Obecná ustanovení a vymezení pojmů

Tento dokument stanoví Zásady ochrany osobních údajů pro provoz a související činnosti spojené s doménou nvcasinobonus.it.com a s poskytováním služeb v prostředí online zábavy. Správcem osobních údajů je provozovatel vystupující pod označením NV Casino, který určuje účely a prostředky zpracování v souladu s právními předpisy platnými v Czechia. Zpracování osobních údajů probíhá zejména podle nařízení (EU) 2016/679 (GDPR), souvisejících vnitrostátních předpisů a uplatnitelných regulatorních požadavků na identifikaci, bezpečnost a odpovědné podnikání. Pojmy jako osobní údaj, zpracování, správce, zpracovatel, příjemce a porušení zabezpečení osobních údajů se vykládají v rozsahu definic dle GDPR. Rozsah tohoto dokumentu se vztahuje na návštěvníky webu, registrované uživatele, osoby jednající jménem uživatele a kontaktní osoby obchodních partnerů, pokud dochází ke zpracování jejich údajů.

Regulatorní rámec a zásady zpracování

Zpracování osobních údajů se řídí zásadami zákonnosti, korektnosti a transparentnosti, přičemž jsou uplatňovány také zásady minimalizace údajů a omezení uložení. Správce provádí zpracování pouze v rozsahu nezbytném pro naplnění stanovených účelů a v rámci odpovídajících právních titulů, které jsou dále specifikovány. Zásada přesnosti je zajišťována procesy pravidelné aktualizace klíčových identifikačních a kontaktních údajů, zejména v souvislosti s ověřováním identity a prevencí podvodů. Integrita a důvěrnost jsou podporovány organizačními a technickými opatřeními, která jsou přiměřená povaze rizik a pravděpodobnosti dopadů na práva a svobody fyzických osob. Odpovědnost správce se projevuje vedením interní evidence činností zpracování a průběžným vyhodnocováním souladu s GDPR v cyklech nejméně jednou za 12 měsíců.

Kategorie zpracovávaných osobních údajů

Kategorie osobních údajů zahrnují identifikační údaje, jako je jméno, příjmení, datum narození a státní příslušnost, a dále kontaktní údaje, například e-mail, telefonní číslo a korespondenční adresa. Zpracovávány mohou být také údaje o účtu a uživatelském profilu, včetně přihlašovacích údajů, nastavení, historie přihlášení a změn bezpečnostních parametrů. V souvislosti s finančními operacemi se zpracovávají údaje o transakcích, vklady a výběry, údaje o platebních nástrojích v omezeném rozsahu a referenční identifikátory plateb, přičemž samotné údaje karty obvykle zpracovávají specializovaní poskytovatelé platebních služeb. Pro účely bezpečnosti a prevence zneužití se zpracovávají technické údaje, jako je IP adresa, identifikátory zařízení, typ prohlížeče, časová razítka a logy událostí. V rámci plnění regulatorních povinností mohou být zpracovávány údaje o ověření identity, včetně kopie dokladu totožnosti a výsledku kontrolních kroků, a to pouze v rozsahu vyžadovaném právními předpisy.

Zvláštní kategorie údajů a omezení

Správce standardně neusiluje o zpracování zvláštních kategorií osobních údajů ve smyslu GDPR, například údajů o zdravotním stavu nebo biometrických údajů, pokud to není nezbytné z důvodu právních nároků nebo regulatorních požadavků. Pokud by se takové údaje výjimečně objevily v komunikaci zaslané správcem nevyžádaně, jsou zpracovány pouze v rozsahu nezbytném pro vyřízení podnětu a následně jsou omezeny nebo odstraněny. Správce nepřijímá rozhodnutí založená výlučně na automatizovaném zpracování, která by měla právní účinky nebo obdobně závažné dopady, pokud k tomu neexistuje zákonný důvod a nejsou zajištěny záruky.

Způsoby získávání osobních údajů

Osobní údaje jsou získávány především přímo od subjektu údajů při registraci, při ověřování identity, při zadávání transakcí a při komunikaci se zákaznickou podporou. Zásady ochrany osobních údajů se uplatní také na údaje získané automatizovaně prostřednictvím provozu webu a jeho bezpečnostních mechanismů, včetně protokolování přístupů a detekce anomálií. Údaje mohou být dále získány od třetích stran, například od poskytovatelů platebních služeb, ověřovacích a antifraudových služeb nebo z veřejně dostupných zdrojů, pokud je to přiměřené a zákonné. V těchto případech správce usiluje o zajištění, aby byly předávané údaje relevantní, aktuální a omezené na nezbytný rozsah. V rámci vztahů s obchodními partnery mohou být zpracovávány profesní kontaktní údaje osob jednajících za takového partnera.

Provozní protokoly a technické údaje

Provozní vysvětlení spočívá v tom, že část údajů vzniká průběžně jako vedlejší produkt poskytování služeb, například záznamy o přihlášení a bezpečnostních událostech. Tyto údaje jsou využívány k udržení stability služby, k řešení incidentů a k prokazování souladu s právními povinnostmi, přičemž přístup k nim je omezen na autorizované role. U některých typů logů se uplatňuje zkrácená doba uchování, například 90 dnů, pokud delší uchování nevyžaduje vyšetřování incidentu nebo právní nárok.

Právní tituly zpracování

Zpracování je prováděno na základě plnění smlouvy, pokud je nezbytné pro zřízení a vedení uživatelského účtu, provedení transakcí a poskytování funkční podpory. Dalším právním titulem je plnění právní povinnosti, zejména v oblastech prevence legalizace výnosů z trestné činnosti, ověřování identity a vedení auditních stop. Zásady ochrany osobních údajů vymezují také situace, kdy je zpracování založeno na oprávněném zájmu správce, například na ochraně služeb před zneužitím, zajištění kybernetické bezpečnosti a prevenci podvodného jednání. Pokud je zpracování založeno na souhlasu, je souhlas vyžadován samostatně a může být kdykoli odvolán, aniž by tím byla dotčena zákonnost zpracování před odvoláním. Správce vyhodnocuje proporcionalitu oprávněného zájmu s ohledem na očekávání subjektu údajů, povahu vztahu a míru zásahu do soukromí.

Účely zpracování a funkční využití údajů

Osobní údaje jsou zpracovávány za účelem vytvoření a správy uživatelského účtu, autentizace, realizace vkladů a výběrů a vedení souvisejících záznamů. Samostatným účelem je ověřování identity a provádění kontrol, které slouží k dodržení zákonných povinností a k ochraně integrity finančních toků. Zpracování se dále uskutečňuje pro účely provozní bezpečnosti, detekce incidentů, omezení zneužití a vyřizování reklamací a sporů. Nezbytné zpracování probíhá rovněž při komunikaci, včetně vyřízení dotazů a požadavků, kdy jsou uchovány relevantní části korespondence pro prokazatelnost úkonů. Označení casino NV se může objevit v komunikaci a interních záznamech jako identifikátor služby, přičemž takové zpracování je omezeno na organizační a právní potřeby správce.

Komunikace a zákaznická podpora

Pro efektivní vyřízení podnětů může být zpracována historie kontaktů, identifikátor požadavku a technické informace nutné k reprodukci problému. Doba vyřízení běžných požadavků je zpravidla do 14 dnů, pokud složitost případu nevyžaduje delší dobu, a následné uchování záznamů se řídí pravidly o archivaci a promlčení. Správce nepředpokládá, že by komunikace obsahovala nadbytečné údaje, a uplatňuje pravidla pro redakci a omezení přístupu, pokud jsou v obsahu obsaženy citlivé informace.

Předávání údajů, příjemci a mlčenlivost

Osobní údaje mohou být předávány zpracovatelům, kteří poskytují služby hostingu, provozu infrastruktury, zákaznické podpory, ověřování identity, analytiky bezpečnosti a platebního zpracování. Vztahy se zpracovateli jsou smluvně ošetřeny, včetně závazků mlčenlivosti, bezpečnostních standardů a omezení dalšího předávání, a správce vyžaduje přiměřené záruky. Údaje mohou být sděleny orgánům veřejné moci, soudům nebo dozorovým orgánům, pokud to vyžaduje právní předpis nebo závazné rozhodnutí, a to vždy v nezbytném rozsahu. Uplatňuje se princip potřeby znát, kdy přístup k údajům mají pouze osoby a systémy, které jej nezbytně potřebují k plnění svěřených úkolů. Označení casino NV může být uvedeno u platebních či auditních záznamů jako reference transakce, aniž by tím docházelo k rozšíření účelu zpracování.

Doba uchování a výmaz osobních údajů

Zásady ochrany osobních údajů stanoví, že doba uchování se odvíjí od účelu zpracování, právních povinností a promlčecích lhůt. Účetní a transakční záznamy mohou být uchovávány po dobu 10 let, pokud to vyžadují právní předpisy nebo legitimní potřeba prokazování plnění povinností. Údaje spojené s ověřením identity jsou uchovávány po dobu nezbytnou k naplnění regulatorních požadavků a obvykle nepřekročí 5 let po ukončení smluvního vztahu, pokud delší dobu neodůvodňuje probíhající řízení. Bezpečnostní logy se uchovávají po přiměřenou dobu, typicky 90 dnů až 12 měsíců, s možností prodloužení v případě incidentu nebo právního nároku. Po uplynutí příslušných lhůt jsou údaje odstraněny, anonymizovány nebo archivovány v režimu omezeného zpracování, přičemž jsou uplatněny kontrolní kroky k ověření provedení.

Kritéria pro stanovení lhůt

Regulatorní framing znamená, že některé lhůty jsou určeny přímo právními předpisy a správce je nemůže zkrátit, aniž by porušil právní povinnost. U ostatních lhůt správce hodnotí rizika, potřebu dokazování, četnost sporů a rozsah zpracování, přičemž respektuje minimalizaci a omezení uložení. Pokud je zpracování založeno na souhlasu, uchování se zpravidla odvíjí od doby trvání souhlasu a od doby nutné k prokázání jeho udělení a odvolání.

Předávání do třetích zemí a mezinárodní přenosy

V případě, že je to nezbytné pro zajištění infrastruktury, podpory nebo specializovaných služeb, může dojít k přenosu osobních údajů mimo Evropský hospodářský prostor. Takový přenos je realizován pouze při splnění podmínek GDPR, zejména na základě rozhodnutí o odpovídající ochraně nebo prostřednictvím standardních smluvních doložek a doplňkových opatření. Správce posuzuje právní prostředí cílové země a technické a organizační záruky tak, aby byla zachována úroveň ochrany srovnatelná s požadavky v Czechia. Pokud přenos vyžaduje účast subdodavatelů, je jejich zapojení omezeno na nezbytný rozsah a podléhá smluvním omezením a auditu. Pro provozní kontinuitu může být využito geografické zálohování, avšak přístup k zálohám je omezen a řízen.

Zabezpečení osobních údajů a řízení incidentů

Správce uplatňuje technická a organizační opatření přiměřená riziku, včetně řízení přístupů, šifrování přenosu, segmentace systémů a monitoringu bezpečnostních událostí. Bezpečnostní politika je založena na principu nejmenších oprávnění a pravidelné revizi přístupových práv, a to alespoň jednou za 6 měsíců. Zásady ochrany osobních údajů předpokládají také školení personálu, interní postupy pro práci s daty a kontrolu dodavatelů, aby se minimalizovalo riziko lidské chyby. V rámci dostupných možností je cíleno na dostupnost služeb na úrovni 99,9 %, přičemž tento parametr nepředstavuje právně závaznou garanci, ale provozní cíl bezpečnostního řízení. Při podezření na porušení zabezpečení jsou aktivovány postupy detekce, izolace a nápravy, včetně dokumentace incidentu a vyhodnocení dopadů.

Oznámení porušení zabezpečení

Pokud by došlo k porušení zabezpečení osobních údajů, které pravděpodobně povede k riziku pro práva a svobody fyzických osob, správce provede oznámení dozorovému orgánu bez zbytečného odkladu a pokud možno do 72 hodin od okamžiku, kdy se o porušení dozví. V případech vysokého rizika správce informuje také dotčené subjekty údajů, ledaže jsou splněny zákonné podmínky pro výjimku, například účinné šifrování nebo přijetí následných opatření eliminujících riziko. Evidence incidentů je vedena tak, aby umožnila prokázat soulad s GDPR a aby byly identifikovány kořenové příčiny a preventivní kroky.

Cookies a obdobné sledovací technologie

Tato část popisuje používání cookies a podobných technologií na webu, které slouží k zajištění funkčnosti, bezpečnosti a měření technického výkonu. Některé cookies jsou nezbytné pro provoz služby, například pro udržení relace a prevenci zneužití, a jejich použití se opírá o oprávněný zájem nebo plnění smlouvy podle konkrétní funkce. U ostatních kategorií může být vyžadován souhlas, zejména pokud by technologie sloužily k personalizaci nebo k měření nad rámec nezbytnosti, přičemž nastavení je spravováno prostřednictvím nástroje pro preference. Uchování identifikátorů cookies se liší podle účelu a může se pohybovat od 24 hodin do 13 měsíců, přičemž po uplynutí doby dochází k jejich vypršení nebo obnovení pouze na základě příslušného právního titulu. Označení casino NV se může objevit v technických názvech některých interních cookies jako identifikátor systému, aniž by to měnilo povahu zpracování.

Práva subjektů údajů a uplatnění požadavků

Z hlediska právního rámce má subjekt údajů právo na přístup k osobním údajům, právo na opravu nepřesných údajů a právo na výmaz, pokud jsou splněny podmínky GDPR a nebrání tomu právní povinnost. Dále existuje právo na omezení zpracování, právo na přenositelnost údajů u zpracování založeného na smlouvě nebo souhlasu a právo vznést námitku proti zpracování založenému na oprávněném zájmu. Zásady ochrany osobních údajů počítají s tím, že správce může vyžádat doplňující informace k ověření totožnosti žadatele, aby se předešlo neoprávněnému zpřístupnění. Na žádosti je reagováno bez zbytečného odkladu, nejpozději do 30 dnů od doručení, přičemž ve složitých případech může být lhůta prodloužena o další 2 měsíce v souladu s GDPR. Pokud je žádost zjevně nedůvodná nebo nepřiměřená, může správce účtovat přiměřený poplatek odpovídající administrativním nákladům nebo žádost odmítnout, přičemž takový postup je vždy odůvodněn.

Právo podat stížnost

Právně založené oprávnění zahrnuje možnost podat stížnost u příslušného dozorového orgánu pro ochranu osobních údajů v Czechia, pokud se subjekt údajů domnívá, že zpracování porušuje GDPR. Správce podporuje předchozí využití interního kanálu pro vyřízení podnětu, aby mohlo dojít k rychlé nápravě, aniž by bylo dotčeno právo na podání stížnosti. Označení casino NV může být uvedeno v korespondenci při vyřizování stížností pouze jako identifikace služby, nikoli jako marketingové sdělení.

Kontaktní údaje, postupy žádostí a odpovědnost

Definičním východiskem je, že žádostí se rozumí každý požadavek týkající se zpracování osobních údajů, včetně přístupu, opravy, omezení, výmazu, přenositelnosti nebo námitky. Žádosti a obecné dotazy lze zasílat prostřednictvím kontaktního formuláře na nvcasinobonus.it.com nebo e-mailem na adresu uvedenou v sekci kontaktů webu, přičemž správce může vyžadovat ověření identity v rozsahu odpovídajícím riziku. Pro účely evidence a prokazatelnosti je žádosti přiřazen interní identifikátor a jsou vedeny záznamy o krocích vyřízení, přičemž přístup k této evidenci je omezen. Pokud je zjištěno, že žádost se týká údajů zpracovávaných zpracovatelem, správce koordinuje vyřízení tak, aby byly dodrženy lhůty a aby nedošlo k neoprávněné změně údajů. Pro komunikaci o bezpečnostních incidentech je možné požadovat doplňující informace, avšak pouze v rozsahu nezbytném pro posouzení dopadu a přijetí nápravných opatření.

Zásady ochrany osobních údajů, změny dokumentu a závazek souladu

Zásady ochrany osobních údajů představují živý dokument, který je aktualizován s ohledem na změny právních předpisů, regulatorních očekávání, technologických opatření a provozních procesů. Správce potvrzuje závazek průběžně udržovat soulad s GDPR a s požadavky platnými v Czechia, zejména v oblasti transparentnosti, omezení účelu, minimalizace údajů a bezpečnosti zpracování. Pokud dojde k podstatné změně účelů, právních titulů nebo kategorií příjemců, bude aktualizované znění zveřejněno na URL nvcasinobonus.it.com/privacy-policy a bude doplněno o datum účinnosti, aby bylo zřejmé, od kdy se nové podmínky uplatní. V případech, kdy je to přiměřené povaze změny, správce zajistí také informování registrovaných uživatelů prostřednictvím rozhraní účtu nebo kontaktních údajů, které má k dispozici, aniž by tím byla rozšířena komunikace nad rámec nezbytný pro splnění informační povinnosti. Zásady ochrany osobních údajů jsou vykládány ve spojení s ostatními právními dokumenty webu, přičemž v případě rozporu má přednost výklad odpovídající GDPR a kogentním ustanovením práva. Správce současně uvádí, že průběžné vyhodnocování rizik a efektivity opatření probíhá nejméně jednou za 18 měsíců a je dokumentováno interními záznamy odpovědnosti. Tímto se potvrzuje, že postup změn je řízen tak, aby nedošlo k oslabení ochrany práv subjektů údajů a aby byly zachovány zásady zákonnosti a předvídatelnosti zpracování.