DATA PROTECTION POLICY

in accordance with:
Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016
on the protection of natural persons with regard to the processing of personal data and on the free movement of such data,
and repealing Directive 95/46/ES
(General Data Protection Regulation)
hereinafter: „GDPR Regulation“, „Regulation“ or just:„GDPR“


1. Company:
Otto DIY Workshop s.r.o.
ID no.: 08237841
residing on the address Nové Sady 988/2, Staré Brno, 602 00 Brno
registered in the Commercial Registry at the Regional Court in Brno, section C, file 112621
represented by the managing director Tereza Švarcová

tel.:+420 736469642
e-mail: privacy@ottodiy.com
webové stránky: https://www.ottodiy.com/

(hereinafter the „Company“)

is the controller of the personal data of the data subjects, i.e. the body which determines the purposes and means of the processing of personal data of the data subjects.

2. Data subjects are understood in the sense of the Article 4 Paragraph 1 of the Regulation as the persons whose personal data are processed. These data subjects are namely:

customers making a purchase via the e-shop of the Company,

hereinafter „Customers“ or „Personal Data Subjects“.

3. The Company processes the following personal data of the Personal Data Subjects (Customers):

a) name and surname
b) address (shipping and/or billing),
c) identification number
d) tax identification number
e) phone number
f) e-mail address
g) bank account number.

4. The Data Subject is obliged to transmit their personal data specified in Paragraph 3 letters a), b), e) and f), without transmitting this personal data it is not possible to send the electronic order on the website of the Controller (and therefore conclude the Purchase Agreement for goods), nor is it possible to conclude a Purchase Agreement with the Controller individually (outside of the electronic order). Personal Data specified in Paragraph 3 letters c) and d) have to be transmitted only by the Data Subject acting in the course of their business (as an entrepreneur). Personal Data specified in Paragraph 3 letter g) has to be transmitted by the Data Subject only if it is necessary for a payment refund from the Controller; if the Data Subject pays via bank transfer, the Controller shall receive the information about the bank account number of the Data Subject from their bank statement.

5. The reason and legal basis for the processing of Personal Data of the Personal Data Subjects are:
Article 6 Paragraph 1 Letter b) of the GDPR, namely that processing is necessary for the performance of a contract to which the data subject is party or in order to take steps at the request of the data subject prior to entering into a contract.
- this applies to the personal data specified in Article 3 Letters a), b), c), e), f) and g)

Processing of the data specified in Article 3 Letters a), b) and c) is necessary because these are basic data of the Data Subject, without which the subject cannot be identified and the ordered goods cannot be delivered.

Processing of the data specified in Article 3 Letter e) (phone number) is necessary contact information for the customs authorities of the Data Subject, who may use the data to contact the Data Subject and communicate with them about the clearance of the goods when entering the country of destination. The data is transmitted to these authorities by the carrier of the goods, to whom the data is transmitted by the supplier of the goods in the People’s Republic of China (PRC). This data is necessary also for the Controller, for the supplier of the goods in PRC and for the carrier with the purpose of necessary communication regarding the transportation of the goods.

Processing of the data specified in Article 3 Letter f) (e-mail address) is necessary contact information for the purpose of communication between the Controller (Seller) and the Data Subject (Buyer). E-mail serves as means of distance communication for concluding the Purchase Agreement and for further legal actions or related communication between the Controller (Seller) and the Data Subject (Buyer).

Processing of the data specified in Article 3 Letter g) (bank account number) is necessary contact information if it is necessary to refund the payment received by the Controller back to the Data Subject.

Article 6 Paragraph 1 Letter c) of the GDPR, namely that processing is necessary for compliance with a legal obligation to which the controller is subject, namely for the purposes of processing and keeping accounts/tax records.
- this applies to the personal data specified in Paragraph 3 Letters a), b), c) and d).

6. The personal data of the Personal Data Subject shall be processed by the Company for the period of time necessary for exercising of rights and obligations resulting from the contractual relationship between the Company and the Personal Data Subject and for making claims based on such contractual relationship and further for 10 years after the termination of the contractual relationship. The Controller shall delete the personal data upon expiry of the retention period.

7. The personal data specified in Paragraph 3 Letters a), b) and e) shall be transferred to the supplier of the Controller in PRC, for which the Commission has not issued a decision about an adequate level of personal data protection according to the Article 45 of the GDPR. The transfer of the personal data is therefore based on a derogation in the sense of the provisions of Article 49 Paragraph 1 Letter b) of the GDPR, according to which the transfer is necessary for the performance of a contract between the data subject and the controller.

8. At present time the Company does not have any employees and the personal data is therefore processed directly by the statutory body of the Company and by the associates of the Company. If the Company has employees in the future and if these employees have access to the personal data due to the scope of their work, they will be bound by the obligation of secrecy to the Company.

9. Apart from the Data Subjects themselves, their personal data may further be transmitted to:

the Controller’s supplier in PRC, who is responsible for the shipment of the goods from PRC to the customers (this supplier only receives the data specified in Paragraph 3 Letters a), b) and e)),
the carrier of the goods ordered by the Data Subject (who only receives the data specified in Paragraph 3 Letters a), b) and e)),
public authorities of the country of destination (especially the customs authorities),
external accountant of the Company (billing information),
lawyer of the Company,
public authorities (court, law enforcement and criminal justice etc.),
distrainor or insolvency administrator.

10. Personal data of the Personal Data Subject are obtained directly from the Personal Data Subject.

11. Personal Data Subject shall have the right to access the personal data within the meaning of Article 15 of the Regulation. This includes the right to obtain from the Company confirmation as to whether or not personal data concerning him or her are being processed, and, where that is the case, access to the personal data and the following information:

list of personal data that are being processed,
the purposes of the processing of this personal data,
the recipients or categories of recipient to whom the personal data have been or will be disclosed,
where the personal data are not collected from the data subject, any available information as to their source,
the envisaged period for which the personal data will be processed or the criteria used to determine that period,
the existence of the right to request from the Company rectification/completion of the personal data within the meaning of Article 16 of the Regulation, the right to request erasure of the personal data (right to be forgotten) within the meaning of Article 17 of the Regulation, the right to restriction of processing of the personal data within the meaning of Article 18 of the Regulation, the right to object to processing of personal data within the meaning of Article 21 of the Regulation, the right to data portability within the meaning of Article 20 of the Regulation, the right to lodge a complaint with a supervisory authority within the meaning of Article 77 of the regulation and the right to a judicial remedy of the personal data subject within the meaning of Articles 78 and 79 of the Regulation.

The request to exercise the right of the Personal Data Subject under this Article shall be sent by the Personal Data Subject to the e-mail address of the Company and the Company shall send the requested data to the e-mail address of the Personal Data Subject, from which the request has been sent. Where Personal Data Subject sends the request in paper format, and where he or she requests the information under this Article in paper format (or where he or she does not provide contact e-mail where he or she can receive the information under this Article in electronic form), he or she shall be charged an administrative fee of 4 EUR by the Company.

The Company is obliged to respond in written form to requests from the Data Subject within the meaning of this Article without undue delay and at the latest within one month since the day of receiving the request; in case of special circumstances at the latest within two months since the day of receiving the request. Where response is delayed within the meaning of the previous sentence after the semicolon, the Company is obliged to inform the Data Subject within one month since the day of receiving the request and to include the reasons for the delay.

Where the Data Subject requests, the Company is obliged to issue him or her a copy of the personal data being processed, primarily in electronic form. Where the Personal Data Subject requests a copy in paper form, or where he or she does not provide to the Company an e-mail address for this purpose, the Company shall provide a copy in paper form. The Company charges an administrative fee of 0.2 EUR per paper for issuing a copy in paper form.

12. The Personal Data Subject has the right to request from the Company the rectification or completion of personal data within the meaning of Article 16 of the Regulation:

- by phone on the phone number specified in Article 1,
- on the e-mail address specified in Article 1,
- in paper form on the residing address of the Company.

Where the Personal Data Subject requests from the Company a reaction in witten form, he or she is obliged to send the request for exercising the right under this article in written form (to the e-mail address of the Company or in paper form - see above). The Company shall perform the rectification or completion and shall send to the e-mail address of the Personal Data Subject, from which the request has been sent, a confirmation of the rectification/completion. Where the Personal Data Subject sends the request in paper form and requests sending the information under this Article in paper form (or where he or she does not provide a contact e-mail address where the information under this Article can be sent in electronic form), he or she shall be charged an administrative fee of 4 EUR by the Company.

The Company is obliged to provide on request of the Personal Data Subject information about measures taken in relation to his or her request under this article without undue delay and at the latest within one month since the day of receiving the request; in case of special circumstances at the latest within two months since the day of receiving the request. Where response is delayed within the meaning of the previous sentence after the semicolon, the Company is obliged to inform the Data Subject within one month since the day of receiving the request and to include the reasons for the delay.


13. Personal Data Subject has the right to request from the Company erasure of his or her personal data (right to be forgotten) within the meaning of Article 17 of the Regulation, only if:

the personal data are no longer necessary in relation to the purposes for which they are processed,
there is no legal ground for the processing of the data,
the personal data have been unlawfully processed,
the personal data have to be erased for compliance with a legal obligation.

Even when fulfilling the conditions specified above, the Personal Data Subject does not have the right to erasure of personal data when the processing is necessary:

for exercising the right of freedom of expression and information,
for compliance with a legal obligation under valid and effective legal regulations or for the performance of a task carried out in the public interest or in the exercise of official authority,
for archiving purposes in the public interest, scientific or historical research purposes or statistical purposes,
for reasons of public interest in the area of public health,
for the establishment, exercise or defence of legal claims.

The request to exercise the right of the Personal Data Subject under this Article shall be sent by the Personal Data Subject to the e-mail address of the Company and the Company shall send the requested data to the e-mail address of the Personal Data Subject, from which the request has been sent. Where Personal Data Subject sends the request in paper format, and where he or she requests the information under this Article in paper format (or where he or she does not provide contact e-mail where he or she can receive the information under this Article in electronic form), he or she shall be charged an administrative fee of 4 EUR by the Company.

The Company is obliged to provide on request of the Personal Data Subject information about measures taken in relation to his or her request under this article without undue delay and at the latest within one month since the day of receiving the request; in case of special circumstances at the latest within two months since the day of receiving the request. Where response is delayed within the meaning of the previous sentence after the semicolon, the Company is obliged to inform the Data Subject within one month since the day of receiving the request and to include the reasons for the delay.

14. Personal Data Subject has the right to request from the Company restriction of processing of his or her personal data within the meaning of Article 18 of the Regulation, only if:

the accuracy of the personal data is contested by the data subject, for a period enabling the Company to verify the accuracy of the personal data; this personal data shall for the time of restriction of processing be processed only within the meaning of storing for the establishment, exercise or defence of legal claims, for reasons of important public interest, for the protection of the rights of another natural or legal person or with the Personal Data Subject’s consent.
the processing is unlawful and the personal data subject does not want to exercise the right to be forgotten within the meaning of Article 17 of the Regulation and request the restriction instead
the Company no longer needs the personal data of the Personal Data Subject for the purposes of the processing, but they are required by the Data Subject for the establishment, exercise or defence of legal claims.

Where the Personal Data Subject exercises this right, the Company is obliged to inform him or her that the restriction of processing shall be lifted before it is lifted.

The Company is obliged to inform each recipient to whom the personal data of the Personal Data Subject has been disclosed about any rectification, erasure or restriction of processing of the personal data.

The request to exercise the right of the Personal Data Subject under this Article shall be sent by the Personal Data Subject to the e-mail address of the Company and the Company shall send the requested data to the e-mail address of the Personal Data Subject, from which the request has been sent. Where Personal Data Subject sends the request in paper format, and where he or she requests the information under this Article in paper format (or where he or she does not provide contact e-mail where he or she can receive the information under this Article in electronic form), he or she shall be charged an administrative fee of 4 EUR by the Company.

The Company is obliged to provide on request of the Personal Data Subject information about measures taken in relation to his or her request under this article without undue delay and at the latest within one month since the day of receiving the request; in case of special circumstances at the latest within two months since the day of receiving the request. Where response is delayed within the meaning of the previous sentence after the semicolon, the Company is obliged to inform the Data Subject within one month since the day of receiving the request and to include the reasons for the delay.


15. The Personal Data Subject shall have the right to data portability within the meaning of Article 20 of the Regulation, which includes the right to receive the personal data concerning him or her, in a structured, commonly used and machine-readable format and have the right to transmit those data to another controller where the processing is carried out by automated means. Where technically feasible, the data subject shall have the right to request the Company to transmit those personal data directly to another controller.

The request to exercise the right of the Personal Data Subject under this Article shall be sent by the Personal Data Subject to the e-mail address of the Company and the Company shall send the requested data to the e-mail address of the Personal Data Subject, from which the request has been sent. Where Personal Data Subject sends the request in paper format, and where he or she requests the information under this Article in paper format (or where he or she does not provide contact e-mail where he or she can receive the information under this Article in electronic form), he or she shall be charged an administrative fee of 4 EUR by the Company.

The Company is obliged to provide on request of the Personal Data Subject information about measures taken in relation to his or her request under this article without undue delay and at the latest within one month since the day of receiving the request; in case of special circumstances at the latest within two months since the day of receiving the request. Where response is delayed within the meaning of the previous sentence after the semicolon, the Company is obliged to inform the Data Subject within one month since the day of receiving the request and to include the reasons for the delay.

16. Where the Company does not take the measures requested by the Personal Data Subject, the Company is obliged to inform the Personal Data Subject about the reasons at the latest within one month since the day of receiving the request.

17. The Personal Data Subject shall have the right to lodge a complaint with a data protection authority within the meaning of Article 77 of the Regulation if he or she thinks that processing of his or her personal data lead to an infringement of the Regulation. The personal data subject shall have the right to an effective judicial remedy against a legally binding decision of the data protection authority or where the authority does not process the complaint and does not inform the Personal Data Subject about the processing of the complaint within three months since the day of lodging the complaint.

The contact of the Czech data protection authority is:

Úřad pro ochranu osobních údajů
residing at: Pplk. Sochora 27, 170 00 Praha 7
tel.: +420 234 665 111
web: www.uoou.cz

18. Personal Data Subject shall have the right to judicial remedy against the data protection authority and the Company as the controller of personal data. Further information about exercising the right to judicial remedy are specified in Articles 78 and 79 of the Regulation.

19. Where a personal data protection breach is likely to result in a high risk to the rights and freedoms of the Personal Data Subject (with the exception of cases where Article 34 of the GDPR regulation does not require the Company to undergo this process), the Company is obliged to notify the supervisory authority of any personal data breach without undue delay and not later than 72 hours after having become aware of it. Where the notification to the supervisory authority is not made within 72 hours, it shall be accompanied by reasons for the delay. The rule concerning the obligation to notify the supervisory authority of the data breach shall not be used if the breach is unlikely to result in a risk to the rights and freedoms of the Data Subjects. The notification to the data protection authority has to contain the essential information specified in Article 33 of the GDPR Regulation.




…………………………………….……………………
Otto DIY Workshop s.r.o.
Mgr. Tereza Švarcová
(managing director)





ZÁSADY OCHRANY OSOBNÍCH ÚDAJŮ


dle:
nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016
o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů
a o zrušení směrnice 95/46/ES
(obecné nařízení o ochraně osobních údajů)
dále také jen: „Nařízení GDPR“, „Nařízení“nebo jen:„GDPR“


1. Společnost:
Otto DIY Workshop s.r.o.
IČO: 08237841
se sídlem Nové Sady 988/2, Staré Brno, 602 00 Brno
vedená u Krajského soudu v Brně, oddíl C, vložka 112621
zastoupená jednatelkou Mgr. Terezou Švarcovou

tel.:+420 736723321
e-mail: privacy@ottodiy.com
webové stránky: https://www.ottodiy.com/

(dále také jen: „Společnost“)

je správcem osobních údajů subjektů údajů, tedy subjektem, jenž určuje účely a prostředky zpracování osobních údajů subjektu údajů.

2. Subjekty údajů se rozumí ve smyslu čl. 4 odst. 1 Nařízení osoby, jejichž osobní údaje jsou zpracovávány. Těmito subjekty údajů jsou:

zákazníci nakupující prostřednictvím e-shopu Společnosti,

tito dále také jen „zákazníci“ nebo „subjekty osobních údajů“.

3. Společnost zpracovává následující osobní údaje subjektů osobních údajů (zákazníků):

a) jméno a příjmení, případně titul,
b) adresa (dodací a/nebo fakturační),
c) IČO,
d) DIČ,
e) telefonní číslo,
f) e-mailová adresa,
g) bankovní účet.

4. Subjekt údajů má povinnost předat osobní údaje v odst. 3 písm. a), b), e) f); bez předání těchto osobních údajů není možné odeslat elektronickou objednávku na webových stránkách správce (a tedy dosáhnout uzavření kupní smlouvy na zboží), ani uzavřít kupní smlouvu se správcem individuálně (mimo elektronickou objednávku). Osobní údaje v odst. 3 písm. c), d); je povinen poskytnout pouze subjekt údajů, který vystupuje v rámci svého podnikání (jako podnikatel). Osobní údaj v odst. 3 písm. g) je povinen subjekt údajů předat, jen je-li to nezbytné pro vrácení platby ze strany správce údajů; platí-li subjekt údajů převodem z účtu, získá správce údajů informaci o čísle bankovního účtu subjektu údajů z výpisu svého bankovního účtu.

5. Účelem a právním základem pro zpracování osobních údajů subjektů osobních údajůje:

čl. 6 odst. 1 písm. b) GDPR, tedy že zpracování je nezbytné pro plnění smlouvy, jejíž smluvní stranou je subjekt údajů, nebo pro provedení opatření přijatých před uzavřením smlouvy na žádost tohoto subjektu údajů
- týká se osobních údajů specifikovaných v odst.3 pod písm.: a), b), c), e), f), g)

Zpracování údajů dle odst. 3 písm. a), b), c) je nezbytné, neboť se jedná o základní údaje subjektu údajů, bez nichž nelze subjekt identifikovat a objednané zboží doručit.

Zpracování údaje dle odst. 3 písm. e) (telefonní číslo) je nezbytným kontaktním údajem pro orgány celní správy subjektu údajů, které se touto formou se subjektem údajů spojí a komunikují s ním proclení zboží do země určení; těmto orgánům předává telefonní číslo přepravce zboží, kterému bylo sděleno dodavatelem zboží v Čínské lidové republice; tento údaj je nezbytný rovněž pro správce údajů, dodavatele zboží v Čínské lidové republice a přepravce zboží za účelem nezbytné komunikace týkající se přepravy zboží.

Zpracování údaje dle odst. 3 písm. f) (e-mail) je nezbytným kontaktním údajem pro účely komunikace mezi správcem údajů (prodávajícím) a subjektem údajů (kupujícím); e-mail slouží jako prostředek komunikace na dálku k uzavření kupní smlouvy a dalším souvisejícím právním jednáním či související komunikaci mezi správcem údajů (prodávajícím) a subjektem údajů (kupujícím).

Zpracování údaje dle odst. 3 písm. g) (bankovní účet) je nezbytným kontaktním údajem v případě potřeby vrátit platbu, kterou správce údajů přijal, subjektu údajů zpět.

čl. 6 odst. 1 písm. c) GDPR, tedy že zpracování je nezbytné pro splnění právní povinnosti správce osobních údajů, konkrétně pro účely zpracování a vedení účetnictví/daňové evidence
- týká se osobních údajů specifikovaných v odst. 3 pod písm.: a), b), c), d).

6. Osobní údaje subjektu osobních údajů zpracovává Společnost po dobu nezbytnou k výkonu práv a povinností vyplývajících ze smluvního vztahu mezi Společností a subjektem osobních údajů a uplatňování nároků z těchto smluvních vztahů a dále po dobu 10 let od ukončení smluvního vztahu. Po uplynutí doby uchovávání osobních údajů správce osobní údaje vymaže.

7. Osobní údaje dle odst. 3 písm. a), b), e) budou předány dodavateli správce údajů do Čínské lidové republiky, ohledně níž Komise nevydala rozhodnutí o odpovídající úrovni ochrany osobních údajů dle čl. 45 GDPR. Předání osobních údajů je tak založeno na výjimce ve smyslu ustanovení čl. 49 odst. 1 písm. b) GDPR, dle kterého je předání nezbytné pro splnění smlouvy mezi subjektem údajů a správcem.

8. V současné době nemá Společnost žádné zaměstnance a osobní údaje tak zpracovává přímo statutární orgán Společnosti a Společníci společnosti. Bude-li mít Společnost zaměstnance a budou-li mít tito zaměstnanci s ohledem na své pracovní zařazení k osobním údajům přístup, budou Společnosti zavázáni povinností mlčenlivosti.

9. Mimo samotný subjekt údajů mohou být jeho osobní údaje dále předány:

dodavateli správce údajů v Čínské lidové republice, který odpovídá za zaslání zboží zákazníkům z Čínské lidové republiky (tomuto dodavateli jsou předávány výlučně údaje dle odst. 3 písm. a), b), e)),
přepravci subjektem údajů objednaného zboží (tomuto jsou předávány výlučně údaje dle odst. 3 písm. a), b), e)),
orgánům veřejné moci země, kam je zboží určeno (zejm. orgánům celní správy),
externí účetní Společnosti (fakturační údaje),
advokátovi Společnosti,
orgánům veřejné moci (soud, orgány činné v trestním řízení, apod.),
soudnímu exekutorovi nebo insolvenčnímu správci.

10. Osobní údaje subjektu osobních údajů jsou získávány odsamotného subjektu osobních údajů.

11. Subjekt osobních údajůmá ve smyslu čl. 15 Nařízeníprávo na přístup k osobním údajům. Toto zahrnuje právo získat od Společnosti potvrzení, zda dochází ke zpracování jeho osobních údajů, a pokud je zpracovává, pak právo získat přístup k těmto údajům a k následujícím informacím:

seznam osobních údajů, které jsou zpracovány,
účel zpracování těchto osobních údajů,
příjemci nebo kategorie příjemců, kterým osobní údaje subjektu osobních údajůbyly nebo budou zpřístupněny,
zdroje osobních údajů, nebyly-li získány přímo od subjektů osobních údajů,
doba zpracování osobních údajů či způsob jejího určení,
existence práva požadovat po Společnosti opravu/doplnění osobních údajů ve smyslu čl. 16 Nařízení, práva požadovat výmaz osobních údajů (právo být zapomenut) ve smyslu čl. 17 Nařízení, práva na omezení zpracování osobních údajů ve smyslu čl. 18 Nařízení, práva vznést námitku proti zpracování osobních údajů ve smyslu čl. 21 Nařízení, práva na přenositelnost svých osobních údajů ve smyslu čl. 20 Nařízení, práva podat stížnost u dozorového úřadu ve smyslu čl. 77 Nařízení a práva na soudní ochranu subjektu osobních údajů ve smyslu čl. 78 a 79 Nařízení.

Žádost o uplatnění práva subjektu osobních údajů podle tohoto článku zašle subjekt osobních údajů na e-mailovou adresuSpolečnostis tím, že Společnost požadované údaje zašle na e-mailovou adresu subjektu osobních údajů, z níž byla žádost odeslána.Zašle-li subjekt osobních údajů žádost v listinné podobě, a požádá-li zároveň o zaslání informace dle tohoto článku v listinné podobě (případně neuvede-li kontaktní e-mail, kam mu bude možné informace dle tohoto článku zaslat v elektronické podobě), bude mu Společností naúčtován administrativní poplatek ve výši 100,- Kč.

Společnost je povinna na žádost subjektu osobních údajů ve smyslu tohoto článku písemně odpovědět bez zbytečného odkladu, nejpozději do jednoho (1) měsíce ode dne obdržení žádosti; v případech, kdy to odůvodňují zvláštní okolnosti, nejpozději do dvou (2) měsíců ode dne obdržení žádosti. Dojde-li k odkladu odpovědi ve smyslu předchozí věty za středníkem, je Společnost povinna o tom subjekt údajů informovat do jednoho (1) měsíce ode dne obdržení žádosti, včetně uvedení důvodů pro takový odklad.

Pokud o to subjekt osobních údajů požádá, je Společnost povinna mu vydat i kopii osobních údajů, které zpracovává, a to primárně v elektronické podobě. Požádá-li však subjekt osobních údajů o předání kopií v listinné podobě, případně neposkytne-li Společnosti pro tento účel e-mailovou adresu, poskytne Společnost kopie v listinné podobě. Za poskytnutí kopií v listinné podobě účtuje Společnost administrativní poplatek ve výši5,- Kč/list.

12. Subjekt osobních údajů má právo po Společnosti požadovat opravu či doplnění osobních údajůve smyslu čl. 16 Nařízení, a to:

- telefonicky na tel. číslo specifikované v bodě 1,
- na e-mailovou adresu specifikovanou v bodě 1,
- v listinné podobě na adresu sídla Společnosti.

Požaduje-li subjekt osobních údajůze strany Společnosti písemnou reakci, je povinen žádost o uplatnění práva podle tohoto článku zaslatpísemně (na e-mailovou adresu Společnosti nebo v listinné podobě - viz výše), s tím, že Společnost opravu či doplnění provede, a subjektu osobních údajůzašlena jeho e-mailovou adresu, z níž byla žádost odeslána, potvrzení o provedení opravy/doplnění. Zašle-li subjekt osobních údajů žádost v listinné podobě, a požádá-li zároveň o zaslání informace dle tohoto článku v listinné podobě (případně neuvede-li kontaktní e-mail, kam mu bude možné informace dle tohoto článku zaslat v elektronické podobě), bude mu Společností naúčtován administrativní poplatek ve výši 100,- Kč.

Společnost je povinnaposkytnout na žádost subjektu osobních údajůinformace o opatřeních přijatých v souvislosti s jeho žádostí dle tohoto článku, a to bez zbytečného odkladu, nejpozději do jednoho (1) měsíce ode dne obdržení žádosti; v případech, kdy to odůvodňují zvláštní okolnosti, nejpozději do dvou (2) měsíců ode dne obdržení žádosti. Dojde-li k odkladu odpovědi ve smyslu předchozí věty za středníkem, je Společnost povinna o tom subjekt osobních údajůinformovat do jednoho (1) měsíce ode dne obdržení žádosti, včetně uvedení důvodů pro takový odklad.

13. Subjekt osobních údajů má právo po Společnosti požadovat výmaz svých osobních údajů (právo být zapomenut) ve smyslu čl. 17 Nařízení, to však pouze:

nejsou-li již tyto údaje potřebné pro účel, pro který jsou zpracovávány,
neexistuje žádný právní důvod pro zpracování těchto údajů,
byly-li osobní údaje zpracovány protiprávně,
je-li třeba, aby byly osobní údaje vymazány ke splnění právní povinnosti.

I kdyby byly splněny výše specifikované podmínky, právo na výmaz osobních údajůsubjekt osobních údajůnemá, jestliže je zpracování nezbytné:

pro výkon práva na svobodu slova a informace,
pro splnění právní povinnosti dle platných a účinných právních předpisů, případně pro splnění úkolu ve veřejném zájmu nebo při výkonu veřejné moci,
pro účely archivace ve veřejném zájmu, vědeckého či historického výzkumu nebo pro účely statistické,
z důvodu veřejného zájmu v oblasti veřejného zdraví,
pro určení, výkon nebo obhajobu právních nároků.

Žádost o uplatnění práva subjekt osobních údajůpodle tohoto článku zašle na e-mailovou adresu Společnosti s tím, že Společnost požadované údaje zašle na e-mailovou adresu subjektu osobních údajů, z níž byla žádost odeslána. Zašle-li subjekt osobních údajů žádost v listinné podobě, a požádá-li zároveň o zaslání informace dle tohoto článku v listinné podobě (případně neuvede-li kontaktní e-mail, kam mu bude možné informace dle tohoto článku zaslat v elektronické podobě), bude mu Společností naúčtován administrativní poplatek ve výši 100,- Kč.

Společnost je povinna na žádost subjektu osobních údajů informace o opatřeních přijatých v souvislosti s jeho žádostí dle tohoto článku, a to bez zbytečného odkladu, nejpozději do jednoho (1) měsíce ode dne obdržení žádosti; v případech, kdy to odůvodňují zvláštní okolnosti, nejpozději do dvou (2) měsíců ode dne obdržení žádosti. Dojde-li k odkladu odpovědi ve smyslu předchozí věty za středníkem, je Společnost povinna o tom subjekt osobních údajů informovat do jednoho (1) měsíce ode dne obdržení žádosti, včetně uvedení důvodů pro takový odklad.

14. Subjekt osobních údajů má právo po Společnosti požadovat omezení zpracování svých osobních údajů ve smyslu čl. 18 Nařízení, to však pouze:

popírá-li přesnost osobních údajů, a to po dobu, než přesnost Společnost ověří; tyto osobní údaje pak mohou být po dobu trvání omezení zpracování zpracovány pouze ve smyslu uložení pro určení, výkon nebo obhajobu právních nároků, v důležitém veřejném zájmu, pro ochranu zájmů jiné fyzické či právnické osoby, nebo jen se souhlasem subjektu osobních údajů,
je-li zpracování osobních údajů protiprávní, a subjekt osobních údajů nechce využít práva být zapomenut ve smyslu čl. 17 Nařízení, ale tohoto práva,
Společnostjiž osobní údaje subjektu osobních údajů nepotřebuje pro účely zpracování, ale subjekt osobních údajůje potřebuje pro určení, výkon nebo obhajobu právních nároků.

Využije-li subjekt osobních údajů tohoto práva, je Společnost povinna jej ještě před uplynutím doby pro omezení zpracování jeho osobních údajů informovat o tom, že bude omezení zpracování zrušeno.

Společnost je povinna informovat veškeré příjemce osobních údajů subjektu osobních údajů o opravách, výmazech nebo omezení zpracování konkrétních osobních údajů.

Žádost o uplatnění práva subjektu osobních údajů podle tohoto článku zašle subjekt osobních údajů na e-mailovou adresu Společnostis tím, že Společnost požadované údaje zašle na e-mailovou adresu subjektu osobních údajů, z níž byla žádost odeslána. Zašle-li subjekt osobních údajů žádost v listinné podobě, a požádá-li zároveň o zaslání informace dle tohoto článku v listinné podobě (případně neuvede-li kontaktní e-mail, kam mu bude možné informace dle tohoto článku zaslat v elektronické podobě), bude mu Společností naúčtován administrativní poplatek ve výši 100,- Kč.

Společnost je povinna poskytnout na žádost subjektu osobních údajůinformace o opatřeních přijatých v souvislosti s jeho žádostí dle tohoto článku, a to bez zbytečného odkladu, nejpozději do jednoho (1) měsíce ode dne obdržení žádosti; v případech, kdy to odůvodňují zvláštní okolnosti,nejpozději do dvou (2) měsíců ode dne obdržení žádosti. Dojde-li k odkladu odpovědi ve smyslu předchozí věty za středníkem, je Společnost povinna o tom subjekt osobních údajů informovat do jednoho (1) měsíce ode dne obdržení žádosti, včetně uvedení důvodů pro takový odklad.

15. Subjekt osobních údajů má právo na přenositelnost osobních údajů ve smyslu čl. 20 Nařízení, které zahrnuje právo získat osobní údaje, které se jej týkají, ve strukturovaném, běžně používaném a strojově čitelném formátu, a právo předat tyto údaje jinému správci osobních údajů, jsou-li tyto osobní údaje zpracovávány automatizovaně. Je-li to technicky proveditelné, má subjekt osobních údajů právo požadovat po Společnosti, aby byly tyto osobní údaje předány (zaslány) jinému správci údajů napřímo.

Žádost o uplatnění práva subjektu osobních údajůpodle tohoto článku zašle subjekt osobních údajů na e-mailovou adresu Společnostis tím, že Společnost požadované údaje zašle na e-mailovou adresu subjektu osobních údajů, z níž byla žádost odeslána. Zašle-li subjekt osobních údajů žádost v listinné podobě, a požádá-li zároveň o zaslání informace dle tohoto článku v listinné podobě (případně neuvede-li kontaktní e-mail, kam mu bude možné informace dle tohoto článku zaslat v elektronické podobě), bude mu Společností naúčtován administrativní poplatek ve výši 100,- Kč.

Společnost je povinna na žádost subjektu osobních údajů informace o opatřeních přijatých v souvislosti s jeho žádostí dle tohoto článku, a to bez zbytečného odkladu, nejpozději do jednoho (1) měsíce ode dne obdržení žádosti; v případech, kdy to odůvodňují zvláštní okolnosti, nejpozději do dvou (2) měsíců ode dne obdržení žádosti. Dojde-li k odkladu odpovědi ve smyslu předchozí věty za středníkem, je Společnost povinna o tom subjekt osobních údajů informovat do jednoho (1) měsíce ode dne obdržení žádosti, včetně uvedení důvodů pro takový odklad.

16. Nepřijme-li Společnost opatření, o které subjekt osobních údajů požádal, je Společnost povinna subjekt osobních údajů opět ve lhůtě do jednoho (1) měsíce ode dne přijetí žádosti informovat o důvodech.

17. Subjekt osobních údajů má právo podat u Úřadu pro ochranu osobních údajů (dále také jen: „Úřad“)ve smyslu čl. 77 Nařízenístížnost, domnívá-li se, že zpracováním jeho osobních údajů došlo ze strany Společnosti k porušení Nařízení. Proti závaznému rozhodnutí tohoto úřadu, nebo v případě, že se úřad stížností nezabývá nebo neinformuje-li subjekt osobních údajůdo tří (3) měsíců ode dne podání stížnosti o postupu ve věci je subjekt osobních údajůoprávněn požadovat soudní ochranu.

Kontakt na Úřad je následující:

Úřad pro ochranu osobních údajů
sídlo: Pplk. Sochora 27, 170 00 Praha 7
tel.: +420 234 665 111
web: www.uoou.cz

18. Subjekt osobních údajůmá právo na soudní ochranu, a to jak vůči Úřadu, tak vůči Společnosti jakožto správci osobních údajů. Podrobnější informace k uplatnění práva na soudní ochranu jsou specifikovány v čl. 78 a 79 Nařízení.

19. Je-li pravděpodobné, že určitý případ porušení zabezpečení osobních údajů bude mít za následek vysoké riziko pro práva a svobody subjektu osobních údajů (s výjimkou případů, kdy ustanovení čl. 34 Nařízení GDPR tento postup Společnosti neukládá), je společnost povinna ohlásit Úřadu jakékoli porušení zabezpečení osobních údajů, a to ve lhůtě bez zbytečného odkladu, nejpozději do 72 hodin od okamžiku zjištění. Nestihne-li Společnost ohlásit porušení zabezpečení do 72 hodin, je povinna současně s pozdním ohlášením uvést Úřadu důvody takového zpoždění. Pravidlo o povinnosti oznámení porušení zabezpečení Úřadu se neuplatní, pokud je nepravděpodobné, že by mělo za následek riziko pro právo a svobody subjektů údajů. Oznámení na Úřad musí obsahovat náležitosti stanovené čl. 34 Nařízení GDPR.






…………………………………….……………………
Otto DIY Workshop s.r.o.
Mgr. Tereza Švarcová
(jednatelka)