1. Kdo za jaké údaje odpovídá
Provozovatel Save Me (Divine Delivery s.r.o.) je správcem údajů, které zpracovává při provozu platformy: objednávky, komunikace, bezpečnost a evidence zákazníků. Prodávající podnik je ve vztahu k údajům, které dostane k vydání balíčku a vyřízení reklamace, samostatným správcem. Údaje o platební kartě zpracovává poskytovatel platební brány Teya jako samostatný správce; provozovatel kartu nevidí.
2. Účely a právní základy
- Objednávka a vydání balíčku
- Jméno, e-mail, telefon, obsah objednávky, čas vyzvednutí, u rozvozu adresa a poznámka. Právní základ: plnění smlouvy a kroky před jejím uzavřením (čl. 6 odst. 1 písm. b) GDPR). Bez těchto údajů smlouvu nelze splnit; „souhlas s GDPR“ nevyžadujeme.
- Platba kartou online
- Číslo objednávky, částka, jméno a e-mail předáváme platební bráně Teya. Právní základ: plnění smlouvy. Teya vám může poslat doklad o platbě.
- E-maily k objednávce
- Potvrzení, upozornění „balíček je připravený“, odmítnutí nebo zrušení objednávky a případné vrácení peněz. Právní základ: plnění smlouvy a zákonná informační povinnost.
- Účetnictví, reklamace, právo
- Doklady, vyúčtování, reklamace a obhajoba práv. Právní základ: zákonná povinnost a oprávněný zájem na určení, výkonu nebo obhajobě právních nároků.
- Bezpečnost a prevence zneužití
- Anonymní identifikátor relace, zkrácená IP adresa (u IPv6 jen síť /64), počty objednávek podle e-mailu a telefonu, časy a bezpečnostní události. Právní základ: oprávněný zájem na ochraně platformy a podniků před spamem a podvody.
- Poloha
- Viz část 3. Právní základ: oprávněný zájem a plnění smlouvy (ukázat nabídku v okolí); u prohlížeče po vašem povolení.
- Marketing
- E-mail s novinkami jen na základě samostatného, dobrovolného souhlasu (zaškrtávací pole v objednávce není předem vyplněné). Souhlas lze kdykoli odvolat odkazem v e-mailu nebo zprávou na kontakt výše; bez souhlasu vás do marketingových seznamů nezařazujeme.
- Podniky a zájemci o spolupráci
- Kontaktní a identifikační údaje, údaje z veřejných rejstříků (ARES), při podpisu smlouvy jméno, e-mail, IP adresa, údaje o zařízení, otisk textu smlouvy a jednorázový kód; číslo účtu pro výplaty. Právní základ: jednání o smlouvě a její plnění, zákonná povinnost. Údaje o prodávajících hlásíme finanční správě podle zákona č. 164/2013 Sb. (směrnice DAC7).
3. Poloha
Úvodní obrazovka vás požádá o polohu, aby ukázala nejbližší podniky. Poloha se zjišťuje až po vašem kliknutí a povolení v prohlížeči, nebo můžete zadat adresu. Souřadnice nebo adresu odešle váš prohlížeč službě Nominatim (OpenStreetMap Foundation, Spojené království) k převodu na adresu; souřadnice zaokrouhlujeme na asi 100 m. Zjištěnou polohu ukládáme pouze ve vašem prohlížeči do zavření karty (klíč sm_poloha_v1), na náš server ji neposíláme a nepřiřazujeme ji k objednávce. Uložení smažete tlačítkem „Zapomenout polohu“ na úvodní obrazovce nebo smazáním dat webu.
4. Komu údaje předáváme
- Prodávající podnik (u vyzvednutí i rozvozu): jméno, telefon, e-mail, obsah objednávky a poznámka, jen v rozsahu nutném k vydání balíčku.
- Divine Delivery jako dopravce a jeho kurýři: jen kontakt, adresa, čas a informace nezbytné k doručení.
- Teya (platební brána): údaje o platbě, jméno, e-mail.
- Google (Firebase, Cloud Functions v regionu EU, Gmail pro odesílání e-mailů) a Cloudflare (hosting, platební brána): technické zpracování jako zpracovatelé.
- Google reCAPTCHA Enterprise (přes Firebase App Check): posouzení, zda požadavek posílá člověk, a ochrana objednávek před roboty a zahlcením; vidí IP adresu a technické údaje prohlížeče. Právní základ: oprávněný zájem na bezpečnosti služby.
- Brevo: záložní odesílání e-mailů, pokud by hlavní cesta selhala.
- OpenStreetMap Foundation: převod polohy a adresy (viz část 3), jako samostatný správce; Unsplash: ilustrační fotografie se načítají z jejich serveru, který tak vidí vaši IP adresu.
- Poradci a orgány veřejné moci, pokud to vyžaduje zákon (daně, účetnictví, dozor).
Údaje z objednávky zapisujeme také do společné zákaznické evidence Divine Delivery, jen pokud jste se přihlásili ověřeným e-mailem; k marketingu je bez samostatného souhlasu nepoužíváme.
5. Předání mimo EHP
Někteří dodavatelé mohou údaje technicky zpracovávat mimo Evropský hospodářský prostor (Google a Cloudflare ve Spojených státech, OpenStreetMap Foundation ve Spojeném království). Spoléháme na rozhodnutí Evropské komise o odpovídající ochraně (EU–US Data Privacy Framework, Spojené království) nebo na standardní smluvní doložky.
6. Jak dlouho údaje uchováváme
- Objednávky a komunikace: zpravidla 3 roky od vyřízení (promlčecí lhůta); poté je anonymizujeme.
- Účetní doklady a vyúčtování: po dobu stanovenou daňovými a účetními předpisy, nejdéle 10 let.
- Nepodepsanou poptávku podniku: nejdéle 12 měsíců, není-li navázáno jednání.
- Podepsané smlouvy s podniky včetně záznamu o podpisu: po dobu trvání smlouvy a následných zákonných lhůt.
- Poloha: jen ve vašem prohlížeči, do zavření karty.
- Marketing: do odvolání souhlasu; záznam o odvolání dále kvůli prokázání, že byla vaše volba respektována.
- Bezpečnostní záznamy a omezení počtu objednávek: dny až měsíce, nejdéle 12 měsíců.
7. Vaše práva
Můžete požadovat přístup k údajům, opravu, výmaz, omezení zpracování, přenositelnost a vznést námitku proti zpracování z oprávněného zájmu. Souhlas lze kdykoli odvolat bez vlivu na dřívější zpracování. Požadavek pošlete na divinedeliverycz@gmail.com; odpovíme do 30 dnů. Máte také právo podat stížnost u Úřadu pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, uoou.gov.cz.
8. Automatizace
Nabídky řadíme podle vzdálenosti od zadané polohy (viz stránka Jak řadíme nabídky). Nepřijímáme rozhodnutí s právními nebo obdobně významnými účinky založená výhradně na automatizovaném zpracování. Počet objednávek z jednoho účtu, e-mailu, telefonu a sítě omezujeme automaticky, aby platformu nešlo zahltit; při omylu nás kontaktujte.
9. Zdravotní údaje
Do poznámky k objednávce prosím nepište údaje o zdraví (například zdravotní diagnózy). Alergeny u balíčků uvádí podnik; k vaší alergii se u nás nic neeviduje.
10. Bezpečnost a incidenty
Používáme oddělený prostor pro data Save Me, pravidla přístupu s výchozím zákazem, serverové ověření ceny a zásoby, role, auditní záznamy a omezení počtu požadavků. Podniky a kurýři vidí jen údaje potřebné pro svou část objednávky. Incident s rizikem pro vaše práva řešíme podle čl. 33 a 34 GDPR: ohlášení úřadu do 72 hodin a oznámení dotčeným osobám.
11. Verze
Verze 2026-10-08-v1, účinná od 8. října 2026. Podstatné změny oznámíme přiměřeným způsobem; k objednávce se uchovává verze platná při jejím odeslání.