GDPR Compliance
How we protect your data according to the General Data Protection Regulation
Our commitment to GDPR
Ebbo.Events is committed to protecting your personal data and complying with the General Data Protection Regulation (GDPR). As a company based in the European Union, we take data protection seriously and have implemented comprehensive measures to ensure compliance.
Správce a zpracovatel údajů
EBBO s.r.o. je správcem osobních údajů spojených s vaším účtem na platformě (registrace, přihlášení, fakturace) — u nich určujeme účely a prostředky zpracování. U osobních údajů Návštěvníků shromážděných v souvislosti s konkrétní Událostí je správcem Organizátor Události; EBBO s.r.o. tyto údaje zpracovává jako zpracovatel na základě pokynů Organizátora a zpracovatelské smlouvy dle čl. 28 GDPR. Toto rozdělení odpovídá Zásadám ochrany osobních údajů a VOP.
Contact details:
EBBO s.r.o.
IČO: 17553237, DIČ: CZ17553237
Zátiší 1001, Poruba, 735 14 Orlová
Datová schránka: iahyh5g
Czech Republic
Email: [email protected]
Legal basis for processing
We process personal data on the basis of the following legal reasons:
- Contract - Processing necessary for the performance of our contract with you (e.g. processing ticket purchases)
- Consent - If you have given explicit consent (e.g. marketing communications)
- Legitimate Interest - If we have a legitimate business interest (e.g. fraud prevention)
- Legal Obligation - If we are required by law to process data (e.g. tax records)
Účel zpracování a právní základ
| Purpose | Právní základ |
|---|---|
| Nákup a doručení vstupenky | Plnění smlouvy (čl. 6 odst. 1 písm. b) GDPR) |
| Cashless platby a správa kreditu | Plnění smlouvy (čl. 6 odst. 1 písm. b)) |
| Marketing a newsletter | Souhlas (čl. 6 odst. 1 písm. a)) |
| Prevence podvodů a bezpečnost | Oprávněný zájem (čl. 6 odst. 1 písm. f)) |
| Účetnictví a daňové povinnosti | Právní povinnost (čl. 6 odst. 1 písm. c)) |
Automatizované rozhodování
Pro prevenci podvodů a zneužití používáme automatizované systémy (např. Stripe Radar a interní anti-scalping detektor), které vyhodnocují rizikovost transakcí. Zásadní rozhodnutí (zneplatnění vstupenky, zmrazení cashless kreditu, zamítnutí vrácení peněz) nejsou založena výhradně na automatizovaném zpracování a podléhají lidské kontrole. Máte právo na lidský zásah, na vyjádření svého názoru a na napadení takového rozhodnutí (čl. 22 GDPR).
Your rights under the GDPR
Under the GDPR, you have the following rights regarding your personal data:
Access right
You can request a copy of any personal data we hold about you.
Right to rectification
You can request the correction of inaccurate or incomplete personal data.
Right to erasure
Můžete požádat o smazání vašich osobních údajů („právo být zapomenut").
Right to restriction of processing
You can ask us to restrict the way we use your data.
Right to data portability
You can request your data in a machine-readable format for transfer to another service.
Right to object
You can object to certain types of processing, including direct marketing.
Right to withdraw consent
You can withdraw consent at any time where we rely on consent for processing.
How to exercise your rights
You can exercise your rights under the GDPR in several ways:
- Log in to your account and use our self-service tools
- Napište našemu pověřenci pro ochranu osobních údajů na [email protected]
- Submit a request through our support portal
We will respond to your request within 30 days. In complex cases, we can extend this period by another 60 days, but we will inform you about the possible extension.
Data protection measures
We apply reasonable technical and organizational measures to protect your data:
- Data encryption in transit and at rest
- Regular security audits and penetration tests
- Access Control and Authentication
- Training of employees in the field of data protection
- Data processing agreements with all suppliers
- Regular backup and disaster recovery procedures
International data transfer
We store and process your data in the European Union. If we transfer data outside the EU (e.g. to service providers), we provide appropriate safeguards such as standard contractual clauses or adequate protection decisions.
Data retention
We retain personal data only for the time necessary for the purposes for which it was collected. Retention periods vary depending on the type of data and our legal obligations. After the retention period, the data is securely deleted or anonymized.
Data breach notification
In the event of a breach of personal data security, we will notify the relevant supervisory authority of this fact within 72 hours of discovering the breach. If the breach is likely to result in a high risk to your rights and freedoms, we will also notify you directly.
Plán reakce na bezpečnostní incidenty
Společnost EBBO s.r.o. má zavedený strukturovaný plán reakce na bezpečnostní incidenty (Incident Response Plan) v souladu s článkem 33 a 34 GDPR.
1. Detekce a identifikace
- Nepřetržitý monitoring serverové infrastruktury a aplikačních logů
- Automatické alerty při detekci neobvyklé aktivity (neúspěšné přihlášení, neautorizovaný přístup k API)
- Audit log veškerých přístupů k osobním a platebním údajům
2. Klasifikace závažnosti
- Kritický — Únik osobních/platebních údajů, neoprávněný přístup k databázi, ransomware
- Vysoký — Kompromitace admin účtu, podezřelá manipulace s daty, DDoS útok
- Střední — Neúspěšný pokus o průnik, zranitelnost v závislosti, phishing
- Nízký — Skenování portů, neúspěšné brute-force pokusy zachycené firewallem
3. Reakce a eskalace
- Okamžitá izolace postiženého systému a revokace kompromitovaných přístupů
- Záloha forenzních dat (logy, snapshoty) před jakoukoliv nápravou
- Eskalace na odpovědného technika (CTO) a právní oddělení do 1 hodiny od detekce
- Zapojení externího bezpečnostního specialisty při kritických incidentech
4. Oznamovací povinnost dle GDPR
- Do 72 hodin — Oznámení Úřadu pro ochranu osobních údajů (ÚOOÚ) dle čl. 33 GDPR, pokud incident představuje riziko pro práva a svobody fyzických osob
- Bez zbytečného odkladu — Přímé informování dotčených subjektů údajů dle čl. 34 GDPR, pokud incident představuje vysoké riziko
- Oznámení obsahuje: povahu incidentu, kategorie a přibližný počet dotčených osob, pravděpodobné důsledky, přijatá opatření
5. Náprava a obnova
- Odstranění příčiny incidentu (záplata zranitelnosti, změna přístupů, aktualizace)
- Obnova dat ze záloh (denní zálohy s retencí 30 dní)
- Vynucená změna hesel pro dotčené účty
- Verifikace integrity dat před obnovením provozu
6. Post-incident analýza
- Zpracování podrobné zprávy o incidentu (root cause analysis)
- Aktualizace bezpečnostních opatření na základě zjištění
- Přezkoumání a aktualizace tohoto plánu
- Evidence incidentu v interním registru porušení zabezpečení dle čl. 33 odst. 5 GDPR
7. Kontaktní osoby
Bezpečnostní incidenty hlaste na: [email protected]
Pověřenec pro ochranu osobních údajů (DPO): [email protected]
Dozorový úřad: [email protected] (ÚOOÚ)
Supervisory Office
You have the right to file a complaint with the supervisory authority. Our main supervisory authority is:
Úřad pro ochranu osobních údajů (ÚOOÚ)
Pplk. Sochora 27
170 00 Praha 7
Czech Republic
Email: [email protected]
Web: www.uoou.cz
Contact our trustee
If you have any questions about our compliance with the GDPR or wish to exercise your rights, please contact our Data Protection Officer:
Data Protection Officer
Email: [email protected]