Ochrana osobních údajů

1. Správce a kontakt

Správcem pro provoz a prodej pod značkou Dot Art Therapy je Martina Spilková, IČO 03921867, Na Červeném Hrádku 794, 264 01 Sedlčany. Kontakt pro otázky a práva k údajům: martina@dotarttherapy.cz, telefon +420 603 532 288. Můžete se obrátit také poštou na adresu sídla.

Dokument je pracovní návrh pro nové prodeje a současné funkce náhledového webu. Souhlas s marketingem neslučujeme s objednávkou. Tento text sám nedoplňuje dosud neověřené smlouvy nebo technické nastavení.

2. Jaké údaje používáme a odkud jsou

Údaje získáváme především od vás při dotazu, registraci, objednávce a používání kurzů. Jde o jméno, příjmení, e-mail, kontaktní a fakturační adresu, stát, případně dobrovolný telefon a firemní údaje. Součástí evidence jsou kurz, objednávka, faktura, cena, stav platby a přijetí podmínek nebo požadavku na rychlé zpřístupnění.

Členská sekce používá identifikátor účtu, ověřený e-mail, přidělené kurzy a označení dokončených lekcí. Přihlašování zajišťuje Clerk. Hesla nejsou součástí databáze objednávek a Martina je nedostává v čitelné podobě.

Při provozu vznikají také technické údaje: IP adresa, čas a údaje o požadavku, prohlížeč, zařízení, přihlašovací relace a bezpečnostní události. V prohlížeči se používají nezbytné identifikátory pro přihlášení a pokračování objednávky.

Při obnově staršího zakoupeného přístupu může být zdrojem evidence původního prodeje a členství, zejména e-mail a oprávnění ke kurzu. Přenáší se jen potřebný rozsah a nevzniká tím marketingový souhlas. Právní titul předání musí odpovídat skutečně převáděným smluvním vztahům.

3. Účely a právní důvody

• Dotazy a příprava objednávky: kontakty a zprávy pro jednání o smlouvě na vaši žádost, čl. 6 odst. 1 písm. b) GDPR. U běžné nesmluvní komunikace oprávněný zájem na odpovědi, písm. f).
• Objednávka, platba, osobní kurz a online přístup: nezbytné údaje k uzavření a plnění smlouvy, čl. 6 odst. 1 písm. b) GDPR.
• Daňové a účetní povinnosti a povinné záznamy reklamací: splnění právních povinností, čl. 6 odst. 1 písm. c) GDPR.
• Zabezpečení webu a účtu, prevence podvodných či opakovaných objednávek, doložení oprávnění a obrana nároků: oprávněný zájem, čl. 6 odst. 1 písm. f) GDPR. Zpracování omezujeme na nezbytný rozsah.
• Budoucí dobrovolný newsletter: prokazatelný a svobodný souhlas podle čl. 6 odst. 1 písm. a) GDPR a zákona č. 480/2004 Sb. Souhlas není podmínkou nákupu, registrace ani přístupu ke kurzu.

4. Komu mohou být údaje zpřístupněny

Údaje používá Martina a jen pověřené osoby pro konkrétní úkol, například zákaznickou podporu či účetnictví. Poskytovatelé je zpracovávají podle své skutečné role a v potřebném rozsahu. Zákonné údaje mohou obdržet orgány veřejné moci, při sporu případně právní poradce vázaný mlčenlivostí.

• Cloudflare, Inc.: provoz a ochrana webu, databáze a úložiště. Technické údaje o požadavcích a uložené záznamy podle aktivních služeb.
• Clerk, Inc.: přihlašování, ověření e-mailu, obnova přístupu, uživatelský účet a bezpečnost relací. Identita, e-mail, autentizační a technické údaje.
• FAPI Business s.r.o.: objednávky, klientské a fakturační údaje, doklady, platby a související zprávy.
• Seznam.cz, a.s., Email Profi: individuální zákaznická komunikace a ukládání e-mailů. Není zvoleným nástrojem pro hromadný newsletter.
• Poskytovatel platební brány GoPay a banky při zvolené platbě: transakce podle jejich smluvních a zákonných povinností. Úplné údaje karty naše databáze nepřijímá.
• Google Ireland Limited a související poskytovatelé YouTube při načtení přehrávače: technické údaje spojené s požadavkem a přehráváním podle pravidel Google.
• Služba pro newsletter bude identifikována před spuštěním odběru. Zatím nebyla vybrána a nový web nyní adresy pro newsletter nesbírá.

5. Zpracování mimo Evropský hospodářský prostor

Cloudflare, Clerk a služby Google mohou zahrnovat zpracování mimo EHP, zejména v USA. Nelze obecně tvrdit, že všechny údaje zůstávají výhradně v ČR nebo EU.

Předání musí mít odpovídající právní mechanismus podle konkrétní služby: rozhodnutí o odpovídající ochraně, včetně EU–US Data Privacy Framework u platně certifikovaného příjemce a pokrytých údajů, nebo standardní smluvní doložky s potřebnými doplňujícími opatřeními. Clerk popisuje předávání v DPA, Cloudflare ve svých zpracovatelských podmínkách. Kopii použitých záruk nebo informaci, jak ji získat, poskytneme na žádost.

Před účinností konečného znění je potřeba ověřit skutečné nastavení účtů, smluvní role a použitý mechanismus u každé služby.

6. Doby uchování — návrh k nastavení

Údaje uchováváme jen pro příslušný účel. Následující provozní lhůty jsou návrhem; před účinností musí odpovídat skutečnému ručnímu i automatickému mazání. Výmaz nesmí zničit trvající právo na zaplacený kurz nebo zákonem požadovaný doklad.

• Neuzavřené dotazy a nezávazný zájem: nejdéle 12 měsíců od vyřízení, pokud nepřejdou ve smlouvu nebo není doložená potřeba uchování pro konkrétní spor.
• Účet, přidělené kurzy a postup: po dobu účtu a sjednaného přístupu. U neomezeného kurzu vztah nemá pevný konec. Žádost o zrušení účtu vyřešíme individuálně včetně dopadu na pokračující přístup; odhlášení newsletteru účet neruší.
• Základní smluvní evidence, nezbytné souhlasy k dodání a reklamace: po dobu vztahu a zpravidla další 3 roky pro doložení a obranu nároků. Při sporu do jeho ukončení a vypořádání souvisejících povinností.
• Daňové a účetní doklady: po dobu určenou použitelnými právními předpisy pro daný druh dokladu a daňovou evidenci, včetně případného prodloužení daňových lhůt. Tyto doby nejsou automaticky dobou newsletterového souhlasu.
• Technické a bezpečnostní záznamy: jen po dobu potřebnou k bezpečnosti, vyřešení incidentu či doložení konkrétního nároku. Konkrétní lhůty podle druhů logů a aktivních služeb musí být před spuštěním vymezeny a nastaveny; tento návrh nepředstírá, že již byla jejich všechna nastavení ověřena.
• Newsletter po spuštění: rozesílání do odvolání souhlasu. Omezený důkaz souhlasu a odhlášení může zůstat zpravidla další 3 roky pro doložení oprávněnosti dřívějších zpráv. Minimální záznam zákazu rozesílky může zůstat po dobu provozu seznamu, aby nebyl kontakt omylem znovu zařazen. Podrobnosti doplníme s výběrem služby.

7. Cookies a úložiště prohlížeče

Současná implementace nepřidává vlastní reklamní pixely ani marketingové měření návštěvnosti. Sociální síť je zpřístupněná běžným odkazem, bez vloženého reklamního prvku.

Nezbytné technické cookies a obdobné ukládání slouží přihlášení, zabezpečení a požadované objednávce. SessionStorage obsahuje technický identifikátor pokusu o objednávku a poslední odkaz na její stav. Neukládá zde jméno ani fakturační adresu. Úložiště bývá omezené na danou kartu prohlížeče. Technické identifikátory mohou být osobními údaji i bez jména.

Přihlašovací služba Clerk se načítá při otevření funkcí účtu, správy či objednávky nebo po otevření nabídky Členská sekce. Samotné prohlížení úvodní stránky, nabídky kurzů a právních informací ji nově nepotřebuje. Již dříve uložené údaje tím nejsou automaticky smazány. Cookies lze zobrazit a odstranit v prohlížeči; jejich blokování může znemožnit požadovanou funkci.

Při anonymní kontrole 24. 10. 2026 byly u Clerk zjištěny cookies __client na clerk.dotarttherapy.cz a __client_uat včetně varianty s příponou na dotarttherapy.cz; prohlížeč jim v daném měření přidělil platnost přibližně 400 dní. Slouží identifikaci klienta a aktualizaci stavu přihlášení. Nejde o tvrzení, že přihlášená relace trvá 400 dní. Dále byly zjištěny bezpečnostní cookies Cloudflare __cf_bm (asi 30 minut) a _cfuvid (relace prohlížeče) na doméně Clerk. Přihlášený stav a další scénáře zatím nebyly tímto měřením pokryty.

LocalStorage při načtení Clerk obsahoval klíče __clerk_environment, __clerk_protect_pid a __clerk_protect_st. Clerk Protect provádí bezpečnostní kontrolu zařízení. Přesná interní doba uchování a rozsah těchto kontrol musí být ještě potvrzeny. Vypnutí vývojářské telemetrie tuto funkci nevypíná. Před konečným zněním je třeba doložit nezbytnost jednotlivých mechanismů pro požadované přihlášení, případně omezit jejich používání; samotný název bezpečnostní služby není univerzální výjimkou ze souhlasu.

Případné volitelné analytické nebo reklamní ukládání vyžaduje odpovídající předchozí volbu a informace. Při jeho budoucím zapojení umožníme snadné odmítnutí i odvolání.

8. Video lekce, ubytování a jiné weby

YouTube přehrávač v členské sekci je nejprve vypnutý. Teprve tlačítkem Povolit YouTube a načíst video naváže prohlížeč spojení s youtube-nocookie.com. Před tlačítkem je informace o předání IP adresy a údajů o zařízení a přehrávání Googlu i možném ukládání do zařízení. Režim nocookie sám nezaručuje, že osobní údaje nejsou zpracovávány.

Volba platí jen pro otevřenou lekci. Tlačítkem Odpojit přehrávač YouTube lze přehrávač odstranit a zastavit další přenos z této lekce; dříve předané údaje ani úložiště Googlu se tím nemažou. Další lekce vyžaduje nové povolení. Prohlížeč přehrávači neposílá hlavičku Referer.

Odložení, odpojení a opětovné povolení byly ověřeny s izolovanou testovací odpovědí přehrávače. Kontrola nepokrývá skutečné ukládání a zpracování během přehrávání u Googlu. Před prodejem musí být dořešené chování reálného přehrávače a svobodná volba, případně jiný použitelný způsob dodání zaplaceného videa. Tento návrh netvrdí, že samotné kliknutí řeší všechny podmínky volitelného sledování.

Po přechodu na web ubytovatele nebo sociální sítě platí pravidla daného provozovatele. Web kurzu ubytování nerezervuje a údaje účastníků ubytovateli automaticky nepředává.

9. Připravovaný newsletter

Chceme nabízet dobrovolné novinky a inspiraci k tvoření. Odběr zatím není spuštěný. Před sběrem adres uvedeme službu pro rozesílání, rozsah údajů, potvrzení odběru a případné měření.

Navržené přihlášení je samostatné s potvrzením držitelem e-mailu přes odkaz ve zprávě (double opt-in). Bez potvrzení nebude aktivní rozesílka. Nákup, registrace ani souhlas s podmínkami nebudou přihlášením k newsletteru.

Každá zpráva umožní bezplatné odhlášení. Souhlas půjde odvolat také na e-mailu Martiny, bez ztráty zakoupeného přístupu. Odvolání neovlivní oprávněnost předchozího zpracování. Nezbytné zprávy k účtu, objednávce nebo kurzu mohou pokračovat ze smluvního či zákonného důvodu.

Starší adresář ani členy kurzů automaticky nepovažujeme za souhlasící s novým odběrem. Převod dřívějšího marketingového seznamu vyžaduje ověření původu a oprávnění.

10. Vaše práva

Za podmínek GDPR můžete žádat přístup a kopii údajů, opravu, výmaz nebo omezení. U automatizovaného zpracování na základě smlouvy či souhlasu můžete mít právo na přenositelnost. Souhlas můžete odvolat; proti oprávněnému zájmu vznést námitku. Proti přímému marketingu lze namítat kdykoli a zpracování pro něj ukončíme.

Obraťte se například na martina@dotarttherapy.cz; přijímáme i jiné obvyklé cesty. Při odůvodněné pochybnosti o totožnosti požádáme jen o přiměřené ověření. Žádosti zpravidla vyřizujeme bezplatně, bez zbytečného odkladu, nejpozději do měsíce. Ve složitém případě lze podle GDPR prodloužit o dva měsíce s včasným vysvětlením.

Výmaz má zákonné meze, například povinné uchování dokladu; vysvětlíme, kterých údajů se výjimka týká. Stížnost můžete podat Úřadu pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, www.uoou.gov.cz. Zachována je i soudní ochrana.

11. Povinné údaje a automatizace

Bez údajů nezbytných pro smlouvu, fakturaci a ověření účtu nemusíme být schopni požadovanou službu poskytnout. Telefon a budoucí marketingový souhlas jsou dobrovolné. Neposílejte hesla, údaje karty ani zbytečné citlivé údaje.

Automaticky kontrolujeme stav úhrady a přidělujeme přístup ke kurzu; při nesouladu nás můžete požádat o lidské ověření. Nejde o marketingové profilování nebo hodnocení osoby s právními účinky podle čl. 22 GDPR. Další personalizaci nebo měření doplníme před zapnutím.

12. Verze a dokončení

Návrh připravený 24. 10. 2026 není dosud konečným účinným zněním. Je nutné schválit a nastavit doby uchování a ověřit smluvní role, předávání údajů, cookies a video přehrávač. Při změně služeb či účelů informace včas aktualizujeme. Změna zásad sama nevytváří nový souhlas.