Zmluva o spracúvaní osobných údajov

Zmluva o spracúvaní osobných údajov podľa čl. 28 nariadenia (EÚ) 2016/679 (GDPR). Váš podnik je prevádzkovateľom údajov svojich klientov, Bienaro je jeho sprostredkovateľom. Tu stojí, čo presne s dátami smieme robiť, čo nesmieme a čo pre vás urobíme, keď sa klient ozve.

Verzia 1.0, účinná od 5. 10. 2026. Prípadné zmeny oznámime podľa článku 14.

1. Zmluvné strany a vznik zmluvy

Sprostredkovateľom je Toucan Labs s.r.o., IČO 29931631, so sídlom Husova tř. 1822/6, 370 01 České Budějovice, prevádzkovateľ platformy Bienaro (ďalej „Bienaro“ alebo „sprostredkovateľ“). Prevádzkovateľom je podnik, ktorý si na platforme zriadil účet (ďalej „podnik“ alebo „prevádzkovateľ“).

Zmluva je uzavretá okamihom, keď podnik pri registrácii odsúhlasí obchodné podmienky a túto zmluvu; okamih prijatia evidujeme pri účte podniku. Zmluva je neoddeliteľnou súčasťou obchodných podmienok. Vo veciach spracúvania osobných údajov klientov podniku má táto zmluva prednosť pred obchodnými podmienkami; zásady ochrany osobných údajov opisujú spracúvanie, pri ktorom je prevádzkovateľom Bienaro, a túto zmluvu nemenia.

2. Predmet, povaha a účel spracúvania

Predmetom je spracúvanie osobných údajov klientov podniku, ktoré Bienaro vykonáva pri poskytovaní platformy: prevádzka objednávkového kalendára a rezervačného formulára, web podniku a verejný overovací profil podniku na bienaro.com (overené adresy webu, súhrn hodnotení a – ak má podnik na svojom webe zapnutú sekciu Hodnotenie – výpis všetkých zverejnených recenzií s textom a dátumom hodnotenia, bez mena autora a bez odpovede podniku), vložiteľný prvok „Hodnotenie“, ktorý si podnik môže umiestniť na iný web (súhrn, najviac tri najnovšie zverejnené recenzie s textom – dlhší text prvok skráti – a dátumom hodnotenia, bez mena autora a bez odpovede podniku, a odkaz na všetky hodnotenia), komunikácia s klientmi e-mailom a SMS (potvrdenia, pripomienky, žiadosť o recenziu, ponuky so súhlasom alebo na základe zákazníckej výnimky podľa § 7 ods. 3 zákona č. 480/2004 Sb. (český zákon o niektorých službách informačnej spoločnosti)), čakacia listina na uvoľnený termín, stránka „Moje termíny“ na webe podniku s odkazom do účtu klienta, overenie klienta jednorazovým kódom na webe podniku, ktorý prijíma online rezervácie len od stálych a pozvaných klientov, evidencia súhlasov, štatistiky nad dátami podniku, export dát, a ďalej programové rozhranie (API) a odchádzajúce správy (webhooky), ktoré Bienaro sprístupňuje na žiadosť podniku a podnik ich potom nastaví v administrácii, a odber osobného kalendára člena tímu, ak si ho podnik zapne v administrácii.

Povahou spracúvania je najmä získavanie, uchovávanie, usporadúvanie, prehliadanie, používanie, sprístupnenie ďalším sprostredkovateľom podľa článku 7, obmedzenie, vymazanie a anonymizácia, a to prevažne automatizovane.

Účelom je poskytnutie služby podľa obchodných podmienok. Bienaro nespracúva údaje klientov na vlastné účely, najmä ich nepoužíva na marketing, na ponúkanie klientov iným podnikom, na profilovanie ani na trénovanie modelov umelej inteligencie; výnimky z role sprostredkovateľa a overovací profil podniku, ktorý Bienaro vedie na pokyn podniku, opisujú odseky nižšie.

Overovací profil podniku. Profil na adrese bienaro.com/overit/… (overené adresy webu, súhrn hodnotení a stránka všetkých hodnotení) vedie Bienaro počas trvania zmluvy na pokyn podniku daný touto zmluvou a kapitolou 7 obchodných podmienok. Slúži na to, aby si klient overil, že web podniku beží na platforme, a zároveň chráni značku Bienaro a dôveru v hodnotenia. Zverejnené recenzie na ňom Bienaro zobrazuje len počas doby, keď ich podnik zverejňuje na svojom webe (zapnutá sekcia Hodnotenie), a to všetky, s celým textom a dátumom hodnotenia, bez mena či iniciál autora a bez odpovede podniku; na nič iné ich nepoužíva. Na ten istý pokyn ich ukazuje aj vložiteľný prvok „Hodnotenie“, ktorý si podnik z administrácie umiestni na iný web: najviac tri najnovšie s textom (dlhší text prvok skráti), bez mena autora a bez odpovede podniku, s odkazom na všetky hodnotenia. Podnik, ktorý na platforme vedie len rezervácie a web má inde, dáva tento pokyn zapnutím zverejňovania jednotlivých hodnotení v administrácii. Podnik tento pokyn kedykoľvek odvolá vypnutím sekcie Hodnotenie na svojom webe alebo vypnutím zverejňovania hodnotení (článok 5 – nastavenie v administrácii); priemer a počet hodnotení profil ukazuje ďalej.

Nedostavenie sa na termín. Ak podnik označí rezerváciu ako nedostavenie sa, je to údaj podniku a Bienaro ho spracúva ako sprostredkovateľ pre tento podnik; iným podnikom sa nezobrazuje a súhrn naprieč podnikmi sa nevedie. O obmedzení online rezervácie klientovi rozhoduje podnik nad vlastnými dátami; obmedzenie sa týka len samoobslužnej rezervácie na webe a zaniká po 12 mesiacoch bez ďalšieho nedostavenia sa.

Účet klienta. Výnimkou je účet, ktorý má klient podniku na bienaro.com/moje (prehľad „Moje termíny“). Klient sa doň prihlasuje telefónnym číslom a kódom z SMS, ktorú posiela a platí Bienaro; do založeného účtu aj heslom alebo kódom na e-mailovú adresu, ktorú si v účte sám overil. Pri údajoch tohto účtu je prevádzkovateľom Bienaro na základe zmluvy s klientom (čl. 6 ods. 1 písm. b) GDPR). Pri podniku, u ktorého si klient sám rezervoval cez rezervačný formulár alebo u ktorého termín potvrdil ako svoj, zobrazuje účet klientovi jeho rezervácie; termín, ktorý podnik zapísal sám (ručne, importom alebo cez rozhranie) a klient ho zatiaľ nepotvrdil, ukazuje len ako otázku s názvom podniku, dňom a časom. Podnik s týmto zobrazením svojich rezervácií klientovi súhlasí. Ak klient odpovie, že termín nepozná, zobrazí Bienaro podniku upozornenie na možný preklep v telefónnom čísle, bez údajov o tom, kto odpovedal. Stránka „Moje termíny“ na webe podniku do účtu len odkazuje. Bienaro údaje účtu nepoužíva na marketing, na ponúkanie klientov iným podnikom ani na profilovanie. Podnik nevidí rezervácie klienta u iných podnikov ani jeho účet.

Meranie produktu. Bienaro anonymne počíta kroky rezervačného formulára (napríklad „vybral čas“ alebo „opustil formulár“), aby ho mohlo vylepšovať. Je to vlastný účel Bienara, nie spracúvanie pre podnik, a na osobné údaje klientov nedosiahne: neukladá sa cookie ani iný identifikátor do zariadenia, IP adresa ani obsah vyplnených polí – len to, ktoré pole bolo vyplnené. Záznamy zanikajú po 90 dňoch. Signál „Global Privacy Control“ rešpektujeme; s ním sa neodošle nič.

3. Doba spracúvania

Počas trvania zmluvy o používaní platformy, a po jej skončení ešte 14 dní, ak podnik zrušil účet sám v administrácii, inak najneskôr 30 dní (článok 12); zo záloh obrazu servera údaje vypadnú do ďalších siedmich dní. Aj počas trvania zmluvy platia lehoty jednotlivých kategórií údajov – najmä tri roky bez nezrušenej rezervácie pri údajoch klienta – a uvádza ich článok 12.

4. Kategórie dotknutých osôb a typ osobných údajov

Dotknutými osobami sú klienti podniku (zákazníci, ktorí si u neho rezervujú termín alebo u neho boli obslúžení) a členovia tímu podniku v rozsahu, v akom ich podnik zverejní na svojom webe.

Typ osobných údajov, ktoré sa spracúvajú:

identifikačné a kontaktné údaje klienta: meno, telefónne číslo, e-mail,
údaje o rezervácii: služba, termín, cena, člen tímu, stav rezervácie a nepovinná poznámka klienta (najviac 500 znakov),
poznámka a štítky, ktoré si podnik ku klientovi vedie sám, označenie nedostavenia sa na termín a prípadné obmedzenie online rezervácie,
stav súhlasov s ponukami voči podniku a ich história (čas udelenia alebo odvolania a verzia textu súhlasu),
záznam o odoslaných správach (adresa príjemcu, šablóna, stav doručenia; bez obsahu správy) a kadenčný profil klienta (obvyklý interval medzi návštevami),
recenzia viazaná na dokončenú návštevu (hodnotenie, nepovinný text, voľba podpisu – krstné meno alebo iniciály – a dátum odoslania),
pri členoch tímu meno a podobizeň, ak ju podnik alebo sám člen tímu nahrá na web podniku (fotografie sa pri spracovaní zbavujú metadát EXIF),
zápis v čakacej listine (požadovaná služba, okno dní, časť dňa, nepovinná poznámka, stav a časy ponuky; kontakt samotný leží na karte klienta),
jednorazový overovací kód a odkaz klienta na webe podniku, ktorý prijíma online rezervácie len od stálych a pozvaných klientov (v databáze len kryptografický odtlačok, platnosť 15 minút),
pri členoch tímu, ktorí si zapnú odber osobného kalendára, časy udalostí z tohto kalendára – názov, popis, miesto ani účastníci udalosti sa nečítajú a neukladajú,
telefónne číslo klienta na doručenie SMS,
zdroj rezervácie z webu podniku (parametre odkazu, napríklad utm_source, adresa odkazujúceho webu bez cesty a druh prekliku z reklamy – bez identifikátora návštevníka) a pri podniku, ktorý si zapol serverové konverzie pre Metu, do odoslania konverzie aj IP adresa a údaje o prehliadači návštevníka, identifikátory prekliku z reklamy Mety a odtlačok (SHA-256) jeho telefónu a e-mailu (článok 5).

Osobitné kategórie údajov podľa čl. 9 GDPR platforma štruktúrovane nezbiera a na ich spracúvanie nie je určená. Podnik sa zaväzuje nevkladať ich do systému, a to ani do voľných poznámok. Ak ich napriek tomu vloží, robí tak na vlastnú zodpovednosť ako prevádzkovateľ a je povinný zabezpečiť si na to vlastný právny základ. Preto sa pri odbere osobného kalendára ukladá výhradne čas udalosti, nikdy jej názov.

5. Pokyny prevádzkovateľa

Bienaro spracúva osobné údaje výhradne na základe zdokumentovaných pokynov prevádzkovateľa. Zdokumentovaným pokynom sa rozumie táto zmluva, obchodné podmienky, nastavenia, ktoré podnik vykoná v administrácii, dáta, ktoré do systému vloží, a písomné pokyny zaslané na kontaktnú adresu podľa článku 15.
Prenos do tretej krajiny alebo medzinárodnej organizácii vykoná Bienaro len na pokyn prevádzkovateľa alebo vtedy, ak mu to ukladá právo Európskej únie alebo členského štátu; v takom prípade prevádzkovateľa o tejto požiadavke vopred informuje, pokiaľ to dané právo nezakazuje.
Ak sa Bienaro domnieva, že pokyn porušuje GDPR alebo iné predpisy o ochrane osobných údajov, bezodkladne na to prevádzkovateľa upozorní; do vyjasnenia je oprávnené výkon pokynu pozastaviť.
Programové rozhranie (API) a odchádzajúce správy (webhooky) sprístupňuje Bienaro na požiadanie (podnik o ne žiada v administrácii v Nastavenia → API a webhooky alebo e-mailom na podporu); údaje cez ne odchádzajú len pri podniku, ktorý si ich v administrácii sám nastavil. Ak si podnik vydá prístupový kľúč alebo nastaví odchádzajúce správy na adresu, ktorú si sám zvolí, je to jeho pokyn na prenos údajov príjemcovi, ktorého si zvolil. Za výber takého príjemcu, za zmluvu s ním, za právny základ prenosu (vrátane prenosu mimo Európskej únie, ak príjemca sídli mimo nej) a za ochranu prístupového kľúča zodpovedá podnik ako prevádzkovateľ; Bienaro zodpovedá za to, že správu odošle len na zvolenú adresu, podpísanú a šifrovaným spojením.
Ak podnik v administrácii zapne serverové konverzie pre Metu (v Nastavenia → Meranie a reklama vloží prístupový token Conversions API a zaškrtne pokyn), je to jeho pokyn na prenos údajov o rezerváciách zo svojho webu spoločnosti Meta Platforms Ireland Limited, ktorú si sám zvolil ako príjemcu. Bienaro údaje odovzdáva len pri návštevníkoch, ktorí na webe podniku udelili súhlas s marketingovými cookies, a len: druh a čas udalosti rezervácie, adresu rezervačnej stránky s parametrami odkazu, telefón a e-mail v podobe odtlačku (SHA-256), podľa ktorého Meta rezerváciu priradí k účtu, ktorý tento kontakt používa, IP adresu, údaje o prehliadači a identifikátory prekliku z reklamy Mety. Meno, poznámku, službu ani cenu neodovzdáva. Podnik ako prevádzkovateľ zodpovedá za zmluvu s Metou (prijatie jej podmienok pre firemné nástroje vrátane dodatku o spoločných prevádzkovateľoch), za právny základ prenosu – súhlas návštevníka, ktorý zaň Bienaro zbiera lištou na webe podniku – a za informovanie návštevníkov, na ktoré mu Bienaro poskytuje texty lišty a stránky Informácie; Bienaro zodpovedá za to, že údaje odošle len so súhlasom, len v tomto rozsahu, šifrovaným spojením a len do účtu, ku ktorému patrí token podniku. Token uchováva šifrovane a podnik ho môže kedykoľvek zmazať; tým sa odovzdávanie okamžite skončí.
Ak podnik alebo člen jeho tímu vloží adresu osobného kalendára na odber blokácií, je to pokyn na sťahovanie tejto adresy. Bienaro z každej udalosti ukladá výhradne jej čas a identifikátor; názov, popis, miesto ani účastníkov nečíta. Adresa odberu je v databáze uložená šifrovane a dešifruje ju výhradne serverová časť služby.
Za zákonnosť spracúvania, správnosť údajov a splnenie informačnej povinnosti voči svojim klientom zodpovedá prevádzkovateľ. Platforma mu na to poskytuje stránku „Informácie o podniku“ na jeho webe s predvoleným textom podľa čl. 13 GDPR; obsah a aktuálnosť sú na prevádzkovateľovi.

6. Mlčanlivosť

K osobným údajom majú prístup len osoby, ktoré ich potrebujú poznať na plnenie tejto zmluvy, a len v nevyhnutnom rozsahu. Tieto osoby sú zaviazané mlčanlivosťou zmluvne alebo na základe zákona; záväzok trvá aj po skončení ich spolupráce s Bienaro. Zmeny, exporty dát a prístupy podpory do účtu podniku sa zapisujú do auditného záznamu.

7. Ďalší sprostredkovatelia (subprocesori)

Prevádzkovateľ udeľuje Bienaru všeobecné povolenie zapojiť ďalších sprostredkovateľov. Ku dňu účinnosti tejto verzie sú nimi:

Hetzner Online GmbH (Nemecko) – prevádzka serverov, databázy a záloh,
Scaleway SAS (Francúzsko) – odosielanie e-mailov klientom podniku,
Cloudflare, Inc. (USA, globálna sieť) – sieťová ochrana, DNS, TLS a ochrana formulárov proti spamu; spracúva prevádzkové údaje ako IP adresa a hlavičky požiadavky,
Functional Software, Inc. (Sentry) – sledovanie technických chýb v dátovej rezidencii EÚ; obsah hlásení čistíme tak, aby v ňom neboli osobné údaje, a pri prenose hlásenia z prehliadača návštevníka sa spracúva jeho IP adresa,
GoSMS s.r.o. (Česko) – doručenie SMS: prihlasovací kód majiteľa účtu a upozornenie majiteľovi na vyčerpaný kredit SMS, a klientom podniku potvrdenie rezervácie (ak klient neuviedol e-mail), pripomienky termínov a overovací kód na webe podniku (telefónne číslo a text správy); SMS odchádzajú len na české, slovenské a rakúske mobilné čísla; kódy do účtu klienta posiela Bienaro ako prevádzkovateľ na vlastné náklady, nejde o spracúvanie pre podnik,
Google LLC, Apple Inc. a Mozilla Foundation (USA, resp. globálna sieť; adresu doručenia určuje prehliadač majiteľa účtu) – doručenie upozornení do telefónu majiteľa a členov tímu; obsah upozornení je šifrovaný kľúčmi zariadenia a služba ho nečíta.

Anthropic, PBC (USA) ďalším sprostredkovateľom osobných údajov klientov nie je. Umelej inteligencii odovzdávame údaje o podniku a jeho ponuke (názov, odbor, mesto, služby a ich popisy), texty webu, cenníka a častých otázok, ktoré podnik napísal a necháva vygenerovať, upraviť alebo preložiť, text verejnej stránky, ktorú podnik sám zadal na import, a otázku, ktorú majiteľ alebo člen tímu položí pomocníkovi v administrácii. Tieto texty môžu obsahovať mená osôb (napríklad majiteľa alebo členov tímu). Z evidencie klientov a rezervácií sa do modelu neposiela nič; prosíme, nepíšte údaje klientov do textov webu ani do otázok pomocníkovi. Podrobne to opisuje stránka AI v Bienaro.

Seznam.cz, a.s. (Mapy.cz) a OpenStreetMap Foundation (Nominatim) ďalšími sprostredkovateľmi osobných údajov klientov nie sú: dostávajú len adresu prevádzky, názov podniku a súradnice výrezu mapy, aby sa našli súradnice a vykreslil mapový podklad pre web podniku. Pri tomto spracúvaní je prevádzkovateľom Bienaro a opisujú ho zásady ochrany osobných údajov. Obrázok mapy skladá server Bienaro; prehliadač klienta sa k mapovej službe nepripája.

S každým ďalším sprostredkovateľom má Bienaro uzavretú zmluvu, ktorá mu ukladá povinnosti zodpovedajúce tejto zmluve. Za ich činnosť zodpovedá Bienaro prevádzkovateľovi rovnako, ako keby spracúvanie vykonávalo samo.

Zmeny. Zamýšľané pribratie alebo nahradenie ďalšieho sprostredkovateľa oznámi Bienaro prevádzkovateľovi e-mailom najmenej 30 dní vopred. Prevádzkovateľ môže proti zmene v rovnakej lehote vzniesť odôvodnenú námietku. Ak sa námietku nepodarí vyriešiť, môže ktorákoľvek strana zmluvu o používaní platformy vypovedať ku dňu, keď má zmena nadobudnúť účinnosť; pomernú časť predplatného Bienaro vráti podľa prehľadu prípadov v záverečnej kapitole obchodných podmienok.

Aktuálny zoznam je v Prílohe 1 tejto zmluvy a na adrese bienaro.com/cs/dpa; jej zmena sa oznamuje podľa tohto článku.

8. Umiestnenie dát a prenos mimo EÚ

Osobné údaje klientov spracúvajú tieto kategórie služieb:

databáza rezervácií a zálohy – Hetzner, Nemecko; bez prenosu mimo EÚ,
e-maily – Scaleway, Francúzsko; bez prenosu mimo EÚ,
SMS – GoSMS, Česko; bez prenosu mimo EÚ,
chyby a diagnostika – Sentry v dátovom regióne EÚ; obsah hlásení bez osobných údajov, pri prenose z prehliadača IP adresa; pre podporné zásahy z USA štandardné zmluvné doložky Európskej komisie, resp. rámec EU-U.S. Data Privacy Framework,
sieťová prevádzka a ochrana – Cloudflare, globálna sieť; prevádzkové údaje (IP adresa a hlavičky požiadavky); štandardné zmluvné doložky a rámec EU-U.S. Data Privacy Framework,
upozornenia do telefónu majiteľa a členov tímu – push služby prehliadačov (Google, Apple, Mozilla), USA, resp. globálna sieť; len adresa doručenia a obsah zašifrovaný kľúčmi zariadenia, ktorý neprečítajú; štandardné zmluvné doložky, resp. rámec EU-U.S. Data Privacy Framework.

AI – texty webu, preklady a pomocník (Anthropic, USA, štandardné zmluvné doložky) s evidenciou klientov nepracuje: dostáva len údaje a texty podniku podľa článku 7, ktoré môžu obsahovať mená osôb. Bienaro osobné údaje klientov nepredáva a klientov jedného podniku nikdy neponúka inému. Prehľad aktuálnych mechanizmov prenosu a posúdenie ich vplyvov poskytne Bienaro prevádzkovateľovi na vyžiadanie.

9. Zabezpečenie (čl. 32 GDPR)

S ohľadom na povahu, rozsah a účel spracúvania a na riziká pre práva klientov zaviedlo Bienaro najmä tieto opatrenia:

šifrovanie prenosu (TLS),
denné zálohy obrazu servera u poskytovateľa hostingu v Nemecku, uchovávané sedem dní, a písomný plán obnovy prevádzky,
šifrovanie adresy odoberaného osobného kalendára člena tímu,
ochrana proti automatizovaným útokom na úrovni siete (WAF a obmedzenie frekvencie požiadaviek),
heslá uložené len v podobe kryptografického odtlačku, voliteľné dvojfázové overenie a povinné overenie pri hromadnom exporte klientov,
oddelenie dát jednotlivých podnikov a riadenie prístupu podľa rolí; osobné údaje klientov nie sú prístupné inému podniku,
auditný záznam zmien v administrácii a pri rezerváciách, exportov dát a prístupov podpory,
evidencia súhlasov s marketingom s časom udelenia či odvolania a verziou textu, prístup len v rozsahu nutnom na prevádzku,
obmedzenie spracúvania správ (pozastavenie komunikácie voči konkrétnemu klientovi) ako technický nástroj na výkon práva podľa čl. 18 GDPR,
anonymizácia údajov klientov po troch rokoch neaktivity.

Opatrenia sa môžu vyvíjať; Bienaro ich nesmie zmeniť tak, aby úroveň ochrany klesla pod úroveň platnú pri uzavretí zmluvy.

10. Súčinnosť pri právach klientov (čl. 28 ods. 3 písm. e) GDPR)

Žiadosť klienta vybavuje podnik ako prevádzkovateľ. Bienaro mu na to poskytne primeranú technickú súčinnosť, aby stihol lehotu podľa čl. 12 ods. 3 GDPR, teda bez zbytočného odkladu, najneskôr do 30 dní od doručenia žiadosti:

prístup a prenosnosť (čl. 15 a 20) – samoobslužný export klientov a histórie návštev (kvôli bezpečnosti vyžaduje dvojfázové overenie a súbor je pripravený do 72 hodín od žiadosti), prípadne výpis na pokyn podniku,
oprava (čl. 16) – úprava karty klienta v administrácii; telefónne číslo klienta, ktoré je kľúčom k jeho karte naprieč podnikmi aj k jeho účtu, mení na žiadosť podniku podpora Bienaro, a to iná osoba, než ktorá žiadosť podala,
vymazanie (čl. 17) – anonymizácia údajov klienta jedinou funkciou, ktorá zahŕňa kartu klienta, jeho väzbu na podnik, poznámky k rezerváciám, zápisy v čakacej listine, prihlasovacie kódy, snapshoty rezervácií odoslané na rozhranie zvolené podnikom a stav súhlasov; evidencia súhlasov a odmietnutí sa maže s vymazaním celej karty klienta, aby odmietnutie platilo ďalej; rezervácie zostávajú bez osobných údajov kvôli účtovnej a štatistickej evidencii podniku. Evidencia návštev, na ktoré sa klient nedostavil, a blokácia online rezervácie u podniku vymazaním nezaniká: opiera sa o oprávnený záujem podniku a blokácia sa ruší samostatne po 12 mesiacoch bez ďalšieho nedostavenia sa,
obmedzenie spracúvania (čl. 18) – pozastavenie odchádzajúcej komunikácie voči danému klientovi a vypnutie súhlasov,
námietka a odvolanie súhlasu (čl. 21 a čl. 7 ods. 3) – odhlasovací odkaz v každej marketingovej správe pôsobí okamžite voči podniku, ktorý správu poslal, a zapisuje sa do evidencie súhlasov.

Ak sa klient omylom obráti priamo na Bienaro, jeho žiadosť bez zbytočného odkladu odovzdáme podniku a klientovi to oznámime; sami ju nevybavujeme. Výnimkou je žiadosť autora o odstránenie jeho recenzie: tú Bienaro vybaví samo podľa kapitoly 7 obchodných podmienok (odstránenie s dôvodom „na žiadosť autora“), recenziu odstráni z webu podniku, z overovacieho profilu aj z vložiteľného prvku „Hodnotenie“ zároveň a podnik o tom upovedomí; je to všeobecný pokyn prevádzkovateľa daný touto zmluvou.

11. Súčinnosť podľa čl. 32 až 36 a porušenie ochrany osobných údajov

Ak Bienaro zistí porušenie ochrany osobných údajov, ohlási ho dotknutým podnikom bez zbytočného odkladu potom, ako sa o ňom dozvie (čl. 33 ods. 2), a odovzdá im informácie potrebné na ich vlastné oznámenie dozornému orgánu, najmä povahu porušenia, dotknuté kategórie a približný počet záznamov, pravdepodobné dôsledky a prijaté opatrenia.
Bienaro poskytne súčinnosť pri posúdení vplyvu na ochranu údajov a pri predchádzajúcej konzultácii s dozorným orgánom (čl. 35 a 36), ak je potrebná a týka sa spracúvania vykonávaného platformou.
Bienaro vedie záznamy o kategóriách spracovateľských činností vykonávaných pre prevádzkovateľa (čl. 30 ods. 2) a na vyžiadanie ich prevádzkovateľovi sprístupní.

12. Vymazanie a vrátenie údajov po skončení

Po skončení poskytovania služby Bienaro osobné údaje klientov zmaže, alebo ich podľa voľby podniku vráti; voľbu podnik uplatní najneskôr do konca lehoty na rozmyslenie podľa nasledujúceho bodu. Vrátením sa rozumie sprístupnenie exportu podľa článku 10 – export je preto potrebné vyžiadať najmenej tri dni pred ukončením účtu.
Ak podnik voľbu neuplatní, zmaže Bienaro dáta podniku, vrátane údajov klientov, ktoré nevedie iný podnik ani účet klienta, po uplynutí lehoty na rozmyslenie: do 14 dní, ak podnik zrušil účet sám v administrácii, inak najneskôr do 30 dní od skončenia zmluvy. Do konca lehoty možno zrušenie vziať späť a dáta sa vrátia.
Zo záloh obrazu servera údaje vypadnú najneskôr ich expiráciou, teda do ďalších siedmich dní. Počas tejto doby sú zálohy chránené ako celok a nepoužívajú sa na iný účel než na obnovu prevádzky.
Aj počas trvania zmluvy platí retenčné pravidlo: klient, pri ktorom tri roky nedôjde k nezrušenej rezervácii, stráca väzbu na podnik, jeho údaje sa anonymizujú a podnik ich ďalej nevidí ani pri starších rezerváciách.
Kratšie lehoty platia pre prevádzkové záznamy: záznam o správach klientom (bez textu správy) tri roky, technický záznam o doručení e-mailov 12 mesiacov, overovacie kódy 30 dní, zápis v čakacej listine 30 dní po vybavení, správy odoslané na rozhranie zvolené podnikom 30 dní, auditný záznam 3 roky a obmedzenie online rezervácie 12 mesiacov od posledného nedostavenia sa.
Výnimkou je uchovanie, ktoré Bienaru ukladá právo Európskej únie alebo členského štátu (najmä účtovné a daňové doklady), a prevádzkové záznamy Bienara o plnení zmluvy: technický záznam o doručení e-mailov (najdlhšie 12 mesiacov), auditný záznam (najdlhšie 3 roky) a komunikácia s podporou. Uchovávajú sa len v nevyhnutnom rozsahu a na daný účel.

13. Doklady a audit (čl. 28 ods. 3 písm. h) GDPR)

Bienaro poskytne prevádzkovateľovi na vyžiadanie informácie potrebné na preukázanie, že povinnosti podľa tohto článku plní. Prevádzkovateľ je oprávnený vykonať audit alebo inšpekciu, prípadne ich nechať vykonať nezávislým audítorom zaviazaným mlčanlivosťou, a to najviac raz za 12 mesiacov a po oznámení najmenej 30 dní vopred; pri podozrení na porušenie ochrany osobných údajov alebo na pokyn dozorného orgánu aj kedykoľvek inokedy a v kratšej lehote.

Audit prebieha v pracovnom čase, nesmie neprimerane narušiť prevádzku a nesmie sprístupniť dáta iných podnikov ani informácie, ktoré by ohrozili bezpečnosť platformy. Náklady znáša prevádzkovateľ, pokiaľ audit nepreukáže podstatné porušenie povinností Bienaro.

14. Trvanie, zmeny a zodpovednosť

Zmluva trvá počas trvania zmluvy o používaní platformy. Ustanovenia o mlčanlivosti, vymazaní a dokladoch trvajú aj po jej skončení.
Zmeny tejto zmluvy oznámime e-mailom najmenej 30 dní pred účinnosťou na adresu evidovanú pri účte podniku; oznámenie obsahuje prehľad zmien, dátum účinnosti a odkaz na nové znenie. Každá verzia zmluvy nesie svoje číslo a dátum účinnosti a pri účte podniku sa eviduje, ktorú verziu podnik prijal a kedy. V administrácii sa do dňa účinnosti zobrazuje upozornenie na novú verziu. Ak podnik so zmenou nesúhlasí, môže do dňa účinnosti zmluvu o používaní platformy vypovedať; pomernú časť predplatného vrátime podľa prehľadu prípadov v záverečnej kapitole obchodných podmienok.
Zodpovednosť strán sa riadi čl. 82 GDPR. Obmedzenie zodpovednosti podľa obchodných podmienok sa neuplatní tam, kde ho právo nepripúšťa, najmä pri nárokoch dotknutých osôb a sankciách dozorného orgánu.
Zmluva sa riadi českým právom; vydáva sa v češtine a české znenie je záväzné.

15. Kontakt

Pokyny, žiadosti o súčinnosť a oznámenia podľa tejto zmluvy posielajte na info@toucan-labs.cz. Rovnakou adresou hlásime podnikom porušenie ochrany osobných údajov. Zodpovedná osoba nie je určená, pretože na to nie sú splnené podmienky čl. 37 GDPR; posúdenie opakujeme s rastom platformy.

Odporúčanie k fotografiám členov tímu

Fotografia člena tímu na webe podniku je jeho osobným údajom a prevádzkovateľom je podnik ako zamestnávateľ či objednávateľ. Odporúčame oprieť zverejnenie o súhlas daného člena tímu, ktorý možno kedykoľvek odvolať; odvolanie sa v platforme vykoná odobratím fotky v profile. Zverejnenie možno oprieť aj o oprávnený záujem na prezentácii podniku, vtedy je však namieste člena tímu vopred informovať a námietke vyhovieť. Voľbu aj jej preukázanie má v rukách podnik; Bienaro fotku spracúva len ako sprostredkovateľ.

Príloha 1 – Zoznam ďalších sprostredkovateľov ku dňu 5. 10. 2026

Pri každom sprostredkovateľovi je uvedená kategória služby, sídlo a krajina spracúvania, účel a rozsah údajov a právny základ prenosu. Zmena zoznamu sa oznamuje podľa článku 7.

Databáza rezervácií a zálohy – Hetzner Online GmbH – Nemecko (Falkenstein), sídlo Gunzenhausen; prevádzka serverov, databázy a záloh, teda všetky dáta platformy; Európska únia, bez prenosu do tretej krajiny.
E-maily – Scaleway SAS – Francúzsko (Paríž); odosielanie e-mailov klientom podniku: adresa príjemcu a obsah správy; Európska únia, bez prenosu do tretej krajiny.
SMS – GoSMS s.r.o. – Česko; doručenie SMS: telefónne číslo a text správy (potvrdenie rezervácie, pripomienka termínu, overovací kód na webe podniku), len na české, slovenské a rakúske mobilné čísla; Česká republika, bez prenosu do tretej krajiny. Kódy do účtu klienta posiela Bienaro ako prevádzkovateľ na vlastné náklady, nejde o spracúvanie pre podnik.
Sieťová prevádzka a ochrana – Cloudflare, Inc. – USA, prevádzka v globálnej sieti s európskymi bodmi prítomnosti; ochrana siete, DNS, TLS, ochrana formulárov proti zneužitiu (Turnstile), WAF a obmedzenie frekvencie požiadaviek; spracúva prevádzkové údaje – IP adresu a hlavičky požiadavky; rozhodnutie o primeranosti ochrany EU-U.S. Data Privacy Framework, podporne štandardné zmluvné doložky Európskej komisie podľa zmluvy Cloudflare o spracúvaní osobných údajov.
Chyby a diagnostika – Functional Software, Inc. (Sentry) – USA, dátová rezidencia EÚ; sledovanie technických chýb – obsah hlásení čistíme od osobných údajov, pri prenose hlásenia z prehliadača návštevníka sa spracúva jeho IP adresa; dátová rezidencia v Európskej únii, pre podporné zásahy štandardné zmluvné doložky, resp. EU-U.S. Data Privacy Framework podľa zmluvy Sentry o spracúvaní osobných údajov.
Upozornenia do telefónu – Google LLC, Apple Inc., Mozilla Foundation (push služby prehliadačov) – USA, resp. globálna sieť; adresu doručenia určuje prehliadač majiteľa účtu; doručenie upozornení do telefónu majiteľa a členov tímu, obsah je šifrovaný kľúčmi zariadenia (RFC 8291) a služba ho nečíta; štandardné zmluvné doložky, resp. EU-U.S. Data Privacy Framework podľa podmienok príslušnej služby, rozsah obmedzený na adresu doručenia a nečitateľný obsah.

Výslovne mimo tohto zoznamu sú poskytovatelia, ktorí na osobné údaje klientov podniku nesiahajú: Anthropic, PBC (USA; AI – texty webu, preklady a pomocník v administrácii: len údaje a texty podniku, ktoré môžu obsahovať mená osôb, text verejnej stránky, ktorú podnik sám zadal, a otázka položená pomocníkovi; štandardné zmluvné doložky), Just Print s.r.o. (Česko) a prepravcovia, ktorí vyrábajú a doručujú uvítaciu sadu a objednané tlačoviny (len meno podniku, doručovacia adresa, telefón pre kuriéra a tlačové dáta s údajmi podniku), Seznam.cz, a.s. a OpenStreetMap Foundation (len adresa prevádzky, názov podniku a súradnice výrezu mapy), Google, Apple a Microsoft ako zdroj osobného kalendára (na adresu zvolenú podnikom sa len chodíme opýtať, nič sa im neodovzdáva) a ARES (Ministerstvo financí ČR) – verejný register, do ktorého odchádza len IČO. Mimo zoznamu je aj Meta Platforms Ireland Limited (Írsko) – len pri podnikoch, ktoré si zapli serverové konverzie pre Metu: je to príjemca, ktorého si podnik zvolil, nie ďalší sprostredkovateľ Bienaro (rozsah a podmienky v článku 5).

Otázky: info@toucan-labs.cz · obchodné podmienky · ochrana osobných údajov · AI v Bienaro · späť na hlavnú stránku