Ochrana osobních údajů
Návrh k právní kontrole · verze 0.1 z 12. 10. 2026 · zatím není účinný
Tady vysvětlujeme, jaké osobní údaje grabbi zpracovává, proč, jak dlouho a komu je předává, a jaká máš práva. Postupujeme podle nařízení (EU) 2016/679 (GDPR), slovenského zákona č. 18/2018 Z. z. o ochrane osobných údajov a českého zákona č. 110/2019 Sb. o zpracování osobních údajů.
1. Správce
Správcem osobních údajů je GRABBI s. r. o., se sídlem Veľká okružná 17, 010 01 Žilina, IČO 57 936 757, zapsaná v živnostenském rejstříku (Okresný úrad Žilina, č. živnostenského registra 580-86559) ⟦a v obchodním rejstříku Okresního soudu Žilina, oddíl Sro, vložka č. …⟧. Kontakt ve věcech osobních údajů: ahoj@grabbi.sk. Pověřence pro ochranu osobních údajů jsme nejmenovali, protože nám to čl. 37 GDPR neukládá. ⟦Ověřit s advokátem vzhledem k rozsahu zpracování polohy a zpráv.⟧
2. Jaké údaje, k jakému účelu a na jakém právním základě
| Údaje | Účel | Právní základ |
|---|---|---|
| Jméno, e-mail, telefon, heslo (jen jako hash), jazyk | Účet, přihlášení, kontakt při předání | Smlouva — čl. 6 odst. 1 písm. b) GDPR |
| Čtvrť a přesná adresa předání | Zobrazit nabídky v okolí; adresu vidí druhá strana až po potvrzení rezervace | Smlouva |
| Adresa místa práce (u stroje s obsluhou) | Aby obsluha věděla, kam přijet; majitel ji vidí už v žádosti, aby se mohl rozhodnout | Smlouva |
| Přibližná poloha zařízení (jen když ji povolíš) | Nabídky do 10 km; na serveru ji neukládáme | Souhlas — čl. 6 odst. 1 písm. a), odvolatelný v nastavení zařízení |
| Nabídky a jejich fotky | Zveřejnit nabídku | Smlouva |
| Výpůjčky, fotky stavu, kód předání, zprávy a fotky v chatu | Uskutečnit výpůjčku, záznam o stavu věci, řešení sporů | Smlouva; oprávněný zájem na obraně nároků — čl. 6 odst. 1 písm. f) |
| Platby: identifikátory Stripe, značka a poslední 4 číslice karty, částky | Platba, záloha, vrácení peněz, výplata | Smlouva; právní povinnost u účetních záznamů — čl. 6 odst. 1 písm. c) |
| Hodnocení | Důvěra mezi uživateli | Oprávněný zájem |
| Profil: jméno s počátečním písmenem příjmení, čtvrť, odznak ověření, hodnocení, odkdy jsi na grabbi a tvoje nabídky | Důvěra mezi uživateli. Kdo něco nabízí, toho profil vidí každý; kdo nic nenabízí, toho vidí jen lidé, se kterými si půjčoval | Smlouva; oprávněný zájem |
| Nahlášení, blokování, rozhodnutí a záznam o úkonech zaměstnanců | Bezpečnost, plnění aktu o digitálních službách, prokázání, kdo co udělal | Právní povinnost (nařízení 2022/2065); oprávněný zájem |
| Žádost o účet půjčovny (název, IČO, poznámka) | Posoudit žádost; název a IČO půjčovny pak ukazujeme nájemcům před objednávkou | Opatření před uzavřením smlouvy; právní povinnost (§ 11b zákona č. 634/1992 Sb. o ochraně spotřebitele, § 16 slovenského zákona č. 108/2024 Z. z.) |
| IP adresa a typ zařízení při přihlášení, počítadla pokusů | Bezpečnost účtu, ochrana před hádáním hesla | Oprávněný zájem |
| Token pro push notifikace | Posílat upozornění na telefon | Smlouva; vypneš je v nastavení zařízení |
| E-mailová upozornění | Informovat o výpůjčce | Smlouva; nepovinná můžeš vypnout v profilu |
| Chybové záznamy (identifikátor účtu, adresa obrazovky, popis chyby) | Opravit chyby | Oprávněný zájem |
| Datum narození, rodné číslo nebo DIČ, země daňové rezidence a příjmy z pronájmu | Hlášení slovenské finanční správě podle směrnice DAC7 — jen od majitelů, kteří půjčují dopravní prostředky nebo nabízejí stroj s obsluhou; ta je předá české finanční správě | Právní povinnost — čl. 6 odst. 1 písm. c) GDPR, slovenský zákon č. 442/2012 Z. z. provádějící směrnici (EU) 2021/514 |
Doklad totožnosti ani selfie v grabbi neukládáme. ⟦Po výběru partnera pro ověření doplnit, co zpracovává on.⟧ Údaje karty zpracovává jen Stripe.
Neprovádíme automatizované rozhodování ani profilování s právními účinky podle čl. 22 GDPR. O sporu, pozastavení účtu či skrytí nabídky rozhoduje vždy člověk.
Pokud nám údaje potřebné ke smlouvě neposkytneš, nemůžeme ti účet ani výpůjčku poskytnout.
3. Kdo tvé údaje vidí
- Ostatní uživatelé: křestní jméno a počáteční písmeno příjmení, čtvrť, hodnocení, počet výpůjček, odznak ověření a tvé nabídky.
- Druhá strana potvrzené výpůjčky: navíc telefon a přesnou adresu předání, zprávy a fotky z této výpůjčky.
- Pověření zaměstnanci grabbi: údaje potřebné pro podporu, řešení sporů a bezpečnost, včetně zpráv a fotek výpůjčky, o které rozhodují. Každý jejich úkon se zaznamenává.
4. Zpracovatelé a další příjemci
| Příjemce | K čemu | Kde |
|---|---|---|
| Stripe Payments Europe, Ltd. | Platby, záloha, výplaty a ověření majitelů (při plnění svých zákonných povinností je samostatným správcem) | Irsko; předání do USA na základě rámce EU–USA pro ochranu údajů a standardních smluvních doložek |
| Neon (Databricks) | Databáze | EU — Frankfurt |
| Hetzner Online GmbH | Server, na kterém běží aplikace a jsou uložené fotky | EU — Německo (Falkenstein) |
| ⟦Resend⟧ | Odesílání e-mailů | ⟦doplnit po zapnutí⟧ |
| Google (Firebase Cloud Messaging), Apple (APNs) | Doručení push notifikací | USA; rámec EU–USA |
| ⟦Sentry⟧ | Hlášení chyb | ⟦doplnit region po zapnutí⟧ |
| ⟦Úložiště fotek S3⟧ | Fotky, pokud je přesuneme mimo server | ⟦doplnit⟧ |
| OpenFreeMap | Mapové podklady; tvůj prohlížeč si je stáhne přímo (vidí IP adresu a zobrazenou oblast) | EU ⟦ověřit⟧ |
| OpenRouter, Inc. a Anthropic PBC (model Claude) | Návrh ceny a zálohy u nabídky: dostanou první fotku věci (bez údajů o místě, kde vznikla), název, kategorii a popis, ne tvé jméno ani kontakt; nepoužívají je k tréninku modelů ⟦právník: doba, po kterou je poskytovatelé uchovávají (u Anthropic do 30 dnů)⟧ | USA; rámec EU – USA ⟦právník: ověřit certifikaci obou, smlouvu podle čl. 28 a standardní smluvní doložky⟧ |
| OpenStreetMap Foundation (Nominatim) | Z adresy, kde věc předáš, zjistí čtvrť a přibližnou polohu pro mapu; dostane jen adresu, ne tvé jméno | Spojené království ⟦ověřit: rozhodnutí o odpovídající ochraně, smlouva podle čl. 28⟧ |
| Finanční ředitelství SR | Hlášení DAC7 o majitelích dopravních prostředků a strojů s obsluhou; předává ho správcům daně jiných států EU | Slovensko |
Se zpracovateli máme uzavřené smlouvy podle čl. 28 GDPR. Údaje poskytneme i orgánům veřejné moci, pokud to vyžaduje zákon. Údaje neprodáváme a nepoužíváme k reklamě.
5. Jak dlouho údaje uchováváme
- Účet a profil: dokud účet používáš.
- Po zrušení účtu vymažeme přihlašovací údaje, relace, uložené karty u Stripe, oblíbené, upozornění, blokování a nabídky, které se nikdy nepůjčily. Jméno, e-mail, telefon a adresu nahradíme anonymním záznamem.
- Výpůjčky, platby, fotky stavu, zprávy, hodnocení a nahlášení, jejichž jsi byl součástí, uchováváme i po zrušení účtu, protože patří i druhé straně a slouží k obraně nároků: po dobu promlčecí lhůty, nejvýše 4 roky od skončení výpůjčky (na Slovensku § 101 a nasl. Občianskeho zákonníka, v Česku tříletá lhůta podle § 629 odst. 1 občanského zákoníku). Účetní záznamy o platbách 10 let (§ 35 slovenského zákona č. 431/2002 Z. z. o účtovníctve).
- Záznamy o úkonech zaměstnanců a rozhodnutích o obsahu: 5 let.
- Údaje pro hlášení DAC7: 10 let od konce roku, za který jsme je hlásili.
- Relace přihlášení platí 90 dnů od posledního použití; odkaz na obnovení hesla 60 minut, na potvrzení e-mailu 48 hodin.
6. Tvá práva
Máš právo na přístup k údajům (čl. 15 GDPR), opravu (čl. 16), výmaz (čl. 17), omezení zpracování (čl. 18), přenositelnost (čl. 20) a vznést námitku proti zpracování na základě oprávněného zájmu (čl. 21). Souhlas můžeš kdykoli odvolat, aniž by to ovlivnilo zákonnost zpracování před odvoláním.
Žádost pošli na ahoj@grabbi.sk. Vyřídíme ji do jednoho měsíce (čl. 12 odst. 3). Jméno, telefon a e-mail si můžeš opravit i sám v profilu, účet zrušit také.
Pokud si myslíš, že s údaji zacházíme nezákonně, můžeš podat stížnost dozorovému úřadu. Vedoucím dozorovým úřadem je slovenský Úrad na ochranu osobných údajov SR, Hraničná 12, 820 07 Bratislava (dataprotection.gov.sk), protože grabbi sídlí na Slovensku; stížnost můžeš podat i v Česku u Úřadu pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7 (uoou.gov.cz).
7. Bezpečnost
Hesla ukládáme jen jako hash, komunikace je šifrovaná (HTTPS), fotky výpůjček jsou přístupné jen přes časově omezené podepsané odkazy a přístup zaměstnanců je omezený na ty, kdo ho potřebují, a zaznamenává se. O porušení zabezpečení údajů, které ti může vážně ublížit, tě budeme informovat (čl. 34 GDPR).
8. Děti
grabbi je určený osobám od 18 let. Údaje dětí vědomě nezpracováváme; pokud se o takovém účtu dozvíme, zrušíme ho.
Sídlo: Veľká okružná 17, 010 01 Žilina
IČO: 57 936 757
Okresný úrad Žilina, č. živnostenského registra 580-86559
ahoj@grabbi.sk