Zásady ochrany osobních údajů

Tyto zásady ochrany osobních údajů vysvětlují, jak společnost „Martial Labs“ Ltd. podnikající pod značkou KORENA zpracovává vaše osobní údaje, když navštívíte web korena.eu, zadáte objednávku, kontaktujete nás nebo jinak využíváte naše služby. Jsou sepsány v souladu s obecným nařízením EU o ochraně osobních údajů (nařízení (EU) 2016/679, „GDPR“), směrnicí 2002/58/ES o soukromí a elektronických komunikacích a bulharským zákonem o ochraně osobních údajů.

---

1. Kdo je správcem

Správcem vašich osobních údajů je:

„Martial Labs“ Ltd. ( Маршъл Лабс ЕООД )
UIC/ЕИК 207453941 · DIČ BG207453941
Yordan Badev Str. 8A, 1700 Sofie, Bulharsko
Jednatel: Pavel Danielov Nikolov
Kontakt pro ochranu osobních údajů: office@korena.eu

Všechny žádosti týkající se soukromí a práv subjektů údajů zasílejte na office@korena.eu.

Úplné identifikační údaje subjektu provozujícího KORENA najdete v právním upozornění / tiráži.

2. Pověřenec pro ochranu osobních údajů

Nejmenovali jsme pověřence pro ochranu osobních údajů (DPO), protože naše zpracování nesplňuje žádnou z podmínek povinného jmenování podle čl. 37 odst. 1 GDPR:

• nejsme orgánem veřejné moci;
• naše hlavní činnosti nespočívají v pravidelném a systematickém rozsáhlém monitorování subjektů údajů;
• ve velkém rozsahu nezpracováváme zvláštní kategorie údajů (čl. 9) ani údaje o odsouzeních za trestné činy (čl. 10).

Naše posouzení potřeby DPO (ze dne 2026-04-30, příští kontrola 2027-04-30 nebo dříve, nastane-li rozhodná změna) zohledňuje počet subjektů údajů, systematickou a rozsáhlou povahu zpracování, zvláštní kategorie údajů a údaje o odsouzeních a také naši úlohu samostatného správce. Posouzení dospělo k závěru, že DPO není nutný. Pro průběžný dohled jsme určili koordinátora ochrany osobních údajů dostupného na office@korena.eu a na požádání můžeme toto posouzení zpřístupnit dozorovým úřadům.

Posouzení znovu provedeme, kdykoli se rozsah nebo povaha našeho zpracování podstatně změní (zejména pokud spustíme produkt SaaS pro dodržování EUDR nebo funkci rozsáhlé analytiky či hodnocení).

Se všemi dotazy a žádostmi ohledně ochrany osobních údajů se obracejte na office@korena.eu.

2.1. Aplikace KORENA Capture pro iOS (interní nástroj obsluhy)

KORENA Capture je metrologická aplikace, kterou interně používají pracovníci KORENA a obsluha partnerských skladů k měření a fotografování fošen z tvrdého dřeva pro nabídky na tržišti. Aplikace běží v zařízení obsluhy a neshromažďuje, neukládá ani nepřenáší osobní údaje návštěvníků webu nebo kupujících. Není zveřejněna v Apple App Store a slouží výhradně k internímu měření a dokumentaci fošen. Nezpracovává žádné identifikátory koncových uživatelů ani údaje o sledování. Podrobnosti o zpracování fotografií fošen a naměřených údajů najdete níže v §3.6 (balíčky Capture) a v samostatných zásadách původu dřeva.

2.2. Aplikace KORENA Partner

Aplikaci KORENA Partner pro iOS a Android používají pracovníci partnerských skladů dřeva a dílen k vystavování fošen, dokládání původu a vyřizování objednávek pro KORENA. Zpracování osobních údajů aplikací popisuje samostatné oznámení o ochraně osobních údajů v aplikaci KORENA Partner.

3. Co zpracováváme, proč a na jakém právním základě

Tato část přiřazuje každé kategorii osobních údajů účel, právní základ podle čl. 6 GDPR a dobu uchování.

3.1. Návštěvníci webu (bez účtu a objednávky)

3.2. Majitelé účtů

3.3. Údaje objednávky (majitelé účtů a nákup bez registrace)

3.4. Zákaznická podpora a komunikace

3.5. Marketing

3.6. Pracovníci partnerských skladů a kontaktní údaje B2B

3.7. AI/ML a vytěžování textů a dat (TDM)

Osobní údaje uživatelů se NEPOUŽÍVAJÍ k trénování modelů AI/ML. KORENA nepoužívá vaše osobní údaje (jméno, e-mail, adresy, historii objednávek, metriky interakcí) k trénování umělé inteligence, systémů strojového učení ani k vytěžování textů a dat. Technologie AI/ML používáme na dvou místech. Segmentace SAM v aplikaci KORENA Capture analyzuje snímky fošen na straně obsluhy a nezpracovává osobní údaje. Když KORENA zajišťuje dřevo pro firemního klienta, text poptávek dodavatelům a jejich odpovědí strojově překládá a strukturuje zpracovatel AI (OpenAI a tam, kde je povolen, DeepL). Před odesláním takového textu odstraníme e-mailové adresy, telefonní čísla a identifikační údaje poptávajícího klienta. Zbývající obchodní kontaktní údaje zpracováváme na základě oprávněného zájmu (čl. 6 odst. 1 písm. f) GDPR). Podle čl. 4 směrnice DSM máte právo vznést námitku proti jakémukoli použití vašich údajů pro TDM. Toto právo uplatníte na office@korena.eu.

3.8. Předcházení podvodům a zabezpečení

S výjimkou činnosti systému Stripe Radar pro odhalování podvodů v rámci autorizace platby neprovádíme výhradně automatizované rozhodování s právními nebo obdobně významnými účinky (čl. 22 GDPR). Stripe Radar používá automatizované rozhodování k posouzení platebního rizika. Pokud je platba zamítnuta:

• (a) v okamžiku zamítnutí uvidíte jasné oznámení;
• (b) máte právo bezplatně požádat o lidské přezkoumání a vysvětlení. Kontaktujte office@korena.eu s údaji o objednávce. Případ předáme společnosti Stripe a poskytneme vysvětlení posuzovaných rizikových faktorů a kroků, které můžete podniknout (například použít jinou platební metodu nebo kontaktovat vydavatele karty);
• (c) odpovíme do jednoho kalendářního měsíce.

Zpracování podle čl. 22 je nezbytné pro plnění kupní smlouvy podle čl. 22 odst. 2 písm. a) GDPR. Bez něj nemůžeme přiměřeně přijímat platby online.

4. Zdroje údajů

Téměř všechny zpracovávané údaje získáváme přímo od vás. Existují dvě výjimky:

• Stripe nám při platbě zasílá údaje o výsledku platby, poslední čtyři číslice karty a rizikové signály. Úplné číslo karty nevidíme.
• Speedy a Econt (a další dopravci) nám zasílají události sledování zásilek.

5. S kým údaje sdílíme

Osobní údaje sdílíme s následujícími kategoriemi příjemců. Každý příjemce údaje zpracovává pouze k popsanému účelu a je vázán odpovídajícími smluvními zárukami.

Vaše osobní údaje neprodáváme a nesdílíme je s reklamními sítěmi pro behaviorální reklamu napříč weby.

Výše uvedený seznam aktualizujeme při každém přidání, změně nebo odebrání dílčího zpracovatele. Podstatné změny oznámíme na webu nejméně třicet (30) dnů předem odběratelům zpravodaje a majitelům účtů.

6. Mezinárodní předávání

Někteří příjemci zpracovávají údaje mimo Evropský hospodářský prostor (EHP), zejména Stripe (část v USA), Resend (USA) a OpenAI (USA). Pro každé takové předání využíváme:

• standardní smluvní doložky schválené Evropskou komisí, pokud jsou vyžadovány; a/nebo
• rozhodnutí o odpovídající ochraně, pokud se uplatní (například rámec EU–USA pro ochranu údajů, je-li příjemce certifikován).

Chcete-li získat kopii záruk platných pro konkrétní předání, kontaktujte office@korena.eu.

6.1. Posouzení dopadů předávání

Pokud zpracovatel při předávání do zemí bez odpovídající ochrany využívá standardní smluvní doložky EU nebo jiné záruky, vedeme nebo uchováváme posouzení dopadů předávání (TIA) podle čl. 46 GDPR a pokynů EDPB (01/2020). Tato posouzení jsou na vyžádání dostupná dozorovým úřadům. U předávání opřeného o certifikaci podle rámce pro ochranu údajů znovu ověříme stav certifikace při každém vydání a odpovídajícím způsobem aktualizujeme §5 (S kým údaje sdílíme).

7. Vaše práva

Podle GDPR máte následující práva, která můžete bezplatně uplatnit písemně na office@korena.eu:

• Přístup (čl. 15): potvrzení, zda o vás zpracováváme údaje, a kopii těchto údajů ve strukturovaném, běžně používaném a strojově čitelném formátu (CSV nebo JSON). Poskytneme je bezplatně. Je-li žádost zjevně nedůvodná nebo nepřiměřená, můžeme účtovat přiměřený administrativní poplatek. Údaje doručíme zabezpečeným e-mailem nebo odkazem ke stažení s šifrováním.

• Oprava (čl. 16): oprava nepřesných údajů.

• Výmaz (čl. 17): vymazání údajů s výhradou našich zákonných povinností k uchování. Zákonné výjimky zahrnují: (a) faktury a záznamy o DPH uchovávané 10 let podle bulharského účetního práva; (b) e-maily podpory a fotografie ke sporům uchovávané do vyřešení sporu a další 2 roky; (c) údaje účtu uchovávané 12 měsíců po uzavření, pokud nesouvisejí s nevyřešenou záležitostí; (d) IP adresy a přístupové protokoly uchovávané 90 dnů, pokud nesouvisejí s bezpečnostním incidentem.

• Omezení zpracování (čl. 18): omezení zpracování za stanovených okolností.

• Přenositelnost (čl. 20): získání osobních údajů, které jste nám poskytli (jméno, e-mail, adresy, druh platební metody), ve strukturovaném, běžně používaném a strojově čitelném formátu. Toto právo se vztahuje na údaje zpracovávané na základě smlouvy (čl. 6 odst. 1 písm. b)) nebo souhlasu (čl. 6 odst. 1 písm. a)). Nezahrnuje odvozené údaje (metriky interakcí, námi vypočtené rozměry fošen) ani údaje zpracovávané na základě zákonné povinnosti (faktury).

• Námitka (čl. 21): proti zpracování založenému na oprávněném zájmu, včetně přímého marketingu (u něj je právo vznést námitku absolutní).

• Odvolání souhlasu (čl. 7 odst. 3): kdykoli, aniž by byla dotčena zákonnost zpracování před jeho odvoláním.

• Právo nebýt předmětem automatizovaného rozhodování (čl. 22): viz §3.8 výše (Stripe Radar; právo na lidské přezkoumání).

Na žádost odpovíme do jednoho kalendářního měsíce od jejího přijetí. U složitých nebo četných žádostí lze tuto lhůtu po oznámení prodloužit o další dva měsíce. Pokud vás nedokážeme identifikovat podle údajů, které máme, můžeme před vyřízením žádosti požádat o další informace k ověření totožnosti.

Můžete také podat stížnost dozorovému úřadu:

Komise pro ochranu osobních údajů (Комисия за защита на личните данни) Tsvetan Lazarov Blvd. 2, Sofia 1592, Bulgaria cpdp.bg · kzld@cpdp.bg

Pokud máte obvyklé bydliště v jiném členském státě EU, můžete podat stížnost také orgánu pro ochranu osobních údajů v dané zemi.

8. Zabezpečení

K ochraně osobních údajů uplatňujeme vhodná technická a organizační opatření, včetně šifrování při přenosu (TLS), šifrování uložených dat v databázi, řízení přístupu, auditních protokolů, oddělení povinností a zásady nejnižších oprávnění. Úplné údaje platebních karet uchovává Stripe mimo naše systémy a má certifikaci PCI-DSS. Ani při přiměřených opatřeních není žádný systém dokonale bezpečný.

V případě porušení zabezpečení osobních údajů:

• (i) oznámíme porušení Komisi pro ochranu osobních údajů (CPDP) bez zbytečného odkladu a do 72 hodin od jeho zjištění, pokud to vyžaduje čl. 33 GDPR;
• (ii) oznámíme je bez zbytečného odkladu přímo vám (obvykle do 7 dnů od zjištění), pokud je pravděpodobné, že porušení způsobí vysoké riziko pro vaše práva a svobody (čl. 34 GDPR);
• (iii) v přímém oznámení uvedeme povahu a pravděpodobné důsledky porušení, přijatá či navrhovaná opatření a náš kontaktní bod (office@korena.eu) pro další informace.

9. Děti

Web není určen dětem mladším 14 let a vědomě nezpracováváme osobní údaje dětí mladších 14 let bez souhlasu rodiče nebo opatrovníka. KORENA je tržiště prémiového tvrdého dřeva určené profesionálům a dospělým kutilům; není určeno ani propagováno nezletilým. Pokud se domníváte, že nám dítě mladší 14 let poskytlo osobní údaje, kontaktujte office@korena.eu a údaje vymažeme.

10. Změny těchto zásad

Tyto zásady můžeme průběžně aktualizovat. Podstatné změny oznámíme e-mailem majitelům účtů a odběratelům zpravodaje a zveřejníme je na webu nejméně třicet (30) dnů před nabytím účinnosti, kromě případů, kdy zákon vyžaduje dřívější účinnost změny.

Datum v zápatí těchto zásad označuje verzi, která je právě účinná.

11. Jazyky

Tyto zásady jsou sepsány v angličtině, která je pracovním zdrojem pravdivých informací. Na webu mohou být zpřístupněny překlady. Pokud to vyžaduje právo (zejména pro subjekty údajů s bydlištěm v Bulharsku), je závazná bulharská verze.

---

Poslední aktualizace: 2026-09-16 · Poslední kontrola: 2026-04-30 · Příští kontrola: 2027-04-30 (nebo dříve, nastane-li rozhodná změna).