Přejít na obsah
NaCzarter — czarter jachtów Mazury

Zásady ochrany osobních údajů

Informativní překlad. Právně závazná je polská verze tohoto dokumentu.

Poslední aktualizace: 20. dubna 2026 · Verze zásad 2026-04-20.v2

Tyto zásady vysvětlují, jaké osobní údaje NaCzarter shromažďuje, za jakým účelem a jak je můžete spravovat. Jsou v souladu s GDPR (nařízení EU 2016/679, polské GDPR) a s čl. 173 polského telekomunikačního zákona vyplývajícím ze směrnice ePrivacy. Pokud je některé ustanovení těchto zásad v rozporu se zásadami konkrétního obchodu (storefrontu), mají přednost zásady daného obchodu.

1. Správce údajů

Správcem osobních údajů předávaných při používání webu je subjekt provozující daný obchod (storefront) — kontaktní údaje najdete v patičce. Ve věcech uplatnění práv subjektu údajů viz oddíl 7.

2. Kategorie souborů cookie a kdy se načítají

Banner cookie umožňuje přijmout nebo odmítnout cookies podle kategorie. Aktuální kategorie a jejich technický rozsah:

  • Nezbytné (vždy zapnuté) — relační cookies pro přihlášení a ochranu CSRF (__Secure-ny-next.session-token, __Secure-ny-next.csrf-token), samotné rozhodnutí o souhlasu (cookie-consent), volba měny a jazyka. Právní základ: čl. 6 odst. 1 písm. b (plnění smlouvy) / čl. 6 odst. 1 písm. f (oprávněný zájem správce).
  • Analytické (ve výchozím nastavení vypnuté) — Plausible Analytics (hostováno v EU, šetrné k soukromí, bez cross-site identifikátoru) pro počítání zobrazení a analýzu konverzního trychtýře. Mapové dlaždice (OpenStreetMap) a zdroje Leaflet z unpkg.com se načtou až po přijetí této kategorie. Právní základ: čl. 6 odst. 1 písm. a (souhlas).
  • Marketingové (ve výchozím nastavení vypnuté) — vyhrazeno pro budoucí integrace reklamních pixelů. V současnosti se nenačítá žádný pixel Meta/Google Ads. Právní základ: čl. 6 odst. 1 písm. a (souhlas).

Banner lze kdykoli znovu otevřít odkazem „Spravovat cookies" v patičce. Cookies platí 12 měsíců; změna zásad vynutí opětovný dotaz.

3. Jaké údaje shromažďujeme

  • Údaje účtu a rezervace, které jste poskytli: jméno a příjmení, e-mail, telefon, adresa, firma / DIČ (volitelně).
  • Historie rezervací: které jachty, jaké termíny, celková zaplacená částka.
  • Technické: IP adresa, user agent, IP registrace, IP posledního přihlášení (pro důkazní účely a prevenci zneužití).
  • Historie souhlasů: každé rozhodnutí v banneru cookie, každá změna marketingového opt-inu, přijetí obchodních podmínek — viz oddíl 6.

4. Zpracovatelé (čl. 28)

Níže uvedeným zpracovatelům sdílíme minimum údajů nezbytných pro poskytnutí služby. S každým jsme uzavřeli Smlouvu o zpracování osobních údajů (DPA):

  • Railway (hosting aplikace a databáze Postgres, region EU).
  • Resend (doručování transakčních a marketingových e-mailů).
  • Stripe + PayU (zpracování plateb).
  • Cloudflare (Turnstile bot-challenge; DDoS + WAF na okraji sítě).
  • Sentry (monitoring chyb; PII se odstraňuje před odesláním).
  • Plausible Analytics (pouze po souhlasu s analytickými cookies; hostováno v EU).
  • OpenStreetMap Foundation (mapové dlaždice; pouze po analytickém souhlasu).
  • Bunny CDN (statické zdroje a fotografie jachet; EXIF se odstraňuje).

5. Doby uchovávání

  • Řádky spojené s fakturami (Order, OrderPayment): 6 let (polská DPH, čl. 112).
  • Auditní deník: 7 let (GDPR čl. 30 + polský zákon o účetnictví, čl. 74).
  • PII na User, UserDetails, OrderCustomer: anonymizováno na žádost o výmaz + čištěno po 6 letech.
  • Záznamy souhlasů: 5 let (životní cyklus marketingového souhlasu).
  • Cookie souhlasu s cookies: 12 měsíců nebo do změny zásad.

6. Audit souhlasů

Každé rozhodnutí — přijetí/odmítnutí v banneru, přepnutí marketingového opt-inu, přijetí obchodních podmínek při registraci — je zaznamenáno v ConsentRecord spolu s přesným textem banneru, který jste viděli, verzí zásad, způsobem vyjádření souhlasu, vaším user agentem a osoleným hashem IP. Na žádost o přenositelnost údajů (čl. 20) vrátíme celou historii spolu s údaji účtu.

7. Vaše práva (čl. 15-22 GDPR)

  • Přístup (čl. 15) — stáhněte si úplný export na /api/users/me/export po přihlášení.
  • Oprava (čl. 16) — upravte profil na /dashboard/profile.
  • Výmaz (čl. 17) — samoobslužné „Smazat můj účet" na /dashboard/profile#danger-zone. Faktury a historie plateb zůstávají 6 let v souladu s polským daňovým právem (výjimka čl. 17 odst. 3 písm. b GDPR).
  • Přenositelnost (čl. 20) — stejný endpoint jako přístup; strojově čitelný formát JSON.
  • Námitka / odvolání souhlasu (čl. 21, 7 odst. 3) — znovu otevřete banner cookie odkazem v patičce; přepněte marketing na /dashboard/profile#email-preferences.
  • Stížnost — polskému dozorovému úřadu (předsedovi UODO): uodo.gov.pl.

8. Bezpečnost

Hesla jsou hashována pomocí bcrypt s faktorem nákladů 12 (OWASP ASVS L2 2024). 2FA přes TOTP je vynuceno pro role SUPERADMIN a SHOP_OWNER. Relační cookies mají prefix __Secure-, jsou HttpOnly, SameSite=Lax. PII na UserDetails je šifrováno v klidu rotujícím klíčem (RFC 001). Kontrola hesel proti databázím úniků (HIBP k-anonymita) blokuje registraci a reset známými prolomenými hesly.