Zásady ochrany osobních údajů

1. Přehled: Terminy ve dvou rolích

Správce (čl. 4 bod 7 GDPR): jsme správcem údajů, které vznikají přímo u nás — návštěva tohoto webu, cookies, poptávky přes formulář zkušební verze, účty majitelů salonů (administrátorské účty) a smluvní a fakturační údaje.

Zpracovatel (čl. 28 GDPR): jsme zpracovatelem údajů zákazníků salonů, které používají naši platformu — například rezervací termínů, digitálních věrnostních karet a chatových zpráv přes WhatsApp nebo Instagram. Správcem těchto údajů je příslušný salon; zpracováváme je výhradně podle jeho pokynů jako zpracovatel ve smyslu čl. 28 GDPR.

Jste-li zákazníkem salonu, obraťte se s dotazy ke svým údajům nejprve na salon. Kdykoli se můžete obrátit i na nás (info@terminy.net) — vaši žádost předáme salonu a pomůžeme s jejím vyřízením.

2. Správce

Společnost

Terminy

Žádosti k ochraně údajů

info@terminy.net

Obecný kontakt

info@terminy.net

Další údaje o společnosti najdete v Impresu.

3. Hosting a infrastruktura

Web i platforma běží na Google Cloud / Firebase. Smluvním partnerem je Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irsko. Úložiště jsme záměrně zvolili v Evropské unii:

• Databáze (Cloud Firestore): multiregion Evropa (eur3)
• Serverové funkce (Cloud Functions): Frankfurt nad Mohanem (europe-west3)
• Úložiště souborů (Cloud Storage): region Evropa
• Vykreslování webu na serveru (Cloud Run): Belgie (europe-west1); statický obsah je doručován přes celosvětovou síť pro doručování obsahu (CDN) Firebase Hosting
• Přihlašování a správa uživatelů (Google Cloud Identity Platform / Firebase Authentication)

Při návštěvě webu se v serverových protokolech zpracovávají technicky nezbytné údaje (IP adresa, čas, požadovaná stránka, typ prohlížeče), aby bylo možné stránku doručit a zajistit bezpečnost (čl. 6 odst. 1 písm. f GDPR). Tyto protokoly se zpravidla mažou nejpozději po 30 dnech a nespojují se s jinými údaji.

Společnost Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA, zajišťuje překlad DNS pro terminy.net a slouží jako síť pro doručování obsahu (CDN) a ochrana před útoky pro aplikace salonů na subdoménách terminy.net a na vlastních doménách salonů; tento web samotný se přes Cloudflare nedoručuje. Při návštěvě aplikací salonů Cloudflare zpracovává IP adresy a technické údaje o připojení. Předání do USA je zajištěno standardními smluvními doložkami EU a certifikací Cloudflare v rámci EU-US Data Privacy Framework.

Transakční e-maily (např. potvrzení rezervace, připomínky, potvrzení přijetí žádosti o zkušební verzi) odesíláme přes Amazon Simple Email Service (SES) společnosti Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Lucemburk, z regionu Frankfurt nad Mohanem (eu-central-1).

Písmo tohoto webu doručujeme z vlastního serveru; při načtení stránky se nenavazuje žádné spojení s Google Fonts. Se všemi uvedenými poskytovateli máme uzavřeny smlouvy o zpracování osobních údajů podle čl. 28 GDPR.

4. Cookies a místní úložiště

Tento web používá pouze technicky nezbytné cookies a místní úložiště (volba jazyka, vaše rozhodnutí o cookies) na základě § 25 odst. 2 bodu 2 TDDDG a čl. 6 odst. 1 písm. f GDPR. Analytické ani marketingové nástroje v současnosti nepoužíváme. Podrobnosti k jednotlivým položkám a ke změně vaší volby najdete v našich Zásadách cookies.

5. Kontakt a žádost o zkušební verzi

Odešlete-li žádost přes formulář „Vyzkoušet zdarma“, zpracováváme tam uvedené údaje: název salonu, kontaktní e-mail, telefonní číslo (nepovinné), město/zemi, počet poboček, vaši zprávu (nepovinná) a zvolený jazyk.

Účelem je zodpovězení vaší žádosti a zřízení zkušebního přístupu (čl. 6 odst. 1 písm. b GDPR — opatření před uzavřením smlouvy). Žádost se ukládá v naší databázi v EU a přeposílá e-mailem do naší schránky info@terminy.net; obdržíte automatické potvrzení o přijetí.

Nedojde-li k uzavření smlouvy, žádost smažeme nejpozději 12 měsíců po posledním kontaktu. Totéž platí pro žádosti zaslané e-mailem, telefonicky nebo přes WhatsApp.

6. Účty salonů, smlouva a fakturace

U salonů, které používají platformu Terminy, zpracováváme jako správce: kmenové údaje salonu (název, adresa, pobočky), údaje administrátorských účtů (jméno, e-mail, telefonní číslo, přihlašovací údaje, role, časy přihlášení), smluvní údaje a údaje o balíčku, objednané doplňkové funkce, fakturační a platební údaje (faktury, stav platby, bankovní spojení při převodu) a protokoly administrátorských akcí pro bezpečnost a dohledatelnost.

Právním základem je plnění smlouvy (čl. 6 odst. 1 písm. b GDPR), zákonné archivační povinnosti (čl. 6 odst. 1 písm. c GDPR) a náš oprávněný zájem na bezpečném provozu a ochraně před zneužitím (čl. 6 odst. 1 písm. f GDPR).

Tyto údaje uchováváme po dobu trvání smlouvy; faktury a účetní doklady dále po dobu obchodněprávních a daňových archivačních lhůt (zpravidla 8 až 10 let). Po ukončení smlouvy se účet salonu a všechny související zákaznické údaje smažou — viz Smazání údajů.

7. Rezervační a věrnostní platforma pro salony (zpracování na základě pověření)

Salony používají Terminy k provozu on-line rezervací termínů, digitálních věrnostních karet (věrnostní body, VIP úrovně, poukazy), check-inů, připomínek a — pokud je aktivováno — chatových kanálů se svými zákazníky. Správcem těchto zákaznických údajů je příslušný salon. Terminy údaje zpracovává jako zpracovatel (čl. 28 GDPR) výhradně podle pokynů salonu.

Zpracovávané kategorie údajů (podle toho, jak salon platformu využívá):

• Kmenové údaje: jméno, e-mail, telefonní číslo, preferovaný jazyk, způsob přihlášení
• Údaje o rezervacích: termín, služba, pracovník, pobočka, storna, nedostavení se
• Věrnostní karta: věrnostní body, historie návštěv, VIP úroveň, poukazy, datum narození (pro narozeninové akce)
• Dobrovolné fotografie a texty, pokud salon nabízí AI funkce, jako je poradenství se stylem nebo odhad ceny (viz AI poradenství se stylem a odhad ceny)
• Údaje o tržbách a návštěvách k jednotlivým termínům, pokud salon připojil svůj pokladní software App TT (viz Pokladní software App TT)
• Chatové zprávy a média přes WhatsApp nebo Instagram (viz Integrace Meta a AI recepce)
• Technické údaje (zařízení/prohlížeč, časové údaje) v rozsahu nutném pro provoz

Technická a organizační opatření: přísné oddělení údajů jednotlivých salonů (každý salon vidí výhradně vlastní údaje), přístupová pravidla na straně serveru, šifrovaný přenos (TLS), šifrování uložených dat u Google Cloud, protokolování citlivých operací a automatické kontroly promíchání dat mezi salony.

Doba uložení: podle pokynů salonu; nejpozději se smazáním účtu salonu se smažou všechny související zákaznické údaje. Zákazníci mohou o smazání svého účtu požádat u salonu nebo u nás na info@terminy.net (viz Smazání údajů). Používané dílčí zpracovatele uvádíme v části Příjemci a dílčí zpracovatelé.

8. AI poradenství se stylem a AI odhad ceny (OpenAI)

Salony mohou ve své aplikaci věrnostní karty nabízet další AI funkce: poradenství se stylem, při kterém dobrovolně posíláte fotografie svých nehtů a textové zprávy, odhad ceny podle fotografie a strojový překlad volně zadaných textů (například důvodu zrušení termínu) pro tým salonu.

Používaný poskytovatel: OpenAI, L.L.C. (USA), resp. OpenAI Ireland Ltd. (Irsko) jako smluvní partner pro EU (modely „GPT“ přes OpenAI API). Předávají se vámi odeslané fotografie a texty a údaje salonu potřebné pro danou funkci (například služby a ceny).

Přístup a role OpenAI: tyto funkce zpravidla běží přes API klíč OpenAI, který si uložil sám salon; OpenAI je pak zpracovatelem salonu, údaje se však předávají přes naše servery v EU. Pokud je funkce poskytována přes náš vlastní přístup k OpenAI, je OpenAI naším dílčím zpracovatelem. V obou případech platí OpenAI Business Terms včetně Data Processing Addendum a standardních smluvních doložek EU (čl. 46 odst. 2 písm. c GDPR). OpenAI údaje předané přes API nepoužívá k trénování svých modelů a uchovává je zpravidla nejvýše 30 dnů pro kontrolu zneužití. Zpracování probíhá v USA.

Právní základ a uložení: použití je dobrovolné a probíhá z vašeho podnětu; právním základem na straně salonu je čl. 6 odst. 1 písm. b GDPR. U nás se odeslané fotografie a texty zpracovávají v EU a mažou nejpozději se smazáním vašeho zákaznického účtu.

9. Integrace Meta (WhatsApp / Instagram)

Salony mohou k Terminy připojit svůj účet WhatsApp Business a/nebo účet Instagram, aby zprávy jejich zákazníků přicházely do Terminy a byly odtud zodpovídány — týmem salonu nebo AI recepcí (viz další část). Připojení si salon zřizuje sám přes oficiální přihlašovací postupy Meta (WhatsApp Embedded Signup, resp. Instagram Login); Terminy přitom získá přístupový token omezený na daný salon.

Údaje, které od Meta přijímáme: telefonní číslo (WhatsApp), resp. ID a uživatelské jméno účtu Instagram, název profilu, čas, obsah zprávy (text), odeslané obrázky a další média, stav doručení a technické identifikátory zprávy a účtu.

Účel: zodpovídání dotazů zákazníků, rezervace, změna a zrušení termínů přes chat a přiřazení k věrnostní kartě salonu. Právním základem na straně salonu je zpravidla čl. 6 odst. 1 písm. b GDPR (jednání o smlouvě o službách a její plnění), resp. čl. 6 odst. 1 písm. f GDPR (komunikace se zákazníky).

Uložení: zprávy a média se ukládají v naší databázi, resp. úložišti souborů v EU. Přístupové tokeny salonu se ukládají výhradně na straně serveru v EU a z koncových zařízení je nelze získat. Chatové zprávy mažeme po 180 dnech, média po 90 dnech. Při odpojení se přístupové tokeny okamžitě smažou.

Role Meta: u WhatsApp vystupuje Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irsko, v rámci WhatsApp Business Platform jako zpracovatel salonu (WhatsApp Business Data Processing Terms). U přímých zpráv na Instagramu je Meta samostatným správcem pro zpracování uvnitř platformy Instagram; platí zásady ochrany osobních údajů Meta. Jaké další údaje o vás WhatsApp nebo Instagram zpracovávají (např. metadata, informace o zařízení), určuje Meta; salon ani Terminy na to nemají vliv.

Terminy nepoužívá údaje získané přes Meta pro vlastní účely ani pro reklamu a nepředává je třetím stranám — s výjimkou zpracování společností Anthropic popsaného v části AI recepce, pokud salon AI recepci aktivoval.

10. AI recepce

Salony mohou aktivovat „AI recepci“: AI asistent pak automaticky odpovídá na příchozí chatové zprávy, sděluje otevírací dobu a ceny, kontroluje volné termíny a na přání zákazníka termíny rezervuje, přesouvá nebo ruší. Asistent se na začátku každé konverzace představí jako AI. Kdykoli můžete požádat o rozhovor s člověkem ze salonu — například tím, že to napíšete do konverzace; konverzace se poté předá týmu salonu.

Používaný poskytovatel: Anthropic, PBC, 548 Market Street, PMB 90375, San Francisco, CA 94104, USA (modely „Claude“). Společnosti Anthropic se předává obsah konverzace (texty zpráv, případně odeslané obrázky), informace uložené salonem (služby, ceny, pravidla), jméno zákazníka a údaje o termínech relevantní pro dotaz (volné časy, existující termíny). Kontaktní údaje, jako jsou telefonní čísla, se předávají pouze tehdy, je-li to pro danou operaci nezbytné.

Smluvní základ a ochrana údajů: Anthropic využíváme přes komerční rozhraní na základě Anthropic Commercial Terms of Service včetně Data Processing Addendum a standardních smluvních doložek EU (čl. 46 odst. 2 písm. c GDPR). Anthropic předané údaje nepoužívá k trénování svých modelů a vstupy i výstupy zpravidla maže do 30 dnů. Zpracování společností Anthropic probíhá v USA; zpracování mimo EU nelze u této služby v současnosti vyloučit.

Právní základ: AI recepci aktivuje příslušný salon. Právním základem je čl. 6 odst. 1 písm. b GDPR (vyřízení vaší žádosti o termín) a čl. 6 odst. 1 písm. f GDPR (oprávněný zájem salonu na rychlém zodpovězení dotazů i mimo otevírací dobu). Nedochází k automatizovanému rozhodování s právními účinky ve smyslu čl. 22 GDPR; termíny se rezervují pouze na vaši výslovnou žádost a tým salonu je může kdykoli opravit.

Uložení: konverzace s AI se ukládají v EU jako všechny chatové zprávy (viz Integrace Meta). Salon může do své znalostní báze převzít obecné informace o službách nebo pravidlech odvozené z konverzací; osobní poznámky k jednotlivým zákazníkům se ukládají pouze z podnětu týmu salonu.

Ochrana před náklady a zneužitím: pro omezení nákladů a zneužití evidujeme za každý salon počet AI dotazů a spotřebované výpočetní jednotky (tokeny) — bez obsahu zpráv. Tyto údaje o využití uchováváme pro účely fakturace.

11. Pokladní software a evidence tržeb App TT (pokud ji salon připojil)

Salony mohou Terminy propojit s pokladním softwarem a evidencí tržeb „App TT“, aby se návštěvy odbavené přes Terminy automaticky zaúčtovaly v jejich evidenci tržeb. Je-li propojení aktivní, předáváme za každou návštěvu: jméno zákazníka, poskytnuté služby a částky, uplatněné věrnostní body nebo poukazy, měnu, obsluhujícího pracovníka a pobočku. Telefonní čísla, e-mailové adresy ani obsah chatu se nepředávají.

App TT běží v samostatném projektu Google Cloud, jehož serverové funkce jsou provozovány v regionu us-central1 (Iowa, USA). Předání probíhá šifrovaně a je zajištěno Google Cloud Data Processing Terms, standardními smluvními doložkami EU a certifikací Google LLC v rámci EU-US Data Privacy Framework. Správcem údajů o tržbách zůstává salon; v App TT se ukládají podle jeho pokynů, doklady o tržbách po obchodněprávní a daňové archivační lhůty.

12. Přehled právních základů

13. Příjemci a dílčí zpracovatelé

Nad tento rámec předáváme osobní údaje pouze tehdy, jsme-li k tomu ze zákona povinni (např. orgánům veřejné moci), nebo pokud jste s tím souhlasili. K předávání pro reklamní účely nedochází.

14. Předávání do třetích zemí

Klíčová infrastruktura platformy Terminy (databáze, serverové funkce, úložiště souborů, přihlašování) se nachází v EU. K předávání do USA dochází u Cloudflare (technické údaje o připojení k aplikacím salonů), u Anthropic (AI recepce, pouze pokud ji salon aktivoval), u OpenAI (AI poradenství se stylem a odhad ceny, pouze pokud je salon nabízí), u pokladního softwaru App TT (pouze pokud jej salon připojil), přes celosvětovou CDN Firebase Hosting (statický obsah tohoto webu) a případně u Meta v rámci WhatsApp a Instagramu. Je zajištěno standardními smluvními doložkami EU (čl. 46 odst. 2 písm. c GDPR) a — je-li příslušný poskytovatel certifikován — rámcem EU-US Data Privacy Framework (rozhodnutí Evropské komise o odpovídající ochraně, čl. 45 GDPR).

15. Doba uložení

• Serverové protokoly: zpravidla nejvýše 30 dnů
• Žádosti o zkušební verzi bez uzavření smlouvy: nejvýše 12 měsíců po posledním kontaktu
• Účty salonů: doba trvání smlouvy; faktury a účetní doklady po zákonné lhůty (zpravidla 8 až 10 let)
• Zákaznické údaje salonů: podle pokynů salonu, nejpozději do smazání účtu salonu
• Chatové zprávy: 180 dnů; chatová média: 90 dnů
• Údaje u Anthropic (AI recepce): zpravidla nejvýše 30 dnů
• Údaje u OpenAI (AI poradenství se stylem, odhad ceny): zpravidla nejvýše 30 dnů
• Údaje o tržbách v pokladním softwaru App TT: podle pokynů salonu; doklady o tržbách po zákonné archivační lhůty
• Údaje o využití AI (počítadla bez obsahu): po dobu fakturačních archivačních lhůt

16. Vaše práva

Vůči příslušnému správci máte právo na:

• Přístup k údajům, které o vás uchováváme (čl. 15 GDPR)
• Opravu nepřesných údajů (čl. 16 GDPR)
• Výmaz vašich údajů (čl. 17 GDPR)
• Omezení zpracování (čl. 18 GDPR)
• Přenositelnost údajů (čl. 20 GDPR)
• Námitku proti zpracování založenému na oprávněných zájmech (čl. 21 GDPR)
• Odvolání uděleného souhlasu s účinky do budoucna (čl. 7 odst. 3 GDPR)

Pro uplatnění svých práv se obraťte na info@terminy.net — u údajů, které jako správce zpracovává salon, přednostně na salon; salonu při vyřízení vaší žádosti pomáháme. Máte rovněž právo podat stížnost u dozorového úřadu pro ochranu osobních údajů (čl. 77 GDPR), zejména u úřadu v místě vašeho bydliště nebo v sídle správce.

Jak smazat chatové konverzace, věrnostní karty nebo celé účty salonů, popisujeme krok za krokem v části Smazání údajů.

17. Zabezpečení údajů

Používáme technická a organizační opatření na ochranu vašich údajů před ztrátou, manipulací a neoprávněným přístupem: šifrovaný přenos (TLS), přístupová pravidla na straně serveru pro každý salon, provádění citlivých operací výhradně přes ověřené serverové funkce, omezení přístupu k tokenům a klíčům na serverové prostředí a pravidelné automatické kontroly oddělení dat. Naše služby nejsou určeny dětem mladším 16 let.

18. Změny těchto zásad

Tyto zásady upravujeme, jakmile se změní platforma, používaní poskytovatelé služeb nebo právní požadavky. Aktuální znění je vždy k dispozici na https://terminy.net/legal/datenschutz; datum v záhlaví stránky ukazuje stav poslední aktualizace.