Platné od 10. 10. 2026 · verze 4
1.1 Pro vlastní provoz platformy (správa účtů, zabezpečení, prevence podvodů, analytika, fakturace Tvůrcům a plnění zákonných povinností včetně DAC7) je správcem osobních údajů ANAX HOLDING, s.r.o., IČO 108 76 197, se sídlem Příkop 843/4, Zábrdovice, 602 00 Brno, zapsaná v obchodním rejstříku vedeném Krajským soudem v Brně, sp. zn. C 123363 („my“, „Provozovatel“). Kontakt pro ochranu osobních údajů: hello@creatorbox.cz. 1.2 Když Tvůrce prodává své Produkty přes Platformu, je správcem údajů svých Kupujících Tvůrce (prodávající) a my jednáme jako jeho zpracovatel podle zpracovatelské smlouvy (creatorbox.cz/dpa). Pro vlastní účely dle bodu 1.1 (zejména zabezpečení, prevence podvodů a zákonné povinnosti) jsme ve vztahu k týmž údajům samostatným správcem. 1.3 Platby zpracovává Stripe Payments Europe, Ltd. jako samostatný správce podle vlastních zásad.
2.1 Při nákupu zpracováváme: jméno, e-mail, údaje objednávky (produkt, cena, čas), záznam o vašem souhlasu se zpřístupněním digitálního obsahu (čas udělení), technická data (IP, prohlížeč) a stav platby (platební údaje zadáváte přímo Stripe; čísla karet nikdy nevidíme a neukládáme). 2.2 Správcem těchto údajů pro účely prodeje (dodání, reklamace, komunikace) je Tvůrce, od kterého nakupujete - je uveden u pokladny a v potvrzení objednávky; svá práva k údajům z nákupu uplatníte přednostně u něj. My tytéž údaje zpracováváme jako zpracovatel Tvůrce a dále jako samostatný správce jen pro provoz a zabezpečení Platformy, prevenci podvodů a plnění zákonných povinností. 2.3 Váš e-mail použijeme k doručení zakoupeného obsahu a transakčním zprávám; k marketingu jen s vaším souhlasem nebo v zákonném režimu oprávněného zájmu u obdobných produktů (s možností se kdykoli odhlásit v každé zprávě). 2.4 Souhlas se zasíláním marketingových sdělení (například newsletteru) mohou udělit jen osoby od 15 let. Mladší osoby ho mohou udělit jen se souhlasem rodiče nebo zákonného zástupce. Účet Tvůrce je určen jen osobám starším 18 let.
3.1 Zpracováváme: registrační a profilové údaje (jméno/název, handle, e-mail, heslo v podobě otisku), fakturační údaje, prohlášení o statusu prodávajícího (podnikatel/nepodnikatel), IČO/DIČ, u fyzických osob datum narození, identifikátor bankovního účtu pro výplaty, přehled transakcí a výnosů, technická data. 3.2 Oznamování DAC7: jako oznamující provozovatel platformy podle zákona č. 373/2022 Sb. každoročně (do 31. ledna) oznamujeme správci daně identifikační údaje prodejců a jejich příjmy dosažené přes Platformu; kopii oznámených údajů vám poskytneme. Právním základem je plnění právní povinnosti.
Vedení účtu a provoz platformy - právní základ: čl. 6 odst. 1 písm. b) GDPR (plnění smlouvy) - doba uchování: po dobu trvání účtu. Po smazání účtu údaje vymažeme hned, kromě těch, které musíme uchovat (viz bod 10). Zpracování prodejů Tvůrce (jednáme jako zpracovatel) - právní základ: zpracovatelská smlouva (DPA) - doba uchování: dle pokynů Tvůrce, nejdéle po dobu trvání účtu. Fakturace, účetní a daňové doklady - právní základ: čl. 6 odst. 1 písm. c) GDPR (právní povinnost) - doba uchování: po dobu stanovenou zákonem, nejdéle 10 let (zákon č. 563/1991 Sb., § 31). Oznamování DAC7 - právní základ: čl. 6 odst. 1 písm. c) GDPR (právní povinnost) - doba uchování: po dobu stanovenou zákonem, nejdéle 10 let (zákon č. 164/2013 Sb., § 14zze; oznamování podle zákona č. 373/2022 Sb.). Zabezpečení, logy a prevence podvodů - právní základ: čl. 6 odst. 1 písm. f) GDPR (oprávněný zájem na ochraně Platformy a jejích uživatelů) - doba uchování: 90 dní (audit log dle DPA, přílohy č. 2). Analytika návštěvnosti - právní základ: čl. 6 odst. 1 písm. a) GDPR (souhlas, cookies) - doba uchování: dle tabulky cookies v Zásadách cookies. Marketingová sdělení - právní základ: souhlas, případně oprávněný zájem u vlastních obdobných produktů - doba uchování: do odvolání souhlasu / vznesení námitky. Záznam souhlasu se zpřístupněním digitálního obsahu před uplynutím lhůty pro odstoupení - právní základ: čl. 6 odst. 1 písm. c) a f) GDPR (prokazatelnost plnění zákonné povinnosti) - doba uchování: po dobu trvání případných nároků z nákupu. Záznam o smazání účtu - právní základ: čl. 6 odst. 1 písm. f) GDPR ve spojení s čl. 17 odst. 3 písm. e) GDPR (prokázání, že jsme žádost vyřídili) - doba uchování: nejdéle 10 let od smazání.
5.1 Údaje předáváme pouze dodavatelům nezbytným pro provoz Platformy, vždy na základě smlouvy o zpracování. Jmenovitě: Stripe Payments Europe Limited (Irsko) - zpracování plateb; Hetzner Online GmbH (Německo) - hosting aplikace a databáze; Cloudflare, Inc. (USA) - úložiště souborů (Cloudflare R2), CDN a ochrana sítě; Mailgun Technologies, Inc. (USA, EU region) - odesílání transakčních a marketingových e-mailů. 5.2 Aktuální a úplný seznam zpracovatelů je veřejně dostupný na creatorbox.cz/zpracovavame; případné změny oznamujeme podle DPA (nejméně 30 dní předem, s právem námitky). 5.3 AI funkce. Creatorbox v současnosti nepoužívá žádného poskytovatele umělé inteligence ke zpracování osobních údajů Tvůrců ani Kupujících. Pokud do služby přibude volitelná AI funkce, uvedeme konkrétního poskytovatele na stránce Zpracovatelé nejméně 30 dní před aktivací, včetně závazku, že data Tvůrce ani Kupujících nebudou použita pro trénování jeho modelů (čl. 13 Podmínek, čl. 9 DPA). 5.4 Údaje sdílíme s Tvůrcem, u něhož Kupující nakoupí (jméno, e-mail a údaje nezbytné k plnění), a s orgány veřejné moci, vyžaduje-li to zákon (zejména správce daně v rámci DAC7). Údaje neprodáváme třetím stranám. 5.5 Google. Se souhlasem k analytickým cookies (viz Zásady cookies) sdílíme technická data o návštěvě s Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irsko) v rámci služeb Google Analytics 4 a Google Tag Manager. V tomto rozsahu je Google samostatným správcem a zpracování probíhá jen po udělení souhlasu (Consent Mode v2); Google proto není naším zpracovatelem podle čl. 28 GDPR a není uveden v Seznamu zpracovatelů (ten je omezen na zpracovatele osobních údajů Kupujících - viz creatorbox.cz/zpracovavame).
6.1 Primární zpracování probíhá v Evropské unii / EHP: Hetzner (Německo) a Stripe Payments Europe (Irsko). 6.2 Cloudflare, Inc. a Mailgun Technologies, Inc. jsou americké společnosti; Cloudflare zpracovává v EU regionu (soubory v R2, EU) a Mailgun v EU regionu (Frankfurt), pro obě je předání do USA (např. pro účely správy infrastruktury) zajištěno standardními smluvními doložkami Evropské komise (SCC) podle rozhodnutí 2021/914, případně certifikací v rámci EU-US Data Privacy Framework. 6.3 Nepoužíváme v současnosti žádného poskytovatele AI, a nedochází tak k předávání údajů mimo EHP za tímto účelem (viz čl. 5.3). Kopii příslušných SCC zašleme na vyžádání: hello@creatorbox.cz. 6.4 Data předaná Google Ireland Limited mohou být dále zpracována přidruženou společností Google LLC (USA); toto předání je zajištěno certifikací Google v rámci EU-US Data Privacy Framework. K předání dochází pouze u návštěvníků, kteří udělili souhlas s analytickými cookies (viz čl. 5.5 a Zásady cookies).
7.1 Neprovádíme automatizované rozhodování s právními či obdobně významnými účinky. Automatizované prvky prevence podvodů mohou dočasně omezit funkce účtu; takové omezení lze vždy nechat přezkoumat člověkem (hello@creatorbox.cz).
8.1 Máte právo na přístup ke svým údajům, jejich opravu, výmaz, omezení zpracování, přenositelnost, námitku (včetně námitky proti přímému marketingu kdykoli) a odvolání souhlasu. Žádosti vyřizujeme do jednoho měsíce (lhůtu lze u složitých žádostí prodloužit o další dva měsíce; v takovém případě vás informujeme). Kde jednáme jako zpracovatel Tvůrce, žádost mu předáme a pomůžeme s vyřízením. 8.2 Stížnost můžete podat u Úřadu pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, uoou.gov.cz - oceníme ale, když se nejdřív ozvete nám.
9.1 Šifrování přenosu (TLS 1.2+) a šifrování dat v klidu (AES-256), řízení přístupů podle nejnižšího nutného oprávnění, oddělení dat, monitoring a logování přístupů s uchováním logů 90 dní, pravidelné zálohy. 9.2 Porušení zabezpečení oznamujeme dozorovému úřadu a dotčeným osobám v zákonných lhůtách; Tvůrcům, jichž se týká zpracovávaný obsah, do 48 hodin od zjištění (čl. 15.5 Podmínek, čl. 6 DPA).
10.1 Smazání účtu provedeme okamžitě, jakmile o něj požádáte v nastavení účtu. Před smazáním si můžete stáhnout svá data: Tvůrci s tarifem Standard a vyšším najdou přímo v okně pro smazání účtu odkazy na export objednávek a zákazníků (CSV). Po smazání už data obnovit nelze. Žádost můžete podat i e-mailem na hello@creatorbox.cz, vyřídíme ji v zákonné lhůtě. 10.2 Při smazání vymažeme profil a kontaktní údaje, přihlašovací údaje, obsah, zprávy, nastavení a nahrané soubory, zrušíme předplatná a odstraníme váš účet a zákaznický záznam u Stripe. Soubory produktů, které si Kupující už zaplatili, ponecháme jen tak dlouho, dokud je Kupující mohou stahovat. 10.3 Tvůrcům s uskutečněnými prodeji musíme část údajů uchovat po dobu stanovenou zákonem, nejdéle 10 let (počítáno od konce kalendářního roku smazání): a) údaje prodejce pro DAC7 a částky a data jeho transakcí (zákon č. 164/2013 Sb., § 14zze), b) účetní doklady o poplatcích Platformy (zákon č. 563/1991 Sb., § 31), c) záznamy o zprostředkovaných prodejích: číslo objednávky, hodnota, datum a země Kupujícího (zákon č. 235/2004 Sb., § 100b, pokud se na nás vztahuje). Objednávky Kupujících zůstávají jako záznamy prodávajícího, bez vazby na smazaný účet. 10.4 Záznam o smazání. Abychom mohli prokázat, že jsme žádost vyřídili, uchováváme minimální záznam: číslo žádosti, interní identifikátor účtu, otisk e-mailu (klíčovaný HMAC, ne e-mail samotný), typ účtu, způsob podání, časy, provedené kroky a uchované kategorie. Neobsahuje jméno ani čitelný e-mail. Právní základ: čl. 6 odst. 1 písm. f) GDPR ve spojení s čl. 17 odst. 3 písm. e) GDPR. Doba uchování: nejdéle 10 let od smazání. Potvrzení o smazání (PDF) vám pošleme e-mailem. 10.5 Zálohy. Máme šifrované zálohy, které nepoužíváme k ničemu jinému než k obnově po havárii. Po takové obnově smazání znovu provedeme. 10.6 Stripe. Stripe uchovává některé údaje, například ověření totožnosti, jako samostatný správce podle vlastních zákonných povinností a zásad (stripe.com/privacy).
11.1 Tyto zásady můžeme aktualizovat; datum poslední změny je uvedeno v záhlaví a o podstatných změnách informujeme e-mailem nebo v aplikaci nejméně 15 dní předem.