Ochrana osobných údajov

Tieto zásady ochrany osobných údajov sú spracované v súlade s Nariadením (EÚ) 2016/679 (GDPR) a zákonom č. 18/2018 Z. z. Vysvetľujú, ako OlimpiaS spracúva osobné údaje v súvislosti s webom olimpias.sk, dashboardom, hostovaným webom / embedom (rezervácie služieb, obchod / retail, gastro, chat) a súvisiacimi notifikáciami.

Tento zmluvný balík platí rovnako pre všetky typy prevádzok — gastro, retail aj služby. Odvetvie určuje len rozsah zapnutých funkcií platformy, nie odlišný súd, inú lehotu oznámenia incidentu ani iné B2B podmienky voči Poskytovateľovi.

Kontakt: info@olimpias.sk.

Súvisiace: Obchodné podmienky · Zmluva o spracúvaní osobných údajov (DPA) · Pravidlá pre personál. Podmienky pre zákazníkov konkrétnej prevádzky sú aj vo widgete danej prevádzky.

1. Prevádzkovateľ a úlohy

1.1. Prevádzkovateľom údajov návštevníkov webu olimpias.sk, záujemcov z kontaktného formulára a majiteľov / personálu účtov platformy je OlimpiaS — Peter Ščípa, IČO 51091143, miesto podnikania Obežná 583/14, 92552 Šoporna, e-mail info@olimpias.sk.

1.2. Pri údajoch zákazníkov prevádzok (rezervácie, objednávky, dopyty, chat) je prevádzkovateľom spravidla Klient — prevádzka. OlimpiaS vystupuje ako sprostredkovateľ podľa čl. 28 GDPR (DPA v zmluve) a spracúva tieto údaje podľa pokynov Klienta.

1.3. Pri účtoch personálu Klienta (prihlásenie, priradenie k prevádzke, nastavenia oprávnení) OlimpiaS taktiež vystupuje ako sprostredkovateľ Klienta, keďže tieto účty zakladá a spravuje Klient v rozsahu svojej prevádzky. OlimpiaS je samostatným prevádzkovateľom vo vzťahu k fakturácii SaaS a bezpečnosti platformy ako celku, nie k obsahu jednotlivých personálnych účtov.

1.4. Dotknuté osoby sú najmä: návštevníci webu, záujemcovia, majitelia prevádzok, personál s prístupom do dashboardu, kuriéri (ak sú zapnutí) a koncoví zákazníci prevádzok.

2. Aké údaje spracúvame

2.1 Údaje majiteľov a personálu platformy

• E-mail, heslo (uložené v hashovanej podobe), meno / označenie
• Nastavenia notifikácií (e-mail, Discord webhook, Denný prehľad a pod.)
• Firemné a fakturačné údaje prevádzky (obchodné meno, IČO, DIČ, IČ DPH, adresa, fakturačný e-mail, kontaktná osoba) — podľa vyplnenia pri registrácii / zmluve
• Technické údaje prihlásenia (napr. IP v primeranom rozsahu na bezpečnosť), JWT session

2.2 Údaje koncových zákazníkov (na pokyn prevádzky)

• Meno, telefón, e-mail
• Poznámka k rezervácii / objednávke — určená len na údaje potrebné na vybavenie služby (napr. preferencia, alergén na jedlo pri objednávke v gastre). Pole nie je určené na záznam údajov o zdravotnom stave; ak to povaha služby vyžaduje (napr. zdravotné obmedzenie relevantné pre kozmetický zákrok), Klient si pre taký záznam zabezpečí vlastný výslovný súhlas zákazníka mimo tohto poľa.
• Zvolená služba, termín, personál / zdroj, doplnky
• Adresa doručenia / fakturačná adresa (shop / retail, gastro rozvoz)
• Packeta výdajné miesto (ak je aktivované)
• Dátum narodenia (ak prevádzka zapne vekovú kontrolu v obchode) — odporúčame ukladať len príznak „vek overený", nie celý dátum narodenia, ak ho prevádzka nepotrebuje na iný účel
• História rezervácií / objednávok a stavy (vrátane no-show podľa telefónu, ak to prevádzka používa — pozri čl. 3 k automatizovanému vyhodnocovaniu)
• Správa rezervácie: kód rezervácie, odkazy / tokeny na zmenu alebo zrušenie, prípadne rebook odkaz (jednorazové, krátka platnosť, neprenášané cez hlavičku Referer)
• Obsah chatovej konverzácie a údaje extrahované na vytvorenie objednávky / rezervácie / dopytu (ak prevádzka používa chat) — rovnaké obmedzenie ako pri poznámke platí aj tu: chat nie je určený na zdravotné údaje, keďže obsah môže byť odoslaný poskytovateľovi AI modelu (pozri čl. 4 a 5)

2.3 Údaje z kontaktného formulára olimpias.sk

• Meno, e-mail, telefón (ak vyplnený), názov prevádzky / firmy, správa

2.4 Technické a prevádzkové údaje

• IP adresa a základné technické logy (bezpečnosť, rate limiting, ochrana proti zneužitiu)
• Prevádzková štatistika widgetu / obchodu (napr. počet zobrazení, počet dokončených objednávok za deň) — spracúvaná agregovane na strane servera, bez ukladania alebo čítania identifikátora v zariadení zákazníka. Nejde o sledovanie konkrétneho návštevníka naprieč reláciami.
• Údaje o stave widgetu (napr. posledná návšteva embedu) na diagnostiku

3. Účel a právny základ

• Registrácia, zmluva, dashboard, fakturácia SaaS — plnenie zmluvy; zákonná povinnosť (účtovníctvo).
• Odpoveď na dopyt z webu — oprávnený záujem na vybavenie dopytu pred uzavretím zmluvy.
• Hostovanie rezervácií, objednávok, chatu pre prevádzku — plnenie zmluvy so sprostredkovateľom (pokyny Klienta); u Klienta spravidla plnenie zmluvy so zákazníkom alebo iný právny základ, ktorý určí Klient.
• Potvrdenia, pripomienky, zmeny, zrušenia — plnenie zmluvy prevádzky so zákazníkom (OlimpiaS ako sprostredkovateľ).
• Ďakovné e-maily a výzva na ďalšiu rezerváciu / hodnotenie — oprávnený záujem prevádzky na udržanie vzťahu so zákazníkom; striktne transakčná/informačná povaha, nejde o marketing v zmysle zákona o elektronických komunikáciách. Ak by prevádzka chcela posielať aj propagačné ponuky nad tento rámec, potrebuje na to samostatný preukázateľný súhlas zákazníka — nemožno sa spoliehať na výnimku pre „vlastné podobné tovary a služby", tá sa podľa aktuálneho výkladu nevzťahuje na e-mailový marketing.
• Discord / SMS notifikácie (ak zapnuté) — plnenie zmluvy / oprávnený záujem prevádzky voči jej prevádzke (nie hromadný marketing bez právneho základu).
• Bezpečnosť, ochrana proti spamu a zneužitiu — oprávnený záujem (Poskytovateľ vedie k tomuto účelu balančný test primeranosti; poskytne ho na vyžiadanie dozornému orgánu).
• Prevádzková štatistika (agregovaná, bez identifikátora v zariadení) — oprávnený záujem na zlepšenie služby.
• AI odpovede v chate (ak zapnuté) — plnenie zmluvy so sprostredkovateľom podľa pokynov Klienta. Chatbot je AI systém (nie živý operátor); podľa AI Act (čl. 50) platforma pri úvodnej správe chatu jasne oznamuje, že ide o AI asistenta, nie o živého pracovníka.
• No-show evidencia podľa telefónneho čísla (ak prevádzka používa) — oprávnený záujem prevádzky na ochranu pred opakovaným nevyužitím rezervácie. Ide výlučne o podklad pre rozhodnutie personálu prevádzky, nie o plne automatizované rozhodnutie, ktoré by samo bez ľudského posúdenia s právnym alebo podobne významným dôsledkom zasahovalo do práv zákazníka v zmysle čl. 22 GDPR — pozri aj čl. 6 nižšie k lehote uchovania a právu namietať.
• Zobrazenie personálu vo widgete (meno, pozícia) — pri zamestnancoch Klienta právny základ podľa § 78 ods. 3 zákona č. 18/2018 Z. z. (súvis s plnením pracovných povinností), bez potreby osobitného súhlasu, pri zachovaní dôstojnosti a bezpečnosti zamestnanca.

Marketingové správy tretím osobám neodosielame. Ak prevádzka chce marketing (newsletter / promo SMS) nad rámec transakčnej komunikácie opísanej vyššie, musí mať vlastný preukázateľný súhlas — platforma na to nie je predvolený marketingový nástroj.

Poznámka pre majiteľov prevádzok: voči svojim zákazníkom ste spravidla samostatným prevádzkovateľom. Odporúčame viesť primeraný interný prehľad spracúvaní (účel, právny základ, kategórie, príjemcovia, lehota) a mať aktuálne texty vo widgete / obchode. Checklist je v dashboarde (Nastavenia → Pomoc).

4. Príjemcovia a sprostredkovatelia

Údaje nepredávame na marketing tretích strán.

Sprostredkovatelia (spracúvajú údaje podľa našich pokynov, viazaní DPA na rovnocenné povinnosti podľa čl. 28 ods. 4 GDPR):

• Hosting a databáza (napr. Railway) — beh platformy
• E-mailové služby (platformové SMTP / Resend a/alebo SMTP prevádzky) — transakčné správy
• Discord (webhook URL, ktorú nastaví prevádzka alebo personál) — prevádzkové upozornenia
• SMS brána (ak je nakonfigurovaná) — krátke prevádzkové SMS
• Anthropic — ak prevádzka používa AI chatbot (obsah správ môže byť odoslaný na generovanie odpovede)
• Google Places API (serverovo) — ak prevádzka zadá Place ID na zobrazenie hodnotenia; nejde o prihlásenie zákazníka cez Google ani o Google Calendar
• Nominatim / OpenStreetMap — ak je zapnutá optimalizácia trás kuriéra (geokódovanie adries doručenia)

Samostatní prevádzkovatelia (určujú si vlastné účely a majú vlastné zákonné povinnosti — OlimpiaS im dáta odovzdáva na základe pokynu Klienta, ale nezodpovedá za ich ďalšie spracúvanie):

• Packeta s.r.o. — ak prevádzka aktivuje doručenie Packeta; Packeta spracúva údaje o zásielke podľa vlastných zásad ako prepravca
• Platobná brána (napr. ComGate) — ak / keď aktivované; v súčasnosti nesprostredkúvané ani nespracúvané (platba priamo mimo OlimpiaS)

Ďalší príjemcovia:

• Štátne orgány — len pri zákonnej povinnosti
• Prevádzka (Klient) — údaje svojich zákazníkov a personálu v dashboarde

Zoznam sprostredkovateľov je zverejnený na tomto mieste a aktualizovaný priebežne. O zapojení nového ďalšieho sprostredkovateľa, ktorý bude spracúvať údaje zákazníkov Klienta, informujeme vopred s lehotou najmenej 30 dní pred jeho zapojením; Klient má v tejto lehote možnosť namietať postupom podľa DPA.

Ak by sme online platby neskôr zaviedli (vrátane logovania potvrdenia / sumy / referencie transakcie), doplníme tieto zásady aj zoznam sprostredkovateľov a posúdime, či sa postavenie platobnej brány mení.

5. Prenosy mimo EÚ/EHP

Primárne spracúvanie prebieha v infraštruktúre zvoleného hostingu (EÚ/EHP). Pri použití niektorých služieb mimo EÚ/EHP (najmä Anthropic, Discord, prípadne e-mailových poskytovateľov so sídlom mimo EÚ/EHP) dochádza k prenosu alebo prístupu z tretích krajín.

Právny základ prenosu: pokiaľ pri konkrétnom poskytovateľovi nie je vydané platné rozhodnutie o primeranosti Európskej komisie, prenos zabezpečujeme na základe štandardných zmluvných doložiek (SCC) podľa čl. 46 GDPR. K prenosom sme si vypracovali stručné posúdenie rizika prenosu (transfer impact assessment). Kópiu použitých záruk alebo súhrn posúdenia poskytneme na vyžiadanie na info@olimpias.sk.

6. Doba uchovania

• Účtovné a fakturačné údaje majiteľa: podľa zákonnej archivačnej povinnosti (typicky 10 rokov nasledujúcich po roku, ktorého sa týkajú) — týka sa výhradne účtovných dokladov, nie celého používateľského účtu.
• Účet majiteľa / personálu: po dobu trvania zmluvy; po ukončení typicky ešte 30 dní, potom výmaz, ak zákon nevyžaduje inak (pozri DPA).
• Údaje zákazníkov prevádzky (rezervácie, objednávky, chat): podľa pokynov prevádzky a potreby vybavenia služby; po ukončení zmluvy prevádzky s OlimpiaS typicky ešte 30 dní, potom výmaz spolu s dátami tenanta, ak zákon / pokyn nevyžaduje inak.
• Záznam no-show podľa telefónneho čísla: 12 mesiacov od posledného záznamu — dlhšie len ak to zákazník pri opakovanom no-show vedome vyžaduje inak. Zákazník má právo požiadať o skoršie vymazanie tohto záznamu, ak naň neexistuje iný právny dôvod uchovania.
• Odkazy na správu rezervácie: spravidla desiatky hodín až niekoľko dní (konfigurácia tokenu), jednorazové použitie.
• Rebook odkaz (ďakovný e-mail): podľa nastavenia prevádzky, typicky rádovo desiatky dní.
• Kontaktné dopyty z webu: primerane na vybavenie (e-mailová komunikácia; typicky sa neukladajú ako trvalý účet).
• Technické logy / pokusy o lookup: krátkodobo na bezpečnosť a rate limiting.
• Zálohy: môžu obsahovať vymazané údaje do uplynutia technického cyklu zálohy; nepoužívajú sa na bežnú prevádzku.

7. Práva dotknutej osoby

Máte právo na prístup, opravu, výmaz, obmedzenie spracúvania, prenosnosť, namietanie a odvolanie súhlasu (ak je spracúvanie na súhlase založené), ako aj podať sťažnosť na dozorný orgán — vrátane dozorného orgánu v štáte vášho obvyklého pobytu alebo miesta výkonu práce, ak sa líši od Slovenskej republiky.

Vybavenie žiadosti: na žiadosť odpovieme do jedného mesiaca od jej doručenia; v odôvodnených prípadoch (najmä pri zložitosti alebo väčšom počte žiadostí) môžeme túto lehotu predĺžiť o ďalšie dva mesiace, o čom vás budeme informovať do jedného mesiaca od doručenia žiadosti spolu s dôvodmi odkladu. Pred vybavením žiadosti overíme totožnosť žiadateľa primeraným spôsobom (napr. porovnaním s kontaktnými údajmi vedenými k účtu alebo rezervácii), aby sme zabránili vydaniu údajov neoprávnenej osobe.

• Ak ide o údaje vášho účtu OlimpiaS alebo dopyt z webu: info@olimpias.sk.
• Ak ide o rezerváciu / objednávku u konkrétnej prevádzky: uplatnite práva prednostne u danej prevádzky (kontakty vo widgete / potvrdení). OlimpiaS ako sprostredkovateľ poskytne súčinnosť.

Dozorný orgán: Úrad na ochranu osobných údajov Slovenskej republiky, Galvaniho Business Centrum II, Galvaniho 7/B, 821 04 Bratislava, e-mail: statny.dozor@pdp.gov.sk.

8. Zabezpečenie

Prijímame primerané technické a organizačné opatrenia (TOM), najmä:

• šifrovanie prenosu (HTTPS/TLS) medzi klientom a serverom,
• hashovanie hesiel (bcrypt) — heslá nie sú uložené v čitateľnej podobe,
• riadenie prístupov (majiteľ / personál) a oddelenie tenantov,
• zálohovanie,
• ochrana verejných endpointov (rate limiting, honeypot / limity proti spamu rezervácií),
• zaznamenanie prijatia zmluvného balíka (verzia + čas) a potvrdenia pravidiel personálu,
• pravidelné overovanie účinnosti prijatých opatrení,
• záväzok mlčanlivosti pre každú osobu, ktorá prichádza do styku s údajmi v rámci OlimpiaS (personál, vývojári, externisti), trvajúci aj po skončení jej pôsobenia — podrobnosti v Pravidlách pre personál.

Čo šifrujeme a čo nie (úprimne): kontaktné a prevádzkové údaje v databáze (napr. e-mail, telefón, poznámky k rezervácii) nie sú šifrované na úrovni jednotlivých polí (column / field encryption). Ochrana týchto údajov spočíva najmä v riadení prístupu, oddelení tenantov, TLS pri prenose a zabezpečení infraštruktúry hostingu. Šifrovanie úložiska na úrovni disku môže poskytovať hostingový poskytovateľ podľa svojich podmienok — to nie je to isté ako šifrovanie citlivých stĺpcov v aplikácii. Ak sa v poznámke alebo chate napriek obmedzeniu podľa čl. 2.2 objavia zdravotné alebo iné osobitné kategórie údajov, zvažujeme pre tieto polia pseudonymizáciu alebo šifrovanie na úrovni stĺpca ako doplnkové opatrenie primerané riziku. Ak v budúcnosti zavedieme field-level šifrovanie, doplníme tieto zásady.

Incident alebo podozrenie na únik: info@olimpias.sk a podľa DPA / pravidiel personálu aj vlastník prevádzky. Ako sprostredkovateľ oznámime vlastníkovi prevádzky porušenie ochrany osobných údajov bez zbytočného odkladu po tom, čo sa o ňom dozvieme, spravidla do 24–48 hodín, aby stihol prípadnú 72-hodinovú lehotu voči dozornému orgánu.

9. Cookies a lokálne úložisko

• Nevyhnutné: fungovanie webu a dashboardu (napr. session / token prihlásenia) — nevyžaduje súhlas, ide o technicky nevyhnutné uloženie na poskytnutie služby, ktorú používateľ výslovne požaduje.
• Lokálne úložisko widgetu / obchodu: dočasné prevádzkové stavy nevyhnutné na beh rozhrania (napr. obsah košíka, potvrdenie vekovej brány) — nevyžaduje súhlas z rovnakého dôvodu ako vyššie. Doba funkčnosti: po dobu relácie / typicky do zatvorenia prehliadača alebo krátkeho intervalu podľa typu údaja; k týmto údajom nemá prístup žiadna tretia strana.
• Prevádzková štatistika (počet zobrazení, dokončených objednávok) sa spracúva agregovane na strane servera, bez zápisu identifikátora do zariadenia zákazníka — preto nejde o situáciu podľa § 109 zákona č. 452/2021 Z. z. a súhlas sa nevyžaduje.
• Google Analytics, reklamné cookies tretích strán, reCAPTCHA a Google OAuth / Google Calendar v súčasnosti nepoužívame. Ak by sme ich neskôr zaviedli, doplníme tieto zásady a podľa potreby aj súhlas (napr. jednoduchá lišta so súhlasom, kde odmietnutie je rovnako jednoduché ako súhlas).

Externé mapy Google Maps v prehliadači zákazníka nenačítavame ako súčasť rezervácie; Place ID slúži na serverové načítanie verejného hodnotenia, ak ho prevádzka nastaví.

10. Deti

Služba je určená prevádzkam a dospelým zákazníkom. Ak by niektoré spracúvanie záviselo od súhlasu v rámci služby informačnej spoločnosti, veková hranica na udelenie súhlasu je v Slovenskej republike 16 rokov. Obchod môže vyžadovať potvrdenie veku (18+) — odporúčame prevádzkam ukladať len príznak „vek overený", nie celý dátum narodenia, ak ho nepotrebujú na iný účel (pozri aj čl. 2.2).

11. Zmeny

Aktuálna verzia je vždy na tejto stránke. Podstatné zmeny oznámime primeraným spôsobom (napr. na webe alebo e-mailom majiteľom účtov).