Ochrana osobních údajů

1. Správkyně tvých dat

Tvoje osobní údaje spravuji já, Marcela Kramářová. Žádná firma, žádný marketingový tým za mnou nestojí — jsem to opravdu jen já.

• IČO: 75717361
• Sídlo: Čechyně 195, 683 01 Rousínov u Vyškova
• E-mail: marcela@fotoatelier-brno.cz
• Telefon: +420 732 578 714

Pokud máš jakoukoli otázku ohledně svých dat, napiš mi přímo — odpovím obyčejnou češtinou, ne právničinou.

2. Jaké údaje zpracovávám a proč

Když si rezervuješ focení nebo si koupíš poukaz:

• · jméno, e-mail, telefon — abychom se domluvily na termínu
• · adresa (jen pokud kupuješ tisk) — kam ti tisk pošlu
• · typ focení a balíček — kvůli přípravě
• · fakturační údaje (IČO, DIČ — volitelně) — kvůli vystavení faktury podle zákona

Když u mě focení proběhne:

• · samotné fotografie (tvoje, tvojí rodiny, miminka) — patří k zakázce a archivuji je na bezpečném úložišti
• · poznámky o průběhu focení — abych si pamatovala, co rád/a máš

Když mi napíšeš na web nebo přes formulář:

• · jméno, e-mail, telefon a zpráva — abych ti mohla odpovědět

Právní základ: splnění smlouvy (rezervace, focení, dodání), oprávněný zájem (komunikace, archiv zakázek), zákonná povinnost (fakturace), souhlas (marketing, sdílení fotek).

3. Jak dlouho data držím

• Kontaktní údaje a zakázky: 3 roky po posledním kontaktu (kvůli případným reklamacím a opakovaným objednávkám).
• Fakturační údaje: 10 let (zákonná povinnost — daňové předpisy).
• Fotografie v klientské galerii: 6 měsíců od dodání. Pak galerii archivuji do svého úložiště (zůstávají uložené pro tvoji bezpečnost, ale nejsou už online).
• E-mailová komunikace: 3 roky.
• Newsletter (pokud odebíráš): do tvého odhlášení.

Kdykoli můžeš požádat o dřívější smazání — kromě údajů, které ze zákona musím držet (fakturace).

5. Komu tvoje data dávám

Tvoje data nikdy neprodávám ani neposkytuji marketingovým firmám. Sdílím je jen s ověřenými poskytovateli, kteří mi umožňují provoz služby:

• Stripe Inc. (USA, EU-US Data Privacy Framework) — platební brána pro online platby kartou. Vidí jen údaje nutné pro platbu.
• Amazon Web Services (AWS S3) — můj fotografický archiv. Region EU-Frankfurt (Německo), tvoje data nikdy neopouštějí Evropu.
• Pixin (česká firma) — úložiště klientských galerií, odkud si stahuješ hotové fotky.
• Everbot (česká AI platforma, servery v Německu) — AI nástroj pro retuš a tvorbu, smluvně netrénuje modely. Viz bod 4.
• AWS SES — odesílání e-mailů (potvrzení rezervace, poukaz, klientská galerie). Také region EU-Frankfurt.
• SmartEmailing (česká firma, servery v ČR) — pokud si zapsala/zapsal k odběru newsletteru. Bez tvého souhlasu tě tam neposílám.
• Fakturoid (česká firma) — vystavování a archivace faktur podle zákona.
• Stripe Inc. (USA, EU-US Data Privacy Framework) — platební brána pro online platby kartou. Vidí jen údaje nutné pro platbu.
• Railway / Sentry — hosting webu a monitorování chyb. Žádné osobní údaje tam nelogujeme.
• Google Analytics — anonymní statistiky návštěvnosti webu. Aktivujeme jen pokud klikneš „Přijmout" v cookie liště.

S každým z nich mám uzavřenou zpracovatelskou smlouvu podle GDPR (čl. 28).

6. Cookies a sledování

Web používá tři druhy cookies:

• Nezbytné (vždy zapnuté) — přihlášení, košík poukazu, jazyk. Bez nich by web nefungoval.
• Statistické (jen se souhlasem) — Google Analytics, anonymní data o návštěvnosti. Aktivuji je jen pokud klikneš „Přijmout".
• Marketingové — momentálně nepoužívám. Pokud bych je v budoucnu nasadila, vždy se zeptám.

Cookies můžeš kdykoli vymazat v nastavení svého prohlížeče nebo přes lištu, která ti vyskočí při první návštěvě.

7. Tvoje práva podle GDPR

Můžeš kdykoli požádat o:

• Přístup — řeknu ti, jaké údaje o tobě mám, a pošlu ti jejich kopii (typicky jako JSON nebo PDF).
• Opravu — upravím cokoli, co je nesprávné nebo zastaralé.
• Výmaz („právo být zapomenuta") — smažu vše, co nemám zákonnou povinnost držet. Fakturační údaje musím dál archivovat 10 let (daňový zákon), ostatní smažu.
• Omezení zpracování — můžeš mě požádat, ať s daty dočasně nic nedělám.
• Přenositelnost — pošlu ti tvoje data v běžně používaném strojově čitelném formátu (JSON, CSV).
• Odvolat souhlas — newsletter, sdílení fotek, AI tvorba. Bez následků.
• Námitka — proti zpracování v rámci oprávněného zájmu.
• Stížnost ÚOOÚ — pokud máš pocit, že s daty nakládám špatně, můžeš se obrátit na Úřad pro ochranu osobních údajů (www.uoou.cz).

Žádost mi pošli e-mailem. Odpovím do 30 dní (typicky mnohem dřív).

8. Jak tvoje data chráním

• · Web běží na HTTPS s automatickým certifikátem (Let's Encrypt).
• · Hesla v databázi jsou hashovaná (bcrypt) — ani já je nevidím.
• · Administrátorský přístup mám chráněný dvoufaktorovým ověřením (2FA).
• · Fotky v klientské galerii jsou chráněny jedinečným odkazem (UUID), nezveřejnitelné běžným prohledáváním.
• · Pravidelně dělám zálohy databáze a logů.
• · Žádné údaje, které nepotřebuji, nesbírám.

I přes všechna opatření žádný systém není nehacknutelný. Pokud by někdy došlo k úniku dat, budu tě o tom informovat do 72 hodin podle GDPR (čl. 33–34).

9. Změny těchto zásad

Pokud se něco podstatného změní (nový poskytovatel, nový způsob zpracování), upozorním tě e-mailem (pokud mám tvůj kontakt) a aktualizuji datum nahoře na této stránce.

Drobné formulační úpravy dělám bez upozornění, ale vždy v tvůj prospěch.