Zásady ochrany osobních údajů

(dále jen „Správce", „my" nebo „Zorelin")

Tyto Zásady ochrany osobních údajů (dále jen „Zásady") popisují, jakým způsobem shromažďujeme, zpracováváme, uchováváme a chráníme vaše osobní údaje při využívání služeb dostupných na webové stránce zorelin.com (dále jen „Služba").

Zpracování osobních údajů probíhá v souladu s:

• Nařízením (EU) 2016/679 — Obecné nařízení o ochraně osobních údajů (GDPR)
• Zákonem č. 110/2019 Sb. — o zpracování osobních údajů (Česká republika)
• Nařízením (EU) 2024/1689 — Akt o umělé inteligenci (AI Act)
• Směrnicí 2002/58/ES ve znění směrnice 2009/136/ES — ePrivacy (cookies)
• Zákonem č. 127/2005 Sb. — o elektronických komunikacích
• Dalšími platnými předpisy zemí, ve kterých Službu poskytujeme

Využíváním Služby potvrzujete, že jste se s těmito Zásadami seznámili.

3.1 Údaje, které nám poskytnete přímo

Při bezplatném výkladu:

Při placeném výkladu (dodatečně):

Důležité: Platební údaje (číslo karty, CVV, datum expirace) nikdy nevidíme, neukládáme ani nezpracováváme. Veškeré platební transakce zpracovává výhradně společnost Stripe, Inc. jako nezávislý správce platebních údajů v souladu se standardem PCI DSS Level 1.

3.2 Údaje shromážděné automaticky

3.3 Údaje, které neshromažďujeme

Vědomě neshromažďujeme a nezpracováváme:

• Údaje o rasovém či etnickém původu
• Údaje o zdravotním stavu nebo sexuální orientaci
• Biometrické údaje
• Údaje o členství v odborech nebo politických stranách
• Údaje o trestních deliktech nebo odsouzení

4.1 Oprávněný zájem — podrobnosti

Tam, kde je právním základem oprávněný zájem (účely č. 6, 7, 8), provedli jsme balanční test dle čl. 6(1)(f) GDPR:

Účel č. 6 — Historie výkladů: Uchovávání anonymizovaného shrnutí (2-3 věty, bez identifikačních údajů) umožňuje personalizovanější budoucí výklady. Zásah do práv subjektu je minimální díky anonymizaci.

Účel č. 7 — Ochrana proti zneužití: IP adresy jsou uchovávány maximálně 24 hodin výhradně pro ochranu Služby před automatizovanými útoky.

Účel č. 8 — Informační emaily: Po výkladu vám můžeme zaslat informační emaily s nabídkou služeb. Každý email obsahuje jednoduchý odkaz pro okamžité a trvalé odhlášení.

5.1 Transparentní informace dle Aktu o umělé inteligenci (EU) 2024/1689

Všechny tarotové výklady na Zorelin jsou generovány systémem umělé inteligence. Výklady nevytváří lidský kartář ani poradce.

K vytvoření výkladů využíváme jazykový model Claude od společnosti Anthropic, Inc. (San Francisco, USA). Systém AI zpracovává vaše vstupní údaje (otázky, astrologický profil, výběr karet) a na jejich základě generuje personalizovaný textový výklad.

5.2 Klasifikace rizika dle AI Act

Systém AI používaný v rámci Služby je klasifikován jako systém s minimálním rizikem ve smyslu čl. 6 a Přílohy III Nařízení (EU) 2024/1689. Nejedná se o systém pro hodnocení úvěruschopnosti, rozhodování v oblasti zaměstnání, biometrickou identifikaci ani systém ovlivňující přístup k základním službám.

5.3 Jak AI zpracovává vaše údaje

1. Vaše otázky, popis situace a vypočítaný astrologický profil jsou odeslány prostřednictvím šifrovaného spojení (TLS 1.3) do rozhraní API společnosti Anthropic.
2. Anthropic zpracuje požadavek a vrátí vygenerovaný text výkladu.
3. Dle podmínek komerčního API společnosti Anthropic Anthropic neuchovává obsah požadavků pro trénování svých modelů a data jsou zpracována jednorázově.
4. Vygenerovaný výklad je uložen v naší databázi a doručen vám.

5.4 Omezení a upozornění

• Výklady mají výhradně informativní a zábavní charakter.
• Výklady nepředstavují odborné psychologické, zdravotní, finanční, právní ani jiné poradenství.
• Výklady nesmí být použity jako podklad pro rozhodnutí s právním nebo zdravotním dopadem.
• Správce nenese odpovědnost za rozhodnutí učiněná na základě obsahu výkladů.

5.5 Automatizované rozhodování

Ve smyslu čl. 22 GDPR neprovádíme automatizované rozhodování s právními nebo obdobně závažnými účinky na subjekty údajů. Generování výkladu je poskytnutím služby na vaši žádost, nikoli automatizovaným rozhodnutím ovlivňujícím vaše práva.

Vaše osobní údaje sdílíme výhradně s následujícími zpracovateli a pouze v rozsahu nezbytném pro poskytnutí Služby:

6.1 Předávání údajů mimo EU/EHP

Při předávání osobních údajů do třetích zemí (USA, Singapur) využíváme tyto záruky dle kapitoly V GDPR:

• Standardní smluvní doložky (SCC) schválené Evropskou komisí rozhodnutím (EU) 2021/914
• EU-U.S. Data Privacy Framework (kde je příjemce certifikován)
• Doplňková technická opatření: šifrování dat při přenosu (TLS 1.3) i v klidu (AES-256-GCM)

6.2 Co neděláme

• Neprodáváme vaše osobní údaje třetím stranám.
• Nepronajímáme ani nekomerčně nesdílíme vaše údaje.
• Neposkytujeme údaje datovým brokerům ani reklamním sítím mimo rámec výše uvedených zpracovatelů.
• Neposkytujeme přístup k nešifrovaným údajům žádné třetí straně.

Implementovali jsme následující technická a organizační opatření dle čl. 32 GDPR:

7.1 Šifrování

• Šifrování citlivých dat v databázi: Emailová adresa, otázky, popis situace, místo narození a jméno jsou šifrovány algoritmem AES-256-GCM (autentizované šifrování). I v případě neoprávněného přístupu k databázi jsou údaje bez šifrovacího klíče nečitelné.
• Hashování emailu: Pro účely vyhledávání a deduplikace používáme jednosměrný SHA-256 hash emailové adresy. Z hashe nelze zpětně získat email.
• Šifrování přenosu: Veškerá komunikace probíhá přes HTTPS s TLS 1.3.
• Šifrování komunikace s API: Komunikace s Anthropic API probíhá přes šifrované spojení.

7.2 Další bezpečnostní opatření

• Bezpečnostní HTTP hlavičky: Content Security Policy (CSP), X-Frame-Options, HSTS a další
• Ochrana proti CSRF útokům
• Rate limiting (omezení počtu požadavků)
• Validace a sanitizace všech vstupů
• Princip minimalizace dat
• Pravidelné automatické mazání dat po uplynutí doby uchovávání
• Přístup k šifrovacím klíčům je omezen a oddělený od databáze

Osobní údaje uchováváme pouze po dobu nezbytnou pro naplnění účelu zpracování:

Automatické mazání provádí pravidelný proces spouštěný každou hodinu, který identifikuje a nevratně odstraní záznamy s uplynulou dobou uchovávání.

Jako subjekt údajů máte dle GDPR následující práva. Jejich uplatnění je bezplatné.

9.1 Právo na přístup (čl. 15 GDPR)

Máte právo získat potvrzení, zda zpracováváme vaše osobní údaje, a pokud ano, získat k nim přístup spolu s informacemi o účelech zpracování, kategoriích údajů, příjemcích a době uchovávání.

9.2 Právo na opravu (čl. 16 GDPR)

Máte právo požadovat opravu nepřesných osobních údajů nebo doplnění neúplných údajů.

9.3 Právo na výmaz (čl. 17 GDPR)

Máte právo požadovat výmaz všech svých osobních údajů. Po obdržení žádosti provedeme kompletní a nevratný výmaz do 30 dnů, zahrnující smazání šifrovaných osobních údajů, historie výkladů, uživatelského profilu, emailové adresy a jejího hashe a odhlášení ze všech emailových komunikací.

Výmaz neprovedeme pouze v případě, kdy zpracování je nezbytné pro splnění právní povinnosti (např. účetní doklady).

9.4 Právo na omezení zpracování (čl. 18 GDPR)

Máte právo požadovat omezení zpracování svých údajů, například pokud popíráte přesnost údajů nebo namítáte proti zpracování.

9.5 Právo na přenositelnost (čl. 20 GDPR)

Máte právo obdržet své osobní údaje ve strukturovaném, běžně používaném a strojově čitelném formátu (JSON) a předat je jinému správci.

9.6 Právo vznést námitku (čl. 21 GDPR)

Máte právo kdykoli vznést námitku proti zpracování založenému na oprávněném zájmu. Máte právo kdykoli vznést námitku proti zpracování pro účely přímého marketingu — po vznesení námitky údaje pro tento účel přestaneme neprodleně zpracovávat. Každý email obsahuje odkaz pro okamžité odhlášení.

9.7 Právo odvolat souhlas (čl. 7(3) GDPR)

Souhlas s analytickými a marketingovými cookies můžete kdykoli odvolat prostřednictvím nastavení cookie preferencí v patičce stránky. Odvoláním souhlasu není dotčena zákonnost zpracování založeného na souhlasu uděleném před jeho odvoláním.

9.8 Právo podat stížnost (čl. 77 GDPR)

Máte právo podat stížnost u dozorového úřadu (viz oddíl 13).

9.9 Jak uplatnit svá práva

Žádost zašlete na: hello@zorelin.com s předmětem „GDPR žádost".

• Vaši totožnost ověříme zasláním potvrzovacího kódu na emailovou adresu, kterou jste použili při využití Služby.
• Žádost vyřídíme do 30 dnů od ověření totožnosti. Ve výjimečných případech může být lhůta prodloužena o dalších 60 dnů.
• Uplatnění práv je bezplatné.

10.1 Nezbytné cookies vždy aktivní

Tyto cookies jsou nezbytné pro základní fungování Služby. Nevyžadují váš souhlas.

10.2 Analytické cookies pouze se souhlasem

10.3 Marketingové cookies pouze se souhlasem

10.4 Správa cookies

• Analytické a marketingové cookies se nikdy neaktivují bez vašeho výslovného souhlasu (opt-in).
• Svůj souhlas můžete kdykoli změnit nebo odvolat kliknutím na odkaz v patičce stránky.
• Cookies můžete také spravovat přímo v nastavení svého prohlížeče.

10.5 Společné správcovství

V rozsahu zpracování údajů prostřednictvím Meta Pixel a TikTok Pixel vystupujeme jako společní správci dle čl. 26 GDPR se společnostmi Meta Platforms Ireland Ltd. a TikTok Technology Ltd. Za shromáždění vašeho souhlasu zodpovídáme my jako provozovatel webové stránky.

11.1 Transakční emaily

Emaily přímo související s vámi objednanou službou (doručení výkladu, potvrzení objednávky). Zasíláme na základě plnění smlouvy — nevyžadují souhlas a nelze je odhlásit.

11.2 Informační emaily po výkladu

Po výkladu vám můžeme zaslat informační emaily s nabídkou placených služeb. Právním základem je oprávněný zájem (recitál 47 GDPR).

• Každý email obsahuje jednoklikový odkaz pro trvalé odhlášení.
• Po kliknutí na odhlášení nebudou zaslány žádné další emaily.
• Odhlásit se můžete také zasláním emailu na hello@zorelin.com.

11.3 Žádné newslettery

Neprovozujeme newsletter. Nezasíláme hromadné marketingové kampaně. Nezasíláme emaily jménem třetích stran.

Služba je určena výhradně osobám starším 16 let. Vědomě neshromažďujeme ani nezpracováváme osobní údaje osob mladších 16 let.

Technická opatření:

• Formulář data narození omezuje zadání na roky 1930–2010.
• Pokud zjistíme, že jsme zpracovali údaje osoby mladší 16 let, neprodleně a nevratně tyto údaje smažeme.

Pro subjekty údajů ve věku 16–18 let v jurisdikcích, kde je vyžadován souhlas zákonného zástupce, platí, že využitím Služby potvrzují, že mají tento souhlas.

Pokud se domníváte, že zpracování vašich osobních údajů porušuje GDPR, máte právo podat stížnost u příslušného dozorového úřadu.

Máte právo podat stížnost u dozorového úřadu v členském státě svého obvyklého bydliště, místa výkonu práce nebo místa údajného porušení dle čl. 77 GDPR.

14.1 Evropský hospodářský prostor (EHP)

Na vaše údaje se plně vztahuje GDPR. Viz oddíly 4, 6 a 9.

14.2 Spojené království

Na vaše údaje se vztahuje UK GDPR a Data Protection Act 2018. Vaše práva jsou v zásadě totožná s právy dle GDPR EU.

14.3 Kalifornie (USA)

Pokud jste rezidentem Kalifornie, máte dodatečná práva dle CCPA/CPRA:

• Právo vědět: Jaké osobní informace shromažďujeme a jak je používáme.
• Právo na výmaz: Požádat o smazání osobních informací.
• Právo na odmítnutí prodeje: Vaše osobní údaje neprodáváme.
• Právo na nediskriminaci: Neuplatňujeme rozdílné ceny ani kvalitu služby na základě uplatnění práv.

14.4 Ostatní jurisdikce

Pro uživatele mimo výše uvedené jurisdikce zpracováváme údaje v souladu s GDPR, které představuje jeden z nejpřísnějších standardů ochrany osobních údajů na světě.

• Tyto Zásady můžeme příležitostně aktualizovat.
• O podstatných změnách vás budeme informovat prostřednictvím viditelného oznámení na webové stránce nejméně 14 dní před nabytím účinnosti.
• Datum poslední aktualizace je vždy uvedeno v záhlaví tohoto dokumentu.
• Předchozí verze Zásad jsou dostupné na vyžádání.

V případě jakýchkoliv dotazů, žádostí nebo stížností ohledně ochrany vašich osobních údajů: