Zásady ochrany osobních údajů

Tyto zásady ochrany osobních údajů ("Zásady") popisují, jak Josef Pechar, IČO 24005169 ("Provozovatel"), zpracovává osobní údaje v souvislosti s webovou aplikací UbyHost a souvisejícími stránkami ("Služba"). Platí pro: (a) poskytovatele ubytování a jejich pracovníky s účtem ("Uživatelé účtu"); (b) návštěvníky veřejných stránek (/login, /legal, /terms, /privacy); (c) technické zpracování údajů hostů na pokyn ubytovatele dle níže. Neupravují vztah ubytovatele a hosta jako správce a subjektu údajů — to řeší informace pro hosty u odkazu (/l/{token}/privacy) a vlastní dokumenty ubytovatele.

Pro údaje účtu ubytovatele, přihlášení, fakturační kontakty (pokud existují), podporu a provozní logy Služby je Provozovatel správcem ve smyslu nařízení (EU) 2016/679 ("GDPR") a zákona č. 110/2019 Sb. Identita a adresa jsou na /legal. E-mail [email protected] slouží pro žádosti o práva; použít lze také poštovní adresu na /legal. Telefonní linka není garantována, pokud není zveřejněna.

Ubytovatel (nebo nastavená právnická osoba) je typicky správcem údajů o hostech (jména, cestovní doklady, pobyty, podpisy aj.). Provozovatel poskytuje software a údaje hostů zpracovává jen na dokumentovaný pokyn ubytovatele — obvykle jako zpracovatel dle čl. 28 GDPR. Společná správa s ubytovatelem nenastává, pokud není výslovně písemně sjednána. Provozovatel je správcem vlastních provozních údajů. Podmínky zpracování údajů hostů jsou v DPA na /dpa. Povinnosti ubytovatele podle zákona se na Provozovatele nepřenášejí.

Můžeme zpracovávat: identifikátory účtu; autentizační údaje (hash hesla, tokeny relace, volitelné „zapamatovat", šifrované tajemství TOTP pro dvoufázové ověření a jednosměrné hashe obnovovacích kódů); nastavení; názvy a kontakty právnických osob pro informace hostům; metadata ubytování a pobytů; přihlašovací údaje k UbyPortu nebo kalendářům (šifrovaně); auditní záznamy; komunikaci s námi; nastavení transakčních e-mailů a záznamy o doručení; fakturační údaje. Zvláštní kategorie údajů o ubytovateli nevyžadujeme, pokud je sami nezadáte v textových polích.

Při používání Služby zpracováváme údaje, které ubytovatel nebo host zadá: identitu a doklady, termíny pobytu, státní příslušnost, adresy, podpisy, e-maily k převzetí rezervace, nahlášený počet hostů, záznamy domovní knihy, odkazy k převzetí, upozornění na nedokončení, potvrzení o dokončení (včetně kopie ubytovateli) a data pro přenos do UbyPortu či souvisejících systémů policie, pokud je funkce zapnuta. Účely, právní základy a dobu uchování pro hosty určuje ubytovatel jako správce v informaci pro hosty. Provozovatel zajišťuje technická a organizační opatření, ale ne rozhoduje o účelu zpracování údajů hostů ve smyslu GDPR.

Údaje uživatelů účtu zpracováváme pro poskytování a zabezpečení Služby (smlouva / oprávněný zájem, čl. 6 odst. 1 písm. b) a f) GDPR); plnění právních povinností (písm. c)); prevenci zneužití a incidentů (oprávněný zájem); účetní a daňové povinnosti; zlepšování spolehlivosti agregovanými diagnostikami. Při oprávněném zájmu vážíme naše potřeby a vaše práva. Souhlas vyžadujeme jen tam, kde to vyžaduje zákon. Platí i zákon č. 110/2019 Sb.

Služba používá nezbytné cookies: relaci přihlášení ubytovatele (delší při „zapamatovat"); jazyk; u hostovských odkazů cookies pro PIN (nejvýše 7 dní), jazyk, přístup k potvrzené rezervaci a formuláře odeslané z daného zařízení (nejvýše 60 dní). Produkční provoz ubyhost.com zprostředkovává Cloudflare. Můžeme použít Cloudflare Turnstile na produkčním přihlášení a po opakovaných neúspěšných pokusech o PIN; Bot Fight Mode proti automatizované návštěvnosti; kontrolu uniklých přihlašovacích údajů, která na okraji sítě porovnává pokusy o přihlášení se známými úniky hesel (heslo se v Cloudflare dashboardu neukládá); a malý skript klientské bezpečnosti, který eviduje skripty třetích stran v prohlížeči. Tyto funkce mohou zpracovávat technické identifikátory a údaje o připojení (např. IP) podle podmínek Cloudflare; nejde o reklamu. V aplikaci v základní podobě nepoužíváme reklamní ani analytické cookies třetích stran. Cookies lze omezit v prohlížeči; bez relačního cookie přihlášení nefunguje. Prohlížeče mohou také dodržovat HTTP Strict Transport Security (HSTS), takže se tato doména po omezenou dobu otevírá jen přes HTTPS.

Infrastruktura automaticky zaznamenává IP adresy, čas, cesty požadavků, user agent, chyby a bezpečnostní události (neúspěšná přihlášení, rate limiting). Cloudflare jako DNS/CDN/bezpečnostní proxy pro produkci může rovněž logovat nebo hodnotit požadavky kvůli DDoS, botům a únikům přihlašovacích údajů. Logy slouží provozu a ochraně Služby po omezenou dobu, déle jen při incidentu nebo zákonné povinnosti. Mohou obsahovat osobní údaje (např. IP).

Údaje vidí oprávnění pracovníci a smluvní partneři s mlčenlivostí. Hosting zajišťují subzpracovatelé včetně Amazon Web Services (Lightsail nebo obdobný hosting v EHP pro produkci), Render.com (staging a další úrovně; často EU Frankfurt), DNS/CDN včetně Cloudflare (včetně Turnstile, Bot Fight Mode, kontroly uniklých přihlašovacích údajů, monitoringu skriptů na straně klienta a HSTS v produkční zóně), Google Drive a/nebo Amazon S3 při nastavených off-site zálohách, poskytovatel transakčních e-mailů (včetně Amazon SES po zapnutí) a případně podpora. Kopie potvrzení o dokončení může ubytovateli zpřístupnit adresu hosta uvedenou jako příjemce. Údaje hostů mohou být přeneseny do UbyPort Policie ČR na pokyn ubytovatele jako zpracovatele. Subzpracovatelé musí mít vhodné záruky (čl. 28 GDPR). Podstatné změny promítneme do těchto Zásad.

Usilujeme o zpracování v EHP. Pokud subzpracovatel přenáší údaje mimo EHP, použijeme standardní smluvní doložky, rozhodnutí o přiměřenosti nebo jiné prostředky dle kapitoly V GDPR. Podrobnosti poskytneme na žádost, kde to zákon vyžaduje.

Údaje účtu držíme po dobu aktivního účtu a přiměřeně po ukončení kvůli exportu, sporům a zákonu. Údaje hostů řídí nastavení a povinnosti ubytovatele (včetně typické šestileté domovní knihy); Provozovatel může uchovávat šifrované zálohy databáze a klíčů na serveru a při nastavení off-site kopie (např. týdně na Google Drive a měsíčně na Amazon S3) pro obnovu po havárii po omezenou dobu. Dokončené či konečné záznamy doručení a konzolové kopie ve stagingu se běžně mažou po 14 dnech; e-mail k převzetí zůstává spojen s uchovanou rezervací, pokud ubytovatel převzetí neuvolní. Bezpečnostní logy po krátkou dobu. Po uplynutí mažeme nebo anonymizujeme, pokud zákon nevyžaduje jinak.

Používáme šifrování citlivých přihlašovacích údajů a TOTP, HTTPS (s HSTS na produkční doméně), povinné dvoufázové ověření účtů ubytovatelů v produkci, ochrany Cloudflare na okraji sítě (Turnstile při přihlášení a po opakovaných neúspěších PIN u hostů, pokud je zapnuto; Bot Fight Mode; kontrola uniklých přihlašovacích údajů; monitoring skriptů v prohlížeči), řízení přístupu, rate limiting přihlášení, oddělení prostředí a aktualizace závislostí. Žádný přenos není stoprocentně bezpečný; ubytovatelé mají používat silná hesla, chránit autentizační aplikaci a obnovovací kódy a pečlivě sdílet odkazy hostům. Bezpečnostní incidenty hlaste kontaktu na /legal.

Jako správce můžete uplatnit přístup, opravu, výmaz, omezení, přenositelnost a námitku dle GDPR; odvolat souhlas, kde je základem. Stížnost u Úřadu pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, www.uoou.cz. Vyřizujeme bez zbytečného odkladu. Můžeme ověřit totožnost. Práva mohou být omezena zákonem nebo obranou nároků.

Hosté žádají o přístup, opravu, výmaz a námitku u správce uvedeného v informaci pro dané ubytování. Provozovatel jako zpracovatel pomůže technicky, pokud je to možné a smluvně nutné, ale obvykle nerozhoduje bez pokynu ubytovatele.

Služba nepoužívá čistě automatizované rozhodování s právními nebo obdobně významnými účinky dle čl. 22 GDPR. Validace polí pomáhá uživatelům, nenahrazuje rozhodnutí ubytovatele nebo úřadů.

Služba je určena pro podnikatelské použití ubytovatelů. Účty dětem nenabízíme. Údaje o nezletilých hostech mohou být zpracovány zákonnou povinností ubytovatele jako správce.

Osobní údaje neprodáváme. Můžeme zasílat provozní zprávy (bezpečnost, změny podmínek či zásad). Marketing třetích stran přes aplikaci nebez souhlasu neprovádíme.

Při porušení zabezpečení údajů, za která jsme správcem, oznámíme ÚOOÚ a dotčené osoby dle čl. 33–34 GDPR. U údajů hostů jako zpracovatel bez zbytečného odkladu informujeme ubytovatele.

Ubytovatel musí hostům sdělit právní základy a informace, vyřizovat žádosti subjektů, vést záznamy, provádět DPIA kde je třeba a dávat Provozovateli jen zákonné pokyny.

Zásady můžeme měnit. Podstatné změny zveřejníme na /privacy s datem účinnosti a pokud možno oznámíme ve Službě nejméně třicet (30) dní předem. Pokračující používání po datu účinnosti znamená seznámení, kde to zákon dovoluje.

Zásady doplňují obchodní podmínky na /terms. Při rozporu v oblasti ochrany údajů mají přednost tyto Zásady a informace pro hosty; obchodní ujednání zůstávají v podmínkách.

Dotazy ke zpracování Provozovatele směřujte na Josef Pechar, IČO 24005169, adresu na /legal nebo e-mail [email protected]. K údajům hostů kontaktujte správce v informaci u daného ubytování.