Datenschutzbestimmungen

For ENGLISH scroll down

ZÁSADY ZPRACOVÁNÍ OSOBNÍCH ÚDAJŮ společnosti Cardverse s.r.o.

Společnost Cardverse s.r.o., IČO: 09348999, se sídlem Bělehradská 858/23, Vinohrady (Praha 2), 120 00 Praha, e-mail: info@cardverse.cz, telefon: +420 728 442 634, jakožto správce osobních údajů, v souladu s Nařízením Evropského parlamentu a Rady (EU) 2016/679 ("GDPR") informuje o způsobu a rozsahu zpracování osobních údajů.

I. ÚDAJE ZPRACOVÁVANÉ V RÁMCI PROVOZU KAMENNÉ PRODEJNY
Při nákupu v kamenné provozovně (Dr. Marodyho 912/16, 196 00 Praha 9 - Čakovice) zpracováváme osobní údaje pouze v nezbytném rozsahu:

fakturační údaje, pokud je vystavována faktura (jméno, příjmení, adresa);
kontaktní údaje pro řešení reklamací (e-mail, telefon, pokud jsou poskytnuty).

Údaje jsou uchovávány po dobu stanovenou právními předpisy (např. pro účetní či daňové účely).

II. VLASTNÍ E-SHOP A ZÁKAZNICKÝ ÚČET

Provozujeme vlastní E-shop na cardverse.cz. Pro objednávku, platbu a doručení zpracováváme jméno, e-mail, telefon, fakturační a dodací adresu, případné firemní údaje, vybrané výdejní místo, položky a částky objednávky, měnu, platební referenci a stav platby a dopravy. Registrace není podmínkou nákupu. Údaje potřebné pro vyřízení objednávky jsou nezbytné pro uzavření a plnění smlouvy (čl. 6 odst. 1 písm. b) GDPR).

Účet je propojený s Cardverse+: používá stejnou identitu, profil a vlastní objednávky, včetně historických nákupů z předchozího e-shopu. Přihlášené relace a košíky na různých doménách a v aplikaci mohou být oddělené. Účetní, daňové a reklamační doklady zpracováváme pro zákonné povinnosti (čl. 6 odst. 1 písm. c)); komunikaci, ochranu práv, bezpečnostní záznamy a prevenci podvodů také na základě oprávněného zájmu (čl. 6 odst. 1 písm. f)). Provozní záznamy mohou obsahovat IP adresu, čas a technické údaje prohlížeče. Při odeslání každé nové objednávky zaznamenáváme IP adresu připojení a čas záznamu jako samostatný podklad k objednávce pro prověřování podvodů a řešení případných sporů. Platí to pro nákup s účtem i bez registrace a pro platbu kartou i převodem. K tomuto podkladu mají přístup pouze oprávnění administrátoři; neposíláme jej do měření návštěvnosti ani reklamy. Doba uchování se posuzuje podle tohoto účelu a případného konkrétního sporu, nikoli automaticky podle doby archivace faktury. Marketingové zprávy vycházejí z příslušného souhlasu; objednávkové a bezpečnostní zprávy jsou potřebné k poskytování služby.

III. VĚRNOSTNÍ SYSTÉM CARDVERSE+
Uživatel se může dobrovolně zaregistrovat do věrnostního programu Cardverse+. V rámci registrace zpracováváme:

přezdívku (uživatelské jméno),
e-mailovou adresu,
autentizační údaje; hesla neukládáme v čitelné podobě, Supabase Auth používá hashe hesel.

Údaje včetně profilu, předvoleb oznámení, kreditů a věrnostních záznamů slouží k poskytování účtu a programu na základě plnění smlouvy. Uchováváme je po dobu poskytování účtu; po jeho ukončení pouze údaje s dalším právním důvodem uchování. Příjemce a doby uchování uvádíme níže.

IV. POUŽITÍ KAMERY V MOBILNÍ APLIKACI
Mobilní aplikace Cardverse+ využívá přístup ke kameře vašeho zařízení výhradně za účelem skenování QR kódů. Obraz ze senzoru není ukládán ani přenášen mimo zařízení. Přístup ke kameře vyžaduje výslovný souhlas.

V. KOMUNIKACE A DOBY UCHOVÁNÍ

Dobu uchování určujeme podle konkrétního účelu a druhu údajů. Zákonná archivace dokladu neznamená stejně dlouhé uchování celého zákaznického účtu, všech zpráv, telefonního čísla ani technických záznamů.

Daňové doklady: 10 let od konce zdaňovacího období, ve kterém se plnění uskutečnilo (§ 35 zákona č. 235/2004 Sb.).
Účetní doklady a další účetní záznamy: 5 let od konce účetního období, kterého se týkají; účetní závěrky a výroční zprávy 10 let (§ 31 zákona č. 563/1991 Sb.). U dokladu, na který dopadá více povinností, platí nejdelší z příslušných zákonných lhůt. Prodloužení může vyžadovat například probíhající řízení nebo nevypořádaný závazek podle § 32 tohoto zákona.
Objednávky, reklamace a odstoupení: údaje potřebné pro vyřízení smlouvy, doručení, reklamace, vrácení zboží a peněz po dobu tohoto vyřízení. Podklady, které současně prokazují účetní nebo daňové skutečnosti, podléhají příslušné zákonné archivaci. Pro ochranu konkrétních právních nároků uchováváme jen nezbytné důkazy po dobu jejich uplatnitelnosti a případného řízení. Obecná tříletá promlčecí lhůta není plošnou archivační lhůtou všech údajů a její počátek se neurčuje automaticky dnem objednávky.
Běžné dotazy bez objednávky, reklamace či jiného navazujícího účelu: do vyřízení. Bez dalšího důvodu k nim nepřidáváme roční ani tříletou archivační rezervu.
Zákaznický účet a Cardverse+: po dobu poskytování společného účtu a vypořádání jeho závazků. O ukončení účtu a výmaz můžete požádat na info@cardverse.cz. Ukončení účtu neznamená výmaz povinně uchovávaných dokladů; samotné odhlášení účet neukončuje.
Provozní a bezpečnostní záznamy: jen po dobu potřebnou k diagnostice, ochraně služby a vyšetření konkrétního incidentu. Záznam incidentu se posuzuje samostatně. Doba dostupnosti logů u poskytovatele neznamená automatické smazání kopií v naší databázi.
Marketing: do odvolání souhlasu nebo dřívějšího zániku účelu. Nezbytný záznam o odhlášení slouží k tomu, aby nebyl kontakt znovu zařazen do rozesílky; důkaz souhlasu uchováváme pouze v rozsahu a po dobu potřebnou k doložení oprávněnosti rozesílání.

U záloh se posuzuje samostatný cyklus přepisování poskytovatele; odstranění z aktivní databáze není okamžitým odstraněním ze všech záloh. Při výmazu je nutné zohlednit také kopie v e-mailové komunikaci, u poskytovatelů a importy historických objednávek. Konkrétní informace o uchování vašich údajů a zpracování žádosti o výmaz poskytneme na uvedeném e-mailu. Tyto zásady neslibují automatické smazání všech údajů ihned při zrušení účtu.

VI. COOKIES, MÍSTNÍ ÚLOŽIŠTĚ A MAPY

Nezbytné cookies a místní úložiště zajišťují košík, oblíbené, výdejní místo, jazyk, přihlášení a zapamatování volby cookies. Volitelné služby spouštíme pouze po předchozím souhlasu pro příslušný účel: externí obsah (Google Maps), analytika (Google Analytics 4) a marketing (Google Ads a Meta Pixel). Aktuální služby, používané úložiště a doby uchování uvádí přehled cookies.

Google mapa se načte pouze po povolení externího obsahu v nastavení cookies. Adresa a kontakty jsou dostupné i bez mapy. Google a Meta mohou při používání svých služeb získat IP adresu, údaje prohlížeče a údaje o návštěvě a zpracovávat je podle svých pravidel, včetně přenosů mimo EHP. Souhlas je dobrovolný a lze jej kdykoliv změnit nebo odvolat tlačítkem Nastavení cookies v patičce. Odmítnutí nebrání nákupu ani přihlášení. Přijetí i odmítnutí si pamatujeme 6 až 12 měsíců podle konfigurace; při podstatné změně služeb požádáme o novou volbu. Odvolání zastaví další používání a odstraní dostupné vlastní měřicí cookies, ale automaticky nevymaže údaje již předané poskytovateli. Při přechodu do obchodů s aplikacemi nebo na sociální sítě platí podmínky těchto služeb.

Na vlastním serveru můžeme uchovávat pouze souhrnné denní počty požadavků na veřejné stránky podle typu stránky, jazyka a hrubé skupiny zdroje. Pro tyto souhrny neukládáme IP adresy, původní URL/referrer, cookies, identifikátory návštěvníků ani otisky zařízení a nevyvoláváme další požadavky z prohlížeče. Po souhlasu s příslušným účelem mohou poskytovatelé dostávat návštěvy, zobrazení produktů, změny košíku, kroky pokladny a nákupní události z potvrzených plateb. Neodesíláme zákaznické kontakty, adresy, poznámky ani obsah formulářů. K přiřazení nákupu se používají pouze souhlasené analytické nebo reklamní identifikátory; ID transakce je odvozené bez přímého čísla objednávky. Souhlas pro serverové odeslání ověřujeme při požadavku z prohlížeče; bez něj se nákup nepředá poskytovateli.

VII. PŘÍJEMCI A PŘEDÁVÁNÍ ÚDAJŮ

Údaje zpřístupňujeme pracovníkům a poskytovatelům jen v potřebném rozsahu:

Supabase – databáze, autentizace, úložiště a serverové funkce obchodu a Cardverse+;
Netlify – hosting a serverový provoz webu;
Stripe a banky – provedení plateb, ověření stavu a refundace; úplné údaje karty obchod neukládá;
DPD – výdejní místa a doručování podle zvolené dopravy;
Resend – transakční e-maily;
Seznam.cz, a.s. (Email Profi) – e-mailová schránka a zákaznická korespondence;
Shoptet – dosavadní e-shop, jeho objednávky a jejich import do našeho informačního systému;
účetní a právní poradci a veřejné orgány, vyžaduje-li to plnění smlouvy či zákon.

Poskytovatelé mohou být zpracovatelé nebo samostatní správci, zejména banky a platební poskytovatelé. Zpracovatelské vztahy podléhají čl. 28 GDPR. Zahraniční služby mohou zahrnovat přístup nebo předávání mimo EHP. Předání musí odpovídat kapitole V GDPR, například rozhodnutí o odpovídající ochraně nebo standardním smluvním doložkám s potřebnými doplňkovými opatřeními. Podrobnosti a kopii záruk si vyžádejte e-mailem. Databáze v EU sama o sobě nevylučuje přístup ze třetích zemí.

Informace poskytovatelů: Supabase, Netlify, Stripe, Resend.

VIII. VAŠE PRÁVA DLE GDPR
Máte právo:

na přístup k osobním údajům,
na opravu nepřesných údajů,
na výmaz údajů,
na omezení zpracování,
na přenositelnost,
vznést námitku proti zpracování.

V případě pochybností se můžete obrátit na Úřad pro ochranu osobních údajů: www.uoou.cz

IX. KONTAKT
Cardverse s.r.o.
e-mail: info@cardverse.cz
telefon: +420 728 442 634

Znění pro nový E-shop, revize 3. 11. 2026. Souhlas můžete kdykoliv odvolat bez dopadu na zákonnost dřívějšího zpracování. Proti přímému marketingu lze kdykoliv vznést námitku. Žádosti vyřizujeme zpravidla do jednoho měsíce, o zákonném prodloužení vás informujeme. Může být nutné přiměřeně ověřit totožnost. Neprovádíme výhradně automatizované rozhodování s právními nebo obdobně významnými účinky.

ENGLISH

PERSONAL DATA PROCESSING POLICY of Cardverse s.r.o.

Cardverse s.r.o., Company ID No.: 09348999, with its registered office at Bělehradská 858/23, Vinohrady (Prague 2), 120 00 Prague, e-mail: info@cardverse.cz, telephone: +420 728 442 634, as the personal data controller, hereby provides information on the method and scope of personal data processing in accordance with Regulation (EU) 2016/679 of the European Parliament and of the Council ("GDPR").

I. DATA PROCESSED AS PART OF THE OPERATION OF THE BRICK-AND-MORTAR STORE
When making a purchase at our brick-and-mortar store (Dr. Marodyho 912/16, 196 00 Prague 9 - Čakovice), we process personal data only to the necessary extent:

billing details, if an invoice is issued (first name, surname, address);
contact details for handling complaints (e-mail, telephone number, if provided).

The data is retained for the period required by legal regulations, for example for accounting or tax purposes.

II. OUR OWN E-SHOP AND CUSTOMER ACCOUNT

We operate our own E-shop at cardverse.cz. Orders, payments and delivery require name, e-mail, phone, billing and delivery address, company details if applicable, pickup point, items and amounts, currency, payment reference, and payment and delivery status. Registration is optional. Required checkout data is necessary to enter into and perform the contract (Article 6(1)(b) GDPR).

Accounts are connected to Cardverse+, sharing the identity, profile and your orders, including historic purchases from our previous shop. Sessions and carts on different domains and in the app may be separate. Accounting, tax and complaint records meet legal obligations (Article 6(1)(c)); communications, protection of rights, security logs and fraud prevention also rely on legitimate interests (Article 6(1)(f)). Logs may include IP addresses, request times and browser information. When each new order is submitted, we record the connection IP address and capture time as separate order evidence for investigating fraud and resolving possible disputes. This applies to account holders and guest purchases, with both card and bank transfer payments. Only authorised administrators can access this evidence; it is not sent to analytics or advertising services. Retention is assessed for this purpose and any specific dispute, rather than automatically following invoice archive periods. Marketing relies on the relevant consent; order and security messages are necessary service communications.

III. CARDVERSE+ LOYALTY SYSTEM
Users may voluntarily register for the Cardverse+ loyalty program. As part of registration, we process:

nickname (username),
e-mail address,
authentication information; passwords are not stored in readable form, and Supabase Auth uses password hashes.

Information including profile, notification preferences, credit and loyalty records is used to provide accounts and the programme under the contract. It is retained while the account is provided; after closure only where another legal basis applies. Recipients and retention periods are explained below.

IV. USE OF THE CAMERA IN THE MOBILE APPLICATION
The Cardverse+ mobile application uses access to your device's camera solely for the purpose of scanning QR codes. The image from the sensor is not stored or transmitted outside the device. Access to the camera requires your explicit consent.

V. COMMUNICATION AND RETENTION PERIODS

Retention depends on the specific purpose and type of data. A statutory document archive does not require the same retention period for an entire customer account, every message, phone number or technical log.

VAT documents: 10 years from the end of the tax period in which the supply took place (section 35 of Czech Act No. 235/2004).
Accounting documents and other accounting records: 5 years from the end of the relevant accounting period; financial statements and annual reports: 10 years (section 31 of Czech Act No. 563/1991). Where several obligations apply to one document, the longest applicable statutory period applies. Proceedings or unsettled obligations may require longer retention under section 32.
Orders, complaints and withdrawals: data necessary to perform the contract, deliver goods, handle complaints, returns and refunds for the duration of those purposes. Evidence also supporting accounting or tax obligations follows the relevant statutory archive period. For specific legal claims, only necessary evidence is retained while those claims can be pursued and during related proceedings. The general three-year limitation period is not a blanket retention period for all data and does not automatically start on the order date.
Ordinary inquiries without an order, complaint or other continuing purpose: until resolved. We do not add a one-year or three-year archive buffer without a further reason.
Customer accounts and Cardverse+: while the shared account is provided and its obligations are settled. Request account closure and erasure at info@cardverse.cz. Closure does not erase legally required documents; signing out does not close an account.
Operational and security logs: only as needed for diagnostics, service security and investigation of a specific incident. Incident evidence is assessed separately. A provider’s log availability period does not automatically erase copies in our database.
Marketing: until consent is withdrawn or the purpose ends earlier. A minimal opt-out record prevents re-enrolment in mailings; evidence of consent is retained only to the extent and for the period needed to demonstrate lawful sending.

Backups have a separate provider rotation cycle; removal from an active database is not immediate removal from all backups. Erasure must also address copies in correspondence, at providers and in historical order imports. Contact us for specific information about retention of your data and processing of an erasure request. This policy does not promise automatic deletion of all data immediately upon account closure.

VI. COOKIES, LOCAL STORAGE AND MAPS

Necessary cookies and local storage support carts, favourites, pickup points, language, sign-in and remembering cookie choices. Optional services start only with prior consent for their purpose: external content (Google Maps), analytics (Google Analytics 4) and marketing (Google Ads and Meta Pixel). The cookie overview lists currently configured services, storage and retention periods.

Google Maps loads only after external content is enabled in cookie settings. The address and contacts remain available without it. Google and Meta may receive IP addresses, browser information and visit data under their policies, including transfers outside the EEA. Consent is voluntary and can be changed or withdrawn at any time through Cookie settings in the footer. Rejection does not prevent shopping or sign-in. Acceptance and rejection are remembered for 6 to 12 months according to configuration; material service changes require a new choice. Withdrawal stops further use and removes accessible first-party measurement cookies, but does not automatically erase data already shared. App stores and social networks apply their own terms when visited.

Our server may retain daily aggregate counts of public-page requests by page type, language and broad source group. These aggregates store no IP addresses, original URLs/referrers, cookies, visitor identifiers or device fingerprints and cause no extra browser requests. After consent for the relevant purpose, providers may receive visits, product views, cart changes, checkout steps and purchase events based on confirmed payments. We do not send customer contacts, addresses, notes or form contents. Purchase attribution uses only consented analytics or advertising identifiers; the transaction identifier does not expose the order reference. Consent for server delivery is verified when the browser requests it; purchases are not shared without it.

VII. RECIPIENTS AND INTERNATIONAL TRANSFERS

Staff and providers receive only necessary information:

Supabase – database, authentication, storage and server functions for the shop and Cardverse+;
Netlify – website hosting and server operations;
Stripe and banks – payment processing, verification and refunds; the shop does not store full card details;
DPD – pickup points and delivery as selected;
Resend – transactional e-mails;
Seznam.cz, a.s. (Email Profi) – mailbox hosting and customer correspondence;
Shoptet – the existing shop, its orders and their import into our information system;
accounting and legal advisers and authorities where required by contract or law.

Providers may act as processors or independent controllers, particularly banks and payment providers. Processor relationships are subject to Article 28 GDPR. International services may involve access or transfers outside the EEA. Transfers must comply with Chapter V GDPR, such as an adequacy decision or standard contractual clauses with necessary supplementary measures. Contact us for details and copies of safeguards. EU database hosting alone does not rule out third-country access.

Provider information: Supabase, Netlify, Stripe, Resend.

VIII. YOUR RIGHTS UNDER THE GDPR
You have the right:

to access your personal data,
to rectify inaccurate data,
to erase data,
to restrict processing,
to data portability,
to object to processing.

If you have any doubts, you may contact the Office for Personal Data Protection: www.uoou.cz

IX. CONTACT
Cardverse s.r.o.
e-mail: info@cardverse.cz
telephone: +420 728 442 634

New E-shop version, revised 3 November 2026. You may withdraw consent without affecting earlier lawful processing, and object to direct marketing at any time. Requests are normally resolved within one month; we explain any lawful extension. Proportionate identity verification may be needed. We do not use solely automated decisions with legal or similarly significant effects.