Platné od 20. 7. 2026 · verze 3
1.1 Pro vlastní provoz platformy (správa účtů, zabezpečení, prevence podvodů, analytika, fakturace Tvůrcům a plnění zákonných povinností včetně DAC7) je správcem osobních údajů ANAX HOLDING, s.r.o., IČO 108 76 197, se sídlem Příkop 843/4, Zábrdovice, 602 00 Brno, zapsaná v obchodním rejstříku vedeném Krajským soudem v Brně, sp. zn. C 123363 („my", „Provozovatel"). Kontakt pro ochranu osobních údajů: hello@creatorbox.cz. 1.2 Když Tvůrce prodává své Produkty přes Platformu, je správcem údajů svých Kupujících Tvůrce (prodávající) a my jednáme jako jeho zpracovatel podle zpracovatelské smlouvy (creatorbox.cz/dpa). Pro vlastní účely dle bodu 1.1 (zejména zabezpečení, prevence podvodů a zákonné povinnosti) jsme ve vztahu k týmž údajům samostatným správcem. 1.3 Platby zpracovává Stripe Payments Europe, Ltd. jako samostatný správce podle vlastních zásad.
2.1 Při nákupu zpracováváme: jméno, e-mail, údaje objednávky (produkt, cena, čas), záznam o vašem souhlasu se zpřístupněním digitálního obsahu (čas udělení), technická data (IP, prohlížeč) a stav platby (platební údaje zadáváte přímo Stripe; čísla karet nikdy nevidíme a neukládáme). 2.2 Správcem těchto údajů pro účely prodeje (dodání, reklamace, komunikace) je Tvůrce, od kterého nakupujete - je uveden u pokladny a v potvrzení objednávky; svá práva k údajům z nákupu uplatníte přednostně u něj. My tytéž údaje zpracováváme jako zpracovatel Tvůrce a dále jako samostatný správce jen pro provoz a zabezpečení Platformy, prevenci podvodů a plnění zákonných povinností. 2.3 Váš e-mail použijeme k doručení zakoupeného obsahu a transakčním zprávám; k marketingu jen s vaším souhlasem nebo v zákonném režimu oprávněného zájmu u obdobných produktů (s možností se kdykoli odhlásit v každé zprávě).
3.1 Zpracováváme: registrační a profilové údaje (jméno/název, handle, e-mail, heslo v podobě otisku), fakturační údaje, prohlášení o statusu prodávajícího (podnikatel/nepodnikatel), IČO/DIČ, u fyzických osob datum narození, identifikátor bankovního účtu pro výplaty, přehled transakcí a výnosů, technická data. 3.2 Oznamování DAC7: jako oznamující provozovatel platformy podle zákona č. 373/2022 Sb. každoročně (do 31. ledna) oznamujeme správci daně identifikační údaje prodejců a jejich příjmy dosažené přes Platformu; kopii oznámených údajů vám poskytneme. Právním základem je plnění právní povinnosti.
Vedení účtu a provoz platformy - právní základ: čl. 6 odst. 1 písm. b) GDPR (plnění smlouvy) - doba uchování: po dobu trvání účtu + 30denní exportní okno. Zpracování prodejů Tvůrce (jednáme jako zpracovatel) - právní základ: zpracovatelská smlouva (DPA) - doba uchování: dle pokynů Tvůrce, nejdéle po dobu trvání účtu. Fakturace, účetní a daňové doklady - právní základ: čl. 6 odst. 1 písm. c) GDPR (právní povinnost) - doba uchování: 10 let (zákon o účetnictví, zákon o DPH). Oznamování DAC7 - právní základ: čl. 6 odst. 1 písm. c) GDPR (právní povinnost) - doba uchování: po dobu stanovenou zákonem č. 373/2022 Sb. Zabezpečení, logy a prevence podvodů - právní základ: čl. 6 odst. 1 písm. f) GDPR (oprávněný zájem na ochraně Platformy a jejích uživatelů) - doba uchování: 90 dní (audit log dle DPA, přílohy č. 2). Analytika návštěvnosti - právní základ: čl. 6 odst. 1 písm. a) GDPR (souhlas, cookies) - doba uchování: dle tabulky cookies v Zásadách cookies. Marketingová sdělení - právní základ: souhlas, případně oprávněný zájem u vlastních obdobných produktů - doba uchování: do odvolání souhlasu / vznesení námitky. Záznam souhlasu se zpřístupněním digitálního obsahu před uplynutím lhůty pro odstoupení - právní základ: čl. 6 odst. 1 písm. c) a f) GDPR (prokazatelnost plnění zákonné povinnosti) - doba uchování: po dobu trvání případných nároků z nákupu.
5.1 Údaje předáváme pouze dodavatelům nezbytným pro provoz Platformy, vždy na základě smlouvy o zpracování. Jmenovitě: Stripe Payments Europe Limited (Irsko) - zpracování plateb; Hetzner Online GmbH (Německo) - hosting aplikace a databáze; Cloudflare, Inc. (USA) - úložiště souborů (Cloudflare R2), CDN a ochrana sítě; Mailgun Technologies, Inc. (USA, EU region) - odesílání transakčních a marketingových e-mailů. 5.2 Aktuální a úplný seznam zpracovatelů je veřejně dostupný na creatorbox.cz/zpracovavame; případné změny oznamujeme podle DPA (nejméně 30 dní předem, s právem námitky). 5.3 AI funkce. Creatorbox v současnosti nepoužívá žádného poskytovatele umělé inteligence ke zpracování osobních údajů Tvůrců ani Kupujících. Pokud do služby přibude volitelná AI funkce, uvedeme konkrétního poskytovatele na stránce Zpracovatelé nejméně 30 dní před aktivací, včetně závazku, že data Tvůrce ani Kupujících nebudou použita pro trénování jeho modelů (čl. 13 Podmínek, čl. 9 DPA). 5.4 Údaje sdílíme s Tvůrcem, u něhož Kupující nakoupí (jméno, e-mail a údaje nezbytné k plnění), a s orgány veřejné moci, vyžaduje-li to zákon (zejména správce daně v rámci DAC7). Údaje neprodáváme třetím stranám. 5.5 Google. Se souhlasem k analytickým cookies (viz Zásady cookies) sdílíme technická data o návštěvě s Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irsko) v rámci služeb Google Analytics 4 a Google Tag Manager. V tomto rozsahu je Google samostatným správcem a zpracování probíhá jen po udělení souhlasu (Consent Mode v2); Google proto není naším zpracovatelem podle čl. 28 GDPR a není uveden v Seznamu zpracovatelů (ten je omezen na zpracovatele osobních údajů Kupujících - viz creatorbox.cz/zpracovavame).
6.1 Primární zpracování probíhá v Evropské unii / EHP: Hetzner (Německo) a Stripe Payments Europe (Irsko). 6.2 Cloudflare, Inc. a Mailgun Technologies, Inc. jsou americké společnosti; Cloudflare zpracovává v EU regionu (soubory v R2, EU) a Mailgun v EU regionu (Frankfurt), pro obě je předání do USA (např. pro účely správy infrastruktury) zajištěno standardními smluvními doložkami Evropské komise (SCC) podle rozhodnutí 2021/914, případně certifikací v rámci EU-US Data Privacy Framework. 6.3 Nepoužíváme v současnosti žádného poskytovatele AI, a nedochází tak k předávání údajů mimo EHP za tímto účelem (viz čl. 5.3). Kopii příslušných SCC zašleme na vyžádání: hello@creatorbox.cz. 6.4 Data předaná Google Ireland Limited mohou být dále zpracována přidruženou společností Google LLC (USA); toto předání je zajištěno certifikací Google v rámci EU-US Data Privacy Framework. K předání dochází pouze u návštěvníků, kteří udělili souhlas s analytickými cookies (viz čl. 5.5 a Zásady cookies).
7.1 Neprovádíme automatizované rozhodování s právními či obdobně významnými účinky. Automatizované prvky prevence podvodů mohou dočasně omezit funkce účtu; takové omezení lze vždy nechat přezkoumat člověkem (hello@creatorbox.cz).
8.1 Máte právo na přístup ke svým údajům, jejich opravu, výmaz, omezení zpracování, přenositelnost, námitku (včetně námitky proti přímému marketingu kdykoli) a odvolání souhlasu. Žádosti vyřizujeme do jednoho měsíce (lhůtu lze u složitých žádostí prodloužit o další dva měsíce; v takovém případě vás informujeme). Kde jednáme jako zpracovatel Tvůrce, žádost mu předáme a pomůžeme s vyřízením. 8.2 Stížnost můžete podat u Úřadu pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, uoou.gov.cz - oceníme ale, když se nejdřív ozvete nám.
9.1 Šifrování přenosu (TLS 1.2+) a šifrování dat v klidu (AES-256), řízení přístupů podle nejnižšího nutného oprávnění, oddělení dat, monitoring a logování přístupů s uchováním logů 90 dní, pravidelné zálohy. 9.2 Porušení zabezpečení oznamujeme dozorovému úřadu a dotčeným osobám v zákonných lhůtách; Tvůrcům, jichž se týká zpracovávaný obsah, do 48 hodin od zjištění (čl. 15.5 Podmínek, čl. 6 DPA).
10.1 Tyto zásady můžeme aktualizovat; datum poslední změny je uvedeno v záhlaví a o podstatných změnách informujeme e-mailem nebo v aplikaci nejméně 15 dní předem.