Ochrana osobních údajů

1. Správce osobních údajů

Správcem osobních údajů zpracovávaných na webu foodzi.cz a v administraci platformy FOODZI je:

WEBZI s.r.o.
Sídlo: Krásova 2919/31a, Žižkov (Praha 3), 130 00 Praha
IČO: 24602175
Zapsána v obchodním rejstříku vedeném Městským soudem v Praze
Email: info@foodzi.cz
Telefon: +420 773 559 645
Po–Pá, 9:00–17:00

2. Na koho se tyto zásady vztahují

Tyto zásady se vztahují na dvě skupiny osob:

• Návštěvníky webu foodzi.cz — kdokoliv, kdo si prohlíží naše marketingové stránky (ceník, funkce, blog apod.), aniž by se registroval
• Registrované uživatele platformy — provozovatelé restaurací a obchodů, kteří si vytvořili účet na FOODZI a používají administraci platformy

Na co se tyto zásady nevztahují

Tyto zásady nepokrývají zpracování osobních údajů zákazníků jednotlivých obchodů (tj. lidí, kteří si objednávají jídlo přes obchody provozované na FOODZI). Za ochranu osobních údajů svých zákazníků odpovídá každý provozovatel obchodu samostatně — je správcem těchto údajů ve smyslu GDPR. Každý obchod má vlastní zásady ochrany osobních údajů dostupné na svém webu.

Společnost WEBZI s.r.o. v tomto vztahu vystupuje jako zpracovatel dle čl. 28 GDPR na základě smlouvy o zpracování uzavřené s provozovatelem v rámci obchodních podmínek.

3. Údaje návštěvníků webu foodzi.cz

Při prohlížení webu foodzi.cz zpracováváme následující údaje:

Automaticky sbírané údaje

• IP adresa (za účelem zabezpečení a doručení obsahu)
• Typ a verze prohlížeče, operační systém
• Navštívené stránky, doba návštěvy, zdroj příchodu

Údaje sbírané na základě vašeho souhlasu

Následující údaje sbíráme pouze tehdy, pokud udělíte souhlas s příslušnou kategorií cookies v liště pro správu cookies:

• Analytické údaje — anonymizovaná statistika návštěvnosti (Google Analytics 4 přes Google Tag Manager) a záznamy interakcí (Microsoft Clarity — heatmapy, scrollmapy, anonymizované záznamy relací). Microsoft Clarity provozujeme centrálně pro celou platformu FOODZI včetně obchodů provozovaných na platformě — viz Zásady cookies, sekce 6.
• Marketingové údaje — identifikátory a události pro měření efektivity reklamních kampaní a remarketing. Používáme: Meta Pixel a Meta Conversions API (serverové sledování konverzí s SHA-256 hašovanými identifikátory), Google Ads (sledování konverzí + remarketing publika), Seznam Sklik (česká reklamní síť, EU jurisdikce), LinkedIn Ads (B2B cílení) a Microsoft Advertising / Bing UET. Detailní transparentnost každé platformy včetně dat, právního základu, doby uchování a možnosti odvolání souhlasu najdete v sekci 6 níže.

Bez vašeho souhlasu se nenačítají žádné reklamní ani analytické skripty — před udělením souhlasu jsou všechny signály Google a Meta nastaveny na denied (Google Consent Mode v2). Podrobný přehled cookies naleznete v Zásadách cookies.

Právní základ

4. Údaje registrovaných uživatelů platformy

Při registraci a používání platformy FOODZI zpracováváme:

• Jméno a příjmení, název restaurace/obchodu
• Emailová adresa (slouží i jako přihlašovací údaj)
• Heslo (uloženo v zahašované podobě, bcrypt — nemáme přístup k jeho čitelné formě)
• Telefonní číslo (je-li poskytnuto)
• Fakturační údaje: IČO, DIČ, fakturační adresa
• Platební údaje: zpracovávány výhradně poskytovatelem Stripe — neukládáme čísla karet
• Údaje o aktivitě v administraci: přihlášení, nastavení obchodu, používané funkce

Právní základ

5. Komu údaje předáváme

Služby používané na webu foodzi.cz (návštěvníci)

Bez vašeho souhlasu s marketingovými cookies se skripty žádné z výše uvedených platforem nenačítají a neprobíhá žádný přenos dat.

Služby používané pro registrované uživatele

Se všemi zpracovateli máme uzavřeny smlouvy o zpracování osobních údajů dle čl. 28 GDPR. Údaje mohou být dále předány orgánům státní správy v případech stanovených zákonem.

6. Reklamní a konverzní platformy — detailní transparence

Tato sekce podrobně popisuje jednotlivé reklamní a měřicí platformy, jaké údaje jim při marketingovém souhlasu předáváme, k jakému účelu je zpracovávají, jak dlouho je uchovávají a jak souhlas odvolat. Bez vašeho souhlasu s marketingovými cookies se nenačítá žádný z těchto skriptů a nedochází k žádnému přenosu dat.

6.1 Sdílené identifikátory

Pro většinu reklamních platforem sdílíme následující typy údajů (po vašem souhlasu s marketingovými cookies):

• Cookie identifikátor — pseudonymní ID prohlížeče generované každou platformou (např. _fbp u Meta, _gcl_au u Google Ads, MUID u Microsoft). Slouží pro spárování návštěvy s konkrétní reklamou.
• Click ID parametry — když přijdete přes reklamu, URL obsahuje identifikátor kliknutí: gclid (Google Ads), fbclid (Meta), msclkid (Microsoft), li_fat_id (LinkedIn), sklikId (Sklik). Používáme je pro atribuci konverze ke kampani.
• Hašované údaje (SHA-256) — při odeslání některých formulářů (kontakt, registrace, poptávka licence/kiosku) odesíláme serverově vaši zahašovanou emailovou adresu pro deduplikaci a přesnější měření (Enhanced Conversions / Conversions API). Originální (nehašovaný) email se na reklamní platformu nikdy nedostane.
• Události (events) — typ akce, kterou jste udělali: zobrazení stránky, zobrazení ceníku, dokončení registrace, odeslání kontaktního formuláře, odeslání poptávky atd. Bez údajů, které by vás přímo identifikovaly.
• Technické údaje — IP adresa, User-Agent, jazyk prohlížeče, rozlišení obrazovky, zdroj příchodu (referrer). Reklamní platformy je vyžadují pro detekci podvodů a měření.

Co se na reklamní platformy NIKDY neposílá: hesla, čísla platebních karet, obsah zpráv kontaktního formuláře, konkrétní data uvnitř administrace registrovaných uživatelů.

6.2 Platforma Meta (Facebook + Instagram)

6.3 Google Ads

6.4 Seznam Sklik

6.5 LinkedIn Ads — Insight Tag

6.6 Microsoft Advertising / Bing UET

6.7 Serverové sledování konverzí (Conversions API)

Vedle klientského sledování pomocí cookies používáme i serverové sledování konverzí (Conversions API). U Meta běží Meta Conversions API, u Google Ads běží Enhanced Conversions a u dalších platforem (LinkedIn, Microsoft, TikTok) používáme jejich serverová API podle dostupnosti. Princip:

• Při odeslání klíčového formuláře (registrace, kontakt, poptávka licence, poptávka kiosku) náš server pošle událost přímo do API reklamní platformy.
• Posíláme: hash emailu (SHA-256), IP adresu, User-Agent, ID události, identifikátor kliknutí (pokud existuje). Originální email se na platformu nedostane.
• Klientská i serverová událost mají stejné event_id — platforma je deduplikuje na své straně, abychom konverzi nepočítali dvakrát.
• Důvod: když uživatel zablokuje cookies třetích stran, klientský pixel nemusí konverzi zachytit. Server pošle událost spolehlivě, a platforma ji použije pouze pro měření efektivity vlastních reklam (ne pro identifikaci napříč weby).
• Pokud odvoláte marketingový souhlas, serverové události se přestanou odesílat stejně jako klientské.

6.8 Souhrn: jak odvolat marketingový souhlas naráz

Klikněte na "Nastavení cookies" v patičce stránky → vypněte Marketingové cookies → uložte. Tím se naráz zablokují všechny reklamní platformy (Meta, Google Ads, Sklik, LinkedIn, Microsoft) a neodešle se žádná další událost. Existující data v jednotlivých platformách budou smazána dle jejich vlastní doby uchování — pro okamžité smazání kontaktujte přímo příslušnou platformu (odkazy v sekcích 6.2–6.6 výše).

7. Předávání údajů mimo EU/EHP

Naše služby zpracovávají data ve dvou jurisdikčních režimech:

• Pouze EU/EHP — žádný přenos do třetí země: Turso (databáze, Irsko), Upstash (rate limiting, Irsko), Seznam Sklik (Česká republika), interní systémy WEBZI s.r.o. (Česká republika).
• USA s DPF certifikací — EU-US Data Privacy Framework (rozhodnutí Evropské komise ze dne 10. 7. 2023): Vercel, Stripe, Google (GTM, GA4, Google Ads), Microsoft (Clarity, Microsoft Advertising), Meta (Facebook + Instagram), LinkedIn (Insight Tag, LinkedIn Ads).
• SCC — Standardní smluvní doložky dle čl. 46/2/c GDPR pro společnosti bez DPF certifikace: ClickSend (Austrálie), OpenAI (USA, zero retention API).

Pro reklamní platformy v USA (Google, Microsoft, Meta, LinkedIn) platí navíc, že k přenosu osobních údajů dochází pouze po vašem souhlasu s marketingovými cookies. Bez souhlasu se nenavazuje žádné spojení s těmito službami a žádný přenos do USA neprobíhá.

8. Doba uchování údajů

9. Vaše práva

Dle nařízení GDPR a zákona č. 110/2019 Sb. máte tato práva:

• Právo na přístup (čl. 15) — požádat o kopii svých údajů
• Právo na opravu (čl. 16) — požádat o opravu nepřesností
• Právo na výmaz (čl. 17) — požádat o smazání údajů, pokud pominul účel zpracování
• Právo na omezení zpracování (čl. 18) — požádat o dočasné omezení zpracování
• Právo na přenositelnost (čl. 20) — získat své údaje ve strojově čitelném formátu
• Právo vznést námitku (čl. 21) — proti zpracování na základě oprávněného zájmu
• Právo odvolat souhlas (čl. 7/3) — kdykoliv, bez vlivu na zákonnost předchozího zpracování. Souhlas s cookies odvoláte kliknutím na "Nastavení cookies" v patičce webu.

Žádosti zasílejte na podpora@foodzi.cz. Odpovíme bez zbytečného odkladu, nejpozději do 30 dnů.

Na platformě FOODZI neprovádíme automatizované rozhodování ani profilování s právními účinky (čl. 22 GDPR).

10. Zabezpečení

K ochraně vašich údajů používáme:

• Šifrovanou komunikaci (HTTPS/TLS) na celém webu
• Šifrování citlivých údajů v databázi (AES-256)
• Hašování hesel (bcrypt)
• Ochranu proti CSRF, XSS a SQL injection
• Rate limiting a ochranu proti brute-force útokům
• Content Security Policy (CSP) hlavičky
• Omezený přístup k údajům na principu need-to-know

11. Právo podat stížnost

Pokud se domníváte, že zpracování vašich údajů porušuje GDPR nebo zákon č. 110/2019 Sb., máte právo podat stížnost u:

Úřad pro ochranu osobních údajů (ÚOOÚ)
Pplk. Sochora 27, 170 00 Praha 7
Tel: +420 234 665 111
Web: www.uoou.cz
Datová schránka: qkbaa2n

12. Změny zásad

Tyto zásady průběžně aktualizujeme. O podstatných změnách informujeme na webu. Registrovaným uživatelům zašleme upozornění emailem. Aktuální verze je vždy dostupná na této stránce.

Pokud do budoucna přidáme další reklamní nebo analytickou platformu, transparentně ji uvedeme v sekci 6 této stránky. Reklamní platformy se nikdy nenačítají bez vašeho souhlasu s marketingovými cookies — odmítnutí marketingových cookies platí napříč všemi platformami současnými i budoucími.