1. Správce osobních údajů

Správcem vašich osobních údajů ve smyslu čl. 4 odst. 7 GDPR je:

2. Pověřenec pro ochranu osobních údajů (DPO)

V souladu s čl. 37 GDPR jsme jmenovali pověřence pro ochranu osobních údajů. Pověřenec dohlíží na dodržování předpisů o ochraně osobních údajů a je vaším primárním kontaktním místem pro veškeré otázky týkající se zpracování vašich osobních údajů.

Na pověřence se můžete obracet ve všech věcech souvisejících se zpracováním vašich osobních údajů a s výkonem vašich práv podle GDPR.

3. Kategorie shromažďovaných osobních údajů

V závislosti na způsobu, jakým využíváte naše služby, můžeme shromažďovat různé kategorie osobních údajů. Shromažďujeme pouze takové osobní údaje, které jsou nezbytné pro dosažení konkrétních účelů zpracování uvedených níže.

3.1 Identifikační a kontaktní údaje

• Jméno a příjmení
• Datum narození
• Pohlaví
• Státní příslušnost
• Číslo průkazu totožnosti nebo cestovního pasu
• Adresa trvalého bydliště
• Telefonní číslo
• E-mailová adresa

3.2 Rezervační a pobytové údaje

• Datum příjezdu a odjezdu
• Typ a číslo pokoje
• Počet hostů a jejich identifikační údaje
• Zvláštní požadavky a preference (např. strava, přístupnost)
• Historie předchozích pobytů
• Záznamy o stížnostech a zpětné vazbě

3.3 Platební a finanční údaje

• Číslo platební nebo kreditní karty (ve zkráceném formátu)
• Fakturační adresa
• Historie transakcí a plateb
• Informace o vrácení plateb a reklamacích

3.4 Údaje týkající se kasina a hazardních her

• Identifikační doklady vyžadované pro vstup do kasina
• Věk a ověření způsobilosti k hazardním hrám
• Záznamy o herních aktivitách v souladu s povinnostmi provozovatele kasina
• Informace o zákazech vstupu do kasina a programech odpovědného hraní
• Finanční transakce v kasinu (v rozsahu požadovaném zákonem)

3.5 Údaje shromažďované prostřednictvím webových stránek

• IP adresa
• Typ a verze prohlížeče
• Operační systém
• Navštívené stránky a doba trvání návštěvy
• Zdroj návštěvy (referrer URL)
• Soubory cookie a podobné sledovací technologie (viz samostatná část o souborech cookie)
• Údaje z formulářů pro kontakt nebo poptávku

3.6 Bezpečnostní a kamerové záznamy

• Záznamy z kamerového systému (CCTV) v prostorách hotelu a kasina
• Záznamy o přístupu do zabezpečených prostor
• Záznamy o incidentech a bezpečnostních událostech

3.7 Marketingové a komunikační údaje

• Marketingové preference
• Historie komunikace s naší zákaznickou podporou
• Odpovědi na průzkumy spokojenosti
• Přihlášení k odběru newsletteru

3.8 Zvláštní kategorie osobních údajů

V určitých situacích můžeme zpracovávat zvláštní kategorie osobních údajů ve smyslu čl. 9 GDPR, například:

• Zdravotní informace (např. potravinové alergie nebo požadavky na přístupnost), a to výhradně na základě vašeho výslovného souhlasu nebo z důvodu ochrany vašich životně důležitých zájmů.
• Informace relevantní pro boj proti praní peněz a financování terorismu v rozsahu stanoveném zákonem.

4. Právní základ zpracování osobních údajů

Veškeré zpracování osobních údajů probíhá na základě alespoň jednoho právního titulu ve smyslu čl. 6 GDPR. Níže uvádíme přehled právních základů, které uplatňujeme:

4.1 Plnění smlouvy – čl. 6 odst. 1 písm. b) GDPR

Zpracování je nezbytné pro plnění smlouvy, jejíž stranou jste vy jako subjekt údajů, nebo pro provedení opatření přijatých před uzavřením smlouvy na vaši žádost. Tento základ uplatňujeme například při zpracování rezervací ubytování, zpracování plateb a poskytování hotelovských služeb.

4.2 Splnění právní povinnosti – čl. 6 odst. 1 písm. c) GDPR

Zpracování je nezbytné pro splnění právní povinnosti, která se na nás jako správce vztahuje. Tento základ uplatňujeme zejména:

• v oblasti vedení evidencí hostů dle zákona č. 326/1999 Sb., o pobytu cizinců;
• v oblasti boje proti praní peněz a financování terorismu dle zákona č. 253/2008 Sb.;
• v oblasti provozování kasina dle zákona č. 186/2016 Sb., o hazardních hrách;
• v oblasti daňových a účetních povinností dle příslušných právních předpisů;
• v oblasti archivace a uchovávání dokladů.

4.3 Oprávněný zájem – čl. 6 odst. 1 písm. f) GDPR

Zpracování je nezbytné pro účely oprávněných zájmů, které sledujeme my nebo třetí strana, s výjimkou případů, kdy před těmito zájmy mají přednost vaše zájmy nebo základní práva a svobody. Oprávněné zájmy zahrnují:

• ochranu majetku, zaměstnanců a hostů prostřednictvím kamerového systému;
• prevenci a odhalování podvodů a neoprávněného přístupu;
• zlepšování kvality našich služeb na základě analýzy dat;
• přímý marketing vůči stávajícím zákazníkům (s právem vznést námitku);
• správu a zabezpečení informačních systémů;
• uplatňování, výkon nebo obhajobu právních nároků.

4.4 Souhlas – čl. 6 odst. 1 písm. a) GDPR

Pro určité zpracovatelské operace si vyžádáme váš výslovný souhlas, například pro:

• zasílání marketingových sdělení a newsletteru;
• zpracování zvláštních kategorií osobních údajů (např. zdravotní informace);
• používání nezbytných souborů cookie a sledovacích technologií.

Souhlas je vždy dobrovolný a máte právo jej kdykoli odvolat bez dopadu na zákonnost zpracování provedeného před jeho odvoláním.

4.5 Ochrana životně důležitých zájmů – čl. 6 odst. 1 písm. d) GDPR

Zpracování může být nezbytné pro ochranu životně důležitých zájmů subjektu údajů nebo jiné fyzické osoby, například v případě zdravotní nouze.

4.6 Plnění úkolu prováděného ve veřejném zájmu – čl. 6 odst. 1 písm. e) GDPR

V odůvodněných případech může být zpracování nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým jsme jako správce pověřeni.

5. Účely zpracování osobních údajů

Vaše osobní údaje zpracováváme pro následující účely:

5.1 Rezervace a ubytování

• Zpracování a potvrzení rezervací pokojů
• Check-in a check-out
• Vedení knihy hostů v souladu s právními předpisy
• Komunikace s hosty před, během a po pobytu

5.2 Platební operace

• Zpracování plateb za ubytování a doplňkové služby
• Vystavování faktur a účtenek
• Prevence platebních podvodů

5.3 Provoz kasina

• Ověření totožnosti a věku zákazníků kasina
• Dodržování povinností v oblasti odpovědného hraní
• Vedení povinných evidencí dle zákona o hazardních hrách
• Provádění kontrol dle předpisů o boji proti praní peněz
• Správa zákazů vstupu do kasina

5.4 Bezpečnost a ochrana

• Monitorování prostor prostřednictvím kamerového systému za účelem bezpečnosti hostů a zaměstnanců
• Prevence krádeží, podvodů a jiné trestné činnosti
• Řešení bezpečnostních incidentů

5.5 Marketing a komunikace

• Zasílání informací o nabídkách hotelu a kasina (se souhlasem nebo v rámci oprávněného zájmu)
• Personalizace marketingových sdělení
• Průzkumy spokojenosti zákazníků

5.6 Zlepšování služeb a analytika

• Analýza využívání webových stránek
• Zlepšování kvality ubytovacích a hráčských služeb
• Interní výkaznictví a plánování

5.7 Právní a regulatorní compliance

• Plnění povinností dle platných právních předpisů
• Komunikace s orgány veřejné správy a regulátory
• Uplatňování, výkon nebo obhajoba právních nároků

6. Sdílení osobních údajů se třetími stranami

Vaše osobní údaje neprodáváme, nepronajímáme ani neobchodujeme s nimi. Osobní údaje můžeme sdílet v následujících případech a s následujícími kategoriemi příjemců:

6.1 Zpracovatelé osobních údajů

Spolupracujeme s pečlivě vybranými poskytovateli služeb, kteří zpracovávají osobní údaje naším jménem jako zpracovatelé dle čl. 28 GDPR. Tito zpracovatelé jsou smluvně zavázáni dodržovat přísné standardy ochrany údajů. Patří mezi ně zejména:

• Poskytovatelé systémů pro správu hotelů (Property Management System)
• Poskytovatelé platebních služeb a platebních bran
• Rezervační platformy a online distribuční kanály
• Poskytovatelé IT infrastruktury a cloudových služeb
• Poskytovatelé e-mailových marketingových platforem
• Společnosti provádějící správu kamerového systému
• Poskytovatelé analytických nástrojů pro webové stránky

6.2 Orgány veřejné správy a orgány činné v trestním řízení

Osobní údaje můžeme zpřístupnit příslušným státním orgánům, pokud nám to ukládá zákon, nebo na základě zákonné žádosti. Jedná se zejména o:

• Policii České republiky a další orgány činné v trestním řízení
• Finanční analytický úřad (FAÚ) v rámci povinností AML
• Ministerstvo financí a Celní správu ČR
• Regulátory v oblasti hazardních her
• Finanční úřady a daňové správy
• Cizineckou policii a orgány správy hranic

6.3 Obchodní partneři

V omezených případech a pouze v nezbytném rozsahu můžeme sdílet osobní údaje s:

• Pojišťovnami v rámci likvidace pojistných událostí
• Právními poradci a auditory vázanými povinností mlčenlivosti
• Nástupnickými subjekty v případě fúze, akvizice nebo prodeje části podniku

6.4 Předávání osobních údajů do třetích zemí

Primárně zpracováváme osobní údaje v rámci Evropského hospodářského prostoru (EHP). V případě, že by bylo nezbytné předat osobní údaje do třetí země mimo EHP, zajistíme, aby toto předání probíhalo v souladu s čl. 44 a násl. GDPR, a to na základě:

• rozhodnutí Evropské komise o odpovídající ochraně (čl. 45 GDPR);
• standardních smluvních doložek schválených Evropskou komisí (čl. 46 odst. 2 písm. c) GDPR);
• závazných podnikových pravidel (čl. 47 GDPR);
• jiných vhodných záruk dle čl. 46 GDPR.

Informace o konkrétních zárukách pro přenos do třetích zemí vám na vyžádání poskytneme prostřednictvím kontaktního e-mailu pověřence pro ochranu osobních údajů.

7. Doba uchovávání osobních údajů

Osobní údaje uchováváme pouze po dobu nezbytně nutnou pro splnění účelů, pro které byly shromážděny, nebo po dobu stanovenou příslušnými právními předpisy. Po uplynutí příslušné doby uchovávání jsou osobní údaje bezpečně vymazány nebo anonymizovány.

V případě probíhajícího soudního, správního nebo regulatorního řízení mohou být osobní údaje uchovávány po dobu delší, než je výše uvedeno, a to až do pravomocného skončení příslušného řízení.

8. Vaše práva jako subjektu údajů

Jako subjekt údajů máte dle GDPR tato práva. Žádosti o výkon práv přijímáme prostřednictvím e-mailu privacy@stonepaststudio.com. Na vaši žádost odpovíme bez zbytečného odkladu, nejpozději však do jednoho měsíce od jejího obdržení. Tuto lhůtu lze ve výjimečných případech prodloužit o dva měsíce, o čemž vás budeme informovat.

8.1 Právo na přístup k osobním údajům (čl. 15 GDPR)

Máte právo získat od nás potvrzení, zda zpracováváme vaše osobní údaje, a pokud tomu tak je, máte právo na přístup k těmto údajům a informacím o: účelech zpracování, kategoriích dotčených osobních údajů, příjemcích, plánované době uchovávání, existenci práva na opravu, výmaz nebo omezení, právu podat stížnost, zdroji osobních údajů a případně existenci automatizovaného rozhodování.

8.2 Právo na opravu (čl. 16 GDPR)

Máte právo požadovat, abychom bez zbytečného odkladu opravili nepřesné osobní údaje, které se vás týkají. S přihlédnutím k účelům zpracování máte také právo na doplnění neúplných osobních údajů.

8.3 Právo na výmaz (čl. 17 GDPR)

Máte právo na výmaz svých osobních údajů (tzv. „právo být zapomenut"), pokud:

• osobní údaje již nejsou potřebné pro účely, pro které byly shromážděny;
• odvoláte souhlas, na jehož základě byly údaje zpracovávány, a neexistuje jiný právní základ;
• vznesete námitku proti zpracování a neexistují žádné převažující oprávněné důvody;
• osobní údaje byly zpracovány protiprávně;
• výmaz je nezbytný ke splnění právní povinnosti.

Právo na výmaz se neuplatní, pokud je zpracování nezbytné pro splnění právní povinnosti nebo pro uplatňování, výkon nebo obhajobu právních nároků.

8.4 Právo na omezení zpracování (čl. 18 GDPR)

Máte právo požadovat, abychom omezili zpracování vašich osobních údajů, pokud:

• popíráte přesnost osobních údajů (na dobu ověření přesnosti);
• zpracování je protiprávní, ale odmítáte výmaz a žádáte místo toho omezení použití;
• osobní údaje již nepotřebujeme, ale vy je požadujete pro určení, výkon nebo obhajobu právních nároků;
• vznesli jste námitku proti zpracování (do doby ověření, zda naše oprávněné důvody převažují).

8.5 Právo na přenositelnost údajů (čl. 20 GDPR)

Máte právo obdržet osobní údaje, které jste nám poskytli, ve strukturovaném, běžně používaném a strojově čitelném formátu, a máte právo předat tyto údaje jinému správci, pokud zpracování probíhá na základě souhlasu nebo smlouvy a zpracování je prováděno automatizovaně.

8.6 Právo vznést námitku (čl. 21 GDPR)

Máte právo kdykoli vznést námitku z důvodů týkajících se vaší konkrétní situace proti zpracování osobních údajů, které je prováděno na základě oprávněného zájmu nebo veřejného zájmu. Po vznesení námitky přestaneme vaše osobní údaje zpracovávat, pokud neprokážeme závažné oprávněné důvody pro zpracování, které převažují nad vašimi zájmy, právy a svobodami, nebo pro uplatňování, výkon nebo obhajobu právních nároků.

V případě, že jsou osobní údaje zpracovávány pro účely přímého marketingu, máte právo vznést kdykoli námitku bez dalšího odůvodnění, a v takovém případě vaše údaje pro tyto účely přestaneme zpracovávat okamžitě.

8.7 Právo odvolat souhlas

Pokud je zpracování osobních údajů založeno na vašem souhlasu, máte právo svůj souhlas kdykoli odvolat. Odvolání souhlasu nemá vliv na zákonnost zpracování provedeného před jeho odvoláním. Souhlas lze odvolat stejnými kanály, jakými byl udělen, nebo kontaktováním pověřence na privacy@stonepaststudio.com.

8.8 Právo nebýt předmětem automatizovaného rozhodování (čl. 22 GDPR)

Máte právo nebýt předmětem rozhodnutí, které je založeno výhradně na automatizovaném zpracování, včetně profilování, a které má pro vás právní účinky nebo se vás podobným způsobem významně dotýká. Pokud takové zpracování provádíme, informujeme vás o tom a zajistíme vám právo na přezkum rozhodnutí lidským pracovníkem.

8.9 Právo podat stížnost u dozorového úřadu

Máte právo podat stížnost u příslušného dozorového úřadu, pokud se domníváte, že zpracování vašich osobních údajů porušuje GDPR. Příslušným dozorovým úřadem pro Českou republiku je:

Nicméně vás vybízíme, abyste se s veškerými obavami ohledně ochrany osobních údajů nejprve obrátili přímo na nás, abychom vám mohli situaci vyřešit co nejrychleji.

9. Soubory cookie a sledovací technologie

Naše webové stránky používají soubory cookie a podobné sledovací technologie ke zlepšení vašeho uživatelského zážitku, analýze provozu a personalizaci obsahu. Soubory cookie jsou malé textové soubory ukládané ve vašem zařízení při návštěvě webových stránek.

9.1 Kategorie souborů cookie

• Nezbytně nutné soubory cookie: Jsou nezbytné pro správné fungování webových stránek. Bez těchto souborů cookie by stránky nefungovaly správně. Pro jejich použití není vyžadován souhlas.
• Analytické a výkonnostní soubory cookie: Umožňují nám pochopit, jak návštěvníci používají naše webové stránky, a pomáhají nám je zlepšovat. Používáme je pouze s vaším souhlasem.
• Funkční soubory cookie: Umožňují rozšířenou funkčnost a personalizaci (např. zapamatování jazykových preferencí). Používáme je pouze s vaším souhlasem.
• Marketingové a reklamní soubory cookie: Slouží k zobrazování relevantní reklamy. Používáme je pouze s vaším výslovným souhlasem.

9.2 Správa souborů cookie

Při první návštěvě našich webových stránek vám zobrazíme lištu pro správu souhlasu s cookies (cookie banner), která vám umožní vyjádřit nebo odmítnout souhlas s použitím jednotlivých kategorií souborů cookie. Svůj souhlas můžete kdykoli změnit nebo odvolat prostřednictvím nastavení souborů cookie dostupného na našich webových stránkách.

Soubory cookie lze také spravovat prostřednictvím nastavení vašeho webového prohlížeče. Upozorňujeme, že zakázání určitých souborů cookie může ovlivnit funkčnost webových stránek.

10. Zabezpečení osobních údajů

Přijímáme vhodná technická a organizační opatření dle čl. 32 GDPR k ochraně vašich osobních údajů před neoprávněným přístupem, ztrátou, zničením nebo neoprávněným zveřejněním. Tato opatření zahrnují mimo jiné:

• Šifrování dat při přenosu (SSL/TLS protokol)
• Šifrování databází obsahujících osobní údaje
• Řízení přístupu k osobním údajům na základě principu „need-to-know"
• Pravidelné bezpečnostní audity a testy zranitelnosti
• Školení zaměstnanců v oblasti ochrany osobních údajů a kybernetické bezpečnosti
• Fyzické zabezpečení serverů a datových center
• Postupy pro detekci a reakci na bezpečnostní incidenty
• Pravidelné zálohování dat

V případě porušení zabezpečení osobních údajů, které by mohlo mít negativní dopad na vaše práva a svobody, vás budeme informovat v souladu s čl. 34 GDPR bez zbytečného odkladu po zjištění incidentu.

11. Automatizované rozhodování a profilování

V rámci naší běžné obchodní činnosti neprovádíme automatizované rozhodování s právními účinky ve smyslu čl. 22 GDPR. Profilování pro marketingové účely provádíme pouze s vaším souhlasem a vždy s možností účinné lidské intervence.

V rámci povinností provozovatele kasina a AML compliance může docházet k automatizovanému sledování transakcí za účelem odhalení podezřelých aktivit. Toto zpracování je prováděno na základě zákonné povinnosti.

12. Ochrana osobních údajů nezletilých

Naše webové stránky a služby hotelu a kasina jsou určeny výhradně osobám starším 18 let. Vědomě neshromažďujeme osobní údaje od osob mladších 18 let. Kasino je přístupné pouze osobám, které splňují zákonnou věkovou hranici pro vstup do herny dle zákona č. 186/2016 Sb., o hazardních hrách.

Pokud se dozvíme, že jsme shromáždili osobní údaje osoby mladší 18 let bez souhlasu jejího zákonného zástupce, přijmeme okamžitá opatření k výmazu těchto údajů. Pokud máte podezření, že jsme takové údaje obdrželi, kontaktujte nás prosím na privacy@stonepaststudio.com.

13. Zdroje osobních údajů

Vaše osobní údaje shromažďujeme z následujících zdrojů:

• Přímo od vás: Prostřednictvím rezervačního formuláře, registrace na webových stránkách, e-mailové korespondence, telefonické komunikace, přímého styku při check-in a check-out, při vstupu do kasina nebo při účasti v průzkumech.
• Z veřejně dostupných zdrojů: Veřejné registry, obchodní rejstřík, katastr nemovitostí (v relevantních případech).
• Od třetích stran: Rezervační portály a online cestovní agentury (např. Booking.com, Expedia), partnerské cestovní kanceláře, platební zprostředkovatelé, orgány veřejné správy (v zákonem stanovených případech).
• Automaticky při používání webových stránek: Prostřednictvím souborů cookie, webových analytických nástrojů a protokolů serveru.
• Z kamerového systému: Automatický záznam při pohybu v prostorách hotelu a kasina.

14. Aktualizace těchto zásad ochrany osobních údajů

Tyto zásady ochrany osobních údajů pravidelně přezkoumáváme a aktualizujeme, aby odrážely změny v našich zpracovatelských operacích, změny právních předpisů nebo změny v doporučeních dozorových úřadů. Datum poslední aktualizace je uvedeno v záhlaví tohoto dokumentu.

O podstatných změnách vás budeme informovat prostřednictvím oznámení na naší webové stránce nebo e-mailem, pokud máme vaši e-mailovou adresu. Doporučujeme vám pravidelně tyto zásady kontrolovat.

Aktuální verze zásad ochrany osobních údajů je vždy dostupná na adrese stonepaststudio.com/privacy-policy.

15. Kontaktní informace

Pokud máte jakékoli otázky, připomínky nebo žádosti týkající se těchto zásad ochrany osobních údajů nebo zpracování vašich osobních údajů, neváhejte nás kontaktovat:

Na vaše žádosti odpovíme v souladu s požadavky GDPR, tedy bez zbytečného odkladu a nejpozději do jednoho měsíce od obdržení žádosti. Výkon vašich práv je bezplatný. Pokud jsou žádosti zjevně nedůvodné nebo nepřiměřené, zejména proto, že se opakují, můžeme uložit přiměřený poplatek zohledňující administrativní náklady nebo odmítnout žádosti vyhovět.

Pro účely ověření vaší totožnosti při vyřizování žádostí o výkon práv vás můžeme požádat o poskytnutí dodatečných informací. Toto ověření provádíme za účelem ochrany vašich osobních údajů před neoprávněným přístupem.