Úvodní ustanovení a vymezení pojmů

Tyto Zásady ochrany osobních údajů představují právní dokument upravující zpracování osobních údajů v souvislosti s provozem webové domény nvcazino.eu.com a souvisejících služeb. Dokument vymezuje základní pojmy, zejména osobní údaj, zvláštní kategorie údajů, správce, zpracovatel, příjemce, porušení zabezpečení osobních údajů a profilování. Správcem je subjekt, který určuje účely a prostředky zpracování, přičemž konkrétní identifikační a kontaktní údaje jsou uvedeny v části věnované kontaktům a uplatnění práv. Rozsah dokumentu se vztahuje na zpracování prováděná prostřednictvím webu, zákaznické podpory, bezpečnostních mechanismů a interních evidencí, a to bez ohledu na to, zda je přístup realizován z území České republiky nebo ze zahraničí. Tento dokument se uplatní i na komunikaci uskutečněnou elektronicky, telefonicky nebo prostřednictvím formulářů, pokud je spojena s využíváním služeb.

Regulatorní rámec a zásady zákonnosti zpracování

Zpracování osobních údajů je prováděno v souladu s nařízením Evropského parlamentu a Rady (EU) 2016/679 (GDPR) a s relevantními ustanoveními českých právních předpisů, zejména zákona č. 110/2019 Sb., o zpracování osobních údajů. Správce uplatňuje zásady zákonnosti, korektnosti, transparentnosti, účelového omezení, minimalizace údajů, přesnosti, omezení uložení, integrity a důvěrnosti a odpovědnosti. V praxi to znamená, že se zpracovávají pouze údaje nezbytné pro dosažení legitimních a předem vymezených účelů, a to způsobem přiměřeným povaze poskytovaných služeb. Správce dále zohledňuje požadavky na prokazatelnost souladu, včetně interní dokumentace, evidencí činností zpracování a posuzování rizik. V případě kolize právních titulů nebo účelů se uplatní přísnější režim ochrany, zejména pokud se jedná o ověření totožnosti a prevenci zneužití.

Kategorie zpracovávaných osobních údajů

Kategorie osobních údajů zahrnují identifikační údaje, jako je jméno, příjmení, datum narození, státní příslušnost a údaje o dokladech totožnosti, pokud jsou vyžadovány pro ověření. Dále jsou zpracovávány kontaktní údaje, zejména e mail, telefonní číslo, doručovací adresa a údaje o preferovaném komunikačním kanálu, pokud je to relevantní pro podporu. Zpracování může zahrnovat technické údaje o zařízení a přístupu, jako jsou IP adresa, typ prohlížeče, identifikátory relací, časové značky přihlášení a údaje o výkonu služby. Finanční a transakční údaje mohou zahrnovat informace o vkladech a výběrech, interní identifikátory transakcí, záznamy o stavu účtu a údaje vyžadované pro prevenci podvodů. V odůvodněných případech mohou být zpracovávány i údaje o dodržování podmínek služby, včetně záznamů o reklamaci, interních vyšetřování a blokacích.

Zásady ochrany osobních údajů při získávání dat

Zásady ochrany osobních údajů se uplatňují na údaje poskytnuté přímo, nepřímo i automatizovaně, přičemž správce stanoví pravidla pro každý způsob získání. Přímé poskytnutí nastává zejména při registraci, nastavení účtu, komunikaci se zákaznickou podporou nebo při předložení dokumentů pro ověření totožnosti. Nepřímé získání se může uskutečnit prostřednictvím platebních poskytovatelů nebo ověřovacích služeb, pokud je to nezbytné k provedení platby nebo splnění právní povinnosti. Automatizované získání probíhá prostřednictvím protokolů serveru, bezpečnostních logů a nástrojů pro detekci incidentů, které zaznamenávají události v reálném čase. Správce nepředpokládá úmyslné zpracování údajů dětí, a pokud zjistí, že byly poskytnuty údaje osoby mladší 18 let, přijme kroky k jejich omezení a odstranění v rozsahu dovoleném právními povinnostmi.

Způsoby sběru a provozní zdroje informací

Provozní vysvětlení sběru údajů spočívá v tom, že systém zaznamenává údaje při přihlášení, při změně nastavení, při odeslání požadavku na podporu a při realizaci transakcí. Při využívání služeb může dojít k vytvoření interních identifikátorů, které slouží k jednoznačnému přiřazení činností k účtu a k ochraně před neoprávněným přístupem. Správce může využívat údaje z bezpečnostních nástrojů, které vyhodnocují rizikové signály, například neobvyklé přihlašovací vzorce nebo pokusy o prolomení hesla. V souvislosti s provozem casino NV mohou být zpracovávány také informace o tom, zda byly splněny technické podmínky pro doručení oznámení a zda došlo k chybám při zpracování požadavků. Pokud je použita komunikace prostřednictvím e mailu, může být uchován obsah zprávy a metadatové údaje, zejména datum a čas, a to po dobu nezbytnou k vyřízení.

Právní základy zpracování a jejich aplikace

Právní základ zpracování je určen povahou vztahu a konkrétním účelem, přičemž může spočívat v plnění smlouvy, splnění právní povinnosti, oprávněném zájmu nebo souhlasu. Plnění smlouvy se uplatní zejména při vedení účtu, zpracování požadavků, realizaci transakcí a poskytování podpory. Splnění právní povinnosti se uplatní v rozsahu, v jakém je nutné vést účetní a daňové záznamy nebo provádět ověření totožnosti a kontrolu rizik, pokud to vyžadují použitelné předpisy. Oprávněný zájem se může vztahovat na prevenci podvodů, zajištění bezpečnosti systému, uplatňování nebo obhajobu právních nároků a zlepšování stability služeb, přičemž správce provádí test proporcionality. Souhlas se může uplatnit u vybraných činností, zejména u nepovinných analytických nástrojů nebo marketingové komunikace, a jeho odvolání nemá zpětné účinky na dřívější zpracování.

Účely zpracování a omezení použití údajů

Zásady ochrany osobních údajů stanoví, že údaje jsou zpracovávány pouze pro účely, které jsou výslovně vymezeny a jsou slučitelné s poskytovanými službami a právními povinnostmi. Mezi hlavní účely patří správa účtu, ověření identity, zajištění bezpečného přístupu, zpracování vkladů a výběrů a vedení nezbytných provozních evidencí. Dalším účelem je vyřizování dotazů, žádostí a reklamací, včetně zajištění zpětné dohledatelnosti komunikace po dobu přiměřenou složitosti případu. Správce může údaje využít i k detekci a prevenci zneužití, včetně koordinace s bezpečnostními týmy a provádění interních auditů, pokud je to nezbytné. V rámci casino NV se údaje nepoužijí k rozhodování, které by mělo právní účinky nebo obdobně významné dopady výlučně na základě automatizovaného zpracování, pokud k tomu není splněn zákonný předpoklad a nejsou zajištěny odpovídající záruky.

Doba uchování a pravidla výmazu

Správce uchovává osobní údaje pouze po dobu nezbytnou pro naplnění účelu zpracování a pro splnění právních povinností, přičemž uplatňuje interní retenční pravidla. Údaje o účtu se obvykle uchovávají po dobu trvání smluvního vztahu a následně po dobu 6 let pro účely obhajoby právních nároků, pokud konkrétní okolnosti nevyžadují delší nebo kratší dobu. Účetní a transakční záznamy mohou být uchovávány po dobu 10 let, pokud je to vyžadováno právními předpisy, zejména z hlediska účetnictví a daňové kontroly. Bezpečnostní logy a technické záznamy jsou uchovávány typicky 90 dní, není li nezbytné jejich delší uchování v souvislosti s řešením incidentu nebo probíhajícím šetřením. Po uplynutí retenční doby jsou údaje bezpečně vymazány, anonymizovány nebo archivovány v omezeném režimu, pokud je uchování nezbytné k prokázání souladu.

Sdílení údajů, příjemci a pověřené zpracování

Regulatorní rámec sdílení vychází z principu minimalizace a z omezení na příjemce, kteří jsou nezbytní pro provoz a splnění povinností správce. Osobní údaje mohou být zpřístupněny poskytovatelům hostingu, správy infrastruktury, bezpečnostních služeb, platebním poskytovatelům a dodavatelům zákaznické podpory, pokud se na jejich straně uplatní smluvní závazky mlčenlivosti a ochrany údajů. V případech vyžadovaných právem mohou být údaje poskytnuty orgánům veřejné moci, soudům nebo orgánům činným v trestním řízení, a to v rozsahu odpovídajícím zákonnému požadavku. Správce může v souvislosti s casino NV sdílet omezené údaje také s poradci, zejména právními a auditorskými, pokud je to nutné pro uplatnění právních nároků nebo pro ověření souladu. Při zapojení zpracovatelů správce uzavírá zpracovatelské smlouvy podle článku 28 GDPR a ověřuje, že jsou přijata přiměřená technická a organizační opatření.

Předávání do třetích zemí a související záruky

Definicí předání do třetí země je zpřístupnění nebo uložení osobních údajů mimo Evropský hospodářský prostor, a to i při využití podpůrných nástrojů poskytovaných globálními dodavateli. Pokud k takovému předání dojde, správce zajistí odpovídající úroveň ochrany prostřednictvím rozhodnutí o odpovídající ochraně, standardních smluvních doložek nebo jiných mechanismů uznaných GDPR. Součástí posouzení je vyhodnocení rizik, povahy údajů, účelu předání a pravděpodobnosti přístupu třetích stran, přičemž mohou být aplikována doplňková opatření, například šifrování při přenosu. Správce nepředává údaje do třetích zemí pro účely obcházení právních povinností a omezuje rozsah předávaných údajů na nezbytné minimum. Pokud jsou používány služby, které zahrnují vzdálený přístup podpory, je přístup omezen rolí, časem a autorizací, a je auditovatelný.

Bezpečnostní opatření a řízení incidentů

Správce zavádí technická a organizační opatření odpovídající rizikům, a to s ohledem na stav techniky, náklady na provedení a povahu zpracování. Opatření zahrnují řízení přístupů na základě rolí, vícefaktorové ověřování pro vybrané administrátorské účty, šifrování přenosu prostřednictvím TLS a pravidelné aktualizace komponent. Přiměřenost zabezpečení je průběžně ověřována, přičemž interní standard stanoví minimální úroveň dostupnosti služeb na 99,5 % v běžném provozu, aniž by to bylo vykládáno jako garance nepřerušitelnosti. V rámci casino NV jsou incidenty klasifikovány podle závažnosti a je vedena evidence, která umožňuje zpětné vyhodnocení, přijetí nápravných opatření a poučení pro další období. V případě porušení zabezpečení osobních údajů správce posoudí, zda vzniká riziko pro práva a svobody fyzických osob, a pokud to vyžaduje GDPR, provede oznámení do 72 hodin příslušnému dozorovému orgánu a případně informuje dotčené osoby.

Cookies a další sledovací technologie

Zásady ochrany osobních údajů se vztahují také na zpracování údajů prostřednictvím cookies a obdobných technologií, pokud vedou k identifikaci nebo rozlišování uživatelských relací. Cookies mohou být nezbytné pro základní funkčnost, bezpečnost přihlášení a udržení relace, přičemž bez nich nemusí být některé části služby dostupné. Další kategorie mohou zahrnovat preferenční nebo analytické cookies, přičemž jejich použití je vázáno na právní titul, typicky souhlas, pokud to vyžadují předpisy o elektronických komunikacích. Doba uložení cookies se může lišit, přičemž relace může končit při zavření prohlížeče a některé soubory mohou být uloženy až 12 měsíců, pokud je to odůvodněno nastavením a souhlasem. Správce zajišťuje, aby nedocházelo k nepřiměřenému sledování a aby byla respektována nastavení prohlížeče, pokud jde o blokování nebo mazání cookies, s tím, že důsledky takového nastavení mohou ovlivnit funkčnost.

Práva subjektů údajů a způsob jejich uplatnění

Právní rámec práv subjektů údajů zahrnuje právo na přístup, opravu, výmaz, omezení zpracování, přenositelnost, vznesení námitky a právo nebýt předmětem výlučně automatizovaného rozhodování za podmínek GDPR. Správce posuzuje žádosti individuálně a může požadovat přiměřené ověření totožnosti, zejména pokud existuje riziko neoprávněného zásahu do práv jiné osoby. Odpověď na žádost je poskytována bez zbytečného odkladu, zpravidla do 30 dnů, přičemž ve složitých případech může být lhůta prodloužena o další 2 měsíce v souladu s GDPR. Pokud je žádost zjevně nepodložená nebo nepřiměřená, může správce požadovat přiměřený poplatek nebo žádost odmítnout, přičemž uvede důvody a poučení o možnostech obrany. V souvislosti s provozem casino NV mohou být některá práva omezena v rozsahu, v jakém je zpracování nezbytné pro splnění právní povinnosti nebo pro určení, výkon nebo obhajobu právních nároků.

Kontaktní údaje, postup pro žádosti a stížnosti

Operativní vysvětlení postupu spočívá v tom, že žádosti týkající se ochrany údajů se přijímají prostřednictvím kontaktních kanálů uvedených na webu nvcazino.eu.com, přičemž správce doporučuje využít jednotný komunikační e mail pro zajištění dohledatelnosti. Žádost by měla obsahovat identifikaci požadovaného práva, popis relevantních okolností a kontaktní údaj pro odpověď, aby bylo možné vyřídit věc bez nepřiměřených průtahů. Správce může v odůvodněných případech požádat o doplnění, pokud je žádost neurčitá, a po dobu doplnění se přiměřeně staví běh lhůt. Pokud subjekt údajů nesouhlasí s vyřízením žádosti, má právo podat stížnost u Úřadu pro ochranu osobních údajů, přičemž tím není dotčeno právo na soudní ochranu. V interním režimu je veden záznam o žádostech a jejich vyřízení po dobu 3 let, aby bylo možné prokázat soulad a konzistenci rozhodování.

Zásady ochrany osobních údajů, změny dokumentu a závazek souladu

Zásady ochrany osobních údajů jsou průběžně přezkoumávány s ohledem na vývoj právních předpisů, doporučení dozorových orgánů, změny technologického prostředí a změny provozních procesů. Správce může dokument upravit zejména tehdy, pokud dojde ke změně kategorií zpracovávaných údajů, účelů zpracování, okruhu příjemců nebo způsobů zabezpečení, případně pokud je to vyžadováno právní povinností. O změnách bude správce informovat prostřednictvím zveřejnění aktualizovaného znění na stránce nvcazino.eu.com/privacy-policy, přičemž v přiměřených případech může být poskytnuto i samostatné oznámení v rámci uživatelského rozhraní nebo e mailu. Účinnost změn nastává dnem zveřejnění, není li výslovně uvedeno jinak, a u změn vyžadujících souhlas se zpracování vázané na souhlas provede až po jeho udělení. Správce tímto potvrzuje závazek dodržovat zásady zákonnosti, transparentnosti a odpovědnosti dle GDPR a uplatňovat přiměřená opatření k ochraně důvěrnosti a integrity údajů, včetně pravidelných kontrol a školení odpovědných osob nejméně 1krát ročně. V rámci tohoto závazku se správce zavazuje vyhodnocovat dopady změn a v případě potřeby aktualizovat interní dokumentaci, aby byla zajištěna trvalá kompatibilita postupů s tímto dokumentem a aby bylo možné doložit, že Zásady ochrany osobních údajů jsou v praxi naplňovány.