Zásady ochrany osobních údajů

1. Správce

Správcem odpovědným za zpracování údajů na carfalke.de, v aplikaci CarFalke a při užívání vyhledávání na trhu CarFalke ve smyslu obecného nařízení o ochraně osobních údajů (EU) 2016/679 (GDPR) je:

CarFalke GmbH, Mies-van-der-Rohe-Straße 8, 80807 München, Deutschland, e-mail: info@carfalke.de

Se všemi dotazy týkajícími se ochrany osobních údajů a uplatnění Vašich práv se na nás můžete obrátit na adrese datenschutz@carfalke.de.

2. Pověřenec pro ochranu osobních údajů

Podle čl. 37 GDPR a § 38 BDSG (německý spolkový zákon o ochraně osobních údajů) v současnosti nejsme povinni jmenovat pověřence pro ochranu osobních údajů. Vaše dotazy týkající se ochrany osobních údajů vyřizuje náš tým pro ochranu osobních údajů na adrese datenschutz@carfalke.de.

3. Přehled: čí údaje zpracováváme

CarFalke je vyhledávání na trhu pro podnikající prodejce motorových vozidel: načítáme veřejně přístupné inzeráty vozidel na portálech třetích stran (mobile.de, AutoScout24, Kleinanzeigen), zpracováváme je a upozorňujeme naše zákazníky na nové výsledky. Přitom zpracováváme osobní údaje tří skupin osob:

• návštěvnic a návštěvníků našich webových stránek (oddíly 4, 13–15),
• kontaktních osob a zaměstnanců našich zákazníků – od žádosti o přístup přes uživatelský účet až po fakturu (oddíly 5–12),
• inzerentek a inzerentů vozidel na portálech, jejichž údaje přebíráme z veřejného inzerátu (oddíl 7).

Osobní údaje zpracováváme pouze v rozsahu, v jakém je to nezbytné pro provoz služby, plnění našich smluv, bezpečnost platformy nebo plnění zákonných povinností, nebo pokud jste k tomu udělili souhlas. Osobní údaje neprodáváme, nepoužíváme reklamní sledovací nástroje třetích stran a nevytváříme reklamní profily.

4. Hosting, serverové protokoly a zálohování

Webové stránky, databáze, nahrané dokumenty a služby na pozadí (crawler, upozornění) jsou provozovány na serverech společnosti Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, v datových centrech v Německu. Šifrované zálohy jsou uloženy u společnosti Hetzner v Německu a nejpozději po šesti měsících jsou přepsány. Společnost Hetzner zpracovává údaje výhradně naším jménem na základě smlouvy o zpracování osobních údajů (čl. 28 GDPR).

Při návštěvě webových stránek nebo při přístupu k rozhraní aplikace automaticky zpracováváme technicky nezbytné údaje, zejména:

• IP adresu
• datum a čas požadavku
• zobrazenou stránku, resp. soubor, a stavový kód HTTP
• typ prohlížeče, operační systém a URL odkazující stránky (pokud jsou předány)

Tyto údaje zpracováváme za účelem poskytování služby, zajištění její stability a bezpečnosti, odvracení útoků a omezení zneužití (např. automatizovaných hromadných požadavků). Právním základem je čl. 6 odst. 1 písm. f) GDPR; náš oprávněný zájem spočívá v bezpečném a bezchybném provozu. Serverové protokoly jsou vymazány nejpozději po 30 dnech, pokud nejsou v jednotlivém případě déle potřebné k objasnění bezpečnostního incidentu.

5. Žádost o přístup a ověření prodejce

CarFalke je přístupné pouze podnikajícím prodejcům motorových vozidel. V rámci žádosti o přístup zpracováváme údaje o Vaší firmě (obchodní firma, právní forma, adresa, daňové identifikační číslo k DPH, pracovní e-mailová adresa a telefonní číslo, volitelně webové stránky a údaje z obchodního rejstříku) a o žadateli (jméno a příjmení, e-mailová adresa, heslo ve formě kryptografického hashe, volitelně funkce ve firmě) a Vaše prohlášení, že s vozidly obchodujete v rámci podnikatelské činnosti.

Před aktivací ověřujeme, zda jde o podnikajícího prodejce, zejména pomocí obchodního rejstříku, systému EU VIES pro ověřování daňového identifikačního čísla k DPH a Vašich webových stránek. V případě potřeby si můžeme vyžádat doklady (např. živnostenské oprávnění nebo výpis z obchodního rejstříku). Nahrané doklady ukládáme šifrovaně a neveřejně; nahlíží do nich pouze náš tým. O aktivaci rozhoduje člověk.

Právními základy jsou čl. 6 odst. 1 písm. b) GDPR (jednání o uzavření smlouvy a její plnění) a čl. 6 odst. 1 písm. f) GDPR (ochrana služby před zneužitím, zejména kontaktních údajů inzerentů). Údaje aktivované firmy uchováváme po dobu trvání smlouvy; doklady mažeme nejpozději tři roky po skončení smlouvy, fakturační doklady uchováváme deset let podle § 147 AO (německý daňový řád) a § 257 HGB (německý obchodní zákoník). Údaje zamítnutých nebo nedokončených žádostí vymažeme, jakmile již nejsou potřebné, nejpozději po uplynutí obecné tříleté promlčecí lhůty.

6. Uživatelský účet a tým

K užívání služby potřebujete uživatelský účet. Přitom zpracováváme Vaše jméno, e-mailovou adresu, heslo (výhradně ve formě kryptografického hashe), resp. Váš přístupový klíč (passkey), volitelně telefonní číslo, Váš jazyk, Vaše nastavení upozornění a časy Vašich přihlášení.

Přihlásíte-li se prostřednictvím služby Google nebo Apple, obdržíme od příslušného poskytovatele Vaše jméno, e-mailovou adresu a identifikátor; Vaše heslo u tohoto poskytovatele se nedozvíme. Na zpracování údajů u poskytovatele se vztahují jeho zásady ochrany osobních údajů.

Týmy: Prodejce může pozvat své zaměstnance nebo jim založit účet. Přitom zpracováváme jméno, e-mailovou adresu a roli pozvané osoby, jak je uvede prodejce, a zašleme jí e-mail s pozvánkou nebo s přístupem. V rámci týmu jsou jméno a role členů a jejich aktivity ve vyhledávání na trhu (oddíl 8) viditelné pro ostatní členy; prodejce spravuje svůj tým sám.

Právním základem je čl. 6 odst. 1 písm. b) GDPR (smlouva o užívání) a u účtů, k nimž Vás pozval Váš zaměstnavatel, čl. 6 odst. 1 písm. f) GDPR (plnění smlouvy s Vaší firmou). Údaje o účtu uchováváme do zrušení účtu – Vámi v sekci Nastavení, Vaší firmou při správě týmu nebo skončením smlouvy. V sekci Nastavení si také můžete stáhnout kopii svých údajů.

7. Vyhledávání na trhu: inzeráty z portálů třetích stran

Jádrem služby jsou inzeráty vozidel, které inzerenti veřejně zveřejnili na mobile.de, AutoScout24 nebo Kleinanzeigen. Náš crawler tyto veřejně přístupné stránky pravidelně načítá – bez přihlášení na portálech – a z inzerátu ukládá: údaje o vozidle (např. značku, model, datum první registrace, stav tachometru, cenu, výbavu, technický stav), fotografie, polohu (místo a PSČ), odkaz na původní inzerát a vývoj ceny. O inzerentovi ukládáme údaje, které uvádí samotný inzerát: zda jde o prodejce, nebo o soukromou osobu, zobrazované jméno (u soukromých osob zpravidla pouze křestní jméno), hodnocení inzerenta na portálu a – pokud je v inzerátu zveřejněno – telefonní číslo.

Účelem je umožnit našim zákazníkům, ověřeným prodejcům motorových vozidel, vyhledat vozidla, která chtějí pro svou podnikatelskou činnost vykoupit, a usnadnit jim navázání kontaktu s inzerentem – tedy přesně k účelu, za kterým inzerent inzerát a své kontaktní údaje zveřejnil. Právním základem je čl. 6 odst. 1 písm. f) GDPR. Náš oprávněný zájem a oprávněný zájem našich zákazníků spočívá v tom, sledovat trh s vozidly napříč portály a bez prodlení a nakupovat vozidla; zájem inzerentů prodat své vozidlo je s tím v souladu. K ochraně inzerentů platí: jména a telefonní čísla vidí pouze přihlášení zaměstnanci aktivovaných prodejců, nikdy návštěvníci webových stránek ani vyhledávače; údaje nejsou předávány třetím osobám a nejsou používány k reklamě; naši zákazníci jsou smluvně zavázáni používat kontaktní údaje výhradně k dotazu na nabízené vozidlo.

Z inzerátů vypočítáváme statistické ukazatele – tržní hodnotu, hodnocení ceny, nákupní potenciál, tržní trend modelu. Tyto ukazatele se vztahují k vozidlu, nikoli k osobě; profilování inzerentů neprobíhá.

Při načítání stránek portálů využíváme jako zpracovatele (čl. 28 GDPR) službu ScrapingBee společnosti ScrapingBee SAS, Paříž (Francie); ta stránky načítá naším jménem.

Doba uložení: údaje o vozidlech, ceny a vývoj cen uchováváme pro účely tržní statistiky i po skončení inzerátu. Jméno a telefonní číslo inzerenta automaticky vymažeme 90 dní poté, co inzerát přestane být na portálu dostupný (prodán nebo odstraněn).

Informace podle čl. 14 GDPR: Jelikož inzerenty neznáme a jednotlivé informování každého inzerenta by vyžadovalo nepřiměřené úsilí (čl. 14 odst. 5 písm. b) GDPR), informujeme veřejně na tomto místě. Zdrojem údajů je vždy odkazovaný inzerát na portálu. Jako inzerent můžete proti zpracování kdykoli vznést námitku (oddíl 18) – napište nám na adresu datenschutz@carfalke.de a uveďte odkaz na inzerát; Vaše kontaktní údaje pak ze služby odstraníme.

8. Uložená hledání, upozornění, parkoviště a aktivita týmu

Pro užívání vyhledávání na trhu ukládáme kritéria Vašich uložených hledání, příslušné výsledky, Vaše parkoviště (seznam sledovaných vozidel) se stavem, poznámkami, odpovědnou osobou a kalkulacemi a dále aktivity v týmu (např. kdo u vozidla nastavil stav „Voláno“ nebo změnil hledání). Tyto údaje jsou viditelné pro členy Vašeho týmu, aby mohli spolupracovat, a pro náš tým, pokud je to nezbytné pro podporu nebo vyúčtování. Využíváte-li funkce, které cíleně načítají stránky portálů (např. „Načíst detaily“ nebo porovnání s portálem), zaznamenáváme, kdo je a kdy spustil, abychom mohli spravovat denní kvótu.

Upozornění: Podle Vašeho nastavení Vás informujeme o nových výsledcích, změnách cen a zpětných voláních e-mailem, web push oznámením v prohlížeči a push zprávou v aplikaci CarFalke a také týdenním reportem. Pro web push ukládáme push adresu vygenerovanou prohlížečem a příslušné klíče, pro aplikaci token zařízení, platformu a verzi aplikace. Push zprávy aplikace jsou předávány prostřednictvím push služby Expo (650 Industries, Inc., USA) společnosti Apple (APNs), resp. Google (Firebase Cloud Messaging); předává se název a text zprávy a token, žádné další údaje Vašeho účtu. Upozornění můžete kdykoli vypnout v sekci Upozornění a oprávnění k push oznámením můžete odebrat v prohlížeči, resp. v zařízení.

Právním základem je čl. 6 odst. 1 písm. b) GDPR. Údaje uchováváme po dobu trvání smlouvy s Vaší firmou; smazaná hledání a odebrané push adresy jsou vymazány okamžitě. Upozornění k poznámkám: do poznámek prosím zapisujte pouze věcné údaje potřebné pro koupi vozidla.

9. Aplikace CarFalke

Aplikace CarFalke pro iOS a Android používá stejné účty a údaje jako webové stránky. V zařízení ukládá Vaše přihlášení, jazyk a nastavení. Jiné údaje ze zařízení nezpracovává; zejména nepřistupuje ke kontaktům, poloze ani fotografiím. Otevřete-li z aplikace původní inzerát nebo zavoláte-li na telefonní číslo, otevře se aplikace portálu, resp. aplikace Telefon ve Vašem zařízení; za tamní zpracování odpovídá příslušný poskytovatel. Na obchody s aplikacemi (Apple App Store, Google Play) se vztahují jejich zásady ochrany osobních údajů; Apple a Google nám o Vás nesdělují žádné osobní údaje.

10. Smlouva, faktury a platby

Za účelem plnění smlouvy s Vaší firmou zpracováváme smluvní údaje (balíček, doba trvání, počet uživatelů, portály), fakturační adresu a faktury. Faktury zasíláme e-mailem; platby prostřednictvím webových stránek neprobíhají. Právním základem je čl. 6 odst. 1 písm. b) a písm. c) GDPR (daňové povinnosti). Fakturační a účetní doklady uchováváme deset let podle § 147 AO a § 257 HGB.

11. E-maily a sdělení

Zasíláme Vám e-maily nezbytné pro službu: k potvrzení Vaší e-mailové adresy, k obnovení hesla, s rozhodnutím o Vaší žádosti o přístup, jako upozornění na výsledky (oddíl 8), s fakturami a při důležitých změnách služby nebo těchto zásad. Odeslání a jeho úspěšnost zaznamenáváme (příjemce, předmět, čas, stav), abychom mohli dohledat problémy s doručením.

Odesílání probíhá prostřednictvím Google Workspace (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irsko) jako zpracovatele. Právními základy jsou čl. 6 odst. 1 písm. b) GDPR a u bezpečnostních upozornění čl. 6 odst. 1 písm. f) GDPR.

Reklamní e-maily – například novinky o produktu – zasíláme pouze s Vaším souhlasem (čl. 6 odst. 1 písm. a) GDPR) nebo stávajícím zákazníkům ohledně vlastních obdobných služeb podle § 7 Abs. 3 UWG (německý zákon proti nekalé soutěži); každý takový e-mail obsahuje odkaz pro odhlášení. Pro takové hromadné e-maily můžeme jako zpracovatele využít službu Brevo (Sendinblue SAS, Paříž, Francie).

12. Kontaktní formulář a podpora

Napíšete-li nám prostřednictvím kontaktního formuláře nebo e-mailem, zpracováváme Vaše jméno, e-mailovou adresu, zvolené téma, Vaše údaje o firmě nebo o případu a obsah Vaší zprávy, abychom mohli Váš dotaz zodpovědět. Jste-li přihlášeni, přiřadíme dotaz k Vašemu účtu. Právním základem je čl. 6 odst. 1 písm. b) GDPR (předsmluvní, resp. smluvní dotazy) nebo čl. 6 odst. 1 písm. f) GDPR (náš zájem na zodpovězení dotazů). Dotaz vymažeme, jakmile je definitivně vyřízen a nevztahují se na něj povinnosti uchovávání; obchodní korespondenci uchováváme šest let podle § 257 HGB.

K ochraně formuláře před automatizovanými požadavky používáme Cloudflare Turnstile (oddíl 14).

13. Soubory cookie a místní úložiště

Jaké soubory cookie a technologie ukládání používáme, jak dlouho jsou uloženy a jak můžete změnit svou volbu, popisují naše Zásady používání souborů cookie. Nezbytná ukládání (přihlášení, jazyk, Vaše volba souborů cookie, vzhled, nastavení živého přehledu) probíhají bez souhlasu na základě § 25 Abs. 2 Nr. 2 TDDDG (německý zákon o ochraně osobních údajů v telekomunikacích a digitálních službách) a čl. 6 odst. 1 písm. b), resp. f) GDPR. Google Analytics používáme pouze s Vaším souhlasem.

14. Webová analytika (Google Analytics), ochrana před boty, žádné reklamní služby

Google Analytics 4: S Vaším souhlasem (§ 25 Abs. 1 TDDDG, čl. 6 odst. 1 písm. a) GDPR) používáme Google Analytics 4 společnosti Google Ireland Limited ke statistickému vyhodnocení používání našich veřejných stránek (zobrazené stránky, doba návštěvy, přibližný původ, typ zařízení). Reklamní funkce, signály Google a personalizace reklamy jsou vypnuté; Google Analytics 4 neukládá IP adresy. Bez souhlasu se skript nenačte a nenastaví se žádný soubor cookie. Údaje mohou být předány společnosti Google LLC v USA; Google je certifikován podle rámce EU-USA pro ochranu osobních údajů (EU-US Data Privacy Framework), doplňkově platí standardní smluvní doložky. Svůj souhlas můžete kdykoli odvolat prostřednictvím odkazu „Nastavení cookies“ v zápatí stránky.

Cloudflare Turnstile: Při přihlášení, žádosti o přístup, obnovení hesla a v kontaktním formuláři ověřuje Cloudflare Turnstile (Cloudflare, Inc., USA) na pozadí, zda požadavek pochází od člověka. Přitom se zpracovává Vaše IP adresa a technické vlastnosti prohlížeče; Turnstile nenastavuje žádné soubory cookie. Právním základem je čl. 6 odst. 1 písm. f) GDPR (ochrana před automatizovaným zneužitím); předávání do USA se opírá o rámec EU-US Data Privacy Framework a standardní smluvní doložky.

Nepoužíváme reklamní sítě, retargeting ani pluginy sociálních sítí.

15. Příjemci

V rámci společnosti CarFalke GmbH mají přístup k osobním údajům pouze ti zaměstnanci, kteří je potřebují k plnění svých úkolů (podpora, ověřování prodejců, provoz, účetnictví). Kromě toho využíváme tyto zpracovatele, kteří jsou smluvně vázáni podle čl. 28 GDPR:

• Hetzner Online GmbH, Gunzenhausen (Německo): hosting, databáze, úložiště dokumentů, zálohy
• ScrapingBee SAS, Paříž (Francie): načítání veřejných stránek portálů pro crawler
• Google Ireland Limited, Dublin (Irsko): odesílání e-mailů (Google Workspace) a – pouze se souhlasem – Google Analytics
• Cloudflare, Inc. (USA): ochrana před boty Turnstile
• 650 Industries, Inc. (Expo, USA) a dále Apple Inc. a Google LLC: doručování push zpráv do aplikace
• Sendinblue SAS (Brevo, Paříž, Francie): reklamní hromadné e-maily, pokud je rozesíláme

Kromě toho předáváme údaje třetím osobám pouze tehdy, pokud jsme k tomu povinni ze zákona (např. orgánům veřejné moci), k uplatnění našich práv nebo s Vaším souhlasem. V rámci firmy prodejce jsou týmové údaje, jak je popsáno v oddílech 6 a 8, viditelné pro členy týmu.

16. Doba uložení

Není-li v jednotlivých oddílech uvedeno jinak, platí:

• Serverové protokoly: 30 dní
• Údaje o účtu a týmu: do zrušení účtu, resp. do skončení smlouvy
• Uložená hledání, parkoviště, aktivity, push adresy: po dobu trvání smlouvy
• Jméno a telefonní číslo inzerenta: 90 dní po skončení jeho inzerátu na portálu
• Doklady k ověření prodejce: do tří let po skončení smlouvy
• Fakturační a účetní doklady: deset let (§ 147 AO, § 257 HGB); obchodní korespondence: šest let
• Zálohy: nejvýše šest měsíců

Po uplynutí těchto lhůt údaje vymažeme nebo anonymizujeme, pokud delší uchování nevyžaduje probíhající řízení.

17. Předávání do třetích zemí

Naše údaje jsou ukládány v Německu, resp. v Evropské unii. K předávání do USA dochází pouze v uvedených případech (Google Analytics s Vaším souhlasem, Cloudflare Turnstile, push zprávy do aplikace). Opírá se o rozhodnutí Evropské komise o odpovídající ochraně k rámci EU-US Data Privacy Framework, pokud je příjemce certifikován, a doplňkově o standardní smluvní doložky Evropské komise (čl. 46 odst. 2 písm. c) GDPR).

18. Vaše práva

Ve vztahu ke svým osobním údajům máte vůči nám tato práva:

• právo na přístup (čl. 15 GDPR) – jako uživatelka nebo uživatel si můžete v sekci Nastavení kdykoli stáhnout kopii svých údajů
• právo na opravu (čl. 16 GDPR)
• právo na výmaz (čl. 17 GDPR) – svůj účet můžete sami zrušit v sekci Nastavení
• právo na omezení zpracování (čl. 18 GDPR)
• právo na přenositelnost údajů (čl. 20 GDPR)
• právo odvolat udělený souhlas s účinky do budoucna (čl. 7 odst. 3 GDPR)

Právo vznést námitku (čl. 21 GDPR): Pokud zpracováváme údaje na základě čl. 6 odst. 1 písm. f) GDPR, můžete z důvodů týkajících se Vaší konkrétní situace kdykoli vznést námitku; údaje pak již nebudeme zpracovávat, ledaže prokážeme závažné oprávněné důvody, které převažují nad Vašimi zájmy. To platí zejména pro inzerenty (oddíl 7). Proti přímému marketingu můžete vznést námitku kdykoli a bez udání důvodů.

K uplatnění Vašich práv postačí e-mail na adresu datenschutz@carfalke.de. Máte rovněž právo podat stížnost u dozorového úřadu pro ochranu osobních údajů, zejména v členském státě svého obvyklého pobytu, místa výkonu práce nebo místa údajného porušení. Dozorovým úřadem příslušným pro nás je: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.

19. Povinnost poskytnout údaje

Pro žádost o přístup a uživatelský účet jsou nezbytné údaje označené jako povinné; bez nich nemůžeme Vaši firmu ověřit a zřídit přístup. Všechny ostatní údaje jsou dobrovolné.

20. Automatizované rozhodování

K rozhodování s právními účinky založenému výhradně na automatizovaném zpracování (čl. 22 GDPR) nedochází. O aktivaci prodejce rozhoduje člověk; hodnocení ceny a tržní hodnoty jsou odhady týkající se vozidel, nikoli rozhodnutí o osobách.

21. Zabezpečení údajů

Přenos mezi Vaším zařízením a našimi servery je šifrován pomocí TLS. Hesla ukládáme výhradně ve formě hashe, nahrané doklady šifrovaně. Přístup k osobním údajům je omezen na zaměstnance, kteří jej potřebují; administrátorské přístupy jsou protokolovány. Naše technická a organizační opatření průběžně přizpůsobujeme aktuálnímu stavu techniky.

22. Změny

Tyto zásady ochrany osobních údajů upravujeme, pokud se změní služba nebo právní situace. Aktuální znění naleznete vždy na carfalke.de; datum poslední změny je uvedeno v horní části této stránky. O podstatných změnách informujeme uživatelky a uživatele e-mailem.