Prevádzkovateľ: City Partner s.r.o.
Sídlo: Znievska 3146/24, 851 06 Bratislava – mestská časť Petržalka, Slovenská republika
IČO: 50 951 173
Zápis: v obchodnom registri vedenom Mestským súdom Bratislava III, oddiel Sro, vložka 120447/B
E-mail: city.partner.assistance@gmail.com
Na účely týchto zásad je prevádzkovateľom osobných údajov spoločnosť uvedená v identifikačných údajoch vyššie (ďalej len „Prevádzkovateľ“).
Tieto zásady sa vzťahujú na spracúvanie osobných údajov pri používaní aplikácie CarPocket a pri poskytovaní súvisiacich služieb, najmä pri vedení používateľského účtu, evidencii vozidiel a dokladov, riešení nehody alebo poruchy, vytváraní správy o nehode, asistenčných službách, platbách a komunikácii.
Prevádzkovateľ spracúva osobné údaje v súlade s nariadením Európskeho parlamentu a Rady (EÚ) 2016/679 (GDPR), zákonom č. 18/2018 Z. z. o ochrane osobných údajov v znení neskorších predpisov a ďalšími uplatniteľnými právnymi predpismi.
Prevádzkovateľ spracúva iba osobné údaje, ktoré sú primerané, relevantné a nevyhnutné na konkrétny účel. Osobné údaje sa nepoužívajú na nezlučiteľné účely a neuchovávajú sa dlhšie, než je potrebné. Prístup k údajom je obmedzený na oprávnené osoby a zmluvných poskytovateľov, ktorí ich potrebujú na plnenie konkrétnej úlohy.
Celá fotografia dokladu sa spracúva len vtedy, ak ju používateľ do aplikácie sám nahrá za účelom uloženia dokladu a jeho použitia vo funkciách aplikácie. Fotografia dokladu sa nepovažuje za biometrický údaj podľa čl. 9 GDPR, pokiaľ sa nespracúva osobitnými technickými prostriedkami na jedinečnú identifikáciu osoby.
Účel: vytvorenie, vedenie, autentifikácia a správa používateľského účtu, umožnenie používania aplikácie a komunikácia o službe.
Údaje: najmä meno, priezvisko, e-mailová adresa, kontaktné a prihlasovacie údaje, nastavenia účtu a údaje o stave účtu.
Právny základ: čl. 6 ods. 1 písm. b) GDPR – plnenie zmluvy alebo vykonanie opatrení pred uzatvorením zmluvy.
Doba uchovávania: počas trvania zmluvného vzťahu; po jeho skončení najviac počas obdobia, počas ktorého je profil podľa VOP ešte dostupný, ak nie je pri konkrétnych údajoch potrebné dlhšie uchovanie z dôvodu zákonnej povinnosti alebo ochrany právnych nárokov.
Účel: uloženie a správa údajov o vozidle a poistení, predvyplnenie údajov pri nehode alebo poruche a zabezpečenie súvisiacich funkcií aplikácie.
Údaje: identifikačné údaje vozidla, evidenčné číslo, štát registrácie, údaje o vlastníkovi alebo držiteľovi, poisťovňa, číslo poistky, číslo a platnosť zelenej karty, údaj o havarijnom poistení, zvolený servis a ďalšie údaje, ktoré používateľ uloží k vozidlu.
Právny základ: čl. 6 ods. 1 písm. b) GDPR.
Doba uchovávania: do odstránenia vozidla alebo príslušných údajov používateľom, najneskôr do skončenia spracúvania používateľského účtu, ak nie je potrebné ich dlhšie uchovať z iného zákonného dôvodu.
Účel: poskytnutie používateľom vyžiadanej funkcie digitálneho uloženia dokladov v aplikácii CarPocket a ich použitie v rámci funkcií aplikácie, pri ktorých je uložený doklad relevantný.
Údaje: celá používateľom nahraná fotografia alebo obrazová kópia dokladu, najmä vodičského preukazu, osvedčenia o evidencii vozidla, zelenej karty alebo iného podporovaného dokladu, vrátane všetkých osobných údajov a ďalších informácií, ktoré sú na fotografii dokladu viditeľné.
Právny základ: čl. 6 ods. 1 písm. b) GDPR – spracúvanie je nevyhnutné na poskytnutie používateľom výslovne vyžiadanej funkcie digitálneho uloženia dokladu v aplikácii CarPocket.
Nahratie dokladu je dobrovoľné a nie je podmienkou používania ostatných funkcií aplikácie, ktoré uloženie dokladu nevyžadujú. Používateľ rozhoduje, či konkrétny doklad do aplikácie nahrá, a môže ho kedykoľvek odstrániť.
Prevádzkovateľ spracúva celý obrazový záznam dokladu len v rozsahu a na účel, na ktorý ho používateľ prostredníctvom aplikácie uložil alebo následne použil v rámci konkrétnej funkcie aplikácie.
Fotografie dokladov sa nepoužívajú na marketing, profilovanie ani na iný nesúvisiaci účel bez existencie samostatného právneho základu.
Doba uchovávania: fotografia dokladu sa uchováva do jej odstránenia používateľom alebo do zániku používateľského účtu, podľa toho, ktorá skutočnosť nastane skôr, ak neexistuje samostatný právny dôvod na jej ďalšie uchovanie.
Účel: presné určenie miesta nehody alebo poruchy a zabezpečenie pomoci na správnom mieste.
Údaje: presná aktuálna poloha zariadenia v okamihu použitia príslušnej funkcie.
Právny základ: čl. 6 ods. 1 písm. b) GDPR. Povolenie prístupu k polohe v operačnom systéme je technické oprávnenie aplikácie a samo osebe nenahrádza právny základ podľa GDPR.
Rozsah: poloha sa používa na konkrétnu používateľom vyžiadanú funkciu a neslúži na priebežné sledovanie pohybu používateľa.
Doba uchovávania: poloha zaznamenaná ako súčasť konkrétnej udalosti sa uchováva spolu s údajmi o tejto udalosti; technický prístup k polohe sa nepoužíva na vytváranie histórie pohybu.
Účel: prijatie a vybavenie požiadavky používateľa, identifikácia udalosti, zabezpečenie asistenčnej, odťahovej alebo servisnej pomoci a komunikácia s používateľom.
Údaje: identifikačné a kontaktné údaje používateľa, údaje o vozidle a poistení, poloha, údaje o nehode alebo poruche, fotografie a ďalšie údaje, ktoré používateľ poskytne pri nahlásení.
Právny základ: čl. 6 ods. 1 písm. b) GDPR.
Doba uchovávania: údaje súvisiace s nahlásenou poruchou alebo asistenčnou udalosťou sa uchovávajú počas vybavovania udalosti a následne po dobu 3 rokov od jej ukončenia. Údaje súvisiace s dopravnou nehodou sa uchovávajú počas vybavovania udalosti a následne po dobu 5 rokov od jej ukončenia. Ak je ich ďalšie uchovávanie nevyhnutné na splnenie zákonnej povinnosti alebo na uplatnenie, preukazovanie alebo obhajovanie právnych nárokov, môžu sa uchovávať aj dlhšie, najviac po dobu trvania príslušnej zákonnej alebo premlčacej lehoty.
Účel: zdokumentovanie dopravnej nehody a vytvorenie správy použiteľnej na riešenie poistnej udalosti a právnych nárokov.
Údaje: najmä dátum, čas a miesto nehody, údaje o vodičoch, vlastníkoch alebo držiteľoch vozidiel, vozidlách a poistení, postavenie účastníka ako vinníka alebo poškodeného, priebeh udalosti, viditeľné poškodenie, fotografie, nákres, body stretu, poznámky, podpisy, údaje o svedkoch a ďalšie údaje potrebné na zdokumentovanie udalosti.
Právny základ pri údajoch používateľa: čl. 6 ods. 1 písm. b) GDPR.
Právny základ pri údajoch iných účastníkov, svedkov alebo ďalších osôb: čl. 6 ods. 1 písm. f) GDPR – oprávnený záujem na riadnom zdokumentovaní udalosti a na uplatnení, preukazovaní alebo obhajovaní právnych a poistných nárokov.
Doba uchovávania: údaje obsiahnuté v správe o nehode sa uchovávajú po dobu 5 rokov od ukončenia riešenia príslušnej udalosti. Ak sú údaje potrebné na uplatnenie, preukazovanie alebo obhajovanie právnych nárokov, môžu sa uchovávať aj dlhšie, najviac po dobu trvania príslušnej zákonnej alebo premlčacej lehoty. Po zániku účelu sa údaje vymažú alebo anonymizujú, ak ich ďalšie uchovávanie nevyžaduje právny predpis.
Ak sa pri správe o nehode uvedie informácia o zranení alebo zdravotnom stave fyzickej osoby, ide o osobitnú kategóriu osobných údajov podľa čl. 9 GDPR.
Účel: zdokumentovanie následkov konkrétnej dopravnej udalosti a použitie údajov v rozsahu potrebnom na riešenie poistnej udalosti alebo právnych nárokov.
Právny základ podľa čl. 6 GDPR: vo vzťahu k údajom používateľa čl. 6 ods. 1 písm. b) GDPR, ak je spracúvanie nevyhnutné na poskytnutie používateľom vyžiadanej funkcie správy o nehode; vo vzťahu k údajom ostatných účastníkov alebo iných osôb čl. 6 ods. 1 písm. f) GDPR – oprávnený záujem na riadnom zdokumentovaní udalosti a na uplatnení, preukazovaní alebo obhajovaní právnych a poistných nárokov.
Podmienka podľa čl. 9 GDPR: čl. 9 ods. 2 písm. f) GDPR – spracúvanie je nevyhnutné na preukazovanie, uplatňovanie alebo obhajovanie právnych nárokov.
Údaje o zdraví sa nespracúvajú na marketingové, profilovacie ani analytické účely.
Ak používateľ pri nehode načíta údaje druhého účastníka prostredníctvom QR kódu alebo ich zadá manuálne, Prevádzkovateľ spracúva iba údaje potrebné na vyhotovenie správy o nehode a riešenie súvisiacej udalosti.
Právny základ: čl. 6 ods. 1 písm. f) GDPR, ak druhá osoba nie je zmluvnou stranou Prevádzkovateľa; ak je zároveň používateľom CarPocket a spracúvanie je nevyhnutné na poskytnutie jej požadovanej funkcie, môže byť právnym základom čl. 6 ods. 1 písm. b) GDPR.
QR kód sa nesmie používať na prenos údajov, ktoré nie sú primerané a potrebné na konkrétny účel.
Účel: spracovanie objednávky a platby, evidencia zakúpených balíkov alebo predplatného, vystavenie účtovných dokladov a plnenie daňových a účtovných povinností.
Údaje: identifikačné a fakturačné údaje, informácia o objednávke, sume, dátume a stave platby a údaje o zakúpenom balíku alebo službe.
Právny základ: čl. 6 ods. 1 písm. b) GDPR pri objednávke a platbe; čl. 6 ods. 1 písm. c) GDPR pri plnení zákonných účtovných a daňových povinností.
Platba sa podľa VOP vykonáva prostredníctvom platobného systému Stripe. Úplné údaje platobnej karty používateľ zadáva priamo do platobného prostredia Stripe; Prevádzkovateľ ich nezískava. Prevádzkovateľ však môže od Stripe prijímať údaje o transakcii potrebné na potvrdenie a evidenciu platby. Stripe môže pri poskytovaní svojich služieb vystupovať podľa konkrétnej operácie ako samostatný prevádzkovateľ alebo sprostredkovateľ.
Doba uchovávania: údaje súvisiace s objednávkou a platbou sa uchovávajú počas trvania zmluvného vzťahu a následne po dobu potrebnú na uplatnenie, preukazovanie alebo obhajovanie právnych nárokov. Účtovné a daňové údaje sa uchovávajú počas lehôt stanovených príslušnými právnymi predpismi.
Účel: informovanie používateľa o účte, službe, udalosti, bezpečnosti alebo funkcionalite aplikácie, zasielanie používateľom aktivovaných pripomienok a vybavovanie jeho požiadaviek.
CarPocket môže používateľovi zasielať servisné e-mailové upozornenia, najmä pripomienky blížiaceho sa konca platnosti STK alebo EK, ak si používateľ túto funkciu v aplikácii sám aktivuje.
Údaje spracúvané na účely servisnej komunikácie: najmä e-mailová adresa používateľa, údaje o vozidle, dátum platnosti STK alebo EK, nastavenie príslušnej pripomienky a ďalšie údaje nevyhnutné na doručenie oznámenia.
Právny základ servisnej komunikácie: čl. 6 ods. 1 písm. b) GDPR – spracúvanie je nevyhnutné na poskytnutie používateľom vyžiadanej funkcie alebo služby; prípadne čl. 6 ods. 1 písm. f) GDPR pri bezpečnostných alebo nevyhnutných prevádzkových oznámeniach. Oprávneným záujmom Prevádzkovateľa je zabezpečenie riadnej a bezpečnej prevádzky aplikácie.
Doba uchovávania údajov pri servisnej komunikácii: údaje potrebné na používateľom aktivované pripomienky sa spracúvajú počas trvania príslušného nastavenia, najneskôr do jeho vypnutia používateľom, odstránenia príslušného vozidla alebo zániku používateľského účtu.
Priamy marketing: ak používateľ v aplikácii aktivuje zasielanie ponúk zo servisov, Prevádzkovateľ mu môže prostredníctvom push notifikácií zasielať marketingové ponuky týkajúce sa servisných služieb.
Údaje spracúvané na účely priameho marketingu: najmä identifikátor potrebný na doručenie push notifikácie, údaj o aktivácii zasielania marketingových ponúk a ďalšie údaje nevyhnutné na doručenie príslušnej marketingovej notifikácie.
Marketingové push notifikácie sa zasielajú len na základe predchádzajúceho súhlasu používateľa, ktorý musí byť slobodný, konkrétny, informovaný a preukázateľný. Aktivácia zasielania marketingových ponúk nie je podmienkou používania ostatných funkcií aplikácie.
Právny základ priameho marketingu: čl. 6 ods. 1 písm. a) GDPR – súhlas dotknutej osoby, v spojení s pravidlami priameho marketingu podľa § 116 zákona č. 452/2021 Z. z. o elektronických komunikáciách.
Používateľ môže svoj súhlas kedykoľvek odvolať vypnutím zasielania ponúk v nastaveniach aplikácie alebo iným dostupným spôsobom. Odvolanie súhlasu nemá vplyv na zákonnosť spracúvania uskutočneného pred jeho odvolaním.
Doba uchovávania údajov na účely priameho marketingu: osobné údaje sa na tento účel spracúvajú do odvolania súhlasu alebo do zániku používateľského účtu, podľa toho, ktorá skutočnosť nastane skôr. Informácia potrebná na preukázanie udelenia alebo odvolania súhlasu sa môže uchovávať v nevyhnutnom rozsahu po dobu potrebnú na preukázanie splnenia právnych povinností Prevádzkovateľa a na ochranu jeho právnych nárokov.
Účel: ochrana účtov a aplikácie, zisťovanie neoprávneného používania, riešenie bezpečnostných incidentov, prevencia falošných hlásení, ochrana majetku a práv Prevádzkovateľa a používateľov.
Údaje: nevyhnutné technické a prevádzkové záznamy, identifikátory zariadenia alebo aplikácie, ak ich aplikácia používa na prevádzku alebo bezpečnosť, a údaje o účte a udalosti v rozsahu potrebnom na preverenie incidentu.
Právny základ: čl. 6 ods. 1 písm. f) GDPR – oprávnený záujem na bezpečnosti služby, prevencii zneužívania a ochrane právnych nárokov.
Doba uchovávania: bežné technické logy sa uchovávajú najviac 6 mesiacov od ich vytvorenia a bezpečnostné logy najviac 12 mesiacov od ich vytvorenia. Ak sú konkrétne logy potrebné na preverenie bezpečnostného incidentu, zneužitia služby alebo na uplatnenie, preukazovanie alebo obhajovanie právnych nárokov, môžu sa uchovávať po dobu nevyhnutnú na vyriešenie incidentu alebo ochranu príslušného právneho nároku.
Pri správe o nehode môže Prevádzkovateľ získať osobné údaje osoby, ktorá sama údaje Prevádzkovateľovi neposkytla, najmä druhého vodiča, vlastníka alebo držiteľa vozidla, svedka alebo zranenej osoby. Zdrojom údajov môže byť používateľ CarPocket, druhý účastník prostredníctvom QR funkcie alebo dokumenty a podklady súvisiace s udalosťou.
Prevádzkovateľ poskytne takejto dotknutej osobe informácie vyžadované čl. 14 GDPR v primeranej forme a lehote, najneskôr do jedného mesiaca od získania údajov, pri prvej komunikácii s dotknutou osobou alebo najneskôr pri prvom sprístupnení údajov ďalšiemu príjemcovi, podľa toho, ktorá okolnosť nastane skôr, ak sa neuplatní niektorá z výnimiek podľa čl. 14 ods. 5 GDPR.
Samotné vyhlásenie používateľa, že má súhlas tretej osoby, nenahrádza povinnosť Prevádzkovateľa určiť zákonný právny základ a splniť vlastnú informačnú povinnosť.
Osobné údaje sa sprístupňujú iba v nevyhnutnom rozsahu. Podľa konkrétnej služby môžu byť príjemcami najmä:
Ak subjekt spracúva osobné údaje v mene Prevádzkovateľa, Prevádzkovateľ s ním uzatvorí zmluvu podľa čl. 28 GDPR a preverí primeranosť technických a organizačných opatrení.
Pri využívaní platobnej služby Stripe môže dochádzať k prenosu osobných údajov do Spojených štátov amerických a prípadne ďalších krajín mimo Európskeho hospodárskeho priestoru v rozsahu nevyhnutnom na poskytovanie platobnej služby. Stripe využíva mechanizmy podľa kapitoly V GDPR, najmä EU–U.S. Data Privacy Framework a v prípadoch, keď je to potrebné, štandardné zmluvné doložky Európskej komisie. Bližšie informácie o použitých mechanizmoch a zárukách medzinárodných prenosov sú dostupné v aktuálnej dokumentácii ochrany osobných údajov a Data Processing Agreement spoločnosti Stripe.
Pri ostatných spracovateľských operáciách Prevádzkovateľ podľa aktuálne potvrdeného nastavenia neprenáša osobné údaje mimo EHP.
Používateľ môže využiť funkciu „Zmazať účet“ alebo uplatniť právo na vymazanie podľa čl. 17 GDPR. Ak sú splnené podmienky na vymazanie, Prevádzkovateľ vymaže osobné údaje bez zbytočného odkladu. Dvojmesačné obdobie dostupnosti profilu podľa VOP sa vzťahuje na bežné skončenie zmluvného vzťahu; neobmedzuje právo dotknutej osoby na vymazanie podľa GDPR.
Výmaz účtu neznamená povinnosť okamžite vymazať údaje, ktoré Prevádzkovateľ musí uchovávať na základe zákona alebo ktoré sú nevyhnutné na uplatnenie, preukazovanie alebo obhajovanie právnych nárokov. Takéto údaje sa po skončení pôvodného účelu oddelia alebo inak obmedzia a používajú sa iba na príslušný zákonný účel.
Ak sa vymazané údaje dočasne nachádzajú v bezpečnostných zálohách, Prevádzkovateľ zabezpečí, aby po uplynutí bežného cyklu zálohovania boli odstránené a aby sa po prípadnej obnove systému nevrátili do bežného aktívneho spracúvania bez existencie právneho základu.
Údaje potrebné na registráciu, autentifikáciu, objednávku alebo poskytnutie konkrétnej používateľom vyžiadanej služby sú zmluvnou požiadavkou. Bez ich poskytnutia nemusí byť možné vytvoriť účet alebo príslušnú službu poskytnúť.
Nahratie celej fotografie dokladu je dobrovoľné. Neposkytnutie dokladu nebráni používaniu tých funkcií aplikácie, ktoré uloženie dokladu nevyžadujú. Používateľ však nemusí mať k dispozícii konkrétnu funkciu, ktorá je založená na uloženom doklade alebo jeho údajoch.
Použitie presnej polohy je rovnako dobrovoľné, ak používateľ využíva funkciu, pri ktorej aplikácia môže určiť miesto nehody alebo poruchy. Nepovolenie prístupu k polohe môže obmedziť alebo znemožniť automatické určenie miesta udalosti.
Prevádzkovateľ nevykonáva automatizované individuálne rozhodovanie vrátane profilovania podľa čl. 22 GDPR, ktoré by voči dotknutej osobe vyvolávalo právne účinky alebo ju podobne významne ovplyvňovalo.
Za podmienok GDPR má dotknutá osoba právo:
Žiadosť možno zaslať na city.partner.assistance@gmail.com alebo poštou na adresu sídla Prevádzkovateľa. Prevádzkovateľ odpovie bez zbytočného odkladu, spravidla do jedného mesiaca. Túto lehotu možno vzhľadom na komplexnosť a počet žiadostí predĺžiť najviac o ďalšie dva mesiace; o predĺžení a jeho dôvodoch Prevádzkovateľ informuje do jedného mesiaca od prijatia žiadosti.
Vzhľadom na povahu a rozsah spracúvaných údajov, najmä celých obrazových kópií dokladov, údajov o vozidlách a poistení, presnej polohy a prípadných údajov o zdraví, Prevádzkovateľ prijíma primerané technické a organizačné opatrenia podľa čl. 25 a čl. 32 GDPR s cieľom zabezpečiť úroveň bezpečnosti zodpovedajúcu riziku spracúvania.
Pri určovaní a pravidelnom preverovaní primeranosti týchto opatrení Prevádzkovateľ zohľadňuje najmä riziko neoprávneného prístupu, straty, zmeny, zničenia alebo neoprávneného sprístupnenia osobných údajov.
Prístup k celým fotografiám dokladov je obmedzený iba na oprávnené osoby alebo systémové procesy, ktoré ho potrebujú na konkrétny účel, a len v rozsahu nevyhnutnom na jeho splnenie.
Fotografie dokladov sa nepoužívajú na marketing, profilovanie, automatizované vyhodnocovanie osoby ani na iný účel nesúvisiaci s funkciou, pre ktorú boli používateľom uložené, bez samostatného právneho základu.
Ak by Prevádzkovateľ v budúcnosti zaviedol automatizované čítanie údajov z dokladu, rozpoznávanie tváre, overovanie identity alebo iné nové spracúvanie, pred jeho začatím posúdi právny základ, riziká spracúvania a splní príslušné informačné a ďalšie povinnosti podľa GDPR.
Používateľ smie do aplikácie zadávať osobné údaje iných osôb len v rozsahu primeranom a potrebnom na zákonný účel súvisiaci s funkciou aplikácie, najmä na zdokumentovanie nehody alebo riešenie poistnej udalosti. Používateľ nemá do aplikácie vkladať údaje tretích osôb, ktoré s daným účelom nesúvisia alebo sú zjavne nadbytočné.
Toto ustanovenie nepresúva povinnosti Prevádzkovateľa podľa GDPR na používateľa a nenahrádza posúdenie právneho základu ani informačnú povinnosť Prevádzkovateľa.
Tieto zásady sa aktualizujú, ak sa zmení rozsah alebo účel spracúvania, používané technológie, príjemcovia, prenosy údajov alebo právne požiadavky. Nový účel spracúvania, ktorý nie je zlučiteľný s pôvodným účelom, sa nezačne len na základe aktualizácie tohto dokumentu; Prevádzkovateľ musí mať príslušný právny základ a splniť informačné povinnosti pred začatím takého spracúvania.
Aktuálne znenie zásad je zverejnené na webovom sídle CarPocket a môže byť sprístupnené aj v aplikácii.