Informace o ochraně osobních údajů

1. Správce

EAS International

Urs Zimmermann

Klybeckstr. 141

4057 Basel

Schweiz

E-mail: info@batteriepass-online.eu

Nejsme povinni jmenovat pověřence pro ochranu osobních údajů podle čl. 37 GDPR. Dotazy týkající se ochrany osobních údajů zasílejte na výše uvedenou e-mailovou adresu.

1a. Zástupce v EU (čl. 27 GDPR)

Urs Zimmermann

Eichacker 2

79418 Schliengen

Germany

E-mail: info@batteriepass-online.eu

Subjekty údajů a dozorové úřady v EU se mohou na zástupce obracet ve všech otázkách zpracování; zástupce jedná jménem správce.

2. Naše role: správce, nebo zpracovatel

U zákaznických účtů, fakturace, zabezpečení a provozu webu jsme správcem. Tyto informace popisují toto zpracování.

Obsah pasů baterií, nahrané dokumenty, kontakty dodavatelů a žádosti o přístup zadávají do softwaru naši zákazníci (hospodářské subjekty). Pro tyto údaje je správcem příslušný zákazník a my jsme jeho zpracovatelem podle čl. 28 GDPR na základě naší smlouvy o zpracování osobních údajů (/avv). Subjekty údajů by se ohledně těchto údajů měly obracet na hospodářský subjekt uvedený v pasu; žádosti předáváme dál.

3. Návštěva webu

Když otevřete naše stránky, náš server zpracovává vaši IP adresu, požadovanou adresu a identifikátor prohlížeče (user agent), aby mohl stránku doručit a odvracet útoky (čl. 6 odst. 1 písm. f) GDPR). Náš předřazený webový server zaznamenává IP adresu, čas, požadovanou adresu, stavový kód a user agent, aby odhalil útoky a zneužití; tento serverový protokol se automaticky maže po sedmi dnech. Kromě toho se IP adresa zpracovává pouze v počítadlech omezení počtu požadavků (bod 5) a ve zkrácené a hašované podobě v protokolu přístupů k chráněnému obsahu pasů (bod 7).

Nepoužíváme žádné analytické nástroje sledování, žádné pluginy sociálních sítí a žádná externí písma. Google Ads k měření úspěšnosti našich reklam používáme pouze s vaším souhlasem (bod 4).

4. Cookies

Technicky nezbytné cookies a záznamy v úložišti, pro které není vyžadován souhlas (§ 25 odst. 2 bod 2 TDDDG):

• bpo_session: přihlášení do zákaznické sekce; platnost 30 dní, smaže se při odhlášení.
• bpo_access: pamatuje si udělený přístup k neveřejnému obsahu pasů (oprávněný zájem nebo orgán); platnost podle uděleného přístupu.
• bpo_consent (místní úložiště prohlížeče): ukládá vaši volbu cookies; platnost 12 měsíců.
• Google Ads (pouze se souhlasem): pokud v cookie liště souhlasíte, vložíme měření konverzí Google Ads (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irsko). Google k tomu nastavuje cookies (např. _gcl_au, platnost až 90 dní) a přijímá vaši IP adresu, navštívené stránky, čas a údaje o prohlížeči, aby změřil, zda kliknutí na naši reklamu vedlo k registraci nebo nákupu. Právním základem je váš souhlas (čl. 6 odst. 1 písm. a) GDPR, § 25 odst. 1 TDDDG). Předávání společnosti Google LLC v USA je kryto rámcem EU-USA pro ochranu osobních údajů (Data Privacy Framework). Bez souhlasu se žádný kód Google nenačte. Souhlas můžete kdykoli s účinností do budoucna odvolat prostřednictvím „Nastavení cookies“ v zápatí. Zásady ochrany soukromí Google: https://policies.google.com/privacy

5. Zákaznický účet a organizace

Při registraci zpracováváme jméno, e-mailovou adresu, firmu a heslo, které ukládáme pouze jako haš (scrypt). U organizace ukládáme úřední název, adresu, zemi, DIČ pro účely DPH, číslo EORI a další identifikátory podniku (např. číslo zápisu v obchodním rejstříku nebo LEI), které zákazník uvádí pro pasy a registraci v EU, a dále tarif a kvóty. Zaznamenáváme také čas posledního přihlášení a nastavení jazyka.

Účelem je poskytování zákaznické sekce, přiřazení pasů k hospodářskému subjektu a fakturace. Právním základem je plnění smlouvy (čl. 6 odst. 1 písm. b) GDPR).

Potvrzení e-mailové adresy, odkazy pro přihlášení a obnovení hesla jsou odesílány prostřednictvím e-mailové služby společnosti STRATO GmbH (Německo). Odeslané e-maily zaznamenáváme s příjemcem, předmětem, obsahem a stavem doručení, abychom mohli dohledat problémy s doručováním; protokol se maže po dvanácti měsících.

K ochraně před zneužitím omezujeme pokusy o přihlášení, registrace a obnovení hesla na IP adresu a účet. K tomu ukládáme počítadla s IP adresou nejvýše na 24 hodin (čl. 6 odst. 1 písm. f) GDPR). Pokusy o přihlášení (úspěšné i neúspěšné) zaznamenáváme s časem, e-mailovou adresou, výsledkem, úplnou IP adresou a user agentem po dobu 90 dní, abychom odhalili útoky na účty a odlišili je od překlepu zákazníka v jeho vlastním hesle. Tento protokol vidí pouze provozovatel v interním provozním přehledu, kde je ve výchozím stavu skryt za ovládacím prvkem pro zobrazení.

6. Platba a fakturace

Placené tarify jsou zpracovávány prostřednictvím Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin, Irsko. Stripe obdrží jméno, e-mailovou adresu, adresu firmy, DIČ pro účely DPH a platební údaje; údaje o kartě a účtu shromažďuje výhradně Stripe a nikdy se nedostanou na naše servery. Ukládáme ID zákazníka u Stripe, stav předplatného a fakturační údaje.

Stripe je pro zpracování plateb samostatným správcem; platí zásady ochrany osobních údajů Stripe (https://stripe.com/privacy). Předávání společnosti Stripe Inc. v USA je kryto rámcem EU-USA pro ochranu osobních údajů (Data Privacy Framework) a standardními smluvními doložkami.

Právními základy jsou plnění smlouvy (čl. 6 odst. 1 písm. b) GDPR) a naše zákonné povinnosti uchovávání (čl. 6 odst. 1 písm. c) GDPR). Fakturační údaje uchováváme deset let.

7. Veřejné pasy baterií

Zveřejněné pasy baterií jsou celosvětově dostupné na své adrese (QR kód). Které údaje jsou veřejné, viditelné pouze osobám s oprávněným zájmem nebo pouze orgánům, stanoví příloha XIII nařízení (EU) 2023/1542; software tyto úrovně technicky provádí. K veřejným údajům patří název a kontaktní údaje hospodářského subjektu; pokud jde o fyzickou osobu, odpovídá za to hospodářský subjekt.

Přístupy k neveřejnému obsahu pasů zaznamenáváme pro zákazníka s časem, úrovní přístupu, zkrácenou hašovanou IP adresou a user agentem. Tento protokol přístupů se maže po 90 dnech.

Kdo žádá o přístup k chráněnému obsahu jako orgán nebo jako osoba s oprávněným zájmem, uvádí e-mailovou adresu, organizaci, roli, účel a případně doklady. Tyto údaje vidí zákazník, který o udělení přístupu rozhoduje; zpracováváme je jménem zákazníka.

8. Formuláře pro dodavatele, API a webhooky

Zákazníci mohou dodavatele požádat o údaje o výrobku prostřednictvím odkazu v e-mailu. K tomu ukládáme jménem zákazníka e-mailovou adresu dodavatele zadanou zákazníkem, stav zpracování a předané hodnoty.

U API ukládáme klíče API pouze jako haš spolu s časem posledního použití. Adresy a tajné klíče webhooků zadává zákazník; tajné klíče se ukládají šifrovaně. Pokusy o doručení zaznamenáváme s časem, stavovým kódem a výňatkem odpovědi po dobu 30 dní.

9. Hosting a příjemci

Využíváme tyto poskytovatele služeb, kteří pro nás zpracovávají údaje (čl. 28 GDPR):

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Německo: servery pro aplikaci, databázi a úložiště dokumentů v datových centrech Falkenstein a Norimberk.
• STRATO GmbH, Otto-Ostrowski-Str. 7, 10249 Berlín, Německo: odesílání systémových e-mailů.
• Stripe Payments Europe Ltd., Dublin, Irsko: zpracování plateb (jako samostatný správce, viz bod 6).

10. Předávání do třetích zemí

Sídlíme ve Švýcarsku. Evropská komise uznala, že Švýcarsko zajišťuje odpovídající úroveň ochrany údajů (rozhodnutí o odpovídající ochraně 2000/518/ES, potvrzeno v roce 2024), proto je přístup ze Švýcarska k údajům uloženým v Německu přípustný. Kromě zpracování plateb prostřednictvím Stripe (bod 6) nedochází k žádnému předávání do jiných třetích zemí.

11. Doby uložení

• Údaje zákaznického účtu a organizace: do smazání účtu, poté 30denní lhůta blokace; fakturační údaje deset let.
• Relace přihlášení: 30 dní; odkazy pro přihlášení a obnovení: až 24 hodin.
• Protokol webového serveru: sedm dní. Počítadla omezení počtu požadavků: 24 hodin. Protokol přihlášení: 90 dní. Protokoly přístupů k chráněnému obsahu pasů: 90 dní. Protokol e-mailů: dvanáct měsíců. Protokol doručení webhooků: 30 dní.
• Pasy baterií a dokumenty: po zákonnou dobu uchovávání podle čl. 77 odst. 8 nařízení (EU) 2023/1542. Po skončení smlouvy zůstávají pasy v režimu pouze pro čtení nejméně 15 let a dále až do oznámení recyklace; výmaz podle našich VOP (bod 8).
• Protokol změn (auditní protokol) zákaznické sekce: po dobu trvání smlouvy, aby bylo možné prokázat ověřovací řetězec pasů.

12. Zabezpečení

Všechna spojení jsou šifrována pomocí TLS. Hesla se ukládají jako haše scrypt, tajné klíče šifrovaně. Přístup je založen na rolích, pokusy o přihlášení jsou omezeny a změny pasů se zaznamenávají v hašovacím řetězci. Databáze je dostupná pouze z privátní sítě. Zálohy se vytvářejí denně a uchovávají se 30 dní.

13. Vaše práva

Máte právo na přístup (čl. 15 GDPR), opravu (čl. 16), výmaz (čl. 17), omezení zpracování (čl. 18), přenositelnost údajů (čl. 20) a právo vznést námitku proti zpracování založenému na oprávněných zájmech (čl. 21). Obraťte se prosím na info@batteriepass-online.eu. Odpovíme do jednoho měsíce.

Můžete podat stížnost u dozorového úřadu pro ochranu osobních údajů, ve Švýcarsku u Federálního pověřence pro ochranu údajů a informací (EDÖB), v EU u úřadu v místě vašeho bydliště nebo pracoviště.

Neprovádíme žádné automatizované individuální rozhodování a vaše údaje bez vašeho předchozího souhlasu nepoužíváme k reklamě.

14. Změny

Tyto informace aktualizujeme, pokud se změní naše zpracování nebo právní situace. Aktuální verze je vždy k dispozici na /datenschutz; o podstatných změnách informujeme zákazníky e-mailem.