Zásady ochrany osobních údajů

Tyto zásady ochrany osobních údajů vysvětlují, jak společnost Montandor Andorra S.L.U. („Montandor“, „my“) shromažďuje, používá, uchovává a chrání vaše osobní údaje, když navštívíte web securitshop.com, zadáte objednávku nebo komunikujete se svým vyhrazeným country managerem prostřednictvím chatu butiku. Jsou vypracovány v souladu s andorrským právem o ochraně osobních údajů (Llei Qualificada de Protecció de Dades, LQPD), s nařízením GDPR EU (EU 2016/679), pokud se návštěvník nachází na území Evropské unie, a s příslušnými vnitrostátními předpisy o ochraně osobních údajů platnými v Evropě tam, kde se uplatní.

1. Správce údajů

Montandor Andorra S.L.U., se sídlem Av. de les Nacions Unides 40, Edifici Monday – Oficina 211, AD700 Escaldes-Engordany, Andorrské knížectví. V případě jakéhokoli dotazu týkajícího se ochrany osobních údajů nebo pro uplatnění vašich práv napište na [email protected] nebo použijte chat butiku s volbou kategorie „Ochrana osobních údajů“. Odpovídáme ve lhůtách stanovených platnými právními předpisy a v každém případě do třiceti (30) dnů.

2. Údaje, které shromažďujeme

Shromažďujeme čtyři kategorie údajů, striktně omezené na to, co je nezbytné ke splnění vaší objednávky a ke správě obchodního vztahu:

• Údaje o účtu a objednávce: celé jméno, název společnosti (je-li relevantní), fakturační a dodací adresy, e-mail, telefon, čísla objednávek, historie nákupů. Tyto údaje jsou nezbytné pro uzavření a plnění kupní smlouvy.
• Platební údaje: úplná čísla platebních karet nikdy neuchováváme. Platbu zpracovává náš poskytovatel s certifikací PCI-DSS Level 1. Uchováváme pouze transakční token, poslední čtyři číslice karty, platební síť (Visa, Mastercard, Amex), datum platnosti a stav platby, a to pro účely účetnictví a prevence podvodů.
• Údaje o doručení: dodací adresa, kód vchodu, pokyny k doručení, sledovací číslo dopravce (Chronopost, DHL Express). Sdíleny pouze s naším dopravcem a poskytovatelem logistiky 3PL za účelem provedení doručení.
• Technické údaje o připojení: IP adresa, uživatelský agent, přibližná země, zobrazená stránka, časové razítko. Napájejí naše přístupové protokoly pro účely bezpečnosti, prevence podvodů a technické diagnostiky.

Neshromažďujeme žádné citlivé údaje ve smyslu článku 9 GDPR (etnický původ, politické názory, náboženství, zdraví, sexuální orientace, členství v odborech, biometrické nebo genetické údaje).

3. Účely a právní základ

4. Doby uchovávání

• Údaje o objednávkách a fakturaci: po dobu trvání obchodního vztahu plus deset (10) let, v souladu s andorrskými a francouzskými účetními povinnostmi.
• Platební údaje: třináct (13) měsíců pro transakční token a prvky prevence podvodů, v souladu s pokyny CNIL a požadavky PCI-DSS.
• Neaktivní zákaznický účet: tři (3) roky od posledního přihlášení, poté výmaz nebo anonymizace (s výhradou zbývajících účetních povinností).
• Technické přístupové protokoly: dvanáct (12) měsíců, poté automatický výmaz.
• Agregované měření návštěvnosti: třináct (13) klouzavých měsíců.
• Newsletter: dokud se neodhlásíte, což lze provést okamžitě prostřednictvím odkazu v každé zprávě.

5. Příjemci a zpracovatelé

Shromážděné údaje zpracovává náš interní tým a omezený počet technických zpracovatelů, kteří jsou striktně nezbytní k provedení vaší objednávky:

• Hosting infrastruktury: Microsoft Azure, region West Europe. Údaje uloženy v rámci EU.
• Platby: platby kartou jsou zpracovávány prostřednictvím platební brány Redsys (Redsys Servicios de Procesamiento, S.L., Španělsko — EU), která je certifikována podle standardu PCI-DSS Level 1 a zajišťuje zachycení údajů karty, autorizaci, 3-D Secure (PSD2 SCA) a kontrolu podvodů. Zúčtovací (akvizeční) bankou je Creand (Creand Crèdit Andorrà, S.A., Andorra), přičemž Andorra požívá výhod rozhodnutí Evropské komise (European Commission) o odpovídající úrovni ochrany (2010/625/EU). Úplná čísla karet nikdy nepřijímáme ani neuchováváme.
• Logistika a doprava: poskytovatel logistiky 3PL ve Francii (sklad Grisolles, 82170) a dopravci (Chronopost, DHL Express) pro doručení na poslední míli.
• Transakční e-maily: Mailgun (EU), pro doručování potvrzení, faktur a oznámení o odeslání.
• Služby Microsoft 365: interní pracovní e-maily, kalendáře, dokumentace. Tenant Montandor.
• Sazby dopravy více dopravců: Upela (Upela SAS, Francie), agregátor dopravců dotazující se u Chronopost, Colissimo, DPD, MondialRelay, UPS, FedEx a DHL. Odesílají se pouze údaje striktně nezbytné pro cenovou nabídku: cílové PSČ, město, hmotnost a rozměry zásilky. V této fázi se neodesílají žádné osobní údaje.
• Automatické doplňování adresy: Google Maps Platform — Maps JavaScript API a Places API (Google Ireland Limited). Skript Google se načte teprve po vaší první interakci s polem „dodací adresa“. Viz policies.google.com/privacy.
• Vyhledávání francouzských firem (SIRET / SIREN): francouzský státní obchodní rejstřík prostřednictvím recherche-entreprises.api.gouv.fr (DataGouv, Direction interministérielle du numérique). Veřejné údaje INSEE/Sirene znovu použité na základě licence Licence Ouverte 2.0. Pro B2B nákupy ve Francii doplněno o API societe.com (Société.com SAS, Francie).
• Ověření DPH v EU: systém VIES Evropské komise (DG TAXUD), podle nařízení Rady (EU) č. 904/2010. Odesílá se pouze DPH číslo, které zadáte.

Každý zpracovatel je vázán smlouvou o zpracování osobních údajů (DPA) zahrnující požadované smluvní, organizační a technické záruky, s výjimkou veřejných služeb znovu použitých na základě otevřené licence (DataGouv, VIES), které nejsou založeny na dvoustranné DPA. Aktuální seznam je k dispozici na vyžádání na adrese [email protected].

6. Mezinárodní předávání

Shromážděné údaje jsou uchovávány a zpracovávány v rámci Evropského hospodářského prostoru (Microsoft Azure West Europe, francouzský logistický sklad). K předání do Andorrského knížectví může dojít pro interní administrativní operace — Andorra požívá rozhodnutí Evropské komise o odpovídající ochraně (2010/625/EU), jež zaručuje úroveň ochrany považovanou za rovnocennou. K žádnému předání do třetí země bez rozhodnutí o odpovídající ochraně nedochází bez standardních smluvních doložek nebo rovnocenných záruk.

7. Bezpečnost

Zavádíme přiměřená technická a organizační opatření k ochraně vašich údajů: end-to-end šifrování TLS 1.3, tokenizovanou platbu (PCI-DSS Level 1), striktní řízení přístupu k interním systémům, protokolování přístupů, vícefaktorovou autentizaci pro administrátorské účty, denní šifrované zálohy, oddělení produkčního a testovacího prostředí a pravidelné bezpečnostní audity. V případě porušení zabezpečení, které pravděpodobně povede k riziku pro vaše práva a svobody, oznámíme tuto skutečnost příslušnému dozorovému úřadu do 72 hodin a v případě vysokého rizika vás informujeme přímo.

8. Automatizovaná rozhodnutí a profilování

Zcela automatizovaným zpracováním se nepřijímá žádné rozhodnutí s právními účinky nebo s podstatným dopadem na návštěvníky. Na platební transakce uplatňujeme automatizovaná pravidla prevence podvodů (ověření adresy, detekce podezřelého chování); jakékoli rozhodnutí o zablokování nebo zrušení lze napadnout zasláním e-mailu na [email protected], což spustí lidský přezkum některým z členů našeho týmu.

9. Vaše práva

Podle GDPR a andorrského LQPD máte ve vztahu k údajům, které se vás týkají, následující práva:

• Právo na přístup k vašim údajům.
• Právo na opravu nepřesných údajů.
• Právo na výmaz („právo být zapomenut“) za podmínek stanovených zákonem.
• Právo na omezení zpracování.
• Právo na přenositelnost vašich údajů k jinému správci.
• Právo vznést námitku proti zpracování založenému na oprávněném zájmu.
• Právo odvolat souhlas kdykoli u zpracování založeného na souhlasu (např. newsletter).
• Právo stanovit pokyny pro nakládání s údaji po smrti.
• Právo podat stížnost u andorrského Úřadu pro ochranu osobních údajů (APDA), francouzského CNIL nebo u vašeho místního dozorového úřadu v EU.

Pro uplatnění vašich práv napište na [email protected] nebo použijte chat butiku s volbou „Ochrana osobních údajů“. K zabránění zneužití totožnosti může být vyžádán přiměřený doklad totožnosti.

10. Změny těchto zásad

Tyto zásady se mohou vyvíjet. Datum poslední aktualizace je uvedeno v horní části stránky. Podstatné změny (změna správce, změna účelů, přidání nového významného zpracovatele) budou po dobu třiceti (30) dnů zvýrazněny prostřednictvím vyhrazeného informačního banneru.