Zásady ochrany osobních údajů

1. Rozsah a kategorie zpracovávaných osobních údajů

Naše platforma zpracovává osobní údaje v různém rozsahu v závislosti na tom, jakou roli v rámci aplikace zastáváte a jaké funkce aktivně využíváte. Bez poskytnutí níže uvedených údajů není možné technicky ani právně zajistit plnění smluvního vztahu a poskytování našich služeb.

A. Společné údaje pro všechny registrované uživatele (Odesílatele i Řidiče):

• E-mailová adresa: Slouží jako jedinečný identifikátor uživatele (login), k jednoznačné autentizaci při přihlašování, k zasílání důležitých provozních a technických informací o aplikaci a k primární komunikaci mezi Správcem a uživatelem.
• Telefonní číslo: Nezbytný kontaktní údaj, který slouží k zajištění okamžité koordinace a ověření detailů mezi Odesílatelem, Řidičem a Příjemcem zásilky během aktivního doručovacího procesu.
• Geolokační údaje a poloha zařízení: U Odesílatele zpracováváme GPS souřadnice adres při vytváření objednávky (místo vyzvednutí a doručení). U Řidiče zpracováváme polohu v reálném čase během aktivní přepravy (stav objednávky accepted, picked_up a in_transit), jakož i při potvrzení doručení a u vybraných funkcí (např. rychlý start, plánovaná trasa). Živá poloha umožňuje Odesílateli sledovat průběh přepravy na mapě.
• FCM token (Firebase Cloud Messaging): Unikátní technický identifikátor přiřazený vašemu zařízení, který umožňuje okamžité generování a doručování push notifikací o změnách stavu objednávky, přiřazení přepravy či systémových zprávách.
• Zprávy z interního chatu: Textový obsah komunikace mezi Odesílatelem a Řidičem v rámci aktivní objednávky (upřesnění místa setkání, času a detailů přepravy), uložený v databázi objednávky.
• Údaje o Příjemci zásilky (třetí osoba): Jméno a telefonní číslo Příjemce, které zadává Odesílatel při vytváření objednávky. Tyto údaje jsou potřebné k doručení a ověření převzetí (PIN). Odesílatel je povinen mít právní základ k poskytnutí údajů Příjemce (např. souhlas nebo smluvní vztah s Příjemcem).

B. Automaticky shromažďované technické údaje a síťové identifikátory:

• IP adresa a síťové logy: Zaznamenávání síťové adresy přiřazené vašemu zařízení při každém přístupu k našim serverům za účelem zajištění kybernetické bezpečnosti, odhalování podvodného chování a prevence DDoS útoků.
• Unikátní identifikátor zařízení (Device ID / Installation ID): Technický kód hardwaru a instalace aplikace sloužící k párování účtu se zařízením, prevenci opakovaných registrací a odhalování podvodů.
• Metadata operačního systému a aplikace: Údaje o typu a verzi operačního systému (Android/iOS), modelu zařízení a verzi aplikace Talobox za účelem technické optimalizace, force-update a diagnostiky chyb.
• Firebase Analytics: Telemetrie používání aplikace (události, obrazovky) ke zlepšování produktu a stability.
• Firebase Crashlytics: Technické reporty o pádech a chybách aplikace, které mohou obsahovat identifikátor uživatele (uid) a diagnostická metadata zařízení k opravě chyb.
• Firebase App Check: Technické ověření integrity aplikace / zařízení (např. Play Integrity, App Attest) před voláním citlivých serverových funkcí s cílem zabránit zneužití API.

C. Zvláštní a dodatečné kategorie údajů zpracovávané výhradně u Řidičů (Kurýrů):

• Jméno, příjmení a akademický titul: Základní identifikační údaje potřebné k tvorbě smluvních vztahů, fakturačních podkladů a jednoznačné identifikaci osoby.
• Ověření totožnosti (KYC) přes Stripe: Noví Řidiči absolvují ověření identity v procesu registrace „Stát se řidičem“ prostřednictvím Stripe Connect. Stripe (jako samostatný správce / poskytovatel platebních služeb) ověřuje doklad totožnosti (typicky občanský průkaz nebo cestovní pas) a související údaje potřebné k vyplácení. Provozovatel Taloboxu neukládá skeny občanského průkazu ve vlastní databázi; stav ověření (např. charges enabled) eviduje v profilu Řidiče.
• Údaje zadané v profilu Řidiče v aplikaci: Např. číslo dokladu (je-li vyžadováno ve formuláři), registrační značka vozidla, údaje o vozidle a volitelný IBAN – k identifikaci vůči Odesílateli a k interní správě profilu. Bankovní údaje pro výplaty se primárně zpracovávají ve Stripe Connect.
• Registrační značka vozidla (SPZ), značka, model a barva vozidla: Technické parametry motorového vozidla, které se zobrazují Odesílateli, aby dokázal bezpečně rozpoznat přijíždějícího Řidiče.
• Fotodokumentace stavu zásilky (vizuální záznamy): Fotografie vyhotovené Řidičem přímo přes rozhraní aplikace Talobox v okamžiku fyzického převzetí balíku od Odesílatele a následně v okamžiku předání Příjemci. Tyto záznamy slouží jako důkaz o stavu zboží pro reklamace a řešení sporů.

2. Konkrétní a legitimní účely zpracování osobních údajů

Správce striktně dodržuje zásadu minimalizace údajů. Vaše osobní údaje jsou zpracovávány výhradně k následujícím legitimním účelům:

• Poskytování služeb platformy a zprostředkování přepravy: Registrace uživatelského profilu, párování poptávky Odesílatelů s nabídkou Řidičů v reálném čase, správa objednávek a celkový technický provoz infrastruktury Talobox.
• Ověřování totožnosti a bezpečnost komunity (KYC): Ověření identity nových Řidičů v procesu „Stát se řidičem“ přes Stripe Connect (včetně ověření občanského průkazu / dokladu totožnosti na straně Stripe) a schvalování přístupu k vyplácení s cílem minimalizovat rizika spojená s přepravou.
• Zpracování plateb a clearing: Bezpečné zpracování kartových transakcí na straně Odesílatele, zadržení prostředků v depozitu a následná distribuce a vyplácení čistých finančních odměn na IBAN účty Řidičů prostřednictvím integrované platební brány.
• Zasílání systémových zpráv a provozní komunikace: Odesílání push notifikací, SMS zpráv nebo e-mailů týkajících se okamžitého stavu přepravy (např. „Řidič převzal balík“, „Zásilka byla doručena“), jakož i technických oznámení o plánované údržbě či bezpečnostních rizicích. Obchodní sdělení jsou zasílána pouze v mezích § 7 zákona č. 480/2004 Sb., o některých službách informační společnosti.
• Řešení sporů, arbitráž a reklamační řízení: Posuzování podnětů od uživatelů v případě nedoručení, poškození, ztráty nebo odcizení zásilky, kde se jako hlavní důkazní materiál využívají systémové logy, GPS trasy a nahraná fotodokumentace.
• Plnění přísných legislativních a daňových povinností (DAC7 a účetnictví): Shromažďování, evidence a automatické reportování finančních příjmů a identifikačních údajů Řidičů příslušným daňovým orgánům ve smyslu evropské směrnice DAC7 o digitálních platformách (v České republice provedené zákonem č. 164/2013 Sb., o mezinárodní spolupráci při správě daní), jakož i řádné vedení účetnictví a daňové evidence mtech global s. r. o. podle zákona č. 563/1991 Sb., o účetnictví.
• Obrana právních nároků a prevence kriminality: Detekce podvodů (např. fiktivní jízdy, zneužívání platebních karet), zajištění důkazů pro případné civilní soudní spory, exekuční řízení nebo trestní řízení.

3. Právní základy, na kterých je zpracování založeno

Každá operace zpracování vašich osobních údajů je legislativně podložena a realizuje se výhradně v souladu s článkem 6 GDPR. Využíváme tyto právní základy:

• Plnění smlouvy podle čl. 6 odst. 1 písm. b) GDPR: Zpracování je nezbytné k tomu, abychom vůbec dokázali splnit to, k čemu jsme se zavázali v Obchodních podmínkách (VOP) – tj. vytvořit vám účet, umožnit vám zadat poptávku po přepravě, spárovat vás s řidičem a bezpečně zrealizovat doručení balíku.
• Plnění právní povinnosti podle čl. 6 odst. 1 písm. c) GDPR: Správce je vázán legislativou České republiky a EU. Zpracování údajů o platbách, fakturaci a příjmech provozovatelů ve sdílené ekonomice (směrnice DAC7) nám přímo ukládá zákon č. 164/2013 Sb., o mezinárodní spolupráci při správě daní, a zákon č. 563/1991 Sb., o účetnictví.
• Oprávněný zájem správce nebo třetích stran podle čl. 6 odst. 1 písm. f) GDPR: Zpracování dat za účelem zachování kybernetické bezpečnosti, ochrany majetku odesílatelů, prevence závažných podvodů, technického monitoringu chyb aplikace a obhajoby našich legitimních právních nároků před soudy.
• Souhlas subjektu údajů podle čl. 6 odst. 1 písm. a) GDPR: Využívá se dobrovolně udělený souhlas ve specifických situacích, například pokud bychom se rozhodli zasílat marketingové nabídky nesouvisející přímo s provozem Taloboxu. Tento souhlas můžete kdykoli bezplatně odvolat.

4. Příjemci údajů a kategorie třetích stran

Vaše osobní údaje jsou v maximální možné míře drženy v bezpečí. V rámci zachování funkčního ekosystému aplikace a doručení zásilky však dochází k nezbytnému sdílení omezeného rozsahu dat s následujícími subjekty:

• Vzájemné sdílení mezi Uživateli (Smluvní strany): Po přijetí objednávky Řidič vidí jméno Odesílatele, telefonní číslo, adresu vyzvednutí a adresu předání balíku, včetně jména a telefonu Příjemce. Odesílatel naopak vidí jméno Řidiče, jeho hodnocení a parametry vozidla (včetně registrační značky) a během přepravy může sledovat živou polohu. Oba účastníci mohou používat interní chat v rámci objednávky.
• Stripe Payments Europe, Limited / Stripe Connect: Platební brána s certifikací PCI DSS. Stripe zpracovává údaje o platebních kartách, Apple Pay / Google Pay a u Řidičů také KYC ověření totožnosti (občanský průkaz / pas) a údaje potřebné k výplatám (včetně bankovního účtu). Provozovatel Taloboxu nikdy nevidí a neukládá kompletní čísla platebních karet.
• Google Ireland Limited (Firebase, Google Cloud, Google Maps Platform): Cloudový hosting, databáze, autentizace, Storage, Cloud Functions, FCM, Analytics, Crashlytics, App Check, jakož i mapové a adresní služby (Maps, Places, Geocoding, Directions). Primární zpracování probíhá v EU; některá podpůrná zpracování mohou zahrnovat přenos mimo EHP – viz část 4a.
• Externí subdodavatelé a odborní poradci: Společnosti zajišťující pro mtech global s. r. o. služby externího účetnictví, právního poradenství, auditu nebo technické IT podpory, přičemž všichni tito partneři jsou vázáni mlčenlivostí a smlouvami o zpracování osobních údajů (DPA) podle čl. 28 GDPR.
• Státní orgány a instituce: Orgány finanční správy (v souvislosti s reportingem DAC7), soudy, Úřad pro ochranu osobních údajů, orgány činné v trestním řízení (Policie České republiky, státní zastupitelství) nebo Česká obchodní inspekce, a to na základě oficiální, zákonné a odůvodněné žádosti.

4a. Přenosy osobních údajů mimo Evropský hospodářský prostor

Správce preferuje uchovávání a zpracování dat v EU. Někteří poskytovatelé (zejména Google / Firebase a Stripe) mohou v rámci globální infrastruktury přenášet osobní údaje i do třetích zemí (např. USA). Takové přenosy se uskutečňují výhradně při zachování vhodných záruk podle kapitoly V GDPR, zejména prostřednictvím standardních smluvních doložek Evropské komise (SCC), případně jiného platného mechanismu (např. rozhodnutí o odpovídající ochraně / Data Privacy Framework, je-li aplikovatelné). Podrobnosti o přenosech u konkrétních poskytovatelů jsou uvedeny v jejich vlastních zásadách ochrany osobních údajů.

5. Doba uchovávání osobních údajů

Správce uchovává vaše osobní údaje pouze po dobu nezbytně nutnou k dosažení účelů, ke kterým byly shromážděny, nebo po dobu vyžadovanou příslušnými právními předpisy. Kritéria pro určení doby uchovávání jsou striktně nastavena následovně:

• Údaje aktivního uživatelského účtu: Všechny identifikační, kontaktní a profilové údaje jsou zpracovávány a uchovávány po celou dobu existence vašeho smluvního vztahu s platformou, tj. během aktivního využívání aplikace Talobox až do okamžiku, kdy nepožádáte o zrušení a vymazání vašeho účtu.
• Transakční, finanční a účetní záznamy: Údaje o uskutečněných objednávkách, přepravách, fakturačních údajích, platbách a vyplacených odměnách jsme povinni uchovávat ve smyslu zákona č. 563/1991 Sb., o účetnictví, ve spojení se zákonem č. 235/2004 Sb., o dani z přidané hodnoty, a dalšími daňovými předpisy, a to po dobu až 10 let od konce účetního období, ve kterém transakce proběhla. Tyto údaje není možné vymazat dříve, a to ani na základě žádosti o zrušení účtu.
• Údaje pro účely směrnice DAC7: Informace shromažďované o Řidičích za účelem plnění povinností v oblasti mezinárodní spolupráce při správě daní (zákon č. 164/2013 Sb.) jsou uchovávány v souladu s daňovými předpisy po dobu vyžadovanou pro kontrolu ze strany státních orgánů, zpravidla po dobu 10 let.
• Fotodokumentace stavu zásilek: Vizuální záznamy vyhotovené Řidičem při převzetí a předání balíku jsou v systému uchovávány po dobu 6 měsíců od úspěšného doručení zásilky. Tato lhůta je určena s ohledem na uplatňování nároků na náhradu škody a s ohledem na definitivní uzavření případných reklamací; obecná promlčecí lhůta podle § 629 zákona č. 89/2012 Sb., občanský zákoník, tím není dotčena.
• Provozní logy a IP adresy: Technické síťové záznamy a bezpečnostně podmíněné logy jsou uchovávány po dobu 12 měsíců od jejich vzniku za účelem zpětné analýzy kybernetických incidentů a ochrany serverové infrastruktury.

6. Vaše garantovaná práva jako subjektu údajů

Jako subjekt údajů máte ve smyslu nařízení GDPR širokou škálu práv, která můžete vůči Správci kdykoli bezplatně uplatnit. Na základě vaší žádosti vám poskytneme součinnost a informace o přijatých opatřeních bez zbytečného odkladu, nejpozději však do 30 dnů od doručení žádosti. Vaše práva zahrnují:

• Právo na přístup k údajům (čl. 15 GDPR): Máte právo požadovat od nás potvrzení o tom, zda zpracováváme vaše osobní údaje, a pokud ano, máte právo získat přístup k těmto údajům a podrobné informace o způsobu jejich zpracování, účelu a příjemcích.
• Právo na opravu údajů (čl. 16 GDPR): Pokud zjistíte, že vaše osobní údaje evidované v aplikaci Talobox jsou nepřesné, neúplné nebo zastaralé, máte právo požadovat jejich okamžitou nápravu, opravu nebo doplnění.
• Právo na výmaz / Právo být zapomenut (čl. 17 GDPR): Máte právo požadovat, abychom bez zbytečného odkladu vymazali vaše osobní údaje, pokud již nejsou potřebné pro účely, pro které byly získány, pokud odvoláte svůj souhlas, nebo pokud vznesete námitku proti zpracování na základě oprávněného zájmu a neexistují žádné převažující zákonné důvody pro jejich další uchovávání.
• Právo na omezení zpracování (čl. 18 GDPR): Máte právo požadovat, abychom omezili zpracování vašich dat (tj. údaje pouze uchovávali, ale aktivně s nimi nepracovali), například po dobu, kdy popíráte přesnost údajů, nebo pokud je zpracování protiprávní, ale odmítáte jejich úplný výmaz.
• Právo na přenositelnost údajů (čl. 20 GDPR): Máte právo získat své osobní údaje, které jste nám poskytli, ve strukturovaném, běžně používaném a strojově čitelném formátu (např. JSON), a máte právo přenést tyto údaje jinému správci, pokud se zpracování zakládá na smlouvě nebo souhlasu.
• Právo vznést námitku (čl. 21 GDPR): Máte právo kdykoli vznést námitku z důvodů týkajících se vaší konkrétní situace proti zpracování vašich osobních údajů, které je prováděno na základě našeho oprávněného zájmu (čl. 6 odst. 1 písm. f) GDPR). V takovém případě údaje nesmíme dále zpracovávat, pokud neprokážeme závažné oprávněné důvody, které převažují nad vašimi zájmy a právy.
• Právo odvolat souhlas (čl. 7 odst. 3 GDPR): V případech, kdy zpracováváme vaše údaje výhradně na základě vámi uděleného dobrovolného souhlasu, máte právo tento souhlas kdykoli odvolat, a to stejně jednoduchým způsobem, jakým byl udělen. Odvolání nemá vliv na zákonnost zpracování před jeho odvoláním.
• Právo podat stížnost u dozorového úřadu (čl. 77 GDPR): Máte právo podat stížnost u Úřadu pro ochranu osobních údajů, případně u dozorového úřadu v členském státě svého obvyklého bydliště, místa výkonu zaměstnání nebo místa, kde došlo k údajnému porušení.

7. Postup při uplatňování práv subjektu údajů

Všechna vaše výše uvedená práva můžete uplatnit oficiální elektronickou formou zasláním podrobné žádosti na naši vyhrazenou e-mailovou adresu pro oblast ochrany soukromí: gdpr@talobox.com. Vaše žádost musí obsahovat identifikační údaje (e-mail spojený s účtem), abychom mohli spolehlivě ověřit vaši totožnost a zamezit neoprávněnému přístupu k vašim datům ze strany třetích osob. V případě, že na vaši žádost neodpovíme v zákonem stanovené lhůtě 30 dnů, nebo se domníváte, že s vašimi údaji nakládáme v rozporu s nařízením GDPR a se zákonem č. 110/2019 Sb., o zpracování osobních údajů, máte právo podat oficiální stížnost nebo návrh na zahájení řízení u dozorového úřadu, kterým je pro Českou republiku Úřad pro ochranu osobních údajů (se sídlem Pplk. Sochora 27, 170 00 Praha 7, web: www.uoou.cz).

7a. Automatizované a dřívější vymazání údajů přímo v aplikaci

Správce implementoval do rozhraní aplikace funkci pro přímou správu a likvidaci uživatelského konta. Pokud se rozhodnete ukončit používání platformy, můžete tak učinit v sekci Profil → Smazat účet (GDPR). Po potvrzení této volby dojde k zablokování / anonymizaci vašeho profilu podle nastavení serverové funkce deleteAccount. Vezměte prosím na vědomí, že osobní údaje a data, která podléhají zákonným archivačním povinnostem (transakční záznamy o doručení, daňové a účetní doklady, hlášení DAC7 apod.), nebudou na základě tohoto kroku úplně vymazána a zůstanou uložena v odděleném / omezeném režimu až do uplynutí příslušné zákonné lhůty (zpravidla 10 let), přičemž přístup k nim bude přísně omezen. Mazání není možné, pokud máte aktivní objednávku.

8. Technická, organizační a bezpečnostní opatření

Ochrana vašich dat je naší nejvyšší prioritou. Správce mtech global s. r. o. prohlašuje, že v souladu s čl. 32 GDPR implementoval vhodná technická a organizační bezpečnostní opatření s cílem zajistit integritu, důvěrnost a dostupnost zpracovávaných údajů:

• Šifrování přenosu: Veškerá síťová komunikace mezi aplikací Talobox ve vašem smartphonu a naší cloudovou infrastrukturou probíhá výhradně prostřednictvím bezpečně šifrovaného protokolu HTTPS s využitím moderních šifer TLS/SSL.
• Řízení přístupu a autorizace: Přístup k databázím na platformě Firebase / Google Cloud je striktně omezen a řízen prostřednictvím komplexních pravidel (Firebase Security Rules). Každý dotaz na data je ověřován autentizačním tokenem. Běžný Řidič nikdy nemá přístup k citlivým datům jiných Řidičů.
• Separace citlivých údajů: Nejcitlivější údaje související s KYC a výplatami Řidičů zpracovává především Stripe Connect. Údaje v profilu Řidiče v aplikaci (např. registrační značka vozidla, volitelný IBAN) jsou přístupné podle Firebase Security Rules pouze oprávněným subjektům.
• Absolutní bezpečnost plateb: Zpracování plateb kartou a bankovních clearingů je v plném rozsahu přeneseno na stranu globálního zpracovatele Stripe. Infrastruktura platformy Talobox nezpracovává, neukládá a nemá žádný přístup k plným číslům platebních karet ani ke kódům CVC/CVV. Celý proces podléhá nejpřísnějšímu bezpečnostnímu standardu PCI DSS Level 1.

9. Ochrana soukromí osob mladších 16 let

Mobilní aplikace a služby platformy Talobox jsou zaměřeny a určeny výhradně zletilým fyzickým osobám, resp. osobám, které dosáhly věku minimálně 16 let (§ 7 zákona č. 110/2019 Sb., o zpracování osobních údajů, ve spojení s čl. 8 GDPR). Správce záměrně a vědomě neshromažďuje, nezpracovává ani neeviduje osobní údaje od osob mladších 16 let. Pokud v rámci naší monitorovací činnosti zjistíme, že došlo k registraci účtu osobou mladší 16 let bez prokazatelného souhlasu jejího zákonného zástupce, takový účet včetně všech přidružených údajů bezodkladně a bez jakéhokoli upozornění vymažeme z našich systémů.

10. Jednostranné změny a aktualizace zásad

Správce si vyhrazuje plné právo tyto Zásady ochrany osobních údajů kdykoli jednostranně upravit, doplnit nebo změnit, a to zejména s ohledem na implementaci nových funkcí aplikace, legislativní změny v oblasti ochrany soukromí nebo úpravu smluvních vztahů s externími subdodavateli. O každé podstatné a legislativně významné změně těchto zásad budou všichni registrovaní uživatelé předem transparentně informováni, a to formou push notifikace přímo v rozhraní aplikace Talobox, systémovým e-mailem nebo zobrazením povinné informační obrazovky při nejbližším spuštění aplikace. Pokud po nabytí účinnosti aktualizovaného znění zásad pokračujete v aktivním používání aplikace a našich služeb, má se za to, že jste se s novým zněním zásad seznámili a berete je na vědomí.

11. Kontaktní údaje a dozor

V případě jakýchkoli dotazů, nejasností, připomínek ke zpracování vašich dat nebo v případě zájmu o uplatnění vašich práv subjektu údajů nás můžete kdykoli kontaktovat prostřednictvím následujících komunikačních kanálů:

Název společnosti: mtech global s. r. o.
Sídlo společnosti: J. Alexyho 2704/10, 955 03 Topoľčany, Slovenská republika
IČO: 57635544
DIČ: 2122862841
Obchodní rejstřík: Okresní soud Nitra, oddíl: Sro, vložka č.: 69769/N
E-mailová adresa: gdpr@talobox.com

Příslušný dozorový úřad pro Českou republiku:
Úřad pro ochranu osobních údajů (ÚOOÚ)
Pplk. Sochora 27, 170 00 Praha 7
Česká republika
Webové stránky: www.uoou.cz