Zásady ochrany osobních údajů

Poslední aktualizace: 3. 11. 2026

1. Provozovatel

Provozovatelem platformy Signato (dále „Služba" nebo „Signato") je:

signato s. r. o.
Sídlo: Landererova 7743/8, 811 09 Bratislava - mestská časť Staré Mesto
IČO: 57637105
Registrace: Obchodný register Mestského súdu Bratislava III, oddiel Sro, vložka č. 199766/B
E-mail: privacy@signato.sk

(dále „Provozovatel", „my" nebo „nás")

2. Dvě role zpracování

Signato vystupuje ve dvou odlišných rolích podle kontextu zpracování:

1. Jako správce — pro účely poskytování Služby našim zákazníkům (kosmetické salony, PMU studia). Zpracováváme osobní údaje uživatelů účtů (majitelé salonů, zaměstnanci).
2. Jako zpracovatel — pro osobní údaje klientek salonů, které se zpracovávají v rámci dotazníků a elektronických podpisů. V tomto případě je správcem samotný salon. Signato údaje pouze technicky zpracovává jeho jménem.

3. Jaké údaje zpracováváme (jako správce)

Při registraci a používání účtu v Signato zpracováváme:

Přihlášení přes Apple nebo Google. Do účtu se můžete přihlásit nebo přes ně zaregistrovat i bez hesla. Poskytovatel nám pošle pouze identifikátor vašeho účtu, e-mailovou adresu (a zda ji sám ověřil) a jméno; Google i profilovou fotografii. Apple vám umožňuje e-mail skrýt – pak dostaneme náhodnou adresu @privaterelay.appleid.com a naše zprávy (např. oznámení o rezervacích) vám přepošle Apple. Jméno nám Apple pošle jen při vašem prvním přihlášení. Heslo k účtu Apple ani Google nikdy nevidíme. Pokud se přes Apple nebo Google přihlásíte do účtu, který se stejným ověřeným e-mailem již existuje, oba způsoby přihlášení se propojí; propojení zapíšeme do auditního záznamu. Při registraci před přesměrováním potvrzujete obchodní podmínky, tyto zásady a smlouvu o zpracování; záznam o souhlasu obsahuje čas, IP adresu a prohlížeč. Samotné přihlášení u Apple nebo Googlu se řídí jejich vlastními zásadami.

3a. Propojení s Kalendářem Google

Propojení je volitelné a dostupné majitelkám a pracovnicím salonu s rezervačním modulem. Po připojení Signato ve vašem účtu Google založí samostatný kalendář „Signato – termíny“ a zapisuje do něj termíny salonu od včerejška do jednoho roku dopředu, potvrzené i čekající na potvrzení (ty mají v názvu „(čaká na potvrdenie)“).

Co do Googlu zapisujeme:

• čas začátku a konce termínu a časové pásmo salonu;
• název služby a jméno a příjmení klientky (nebo „Bez klientky“, pokud termín klientku nemá);
• jméno pracovníka, který termín provádí, a objednané doplňky;
• odkaz zpět do kalendáře v Signatu.

V nastavení propojení můžete zapnout skrytí jmen klientek – do Googlu se pak zapíše jen název služby a jméno pracovníka. Volitelně můžete zapisovat pouze vlastní termíny. Nezapisujeme telefon ani e-mail klientky, poznámky klientky, interní poznámky, odpovědi v dotaznících ani žádné zdravotní údaje. Termíny klientky, která požádala o omezení zpracování (čl. 18 GDPR), do Googlu nezapisujeme. Zrušené termíny se z kalendáře odstraní; termíny, které již uplynuly, v něm zůstávají jako historie až do odpojení.

Co z Googlu dostáváme: e-mailovou adresu připojeného účtu Google a přístupové klíče (obnovovací a krátkodobý), které uchováváme zašifrované. Žádáme pouze oprávnění „openid“, „e-mail“ a „vytvářet kalendáře a spravovat jejich události“ (calendar.app.created). Poslední z nich umožňuje pracovat výhradně s kalendářem, který Signato samo vytvořilo – z vašich ostatních kalendářů ani událostí nic nečteme a nemáme k nim přístup. Údaje z Google API nikomu dále neposíláme a nepoužíváme je k ničemu jinému než k zapisování termínů do vašeho kalendáře.

Role. Údaje o propojení (e-mail účtu Google, přístupové klíče, vaše nastavení) zpracováváme jako správce na základě plnění smlouvy (čl. 6 odst. 1 písm. b GDPR). Termíny a jména klientek zapisujeme do Googlu jako zpracovatel na pokyn salonu, který je jejich správcem. Kalendář a jeho obsah následně zpracovává Google ve vašem účtu Google podle vlastních podmínek.

Ukončení. Propojení můžete kdykoli zrušit v Signatu (Kalendář → V mém kalendáři → Google Kalendář → Odpojit) nebo v nastavení vašeho účtu Google (přístup aplikací třetích stran). Po odpojení v Signatu se pokusíme kalendář „Signato – termíny“ z vašeho účtu Google smazat, zrušíme udělené oprávnění u Googlu a uložené klíče vymažeme. Pokud Google v tu chvíli neodpoví, odpojení se v Signatu dokončí i tak a kalendář můžete smazat ručně v Google. Totéž se stane při smazání vašeho účtu a při ukončení účtu salonu. Pokud salon přestane mít rezervační modul nebo aktivní předplatné, nebo pokud přestanete být členem týmu s přístupem k rezervacím, kalendář z vašeho účtu Google odstraníme rovněž; propojení zůstane a kalendář se obnoví, až podmínky opět platí. Pokud oprávnění odvoláte v účtu Google, zapisování se zastaví a uložené klíče vymažeme.

Používání informací získaných z Google API a jejich přenos do jiných aplikací se řídí zásadami Google API Services User Data Policy včetně požadavků na omezené použití (Limited Use).
Signato's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

Příjemce: Google Ireland Limited (Irsko; mateřská společnost Google LLC, USA) – pouze u uživatelů, kteří si Kalendář Google připojili.

4. Údaje klientek salonů (role zpracovatele)

Pokud jste klientkou salonu, který používá Signato pro dotazníky a souhlasy: správcem vašich údajů je tento salon, nikoli Signato. Žádosti o přístup, opravu nebo vymazání adresujte přímo salonu, ve kterém jste dotazník vyplnila.

Signato v této roli zpracovává vaše údaje pouze na základě pokynů salonu a na základě smlouvy o zpracování (DPA). Údaje jsou uloženy na serverech v EU – aplikační server je ve Finsku, zálohy v Německu (Hetzner Online GmbH), šifrované při přenosu i v klidu.

4a. Online rezervace a klientská zóna (role zpracovatele)

Pokud si u salonu rezervujete termín přes jeho rezervační stránku (/book/…, případně na vlastní doméně salonu), správcem vašich údajů je salon, nikoli Signato. Signato rezervaci technicky zajišťuje jménem salonu na základě smlouvy o zpracování podle čl. 28 GDPR. Žádosti o přístup, opravu nebo výmaz adresujte salonu nebo přes formulář /dsar.

Jaké údaje při rezervaci zadáváte:

• jméno, příjmení, e-mail a telefon (povinné);
• volitelnou poznámku k rezervaci (nejvýše 1 000 znaků), která se ukládá zašifrovaná – do poznámky prosím nepište zdravotní údaje; zdravotní dotazník se vyplňuje zvlášť;
• vybranou službu, pracovníka, doplňky a termín;
• povinný souhlas se zpracováním kontaktních údajů pro vyřízení rezervace. Při odeslání ukládáme znění souhlasu, čas, IP adresu (zašifrovanou) a prohlížeč jako důkaz souhlasu.

Formulář je chráněn službou Google reCAPTCHA v3 (Google Ireland Limited). Právním základem je pro salon vyřízení vaší rezervace (plnění smlouvy, čl. 6 odst. 1 písm. b GDPR) a výše uvedený souhlas; přesný právní základ a dobu uchovávání určuje salon.

Zprávy, které dostanete. Přicházejí z adresy platformy Signato jménem salonu (jako odesílatel se zobrazí název salonu, odpověď jde salonu):

• potvrzení rezervace s osobním odkazem na její správu (zrušení, přesun, kalendář .ics); odkaz přestane fungovat 60 dní po termínu;
• připomínky 24 hodin a 2 hodiny před potvrzeným termínem;
• oznámení o zrušení nebo přesunu termínu;
• odkaz na vyplnění zdravotního dotazníku – zpravidla 2 dny před termínem, platí do jednoho dne po termínu;
• zpráva „čas na korekci“ (jen u služby, u které salon korekci nastavil) a zpráva po návštěvě (v balíčku Profesionál); obě se neposílají klientce, která odmítla marketingové zprávy.

Pokud jste požádala o omezení zpracování (čl. 18 GDPR), tyto zprávy vám neposíláme. Záznam o odeslaných e-mailech (příjemce, předmět, stav, bez obsahu zprávy) uchováváme 90 dní.

Záloha. Pokud salon zálohu vyžaduje, zaplatíte ji kartou na stránce Stripe Checkout. Platba jde přímo na účet Stripe salonu (Stripe Connect, případně vlastní klíče Stripe, které salon do Signata vložil); Signato zálohu nepřijímá ani nedrží a v době účinnosti těchto zásad za její zprostředkování neúčtuje provizi. Údaje o kartě zadáváte přímo Stripe a Signato je nedostává. Stripe od nás dostane název služby, název salonu, částku a interní čísla rezervace a salonu; vaše jméno ani e-mail mu z naší strany neposíláme. U nás se ukládá částka, stav platby a identifikátory platby. Nezaplacená rezervace se přibližně po 30 minutách uvolní.

Moje návštěvy. Na stránce /moje si můžete nechat poslat odkaz na e-mail, který o vás salon eviduje. Odkaz platí 24 hodin a ukáže jen termíny (datum, služba, pracovník, stav), odkazy na jejich správu a zůstatek balíčků; nikdy ne dotazníky, fotografie, podpisy ani poznámky. Na žádost odpovídáme stejně, ať e-mail známe, nebo ne. Při vytvoření odkazu se uloží IP adresa žádosti; po vypršení se odkaz denně maže.

5. Příjemci údajů

Vaše údaje můžeme poskytnout následujícím příjemcům:

• Hetzner Online GmbH (Německo; server ve Finsku, zálohy v Německu) — hosting serverů a zálohování
• Stripe, Inc. (USA, Irsko) — zpracování plateb předplatného (na základě SCC); při zálohách za rezervace platí klientka přímo na účet Stripe salonu (Stripe Connect)
• Websupport s.r.o. (SR) — doména a e-mailové schránky @signato.sk
• Resend, Inc. (USA; e-maily se zpracovávají v EU, datové centrum v Irsku) — odesílání e-mailů z aplikace (ověření účtu, potvrzení a připomínky rezervací, dotazníky; na základě SCC)
• Google LLC (USA, Irsko) — reCAPTCHA ochrana (pouze na veřejném dotazníku, anonymizovaná) a Google Sign-In (pouze pokud se uživatel přihlásí přes Google: jméno, e-mail, profilová fotka); volitelné propojení s Kalendářem Google (část 3a)
• Apple Distribution International Ltd. (Irsko, mateřská společnost Apple Inc. v USA) — pouze při přihlášení nebo registraci přes Apple (identifikátor účtu, e-mail nebo skrytá adresa, jméno)
• Sentry.io — technický monitoring chyb (pseudonymizovaný)
• Finanční a daňové úřady v případě zákonné povinnosti

6. Vaše práva

Podle GDPR máte právo na:

• Přístup ke svým údajům (čl. 15)
• Opravu nesprávných údajů (čl. 16)
• Vymazání („právo být zapomenut") (čl. 17)
• Omezení zpracování (čl. 18)
• Přenositelnost (čl. 20)
• Vznést námitku proti zpracování založenému na oprávněném zájmu (čl. 21)
• Odvolat souhlas — tam, kde je zpracování založeno na souhlasu
• Podat stížnost u Úřadu pro ochranu osobních údajů

Žádosti směrujte na e-mail podpora@signato.sk. Vyřídíme je do 30 dnů od přijetí.

7. Bezpečnost

Přijímáme přiměřená technická a organizační opatření na ochranu vašich údajů:

• TLS 1.2+ šifrování u všech spojení
• Šifrování hesel (bcrypt), HSTS, CSP hlavičky
• Pravidelné zálohy a audit přístupů
• Oddělení dat jednotlivých zákazníků (multi-tenant isolation)
• Přístup k produkčním datům omezený na autorizované zaměstnance

8. Cookies

Používáme nezbytné cookies pro zajištění přihlášení a ochrany proti botům. Podrobnosti naleznete v samostatných zásadách cookies.

9. Změny těchto zásad

Vyhrazujeme si právo tyto zásady aktualizovat. O podstatných změnách vás budeme informovat e-mailem nebo prostřednictvím Služby nejméně 14 dní před účinností.

10. Kontakt

V otázkách ochrany osobních údajů nás můžete kontaktovat:
E-mail: podpora@signato.sk