1. Prevádzkovateľ
Prevádzkovateľom osobných údajov v zmysle čl. 4 ods. 7 GDPR je:
- Obchodné meno: Maboma Holding s. r. o.
- Sídlo: Doležalova 3424/15C, 821 04 Bratislava
- IČO: 56622660
- DIČ: 2122365949
- Telefón: 0950 530 811
- Kontakt pre záležitosti ochrany údajov: [email protected]
Prevádzkovateľ nemenoval zodpovednú osobu (DPO), pretože nespadá do kategórií podľa čl. 37 GDPR. Pre všetky otázky týkajúce sa spracúvania údajov je primárnym kontaktným kanálom [email protected].
2. Kategórie spracúvaných osobných údajov
V závislosti od konkrétneho účelu spracúvame nasledujúce kategórie údajov:
- Identifikačné údaje: meno, priezvisko, titul.
- Kontaktné údaje: e-mailová adresa, telefónne číslo, korešpondenčná adresa, doručovacia adresa.
- Platobné údaje: identifikátor platby a sumu spracúvame priamo, údaje o platobnej karte ani IBAN neukladáme – sú tokenizované a spracúvané výhradne platobnými partnermi (Stripe, ComGate).
- Doručovacie údaje: adresa, PSČ, zóna, časové preferencie, poznámka pre kuriéra.
- Profilové údaje: preferovaný balík, zvolené alergény, denný kalorický cieľ, zoznam obľúbených jedál (wishlist).
- Behaviorálne údaje: história objednávok, prehliadané jedlá, recenzie, využitý kredit a vernostné body.
- Údaje o zdraví v rozsahu alergénov: informáciu o vašich alergiách spracúvame ako osobitnú kategóriu údajov podľa čl. 9 ods. 2 písm. h) GDPR – je nevyhnutná na plnenie zmluvy o doručení jedál vyhovujúcich vašim zdravotným potrebám a spracúvame ju výhradne s vaším výslovným súhlasom udeleným pri zadaní v zákazníckom účte.
- Komunikácia: obsah e-mailov, SMS, chatových správ a tiketov zákazníckej podpory.
- Technické údaje: IP adresa (anonymizovaná pre analytiku), identifikátor relácie, typ prehliadača, zariadenie – viď Zásady používania cookies.
3. Účely spracúvania a právny základ
Vaše osobné údaje spracúvame výhradne na nižšie uvedené účely:
- Plnenie kúpnej zmluvy (objednávka, výroba, doručenie, fakturácia, reklamácie) – právny základ čl. 6 ods. 1 písm. b) GDPR (plnenie zmluvy).
- Vedenie zákazníckeho účtu a zákaznícka podpora – právny základ čl. 6 ods. 1 písm. b) GDPR.
- Plnenie zákonných povinností (najmä účtovných a daňových) – právny základ čl. 6 ods. 1 písm. c) GDPR (zákon č. 431/2002 Z. z. o účtovníctve, zákon č. 222/2004 Z. z. o DPH).
- Zasielanie marketingových newsletterov (Ecomail) – právny základ čl. 6 ods. 1 písm. a) GDPR (súhlas), kedykoľvek odvolateľný.
- Personalizovaná reklama cez Meta Pixel + Conversions API a Google Ads – server-side hashovanie e-mailu a telefónu (SHA-256), pseudonymizované – právny základ súhlas (čl. 6 ods. 1 písm. a) GDPR).
- Analytika a meranie návštevnosti – Plausible (self-hosted, bez osobných identifikátorov) a Google Analytics 4 s aktivovanou IP anonymizáciou – právny základ súhlas (analytické cookies) v kombinácii s oprávneným záujmom prevádzkovateľa na zlepšovaní služby (čl. 6 ods. 1 písm. f) GDPR).
- Bezpečnosť a prevencia podvodov (rate limiting, detekcia zneužitia) – právny základ oprávnený záujem (čl. 6 ods. 1 písm. f) GDPR).
- Uplatňovanie alebo obhajoba právnych nárokov – právny základ oprávnený záujem (čl. 6 ods. 1 písm. f) GDPR).
4. Doba uchovávania osobných údajov
| Kategória údajov / účel | Doba uchovávania | Právny dôvod |
|---|---|---|
| Objednávky, faktúry, daňové doklady | 10 rokov od konca účtovného obdobia | Zák. č. 431/2002 Z. z. |
| Zákaznícky účet (aktívny) | Po dobu existencie účtu | Plnenie zmluvy |
| Zákaznícky účet po žiadosti o vymazanie | 30 dní soft-delete + následne anonymizácia | Bezpečnostná buffer doba |
| Súhlas s marketingom | Do odvolania súhlasu | Súhlas |
| Konverzácie s chatbotom a tikety podpory | 12 mesiacov | Oprávnený záujem |
| Analytické dáta (GA4, Plausible) | 26 mesiacov v anonymizovanej forme | Súhlas + oprávnený záujem |
| Logy bezpečnosti | 12 mesiacov | Oprávnený záujem |
5. Sprostredkovatelia (príjemcovia údajov)
Pri spracúvaní využívame zazmluvnených sprostredkovateľov v zmysle čl. 28 GDPR. Každého sprostredkovateľa zaväzuje zmluvná povinnosť zachovať mlčanlivosť a chrániť údaje na úrovni minimálne porovnateľnej s GDPR.
| Sprostredkovateľ | Krajina | Účel |
|---|---|---|
| Stripe Payments Europe Ltd. | Írsko (EÚ) | Spracovanie platieb kartou |
| ComGate Payments a.s. | Česká republika (EÚ) | Stravné lístky + bankový prevod |
| Resend, Inc. | USA (so SCC) | Transakčné e-maily |
| Ecomail.cz, s.r.o. | Česká republika (EÚ) | E-mail marketing (so súhlasom) |
| SMS Brána (smsbrana.sk) | Slovenská republika | SMS notifikácie |
| SuperFaktúra, s.r.o. | Slovenská republika | Fakturácia a účtovníctvo |
| Cloudflare, Inc. | USA (so SCC) | CDN, edge TLS, ochrana pred útokmi |
| Hetzner Online GmbH | Nemecko (EÚ) | Hosting serverov a databázy |
| Sentry (Functional Software, Inc.) | USA (so SCC) | Monitorovanie chýb aplikácie |
| Meta Platforms Ireland Ltd. | Írsko (EÚ) | Meta Pixel + CAPI (iba so súhlasom) |
| Google Ireland Ltd. | Írsko (EÚ) | Google Analytics 4 + Google Ads (iba so súhlasom) |
| Anthropic PBC | USA (so SCC) | AI chatbot (Claude API) – iba pri použití chatbotu |
6. Prenos osobných údajov do tretích krajín
Niektorí sprostredkovatelia spracúvajú údaje v krajinách mimo Európskeho hospodárskeho priestoru (USA – Resend, Cloudflare, Sentry, Anthropic). Prenos je v takom prípade založený na Štandardných zmluvných doložkách (SCC) schválených Vykonávacím rozhodnutím Komisie (EÚ) 2021/914 zo 4. júna 2021 a doplnkových technických a organizačných opatreniach (šifrovanie pri prenose, pseudonymizácia).
Niektorí z uvedených sprostredkovateľov sú navyše certifikovaní v rámci EU-US Data Privacy Framework, čo predstavuje dodatočnú primeranú úroveň ochrany podľa rozhodnutia Komisie (EÚ) 2023/1795.
7. Práva dotknutej osoby
V zmysle čl. 15 – 22 GDPR a § 21 – 28 zákona č. 18/2018 Z. z. máte právo:
- Právo na prístup (čl. 15 GDPR / § 21 zák. 18/2018): získať potvrdenie, či spracúvame vaše údaje, ich kópiu a informácie o spracúvaní.
- Právo na opravu (čl. 16 / § 22): požiadať o opravu nesprávnych alebo doplnenie neúplných údajov.
- Právo na vymazanie – „právo byť zabudnutý" (čl. 17 / § 23): požiadať o vymazanie údajov, ak už nie sú potrebné na účel spracúvania, odvoláte súhlas alebo namietate spracúvanie. Self-service je dostupný v /moj-ucet/gdpr alebo e-mailom na [email protected].
- Právo na obmedzenie spracúvania (čl. 18 / § 24): v zákonom stanovených prípadoch.
- Právo na prenosnosť (čl. 20 / § 26): získať svoje údaje v štruktúrovanom, bežne používanom a strojovo čitateľnom formáte (CSV/JSON export).
- Právo namietať (čl. 21 / § 27): proti spracúvaniu založenému na oprávnenom záujme alebo na účely priameho marketingu.
- Právo odvolať súhlas: kedykoľvek, bez vplyvu na zákonnosť spracúvania pred odvolaním.
- Právo nepodliehať automatizovanému rozhodovaniu (čl. 22): prevádzkovateľ nepoužíva výhradne automatizované rozhodovanie s právnymi účinkami.
- Právo podať sťažnosť dozornému orgánu: Úrad na ochranu osobných údajov Slovenskej republiky, Hraničná 12, 820 07 Bratislava 27, dataprotection.gov.sk.
Žiadosť spracujeme bez zbytočného odkladu, najneskôr do jedného mesiaca od doručenia. V zložitých prípadoch je možné lehotu predĺžiť o ďalšie dva mesiace, o čom vás budeme informovať.
8. Cookies a sledovacie technológie
Webová stránka používa cookies a podobné technológie. Podrobnosti vrátane zoznamu jednotlivých cookies, ich účelu, doby uchovávania a možností správy súhlasu sú uvedené v dokumente Zásady používania cookies.
9. Bezpečnosť osobných údajov
Implementujeme technické a organizačné opatrenia primerané rizikám: HTTPS s modernými šiframi (TLS 1.2+), šifrovanie údajov v pokoji, pravidelné bezpečnostné audity, kontrolu prístupu na princípe „least privilege", dvojfaktorovú autentifikáciu pre administrátorov, monitorovanie a logovanie prístupov a pravidelné zálohovanie. Platobné údaje nikdy neukladáme priamo – sú tokenizované u certifikovaných PCI DSS poskytovateľov.
10. Zmeny zásad
Tieto zásady môžeme z času na čas upraviť, najmä z dôvodu legislatívnych zmien alebo zmien v rozsahu spracúvania. O materiálnych zmenách vás budeme informovať e-mailom alebo upozornením v zákazníckom účte minimálne 14 dní pred ich účinnosťou. Vždy aktuálne znenie je dostupné na fitnessmenu.eu/gdpr.
Účinnosť: 12. mája 2026 – posledná aktualizácia.