Zásady zpracování osobních údajů

Tyto zásady popisují, jak GrowBridge s.r.o. nakládá s osobními údaji lidí, kteří se ozvou přes tento web nebo se zúčastní našeho školení. Jsou psané podle čl. 13 nařízení Evropského parlamentu a Rady (EU) 2016/679 (dále jen GDPR) a snažíme se v nich mluvit srozumitelně, ne paragrafy.

1. Kdo je správce

Správcem osobních údajů je GrowBridge s.r.o., IČO 30018722, se sídlem Příčná 1892/4, 110 00 Praha 1, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze, oddíl C, vložka 455111.

Ve věcech ochrany osobních údajů se na nás obraťte na info@growbridge.cz nebo na +420 777 650 140.

Pověřence pro ochranu osobních údajů jsme nejmenovali. Nesplňujeme podmínky čl. 37 GDPR, které jmenování ukládají. Vaše dotazy vyřizujeme na kontaktech výše.

2. Jaké údaje zpracováváme a proč

2.1 Poptávka z webu

Z poptávkového formuláře zpracováváme: název firmy, jméno a příjmení kontaktní osoby, telefon nebo e-mail, text poznámky, pokud ji vyplníte, oblast školení, přijdete-li z karty oboru, zájem o financování z dotace a k němu zvolený počet osob a hodin, a adresu stránky, ze které jste poptávku odeslali, včetně parametrů kampaně. Poptávku uložíme do naší databáze a pošleme si na ni upozornění e-mailem; uvedete-li e-mail, pošleme vám potvrzení, že poptávka dorazila.

• Účel: příprava cenové nabídky a jednání o ní.
• Právní titul: opatření přijatá před uzavřením smlouvy na vaši žádost podle čl. 6 odst. 1 písm. b) GDPR. Souhlas k tomu nepotřebujeme a nežádáme o něj.
• K poptávce si interně poznamenáváme, jak jednání pokračuje (stav, poznámky). Tyto poznámky se vám nezasílají, ale na žádost o přístup podle čl. 15 GDPR vám je zpřístupníme.

2.2 Uzavřená objednávka a její plnění

Uzavřeme-li smlouvu, zpracováváme dále údaje nutné k jejímu plnění a k vyúčtování: fakturační údaje, komunikaci k zakázce a doklady o provedeném školení.

• Právní titul: plnění smlouvy podle čl. 6 odst. 1 písm. b) GDPR a plnění právních povinností podle čl. 6 odst. 1 písm. c) GDPR, především povinností daňových a účetních.

2.3 Účastníci školení

Pro prezenční listinu a doklad o absolvování zpracováváme jméno a příjmení účastníka, případně jeho pracovní zařazení, dodá-li nám je zaměstnavatel.

• Právní titul: oprávněný zájem podle čl. 6 odst. 1 písm. f) GDPR, totiž doložit, že bylo školení skutečně provedeno, a to jak vůči objednateli, tak vůči poskytovateli dotace, hradí-li se školení z dotačního programu.
• Údaje účastníků nám předává zaměstnavatel. Informovat o tom své zaměstnance je jeho povinnost; tento dokument mu k tomu může posloužit.
• Zpracováváme-li údaje účastníků jménem objednatele a podle jeho pokynů, uzavřeme s ním smlouvu o zpracování osobních údajů podle čl. 28 GDPR.

2.4 Obrana právních nároků

Po skončení spolupráce si po dobu promlčecích lhůt necháváme smluvní dokumentaci a související komunikaci.

• Právní titul: oprávněný zájem podle čl. 6 odst. 1 písm. f) GDPR spočívající v možnosti bránit se případným nárokům.

2.5 Měření návštěvnosti webu

Pokud to v liště o cookies povolíte, měříme návštěvnost webu nástrojem Google Analytics 4: kolik lidí web navštívilo, odkud přišli, jaké části stránky používají a zda odeslali poptávku. Google k tomu ukládá do vašeho prohlížeče cookies s náhodným identifikátorem; vaši IP adresu Google Analytics 4 neukládá.

• Právní titul: váš souhlas podle čl. 6 odst. 1 písm. a) GDPR a § 89 odst. 3 zákona č. 127/2005 Sb., o elektronických komunikacích. Bez souhlasu se měřicí skript vůbec nenačte a nic se ke Googlu neposílá. Souhlas můžete kdykoli odvolat tlačítkem Nastavení cookies v patičce.
• Podrobnosti o jednotlivých cookies, jejich době uložení a příjemci jsou na stránce Cookies.

2.6 Ochrana formuláře před zneužitím

Aby formulář nešlo zahltit roboty, ukládáme na krátkou dobu otisk vaší IP adresy (jednosměrný hash se solí, ze kterého adresu nelze zpětně odvodit) a počet odeslání za posledních deset minut. Otisk není spojený s poptávkou a do 24 hodin se automaticky maže.

• Právní titul: oprávněný zájem podle čl. 6 odst. 1 písm. f) GDPR na bezpečnosti a dostupnosti webu.

3. Musíte nám údaje dát?

Nemusíte, žádný zákon vám to neukládá. Bez nich vám ale nemůžeme poslat nabídku ani školení dodat: je to smluvní požadavek. Pole označená ve formuláři jako povinná jsou nezbytné minimum, abychom se vám mohli ozvat, ostatní jsou dobrovolná a slouží k tomu, aby nabídka lépe seděla. Měření návštěvnosti je zcela dobrovolné a na používání webu nemá vliv.

4. Komu se údaje dostanou

Osobní údaje nepředáváme třetím stranám k jejich vlastním účelům, neprodáváme je a nepoužíváme je k oslovování s nabídkami, na které jste se neptali. Předáváme je pouze těmto příjemcům, a jen v rozsahu, který je pro danou činnost nutný:

• Cloudflare, Inc. (USA) – hosting webu a databáze, ve které jsou uložené poptávky; databáze je umístěna v Evropě (region západní Evropa),
• Resend, Inc. (USA) – odesílání e-mailů: upozornění na poptávku nám a potvrzení o přijetí vám,
• Google Cloud EMEA Limited (Irsko) – naše firemní e-mailová schránka a kancelářské nástroje (Google Workspace), ve kterých s vámi komunikujeme a ukládáme nabídky,
• Google Ireland Limited (Irsko) – měření návštěvnosti Google Analytics, to pouze pokud jste je v liště o cookies povolili,
• externí lektor, který vaše školení vede, a to v rozsahu prezenční listiny,
• účetní a daňový poradce,
• poskytovatel dotačního programu a jeho kontrolní orgány, hradí-li se školení z dotace a jsme-li povinni doklady předložit,
• orgány veřejné moci, ukládá-li nám to zákon (například finanční správa nebo soud).

Se všemi zpracovateli máme uzavřenou smlouvu podle čl. 28 GDPR, která je zavazuje ke stejné úrovni ochrany, jakou držíme sami.

5. Předávání mimo EU

Databáze poptávek je umístěna v Evropě. Každá poptávka se nám ale zároveň posílá e-mailem přes službu Resend, která obsah zpráv a doručovací záznamy zpracovává také ve Spojených státech; do USA mohou údaje předávat i Cloudflare a Google (při provozu webu, e-mailu a při měření návštěvnosti). Všechny tři společnosti jsou certifikovány v rámci EU–U.S. Data Privacy Framework, na který se vztahuje rozhodnutí Evropské komise o odpovídající ochraně podle čl. 45 GDPR; navíc s nimi máme uzavřeny standardní smluvní doložky podle čl. 46 odst. 2 písm. c) GDPR. Jiné předávání mimo Evropský hospodářský prostor neprobíhá.

6. Jak dlouho údaje uchováváme

• Poptávka, ze které nevznikne zakázka: šest měsíců od poslední změny. Pak ji naše databáze smaže automaticky.
• Smluvní dokumentace a komunikace k zakázce: čtyři roky od skončení spolupráce, což pokrývá obecnou promlčecí lhůtu podle § 629 občanského zákoníku i rok navíc na její uplatnění.
• Účetní a daňové doklady: po dobu, kterou ukládá zákon; deset let od konce zdaňovacího období u dokladů podle zákona o dani z přidané hodnoty, pět let u účetních záznamů podle zákona o účetnictví.
• Prezenční listiny a doklady o absolvování u dotovaných školení: po dobu, kterou předepisuje podmínkami poskytovatel dotace pro uchování dokladů o realizaci projektu.
• Otisk IP adresy pro ochranu formuláře: nejvýše 24 hodin.
• Vaše volba v liště o cookies: 12 měsíců po souhlasu, 6 měsíců po odmítnutí; cookies Google Analytics nejvýše 24 měsíců, údaje o návštěvách v Google Analytics 14 měsíců. Podrobně na stránce Cookies.

7. Jaká máte práva

Vůči nám jako správci máte tato práva:

• na přístup (čl. 15 GDPR) – zeptat se, zda a jaké údaje o vás zpracováváme, a dostat jejich kopii,
• na opravu (čl. 16) – nechat si nepřesný údaj opravit nebo doplnit,
• na výmaz (čl. 17) – nechat údaje smazat, pominul-li důvod, pro který jsme je měli,
• na omezení zpracování (čl. 18) – například po dobu, kdy prověřujeme vaši námitku,
• na přenositelnost (čl. 20) – dostat údaje ve strojově čitelném formátu, jde-li o zpracování na základě smlouvy nebo souhlasu,
• vznést námitku (čl. 21) proti zpracování opřenému o oprávněný zájem; v takovém případě zpracování ukončíme, pokud neprokážeme závažné oprávněné důvody, které převažují nad vašimi zájmy,
• odvolat souhlas (čl. 7 odst. 3) s měřením návštěvnosti, a to kdykoli tlačítkem Nastavení cookies v patičce; odvoláním není dotčena zákonnost zpracování před odvoláním.

Napište na info@growbridge.cz. Vyřídíme to bez zbytečného odkladu, nejpozději do jednoho měsíce od doručení žádosti; ve složitých případech se lhůta může prodloužit o dva měsíce, o čemž vás vyrozumíme.

8. Stížnost u dozorového úřadu

Máte-li za to, že s vašimi údaji nakládáme v rozporu s předpisy, můžete podat stížnost u Úřadu pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, uoou.gov.cz. Budeme ale rádi, když se ozvete nejdřív nám.

9. Automatizované rozhodování

Nedochází k němu. Vaše údaje nepodrobujeme automatizovanému rozhodování ani profilování ve smyslu čl. 22 GDPR; každou poptávku čte člověk. Pojistka proti zahlcení formuláře (bod 2.6) o vás nic nerozhoduje, jen dočasně zpomalí opakované odesílání ze stejné adresy.

10. Zabezpečení

Přístup k údajům mají jen lidé, kteří je ke své práci potřebují, a jsou vázáni mlčenlivostí. Web i administrace poptávek běží výhradně přes šifrované spojení; administrace je chráněná heslem. Nakládání s údaji pravidelně procházíme a opatření upravujeme podle rizika, jak nám ukládá čl. 32 GDPR.

11. Co web ukládá do prohlížeče

Web si do prohlížeče ukládá vaši volbu z lišty o cookies a, jen pokud jste to povolili, cookies Google Analytics. Nic jiného: žádné reklamní ani sledovací nástroje. Podrobně je to popsané v samostatném dokumentu Cookies.

12. Změny těchto zásad

Zásady měníme, když se změní způsob zpracování. Aktuální znění je vždy na této adrese a nahoře je datum poslední změny. Půjde-li o změnu, která se vás podstatně dotkne, upozorníme na ni srozumitelně předem.