Informácie o spracúvaní osobných údajov

Prevádzkovateľom osobných údajov je spoločnosť DIFRS s.r.o., so sídlom Motyčky 1, 976 02 Motyčky, IČO: 36685933, DIČ: 2022253893 (ďalej len „Ubytora" alebo „my").

Kontaktné údaje prevádzkovateľa:

E-mail: legal@ubytora.com

Adresa: Motyčky 1, 976 02 Motyčky, Slovenská republika

Prevádzkovateľ nemenoval zodpovednú osobu (DPO), pretože na základe rozsahu a povahy spracúvania táto povinnosť nevzniká. V prípade otázok týkajúcich sa ochrany osobných údajov nás kontaktujte na vyššie uvedenom e-maile.

Poznámka k rolám: Ubytora vystupuje ako prevádzkovateľ vo vzťahu k osobným údajom registrovaných Klientov (prevádzkovateľov ubytovacích zariadení). Vo vzťahu k osobným údajom Hostí ubytovacích zariadení vystupuje Ubytora ako sprostredkovateľ konajúci v mene Klienta, ktorý je prevádzkovateľom. Podrobnosti upravuje Zmluva o spracúvaní osobných údajov (DPA) v bode 17 Podmienok používania.

Spracúvame nasledujúce kategórie osobných údajov:

a) Identifikačné údaje: meno, priezvisko, dátum narodenia, štátna príslušnosť, číslo dokladu totožnosti (občiansky preukaz alebo cestovný pas)

b) Kontaktné údaje: e-mailová adresa, telefónne číslo, adresa trvalého alebo prechodného bydliska. Telefónne číslo sa okrem kontaktovania používa aj na zasielanie SMS správ o rezervácii (potvrdenie, pripomienka pred príchodom, informácie v deň príchodu, zrušenie), ak túto službu ubytovacie zariadenie využíva. Marketingové ani reklamné SMS správy neposielame.

c) Platobné údaje: informácie o vykonaných platbách, číslo faktúry, výška platby (čísla platobných kariet nespracúvame – ich spracovanie zabezpečuje výhradne prevádzkovateľ platobnej brány Stripe, Inc.)

d) Prevádzkové a technické údaje: IP adresa, informácie o prehliadači a zariadení, záznamy o prístupe (logy), cookies a identifikátory sledovania

e) Údaje o využívaní služieb: história rezervácií, preferencie, hodnotenia, komunikácia s administrátorom ubytovacieho zariadenia

f) Údaje z digitálneho check-inu (Standard a Premium plán): meno, priezvisko, dátum narodenia, štátna príslušnosť, adresa, číslo dokladu totožnosti, fotografia dokladu (voliteľné, len ak to ubytovacie zariadenie vyžaduje), plánovaný čas príchodu, špeciálne požiadavky

g) Fakturačné a obchodné údaje registrovaných klientov (prevádzkovateľov ubytovacích zariadení): obchodné meno, adresa, IČO, DIČ/IČ DPH, kontaktné údaje, história platieb a predplatného

h) Referral údaje: identifikátor odporúčajúceho Klienta, identifikátor odporúčaného Klienta, história vzniku a uplatnenia referral kreditov (zliav z predplatného)

i) Údaje z komunikácie s podporou (kontaktný formulár, tickety): meno, e-mailová adresa, predmet a text správy vrátane príloh, ktoré nám sami pošlete, história odpovedí a technické údaje o stave účtu priložené k požiadavke na účely jej vyriešenia. Do správy uvádzajte len údaje potrebné na vybavenie požiadavky - neposielajte nám doklady totožnosti hostí ani citlivé údaje, pokiaľ vás o to výslovne nepožiadame.

j) Údaje o uplatnení zľavových kódov: pri zľavovom kóde na predplatné Ubytora identifikátor klienta, ktorý kód uplatnil, dátum uplatnenia a výška zľavy; pri zľavovom kóde ubytovacieho zariadenia sa použitý kód a výška zľavy ukladajú ako súčasť rezervácie hosťa

k) Údaje zo zápisu do poradovníka na obsadený termín (Premium plán): meno, e-mailová adresa, voliteľne telefónne číslo, požadovaný termín a počet osôb. Ide o záujemcu, ktorý u ubytovacieho zariadenia zatiaľ nemá rezerváciu - preto sa mu NEZAKLADÁ profil hosťa v CRM a neukladajú sa žiadne ďalšie údaje nad rámec uvedených.

l) Fakturačné údaje firmy pri služobnej ceste (voliteľné): obchodné meno, IČO, DIČ, IČ DPH a fakturačná adresa firmy, ktorá pobyt hosťa platí. Vypĺňajú sa len vtedy, ak si hosť alebo ubytovacie zariadenie želá doklad znejúci na firmu. Pri právnickej osobe nejde o osobné údaje; ak je však odberateľom živnostník (SZČO), býva obchodným menom jeho vlastné meno a priezvisko a fakturačnou adresou jeho bydlisko - vtedy o osobné údaje ide a nakladáme s nimi rovnako ako s ostatnými údajmi hosťa vrátane lehoty uchovávania. Adresa firmy je vedená ODDELENE od adresy bydliska hosťa v knihe ubytovaných a jedna druhú neprepisuje. Meno ubytovaného hosťa sa uvádza v poznámke na doklade.

m) Očakávaný čas príchodu (ETA): hodina, o ktorej hosť plánuje doraziť. Zadáva ju hosť pri check-ine alebo recepcia podľa telefonátu; slúži výlučne na prevádzkové zabezpečenie príchodu (odovzdanie kľúčov).

n) Záznamy o priebehu rezervácie (história zmien): kedy a kým bola rezervácia potvrdená, zrušená, označená ako nedostavenie sa hosťa (no-show), presunutá na inú izbu, kedy sa zmenil počet hostí alebo termín pobytu. Záznam obsahuje pôvodnú a novú hodnotu (napr. názvy izieb, dátumy, počty osôb) a identifikátor člena personálu, ktorý zmenu vykonal - neobsahuje ďalšie osobné údaje hosťa nad rámec už uvedených. Účelom je preukázateľnosť pri spore o to, čo bolo dohodnuté (napr. či a kedy hosť pobyt zrušil).

Vaše osobné údaje spracúvame na nasledujúce účely:

3.1 Plnenie zmluvy (čl. 6 ods. 1 písm. b) GDPR)

• Spracovanie a správa rezervácií ubytovacích zariadení
• Komunikácia s hosťom v súvislosti s rezerváciou (potvrdenia, pripomienky, zmeny, zrušenia) - e-mailom a, ak to ubytovacie zariadenie využíva, aj SMS správou na telefónne číslo uvedené v rezervácii. Tieto správy sú výlučne transakčné (týkajú sa konkrétnej rezervácie hosťa) a neobsahujú marketingový obsah
• Poskytovanie, správa a fakturácia predplatných služieb Ubytora registrovaným klientom
• Onboarding klientov a nastavenie ich účtu
• Spracovanie platieb cez platobnú bránu Stripe
• Digitálny check-in a predvyplnenie údajov hosťa z predchádzajúcich rezervácií
• Výpočet a uplatnenie referral kreditu (zľavy z predplatného) pri fakturácii Klienta
• Overenie a uplatnenie zľavového kódu pri objednávke predplatného alebo pri rezervácii hosťa (vrátane kontroly, či kód nebol už vyčerpaný)
• Vybavenie požiadavky zaslanej cez kontaktný formulár alebo systém podpory a komunikácia o jej riešení
• Vystavenie daňového dokladu na firmu, ktorá pobyt hosťa uhrádza (služobná cesta), ak boli fakturačné údaje firmy uvedené
• Zaznamenanie očakávaného času príchodu a prevádzkové zabezpečenie príchodu a odovzdania kľúčov

3.2 Plnenie zákonnej povinnosti (čl. 6 ods. 1 písm. c) GDPR)

• Evidencia ubytovaných osôb podľa zákona č. 404/2011 Z.z. o pobyte cudzincov a zákona č. 253/1998 Z.z. o hlásení pobytu občanov SR
• Výpočet a evidencia miestneho poplatku za ubytovanie podľa zákona č. 582/2004 Z.z. o miestnych daniach a miestnom poplatku za komunálne odpady
• Uchovávanie účtovných dokladov podľa zákona č. 431/2002 Z.z. o účtovníctve (10 rokov)
• Uchovávanie daňových dokladov podľa zákona č. 595/2003 Z.z. o dani z príjmov

3.3 Oprávnený záujem (čl. 6 ods. 1 písm. f) GDPR)

• Zabezpečenie a ochrana systémov (logy, detekcia narušení, rate limiting)
• Prevencia podvodov a zneužívania služieb
• Odosielanie e-mailov po odchode hosťa s výzvou na zanechanie hodnotenia (priama súvislosť s poskytnutou službou, krátky časový odstup)
• Narodeninová e-mailová ponuka (len ak hosť uvedie dátum narodenia a bol oboznámený s týmto účelom pri zadaní)
• Evidencia knihy ubytovaných pre potreby ubytovacej legislatívy SR
• Detekcia a prevencia zneužitia referral programu (podvodné odporúčania, viacnásobné účty)
• Detekcia a prevencia zneužitia zľavových kódov (opakované uplatnenie toho istého kódu, obchádzanie limitu počtu použití)
• Uchovanie histórie komunikácie s podporou na preukázanie, ako a kedy bola požiadavka vybavená (vrátane prípadnej reklamácie)
• Vedenie záznamu o priebehu rezervácie a jej zmenách (potvrdenie, zrušenie, nedostavenie sa hosťa, presun izby, zmena termínu alebo počtu hostí) na preukázanie, čo bolo dohodnuté, pri prípadnom spore alebo reklamácii
• Evidencia nedostavenia sa hosťa (no-show) a s tým súvisiace uplatnenie storno podmienok ubytovacieho zariadenia

3.4 Súhlas (čl. 6 ods. 1 písm. a) GDPR)

• Zasielanie marketingových správ a newsletters (len na základe výslovného súhlasu, ktorý možno kedykoľvek odvolať)
• Zasielanie e-mailových kampaní prostredníctvom administrátora ubytovacieho zariadenia (sezónne ponuky, kampane „chýbate nám")
• Uloženie fotografie dokladu totožnosti v rámci digitálneho check-inu
• Zápis do poradovníka na obsadený termín a zaslanie jednorazového upozornenia, ak sa termín uvoľní (meno, e-mail, prípadne telefón a požadovaný termín). Súhlas udeľuje záujemca zaškrtnutím políčka vo formulári; slúži výlučne na toto upozornenie a možno ho kedykoľvek odvolať napísaním ubytovaciemu zariadeniu. Upozornenie NEZNAMENÁ rezerváciu ani prednostné právo na izbu

Súhlas so spracúvaním osobných údajov na marketingové účely môžete kedykoľvek odvolať bez toho, aby to malo vplyv na zákonnosť spracúvania pred jeho odvolaním.

Osobné údaje uchovávame len po dobu nevyhnutnú na dosiahnutie príslušného účelu:

• Rezervačné údaje hosťa (meno, e-mail, telefón, poznámky): 3 roky od ukončenia pobytu. Lehota zodpovedá všeobecnej premlčacej dobe podľa § 101 Občianskeho zákonníka, ktorá sa uplatňuje vo vzťahu k hosťom ako spotrebiteľom, a umožňuje riešiť prípadné spory a reklamácie. Po jej uplynutí systém tieto údaje AUTOMATICKY anonymizuje - meno, e-mail, telefón a poznámky sa nenávratne prepíšu, takže záznam už nie je možné spojiť s konkrétnou osobou. Zostáva len ekonomický údaj (termín a suma), ktorý ubytovacie zariadenie potrebuje pre svoje účtovníctvo a štatistiky a ktorý už nie je osobným údajom.
• Fotografie dokladov totožnosti (digitálny check-in): 90 dní od check-inu, potom automaticky vymazané
• Údaje v knihe ubytovaných vrátane čísla dokladu totožnosti, dátumu narodenia, adresy a štátnej príslušnosti (bez fotografie): 5 rokov od ukončenia pobytu, potom automaticky a nenávratne vymazané. Zákon č. 253/1998 Z.z. (občania SR) ani zákon č. 404/2011 Z.z. (cudzinci) neurčujú jednotnú lehotu uchovávania - ukladajú len povinnosť knihu ubytovaných viesť. Päťročnú lehotu sme určili ako primeranú s ohľadom na možnú kontrolu zo strany orgánov verejnej moci; je zámerne dlhšia než lehota pre bežné rezervačné údaje, pretože sa opiera o iný právny základ (plnenie zákonnej povinnosti).
• Profil hosťa v CRM ubytovacieho zariadenia: 3 roky od posledného pobytu, potom automaticky anonymizovaný (rovnaká lehota a spôsob ako pri rezervačných údajoch).
• Správy zaslané cez kontaktný formulár a komunikácia v rámci podpory (tickety): 3 roky od UZAVRETIA požiadavky, potom automaticky a nenávratne vymazané aj s celým vláknom odpovedí. Účelom je preukázať priebeh a spôsob vybavenia požiadavky, preto lehota plynie až od jej uzavretia - kým je požiadavka otvorená, uchovávame ju ďalej.
• Zápis v poradovníku na obsadený termín (meno, e-mail, telefón, požadovaný termín): 30 dní po dni požadovaného príchodu, potom automaticky a nenávratne VYMAZANÝ - nie anonymizovaný. Lehota je zámerne krátka a počítaná v dňoch: účelom je jediné upozornenie na uvoľnený termín, takže účel zaniká dňom príchodu a nevyužitý dopyt nenesie žiadny účtovný ani štatistický údaj, ktorý by mal prežiť. Mesiac navyše slúži len na to, aby ubytovacie zariadenie vedelo dohľadať, kto sa naň pýtal, ak ho záujemca sám kontaktuje.
• Záznamy o priebehu rezervácie (história zmien - potvrdenie, zrušenie, no-show, presun izby, zmena termínu alebo počtu hostí): po rovnakú dobu ako samotná rezervácia, teda 3 roky od ukončenia pobytu. Záznam obsahuje len pôvodnú a novú hodnotu zmeny a identifikátor člena personálu; po anonymizácii rezervácie ho už nemožno spojiť s konkrétnym hosťom.
• Fakturačné údaje firmy uvedené k rezervácii (obchodné meno, IČO, DIČ, IČ DPH, adresa firmy): 3 roky od ukončenia pobytu, teda rovnako ako ostatné údaje v rezervácii - systém ich pri anonymizácii rovnako nenávratne prepíše. Dôvod, prečo sa nedržia 10 rokov: desaťročná účtovná lehota sa vzťahuje na VYSTAVENÝ DOKLAD (faktúru), nie na rezerváciu, z ktorej bol doklad kedysi vyskladaný. Samotná faktúra preto zostáva uložená celých 10 rokov aj s údajmi odberateľa; v rezervácii však už tieto údaje na nič potrebné nie sú. Týka sa to najmä živnostníkov, ktorých obchodné meno býva ich vlastným menom a priezviskom a fakturačná adresa ich bydliskom.
• Účtovné doklady a faktúry: 10 rokov nasledujúcich po roku, ktorého sa týkajú (§ 35 ods. 3 zákona č. 431/2002 Z.z. o účtovníctve)
• Daňové záznamy: 10 rokov nasledujúcich po roku, ktorého sa týkajú
• Prevádzkové a technické logy (záznamy servera o požiadavkách a záznamy o chybách aplikácie): najviac 12 mesiacov. Slúžia výlučne na zabezpečenie prevádzky, diagnostiku porúch a ochranu pred útokmi (oprávnený záujem podľa čl. 6 ods. 1 písm. f) GDPR). Záznamy o chybách aplikácie spracúva nástroj na monitorovanie chýb, ktorý ich uchováva 30 dní a osobné údaje sú z nich pred odoslaním automaticky odfiltrované.
• Audit log v admin paneli ubytovacieho zariadenia (kto a kedy zmenil rezerváciu, cenu alebo izbu): 12 mesiacov od zápisu, potom automaticky vymazaný. Obsahuje identifikátor člena personálu, nie údaje hosťa.
• Záznamy o odoslaných SMS správach (telefónne číslo, text správy, stav doručenia): 12 mesiacov od odoslania, potom automaticky a nenávratne vymazané (účelom je preukázanie odoslania správy hosťovi a riešenie reklamácií o nedoručení)
• Cookies analytické a marketingové: podľa nastavenia súhlasu, max. 13 mesiacov
• Údaje registrovaných klientov Ubytora: po dobu trvania predplatného a následne 60 dní, počas ktorých si klient môže exportovať vlastné dáta; najneskôr 60 dní po ukončení predplatného sú definitívne vymazané
• Marketingové oslovenie hostí ubytovacím zariadením: kontaktné údaje sa na tento účel používajú len dovtedy, kým trvá profil hosťa, teda najviac 3 roky od posledného pobytu - potom sú spolu s profilom anonymizované. Hosť sa môže z marketingových správ kedykoľvek odhlásiť odkazom v pätičke ktorejkoľvek správy; záznam o tomto odhlásení uchovávame aj naďalej, pretože bez neho by mu správy mohli začať chodiť znova (viď bod 6).
• Referral kredity (história vzniku a uplatnenia zliav z predplatného): kredit sa premietne do faktúry za predplatné ako zníženie fakturovanej sumy, preto podlieha rovnakej desaťročnej účtovnej lehote ako samotná faktúra (§ 35 ods. 3 zákona č. 431/2002 Z.z.). Týka sa registrovaných klientov Ubytora, nie hostí.

Po uplynutí doby uchovávania sú osobné údaje bezpečne vymazané alebo anonymizované.

Ako sa lehoty uplatňujú v praxi: uvedené doby NIE SÚ len deklaráciou. Systém Ubytora spúšťa každý deň automatickú kontrolu, ktorá záznamy po uplynutí lehoty sama anonymizuje alebo vymaže - bez toho, aby o to musel ubytovacie zariadenie alebo dotknutá osoba žiadať. Anonymizácia je nenávratná: pôvodné meno, e-mail ani telefón sa z anonymizovaného záznamu nedajú obnoviť.

Rozdiel medzi vymazaním a anonymizáciou: pri údajoch, ktoré sú naviazané na účtovný alebo štatistický záznam (rezervácia), sa osobné údaje prepíšu, ale záznam o samotnej transakcii zostáva - inak by ubytovaciemu zariadeniu spätne prestali sedieť tržby s podaným daňovým priznaním. Pri údajoch, ktoré žiadny takýto záznam nenesú (napríklad údaje z digitálneho check-inu), sa maže celý záznam.

Vaše osobné údaje môžu byť poskytnuté nasledujúcim kategóriám príjemcov:

a) Sprostredkovatelia spracúvania (spracúvajú údaje v mene Ubytora):

• Hetzner Online GmbH (serverová infraštruktúra, Nemecko, EÚ) – hosting a úložisko
• Resend (Plus Five Five, Inc.) (e-mailové notifikácie, USA – doručovanie v rámci EÚ, prenos zabezpečený štandardnými zmluvnými doložkami)
• Sentry (monitorovanie technických chýb aplikácie, USA – prenos zabezpečený štandardnými zmluvnými doložkami). Do Sentry sa odosielajú výhradne technické údaje o chybe (typ chyby, miesto v kóde, čas). Osobné údaje sú pred odoslaním automaticky odfiltrované – neposielame mená, e-maily, telefónne čísla, adresy, obsah rezervácií ani platobné údaje.
• Cloudflare, Inc. (CDN, ochrana pred DDoS, USA – prenos zabezpečený štandardnými zmluvnými doložkami)
• GoSMS s.r.o. (odosielanie SMS správ o rezervácii, Česká republika – v rámci EÚ, bez prenosu do tretích krajín) – len ak ubytovacie zariadenie využíva SMS notifikácie
• Microsoft Ireland Operations Limited (Azure Translator – automatický preklad obsahu webu ubytovacieho zariadenia, spracúvanie v EÚ) – len ak ubytovacie zariadenie využíva automatický preklad. Prekladá sa výlučne obsah webu (názvy a popisy izieb, články, často kladené otázky a podobne); osobné údaje hostí sa do prekladu neodosielajú.

b) Samostatní prevádzkovatelia (spracúvajú vo vlastnom mene):

• Stripe, Inc. (spracovanie platieb, USA – prenos zabezpečený štandardnými zmluvnými doložkami a certifikáciou PCI DSS)
• Prevádzkovatelia vlastnej platobnej brány ubytovacieho zariadenia – GoPay (ČR), Besteron (SR), Comgate (ČR) – len ak si ubytovacie zariadenie zvolilo vlastnú platobnú bránu namiesto Stripe alebo popri ňom. Zmluvu s bránou uzatvára ubytovacie zariadenie samo; spracúvajú sa údaje o platbe hosťa.
• Účtovné systémy (fakturácia – len ak ich klient Ubytora zapne): SuperFaktúra, eFaktúra.sk a FLOWii (SR), iDoklad a Vyfakturuj (ČR)
• Verteco (fiškálna pokladnica eKasa, SR – len ak ubytovacie zariadenie prijíma hotovosť a využíva fiškálnu pokladnicu); spracúvajú sa údaje potrebné na vystavenie pokladničného dokladu
• Google LLC (Google Analytics, Google Maps – len ak klient Ubytora aktivoval tieto integrácie)
• Tawk.to Inc. (live chat – len ak klient Ubytora aktivoval túto funkciu)

c) Prevádzkovatelia ubytovacích zariadení (klienti Ubytora):

Hosťovské údaje (meno, kontakt, rezervácia, check-in formulár) sú sprístupnené prevádzkovateľovi konkrétneho ubytovacieho zariadenia, v ktorom hosť realizuje pobyt. Prevádzkovateľ ubytovacieho zariadenia je samostatným prevádzkovateľom vo vzťahu k evidencii ubytovaných a plneniu zákonných povinností. Zmluvný rámec medzi Ubytora a Klientom je upravený Zmluvou o spracúvaní osobných údajov (DPA) obsiahnutou v bode 17 Podmienok používania.

d) Štátne orgány: orgány činné v trestnom konaní, daňové orgány, súdy – len v rozsahu stanovenom zákonom a na základe zákonnej žiadosti.

Osobné údaje nepredávame tretím stranám na komerčné účely.

Niektorí naši sprostredkovatelia a príjemcovia sídlia mimo Európskeho hospodárskeho priestoru (EHP), predovšetkým v USA. Tieto prenosy sú zabezpečené jedným z nasledujúcich mechanizmov:

• Štandardné zmluvné doložky (SCC) schválené Európskou komisiou (čl. 46 ods. 2 písm. c) GDPR) – Cloudflare, Sentry, Stripe
• Primeraná ochrana uznaná rozhodnutím Európskej komisie (ak je k dispozícii)
• Certifikácia príjemcu podľa príslušných programov (napr. PCI DSS pre Stripe)

Na vyžiadanie Vám poskytneme bližšie informácie o konkrétnych zárukách pri prenosoch do tretích krajín.

V súvislosti so spracúvaním Vašich osobných údajov máte nasledujúce práva:

7.1 Právo na prístup (čl. 15 GDPR)

Máte právo získať potvrdenie o tom, či spracúvame Vaše osobné údaje, a ak áno, právo na prístup k týmto údajom a informáciám o spracúvaní.

7.2 Právo na opravu (čl. 16 GDPR)

Máte právo požadovať opravu nesprávnych alebo doplnenie neúplných osobných údajov.

7.3 Právo na vymazanie – „právo byť zabudnutý" (čl. 17 GDPR)

Máte právo požadovať vymazanie osobných údajov, ak nie sú ďalej potrebné, ak odvoláte súhlas, ak namietnete spracúvanie, alebo ak boli spracúvané nezákonne. Toto právo sa nevzťahuje na údaje, ktoré musíme uchovávať z právnych dôvodov (napr. účtovné doklady).

Ako sa vymazanie vykoná v praxi: väčšina Vašich údajov je naviazaná na rezerváciu, ktorá je zároveň účtovným a štatistickým záznamom ubytovacieho zariadenia. Preto sa taký záznam NEMAŽE ako celok – nenávratne sa z neho prepíšu osobné údaje (meno, e-mail, telefón, poznámky, fakturačné údaje) a zostane len údaj o tom, že v daný termín bola izba obsadená za danú sumu. Takýto záznam už nie je možné spojiť s Vašou osobou, a teda už nie je osobným údajom (recitál 26 GDPR). Údaje, ktoré žiadny účtovný ani štatistický záznam nenesú (napríklad zápis v poradovníku), sa mažú celé.

Čo vymazanie NEZAHŔŇA a prečo: (a) údaje v knihe ubytovaných – meno, dátum narodenia, adresa, štátna príslušnosť a číslo dokladu totožnosti z digitálneho check-inu – uchováva ubytovacie zariadenie na základe zákonnej povinnosti (zákon č. 253/1998 Z.z. a zákon č. 404/2011 Z.z.) po dobu 5 rokov a na žiadosť ich vymazať nemôže; (b) vystavené faktúry a účtovné doklady sa uchovávajú 10 rokov podľa zákona č. 431/2002 Z.z.; (c) záznam o tom, že ste sa odhlásili zo zasielania marketingových správ, zostáva zachovaný – bez neho by Vám takéto správy mohli začať chodiť znova. Po uplynutí zákonných lehôt sa aj tieto údaje odstránia automaticky.

7.4 Právo na obmedzenie spracúvania (čl. 18 GDPR)

Máte právo požadovať obmedzenie spracúvania Vašich údajov v prípadoch stanovených GDPR (napr. počas overovania presnosti údajov, pri uplatnení námietky).

7.5 Právo na prenosnosť údajov (čl. 20 GDPR)

Máte právo získať osobné údaje, ktoré ste nám poskytli na základe súhlasu alebo zmluvy, v štruktúrovanom, bežne používanom a strojovo čitateľnom formáte, a právo preniesť ich inému prevádzkovateľovi.

7.6 Právo namietať (čl. 21 GDPR)

Máte právo kedykoľvek namietať spracúvanie Vašich osobných údajov na základe oprávneného záujmu, vrátane profilovania. Po podaní námietky budeme pokračovať len vtedy, ak preukážeme závažné oprávnené dôvody, ktoré prevažujú nad Vašimi záujmami, právami a slobodami.

7.7 Právo odvolať súhlas

Ak je spracúvanie založené na súhlase, máte právo ho kedykoľvek odvolať bez toho, aby to malo vplyv na zákonnosť spracúvania pred odvolaním.

7.8 Právo podať sťažnosť dozornému orgánu

Máte právo podať sťažnosť Úradu na ochranu osobných údajov SR:

Úrad na ochranu osobných údajov Slovenskej republiky

Hraničná 12, 820 07 Bratislava 27

Tel.: +421 2 3231 3214

E-mail: statny.dozor@pdp.gov.sk

Web: dataprotection.gov.sk

Odporúčame Vám najskôr kontaktovať nás, aby sme mohli situáciu vyriešiť priamo.

Kam žiadosť poslať – dôležité rozlíšenie: ak ste HOSŤ ubytovacieho zariadenia, prevádzkovateľom Vašich údajov je toto ubytovacie zariadenie, nie Ubytora (viď bod 1 a bod 17 Podmienok používania). Svoju žiadosť preto adresujte priamo jemu, na kontakt uvedený na jeho webovej stránke alebo v potvrdení rezervácie. Ubytora mu na jej vybavenie poskytuje nástroj priamo v administrácii, takže Vám vie kópiu údajov vydať aj výmaz vykonať sám a bez zbytočného odkladu. Ak máte rezerváciu vo viacerých ubytovacích zariadeniach, je potrebné požiadať každé z nich samostatne – sú to samostatní prevádzkovatelia a o Vašej žiadosti podanej inde sa nedozvedia.

Ak ste registrovaným KLIENTOM Ubytora (prevádzkovateľ ubytovacieho zariadenia) alebo návštevníkom stránky ubytora.com, prevádzkovateľom je Ubytora – kontaktujte nás e-mailom na legal@ubytora.com. Export vlastných údajov a zrušenie účtu máte k dispozícii aj priamo vo svojom účte.

Na Vašu žiadosť odpovieme do 30 dní. V odôvodnených prípadoch môže byť táto lehota predĺžená o ďalšie 2 mesiace, o čom Vás budeme informovať. Ak sa na nás obrátite so žiadosťou, ktorú má vybaviť ubytovacie zariadenie, bez zbytočného odkladu Vás nasmerujeme naň a zariadenie o Vašej žiadosti upovedomíme.

Prijali sme primerané technické a organizačné opatrenia na ochranu Vašich osobných údajov pred neoprávneným prístupom, zverejnením, zmenou alebo zničením:

• Šifrované spojenie HTTPS (TLS) pre všetku komunikáciu
• Šifrovanie najcitlivejších údajov samostatným kľúčom (AES-256-GCM): fotografie dokladov totožnosti z digitálneho check-inu a prístupové údaje do účtovných systémov klientov. Šifrovací kľúč je uložený mimo databázy, takže tieto údaje sú nečitateľné aj z prípadnej kópie databázy alebo zálohy.
• Heslá sa neuchovávajú v čitateľnej podobe - ukladá sa len ich nezvratný odtlačok (scrypt)
• Prístup k údajom len pre oprávnených zamestnancov a partnerov na základe princípu minimálneho prístupu
• Pravidelné zálohovanie dát: denné zálohy sa uchovávajú 30 dní, mesačné zálohy 6 mesiacov. Zálohy slúžia výlučne na obnovu prevádzky po havárii a nie sú prístupné na bežné spracúvanie. Údaje, ktoré boli vymazané alebo anonymizované v systéme, preto môžu byť ešte prítomné v starších zálohách, kým tie nezaniknú svojou obmenou - zálohu nie je technicky možné dodatočne upravovať bez toho, aby stratila zmysel ako záloha.
• Rate limiting a ochrana pred automatizovanými útokmi
• Monitoring a detekcia bezpečnostných incidentov (Sentry)
• Jednorázové URL tokeny pre digitálny check-in (expirujú po odoslaní formulára)
• Fotografie dokladov automaticky vymazané po 90 dňoch

V prípade bezpečnostného incidentu postupujeme podľa svojej roly:

• Ak je Ubytora prevádzkovateľom (údaje registrovaných Klientov), oznámime incident dozornému orgánu (ÚOOÚ SR) do 72 hodín od zistenia a dotknuté osoby informujeme bez zbytočného odkladu, ak im hrozí vysoké riziko (čl. 33 a 34 GDPR).
• Ak je Ubytora sprostredkovateľom (údaje Hostí spracúvané v mene Klienta), informujeme dotknutého Klienta – prevádzkovateľa – do 36 hodín od zistenia podľa DPA (bod 17 Podmienok používania); oznámenie dozornému orgánu a dotknutým Hosťom je v tomto prípade povinnosťou Klienta ako prevádzkovateľa.

Nevykonávame automatizované rozhodovanie vrátane profilovania, ktoré by malo pre Vás právne účinky alebo by sa Vás podobným spôsobom závažne dotýkalo v zmysle čl. 22 GDPR.

Niektoré funkcie platformy (yield management – odporúčanie cien, segmentácia hostí pre e-mailové kampane, výpočet referral kreditu) využívajú automatizovanú analýzu, avšak konečné rozhodnutie vždy robí prevádzkovateľ ubytovacieho zariadenia alebo Ubytora manuálne.

V bežnom prevádzkovom režime nespracúvame osobitné kategórie osobných údajov (tzv. citlivé údaje) v zmysle čl. 9 GDPR, ako sú zdravotné údaje, rasový alebo etnický pôvod, náboženské presvedčenie a podobne.

Výnimka: Hosť môže v časti „Špeciálne požiadavky" pri rezervácii alebo check-in formulári uviesť informácie, ktoré môžu nepriamo odkazovať na zdravotný stav (napr. diétne požiadavky, potreba bezbariérového prístupu). Tieto informácie spracúvame výlučne za účelom plnenia zmluvy – zabezpečenia požadovaných služieb počas pobytu – a neposkytujeme ich tretím stranám nad rámec nevyhnutného.

Tento dokument môžeme priebežne aktualizovať. V prípade podstatných zmien Vás o tom informujeme e-mailom alebo výrazným upozornením na webovej stránke najmenej 30 dní pred nadobudnutím účinnosti zmien.

Aktuálna verzia je vždy dostupná na adrese ubytora.com/gdpr s uvedením dátumu poslednej aktualizácie.