1. Úvodní ustanovení

1.1. Správce

Tyto zásady zpracování osobních údajů (dále jen „Zásady“) vydává společnost Riselify s.r.o., IČO: 240 86 924, DIČ: CZ24086924, sídlem: Otakarova 1364/45, České Budějovice 3, 370 01 České Budějovice, zapsaná v obchodním rejstříku vedeném Krajským soudem v Českých Budějovicích, oddíl C, vložka 36062, zapsaná ke dni 18. prosince 2025 (dále jen „Správce“).

1.2. Role Správce

Správce poskytuje služby provozování e-shopu, vývoje aplikací a AI nástrojů. Tyto Zásady upravují nakládání s údaji našich Klientů a návštěvníků webu. V případech, kdy nám Klient předává data svých koncových zákazníků za účelem poskytování Služby (např. AI analytika), vystupujeme v pozici Zpracovatele a tento vztah se řídí Smlouvou o zpracování osobních údajů (DPA), která je nedílnou součástí našich Všeobecných obchodních podmínek.

1.3. Informační povinnost a Legislativa

Správce tímto informuje své zákazníky, návštěvníky webu a uživatele aplikací (dále jen „Subjekt údajů“) o způsobu, rozsahu a účelu zpracování jejich osobních údajů. Tyto Zásady reflektují požadavky:

• Nařízení Evropského parlamentu a Rady (EU) 2016/679 (GDPR).
• Zákona č. 110/2019 Sb., o zpracování osobních údajů.
• Příslušných právních norem upravujících oblast AI, zejm. Nařízení Evropského parlamentu a Rady EU 2024/1689 (akt o umělé inteligenci).

1.4. Automatizované zpracování

Subjekt údajů bere na vědomí, že pro zajištění personalizace a bezpečnosti Služeb jsou využívány technologie automatizovaného zpracování dat a profilování, avšak s garantovaným lidským dohledem (Human-in-the-Loop) v kritických procesech.

2. Správce a kontaktní údaje

3. Rozsah a kategorie zpracovávaných údajů

Zpracováváme Vaše osobní údaje, které nám poskytnete přímo, a údaje technického charakteru získávané automatizovaně při využívání našich Služeb a AI agentů.

3.1. Údaje poskytnuté přímo Subjektem údajů (Klient)

Jedná se o údaje nezbytné pro plnění smlouvy a zákonných povinností:

• Identifikační údaje: Jméno, příjmení, titul, datum narození (pouze je-li vyžadováno).
• Fakturační a doručovací údaje: Ulice, č.p., město, PSČ, stát, IČO/DIČ (u podnikatelů).
• Kontaktní údaje: E-mailová adresa, telefonní číslo.
• Autentizační údaje: Uživatelské jméno a heslo (uchováváno v šifrované podobě).
• Platební údaje: Číslo bankovního účtu (údaje o platebních kartách neukládáme, zpracovává je zabezpečená platební brána).

3.2. Technická a behaviorální data (AI & Analytika)

Pro personalizaci obsahu a technickou stabilizaci provozu využíváme vlastní analytické nástroje a pokročilé algoritmy umělé inteligence. Zpracováváme následující pseudonymizovaná data:

• Behaviorální data: Pohyb kurzoru, interakce s prvky (kliknutí), čas strávený na stránce.
• Technická data: Typ zařízení, verze prohlížeče, operační systém, IP adresa, nastavení jazyka, identifikátory zařízení (IMEI, IDFA, Android ID, Apple ID), unikátní identifikátory cookies.
• Geolokační údaje: Přibližná poloha (úroveň: město/kraj).
• Údaje o transakcích: Datum a čas transakce, předmět transakce, výše ceny, historie transakcí. Statistická data o transakcích (pro účely analytiky, nikoliv účetnictví)

Ochrana soukromí (Privacy by Design): Data využívaná pro běžný provoz Služby jsou zpracována v pseudonymizované podobě (např. nahrazením přímých identifikátorů hashovacím řetězcem). Data určená pro dlouhodobé trénování AI modelů a strojové učení (Data Moat) jsou následně nevratně anonymizována a agregována tak, že již nejsou osobními údaji ve smyslu GDPR a nelze je zpětně přiřadit ke konkrétní fyzické osobě.

4. Účely a právní základy zpracování

Vaše osobní údaje používáme pro následující účely a na základě níže uvedených podkladů.

4.1. Váš souhlas (čl. 6 odst. 1 písm. a) GDPR)

• Přímý marketing (zákazníci): Zasílání obchodních sdělení o našich nabídkách Služeb našim stávajícím zákazníkům (pokud jste k tomu dali výslovný souhlas) - možnost odhlášení v každém e-mailu.
• Používání citlivých údajů: V případě, že bychom v budoucnu shromažďovali citlivé údaje (např. biometrické údaje), vždy si k tomu vyžádáme Váš výslovný souhlas.
• Lokační služby: Shromažďování orientačních (přibližných) údajů o poloze Vašeho zařízení pro lokalizované Služby.
• Marketingové profilování: Využití cookies a pixelů pro cílení reklamy (retargeting) na platformách třetích stran.
• Newsletter (nezákazníci i zákazníci): Zasílání nabídek i osobám, které se přihlásily k odběru a zároveň zatím nejsou našimi zákazníky.

4.2. Plnění smlouvy (čl. 6 odst. 1 písm. b) GDPR)

• Poskytování a správa Služeb: Umožnění přístupu a používání funkcí v rámci uživatelského účtu, správa uživatelského účtu.
• Komunikace ohledně Služeb: Zpracování objednávky, vyřízení objednávky, platba, zákaznická podpora a řešení reklamací.

4.3. Plnění právních povinností Správce (čl. 6 odst. 1 písm. c) GDPR)

• Dodržování právních předpisů ČR: Např. daňové a účetní předpisy, vedení účetnictví, daňové evidence (archivace dokladů po dobu 10 let).
• Součinnost: Poskytnutí součinnosti orgánům veřejné moci a reakce na jejich zákonné požadavky.

4.4. Oprávněný zájem Správce (čl. 6 odst. 1 písm. f) GDPR)

• Analytika, obchodní statistiky a vývoj: Vyhodnocování obchodní výkonnosti (např. výpočet LTV klienta, míra retence), sběr zpětné vazby a provádění výzkumů. Zlepšování kvality služeb pomocí statistických modelů a trénování doporučovacích algoritmů na pseudonymizovaných datech. Zpracování je nezbytné pro interní reporting, strategické plánování rozvoje Služby a zajištění její konkurenceschopnosti.
• Bezpečnost: Ochrana webu před kybernetickými útoky, podvody a zneužitím Služeb.
• Vymáhání podmínek: Prosazování našich smluvních podmínek a zásad.
• Notifikace v mobilních aplikacích: Pokud využíváte naši mobilní aplikaci, můžeme vám zasílat push notifikace (např. o stavu služby, bezpečnostní upozornění). Marketingová sdělení touto cestou zasíláme pouze, pokud jste jejich příjem v nastavení telefonu nezakázali. Právním titulem je náš oprávněný zájem na informování uživatele.

5. Příjemci osobních údajů a Zpracovatelé

Správce předává osobní údaje pouze prověřeným subjektům. V souvislosti s využíváním umělé inteligence (AI) a cloudových služeb dochází k následujícímu zpracování:

• Poskytovatelé IT infrastruktury: Hostingové služby a cloudová úložiště (např. AWS, Google Cloud). Tito poskytovatelé mají přístup k Vašim údajům pouze v rozsahu nezbytném pro plnění svých úkolů a jsou smluvně vázáni k ochraně Vašich údajů.
• Poskytovatelé AI technologií (LLM): Pro zajištění funkčnosti AI agentů, chatbotů a pokročilé analytiky využíváme technologie třetích stran (např. společnosti OpenAI, Anthropic) prostřednictvím jejich standardních rozhraní (API).
  • Rozsah zpracování: Vaše data (např. dotazy do chatu, historie interakcí) jsou odesílána těmto poskytovatelům za účelem vygenerování odpovědi nebo analýzy.
  • Podmínky zpracování: Zpracování dat těmito poskytovateli se řídí jejich vlastními podmínkami ochrany soukromí a smluvními podmínkami. Berete na vědomí, že v závislosti na typu Služby mohou být pseudonymizovaná data využita poskytovatelem AI k vylepšování jeho služeb a modelů.
  • Mezinárodní přenos: Data mohou být zpracována na serverech v USA. Přenos je zajištěn v souladu s obecnými nařízeními EU (Data Privacy Framework nebo Standardní smluvní doložky).
• Další příjemci: Poskytovatelé platebních bran a externí poradci (účetní, daňoví, právní poradci) jsou vázáni mlčenlivostí.
• Provozovatel platební brány: Comgate, a.s., IČO: 279 35 295, se sídlem Gočárova třída 1754/48b, 500 02 Hradec Králové.

Ostatní důvody pro předání údajů třetí osobě:

• Právní důvody: Na základě zákona, soudního rozhodnutí nebo pro ochranu práv.
• Obchodní převody: V souvislosti s přeměnou společnosti či jinou transakcí.
• Se souhlasem: S Vaším výslovným souhlasem.

Předávání údajů do třetích zemí: Vaše osobní údaje zpracováváme primárně v EU/EHP. Vzhledem ke globální povaze cloudu a AI může docházet k přenosu do USA.

• Rozhodnutí o odpovídající ochraně: EU-US Data Privacy Framework.
• Standardní smluvní doložky (SCC): Doplněné o bezpečnostní opatření (šifrování).

6. Bezpečnost a Automatizované rozhodování

6.1. Zabezpečení

Aplikujeme moderní bezpečnostní standardy včetně šifrování přenosu dat (TLS/SSL), šifrování databází a řízení přístupů. Citlivé údaje jsou v analytických systémech nahrazeny hashi (pseudonymizace).

6.2. Automatizované rozhodování a AI

Při poskytování Služeb dochází k profilování za účelem doporučování zboží. Toto zpracování nemá pro Subjekt údajů právní účinky ve smyslu čl. 22 nařízení GDPR (např. automatické zamítnutí smlouvy). V případech, kdy AI systém navrhuje významné obchodní kroky (např. změna cen, hromadná komunikace), je vždy vyžadováno potvrzení člověkem (Human-in-the-Loop), čímž je zajištěna kontrola nad výstupy umělé inteligence.

7. Doba uchovávání údajů

• Daňové doklady: 10 let od konce zdaňovacího období.
• Transakční údaje: Po dobu stanovenou právními předpisy (obvykle 10 let).
• Obchodní sdělení: Do odvolání souhlasu nebo námitky, nejdéle 3 roky.
• Analytická data pro AI: Pseudonymizovaná data jsou uchovávána pouze po dobu nezbytně nutnou pro provedení analýzy či interakce. Pro účely trvalého trénování a vylepšování AI modelů jsou data okamžitě převáděna do plně anonymizované podoby, která je uchovávána trvale jako součást duševního vlastnictví Správce.
• Uživatelský účet: Po dobu trvání registrace a po přiměřenou dobu po zrušení pro splnění právních povinností.

8. Práva Subjektu údajů

V souladu s nařízením GDPR můžete svá práva uplatnit zasláním e-mailu na podpora@riselify.cz:

• Právo na přístup (čl. 15 GDPR): Právo získat potvrzení o zpracování a přístup k údajům.
• Právo na opravu (čl. 16 GDPR): Právo na opravu nepřesných nebo doplnění neúplných údajů.
• Právo na výmaz ("být zapomenut", čl. 17 GDPR): Povinnost Správce vymazat údaje, pokud pominul účel, byl odvolán souhlas nebo vznesena námitka. (Pozor: Nelze vymazat údaje archivované ze zákona nebo anonymizovaná data v AI modelech).
• Právo na omezení zpracování (čl. 18 GDPR): V případě zpochybnění přesnosti, protiprávnosti nebo při posuzování námitky.
• Právo být informován o příjemcích (čl. 19 GDPR): Na žádost o subjektech, kterým byla data poskytnuta.
• Právo na přenositelnost údajů (čl. 20 GDPR): Právo získat data ve strojově čitelném formátu a předat je jinému správci.
• Právo na námitku (čl. 21 GDPR): Proti zpracování na základě oprávněného zájmu (včetně marketingu a profilování). U přímého marketingu lze vznést kdykoli.
• Právo nebýt předmětem automatizovaného rozhodnutí (čl. 22 GDPR): Včetně profilování s právními účinky.
• Právo podat stížnost (čl. 77 GDPR): U dozorového úřadu (v ČR: Úřad pro ochranu osobních údajů - ÚOOÚ).
• Právo na soudní ochranu (čl. 79 GDPR): Pokud byla porušena Vaše práva.
• Právo na náhradu újmy (čl. 82 GDPR): Za hmotnou či nehmotnou újmu způsobenou porušením GDPR.
• Právo odvolat souhlas (čl. 7 odst. 3 GDPR): Kdykoli, aniž by tím byla dotčena zákonnost předchozího zpracování.

9. Cookies a sledovací technologie

Naše webové stránky a mobilní aplikace využívají technologie pro ukládání dat do zařízení uživatele (cookies, local storage, device identifiers). Dle účelu je dělíme na:

• Nezbytné (Technické): Nutné pro bezpečný provoz, přihlášení a fungování košíku. Tyto ukládáme na základě oprávněného zájmu (nepotřebujeme souhlas).
• Analytické a AI (Statistické): Slouží k trénování našich AI modelů, heatmapám a vylepšování UX. Na webu je spouštíme pouze s vaším souhlasem (Cookie lišta). V mobilní aplikaci jsou součástí smluvního plnění vylepšování služby, přičemž data jsou hashována.
• Marketingové a Notifikační: Slouží k připomenutí služeb (retargeting) a push notifikacím. Spouštíme je na základě vašeho souhlasu nebo nastavení systémových oprávnění telefonu.

10. Závěrečná ustanovení

10.1. Oznámení porušení zabezpečení

V případě, kdy dojde k jakémukoli porušení zabezpečení osobních údajů, pak Správce bez zbytečného odkladu toto porušení ohlásí dozorovému úřadu, a to v případech, kdy je pravděpodobné, že by toto porušení mělo za následek riziko pro práva a svobody fyzických osob. Je-li pravděpodobné, že určitý případ porušení zabezpečení osobních údajů bude mít za následek vysoké riziko pro Vaše práva a svobody, oznámí Vám správce bez zbytečného odkladu tuto skutečnost. Výjimky z povinnosti oznámit Vám tuto skutečnost se řídí čl. 34 odst. 3 nařízení GDPR.

10.2. Odkazy na třetí strany

Naše Služby mohou obsahovat odkazy na webové stránky nebo služby třetích stran (např. AI), které nejsou provozovány námi. Nemáme žádnou kontrolu nad obsahem, zásadami ochrany osobních údajů nebo praktikami jakýchkoliv stránek nebo služeb třetích stran a neneseme za ně žádnou odpovědnost.

10.3. Platnost

Tyto Zásady nabývají platnosti a účinnosti dnem 1.1.2026.

10.4. Aktualizace

Správce si vyhrazuje právo tyto Zásady aktualizovat či měnit. Nová verze bude vždy zveřejněna na webových stránkách riselify.cz.