Košík je prázdny
Zásadami ochrany osobných údajov
Článok I
Úvodné ustanovenia
Tieto Zásady ochrany osobných údajov poskytujú fyzickým osobám informácie o podmienkach spracúvania ich osobných údajov v súvislosti s návštevou a používaním webového sídla www.vitaloris.sk (ďalej len „Webové sídlo“), prevádzkou internetového obchodu, nákupom produktov, vytvorením a používaním zákazníckeho účtu, účasťou vo vernostnom a odporúčacom programe, používaním kontaktných a ďalších formulárov, zverejňovaním recenzií, prihlásením na odber newslettera a využívaním ďalších služieb a funkcií dostupných na Webovom sídle.
Webové sídlo je internetovým obchodom, prostredníctvom ktorého môže používateľ najmä:
prezerať a vyhľadávať ponúkané produkty;
vytvoriť objednávku a uzatvoriť kúpnu zmluvu;
zvoliť spôsob platby a doručenia objednávky;
vytvoriť a používať zákaznícky účet;
spravovať svoje identifikačné, kontaktné, fakturačné a doručovacie údaje;
sledovať stav objednávok a históriu nákupov;
zúčastňovať sa vernostného programu, získavať a uplatňovať vernostné body a využívať odporúčací program;
ukladať produkty medzi obľúbené položky;
požiadať o oznámenie opätovnej dostupnosti produktu;
zverejniť hodnotenie alebo recenziu produktu;
uplatniť práva zo zodpovednosti za vady, podať reklamáciu alebo odstúpiť od zmluvy;
kontaktovať zákaznícky servis alebo zaslať obchodný či B2B dopyt;
prihlásiť sa na odber newslettera a priamej marketingovej komunikácie;
využívať ďalšie funkcie Webového sídla podľa jeho aktuálneho technického a obsahového nastavenia.
Webové sídlo prezentuje a predáva najmä výživové doplnky, zdravotnícke pomôcky, kozmetické výrobky a ďalšie produkty určené na podporu zdravia, hygieny, starostlivosti o telo a zdravého životného štýlu. Sortiment Webového sídla je členený aj podľa zdravotných oblastí, potrieb a ťažkostí používateľov. Samotná návšteva konkrétnej produktovej kategórie alebo stránky však bez ďalších informácií nemusí znamenať, že používateľ daným zdravotným problémom trpí.
Informácie zverejnené na Webovom sídle, vrátane článkov, odporúčaní, opisov produktov a odborných vyjadrení, majú informačný a edukačný charakter. Nenahrádzajú lekárske vyšetrenie, individuálnu diagnózu, liečbu ani odborné odporúčanie lekára, lekárnika alebo iného zdravotníckeho pracovníka.
Prevádzkovateľ prostredníctvom zákazníckeho servisu poskytuje najmä technickú, obchodnú a administratívnu podporu súvisiacu s používaním Webového sídla, objednávkami, platbami, doručením, reklamáciami a používaním produktov. Ak používateľ položí otázku vyžadujúcu odborné zdravotné posúdenie, môže byť odkázaný na lekára, lekárnika, odbornú poradňu alebo inú vhodnú odbornú pomoc. Webové sídlo samo neposkytuje zdravotnú starostlivosť.
Tieto zásady sa vzťahujú na spracúvanie osobných údajov vykonávané Prevádzkovateľom najmä v súvislosti s:
návštevou, prevádzkou a bezpečnosťou Webového sídla;
vytvorením a správou zákazníckeho účtu;
vytvorením, prijatím, spracovaním a vybavením objednávky;
uzatvorením a plnením kúpnej zmluvy;
uskutočnením platby, fakturáciou a vedením účtovnej evidencie;
zabalením, expedíciou a doručením objednávky;
vybavovaním odstúpení od zmluvy, vrátenia tovaru, reklamácií a práv zo zodpovednosti za vady;
poskytovaním zákazníckej podpory a vybavovaním komunikácie;
prevádzkou zákazníckeho, vernostného a odporúčacieho programu;
správou obľúbených produktov a oznámení o dostupnosti;
získavaním, kontrolou a zverejňovaním používateľských recenzií;
zasielaním newslettera a priamej marketingovej komunikácie;
B2B komunikáciou a obchodnou spoluprácou;
používaním súborov cookies a obdobných technológií, analytikou a online marketingom;
preukazovaním, uplatňovaním a obhajovaním právnych nárokov;
plnením zákonných povinností Prevádzkovateľa.
Tieto zásady sa nevzťahujú na spracúvanie osobných údajov vykonávané samostatnými prevádzkovateľmi internetových stránok, sociálnych sietí, platobných, dopravných alebo iných služieb, na ktoré môže Webové sídlo odkazovať alebo ktoré používateľ využíva za podmienok určených príslušným subjektom. Tým nie je dotknutá zodpovednosť Prevádzkovateľa za výber a zákonné zapojenie sprostredkovateľov a ďalších príjemcov osobných údajov.
Prevádzkovateľ pri spracúvaní osobných údajov postupuje najmä podľa:
Nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES, v platnom znení (ďalej len „GDPR“);
zákona č. 18/2018 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov v znení neskorších predpisov;
zákona č. 452/2021 Z. z. o elektronických komunikáciách v znení neskorších predpisov, najmä pri zasielaní priamej marketingovej komunikácie a pri ukladaní informácií alebo získavaní prístupu k informáciám uloženým v koncovom zariadení používateľa;
príslušných právnych predpisov upravujúcich ochranu spotrebiteľa, elektronický obchod, účtovníctvo, dane, archiváciu, platobné služby, dopravu a ďalšie povinnosti súvisiace s prevádzkou internetového obchodu.
Tieto zásady predstavujú základné informačné oznámenie Prevádzkovateľa podľa článkov 13 a 14 GDPR. Podrobnejšie informácie o niektorých spracovateľských činnostiach môžu byť uvedené aj v konkrétnom formulári, samostatnom poučení, pravidlách vernostného programu, pravidlách publikovania recenzií, zásadách používania cookies alebo inom dokumente dostupnom na Webovom sídle.
V prípade rozdielu medzi všeobecným znením týchto zásad a osobitným informačným oznámením poskytnutým pri konkrétnej spracovateľskej činnosti sa na túto činnosť prednostne použije osobitné informačné oznámenie, ak dotknutej osobe poskytuje presnejšie alebo podrobnejšie informácie.
Článok II
Identifikácia prevádzkovateľa
Prevádzkovateľom osobných údajov spracúvaných v súvislosti s prevádzkou a používaním Webového sídla, internetového obchodu a služieb poskytovaných prostredníctvom Webového sídla je:
Vitaloris s.r.o.
sídlo: Kykula 662, 913 04 Chocholná-Velčice
IČO: 45 675 732
DIČ: 2023093831
IČ DPH: SK2023093831
e-mail: [email protected]
telefón: 0907 537 052(ďalej len „Prevádzkovateľ“).
Webové sídlo aj kontaktná stránka aktuálne uvádzajú ako prevádzkujúci subjekt spoločnosť Vitaloris s. r. o. so sídlom v Chocholnej-Velčiciach a uvedenými zákazníckymi kontaktnými údajmi.
Prevádzkovateľ určuje účely a prostriedky spracúvania osobných údajov najmä v súvislosti s:
prevádzkou, funkčnosťou, správou a bezpečnosťou Webového sídla;
registráciou a správou zákazníckych účtov;
prijímaním, evidenciou a vybavovaním objednávok;
uzatváraním a plnením kúpnych zmlúv;
prijímaním a párovaním platieb;
vystavovaním účtovných a daňových dokladov;
balením, expedíciou a doručovaním objednávok;
vybavovaním reklamácií, odstúpení od zmluvy, vrátenia tovaru a práv zo zodpovednosti za vady;
komunikáciou so zákazníkmi a poskytovaním zákazníckej podpory;
prevádzkou vernostného programu, evidenciou vernostných bodov, poskytovaním vernostných výhod a zasielaním oznámení súvisiacich s vernostným programom;
prevádzkou odporúčacieho programu;
správou obľúbených produktov;
zasielaním oznámení o dostupnosti produktov;
získavaním, overovaním, moderovaním a zverejňovaním hodnotení a recenzií;
zasielaním newslettera, produktových noviniek, zliav, akcií a ďalšej priamej marketingovej komunikácie;
B2B komunikáciou a správou obchodných vzťahov;
používaním cookies a obdobných technológií, meraním návštevnosti, analytikou a online reklamou;
ochranou majetku, práv a právnych nárokov Prevádzkovateľa;
plnením zákonných a regulačných povinností.
Prevádzkovateľ zodpovedá za zákonnosť spracúvania osobných údajov, pri ktorom určuje účely a prostriedky spracúvania, za plnenie informačných povinností, uplatňovanie práv dotknutých osôb, primerané zabezpečenie osobných údajov a za výber sprostredkovateľov poskytujúcich dostatočné záruky ochrany osobných údajov.
Prevádzkovateľom osobných údajov spracúvaných na účely zasielania newslettera Vitaloris a priameho marketingu je takisto spoločnosť Vitaloris s. r. o. Newsletter môže obsahovať najmä odborný a informačný obsah, produktové novinky, zľavy, akcie a obchodné ponuky značiek HITIMUN®, ALLERGIKA®, GYNIMUN®, RINIMUN®, DIALORIS®, FYTOFEM® a ďalších produktov ponúkaných prostredníctvom Webového sídla. Web aktuálne prezentuje spoločný newsletter a rozsiahle portfólio uvedených produktových značiek.
Dotknutá osoba môže Prevádzkovateľa vo všetkých otázkach týkajúcich sa spracúvania osobných údajov alebo uplatnenia svojich práv kontaktovať:
elektronicky na e-mailovej adrese [email protected];
telefonicky na čísle 0907 537 052;
písomne na adrese sídla Prevádzkovateľa:
Vitaloris s. r. o.
Kykula 662
913 04 Chocholná-Velčice
Slovenská republika.
Adresa sídla Prevádzkovateľa neslúži ako výdajné miesto ani miesto osobného odberu tovaru. Táto skutočnosť však nemá vplyv na možnosť dotknutej osoby doručiť na adresu sídla písomnú žiadosť týkajúcu sa ochrany osobných údajov.
Prevádzkovateľ nemá ustanoveného zástupcu podľa článku 27 GDPR, keďže má sídlo v Európskej únii.
Ak Prevádzkovateľ určí zodpovednú osobu podľa článkov 37 až 39 GDPR alebo dobrovoľne zverejní samostatný kontakt pre otázky ochrany osobných údajov, jej kontaktné údaje bez zbytočného odkladu doplní do týchto zásad a zverejní na Webovom sídle.
Poskytnutím všeobecných kontaktných údajov Prevádzkovateľ nevylučuje, aby pri konkrétnej spracovateľskej činnosti určil aj osobitný kontaktný kanál, najmä pre reklamácie, odstúpenie od zmluvy, zákaznícky servis, vernostný program alebo otázky týkajúce sa newslettera.
Identita a kontaktné údaje Prevádzkovateľa sú jednou zo základných informácií, ktoré sa majú dotknutej osobe poskytnúť pri získavaní jej osobných údajov. Ďalšie povinné informácie, najmä účely, právne základy, kategórie príjemcov, doby uchovávania a práva dotknutých osôb, budú upravené v nasledujúcich článkoch.
Článok III
Zásady spracúvania osobných údajov
Prevádzkovateľ spracúva osobné údaje zákonným, spravodlivým a transparentným spôsobom, výlučne na konkrétne, výslovne určené a legitímne účely, ktoré sú uvedené v týchto zásadách alebo vyplývajú z príslušného právneho základu.
Prevádzkovateľ spracúva iba tie osobné údaje, ktoré sú primerané, relevantné a nevyhnutné na dosiahnutie konkrétneho účelu spracúvania, pričom uplatňuje zásadu minimalizácie osobných údajov.
Prevádzkovateľ zabezpečuje, aby spracúvané osobné údaje boli podľa možností správne, úplné a aktuálne. Ak sa Prevádzkovateľ dozvie, že spracúvané osobné údaje sú nesprávne alebo neaktuálne, prijme primerané opatrenia na ich opravu, doplnenie alebo vymazanie.
Osobné údaje sa uchovávajú iba počas doby nevyhnutnej na splnenie účelu, na ktorý boli získané, alebo počas doby ustanovenej všeobecne záväznými právnymi predpismi.
Prevádzkovateľ prijíma primerané technické, organizačné a bezpečnostné opatrenia na ochranu osobných údajov pred neoprávneným alebo nezákonným spracúvaním, náhodnou stratou, zničením, poškodením alebo neoprávneným sprístupnením.
Prístup k osobným údajom majú iba osoby, ktoré ich nevyhnutne potrebujú na plnenie svojich pracovných alebo zmluvných povinností, pričom sú viazané povinnosťou mlčanlivosti.
Prevádzkovateľ pri každom účele spracúvania zabezpečuje existenciu príslušného právneho základu podľa článku 6 GDPR, prípadne článku 9 GDPR, ak ide o spracúvanie osobitných kategórií osobných údajov.
Prevádzkovateľ spracúva osobné údaje spôsobom, ktorý umožňuje preukázať súlad spracúvania s GDPR, zákonom č. 18/2018 Z. z. a ostatnými všeobecne záväznými právnymi predpismi.
Pri prevádzke zákazníckeho účtu, vernostného programu, odporúčacieho programu, hodnotení produktov, newslettera, kontaktných formulárov, zákazníckej podpory a ďalších služieb Webového sídla Prevádzkovateľ zabezpečuje, aby rozsah spracúvaných údajov zodpovedal výlučne účelu poskytovania príslušnej služby. Vernostný program zahŕňa registráciu účtu, zbieranie bodov, recenzie a odporúčací program.
Prevádzkovateľ nepoužíva osobné údaje na automatizované individuálne rozhodovanie, ktoré by malo voči dotknutej osobe právne účinky alebo ju obdobne významne ovplyvňovalo, ak tieto zásady alebo osobitný právny predpis neustanovujú inak.
Článok IV
Zdroje a kategórie osobných údajov
Prevádzkovateľ získava osobné údaje najmä:
priamo od dotknutej osoby pri registrácii zákazníckeho účtu;
pri vytvorení a vybavení objednávky;
prostredníctvom kontaktných formulárov, zákazníckej podpory alebo B2B komunikácie;
pri prihlásení na odber newslettera;
pri zapojení do vernostného alebo odporúčacieho programu;
pri pridávaní recenzií alebo hodnotení produktov;
pri vytváraní zoznamu obľúbených produktov alebo žiadosti o oznámenie dostupnosti produktu;
automaticky pri používaní Webového sídla prostredníctvom technických údajov, cookies a obdobných technológií podľa nastavení používateľa;
od zmluvných partnerov zabezpečujúcich platby, dopravu alebo iné služby súvisiace s plnením kúpnej zmluvy;
z verejne dostupných zdrojov pri B2B komunikácii, ak ide o profesionálne kontaktné údaje.
Prevádzkovateľ môže spracúvať najmä tieto kategórie osobných údajov:
identifikačné údaje, najmä meno, priezvisko, titul, obchodné meno alebo názov podnikateľa;
kontaktné údaje, najmä e-mailovú adresu, telefónne číslo, fakturačnú a doručovaciu adresu;
registračné údaje zákazníckeho účtu vrátane prihlasovacích údajov a histórie prihlásení;
údaje o objednávkach, zakúpených produktoch, platbách, faktúrach, doprave, reklamáciách, odstúpeniach od zmluvy a histórii nákupov;
údaje súvisiace s vernostným programom, odporúčacím programom, vernostnými bodmi, zľavami a využitými výhodami;
údaje obsiahnuté v komunikácii so zákazníckou podporou alebo v kontaktných formulároch;
údaje obsiahnuté v recenziách, hodnoteniach produktov alebo iných dobrovoľne zverejnených príspevkoch;
technické údaje, najmä IP adresu, identifikátory zariadenia, údaje o prehliadači, operačnom systéme, navštívených stránkach, čase návštevy, cookies a ďalšie obdobné identifikátory;
údaje o udelených alebo odvolaných súhlasoch;
údaje o interakcii s newsletterom, marketingovou komunikáciou alebo reklamnými kampaňami, ak je takéto spracúvanie založené na príslušnom právnom základe;
údaje potrebné na plnenie zákonných povinností Prevádzkovateľa podľa účtovných, daňových a iných právnych predpisov.
Prevádzkovateľ zásadne nespracúva osobitné kategórie osobných údajov podľa článku 9 GDPR. Ak používateľ dobrovoľne uvedie údaje o svojom zdravotnom stave v komunikácii so zákazníckou podporou alebo inom formulári, Prevádzkovateľ ich spracuje iba v rozsahu nevyhnutnom na vybavenie jeho požiadavky a v súlade s príslušným právnym základom.
Prevádzkovateľ vedome nezhromažďuje osobné údaje detí mladších ako 16 rokov bez splnenia podmienok ustanovených GDPR a príslušnými právnymi predpismi.
Ak Prevádzkovateľ získa osobné údaje z iného zdroja ako priamo od dotknutej osoby, poskytne jej informácie podľa článku 14 GDPR, ak sa neuplatní niektorá zo zákonných výnimiek.
Článok V
Účely, právne základy a doby uchovávania osobných údajov
Prevádzkovateľ spracúva osobné údaje na nasledujúce účely, v uvedenom rozsahu, na základe príslušných právnych základov a počas uvedených dôb:
1. Prevádzka a bezpečnosť Webového sídla
Účel spracúvania: Zabezpečenie funkčnosti, dostupnosti a bezpečnosti Webového sídla, diagnostika a odstraňovanie technických chýb, predchádzanie neoprávnenému prístupu, škodlivej činnosti, podvodom a bezpečnostným incidentom a ich riešenie.
Kategórie osobných údajov: IP adresa, dátum a čas prístupu, navštívená URL adresa, odkazujúca stránka, typ a verzia internetového prehliadača, operačný systém, typ zariadenia, identifikátory relácie, údaje o vykonaných požiadavkách, chybové hlásenia, serverové a bezpečnostné záznamy.
Právny základ: Oprávnený záujem Prevádzkovateľa podľa článku 6 ods. 1 písm. f) GDPR, ktorý spočíva v zabezpečení riadnej prevádzky, ochrany a bezpečnosti Webového sídla, informačných systémov, majetku a osobných údajov.
Doba uchovávania: Spravidla najviac 90 dní od vytvorenia záznamu. Údaje súvisiace s konkrétnym bezpečnostným incidentom, podozrením z podvodu alebo neoprávneného zásahu sa môžu uchovávať do úplného vyriešenia prípadu a následne počas doby potrebnej na ochranu právnych nárokov Prevádzkovateľa.
2. Registrácia a správa zákazníckeho účtu
Účel spracúvania: Vytvorenie a správa zákazníckeho účtu, overenie a autentifikácia používateľa, umožnenie prístupu k histórii objednávok, fakturačným a doručovacím údajom, obľúbeným produktom, vernostným bodom a ďalším funkciám účtu.
Kategórie osobných údajov: Meno, priezvisko, e-mailová adresa, používateľské meno, heslo uložené v zabezpečenej podobe, telefónne číslo, fakturačná a doručovacia adresa, údaje o prihlásení, histórii účtu, objednávkach, obľúbených produktoch a nastaveniach používateľa.
Právny základ: Plnenie zmluvy alebo vykonanie opatrení na žiadosť dotknutej osoby pred jej uzatvorením podľa článku 6 ods. 1 písm. b) GDPR.
Doba uchovávania: Počas existencie zákazníckeho účtu. Po jeho zrušení sa údaje vymažú alebo anonymizujú, pokiaľ ich ďalšie uchovávanie nie je potrebné na plnenie zákonných povinností, ochranu právnych nárokov alebo evidenciu objednávok a účtovných dokladov.
3. Prijatie, spracovanie a vybavenie objednávky
Účel spracúvania: Vytvorenie objednávky, overenie jej správnosti, uzatvorenie a plnenie kúpnej zmluvy, komunikácia so zákazníkom, príprava, zabalenie a expedícia objednávky a informovanie o jej stave.
Kategórie osobných údajov: Meno, priezvisko, telefónne číslo, e-mailová adresa, fakturačná a doručovacia adresa, údaje o objednaných produktoch, množstve, cene, zľavách, vernostných bodoch, zvolenom spôsobe platby a dopravy, poznámka k objednávke, číslo objednávky a údaje o jej stave.
Právny základ: Plnenie kúpnej zmluvy podľa článku 6 ods. 1 písm. b) GDPR.
Doba uchovávania: Počas vybavovania objednávky a následne počas trvania zmluvného vzťahu a príslušných zákonných, záručných, premlčacích a archivačných lehôt.
4. Platby a párovanie úhrad
Účel spracúvania: Uskutočnenie, prijatie, overenie a párovanie platby, riešenie neúspešných alebo vrátených platieb, dobropisov a refundácií.
Kategórie osobných údajov: Identifikačné údaje zákazníka, číslo objednávky, suma, mena, variabilný symbol, stav a čas platby, spôsob úhrady, prípadne čiastočne maskované údaje platobného prostriedku a ďalšie údaje poskytnuté platobnou inštitúciou.
Prevádzkovateľ spravidla nezískava úplné údaje o platobnej karte, ak ich spracúva samostatný poskytovateľ platobných služieb.
Právny základ: Plnenie kúpnej zmluvy podľa článku 6 ods. 1 písm. b) GDPR a plnenie zákonných povinností podľa článku 6 ods. 1 písm. c) GDPR.
Doba uchovávania: Počas vybavenia platby a následne počas zákonných účtovných, daňových, reklamačných a premlčacích lehôt.
5. Fakturácia, účtovníctvo a plnenie daňových povinností
Účel spracúvania: Vystavenie a evidencia účtovných a daňových dokladov, vedenie účtovníctva, plnenie daňových a archivačných povinností a poskytovanie súčinnosti príslušným orgánom verejnej moci.
Kategórie osobných údajov: Meno, priezvisko, obchodné meno, IČO, DIČ, IČ DPH, fakturačná adresa, údaje o objednávke, cene, platbe, dobropise a ďalšie údaje vyžadované príslušnými právnymi predpismi.
Právny základ: Plnenie zákonnej povinnosti podľa článku 6 ods. 1 písm. c) GDPR.
Doba uchovávania: Počas dôb ustanovených účtovnými, daňovými a archivačnými právnymi predpismi, spravidla desať rokov nasledujúcich po roku, ktorého sa príslušný doklad týka.
6. Doručenie objednávky
Účel spracúvania: Zabezpečenie prepravy a doručenia objednávky na zvolené miesto, zasielanie oznámení o stave zásielky, riešenie nedoručených, poškodených alebo vrátených zásielok.
Kategórie osobných údajov: Meno, priezvisko, doručovacia adresa, telefónne číslo, e-mailová adresa, číslo objednávky alebo zásielky, zvolený spôsob a miesto doručenia, suma dobierky a údaje potrebné na doručenie.
Právny základ: Plnenie kúpnej zmluvy podľa článku 6 ods. 1 písm. b) GDPR.
Doba uchovávania: Počas doručovania objednávky a následne počas doby potrebnej na vybavenie reklamácie, sťažnosti alebo právneho nároku.
7. Odstúpenie od zmluvy, vrátenie tovaru, reklamácie a zodpovednosť za vady
Účel spracúvania: Prijatie, evidencia, posúdenie a vybavenie odstúpenia od zmluvy, vrátenia tovaru, reklamácie, sťažnosti alebo nároku zo zodpovednosti za vady, komunikácia so zákazníkom a vrátenie platby.
Kategórie osobných údajov: Meno, priezvisko, kontaktné údaje, adresa, číslo objednávky, údaje o produkte, dôvode a priebehu uplatnenia nároku, fotodokumentácia, číslo bankového účtu, podpis a obsah súvisiacej komunikácie.
Právny základ: Plnenie zmluvy podľa článku 6 ods. 1 písm. b) GDPR a plnenie zákonných povinností Prevádzkovateľa podľa článku 6 ods. 1 písm. c) GDPR.
Doba uchovávania: Počas vybavovania príslušného nároku a následne počas zákonných záručných, reklamačných, premlčacích a archivačných lehôt.
8. Zákaznícky servis, kontaktné formuláre a bežná komunikácia
Účel spracúvania: Prijatie, evidencia a vybavenie otázky, žiadosti, podnetu alebo sťažnosti, poskytnutie požadovanej informácie a následná komunikácia.
Kategórie osobných údajov: Meno, priezvisko, e-mailová adresa, telefónne číslo, číslo objednávky, predmet a obsah správy a ďalšie údaje dobrovoľne uvedené dotknutou osobou.
Právny základ:
článok 6 ods. 1 písm. b) GDPR, ak komunikácia súvisí s objednávkou, zmluvou alebo vykonaním opatrení pred jej uzatvorením;
článok 6 ods. 1 písm. f) GDPR, ak ide o bežnú otázku, podnet alebo komunikáciu nesúvisiacu s konkrétnou zmluvou; oprávneným záujmom je riadne vybavovanie komunikácie a poskytovanie zákazníckej podpory.
Doba uchovávania: Počas vybavovania komunikácie a následne spravidla najviac 12 mesiacov od jej ukončenia. Ak komunikácia súvisí s objednávkou, reklamáciou alebo právnym nárokom, môže sa uchovávať počas príslušných zákonných a premlčacích lehôt.
9. Údaje o zdravotnom stave uvedené v komunikácii
Účel spracúvania: Posúdenie spôsobu vybavenia správy a poskytnutie všeobecnej informačnej odpovede, ak dotknutá osoba dobrovoľne uvedie údaje o svojom zdravotnom stave.
Kategórie osobných údajov: Informácie o príznakoch, diagnóze, liečbe, užívaných liekoch, výživových doplnkoch, tehotenstve, zdravotných ťažkostiach alebo iné údaje týkajúce sa fyzického alebo duševného zdravia.
Právny základ: Výslovný súhlas dotknutej osoby podľa článku 9 ods. 2 písm. a) GDPR v spojení s článkom 6 ods. 1 písm. a) GDPR, ak Prevádzkovateľ tieto údaje aktívne spracúva na účely poskytnutia individuálnej odpovede.
Ak dotknutá osoba uvedie údaje o zdravotnom stave prostredníctvom formulára alebo komunikačného kanála, ktorý nie je určený na takéto údaje a neudelí výslovný súhlas, Prevádzkovateľ ich nebude ďalej aktívne spracúvať a bez zbytočného odkladu ich vymaže, pokiaľ na ich ďalšie spracúvanie neexistuje iná výnimka podľa článku 9 ods. 2 GDPR.
Doba uchovávania: Počas vybavenia správy a následne najviac 12 mesiacov od ukončenia komunikácie, ak dotknutá osoba súhlas skôr neodvolá alebo neexistuje iný právny dôvod ďalšieho uchovávania.
Webové sídlo neposkytuje zdravotnú starostlivosť, individuálnu diagnostiku ani liečbu.
10. Vernostný program
Účel spracúvania: Registrácia a vedenie členstva vo vernostnom programe, evidencia získaných, použitých, vrátených a exspirovaných bodov, poskytovanie vernostných zliav a výhod a zasielanie prevádzkových oznámení súvisiacich s programom.
Kategórie osobných údajov: Identifikačné a kontaktné údaje, identifikátor zákazníckeho účtu, údaje o objednávkach, počte a pohybe vernostných bodov, uplatnených zľavách, recenziách a ďalších aktivitách, za ktoré sa body priznávajú.
Právny základ: Plnenie zmluvy podľa článku 6 ods. 1 písm. b) GDPR.
Doba uchovávania: Počas členstva vo vernostnom programe a následne počas doby potrebnej na vysporiadanie bodov, sťažností a právnych nárokov. Údaje o objednávkach a zľavách sa uchovávajú aj počas zákonných účtovných a daňových lehôt.
Vernostný program umožňuje získavanie bodov najmä za registráciu, nákupy, recenzie a úspešné odporúčanie ďalšieho zákazníka; body majú podľa zverejnených pravidiel obmedzenú platnosť.
11. Odporúčací program
Účel spracúvania: Vytvorenie a používanie individuálneho odporúčacieho odkazu, evidencia registrácie a nákupu odporúčanej osoby a priznanie vernostnej odmeny odporúčajúcemu zákazníkovi.
Kategórie osobných údajov: Identifikátor odporúčajúceho zákazníka, odporúčací odkaz alebo kód, údaj o registrácii a splnení podmienok odporúčanej osoby a údaje o priznanej odmene.
Právny základ: Plnenie zmluvy podľa článku 6 ods. 1 písm. b) GDPR.
Doba uchovávania: Počas trvania zákazníckeho účtu a vernostného programu a následne počas doby potrebnej na preukázanie splnenia podmienok programu a ochranu právnych nárokov.
Prevádzkovateľ nesmie vyžadovať, aby odporúčajúca osoba poskytla kontaktné údaje tretej osoby bez jej vedomia a príslušného právneho základu.
12. Obľúbené produkty
Účel spracúvania: Uloženie a správa zoznamu produktov označených používateľom ako obľúbené a ich zobrazenie v zákazníckom účte.
Kategórie osobných údajov: Identifikátor zákazníckeho účtu a údaje o produktoch zaradených medzi obľúbené.
Právny základ: Plnenie zmluvy podľa článku 6 ods. 1 písm. b) GDPR.
Doba uchovávania: Počas existencie zákazníckeho účtu alebo do odstránenia produktu používateľom zo zoznamu.
Funkcia pridávania produktov medzi obľúbené je na Webovom sídle dostupná.
13. Oznámenie o dostupnosti produktu
Účel spracúvania: Evidencia žiadosti a jednorazové zaslanie oznámenia, keď je vybraný produkt opäť dostupný.
Kategórie osobných údajov: E-mailová adresa, identifikátor vybraného produktu, dátum žiadosti a údaj o odoslaní oznámenia.
Právny základ: Vykonanie opatrenia na žiadosť dotknutej osoby podľa článku 6 ods. 1 písm. b) GDPR.
Doba uchovávania: Do odoslania oznámenia, zrušenia žiadosti alebo najviac šesť mesiacov od jej zadania, podľa toho, ktorá skutočnosť nastane skôr.
Žiadosť o oznámenie dostupnosti sama osebe nepredstavuje súhlas so zasielaním newslettera.
14. Hodnotenia a recenzie produktov
Účel spracúvania: Prijatie, evidencia, kontrola, moderovanie a zverejnenie hodnotenia alebo recenzie produktu, overenie jej dôveryhodnosti a priznanie vernostných bodov, ak sú splnené podmienky programu.
Kategórie osobných údajov: Meno, krstné meno, iniciály alebo pseudonym, e-mailová adresa, identifikátor zákazníckeho účtu, hodnotenie, text recenzie, označenie produktu, dátum vloženia, údaj o nákupe produktu a technické údaje potrebné na overenie recenzie.
Právny základ:
a) plnenie zmluvy podľa článku 6 ods. 1 písm. b) GDPR, ak je recenzia súčasťou funkcií zákazníckeho účtu alebo vernostného programu;
b) súhlas podľa článku 6 ods. 1 písm. a) GDPR v rozsahu dobrovoľného zverejnenia mena, fotografie alebo ďalších údajov, ktoré nie sú nevyhnutné na poskytnutie základnej funkcie recenzie;
c) oprávnený záujem podľa článku 6 ods. 1 písm. f) GDPR na kontrole dôveryhodnosti, predchádzaní falošným alebo zneužívajúcim recenziám a ochrane integrity hodnotiaceho systému.
Doba uchovávania: Počas zverejnenia recenzie alebo do jej odstránenia. Údaje potrebné na preukázanie autenticity a riešenie sťažností sa môžu uchovávať počas primeranej doby po odstránení recenzie.
Recenzie sú súčasťou vernostného programu a za prvú recenziu možno podľa zverejnených pravidiel získať body.
15. Newsletter a priamy marketing na základe súhlasu
Účel spracúvania: Zasielanie odborného a informačného obsahu, produktových noviniek, obchodných ponúk, zliav, akcií a ďalšej marketingovej komunikácie týkajúcej sa produktov a značiek ponúkaných na Webovom sídle.
Kategórie osobných údajov: E-mailová adresa, prípadne meno, dátum a čas prihlásenia, zdroj prihlásenia, znenie alebo verzia súhlasu, údaj o potvrdení prihlásenia, odvolaní súhlasu a odhlásení z odberu, údaje o doručení alebo nedoručení správy a, ak sa takéto meranie vykonáva na zodpovedajúcom právnom základe, údaje o otvorení správy alebo kliknutí na odkazy.
Právny základ: Súhlas podľa článku 6 ods. 1 písm. a) GDPR v spojení s § 116 ods. 3 zákona č. 452/2021 Z. z.
Doba uchovávania: Do odvolania súhlasu alebo skončenia marketingového účelu. Záznam o preukázateľnom súhlase sa uchováva na trvanlivom médiu najmenej štyri roky od jeho odvolania. Minimálny záznam o odhlásení sa môže uchovávať na účely zabezpečenia, aby dotknutá osoba nebola neoprávnene opätovne zaradená do databázy.
Súhlas musí byť dobrovoľný, konkrétny, informovaný, jednoznačný a preukázateľný a musí byť získaný prostredníctvom samostatného, vopred nezaškrtnutého políčka. Webové sídlo verejne ponúka prihlásenie do spoločného newslettera Vitaloris.
16. Priamy marketing existujúcim zákazníkom
Účel spracúvania: Zasielanie elektronickej marketingovej komunikácie o vlastných podobných produktoch a službách existujúcim zákazníkom za podmienok zákona o elektronických komunikáciách.
Kategórie osobných údajov: E-mailová adresa získaná v súvislosti s predajom produktu alebo služby, údaje o zákazníckom vzťahu, dátum získania kontaktu a záznam o námietke alebo odhlásení.
Právny základ: Oprávnený záujem Prevádzkovateľa podľa článku 6 ods. 1 písm. f) GDPR v spojení so zákazníckou výnimkou podľa § 116 ods. 15 a 16 zákona č. 452/2021 Z. z.
Doba uchovávania: Počas trvania zákazníckeho vzťahu a najviac jeden rok od jeho ukončenia, ak dotknutá osoba skôr nenamietne alebo sa neodhlási.
Dotknutá osoba musí mať pri získaní kontaktu aj v každej správe jednoduchú a bezplatnú možnosť odmietnuť ďalšie zasielanie.
17. Cookies, analytika a online marketing
Účel spracúvania: Zabezpečenie základných funkcií Webového sídla, zapamätanie používateľských nastavení, meranie návštevnosti, tvorba štatistík, vyhodnocovanie používania Webového sídla, optimalizácia obsahu a zobrazovanie a vyhodnocovanie marketingovej komunikácie.
Kategórie osobných údajov: IP adresa, identifikátory cookies a obdobných technológií, údaje o zariadení a prehliadači, nastavenia súhlasu, navštívené stránky, čas návštevy, pohyb a interakcia s Webovým sídlom a reklamou.
Právny základ: Uloženie informácií do koncového zariadenia alebo získanie prístupu k informáciám v zariadení sa pri bezpodmienečne potrebných technológiách uskutočňuje bez súhlasu na základe výnimky podľa § 109 ods. 8 zákona č. 452/2021 Z. z.
Ak pri používaní nevyhnutných technológií dochádza k spracúvaniu osobných údajov, právnym základom je oprávnený záujem Prevádzkovateľa podľa článku 6 ods. 1 písm. f) GDPR.
Pri analytických, marketingových a ostatných voliteľných technológiách je právnym základom súhlas podľa článku 6 ods. 1 písm. a) GDPR a § 109 ods. 8 zákona č. 452/2021 Z. z.
Doba uchovávania: Podľa druhu a doby platnosti konkrétnej technológie uvedenej v samostatných Zásadách používania súborov cookies, najneskôr do odvolania súhlasu, ak konkrétna technológia nezanikne skôr.
18. B2B komunikácia a obchodná spolupráca
Účel spracúvania: Vybavenie žiadosti o spoluprácu, predzmluvná komunikácia, príprava, uzatvorenie a správa obchodného vzťahu a evidencia obchodných kontaktov.
Kategórie osobných údajov: Meno, priezvisko, pracovné alebo profesijné zaradenie, názov zastupovaného subjektu, pracovná e-mailová adresa, telefónne číslo a obsah komunikácie.
Právny základ:
a) článok 6 ods. 1 písm. b) GDPR, ak je dotknutá osoba zmluvnou stranou alebo fyzickou osobou – podnikateľom;
b) oprávnený záujem podľa článku 6 ods. 1 písm. f) GDPR pri kontaktných osobách a zástupcoch právnických osôb, spočívajúci v nadväzovaní, rozvoji a správe obchodných vzťahov.
Doba uchovávania: Pri neúspešnom obchodnom dopyte najviac tri roky od ukončenia komunikácie. Pri vzniku obchodného vzťahu počas jeho trvania a následne počas zákonných, premlčacích a archivačných lehôt.
19. Preukazovanie, uplatňovanie a obhajovanie právnych nárokov
Účel spracúvania: Riešenie sporov, sťažností a podnetov, ochrana majetku, práv a oprávnených záujmov Prevádzkovateľa.
Kategórie osobných údajov: Údaje obsiahnuté v objednávkach, komunikácii, zmluvnej a účtovnej dokumentácii, záznamoch o súhlase, reklamáciách, podnetoch, dôkazoch a ďalších podkladoch relevantných pre konkrétny právny nárok.
Právny základ: Oprávnený záujem podľa článku 6 ods. 1 písm. f) GDPR. Pri osobitných kategóriách osobných údajov článok 9 ods. 2 písm. f) GDPR.
Doba uchovávania: Počas trvania sporu, konania alebo uplatňovania právneho nároku a následne do uplynutia príslušných premlčacích, prekluzívnych alebo vykonávacích lehôt.
20. Vybavovanie žiadostí dotknutých osôb
Účel spracúvania: Prijatie, overenie totožnosti, evidencia a vybavenie žiadostí o výkon práv podľa GDPR.
Kategórie osobných údajov: Identifikačné a kontaktné údaje žiadateľa, obsah žiadosti, údaje potrebné na primerané overenie totožnosti, komunikácia a spôsob vybavenia žiadosti.
Právny základ: Plnenie zákonnej povinnosti podľa článku 6 ods. 1 písm. c) GDPR v spojení s článkami 12 až 22 GDPR.
Doba uchovávania: Počas vybavovania žiadosti a následne spravidla päť rokov od jej vybavenia na účely preukázania splnenia povinností Prevádzkovateľa a ochrany jeho právnych nárokov.
Odoslanie objednávky, vytvorenie zákazníckeho účtu, kontaktovanie zákazníckeho servisu, uloženie obľúbeného produktu, žiadosť o oznámenie dostupnosti alebo účasť vo vernostnom programe samy osebe nepredstavujú súhlas so zasielaním newslettera.
Prevádzkovateľ nepoužije údaje o zakúpených produktoch alebo navštívených kategóriách na vyvodzovanie záverov o zdravotnom stave zákazníka ani na cielenie marketingu podľa predpokladanej diagnózy bez osobitného právneho základu.
Článok VI
Príjemcovia osobných údajov
Prevádzkovateľ môže osobné údaje v závislosti od konkrétneho účelu spracúvania a iba v nevyhnutnom rozsahu sprístupniť najmä týmto kategóriám príjemcov:
poskytovateľom webhostingových, serverových, cloudových, databázových, zálohovacích a kybernetických služieb;
správcom, vývojárom a technickým prevádzkovateľom Webového sídla a poskytovateľom IT podpory a údržby;
poskytovateľom e-shopovej platformy, zákazníckeho účtu, vernostného a odporúčacieho programu;
poskytovateľom platobných služieb, bankám a ďalším subjektom zapojeným do spracovania platieb, refundácií a párovania úhrad;
dopravcom, kuriérskym spoločnostiam, prevádzkovateľom výdajných miest a ďalším poskytovateľom logistických a doručovacích služieb;
poskytovateľom skladových, baliacich, expedičných a fulfillmentových služieb;
poskytovateľom účtovných, fakturačných, ekonomických a daňových systémov a služieb;
poskytovateľom e-mailových, SMS, komunikačných, zákazníckych a newsletterových služieb;
poskytovateľom nástrojov na správu súhlasov, cookies a používateľských preferencií;
poskytovateľom analytických, reklamných, remarketingových a obdobných nástrojov a prevádzkovateľom sociálnych sietí, ak sa príslušné nástroje používajú na zodpovedajúcom právnom základe;
poskytovateľom systémov na získavanie, overovanie a zverejňovanie recenzií;
marketingovým, mediálnym a komunikačným agentúram zabezpečujúcim tvorbu obsahu, správu kampaní, sociálnych sietí alebo zákazníckej komunikácie;
externým odborným poradcom, najmä advokátom, účtovníkom, daňovým poradcom, audítorom a poisťovniam, ak je sprístupnenie potrebné na poskytnutie služby alebo ochranu právnych nárokov;
obchodným partnerom, dodávateľom alebo výrobcom, ak je ich súčinnosť nevyhnutná na vybavenie reklamácie, odbornej otázky alebo bezpečnostného podnetu týkajúceho sa produktu;
súdom, orgánom činným v trestnom konaní, správnym, daňovým, colným, dozorným a iným orgánom verejnej moci, ak sprístupnenie vyžaduje právny predpis, záväzné rozhodnutie alebo je potrebné na ochranu právnych nárokov.
Príjemca dostane iba tie osobné údaje, ktoré sú nevyhnutné na splnenie jeho úlohy alebo poskytnutie príslušnej služby.
Dopravcom a poskytovateľom výdajných miest sa poskytujú najmä meno, priezvisko, doručovacia adresa alebo označenie výdajného miesta, telefónne číslo, e-mailová adresa, číslo zásielky a prípadne suma dobierky.
Poskytovateľom platobných služieb sa poskytujú údaje potrebné na realizáciu, overenie, párovanie alebo vrátenie platby. Poskytovateľ platobných služieb môže pri vlastnom spracúvaní vystupovať ako samostatný prevádzkovateľ podľa svojich podmienok ochrany osobných údajov.
Prevádzkovateľ neposkytuje dopravcom, platobným inštitúciám ani ďalším poskytovateľom informácie o zdravotnom stave zákazníka alebo dôvodoch nákupu, pokiaľ to nie je nevyhnutné na splnenie zákonnej povinnosti alebo vybavenie konkrétneho nároku.
Sprostredkovatelia sú oprávnení spracúvať osobné údaje iba na základe zdokumentovaných pokynov Prevádzkovateľa, v rozsahu nevyhnutnom na poskytovanie dohodnutých služieb a za podmienok zmluvy alebo iného právneho aktu podľa článku 28 ods. 3 GDPR.
Prevádzkovateľ poveruje spracúvaním osobných údajov iba sprostredkovateľov, ktorí poskytujú dostatočné záruky prijatia primeraných technických a organizačných opatrení tak, aby spracúvanie spĺňalo požiadavky GDPR a zabezpečovalo ochranu práv dotknutých osôb.
Sprostredkovateľ môže zapojiť ďalšieho sprostredkovateľa iba za podmienok dohodnutých s Prevádzkovateľom a pri splnení požiadaviek článku 28 GDPR.
Prevádzkovateľ zabezpečuje, aby mali k osobným údajom prístup iba poverené osoby v rozsahu potrebnom na plnenie ich pracovných alebo zmluvných úloh. Tieto osoby sú viazané povinnosťou mlčanlivosti.
Niektorí príjemcovia, najmä banky, poskytovatelia platobných služieb, dopravcovia, prevádzkovatelia sociálnych sietí, poskytovatelia analytických alebo reklamných nástrojov, externí odborní poradcovia a orgány verejnej moci, môžu v závislosti od povahy spracúvania vystupovať ako samostatní prevádzkovatelia.
Ak príjemca vystupuje ako samostatný prevádzkovateľ, sám určuje účely a prostriedky vlastného spracúvania a zodpovedá za jeho zákonnosť podľa GDPR a svojich zásad ochrany osobných údajov.
Ak Prevádzkovateľ určuje účely a prostriedky konkrétneho spracúvania spoločne s iným subjektom, vzájomné povinnosti sa upravia v súlade s článkom 26 GDPR.
Osobné údaje obsiahnuté v reklamácii alebo bezpečnostnom podnete možno v nevyhnutnom rozsahu poskytnúť výrobcovi, dodávateľovi, distribútorovi, poisťovni alebo odbornému poradcovi, ak je to potrebné na posúdenie vady, bezpečnosti produktu alebo právneho nároku.
Prevádzkovateľ neposkytuje ani nepredáva osobné údaje tretím osobám na ich vlastné marketingové účely bez samostatného a platného právneho základu.
Dotknutá osoba môže v rámci práva na prístup podľa článku 15 GDPR požiadať Prevádzkovateľa o informáciu o konkrétnych príjemcoch, ktorým boli alebo budú jej osobné údaje sprístupnené. Prevádzkovateľ poskytne informáciu o konkrétnej totožnosti príjemcov, ak je možné ich identifikovať. Ak konkrétnych príjemcov ešte nie je možné určiť, poskytne informáciu o príslušných kategóriách príjemcov.
Článok VII
Prenos osobných údajov do tretích krajín a medzinárodným organizáciám
Prevádzkovateľ spracúva osobné údaje prednostne na území Slovenskej republiky, iných členských štátov Európskej únie alebo štátov Európskeho hospodárskeho priestoru.
V súvislosti s používaním niektorých technologických, hostingových, cloudových, platobných, komunikačných, newsletterových, analytických, reklamných, zákazníckych alebo sociálnych služieb môže dôjsť k prenosu osobných údajov do krajiny mimo Európskeho hospodárskeho priestoru alebo k ich sprístupneniu príjemcovi nachádzajúcemu sa v takejto krajine.
Prenos osobných údajov do tretej krajiny alebo medzinárodnej organizácii sa uskutoční iba pri splnení podmienok kapitoly V GDPR, najmä:
na základe rozhodnutia Európskej komisie o primeranosti podľa článku 45 GDPR, ktorým bola potvrdená primeraná úroveň ochrany osobných údajov v príslušnej tretej krajine, na jej území, v konkrétnom sektore alebo medzinárodnej organizácii;
na základe primeraných záruk podľa článku 46 GDPR, najmä štandardných zmluvných doložiek prijatých Európskou komisiou, záväzných vnútropodnikových pravidiel alebo iného právne uznaného mechanizmu prenosu;
výnimočne na základe niektorej z výnimiek pre osobitné situácie podľa článku 49 GDPR, ak sú splnené všetky podmienky jej použitia.
Ak sa prenos uskutočňuje na základe primeraných záruk podľa článku 46 GDPR, Prevádzkovateľ primerane posúdi okolnosti prenosu, právne prostredie príslušnej tretej krajiny a účinnosť použitých záruk. Ak je to potrebné, prijme doplňujúce technické, organizačné alebo zmluvné opatrenia na zabezpečenie úrovne ochrany osobných údajov v zásade rovnocennej úrovni ochrany zaručenej v Európskej únii.
Ak sa osobné údaje prenášajú príjemcovi v Spojených štátoch amerických na základe rozhodnutia Európskej komisie o primeranosti EU–U.S. Data Privacy Framework, Prevádzkovateľ overí, či je príslušný príjemca platne certifikovaný a či sa jeho certifikácia vzťahuje na dotknuté kategórie osobných údajov. Prenos na základe tohto rozhodnutia je možný iba voči certifikovaným organizáciám zapojeným do uvedeného rámca.
Ak príjemca v Spojených štátoch amerických nie je platne certifikovaný podľa EU–U.S. Data Privacy Framework alebo ak sa jeho certifikácia nevzťahuje na príslušné spracúvanie, Prevádzkovateľ zabezpečí iný platný mechanizmus prenosu, najmä štandardné zmluvné doložky podľa článku 46 GDPR, prípadne spolu s doplňujúcimi ochrannými opatreniami.
Prevádzkovateľ zabezpečuje, aby sprostredkovatelia a ďalší poskytovatelia služieb neuskutočňovali prenos osobných údajov do tretích krajín bez splnenia podmienok GDPR a bez príslušného zmluvného alebo iného právneho zabezpečenia.
Konkrétni poskytovatelia služieb, tretie krajiny, do ktorých môže dochádzať k prenosu osobných údajov, a používané právne mechanizmy prenosu môžu byť bližšie uvedené v týchto zásadách, v Zásadách používania súborov cookies, v informačnom oznámení pri konkrétnej službe alebo v informáciách príslušného poskytovateľa.
Dotknutá osoba môže Prevádzkovateľa požiadať o bližšie informácie o prenose jej osobných údajov do tretej krajiny alebo medzinárodnej organizácii, o použitom právnom mechanizme a primeraných zárukách.
Ak sa prenos uskutočňuje na základe článku 46 GDPR, dotknutá osoba môže požiadať aj o kópiu použitých záruk alebo o informáciu, kde boli sprístupnené, pričom Prevádzkovateľ môže z poskytnutej kópie odstrániť alebo prekryť informácie chránené obchodným tajomstvom, právami tretích osôb alebo bezpečnostnými záujmami.
Všetky prenosy osobných údajov do tretích krajín sa uskutočňujú spôsobom, ktorý nesmie znižovať úroveň ochrany fyzických osôb zaručenú GDPR. Pravidlá medzinárodných prenosov upravujú články 44 až 50 GDPR.
Článok VIII
Automatizované rozhodovanie a profilovanie
Prevádzkovateľ nevykonáva rozhodovanie založené výlučne na automatizovanom spracúvaní osobných údajov vrátane profilovania, ktoré by voči dotknutej osobe vyvolávalo právne účinky alebo ju obdobne významne ovplyvňovalo v zmysle článku 22 ods. 1 GDPR.
Prevádzkovateľ môže v súlade s príslušným právnym základom automatizovane vyhodnocovať údaje najmä o:
návšteve a používaní Webového sídla;
navštívených produktových stránkach a kategóriách;
používaní zákazníckeho účtu;
obsahu nákupného košíka;
histórii objednávok a nákupov;
používaní vernostného programu, zliav a vernostných bodov;
interakcii s newsletterom a marketingovou komunikáciou;
doručení, otvorení alebo nedoručení marketingovej správy;
kliknutí na odkazy;
reakcii na reklamné kampane;
technických vlastnostiach zariadenia, prehliadača a relácie.
Údaje podľa predchádzajúceho bodu môže Prevádzkovateľ spracúvať najmä na účely:
tvorby štatistík a analýz;
merania návštevnosti a používania Webového sídla;
zlepšovania funkčnosti, obsahu a používateľského prostredia;
vyhodnocovania úspešnosti marketingovej komunikácie;
zabezpečenia primeraného zobrazovania reklamy;
prispôsobenia obsahu Webového sídla alebo marketingovej komunikácie predpokladaným záujmom používateľa;
predchádzania podvodom, zneužitiu zákazníckeho účtu a bezpečnostným incidentom.
Ak Prevádzkovateľ používa osobné údaje na vyhodnotenie určitých osobných aspektov dotknutej osoby, najmä jej nákupných preferencií, záujmov, správania alebo pravdepodobnej reakcie na marketingovú komunikáciu, môže ísť o profilovanie podľa článku 4 bodu 4 GDPR.
Profilovanie sa vykonáva iba na príslušnom právnom základe. Ak sa profilovanie uskutočňuje prostredníctvom analytických, marketingových, reklamných alebo obdobných voliteľných technológií, ktoré vyžadujú súhlas, vykoná sa až po udelení platného a preukázateľného súhlasu dotknutej osoby.
Prevádzkovateľ nepoužíva údaje o zakúpených produktoch, navštívených kategóriách, vyhľadávaných produktoch alebo obsahu komunikácie na vyvodzovanie diagnózy, zdravotného stavu alebo iných osobitných kategórií osobných údajov dotknutej osoby na účely priameho marketingu, profilovania alebo behaviorálnej reklamy bez osobitného a platného právneho základu.
Nákup produktu určeného na podporu zdravia, zmiernenie konkrétnych ťažkostí alebo starostlivosť o telo sa sám osebe nepovažuje za potvrdenie, že zákazník trpí konkrétnym ochorením, diagnózou alebo zdravotným problémom.
Prevádzkovateľ nevytvára na základe údajov o nákupoch alebo správaní používateľa marketingové segmenty označené konkrétnou diagnózou alebo zdravotným stavom, ak na takéto spracúvanie nemá osobitný právny základ podľa článkov 6 a 9 GDPR.
Bežné automatizované činnosti, najmä:
výpočet ceny objednávky;
uplatnenie zľavového kódu;
pripísanie alebo odpočítanie vernostných bodov;
zobrazenie dostupnosti produktu;
výpočet ceny dopravy;
automatické zaslanie potvrdenia objednávky;
technické vyhodnotenie neúspešného prihlásenia;
automatické zobrazenie odporúčaných alebo súvisiacich produktov,
sa nepovažujú za rozhodovanie podľa článku 22 GDPR, ak nemajú voči dotknutej osobe právne alebo obdobne významné účinky.
Profilovanie alebo analytické vyhodnocovanie podľa týchto zásad nevedie k automatizovanému rozhodnutiu, na základe ktorého by bola dotknutej osobe automaticky:
odmietnutá možnosť nákupu;
odmietnuté vytvorenie zákazníckeho účtu;
odmietnuté uplatnenie reklamácie alebo iného práva;
určená individuálna cena s právnym alebo obdobne významným účinkom;
odopretá služba alebo zmluvné plnenie.
Ak by Prevádzkovateľ v budúcnosti začal vykonávať rozhodovanie založené výlučne na automatizovanom spracúvaní, ktoré má voči dotknutej osobe právne alebo obdobne významné účinky, zabezpečí pred začatím takéhoto spracúvania:
existenciu právneho základu podľa článku 22 ods. 2 GDPR;
primerané opatrenia na ochranu práv, slobôd a oprávnených záujmov dotknutej osoby;
právo na ľudský zásah;
možnosť vyjadriť svoje stanovisko;
možnosť napadnúť rozhodnutie;
splnenie príslušnej informačnej povinnosti.
Dotknutá osoba môže kedykoľvek:
odvolať súhlas s analytickými alebo marketingovými technológiami prostredníctvom nastavení cookies;
odvolať súhlas so zasielaním newslettera;
namietať proti spracúvaniu osobných údajov na účely priameho marketingu vrátane profilovania v rozsahu, v akom súvisí s priamym marketingom;
požiadať o informáciu, či sa na ňu vzťahuje automatizované rozhodovanie alebo profilovanie.
Právo nebyť predmetom rozhodnutia založeného výlučne na automatizovanom spracúvaní s právnymi alebo obdobne významnými účinkami upravuje článok 22 GDPR.
Článok IX
Dobrovoľnosť poskytnutia osobných údajov
Poskytnutie osobných údajov prostredníctvom Webového sídla je spravidla dobrovoľné. V niektorých prípadoch je však poskytnutie určitých osobných údajov nevyhnutné na uzatvorenie alebo plnenie zmluvy, využitie konkrétnej služby Webového sídla alebo splnenie zákonnej povinnosti Prevádzkovateľa.
Údaje označené v príslušnom formulári ako povinné sú nevyhnutné na využitie konkrétnej funkcie alebo služby. Ak ich dotknutá osoba neposkytne, Prevádzkovateľ nemusí byť schopný najmä:
vytvoriť a spravovať zákaznícky účet;
prijať a vybaviť objednávku;
uzatvoriť a plniť kúpnu zmluvu;
zabezpečiť platbu, vystavenie účtovného dokladu a doručenie objednávky;
vybaviť reklamáciu, odstúpenie od zmluvy, vrátenie tovaru alebo iný nárok;
poskytnúť zákaznícku podporu alebo odpovedať na otázku;
umožniť účasť vo vernostnom alebo odporúčacom programe;
zaslať oznámenie o dostupnosti produktu;
zverejniť alebo overiť recenziu;
splniť inú žiadosť dotknutej osoby.
Poskytnutie identifikačných, kontaktných, fakturačných, doručovacích a objednávkových údajov je nevyhnutné na uzatvorenie a plnenie kúpnej zmluvy. Bez ich poskytnutia nie je možné objednávku riadne spracovať, doručiť ani vystaviť príslušný účtovný alebo daňový doklad.
Vytvorenie zákazníckeho účtu je dobrovoľné, pokiaľ Webové sídlo umožňuje uskutočniť nákup aj bez registrácie. Odmietnutie registrácie nesmie samo osebe brániť nákupu, ak technické a obchodné podmienky umožňujú objednávku bez zákazníckeho účtu.
Poskytnutie údajov na účely účasti vo vernostnom alebo odporúčacom programe je dobrovoľné. Bez ich poskytnutia však nie je možné využívať funkcie, výhody, body, odmeny alebo zľavy viazané na príslušný program.
Poskytnutie e-mailovej adresy na účely jednorazového oznámenia o dostupnosti produktu je dobrovoľné, ale bez jej poskytnutia nie je možné oznámenie zaslať. Takto získaná e-mailová adresa sa nesmie bez ďalšieho právneho základu použiť na zasielanie newslettera alebo inej priamej marketingovej komunikácie.
Vloženie recenzie alebo hodnotenia produktu je dobrovoľné. Ak dotknutá osoba recenziu neposkytne, nemá to vplyv na možnosť nakupovať, používať zákaznícky účet alebo uplatňovať práva zo zmluvy.
Udelenie súhlasu so zasielaním newslettera a priamej marketingovej komunikácie je dobrovoľné a nie je podmienkou:
vytvorenia alebo vybavenia objednávky;
registrácie zákazníckeho účtu;
účasti vo vernostnom alebo odporúčacom programe, ak pravidlá programu výslovne a zákonne neustanovujú inak;
uplatnenia reklamácie, odstúpenia od zmluvy alebo iného práva;
používania základných funkcií Webového sídla.
Ak dotknutá osoba súhlas so zasielaním newslettera neudelí alebo ho neskôr odvolá, nebude dostávať marketingovú komunikáciu založenú na tomto súhlase. Odvolanie súhlasu nemá vplyv na možnosť používať zákaznícky účet, nakupovať alebo využívať ostatné služby Webového sídla.
Priamy marketing existujúcim zákazníkom na základe zákazníckej výnimky sa nevykonáva na základe súhlasu. Dotknutá osoba však musí mať pri získaní kontaktu a v každej marketingovej správe možnosť jednoducho a bezplatne odmietnuť ďalšie zasielanie.
Udelenie súhlasu s používaním analytických, marketingových a ostatných voliteľných cookies alebo obdobných technológií je dobrovoľné. Odmietnutie alebo odvolanie súhlasu nebráni používaniu základných funkcií Webového sídla, môže však obmedziť niektoré voliteľné funkcie, personalizáciu obsahu alebo meranie používania Webového sídla.
Bezpodmienečne potrebné cookies alebo obdobné technológie sa môžu používať aj bez súhlasu, ak sú nevyhnutné na prenos komunikácie prostredníctvom siete alebo na poskytnutie služby informačnej spoločnosti, ktorú používateľ výslovne požaduje.
Dotknutá osoba by prostredníctvom bežného kontaktného formulára, poznámky k objednávke, recenzie alebo inej komunikácie nemala uvádzať údaje o zdravotnom stave ani iné osobitné kategórie osobných údajov, ktoré nie sú nevyhnutné na vybavenie jej požiadavky.
Ak dotknutá osoba dobrovoľne uvedie údaje o zdravotnom stave a Prevádzkovateľ ich má aktívne spracúvať na účely poskytnutia individuálnej odpovede, takéto spracúvanie sa môže uskutočniť iba na základe výslovného súhlasu alebo inej použiteľnej výnimky podľa článku 9 ods. 2 GDPR.
Dotknutá osoba je povinná poskytovať pravdivé, správne, aktuálne a primerané osobné údaje. Ak poskytuje údaje inej osoby, je povinná mať na ich poskytnutie príslušné oprávnenie a podľa potreby túto osobu informovať o spracúvaní jej osobných údajov.
Poskytnutie osobných údajov tretích osôb, najmä pri uvedení iného príjemcu zásielky alebo kontaktnej osoby, musí byť obmedzené na rozsah nevyhnutný na doručenie objednávky alebo splnenie inej oprávnenej požiadavky.
Článok X
Práva dotknutej osoby
Dotknutá osoba má za podmienok ustanovených GDPR najmä právo:
získať od Prevádzkovateľa potvrdenie o tom, či spracúva jej osobné údaje, a ak ich spracúva, právo na prístup k týmto osobným údajom a k informáciám o ich spracúvaní;
požiadať o opravu nesprávnych osobných údajov a doplnenie neúplných osobných údajov;
požiadať o vymazanie osobných údajov, ak sú splnené podmienky podľa článku 17 GDPR;
požiadať o obmedzenie spracúvania osobných údajov, ak sú splnené podmienky podľa článku 18 GDPR;
získať osobné údaje, ktoré poskytla Prevádzkovateľovi, v štruktúrovanom, bežne používanom a strojovo čitateľnom formáte a preniesť ich ďalšiemu prevádzkovateľovi, ak je spracúvanie založené na súhlase alebo zmluve a vykonáva sa automatizovanými prostriedkami;
požiadať o priamy prenos osobných údajov od Prevádzkovateľa k inému prevádzkovateľovi, ak je to technicky možné;
namietať z dôvodov týkajúcich sa jej konkrétnej situácie proti spracúvaniu osobných údajov založenému na oprávnenom záujme Prevádzkovateľa vrátane profilovania založeného na tomto právnom základe;
kedykoľvek namietať proti spracúvaniu osobných údajov na účely priameho marketingu vrátane profilovania v rozsahu, v akom súvisí s priamym marketingom;
kedykoľvek odvolať udelený súhlas so spracúvaním osobných údajov;
nebyť predmetom rozhodnutia založeného výlučne na automatizovanom spracúvaní vrátane profilovania, ktoré má pre ňu právne účinky alebo ju obdobne významne ovplyvňuje, okrem prípadov ustanovených v článku 22 ods. 2 GDPR;
podať sťažnosť dozornému orgánu;
domáhať sa ochrany svojich práv súdnymi alebo inými právnymi prostriedkami;
požadovať náhradu škody, ak jej v dôsledku porušenia GDPR vznikla majetková alebo nemajetková ujma za podmienok článku 82 GDPR.
Právo na prenosnosť osobných údajov sa uplatňuje iba pri automatizovanom spracúvaní založenom na súhlase dotknutej osoby alebo na zmluve. Uplatnením práva na prenosnosť nesmú byť nepriaznivo dotknuté práva a slobody iných osôb.
Dotknutá osoba môže svoje práva uplatniť:
elektronicky na e-mailovej adrese [email protected];
písomne na adrese:
Vitaloris s. r. o.
Kykula 662
913 04 Chocholná-Velčice
Slovenská republika.
Dotknutá osoba by mala vo svojej žiadosti uviesť najmä:
svoje meno a priezvisko;
kontaktný údaj, na ktorý jej má byť doručená odpoveď;
opis práva, ktoré si uplatňuje;
dostatočné informácie umožňujúce identifikovať spracúvanie, ktorého sa žiadosť týka, napríklad číslo objednávky alebo e-mailovú adresu zákazníckeho účtu, ak je to potrebné.
Prevádzkovateľ nesmie od dotknutej osoby požadovať viac osobných údajov, než je primerane potrebné na prijatie a vybavenie jej žiadosti.
Ak dotknutá osoba namietne proti spracúvaniu osobných údajov na účely priameho marketingu vrátane súvisiaceho profilovania, Prevádzkovateľ jej osobné údaje na tieto účely ďalej nespracúva.
Námietka proti priamemu marketingu sa uplatňuje bez potreby preukazovať osobitný dôvod. Dotknutá osoba sa môže z marketingovej komunikácie odhlásiť aj prostredníctvom odkazu uvedeného v každej marketingovej správe.
Ak dotknutá osoba namietne proti spracúvaniu založenému na oprávnenom záujme z dôvodov týkajúcich sa jej konkrétnej situácie, Prevádzkovateľ nesmie osobné údaje ďalej spracúvať, pokiaľ nepreukáže nevyhnutné oprávnené dôvody na spracúvanie, ktoré prevažujú nad právami, slobodami a záujmami dotknutej osoby, alebo dôvody na preukazovanie, uplatňovanie alebo obhajovanie právnych nárokov.
Odvolanie súhlasu nemá vplyv na zákonnosť spracúvania založeného na súhlase pred jeho odvolaním. Súhlas možno odvolať rovnakým alebo rovnako jednoduchým spôsobom, akým bol udelený.
Odvolanie súhlasu neznamená automatické vymazanie všetkých osobných údajov. Prevádzkovateľ môže príslušné údaje ďalej spracúvať, ak na to existuje iný právny základ, najmä zákonná povinnosť alebo potreba ochrany právnych nárokov.
Práva dotknutej osoby nie sú absolútne a možno ich uplatniť iba za podmienok ustanovených GDPR.
Právo na výmaz sa neuplatní najmä vtedy, ak je ďalšie spracúvanie potrebné:
na uplatnenie práva na slobodu prejavu a informácie;
na splnenie zákonnej povinnosti;
na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci;
z dôvodov verejného záujmu v oblasti verejného zdravia;
na účely archivácie vo verejnom záujme, vedeckého alebo historického výskumu alebo na štatistické účely, ak sú splnené podmienky GDPR;
na preukazovanie, uplatňovanie alebo obhajovanie právnych nárokov.
Prevádzkovateľ poskytne dotknutej osobe informáciu o opatreniach prijatých na základe jej žiadosti bez zbytočného odkladu, najneskôr do jedného mesiaca od doručenia žiadosti.
Lehotu podľa predchádzajúceho bodu možno s prihliadnutím na zložitosť a počet žiadostí predĺžiť o ďalšie dva mesiace. Prevádzkovateľ informuje dotknutú osobu o predĺžení lehoty a dôvodoch jej predĺženia do jedného mesiaca od doručenia žiadosti.
Ak dotknutá osoba podala žiadosť elektronicky, Prevádzkovateľ jej informácie podľa možnosti poskytne elektronicky, pokiaľ dotknutá osoba nepožiada o iný spôsob ich poskytnutia.
Ak Prevádzkovateľ neprijme opatrenia na základe žiadosti dotknutej osoby, bez zbytočného odkladu, najneskôr do jedného mesiaca od doručenia žiadosti, ju informuje o dôvodoch nekonania a o možnosti podať sťažnosť dozornému orgánu a uplatniť súdny prostriedok nápravy.
Ak má Prevádzkovateľ odôvodnené pochybnosti o totožnosti fyzickej osoby, ktorá si uplatňuje svoje práva, môže ju požiadať o poskytnutie dodatočných informácií nevyhnutných na potvrdenie jej totožnosti.
Prevádzkovateľ pri overovaní totožnosti zohľadní povahu žiadosti, kategórie spracúvaných údajov a riziko neoprávneného sprístupnenia. Kópiu dokladu totožnosti vyžiada iba výnimočne, ak totožnosť nemožno primerane overiť menej invazívnym spôsobom.
Uplatnenie práv dotknutej osoby je bezplatné. Ak je žiadosť zjavne neopodstatnená alebo neprimeraná, najmä z dôvodu jej opakujúcej sa povahy, Prevádzkovateľ môže:
požadovať primeraný poplatok zohľadňujúci administratívne náklady na poskytnutie požadovaných informácií alebo vykonanie požadovaného opatrenia; alebo
odmietnuť na základe žiadosti konať.
Prevádzkovateľ znáša dôkazné bremeno preukázania, že žiadosť dotknutej osoby bola zjavne neopodstatnená alebo neprimeraná.
Ak Prevádzkovateľ vykoná opravu, vymazanie alebo obmedzenie spracúvania osobných údajov, oznámi túto skutočnosť každému príjemcovi, ktorému boli osobné údaje poskytnuté, okrem prípadu, ak sa to ukáže ako nemožné alebo si to vyžaduje neprimerané úsilie.
Prevádzkovateľ informuje dotknutú osobu o príjemcoch podľa predchádzajúceho bodu, ak o to dotknutá osoba požiada.
Dotknutá osoba môže v rámci práva na prístup požiadať aj o informáciu o konkrétnych príjemcoch, ktorým boli alebo budú jej osobné údaje sprístupnené. Ak ich možno identifikovať, Prevádzkovateľ poskytne ich konkrétnu totožnosť; ak to zatiaľ nie je možné, poskytne kategórie príjemcov.
Ak sa dotknutá osoba domnieva, že spracúvaním jej osobných údajov došlo k porušeniu GDPR alebo zákona č. 18/2018 Z. z., má právo podať sťažnosť dozornému orgánu podľa článku 77 GDPR, najmä v členskom štáte svojho obvyklého pobytu, miesta výkonu práce alebo miesta údajného porušenia.
V Slovenskej republike môže dotknutá osoba podať návrh na začatie konania o ochrane osobných údajov:
Úrad na ochranu osobných údajov Slovenskej republiky
Galvaniho Business Centrum II
Galvaniho 7/B
821 04 Bratislava
Článok XI
Bezpečnosť osobných údajov
Prevádzkovateľ prijíma primerané technické a organizačné opatrenia na zabezpečenie úrovne ochrany osobných údajov zodpovedajúcej existujúcim rizikám, a to so zreteľom najmä na stav techniky, náklady na vykonanie opatrení, povahu, rozsah, kontext a účely spracúvania, ako aj na pravdepodobnosť a závažnosť rizík pre práva a slobody fyzických osôb.
Prevádzkovateľ zabezpečuje najmä dôvernosť, integritu, dostupnosť a odolnosť informačných systémov a služieb spracúvania a chráni osobné údaje pred neoprávneným alebo nezákonným spracúvaním, náhodnou stratou, zničením, poškodením, zneužitím, zmenou alebo neoprávneným sprístupnením.
Technické a organizačné opatrenia môžu v závislosti od povahy spracúvania a existujúcich rizík zahŕňať najmä:
riadenie, pravidelnú kontrolu a obmedzovanie prístupových oprávnení podľa pracovných a zmluvných úloh jednotlivých osôb;
používanie primeraných mechanizmov overovania totožnosti, bezpečných hesiel, viacfaktorového overovania a ochrany používateľských, administrátorských a systémových účtov;
zabezpečenie prenosu osobných údajov a podľa potreby aj ich uloženia prostredníctvom šifrovania alebo obdobných ochranných mechanizmov;
pseudonymizáciu, anonymizáciu, logické alebo prístupové oddelenie osobných údajov, ak je to vzhľadom na účel a riziko spracúvania primerané;
pravidelnú aktualizáciu, údržbu, monitorovanie a zabezpečenie informačných systémov, aplikácií, serverov a zariadení používaných na spracúvanie osobných údajov;
ochranu Webového sídla pred neoprávnenými zásahmi, škodlivým kódom, automatizovanými útokmi, podvodným konaním a zneužitím zákazníckych účtov;
zálohovanie osobných údajov a prijatie postupov umožňujúcich včasnú obnovu ich dostupnosti a prístupu k nim v prípade technického alebo fyzického incidentu;
evidenciu a kontrolu prístupov, zmien a bezpečnostných udalostí, ak je takáto evidencia vzhľadom na povahu a riziko spracúvania primeraná;
uplatňovanie zásady minimalizácie osobných údajov a pravidiel ich bezpečného vymazávania, likvidácie alebo anonymizácie po uplynutí určenej doby uchovávania;
ochranu platobných, objednávkových, fakturačných a doručovacích údajov a obmedzenie ich prístupnosti iba na osoby, ktoré ich nevyhnutne potrebujú;
poučenie oprávnených osôb, ich pravidelné oboznamovanie s pravidlami ochrany osobných údajov a informačnej bezpečnosti a ich viazanosť povinnosťou mlčanlivosti;
preverovanie sprostredkovateľov a ďalších poskytovateľov, ktorí môžu mať prístup k osobným údajom, a zmluvné upravenie ich povinností;
zavedenie postupov na zisťovanie, evidenciu, posudzovanie, riešenie a oznamovanie porušení ochrany osobných údajov;
pravidelné testovanie, posudzovanie a hodnotenie účinnosti prijatých technických a organizačných opatrení.
K osobným údajom majú prístup iba poverené osoby v rozsahu nevyhnutnom na plnenie ich pracovných alebo zmluvných úloh. Tieto osoby sú povinné spracúvať osobné údaje iba podľa pokynov Prevádzkovateľa, ak im ich spracúvanie neukladá priamo všeobecne záväzný právny predpis.
Prevádzkovateľ zabezpečuje primerané oddelenie prístupových oprávnení najmä medzi osobami zabezpečujúcimi:
správu Webového sídla a informačných systémov;
vybavovanie objednávok a zákaznícku podporu;
skladovanie, balenie a expedíciu zásielok;
účtovníctvo, fakturáciu a evidenciu platieb;
marketing, newsletter a analytiku;
vybavovanie reklamácií, odstúpení od zmluvy a právnych nárokov.
Údaje o zakúpených produktoch, histórii objednávok, navštívených produktových kategóriách a obsahu zákazníckej komunikácie sa nesmú bez osobitného právneho základu používať na vyvodzovanie diagnózy, zdravotného stavu alebo iných osobitných kategórií osobných údajov zákazníka.
Ak dotknutá osoba dobrovoľne uvedie v komunikácii údaje o zdravotnom stave, prístup k nim majú iba osoby, ktoré ich nevyhnutne potrebujú na posúdenie spôsobu vybavenia konkrétnej správy alebo právneho nároku.
Údaje o zdravotnom stave sa nesprístupňujú osobám zabezpečujúcim marketing, profilovanie, behaviorálnu reklamu alebo správu marketingových kampaní, pokiaľ na takéto spracúvanie neexistuje osobitný a platný právny základ podľa článkov 6 a 9 GDPR.
Prevádzkovateľ nezískava ani neuchováva úplné údaje o platobných kartách, ak ich spracúva poskytovateľ platobných služieb. Prevádzkovateľ môže spracúvať iba údaje o stave platby, čiastočne maskované identifikátory platobného prostriedku alebo iné údaje nevyhnutné na párovanie, reklamáciu alebo vrátenie platby.
Pri používaní zákazníckeho účtu je používateľ povinný chrániť svoje prihlasovacie údaje, neposkytovať ich tretím osobám a oznámiť Prevádzkovateľovi podozrenie na neoprávnené použitie účtu.
Prevádzkovateľ môže z bezpečnostných dôvodov dočasne obmedziť prístup k zákazníckemu účtu, vyžiadať opätovné overenie totožnosti alebo resetovanie hesla, ak má odôvodnené podozrenie na jeho zneužitie alebo bezpečnostný incident.
Prevádzkovateľ vedie primeranú evidenciu porušení ochrany osobných údajov vrátane ich okolností, následkov a prijatých nápravných opatrení.
Ak porušenie ochrany osobných údajov pravdepodobne povedie k riziku pre práva a slobody fyzických osôb, Prevádzkovateľ ho oznámi príslušnému dozornému orgánu bez zbytočného odkladu, podľa možnosti najneskôr do 72 hodín od okamihu, keď sa o ňom dozvedel.
Ak je pravdepodobné, že porušenie ochrany osobných údajov povedie k vysokému riziku pre práva a slobody fyzických osôb, Prevádzkovateľ ho bez zbytočného odkladu oznámi aj dotknutej osobe, ak sa neuplatní niektorá z výnimiek podľa článku 34 ods. 3 GDPR.
Prevádzkovateľ pri oznamovaní porušenia dotknutej osobe použije jasný a zrozumiteľný jazyk a uvedie najmä povahu porušenia, pravdepodobné následky, prijaté alebo navrhované opatrenia a kontaktné miesto na získanie ďalších informácií.
Prevádzkovateľ pravidelne prehodnocuje primeranosť prijatých bezpečnostných opatrení a podľa potreby ich aktualizuje s prihliadnutím na vývoj technológií, zmenu používaných systémov, rozsah spracúvania a nové bezpečnostné riziká.
Napriek prijatým bezpečnostným opatreniam nemožno pri prenose a spracúvaní osobných údajov prostredníctvom internetu úplne vylúčiť všetky bezpečnostné riziká. Prevádzkovateľ však prijíma primerané opatrenia na ich predchádzanie, obmedzenie následkov a zabezpečenie včasnej reakcie na bezpečnostný incident.
Povinnosti týkajúce sa primeraného zabezpečenia a oznamovania porušení upravujú najmä články 32 až 34 GDPR.
Článok XII
Zmeny týchto zásad
Prevádzkovateľ je oprávnený tieto zásady primerane meniť alebo dopĺňať, najmä z dôvodu:
zmeny všeobecne záväzných právnych predpisov;
zmeny rozhodovacej, metodickej alebo dozornej praxe príslušných orgánov;
zmeny používaných technológií, informačných systémov alebo poskytovateľov služieb;
zmeny účelov, právnych základov, rozsahu alebo spôsobov spracúvania osobných údajov;
zavedenia, zmeny alebo ukončenia funkcií Webového sídla, zákazníckeho účtu, vernostného programu, odporúčacieho programu, newslettera alebo ďalších služieb;
zmeny organizačného alebo technického zabezpečenia spracúvania.
Aktuálne znenie týchto zásad bude vždy zverejnené na Webovom sídle spolu s dátumom jeho účinnosti.
Prevádzkovateľ môže na Webovom sídle uchovávať alebo iným primeraným spôsobom archivovať aj predchádzajúce znenia zásad, najmä na účely preukázania rozsahu informačnej povinnosti splnenej v minulosti.
Ak zmena týchto zásad môže podstatne ovplyvniť práva a slobody dotknutých osôb, rozsah spracúvania osobných údajov alebo spôsob uplatňovania ich práv, Prevádzkovateľ o zmene informuje dotknuté osoby primeraným a transparentným spôsobom.
Informovanie podľa predchádzajúceho bodu sa môže uskutočniť najmä:
oznámením na Webovom sídle;
oznámením v zákazníckom účte;
e-mailovou správou, ak má Prevádzkovateľ na takéto kontaktovanie platný právny základ;
oznámením pri použití príslušného formulára alebo funkcie Webového sídla.
Ak Prevádzkovateľ zamýšľa ďalej spracúvať osobné údaje na iný účel, než na ktorý boli pôvodne získané, poskytne dotknutej osobe ešte pred začatím takéhoto ďalšieho spracúvania informácie o:
novom účele spracúvania;
príslušnom právnom základe;
kategóriách osobných údajov a príjemcov, ak sa menia;
dobe uchovávania alebo kritériách na jej určenie;
ďalších relevantných skutočnostiach vyžadovaných GDPR.
Ďalšie spracúvanie osobných údajov na nový účel sa môže uskutočniť iba na základe platného právneho základu a pri splnení ostatných podmienok ustanovených GDPR.
Ak je spracúvanie založené na súhlase a plánovanú zmenu účelu alebo rozsahu spracúvania nepokrýva pôvodne udelený súhlas, Prevádzkovateľ si pred začatím takéhoto spracúvania vyžiada nový, dobrovoľný, konkrétny, informovaný a jednoznačný súhlas dotknutej osoby.
Samotná aktualizácia týchto zásad:
nerozširuje rozsah pôvodne udeleného súhlasu;
nenahrádza nový súhlas, ak je potrebný;
nevytvára nový právny základ na spracúvanie osobných údajov;
neobmedzuje práva dotknutej osoby podľa GDPR.
Ak sa zmenia identifikačné alebo kontaktné údaje Prevádzkovateľa, údaje o zodpovednej osobe, kategórie príjemcov alebo iné podstatné informácie, Prevádzkovateľ ich v týchto zásadách aktualizuje bez zbytočného odkladu.
Ak dôjde k prevodu podniku, jeho časti, e-shopu alebo inej organizačnej zložky na inú osobu, osobné údaje možno poskytnúť nadobúdateľovi iba pri existencii platného právneho základu, splnení informačnej povinnosti a zabezpečení primeranej ochrany práv dotknutých osôb.
Zmena vlastníckej alebo organizačnej štruktúry Prevádzkovateľa sama osebe neoprávňuje nového alebo existujúceho subjektu používať osobné údaje na nové účely, ktoré nie sú zlučiteľné s pôvodným účelom alebo nie sú pokryté platným právnym základom.
Ak dôjde k ukončeniu konkrétnej služby, funkcie alebo účelu spracúvania, Prevádzkovateľ príslušné osobné údaje vymaže, anonymizuje alebo ďalej uchováva iba v rozsahu potrebnom na splnenie zákonnej povinnosti alebo ochranu právnych nárokov.
Tieto zásady nadobúdajú účinnosť dňom uvedeným v ich záhlaví.
Článok XIII
Záverečné ustanovenia
Tieto zásady sa vzťahujú na spracúvanie osobných údajov vykonávané Prevádzkovateľom v súvislosti s prevádzkou a používaním Webového sídla www.vitaloris.sk, internetového obchodu, zákazníckeho účtu, vernostného programu, odporúčacieho programu, newslettera, kontaktných formulárov, zákazníckej podpory, recenzií, cookies a ďalších funkcií a služieb dostupných prostredníctvom Webového sídla.
Tieto zásady predstavujú splnenie informačnej povinnosti Prevádzkovateľa podľa článkov 13 a 14 GDPR v rozsahu spracovateľských činností, na ktoré sa vzťahujú.
Podrobnejšie pravidlá niektorých spracovateľských činností môžu byť upravené aj v osobitných dokumentoch, najmä v:
Zásadách používania súborov cookies;
pravidlách vernostného programu;
pravidlách odporúčacieho programu;
podmienkach zverejňovania recenzií;
informačných oznámeniach uvedených pri konkrétnych formulároch;
obchodných podmienkach, reklamačnom poriadku alebo inom dokumente dostupnom na Webovom sídle.
Osobitné dokumenty podľa predchádzajúceho bodu dopĺňajú tieto zásady. Ak osobitný dokument upravuje konkrétnu spracovateľskú činnosť presnejšie alebo podrobnejšie, použije sa na túto činnosť prednostne v rozsahu, v akom nie je v rozpore s GDPR a ostatnými príslušnými právnymi predpismi.
Prevádzkovateľ zabezpečí, aby informácie o spracúvaní osobných údajov boli dotknutým osobám poskytované stručne, transparentne, zrozumiteľne, ľahko dostupnou formou a jasným a jednoduchým jazykom.
Ak sa niektoré ustanovenie týchto zásad stane neplatným, neúčinným alebo nevykonateľným, nemá táto skutočnosť vplyv na platnosť a účinnosť ostatných ustanovení.
Prevádzkovateľ nahradí neplatné, neúčinné alebo nevykonateľné ustanovenie takým ustanovením, ktoré v najväčšej možnej miere zodpovedá jeho pôvodnému účelu a požiadavkám príslušných právnych predpisov.
Nadpisy článkov, bodov a jednotlivých ustanovení slúžia iba na zlepšenie prehľadnosti dokumentu a nemajú samostatný normatívny význam ani vplyv na výklad jednotlivých ustanovení.
V prípade rozporu medzi týmito zásadami a kogentnými ustanoveniami príslušných právnych predpisov sa použijú príslušné právne predpisy.
Prevádzkovateľ vedie internú dokumentáciu o spracovateľských činnostiach, prijatých bezpečnostných opatreniach, zapojených sprostredkovateľoch a ďalších skutočnostiach v rozsahu vyžadovanom GDPR a príslušnými právnymi predpismi.
Zverejnenie týchto zásad samo osebe nenahrádza povinnosť Prevádzkovateľa:
zabezpečiť platný právny základ pri každom spracúvaní;
nastaviť webové formuláre, cookies a marketingové nástroje v súlade s právnymi predpismi;
uzatvoriť potrebné sprostredkovateľské alebo iné zmluvy;
viesť záznamy o spracovateľských činnostiach, ak sa táto povinnosť uplatňuje;
vykonať posúdenie vplyvu na ochranu osobných údajov, ak sú splnené podmienky článku 35 GDPR;
zabezpečiť výkon práv dotknutých osôb a riešenie bezpečnostných incidentov.
Ak sa prostredníctvom Webového sídla spracúvajú osobné údaje iných osôb, než je zákazník, najmä príjemcu zásielky, kontaktnej osoby právnickej osoby alebo osoby uvedenej v reklamácii, Prevádzkovateľ zabezpečí splnenie informačnej povinnosti v rozsahu a spôsobom vyžadovaným GDPR, ak sa neuplatní zákonná výnimka.
Tieto zásady sa vykladajú v súlade s GDPR, zákonom č. 18/2018 Z. z., zákonom č. 452/2021 Z. z. a ostatnými príslušnými právnymi predpismi Slovenskej republiky a Európskej únie.
Článok XIV
Účinnosť
Tieto Zásady ochrany osobných údajov nadobúdajú účinnosť dňa 13.07.2026.
Údaj o dátume účinnosti sa uvedie aj v záhlaví dokumentu bezprostredne pod názvom Webového sídla.
Dňom nadobudnutia účinnosti týchto zásad sa vo vzťahu k spracovateľským činnostiam, ktoré upravujú, nahrádzajú všetky predchádzajúce znenia zásad ochrany osobných údajov alebo všeobecných informačných oznámení Prevádzkovateľa týkajúcich sa rovnakých účelov spracúvania.
Nahradenie predchádzajúcich zásad podľa predchádzajúceho bodu:
nemá vplyv na zákonnosť spracúvania vykonaného pred nadobudnutím účinnosti týchto zásad;
nerozširuje rozsah predtým udelených súhlasov;
nevytvára nový právny základ na spracúvanie osobných údajov;
nemá vplyv na existujúce zákonné povinnosti Prevádzkovateľa ani na práva dotknutých osôb.
Ak bolo spracúvanie založené na súhlase, rozsah spracúvania sa aj po nadobudnutí účinnosti týchto zásad posudzuje podľa obsahu a rozsahu konkrétne udeleného súhlasu.
Ak nový alebo rozšírený účel spracúvania nie je pokrytý pôvodným súhlasom alebo iným platným právnym základom, Prevádzkovateľ začne takéto spracúvanie až po zabezpečení príslušného právneho základu a splnení informačnej povinnosti.
Aktuálne znenie týchto zásad je dostupné na Webovom sídle www.vitaloris.sk.
Dotknutá osoba si môže aktuálne znenie zásad kedykoľvek zobraziť, uložiť alebo vytlačiť, prípadne si ho vyžiadať od Prevádzkovateľa v elektronickej podobe na e-mailovej adrese [email protected].
Prevádzkovateľ môže primeraným spôsobom archivovať predchádzajúce znenia zásad najmä na účely preukázania plnenia informačnej povinnosti a rozsahu informácií poskytnutých dotknutým osobám v minulosti.