Ochrana osobních údajů

Provozovatelem platformy Veritas Safety pro online školení BOZP a PO na adrese veritassafety.online je Veritas Safety, se sídlem Ostrava (dále jen „provozovatel“ nebo „my“).

Tyto zásady popisují, jak zpracováváme osobní údaje v souladu s nařízením Evropského parlamentu a Rady (EU) 2016/679, obecným nařízením o ochraně osobních údajů (dále jen „GDPR“), a se zákonem č. 110/2019 Sb., o zpracování osobních údajů.

Kontakt ve věcech osobních údajů: e-mail info@veritassafety.cz, telefon +420 775 704 540. Pověřence pro ochranu osobních údajů jsme nejmenovali, protože nám tato povinnost s ohledem na povahu a rozsah zpracování podle čl. 37 GDPR nevzniká.

Jako správce zpracováváme údaje návštěvníků webu, osob, které nás kontaktují přes poptávkový formulář, a zástupců firemních zákazníků (zejména osob, které založily firemní účet, a HR manažerů). Jako správce zpracováváme také údaje nezbytné pro zabezpečení platformy a ochranu našich právních nároků.

Jako zpracovatel zpracováváme údaje zaměstnanců, kteří na platformě absolvují školení. Jejich správcem je zaměstnavatel – náš firemní zákazník –, který určuje účel zpracování (zajištění a doložení školení, které mu ukládají právní předpisy) a odpovídá za informování svých zaměstnanců. Údaje zpracováváme jeho jménem na základě zpracovatelských ujednání podle čl. 28 GDPR, která jsou součástí obchodních podmínek (čl. 6).

Poptávkový formulář (jako správce)

Jméno a příjmení, název firmy, e-mail, typ poptávky a text zprávy (povinné údaje), dále telefon a počet zaměstnanců, pokud je vyplníte; spolu s poptávkou evidujeme datum a čas jejího odeslání. Údaje používáme k vyřízení poptávky a přípravě nabídky. Právní základ: provedení opatření před uzavřením smlouvy na vaši žádost (čl. 6 odst. 1 písm. b) GDPR), a jednáte-li jménem firmy, náš oprávněný zájem na komunikaci se zástupcem firmy, která službu poptává (čl. 6 odst. 1 písm. f) GDPR). Zaškrtnutím políčka ve formuláři potvrzujete, že nám údaje poskytujete za účelem vyřízení poptávky.

Firemní zákazníci (jako správce)

Při registraci firmy zpracováváme název firmy, IČO, jméno a příjmení zástupce, jeho e-mail a heslo. V nastavení firmy lze doplnit DIČ, adresu sídla, fakturační e-mail a telefon. Dále zpracováváme údaje o objednaných službách, fakturaci a platbách a komunikaci se zákazníkem. Účel a právní základ: uzavření a plnění smlouvy, správa firemního účtu, fakturace a zákaznická podpora (čl. 6 odst. 1 písm. b) GDPR; u zástupců právnických osob náš oprávněný zájem podle čl. 6 odst. 1 písm. f) GDPR) a plnění účetních a daňových povinností (čl. 6 odst. 1 písm. c) GDPR).

Zaměstnanci absolvující školení (jako zpracovatel)

• jméno a příjmení, e-mail a heslo (ukládá se pouze jako kryptografický otisk, ze kterého nelze heslo zpětně zjistit),
• příslušnost k firmě a role ve firemním účtu (zaměstnanec, HR manažer),
• průběh školení – zahájení a dokončení kurzu, dokončené lekce a čas v nich strávený,
• závěrečné testy – položené otázky, zvolené odpovědi, výsledek a pořadí pokusu,
• prohlášení o samostatném absolvování testu včetně času jeho potvrzení,
• IP adresa a typ prohlížeče při testu a při potvrzení prohlášení (k doložení, kdy a odkud byl test absolvován),
• vystavené certifikáty – číslo, jméno držitele, název firmy a kurzu, datum absolvování, platnost a výsledek testu,
• záznamy o odeslaných e-mailech – adresát, předmět, čas odeslání a stav doručení.

Účel: zajištění školení o bezpečnosti a ochraně zdraví při práci a o požární ochraně a jeho průkazná evidence, kterou zaměstnavateli ukládají zejména § 103 zákona č. 262/2006 Sb., zákoník práce, a předpisy o požární ochraně (zákon č. 133/1985 Sb., o požární ochraně, a vyhláška č. 246/2001 Sb., o požární prevenci). Právní základ na straně zaměstnavatele: plnění právní povinnosti (čl. 6 odst. 1 písm. c) GDPR).

E-maily odesílané platformou

Po úspěšném testu platforma zašle certifikát ve formátu PDF zaměstnanci a v kopii HR manažerům jeho firmy. Stejným adresátům odesílá připomínku 60, 30 a 7 dní před koncem platnosti certifikátu a po jeho vypršení. Skrytou kopii automaticky odesílaných e-mailů dostává provozovatel ke kontrole doručení a pro zákaznickou podporu. Provozovatel dostává také interní oznámení o registraci nových firem a uživatelů a o neúspěšných pokusech o test, aby mohl zákazníkům včas pomoci.

Návštěvníci webu a zabezpečení platformy (jako správce)

Při návštěvě webu zpracovává náš poskytovatel hostingu v záznamech serveru technické údaje (IP adresu, datum a čas požadavku, požadovanou adresu a typ prohlížeče). Tyto údaje a údaje o přihlášení (například čas posledního přihlášení) používáme k zajištění bezpečného provozu platformy, ochraně uživatelských účtů a případnému uplatnění nebo obhajobě právních nároků na základě našeho oprávněného zájmu (čl. 6 odst. 1 písm. f) GDPR). Platforma nepoužívá analytické ani reklamní nástroje.

• Poptávky, ze kterých nevznikne smluvní vztah – nejdéle 2 roky od posledního kontaktu.
• Firemní účet a údaje zástupců zákazníka – po dobu trvání smlouvy a poté 4 roky od jejího skončení pro případné uplatnění nebo obhajobu právních nároků (obecná promlčecí lhůta podle občanského zákoníku činí 3 roky).
• Účetní a daňové doklady – po dobu stanovenou právními předpisy, zejména daňové doklady 10 let od konce zdaňovacího období, ve kterém bylo plnění uskutečněno (§ 35 zákona č. 235/2004 Sb., o dani z přidané hodnoty), a ostatní účetní záznamy 5 let od konce účetního období (§ 31 zákona č. 563/1991 Sb., o účetnictví).
• Záznamy o školení, výsledky testů a certifikáty – po dobu trvání smlouvy se zákazníkem a podle jeho pokynů. Nestanoví-li zákazník jinak, uchováváme je 5 let od absolvování školení, nejméně však do konce platnosti certifikátu, aby mohl zaměstnavatel splnění svých povinností doložit při kontrole; poté je vymažeme. Právní předpisy pro tyto záznamy pevnou lhůtu nestanoví; uvedená doba odpovídá běžné praxi v oblasti BOZP.
• Uživatelské účty zaměstnanců – po dobu trvání smlouvy se zákazníkem, nepožádá-li zákazník o dřívější zrušení účtu; záznamy o absolvovaném školení se poté uchovávají podle předchozího bodu.
• Záznamy o odeslaných e-mailech – po stejnou dobu jako záznamy o školení nebo účet, ke kterým se vztahují.
• Technické záznamy serveru – krátkodobě, nejdéle 30 dní, pokud je nepotřebujeme k prošetření konkrétního bezpečnostního incidentu.

• Zaměstnavatel – údaje o školení zaměstnanců jsou v aplikaci přístupné oprávněným osobám zákazníka (vlastníkovi firemního účtu a HR manažerům), které dostávají i kopie certifikátů a připomínek.
• Zpracovatelé, kteří smějí údaje zpracovávat jen podle našich pokynů a jsou smluvně zavázáni k jejich ochraně:
  • Vercel Inc. (USA) – hosting a provoz aplikace; serverová část běží v datovém centru ve Frankfurtu nad Mohanem (Německo),
  • Supabase Inc. (USA) – databáze, přihlašování uživatelů a úložiště certifikátů; data jsou uložena v datovém centru ve Frankfurtu nad Mohanem (Německo),
  • poskytovatel služby pro rozesílání e-mailů (Mailgun, EU region, případně Resend) – doručování certifikátů, připomínek a dalších e-mailů,
  • poskytovatel e-mailové schránky provozovatele – příjem poptávek a kopií odeslaných e-mailů.
• Ověření certifikátu – každý certifikát obsahuje QR kód s jedinečným odkazem. Kdo odkaz zná (typicky kontrolní orgán nebo jiná osoba, které držitel certifikát předloží), uvidí na ověřovací stránce jméno držitele, název firmy a kurzu, datum absolvování, platnost, číslo certifikátu a výsledek testu. E-mail ani jiné kontaktní údaje se nezobrazují a ověřovací stránky nejsou indexovány vyhledávači.
• Orgány veřejné moci – v rozsahu, v jakém nám to ukládá právní předpis.

Údaje neprodáváme ani je nepředáváme třetím osobám pro jejich marketingové účely.

Databázi i serverovou část aplikace provozujeme v datových centrech v Evropské unii. Společnosti Vercel, Supabase, Mailgun a Resend však mají sídlo v USA, a proto nelze vyloučit přístup k údajům z USA (například při zajišťování provozu nebo technické podpory). K takovému předání dochází pouze se zárukami podle kapitoly V GDPR – na základě rozhodnutí Evropské komise o odpovídající úrovni ochrany (EU–US Data Privacy Framework) u certifikovaných společností, jinak na základě standardních smluvních doložek schválených Evropskou komisí.

Komunikace s platformou probíhá výhradně šifrovaně (HTTPS) a hesla ukládáme pouze jako kryptografický otisk. Přístup k údajům je řízen podle rolí přímo v databázi – zaměstnanec vidí jen své údaje, HR manažer jen údaje své firmy. Certifikáty jsou uloženy v neveřejném úložišti a stáhnout je mohou jen přihlášené oprávněné osoby; ke každému certifikátu evidujeme kontrolní otisk souboru, podle kterého lze ověřit, že nebyl změněn. Naši zpracovatelé jsou smluvně vázáni povinností mlčenlivosti a zabezpečení údajů.

V souvislosti se zpracováním svých osobních údajů máte podle GDPR tato práva:

• právo na přístup – získat potvrzení, zda vaše údaje zpracováváme, informace o zpracování a kopii údajů (čl. 15 GDPR),
• právo na opravu nepřesných a doplnění neúplných údajů (čl. 16 GDPR),
• právo na výmaz, pokud údaje již nejsou potřebné nebo jsou zpracovávány neoprávněně (čl. 17 GDPR),
• právo na omezení zpracování, například po dobu ověřování přesnosti údajů (čl. 18 GDPR),
• právo na přenositelnost údajů, které jste poskytli a které se zpracovávají automatizovaně na základě smlouvy (čl. 20 GDPR),
• právo vznést námitku proti zpracování založenému na oprávněném zájmu (čl. 21 GDPR),
• právo nebýt předmětem automatizovaného rozhodování včetně profilování (čl. 22 GDPR) – viz bod 9.

O opravě, výmazu nebo omezení zpracování informujeme i příjemce, kterým byly údaje zpřístupněny (čl. 19 GDPR). Žádosti přijímáme na info@veritassafety.cz a vyřizujeme je bez zbytečného odkladu, nejpozději do jednoho měsíce od doručení; s ohledem na složitost a počet žádostí lze tuto lhůtu výjimečně prodloužit o další dva měsíce (čl. 12 odst. 3 GDPR). Uplatnění práv je bezplatné.

Zaměstnanci firemních zákazníků uplatňují svá práva primárně u svého zaměstnavatele jako správce. Pokud žádost obdržíme my, předáme ji bez zbytečného odkladu zaměstnavateli a poskytneme mu součinnost při jejím vyřízení.

Máte také právo podat stížnost u dozorového úřadu (čl. 77 GDPR), kterým je Úřad pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, www.uoou.gov.cz.

Návštěvníkům, kteří se nepřihlašují, neukládáme žádné cookies. Po přihlášení používá platforma pouze nezbytné cookies, bez kterých se do aplikace nelze přihlásit a bezpečně ji používat. Takové cookies lze podle § 89 odst. 3 zákona č. 127/2005 Sb., o elektronických komunikacích, používat bez souhlasu.

Analytické, reklamní ani jiné volitelné cookies nepoužíváme a platforma nenačítá obsah ze serverů třetích stran. Cookies můžete kdykoli smazat v nastavení prohlížeče; bez přihlašovacích cookies se však do aplikace nepřihlásíte.

Závěrečný test vyhodnocuje platforma automaticky podle počtu správných odpovědí; hranice úspěšnosti je uvedena u každého kurzu. Neúspěšný test lze opakovat. Nejde o rozhodování, které by vůči vám mělo právní účinky nebo se vás obdobně významně dotýkalo ve smyslu čl. 22 GDPR. Profilování neprovádíme.

Zásady můžeme aktualizovat, například při změně zpracovatelů nebo rozsahu služeb. Aktuální znění je vždy dostupné na této stránce spolu s datem jeho účinnosti; o podstatných změnách informujeme firemní zákazníky e-mailem.