Podmínky zpracování osobních údajů. Platné ode dne 21. září 2026, nahrazují verzi účinnou od 15. července 2025.
1. Úvodní ustanovení
1.1 Společnost Tapaya s.r.o., IČO: 234 76 541, se sídlem Uralská 689/7, Bubeneč, 160 00 Praha 6, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze, sp. zn. C 427691 (dále jen „Společnost“) tímto poskytuje informace o způsobu a rozsahu zpracování osobních údajů, včetně práv souvisejících se zpracováním osobních údajů.
1.2 Společnost, jakožto správce případně zpracovatel osobních údajů, shromažďuje, uchovává a využívá (i jinak zpracovává) osobní údaje ve spojení s podnikatelskou činností (jednotlivé účely, pro které jsou osobní údaje zpracovávány, jsou blíže vymezeny níže).
1.3 Ochrana soukromí a zpracování osobních údajů je pro Společnost prioritou. Zpracování osobních údajů je považováno za přísně důvěrné a s osobními údaji je nakládáno v souladu s platnými právními předpisy v oblasti ochrany osobních údajů, zejména obecným nařízením Evropského parlamentu a Rady (EU) 2016/679 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (dále jen „GDPR“).
1.4 Pro účely těchto Podmínek zpracování osobních údajů Společnosti (dále jen „Podmínky“) a pro jasné rozdělení odpovědnosti v rámci platebního ekosystému Společnosti jsou klíčové role a pojmy v rámci zpracování osobních údajů vymezeny následovně:
- a) Správce: Subjekt, který sám nebo společně s jinými určuje účely a prostředky zpracování osobních údajů. Primárně odpovídá za to, že zpracování probíhá zákonně.
- b) Zpracovatel: Subjekt, který zpracovává osobní údaje výhradně jménem Správce a na základě jeho doložených pokynů.
- c) Partnerská společnost / Acquirer: Licencovaná finanční instituce, která zajišťuje autorizaci a zúčtování platebních transakcí. Ve vztahu k citlivým údajům držitelů karet a identifikačním (AML) datům zástupců obchodníků vystupuje Acquirer v pozici Správce.
- d) Platforma: Webová aplikace provozovaná Společností, prostřednictvím které se registrují integrátoři a obchodníci, spravují své účty a získávají přehled o platbách a zařízeních.
- e) Aplikace: Softwarové řešení Společnosti (Tapaya Accept / Tapaya Tap to Pay), ať už ve formě samostatné mobilní aplikace nebo integrovaného SDK modulu, sloužící k akceptaci platebních karet.
- f) PCI standardy: Bezpečnostní standardy stanovené Radou pro standardy zabezpečení platebních karet (PCI SSC) a veškeré související bezpečnostní standardy platné pro služby Společnosti.
- g) Uživatel: Uživatelem se rozumí integrátor a/nebo obchodník, který uzavřel obchodní vztah se Společností, využívá Aplikaci nebo Platformu a vztahují se na něj tyto Podmínky.
2. Právní základ a účely zpracování osobních údajů
2.1 Právním základem pro zpracování osobních údajů je jednání o uzavření a plnění smlouvy, plnění povinností uložených Společnosti právními předpisy a oprávněný zájem Společnosti.
2.2 Společnost v rámci své činnosti shromažďuje, uchovává a využívá osobní údaje, přičemž vystupuje ve dvou odlišných právních rolích:
- a) Jako Správce: Při provozování své webové platformy, správě uživatelských účtů (integrátorů a obchodníků) a zajišťování kybernetické bezpečnosti své infrastruktury, jakož i při plnění PCI standardů.
- b) Jako Zpracovatel: Při procesování platebních transakcí držitelů karet a provádění identifikace (KYC/AML) zástupců obchodníků, kde jedná výhradně na základě pokynů a jménem Partnerské společnosti, která v tomto vztahu vystupuje jako Správce.
2.3 Společnost zpracovává osobní údaje zejména pro následující účely:
- a) Zpracování a zúčtování platebních transakcí: V roli Zpracovatele pro Partnerskou společnost procesuje data držitelů karet k realizaci platby (plnění smlouvy, oprávněný zájem);
- b) Plnění právních povinností (AML/KYC): V roli Zpracovatele Společnost provádí onboarding obchodníků a sbírá identifikační údaje dle pokynů Partnerské společnosti ke splnění zákonných povinností proti praní špinavých peněz;
- c) Správa uživatelských účtů a platformy: V roli Správce zpracovává Společnost data pro zajištění přístupu obchodníků a integrátorů do webové platformy (plnění smluvního vztahu); a
- d) Prevence podvodů a kybernetická bezpečnost: V roli Správce monitoruje Společnost zařízení a IP adresy k ochraně sítě, detekci anomálií a plnění bezpečnostních PCI standardů (oprávněný zájem a smluvní povinnost).
2.4 Osobní údaje získáváme primárně přímo od vás (např. při registraci do Platformy, vyplnění onboarding formuláře nebo při komunikaci s námi), popřípadě prostřednictvím zpracovatele v podobě integrátora, který skrze svůj formulář získává od obchodníka údaje dle tabulky uvedené v odstavci 3.1 těchto Podmínek. V případech, kdy to vyžadují právní předpisy (zejména předpisy proti praní špinavých peněz – AML), získáváme a ověřujeme údaje o zástupcích obchodníků také z veřejně dostupných zdrojů (např. obchodní a živnostenský rejstřík, ARES) a ze specializovaných externích databází (např. mezinárodní sankční seznamy a seznamy politicky exponovaných osob – PEP).
3. Zpracovávané osobní údaje
3.1 Následující údaje Společnost zpracovává výhradně jakožto Zpracovatel na základě pokynů Partnerské společnosti:
| Subjekt údajů | Zpracovávané údaje | Účel zpracování |
|---|---|---|
| Držitel karty | Číslo karty (PAN), jméno na kartě, šifrovaný PIN blok a transakční kryptogramy | Zpracování a zúčtování platební transakce |
| Zástupce obchodníka | Jméno a příjmení, adresa, sken průkazu totožnosti, datum narození, e-mail | Identifikace, AML a KYC procesy, plnění smlouvy |
3.2 Následující údaje Společnost zpracovává pro vlastní účely jakožto Správce:
| Subjekt údajů | Zpracovávané údaje | Účel zpracování |
|---|---|---|
| Uživatel Platformy | Uživatelský e-mail, heslo, jméno a příjmení | Plnění smlouvy – identifikace účtu, zajištění přístupu do platformy |
| Uživatel Aplikace | Identifikátor zařízení, IP adresa, model a operační systém zařízení, geolokační údaje (GPS poloha v momentě transakce) | Oprávněný zájem a smluvní povinnost – prevence podvodů, bezpečnost, plnění PCI standardů |
| Držitel karty | Elektronické účtenky k transakcím | Oprávněný zájem a smluvní povinnost – zajištění dokladu o platbě |
| Uživatel Platformy, Aplikace nebo Držitel karty | Údaje, které dobrovolně uvedete, když nás budete kontaktovat, když se obrátíte na naši podporu, telefonicky, z e-mailů, včetně veškerých nám určených dotazů a odpovědí z dotazníků a byznysové komunikace | Oprávněný zájem a plnění smlouvy – zajištění kvality služeb a vyřizování požadavků |
| Uživatel Platformy a Aplikace | Jméno a příjmení, e-mailová adresa, telefonní číslo, název společnosti / obchodní firma | Oprávněný zájem – přímý B2B marketing |
| Uživatel Platformy a Aplikace | Údaje o používání Platformy a Aplikace (např. systémové logy, záznamy o interakcích s rozhraním, chybová hlášení a technické parametry zařízení) | Oprávněný zájem – analytika a vývoj produktu |
4. Příjemci osobních údajů
4.1 Osobní údaje jsou zpřístupněny pouze oprávněným zaměstnancům Společnosti, či Partnerské společnosti v roli Správce, a to pouze v míře nezbytně nutné pro naplnění jednotlivých účelů zpracování.
4.2 Osobní údaje mohou být předány:
- a) Partnerské společnosti, které Společnost v roli Zpracovatele předává transakční a identifikační data za účelem autorizace plateb a plnění AML povinností;
- b) Orgánům veřejné moci — Společnost je v zákonem stanovených případech povinna některé osobní údaje předat na základě platných právních předpisů, například orgánům činným v trestním řízení či dalším orgánům veřejné moci; a
- c) Zpracovatelům, kteří Společnosti poskytují serverové, webové, cloudové nebo IT služby.
4.3 Aktuální seznam subjektů, které mohou vystupovat jako Zpracovatel pro Společnost a konkrétní Partnerskou společnost, najdete na tapaya.com/en/privacy/processors.
4.4 K zajištění chodu Aplikace a Platformy využívá Společnost prověřené poskytovatele infrastruktury se servery lokalizovanými primárně v Evropské unii. V případech, kdy dochází k předání dat partnerům či poskytovatelům mimo Evropský hospodářský prostor (EHP), Společnost zajišťuje maximální úroveň ochrany aplikací vhodných záruk, typicky uzavřením Standardních smluvních doložek (SCC) schválených Evropskou komisí.
5. Doba zpracování a uchování osobních údajů
5.1 Společnost zpracovává osobní údaje po dobu nezbytně nutnou k zajištění všech práv a povinností plynoucích z příslušného smluvního vztahu a dále po dobu, po kterou je Společnost povinna, jakožto správce osobních údajů, osobní údaje uchovávat podle obecně závazných právních předpisů.
- a) Plnění smluvního vztahu: Po dobu trvání smluvního vztahu a po dobu 10 let od ukončení smluvního vztahu.
- b) Plnění právních povinností: Údaje zpracovávané za účelem plnění zákonných povinností, zejména identifikační (KYC) a transakční data pro účely předpisů proti praní špinavých peněz (AML) a daňových předpisů, uchováváme po dobu stanovenou zákonem. Tato doba činí standardně 10 let od ukončení smluvního vztahu nebo od uskutečnění příslušné transakce.
- c) Oprávněný zájem Správce: Maximálně po dobu 3 let od doby uchování údajů, nestanoví-li zvláštní právní předpisy v některých případech lhůtu delší, a/nebo pokud v odůvodněném případě nevznikne potřeba uchovávat údaje po dobu delší v souvislosti s konkrétním případem.
5.2 U osobních údajů, kde Společnost vystupuje výhradně jako Zpracovatel, se doba uchování řídí výhradně pokyny příslušného Správce (Partnerské společnosti) a platnými předpisy pro platební styk. Po uplynutí této doby jsou data bezpečně vymazána. Mimo okamžik transakce Společnost trvale neuchovává kompletní citlivá autentizační data (SAD) v souladu se standardy PCI.
6. Práva subjektu údajů
6.1 Subjekt údajů má v souvislosti se zpracováním osobních údajů práva, která vyplývají z právních předpisů a která může kdykoliv uplatnit. Jedná se o právo:
- (i) na přístup k osobním údajům;
- (ii) na opravu nepřesných a doplnění neúplných osobních údajů;
- (iii) na výmaz osobních údajů, nejsou-li již osobní údaje potřebné pro účely, pro které byly shromážděny či jinak zpracovány, a/nebo zjistí-li se, že byly zpracovávány protiprávně;
- (iv) na omezení zpracování osobních údajů;
- (v) na přenositelnost údajů;
- (vi) vznést námitku, po níž zpracování osobních údajů bude ukončeno, neprokáže-li se, že existují závažné oprávněné důvody pro zpracování, jež převažují nad zájmy nebo právy a svobodami subjektu údajů, zejména, je-li důvodem případné vymáhání právních nároků; a
- (vii) obrátit se na dozorové orgány, viz odst. 6.7 těchto Podmínek.
6.2 Jelikož působíme v přísně regulovaném platebním sektoru, upozorňujeme, že některá vaše práva (zejména právo na výmaz nebo námitku) mohou být ze zákona omezena. Společnost nemůže vyhovět žádosti o výmaz těch osobních údajů, které musí na základě právních předpisů (např. předpisů proti praní špinavých peněz – AML, či daňových předpisů) nadále uchovávat, nebo které jsou nezbytné pro obhajobu našich právních nároků.
6.3 Další informace v souvislosti se zpracováním osobních údajů Vám mohou být poskytnuty na e-mailové adrese dpo@tapaya.com. V případě realizace práv se subjekt osobních údajů může obrátit se svým požadavkem písemně na adresu sídla Společnosti nebo e-mailem na dpo@tapaya.com.
6.4 Abychom ochránili vaše data před neoprávněným přístupem, musíme před vyřízením žádosti spolehlivě ověřit vaši totožnost. V odůvodněných případech vás proto můžeme požádat o poskytnutí dodatečných identifikačních údajů. Pokud za vás žádost podává třetí osoba, budeme vyžadovat prokazatelné doložení jejího oprávnění jednat vaším jménem (např. plnou moc).
6.5 Na žádosti týkající se uplatnění vašich práv odpovíme bez zbytečného odkladu, nejpozději však do jednoho měsíce od obdržení žádosti. V případě složitých nebo mnohočetných požadavků si vyhrazujeme právo tuto lhůtu prodloužit o další dva měsíce, o čemž vás budeme vždy včas informovat.
6.6 Uplatnění vašich práv je zcela zdarma. Pokud by však byly žádosti zjevně nedůvodné nebo nepřiměřené, zejména proto, že by se nesmyslně opakovaly, vyhrazuje si Společnost právo uložit přiměřený poplatek zohledňující administrativní náklady spojené s vyřízením, nebo takové žádosti odmítnout vyhovět.
6.7 Pokud se domníváte, že vaše osobní údaje nezpracováváme v souladu s právními předpisy, máte právo podat stížnost. Budeme rádi, pokud se nejprve obrátíte přímo na nás, abychom mohli situaci obratem vyřešit, přičemž vám vždy poskytneme plnou součinnost. Zároveň máte právo kdykoliv podat stížnost u příslušného dozorového úřadu. V České republice je tímto orgánem Úřad pro ochranu osobních údajů (www.uoou.cz). Seznam dozorových úřadů v ostatních zemích EU naleznete na webových stránkách EDPB.
7. Automatické rozhodování a profilování
7.1 Společnost sama neprovádí plně automatizované rozhodování, které by pro vás mělo přímé právní účinky. Pro zajištění maximální bezpečnosti platebního ekosystému, prevenci podvodů a plnění zákonných povinností (např. AML) však my nebo naši externí partneři (zejména Partnerské společnosti) využíváme softwarové nástroje, které mohou zahrnovat prvky profilování.
- a) Způsob fungování: Tyto bezpečnostní systémy průběžně a automaticky analyzují transakční vzorce, IP adresy či unikátní identifikátory zařízení, aby v reálném čase detekovaly anomálie nebo kybernetické hrozby.
- b) Možné dopady: Pokud systém vyhodnotí konkrétní operaci jako vysoce rizikovou, může z bezpečnostních důvodů dojít k automatickému dočasnému zamítnutí transakce nebo k preventivnímu omezení přístupu zařízení do Aplikace.
- c) Lidský přezkum: V případě, že se vás takové automatizované bezpečnostní opatření dotkne a nesouhlasíte s ním, máte vždy právo obrátit se na nás, vyjádřit své stanovisko a požádat o manuální přezkoumání situace naším pracovníkem.
8. Zabezpečení osobních údajů
8.1 S ohledem na citlivou povahu finančních transakcí uplatňujeme přísná technická a organizační opatření v plném souladu s globálními bezpečnostními PCI standardy. Citlivá data držitelů karet (jako je celé číslo karty – PAN, nebo PIN kód) jsou okamžitě při načtení v Aplikaci šifrována. Tato citlivá autentizační data (SAD) nejsou nikdy uložena do interní paměti vašeho mobilního zařízení ani trvale uchovávána na našich serverech po dokončení autorizace platby. Pro veškeré datové přenosy a ochranu naší infrastruktury využíváme moderní kryptografické protokoly.
9. Závěrečná ustanovení
9.1 Společnost je oprávněna tyto Podmínky kdykoliv jednostranně měnit nebo doplňovat. V případě změny těchto Podmínek oznámí Společnost tyto změny Uživatelům v dostatečném předstihu prostřednictvím Platformy, Aplikace nebo elektronicky prostřednictvím kontaktních údajů. Veškeré změny jsou účinné okamžikem zveřejnění revidovaných Podmínek. O změně Podmínek Společnost vždy informuje prostřednictvím e-mailu nebo Uživatelského účtu v Aplikaci nebo na Platformě.
9.2 Pokud z naší Platformy přejdete přes odkaz na webové stránky třetích stran, zpracování vašich osobních údajů se začne řídit jejich vlastními zásadami ochrany soukromí. Za tyto externí weby a jimi prováděné zpracování dat neneseme odpovědnost. Doporučujeme vám, abyste se s jejich pravidly před použitím daných služeb pečlivě seznámili.
9.3 Tyto Podmínky se nevztahují na zpracování cookies a jiných sledovacích technologií na webové platformě Společnosti. Pro tyto informace prosím nahlédněte do našich samostatných Zásad používání cookies.