Zásady ochrany osobních údajů

1. Správce a pověřenec pro ochranu osobních údajů

1.1 Správce (čl. 4 bod 7 GDPR)

Za zpracování osobních údajů v souvislosti s provozem webové stránky biscotti-cmp.com, aplikace app.biscotti-cmp.com a všech souvisejících služeb odpovídá:

Campcruisers GmbH
Berliner Str. 21 B
14612 Falkensee
Deutschland

Zastoupeno: Daniel Bosch (jednatel / CEO)
Dále oprávněn zastupovat: Philipp André Marschall (prokurista)

1.2 Pověřenec pro ochranu osobních údajů

Pokud existuje zákonná povinnost jmenovat pověřence pro ochranu osobních údajů podle § 38 odst. 1 BDSG nebo čl. 37 GDPR, bude tento jmenován a kontaktní údaje budou zveřejněny na tomto místě. Bez ohledu na to, vedení společnosti (Daniel Bosch, Philipp André Marschall) zajišťuje plné monitorování a dodržování povinností v oblasti ochrany osobních údajů.

Pro všechny dotazy týkající se ochrany osobních údajů se prosím obraťte na:
E-mail: [email protected]
Telefon: +49 3322 50703301
Provozní doba: pondělí až pátek, 10:00–17:00 (SEČ/SELČ)

2. Přehled zpracovatelských činností

Biscotti CMP je komplexní platforma pro správu souhlasů a dodržování právních předpisů. V rámci provozu platformy zpracováváme osobní údaje v následujících oblastech:

• Registrace a správa účtu (oddíl 3)
• Používání SaaS platformy / Dashboardu (oddíl 4)
• Údaje o souhlasu návštěvníků webových stránek našich zákazníků (oddíl 5)
• Skener souborů cookie (oddíl 6)
• Legal Suite — Generování textů pomocí AI (oddíl 7)
• Legal Sync — Monitorování legislativních změn (oddíl 8)
• Audit zásad — Scraping webových stránek a analýza AI (oddíl 9)
• Advokátní tržiště (oddíl 10)
• Funkce pro agentury a white-label (oddíl 11)
• Newsletter (oddíl 12)
• Program odměn za recenze (oddíl 13)
• Zpracování plateb (oddíl 14)
• GeoIP detekce (oddíl 15)
• Detekce botů (oddíl 16)
• Sledování relací (oddíl 17)
• Zálohy (oddíl 18)
• Hosting a infrastruktura (oddíl 19)
• Soubory cookie a lokální úložiště na biscotti-cmp.com (oddíl 20)

Pro každou zpracovatelskou činnost jsou níže uvedeny účel, právní základ, kategorie zpracovávaných údajů, příjemci a doba uchovávání.

3. Registrace a správa účtu

3.1 Registrace a vytvoření účtu

Účel: Vytvoření a správa vašeho uživatelského účtu pro používání platformy Biscotti CMP.

Právní základ: Čl. 6 odst. 1 písm. b GDPR (plnění smlouvy — registrace je předpokladem pro používání SaaS platformy).

Kategorie zpracovávaných údajů:

• E-mailová adresa (povinný údaj)
• Heslo (uloženo jako kryptografický hash, nikdy v prostém textu)
• Jméno, příjmení (volitelné)
• Název společnosti (volitelné)
• Jazyk účtu (automaticky rozpoznán z jazyka prohlížeče nebo ručně vybrán ze 42 dostupných jazyků)
• Čas registrace
• IP adresa v době registrace (pro protokolování souhlasu s AVV dle čl. 28 odst. 9 GDPR)

Příjemci: Resend (odeslání ověřovacího e-mailu), Hetzner Online GmbH (hosting databáze).

Doba uchovávání: Údaje jsou uchovávány po dobu trvání smluvního vztahu. Po smazání účtu jsou údaje neprodleně smazány, s výhradou zákonných povinností uchovávání (viz oddíl 23).

3.2 Double-Opt-In (ověření e-mailu)

Účel: Ověření e-mailové adresy k zajištění, že držitel e-mailové adresy skutečně provedl registraci.

Právní základ: Čl. 6 odst. 1 písm. b GDPR (plnění smlouvy) ve spojení s čl. 6 odst. 1 písm. f GDPR (oprávněný zájem na prevenci zneužití).

Kategorie zpracovávaných údajů:

• E-mailová adresa
• Ověřovací token (náhodně generovaný, platný 24 hodin)
• Čas odeslání a potvrzení
• Stav ověření (emailVerified: true/false)

Příjemci: Resend (odeslání ověřovacího e-mailu).

Doba uchovávání: Ověřovací token je smazán po potvrzení nebo po uplynutí 24hodinové lhůty. Stav ověření je uchováván po dobu trvání smluvního vztahu.

3.3 Obnovení hesla

Účel: Umožnění obnovení přístupu k účtu v případě zapomenutého hesla.

Právní základ: Čl. 6 odst. 1 písm. b GDPR (plnění smlouvy).

Kategorie zpracovávaných údajů:

• E-mailová adresa
• Reset token (náhodně generovaný, časově omezený)
• Čas požadavku

Příjemci: Resend (odeslání e-mailu pro reset hesla).

Doba uchovávání: Reset token je smazán po použití nebo po uplynutí doby platnosti.

4. Používání SaaS platformy (Dashboard)

4.1 Používání Dashboardu a konfigurace banneru

Účel: Poskytování webového uživatelského rozhraní (Dashboard) na app.biscotti-cmp.com pro konfiguraci a správu banneru souhlasu, webových stránek, kategorií, právních textů a všech dalších funkcí platformy.

Právní základ: Čl. 6 odst. 1 písm. b GDPR (plnění smlouvy).

Kategorie zpracovávaných údajů:

• Údaje o účtu (e-mail, jméno, společnost)
• Konfigurace webových stránek (doména, nastavení banneru, barvy, texty, kategorie souhlasu)
• Statistiky banneru (zobrazení, interakce, míra přijetí)
• Výsledky skenování a historie skenování
• Generované právní texty
• Zprávy o souladu a hodnocení stavu (Health-Scores)
• Záznamy auditního protokolu (časové razítko, ID uživatele, provedená akce, IP adresa)

Příjemci: Hetzner Online GmbH (hosting).

Doba uchovávání: Po dobu trvání smluvního vztahu. Auditní protokoly jsou uchovávány po dobu 12 měsíců. Po smazání účtu jsou údaje po uplynutí 30denní lhůty pro odklad nevratně smazány.

4.2 Správa týmu

Účel: Umožnění přístupu více uživatelů k účtu prostřednictvím pozvání členů týmu.

Právní základ: Čl. 6 odst. 1 písm. b GDPR (plnění smlouvy).

Kategorie zpracovávaných údajů:

• E-mailové adresy pozvaných členů týmu
• Přiřazené role a oprávnění
• Čas pozvání a přijetí

Příjemci: Resend (odeslání e-mailu s pozvánkou), Hetzner Online GmbH (hosting).

Doba uchovávání: Po dobu trvání členství v týmu. Při odstranění z týmu jsou přiřazovací údaje smazány.

4.3 Analýza souhlasů a A/B testování

Účel: Statistické vyhodnocení míry souhlasu, interakcí s bannery a sledování konverzí. A/B testování umožňuje porovnání různých variant bannerů pro optimalizaci míry přijetí.

Právní základ: Čl. 6 odst. 1 písm. b GDPR (plnění smlouvy — analytické funkce jsou součástí objednaného tarifu).

Kategorie zpracovávaných údajů:

• Agregované statistiky souhlasů (žádné údaje o jednotlivcích)
• Přiřazení variant banneru (při A/B testování)
• Distribuce provozu a míra konverze

Příjemci: Hetzner Online GmbH (hosting).

Doba uchovávání: Agregované statistiky jsou uchovávány po dobu trvání smluvního vztahu.

5. Údaje o souhlasu návštěvníků webových stránek

5.1 Zaznamenávání rozhodnutí o souhlasu

Účel: Zaznamenávání, ukládání a dokumentace rozhodnutí o souhlasu návštěvníků webových stránek za účelem splnění povinnosti správce webových stránek prokázat souhlas dle čl. 7 odst. 1 GDPR a § 25 odst. 1 TDDDG.

Právní základ: Čl. 6 odst. 1 písm. c GDPR (právní povinnost — povinnost prokázat souhlas dle čl. 7 odst. 1 GDPR) ve spojení s čl. 6 odst. 1 písm. f GDPR (oprávněný zájem provozovatele webových stránek na dokumentaci souhlasu).

Kategorie zpracovávaných údajů:

• ID souhlasu (pseudonymní UUID, která je přiřazena koncovému zařízení/prohlížeči)
• Rozhodnutí o souhlasu pro jednotlivé kategorie (Základní, Funkční, Analytické, Marketingové a případně uživatelsky definované kategorie)
• Časové razítko souhlasu (datum a čas)
• IP-hash (IP adresa je zpracovávána výhradně pro detekci jurisdikce a následně anonymizována na kryptografický hash; nezpracované IP adresy nejsou trvale ukládány)
• Kód země (zjištěný pomocí GeoIP detekce)
• Jazyk prohlížeče
• Řetězec User-Agent
• Kategorie refereru (organic, social, paid, direct, referral)
• TCF řetězec (při aktivovaném IAB Transparency & Consent Framework 2.3)
• Varianta souhlasu (při aktivovaném A/B testování)
• Signály Google Consent Mode v2
• Signál Global Privacy Control (GPC)

Příjemci: Hetzner Online GmbH (hosting, databáze), MinIO (záloha, hostováno na Hetzner).

Doba uchovávání: Údaje o souhlasu jsou standardně uchovávány po dobu 18 měsíců. Provozovatel webových stránek (zákazník) může dobu uchovávání individuálně konfigurovat. Po uplynutí doby uchovávání jsou údaje automaticky a nevratně smazány.

5.2 Vyhledávání souhlasu (informace pro návštěvníky webových stránek)

Účel: Umožnění nahlížení do uložených údajů o souhlasu návštěvníkům webových stránek za účelem splnění práva na přístup k údajům dle čl. 15 GDPR.

Právní základ: Čl. 6 odst. 1 písm. c GDPR (právní povinnost — právo na přístup k údajům dle čl. 15 GDPR).

Kategorie zpracovávaných údajů:

• ID souhlasu (zadané návštěvníkem webových stránek)
• IP adresa (pro omezení frekvence, není trvale ukládána)

Příjemci: Hetzner Online GmbH (hosting).

Doba uchovávání: Nejsou ukládány žádné další údaje. Dotaz je omezen na 10 požadavků za minutu na IP adresu.

6. Skener souborů cookie

6.1 Automatické skenování webových stránek

Účel: Automatické prohledávání webových stránek našich zákazníků za účelem identifikace, kategorizace a dokumentace použitých technologií, jako jsou soubory cookie, záznamy v lokálním úložišti a trackery třetích stran. Výsledky slouží k nastavení banneru souhlasu v souladu s ochranou osobních údajů.

Právní základ: Čl. 6 odst. 1 písm. b GDPR (plnění smlouvy — skener souborů cookie je klíčovou funkcí platformy).

Kategorie zpracovávaných údajů:

• Doména a URL skenované webové stránky
• Nalezené soubory cookie (název, hodnota, doména, datum vypršení platnosti, cesta, příznak Secure, atribut SameSite)
• Záznamy v lokálním úložišti
• Trackery třetích stran a integrované externí zdroje
• Kategorizace nalezených prvků (Základní, Funkční, Analytické, Marketingové)
• Porovnání s IAB Global Vendor List (GVL)
• Čas a doba skenování

Technická realizace: Skener používá Playwright (open-source headless prohlížeč od Microsoftu), který je provozován na našich vlastních serverech na Hetzner (Falkenstein, Německo). K Microsoftu nedochází k žádnému přenosu dat. Skener navštěvuje webovou stránku zákazníka jako běžný prohlížeč, aby zaznamenal obsah vykreslený JavaScriptem a dynamicky nastavené soubory cookie.

Příjemci: Hetzner Online GmbH (hosting), Alibaba Cloud Qwen (kategorizace nalezených souborů cookie pomocí AI).

Doba uchovávání: Výsledky skenování jsou uchovávány po dobu trvání smluvního vztahu. Historie skenování umožňuje porovnání s předchozími skeny.

6.2 Veřejný kontrolor souborů cookie

Účel: Poskytování bezplatného, veřejného kontrolora souborů cookie na marketingové webové stránce, který je použitelný bez registrace.

Právní základ: Čl. 6 odst. 1 písm. f GDPR (oprávněný zájem na poskytování informační služby a získávání zákazníků).

Kategorie zpracovávaných údajů:

• Zadaná doména/URL
• IP adresa (pro omezení frekvence, není trvale ukládána)
• Výsledky skenování

Příjemci: Hetzner Online GmbH (hosting).

Doba uchovávání: Výsledky skenování veřejného kontrolora jsou dočasně ukládány. Použití je omezeno na 3 skeny denně na IP adresu.

7. Legal Suite — Generování textů pomocí AI

7.1 Generování právních textů pomocí AI

Účel: Generování právních textů na míru (impresum, zásady ochrany osobních údajů, zásady používání souborů cookie, VOP, poučení o právu na odstoupení od smlouvy, AVV/DPA, podmínky dopravy a vrácení zboží, podmínky používání, disclaimer, NDA, informace DSA a více než 30 dalších typů dokumentů) na základě informací zadaných zákazníkem s využitím umělé inteligence.

Právní základ: Čl. 6 odst. 1 písm. b GDPR (plnění smlouvy — Legal Suite je součástí objednaného tarifu).

Kategorie zpracovávaných údajů, které jsou předávány Alibaba Cloud Qwen:

• Firemní údaje zákazníka (název společnosti, právní forma, adresa, kontaktní údaje)
• Jména oprávněných zástupců (jednatelé, prokuristé)
• Registrační údaje (rejstříkový soud, registrační číslo, DIČ)
• Informace specifické pro odvětví a kategorie podnikání
• Popis zpracovatelských činností
• Individuální údaje k typu dokumentu zadané zákazníkem
• Informace o jurisdikci

Poskytovatel AI: Alibaba Cloud Qwen (Alibaba (Netherlands) B.V., Herengracht 448, 1017 CA Amsterdam, Niederlande). Zpracování probíhá prostřednictvím Alibaba Cloud Model Studio (Qwen) API v rámci EU/EHP. Podle zásad ochrany osobních údajů Alibaba Cloud **nejsou** vstupní údaje používány k trénování modelů AI.

Příjemci: Alibaba Cloud Qwen (zpracování AI), Hetzner Online GmbH (hosting, ukládání generovaných textů).

Doba uchovávání: Generované právní texty jsou uchovávány po dobu trvání smluvního vztahu. U Alibaba Cloud Qwen nejsou vstupní údaje uchovávány nad rámec zpracování v souladu s podmínkami používání Alibaba Cloud.

7.2 Bring Your Own Key (BYOK)

Účel: Zákazníci mohou volitelně uložit vlastní API klíče pro poskytovatele AI (Alibaba Qwen, Google Gemini, OpenAI, Anthropic Claude, Ollama), aby zpracovali generování textu prostřednictvím svého vlastního účtu u příslušného poskytovatele AI.

Právní základ: Čl. 6 odst. 1 písm. b GDPR (plnění smlouvy).

Kategorie zpracovávaných údajů:

• API klíč zákazníka (je uložen šifrovaně pomocí AES-256-GCM)

Upozornění: Při použití vlastního API klíče probíhá zpracování vstupních dat u příslušného poskytovatele AI pod odpovědností zákazníka. Platí zásady ochrany osobních údajů příslušného poskytovatele.

Příjemci: Poskytovatel AI zvolený zákazníkem.

Doba uchovávání: Šifrovaný API klíč je uchováván po dobu trvání smluvního vztahu a smazán při zrušení účtu.

8. Legal Sync — Monitorování legislativních změn

Účel: Automatické monitorování legislativních změn ve více než 186 jurisdikcích. V případě relevantních změn jsou dotčené právní texty zákazníka automaticky označeny jako vyžadující aktualizaci. V tarifech s funkcí „Auto-Update“ mohou být dotčené texty automaticky regenerovány.

Právní základ: Čl. 6 odst. 1 písm. b GDPR (plnění smlouvy — Legal Sync je součástí objednaného tarifu).

Kategorie zpracovávaných údajů:

• Přiřazení jurisdikce k webovým stránkám zákazníků
• Přiřazení generovaných právních textů k jurisdikcím
• Čas a typ zjištěné legislativní změny
• Stav aktualizace (aktuální, vyžadující aktualizaci, automaticky aktualizováno)

Technická realizace: Denní automatizovaný proces (Cron-Job, 03:00 UTC) kontroluje legislativní změny a porovnává je s dokumenty zákazníků.

Příjemci: Hetzner Online GmbH (hosting), Alibaba Cloud Qwen (při automatické regeneraci právních textů), Resend (e-maily s oznámením).

Doba uchovávání: Protokoly změn jsou uchovávány po dobu trvání smluvního vztahu.

9. Audit zásad — Scraping webových stránek a analýza AI

9.1 Automatické audity souladu

Účel: Automatická týdenní kontrola webových stránek zákazníků na rizika v oblasti ochrany osobních údajů. To zahrnuje detekci nových souborů cookie od posledního skenování, kontrolu problémů se souhlasem a analýzu stávajících právních textů (zásady ochrany osobních údajů, impresum) zákazníka pomocí AI. Výsledek je zobrazen jako Health-Score (A–F).

Právní základ: Čl. 6 odst. 1 písm. b GDPR (plnění smlouvy — funkce auditu souladu je součástí platformy).

Kategorie zpracovávaných údajů:

• Doména a URL auditované webové stránky
• Scrapovaný obsah zásad ochrany osobních údajů a impresum zákazníka
• Výsledky analýzy AI (zjištěné mezery, zastaralé odkazy, chybějící služby)
• Health-Score a zpráva o souladu
• Čas auditu

Technická realizace: Playwright (Headless-Browser, hostováno na Hetzner) scrapuje veřejně dostupné právní texty webové stránky zákazníka. Scrapované texty jsou následně analyzovány prostřednictvím Alibaba Cloud Model Studio (Qwen) API.

Příjemci: Hetzner Online GmbH (hosting), Alibaba Cloud Qwen (analýza AI), Resend (e-maily s oznámením při zjištěných problémech).

Doba uchovávání: Výsledky auditu a zprávy o souladu jsou uchovávány po dobu trvání smluvního vztahu.

10. Advokátní tržiště

10.1 Zprostředkování právních služeb

Účel: Zprostředkování právních služeb mezi klienty a nezávislými právníky registrovanými na platformě. Campcruisers GmbH zde vystupuje výhradně jako zprostředkovatel a sama se nestává smluvní stranou mandátního vztahu mezi klientem a právníkem (srov. § 14 VOP).

Právní základ: Čl. 6 odst. 1 písm. b GDPR (plnění smlouvy — využívání advokátního tržiště).

10.2 Registrace advokáta

Kategorie zpracovávaných údajů:

• Kontaktní údaje advokáta (jméno, e-mail, telefon, adresa kanceláře)
• Profesní kvalifikace a specializace
• Ověřovací dokumenty (max. 10 MB, PDF/JPEG/PNG)
• Stav ověření (PENDING_APPROVAL, APPROVED, REJECTED)
• Dostupnost (týdenní časové sloty, blokované termíny, časové pásmo)
• Profilová fotografie a popis profilu
• Údaje účtu Stripe Connect (pro výplaty)

10.3 Údaje o mandátu

Kategorie zpracovávaných údajů:

• Poptávky a nabídky (popis, cena, doba platnosti)
• Stav mandátu (QUOTE_REQUESTED, QUOTE_SENT, PAYMENT_PENDING, IN_REVIEW, COMPLETED, QUOTE_REJECTED, QUOTE_EXPIRED, CANCELLED, DISPUTED)
• Zprávy mezi klientem a advokátem
• Platební informace (částka, provize platformy, částka k výplatě)

10.4 Videokonzultace (Twilio)

Účel: Poskytování videokonzultací mezi klienty a advokáty.

Právní základ: Čl. 6 odst. 1 písm. b GDPR (plnění smlouvy).

Kategorie zpracovávaných údajů:

• Metadata videokonzultace (čas, trvání, účastníci)
• ID místnosti Twilio a přístupový token

Příjemci: Twilio Ireland Limited, Dublin, Irsko (poskytování video infrastruktury).

10.5 Hodnocení

Účel: Umožnění hodnocení advokátů klienty za účelem zajištění kvality.

Právní základ: Čl. 6 odst. 1 písm. f GDPR (oprávněný zájem na zajištění kvality a transparentnosti).

Kategorie zpracovávaných údajů:

• Hodnocení (hvězdičky, volný text)
• Čas hodnocení
• Přiřazení k mandátu

Příjemci pro celé advokátní tržiště: Stripe Connect (zpracování plateb), Twilio (videokonzultace), Hetzner Online GmbH (hosting), Resend (oznámení).

Doba uchování: Údaje o mandátu jsou uchovávány po dobu trvání smluvního vztahu, minimálně však po dobu zákonných archivačních povinností (10 let pro fakturační údaje). Hodnocení zůstávají viditelná po dobu registrace advokáta. Nepřijaté nabídky automaticky propadají po 7 dnech.

11. Funkce pro agentury a White-Label

11.1 Správa sub-účtů

Účel: Umožnění správy účtů koncových zákazníků (sub-účtů) agenturami v rámci tarifu Agency.

Právní základ: Čl. 6 odst. 1 písm. b GDPR (plnění smlouvy).

Kategorie zpracovávaných údajů:

• E-mailové adresy a kontaktní údaje držitelů sub-účtů (koncových zákazníků agentury)
• Údaje o pozvánkách (e-mail, čas)
• Protokoly přístupu k proxy tokenům (čas, uživatel agentury, sub-účet)
• Konfigurace webových stránek a údaje o souhlasu sub-účtů

Příjemci: Hetzner Online GmbH (hosting), Resend (e-maily s pozvánkami).

Doba uchování: Po dobu trvání smluvního vztahu mezi agenturou a Campcruisers GmbH.

11.2 Vlastní doména (CNAME)

Účel: Poskytnutí vlastní domény pro dashboard agentury.

Právní základ: Čl. 6 odst. 1 písm. b GDPR (plnění smlouvy).

Kategorie zpracovávaných údajů:

• Název domény agentury
• Údaje pro ověření DNS
• Údaje SSL/TLS certifikátu (automaticky poskytované přes Let's Encrypt)

Příjemci: Let's Encrypt (vydávání SSL certifikátů — předávají se výhradně názvy domén, nikoli osobní údaje fyzických osob), Hetzner Online GmbH (hosting, Traefik-routing).

11.3 Vlastní transakční e-maily

Účel: Umožnění odesílání transakčních e-mailů pod značkou agentury prostřednictvím vlastního poskytovatele e-mailových služeb.

Právní základ: Čl. 6 odst. 1 písm. b GDPR (plnění smlouvy).

Kategorie zpracovávaných údajů:

• API klíče poskytovatele e-mailových služeb agentury (uložené šifrovaně pomocí AES-256-GCM)
• Údaje o odesílateli e-mailu (jméno, e-mailová adresa)
• Podporovaní poskytovatelé: Resend, SendGrid, Mailjet, Mailchimp/Mandrill, Maileroo, Gmail SMTP, Custom SMTP

Poznámka: Při použití vlastního poskytovatele e-mailových služeb probíhá odesílání e-mailů pod odpovědností agentury z hlediska ochrany osobních údajů.

Doba uchování: Šifrované API klíče jsou uchovávány po dobu trvání smluvního vztahu.

12. Newsletter

12.1 Odběr newsletteru

Účel: Zasílání informací o aktualizacích produktů, právu na ochranu osobních údajů, tématech souladu a novinkách týkajících se Biscotti CMP.

Právní základ: Čl. 6 odst. 1 písm. a GDPR (souhlas — newsletter je zasílán pouze po výslovném souhlasu v rámci postupu double-opt-in).

Kategorie zpracovávaných údajů:

• E-mailová adresa
• Čas registrace a potvrzení double-opt-in
• Stav odhlášení

Postup Double-Opt-In: Po zadání e-mailové adresy obdržíte potvrzovací e-mail s ověřovacím odkazem. Teprve po kliknutí na tento odkaz bude vaše e-mailová adresa zařazena do seznamu odběratelů newsletteru.

Příjemci: Resend (zasílání e-mailů newsletteru a potvrzovacího e-mailu).

Odhlášení: Newsletter můžete kdykoli odhlásit. Každý e-mail newsletteru obsahuje odkaz pro odhlášení (Unsubscribe-Link). Alternativně se můžete odhlásit e-mailem na [email protected].

Doba uchování: Vaše e-mailová adresa bude uchovávána do odhlášení z newsletteru. Po odhlášení bude e-mailová adresa neprodleně odstraněna ze seznamu. Pro dokumentaci uděleného souhlasu bude čas registrace a potvrzení uchováván po dobu 3 let po odhlášení (oprávněný zájem na prokazatelnosti souhlasu, čl. 6 odst. 1 písm. f GDPR).

13. Program odměn za recenze

Účel: Odměňování zákazníků, kteří poskytují recenze o Biscotti CMP na externích hodnotících platformách, bonusovými relacemi a dočasným upgradem plánu.

Právní základ: Čl. 6 odst. 1 písm. b GDPR (plnění smlouvy — účast v programu je dobrovolná a představuje smluvní doplňkovou službu).

Kategorie zpracovávaných údajů:

• Údaje účtu zúčastněného zákazníka
• Hodnotící platforma (OMR Reviews, Capterra, G2, Google Business, WordPress.org, Trustpilot, SourceForge, Facebook, earlybird.so)
• Odkaz na odeslanou recenzi
• Stav schválení (kontrolou administrátora)
• Údaje o odměně (15.000 Bonus-Sessions, 1 měsíc Plan-Upgrade)

Příjemci: Hetzner Online GmbH (hosting).

Doba uchování: Údaje o odměnách jsou uchovávány po dobu trvání smluvního vztahu. Bonusové relace propadají po 6 měsících (běžné plány) nebo jsou platné neomezeně (LTD plány).

14. Zpracování plateb (Stripe)

14.1 Platby za předplatné

Účel: Zpracování plateb za placené tarify předplatného, balíčky kreditů a další placené služby.

Právní základ: Čl. 6 odst. 1 písm. b GDPR (plnění smlouvy).

Kategorie zpracovávaných údajů:

• Fakturační adresa (jméno/firma, ulice, PSČ, město, země)
• DIČ (u B2B zákazníků)
• Platební metoda (Kreditkarte, SEPA-Lastschrift, PayPal, Apple Pay, Google Pay etc.)
• Historie plateb a faktury
• Stripe Customer-ID a Subscription-ID

Příjemci: Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irsko. Stripe je certifikován v rámci EU-US Data Privacy Framework.

Doba uchování: Faktury a účetní údaje jsou uchovávány po dobu 10 let (§ 147 AO, §§ 238, 257 HGB). Platební metody jsou u Stripe uchovávány po dobu trvání předplatného.

14.2 Stripe Connect (Advokátní tržiště)

Účel: Zpracování plateb mezi klienty a advokáty prostřednictvím advokátního tržiště a výplaty advokátům.

Právní základ: Čl. 6 odst. 1 písm. b GDPR (plnění smlouvy).

Kategorie zpracovávaných údajů:

• Údaje účtu Stripe Connect Express advokátů
• Částky plateb, provize platformy, částky k výplatě
• Údaje o checkout relaci

Příjemci: Stripe Payments Europe, Ltd., Dublin, Irsko.

Doba uchování: Dle archivačních povinností pro fakturační údaje (10 let).

14.3 Faktury ZUGFeRD

Účel: Vytváření a poskytování faktur ve formátu ZUGFeRD (PDF s vloženým XML dle EN 16931).

Právní základ: Čl. 6 odst. 1 písm. b GDPR (plnění smlouvy) ve spojení s čl. 6 odst. 1 písm. c GDPR (právní povinnost — povinnosti fakturace dle UStG, HGB).

Kategorie zpracovávaných údajů:

• Fakturační adresa, zákaznické číslo (CUS-JJMM-XXXXX), číslo faktury (INV-JJMM-XXXXX)
• Popis služby, částky, daňové sazby

Příjemci: Resend (odesílání faktury e-mailem), Hetzner Online GmbH (hosting).

Doba uchování: 10 let (§ 147 AO, §§ 238, 257 HGB).

15. GeoIP detekce

Účel: IP-založené určení země nebo jurisdikce návštěvníka webových stránek pro dynamické zobrazení právně vyhovujících variant bannerů (např. Opt-In pro země GDPR, Opt-Out pro země CCPA, Notice-Only pro země bez specifické legislativy o cookies).

Právní základ: Čl. 6 odst. 1 písm. f GDPR (oprávněný zájem na právně souladném zobrazení banneru souhlasu v souladu s platnou jurisdikcí návštěvníka webových stránek).

Kategorie zpracovávaných údajů:

• IP adresa návštěvníka webových stránek (předává se na ip-api.com pro detekci země)
• Zjištěný kód země

Technická realizace: IP adresa je předána službě ip-api.com (sídlo: Litva, EU). Výsledek (kód země) je po dobu 1 hodiny ukládán do mezipaměti (Redis), aby se zabránilo opakovaným dotazům. Po detekci země je IP adresa anonymizována na kryptografický hash (IP-Hash). Nezpracované IP adresy nejsou trvale ukládány.

Příjemci: ip-api.com (ip-api, Litva — GeoIP služba), Hetzner Online GmbH (hosting, Redis-cache).

Doba uchování: Výsledek GeoIP je uložen v mezipaměti po dobu 1 hodiny. Nezpracované IP adresy jsou po detekci země okamžitě anonymizovány. IP-Hash je uložen jako součást údajů o souhlasu po dobu konfigurované doby uchování (standardně: 18 měsíců).

16. Detekce botů

Účel: Rozlišení mezi lidskými návštěvníky webových stránek a automatizovanými přístupy (boty, crawlery, scrappery) pro správné počítání relací. Automatizované přístupy nejsou počítány jako relace a nejsou účtovány.

Právní základ: Čl. 6 odst. 1 písm. f GDPR (oprávněný zájem na správné fakturaci a ochraně platformy před zneužitím).

Kategorie zpracovávaných údajů:

• Řetězec User-Agent
• HTTP hlavičky (např. Accept-Language, Accept-Encoding)
• Charakteristiky headless prohlížečů
• IP adresa (pro IP-založené omezení rychlosti, není trvale ukládána)

Technická realizace: Detekce botů analyzuje každý přístup na základě analýzy User-Agent, analýzy hlaviček (např. chybějící hlavičky Accept-Language), detekce headless prohlížečů a IP-založeného omezení rychlosti. Analýza probíhá v reálném čase na našich serverech.

Příjemci: Hetzner Online GmbH (hosting).

Doba uchování: Výsledky analýzy nejsou trvale ukládány. Výsledek (Bot: ano/ne) se započítává do počtu relací.

16.1 Cloudflare Turnstile (Ochrana proti botům při přihlášení/registraci)

Účel: Ochrana přihlašovacích a registračních formulářů před automatizovanými útoky botů.

Právní základ: Čl. 6 odst. 1 písm. f GDPR (oprávněný zájem na ochraně platformy před zneužitím a automatizovanými útoky).

Kategorie zpracovávaných údajů:

• IP adresa
• Informace o prohlížeči
• Interakční data s widgetem Turnstile

Příjemci: Cloudflare Germany GmbH, Rosental 7, 80331 Mnichov, Německo. Cloudflare je certifikován v rámci EU-US Data Privacy Framework. Zabezpečení je navíc zajištěno standardními smluvními doložkami (SCCs).

Doba uchování: Cloudflare uchovává údaje v souladu se svými vlastními zásadami ochrany osobních údajů. Na našich serverech nejsou ukládány žádné další údaje z Turnstile.

17. Sledování relací

Účel: Počítání relací pro tarifní fakturaci. Relace se počítá, když je widget Biscotti-CMP (biscotti.min.js) načten na webové stránce zákazníka a odešle HTTP ping na koncový bod /api/v1/ping.

Právní základ: Čl. 6 odst. 1 písm. b GDPR (plnění smlouvy — fakturace založená na relacích je základem tarifního modelu).

Kategorie zpracovávaných údajů:

• Počítadlo relací (agregované pro webovou stránku a fakturační měsíc)
• Čas pingu
• Výsledek detekce botů (srov. oddíl 16)

Technická realizace: Redis je používán jako in-memory databáze pro sledování relací a cachování. Redis je provozován samostatně hostovaný na Hetzner (Falkenstein, Německo). Nedochází k předávání dat třetím stranám.

Příjemci: Hetzner Online GmbH (hosting, Redis).

Doba uchování: Počítadla relací jsou ukládána pro příslušný fakturační měsíc. Historické údaje o relacích jsou uchovávány po dobu trvání smluvního vztahu pro dohledatelnost fakturace.

18. Zálohy

Účel: Pravidelné zálohování protokolů souhlasů, konfigurací bannerů, konfigurací webových stránek a databázových dat pro zajištění obnovitelnosti v případě ztráty dat.

Právní základ: Čl. 6 odst. 1 písm. f GDPR (oprávněný zájem na bezpečnosti dat a obnovitelnosti dle čl. 32 odst. 1 písm. c GDPR).

Kategorie zpracovávaných údajů:

• Všechna data uložená v databázi (protokoly souhlasů, konfigurace, údaje o účtu, právní texty, výsledky skenování)
• Konfigurace bannerů

Technická realizace:

• Denní automatické zálohy databáze PostgreSQL
• Denní automatické zálohy konfigurací bannerů a konfigurací webových stránek
• Ukládání na samostatně hostovaném úložišti MinIO v rámci Hetzner
• Šifrování na straně serveru pomocí AES-256
• Kontrola integrity pomocí SHA-256 kontrolních součtů
• Pravidelné testy obnovy

Příjemci: MinIO (samostatně hostované na Hetzner Online GmbH).

Doba uchování: Zálohy jsou uchovávány po dobu rotujícího období. Při smazání účtu jsou záložní data smazána po uplynutí 30denní lhůty a po dalším cyklu rotace záloh.

19. Hosting a infrastruktura

19.1 Hetzner Online GmbH

Účel: Hosting celé infrastruktury Biscotti CMP, včetně webového serveru, databáze, aplikační logiky a všech souvisejících služeb.

Právní základ: Čl. 6 odst. 1 písm. b GDPR (plnění smlouvy) ve spojení s čl. 6 odst. 1 písm. f GDPR (oprávněný zájem na spolehlivé a bezpečné infrastruktuře).

Umístění datového centra: Falkenstein/Vogtland (Německo, EU).

Poskytovatel: Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Německo.

Technická architektura:

• Kontejnerizovaná aplikace (Docker)
• Traefik jako reverzní proxy a load-balancer
• PostgreSQL jako relační databáze (samostatně hostovaná na Hetzner)
• Redis jako in-memory databáze pro sledování relací a cachování (samostatně hostovaná na Hetzner)
• Playwright jako headless prohlížeč pro skenování webových stránek (samostatně hostovaný na Hetzner)
• MinIO jako S3-kompatibilní objektové úložiště pro zálohy (samostatně hostované na Hetzner)

19.2 Serverové logy

Účel: Technické zajištění webové stránky a zajištění stability systému.

Právní základ: Čl. 6 odst. 1 písm. f GDPR (oprávněný zájem na technickém zajištění a bezpečnosti).

Kategorie zpracovávaných dat:

• IP adresa (anonymizovaná)
• Datum a čas přístupu
• Navštívená stránka/koncový bod
• HTTP stavový kód
• Přenesené množství dat
• Referrer-URL
• Typ a verze prohlížeče
• Operační systém

Doba uložení: Serverové logy jsou uloženy maximálně po dobu 30 dnů a poté jsou automaticky smazány.

20. Cookies a lokální úložiště na biscotti-cmp.com

20.1 Vlastní použití Biscotti CMP

Pro správu nezbytných souhlasů na naší vlastní webové stránce (biscotti-cmp.com) používáme náš vlastní produkt „Biscotti CMP".

20.2 Technicky nezbytné cookies

Účel: Zajištění funkčnosti webové stránky a dashboardu.

Právní základ: Čl. 6 odst. 1 písm. f GDPR (oprávněný zájem na technické funkčnosti) ve spojení s § 25 odst. 2 č. 2 TDDDG (technicky nezbytné cookies jsou vyňaty z povinnosti získat souhlas).

Používané technicky nezbytné cookies:

• Session-Cookie (JWT-Token pro autentizaci, platnost: 7 dní)
• Consent-Cookie (uložení rozhodnutí návštěvníka o souhlasu na biscotti-cmp.com)
• Cookie pro jazykové preference

20.3 Analytické cookies (pouze se souhlasem)

Účel: Statistické vyhodnocení používání naší webové stránky pro zlepšení naší nabídky.

Právní základ: Čl. 6 odst. 1 písm. a GDPR (souhlas) ve spojení s § 25 odst. 1 TDDDG.

Google Analytics 4: Google Analytics 4 používáme pro statistické vyhodnocení výhradně s vaším souhlasem. Poskytovatel: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irsko. Zpracování dat probíhá v EU. Anonymizace IP adres je aktivována.

20.4 Podrobné informace o cookies

Podrobné informace o všech cookies používaných na biscotti-cmp.com, včetně názvu, účelu, poskytovatele, doby uložení a typu, naleznete v našich samostatných Zásadách používání cookies.

21. Externí poskytovatelé služeb / příjemci

Pro poskytování našich služeb využíváme následující externí poskytovatele služeb. Tento seznam odpovídá § 24 našich VOP a § 7 naší Smlouvy o zpracování osobních údajů (AVV):

Samostatně hostované technologie (žádní samostatní subdodavatelé):

• PostgreSQL (Open Source) — Relační databáze, samostatně hostovaná na Hetzner (Falkenstein)
• Redis (Open Source) — In-memory databáze pro sledování relací a cachování, samostatně hostovaná na Hetzner (Falkenstein)
• Playwright (Open Source, Microsoft) — Headless prohlížeč pro skenování webových stránek, samostatně hostovaný na Hetzner (Falkenstein)
• MinIO (Open Source) — S3-kompatibilní objektové úložiště pro zálohy, samostatně hostované na Hetzner (Falkenstein)

U těchto technologií nedochází k předávání dat třetím stranám. Jsou součástí infrastruktury Hetzner uvedené pod č. 5.

22. Předávání do třetích zemí

22.1 Zásada

Zpracování osobních údajů probíhá zásadně v rámci Evropské unie (EU) nebo Evropského hospodářského prostoru (EHP). Primární infrastruktura (Hetzner Online GmbH, Falkenstein) se nachází v Německu.

22.2 Předávání do třetích zemí

Pokud zpracování probíhá externími poskytovateli služeb mimo EU/EHP, zajišťujeme, aby byly splněny zvláštní požadavky čl. 44 a násl. GDPR:

(a) Resend (USA):

• Zabezpečení aktuálními standardními smluvními doložkami (SCCs) Evropské komise podle prováděcího rozhodnutí (EU) 2021/914
• Dodatečné zabezpečení prostřednictvím EU-US Data Privacy Framework (DPF) podle rozhodnutí Evropské komise o odpovídající ochraně ze dne 10. července 2023
• Doplňková technická opatření: TLS šifrování všech e-mailových přenosů
• Zpracování dat probíhá na AWS serverech v EU (region eu-west-1)

(b) Let's Encrypt (USA):

• Komunikace s Let's Encrypt je omezena na automatické vydávání SSL/TLS certifikátů prostřednictvím protokolu ACME
• Předávají se výhradně názvy domén — žádné osobní údaje fyzických osob

(c) Cloudflare Turnstile (Globální):

• Zabezpečení standardními smluvními doložkami (SCCs) Evropské komise
• Dodatečné zabezpečení prostřednictvím EU-US Data Privacy Framework
• Zpracování je omezeno na detekci botů při přihlašování a registraci

22.3 Posouzení dopadů předávání

Pro každý přenos do třetí země provádíme posouzení dopadů předávání (Transfer Impact Assessment — TIA), abychom zajistili, že úroveň ochrany údajů ve třetí zemi v podstatě odpovídá úrovni v EU. Výsledky TIA poskytujeme na vyžádání.

22.4 Změny právního stavu

Pokud by bylo rozhodnutí Evropské komise o odpovídající ochraně zrušeno nebo by byl přenos do třetí země zakázán dozorovým úřadem nebo soudem, budeme vás neprodleně informovat a přijmeme vhodná alternativní ochranná opatření nebo dotčené zpracování ukončíme.

23. Doba uložení a lhůty pro výmaz

Osobní údaje uchováváme pouze po dobu nezbytnou pro daný účel zpracování nebo po dobu trvání zákonných povinností uchovávání. Níže je přehled hlavních lhůt pro uchovávání:

Po smazání účtu budou veškeré osobní údaje po uplynutí 30denní grace period nevratně a v souladu s ochranou dat smazány z produkčních systémů a záloh, s výhradou výše uvedených zákonných povinností uchovávání.

24. Práva subjektů údajů (čl. 15–22 GDPR)

Jako subjekt údajů máte následující práva ohledně vašich osobních údajů:

24.1 Právo na přístup (čl. 15 GDPR)

Máte právo od nás požadovat potvrzení, zda zpracováváme osobní údaje, které se vás týkají. Pokud ano, máte právo na přístup k těmto osobním údajům a k informacím uvedeným v čl. 15 odst. 1 GDPR (účely zpracování, kategorie osobních údajů, příjemci, plánovaná doba uložení, původ dat, existence automatizovaného rozhodování).

Technická implementace: Své údaje o účtu můžete kdykoli prohlížet v dashboardu. Údaje o souhlasu lze stáhnout pomocí funkce exportu (CSV). Návštěvníci webových stránek mohou prohlížet své uložené údaje o souhlasu prostřednictvím veřejné stránky pro vyhledávání souhlasu po zadání svého Consent-ID.

24.2 Právo na opravu (čl. 16 GDPR)

Máte právo požadovat bez zbytečného odkladu opravu nepřesných osobních údajů. S ohledem na účely zpracování máte právo požadovat doplnění neúplných osobních údajů.

Technická implementace: Údaje o účtu (jméno, e-mail, společnost, adresa) lze kdykoli opravit v dashboardu.

24.3 Právo na výmaz (čl. 17 GDPR)

Máte právo požadovat bez zbytečného odkladu výmaz vašich osobních údajů, pokud je splněn jeden z důvodů uvedených v čl. 17 odst. 1 GDPR (např. údaje již nejsou pro účel nezbytné, odvolání souhlasu, protiprávní zpracování).

Technická implementace: Smazání svého účtu můžete kdykoli iniciovat prostřednictvím dashboardu nebo e-mailem na [email protected]. Při smazání účtu budou veškeré osobní údaje nevratně smazány, s výhradou zákonných povinností uchovávání (viz oddíl 23). Údaje o souhlasu mohou být smazány zákazníkem (provozovatelem webové stránky) pomocí funkcí dashboardu.

Omezení: Právo na výmaz neexistuje, pokud je zpracování nezbytné pro splnění právní povinnosti (např. daňové a obchodní povinnosti uchovávání).

24.4 Právo na omezení zpracování (čl. 18 GDPR)

Máte právo požadovat omezení zpracování, pokud je splněna jedna z podmínek uvedených v čl. 18 odst. 1 GDPR (např. zpochybnění přesnosti, protiprávní zpracování, námitka podle čl. 21 GDPR).

Technická implementace: Omezení jednotlivých datových záznamů lze iniciovat prostřednictvím funkcí dashboardu nebo kontaktováním naší podpory.

24.5 Právo na přenositelnost údajů (čl. 20 GDPR)

Máte právo získat osobní údaje, které se vás týkají a které jste nám poskytli, ve strukturovaném, běžně používaném a strojově čitelném formátu. Máte právo tyto údaje předat jinému správci bez překážek.

Technická implementace: Biscotti CMP nabízí rozsáhlé možnosti exportu dat ve formátu CSV prostřednictvím dashboardu a REST-API. Exportovat lze: údaje o souhlasu, konfigurace webových stránek, výsledky skenování, právní texty, auditní logy a faktury.

24.6 Právo vznést námitku (čl. 21 GDPR)

Máte právo kdykoli vznést námitku proti zpracování osobních údajů, které se vás týkají a které je založeno na čl. 6 odst. 1 písm. f GDPR (oprávněný zájem), z důvodů týkajících se vaší konkrétní situace. Osobní údaje pak nebudeme dále zpracovávat, ledaže prokážeme závažné oprávněné důvody pro zpracování, které převažují nad vašimi zájmy, právy a svobodami, nebo pokud zpracování slouží k určení, výkonu nebo obhajobě právních nároků.

24.7 Právo odvolat souhlas (čl. 7 odst. 3 GDPR)

Pokud je zpracování založeno na vašem souhlasu (čl. 6 odst. 1 písm. a GDPR), máte právo souhlas kdykoli odvolat. Odvoláním souhlasu není dotčena zákonnost zpracování provedeného na základě souhlasu před jeho odvoláním.

Technická implementace pro návštěvníky webových stránek: Banner souhlasu Biscotti CMP nabízí koncovým uživatelům funkci kdykoli vyvolat a odvolat provedená nastavení. Odvolání je stejně snadné jako udělení souhlasu.

Technická implementace pro newsletter: Každý e-mail s newsletterem obsahuje odhlašovací odkaz.

24.8 Právo podat stížnost u dozorového úřadu (čl. 77 GDPR)

Máte právo podat stížnost u dozorového úřadu pro ochranu osobních údajů ohledně zpracování vašich osobních údajů námi. Příslušným dozorovým úřadem pro nás je:

Die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg
Stahnsdorfer Damm 77
14532 Kleinmachnow
Telefon: +49 33203 356-0
E-Mail: [email protected]

Můžete se však obrátit i na dozorový úřad ve vašem obvyklém místě bydliště nebo pracoviště.

24.9 Kontakt pro uplatnění vašich práv

Pro uplatnění vašich práv se prosím obraťte na:

E-mail: [email protected]
Telefon: +49 3322 50703301
Pošta: Campcruisers GmbH, Berliner Str. 21 B, 14612 Falkensee, Deutschland

Vaši žádost vyřídíme neprodleně, nejpozději však do jednoho měsíce od obdržení (čl. 12 odst. 3 GDPR). V komplexních případech nebo při velkém počtu žádostí může být tato lhůta prodloužena o další dva měsíce, o čemž vás budeme informovat s uvedením důvodů.

25. Automatizované individuální rozhodování (čl. 22 GDPR)

25.1 Generování textů pomocí AI

V rámci Legal Suite jsou právní texty generovány umělou inteligencí (Alibaba Cloud Qwen). Toto generování textů představuje automatizované zpracování, které však nepředstavuje automatizované individuální rozhodování ve smyslu čl. 22 odst. 1 GDPR, jelikož:

• Generované texty nemají právní účinky vůči subjektu údajů a významně ho podobným způsobem neovlivňují.
• Texty představují pouze návrhy, které musí být zákazníkem před použitím zkontrolovány, upraveny a schváleny.
• Žádné rozhodnutí není založeno výhradně na automatizovaném zpracování – zákazník si vždy zachovává plnou kontrolu nad použitím generovaných textů.

25.2 Kategorizace cookies pomocí AI

Automatická kategorizace cookies pomocí AI (Esenciální, Funkční, Analytické, Marketingové) představuje podpůrnou funkci. Zákazník může kategorizaci kdykoli ručně zkontrolovat a upravit. Nejedná se o automatizované individuální rozhodování ve smyslu čl. 22 GDPR.

25.3 Detekce botů

Automatická detekce botů (viz oddíl 16) automaticky rozhoduje, zda je přístup klasifikován jako lidský nebo automatizovaný. Toto rozhodnutí má dopad na počítání relací a tím i na fakturaci. Jelikož se rozhodnutí týká výhradně zákazníků (nikoli návštěvníků webových stránek) a zákazník může sledovat počítání relací v dashboardu, nejedná se o automatizované individuální rozhodování ve smyslu čl. 22 GDPR, které by významně ovlivňovalo subjekt údajů.

25.4 Compliance-Health-Score

Automatický výpočet Compliance-Health-Score (A–F) v rámci Policy-Auditu (viz oddíl 9) představuje informační a podpůrnou funkci. Skóre nemá právní účinky a slouží výhradně k informování zákazníka.

25.5 Informace o transparentnosti podle EU AI Act

Pro generování textů, kategorizaci cookies a analýzu zásad používáme systémy AI (Alibaba Cloud Qwen). V souladu s povinnostmi transparentnosti nařízení (EU) 2024/1689 (EU AI Act) upozorňujeme, že:

• Obsah generovaný AI je jako takový označen.
• AI simuluje různé role právních expertů – nejedná se o kontrolu skutečnými právníky.
• Důrazně doporučujeme nechat právní texty generované AI zkontrolovat kvalifikovaným právníkem před jejich produktivním použitím.

26. Změny prohlášení o ochraně osobních údajů

Vyhrazujeme si právo toto prohlášení o ochraně osobních údajů přizpůsobit změněným právním předpisům, technickému vývoji nebo novým funkcionalitám Biscotti CMP. Aktuální verze je kdykoli dostupná na našich webových stránkách na adrese biscotti-cmp.com/de/datenschutz.

V případě podstatných změn, které se týkají vašich práv nebo způsobu zpracování dat, vás budeme informovat e-mailem na e-mailovou adresu uloženou ve vašem účtu. Doporučujeme vám toto prohlášení o ochraně osobních údajů pravidelně kontrolovat.

27. Příslušný dozorový úřad

Příslušným dozorovým úřadem pro ochranu osobních údajů pro Campcruisers GmbH je:

Die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg
Stahnsdorfer Damm 77
14532 Kleinmachnow
Deutschland
Telefon: +49 33203 356-0
E-mail: [email protected]
Webová stránka: https://www.lda.brandenburg.de

Zabezpečení dat

Používáme komplexní technická a organizační bezpečnostní opatření v souladu s čl. 32 GDPR k ochraně vašich osobních údajů. Mezi ně patří zejména:

• Šifrování při přenosu: TLS 1.2/1.3 pro všechny datové přenosy, vynucení HTTPS (HSTS)
• Šifrování v klidu: AES-256 šifrování všech databází a úložných médií na Hetzner Online GmbH, AES-256-GCM pro citlivá konfigurační data (API-Keys, BYOK-klíče)
• Pseudonymizace: Údaje o souhlasu jsou spojeny s pseudonymními Consent-ID, IP adresy jsou anonymizovány na IP-hashe
• Kontrola přístupu: Řízení přístupu na základě rolí (RBAC), princip minimálních práv, logické oddělení klientů
• Autentizace: Autentizace založená na JWT, Cloudflare Turnstile pro ochranu před útoky botů
• Zálohování a obnova: Denní automatické zálohy s AES-256 šifrováním a SHA-256 kontrolou integrity
• Auditní logování: Komplexní systém protokolování pro všechny bezpečnostně relevantní akce

Kompletní technická a organizační opatření (TOMs) jsou zdokumentována v § 8 naší Smlouvy o zpracování osobních údajů (AVV).