Zásady ochrany osobních údajů

1. Správce osobních údajů

Jako správce osobních údajů (dále jen „správce“) zpracováváme osobní údaje v souladu s Nařízením Evropského parlamentu a Rady (EU) 2016/679 (GDPR) a zákonem č. 110/2019 Sb., o zpracování osobních údajů.

Tyto zásady se vztahují na web atavus.cz včetně anglické verze (/en/) a blogu, na investorskou stránku invest.atavus.cz a na formulář pro zájemce o spolupráci na sales.atavus.cz.

2. Pověřenec pro ochranu osobních údajů (DPO)

Správce posoudil, zda musí jmenovat pověřence pro ochranu osobních údajů podle čl. 37 GDPR. Není orgánem veřejné moci a jeho hlavní činnost nespočívá v rozsáhlém pravidelném a systematickém monitorování osob ani v rozsáhlém zpracování zvláštních kategorií osobních údajů. V současné době proto nemá povinnost pověřence jmenovat a pověřence nejmenoval. S dotazy k ochraně osobních údajů se obracejte přímo na správce na office@atavus.cz.

3. Účely a právní základy zpracování

Vaše osobní údaje zpracováváme výhradně pro níže uvedené účely a na základě příslušných právních základů dle čl. 6 GDPR:

Kontaktní formulář slouží k žádosti o zavolání. Telefon a e-mail z něj zpracováváme jen k tomu, abychom se vám ozvali, a opíráme se přitom o čl. 6 odst. 1 písm. b) GDPR, souhlas k tomu nepotřebujeme. Souhlas se zasláním podkladů získáváme samostatně. Odvolání souhlasu neukončuje zpracování, pro které existuje jiný právní základ, zejména předsmluvní opatření, právní povinnost nebo ochrana práv.

Poskytnutí osobních údajů není zákonným ani smluvním požadavkem a nemáte povinnost je poskytnout. Bez kontaktních údajů vám ale nemůžeme odpovědět na poptávku ani zaslat podklady. Výjimkou je identifikace podle AML předpisů: její údaje jsou zákonným požadavkem a bez nich nelze investiční vztah navázat.

U investorské prezentace je souhlas se záznamem chování oddělený od hesla samotného. Souhlas získáváme písemně ještě předtím, než je jmenovanému příjemci předáno osobní přístupové heslo; přihlašovací brána žádný souhlas nezjišťuje a přihlášení heslem samo o sobě souhlasem není. Heslo funguje i bez souhlasu, záznam chování se spouští jen po jeho udělení. Souhlas lze kdykoli odvolat, se stejnou snadností, s jakou byl udělen, a to ovládacím prvkem v patičce prezentace, nebo e-mailem na office@atavus.cz.

4. Kategorie zpracovávaných osobních údajů

V rámci kontaktního formuláře zpracováváme tyto kategorie osobních údajů:

• Identifikační údaje: jméno a příjmení
• Kontaktní údaje: e-mailová adresa, telefonní číslo (volitelné)
• Komunikační údaje: zvolený typ zájmu a obsah zprávy (volitelné)
• Technické záznamy: datum a čas odeslání, zdroj formuláře (web, ze kterého byl odeslán) a pseudonymizovaný zkrácený otisk (hash) IP adresy, který ukládáme k záznamu poptávky; IP adresu samu používáme pro zabezpečení, omezení zneužití formuláře a serverové logy
• Zdroj návštěvy (jen u formuláře na atavus.cz a jen po analytickém souhlasu): omezená kategorie zdroje a média, ze kterého jste přišli

Odeslaná poptávka se zapíše do záznamu poptávek na serveru pronajatém u Contabo GmbH a e-mailem se odešle na office@atavus.cz. Poptávky z atavus.cz a z invest.atavus.cz se navíc ukládají do interního CRM ATAVUS (jméno, e-mail, telefon, zpráva, typ zájmu, zdroj formuláře, čas odeslání a případně zdroj návštěvy); CRM běží na stejném pronajatém serveru. Poptávky z formuláře na sales.atavus.cz se do CRM neukládají. Odesílání e-mailu zajišťuje poštovní infrastruktura OneFlow s.r.o. (viz oddíl 5).

V rámci investorské stránky invest.atavus.cz zpracováváme vždy, bez ohledu na souhlas se sledováním užití (viz níže):

• Identifikační údaje: jméno a e-mail příjemce, ke kterým je vázáno přístupové heslo
• Záznam přihlášení: časová značka použití hesla (kdy byla stránka otevřena), na základě oprávněného zájmu podle čl. 6 odst. 1 písm. f) GDPR
• Technická klasifikace zařízení: typ zařízení, prohlížeč a operační systém odvozené z user-agentu při přihlášení; IP adresa se neukládá

Má-li k tomu příjemce navíc udělen písemný souhlas se záznamem chování, zpracováváme tyto podrobné kategorie:

• Otevření a kontext: čas otevření prezentace a cesta na konkrétní stránku, jazyková verze, velikost okna (viewport) a hustota pixelů, odkazující stránka (jen doména a cesta, nikdy parametry v URL)
• Doba a aktivita na stránce: celkový čas na stránce a aktivní čas (karta viditelná a interakce v posledních 30 sekundách), období nečinnosti, přepnutí ze záložky a opuštění stránky
• Procházení obsahu: které sekce a obsahové bloky byly zobrazeny a jak dlouho, hloubka scrollování (aktuální a maximální, milníky 25/50/75/90/100 %)
• Interakce s prvky stránky: kliknutí na prvky (popisek prvku a typ odkazu, např. e-mail, telefon, PDF dokument, externí odkaz), stažené dokumenty, otevření a zavření rozbalitelných částí (např. „Zdroje a metodika"), interakce s grafy
• Kontaktní formulář: které pole bylo označeno (jen název pole, nikdy jeho obsah) a zda odeslání proběhlo úspěšně
• Kopírování textu: jen sekce a počet zkopírovaných znaků, nikdy samotný text

Výslovně nesbíráme: jednotlivé stisky kláves, obsah zadávaný do polí, trasu pohybu myši ani záznam obrazovky nebo relace (session replay). Každý záznam nese přesnou časovou značku.

Nezpracováváme žádné zvláštní kategorie osobních údajů ve smyslu čl. 9 GDPR (zdravotní stav, biometrické údaje, politické názory apod.).

5. Příjemci a zpracovatelé osobních údajů

Vaše osobní údaje předáváme pouze v nezbytném rozsahu těmto kategoriím příjemců a zpracovatelů:

Orgánům veřejné moci (Česká národní banka, ÚOOÚ, soudy, orgány AML) předáváme osobní údaje pouze v rozsahu a na základě, který stanoví zákon.

6. Předávání osobních údajů do třetích zemí

Webové písmo i veškerá statická aktiva jsou hostována lokálně (self-hosted) na serverové infrastruktuře v EU, bez externího CDN pro tato aktiva. Zálohy ukládáme šifrované před odesláním u Google Ireland Limited (služba Google Drive). Údaje mohou být zpracovány i v USA; takové předání kryje rozhodnutí Evropské komise o odpovídající ochraně (EU-US Data Privacy Framework), jehož účastníkem je Google LLC. Google Analytics, jehož poskytovatelem je Google Ireland Limited, načítáme pouze po novém analytickém souhlasu, v rozsahu oddílu 10. I tyto údaje může zpracovávat Google LLC v USA na základě téhož rámce EU-US Data Privacy Framework. Volitelné měření Meta CAPI předává údaje v rozsahu oddílu 10 společnosti Meta Platforms Ireland Limited. Její zpracování může zahrnovat mezinárodní předávání; jeho podmínky a mechanismy ochrany uvádějí zásady ochrany soukromí Meta. Toto měření se bez nového marketingového souhlasu nespustí.

7. Doba uchování osobních údajů

Po uplynutí doby uchování jsou osobní údaje bezpečně smazány nebo anonymizovány. Smazané údaje mohou ještě omezenou dobu zůstat v zálohách, které se postupně přepisují; mimo server zálohy uchováváme nejdéle 60 dní a poté mohou ještě nejvýše 30 dní zůstat v koši poskytovatele úložiště, než je trvale smaže.

8. Vaše práva jako subjektu údajů

Jako subjekt údajů máte dle GDPR tato práva:

Právo na přístup (čl. 15 GDPR)

Máte právo získat potvrzení, zda zpracováváme vaše osobní údaje, a kopii těchto údajů spolu s informacemi o způsobu jejich zpracování.

Právo na opravu (čl. 16 GDPR)

Máte právo požádat o opravu nepřesných nebo doplnění neúplných osobních údajů.

Právo na výmaz / „právo být zapomenut“ (čl. 17 GDPR)

Za splnění zákonných podmínek máte právo na výmaz vašich osobních údajů · zejména pokud odvoláte souhlas nebo údaje již nejsou potřebné pro účel, za nímž byly shromážděny.

Právo na omezení zpracování (čl. 18 GDPR)

Máte právo požádat o omezení zpracování vašich údajů, například pokud zpochybňujete jejich přesnost nebo zákonnost zpracování.

Právo na přenositelnost (čl. 20 GDPR)

Pokud zpracování probíhá na základě souhlasu nebo smlouvy a je prováděno automatizovaně, máte právo obdržet vaše osobní údaje ve strukturovaném, běžně používaném a strojově čitelném formátu.

Právo vznést námitku (čl. 21 GDPR)

Pokud zpracováváme vaše osobní údaje na základě oprávněného zájmu, máte právo vznést námitku. Zpracování ukončíme, pokud neprokážeme závažné oprávněné důvody pro jeho pokračování.

Právo odvolat souhlas

Souhlas se zasláním vyžádaných podkladů můžete kdykoli odvolat · bez újmy na zákonnosti zpracování před odvoláním · e-mailem na office@atavus.cz. Odvolání se netýká zpracování založeného na předsmluvním opatření, právní povinnosti nebo oprávněném zájmu.

Souhlas se záznamem chování na investorské prezentaci můžete kdykoli odvolat, se stejnou snadností, s jakou byl udělen a bez újmy na zákonnosti zpracování před odvoláním: ovládacím prvkem v patičce prezentace na invest.atavus.cz, nebo e-mailem na office@atavus.cz. Odvoláním v patičce systém záznam smaže okamžitě; při odvolání e-mailem jej smažeme bez zbytečného odkladu. Po odvolání se záznam chování okamžitě zastaví a nespustí se ani při pozdějších přihlášeních stejným heslem, dokud nebude znovu udělen písemný souhlas. Zůstává jen čas přihlášení, typ zařízení a třída prohlížeče a operačního systému jako provozní záznam, a záznam o udělení a odvolání souhlasu jako doklad podle čl. 7 odst. 1 GDPR.

Právo podat stížnost u dozorového úřadu

Pokud se domníváte, že zpracování vašich osobních údajů porušuje GDPR nebo zákon č. 110/2019 Sb., máte právo podat stížnost u Úřadu pro ochranu osobních údajů:

Žádost o uplatnění práv podávejte e-mailem na office@atavus.cz. Na vaši žádost odpovíme bez zbytečného odkladu, nejpozději do 1 měsíce od obdržení.

9. Automatizované rozhodování a profilování

U pojmenovaných přístupů do investorské prezentace a jen se souhlasem zaznamenáváme, jak příjemce prezentaci procházel (§ 3, § 4). Oprávnění členové týmu ATAVUS vidí ve vnitřní administraci v reálném čase, kterou část prezentace příjemce právě čte, a podrobnou časovou osu jeho procházení, aby připravili osobní jednání. Záznam vždy vyhodnocují lidští pracovníci, žádné rozhodnutí s právními účinky ani obdobně významné ve smyslu čl. 22 GDPR se automatizovaně nečiní. Veškerá rozhodnutí týkající se investorů jsou přijímána lidskými pracovníky.

10. Cookies a lokální úložiště

Po novém analytickém souhlasu podle čl. 6 odst. 1 písm. a) GDPR měří návštěvy veřejného webu atavus.cz také vlastní instance GoatCounter a Umami (oddíl 5), bez analytických cookies; na invest.atavus.cz a sales.atavus.cz neběží. Po témže souhlasu používáme Google Analytics 4 pro souhrnné měření veřejného webu atavus.cz. Google obdrží IP adresu a údaje prohlížeče, pevnou skupinu stránky, jazyk, omezenou kategorii zdroje a povolené události; bez referreru, parametrů URL, click ID a obsahu formuláře. Analytické cookies _ga a _ga_VDPL1QYMTY platí nejvýše 180 dní. Google Signals a reklamní personalizace jsou vypnuté; investorské a obchodnické aplikace neměříme. Souhlas v3 vyžaduje novou volbu, DNT a GPC respektujeme. Odvolání v Nastavení cookies zastaví další měření a odstraní Google cookies, nikoli již předaná data. Zásady Google popisují zpracování i případné mezinárodní předávání; podrobnosti uvádějí zásady cookies.

Pouze po novém marketingovém souhlasu podle čl. 6 odst. 1 písm. a) GDPR předáváme společnosti Meta Platforms Ireland Limited IP adresu, údaj o prohlížeči, čas a typ události a pevnou cestu povolené veřejné stránky přes Meta Conversions API pro měření reklamy. Nejde o anonymní údaje. Jméno, e-mail, telefon, obsah formuláře, parametry URL, fragment, referrer ani click ID nepředáváme. Souhlas lze kdykoli odvolat v Nastavení cookies; odvolání zastaví budoucí přenosy, nikoli již předaná data. DNT a GPC respektujeme. Poptávka se zaznamená až po potvrzení přijetí e-mailu místním odesílacím systémem, které neprokazuje doručení do schránky příjemce. Zpracování a případné mezinárodní předávání u Meta popisují zásady Meta; podrobnosti o rozsahu, platnosti souhlasu a odvolání uvádějí zásady cookies.

Informace o cookies a způsobu správy souhlasů naleznete v samostatném dokumentu: Zásady používání cookies.

11. Změny zásad ochrany osobních údajů

Tyto zásady mohou být průběžně aktualizovány v závislosti na změnách v právní úpravě nebo způsobu zpracování osobních údajů. Datum poslední aktualizace je vždy uvedeno v záhlaví dokumentu. Při podstatné změně vás budeme informovat prostřednictvím webu nebo e-mailem.

12. Kontaktní údaje správce

V případě dotazů ke zpracování osobních údajů nebo pro uplatnění vašich práv se obracejte na: