Ochrana osobních údajů

Tyto zásady vysvětlují, jaké osobní údaje služba mail-martinsil zpracovává, proč, na jakém právním základě, jak dlouho, komu je předává a jaká máte práva. Plní informační povinnost podle čl. 13 a 14 nařízení Evropského parlamentu a Rady (EU) 2016/679 (obecné nařízení o ochraně osobních údajů, dále jen „GDPR“) a podle zákona č. 110/2019 Sb., o zpracování osobních údajů.

Tyto zásady navazují na obchodní podmínky služby (dále jen „Obchodní podmínky“). Zpracování osobních údajů, které provozovatel provádí pro uživatele jako zpracovatel, upravuje Příloha č. 1 Obchodních podmínek „Zpracovatelské podmínky“.

1. 1Kdo je správcem a jak ho kontaktovat

Správcem osobních údajů je:

(dále jen „provozovatel“ nebo „já“)

Pověřence pro ochranu osobních údajů jsem nejmenoval, protože mi to GDPR neukládá (čl. 37 GDPR). Ve všech záležitostech ochrany osobních údajů mě kontaktujte na e-mailu mail@martinsil.cz.

2. 2O jakou službu jde a v jaké roli provozovatel údaje zpracovává

mail-martinsil je soukromá služba pro odesílání transakčních e-mailů přes rozhraní API (kompatibilní s rozhraním služby Resend), která e-maily doručuje prostřednictvím Amazon Simple Email Service (Amazon SES). Služba není veřejná: účty zakládám jen na pozvání, a to výhradně podnikatelům a osobám jednajícím za podnikatele (dále jen „uživatel“ nebo „vy“). Služba neobsahuje marketingové funkce ani sledování otevření a prokliků e-mailů.

Podle toho, o jaké údaje jde, vystupuji ve dvou rolích:

A) Jako správce zpracovávám údaje, o jejichž účelu a prostředcích rozhoduji sám. Jde zejména o:

• údaje o uživatelských účtech a přihlašování,
• pozvánky do služby,
• bezpečnost služby a řešení zneužití (blokace účtů, limity, pozastavení odesílání),
• záznamy požadavků na API,
• globální seznam blokovaných adres (adresy, které trvale nedoručují nebo jejichž držitelé si stěžovali na nevyžádanou poštu),
• komunikaci s uživateli a podporu,
• fakturaci, je-li individuálně sjednán příspěvek na náklady,
• uplatňování a obranu právních nároků.

Na tato zpracování se vztahují kapitoly 3 až 6 a 8 až 19.

B) Jako zpracovatel zpracovávám údaje, které uživatelé posílají přes API o svých příjemcích (adresy, záhlaví, předmět, obsah e-mailů, přílohy atd.), a události o doručení těchto e-mailů. Správcem těchto údajů je uživatel, který e-mail odesílá. Zpracovávám je jen podle jeho pokynů a za podmínek Zpracovatelských podmínek (Příloha č. 1 Obchodních podmínek). Bližší informace najdete v kapitole 7.

Jste-li příjemcem e-mailu odeslaného přes tuto službu, obracejte se se svými dotazy a žádostmi především na odesílatele, tedy na firmu nebo osobu, od které jste e-mail dostali. Odesílatel je za zpracování vašich údajů odpovědný. Pokud mi žádost přesto pošlete, předám ji příslušnému uživateli, případně vám sdělím, na koho se obrátit.

3. 3Jaké osobní údaje zpracovávám a odkud je získávám

3.1Kategorie subjektů údajů

• Uživatelé – osoby, kterým byl založen účet (podnikatelé nebo osoby jednající za podnikatele).
• Pozvané osoby – osoby, kterým jsem založil účet a poslal pozvánku.
• Příjemci e-mailů – osoby, jejichž e-mailové adresy jsou v globálním seznamu blokovaných adres nebo v záznamech požadavků (jako správce), a příjemci e-mailů odesílaných uživateli (jako zpracovatel, viz kapitola 7).
• Osoby, které mě kontaktují – například s dotazem, žádostí nebo stížností.

3.2Kategorie osobních údajů

Zvláštní kategorie osobních údajů (čl. 9 GDPR) ani údaje o rozsudcích v trestních věcech jako správce nezpracovávám.

3.3Zdroje osobních údajů

• Od vás – údaje, které uvedete vy nebo které o vás uvede osoba žádající o založení účtu (jméno, e-mail), údaje, které zadáte v aplikaci (název domény, název API klíče, jméno) nebo mi pošlete e-mailem.
• Od provozovatele – údaje, které zadám při založení účtu a pozvánce, při nastavení limitů nebo blokaci účtu.
• Od poskytovatelů přihlášení – pokud se přihlásíte účtem Google nebo Discord, dostanu od daného poskytovatele váš identifikátor, jméno, e-mailovou adresu, adresu URL profilového obrázku a přihlašovací tokeny.
• Automaticky při používání služby – IP adresa a User-Agent při přihlášení, záznamy požadavků na API, časy přihlášení.
• Od Amazon Web Services – oznámení o trvalém nedoručení a stížnostech, z nichž vzniká globální seznam blokovaných adres.

4. 4Účely, osobní údaje, právní základy a doby uložení

Následující tabulka se týká zpracování, při kterém jsem správcem.

Osobní údaje nepoužívám k marketingu, k profilování ani je neprodávám.

5. 5Oprávněné zájmy

Tam, kde se opírám o oprávněný zájem (čl. 6 odst. 1 písm. f) GDPR), jde o tyto zájmy:

• Bezpečnost služby – ochrana účtů před neoprávněným přístupem, odhalování a řešení zneužití, ochrana sítě a informací (srov. recitál 49 GDPR).
• Ochrana příjemců a reputace odesílání – všichni uživatelé sdílejí jeden odesílací účet u Amazon SES. Pokud by služba dál posílala na neexistující adresy nebo lidem, kteří si stěžují, poškodilo by to doručitelnost e-mailů všech uživatelů a Amazon Web Services by mohla odesílání omezit nebo zastavit. Proto vedu globální seznam blokovaných adres a sleduji míru nedoručitelnosti a stížností na úrovni jednotlivých účtů. Do seznamu se dostávají i adresy z e-mailů, které z téhož účtu Amazon SES odešlu sám mimo aplikaci.
• Komunikace se zástupci zákazníků – jedná-li uživatel za jinou osobu, potřebuji s ním komunikovat a poskytovat mu službu.
• Řešení dotazů a podpory a uplatňování a obrana právních nároků.

Proti zpracování na základě oprávněného zájmu můžete kdykoli vznést námitku (viz kapitola 14). Své zájmy jsem vážil proti vašim právům: zpracovávám jen údaje nezbytné pro daný účel, služba je určena podnikatelům a zpracování odpovídá tomu, co mohou uživatelé a příjemci e-mailů rozumně očekávat.

6. 6Je poskytnutí údajů povinné?

Poskytnutí e-mailové adresy a jména je podmínkou založení účtu a uzavření smlouvy. Bez nich službu poskytnout nemohu. Přihlášení přes Google nebo Discord je dobrovolné; místo něj můžete vždy použít jednorázový kód zaslaný e-mailem. Fakturační údaje jste povinni poskytnout jen tehdy, je-li sjednán příspěvek na náklady, protože je vyžadují daňové předpisy. Ostatní údaje vznikají automaticky při používání služby.

7. 7Údaje příjemců e-mailů odesílaných uživateli (role zpracovatele)

7.1Co zpracovávám

Když uživatel odešle e-mail přes API, zpracovávám pro něj tyto údaje:

• adresy odesílatele, příjemců (včetně kopií a skrytých kopií) a adresy pro odpověď, včetně zobrazovaných jmen,
• předmět, obsah e-mailu ve formátu HTML a prostý text,
• vlastní záhlaví a štítky (tags),
• metadata příloh (název souboru, typ, velikost); obsah příloh do databáze neukládám,
• přílohy nahrané předem do úložiště Amazon S3,
• události o doručení (doručení, zpoždění, nedoručení, stížnost, odmítnutí, chyba vykreslení, vynechání blokované adresy) včetně adres příjemců a diagnostických údajů od přijímajících serverů,
• identifikátor idempotence a otisk požadavku.

Služba nesleduje otevření ani prokliky e-mailů a do e-mailů nevkládá sledovací prvky.

7.2Kdo je správcem

Správcem těchto údajů je uživatel, který e-mail odesílá. Odpovídá za to, že má k jejich zpracování právní základ a že příjemcům poskytl informace podle GDPR. Zpracovávám je pouze podle pokynů uživatele, tedy k odeslání e-mailu, k doručení, k vedení přehledu odeslaných e-mailů a událostí, který uživatel vidí v aplikaci, a k plnění Zpracovatelských podmínek.

Výjimkou je globální seznam blokovaných adres a souhrnné statistiky nedoručitelnosti a stížností na úrovni účtů: ty vedu jako správce pro vlastní účely popsané v kapitolách 4 a 5.

7.3Doba uložení

Amazon Web Services může podle svých smluvních podmínek pro Amazon SES ukládat a automaticky kontrolovat odesílané e-maily a jejich obsah za účelem prevence spamu, phishingu, malwaru a jiného zneužití.

7.4Přístup provozovatele k obsahu

Jako provozovatel mám k uloženým údajům technický přístup. Využívám ho jen v nezbytném rozsahu, a to pro provoz a zabezpečení služby, řešení chyb a podpory na žádost uživatele, řešení zneužití a porušení Obchodních podmínek nebo plnění zákonné povinnosti.

7.5Pokud jste příjemcem

S žádostmi o přístup, opravu, výmaz nebo s námitkou se obracejte především na odesílatele e-mailu. Pokud žádost pošlete mně, bez zbytečného odkladu ji předám příslušnému uživateli a budu mu s jejím vyřízením nápomocen. O odstranění své adresy z globálního seznamu blokovaných adres (například pokud byla adresa nedostupná jen dočasně) mě můžete požádat přímo. Po odstranění vám ale uživatelé služby mohou znovu posílat e-maily.

8. 8Příjemci osobních údajů a zpracovatelé

Osobní údaje neprodávám ani je nikomu neposkytuji pro jeho marketing. K provozu služby využívám tyto zpracovatele (a pro údaje zpracovávané pro uživatele tyto další zpracovatele):

Se všemi zpracovateli mám uzavřené smlouvy o zpracování osobních údajů podle čl. 28 GDPR, které jsou součástí jejich smluvních podmínek. Pro údaje zpracovávané pro uživatele platí pravidla pro další zpracovatele uvedená ve Zpracovatelských podmínkách.

8.1Samostatní správci – přihlášení přes Google a Discord

Pokud se rozhodnete přihlašovat účtem Google nebo Discord, předává mi daný poskytovatel na vaši žádost údaje o vašem účtu (viz kapitola 3.3). Tito poskytovatelé nejsou mými zpracovateli, ale samostatnými správci, kteří zpracovávají vaše údaje podle svých vlastních zásad:

• Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irsko – https://policies.google.com/privacy
• Discord Netherlands BV, Schiphol Boulevard 195, 1118 BG Schiphol, Nizozemsko – https://discord.com/privacy

8.2Další příjemci

• Poštovní servery příjemců – e-maily odeslané uživateli jsou z povahy věci doručovány na poštovní servery příjemců, které mohou být kdekoli na světě. Jde o předání na pokyn uživatele jako správce.
• Orgány veřejné moci – soudy, orgány činné v trestním řízení, správci daně a jiné orgány, pokud mi to ukládá právní předpis.
• Poradci – například daňový poradce nebo advokát, kteří jsou vázáni povinností mlčenlivosti, a to jen v nezbytném rozsahu.

9. 9Předávání osobních údajů mimo EU/EHP

Data aplikace ukládám v Evropské unii: databáze běží ve Frankfurtu, aplikace ve Frankfurtu a e-maily se odesílají a přílohy ukládají ve Stockholmu. Všichni zpracovatelé jsou však společnosti se sídlem v USA nebo jejich součástí. K předání údajů do USA proto může dojít, například při správě a podpoře služeb, u provozních záznamů hostingu nebo u systémových e-mailů odesílaných přes Resend.

Předání se řídí:

• rozhodnutím Evropské komise o odpovídající ochraně (EU) 2023/1795 pro rámec EU-US Data Privacy Framework, pokud je příjemce v tomto rámci certifikován. Rozhodnutí je k datu účinnosti těchto zásad platné; proti rozsudku Tribunálu, který jej potvrdil, je u Soudního dvora EU vedeno odvolací řízení C-703/25 P;
• standardními smluvními doložkami podle rozhodnutí Komise (EU) 2021/914, které jsou součástí smluv se zpracovateli a uplatní se i v případě, že by rozhodnutí o odpovídající ochraně přestalo platit.

Kopii příslušných záruk vám na žádost poskytnu, případně vám sdělím, kde jsou zveřejněny.

10. 10Doba uložení, zrušení účtu a zálohy

• Konkrétní doby uložení jsou uvedeny v tabulkách v kapitolách 4 a 7.3. Po jejich uplynutí údaje smažu nebo anonymizuji.
• Zrušení účtu. V aplikaci zatím nelze účet zrušit samostatně. O zrušení účtu a výmaz údajů požádejte e-mailem na mail@martinsil.cz. Účet zruším také při ukončení smlouvy podle Obchodních podmínek. Údaje o účtu, doménách, API klíčích, relacích, propojení s Google/Discord, záznamy o odeslaných e-mailech, události o doručení a záznamy požadavků smažu nejpozději do 30 dnů od zrušení účtu.
• Co po zrušení účtu zůstává. Adresy v globálním seznamu blokovaných adres (bez vazby na účet), fakturační údaje po dobu stanovenou daňovými předpisy a údaje potřebné k uplatnění nebo obraně právních nároků.
• Zálohy. Poskytovatelé infrastruktury vytvářejí zálohy, které se průběžně přepisují podle cyklu daného poskytovatele. Smazané údaje mohou v zálohách přetrvat do jejich přepsání. Do produkčního prostředí je zpět neobnovuji.

11. 11Cookies

Webová aplikace používá pouze nezbytné a funkční cookies první strany. Nepoužívám analytické, reklamní ani sledovací cookies, nástroje třetích stran pro měření návštěvnosti ani úložiště prohlížeče (localStorage, sessionStorage) pro sledování. Ukládání těchto cookies nevyžaduje váš souhlas (§ 89 odst. 3 zákona č. 127/2005 Sb., o elektronických komunikacích), proto aplikace nezobrazuje lištu pro udělení souhlasu.

Cookies můžete smazat nebo zablokovat v nastavení prohlížeče. Bez přihlašovacích cookies se ale do aplikace nepřihlásíte.

Náhled e-mailů v aplikaci. Když si v aplikaci otevřete náhled odeslaného e-mailu, váš prohlížeč načte obrázky z adres uvedených v e-mailu, stejně jako poštovní klient. Provozovatelé těchto serverů tak mohou získat vaši IP adresu. Aplikace při tom neodesílá informaci o stránce, ze které je obrázek načítán.

12. 12Zabezpečení osobních údajů

Přijal jsem technická a organizační opatření přiměřená riziku (čl. 32 GDPR), zejména:

• veškerá komunikace se službou a mezi službou a jejími poskytovateli je šifrována protokolem TLS,
• data v databázi a v úložišti jsou šifrována v klidovém stavu na straně poskytovatelů infrastruktury,
• data jsou uložena v regionech EU (Frankfurt, Stockholm),
• API klíče se ukládají pouze jako kryptografický otisk (hash); celý klíč se zobrazí jen jednou při vytvoření a nelze jej zpětně zjistit,
• přihlašování probíhá bez hesel, jednorázovým kódem s platností 5 minut nebo přes Google či Discord,
• přístup k produkčním systémům a datům má pouze provozovatel; každý uživatel vidí jen svá data,
• oznámení od Amazon SNS se přijímají jen s platným kryptografickým podpisem Amazonu,
• úložiště příloh není veřejně přístupné, přístup k němu je možný jen šifrovaně a nahrané soubory se automaticky mažou nejpozději po 1 dni,
• ze záznamů požadavků se odstraňuje obsah e-mailů a příloh,
• náhled e-mailů v aplikaci běží v izolovaném prostředí, které neumožňuje spouštět skripty,
• odesílání je chráněno limity a automatickým pozastavením při vysoké míře nedoručitelnosti nebo stížností.

Dojde-li k porušení zabezpečení osobních údajů, ohlásím je Úřadu pro ochranu osobních údajů a případně i dotčeným osobám v souladu s čl. 33 a 34 GDPR. U údajů, které zpracovávám jako zpracovatel, informuji uživatele podle Zpracovatelských podmínek.

13. 13Automatizované rozhodování a automatické pozastavení odesílání

Nedochází k rozhodování založenému výhradně na automatizovaném zpracování, které by pro vás mělo právní účinky nebo se vás obdobně významně dotýkalo (čl. 22 GDPR), ani k profilování.

Služba však obsahuje technické pojistky:

• Limity odesílání – počet e-mailů za minutu a počet příjemců za 24 hodin jsou omezeny podle Obchodních podmínek.
• Automatické pozastavení odesílání – překročí-li míra trvale nedoručených e-mailů nebo stížností na nevyžádanou poštu z vašeho účtu hranice uvedené v Obchodních podmínkách, služba odesílání z účtu automaticky pozastaví. Chrání tím příjemce a schopnost služby doručovat e-maily všem uživatelům.
• Vynechání blokovaných adres – na adresy z globálního seznamu blokovaných adres se e-maily automaticky neodesílají.

Pozastavení je dočasné technické opatření, ne konečné rozhodnutí. O pozastavení jsem automaticky informován, situaci posoudím a odesílání mohu obnovit. Pokud s pozastavením nesouhlasíte nebo chcete situaci vysvětlit, kontaktujte mě na mail@martinsil.cz.

14. 14Vaše práva

V souvislosti se zpracováním osobních údajů máte tato práva:

• Právo na přístup (čl. 15 GDPR) – můžete zjistit, zda vaše údaje zpracovávám, a získat jejich kopii a informace o zpracování. Část údajů vidíte přímo v aplikaci (profil, aktivní relace, odeslané e-maily, záznamy požadavků).
• Právo na opravu (čl. 16 GDPR) – můžete požádat o opravu nepřesných nebo doplnění neúplných údajů. Jméno změníte sami v nastavení; změnu e-mailové adresy provedu na žádost.
• Právo na výmaz (čl. 17 GDPR) – můžete požádat o výmaz údajů, například pokud již nejsou potřebné nebo pokud vznesete oprávněnou námitku. Výmaz nemusím provést tam, kde údaje potřebuji ke splnění právní povinnosti nebo k uplatnění či obraně právních nároků.
• Právo na omezení zpracování (čl. 18 GDPR) – například po dobu ověřování přesnosti údajů nebo vyřizování námitky.
• Právo na oznámení (čl. 19 GDPR) – o opravě, výmazu nebo omezení informuji příjemce, kterým byly údaje zpřístupněny, pokud to není nemožné nebo nepřiměřeně náročné.
• Právo na přenositelnost (čl. 20 GDPR) – údaje zpracovávané na základě smlouvy automatizovaně vám na žádost předám ve strukturovaném, běžně používaném a strojově čitelném formátu (např. JSON nebo CSV), případně je předám jinému správci, je-li to technicky proveditelné.
• Právo vznést námitku (čl. 21 GDPR) – proti zpracování na základě oprávněného zájmu můžete kdykoli vznést námitku z důvodů týkajících se vaší konkrétní situace. Údaje pak přestanu zpracovávat, ledaže prokážu závažné oprávněné důvody, které převažují nad vašimi zájmy, právy a svobodami, nebo zpracování potřebuji k určení, výkonu nebo obhajobě právních nároků.
• Právo nebýt předmětem automatizovaného rozhodování (čl. 22 GDPR) – viz kapitola 13.
• Právo podat stížnost u dozorového úřadu – viz kapitola 16.

Zpracování nezakládám na souhlasu. Pokud bych o souhlas v budoucnu žádal, můžete jej kdykoli odvolat, aniž by tím byla dotčena zákonnost zpracování před odvoláním.

15. 15Jak svá práva uplatnit

• Žádost pošlete e-mailem na mail@martinsil.cz, ideálně z e-mailové adresy, kterou používáte ve službě.
• Abych údaje nevydal nesprávné osobě, mohu vás požádat o ověření totožnosti, například odpovědí z adresy přiřazené k účtu nebo zadáním kódu, který vám pošlu. Ověřovací údaje použiji jen k tomuto účelu.
• Na žádost odpovím bez zbytečného odkladu, nejpozději do 1 měsíce od jejího obdržení. Ve složitých případech nebo při velkém počtu žádostí mohu lhůtu prodloužit o další 2 měsíce; o prodloužení a jeho důvodech vás budu informovat do 1 měsíce.
• Vyřízení žádosti je bezplatné. U zjevně nedůvodných nebo nepřiměřených žádostí, zejména pokud se opakují, mohu požadovat přiměřený poplatek nebo žádosti nevyhovět (čl. 12 odst. 5 GDPR).
• Zrušení účtu a výmaz údajů je třeba vyžádat e-mailem, protože v aplikaci tuto funkci zatím nenabízím (viz kapitola 10).
• Jste-li příjemcem e-mailu odeslaného uživatelem, obracejte se nejprve na odesílatele (viz kapitola 7.5).

16. 16Právo podat stížnost u dozorového úřadu

Pokud se domníváte, že zpracováním vašich osobních údajů porušuji právní předpisy, můžete podat stížnost u dozorového úřadu:

Úřad pro ochranu osobních údajů
Pplk. Sochora 27, 170 00 Praha 7
ID datové schránky: qkbaa2n
Web: https://uoou.gov.cz

Stížnost můžete podat také u dozorového úřadu v členském státě EU svého obvyklého bydliště nebo místa výkonu práce. Budu rád, když se na mě nejprve obrátíte, abychom mohli případný problém vyřešit přímo.

17. 17Minimální věk

Služba je určena výhradně podnikatelům a osobám jednajícím jejich jménem. Osoby mladší 18 let ji používat nesmějí a jejich údaje vědomě nezpracovávám. Zjistím-li, že účet používá osoba mladší 18 let, účet zruším a údaje smažu.

18. 18Změny těchto zásad

Tyto zásady mohu měnit, zejména při změně služby, zpracovatelů nebo právních předpisů. Aktuální znění je vždy zveřejněno na https://mail.martinsil.cz. O podstatných změnách informuji uživatele předem e-mailem nebo oznámením na webu. Každá verze uvádí své číslo a datum účinnosti.

19. 19Jazykové verze a účinnost

Tyto zásady jsou vyhotoveny v češtině a v angličtině. V případě rozporu mezi jazykovými verzemi má přednost česká verze.

Tyto zásady jsou účinné od 15. října 2026 (verze 1.0).