Zásady zpracování osobních údajů
1. Kdo je správce
Správcem vašich osobních údajů je společnost, která provozuje Pokélandia Experience Center a prodává vstupenky:
- Správce
- Poké Education s.r.o.
- Sídlo
- Zvonková 407, Kokonín, 468 01 Jablonec nad Nisou
- IČO
- 17996325
- Kontakt ve věcech osobních údajů
- experience@pokelandia.cz
- Kontaktní osoba
- Mgr. Jan Solfronk, S. K. Neumanna 3670/8, Mšeno nad Nisou, 466 04 Jablonec nad Nisou
Správce nejmenoval pověřence pro ochranu osobních údajů; hlavní činností není rozsáhlé systematické monitorování ani rozsáhlé zpracování zvláštních kategorií údajů. Správce přesto pověřence pro ochranu osobních údajů jmenoval: Mgr. Jan Solfronk, S. K. Neumanna 3670/8, Mšeno nad Nisou, 466 04 Jablonec nad Nisou.
2. Jaké údaje zpracováváme
- Identifikační a kontaktní údaje — jméno a příjmení, e-mailová adresa, telefonní číslo.
- Údaje o objednávce a vstupence — číslo objednávky, den a čas návštěvy, rozsah a kategorie vstupu, počet osob, částka, stav platby, číslo vstupenky, údaj o tom, zda a kdy byla vstupenka uplatněna u vstupu.
- Platební údaje — u platby kartou identifikátor transakce z platební brány; číslo platební karty se k nám nedostane ani se u nás neukládá. U platby převodem variabilní symbol, částku a údaje z bankovního výpisu potřebné ke spárování platby (včetně čísla protiúčtu a jména plátce).
- Komunikace — obsah e-mailů a zpráv, které nám pošlete, a záznam o odeslaných zprávách z naší strany.
- Technické údaje — IP adresa, datum a čas požadavku, typ prohlížeče a operačního systému (hlavička user-agent), navštívená adresa. Tyto údaje vznikají v provozních záznamech serveru.
- Auditní záznamy — nezměnitelný záznam o operacích s objednávkou a vstupenkou (vytvoření, platba, vydání, uplatnění, zneplatnění) včetně času a údaje o tom, kdo operaci provedl.
Nezpracováváme zvláštní kategorie osobních údajů (údaje o zdravotním stavu, náboženském vyznání apod.) a neprovádíme automatizované rozhodování ani profilování s právními účinky.
3. Účely a právní základy
| Účel | Údaje | Právní základ |
|---|---|---|
| Prodej vstupenky, vydání vstupenky a umožnění vstupu | identifikační a kontaktní údaje, údaje o objednávce a vstupence, platební údaje | plnění smlouvy — čl. 6 odst. 1 písm. b) GDPR |
| Vyřízení dotazu, reklamace nebo storna | kontaktní údaje, údaje o objednávce, komunikace | plnění smlouvy — čl. 6 odst. 1 písm. b) GDPR |
| Vedení účetnictví a plnění daňových povinností | údaje na účetním dokladu | právní povinnost — čl. 6 odst. 1 písm. c) GDPR |
| Ochrana před zneužitím prodeje a padělky vstupenek, bezpečnost systému, auditní stopa o operacích | technické údaje, auditní záznamy, údaje o vstupence | oprávněný zájem — čl. 6 odst. 1 písm. f) GDPR |
| Určení, výkon nebo obhajoba právních nároků | údaje o objednávce, komunikace, auditní záznamy | oprávněný zájem — čl. 6 odst. 1 písm. f) GDPR |
| Zasílání novinek a nabídek | jméno, e-mailová adresa | souhlas — čl. 6 odst. 1 písm. a) GDPR |
Oprávněný zájem spočívá v ochraně prodeje a provozu před podvodným jednáním a v možnosti prokázat, co se s objednávkou a vstupenkou dělo. Proti zpracování na základě oprávněného zájmu máte právo podat námitku (viz článek 7).
Souhlas s marketingem je dobrovolný, není podmínkou nákupu a lze jej kdykoli odvolat — odkazem v každé zprávě nebo e-mailem na experience@pokelandia.cz. Odvoláním souhlasu není dotčena zákonnost zpracování před jeho odvoláním.
Poskytnutí údajů potřebných k vyřízení objednávky je smluvním požadavkem — bez nich nelze vstupenku vystavit ani doručit.
4. Komu údaje předáváme
Osobní údaje nepředáváme nikomu dalšímu, kromě příjemců uvedených níže a kromě orgánů veřejné moci, ukládá-li nám to zákon. Údaje neprodáváme a nepředáváme reklamním sítím.
Ne každý příjemce je zpracovatel. Zpracovatel nakládá s údaji podle našich pokynů a na základě smlouvy podle čl. 28 GDPR. Vedle toho existují příjemci, kteří jsou samostatnými správci — údaje zpracovávají k plnění vlastních zákonných povinností a naše pokyny je nezavazují. Sloupec „Role“ to u každého říká výslovně.
| Příjemce | Role | Co se předává |
|---|---|---|
| Stripe Payments Europe, Ltd. (Irsko) | zpracovatel při zpracování platby na náš pokyn; zároveň samostatný správce tam, kde údaje zpracovává k plnění vlastních právních povinností (prevence podvodů, opatření proti praní peněz, dohled nad platebními službami) — v této části se řídí vlastními zásadami a smlouva podle čl. 28 GDPR se na ni nevztahuje | identifikátor a částka objednávky, e-mail, platební údaje zadané přímo v bráně |
| Banka, u které vedeme účet Fio banka, a.s. | samostatný správce — banka vede účet a provádí platební styk na základě vlastních zákonných povinností (zákon o platebním styku, zákon č. 253/2008 Sb. proti praní peněz). Smlouvu o zpracování podle čl. 28 GDPR s bankou uzavřít nelze a neuzavíráme ji. | údaje z bankovního převodu (variabilní symbol, částka, protiúčet, jméno plátce) |
| Seznam.cz, a.s. (Česká republika) — služba Email Profi | zpracovatel — odesílá a doručuje e-maily podle našich pokynů | e-mailová adresa příjemce a obsah zprávy (potvrzení objednávky, vstupenka) |
| Hetzner Online GmbH (Německo) | zpracovatel — poskytuje servery a úložiště záloh, k obsahu dat nepřistupuje jinak než na náš pokyn | všechna data aplikace uložená na serveru, včetně záloh |
Se zpracovateli (Seznam.cz a Hetzner Online, a v rozsahu zpracování platby též Stripe) uzavíráme smlouvu o zpracování osobních údajů podle čl. 28 GDPR. Smlouvy byly uzavřeny 26. 8. 2026. S bankou se taková smlouva neuzavírá — banka je samostatným správcem, jak je uvedeno v tabulce výše.
Servery aplikace jsou umístěny v Německu. Zálohovací úložiště provozuje rovněž Hetzner Online, v datovém centru v Evropské unii: Falkenstein, Německo..
Žádné další služby třetích stran při zpracování osobních údajů nepoužíváme.
5. Předávání mimo Evropskou unii
Zpracování probíhá zásadně v Evropské unii. Poskytovatel platební brány může v rámci své skupiny předávat údaje i mimo EU; takové předání je kryto standardními smluvními doložkami schválenými Evropskou komisí, popřípadě jiným záručním mechanismem podle kapitoly V GDPR.
6. Jak dlouho údaje uchováváme
| Kategorie | Počátek | Minimum | Maximum | Právní titul | Anonymizace | Legal hold | Stav |
|---|---|---|---|---|---|---|---|
| Účetní doklady a údaje na nich | od konce účetního období | Čeká na schválení | Čeká na schválení | právní povinnost — čl. 6 odst. 1 písm. c) GDPR | Čeká na schválení | Čeká na schválení | PENDING |
| Údaje o objednávce a vstupence | od data návštěvy | Čeká na schválení | Čeká na schválení | plnění smlouvy — čl. 6 odst. 1 písm. b) GDPR | Čeká na schválení | Čeká na schválení | PENDING |
| Auditní záznamy o operacích | od pořízení záznamu | Čeká na schválení | Čeká na schválení | oprávněný zájem — čl. 6 odst. 1 písm. f) GDPR | Čeká na schválení | Čeká na schválení | PENDING |
| Obsah odeslaných e-mailů | od odeslání | Čeká na schválení | Čeká na schválení | plnění smlouvy — čl. 6 odst. 1 písm. b) GDPR | Čeká na schválení | Čeká na schválení | PENDING |
| Provozní záznamy serveru (IP adresa, technické údaje) | od pořízení | Čeká na schválení | Čeká na schválení | oprávněný zájem — čl. 6 odst. 1 písm. f) GDPR | Čeká na schválení | Čeká na schválení | PENDING |
| Údaje zpracovávané na základě souhlasu (marketing) | Čeká na schválení | Čeká na schválení | Čeká na schválení | Čeká na schválení | Čeká na schválení | Čeká na schválení | PENDING |
| Dokud není matice schválena, systém podle ní automaticky nemaže ani anonymizuje. | PENDING | ||||||
Zálohy databáze. Pravidelně pořizujeme šifrované zálohy celé databáze (viz článek 10). Zálohy se postupně proředují: z posledních 48 hodin se drží všechny, do 30 dnů jedna denně a dále dvě týdně. Zálohy starší 12 měsíců systém sám nemaže — označí je jako archivní a jejich odstranění předloží správci k rozhodnutí. Archivní zálohy uchováváme nejdéle 3 roky. Údaj smazaný z provozní databáze proto v zálohách ještě nějakou dobu existuje a mizí až se zálohou, která ho obsahuje. Ze záloh údaje nevyhledáváme ani nepoužíváme k ničemu jinému než k obnově provozu po havárii.
Po uplynutí doby údaje mažeme nebo anonymizujeme. Auditní záznamy jsou technicky nezměnitelné (tvoří zřetězený celek, kde by změna jednoho záznamu porušila návaznost ostatních), proto se v nich osobní údaje nemažou po jednom — odstraňují se ukončením a smazáním celého záznamového celku po skončení sezóny.
7. Vaše práva
Ve vztahu k vašim osobním údajům máte tato práva:
- Právo na přístup (čl. 15 GDPR) — dozvědět se, jaké údaje o vás zpracováváme, a získat jejich kopii.
- Právo na opravu (čl. 16 GDPR) — nechat opravit nepřesný nebo doplnit neúplný údaj.
- Právo na výmaz (čl. 17 GDPR) — nechat údaje smazat, pominul-li důvod jejich zpracování. Neuplatní se tam, kde nám uchování ukládá zákon (například účetní doklady).
- Právo na omezení zpracování (čl. 18 GDPR).
- Právo na přenositelnost (čl. 20 GDPR) — u údajů zpracovávaných na základě smlouvy nebo souhlasu automatizovaně.
- Právo vznést námitku (čl. 21 GDPR) proti zpracování na základě oprávněného zájmu. Vzneste-li námitku proti přímému marketingu, přestaneme údaje k tomuto účelu zpracovávat okamžitě.
- Právo odvolat souhlas — kdykoli, s účinky do budoucna.
- Právo podat stížnost u dozorového úřadu.
Práva uplatníte e-mailem na experience@pokelandia.cz. Odpovíme nejpozději do jednoho měsíce od doručení žádosti; ve složitých případech můžeme lhůtu prodloužit o další dva měsíce, o čemž vás vyrozumíme. Abychom údaje nevydali nesprávné osobě, můžeme vás požádat o ověření totožnosti.
- Dozorový úřad
-
Úřad pro ochranu osobních údajů
Pplk. Sochora 27, 170 00 Praha 7
uoou.gov.cz
8. Cookies a data uložená v prohlížeči
Nepoužíváme analytické ani reklamní cookies a nezapojujeme měřicí kódy třetích stran. Nepotřebujeme proto ani souhlasovou lištu.
8.1 Cookies
- Přihlašovací cookie administrace (název
__Host-pkl_staff) — vzniká pouze při přihlášení personálu do interní administrace, nikoli při běžné návštěvě webu. Je nezbytná pro fungování přihlášení, je technického rázu a nevyžaduje souhlas.
Návštěvník, který si jen prohlíží web nebo kupuje vstupenku, žádnou cookie nedostává.
8.2 Data uložená přímo ve vašem prohlížeči
Místo cookies využíváme úložiště prohlížeče. Data zůstávají ve vašem zařízení, neodesílají se nám a smažete je vymazáním dat webu v prohlížeči.
- Rozpracovaná objednávka — odkaz na vaši objednávku se ukládá do úložiště relace (sessionStorage) a zaniká zavřením záložky.
- Zvolený jazyk webu — ukládá se do trvalého úložiště (localStorage).
- Vaše vstupenka pro použití bez signálu — na stránce „Moje rezervace“ se poslední načtená data objednávky ukládají do trvalého úložiště, aby se vstupenka zobrazila i u vchodu bez připojení. Samotný přístupový odkaz se neukládá.
- Offline kopie stránky — technická kopie stránky „Moje rezervace“ v úložišti prohlížeče (Cache API), aby se dala otevřít i bez signálu. Data z rozhraní se sem záměrně neukládají.
8.3 Písma a externí zdroje
Naše stránky nenačítají žádné zdroje ze serverů třetích stran — písma, obrázky i skripty jsou uloženy přímo u nás. Při prohlížení webu i při zadávání objednávky se tak váš prohlížeč nespojuje s nikým jiným než s námi a neodesílá nikomu dalšímu vaši IP adresu. Písma Kanit a Arsenal proto nenačítáme ze služby Google Fonts, ale z našeho serveru.
Výjimkou je samotná platba kartou: tam vás přesměrujeme na stránku platební brány, která už je stránkou jejího provozovatele a řídí se jeho pravidly (viz článek 4).
9. Údaje dětí
Vstupenky prodáváme dospělým osobám. U rodinných a zlevněných vstupenek zpracováváme pouze počet osob a kategorii, nikoli jména dětí ani jejich věk. Kontaktní údaje uvádí dospělá osoba, která objednávku zadává.
Souhlas se zasíláním novinek přijímáme jen od osob starších 15 let.
10. Zabezpečení
Přenos mezi vaším prohlížečem a našimi servery je šifrovaný (HTTPS). Přístup do administrace mají pouze pověření zaměstnanci, a to po přihlášení; každý zásah do objednávky nebo vstupenky se zaznamenává do auditní stopy.
Zálohy databáze se šifrují (AES-256-GCM) ještě na našem serveru, tedy dřív, než se odešlou na zálohovací úložiště; bez šifrovacího klíče se záloha vůbec nepořídí a nešifrovaná se neodesílá nikdy. Stažení zálohy je vyhrazeno správci a zaznamenává se do auditní stopy.
11. Změny těchto zásad
Tyto zásady můžeme aktualizovat, změní-li se způsob zpracování. Aktuální znění je vždy dostupné na této adrese; podstatné změny oznámíme na webových stránkách, a týkají-li se zpracování na základě souhlasu, také e-mailem.
Tyto zásady nabývají účinnosti dne 26. 8. 2026.