Zásady ochrany osobních údajů

Verze 1.0 (návrh po interní vícenásobné kontrole, před kontrolou advokátem). Účinnost: viz bod 12.

0. Rozsah dokumentu a dvě odlišné role

Tenhle dokument popisuje zpracování osobních údajů na webu zaslouzene.cz a v poptávkovém formuláři na něm. Vystupují tu dvě odlišné role, které je potřeba od sebe striktně odlišovat:

1. Návštěvníci webu a osoby, které odešlou poptávkový formulář. U nich je provozovatel Zaslouženě správcem osobních údajů ve smyslu čl. 4 bod 7 GDPR. Tomuto vztahu se věnuje tenhle dokument v plném rozsahu.
2. Koncoví zákazníci klientů Zaslouženě (tedy zákazníci řemeslnických firem, kterým po dokončené zakázce chodí SMS s odkazem na Google profil firmy). U nich je správcem klient (řemeslník), provozovatel Zaslouženě je vůči nim zpracovatelem podle čl. 28 GDPR. Tenhle vztah je popsán v bodě 11 a řídí se samostatnou zpracovatelskou smlouvou (DPA) s každým klientem.

Poznámka ke stavu služby k datu vydání dokumentu: web zaslouzene.cz je aktuálně validační landing page. Produkční napojení na fakturační systémy klientů a hromadné rozesílání SMS koncovým zákazníkům klientů ještě neexistuje — je to popsáno v bodě 11 jako budoucí stav služby, na který se provozovatel připravuje. Jediná SMS, kterou landing page reálně odesílá, je ukázková SMS na telefonní číslo, které do formuláře zadá sám zájemce o službu (viz bod 3, účel B) — to je pořád vztah správce, ne zpracovatele.

Struktura dokumentu: dokud produkční provoz s koncovými zákazníky neběží, pokrývá obě role tenhle jeden dokument. Jakmile se spustí ostrý provoz s prvním klientem, přibude stručná samostatná informační stránka pro koncové zákazníky klientů (proč jim přišla SMS, jak se odhlásit, na koho se obrátit), na kterou bude SMS odkazovat; tato stránka bude na tento dokument odkazovat, ne ho nahrazovat. Zpracovatelská smlouva s klientem zůstává vždy samostatný právní dokument mimo tyto zásady.

1. Správce a kontaktní údaje

Zpracování osobních údajů se řídí nařízením GDPR a zákonem č. 110/2019 Sb., o zpracování osobních údajů, v rozsahu, v jakém tento zákon GDPR doplňuje (zejména dozor ÚOOÚ a některé vnitrostátní výjimky).

Správcem osobních údajů zpracovávaných v souvislosti s webem zaslouzene.cz je:

Tomáš Novák, podnikající fyzická osoba (OSVČ)
IČO: [DOPLNIT: IČO]
DIČ: [DOPLNIT: DIČ, pouze pokud je provozovatel plátcem DPH — viz otevrene-otazky.md]
Sídlo / místo podnikání: [DOPLNIT: adresa]
Zapsán: [DOPLNIT: živnostenský rejstřík, pokud relevantní]
Kontaktní e-mail: [DOPLNIT: e-mail na vlastní doméně]
Kontaktní telefon: [DOPLNIT]

(dále jen „provozovatel" nebo „správce")

Pověřenec pro ochranu osobních údajů (DPO)

Provozovatel nejmenoval pověřence pro ochranu osobních údajů. Povinnost jmenovat DPO podle čl. 37 odst. 1 GDPR se na něj nevztahuje, protože:

• není orgánem veřejné moci ani veřejným subjektem (písm. a),
• jeho hlavní činností není pravidelné a systematické monitorování subjektů údajů ve velkém rozsahu (písm. b) — zpracovává řádově jednotky až nízké stovky kontaktů měsíčně, ne rozsáhlé sledování,
• jeho hlavní činností není rozsáhlé zpracování zvláštních kategorií údajů podle čl. 9 nebo údajů o rozsudcích a trestných činech podle čl. 10 (písm. c).

Dotazy ohledně ochrany osobních údajů vyřizuje přímo provozovatel na kontaktním e-mailu výše.

2. Kategorie zpracovávaných osobních údajů

2.1 Návštěvníci webu (bez odeslání formuláře)

• Technické a provozní údaje spojené s načtením stránky a běžným provozem hostingu (IP adresa jako součást standardních přístupových logů infrastruktury, typ prohlížeče, user agent) — v rozsahu, v jakém je zpracovává hostingová platforma Vercel v rámci provozu a zabezpečení serveru (viz bod 5 a 10).
• Volba v cookie liště (souhlas / odmítnutí měření), uložená v localStorage prohlížeče pod klíčem zaslouzene_cookie_consent. Tahle hodnota se nikam neodesílá na server provozovatele, zůstává jen v prohlížeči návštěvníka.
• Po udělení souhlasu s cookie lištou: technické a identifikační údaje, které o návštěvníkovi shromažďují skripty třetích stran (Meta Pixel, Sklik) — viz bod 6. Provozovatel k těmto surovým datům nemá přímý přístup, dostává je jen ve formě agregovaných reportů a (v testovacím módu) jednotlivých událostí v rozhraní Meta Events Manager.

2.2 Zájemci, kteří odešlou poptávkový formulář

Formulář na webu (pole odpovídají docs/landing-copy.md, sekce 7, a jsou 1:1 implementovaná v index.html):

Pole označená jako povinná jsou nutná k vyřízení poptávky — bez jejich vyplnění formulář nejde odeslat (backend odmítne požadavek s chybou, viz api/_lib/validate.js). U nepovinných polí žádný takový důsledek není, poptávka se zpracuje i bez nich.

Dále se u odeslané poptávky zpracovává:

• IP adresa odesílatele — pro rate limiting (ochranu proti zneužití formuláře), viz bod 3 a 4.
• Časové razítko souhlasu — zaznamenává se v textu notifikace odeslané na Telegram (Souhlas: ano, [datum a čas v ISO formátu]).
• Prázdná hodnota skrytého pole „website" (honeypot proti botům) — pokud je vyplněná, formulář se odmítne jako spam; jinak se nezpracovává.

Formulář nesbírá e-mailovou adresu. Web nemá newsletter ani žádné druhé konverzní pole.

2.3 Koncoví zákazníci klientů (budoucí produkční služba, viz bod 11)

V okamžiku, kdy klient (řemeslník) spustí produkční službu, bude provozovatel jako zpracovatel klienta zpracovávat u koncových zákazníků klienta v minimálním rozsahu:

• telefonní číslo koncového zákazníka (pro odeslání SMS),
• jméno firmy klienta jako odesílatele (ne osobní údaj koncového zákazníka, ale součást obsahu zprávy),
• status odhlášení (opt-out), pokud zákazník odpoví „STOP".

Přesný rozsah a účel určuje klient jako správce a zpracovatelská smlouva s ním — viz bod 11.

3. Účely zpracování a právní tituly

Ke každému účelu samostatně, podle čl. 6 odst. 1 GDPR.

Účel A — Vyřízení poptávky a telefonický kontakt zájemce

Zájemce sám vyplní a odešle formulář s výslovnou žádostí, aby ho provozovatel kontaktoval ohledně poptávané služby.

Právní titul: čl. 6 odst. 1 písm. b) GDPR — jednání směřující k uzavření smlouvy, prováděné na žádost subjektu údajů. Odeslání formuláře je aktivní krok zájemce, kterým si o kontakt sám řekne; nejde o nevyžádané oslovení provozovatelem.

Zaškrtávací políčko „Souhlasím, že mě kvůli téhle poptávce kontaktujete" u tohoto účelu není souhlasem podle čl. 6 odst. 1 písm. a) GDPR — ten tu není potřeba, protože titulem je písm. b). Políčko plní jinou funkci: je to doložitelné, jednoznačné potvrzení záměru zájemce kontaktovat provozovatele, které si navíc vyžaduje interní pravidlo projektu (checkbox nesmí být předzaškrtnutý a bez něj formulář nejde odeslat).

Ve vztahu k zákonu č. 480/2004 Sb. o některých službách informační společnosti: telefonát a SMS zájemci na základě jeho vlastní žádosti nejsou obchodním sdělením ve smyslu § 7 — tohle ustanovení dopadá na nevyžádaná sdělení, kdežto tady jde o přímou reakci na žádost subjektu údajů samotného, takže se § 7 na tenhle konkrétní kontakt vůbec neuplatní.

Účel B — Ukázková SMS na zadané telefonní číslo

Po úspěšném odeslání formuláře (a je-li funkce zapnutá feature flagem SMS_ENABLED) odejde na zadané číslo jedna SMS s ukázkou toho, jak bude produkt fungovat, s dosazeným názvem firmy zájemce.

Právní titul: čl. 6 odst. 1 písm. b) GDPR, ze stejného důvodu jako u účelu A — ukázková SMS je integrální součástí vyřízení poptávky, o kterou zájemce požádal (mikrotext u pole Telefon na webu ho na to výslovně upozorňuje: „Hned po odeslání vám na něj přijde ukázková SMS."). Nejde o samostatný marketingový účel vůči třetí osobě, telefonní číslo je číslo samotného zájemce.

Účel C — Rate limiting a ochrana formuláře proti zneužití

IP adresa a telefonní číslo se dočasně používají jako klíč pro počítadlo v Redisu, aby nešlo formulář zahltit opakovanými odesláními ani zneužít k rozeslání SMS jednomu číslu vícekrát.

Právní titul: čl. 6 odst. 1 písm. f) GDPR — oprávněný zájem provozovatele na ochraně dostupnosti a integrity formuláře a na zamezení zneužití SMS brány. Přiměřenost: zásah do soukromí je minimální (jde jen o krátkodobě uložený technický klíč s počítadlem, ne o profil osoby), zpracování je nezbytné (bez něj nejde jednoduchý formulář technicky ochránit) a doba uchování je krátká (1 až 24 hodin, viz bod 4).

Účel D — Provoz, bezpečnost a technická diagnostika webu

Standardní provozní logy hostingu (Vercel), HTTP bezpečnostní hlavičky, logování chyb při zpracování poptávky (viz bod 10 k obsahu logů).

Právní titul: čl. 6 odst. 1 písm. f) GDPR — oprávněný zájem na funkčním a zabezpečeném provozu služby.

Účel E — Marketingové měření (Meta Pixel, Sklik) po souhlasu s cookies

ViewContent, InitiateCheckout a Lead eventy pro Meta Pixel a konverzní/retargetingový kód Skliku, výhradně po odsouhlasení cookie lišty.

Právní titul: uložení/čtení identifikátorů v zařízení návštěvníka se řídí § 89 odst. 3 zákona č. 127/2005 Sb. o elektronických komunikacích a vyžaduje předchozí souhlas (opt-in) — na webu realizováno tak, že se skripty Meta Pixelu a Skliku načtou teprve po kliknutí na „Souhlasím" v cookie liště, nikdy dřív. Navazující zpracování údajů pro účely měření je založené na souhlasu podle čl. 6 odst. 1 písm. a) GDPR. Souhlas se ukládá výhradně lokálně v prohlížeči návštěvníka (localStorage), provozovatel k němu nemá vzdálený přístup a nemůže ho na dálku změnit. Jediný funkční způsob odvolání je smazání dat webu v prohlížeči (cookies i localStorage) — po něm se návštěvníkovi při další návštěvě cookie lišta zobrazí znovu. Zpráva na kontaktní e-mail souhlas technicky nezruší; slouží jen k tomu, aby provozovatel na žádost mohl poradit, jak lokální souhlas smazat, případně reagovat jinak v rámci práv podle bodu 7.

Zpracování probíhá v roli samostatných správců na straně Meta Platforms a Seznam.cz — provozovatel jim nepředává jmenné údaje ze formuláře, jde o technická/behaviorální data sbíraná přímo jejich skripty (viz bod 6).

4. Doby uchování

Konkrétní lhůty, ne obecná fráze. Ke každému účelu z bodu 3:

Po uplynutí uvedených dob se technické klíče v Redisu automaticky mažou díky TTL. U zpráv v Telegramu jde o ruční proces, který k datu vydání dokumentu ještě není zavedený jako opakovaná rutina — viz bod 10 a otevrene-otazky.md.

5. Příjemci a zpracovatelé

Provozovatel nepředává údaje žádné třetí straně nad rámec toho, co je nutné k doručení poptávky, ochraně formuláře a měření podle bodu 3. Žádné CRM, žádný prodej dat, žádná analytická SaaS platforma mimo níže uvedené.

S příjemci v roli zpracovatele (Vercel, Upstash, Telegram, SMS brána) provozovatel uzavírá nebo se zavazuje uzavřít smlouvu o zpracování osobních údajů podle čl. 28 GDPR. U Meta Platforms a Seznam.cz jde o jiný právní rámec — viz poznámka níže a bod 6. U položek označených „k potvrzení" jde o mezery, které je nutné doplnit před ostrým spuštěním — viz otevrene-otazky.md.

Poznámka k Meta Pixelu: tabulka výše zjednodušeně uvádí u Meta Platforms roli „samostatný správce". V závislosti na konkrétní konfiguraci Pixelu (zejména při případném sdílení eventů přes Conversions API) ale může jít o společnou správu podle čl. 26 GDPR pro fázi sběru dat pixelem, ne o čistě nezávislé zpracování na straně Meta (srov. rozsudek SDEU C-40/17, Fashion ID). Meta u svých Business Tools standardně vyžaduje přijetí tzv. Controller Addendum, které tenhle vztah zakládá. Před ostrým spuštěním je nutné ověřit aktuální Meta Business Tools Terms / Data Processing Terms a v případě společné správy doplnit shrnutí odpovědností podle čl. 26 odst. 2 — viz otevrene-otazky.md.

6. Cookies a obdobné technologie

Vlastní kód webu (assets/js/main.js) nepoužívá cookies. Jediné, co web sám ukládá do prohlížeče, je hodnota v localStorage (klíč zaslouzene_cookie_consent), která si pamatuje volbu z cookie lišty. Tohle uložení je technicky nezbytné pro fungování samotné cookie lišty (aby se návštěvníkovi lišta neukazovala znovu při každém načtení) a nespadá pod povinnost souhlasu podle § 89 odst. 3 zákona č. 127/2005 Sb.

Po kliknutí na „Souhlasím" v cookie liště se teprve načtou skripty třetích stran:

• Meta Pixel (connect.facebook.net/en_US/fbevents.js) — nastavuje cookies Meta Platforms (např. _fbp, případně _fbc z parametru fbclid v URL).
• Sklik / Seznam.cz (c.seznam.cz/js/rc.js) — nastavuje cookies Seznam.cz pro retargeting a měření konverze.

Při kliknutí na „Odmítnout" se žádný z těchto skriptů nenačte a žádné cookies třetích stran se nenastaví. Volba jde kdykoli změnit smazáním dat webu v prohlížeči (cookies i localStorage) — jiný přepínač na stránce aktuálně není.

Web nepoužívá Google Analytics ani žádnou jinou analytiku nad rámec Meta Pixelu a Skliku.

Podrobnosti o cookies, které nastavují Meta a Seznam.cz, a o jejich době uchování najdete v jejich vlastních zásadách: Meta, Seznam.cz.

7. Práva subjektu údajů

Máte právo:

• na přístup k údajům (čl. 15 GDPR) — zjistit, jaké údaje o vás provozovatel zpracovává, a získat jejich kopii,
• na opravu (čl. 16) — nechat opravit nepřesné nebo neúplné údaje,
• na výmaz (čl. 17) — nechat údaje smazat, pokud pro ně pominul právní důvod zpracování,
• na omezení zpracování (čl. 18),
• na přenositelnost údajů (čl. 20) — u údajů zpracovávaných na základě souhlasu nebo smlouvy a zpracovávaných automatizovaně,
• vznést námitku (čl. 21) — proti zpracování založenému na oprávněném zájmu (účely C a D v bodě 3),
• odvolat souhlas (čl. 7 odst. 3) — u zpracování založeného na souhlasu (účel E, měření po souhlasu s cookies); odvoláním není dotčena zákonnost zpracování založeného na souhlasu před jeho odvoláním,
• na informaci o automatizovaném rozhodování a profilování (čl. 22) — provozovatel žádné neprovádí, viz bod 9.

Jak právo uplatnit: e-mailem na [DOPLNIT: kontaktní e-mail] nebo písemně na adresu sídla uvedenou v bodě 1. Pro rychlé vyřízení uveďte, o jaké právo jde a jaké údaje se týkají (např. telefonní číslo, které jste zadali do formuláře).

Lhůta pro vyřízení: provozovatel odpoví bez zbytečného odkladu, nejpozději do 1 měsíce od doručení žádosti (čl. 12 odst. 3 GDPR). Ve zvlášť složitých případech lze lhůtu prodloužit o další 2 měsíce; o prodloužení a jeho důvodech bude žadatel informován do 1 měsíce od podání žádosti.

Uplatnění práv je zdarma. Provozovatel může požadovat přiměřený poplatek nebo odmítnout žádosti, které jsou zjevně nedůvodné nebo nepřiměřené, zejména pokud se opakují (čl. 12 odst. 5).

8. Právo podat stížnost

Pokud se domníváte, že zpracování vašich osobních údajů porušuje GDPR, máte právo podat stížnost u dozorového úřadu:

Úřad pro ochranu osobních údajů
Pplk. Sochora 727/27, Holešovice, 170 00 Praha 7, Česká republika
ID datové schránky: qkbaa2n
web: www.uoou.gov.cz

Tímhle právem není dotčeno vaše právo obrátit se přímo na soud.

9. Automatizované rozhodování a profilování

Provozovatel neprovádí automatizované rozhodování ani profilování ve smyslu čl. 22 GDPR, tedy rozhodování bez lidského zásahu, které by mělo pro subjekt údajů právní účinky nebo se ho obdobně významně dotýkalo.

Rate limiting popsaný v bodě 3 (účel C) je čistě technické opatření proti zneužití formuláře (počítadlo pokusů na IP adresu a telefonní číslo v časovém okně), nejde o vyhodnocování osobnosti, chování ani spolehlivosti konkrétní osoby a nemá na jednotlivce žádné právní ani jinak významné účinky — v ojedinělém případě jen dočasně odloží možnost formulář znovu odeslat.

10. Zabezpečení údajů

Konkrétní opatření, ne obecná fráze:

• Šifrovaný přenos. Web běží výhradně přes HTTPS; vercel.json nastavuje hlavičku Strict-Transport-Security (HSTS, max-age=63072000; includeSubDomains; preload), takže prohlížeč se k doméně vždy připojí zašifrovaně.
• Bezpečnostní HTTP hlavičky. X-Content-Type-Options: nosniff, X-Frame-Options: DENY, Referrer-Policy: strict-origin-when-cross-origin, Permissions-Policy blokující přístup ke kameře, mikrofonu a geolokaci.
• Zpracování v EU. Serverless funkce api/lead.js běží záměrně v regionu fra1 (Frankfurt), aby osobní údaje z formuláře primárně nezůstávaly mimo EU (viz bod 5 k dílčím výjimkám u konkrétních zpracovatelů).
• Minimalizace dat. Poptávka se nikam trvale neukládá do vlastní databáze provozovatele — jediné trvalé úložiště obsahu poptávky je zpráva na Telegramu (viz bod 5). Technické klíče pro rate limiting v Redisu mají krátkou automatickou expiraci (TTL, viz bod 4), po jejímž uplynutí se samy mažou.
• Ochrana proti zneužití formuláře. Honeypot pole (website) a rate limit na IP adresu i telefonní číslo (viz bod 3, účel C). Vědomě bez CAPTCHA, aby nevznikalo zbytečné tření pro reálné zájemce.
• Ochrana proti injekci do notifikace. Text notifikace na Telegram odstraňuje řídicí znaky a zalomení řádků z uživatelského vstupu, aby vyplněné pole nemohlo padělat další řádky zprávy.
• Kontrola obsahu SMS. Text ukázkové SMS se před odesláním sanitizuje na bezpečnou znakovou sadu a kontroluje se, že zůstává v jednom segmentu GSM-7; přesah nad 1 segment se loguje jako chyba.
• Řízení přístupu k tajným klíčům. Přístupové údaje (Telegram token, SMS brána, Redis) jsou v proměnných prostředí na straně Vercelu, nikdy v repozitáři.
• Omezený okruh lidí s přístupem. Provozovatelem je jedna osoba (Tomáš Novák), přístup k notifikacím (Telegram) a k administraci hostingu má jen on.
• Odolnost pořadí zpracování. Kód je navržený tak, že pád jednoho kroku nesmí shodit kroky před ním (poptávka a notifikace mají přednost před SMS) — omezuje riziko ztráty poptávky kvůli výpadku dílčí služby, byť to primárně řeší dostupnost, ne důvěrnost údajů.

Otevřená otázka k tomuto bodu: při selhání odeslání notifikace na Telegram loguje api/lead.js do provozních logů Vercelu celý obsah poptávky. K datu vydání dokumentu není potvrzená doba uchování těchto logů na straně Vercelu ani úroveň přístupu k nim — viz otevrene-otazky.md.

11. Postavení zpracovatele u SMS koncovým zákazníkům klientů

Tenhle bod popisuje budoucí produkční stav služby (viz bod 0), na který se má tenhle dokument připravit dopředu.

Až klient (majitel řemeslnické firmy) spustí ostrý provoz, bude fungovat takto:

1. Klient zadá provozovateli kontakt na svého zákazníka po dokončené zakázce (typicky napojením na fakturační systém — Fakturoid, iDoklad, Vyfakturuj).
2. Provozovatel odešle zákazníkovi klienta SMS s odkazem na Google profil klienta, pod jménem klienta.

V tomhle vztahu je klient správcem osobních údajů svého zákazníka a provozovatel Zaslouženě zpracovatelem podle čl. 28 GDPR, který jedná výhradně na základě doložených pokynů klienta.

Právní titul zpracování je věcí klienta jako správce. Podle dosavadní přípravy produktu jde o žádost o recenzi vlastnímu, již existujícímu zákazníkovi, opírající se o oprávněný zájem klienta na přímém marketingu vlastním zákazníkům v kombinaci s výjimkou pro stávající zákazníky podle § 7 odst. 3 zákona č. 480/2004 Sb., s právem kdykoli se odhlásit (v textu SMS: „Odhlaseni: odpovezte STOP"). Provozovatel jako šiřitel takového sdělení nese vlastní odpovědnost podle § 7 zákona č. 480/2004 Sb. bez ohledu na smluvní ujištění klienta, že má k odeslání titul — to je důvod, proč zpracovatelská smlouva musí obsahovat závazné prohlášení klienta o právním titulu a nikdy nejde tuhle odpovědnost přenést jen smluvně.

Tahle konstrukce ale staví na výkladu § 7 odst. 3, který doslovně dopadá na nabídku obdobného zboží nebo služby stávajícímu zákazníkovi — žádost o recenzi žádný výrobek ani službu nenabízí, jde o jinou kategorii sdělení podporujícího image podniku podle § 2 písm. f) téhož zákona. K tomuto konkrétnímu typu sdělení není k datu vydání dokumentu k dispozici výkladové stanovisko ÚOOÚ ani judikatura, která by ho přímo potvrzovala. Tenhle právní titul je proto potřeba samostatně potvrdit s advokátem před spuštěním produkční SMS službě prvnímu klientovi, ne ho jen převzít z byznysového plánu jako hotovou věc — viz otevrene-otazky.md.

Rozsah zpracovávaných údajů je omezený na to nezbytné pro odeslání a evidenci SMS: telefonní číslo zákazníka klienta a status odhlášení (viz bod 2.3).

Nefiltrování jako záruka pro koncového zákazníka: odkaz na recenzi dostává 100 % zákazníků klienta, automaticky, bez výjimky — v systému neexistuje funkce, kterou by klient mohl nespokojené zákazníky vyloučit, a to ani na jeho žádost. To není jen produktová vlastnost, ale záruka korektnosti zpracování vůči koncovému zákazníkovi.

Zpracovatelská smlouva (DPA): podmínky zpracování, technická a organizační opatření, doba trvání a postup při ukončení upravuje samostatná zpracovatelská smlouva uzavíraná s každým klientem při onboardingu. [DOPLNIT: vzor DPA — k datu vydání tohoto dokumentu ještě neexistuje, viz otevrene-otazky.md.]

Tento dokument (Zásady ochrany osobních údajů) se na koncové zákazníky klientů nevztahuje jako právní základ zpracování jejich údajů — ten dává zpracovatelská smlouva s klientem a informace, které koncovému zákazníkovi jako subjektu údajů poskytuje sám klient jako správce. Tenhle bod slouží k transparentnosti o roli provozovatele coby zpracovatele.

Kontakt pro koncového zákazníka. Do doby, než vznikne samostatná informační stránka pro koncové zákazníky (viz bod 0), se i koncový zákazník klienta může s dotazem nebo stížností ohledně zpracování svého telefonního čísla obrátit přímo na provozovatele na kontaktu uvedeném v bodě 1. Práva podle bodu 7 a právo na stížnost u ÚOOÚ podle bodu 8 se ho týkají stejně jako návštěvníka webu, bez ohledu na to, že primární informační povinnost vůči němu jako subjektu údajů má jako správce klient.

12. Účinnost a změny

Tyto zásady nabývají účinnosti dnem [DOPLNIT: datum zveřejnění].

Provozovatel může tyto zásady v přiměřeném rozsahu aktualizovat, zejména při změně zpracovávaných údajů, účelů, zapojených zpracovatelů nebo právní úpravy. Aktuální verze je vždy dostupná na této stránce. O podstatné změně (nový účel zpracování, nový příjemce údajů, změna právního titulu) provozovatel informuje viditelným upozorněním na webu při nejbližší návštěvě; pokud by změna vyžadovala nový souhlas, vyžádá si ho znovu.

Tento dokument je návrh připravený s pomocí AI. Před ostrým nasazením webu ho musí zkontrolovat advokát.