Zásady GDPR — Toveria
Verze 2.0 — Červen 2026
Nařízení (EU) 2016/679 Evropského parlamentu a Rady ze dne 27. dubna 2016
Evropský trh BtoC, CtoC, CtoB a BtoB — Prodej z Evropy do celého světa
1. Identita a kontaktní údaje správce zpracování
| |
|---|
| Správce zpracování | Kamel DOURA (samostatný podnikatel Toveria) |
| Právní forma | Samostatný podnikatel (EI) |
| Adresa | 12 Rue de la Part-Dieu, 69003 Lyon, Francie |
| SIRET | 978 781 227 00019 |
| RCS | 978 781 227 R.C.S. Lyon |
| DIČ | FR 45 978 781 227 |
| Email DPO | dpo@toveria.com |
| Email GDPR | dpo@toveria.com |
| Kontrolní orgán | CNIL — 3 place de Fontenoy, 75007 Paris — cnil.fr |
2. Pověřenec pro ochranu údajů (DPO)
Toveria jmenovala Pověřence pro ochranu údajů (DPO) v souladu s článkem 37 GDPR.
Kontakt DPO:
📧 dpo@toveria.com
📮 Toveria — DPO (Kamel DOURA), 12 Rue de la Part-Dieu, 69003 Lyon, Francie
DPO je vaším preferovaným kontaktem pro všechny otázky týkající se ochrany vašich osobních údajů. Je také kontaktem pro CNIL.
3. Registr činností zpracování (čl. 30 GDPR)
3.1 Správa uživatelských účtů
| Pole | Podrobnosti |
|---|
| Účel | Vytvoření, ověření a správa účtů |
| Právní základ | Plnění smlouvy (čl. 6.1.b) |
| Zpracovávané údaje | Jméno, příjmení, email, telefonní číslo, datum narození, adresa, země, přezdívka, avatar |
| Příjemci | Supabase (hostitel databáze), Twilio (ověření SMS) |
| Doba uchovávání | Doba trvání účtu + 3 roky po uzavření |
| Přenos mimo EU | Twilio (Spojené státy) — SML EU |
3.2 Ověření identity telefonem (OTP)
| Pole | Podrobnosti |
|---|
| Účel | Ověření telefonního čísla během registrace a úpravy profilu |
| Právní základ | Plnění smlouvy (čl. 6.1.b) + částečná právní povinnost KYC |
| Zpracovávané údaje | Telefonní číslo (formát E.164), časové razítko ověření |
| Příjemci | Twilio Verify (Spojené státy) |
| Doba uchovávání | Doba trvání účtu |
| Přenos mimo EU | Twilio (Spojené státy) — SML EU |
3.3 Vícefaktorové ověření (2FA/TOTP)
| Pole | Podrobnosti |
|---|
| Účel | Posílení bezpečnosti účtu |
| Právní základ | Oprávněný zájem — bezpečnost (čl. 6.1.f) |
| Zpracovávané údaje | Tajemství TOTP (šifrované), záložní kódy (hashované SHA-256), časové razítko aktivace |
| Příjemci | Supabase (šifrované úložiště) |
| Doba uchovávání | Doba trvání účtu |
| Přenos mimo EU | Ne |
3.4 Publikace a správa inzerátů
| Pole | Podrobnosti |
|---|
| Účel | Zveřejnění a správa prodejních inzerátů |
| Právní základ | Plnění smlouvy (čl. 6.1.b) |
| Zpracovávané údaje | Název, popis, cena, fotografie, videa, kategorie, umístění (město, země), hashtagy, stav položky |
| Příjemci | Supabase Storage (fotografie), CDN Supabase |
| Doba uchovávání | Doba publikace. Po smazání členem: média odstraněna okamžitě, inzerát trvale smazán za 180 dní. Inzerát spojený s objednávkou: uchován až 5 let (důkaz transakce). |
3.5 Zpracování transakcí a plateb
| Pole | Podrobnosti |
|---|
| Účel | Bezpečné zpracování plateb, escrow, převody prodávajícím |
| Právní základ | Plnění smlouvy (čl. 6.1.b) |
| Zpracovávané údaje | Částky (položka, poplatky, poštovné), referenční číslo platby, stav objednávky, doručovací adresa, jméno kupujícího, země |
| Příjemci | Stripe Inc. (platby, KYC Connect prodávajících) |
| Doba uchovávání | 10 let (Obchodní zákoník) |
| Přenos mimo EU | Stripe (Spojené státy) — SML EU + Privacy Shield 2.0 |
3.6 Ověření KYC prodávajících (Stripe Connect)
| Pole | Podrobnosti |
|---|
| Účel | Ověření identity prodávajících pro převody (povinnost AML/CFT) |
| Právní základ | Právní povinnost (čl. 6.1.c) — Směrnice proti praní peněz |
| Zpracovávané údaje | Doklad totožnosti, IBAN, SIRET, daňové údaje — zpracovávány výhradně společností Stripe |
| Příjemci | Stripe Connect |
| Doba uchovávání | 5 let po uzavření účtu Stripe Connect (povinnost Stripe) |
| Přenos mimo EU | Stripe (Spojené státy) — SML EU |
3.7 Zasílání zpráv a konverzace
| Pole | Podrobnosti |
|---|
| Účel | Propojení mezi kupujícími a prodávajícími |
| Právní základ | Plnění smlouvy (čl. 6.1.b) |
| Zpracovávané údaje | Textové zprávy, sdílené fotografie, cenové nabídky, časové razítko |
| Příjemci | Supabase Realtime |
| Doba uchovávání | Aktivní fáze 6 měsíců po poslední zprávě, poté archivace s omezeným přístupem, poté smazání: 24 měsíců (bez objednávky) nebo 5 let (s objednávkou). |
| Přenos mimo EU | Ne (servery v EU) |
3.8 Transakční e-mailová oznámení
| Pole | Podrobnosti |
|---|
| Účel | Odeslání oznámení objednávky, expedice, nabídky atd. |
| Právní základ | Plnění smlouvy (čl. 6.1.b) |
| Zpracovávané údaje | Email, jméno, údaje příslušné transakce |
| Příjemci | Resend Inc. (Spojené státy) |
| Doba uchovávání | Protokoly odesílání: 30 dní |
| Přenos mimo EU | Resend (Spojené státy) — SML EU |
3.9 Push oznámení
| Pole | Podrobnosti |
|---|
| Účel | Odeslání webových push oznámení |
| Právní základ | Souhlas (čl. 6.1.a) — volitelné, odvolatelné |
| Zpracovávané údaje | Identifikátor zařízení (Player ID OneSignal), předvolby oznámení |
| Příjemci | OneSignal Inc. (Spojené státy) |
| Doba uchovávání | Doba trvání účtu |
| Přenos mimo EU | OneSignal (Spojené státy) — SML EU |
3.10 Soulad DAC7 — Daňová hlášení
| Pole | Podrobnosti |
|---|
| Účel | Roční hlášení DGFiP prodávajících překračujících právní limity |
| Právní základ | Právní povinnost (čl. 6.1.c) — Směrnice (EU) 2021/514 |
| Zpracovávané údaje | Jméno, příjmení, adresa, datum narození, DIČ, SIRET, DIČ, roční příjmy, počet transakcí |
| Příjemci | DGFiP (Francie) |
| Doba uchovávání | 10 let |
| Přenos mimo EU | Ne |
3.11 Ověření DPH (VIES)
| Pole | Podrobnosti |
|---|
| Účel | Ověření platnosti čísla DPH v rámci EU |
| Právní základ | Právní povinnost (čl. 6.1.c) |
| Zpracovávané údaje | Číslo DPH, výsledek ověření |
| Příjemci | API VIES — Evropská komise |
| Doba uchovávání | Doba trvání profesionálního účtu |
| Přenos mimo EU | Ne |
3.12 Správa recenzí a hodnocení
| Pole | Podrobnosti |
|---|
| Účel | Systém důvěry mezi členy |
| Právní základ | Oprávněný zájem (čl. 6.1.f) |
| Zpracovávané údaje | Hodnocení (1-5), komentář, referenční číslo transakce, časové razítko |
| Příjemci | Supabase |
| Doba uchovávání | Anonymizace po 5 letech (hodnocení a komentář zachovány, identita autora oddělena). |
| Přenos mimo EU | Ne |
3.13 Program doporučení
| Pole | Podrobnosti |
|---|
| Účel | Správa odměn za doporučení |
| Právní základ | Plnění smlouvy (čl. 6.1.b) |
| Zpracovávané údaje | Kód doporučení, identifikátor doporučujícího/doporučeného, historie odměn |
| Příjemci | Supabase |
| Doba uchovávání | 3 roky |
| Přenos mimo EU | Ne |
3.14 Systém sporů
| Pole | Podrobnosti |
|---|
| Účel | Mediace a řešení sporů mezi kupujícími a prodávajícími |
| Právní základ | Plnění smlouvy (čl. 6.1.b) + oprávněný zájem |
| Zpracovávané údaje | Důvod sporu, vyměňované zprávy, poskytnuté důkazy, rozhodnutí o řešení |
| Příjemci | Supabase, tým moderace Toveria |
| Doba uchovávání | 5 let po uzavření sporu |
| Přenos mimo EU | Ne |
3.15 Ověření mezinárodních sankcí
| Pole | Podrobnosti |
|---|
| Účel | Soulad s embargem a sankcemi OFAC/EU/OSN |
| Právní základ | Právní povinnost (čl. 6.1.c) |
| Zpracovávané údaje | Jméno, příjmení, země (porovnání se seznamy sankcí) |
| Příjemci | OpenSanctions API (Evropa) |
| Doba uchovávání | Výstrahy: 5 let |
| Přenos mimo EU | Ne (evropské API) |
3.16 Protokoly bezpečnosti a ochrana proti podvodům
| Pole | Podrobnosti |
|---|
| Účel | Detekce podvodného chování a bezpečnost platformy |
| Právní základ | Oprávněný zájem (čl. 6.1.f) |
| Zpracovávané údaje | IP adresa, časové razítko přihlášení, podezřelé akce, údaje Stripe Radar |
| Příjemci | Supabase, Stripe Radar |
| Doba uchovávání | Protokoly technických chyb: 90 dní. Pokusy o platbu (ochrana proti podvodům): 7 dní. Automatické čištění denně. Ostatní protokoly bezpečnosti: 12 měsíců. |
| Přenos mimo EU | Stripe (Spojené státy) — SML EU |
3.17 Cookies a sledovací prvky
| Pole | Podrobnosti |
|---|
| Účel | Fungování platformy (povinné) + analýza návštěvnosti (volitelné) |
| Právní základ | Technická nezbytnost (povinné) / Souhlas (analytika) |
| Zpracovávané údaje | Relace uživatele, předvolby, identifikátor analytiky |
| Příjemci | Supabase (relace), služba analytiky (pokud je aktivní) |
| Doba uchovávání | Relace (funkční) / max. 13 měsíců (analytika) |
| Přenos mimo EU | Podle použité služby analytiky |
3.18 Marketingová komunikace (volitelná)
| Pole | Podrobnosti |
|---|
| Účel | Odeslání zpravodajů a propagačních komunikací |
| Právní základ | Souhlas (čl. 6.1.a) — samostatné zaškrtávací pole opt-in při registraci |
| Zpracovávané údaje | Email, jméno, předvolby komunikace |
| Příjemci | Resend Inc. |
| Doba uchovávání | Až do odhlášení + 3 roky |
| Přenos mimo EU | Resend (Spojené státy) — SML EU |
4. Zpracovatelé (čl. 28 GDPR)
Všichni zpracovatelé podepsali dohodu o zpracování údajů v souladu s čl. 28.
| Zpracovatel | Role | Země | Záruka |
|---|
| Supabase Inc. | Databáze, auth, úložiště, realtime | 🇩🇪 Německo (eu-west-3) | Podepsaná DPA GDPR |
| Stripe Inc. | Platby, Billing, Connect, Radar | 🇺🇸 Spojené státy | SML EU + Privacy Shield 2.0 |
| Resend Inc. | Transakční e-maily | 🇺🇸 Spojené státy | SML EU |
| OneSignal Inc. | Push oznámení | 🇺🇸 Spojené státy | SML EU |
| Vercel Inc. | Hostování webové aplikace | 🇺🇸/🇪🇺 | SML EU |
| Twilio Inc. | SMS OTP (Twilio Verify) | 🇺🇸 Spojené státy | SML EU |
| OpenSanctions | Ověření seznamů sankcí | 🇩🇪 Německo | Nativní GDPR |
5. Přenosy mimo Evropskou unii (čl. 44-49 GDPR)
Přenosy do Spojených států jsou regulovány:
- Standardní smluvní doložky (SML) — Prováděcí rozhodnutí (EU) 2021/914 Evropské komise
- Rámec EU-US Data Privacy Framework — Rozhodnutí o přiměřenosti ze dne 10. července 2023
Pro každý přenos Toveria zajišťuje, aby zpracovatel nabízel dostatečné záruky ochrany.
6. Práva subjektů údajů
6.1 Tabulka práv
| Právo | Právní základ | Podmínky | Lhůta |
|---|
| Přístup (čl. 15) | — | Vyžaduje se identifikace | 30 dní |
| Oprava (čl. 16) | — | — | 30 dní |
| Smazání (čl. 17) | — | Kromě právních povinností uchovávání | 30 dní |
| Omezení (čl. 18) | — | Během sporu nebo stížnosti | 30 dní |
| Přenositelnost (čl. 20) | Smlouva nebo souhlas | Formát JSON/CSV | 30 dní |
| Námitka (čl. 21) | Oprávněný zájem nebo veřejný úkol | Oprávněné důvody k uplatnění | 30 dní |
| Odvolání souhlasu | Souhlas | Kdykoli, bez zpětného účinku | Okamžitě |
| Pokyny po smrti | Zákon o informatice a svobodách (Francie) | — | — |
6.2 Jak uplatnit svá práva
E-mailem: dpo@toveria.com
Doporučený předmět: [Právo GDPR] Vaše jméno — Typ žádosti
Poštou:
Toveria — Služba GDPR
12 Rue de la Part-Dieu, 69003 Lyon, Francie
Doklad totožnosti: kopie může být požadována k ověření vaší identity (naskenovaná, bez čísla dokladu, pokud preferujete).
Lhůta odpovědi: 30 kalendářních dní. Prodloužitelné o dalších 60 dní pro složité žádosti, s předchozím upozorněním.
6.3 Právo na stížnost u CNIL
Pokud se domníváte, že vaše práva nejsou respektována:
CNIL — Commission Nationale de l'Informatique et des Libertés
🌐 cnil.fr/fr/plaintes
📮 3 place de Fontenoy — TSA 80715 — 75334 Paris Cedex 07
📞 +33 (0)1 53 73 22 22
7. Doby uchovávání
| Kategorie | Doba | Základ |
|---|
| Údaje aktivního účtu | Doba trvání účtu | Smlouva |
| Údaje účtu (po uzavření) | Smazání při uzavření (údaje podléhající právní povinnosti uchovávány odděleně) | Minimalizace / právní povinnosti |
| Údaje transakcí | 10 let | Obchodní zákoník (čl. L.123-22) |
| Faktury BtoB | 10 let | Obecný daňový zákoník |
| Údaje DAC7 a daňové | 10 let | Směrnice DAC7 |
| Údaje celní | 5 let | Celní zákoník Unie |
| Inzeráty smazané členem | 180 dní (média odstraněna okamžitě) | Minimalizace |
| Inzeráty prodané / spojené s objednávkou | Až 5 let | Důkaz transakce |
| Konverzace mezi členy | 6 měsíců aktivní, poté archivace s omezeným přístupem, poté smazání za 24 měsíců (bez objednávky) / 5 let (s objednávkou) | Minimalizace / občanská promlčecí doba |
| Recenze a hodnocení | Anonymizace po 5 letech | Oprávněný zájem |
| Spory | 5 let po uzavření | Právní promlčecí doba |
| Technické protokoly (chyby API) | 90 dní (automatické čištění denně) | Minimalizace |
| Pokusy o platbu (ochrana proti podvodům) | 7 dní (automatické čištění denně) | Minimalizace |
| Ostatní protokoly bezpečnosti | 12 měsíců | Doporučení CNIL |
| Dokumenty KYC (Stripe) | 5 let | Povinnost Stripe / AML/CFT |
| Výstrahy sankcí | 5 let | Právní povinnost |
| Analytické cookies | Max. 13 měsíců | Doporučení CNIL |
| Souhlasy (opt-in marketing) | 3 roky po poslední interakci | Doporučení CNIL |
Archivace s omezeným přístupem (CNIL): po své aktivní fázi konverzace přejdou do archivu s omezeným přístupem (vyhrazeno pro právní povinnosti / spory) před trvalým smazáním.
Právní blokování: všechny údaje související s otevřeným sporem, právní povinností nebo žádostí orgánu jsou uchovávány až do konce této povinnosti, mimo výše uvedené doby.
8. Bezpečnost údajů (čl. 32 GDPR)
8.1 Technická opatření
| Opatření | Implementace |
|---|
| Šifrování při přenosu | HTTPS / TLS 1.3 na všech komunikacích |
| Šifrování v klidu | Databáze Supabase šifrovaná (AES-256) |
| Řízení přístupu k databázi | Row Level Security (RLS) — přístup po řádcích podle ověřeného uživatele |
| Ověření | Email OTP + SMS OTP povinné při registraci |
| Dvojfaktorové ověření | TOTP (kompatibilní s Google Authenticator) — volitelné pro uživatele |
| Záložní kódy 2FA | Hashované SHA-256 v databázi |
| Bankovní údaje | Delegovány na Stripe (PCI DSS Level 1) — nikdy neukládány Toveria |
| JWT tokeny | Supabase Auth — omezená doba platnosti |
| Čištění relace | Smazání 15 klíčů localStorage + cookies při odhlášení |
| Ověření podpisů webhooků | HMAC-SHA256 na všech příchozích webhoocích (Stripe) |
8.2 Organizační opatření
| Opatření | Podrobnosti |
|---|
| Přístup k osobním údajům | Omezen pouze na oprávněné zaměstnance podle principu nejmenšího privilegia |
| Školení | Školení GDPR všech zaměstnanců s přístupem k údajům |
| Audit | Audit RLS Supabase plánován před komerčním spuštěním |
| Protokolování | Protokoly přístupu k citlivým údajům uchovávány 12 měsíců |
| Test penetrace | Pentest plánován před spuštěním (rozpočet 3 000-10 000 €) |
| Bug bounty | Program odpovědného hlášení v přípravě |
8.3 Postup při porušení ochrany údajů
V souladu s čl. 33 GDPR se Toveria zavazuje oznámit CNIL do 72 hodin od zjištění porušení ochrany údajů, které by mohlo představovat riziko pro práva a svobody osob.
Pokud porušení představuje vysoké riziko, osoby jsou také informovány bez zbytečného odkladu (čl. 34 GDPR).
Interní postup:
- Detekce → okamžité upozornění DPO
- Kvalifikace rizika (< 4 hodiny)
- Oznámení CNIL, je-li nutné (< 72 hodin)
- Oznámení osob, je-li riziko vysoké (< 72 hodin)
- Dokumentace incidentu (registr porušení)
9. Analýza dopadu (DPIA — čl. 35 GDPR)
Analýza dopadu na ochranu údajů je vyžadována pro zpracování představující vysoké riziko.
| Zpracování | DPIA vyžadována | Stav |
|---|
| Ověření sankcí (scoring) | Ano — profilování | ⏳ K provedení |
| Daňové údaje DAC7 | Ano — citlivé údaje + velký rozsah | ⏳ K provedení |
| KYC prodávajících (doklad totožnosti) | Ano — potenciálně biometrické údaje | ⏳ Delegováno Stripe |
| Sledování chování (pokud je analytika) | Ano — pokud je nasazeno | K vyhodnocení |
10. Údaje nezletilých
Platforma Toveria je přísně vyhrazena osobám starším 18 let.
Datum narození je shromažďováno při registraci k ověření plnoletosti. Jakákoli registrace nezletilého vede k okamžitému smazání účtu a přidružených údajů.
Hlášení: dpo@toveria.com — Předmět: [Nezletilý]
11. Cookies a sledovací prvky
Cookies nezbytně nutné (nevyžaduje se souhlas)
| Cookie | Účel | Doba |
|---|
sb-auth-token | Relace ověření Supabase | Relace / 1 týden |
toveria-ref | Odkaz doporučení | 30 dní |
toveria-lang | Jazyk zobrazení | 1 rok |
toveria-mr-rates | Sazby přepravců (localStorage) | Až do smazání |
Analytické cookies (se souhlasem)
Aktivovat pouze po implementaci banneru cookies v souladu s CNIL (doporučení CNIL ze dne 1. října 2020).
12. Změny těchto zásad
Podstatné změny jsou oznámeny e-mailem s 30denní lhůtou.
Datum poslední aktualizace je uvedeno v záhlaví. Pokračující používání platformy po vstupu v platnost znamená přijetí.
13. Kontakty
Evropský trh BtoC, CtoC, CtoB a BtoB — Prodej z Evropy do celého světa
Prodej z Evropy do celého světa
Registrační číslo CNIL: [Doplnit po hlášení]
Poslední aktualizace: Červen 2026
Francouzská verze — v případě rozporu s překladem má francouzská verze přednost.
