Zásady ochrany osobních údajů

XFlow Trading s.r.o. („my“) respektuje vaše soukromí. Tyto zásady popisují, jaké osobní údaje shromažďujeme, proč je zpracováváme, komu je předáváme a jaká máte práva podle nařízení (EU) 2016/679 (GDPR) a zákona č. 110/2019 Sb., o zpracování osobních údajů.

1. Správce údajů

XFlow Trading s.r.o., IČO 24101524, neplátce DPH, sídlo Nemocniční 1916/13, 466 01 Jablonec nad Nisou, Česká republika.

Kontakt pro jakoukoli záležitost ochrany osobních údajů: support@xflowtrading.com, +420 777 096 698.

2. Jaké údaje zpracováváme

Při vytvoření objednávky shromažďujeme údaje, které vyplníte v pokladním formuláři, a technické údaje vznikající Vaším nákupem:

• Jméno a příjmení
• Doručovací adresa (ulice, město, PSČ, země)
• Telefon a e-mailová adresa
• Detaily objednávky (produkt, množství, celková částka, způsob platby)
• Volitelná poznámka pro kurýra
• U platby kartou: identifikátor zákazníka u Stripe — celá čísla karet, CVC kódy ani PINy NEZÍSKÁVÁME ani neukládáme; tyto údaje má pouze Stripe.
• Klíč idempotence vytvořený Vaším prohlížečem pro zabránění duplicitních objednávek
• Pokud přijdete přes odkaz partnera (xflowsupplements.com/?ref=KÓD), kód je uložen v cookie první strany („xflow_ref“) na 30 dnů, aby mohla být na pokladně uplatněna sleva a prodej připsán partnerovi.
• Pokud jste v okamžiku nákupu přihlášeným uživatelem platformy XFlow trading: Váš identifikátor uživatele XFlow, propojující objednávku s Vaším účtem
• Serverové logy Vaší návštěvy (IP adresa, user agent, časová značka) pro bezpečnost a prevenci zneužití

3. Proč údaje zpracováváme a na základě čeho

• **Plnění objednávky** (čl. 6 odst. 1 písm. b) GDPR — plnění kupní smlouvy): jméno, adresa, telefon, e-mail, detaily objednávky, identifikátory plateb.
• **Daňové a účetní povinnosti** (čl. 6 odst. 1 písm. c) GDPR — právní povinnost dle zákona č. 563/1991 Sb., o účetnictví, a zákona č. 235/2004 Sb., o DPH): doklady o objednávkách a fakturách jsme povinni uchovávat po dobu 10 let.
• **Zákaznická podpora** (čl. 6 odst. 1 písm. f) GDPR — oprávněný zájem): vaše kontaktní údaje používáme k zodpovězení dotazů a řešení sporů.
• **Prevence podvodů a bezpečnost webu** (čl. 6 odst. 1 písm. f) GDPR — oprávněný zájem): serverové logy, idempotence, monitorování signálů zneužití.
• **Atribuce partnerských odkazů** (čl. 6 odst. 1 písm. f) GDPR — oprávněný zájem provozovatele a partnerského influencera): při návštěvě přes partnerský odkaz si do cookie první strany uložíme kód, aby bylo možné na pokladně uplatnit slevu a vzniklou objednávku připsat influencerovi pro výpočet provize. Proti tomuto zpracování můžete vznést námitku smazáním cookie „xflow_ref“ před odesláním objednávky.
• **Mezi-produktová personalizace pro uživatele XFlow trading** (čl. 6 odst. 1 písm. f) GDPR — oprávněný zájem): pokud jste v okamžiku nákupu přihlášeným uživatelem XFlow, propojíme objednávku s Vaším účtem, abyste viděli své objednávky doplňků vedle svého trading účtu. Proti tomuto propojení můžete kdykoli vznést námitku.

4. Příjemci údajů (zpracovatelé)

Vaše údaje předáváme pouze stranám, které je potřebují pro vyřízení objednávky nebo provoz služby. Každý zpracovatel je vázán písemnou smlouvou o zpracování dle čl. 28 GDPR.

• **Shipmall (Comgate s.r.o., Česká republika)** — náš logistický partner, zpracovává Vaši doručovací adresu a detaily objednávky pro odeslání zásilky a komunikaci stavů zpět k nám.
• **Vámi zvolený dopravce** (např. GLS, Zásilkovna / Packeta) — obdrží pouze údaje potřebné k doručení a kontaktu (jméno, adresa, telefon, e-mail, číslo zásilky).
• **Stripe Payments Europe, Limited (Irsko) a Stripe, Inc. (USA)** — zpracovatel plateb kartou. Přijímá osobní údaje potřebné pro zpracování platby (jméno, e-mail, fakturační adresa, platební metoda) a údaje o kartě ukládá na své infrastruktuře jako samostatný správce pro účely prevence podvodů. Pro přenosy do USA platí standardní smluvní doložky (SCCs).
• **Supabase, Inc. (USA)** s infrastrukturou hostovanou v EU — databáze pro objednávky a audit log. Pro přenosy platí SCCs.
• **Resend, Inc. (USA)** — doručování transakčních e-mailů (potvrzení objednávky, aktualizace přepravy). Přijímá Vaši e-mailovou adresu a vykreslený obsah e-mailu. Pro přenosy platí SCCs.
• **Vercel, Inc. (USA)** — hosting a edge doručování webových stránek. Zpracovává serverové logy (IP, user agent, cesta požadavku) pro bezpečnost a operační monitoring. Pro přenosy platí SCCs.
• **Naše účetní** — přijímá fakturační údaje pouze pro daňové účely.

5. Mezinárodní přenosy

Někteří výše uvedení zpracovatelé sídlí v USA nebo z USA působí. Přenosy do USA jsou prováděny na základě standardních smluvních doložek (SCCs) Evropské komise a, kde je to relevantní, rámce EU–USA o ochraně osobních údajů (Data Privacy Framework). Vaše údaje nepředáváme do dalších třetích zemí nad rámec toho, co provoz těchto zpracovatelů vyžaduje.

Kopii bezpečnostních záruk uplatňovaných na Vaše údaje obdržíte na vyžádání na support@xflowtrading.com.

6. Doba uchovávání

• Údaje k objednávkám a fakturám: 10 let od konce kalendářního roku nákupu, jak vyžaduje § 31 zákona č. 563/1991 Sb., o účetnictví.
• Atribuční data partnerů (cookie „xflow_ref“, atribuční tabulka): cookie 30 dnů; samotný atribuční záznam je součástí objednávky (10 let).
• Komunikace zákaznické podpory: 4 roky od poslední zprávy ve vlákně.
• Serverové logy: 90 dnů, déle pouze pro účely aktivního šetření bezpečnostního incidentu.
• Marketingové údaje (pouze pokud se přihlásíte — aktuálně neprovozujeme marketing): do odvolání souhlasu.
• Po uplynutí doby uchovávání údaje smažeme nebo anonymizujeme.

7. Vaše práva

Podle čl. 15–22 GDPR máte právo:

• na přístup k osobním údajům a obdržet jejich kopii (čl. 15)
• na opravu nepřesných údajů (čl. 16)
• na výmaz údajů, pokud to právní základ umožňuje (čl. 17)
• na omezení zpracování (čl. 18)
• na přenositelnost údajů — obdržet je ve strojově čitelném formátu (čl. 20)
• vznést námitku proti zpracování na základě oprávněného zájmu (čl. 21) — včetně atribuce partnerských odkazů a mezi-produktového propojení popsaného v § 3
• kdykoli odvolat souhlas, bez vlivu na předchozí zákonné zpracování
• nebýt předmětem rozhodnutí založeného výhradně na automatizovaném zpracování, včetně profilování (čl. 22) — taková rozhodnutí aktuálně neprovádíme

Pro uplatnění kteréhokoli z těchto práv napište na support@xflowtrading.com. Odpovídáme do 30 dnů.

8. Právo podat stížnost

Máte právo podat stížnost u Úřadu pro ochranu osobních údajů (ÚOOÚ), který je dozorovým orgánem pro naše zpracování: https://www.uoou.cz.

9. Cookies a podobné technologie

Použití cookies a úložiště prohlížeče popisujeme v samostatných Zásadách cookies.

10. Změny těchto zásad

Tyto zásady můžeme aktualizovat tak, aby odrážely změny zákonů, zpracovatelů nebo našich postupů. Nejnovější verze je vždy k dispozici na této stránce; datum nahoře odráží poslední revizi.

Kontakt

Otázky k těmto zásadám? Napište na support@xflowtrading.com.