Zásady ochrany osobních údajů

Správcem osobních údajů ve smyslu čl. 4 odst. 7 nařízení Evropského parlamentu a Rady (EU) 2016/679 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů (dále jen „GDPR") je:

• Aleš Krabs, fyzická osoba podnikající na základě živnostenského oprávnění

• IČO: 87623749, sídlo: Praha, Česká republika

• E-mail: privacy@skingraph.cz (veškeré dotazy týkající se osobních údajů)

• Web: skingraph.cz

Správce nejmenoval pověřence pro ochranu osobních údajů (DPO), neboť tato povinnost nevzniká na základě čl. 37 GDPR. Pro veškeré záležitosti ochrany osobních údajů kontaktujte správce přímo na výše uvedeném e-mailu.

V závislosti na způsobu využití služby zpracováváme následující kategorie osobních údajů:

A) Identifikační a kontaktní údaje

• E-mailová adresa (pro doručení reportu, potvrzení objednávky a technickou komunikaci)

B) Fotografie obličeje

• Až tři fotografie obličeje nahrané za účelem kosmetické analýzy pleti

• Fotografie jsou před odesláním na server automaticky optimalizovány na maximální rozlišení 1 000 px na delší straně a komprimovány (JPEG, cca 75 % kvalita). Originální fotografie v plném rozlišení se na server nikdy neukládají.

C) Údaje z dotazníku o pleti a životním stylu

• Pohlaví, věk, typ pleti, fototyp (reakce na slunce)

• Životní styl: spánek, pitný režim, kouření, konzumace alkoholu, typ práce, sportovní aktivita, pobyt na slunci, stravovací zvyklosti (cukr, mléčné výrobky, zelenina, omega-3, průmyslová jídla, kofein)

• Kosmetická rutina: používané přípravky, aktivní ingredience (retinol, vitamin C, kyseliny, SPF), způsob čistění

• Citlivost pleti

• Zdravotní a osobní údaje citlivé povahy — viz Čl. III níže: dermatologická léčba, hormonální obtíže, těhotenství/kojení

D) Technické a provozní údaje

• IP adresa, typ a verze prohlížeče, operační systém (automaticky sbírány infrastrukturou Cloudflare)

• Datum a čas přístupu, navštívené stránky

• Informace o platební transakci (reference platby, stav transakce — čísla platebních karet ani jiné citlivé platební údaje správce nezpracovává)

1. Dotazník zahrnuje otázky týkající se: dermatologické léčby, hormonálních obtíží a těhotenství nebo kojení. Tyto informace jsou ve smyslu čl. 9 odst. 1 GDPR zdravotními údaji, tedy zvláštní kategorií osobních údajů.

2. Právním základem pro zpracování těchto údajů je výslovný souhlas subjektu údajů dle čl. 9 odst. 2 písm. a) GDPR, který uživatel uděluje zaškrtnutím příslušného políčka v průběhu objednávkového procesu před dokončením analýzy.

3. Tyto otázky jsou v rozhraní zřetelně označeny a uživatel může zvolit odpověď „Ne" nebo „Nevím" — poskytnutí informace o konkrétním zdravotním stavu není podmínkou využití služby, ovlivňuje však přesnost a relevanci kosmetického doporučení.

4. Zdravotní údaje jsou zpracovávány výhradně za účelem vytvoření personalizovaného kosmetického reportu a jsou předávány poskytovateli AI technologie (viz Čl. V) jako nezbytná součást analýzy. Nejsou dále sdíleny s třetími stranami ani využívány k jiným účelům.

5. Souhlas se zpracováním zdravotních údajů lze kdykoli odvolat e-mailem na privacy@skingraph.cz. Odvolání souhlasu nemá vliv na zákonnost zpracování provedeného před jeho odvoláním, ale může mít za následek nemožnost opětovného vyhotovení reportu ze stejných podkladů.

Správce nezpracovává osobní údaje za účelem přímého marketingu bez předchozího výslovného souhlasu uživatele.

Osobní údaje uživatelů jsou předávány pouze důvěryhodným třetím stranám, se kterými má správce uzavřenu smlouvu o zpracování osobních údajů (DPA) v souladu s čl. 28 GDPR:

Správce neprodává, nepronajímá ani jiným způsobem nezpřístupňuje osobní údaje uživatelů třetím stranám za komerčním účelem.

V odůvodněných případech mohou být osobní údaje předány orgánům veřejné moci (orgány činné v trestním řízení, soudy, správní orgány), pokud to vyžadují právní předpisy nebo rozhodnutí příslušného orgánu. V takovém případě bude správce postupovat v souladu s GDPR a příslušnými vnitrostátními předpisy.

1. Anthropic, PBC: Fotografie a dotazníková data (včetně zdravotních údajů) jsou předávána poskytovateli AI technologie se sídlem v USA. Přenos je realizován na základě standardních smluvních doložek (SCC) dle prováděcího rozhodnutí Komise (EU) 2021/914. Anthropic je vázán smlouvou o zpracování osobních údajů zahrnující technická a organizační opatření ochrany dat. Po zpracování analýzy Anthropic uchovává data v souladu s vlastními podmínkami zpracování; jejich aktuální znění je dostupné na anthropic.com/legal/privacy.

2. Stripe: Platební transakce jsou zpracovávány primárně prostřednictvím Stripe Payments Europe, Limited (Irsko, tedy v rámci EHP). Určité operace mohou zahrnovat přenos dat do Stripe, Inc. (USA) na základě SCC nebo rámce EU-US Data Privacy Framework, jehož je Stripe certifikovaným účastníkem.

3. Cloudflare: Data jsou primárně zpracovávána v datových centrech na území EHP. Cloudflare je certifikovaným účastníkem rámce EU-US Data Privacy Framework a pro přenosy dat do USA využívá SCC. Bližší informace: cloudflare.com/gdpr.

4. Uživatel má právo požádat o kopii příslušných záruk (SCC) nebo bližší informace o přenosech do třetích zemí na e-mailu privacy@skingraph.cz.

Po uplynutí doby uchovávání jsou osobní údaje bezpečně smazány nebo anonymizovány tak, aby je nebylo možné přiřadit konkrétní fyzické osobě.

1. Služba SkinGraph je ze své podstaty automatizovanou službou — report je vytvořen automatizovaným analytickým systémem bez přímého lidského zásahu do tvorby konkrétního doporučení.

2. Toto automatizované zpracování nepředstavuje rozhodnutí ve smyslu čl. 22 GDPR, neboť výstupy nemají právní účinky ani srovnatelně závažné dopady na uživatele. Jde o kosmetické doporučení, nikoli o rozhodnutí s právní závazností.

3. Správce neprovádí profilování uživatelů pro marketingové účely, segmentaci zákazníků ani scoring, který by byl použit k odlišnému zacházení s uživateli.

4. Uživatel je nicméně oprávněn požádat o lidský přezkum výstupů reportu nebo vznést námitku proti automatizovanému zpracování prostřednictvím e-mailu privacy@skingraph.cz. V takovém případě správce posoudí případ individuálně a odpoví do 30 dnů.

Jako subjekt údajů máte ve vztahu ke svým osobním údajům zpracovávaným správcem následující práva:

Pro uplatnění jakéhokoli práva nás kontaktujte e-mailem na privacy@skingraph.cz. Na vaši žádost odpovíme bez zbytečného odkladu, nejpozději do 30 dnů od jejího obdržení. V odůvodněných případech může být tato lhůta prodloužena o další dva měsíce, o čemž vás budeme informovat.

Uplatnění práv je zásadně bezplatné. Pokud by žádost byla zjevně nedůvodná nebo nepřiměřená (zejména opakující se), vyhrazuje si správce právo účtovat přiměřený poplatek nebo odmítnout žádosti vyhovět.

1. Správce přijal technická a organizační opatření k zajištění bezpečnosti osobních údajů přiměřená povaze, rozsahu a účelům zpracování v souladu s čl. 32 GDPR. Opatření zahrnují zejména:

   1. šifrování přenosu dat protokolem TLS (HTTPS) mezi prohlížečem uživatele a servery;
   2. optimalizaci a komprimaci fotografií na straně klienta (v prohlížeči uživatele) před jejich odesláním — originální fotografie se na server neodesílají;
   3. ukládání citlivých konfiguračních hodnot (API klíče) výhradně v prostředí serverless infrastruktury jako šifrované tajné proměnné (secrets), nikoli v kódu aplikace;
   4. omezení přístupu k osobním údajům uživatelů na nezbytné minimum;
   5. využití infrastruktury zpracovatelů s odpovídajícími certifikacemi bezpečnosti (ISO 27001, SOC 2).

2. V případě porušení zabezpečení osobních údajů (data breach), které pravděpodobně povede k vysokému riziku pro práva a svobody fyzických osob, bude správce postupovat v souladu s čl. 33 a 34 GDPR — ohlásí porušení dozorovému úřadu do 72 hodin a bez zbytečného odkladu informuje dotčené uživatele.

3. Žádný systém přenosu a ukládání dat není stoprocentně bezpečný. Správce vynakládá veškeré přiměřené úsilí k ochraně vašich dat, avšak nemůže zaručit absolutní bezpečnost.

1. Webová stránka skingraph.cz může využívat soubory cookie a obdobné technologie (např. localStorage) za účelem technického provozu aplikace.

2. Technicky nezbytné cookie: Slouží k fungování webové stránky (např. zachování stavu přihlášení nebo rozpracované objednávky v průběhu relace). Tyto cookie nevyžadují souhlas uživatele.

3. Analytické a marketingové cookie: V současné verzi služby nejsou využívány analytické nástroje třetích stran (Google Analytics apod.) ani remarketingové pixely. Pokud by byly v budoucnosti zavedeny, bude o tom uživatel informován a souhlas bude vyžádán v souladu s § 89 zákona č. 127/2005 Sb., o elektronických komunikacích.

4. Uživatel může správu souborů cookie provést prostřednictvím nastavení svého prohlížeče. Zablokování technicky nezbytných cookie může mít za následek nefunkčnost části nebo celé služby.

1. Správce je oprávněn tyto zásady kdykoli aktualizovat. Aktuální verze je vždy dostupná na webovém rozhraní na adrese skingraph.cz/gdpr.html.

2. V případě podstatných změn (nové účely zpracování, noví zpracovatelé, přenosy do nových třetích zemí) bude správce uživatele informovat e-mailem nebo zřetelným oznámením na webovém rozhraní nejméně 14 dní před nabytím účinnosti změny.

3. Datum poslední aktualizace je uvedeno v záhlaví tohoto dokumentu.

Pro veškeré dotazy, žádosti o uplatnění práv nebo podání stížnosti týkající se ochrany osobních údajů nás kontaktujte:

• E-mail: privacy@skingraph.cz

• Správce: Aleš Krabs, IČO 87623749, Praha, Česká republika

Pokud nejste spokojeni s naší odpovědí nebo způsobem, jakým zpracováváme vaše osobní údaje, máte právo podat stížnost u dozorového úřadu:

• Úřad pro ochranu osobních údajů (ÚOOÚ)
  Pplk. Sochora 27, 170 00 Praha 7
  Tel.: +420 234 514 111
  E-mail: posta@uoou.cz
  Web: uoou.cz