Zásady ochrany osobních údajů a podmínky zpracování osobních údajů
Účinnost od: 17. srpna 2026
Verze: 3.0
Toto jsou veřejné zásady ochrany osobních údajů společnosti Rail Academy Group s.r.o. Současně obsahují podmínky zpracování osobních údajů podle článku 28 GDPR pro případy, kdy společnost zpracovává osobní údaje jménem Zákazníka.
Tyto zásady doplňují příslušná ustanovení Všeobecných obchodních podmínek (VOP). Seznámení se s těmito zásadami samo o sobě nepředstavuje souhlas se zpracováním osobních údajů.
Část 8 těchto zásad se přijetím VOP stává součástí smlouvy a – pokud nebyla uzavřena samostatná smlouva o zpracování osobních údajů – obsahuje pro smluvní strany závazné podmínky zpracování osobních údajů podle článku 28 GDPR.
1. Správce, rozsah působnosti a právní rámec
Správce: Rail Academy Group s.r.o.
Sídlo: Orechová 133, 900 42 Dunajská Lužná, Slovenská republika
IČO: 55 333 826
Kontakt pro záležitosti ochrany osobních údajů: office@railacademygroup.com
Webové stránky: www.railacademygroup.com
Tyto zásady se vztahují na všechny služby poskytované podle VOP.
Společnost Rail Academy Group s.r.o. vystupuje jako samostatný správce, pokud pro vlastní účely určuje účely a základní prostředky zpracování.
Pokud společnost Rail Academy Group s.r.o. jedná výhradně na základě doložených pokynů Zákazníka, vystupuje jako zpracovatel. V rámci stejné zakázky se mohou role smluvních stran lišit podle konkrétní operace zpracování.
Použitelné právní předpisy zahrnují zejména:
• nařízení Evropského parlamentu a Rady (EU) 2016/679 (GDPR);
• slovenský zákon č. 18/2018 Z. z. o ochraně osobních údajů.
2. Účely zpracování, kategorie údajů a doba uchovávání
Společnost Rail Academy Group s.r.o. zpracovává osobní údaje pouze pro stanovené, výslovně vyjádřené a legitimní účely a pouze v rozsahu nezbytném pro příslušný účel.
Zpracování může souviset zejména s těmito činnostmi:
• navázání kontaktu a uzavření smlouvy;
• poskytování vzdělávacích a poradenských služeb;
• provozování online systémů;
• fakturace a vedení účetnictví;
• vyřizování stížností a právních nároků;
• marketingové činnosti, pokud pro ně existuje odpovídající právní základ;
• pořizování fotografií, zvukových nebo obrazových záznamů;
• nábor zaměstnanců.
V závislosti na konkrétním účelu mohou být zpracovávány zejména tyto kategorie osobních údajů:
• identifikační a kontaktní údaje;
• údaje týkající se zaměstnavatele a pracovního zařazení;
• smluvní a fakturační údaje;
• údaje o školení a účasti;
• údaje o zkouškách a hodnocení;
• údaje související s osvědčeními;
• projektové a komunikační údaje;
• technické protokoly a údaje o používání systémů.
V závislosti na konkrétní činnosti může být právním základem zpracování článek 6 odst. 1 písm. a), b), c) nebo f) GDPR, zejména:
• souhlas subjektu údajů;
• plnění smlouvy nebo provedení opatření před uzavřením smlouvy;
• splnění právní povinnosti;
• oprávněný zájem společnosti Rail Academy Group s.r.o. nebo třetí osoby.
Oprávněným zájmem může být zejména obchodní komunikace, bezpečný provoz služeb a určení, výkon nebo obhajoba právních nároků.
Společnost Rail Academy Group s.r.o. uchovává osobní údaje pouze po dobu nezbytnou k dosažení příslušného účelu zpracování.
Při stanovení doby uchovávání zohledňuje zejména:
• dobu poskytování služby a trvání smluvního vztahu;
• platné požadavky týkající se školení a zkoušek;
• účetní a daňové předpisy;
• použitelné promlčecí lhůty;
• potřebu určit, vykonávat nebo obhajovat právní nároky.
Po zániku účelu zpracování a uplynutí příslušné doby uchovávání jsou osobní údaje vymazány.
Před shromážděním osobních údajů nebo při jeho zahájení je subjekt údajů informován o konkrétním účelu zpracování, dotčených kategoriích údajů, právním základu a době uchovávání.
Pokud osobní údaje nebyly získány přímo od subjektu údajů, budou příslušné informace poskytnuty ve lhůtě stanovené článkem 14 GDPR. Zpravidla se tak stane v přiměřené lhůtě po získání údajů, nejpozději však do jednoho měsíce, případně nejpozději při prvním kontaktu se subjektem údajů nebo při prvním zpřístupnění údajů.
Společnost Rail Academy Group s.r.o. poskytne subjektu údajů na jeho žádost podrobnější informace.
3. Zdroje údajů, poskytování údajů a zvláštní kategorie údajů
Osobní údaje mohou pocházet z těchto zdrojů:
• přímo od subjektu údajů;
• od Zákazníka nebo zaměstnavatele subjektu údajů;
• od školitele, zkoušejícího nebo poradce;
• od projektového partnera nebo spolupracující organizace;
• od orgánu veřejné moci;
• z dřívějšího dokumentu;
• z informačního systému používaného pro příslušnou službu.
Pokud nebudou poskytnuty údaje nezbytné pro plnění smlouvy nebo splnění právní povinnosti, příslušnou službu nemusí být možné poskytnout nebo ji bude možné poskytnout pouze v omezeném rozsahu.
4. Příjemci a zpracovatelé
Osobní údaje mohou být v nezbytném rozsahu zpřístupněny:
• Zákazníkovi nebo zaměstnavateli subjektu údajů;
• školiteli, zkoušejícímu, poradci nebo projektovému partnerovi;
• spolupracující vzdělávací, certifikační nebo odborné organizaci;
• účetnímu nebo poskytovateli právních či pojišťovacích služeb;
• bance nebo poskytovateli platebních služeb;
• orgánu veřejné moci nebo soudu jednajícímu na základě právních předpisů.
Postavení školitelů, zkoušejících a poradců z hlediska ochrany osobních údajů závisí na konkrétním úkolu.
Pokud jednají podle pokynů společnosti Rail Academy Group s.r.o., vztahují se na ně povinnosti zpracovatele a povinnost zachovávat důvěrnost. Pokud na základě vlastní zákonné nebo profesní odpovědnosti samostatně určují účely a prostředky zpracování, vystupují jako samostatní správci.
Hlavní poskytovatelé IT služeb
Microsoft
Služba: Microsoft 365, Exchange Online, Office a Teams.
Místo zpracování: datová centra společnosti Microsoft umístěná v EU nebo EFTA. Může docházet k omezenému globálnímu přístupu pro účely podpory nebo zajištění bezpečnosti.
Používané záruky: dodatek společnosti Microsoft o ochraně osobních údajů (DPA), standardní smluvní doložky EU (SCC) a rozhodnutí o odpovídající ochraně, pokud jsou použitelná.
Moodle Pty Ltd
Služba: online vzdělávací platforma MoodleCloud.
Místo zpracování: vybraný region EU využívající infrastrukturu Amazon Web Services v Irsku. Na zpracování údajů souvisejících s předplatným se mohou podílet také smluvní další zpracovatelé společnosti Moodle.
Používané záruky: podmínky zpracování osobních údajů společnosti Moodle a standardní smluvní doložky (SCC) pro zpracování mimo Evropský hospodářský prostor.
Wix.com Ltd
Služba: webové stránky a hosting.
Místo zpracování: Izrael, Irsko, Spojené státy americké a místa, ve kterých působí zveřejnění další zpracovatelé společnosti Wix.
Používané záruky: rozhodnutí Evropské unie o odpovídající ochraně pro Izrael; standardní smluvní doložky (SCC) a doplňující záruky pro jiné země, na které se rozhodnutí o odpovídající ochraně nevztahuje.
Výše uvedený seznam obsahuje stálé, významné a přímé zpracovatele IT služeb využívané společností Rail Academy Group s.r.o.
5. Předávání osobních údajů do třetích zemí
Osobní údaje mohou být předávány mimo Evropský hospodářský prostor pouze za podmínek stanovených v kapitole V GDPR.
Předávání může být založeno zejména na:
• rozhodnutí Evropské komise o odpovídající ochraně; nebo
• vhodných zárukách podle článku 46 GDPR, zejména na standardních smluvních doložkách (SCC).
Subjekt údajů může na adrese office@railacademygroup.com požádat o informace o konkrétním předání a o kopii nebo shrnutí použitých záruk.
6. Zabezpečení osobních údajů
V souladu s článkem 32 GDPR a § 39 slovenského zákona č. 18/2018 Z. z. zavádí společnost Rail Academy Group s.r.o. technická a organizační opatření odpovídající povaze zpracování, používaným systémům a zjištěným rizikům. Uplatňování odpovídajících opatření vyžaduje také od svých poskytovatelů služeb.
V závislosti na konkrétním systému a jeho technických možnostech mohou tato opatření zahrnovat zejména:
• přístup založený na rolích a omezený na rozsah nezbytný pro plnění příslušného úkolu;
• odebrání přístupových oprávnění, která již nejsou potřebná;
• vícefaktorové ověřování správcovských a jiných privilegovaných účtů, pokud je daný systém podporuje;
• šifrovaný přenos dat;
• šifrování uložených dat zajišťované poskytovatelem cloudových služeb.
Na základě odůvodněné žádosti poskytne společnost Rail Academy Group s.r.o. podrobnější informace o bezpečnostních opatřeních používaných pro konkrétní službu nebo informační systém.
7. Práva subjektů údajů a prostředky nápravy
Za podmínek stanovených v článcích 15 až 22 GDPR může subjekt údajů:
• požádat o přístup ke svým osobním údajům a o jejich kopii;
• požádat o opravu svých osobních údajů;
• požádat o výmaz svých osobních údajů;
• požádat o omezení zpracování;
• uplatnit právo na přenositelnost údajů;
• vznést námitku proti zpracování založenému na oprávněném zájmu;
• kdykoli odvolat dříve udělený souhlas.
Za podmínek stanovených v článku 22 GDPR má subjekt údajů rovněž právo nebýt předmětem rozhodnutí založeného výhradně na automatizovaném zpracování, včetně profilování, které by pro něj mělo právní účinky nebo se ho obdobným způsobem významně dotýkalo.
Odvoláním souhlasu není dotčena zákonnost zpracování provedeného před jeho odvoláním.
Právo na výmaz nemá přednost před povinným uchováváním údajů ani před zpracováním nezbytným pro určení, výkon nebo obhajobu právních nároků.
Žádosti týkající se práv subjektů údajů lze zaslat na adresu office@railacademygroup.com.
Společnost Rail Academy Group s.r.o. odpovídá zpravidla do jednoho měsíce od obdržení žádosti. V případě složitých nebo vícečetných žádostí lze tuto lhůtu s příslušným odůvodněním prodloužit o další dva měsíce.
Společnost Rail Academy Group s.r.o. nepoužívá výhradně automatizované rozhodování ani profilování, které by pro subjekt údajů mělo právní účinky nebo se ho obdobným způsobem významně dotýkalo.
Dozorový úřad
Úrad na ochranu osobných údajov Slovenskej republiky
Galvaniho Business Centrum II
Galvaniho 7/B
821 04 Bratislava
Slovenská republika
Webové stránky: www.dataprotection.gov.sk
8. Podmínky zpracování osobních údajů pro Zákazníky
8.1. Použitelnost a popis zpracování
Tato část se použije, pokud společnost Rail Academy Group s.r.o. zpracovává osobní údaje jménem Zákazníka jako správce a na základě jeho doložených pokynů.
Předmětem zpracování je poskytování služeb podle VOP. Doba zpracování odpovídá době trvání smlouvy a době nezbytné pro řádné vrácení nebo vymazání údajů.
Operace zpracování mohou zahrnovat zejména:
• přijímání a zaznamenávání údajů;
• uspořádání a uchovávání údajů;
• používání nebo předávání údajů;
• omezení zpracování;
• vrácení nebo výmaz údajů.
Mezi subjekty údajů mohou patřit zejména:
• kontaktní osoby Zákazníka;
• zaměstnanci a smluvní spolupracovníci Zákazníka;
• uchazeči, účastníci a zkoušené osoby;
• poradci a projektoví partneři.
Zpracovávané kategorie údajů mohou zahrnovat zejména:
• identifikační a kontaktní údaje;
• údaje týkající se zaměstnavatele a pracovního zařazení;
• údaje o školení a účasti;
• údaje o výkonu, zkouškách a osvědčeních;
• projektové a dokumentové údaje;
• komunikační údaje;
• technické protokolové údaje.
Zvláštní kategorie osobních údajů ve smyslu článku 9 GDPR mohou být předávány pouze na základě samostatné písemné dohody.
8.2. Povinnosti Zákazníka
Zákazník:
• zajišťuje zákonnost zpracování, existenci vhodného právního základu a řádné informování subjektů údajů;
• předává pouze přesné, aktuální a nezbytné osobní údaje a zaručuje, že je oprávněn je předat;
• vydává zákonné, jednoznačné a doložené pokyny;
• posuzuje žádosti subjektů údajů a plní povinnosti správce vůči dozorovým orgánům;
• předem upozorní na plánované zpracování zahrnující vysoké riziko nebo zvláštní kategorie osobních údajů.
V rámci vztahu mezi správcem a zpracovatelem může doložené pokyny vydávat výhradně Zákazník jako správce.
Subjekty údajů mohou uplatnit práva uvedená v části 7 těchto zásad. Pokud rozhodnutí o žádosti spadá do působnosti Zákazníka, společnost Rail Academy Group s.r.o. předá žádost Zákazníkovi bez zbytečného odkladu.
8.3. Povinnosti společnosti Rail Academy Group s.r.o.
Společnost Rail Academy Group s.r.o.:
• jedná výhradně na základě zákonných a doložených pokynů Zákazníka;
• bez zbytečného odkladu informuje Zákazníka, pokud se podle jejího názoru některý pokyn dostává do rozporu s GDPR nebo jiným použitelným předpisem Evropské unie či členského státu v oblasti ochrany osobních údajů;
• odchýlí se od pokynů Zákazníka pouze tehdy, pokud zpracování vyžaduje právo Evropské unie nebo členského státu, a o této právní povinnosti Zákazníka předem informuje, pokud právní předpis takové informování nezakazuje z důležitých důvodů veřejného zájmu;
• zajistí, aby osoby oprávněné k přístupu k osobním údajům byly vázány povinností zachovávat důvěrnost;
• uplatňuje bezpečnostní opatření uvedená v části 6 těchto zásad;
• poskytuje přiměřenou součinnost při vyřizování žádostí subjektů údajů, porušení zabezpečení osobních údajů, posouzení vlivu na ochranu osobních údajů a konzultací s dozorovými orgány;
• poskytne Zákazníkovi informace nezbytné k doložení souladu s článkem 28 GDPR;
• podle volby Zákazníka po ukončení služby údaje vrátí nebo vymaže, s výjimkou případů povinného uchovávání.
8.4. Další zpracovatelé a mezinárodní předávání údajů
Zákazník uděluje obecné písemné povolení k zapojení dalších zpracovatelů uvedených v části 4 těchto zásad a dalších zpracovatelů, kteří byli předem oznámeni v souvislosti s příslušnou službou.
Na další zpracovatele se vztahují přinejmenším rovnocenné povinnosti v oblasti ochrany osobních údajů. Společnost Rail Academy Group s.r.o. odpovídá Zákazníkovi za plnění povinností dalšího zpracovatele.
Na předávání údajů mimo Evropský hospodářský prostor se vztahují podmínky a záruky uvedené v části 5 těchto zásad.
8.5. Porušení zabezpečení osobních údajů, kontroly a spolupráce
Společnost Rail Academy Group s.r.o. oznámí Zákazníkovi bez zbytečného odkladu každé porušení zabezpečení osobních údajů, které se týká osobních údajů zpracovávaných jménem Zákazníka.
Na základě informací, které má k dispozici, společnost Rail Academy Group s.r.o. sdělí:
• povahu porušení;
• dotčené kategorie osobních údajů a subjektů údajů;
• pravděpodobné důsledky porušení;
• přijatá nebo navrhovaná opatření.
O oznámení dozorovému úřadu a subjektům údajů rozhoduje Zákazník. Společnost Rail Academy Group s.r.o. mu v této souvislosti poskytne přiměřenou součinnost.
Zákazník je oprávněn ověřit dodržování příslušných požadavků na ochranu osobních údajů. Společnost Rail Academy Group s.r.o. může soulad prokázat zejména prostřednictvím dokumentů, certifikátů poskytovatelů služeb nebo zpráv z auditu.
Kontrolu na místě nebo kontrolu vyžadující přístup k systémům lze provést nejvýše jednou ročně, v pracovní době, po přiměřeném předchozím oznámení a při ochraně údajů ostatních zákazníků a obchodního tajemství.
Omezení na jednu kontrolu ročně se neuplatní v případě porušení zabezpečení osobních údajů nebo nařízení dozorového orgánu.
8.6. Vrácení a výmaz údajů
Po ukončení smlouvy společnost Rail Academy Group s.r.o. podle doložené volby Zákazníka vrátí nebo vymaže veškeré osobní údaje zpracovávané jménem Zákazníka, včetně existujících kopií, pokud jejich uchovávání nevyžaduje právo Evropské unie nebo členského státu.
Osobní údaje uložené v aktivních systémech budou vymazány bez zbytečného odkladu.
Tím nejsou dotčeny údaje, které společnost Rail Academy Group s.r.o. zpracovává odděleně jako samostatný správce na základě doloženého právního titulu.
9. Cookies, důvěrnost a změny těchto zásad
9.1. Cookies a podobné technologie
Webové stránky používají pro správu cookies a podobných technologií rozhraní Usercentrics for Wix pro správu souhlasů, které je integrováno do systému Wix.
Služby vyžadující souhlas jsou aktivovány až poté, co návštěvník udělí předchozí souhlas.
Prostřednictvím rozhraní pro správu souhlasů mohou návštěvníci:
• přijmout nebo odmítnout služby vyžadující souhlas;
• nastavit individuální možnosti podle jednotlivých kategorií;
• zobrazit používané služby a související informace o zpracování osobních údajů.
Udělený souhlas lze kdykoli změnit nebo odvolat prostřednictvím tlačítka „Privacy Settings“, které je trvale dostupné na webových stránkách.
9.2. Důvěrnost
Nezávisle na požadavcích týkajících se ochrany osobních údajů zacházejí společnost Rail Academy Group s.r.o. a Zákazník jako s důvěrnými se všemi neveřejnými obchodními, technickými, finančními, organizačními a odbornými informacemi, se kterými se seznámí během poskytování služeb.
Přístup k těmto informacím je poskytován pouze osobám, které jej potřebují k plnění svých úkolů.
9.3. Změny těchto zásad
Společnost Rail Academy Group s.r.o. může tyto zásady změnit zejména v případě:
• změny právních předpisů;
• zavedení nové činnosti zpracování;
• změny poskytovatele služeb;
• technických nebo organizačních změn.
Aktuální znění těchto zásad je k dispozici na webových stránkách společně s datem účinnosti a číslem verze.
O podstatných změnách podmínek zpracování osobních údajů podle článku 28 GDPR bude Zákazník samostatně a včas informován.
Tyto zásady je nutné vykládat společně s aktuálně platnými VOP, přijatou nabídkou, objednávkou a případnou individuální smlouvou o poskytování služeb.
V otázkách zpracování osobních údajů se použijí závazná ustanovení právních předpisů na ochranu osobních údajů a zvláštní podmínky zpracování uvedené v těchto zásadách.