Zásady zpracování osobních údajů

Verze: 1.0 · Účinnost: 11. 8. 2026

Tyto zásady popisují, jak platforma ByMummy zpracovává vaše osobní údaje v souladu s nařízením (EU) 2016/679 (GDPR) a zákonem č. 110/2019 Sb., o zpracování osobních údajů.

1. Správce osobních údajů

Správce:

Správce není povinen jmenovat pověřence pro ochranu osobních údajů (DPO) — činnost neodpovídá zákonným kritériím pro povinné DPO.

V případě dotazů, žádostí nebo stížností pište na gdpr@bymummy.cz.

2. Jaké osobní údaje zpracováváme

2.1 Údaje o kupujících

Kategorie Konkrétní údaje Účel Právní základ Doba uchování
Identifikační jméno, příjmení Plnění kupní smlouvy, doručení Smlouva (čl. 6 odst. 1 písm. b GDPR) Do smazání účtu, u objednávek 10 let (účetnictví)
Kontaktní email Notifikace, podpora Smlouva Do smazání účtu
Kontaktní telefonní číslo Upozornění dopravy Oprávněný zájem (čl. 6 odst. 1 písm. f GDPR) Do smazání účtu
Adresní doručovací + fakturační adresa Doručení zboží Smlouva 10 let
Účet heslo (šifrované bcrypt), login IP Autentizace, bezpečnost Smlouva + oprávněný zájem Do smazání účtu, logy 12 měsíců
Objednávky historie objednávek, položky, ceny Plnění smlouvy, účetnictví Smlouva + právní povinnost 10 let
Platby PayU transaction ID (ne karetní data!) Záznam o platbě Smlouva + právní povinnost 10 let
Komunikace chat s prodejkyní, reklamační zprávy Doručení podpora Smlouva 3 roky po ukončení
Hodnocení recenze produktů Zobrazení na Platformě Souhlas + oprávněný zájem Do smazání, pak anonymizace

2.2 Údaje o prodejkyních

Kromě údajů kupujících také:

Kategorie Konkrétní údaje Účel Právní základ Doba uchování
Firemní IČO, DIČ, obchodní název Fakturace, evidence, DAC7 Právní povinnost 10 let
Bankovní IBAN (zašifrováno) Výplaty, DAC7 Smlouva + právní povinnost 10 let
Prohlášení status (podnikatel / soukromá osoba), souhlas, IP, čas Evidence a právní krytí Oprávněný zájem 10 let
PayU PayU submerchant ID Propojení s účtem prodejkyně Smlouva Do ukončení účtu
Obrat cumulative revenue per rok DAC7 + monitoring 50k limit Právní povinnost 10 let

2.3 Údaje o návštěvnících (bez registrace)

Kategorie Konkrétní údaje Účel Právní základ Doba uchování
Technické IP adresa, user agent, cookies Provoz webu, bezpečnost Oprávněný zájem 12 měsíců
Analytické návštěvnost přes Plausible (bez osobní identifikace) Zlepšování služby Oprávněný zájem 24 měsíců
Marketingové (s volitelným souhlasem) Meta Pixel, Google Ads Cílená reklama Souhlas Dle platnosti souhlasu
Newsletter email (pokud se přihlásí) Zasílání novinek Souhlas Do odhlášení

3. Kdo má k údajům přístup

3.1 Interní přístup

  • Michaela Vojtášová (administrátorka) — k veškerým údajům za účelem provozu
  • Roman Vojtáš (technický správce) — k technickým datům, databázi
  • Budoucí zaměstnanci / kontraktoři — přístup po školení a podpisu NDA

3.2 Předání třetím stranám (zpracovatelům)

Příjemce Účel předání Sídlo Smluvní ochrana
PayU Czech Republic, s.r.o. (IČO 24129119) Platební zpracování, split payments Praha, ČR Smlouva o zpracování osobních údajů
Zásilkovna s.r.o. (IČO 28408306) Přeprava zásilek Praha, ČR Smlouva o zpracování
WEDOS Internet, a.s. (IČO 28115708) Hosting, doména, email server Hluboká nad Vltavou, ČR Smlouva o zpracování
Railway Corp. Dočasný dev hosting (interní testing) USA DPA + SCC (EU Standardní smluvní doložky)
Plausible Insights OÜ Analytika (bez osobní identifikace) Estonsko (EU) DPA, GDPR compliant
Google LLC (Ads, pokud aktivováno) Reklama — jen se souhlasem USA DPA + SCC
Meta Platforms Ireland Ltd. (Facebook Pixel) Reklama — jen se souhlasem Irsko (EU) DPA
Účetní / daňový poradce (budoucí) Účetní služby ČR NDA + smlouva

3.3 Předání do zemí mimo EU

  • Pokud dojde k předání do USA (Railway, Google, atd.), vždy na základě Standardních smluvních doložek (SCC) schválených Evropskou komisí.
  • Jinak se data nepředávají do třetích zemí.

3.4 Předání státním orgánům

  • Jen na základě zákonné povinnosti (soud, policie, finanční úřad).
  • DAC7 hlášení na Specializovaný finanční úřad — povinné u prodejkyň.

4. Právní základy zpracování

Účel Právní základ (GDPR čl. 6)
Plnění kupní smlouvy, doručení, platba odst. 1 písm. b) smlouva
Účetnictví, fakturace, DAC7 hlášení odst. 1 písm. c) právní povinnost
Bezpečnost webu, prevence podvodů, analytika odst. 1 písm. f) oprávněný zájem
Marketing přes Meta/Google, newsletter odst. 1 písm. a) souhlas

Pro každý účel platí pouze jeden relevantní právní základ.

5. Vaše práva

Dle GDPR máte následující práva, která můžete uplatnit emailem na gdpr@bymummy.cz (odpovídáme do 30 dnů):

5.1 Právo na přístup (čl. 15)

Potvrzení, zda a jaké vaše údaje zpracováváme + kopie údajů.

5.2 Právo na opravu (čl. 16)

Oprava nepřesných nebo doplnění neúplných údajů. Můžete přímo v profilu.

5.3 Právo na výmaz („právo být zapomenut", čl. 17)

Výmaz údajů, pokud:

  • nejsou nadále potřebné
  • odvoláte souhlas
  • vznesete úspěšnou námitku

Omezení: Nelze smazat údaje, které musíme uchovávat ze zákona (účetnictví 10 let, DAC7). Tyto budou anonymizované (jméno nahrazeno „Smazaný uživatel", objednávky zůstanou v účetnictví bez osobních identifikátorů).

5.4 Právo na omezení zpracování (čl. 18)

Můžete požádat, abychom dočasně zastavili zpracování (např. během řešení námitky).

5.5 Právo na přenositelnost (čl. 20)

Poskytneme vám strukturovaný export vašich dat (JSON) — můžete si je stáhnout v profilu nebo emailem.

5.6 Právo vznést námitku (čl. 21)

Zejména proti zpracování na základě oprávněného zájmu a přímému marketingu.

5.7 Právo odvolat souhlas

Kdykoliv — pro marketing v profilu, pro newsletter kliknutím na „Odhlásit" v patičce každého emailu.

5.8 Právo nebýt předmětem automatizovaného rozhodování

Neprovádíme automatizované rozhodování s právními důsledky (např. scoring kreditní způsobilosti).

5.9 Právo podat stížnost

K dozorovému úřadu:

Úřad pro ochranu osobních údajů (ÚOOÚ)

  • Pplk. Sochora 27, 170 00 Praha 7
  • www.uoou.cz
  • Telefon: +420 234 665 111

6. Cookies a sledovací technologie

Používáme cookies — viz samostatná Cookie Policy.

Základní princip:

  • Nezbytné cookies (přihlášení, košík) — bez souhlasu
  • Analytické cookies (Plausible, GDPR friendly) — bez souhlasu
  • Marketingové cookies (Meta, Google) — jen s vaším souhlasem
  • Souhlas můžete kdykoliv změnit v patičce webu („Nastavení cookies")

7. Zabezpečení

7.1 Technická opatření

  • TLS 1.3 šifrování komunikace (HTTPS)
  • bcrypt hash hesel (nikdy neukládáme v čitelné podobě)
  • Šifrování IBAN a citlivých dat v databázi
  • 2FA pro adminy (povinné)
  • Pravidelné zálohy databáze (Wedos, šifrované)
  • Firewally a rate limiting
  • Aktualizace OS a aplikací

7.2 Organizační opatření

  • Školení osob s přístupem k údajům
  • Need-to-know princip — každá osoba má jen minimální nutný přístup
  • Audit log všech admin akcí (uchováváme 3+ roky)
  • Incident response plán pro případ úniku

7.3 V případě úniku dat (data breach)

  • Ohlášení na ÚOOÚ do 72 hodin
  • Informování postižených uživatelů bez zbytečného odkladu (emailem)
  • Publikace informace na webu (pokud masivní)
  • Nápravná opatření + revize bezpečnosti

8. Profily prodejkyň — zvláštní poznámka

Pokud jste prodejkyně, bereme vám zvláštní ochranu:

  • IBAN a další bankovní údaje šifrujeme v databázi. Přístup pouze administrátor platformy v omezené míře (kontrola výplat).
  • KYC data (ověření identity) spravuje PayU, ByMummy k nim přímý přístup nemá.
  • DAC7 hlášení — vaše údaje (jméno, adresa, IBAN, IČO/RČ, roční obrat) budou povinně předány Specializovanému finančnímu úřadu jednou ročně do 31. 1. Tento přenos je právní povinností a nelze jej odmítnout (odmítnutí = nemožnost prodávat na Platformě).

9. Děti a nezletilí

Platforma je určena osobám starším 16 let (pro registraci). Osoby mladší 16 let mohou Platformu navštěvovat, ale nesmějí se registrovat ani nakupovat bez souhlasu zákonného zástupce.

Pokud zjistíme, že se registroval nezletilý bez souhlasu, účet neprodleně smažeme.

10. Změny těchto zásad

10.1 Tyto zásady můžeme aktualizovat. O podstatných změnách vás informujeme:

  • emailem na váš registrovaný email
  • notifikací v účtu při přihlášení
  • banerem na webu

10.2 Data dosavadní verze:

Verze Datum Shrnutí změny
1.0 11. 8. 2026 První publikovaná verze

11. Kontakt

Pro jakoukoliv záležitost ohledně osobních údajů:

Odpovídáme do 30 dnů (zákonná lhůta).

12. Odkazy

Tyto zásady jsou účinné od 11. 8. 2026.

Tento web používá cookies pro zajištění správného fungování a analýzu návštěvnosti. Podrobnosti najdete v zásadách cookies.