odst. 1 písm. f) — oprávněný zájem na doložení průběhu kontaktu | 6 měsíců, prodloužitelné pouze při reklamaci nebo sporu |
Pokud je poskytnutí údajů smluvním požadavkem, Zákazník není povinen údaje poskytnout; bez poskytnutí však nelze Smlouvu plnit (není například možné provést aktivaci tarifu u dodavatele). O tom, které konkrétní údaje jsou v daném případě nezbytné, Tarifix Zákazníka vždy předem informuje.
Zvláštní kategorie — rodné číslo a údaje z dokladů
Rodné číslo je podle zákona č. 133/2000 Sb. zvlášť chráněný identifikátor. Pro běžné občanskoprávní smlouvy jej občanský zákoník pro identifikaci nepožaduje — zpravidla stačí jméno, příjmení, adresa a datum narození.
Tarifix proto rodné číslo a údaje z občanského průkazu nesbírá paušálně. Zpracovává je pouze v těchto přesně vymezených případech:
- pokud dodavatel, u kterého Zákazník uzavírá smlouvu, tyto údaje pro svůj vnitřní proces výslovně vyžaduje (typicky při převodu jistiny nebo kontrole platební spolehlivosti);
- pokud jde o plnění povinnosti Tarifixu podle zákona o některých opatřeních proti legalizaci výnosů z trestné činnosti (AML);
- na výslovnou žádost Zákazníka, pokud Tarifix má doklad zastoupit přímo v dodavatelově systému.
V každém z těchto případů je Zákazník předem informován, proč konkrétně je údaj nutný, komu bude předán a jak dlouho bude uchován. Pokud Zákazník údaj poskytnout nechce, Tarifix mu nabídne alternativní postup (pokud je dostupný) nebo transparentně sdělí, že bez něj nelze konkrétní úkon u dodavatele provést.
Nahrávky telefonních hovorů
Tarifix může nahrávat příchozí a odchozí hovory zákaznické podpory, pokud Zákazník před zahájením hovoru obdrží o nahrávání zřetelné sdělení (typicky automatické hlasové hlášení s možností odmítnout). Právním základem je oprávněný zájem Tarifixu na doložení průběhu komunikace, zejména pro reklamaci a ochranu před falešnými nároky.
Nahrávky se uchovávají po dobu 6 měsíců. Pokud v této době dojde k reklamaci nebo právnímu sporu, nahrávka se uchovává až do jejich pravomocného vyřešení.
Příjemci a zpracovatelé
Tarifix údaje nepředává nikomu, kdo by je potřeboval k vlastním účelům. Všichni zpracovatelé jsou vázáni písemnou zpracovatelskou smlouvou podle čl. 28 GDPR. Okruh příjemců je tento:
- Dodavatelé, u nichž Tarifix jménem Zákazníka jedná — poskytovatelé internetu, telekomunikační operátoři, dodavatelé elektřiny a plynu. Tarifix jim předává pouze údaje nezbytné pro uzavření nebo úpravu Smlouvy s dodavatelem a pouze na základě výslovné plné moci Zákazníka.
- Dodavatelé IT a hostingu — provozovatelé cloudových služeb (zejména v rámci EU/EHP), poskytovatelé e-mailových a komunikačních nástrojů, CRM systémů.
- Účetní a právní kancelář — externí zpracování účetnictví a právní poradenství v rozsahu nezbytném pro dané úkony.
- Marketingové nástroje — platformy pro zasílání newsletteru a správu reklamy (pouze s vaším souhlasem u marketingových cookies).
- Orgány veřejné moci — pokud Tarifix plní zákonnou povinnost poskytnout údaje (soud, správce daně, orgány činné v trestním řízení).
Aktuální podrobný seznam hlavních zpracovatelů Tarifix zveřejní na vyžádání. Seznam se může v čase měnit; Tarifix však dbá, aby každá změna splňovala podmínky čl. 28 GDPR.
Předávání údajů mimo EU
Standardně Tarifix zpracovává osobní údaje v rámci Evropské unie a Evropského hospodářského prostoru (EU/EHP). Pokud v konkrétním případě dochází k předání do třetí země (např. americký SaaS provider), Tarifix zajistí, že předání je podloženo některým z následujících nástrojů:
- rozhodnutí Evropské komise o odpovídající úrovni ochrany (čl. 45 GDPR — např. adekvační rozhodnutí EU-US Data Privacy Framework);
- standardní smluvní doložky podle čl. 46 odst. 2 písm. c) GDPR (SCCs) doplněné o případná doplňková opatření;
- v ojedinělých případech a pouze po výslovném poučení — souhlas subjektu údajů podle čl. 49 odst. 1 písm. a) GDPR.
Profilování a automatizované rozhodování
Tarifix provádí profilování ve smyslu čl. 4 odst. 4 GDPR — tedy automatizované zpracování osobních údajů pro hodnocení některých osobních aspektů Zákazníka (zejména jeho spotřebních preferencí) za účelem personalizace nabídky tarifů.
Co konkrétně se profiluje: Na základě údajů o stávajícím tarifu, spotřebě a preferencích Tarifix automatizovaně zužuje výběr vhodných nabídek (filtruje tarify, které se pro dané potřeby nehodí). Výsledkem profilování je doporučený seznam tarifů — ne cena, ne rozhodnutí o poskytnutí služby, ne rating.
Tarifix neprovádí rozhodování založené výhradně na automatizovaném zpracování, které by mělo právní účinky pro Zákazníka (čl. 22 GDPR). Každé doporučení je nabídkou, o které rozhoduje Zákazník, a u každé aktivace je vždy zapojený pracovník Tarifixu.
Zákazník má právo požádat o lidský zásah, vyjádřit svůj názor a napadnout výsledek profilování — stačí napsat na [email protected]. Tarifix odpověď poskytne do 30 dnů.
Práva subjektu údajů
Podle GDPR máte ve vztahu ke svým osobním údajům tato práva:
- Právo na přístup (čl. 15) — získat informace o tom, zda Tarifix vaše údaje zpracovává, v jakém rozsahu a za jakými účely, a obdržet jejich kopii.
- Právo na opravu (čl. 16) — nechat opravit nepřesné nebo doplnit neúplné údaje.
- Právo na výmaz („právo být zapomenut") (čl. 17) — požádat o smazání údajů, pokud k jejich zpracování není další zákonný důvod.
- Právo na omezení zpracování (čl. 18) — v konkrétních situacích požadovat, aby byly údaje pouze uchovávány, nikoli dále zpracovávány.
- Právo na přenositelnost údajů (čl. 20) — obdržet údaje ve strukturovaném, běžně používaném a strojově čitelném formátu a případně je předat jinému správci.
- Právo vznést námitku (čl. 21) — proti zpracování na základě oprávněného zájmu nebo proti přímému marketingu (kdykoli a bez důvodu).
- Právo odvolat souhlas (čl. 7 odst. 3) — kdykoli odvolat dříve udělený souhlas. Odvolání nemá vliv na zpracování, k němuž došlo před jeho odvoláním.
- Právo podat stížnost (čl. 77) — obrátit se na Úřad pro ochranu osobních údajů (www.uoou.cz), pokud se domníváte, že zpracování porušuje GDPR.
Jak práva uplatnit
Žádost můžete zaslat:
- e-mailem na [email protected];
- poštou na adresu QUIX Global s.r.o., Příčná 1892/4, 110 00 Praha 1;
- osobně v sídle Tarifixu v pracovní době po předchozí domluvě.
Tarifix odpoví bez zbytečného odkladu, nejpozději do jednoho měsíce od obdržení žádosti. V odůvodněných případech lze lhůtu prodloužit o další dva měsíce; o prodloužení a jeho důvodech vás informujeme.
Před vyřízením žádosti Tarifix ověří vaši totožnost, aby předešel neoprávněnému zpřístupnění údajů. Vyřízení žádosti je zdarma; pouze při zjevně neopodstatněných nebo nepřiměřených žádostech (zejména opakovaných) může Tarifix účtovat přiměřený administrativní poplatek, nebo žádost odmítnout.
Zabezpečení údajů
Tarifix přijal přiměřená technická a organizační opatření k zabezpečení osobních údajů proti neoprávněnému přístupu, změně nebo ztrátě. Patří mezi ně zejména:
- šifrovaná komunikace (TLS 1.3) u všech služeb Portálu;
- řízení přístupových oprávnění podle principu minimálních práv;
- vícefaktorová autentizace pro interní systémy;
- pravidelné zálohy a plán obnovy dat;
- interní směrnice pro zaměstnance a smluvní závazky zpracovatelů.
V případě zjištěného porušení zabezpečení s rizikem pro práva a svobody subjektů údajů Tarifix bez zbytečného odkladu (do 72 hodin) oznámí incident ÚOOÚ a — pokud je riziko vysoké — dotčeným subjektům údajů (čl. 33 a 34 GDPR).
Změny zásad zpracování
Tarifix si vyhrazuje právo tyto Zásady aktualizovat, zejména v reakci na změny právní úpravy, výkladové praxe ÚOOÚ nebo nové zpracovatelské vztahy. O významných změnách bude Tarifix uživatele informovat e-mailem (je-li to možné) a prostřednictvím oznámení na Portálu nejméně 14 dnů před účinností.
Archiv předchozích verzí těchto Zásad Tarifix na vyžádání poskytne pro účely auditu.