Zásady ochrany osobních údajů

1. Kdo je správcem a kdy je Checkinn zpracovatelem

Checkinn.cz je správcem osobních údajů u vlastních SaaS účtů, webu, cookies, obchodní komunikace, podpory, fakturace, bezpečnosti a administrace služby.

U údajů hostů v check-in formulářích a administraci je správcem konkrétní ubytovací zařízení. Checkinn.cz tyto údaje zpracovává jako zpracovatel podle pokynů ubytovacího zařízení.

2. Checkinn jako správce

Údaje získáváme přímo od uživatele nebo osoby jednající za Klienta a u trial registrace také z veřejného registru ARES podle zadaného IČO. Neprovádíme rozhodování založené výhradně na automatizovaném zpracování, které by mělo právní nebo obdobně významné účinky pro dotčenou osobu.

Oprávněným zájmem je bezpečné poskytování B2B služby, správa oprávněných uživatelů Klienta, prevence zneužití, řešení podpory a ochrana právních nároků. Proti zpracování založenému na oprávněném zájmu lze vznést námitku.

3. Údaje hostů v online check-inu

Správcem údajů hosta je ubytovací zařízení. Checkinn.cz poskytuje technickou platformu pro sběr, kontrolu, správu a export check-in údajů.

Zpracovávané údaje mohou zahrnovat:

• jméno, příjmení, datum narození, státní příslušnost, trvalou adresu,
• druh a číslo dokladu, vízum nebo pobytové oprávnění, pokud je vyžadováno,
• datum příjezdu a odjezdu, účel pobytu, property/pokoj/lůžko,
• údaje potřebné pro evidenci poplatku z pobytu, včetně případného důvodu osvobození,
• e-mail a telefon, pokud je host nebo ubytovatel uvede,
• ručně vybraný zdroj pobytu, např. Booking.com, Airbnb, přímý prodej nebo walk-in,
• interní poznámky ubytovatele a auditní záznamy úprav, exportů nebo schválení.

Některý důvod osvobození od poplatku může nepřímo vypovídat o zdravotním postižení, hospitalizaci nebo sociální situaci a může proto představovat zvláštní kategorii údajů. Ubytovací zařízení musí před jeho použitím určit nejen právní základ podle čl. 6 GDPR, ale také použitelnou výjimku podle čl. 9 odst. 2 GDPR, typicky nezbytnost vyplývající z českého práva a významného veřejného zájmu. Do aplikace se nemají ukládat lékařské zprávy ani kopie průkazů, pokud pro ně správce nemá samostatný právní důvod.

Právní základ určuje ubytovací zařízení. Obvykle půjde o plnění smlouvy o ubytování, splnění zákonných povinností ubytovatele a oprávněný zájem na bezpečnosti, provozní evidenci a obraně právních nároků. Povinné check-in údaje nejsou zpracovávány na základě souhlasu.

Checkinn.cz neurčuje, které údaje musí konkrétní ubytovatel v konkrétním případě získat. Klient musí nastavení a použití údajů přizpůsobit typu hosta, poplatkové povinnosti, místní vyhlášce a pokynům Policie ČR. Online potvrzení seznámení se zásadami není podpisem přihlašovacího tiskopisu cizince.

4. Příjemci, zpracovatelé a předávání

K údajům mohou mít přístup oprávnění pracovníci ubytovacího zařízení, oprávnění pracovníci Checkinn.cz při podpoře a bezpečnostním provozu, nezbytní další zpracovatelé a orgány veřejné moci, pokud to vyžaduje zákon.

Tento registr je načítán z konfigurace služby. Poskytovatelé infrastruktury a e-mailů mohou být dalšími zpracovateli údajů hostů. Volitelné analytické a marketingové služby zpracovávají pouze údaje návštěvníků veřejného webu po souhlasu a nenačítají se na check-in stránkách ani v aplikaci.

Policie ČR a UbyPort nejsou další zpracovatelé Checkinn.cz. Jde o zákonného příjemce údajů při hlášení ubytovaných cizinců, které provádí ubytovatel jako správce údajů.

Pokud by došlo k předávání mimo EU/EHP, bude použito odpovídající právní zabezpečení, například rozhodnutí o odpovídající ochraně nebo standardní smluvní doložky.

5. Uchování údajů

• Nedokončené nebo opuštěné check-iny, pokud jsou v konkrétním nasazení ukládány, se uchovávají jen po technicky nezbytnou dobu; výchozí retenční nastavení je 30 dnů, pokud Klient nebo právo nevyžaduje jiný postup.
• U dokončených pobytů aplikace standardně používá konzervativní provozní retenční zámek 6 let od data pobytu a poté umožní anonymizaci osobních identifikátorů. Jde o výchozí pravidlo služby, nikoli o určení zákonné lhůty pro každý jednotlivý údaj.
• Klient samostatně odpovídá za zákonné knihy a podklady. Domovní kniha cizinců i evidenční kniha poplatku z pobytu se podle příslušných pravidel uchovávají 6 let od posledního zápisu do dané knihy; Checkinn.cz sám nenahrazuje listinnou domovní knihu ani podepsaný přihlašovací tiskopis.
• Auditní, bezpečnostní a exportní logy se uchovávají po dobu nezbytnou pro bezpečnost, odpovědnost a prokázání operací. Veřejné GDPR žádosti se standardně anonymizují po 1095 dnech.
• UbyPort doručenky nebo chybové protokoly se mají uchovávat jen v rozsahu a po dobu nezbytnou pro doložení hlášení nebo řešení chyby. Provozní PDF kopie ve službě se standardně čistí po 365 dnech; Klient si musí uchovat potvrzení, která potřebuje pro své zákonné povinnosti.
• Údaje v zálohách se mažou v běžném cyklu rotace záloh.

Žádost o výmaz nemusí vést k okamžitému smazání, pokud ubytovatel musí údaje uchovat kvůli zákonné povinnosti nebo obraně právních nároků.

6. Bezpečnostní opatření

Checkinn.cz používá přiměřená technická a organizační opatření podle rizika zpracování, zejména šifrovaný přenos dat, řízení přístupů a rolí, auditní záznamy, šifrování citlivých polí, pravidelné zálohy, oddělení zákaznických dat a postupy pro řešení bezpečnostních incidentů.

Některé exporty a zobrazení v administraci obsahují dešifrované údaje, protože je ubytovatel potřebuje pro ověření hosta, zákonné hlášení nebo opravu. Klient musí přístup k těmto funkcím omezit na oprávněné osoby.

7. Práva subjektů údajů

Podle podmínek konkrétního zpracování můžete mít právo na informace, přístup, opravu, výmaz, omezení zpracování, přenositelnost, námitku, odvolání souhlasu a právo podat stížnost u Úřadu pro ochranu osobních údajů. Některá práva se neuplatní, pokud pro ně nejsou splněny zákonné podmínky nebo pokud musí správce údaje dále uchovat.

Pokud jde o údaje hosta v konkrétním ubytování, obraťte se primárně na ubytovací zařízení jako správce. Pro odeslání žádosti a její bezpečné předání odpovědnému správci můžete použít formulář pro GDPR žádost.

Dozorovým úřadem v České republice je Úřad pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, uoou.gov.cz.

Na žádost odpoví odpovědný správce bez zbytečného odkladu, standardně do jednoho měsíce; v odůvodněných složitých případech může být lhůta prodloužena podle GDPR. Před poskytnutím údajů může být nutné přiměřeně ověřit totožnost žadatele.