1. Kdo jsme
Platformu Bookitive provozuje Jetlio, s.r.o., IČO 09967231, Voroněžská 2547/1, 616 00 Brno, zapsaná u Krajského soudu v Brně, oddíl C, vložka 121887 („my"). Kontakt pro osobní údaje: [email protected]. Pověřence pro ochranu osobních údajů jsme nejmenovali (zákonné podmínky nejsou naplněny), agendu vede jednatel společnosti.
2. Naše role
Bookitive je platforma pro pořádání akcí a prodej vstupenek. Podle toho, čí údaje zpracováváme, vystupujeme v různých rolích:
- Správce – u účtů organizátorů, u návštěvníků tohoto webu a u zabezpečení platformy a prevence podvodů (článek 5): ochrana všech akcí na platformě před překupníky a zneužitím je náš vlastní účel, a proto o tomto zpracování rozhodujeme my – podobně jako platební společnosti provozují vlastní systémy prevence podvodů.
- Zpracovatel – u údajů kupujících vstupenek a hostů akcí, které zpracováváme pro organizátora podle zpracovatelské smlouvy. Správcem těchto údajů je organizátor akce. Pokud jste si koupili vstupenku, obracejte se se svými žádostmi především na organizátora své akce – my mu s vyřízením pomůžeme. Stručný souhrn pro kupující je na stránce Informace pro kupující.
3. Co zpracováváme a proč
Účty organizátorů (správce, právní základ: plnění smlouvy) – jméno, e-mail, heslo (ukládáme jen jeho bcrypt otisk), údaje o organizaci, členech týmu a rolích, nastavení akcí.
Bankovní integrace (zpracovatel pro párování plateb, plnění smlouvy) – připojí-li organizátor bankovní účet, ukládáme jeho API token šifrovaně (AES-256-GCM) a čteme příchozí transakce: částku, variabilní symbol, datum a jméno či číslo protiúčtu plátce, výhradně pro spárování plateb s objednávkami a pro vratky, které organizátor zadá.
Kupující a hosté (zpracovatel, smlouva organizátora s kupujícím) – jméno, e-mail, případně telefon, vybraná místa, objednávky a jejich stav, jména účastníků tam, kde je akce vyžaduje, záznamy o doručení vstupenek a o odbavení u vchodu (čas a výsledek skenu).
Ověření telefonu (zpracovatel, nastavení akce organizátorem) – vyžaduje-li ho akce, zpracujeme číslo a ověřovací kód prostřednictvím našeho SMS poskytovatele.
Prevence podvodů a ochrana proti překupníkům (správce, právní základ: oprávněný zájem – ochrana platformy a akcí před podvody a překupnictvím) – u každé objednávky zpracováváme IP adresu, základní charakteristiky zařízení (hrubý, nevratný otisk vlastností prohlížeče), signály nákupního chování (rychlost objednávek podle e-mailu, telefonu, IP a napříč akcemi, jednorázové e-mailové adresy, známky automatizovaných nástrojů, množství a hodnotu) a počítáme rizikové skóre. IP adresy můžeme ověřit proti geolokační databázi a databázi anonymizérů. Každou objednávku pozdrženou tímto systémem posuzuje člověk – organizátor. Automat sám žádnou vstupenku neodmítá. Proti tomuto zpracování můžete vznést námitku (článek 8). Provedli jsme k němu balanční test a posouzení vlivu.
Rotující vstupenky (zpracovatel) – zapne-li organizátor vstupenky odolné proti screenshotům, uloží se do vašeho prohlížeče (localStorage) náhodný identifikátor, který vstupenku váže k zařízení. Můžete ho v prohlížeči smazat. Podrobnosti v zásadách cookies.
Oslovování sponzorů (zpracovatel) – používá-li organizátor sponzorské kampaně, zpracováváme jeho jménem kontaktní údaje oslovovaných firem (název, kontaktní osoba, e-mail, veřejné údaje z jejich webu), včetně přípravy textů e-mailů naším AI poskytovatelem. Údaje kupujících v tomto toku nefigurují.
Tento web – používá jen technicky nezbytné úložiště a, s vaším souhlasem, analytiku šetrnou k soukromí (PostHog, hostovaný v EU). Podrobnosti a nastavení v zásadách cookies.
4. Komu údaje předáváme
Používáme prověřené poskytovatele se zpracovatelskými smlouvami – aktuální seznam včetně účelů, lokalit a mechanismů předání udržujeme na stránce Subdodavatelé. Primární zpracování probíhá v EU (AWS, Frankfurt). Zpracovává-li poskytovatel údaje mimo EHP, opíráme se o rámec EU–USA Data Privacy Framework a o standardní smluvní doložky EU – ty se použijí automaticky, pokud by rámec pozbyl platnosti. Osobní údaje nikdy neprodáváme.
5. Automatizované rozhodování
Systém prevence podvodů přiřazuje objednávkám rizikové skóre a podle nastavení organizátora může objednávku označit, vyžádat ověření telefonu, nebo ji pozdržet ke kontrole. O pozdržených objednávkách rozhoduje člověk (organizátor), ne algoritmus. Zapne-li organizátor automatické odmítnutí na nejvyšší rizikové úrovni, je to jeho rozhodnutí – výsledek můžete rozporovat u organizátora nebo u nás na [email protected] a posoudí ho člověk.
6. Jak dlouho údaje uchováváme
- Účty organizátorů a data akcí – po dobu trvání účtu.
- Objednávky a vstupenky – po dobu, kterou vyžadují právní povinnosti organizátora i naše (zejména účetní a daňové).
- Auditní záznamy (včetně IP adres a identifikace prohlížeče u administrátorských akcí) – 365 dnů, poté se mažou automaticky.
- Rizikové signály – spolu se záznamem objednávky.
- Nezaplacené rezervace po expiraci uvolní místa, záznam objednávky zůstává kvůli návaznosti plateb.
- Po ukončení účtu: export dostupný 30 dnů, smazání do 7 dnů od žádosti, zálohy zanikají do 90 dnů (podmínky, článek 15).
7. Jak údaje chráníme
Komunikace se službou je šifrovaná (TLS). Hesla ukládáme jako bcrypt otisky. Bankovní tokeny, hesla k SMTP a tajné klíče vstupenek šifrujeme (AES-256-GCM), šifrovací klíče spravujeme v AWS KMS. Přístup v týmu organizátora řídí role – skener u vchodu vidí odbavení, ne tržby. Administrátorské akce zaznamenává auditní log. Více na stránce Zabezpečení.
8. Vaše práva
Máte právo na přístup ke svým údajům, jejich opravu a výmaz, omezení zpracování, přenositelnost a právo vznést námitku – výslovně i proti zpracování pro prevenci podvodů založenému na oprávněném zájmu. Uplatníte je na [email protected]. Jste-li kupující, obraťte se nejdřív na organizátora své akce – je správcem vašich údajů a my mu pomůžeme do 14 dnů. Stížnost můžete podat u Úřadu pro ochranu osobních údajů (uoou.gov.cz).
9. Oznamování incidentů
Dojde-li k porušení zabezpečení osobních údajů, postupujeme podle dokumentovaného procesu: dotčené organizátory informujeme bez zbytečného odkladu (do 48 hodin od potvrzení incidentu týkajícího se jejich dat) a dozorový úřad v zákonné lhůtě 72 hodin, vyžaduje-li to zákon.
10. Děti
Platforma je určena osobám od 15 let (česká věková hranice pro souhlas v digitálním prostředí). Účet organizátora vyžaduje svéprávnost k uzavření smlouvy nebo souhlas zákonného zástupce.
11. Změny
Zásady můžeme aktualizovat, když se změní funkce nebo poskytovatelé. Podstatné změny oznámíme organizátorům e-mailem. Aktuální znění je vždy na této adrese.
Účinnost od 1. září 2026