Ochrana soukromí

1.1. Společným správcem osobních údajů zpracovávaných prostřednictvím Platformy yourbox.cz je společnost YourBox Holding s.r.o., IČO: 21619697, DIČ: CZ21619697, se sídlem Pod Václavem 902/18, Dolní Chabry, 184 00 Praha 8, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze (dále jen „Správce“), a dále konkrétní provozní společnost pobočky (YourBox 1–5 s.r.o.), ve které má Zákazník pronajatý skladový box, v rozsahu údajů nezbytných pro plnění nájemní smlouvy, fakturaci a provoz pobočky. Seznam provozních společností a jejich identifikace je uveden v čl. 1.4 Obchodních podmínek.

1.3. Mezi Holdingem a provozními společnostmi je uzavřena dohoda o spolusprávcovstvídle čl. 26 odst. 1 GDPR, která vymezuje rozdělení odpovědností — zejména za vyřizování žádostí subjektů údajů a za poskytování informací podle čl. 13 a 14 GDPR.Jediným kontaktním místem pro uplatnění Vašich práv je YourBox Holding s.r.o.(kontakty viz čl. 8) — bez ohledu na to, ve které pobočce máte pronájem. Holding následně koordinuje vyřízení s příslušnou společností provozující pobočku.

1.2. Kontaktní údaje Správce pro záležitosti ochrany osobních údajů: e-mail info@yourbox.cz. Adresní kontakt je uveden na stránce yourbox.cz/kontakt.

2.1. Správce zpracovává osobní údaje pro následující účely:

• Provoz služby — registrace uživatele, správa uživatelského účtu, poskytnutí přístupu ke skladovému boxu, komunikace se zákazníkem ohledně služby
• Fakturace — vystavování faktur, správa plateb, plnění daňových a účetních povinností
• Komunikace — zasílání provozních oznámení, informací o změnách služby, odpovědi na dotazy zákazníků
• Marketing (pouze s opt-in souhlasem) — zasílání obchodních sdělení, informací o novinkách, slevách a akcích. Tento souhlas je dobrovolný a lze jej kdykoliv odvolat.

3.1. Zpracování osobních údajů probíhá na základě následujících právních titulů dle čl. 6 odst. 1 GDPR:

• Plnění smlouvy (písm. b) — zpracování je nezbytné pro splnění smlouvy o pronájmu skladového boxu
• Právní povinnost (písm. c) — zpracování je nezbytné pro splnění daňových a účetních povinností
• Oprávněný zájem (písm. f) — zajištění bezpečnosti objektu, kamerový dohled, prevence podvodů, ochrana majetku
• Souhlas (písm. a) — zasílání marketingových sdělení, analytické a marketingové cookies

4.1. Správce zpracovává následující kategorie osobních údajů:

• Identifikační údaje — jméno, příjmení
• Kontaktní údaje — emailová adresa, telefonní číslo, adresa bydliště nebo sídla
• Fakturační údaje — IČO, DIČ (u firemních zákazníků)
• Platební údaje — platby jsou zpracovávány výhradně prostřednictvím platební brány Stripe, Inc. Správce neukládá čísla platebních karet ani jiné citlivé platební údaje. Stripe zpracovává platební údaje jako samostatný správce dle vlastních zásad ochrany osobních údajů.
• Provozní údaje — záznamy o přístupu do objektu (PIN kódy, logy), historie objednávek
• Technické údaje — IP adresa, cookies, jazyk prohlížeče
• Údaje z přihlášení přes externího poskytovatele identity(Google) — pokud zvolíte přihlášení tlačítkem „Pokračovat přes Google“, obdržíme od poskytovatele Vaše jméno, e-mailovou adresu (ověřenou poskytovatelem) a stabilní interní identifikátor Vašeho účtu u poskytovatele (Google Sub).Heslo k Vašemu Google účtu Správce nikdy neobdrží. Rozsah požadovaných oprávnění (OAuth scopes) je minimalizován na openid email profile — žádný přístup k Vašim kontaktům, kalendáři, cloudovým úložištím nebo jiným službám u poskytovatele.
• Bezpečnostní auditní záznamy o přihlášení— pro účely detekce pokusů o neoprávněný přístup zaznamenáváme datum a čas přihlašovací události, typ události (úspěch / selhání hesla / pokus o propojení účtu), použitý kanál (heslo / Google), hash IP adresy a verzi prohlížeče. Tyto záznamy uchováváme 365 dní (viz čl. 5).

5.1. Osobní údaje zpracováváme po dobu nezbytně nutnou pro naplnění účelů zpracování:

• Smluvní údaje — po dobu trvání smlouvy a 3 roky po jejím ukončení (promlčecí lhůta)
• Účetní a daňové doklady— po dobu 10 let dle zákona č. 563/1991 Sb., o účetnictví
• Marketingový souhlas — do odvolání souhlasu
• Kamerové záznamy — maximálně 72 hodin, pokud nejsou potřebné pro řešení bezpečnostního incidentu
• Bezpečnostní auditní záznamy o přihlášení— 365 dní od události. Po této době jsou údaje uživatele v záznamech anonymizovány, čas a typ události zůstává pro statistické účely.
• Propojení s účtem Google (OAuth) — po dobu trvání propojení. Po Vámi iniciovaném zrušení propojení (v sekci Profil → Připojené účty) je záznam o propojení trvale smazán z naší databáze do 24 hodin.

5.2. Po uplynutí doby uchovávání jsou osobní údaje bezpečně smazány nebo anonymizovány.

6.1. V souvislosti se zpracováním osobních údajů máte následující práva:

• Právo na přístup — právo získat potvrzení, zda jsou vaše osobní údaje zpracovávány, a přístup k těmto údajům
• Právo na opravu — právo na opravu nepřesných nebo doplnění neúplných osobních údajů
• Právo na výmaz — právo na vymazání osobních údajů, pokud pominul účel zpracování nebo byl odvolán souhlas
• Právo na přenositelnost — právo získat osobní údaje ve strukturovaném, strojově čitelném formátu a předat je jinému správci
• Právo vznést námitku — právo vznést námitku proti zpracování na základě oprávněného zájmu, včetně profilování
• Právo na omezení zpracování — právo požadovat omezení zpracování v případech stanovených GDPR
• Právo odvolat souhlas — u zpracování založeného na souhlasu právo souhlas kdykoliv odvolat bez dopadu na zákonnost předchozího zpracování

6.2. Svá práva můžete uplatnit emailem na adrese info@yourbox.cz nebo prostřednictvím klientské zóny (Profil). Správce je povinen na žádost reagovat bez zbytečného odkladu, nejpozději do 30 dnů.

6.3. Máte právo podat stížnost u Úřadu pro ochranu osobních údajů (www.uoou.cz), pokud se domníváte, že vaše práva byla porušena.

7.1. Platforma používá soubory cookies za účelem zajištění základní funkčnosti, analýzy návštěvnosti a personalizace obsahu.

7.2. Podrobné informace o používaných cookies a možnostech jejich nastavení jsou uvedeny na stránce Nastavení cookies.

7.3. Nezbytné cookies (session token, jazyková preference) jsou aktivní vždy. Analytické cookies (Google Analytics 4 a další měřicí nástroje spouštěné přes Google Tag Manager, Microsoft Clarity) a marketingové cookies (Google Ads, Sklik retargeting, Meta Pixel) jsou aktivovány pouze se souhlasem uživatele.

8.1. V případě jakýchkoliv dotazů týkajících se zpracování osobních údajů se můžete obrátit na Správce:

• E-mail: info@yourbox.cz
• Správce platformy: YourBox Holding s.r.o., IČO: 21619697, DIČ: CZ21619697, se sídlem Pod Václavem 902/18, Dolní Chabry, 184 00 Praha 8, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze
• Provozní společnosti poboček: YourBox 1–5 s.r.o. (identifikace viz Obchodní podmínky, čl. 1.4)
• Adresní kontakt: yourbox.cz/kontakt

8.2. Pověřenec pro ochranu osobních údajů (DPO):

YourBox má jmenovaného pověřence pro ochranu osobních údajů v souladu s článkem 37 GDPR. Pro veškerou komunikaci týkající se zpracování osobních údajů, výkonu Vašich práv dle GDPR (čl. 7) nebo stížností na zpracování se obracejte na e-mail info@yourbox.cz s předmětem zprávy začínajícím slovem „GDPR".

9.1. Osobní údaje mohou být předány následujícím zpracovatelům. Se všemi zpracovateli jsou uzavřeny smlouvy o zpracování osobních údajů (DPA) v souladu s čl. 28 GDPR. Žádný zpracovatel nesmí použít údaje k vlastním účelům nad rámec sjednaného předmětu zpracování.

Zpracovatelé v EU nebo EHP:

• 2N Telekomunikace a.s. (Brno, CZ) — systém řízení přístupu, správa PIN kódů
• Komerční banka, a.s. (Praha, CZ) — párování bankovních plateb v rámci PSD2 Open Banking

Zpracovatelé v USA (viz čl. 10 o předávání do třetích zemí):

• Stripe, Inc. — zpracování plateb (platforma + per-pobočkové účty Stripe Connect)
• Cloudflare, Inc. — hosting webové aplikace a CDN, edge funkce, úložiště souborů (R2), odesílání transakčních e-mailů (Cloudflare Email Service) a omezení četnosti požadavků (Workers KV; ukládá pouze hash IP adresy)
• Google LLC— (a) přihlášení přes Google (OAuth), (b) Google Analytics 4 (pouze se souhlasem s analytickými cookies), (c) Google Tag Manager (správa měřicích kódů), (d) Google Ads — měření konverzí a remarketing (pouze se souhlasem s marketingovými cookies)
• Microsoft Corporation — Microsoft Clarity (pouze se souhlasem)
• Meta Platforms Ireland Ltd.— Meta Pixel, měření konverzí a remarketing na Facebooku a Instagramu (pouze se souhlasem s marketingovými cookies). Společnost sídlí v Irsku, data však mohou být předávána i její mateřské společnosti Meta Platforms, Inc. v USA — viz čl. 10.

Zpracovatelé v EU:

• Seznam.cz, a.s. — Sklik retargeting, zobrazování reklamy ve vyhledávání a v reklamní síti Seznamu (pouze se souhlasem s marketingovými cookies)

9.2. Aktualizovaný seznam zpracovatelů: tento seznam udržujeme aktuální; o významné změně (zařazení nového zpracovatele nebo změně přenosového mechanismu do třetí země) Vás budeme informovat e-mailem alespoň 14 dní předem. Případnou námitku můžete vznést na info@yourbox.cz a v takovém případě máte právo požádat o ukončení smlouvy.

10.1. Část zpracovatelů uvedených v čl. 9 má sídlo ve Spojených státech amerických. Přenos osobních údajů do USA je zákonně ošetřen v souladu s kapitolou V GDPR.

10.2. EU – U.S. Data Privacy Framework (DPF)— od července 2023 platí rozhodnutí Evropské komise o odpovídající úrovni ochrany pro certifikované organizace v USA dle DPF. Pro následující zpracovatele je toto rozhodnutí (čl. 45 GDPR) primárním právním základem přenosu: Stripe, Inc.; Google LLC; Microsoft Corporation; Cloudflare, Inc.; Meta Platforms, Inc. (příjemce dat předávaných irskou Meta Platforms Ireland Ltd.).

10.3. Standardní smluvní doložky (SCC)dle rozhodnutí Komise (EU) 2021/914: žádný ze současných zpracovatelů nevyužívá SCC jako primární právní základ přenosu — všichni zpracovatelé se sídlem v USA jsou certifikováni dle DPF (čl. 10.2). SCC jsou sjednány jako záložní mechanismus (čl. 10.4).

10.4. Záložní mechanismus: smlouvy se všemi výše uvedenými zpracovateli zahrnují i standardní smluvní doložky pro případ, že by certifikace DPF byla v budoucnu zrušena nebo její platnost zpochybněna (srov. rozsudek Soudního dvora EU C-311/18 ve věci Schrems II). V takovém případě by přenos pokračoval na základě SCC bez nutnosti dalšího kroku ze strany subjektu údajů.

10.5. Doplňková ochranná opatření: nad rámec výše uvedeného právního mechanismu uplatňujeme zejména (a) minimalizaci přenášených údajů (např. OAuth scopes omezené na openid email profile) a (b) šifrovaný přenos (TLS 1.3).

10.6. Máte právo si vyžádat kopii relevantních ochranných opatření (DPF certifikát nebo SCC text) na adrese info@yourbox.cz.