Zásady ochrany osobných údajov

1. Identita prevádzkovateľa

Prevádzkovateľ: Habitable s.r.o., Zochova 5, 811 03 Bratislava, Slovenská republika; IČO: 44913168
Kontakt pre GDPR záležitosti: gdpr@coachio.sk

Prevádzkovateľ spracúva osobné údaje v súlade s nariadením Európskeho parlamentu a Rady (EÚ) 2016/679 (GDPR) a zákonom č. 18/2018 Z. z. o ochrane osobných údajov.

2. Zodpovedná osoba (DPO)

Prevádzkovateľ nie je orgánom verejnej moci, nespracúva osobitné kategórie osobných údajov v rozsahu vyžadujúcom vymenovanie zodpovednej osoby a nemonitoruje dotknuté osoby systematicky vo veľkom rozsahu. Z týchto dôvodov nespĺňa kritériá povinného vymenovania zodpovednej osoby (DPO) podľa čl. 37 GDPR.

Pre všetky záležitosti súvisiace s ochranou osobných údajov kontaktujte: gdpr@coachio.sk

3. Účely a právne základy spracúvania

4. Príjemcovia a sprostredkovatelia

• Stripe, Inc. (USA), platobné spracovanie; prenos do USA krytý Štandardnými zmluvnými doložkami (SCCs) v zmysle čl. 46 ods. 2 písm. c GDPR; DPA uzavretá; pozri stripe.com/privacy.
• Google Cloud EMEA Limited (Írsko, EÚ), cloudové úložisko; prenos v rámci Európskeho hospodárskeho priestoru (EHP).
• Sentry, Inc. (USA), monitorovanie chýb aplikácie; prenos do USA krytý SCCs; anonymizácia pred prenosom; pozri sentry.io/privacy.
• Vybraný Kouč, meno a email Klienta v rozsahu nevyhnutnom pre realizáciu rezervácie; Kouč je samostatným prevádzkovateľom v zmysle čl. 4 ods. 7 GDPR pre účely poskytovania svojej služby.

Vaše osobné údaje nezdieľame s tretími stranami na marketingové účely bez vášho výslovného súhlasu.

5. Medzinárodné prenosy (čl. 44–49 GDPR)

Stripe a Sentry so sídlom v USA spracúvajú osobné údaje mimo EHP. Tieto prenosy sú zabezpečené prostredníctvom Štandardných zmluvných doložiek (SCCs) schválených Európskou komisiou rozhodnutím 2021/914. Aktuálny text SCCs je dostupný na požiadanie na adrese gdpr@coachio.sk.

6. Automatizované rozhodovanie (čl. 22 GDPR)

Prevádzkovateľ neprijíma rozhodnutia výhradne na základe automatizovaného spracúvania, vrátane profilovania, ktoré by malo právne alebo podobne závažné účinky na dotknutú osobu.

7. Retenčné lehoty

• Osobné údaje účtu: po dobu trvania účtu + 30 dní po jeho zrušení
• Rezervačné a platobné záznamy: 10 rokov od transakcie (§ 35 zák. č. 431/2002 Z. z.)
• Správy a komunikácia: 2 roky od poslednej správy v konverzácii
• Marketingový súhlas: do odvolania súhlasu
• Bezpečnostné logy (IP, fingerprint): 90 dní
• Analytické cookies: max. 1 rok alebo do odvolania súhlasu
• Dočasné exportné súbory: automaticky zmazané po 24 hodinách od generovania

8. Súbory cookie

• Nevyhnutné cookies (právny základ: plnenie zmluvy / oprávnený záujem): session token, CSRF token; platnosť: relácia prehliadača. Tieto cookies nie je možné odmietnuť, sú nevyhnutné pre fungovanie Platformy.
• Analytické cookies (právny základ: súhlas): Sentry session replay pre diagnostiku chýb; platnosť: max. 1 rok.

Súhlas s analytickými cookies môžete kedykoľvek odvolať prostredníctvom bannera pri návšteve Platformy alebo zmazaním príslušných záznamov v nastaveniach vášho prehliadača.

9. Ochrana údajov detí

Platforma nie je určená osobám mladším ako 16 rokov v súlade s čl. 8 GDPR a § 15 zákona č. 18/2018 Z. z. Ak Prevádzkovateľ zistí, že spracúva osobné údaje maloletej osoby, tieto údaje bez zbytočného odkladu vymaže.

10. Bezpečnostné opatrenia

• Šifrovanie prenosu: TLS 1.2 a vyššie pre všetky dátové prenosy
• Heslá: hashované algoritmom Argon2; v systéme sa neukladajú v čistom texte
• Prístup k databáze: len oprávnené role na základe princípu minimálnych privilégií
• Zálohovanie: pravidelné automatizované zálohy; dokumentovaný plán obnovy po bezpečnostnom incidente

11. Oznamovanie porušení ochrany údajov (čl. 33–34 GDPR)

V prípade porušenia ochrany osobných údajov, ktoré môže mať vplyv na práva a slobody dotknutých osôb, Prevádzkovateľ:

• oznámi porušenie Úradu na ochranu osobných údajov SR (ÚOOÚ) do 72 hodín od jeho zistenia (čl. 33 GDPR);
• bez zbytočného odkladu informuje dotknuté osoby, ak hrozí vysoké riziko pre ich práva a slobody (čl. 34 GDPR).

Podozrenie na bezpečnostný incident nahláste na: gdpr@coachio.sk

12. Práva dotknutých osôb (čl. 15–22 GDPR)

• Právo na prístup (čl. 15): Nastavenia → Moje dáta → Stiahnuť; alebo písomne na gdpr@coachio.sk
• Právo na opravu (čl. 16): Nastavenia → Profil; alebo písomne na gdpr@coachio.sk
• Právo na výmaz (čl. 17): Nastavenia → Moje dáta → Zmazať účet; niektoré údaje (napr. účtovné záznamy) môžu byť uchované na základe zákonnej povinnosti
• Právo na obmedzenie spracúvania (čl. 18): písomne na gdpr@coachio.sk
• Právo na prenositeľnosť (čl. 20): export vo formáte JSON cez Nastavenia; vzťahuje sa len na údaje spracúvané na základe zmluvy alebo súhlasu
• Právo namietať (čl. 21): písomne na gdpr@coachio.sk; platí pre spracúvanie na základe oprávneného záujmu
• Právo odvolať súhlas (čl. 7 ods. 3): kedykoľvek; odvolanie nemá vplyv na zákonnosť predchádzajúceho spracúvania
• Právo podať sťažnosť: Úrad na ochranu osobných údajov SR, Hraničná 12, 820 07 Bratislava 27; www.dataprotection.gov.sk; tel.: +421 2 3231 3214

Na žiadosť odpovieme do 30 dní od jej prijatia (čl. 12 ods. 3 GDPR). V odôvodnených prípadoch môže byť táto lehota predĺžená o ďalších 60 dní, o čom budete informovaní.

13. Zmeny zásad

O materiálnych zmenách týchto zásad budú dotknuté osoby informované emailom najmenej 14 dní pred nadobudnutím ich účinnosti. Aktuálna verzia zásad je vždy dostupná na adrese coachio.sk/privacy.