Zásady ochrany osobních údajů pro prodejny

Ochrana a bezpečnost osobních údajů jsou pro nás velmi důležité. Proto bychom vás rádi informovali o tom, jaké osobní údaje, tj. jakékoli informace týkající se identifikované nebo identifikovatelné fyzické osoby, zpracováváme při návštěvě našich obchodů a za jakým účelem.

Změny v právních předpisech a interních procesech společnosti mohou znamenat, že bude nutné tyto zásady ochrany osobních údajů upravit. Proto vás žádáme, abyste si tyto zásady ochrany osobních údajů pravidelně četli. Můžete si je také kdykoli vyvolat, uložit a vytisknout.

Správce údajů

Správcem ve smyslu obecného nařízení EU o ochraně osobních údajů (dále jen „GDPR“) je:

Penny Market s.r.o.

Počernická 257 · 250 73 Radonice

Registrace: Městský soud v Praze, oddíl C, vložka 42812

e-mail: ochranadat@penny.cz, internet: www.penny.cz

Pověřenec pro ochranu osobních údajů

Pověřence pro ochranu osobních údajů můžete kontaktovat:

Dr. Karsten Kinast, LL.M., Attorney at Law

KINAST Rechtsanwaltsgesellschaft mbH

Nordstrasse 17a

D-50733 Cologne

Telephone: +49 (0)221 - 222 183 - 0

E-Mail: dpo-penny@kinast.eu

Pojmy a definice

Osobní údaje jsou veškeré informace týkající se identifikované nebo identifikovatelné fyzické osoby („subjekt údajů“); identifikovatelnou fyzickou osobou je osoba, kterou lze přímo či nepřímo identifikovat, zejména odkazem na identifikátor, jako je jméno, identifikační číslo, údaje o poloze, online identifikátor nebo jeden či více faktorů specifických pro fyzickou, fyziologickou, genetickou, psychickou, ekonomickou, kulturní nebo sociální identitu této fyzické osoby.

Zpracováním se rozumí jakákoli operace nebo soubor operací s osobními údaji prováděný automatizovanými nebo neautomatizovanými prostředky, jako je shromažďování, zaznamenávání, uspořádání, strukturování, ukládání, přizpůsobování nebo pozměňování, získávání, konzultování, používání, předávání, šíření nebo jakékoli jiné zpřístupnění, srovnávání nebo spojování, omezení, výmaz nebo zničení.

Profilování znamená jakoukoli formu automatizovaného zpracování osobních údajů spočívající v použití osobních údajů k hodnocení určitých osobních aspektů týkajících se fyzické osoby, zejména k analýze nebo předpovědi aspektů týkajících se výkonu práce, hospodářské situace, zdraví, osobních preferencí, zájmů, spolehlivosti, chování, polohy nebo pohybu této fyzické osoby.

Správce je fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který sám nebo společně s jinými určuje účely a prostředky zpracování osobních údajů; jsou-li účely a prostředky tohoto zpracování určeny právem EU nebo právním řádem členského státu, může být správce nebo konkrétní kritéria pro jeho jmenování stanoveny právem EU nebo právním řádem členského státu.

Příjemcem se rozumí fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, kterému jsou osobní údaje předány, bez ohledu na to, zda se jedná o třetí stranu. Orgány veřejné moci, které mohou obdržet osobní údaje v rámci konkrétního šetření v souladu s právními předpisy Unie nebo členského státu, se však nepovažují za příjemce; zpracování těchto údajů těmito orgány veřejné moci musí být v souladu s platnými pravidly pro ochranu údajů podle účelů zpracování.

Souhlas subjektu údajů znamená jakékoli svobodné, konkrétní, informované a jednoznačné vyjádření vůle subjektu údajů, kterým vyjádří souhlas se zpracováním osobních údajů, které se ho týkají, prohlášením nebo jasným potvrzujícím úkonem.

Údaje zákaznického programu se vztahují na všechny osobní údaje spojené s používáním zákaznické karty, které obvykle zahrnují, ale nejsou omezeny na číslo zákazníka, stav zákaznického účtu, datum a typ registrace, číslo karty a typ karty, souhlasy udělené a preference vybrané při registraci, změny souhlasů a preferencí, nasbírané (extra) body, uplatněné body, uplatněné výhody a město.

Zpracování osobních údajů v naší prodejně

CCTV kamerové systémy

Rozsah a účel zpracování

Za účelem zajištění ochrany osob, majetku, odhalování trestných činů, ochrany před vandalismem a jako důkazní prostředek monitorujeme prostory našich prodejen a bezprostřední okolí např. rampa, vstupy do objektu. K tomu využíváme online kamerové sledování. K ovládání kamerového systému a přístupu k záznamům jsou oprávněny pouze pověření zaměstnanci s tím, že záznam bude v případě incidentu předložen pouze příslušným orgánům činným v trestním řízení (nestanoví-li či neumožní-li příslušné právní předpisy jinak), případně v rámci pojistné události pojišťovně apod. Zaměstnanci externích bezpečnostních agentur mají pouze online náhled. Omezený přístup mohou získat v rámci technické podpory externí dodavatelé IT služeb. V této souvislosti budou zpracovávány následující údaje:

Obrazová data (vzhled, chování, pohyby)
Místo pořízení obrazu (prostorová poloha, umístění kamery)
Čas pořízení obrazu (datum, čas, začátek/konec pořízení obrazu)

Právní základ

Právním základem je náš oprávněný zájem podle čl. 6 odst. 1 písm. f) GDPR. Máme zájem chránit náš majetek. Dále je oprávněným zájmem ochrana před vandalismem a získání důkazů v případě závažných trestných činů. Proti tomuto zpracování můžete vznést námitku prostřednictvím zaslání e-mailu na adresu ochranadat@penny.cz.

Doba uchovávání

Záznamy z kamer uchováváme nejdéle po dobu 16 dnů, pokud neexistuje právní důvod k delšímu uchování např. pro ochranu práv.

Samoobslužná pokladna

Rozsah a účel zpracování

Pro rychlejší a pohodlnější nákup vám nabízíme možnost využít samoobslužné pokladny a vyhnout se čekání ve frontě. Během skenování nákupu máte také možnost načíst svou zákaznickou kartu. Proto mohou být zpracovány následující údaje:

Číslo penny karty

Právní základ

Právním základem pro zpracování osobních údajů je plnění smlouvy, kterou jste s námi uzavřeli na základě čl. 6 odst. 1 písm. b) GDPR.

Doba uchovávání

Po dokončení platebního procesu budou vaše údaje uloženy v souladu se zákonnými lhůtami tj. 10 let pro plnění zákonných povinností a poté smazány. Jakékoli další zpracování údajů z důvodu právních předpisů zůstává nedotčeno (např. předpisy proti praní špinavých peněz).

Kontrola osobních zavazadel

Rozsah a účel zpracování

Za účelem ochrany našeho majetku před krádeží si vyhrazujeme právo provést kontrolu zavazadel zákazníků, pokud k tomu existuje důvodné podezření. Tuto kontrolu může provádět jak zaměstnanec, tak i externí bezpečnostní agentura na základě smlouvy s námi. V případě důvodného podezření je zákazník osloven a požádán o souhlas s kontrolou zavazadla. Kontrola probíhá u pokladní zóny pod kamerovým dohledem. Pokud zákazník s kontrolou nesouhlasí, je přivolána Policie ČR. V této souvislosti nedochází k zaznamenání osobních údajů, ale mohou být náhodně zpracovávány následující osobní údaje:

Osobní věci v tašce (např. občanský průkaz, platební prostředky atd.)

Právní základ

Právním základem pro zpracování je čl. 6 odst. 1 písm. f) GDPR, protože kontroly tašek se provádějí pouze za účelem ochrany našeho zboží.

Doba uchovávání

Osobní údaje v souvislosti s kontrolou zavazadel nezaznamenáváme.

Účtenky na pokladně

Rozsah a účel zpracování

V souvislosti s nákupem zboží v našich prodejnách jsme povinni vám vystavit účtenku. Z toho důvodu zpracováváme následující osobní údaje:

Typ účtenky,
Při použití platební karty zpracováváme další údaje: IBAN, číslo kreditní karty, datum platnosti karty
Při použití zákaznické karty zpracováváme další údaje: Číslo zákaznické penny karty

Právní základ

Právním základem pro zpracování osobních údajů je plnění smlouvy, kterou jste s námi uzavřeli, na základě čl. 6 odst. 1 písm. b) GDPR.

Doba uchovávání

Osobní údaje uchováváme po dobu 10 let pro plnění daňových povinností.

Reklamace

Rozsah a účel zpracování

V souvislosti s reklamací zboží v naší prodejně zpracováváme následující údaje:

- Jméno a příjmení

- Telefonní číslo

- Podrobnosti reklamace

- Podpis

Právní základ

Právním základem pro zpracování osobních údajů nezbytných pro vyřízení reklamace je plnění smlouvy na základě čl. 6 odst. 1 písm. b) GDPR, neboť je odvozeno od uzavření smlouvy, kterou jste s námi uzavřeli.

Doba uchovávání

Vaše údaje uchováváme po dobu nutnou k vyřízení reklamace tj. 30 dnů. V jednotlivých případech může být vyžadováno další uchovávání, pokud to vyžaduje zákon.

Kontrola totožnosti pro účely ověření věku zákazníka

Rozsah a účel zpracování

Při nákupu zboží, které je možné zakoupit pouze v případě, že jste dosáhli zákonného věku 18 let, jsme povinni ověřit váš věk kontrolou vašeho dokladu totožnosti. Kontrolu provede náš zaměstnanec u pokladny. Je tedy nutné předložit doklad totožnosti, ale nedochází k zaznamenávání osobních údajů. V této souvislosti budou zpracovány následující údaje:

doklad totožnosti k prokázání data narození

Právní základ

Právním základem pro zpracování je čl. 6 odst. 1 písm. c) GDPR, tj. plnění zákonné povinnosti.

Doba uchovávání

Vaše osobní údaje nezaznamenáváme ani neuchováváme.

Kontrola dodržení pokladních procesů prostřednictvím kopie účtenky

Rozsah a účel zpracování

Kontrola správnosti markování zboží na prodejně je součástí našich kontrolních procesů a jedná se o opatření sloužící k zajištění řádného platebního procesu. Je cílena na naše zaměstnance. Kopie účtenky z pokladního systému slouží pouze jako podklad pro provedení kontroly. Provedením kontroly je pověřen proškolený zaměstnanec bezpečnostní agentury, který nemá žádné prostředky k identifikaci zákazníka. Při kontrole nedochází k zaznamenání osobních údajů, ale může dojít ke zpracování následujících osobních údajů:

číslo penny karty na účtence (částečné)

Právní základ

Právním základem pro zpracování je čl. 6 odst. 1 písm. f) GDPR, protože kontroly se provádějí pouze za účelem dodržení řádných interních procesů.

Doba uchovávání

Osobní údaje v souvislosti s kontrolou nezaznamenáváme. Kopie účtenky je po provedení zápisu o kontrole zlikvidována.

Ztráty a nálezy

Rozsah a účel zpracování

Jako projev vstřícnosti poskytujeme našim zákazníkům službu ztrát a nálezů. Pokud je v prodejně nalezen hodnotný předmět a nelze okamžitě určit jeho majitele, uložíme jej na bezpečné místo v kanceláři prodejny. Majitel si může předmět vyzvednout, pokud vysvětlí okolnosti ztráty a popíše ho. Pokud se majitel nepřihlásí v přiměřené lhůtě, předmět předáme Policii ČR. V rámci této služby mohou být zpracovávány následující osobní údaje:

Datum ztráty
Jméno, příjmení
Pohlaví, datum narození
Adresa, telefonní číslo
Číslo nebo typ platební karty, datum platnosti

Právní základ

Právním základem pro zpracování údajů je náš oprávněný zájem podle čl. 6 odst. 1 písm. f) GDPR.

Doba uchovávání

V této souvislosti neuchováváme ani nezaznamenáváme žádné osobní údaje.

WLAN

Rozsah a účel zpracování

V našich prodejnách vám nabízíme možnost využití WLAN. Přístup k internetu není podmíněn poskytnutím osobních údajů. V této souvislosti budou zpracovány následující údaje:

MAC adresa zařízení uživatele

Právní základ

Právním základem pro zpracování je váš souhlas podle čl. 6 odst. 1 písm. a) GDPR. Svůj souhlas můžete kdykoli odvolat e-mailem na adrese ochranadat@penny.cz.

Doba uchovávání

Z důvodu technického zabezpečení služby je v systému po dobu nezbytně nutnou (maximálně 30 minut) uložena MAC adresa zařízení uživatele, který se připojí k internetu.

Platební prostředky

Rozsah a účel zpracování

Při platbě kartou shromažďujeme jako obchodník prostřednictvím našeho platebního terminálu osobní údaje. Údaje předáváme provozovateli sítě. Provozovatel sítě a příslušní poskytovatelé platebních služeb (např. akceptanti) zpracovávají údaje za účelem přijetí a vypořádání platebních transakcí. Dělají tak zejména za účelem zpracování plateb, zabránění zneužití karty, omezení rizika neplnění platebních povinností a pro zákonem stanovené účely, jako je boj proti praní špinavých peněz a trestní stíhání. Za těmito účely budou vaše údaje předány také dalším odpovědným stranám, jako je banka, která vydala vaši kartu.

Když za svůj nákup platíte bezhotovostně (např. bankovní kartou), jsou vaše platební údaje (IBAN nebo číslo kreditní karty, datum platnosti karty, pořadové číslo karty, typ kreditní karty, PIN, ověřovací údaje od instituce, která kartu vydala, datum, čas, částka platby, identifikátor terminálu, tj. místo, společnost a obchod) předány odpovědným poskytovatelům platebních služeb (provozovatelům sítí, akvizitorům a bankám) výhradně za účelem zpracování platby. Pokud za svůj nákup platíte poukázkou hmotné nouze od úřadu práce, budou informace obsažené na poukázce a údaje týkající se vašeho nákupu sdíleny s vydávajícím orgánem v souladu s podmínkami příslušné poukázky.

Totéž platí, pokud napadnete transakci provedenou vaší kartou, která je hrazena kreditní kartou: v tomto případě může být potvrzení o platbě (s vaším podpisem) předáno instituci, která kartu vydala. Jméno ani adresa nebudou předány. Předání platebních údajů je nezbytné k dokončení platebního procesu a tím i nákupu. Pokud nechcete poskytnout své údaje k tomuto účelu, máte možnost platit v hotovosti.

Právní základ

Právním základem pro zpracování údajů je čl. 6 odst. 1 písm. b) GDPR pro kontrolu a zpracování vaší platby nám jako obchodníkovi.

Doba uchovávání

Po dokončení platebního procesu budou vaše údaje uloženy v souladu se zákonnými lhůtami pro uchovávání a poté smazány. Jakékoli další zpracování údajů z důvodu právních předpisů zůstává nedotčeno (např. předpisy proti praní špinavých peněz).

Dodavatel

Rozsah a účel zpracování

Za účelem zpracování některých dodávek zboží zpracováváme osobní údaje zaměstnanců našich dodavatelů. V této souvislosti budou zpracovávány následující údaje:

Jméno
Identifikační číslo

Právní základ

Právním základem pro zpracování osobních údajů je plnění vaší smlouvy s námi na základě čl. 6 odst. 1 písm. b) GDPR.

Doba uchovávání

Osobní údaje uchováváme po dobu 90 dnů. V jednotlivých případech může být vyžadováno další uchovávání, pokud to vyžaduje zákon.

Náborová dokumentace

Rozsah a účel zpracování

Za účelem přijímání zaměstnanců zpracováváme osobní údaje uchazečů. Uchazeč o práci, který se dostaví na prodejnu, vyplní spolu se zaměstnancem do náborového dotazníku své údaje. Dotazník je zpracován elektronicky a vložen do náborové aplikace TEAMIO.

V této souvislosti budou zpracovány následující údaje:

Titul, jméno, příjmení
Telefonní číslo, e-mailová adresa
Kvalifikace

Právní základ

Právním základem pro zpracování osobních údajů je plnění vaší smlouvy s námi nebo přijetí opatření na žádost subjektu údajů před uzavřením smlouvy na základě čl. 6 odst. 1 písm. b) GDPR. Právním základem pro zpracování osobních údajů za účelem kontaktování i pro jiné pozice pro databázi talentů je souhlas uchazeče na základě čl. 6 odst. 1 písm. a) GDPR.

Doba uchovávání

Osobní údaje uchazečů uchováváme po dobu 6 měsíců po skončení výběrového řízení na pozici. V případě, že poskytnete souhlas se zpracováním osobních údajů za účelem kontaktování i pro jiné pozice v rámci společnosti, jsou vaše osobní údaje uchovávány po dobu 3 let nebo do odvolání souhlasu na výše uvedené e-mailové adrese.

Přenos údajů mimo Evropský hospodářský prostor (EHP)

Vaše osobní údaje nebudeme předávat do třetích zemí mimo EHP, pokud k tomu neexistuje právní základ. Vaše osobní údaje můžeme předat mimo EHP, pokud jsme získali váš výslovný souhlas nebo pokud je to nezbytné a je zajištěna odpovídající úroveň ochrany v souladu s GDPR. To lze provést například na základě rozhodnutí Evropské komise o přiměřenosti podle čl. 45 GDPR nebo pokud jsou uzavřeny standardní smluvní doložky Evropské unie podle čl. 46 GDPR. Vynaložíme veškeré úsilí, aby přenosy údajů tímto způsobem byly v souladu s GDPR, a přijmeme vhodná opatření k zajištění bezpečnosti vašich osobních údajů. Pro více informací o těchto opatřeních nás prosím kontaktujte přímo na výše uvedené e-mailové adrese.

Vaše práva jako subjektu údajů

Jako subjekt údajů máte podle GDPR následující práva. Tato práva můžete uplatnit zasláním e-mailu na ochranadat@penny.cz nebo na adrese Počernická 257 · 250 73, Radonice.

Právo na přístup subjektu údajů

V souladu s čl. 15 GDPR máte právo požádat o potvrzení, zda jsou vaše osobní údaje zpracovávány. Zejména můžete požádat o informace o následujících skutečnostech, mimo jiné:

- účel zpracování

- kategorie dotčených osobních údajů

- příjemci nebo kategorie příjemců, kterým byly nebo budou osobní údaje poskytnuty (zejména v případě příjemců ve třetích zemích nebo mezinárodních organizacích)

- plánovaná doba uchovávání osobních údajů nebo, pokud to není možné, kritéria pro stanovení této doby

- existence práva na opravu nebo výmaz osobních údajů, které se vás týkají, na omezení jejich zpracování, na vznesení námitky proti takovému zpracování, práva podat stížnost u dozorového úřadu, veškeré informace o původu osobních údajů, pokud nebyly shromážděny od vás jako subjektu údajů, existence automatizovaného rozhodování (včetně profilování) a informace o použité metodě zpracování.

Právo na opravu

V souladu s čl. 16 GDPR můžete požádat o opravu nesprávných nebo o doplnění neúplných osobních údajů bez zbytečného odkladu, a to i prostřednictvím doplňujícího prohlášení.

Právo na výmaz

V souladu s čl. 17 GDPR můžete požádat o výmaz osobních údajů, které jste nám poskytli, pokud zpracování není nezbytné pro účely uvedené v čl. 17 odst. Osobní údaje jsou obvykle vymazány okamžitě, nejpozději do jednoho měsíce poté, co dotčená osoba toto právo uplatnila. Pokud je výmaz v rozporu se zákonnými, smluvními, daňovými nebo obchodními povinnostmi uchovávat osobní údaje nebo s jinými zákonem stanovenými důvody, mohou být vaše osobní údaje místo vymazání omezeny. Můžete také požádat o výmaz nebo omezení svých osobních údajů kontaktováním ochranada@penny.cz.

Právo na omezení zpracování

Můžete požádat o omezení zpracování svých osobních údajů podle čl. 18 GDPR, pokud zpochybňujete správnost údajů, zpracování údajů je protiprávní nebo správce již osobní údaje nepotřebuje pro účely zpracování, ale subjekt údajů je potřebuje pro uplatnění, výkon nebo obhajobu právních nároků. Nárok podle čl. 18 GDPR máte také, pokud jste jako subjekt údajů vznesli námitku proti zpracování podle čl. 21 odst. 1 GDPR.

Právo na přenositelnost údajů

V souladu s čl. 20 GDPR máte právo získat osobní údaje, které se vás týkají a které jste nám poskytli, ve strukturovaném, běžně používaném a strojově čitelném formátu nebo je přenést k jinému správci.

Právo odvolat souhlas

V souladu s čl. 7 odst. 3 GDPR můžete svůj souhlas se zpracováním osobních údajů kdykoli odvolat. To znamená, že v budoucnu již nebude možné zpracovávat osobní údaje na základě tohoto souhlasu.

Právo na odvolání

Máte právo podat stížnost u dozorového úřadu v souladu s čl. 77 GDPR a obrátit se na dozorový úřad ÚOOÚ Úřad pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7.

Právo vznést námitku

Podle čl. 21 GDPR máte jako subjekt údajů právo kdykoli vznést námitku z důvodů týkajících se vaší konkrétní situace proti zpracování osobních údajů, které se vás týkají a které se provádí na základě čl. 6 odst. 1 písm. e) nebo f). Správce již osobní údaje nebude zpracovávat, pokud neprokáže závažné oprávněné důvody pro zpracování, které převažují nad zájmy, právy a svobodami subjektu údajů, nebo pro určení, výkon nebo obhajobu právních nároků.

Bezpečnost dat a bezpečnostní opatření

Považujeme za svou povinnost zacházet s vašimi osobními údaji důvěrně a chránit vaše soukromí. Proto přijímáme vhodná technická a organizační opatření jako bezpečnostní opatření v souladu s GDPR, abychom zabránili zničení, manipulaci, neoprávněnému zveřejnění nebo zneužití údajů, které u nás uchováváme.

I přes naše úsilí o ochranu vašich údajů bychom rádi upozornili, že vzhledem ke struktuře internetu nelze zaručit absolutní bezpečnost. Zejména nemáme žádný vliv na zpracování údajů mimo naši oblast odpovědnosti.