Účel a rozsah dokumentu
Tyto Zásady ochrany osobních údajů upravují podmínky zpracování osobních údajů v souvislosti s provozem internetových stránek pelicancasinogames.com a souvisejících služeb. Dokument vymezuje, jaké údaje jsou zpracovávány, z jakých důvodů, po jakou dobu a jakým způsobem jsou chráněny. Zásady se vztahují na návštěvníky webu, registrované uživatele účtu i osoby, které se obrátí na správce prostřednictvím komunikačních kanálů. Tento text je vykládán v souladu s právním řádem Czechia, zejména s nařízením (EU) 2016/679 a navazujícími předpisy. Ustanovení se použijí i tehdy, kdy je zpracování prováděno zčásti automatizovaně a zčásti manuálně v evidencích. Dokument nezakládá žádné smluvní ujištění nad rámec zákonných povinností správce.
Vymezení pojmů a role subjektů
Osobními údaji se rozumí veškeré informace o identifikované nebo identifikovatelné fyzické osobě, přičemž identifikovatelnost může vyplývat z přímých i nepřímých identifikátorů. Správcem je subjekt, který určuje účely a prostředky zpracování, a zpracovatelem je subjekt, který zpracovává údaje pro správce na základě pokynů a smlouvy. Subjektem údajů je fyzická osoba, jejíž údaje jsou zpracovávány, a to bez ohledu na to, zda má vytvořen účet. Pelican Casino vystupuje při provozu webu a souvisejících služeb zpravidla v postavení správce, pokud není v konkrétní situaci výslovně uvedeno jinak. Zpracování může zahrnovat úkony jako shromažďování, ukládání, uspořádání, použití, zpřístupnění či výmaz. Pojem porušení zabezpečení zahrnuje incident vedoucí k náhodnému nebo protiprávnímu zničení, ztrátě, pozměnění nebo neoprávněnému zpřístupnění osobních údajů.
Právní rámec a zásady zpracování
Zpracování osobních údajů je prováděno v souladu s požadavky zákonnosti, korektnosti, transparentnosti a minimalizace údajů podle GDPR. Uplatňuje se zásada účelového omezení, kdy jsou údaje používány pouze pro předem stanovené a legitimní účely a dále nezpracovávány způsobem, který je s nimi neslučitelný. Správce dbá na přesnost údajů a přijímá přiměřená opatření k opravě nebo výmazu nepřesných údajů bez zbytečného odkladu. Doba uložení je omezena na období nezbytné pro stanovené účely, s přihlédnutím k zákonným lhůtám a promlčecím dobám. Integrita a důvěrnost jsou podporovány organizačními a technickými opatřeními, která odpovídají rizikům a povaze zpracování. V rámci odpovědnosti správce je vedena interní dokumentace, včetně záznamů o činnostech zpracování v rozsahu vyžadovaném právem.
Kategorie zpracovávaných osobních údajů
Zásady ochrany osobních údajů vymezují, že zpracování se může týkat identifikačních údajů, jako je jméno, příjmení, datum narození a identifikátory účtu, pokud jsou poskytnuty. Dále mohou být zpracovávány kontaktní údaje, například e mailová adresa, telefonní číslo a korespondenční údaje, jestliže jsou potřebné pro komunikaci nebo plnění smlouvy. V závislosti na funkčnosti služby mohou vznikat technické údaje, mezi něž patří IP adresa, typ zařízení, jazykové nastavení, identifikátory relace a logy přístupů. Mohou být zpracovávány údaje o transakcích, včetně záznamů o platbách a vratkách, avšak pouze v rozsahu nezbytném pro účetnictví, prevenci podvodů a plnění smluvních povinností. V určitých situacích mohou být zpracovávány údaje vyžadované pro ověření věku a identity, zejména pokud právní povinnosti vyžadují kontrolu dosažení 18 let. Správce nehodlá cíleně zpracovávat zvláštní kategorie údajů dle čl. 9 GDPR; pokud by se takové údaje výjimečně objevily v komunikaci, budou posuzovány restriktivně a zpracovány pouze při existenci odpovídajícího právního titulu.
Způsoby získávání údajů
Údaje mohou být získány přímo od subjektu údajů při registraci, při nastavení profilu, při zaslání dotazu nebo při poskytování podkladů pro ověření. Další údaje vznikají automaticky během používání webu, kdy systémy zaznamenávají technické informace nezbytné pro zajištění provozu, diagnostiky a bezpečnosti. Zásady ochrany osobních údajů zároveň připouštějí získávání údajů z interních systémů, například z historie požadavků, protokolů o přihlášení a evidence souhlasů. V odůvodněných případech mohou být některé informace ověřeny u třetích stran, například u poskytovatelů platebních služeb nebo nástrojů prevence podvodů, vždy však v rozsahu omezeném na účel ověření a bezpečnostní posouzení. Pokud je využit externí zprostředkovatel, probíhá předávání v režimu smluvních záruk a s nastavenými přístupovými právy. Správce neprovádí vědomé shromažďování údajů od osob, u nichž lze rozumně předpokládat, že nedosáhly věku 18 let, a při zjištění takového případu bude postupovat k omezení zpracování a případnému výmazu.
Právní základy zpracování
Zpracování osobních údajů je založeno na právních titulech dle čl. 6 GDPR, a to podle povahy konkrétního účelu. Plnění smlouvy nebo provedení opatření před uzavřením smlouvy odůvodňuje zpracování údajů potřebných k vytvoření a správě účtu a k poskytování funkčností webu. Splnění právní povinnosti se uplatní zejména u účetních a daňových povinností a u povinností souvisejících s prevencí podvodů a ochranou právních nároků. Oprávněný zájem může být použit pro zajištění bezpečnosti infrastruktury, vyhodnocování incidentů, interní audity a obranu proti zneužití, přičemž je prováděno posouzení proporcionality a dopadů na práva subjektů údajů. Souhlas je využíván tehdy, kdy je právně vyžadován, zejména ve vztahu k vybraným kategoriím cookies a obdobných technologií, a může být kdykoliv odvolán bez dopadu na zákonnost předchozího zpracování. Pelican Casino v rámci tohoto nastavení usiluje o to, aby každý účel byl přiřazen ke konkrétnímu právnímu titulu a aby rozsah údajů nepřekračoval nezbytný standard.
Účely zpracování a provozní logika
Zpracování probíhá za účelem zajištění funkčního provozu webu, včetně autentizace, správy relací a technické podpory, a to s ohledem na integritu systémů. Dále je účelem zpracování vyřizování požadavků a komunikace, kdy jsou uchovávány informace o obsahu podání, čase a způsobu kontaktu, aby bylo možné doložit průběh řešení. Zásady ochrany osobních údajů pokrývají také účely související s bezpečností, jako je detekce anomálií, omezení automatizovaných útoků a prevence podvodného jednání. Údaje mohou být využity pro splnění právních povinností, včetně vedení účetních dokladů a vyřizování reklamací, a pro uplatnění, výkon nebo obhajobu právních nároků. V omezeném rozsahu může docházet k agregované analytice provozu, která směřuje k optimalizaci výkonu a odhalování technických chyb, přičemž se preferuje pseudonymizace a nastavení zkrácených retenčních dob. Správce neprovádí rozhodování založené výlučně na automatizovaném zpracování, které by mělo pro subjekt údajů právní účinky nebo jej obdobně významně ovlivňovalo, ledaže by to bylo výslovně povoleno právem a současně doprovázeno odpovídajícími zárukami.
Doba uložení a výmaz údajů
Doba uchování se odvíjí od účelu a právního titulu a je nastavena tak, aby nepřekračovala nezbytné období. Záznamy o komunikaci a požadavcích mohou být uchovávány po dobu 24 měsíců od uzavření případu, pokud je to potřebné pro kontrolu kvality a prokazování postupů, přičemž u citlivých incidentů může být doba přiměřeně prodloužena. Protokoly přístupů a bezpečnostní logy jsou typicky uchovávány po dobu 180 dnů, aby bylo možné vyšetřit incidenty a odhalit opakované útoky, přičemž u závažných incidentů může být část záznamů uchována déle pro účely ochrany právních nároků. Účetní a daňové doklady jsou uchovávány po dobu stanovenou právními předpisy, typicky 10 let, pokud to vyžaduje relevantní úprava. Zásady ochrany osobních údajů stanoví, že po uplynutí retenční doby jsou údaje bezpečně vymazány nebo anonymizovány tak, aby již nebylo možné identifikovat subjekt údajů. Je li výmaz omezen právní povinností nebo probíhajícím sporem, provede se omezení zpracování a zamezí se dalšímu použití nad rámec nezbytné archivace.
Sdílení údajů a příjemci
Osobní údaje mohou být zpřístupněny pouze v rozsahu nezbytném příjemcům, kteří poskytují služby související s provozem webu, například hosting, údržbu, bezpečnostní monitoring nebo zákaznickou podporu. Příjemci mohou zahrnovat poskytovatele platebních služeb, kteří jsou zapojeni do zpracování transakcí a kontroly rizik, a to v režimu jejich vlastních právních povinností nebo jako zpracovatelé podle konkrétního nastavení. Zásady ochrany osobních údajů připouštějí předání orgánům veřejné moci, soudům nebo orgánům činným v trestním řízení, pokud je to vyžadováno právním předpisem nebo závazným rozhodnutím. V případě externích dodavatelů jsou uzavírány smlouvy o zpracování osobních údajů, které stanovují předmět, dobu, povahu a účel zpracování a povinnosti mlčenlivosti. Správce uplatňuje princip omezeného přístupu, takže příjemci získají jen takový rozsah údajů, který je nutný k poskytnutí služby. V rámci vztahů s dodavateli je uplatňováno průběžné hodnocení, zda jsou dodržována přiměřená bezpečnostní opatření a zda nedochází k nepovolenému sekundárnímu využití.
Předávání do třetích zemí
Předání osobních údajů mimo Evropský hospodářský prostor může nastat, pokud je některý dodavatel infrastruktury nebo podpory usazen ve třetí zemi, nebo pokud technické prostředky vedou k přístupu z takového území. Takové předání je prováděno pouze při splnění podmínek kapitoly V GDPR, zejména na základě rozhodnutí o odpovídající ochraně nebo při použití standardních smluvních doložek. Zásady ochrany osobních údajů dále počítají s doplňkovými opatřeními, pokud to vyžaduje posouzení právního prostředí cílové země, například šifrováním dat během přenosu i uložení. Správce může provést posouzení dopadu předání, aby ověřil, zda jsou práva subjektů údajů prakticky vymahatelná a zda existují účinné prostředky nápravy. Pokud by nebylo možné zajistit odpovídající úroveň ochrany, správce předání neprovede nebo jej omezí na nezbytné minimum. Informace o základních zárukách předávání mohou být poskytnuty na vyžádání postupem uvedeným v kontaktní části.
Zabezpečení a řízení rizik
Zabezpečení je řízeno jako průběžný proces, který zahrnuje identifikaci rizik, volbu opatření a jejich pravidelné přezkoumání. Správce aplikuje technická opatření, jako je šifrování přenosu, segmentace přístupů, správa identit a zaznamenávání bezpečnostních událostí, přičemž jsou uplatňovány zásady nejmenších oprávnění. Organizační opatření zahrnují školení oprávněných osob, interní postupy pro práci s požadavky subjektů údajů a kontrolu dodavatelů, aby se snížilo riziko lidské chyby. Pro některé operace může být využita pseudonymizace, a tam kde je to přiměřené, je prosazována vícefaktorová autentizace pro administrativní přístupy. Zásady ochrany osobních údajů uvádějí, že cílovou úrovní je minimalizace pravděpodobnosti incidentů a snížení dopadů; interně může být sledována například míra úspěšnosti bezpečnostních aktualizací na úrovni 95 % v rámci stanovených servisních oken. V případě porušení zabezpečení správce posoudí rizika pro práva a svobody fyzických osob a provede oznámení dozorovému úřadu bez zbytečného odkladu, případně nejpozději do 72 hodin, pokud jsou splněny podmínky GDPR. Pokud je pravděpodobné, že incident povede k vysokému riziku, budou dotčené osoby informovány vhodným způsobem, není li splněna některá z výjimek stanovených právem.
Práva subjektů údajů a jejich uplatnění
Právní úprava poskytuje subjektům údajů právo na přístup k osobním údajům, právo na opravu a právo na výmaz, pokud jsou splněny zákonné podmínky. Dále může být uplatněno právo na omezení zpracování, právo vznést námitku proti zpracování založenému na oprávněném zájmu a právo na přenositelnost, pokud je zpracování založeno na souhlasu nebo smlouvě a probíhá automatizovaně. Zásady ochrany osobních údajů stanoví, že žádosti jsou posuzovány individuálně, včetně ověření identity žadatele, aby nedošlo k neoprávněnému zpřístupnění údajů. Správce poskytne odpověď bez zbytečného odkladu, obvykle do 30 dnů, přičemž ve složitých případech může být lhůta prodloužena o další 60 dnů v souladu s GDPR. Uplatnění práv je zásadně bezplatné, avšak při zjevně nedůvodných nebo nepřiměřených žádostech může správce účtovat přiměřený poplatek nebo žádost odmítnout, a to při zachování povinnosti odůvodnění. Je li zpracování založeno na souhlasu, jeho odvolání nemá zpětný účinek a nemění zákonnost zpracování provedeného před odvoláním.
Ověření identity a bezpečné předání odpovědi
Ověření identity může být požadováno tehdy, kdy existují důvodné pochybnosti o totožnosti žadatele, zejména pokud je žádost podána z neobvyklého kanálu. Správce může vyžadovat doplňující informace přiměřené riziku, aby se zabránilo vydání údajů neoprávněné osobě, přičemž rozsah ověření je minimalizován. Odpovědi jsou poskytovány v běžně používaném elektronickém formátu, pokud žadatel nepožádá o jiný způsob, a s ohledem na ochranu důvěrnosti. Zásady ochrany osobních údajů vylučují zasílání citlivých informací nešifrovanými kanály, pokud by to bylo vzhledem k povaze údajů nepřiměřené. V případě opakovaných žádostí může správce přihlédnout k tomu, zda se požadovaný rozsah již dříve poskytl, a vyhodnotit účelnost a proporcionalitu. Pokud je žádost vyřizována prostřednictvím zástupce, je vyžadováno doložení oprávnění jednat, aby byla zachována právní jistota.
Právo podat stížnost u dozorového úřadu
Subjekt údajů je oprávněn podat stížnost u dozorového úřadu, pokud se domnívá, že zpracování osobních údajů porušuje právní předpisy. V Czechia je dozorovým úřadem Úřad pro ochranu osobních údajů, u něhož lze stížnost podat písemně nebo elektronicky podle jeho aktuálních podmínek. Správce doporučuje před podáním stížnosti využít interní postup pro vyřízení požadavku, aby bylo možné sporné otázky vyjasnit a napravit bez průtahů, aniž by tím byla dotčena práva subjektu údajů. Zásady ochrany osobních údajů potvrzují, že uplatnění práv nesmí vést k diskriminačnímu zacházení ani k odepření zákonných nároků. Je li stížnost spojena s incidentem, bude zohledněna i interní evidence bezpečnostních událostí a přijatých opatření. Případná soudní ochrana práv zůstává zachována v rozsahu stanoveném právním řádem.
Cookies a obdobné sledovací technologie
Cookies a podobné technologie jsou používány k zajištění základní funkčnosti webu, k bezpečnostním účelům a v určitých případech k analytickému vyhodnocení provozu. Nezbytné cookies jsou zpracovávány na základě oprávněného zájmu nebo plnění smlouvy, protože bez nich nelze zajistit stabilní relaci, ochranu proti zneužití a správnou konfiguraci služby. Pro jiné než nezbytné cookies, zejména pro vybrané analytické nebo preferenční účely, je uplatňován souhlas prostřednictvím nastavení, které umožňuje volbu podle kategorií. Zásady ochrany osobních údajů uvádějí, že souhlas lze kdykoliv změnit nebo odvolat, přičemž změna se projeví pro budoucí zpracování. Doba uložení cookies se liší podle typu a může být nastavena například na 14 dnů pro krátkodobé bezpečnostní identifikátory nebo na 12 měsíců pro preferenční nastavení, pokud je takové uložení odůvodněné. V prostředí prohlížeče lze současně využít jeho funkce pro vymazání cookies a omezení sledování, přičemž některé funkce webu mohou být po takovém zásahu omezeny.
Provozní a bezpečnostní cookies
Provozní cookies slouží k udržení relace, k vyvážení zátěže a k prevenci technických chyb, a proto jsou typicky aktivní po dobu nezbytnou pro trvání relace nebo krátké období po jejím skončení. Bezpečnostní cookies mohou být používány k odhalení opakovaných pokusů o přihlášení, k omezení automatizovaných útoků a k validaci integrity požadavků. Zásady ochrany osobních údajů připouštějí, že tyto identifikátory mohou být propojeny s logy událostí, aby bylo možné vyšetřit incident, avšak jen v rámci přísně řízeného přístupu. Ukládání a čtení těchto cookies je omezeno na domény a poddomény, které jsou nezbytné pro poskytování služby. Zpracování je nastaveno tak, aby nedocházelo k vytváření dlouhodobých profilů, pokud to není odůvodněno konkrétním bezpečnostním rizikem. Pokud je zjištěn pokus o zneužití, mohou být některé identifikátory uchovány po delší dobu, aby bylo možné uplatnit obranné mechanismy a chránit legitimní uživatele.
Nastavení souhlasu a preference
Souhlasové nastavení umožňuje oddělit nezbytné technologie od těch, které vyžadují volbu, a tím posílit transparentnost. Správce eviduje čas a rozsah uděleného souhlasu, aby bylo možné prokázat jeho existenci, a to po dobu, která nepřekročí nezbytnou míru pro auditní účely. Zásady ochrany osobních údajů zároveň zdůrazňují, že odvolání souhlasu nebrání dalšímu zpracování, pokud je založeno na jiném právním titulu, například na právní povinnosti nebo oprávněném zájmu. V rámci nastavení mohou být uloženy informace o volbách, aby nebylo nutné opakované zadávání při každé návštěvě, typicky po dobu několika měsíců podle konkrétní konfigurace. Pokud prohlížeč nebo zařízení blokuje ukládání těchto preferencí, může být volba vyžádána znovu při další návštěvě. Při použití nástrojů třetích stran je posuzováno, zda dochází k předávání identifikátorů mimo EHP, a v takovém případě se uplatní odpovídající záruky.
Kontaktní údaje a postup pro uplatnění žádostí
Žádosti týkající se osobních údajů lze uplatnit prostřednictvím kontaktního kanálu uvedeného na webu pelicancasinogames.com, případně prostřednictvím kontaktního formuláře, pokud je k dispozici. Správce může požadovat upřesnění žádosti, aby bylo možné jednoznačně identifikovat rozsah požadovaných úkonů a minimalizovat zásah do soukromí jiných osob. Zásady ochrany osobních údajů předpokládají, že komunikace bude vedena tak, aby byla doložitelná, a proto může být část korespondence archivována po dobu uvedenou v retenčních pravidlech. V rámci vyřizování se uplatní princip oddělení rolí, kdy přístup k údajům získají pouze osoby pověřené řešením žádosti. Pokud se žádost týká přenositelnosti, správce poskytne data ve strukturovaném, běžně používaném a strojově čitelném formátu, pokud je to technicky proveditelné. V případech, kdy není možné žádosti vyhovět v plném rozsahu, bude poskytnuto právní a věcné odůvodnění a informace o možnostech dalšího postupu.
Zásady ochrany osobních údajů, změny dokumentu a závazek souladu
Zásady ochrany osobních údajů mohou být průběžně upravovány, pokud to vyžadují změny právních předpisů, výkladová praxe dozorových orgánů, technický rozvoj nebo změna procesů zpracování. Správce při změnách posuzuje dopad na práva a svobody fyzických osob a v relevantních případech aktualizuje informace o účelech, právních titulech, kategoriích příjemců, době uchování a o přenosech do třetích zemí. Zásady ochrany osobních údajů jsou zveřejněny na adrese pelicancasinogames.com/privacy-policy a datum účinnosti je stanoveno v rámci aktuální verze dokumentu, aby byla zajištěna dohledatelnost změn. Pokud by změna podstatně ovlivnila postavení subjektů údajů, bude zvolena přiměřená forma oznámení, například prostřednictvím rozhraní účtu nebo jiným dostupným komunikačním kanálem, přičemž se zohlední povaha změny. Správce se zavazuje udržovat soulad s požadavky GDPR a souvisejícími předpisy Czechia, včetně zásad odpovědnosti, transparentnosti a bezpečnosti, a provádět přiměřené interní kontroly. V případě, že bude vyžadováno posouzení vlivu na ochranu osobních údajů, bude provedeno před zavedením vysoce rizikového zpracování a budou přijata opatření k omezení rizik. Tento dokument je třeba vykládat ve spojení s procesy pro vyřizování žádostí a stížností, přičemž správce usiluje o to, aby odpovědi byly poskytovány standardně do 30 dnů a aby byly řádně evidovány pro účely prokazování souladu. Zásady ochrany osobních údajů nepředstavují marketingové sdělení a jejich cílem je přesně popsat pravidla zpracování, mechanismy ochrany a postupy uplatnění práv, včetně možnosti obrátit se na dozorový úřad, pokud interní postup nevede k nápravě.