Zásady ochrany osobních údajů

1. Odpovědná osoba

Správcem ve smyslu Obecného nařízení o ochraně osobních údajů (DSGVO) je:

Sviatoslav Karapka
Bahnstraße 36
16727 Velten
Německo
E-Mail: info@lushly.world
Telefon: +49 152 0677 7974

2. Obecné informace o zpracování dat

Lushly je online tržiště, které spojuje koncové zákazníky s nezávislými kosmetickými a wellness salony. Osobní údaje naš

Zpracování osobních údajů našich uživatelů probíhá pravidelně pouze se souhlasem uživatele nebo za účelem plnění smlouvy. Výjimka platí v případech, kdy předchozí získání souhlasu není z faktických důvodů možné a zpracování dat je povoleno zákonnými předpisy.

Právními základy jsou čl. 6 odst. 1 písm. a (souhlas), písm. b (plnění smlouvy), písm. c (právní povinnost) a písm. f GDPR (oprávněný zájem).

3. Jaké údaje shromažďujeme

3.1 Při registraci jako zákazník

• Jméno a příjmení
• E-mailová adresa
• Telefonní číslo (volitelné)
• Heslo (uloženo šifrovaně pomocí bcrypt)
• Profilový obrázek (volitelné, nahráno uživatelem nebo přes Google/Facebook při přihlášení pomocí OAuth)
• Jazykové preference

3.2 Při registraci jako salon / mistr

• Název firmy, adresa, telefon, e-mailová adresa
• Popis, fotografie, ceny, služby, otevírací doba
• Při aktivaci Stripe: bankovní údaje a daňově relevantní data — uložena výhradně u Stripe, nikoli u nás
• Hlavní profil (jméno, fotografie, jazyky, zkušenosti, portfolio) — nastaveno provozovatelem salonu

3.3 Při rezervaci

• Jméno, e-mailová adresa, telefonní číslo rezervujícího zákazníka
• Zvolená služba, datum, čas, cena, trvání
• U konzultačních dotazů (např. tetování): popis nápadu, rozměry/místo na těle, případně referenční fotografie
• Při online platbě: žádné údaje o kartě u nás — zpracování probíhá výhradně přes Stripe (certifikováno PCI-DSS Level 1)
• V případě placeného salonního předplatného: jméno, e-mailová adresa a fakturační adresa pro účtování, stejně jako zákaznické a předplatitelské ID od Stripe. Platební prostředky (karta, SEPA mandát) jsou uloženy výhradně u Stripe.
• Hodnocení (1–5 hvězdiček) a komentáře po dokončené rezervaci
• Chatové zprávy mezi zákazníkem a salonem (prostřednictvím interní funkce pro zasílání zpráv platformy)

3.4 Automaticky shromažďované údaje (záznamy serveru)

• IP adresa (anonymizována po 7 dnech)
• Typ a verze prohlížeče, operační systém
• Datum a čas přístupu
• Referrer-URL (dříve navštívená stránka)
• Geografická oblast (přibližně, na úrovni města na základě IP)
• ID relace pro vlastní analytiku platformy (bez osobních údajů)

Tyto údaje slouží k bezpečnosti a vlastní analýze platformy (míra opuštění, zdroje návštěvnosti, výkon). Předání externím službám jako Google Analytics nebo Meta probíhá výhradně, pokud uživatel výslovně souhlasil v cookie banneru (analytické cookies pro Google Analytics, resp. marketingové cookies pro Meta-Pixel).

3.5 Údaje o poloze (Geolokace)

S výslovným souhlasem uživatele (povolení prohlížeče "Najít v okolí") je použita přibližná poloha k zobrazení salonů v okolí. Poloha je zpracovávána výhradně na straně klienta a není uložena v naší databázi.

4. Účel a právní základ zpracování

5. Předání třetím stranám (zpracovatelům)

Údaje předáváme výhradně v následujících případech a na základě odpovídajících smluv o zpracování osobních údajů (AV-smluv) dle čl. 28 GDPR.:

• IONOS SE (Montabaur, Deutschland) — Hosting platformy. Servery jsou v Německu. V souladu s GDPR.
• Stripe Payments Europe, Ltd. (Dublin, Irland) — Zpracování plateb. Certifikace PCI-DSS Level 1, v souladu s GDPR. Stripe Ochrana osobních údajů
• Rezervující salon — obdrží jméno, kontakt a detaily rezervace pro plnění smlouvy. Salony jsou samostatnými správci ve smyslu GDPR.
• Google Ireland Limited (Gemini API) — Automatické překlady textů uživatelského rozhraní a popisů salonů. Přenesen je výhradně veřejný obsah (např. popisy salonů), nikoli osobní údaje koncových zákazníků. Ochrana osobních údajů Google
• Groq, Inc. (USA) — AI-Insights pro majitele salonů. Jsou předávány výhradně agregované a anonymizované statistiky. Standardní smluvní doložky podle článku 46 GDPR zajišťují ochranu dat.
• Meta Platforms Ireland Limited (Meta Pixel) — pouze po výslovném souhlasu v cookie banneru. Používá se výhradně pro marketingové kampaně. Meta ochrana osobních údajů
• Google Ireland Limited (Google Analytics 4) — pouze po výslovném souhlasu v cookie banneru (analytické cookies). Slouží k anonymizované analýze dosahu a používání; IP adresy jsou zkráceny/anonymizovány. Přenos dat do USA na základě rámce EU-US Data Privacy Framework a/nebo standardních smluvních doložek EU. Ochrana osobních údajů Google
• Poskytovatel SMTP (poskytovatel WP Mail SMTP) — Odesílání transakčních e-mailů (potvrzení rezervace, připomenutí, reset hesla).
• n8n (self-hosted, EU) — Automatizační pracovní postupy. Servery v EU.

K dalšímu předávání třetím stranám nedochází. Zejména neprodáváme žádná data.

5a. Využití AI (umělá inteligence)

Umělou inteligenci (AI) používáme ve dvou oblastech:

1. Překlady: Pro vícejazyčné poskytování našeho obsahu používáme systém AI Google Gemini (Google Ireland Limited). Překlady ne-německého obsahu mohou být strojově generované; rozhodující je vždy německá originální verze.

2. AI podpora – chat: Náš chat podpory (v Messengeru a na stránce nápovědy) je zodpovídán asistentem AI (chatbotem). Na začátku chatu budete jasně upozorněni, že komunikujete se systémem AI (čl. 50 Nařízení o AI). Pro osobní pomoc se můžete kdykoli obrátit na info@lushly.world.

Právní základ: Čl. 6 odst. 1 písm. b GDPR (plnění smlouvy) a písm. f GDPR (oprávněný zájem na efektivní podpoře a vícejazyčném poskytování).

5b. Inzertní trh (Práce a prostory)

V naší sekci inzerátů („Práce a prostory") mohou registrovaní uživatelé zveřejňovat vlastní inzeráty (např. nabídky práce, pronájem prostor a pracovních míst) a reagovat na inzeráty ostatních. Přitom se zpracovávají následující údaje:

Vytvořit inzerát: Název, popis, kategorie, místo, cena a tebou zadané kontaktní údaje (e-mail a/nebo telefonní číslo) a volitelně nahrané obrázky. Tyto údaje jsou – s výjimkou kontaktních údajů – veřejně viditelné. Tvůj kontaktní e-mail se zájemcům přímo nezobrazuje, ale slouží pouze k přeposílání dotazů.

Odpovědět na inzerát: Pokud odpovíš na inzerát prostřednictvím kontaktního formuláře, tvé jméno, e-mailová adresa a zpráva budou přeposlány e-mailem inzerentovi, aby ti mohl odpovědět. Kontaktní údaje obou stran zůstávají na platformě skryté.

Seznam přání (Oblíbené): Pokud si uložíš inzeráty do seznamu přání, uložíme příslušné identifikátory inzerátů do tvého uživatelského účtu, abys je později mohl/a znovu najít.

Uložená vyhledávání a oznámení: Můžeš si uložit kritéria vyhledávání (např. kategorie, místo, klíčové slovo). Tato kritéria uložíme do tvého účtu a zašleme ti e-mailové oznámení, jakmile se objeví nový inzerát odpovídající tvému uloženému vyhledávání. Tato oznámení můžeš kdykoli ukončit smazáním uloženého vyhledávání ve svém účtu.

Statistiky návštěvnosti: Pro zobrazení počtu zhlédnutí inzerátu krátkodobě ukládáme pseudonymizovanou (hashovanou) hodnotu tvé IP adresy, abychom zabránili vícenásobnému počítání. Identifikace jednotlivých osob přitom neprobíhá.

Hlášení: Pokud nahlásíš inzerát, zpracujeme uvedený důvod a volitelnou poznámku k prověření inzerátu.

Právní základ: čl. 6 odst. 1 písm. b GDPR (realizace tebou požadovaných funkcí) a písm. f GDPR (oprávněný zájem na fungujícím trhu inzerátů bez zneužívání). Oznámení o uložených vyhledáváních jsou založena na písm. b a tvém kdykoli odvolatelném využívání této funkce.

Viditelnost vašich údajů: Titulek, popis, kategorie, místo, cena a obrázky inzerátu jsou veřejně viditelné a mohou být indexovány vyhledávači. Vaše e-mailová adresa a telefonní číslo NEJSOU veřejně zobrazeny – slouží výhradně k doručování oznámení. Kontaktování probíhá prostřednictvím interní sekce zpráv.

Po vypršení platnosti: Prošlé inzeráty jsou odstraněny z přehledu a vyhledávání, ale zůstávají ve vašem účtu, dokud je nesmažete. Pokud inzerát smažete, odstraníme jeho obsah a obrázky. Již proběhlé konverzace zůstávají nedotčeny, aby si obě strany zachovaly historii.

Hlášení: Pokud nahlásíte inzerát, uložíme hlášení s časem a – pokud jste přihlášeni – s vaším uživatelským identifikátorem. To je nutné pro rozpoznání vícenásobných hlášení a pro udržení sledovatelnosti procesu. Právní základ: Čl. 6 odst. 1 písm. c GDPR ve spojení s čl. 16 nařízení (EU) 2022/2065 a čl. 6 odst. 1 písm. f GDPR. Doba uložení: dvanáct měsíců.

5c. Telegram asistent

Salony a mistři/mistrové mohou dobrovolně propojit svůj účet s naším Telegram asistentem, aby dostávali dotazy na rezervace a přímo na ně odpovídali. Propojení je volitelné a lze jej kdykoli zrušit – v účtu pod „Telegram asistent“ nebo příkazem /stop v chatu.

Zpracovávány jsou přitom: ID Telegram chatu, tam uložené zobrazované jméno, zvolený jazyk a obsah oznámení (termín, služba, zkrácené jméno klienta/klientky, zprávy z chatu). Celá jména, telefonní čísla a e-mailové adresy nejsou záměrně předávány Telegramu.

Přenos do třetí země: Poskytovatelem je Telegram FZ-LLC, Dubaj, Spojené arabské emiráty. Pro Spojené arabské emiráty neexistuje rozhodnutí Evropské komise o odpovídající ochraně. Přenos probíhá na základě tvého výslovného souhlasu podle čl. 49 odst. 1 písm. a GDPR, který uděluješ propojením účtu. Bez propojení k přenosu nedochází.

Historie zákazníků/zákaznic v asistentovi: Při otevření rezervace si salon může prohlédnout dosavadní historii této zákaznice/zákazníka ve svém salonu: počet návštěv, datum poslední návštěvy, využité služby, vlastní poznámky salonu a neobjevení se. Jedná se o údaje, které salon tak jako tak spravuje — jsou pouze jinak zobrazeny.

Právní základ: Čl. 6 odst. 1 písm. a GDPR (souhlas) pro přenos dat do Telegramu, čl. 6 odst. 1 písm. b GDPR pro zobrazení historie. Doba uchovávání: do odpojení spojení.

5d. Ochrana před neoprávněným přístupem

Pro ochranu účtů zaznamenáváme neúspěšné pokusy o přihlášení s IP adresou, časem a použitým uživatelským jménem. Pokud se z jedné síťové oblasti nahromadí neúspěšné pokusy, bude tato oblast dočasně zablokována — postupně od jedné hodiny až do sedmi dnů.

Toto zablokování je automatizované opatření, které však nemá právní účinky ve smyslu čl. 22 GDPR: týká se výhradně přístupu k přihlašovacímu formuláři, nikoli existující smlouvy. Blokace se automaticky ruší a na vyžádání mohou být okamžitě zrušeny.

Právní základ: Čl. 6 odst. 1 písm. f GDPR. Náš oprávněný zájem spočívá v ochraně účtů našich uživatelů/uživatelek před převzetím. Doba uchovávání: 90 dní.

5e. Potvrzení e-mailem, seznam oblíbených a čekací listina

Potvrzení e-mailem: Po registraci zašleme potvrzovací odkaz. Uložen je jednorázový token v šifrované podobě a čas odeslání. Bez potvrzení není možné zadávat inzeráty. Právní základ: Čl. 6 odst. 1 písm. b a písm. f GDPR.

Oznámení k uloženým inzerátům: Pokud si inzerát uložíš, uložíme jeho identifikátor a čas. Z toho vznikají dva typy zpráv: oznámení, pokud se změní cena nebo stav inzerátu, a jednorázová připomínka po dvou dnech, pokud jsi dosud nekontaktoval/a nabízející osobu. Obojí lze vypnout v sekci Účet → E-maily. Právní základ: Čl. 6 odst. 1 písm. f GDPR.

Čekací listina: Pokud je termín obsazen, můžeš se nechat zapsat na čekací listinu. Uložen je požadovaný termín, kontaktní údaje a jednorázový token pro odkaz k potvrzení. Smazání po 30 dnech nebo po zrušení. Právní základ: Čl. 6 odst. 1 písm. b GDPR.

5f. Kontrola nahraných obrázků

Každý nahraný obrázek je automaticky kontrolován: na metadata, která naznačují generování AI (C2PA, IPTC), na vložené programové součásti pro ochranu před škodlivým softwarem a na shodu s již známými obrázky generovanými AI.

Za tímto účelem vypočítáme z obrázku krátkou číselnou hodnotu, která popisuje jeho hrubou strukturu jasu. Z této hodnoty nelze obrázek obnovit; slouží výhradně k porovnání. Rozpoznávání obličejů ani rozpoznávání osob se neprovádí.

Právní základ: Čl. 6 odst. 1 písm. c GDPR (povinnost označování dle čl. 50 Nařízení o AI) a čl. 6 odst. 1 písm. f GDPR (bezpečnost našich systémů).

6. Soubory cookie a podobné technologie

Používáme výhradně technicky nezbytné soubory cookie (přihlašovací relace, zabezpečení, stav souhlasu s cookies, výběr jazyka). Tyto soubory cookie jsou nezbytné pro provoz platformy a jsou nastaveny podle § 25 odst. 2 TDDDG bez souhlasu.

Marketingové cookies (Meta Pixel) jsou nastaveny výhradně po výslovném souhlasu prostřednictvím našeho cookie banneru. Souhlas lze kdykoli odvolat.

Pro interní analýzu platformy dodatečně ukládáme anonymizovaná data v naší vlastní databázi (první strana).

Google Analytics 4. S tvým výslovným souhlasem (analytické soubory cookie v banneru s cookies) používáme Google Analytics 4 (poskytovatel: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irsko). Google Analytics používá soubory cookie k vyhodnocení používání webových stránek – např. zobrazení stránek, doba strávená na stránce, použitá zařízení a přibližná geografická poloha. IP adresy jsou přitom zpracovávány anonymizovaně nebo zkráceně. Data mohou být přenášena na servery Google – i v USA; přenos probíhá na základě Rámce pro ochranu soukromí mezi EU a USA a/nebo standardních smluvních doložek EU podle čl. 46 GDPR. Právním základem je tvůj souhlas podle čl. 6 odst. 1 písm. a GDPR. Svůj souhlas můžeš kdykoli s účinností do budoucna odvolat prostřednictvím nastavení cookies. Zásady ochrany osobních údajů Google

7. Doba uložení

• Zákaznický účet: do smazání uživatelem
• Údaje o rezervacích: 10 let (povinnost uchovávání dle daňového práva podle § 147 AO)
• Hodnocení: trvalé, dokud uživatel nesmaže (možnost pseudonymizace)
• Analytické relace: 12 měsíců
• Logy serveru: 30 dní
• IP adresy: 7 dní, poté anonymizace
• Chatové zprávy: do smazání účtu
• Souhlas s e-mailovým marketingem: do odvolání

8. Vaše práva jako subjektu údajů

Jako dotčená osoba máte kdykoli právo na:

• Informace (Art. 15 DSGVO) — jaké údaje o tobě zpracováváme
• Oprava (Art. 16 DSGVO) — Oprava chybných dat
• Smazání (Art. 17 DSGVO) — Právo být zapomenut
• Omezení zpracování (Art. 18 DSGVO)
• Přenositelnost dat (Art. 20 DSGVO) — Data ve strojově čitelném formátu
• Námitka (Art. 21 DSGVO) — proti zpracování na základě oprávněného zájmu
• Odvolání souhlasu (Art. 7 Abs. 3 DSGVO) — s účinností do budoucna

Smazání účtu je možné kdykoli na:: Mein Konto → Nastavení
Dotazy týkající se práv na ochranu osobních údajů zasílejte e-mailem na: info@lushly.world

9. Právo podat stížnost u dozorového úřadu

Máte právo podle čl. 77 GDPR podat stížnost u dozorového úřadu pro ochranu údajů — zejména v členském státě vašeho obvyklého bydliště, místa výkonu práce nebo místa údajného porušení.

Pro nás je odpovědný:
Zemská pověřenkyně pro ochranu dat a pro právo na nahlížení do spisů Braniborsko
Stahnsdorfer Damm 77
14532 Kleinmachnow
Telefon: +49 33203 356-0
https://www.lda.brandenburg.de/

10. Zabezpečení dat

Pro celý přenos dat používáme šifrování SSL/TLS (HTTPS). Hesla jsou hashována pomocí bcrypt a nikdy nejsou ukládána v prostém textu. Platební údaje zpracovává výhradně Stripe (PCI-DSS Level 1). Zálohy jsou uchovávány šifrované.

11. Přenos do třetí země

Pokud jsou data přenášena do třetích zemí, děje se tak na základě jedné z následujících podmínek. Do USA — například přes Groq, Meta-Pixel nebo Google Analytics — na základě standardních smluvních doložek EU podle čl. 46 GDPR a/nebo rozhodnutí o odpovídající ochraně podle čl. 45 GDPR (např. EU-US Data Privacy Framework). Do Spojených arabských emirátů — výhradně prostřednictvím volitelného asistenta Telegram, viz oddíl 5c — na základě tvého výslovného souhlasu podle čl. 49 odst. 1 písm. a GDPR; pro Spojené arabské emiráty neexistuje rozhodnutí o odpovídající ochraně. Bez propojení asistenta Telegram se tento přenos neuskuteční. Příjemce pečlivě prověřujeme.

12. Automatizovaná rozhodnutí, profilování

Nepoužíváme žádné plně automatizované rozhodovací procesy s právním účinkem. Automaticky generované týdenní přehledy pro majitele salonů slouží výhradně k informaci a nepředstavují právně závazné rozhodnutí.

13. Push oznámení (PWA)

Lushly je progresivní webová aplikace (PWA). Push oznámení jsou zasílána pouze po výslovném souhlasu uživatele (povolení prohlížeče). Souhlas lze kdykoli odvolat v nastavení prohlížeče.

14. Sociální přihlášení (Google / Facebook OAuth)

Při přihlášení přes Google nebo Facebook nám budou předány následující údaje: jméno, e-mailová adresa a profilová fotka. Jiné údaje z vašeho profilu Google/Facebook nebudou načteny. Platí také zásady ochrany osobních údajů společností Google a Meta.

15. Změny těchto Zásad ochrany osobních údajů

Vyhrazujeme si právo tyto Zásady ochrany osobních údajů příležitostně aktualizovat, aby odpovídaly aktuálním právním požadavkům nebo aby zohledňovaly změny našich služeb. Aktuální verze je vždy k dispozici na této stránce. O podstatných změnách budou registrovaní uživatelé informováni e-mailem.