PŘEDPISY

ZÁSADY OCHRANY OSOBNÍCH ÚDAJŮ
platné od 30.11.2022 r.

Zásady připravila společnost Jeronimo Martins Drogerie i Farmacja Sp. z o. o., se sídlem na adrese ul. Żniwna 5, 62-025 Kostrzyn, Polsko (dále jako „ Hebe“ nebo „Správce“) a je určena subjektům údajů používajícím funkce Stránek drogerie Hebe dostupných na adrese www.hebe.com/cz a účastníkům Věrnostního programu Hebe.

Ochrana soukromí je pro Hebe klíčová. Správce jmenoval Pověřence pro ochranu osobních údajů a vyvíjí veškeré úsilí, aby řádně zabezpečil Osobní údaje a jasně informoval subjekty údajů o jejich zpracování. Správce se zavazuje zpracovávat a chránit Osobní údaje v souladu s těmito Zásadami a platnými právními předpisy, především v souladu s Obecným nařízením o ochraně osobních údajů (EU) 2016/679 a zákonem č. 110/2019 Sb., o zpracování osobních údajů.

Zásady obsahují informace o zpracování Osobních údajů Správcem na Stránkách drogerie Hebe a v rámci Věrnostního programu My Hebe.

OBSAH

I. DEFINICE POJMŮ

II. OBECNÁ USTANOVENÍ

1. Kdo odpovídá za zpracování Osobních údajů?

2. Jak kontaktovat Správce?

3. Jak kontaktovat Pověřence pro ochranu osobních údajů?

III. ÚČEL A PRÁVNÍ ZÁKLAD ZPRACOVÁNÍ OSOBNÍCH ÚDAJŮ

1. Používání Stránek drogerie Hebe

2. Nakupování v Online drogerii Hebe

3. Účast ve Věrnostním programu My Hebe

4. Oprávněné zájmy Správce

5. Marketing

IV. JAKÁ MÁTE PRÁVA VE VZTAHU K OSOBNÍM ÚDAJŮM?

V. ODKUD OSOBNÍ ÚDAJE ZÍSKÁVÁME?

VI. JAK DLOUHO OSOBNÍ ÚDAJE UCHOVÁVÁME?

VII. KOMU OSOBNÍ ÚDAJE POSKYTUJEME?

VIII. PŘEDÁVÁNÍ OSOBNÍCH ÚDAJŮ MIMO EHP

IX. ZABEZPEČENÍ OSOBNÍCH ÚDAJŮ

X. ZMĚNY ZÁSAD

XI. ZÁVĚREČNÁ USTANOVENÍ

I. DEFINICE POJMŮ

1. EHP - Evropský hospodářský prostor (tj. země Evropské unie, jakož i Norsko, Lichtenštejnsko a Island).

2. GDPR - nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů).

3. KARTA MY HEBE - elektronická karta potvrzující účast Zákazníka ve Věrnostním programu My Hebe.

4. HODNOCENÍ - osobní názor, komentář nebo jiné prohlášení Zákazníka obsahující subjektivní hodnocení ze strany Zákazníka produktu opatřeného přezdívkou nebo (v případě, že přezdívka chybí) jménem Zákazníka přiřazeným k jeho Účtu. Součástí Hodnocení je také Známka.

5. OBCHODNÍ PODMÍNKY ONLINE DROGERIE HEBE - dokument upravující pravidla fungování Online drogerie Hebe, který je k dispozici na Stránkách drogerie Hebe.

6. ONLINE DROGERIE HEBE NEBO STRÁNKA DROGERIE HEBE - Internetová platforma dostupná na adrese www.hebe.com/cz umožňující maloobchodní prodej produktů a elektronické poskytování služeb nabízených Správcem po internetu a provozovaná Správcem.

7. OSOBNÍ ÚDAJE - veškeré informace o identifikované nebo identifikovatelné fyzické osobě, přičemž identifikovatelnou fyzickou osobou je fyzická osoba, kterou lze přímo nebo nepřímo identifikovat odkazem na jeden či více zvláštních prvků fyzické, fyziologické, genetické, psychické, ekonomické, kulturní nebo společenské identity této fyzické osoby, včetně internetového identifikátoru, IP zařízení, údajů a informací shromažďovaných pomocí souborů cookie.

8. POVĚŘENEC PRO OCHRANU OSOBNÍCH ÚDAJŮ (DPO) - osoba, na kterou se subjekt údajů může obrátit ve všech záležitostech souvisejících se zpracováním Osobních údajů na Stránkách drogerie Hebe i v rámci Věrnostního programu My Hebe.

9. SPRÁVCE - subjekt, který určuje účely a prostředky zpracování Osobních údajů, tj. společnost Jeronimo Martins Drogerie i Farmacja sp. z o. o., se sídlem na adrese: ul. Żniwna 5, 62-025, Kostrzyn, Polsko, s doručovací adresou: ul. Józefa Piusa Dziekońskiego 1, 00-728 Varšava, Polsko, zapsaná do Obchodního rejstříku Polského státního soudního rejstříku vedeného Okresním soudem Poznań – Nowe Miasto a Wilda v Poznani, IX. obchodní oddíl Polského státního soudního rejstříku (KRS) pod číslem 0000322116, výše základního kapitálu 50 000 000 PLN, DIČ: 2090001776, IČO: REGON: 301002718.

10. SUBJEKT ÚDAJŮ - Zákazník, Účastník, návštěvník webových stránek Online drogerie Hebe případně jakákoliv další osoba, jejíž Osobní údaje Správce v rámci provozu Online drogerie Hebe zpracovává.

11. ÚČASTNÍK - účastník Věrnostního programu My Hebe.

12. ÚČET - prostor poskytovaný Zákazníkovi v rámci Online drogerie Hebe, vyžadující registraci v Online Drogerii Hebe, který Zákazníkovi umožňuje využívat další funkce Online drogerie Hebe, kde se mimo jiné shromažďují Zákazníkovy Osobní údaje a informace o jeho nákupech v rámci Online drogerie Hebe.

13. VĚRNOSTNÍ PROGRAM MY HEBE - program, jehož podmínky účasti jsou stanoveny v Pravidlech věrnostního programu My Hebe, která jsou k dispozici na Stránkách drogerie Hebe.

14. ZÁKAZNÍK - fyzická osoba navštěvující Stránky drogerie Hebe, jíž mohou být poskytovány elektronické služby jako součást Stránek drogerie Hebe, nebo která má v úmyslu uzavřít se Správcem kupní smlouvu za podmínek stanovených v Obchodních podmínkách online drogerie Hebe; Zákazníkem může být také Účastník.

15. ZÁSADY - tento dokument Zásady ochrany osobních údajů dostupný na Stránkách drogerie Hebe.

16. ZNÁMKA - bodová hodnota udělená Zákazníkem Produktům pomocí funkcí nástrojů webových stránek Online drogerie Hebe, prezentovaná v konkrétní grafické podobě, která je součástí Hodnocení.

II. OBECNÁ USTANOVENÍ

1. Kdo zodpovídá za Osobní údaje?

1.1. Správcem Osobních údajů Subjektů údajů je společnost Jeronimo Martins Drogerie i Farmacja sp. z o. o. se sídlem: ul. Żniwna 5, 62-025, Kostrzyn, Polsko, s doručovací adresou: ul. Józefa Piusa Dziekońskiego 1, 00-728 Varšava, Polsko, zapsaná do Obchodního rejstříku Polského státního soudního rejstříku vedeného Okresním soudem Poznań – Nowe Miasto a Wilda v Poznani, IX. obchodní oddíl Polského státního soudního rejstříku (KRS) pod číslem 0000322116, výše základního kapitálu 50 000 000 PLN, DIČ: 2090001776, IČO: REGON: 301002718.

2. Jak kontaktovat Správce?

2.1. Ve všech záležitostech týkajících se zpracování Osobních údajů v rámci Stránek drogerie Hebe, a Věrnostního programu My Hebe, včetně realizace práv Subjektů údajů ve vztahu k Osobním údajům, se Subjekt údajů může obrátit na Správce prostřednictvím e-mailu help.cz@hebe.com, telefonicky na telefonním čísle 800 022 534 nebo písemně na následující adrese Jeronimo Martins Drogerie i Farmacja sp. z o.o., ul. Dziekońskiego 1, 00-728 Varšava, Polsko.

3. Jak kontaktovat Pověřence pro ochranu osobních údajů?

3.1. Správce jmenoval Pověřence pro ochranu osobních údajů, kterého můžete kontaktovat e-mailem na adrese dpo.cr@jeronimo-martins.com , ve všech záležitostech týkajících se zpracování Osobních údajů.

III. ÚČEL A PRÁVNÍ ZÁKLAD ZPRACOVÁNÍ OSOBNÍCH ÚDAJŮ

Správce shromažďuje Osobní údaje Zákazníka v rámci jeho využívání Stránek drogerie Hebe, včetně informací o aktivitě Zákazníka na Stránkách drogerie Hebe, a to v rozsahu nezbytném pro poskytování jednotlivých služeb v rámci funkcí Stránek drogerie Hebe.

V rámci Věrnostního programu My Hebe shromažďuje Správce Osobní údaje Účastníka, který může být současně Zákazníkem.

Osobní údaje mohou být zpracovány pro účely uvedené v této kapitole níže. Poskytnutí Osobních údajů je dobrovolné, nicméně pro využívání některých funkcí Stránek drogerie Hebe, jako je např. elektronický kontaktní formulář či přidávání Hodnocení, se jejich poskytnutí může ukázat jako nezbytné a jejich neposkytnutí znemožní využívání příslušné služby.

Seznamte se s pravidly a účely zpracování Osobních údajů v rámci používání Stránek drogerie Hebe a Věrnostního programu My Hebe.

1. Používání Stránek drogerie Hebe

1.1 Osobní údaje Zákazníků Online drogerie Hebe (včetně těch, kteří v Online drogerii Hebe nemají Účet), které Zákazník Správci dobrovolně poskytne, zpracovává Správce dle následujícího:

Účel zpracování	Právní základ zpracování
• Poskytování elektronických služeb jako je: poskytování informačního newsletteru, kontaktního formuláře, dalších informačních služeb, jako je rozšířená nabídka produktů nebo možnost účastnit se soutěže v Online drogerii Hebe; • Vyřizování reklamací; • Komunikace se Zákazníkem prostřednictvím elektronického kontaktního formuláře.	Článek 6 odst. 1 písm. b) GDPR. Nezbytnost zpracování Osobních údajů pro splnění smlouvy.
• Komunikace se Zákazníkem, včetně komunikace související se službami poskytovanými prostřednictvím Stránek drogerie Hebe; • Stanovení, výkon nebo ochrana právních nároků Správce; • Provádění analýz a statistik aktivity Zákazníka na Stránkách drogerie Hebe, a to na základě chování Zákazníka v průběhu procházení Stránek drogerie Hebe, předchozích nákupů Zákazníka atd. (ne prostřednictvím souborů cookie); • Zajištění funkcí Stránek drogerie Hebe a jejich přizpůsobení potřebám Zákazníků; • Zajištění bezpečnosti, včetně IT bezpečnosti sítě a zařízení Správce a záložních bezpečnostních kopií, testů IT systémů. Podrobnosti o zpracování Osobních údajů Zákazníka uložených v systémových protokolech, jsou uvedeny v Zásadách používání souborů cookie; • Marketingové účely; informace o tom, jak se zpracovávají Osobní údaje Účastníka a Zákazníka pro marketingové účely, jsou uvedeny v článku III.5 Zásad níže.	Článek 6 odst. 1 písm. f) GDPR. Zpracování pro účely oprávněného zájmu Správce.

2. Nakupování v Online drogerii Hebe

Zákazník má možnost nakupovat v Online drogerii Hebe jako registrovaný Zákazník i jako neregistrovaný Zákazník (host).

2.1 Založení Účtu v Online drogerii Hebe

Za účelem registrace / založení Účtu v Online drogerii Hebe vyplní Zákazník online formulář dostupný na Stránkách drogerie Hebe. Pro založení a vedení Účtu v Online drogerii Hebe je povinné a nezbytné poskytnutí Osobních údajů Zákazníka, tedy jména, příjmení, e-mailové adresy, čísla mobilního telefonu a hesla. Poskytnutí nepovinných Osobních údajů, jako je datum narození, je dobrovolné, ale umožňuje Zákazníkům získat další výhody (např. využití narozeninové nabídky). Nepovinné Osobní údaje může Zákazník kdykoli odstranit podle pravidel uvedených v článku IV Zásad. Poskytnutí Osobních údajů je dobrovolné, nicméně je nutné k založení Účtu. Bez poskytnutí povinných Osobních údajů si nebude Zákazník moci zřídit Účet v Online drogerii Hebe a bez poskytnutí nepovinných Osobních údajů nebude moci využívat další výhody.

2.2 Zadání a provedení objednávky v Online drogerii Hebe

Při zadávání objednávky v Online drogerii Hebe poskytuje registrovaný a přihlášený Zákazník Osobní údaje označené jako povinné v rozsahu jména, příjmení, čísla mobilního telefonu a (v závislosti na výběru způsobu doručení) dodací adresy, neregistrovaný Zákazník (host) navíc uvede ještě e-mailovou adresu a číslo mobilního telefonu, jejichž uvedením je podmíněno poskytování služeb a realizace objednávky v rámci Online drogerie Hebe, přičemž nebudou-li tyto Osobní údaje uvedeny, nebude možné objednávku dokončit. Pokud chce Zákazník, aby mu byla vystavena faktura, uvede rovněž údaje o společnosti nebo o fyzické osobě podnikající, a to její název, sídlo a DIČ. Zákazník může také požádat o fakturu pro třetí osobu, přičemž podrobnosti můžete nalézt v článku V Zásad. Poskytnutí Osobních údajů je dobrovolné, nicméně pro vystavení faktury je nezbytné a nebudou-li tyto Osobní údaje poskytnuty, nebude možné fakturu vystavit.

2.3 Osobní údaje Zákazníků (včetně těch, kteří nemají Účet v Online drogerii Hebe) zpracovává Správce dle následovně:

Účel zpracování	Právní základ zpracování
• Plnění povinností zřízení, správy a provozu Účtu; • Realizace objednávky (v rozsahu povinných Osobních údajů); • Vyřizování reklamací; • Umožnění vrácení produktů zakoupených prostřednictvím Online drogerie Hebe; • Komunikace se Zákazníkem, tj. odpovídání na dotazy, zpracování nákupního procesu v rámci Online drogerie Hebe prostřednictvím různých komunikačních kanálů včetně elektronického kontaktního formuláře umístěného na webových Stránkách drogerie Hebe; • Poskytování doplňkových elektronických služeb, zejména možnosti Zákazníků vyjádřit Hodnocení, včetně udělení Známek.	Článek 6 odst. 1 písm. b) GDPR. Nezbytnost zpracování Osobních údajů pro splnění smlouvy.
• Umožnění čerpání dalších výhod Online drogerie Hebe v případě dobrovolného sdělení nepovinných Osobních údajů.	Článek 6 odst. 1 písm. a) GDPR. Zpracování na základě souhlasu.
• Splnění zákonných povinností Správce vyplývajících mimo jiné z daňových a účetních předpisů; • Vyřizování reklamací v rámci Online drogerie Hebe, zejména vyřizování vrácení zboží zakoupeného prostřednictvím Online drogerie Hebe.	Článek 6 odst. 1 písm. c) GDPR. Nezbytnost zpracování Osobních údajů pro splnění právní povinnosti (zejména ustanovení daňových předpisů a předpisů o účetnictví a o ochraně spotřebitele).
• Stanovení, výkon nebo ochrana právních nároků Správce; • Komunikace se Zákazníkem, včetně komunikace související se službami poskytovanými prostřednictvím Online drogerie Hebe; • Provádění poprodejních činností spočívajících v povzbuzování Zákazníka k udělování Hodnocení na Stránkách drogerie Hebe; • Analytické a statistické účely spočívající v provádění analýz a statistik aktivity v rámci Online drogerie Hebe, včetně analýzy toho, jak Zákazník využívá funkcí Účtu, a dotazy hlášené prostřednictvím Účtu; • Testování preferencí Zákazníků a posouzení kvality služeb a produktů nabízených v Kamenných obchodech Hebe a v Online drogerii Hebe nebo obvykle nabízených v drogeriích; • Nabízení obdobných produktů a služeb (přímý marketing), bližší informace jsou uvedeny v článku III.5 Zásad.	Článek 6 odst. 1 písm. f) GDPR. Zpracování pro účely oprávněného zájmu Správce.
• Drogerie Hebe může zpracovávat vaši e-mailovou adresu ve smyslu § 7 odst. 3 zákona č. 480/2004 Sb., o některých službách informační společnosti a změně některých zákonů (Zákon o službách informační společnosti), ve znění pozdějších předpisů, za účelem šíření obchodních sdělení týkajících se vlastních produktů a služeb (např. formou informačního bulletinu nebo newsletteru) v případě, že jste takováto sdělení neodmítli. Pokud s tímto zpracováním nesouhlasíte, informujte nás prostřednictvím kontaktních údajů uvedených výše v oddílu 2.1 a drogerie Hebe nebude vaše Osobní údaje pro tyto účely dále zpracovávat.	Článek 6 odst. 1 písm. f) GDPR. Zpracování pro účely oprávněného zájmu Správce.

3. Účast ve Věrnostním programu My Hebe

3.1. Pro registraci do Věrnostního programu My Hebe a vytvoření Karty My Hebe za podmínek stanovených v Pravidlech věrnostního programu My Hebe je nutné vyplnit registrační formulář. Založení Účtu v Online drogerii Hebe umožňuje zapojení do Věrnostního programu My Hebe. Účastník může být současně Zákazníkem. V rámci věrnostního programu jsou zpracovávány následující Osobní údaje Účastníka: jméno, příjmení, e-mailová adresa, číslo mobilního telefonu, heslo – údaje jsou získány vyplněním přihlášky umožňující zapojení do Věrnostního programu My Hebe.

3.2. Informace o provozu Věrnostního programu My Hebe naleznete v Pravidlech věrnostního programu Hebe. Poskytnutí nepovinných Osobních údajů jako data narození je dobrovolné, ale umožňuje Zákazníkům získat další výhody (např. využití narozeninové nabídky). Nepovinné Osobní údaje může Zákazník kdykoli odstranit podle pravidel uvedených v článku IV bod 1 písm. c) Zásad. Poskytnutí Osobních údajů je dobrovolné, nicméně je nutné k zapojení do Věrnostního programu My Hebe. Bez poskytnutí povinných Osobních údajů si nebude Zákazník moci zřídit Účet v Online drogerii Hebe a nebude se moci zapojit do Věrnostního programu My Hebe a bez poskytnutí nepovinných Osobních údajů nebude moci využívat další výhody.

Osobní údaje Účastníků zpracovává Správce následovně:

4. Oprávněné zájmy Správce

Správce je oprávněn zpracovávat Osobní údaje pro účely ochrany oprávněného zájmu Správce, kam se řadí především:

a. ochrana práv a právem chráněných zájmů Správce;

b. zlepšení, rozvoj a přizpůsobení obsahu a funkcí Stránek drogerie Hebe, nákupů v Online drogerii Hebe, Věrnostního programu My Hebe;

c. rozvíjení škály nabízených produktů, služeb, zlepšení služeb v drogeriích, přizpůsobení se Zákazníkovi a umožnění využívat při výběru produktu zkušeností ostatních Zákazníků;

d. zvýšení atraktivity nabízených produktů a podpora rozhodnutí o koupi produktu;

e. usnadnění a urychlení nákupního procesu a komunikace se Správcem;

f. zajištění správného a nepřetržitého fungování Stránek drogerie Hebe bez narušení důvěrnosti, integrity, dostupnosti, odolnosti systémů a služeb zpracování Osobních údajů;

g. optimalizace způsobu fungování Stránek drogerie Hebe;

h. prezentace nabídky šité na míru potřebám a zájmům Zákazníků a další aktivity ke zvýšení prodeje služeb a produktů Správce a jeho obchodních partnerů (v rámci Online drogerie Hebe), jakož i propagace a podpora image Správce, včetně Online drogerie Hebe a Věrnostního programu My Hebe.

5. Marketing

Zpracování Osobních údajů Správcem pro marketingové účely spočívá v provádění činností přímého marketingu, nabídky produktů a služeb, kontextové a behaviorální reklamy, zobrazení personalizovaných nabídek pro dospělé Zákazníky nebo Účastníky, elektronické zasílání newsletteru s informacemi o nabídkách nebo obsahujícího jiná obchodní sdělení.

5.1 Přímý marketing

5.1.1 Správce zpracovává Osobní údaje Zákazníků nebo Účastníků za účely přímého marketingu služeb a produktů nabízených v Online drogerii Hebe a v rámci Věrnostního programu My Hebe. Pro tyto účely může Správce využívat nástroje, díky kterým zajistí, aby Zákazníci dostávali nabídky podobných produktů a služeb, které Zákazník nakupuje/kterých využívá.

5.1.2 Právním základem zpracování Osobních údajů pro účely přímého marketingu Správce je oprávněný zájem (čl. 6 odst. 1 písm. f) GDPR) spočívající především v zasílání informací zejména o službách a produktech Správce, prezentaci nabídek přizpůsobených potřebám a zájmům Zákazníků nebo Účastníků a povzbuzování Zákazníků k udělení Hodnocení.

5.1.3 Zákazník nebo Účastník má právo vznést námitku proti zpracování Osobních údajů pro účely přímého marketingu, včetně prezentace personalizovaných nabídek v souladu s článkem 5.3 Zásad níže.

5.2 Reklama

5.2.1 Správce může Subjektům údajů předkládat reklamu, která není přizpůsobena jejich preferencím (kontextová reklama tj. reklama přizpůsobená obsahu webových stránek, na kterých se prezentuje) a může také přizpůsobit reklamu preferencím Zákazníka, mimo jiné na základě historie jeho nákupů (behaviorální reklama). V rámci behaviorální reklamy Správce zpracovává Osobní údaje Zákazníků včetně Osobních údajů shromážděných prostřednictvím souborů cookie. Zpracování Osobních údajů pak může zahrnovat prezentaci personalizovaných nabídek vytvořených na základě profilování, avšak pouze ve vztahu k dospělým Účastníkům nebo Zákazníkům, a to pouze na základě jejich souhlasu, v souladu se zásadami stanovenými v článku 5.3 Zásad.

5.2.2 Vzhledem k tomu, že v oblasti propagace a zobrazování reklamy může Správce spolupracovat s obchodními partnery, můžou být pro tyto účely využívány i soubory cookie třetích stran.

5.2.3 Použití Osobních údajů Zákazníků shromážděných prostřednictvím souborů cookie pro marketingové účely, zejména v oblasti propagace služeb a produktů obchodních partnerů, je založeno na souhlasu Zákazníka. Další informace o používání souborů cookie naleznete v Zásadách používání souborů cookie;

5.3 Personalizované nabídky

5.3.1 Za účelem provádění marketingových aktivit může Správce ve vztahu k dospělým Účastníkům nebo Zákazníkům používat nástroje k vytváření a předkládání personalizovaných nabídek zaměřených například na určité věkové nebo územně vymezené skupiny Účastníků nebo Zákazníků. Správce může k tomuto účelu použít údaje o historii nákupů v Online drogerii Hebe, aktivitě na Stránkách drogerie Hebe a v rámci Věrnostního programu My Hebe získané prostřednictvím souborů cookie nebo podobných technologií např. nástrojů společností Trade Doubler, Google Analytics, Facebook Pixel nebo jiných, které obsahují informace o prohlížení jiných webových stránek nebo aktivitě Účastníka nebo Zákazníka na sociálních sítích (další informace o souborech cookie naleznete v Zásadách používání souborů cookie). Zpracování Osobních údajů pro účely personalizovaných (profilovaných) nabídek je realizováno pouze na základě uděleného souhlasu dospělých Účastníků nebo Zákazníků; tento souhlas může být kdykoliv odvolán ve smyslu článku 5.4.3 a 5.4.4 Zásad.

5.3.2 Zpracování Osobních údajů dle článku 5.3.1 Zásad umožňuje Správci analyzovat chování určitých skupin Účastníků nebo Zákazníků využívajících služby Správce a vytvářet obsah, který lépe odpovídá jejich preferencím a zájmům, ale který významně neovlivňuje jejich volby (nemá na ně právní účinky). Tyto personalizované nabídky mohou být Zákazníkovi nebo Účastníkovi zobrazeny jak na Stránkách drogerie Hebe, tak na webových stránkách jiných subjektů.

5.4 Newsletter

5.4.1 Pokud Zákazník souhlasí s tím, že bude dostávat obchodní sdělení ve smyslu zákona č. 480/2004 Sb., o některých službách informační společnosti a o změně některých zákonů (Zákon o některých službách informační společnosti), ve znění pozdějších předpisů, zaškrtnutím příslušného zaškrtávacího políčka na Stránkách drogerie Hebe nebo jinak, Správce mu také bezplatně poskytne informační službu. Informační služba zahrnuje zasílání oznámení Online drogerie Hebe (včetně sociálních sítí Správce), zasílání obchodních informací týkajících se především produktů a služeb nabízených Správcem a obchodními partnery Správce v rámci Online drogerie Hebe, tj. např. subjekty z oblasti kosmetiky nebo potravinářského odvětví, nabízejících své produkty a služby ve spolupráci se Správcem. Informační služba bude zasílána elektronicky na uvedenou e-mailovou adresu a prostřednictvím SMS/MMS.

5.4.2 Udělení souhlasu podle článku 5.4.1 Zásad není podmínkou pro používání Stránek drogerie Hebe nebo účasti ve Věrnostním programu My Hebe. Neposkytne-li Zákazník nebo Účastník tento souhlas, neznamená to, že mu nemohou být předávány informace týkající se produktů a služeb nabízených Správcem a obchodními partnery Správce, oznámení o nabídkách, informace o událostech v Drogeriích Hebe a další informace týkající se propagačních kampaní při využití jiných komunikačních kanálů.

5.4.3 Souhlas se zasíláním obchodních sdělení elektronickými prostředky lze kdykoli odvolat jedním z následujících způsobů:

a. prostřednictvím kontaktního formuláře na Stránkách drogerie Hebe v záložce Zákaznické oddělení (kontakt);

b. prostřednictvím kontaktního formuláře na Stránkách drogerie Hebe po přihlášení k Účtu Zákazníka na kartě Můj Účet / Moje práva;

c. e-mailem na help.cz@hebe.com;

d. písemně na adresu Správce, společnosti Jeronimo Martins Drogerie i Farmacja sp. z o.o., ul. Dziekońskiego 1, 00-728 Varšava, Polsko;

e. telefonicky na telefonním čísle 800 022 534.

5.4.4 Odvolání souhlasu nemá vliv na zákonnost zpracování Osobních údajů před jeho odvoláním.

IV. JAKÁ MÁTE PRÁVA VE VZTAHU K OSOBNÍM ÚDAJŮM?

1. Subjekt údajů, má v souvislosti se zpracováním Osobních údajů práva, která vyplývají z právních předpisů a která může kdykoliv uplatnit. Patří sem:

a. Právo na přístup k Osobním údajům: chcete-li vědět, zda Správce zpracovává Osobní údaje, máte právo získat informace o tom, jestli jsou vaše Osobní údaje zpracovávány, a pokud tomu tak je, máte také právo k vašim Osobním údajům získat přístup. V případě nedůvodných, nepřiměřených nebo opakovaných žádostí bude Správce oprávněn za vypořádání žádosti účtovat přiměřený poplatek nebo žádost odmítnout (uvedené platí obdobně pro uplatňování níže uvedených práv).

b. Právo na opravu nepřesných a doplnění neúplných Osobních údajů: v případě, že máte pocit, že o vás Správce zpracovává nepřesné či neúplné Osobní údaje, máte právo požadovat jejich opravu a doplnění. Správce provede opravu či doplnění údajů bez zbytečného odkladu, vždy však s ohledem na technické možnosti.

c. Právo na výmaz: v případě, že požádáte o výmaz, Správce vaše Osobní údaje vymaže, pokud (i) již nejsou potřebné pro účely, pro které byly shromažďovány nebo jinak zpracovávány, (ii) zpracování je protiprávní, (iii) vznesete námitky proti zpracování a neexistují žádné převažující oprávněné důvody pro zpracování vašich Osobních údajů, (iv) výmaz Správci ukládá zákonná povinnost, nebo (v) odvoláte souhlas se zpracováním Osobních údajů.

d. Právo na omezení zpracování Osobních údajů: v případě, že požádáte o omezení zpracování, Správce Osobní údaje znepřístupní, dočasně odstraní či uchová anebo provede jiné úkony zpracování, které budou potřebné pro řádný výkon uplatněného práva;

e. Právo na přenositelnost Osobních údajů: v případě, že chcete, aby Správce Osobní údaje předal třetí straně, můžete využít svého práva na přenositelnost údajů. V případě, že by výkonem tohoto práva byla nepříznivě dotčena práva a svobody jiných osob, Správce nebude moci vaší žádosti vyhovět.

f. Právo vznést námitku: právo vznést námitku proti zpracování Osobních údajů, které jsou zpracovávány pro účely splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci nebo pro účely ochrany oprávněných zájmů Správce. V případě, že Správce neprokáže, že existuje závažný oprávněný důvod pro zpracování, který převažuje nad zájmem nebo právy a svobodami Zákazníka, zpracování na základě námitky ukončí bez zbytečného odkladu.

g. Právo obrátit se se stížností na dozorový úřad, kterým je v České republice Úřad pro ochranu osobních údajů ( www.uoou.cz).

2. Další informace v souvislosti se zpracováním Osobních údajů poskytuje Pověřenec pro ochranu osobních údajů. Práva může subjekt údajů uplatnit následujícími způsoby:

a. prostřednictvím kontaktního formuláře na webové stránce www.hebe.com/cz v záložce Zákaznické oddělení (kontakt);

b. prostřednictvím kontaktního formuláře na webových stránkách www.hebe.com/cz po přihlášení k Zákaznickému Účtu, v záložce Můj Účet / Moje práva;

c. e-mailem na adresu help.cz@hebe.com;

d. písemně na adresu Správce, společnosti Jeronimo Martins Drogerie i Farmacja sp. z o.o., ul. Dziekońskiego 1, 00-728 Varšava, Polsko;

e. telefonicky na telefonním čísle 800 022 534.

V zájmu efektivního vyřízení žádosti by žádost o uplatnění práva subjektu údajů měla ideálně obsahovat následující informace:

a. jaké právo chce subjekt údajů uplatnit;

b. která služba souvisí se zpracováním Osobních údajů (např. zadání objednávky v Online drogerii Hebe);

c. jakých účelů zpracování se uplatněné právo týká (je-li Subjektu údajů tato informace známá).

3. Správce si vyhrazuje právo požádat Subjekt údajů o doplňující informace, pokud není schopen určit obsah žádosti nebo dostatečně identifikovat osobu podávající žádost.

4. Správce vyřídí žádost do jednoho měsíce od jejího přijetí a bude-li potřeba lhůtu prodloužit, informuje subjekt údajů o důvodu prodloužení termínu vyřízení žádosti. Správce může lhůtu pro vyřízení žádosti prodloužit až o dva měsíce (např. z důvodu složitosti vypořádání žádosti). Správce odpoví na žádost způsobem, kterým žádost přijal (např. na ‑e-mailovou adresu, ze které byla žádost zaslána) nepožádá-li Subjekt údajů o odpověď jinou formou.

V. ODKUD OSOBNÍ ÚDAJE ZÍSKÁVÁME?

1. Správce získává Osobní údaje přímo od Zákazníka Online drogerie Hebe nebo od Účastníka.

2. Správce může také shromažďovat Osobní údaje třetích stran, které mu byly poskytnuty Zákazníkem. Zákazník poskytující údaje třetích stran na Stránkách drogerie Hebe tak může učinit za předpokladu, že je k tomu třetí stranou oprávněn, že nebudou porušena práva těchto třetích stran a že nedojde k porušení příslušných právních předpisů.

3. Ke shromažďování Osobních údajů třetích stran prostřednictvím Zákazníka dochází:

a. zadá-li Zákazník objednávku v Online drogerii Hebe s doručením jinému adresátovi a jako dodací údaje uvede jeho jméno, příjmení, číslo mobilního telefonu a doručovací adresu;

b. Zákazník vybere možnost „Faktura - daňový doklad“ a uvede údaje o jiné osobě samostatně výdělečně činné nebo jiných fyzických osobách vykonávajících hospodářskou činnost formou společnosti bez právní subjektivity;

c. Zákazník během postupu vrácení produktu požadoval vrácení prostředků na bankovní účet třetí strany. V tomto případě Správce shromažďuje Osobní údaje zahrnující jméno, příjmení a číslo bankovního Účtu.

VI. JAK DLOUHO OSOBNÍ ÚDAJE UCHOVÁVÁME?

1. Správce uchovává Osobní údaje v přiměřeném rozsahu po dobu nezbytnou k naplnění účelů, pro které byly Osobní údaje shromážděny, případně po dobu danou platnými právními předpisy. Doba zpracování Osobních údajů závisí na typu poskytované služby a účelu zpracování.

2. Osobní údaje jsou zpracovávány:

a. po dobu poskytování služby, včetně služeb poskytovaných elektronicky, zřízení Účtu v Online drogerii Hebe (údaje budou zpracovávány až do případného zrušení Účtu);

b. po dobu realizace objednávky v rámci Online drogerie Hebe. Z důvodu splnění daňových a účetních předpisů bude tyto Osobní údaje Správce zpracovávat po dobu 10 let od data realizace jednotlivých smluv;

c. po dobu účasti ve Věrnostním programu My Hebe;

d. do doby, než vyprší práva na případnou obhajobu právních nároků v případě Osobních údajů potřebných k vyřízení reklamace;

e. po dobu 30 dnů od ukončení kontaktu v případě Osobních údajů zpracovávaných za účelem realizace kontaktu se Správcem;

f. po dobu udělení souhlasu (doba souhlasu je specifikována v rámci nástroje, kterým je souhlas udělován) nebo do odvolání souhlasu v případě Osobních údajů zpracovávaných na základě souhlasu subjektu údajů;

g. do podání námitky proti zpracování Osobních údajů v případech, kdy právním základem pro zpracování Osobních údajů je oprávněný zájem Správce, včetně námitky proti zpracování Osobních údajů pro účely přímého marketingu.

3. V souvislosti s konkrétním případem může být doba zpracování Osobních údajů prodloužena, pokud jsou Osobní údaje potřebné k určení, výkonu a obhajobě právních nároků, s přihlédnutím k promlčecím lhůtám pro příslušné nároky (např. na základě kupní smlouvy, kvůli účasti ve Věrnostním programu My Hebe). Osobní údaje jsou po uplynutí doby uchovávání zlikvidovány.

VII. KOMU OSOBNÍ ÚDAJE POSKYTUJEME?

1. Osobní údaje jsou zpřístupněny pouze oprávněným zaměstnancům Správce, či jednotlivým smluvně zajištěným zpracovatelům a správcům osobních údajů, a to pouze v míře nezbytně nutné pro naplnění jednotlivých účelů zpracování. Takovými příjemci jsou zejména:

a. poskytovatelé služeb (např. PR / marketingové agentury, poskytovatelé IT služeb, operátoři platebních služeb, banky, kurýrní společnosti v souvislosti s realizací objednávky, telekomunikační operátoři);

b. obchodní partneři Online drogerie Hebe;

c. příslušné státní orgány.

2. Bližší informace či aktuální seznam všech příjemců poskytne Správce na vyžádání.

3. Pokud k tomu poskytnete svůj souhlas, Správce může sdílet Osobní údaje s místními provozovateli drogerie Hebe. Pro provozní a administrativní účely je Správce v souladu s recitálem č. 48 GDPR dále oprávněn sdílet Osobní údaje v rámci skupiny podniků, mezi které Správce patří. Takovéto sdílení představuje oprávněný zájem Správce.

VIII. PŘEDÁVÁNÍ OSOBNÍCH ÚDAJŮ MIMO EHP

1. Správce ukládá Osobní údaje Účastníků nebo Zákazníků v rámci EHP. Vzhledem k adrese sídla některých dodavatelů může Správce údaje Účastníka nebo Zákazníka využívajícího Stránky drogerie Hebe nebo naše služby předávat mimo prostor EHP do zemí, jejichž právní předpisy o ochraně osobních údajů se liší od právních předpisů v rámci EHP a které neposkytují odpovídající úroveň ochrany. To se týká např. subdodavatele z USA, jehož služby Správce využívá ke správě a zveřejňování Hodnocení Zákazníků a Účastníků týkajících se produktů prodávaných prostřednictvím Stránek drogerie Hebe.

2. Správce je oprávněn předat Osobní údaje Subjektů údajů příjemcům se sídlem ve třetích zemích, kteří nezajišťují odpovídající úroveň ochrany osobních údajů, pouze v případě, že přijme odpovídající dodatečná bezpečnostní opatření, např. zajistí uzavření standardních smluvních doložek v aktuálním znění Evropské komise.

IX. ZABEZPEČENÍ OSOBNÍCH ÚDAJŮ

1. Osobní údaje jsou chráněny před jejich zpřístupněním neoprávněným osobám, před neoprávněným zveřejněním nebo ztrátou či neoprávněnou změnou, a to za použití odpovídajících bezpečnostních, technických a organizačních opatření.

2. Třetí strany zpracovávající Osobní údaje dle pokynů Správce mohou takové údaje zpracovávat pouze tehdy, pokud se smluvně zavážou dodržovat konkrétní bezpečnostní opatření a zajistit důvěrnost Osobních údajů.

X. ZMĚNY ZÁSAD

1. Správce si vyhrazuje právo Zásady kdykoliv jednostranně pozměnit nebo aktualizovat. Správce informuje Zákazníky a Účastníky o změnách Zásad umístěním nového znění Zásad na Stránky drogerie Hebe. Pokud ze Zásad nevyplývá nic jiného, vstoupí změny Zásad v platnost čtrnáctý (14.) den od jejich zveřejnění. Správce proto doporučuje, abyste pravidelně navštěvovali Stránky drogerie Hebe, kde naleznete aktuální znění Zásad.

XI. ZÁVĚREČNÁ USTANOVENÍ

1. Zásady vstupují v platnost dnem jejich vyhlášení.

2. Aktuální Zásady jsou k dispozici na Stránkách drogerie Hebe.

3. Webové stránky Drogerie Hebe mohou obsahovat odkazy, které uživatele přesměrují na webové stránky třetích stran. Spojení s webovou stránkou třetí strany nastane, pouze pokud uživatel aktivně klikne na příslušné tlačítko. Zpracování Osobních údajů a nastavení souborů cookie na webových stránkách třetích stran se řídí pravidly danými těmito třetími stranami, na která nemá Správce vliv. Používá-li uživatel odkazy na webové stránky třetích stran, Správce doporučuje seznámit se s jejich zásadami ochrany osobních údajů a používání souborů cookie.

V Praze, 30.11.2022

PRIVACY POLICY

The Privacy Policy has been prepared by Jeronimo Martins Drogerie i Farmacja Sp. z o. o. with its registered seat in str. Żniwna 5, 62-025 Kostrzyn, Poland (hereinafter “Hebe” or the “ Controller”) and is addressed to data subjects using the functionality of the Hebe Drugstore Website available at www.hebe.com/cz and My Hebe Loyalty Programme Participants.

The protection of privacy is key for Hebe. The Controller has appointed a Data Protection Officer and makes every effort to duly secure Personal Data and clearly inform the data subjects of its processing. The Controller undertakes to process and protect Personal Data in accordance with this Policy and applicable legal regulations, in particular, in accordance with the General Data Protection Regulation (EU) 2016/679 and Act No. 110/2019 Sb., on the processing of personal data.

The Policy contains information about the processing of Personal Data by the Controller on the Hebe Drugstore Website and within My Hebe Loyalty Programme.

TABLE OF CONTENTS

I. DEFINITIONS

II. GENERAL PROVISIONS

1. Who is responsible for the processing of Personal Data?

2. How to contact the Controller?

3. How to contact the Data Protection Officer?

III. PURPOSE AND LEGAL BASIS FOR PERSONAL DATA PROCESSING

1. Use of the Hebe Drugstore Website

2. Shopping at the Hebe Online Drugstore

3. Participation in My Hebe Loyalty Programme

4. Legitimate Interests of the Controller

5. Marketing

IV. WHAT RIGHTS DO YOU HAVE IN RELATION TO PERSONAL DATA?

V. WHERE DO WE GET PERSONAL DATA FROM?

VI. HOW LONG DO WE RETAIN PERSONAL DATA?

VII. WHO DO WE PROVIDE PERSONAL DATA TO?

VIII. TRANSFER OF PERSONAL DATA OUTSIDE THE EEA

IX. SECURITY OF PERSONAL DATA

X. CHANGES TO THE POLICY

XI. FINAL PROVISIONS

I. DEFINITIONS

1. EEA – European Economic Area (i.e. the countries of the European Union, as well as Norway, Liechtenstein and Iceland).

2. GDPR – Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation).

3. MY HEBE CARD – an electronic card confirming the Customer’s participation in My Hebe Loyalty Programme.

4. RATING – a personal opinion, comment or other statement by the Customer containing a subjective evaluation of a product by the Customer bearing a nickname or (in the absence of a nickname) in the Customer’s name associated with the Customer’s Account. The Rating also includes a Mark.

5. TERMS AND CONDITIONS OF THE HEBE ONLINE DRUGSTORE – a document regulating the rules of operation of the Hebe Online Drugstore, which is available on the Hebe Drugstore Website.

6. HEBE ONLINE DRUGSTORE OR HEBE DRUGSTORE WEBSITE – an internet platform available at www.hebe.com/cz that enables the retail sale of products and electronic delivery of services offered by the Controller over the internet, operated by the Controller.

7. PERSONAL DATA – all information about an identified or identifiable natural person, where an identifiable natural person is a natural person who can be identified, directly or indirectly, by reference to one or more specific elements of that natural person’s physical, physiological, genetic, psychological, economic, cultural or social identity, including an internet identifier, device IP, data and information collected by cookies.

8. DATA PROTECTION OFFICER (DPO) – the person whom the data subject may contact in all matters related to the processing of Personal Data on the Hebe Drugstore Website and within My Hebe Loyalty Programme.

9. CONTROLLER – the entity that determines the purposes and means of processing Personal Data, i.e. Jeronimo Martins Drogerie i Farmacja sp. z o. o., with the registered office at: ul. Żniwna 5, 62-025, Kostrzyn, Poland, with the mailing address at: ul. Józefa Piusa Dziekońskiego 1, 00-728 Warsaw, Poland, entered in the Commercial Register of the Polish National Court Register maintained by the District Court Poznań - Nowe Miasto and Wilda in Poznań, 9th Commercial Division of the National Court Register under KRS number 0000322116, with the registered capital of PLN 50,000,000, VAT ID No.: 2090001776, ID No. (REGON): 301002718.

10. DATA SUBJECT – Customer, Participant, a visitor of the Hebe Online Drugstore website or any other person whose Personal Data is processed by the Controller in the operation of Hebe Online Drugstore.

11. PARTICIPANT – a participant of My Hebe Loyalty Programme.

12. ACCOUNT – a space provided to the Customer within the Hebe Online Drugstore, requiring registration in the Hebe Online Drugstore, which allows the Customer to use other functions of the Hebe Online Drugstore, where, among other things, the Customer’s Personal Data and information about his/her purchases within the Hebe Online Drugstore is collected.

13. MY HEBE LOYALTY PROGRAMME – a programme the conditions of participation in which are set out in My Hebe Loyalty Programme Rules, available on the Hebe Drugstore Website.

14. CUSTOMER – a natural person visiting the Hebe Drugstore Website, to whom electronic services may be provided as part of the Hebe Drugstore Website, or who intends to enter into a purchase agreement with the Controller under the provisions set out in the Terms and Conditions of the Hebe Online Drugstore; a Customer may also be a Participant.

15. POLICY – this Privacy Policy available on the Hebe Drugstore Website.

16. MARK – the point value awarded by the Customer to the Products using the functionalities of the tools of the Hebe Online Drugstore Website, presented in a specific graphic form, which is part of the Rating.

II. GENERAL PROVISIONS

1. Who is responsible for Personal Data?

1.1. The Controller of the Personal Data of the Data Subjects is Jeronimo Martins Drogerie i Farmacja sp. z o. o., with the registered office at: ul. Żniwna 5, 62-025, Kostrzyn, Poland, with the mailing address at: ul. Józefa Piusa Dziekońskiego 1, 00-728 Warsaw, Poland, entered in the Commercial Register of the Polish National Court Register maintained by the District Court Poznań - Nowe Miasto and Wilda in Poznań, 9th Commercial Division of the National Court Register under KRS number 0000322116, with the registered capital of PLN 50,000,000, VAT ID No.: 2090001776, ID No. (REGON): 301002718.

2. How to contact the Controller?

2.1. In all matters relating to the processing of Personal Data within the Hebe Drugstore Website and My Hebe Loyalty Programme, including the exercise of rights of the Data Subjects in relation to Personal Data, Data Subjects may contact the Controller by email at help.cz@hebe.com or by telephone at 800 022 534 or in writing at the following address Jeronimo Martins Drogerie i Farmacja sp. z o.o., str. Dziekońskiego 1, 00-728 Warsaw, Poland.

3. How to contact the Data Protection Officer?

3.1. The Controller has appointed a Data Protection Officer, who can be contacted by email at dpo.polska@jeronimo-martins.com with regard to all matters concerning the processing of Personal Data.

III. PURPOSE AND LEGAL BASIS FOR PERSONAL DATA PROCESSING

The Controller collects the Customer’s Personal Data in the context of the Customer’s use of the Hebe Drugstore Website to the extent necessary to provide the individual services as a part of the features of the Hebe Drugstore Website, including information about the Customer’s activity on the Hebe Drugstore Website.

As a part of My Hebe Loyalty Programme, the Controller collects the Personal Data of the Participant, who may also be a Customer.

Personal Data may be processed for the purposes specified in this section below. The provision of Personal Data is voluntary; however, for the use of certain features of the Hebe Drugstore Website, such as the electronic contact form or the posting of Ratings, the provision of Personal Data may prove necessary, and failure to provide it will prevent the use of the relevant service.

Please familiarise yourself with the rules and purposes of processing Personal Data in the context of using the Hebe Drugstore Website and My Hebe Loyalty Programme.

1. Use of the Hebe Drugstore Website

1.1 The Personal Data of the Customers of Hebe Online Drugstore (including those who do not have an Account with Hebe Online Drugstore), which the Customer voluntarily provides to the Controller, will be processed by the Controller as follows:

Purpose of processing	Legal basis for processing
• To provide electronic services such as: access to the newsletter, contact form, other information services such as a broader selection of products or an option to participate in the Hebe Online Drugstore competition; • To handle complaints; • To communicate with the Customer via an electronic contact form.	Article 6(1)b) of the GDPR. Necessity of the processing of Personal Data for the contract performance.
• To communicate with the Customer, including the communication in connection with the services provided through the Hebe Drugstore Website; • To establish, exercise or protect the legal claims of the Controller; • To perform analyses and make statistics of the Customer’s activity on the Hebe Drugstore Website and on the basis of the Customer’s behaviour during browsing the Hebe Drugstore Website and the Customer’s previous purchases, etc. (not via cookies); • To ensure the functionality of the Hebe Drugstore Website and its customisation to the needs of the Customers; • To ensure security, including IT security of the Controller’s network and equipment, including backups and IT system tests. The details on the processing of the Customer Personal Data stored in system logs are set out in the Cookies Policy; • For marketing purposes; for information on how Participant and Customer Personal Data is processed for marketing purposes, see Article III.5 of the Policy below.	Article 6(1)f) of the GDPR. Processing for the purposes of the legitimate interest of the Controller.

2. Shopping at the Hebe Online Drugstore

The Customer has the opportunity to shop at the Hebe Online Drugstore as a registered Customer or as a non-registered Customer (guest).

2.1 Opening an Account at the Hebe Online Drugstore

For the purpose of registration (creating an Account at the Hebe Online Drugstore), the Customer shall fill in the online form available on the Hebe Drugstore Website. For the creation and maintenance of an Account at the Hebe Online Drugstore, the provision of Personal Data by the Customer in the scope of their first name, surname, email address, mobile phone number and password is mandatory and necessary. The provision of optional Personal Data, such as date of birth, is voluntary but allows Customers to receive additional benefits (e.g. to take advantage of birthday offers). The Customer may remove the optional Personal Data at any time, according to the rules set out in Article IV of the Policy. The provision of Personal Data is voluntary, but is nevertheless necessary to open an Account. Without providing the mandatory Personal Data, the Customer will not be able to set up an Account at the Hebe Online Drugstore and will not be able to enjoy other benefits without providing the optional Personal Data.

2.2 Placing and completing an order at the Hebe Online Drugstore

When placing an order at the Hebe Online Drugstore, the registered and logged-in Customer provides Personal Data marked as mandatory in the scope of first name, surname, mobile phone number and (depending on the choice of delivery method) delivery address, and the non-registered Customer (guest) also provides an email address and mobile phone number, the indication of which is a condition for the provision of services and order execution within the Hebe Online Drugstore, and if this Personal Data is not provided, it will not be possible to complete the order. If the Customer wishes to be issued an invoice, he/she shall also provide information about the company or natural person – entrepreneur, i.e. its name, registered office and tax identification number. The Customer may also request an invoice for a third party, details of which can be found in Article V of the Policy. The provision of Personal Data is voluntary, but necessary for the issuance of an invoice, and if the Personal Data is not provided, it will not be possible to issue an invoice.

2.3 The Personal Data of Customers (including those who do not have a Hebe Online Drugstore Account) is processed by the Controller as follows:

Purpose of processing	Legal basis for processing
• To fulfil the obligations with regard to establishing, managing and operating the Account; • To execute an order (within the scope of the mandatory Personal Data); • To handle complaints; • To return products purchased through the Hebe Online Drugstore; • To communicate with the Customer, i.e., answering questions, processing purchases within the Hebe Online Drugstore through various communication channels, including the electronic contact form located on the Hebe Drugstore Website; • To provide additional electronic services, in particular, the option for the Customer to give a Rating, including Marks.	Article 6(1)b) of the GDPR. Necessity of the processing of Personal Data for the contract performance.
• To allow using additional benefits of the Hebe Online Drugstore in the case of voluntary disclosure of optional Personal Data.	Article 6(1)a) of the GDPR. Processing based on consent.
• To fulfil the statutory obligations of the Controller arising from, inter alia, tax and accounting regulations; • To handle complaints within the Hebe Online Drugstore, in particular, the handling of returns of goods purchased through the Hebe Online Drugstore.	Article 6(1)c) of the GDPR. Necessity of the processing of Personal Data to comply with a legal obligation (in particular the provisions of tax, accounting and consumer protection regulations).
• To establish, exercise or protect the legal claims of the Controller; • To communicate with the Customer, including the communication in connection with the services provided through the Hebe Online Drugstore; • To carry out after-sales activities consisting in encouraging the Customer to give Ratings on the Hebe Drugstore Website; • For analytical and statistical purposes consisting of conducting analyses and statistics of activity within the Hebe Online Drugstore, including analysis of how the Customer uses the Account functionality, and queries submitted through the Account; • To test Customer preferences and assess the quality of services and products offered through Hebe Stores and Hebe Online Drugstore or usually offered in drugstores; • To offer similar products and services (direct marketing); see Article III.5 of the Policy for more information.	Article 6(1)f) of the GDPR. Processing for the purposes of the legitimate interest of the Controller.
• Hebe may process your e-mail address within the meaning of Section 7(3) of Act no. 480/2004 Sb. concerning certain information society services and amending certain laws (the Information Society Service Act), as amended, for the purpose of distribution of commercial communications relating to their own products and services (e.g. in the form of an informational bulletin or newsletter) in case Customer did not decline such communications. If you do not agree to this processing, please inform us via the contacts listed in section 2.1 above and Hebe will not process your personal data for these purposes.	Article 6(1)f) of the GDPR. Processing for the purposes of the legitimate interest of the Controller.

3. Participation in My Hebe Loyalty Programme

3.1. In order to register for My Hebe Loyalty Programme and to create a My Hebe Card under the terms and conditions set out in My Hebe Loyalty Programme Rules, it is necessary to complete the registration form. Creating an Account at the Hebe Online Drugstore allows you to join My Hebe Loyalty Programme. A Participant may also be a Customer. The following Personal Data of the Participant is processed as a part of the loyalty programme: first name, surname, email address, mobile phone number, password – the information is gathered based on an application form filled out in order to join My Hebe Loyalty Programme.

3.2. For more information on My Hebe Loyalty Programme, see My Hebe Loyalty Programme Rules. The provision of optional Personal Data, such as date of birth, is voluntary, but allows Customers to receive additional benefits (e.g. to take advantage of birthday offers). The Customer may remove the optional Personal Data at any time, according to the rules set out in Article IV(1)c) of the Policy. The provision of Personal Data is voluntary, but it is necessary to join My Hebe Loyalty Programme. If the Customer does not provide the mandatory Personal Data, he/she will not be able to set up an Account at the Hebe Online Drugstore, join My Hebe Loyalty Programme and enjoy other benefits without providing the optional Personal Data.

The Controller processes the Personal Data of the Participants as follows:

4. Legitimate Interests of the Controller

The Controller is entitled to process Personal Data for the purpose of protecting the Controller’s legitimate interests, including:

a. protection of the rights and legally protected interests of the Controller;

b. improvement, development and personalisation of the content and features of the Hebe Drugstore Website, purchases at the Hebe Online Drugstore, and My Hebe Loyalty Programme;

c. developing the range of products and services offered, improving the services in drugstores, adapting to the Customer and enabling them to use the experience of other Customers when choosing a product;

d. increasing the attractiveness of the products offered and supporting the decision to buy a specific product;

e. facilitating and streamlining the purchasing process and communication with the Controller;

f. ensuring the proper and uninterrupted operation of the Hebe Drugstore Website without compromising the confidentiality, integrity, availability and resilience of the systems and services of Personal Data processing;

g. optimisation of the functions of the Hebe Drugstore Website;

h. presenting a personalised offer to meet the needs and interests of Customers and other activities to increase the sales of services and products and of the Controller and its business partners (on Hebe Online Drugstore), as well as promoting and supporting the image of the Controller, including the Hebe Online Drugstore and My Hebe Loyalty Programme.

5. Marketing

The processing of Personal Data by the Controller for marketing purposes consists in carrying out direct marketing activities, offer of products and services, contextual and behavioural advertising, displaying personalised offers for adult Customers or Participants, sending newsletters with information on offers or containing other commercial communications.

5.1 Direct marketing

5.1.1 The Controller processes the Personal Data of the Customers or Participants for the purposes of direct marketing of services and products offered on the Hebe Online Drugstore and within My Hebe Loyalty Programme. For these purposes, the Controller may utilise tools to ensure that the Customer receives offers of similar products and services that the Customer buys/uses.

5.1.2 The legal basis for the processing of Personal Data for the purposes of direct marketing of the Controller is a legitimate interest (Article 6(1)f) of the GDPR) consisting in sending information, in particular, on services and products of the Controller, presenting offers personalised to the needs and interests of Customers or Participants, the possibility to give Ratings and encouraging Customers to give Ratings.

5.1.3 The Customer or the Participant has the right to object to the processing of Personal Data for the purposes of direct marketing, including the presentation of personalised offers, in accordance with Article 5.3 of the Policy below.

5.2 Advertising

5.2.1 The Controller may present the Data Subjects with advertising that is not personalised to their preferences (contextual advertising, i.e. advertising personalised to the content of the website on which it is presented) and may also personalise advertising to the Customer’s preferences based on, among other things, the Customer’s purchase history (behavioural advertising). As part of behavioural advertising, the Controller processes Personal Data of Customers, including Personal Data collected through cookies. The processing of Personal Data may then include the presentation of personalised offers created on the basis of profiling, but only in relation to adult Participants or Customers and only on the basis of their consent, in accordance with the principles set out in Article 5.3 of the Policy.

5.2.2 As the Controller may work with business partners in order to promote and display advertising, third-party cookies may also be utilised for such purposes.

5.2.3 The use of Customer Personal Data collected through cookies for marketing purposes, in particular, for the promotion of services and products of business partners, is based on the Customer’s consent. For more information on the use of cookies, see the Cookies Policy.

5.3 Personalised offers

5.3.1 For the purpose of conducting marketing activities, the Controller may use tools to create and present personalised offers to adult Participants or Customers targeted, for example, to certain age or geographically defined groups of Participants or Customers. For this purpose, the Controller may use data on the purchase history at the Hebe Online Drugstore, activity on the Hebe Drugstore Website and in My Hebe Loyalty Programme, obtained through cookies or similar technologies, such as the tools of Trade Doubler, Google Analytics, Facebook Pixel or others, which contain information about browsing on other websites or the Participant’s or Customer’s activity on social networks (for more information about cookies, see the Cookies Policy). The processing of Personal Data for the purpose of personalised (profiled) offers is carried out only on the basis of a consent of adult Participants or Customers; such consent may be revoked at any time within the meaning of Articles 5.4.3 and 5.4.4 of the Policy.

5.3.2 The processing of Personal Data pursuant to Article 5.3.1 of the Policy allows the Controller to analyse the behaviour of certain groups of Participants or Customers using the services of the Controller and to create content that better matches their preferences and interests, but does not significantly affect their choices (has no legal effects on them). Such personalised offers may be displayed to the Customer or Participant both on the Hebe Drugstore Website and on other third-party websites.

5.4 Newsletter

5.4.1 If the Customer agrees to receive commercial communications within the meaning of Act No. 480/2004 Sb., on certain information society services and on amendments to certain acts (Act on Certain Information Society Services), as amended, by ticking the relevant box on the Hebe Drugstore Website or otherwise, the Controller will provide the information service to the Customer free of charge as well. The information service includes sending of notifications of the Hebe Online Drugstore (including the Controller’s social networks), sending of business information related primarily to the products and services offered by the Controller and the Controller’s business partners on the Hebe Online Drugstore, i.e. entities from the cosmetics or food industry offering their products and services in cooperation with the Controller. The information service will be provided electronically to the email address provided via SMS/MMS.

5.4.2 Granting of such consent pursuant to Article 5.4.1 of the Policy is not a condition for the use of the Hebe Drugstore Website or participation in My Hebe Loyalty Programme. If the Customer or the Participant does not provide such consent, this does not mean that information concerning products and services offered by the Controller and the Controller’s business partners, notices of offers, information about events at Hebe Drugstores and other information concerning promotional campaigns, using other communication channels cannot be forwarded to them.

5.4.3 Consent to receive commercial communications by electronic means may be revoked at any time in one of the following ways:

a. via the contact form on the Hebe Drugstore Website under the Customer Service (Contact) tab;

b. via the contact form on the Hebe Drugstore Website after logging in to the Customer’s Account on the My Account / My Rights tab;

c. by email help.cz@hebe.com;

d. in writing to the Controller’s address at Jeronimo Martins Drogerie i Farmacja sp. z o.o., str. Dziekońskiego 1, 00-728 Warsaw, Poland;

e. by phone at 800 022 534.

5.4.4 Revoking consent does not affect the lawfulness of the processing of Personal Data prior to the revocation.

IV. WHAT RIGHTS DO YOU HAVE IN RELATION TO PERSONAL DATA?

1. The Data Subject has the rights in connection with the processing of Personal Data that arise from the legal regulations and that can be exercised at any time. These are:

a. Right of access to Personal Data: if you want to know whether the Controller is processing Personal Data, you have the right to obtain information about whether your Personal Data is being processed and, if so, you also have the right to access your Personal Data. In the event of unreasonable, inappropriate or repeated requests, the Controller will be entitled to charge a reasonable fee for handling of such requests or to reject the request (the foregoing applies mutatis mutandis to the exercise of the rights set out below).

b. Right to rectification of inaccurate and completion of incomplete Personal Data: if you feel that the Controller is processing inaccurate or incomplete Personal Data about you, you have the right to request its rectification and completion. The Controller shall rectify or complete the data without undue delay, but always taking into account the current technical possibilities.

c. Right to erasure: in the event you request erasure, the Controller will erase your Personal Data if (i) it is no longer necessary for the purposes for which it was collected or otherwise processed, (ii) the processing is unlawful, (iii) you object to the processing and there are no overriding legitimate grounds for processing your Personal Data, (iv) the Controller is under a statutory obligation to erase the data, or (v) you revoke your consent to the processing of your Personal Data.

d. Right to restriction of processing of Personal Data: in the event you request restriction of processing, the Controller will make the Personal Data inaccessible, temporarily remove or store it or carry out other processing operations necessary for the proper exercise of the exercised right;

e. Right to Personal Data portability: if you want the Controller to transfer your Personal Data to a third party, you can exercise your right to data portability. If the exercise of this right would adversely affect the rights and freedoms of other persons, the Controller will not be able to comply with your request.

f. Right to object: the right to object to the processing of Personal Data that is processed for the purposes of carrying out a task carried out in the public interest or in the exercise of official authority or for the purposes of protecting the legitimate interests of the Controller. If the Controller does not prove that there is a compelling legitimate reason for the processing which overrides the interests or rights and freedoms of the Customer, the processing shall be terminated without undue delay on the basis of the objection.

g. Right to lodge a complaint with the supervisory authority, which in the Czech Republic is the Office for Personal Data Protection ( www.uoou.cz).

2. Further information in relation to the processing of Personal Data is provided by the Data Protection Officer. The data subject may exercise the rights in the following ways:

a. via the contact form on the website www.hebe.com/cz under the Customer Service (Contact) tab;

b. via the contact form on the website www.hebe.com/cz after logging in to the Customer Account, under the My Account / My Rights tab;

c. by email help.cz@hebe.com;

d. by sending a written statement to the Controller at Jeronimo Martins Drogerie i Farmacja sp. z o.o., str. Dziekońskiego 1, 00-728 Warsaw, Poland;

e. by phone at 800 022 534

In order to process the requests effectively, the request to exercise the rights of data subjects should preferably include the following information:

a. what right the data subject wishes to exercise;

b. which service is related to the processing of Personal Data (e.g. placing an order at the Hebe Online Drugstore);

c. what processing purposes the exercised right relates to (if the Data Subject is aware of this information).

3. The Controller reserves the right to request additional information from the Data Subject if it is unable to determine the content of the request or to sufficiently identify the person making the request.

4. The Controller shall process the request within one month as of its submission and, if the Controller requires a longer period, it shall inform the Data Subject of the reason for the extension of such a period. The Controller may extend the time period for the processing of the request by up to two months (e.g. due to the complexity of the request). The Controller shall respond to the request in the manner in which the request was received (e.g. to the ‑email address from which it was sent), unless the Data Subject requests a response in another form.

V. WHERE DO WE GET PERSONAL DATA FROM?

1. The Controller obtains Personal Data directly from My Hebe Online Drugstore Customer or from My Hebe Loyalty Program Participant.

2. The Controller may also collect Personal Data of third parties provided to it by the Customer. The Customer providing third-party data on the Hebe Drugstore Website may do so provided that the Customer is authorised to do so by the third party, the rights of such third parties are not infringed and the relevant legal regulations are not violated.

3. The collection of Personal Data from third parties through the Customer occurs:

a. if the Customer places an order at the Hebe Online Drugstore with delivery to another addressee and provides that addressee’s first name, surname, mobile phone number and delivery address as delivery details;

b. if the Customer selects the option “Invoice – tax document” and provides information about another self-employed person or other natural persons carrying out economic activity in the form of a company without legal personality;

c. if, as part of the product return process, the Customer requests a refund to a third-party bank account. In that case, the Controller collects Personal Data including first name, surname and bank account number.

VI. HOW LONG DO WE RETAIN PERSONAL DATA?

1. The Controller retains Personal Data to the extent reasonably required in order to fulfil the purposes for which the Personal Data was collected, or for the period required by the applicable legal regulations. The duration of Personal Data processing depends on the type of service provided and the purpose of the processing.

2. Personal Data is processed:

a. for the duration of the provision of the service, including services provided electronically, the establishment of an Account at the Hebe Online Drugstore (the data will be processed until (and if) the Account is cancelled);

b. for the duration of the order execution within the Hebe Online Drugstore. In order to comply with tax and accounting regulations, such Personal Data will be processed by the Controller for a period of ten (10) years from the date of execution of the individual contracts;

c. for the period of participation in My Hebe Loyalty Programme;

d. until the expiry of any rights for the defence of legal claims concerning Personal Data necessary to settle a claim;

e. for a period of 30 days from the end of contact in the case of Personal Data processed for the purposes of contacting the Controller;

f. for a period for which the consent is granted (the period of consent is specified in the instrument through which the consent is granted) or until the consent is withdrawn in the case of Personal Data processed on the basis of the data subject’s consent;

g. until the filing of an objection to the processing of Personal Data in cases where the legal basis for the processing of Personal Data is the legitimate interest of the Controller, including an objection to the processing of Personal Data for direct marketing purposes.

3. With respect to a specific case, the period of processing of Personal Data may be longer if the Personal Data is necessary for the establishment, exercise and defence of legal claims, taking into account the limitation periods for the respective claims (e.g. on the basis of a purchase agreement or for participation in My Hebe Loyalty Programme). Personal Data is destroyed after the lapse of the retention period.

VII. WHO DO WE PROVIDE PERSONAL DATA TO?

1. Personal Data is only made available to authorised employees of the Controller or to individual contractually bound processors and controllers of Personal Data, and only to the extent strictly necessary for the fulfilment of the individual purposes of processing. Such recipients are, in particular:

a. service providers (e.g., PR/marketing agencies, IT service providers, payment service providers, banks, courier companies in connection with order fulfilment, telecommunications operators);

b. Hebe Online Drugstore business partners;

c. the competent state authorities.

2. Further information and the up-to-date list of all recipients of Personal Data will be provided by the Controller upon request.

3. If you give your consent, the Controller may share Personal Data with local Hebe drugstore operators. In accordance with Recital 48 of the GDPR, the Controller is also entitled to share Personal Data within the group of companies to which the Controller belongs for operational and administrative purposes. Such sharing constitutes a legitimate interest of the Controller.

VIII. TRANSFER OF PERSONAL DATA OUTSIDE THE EEA

1. The Controller stores Personal Data of Participants or Customers within the EEA. Due to the location of some suppliers, the Controller may transfer the Personal Data of a Participant or Customer using the Hebe Drugstore Website or the services outside the EEA to countries whose data protection laws differ from those within the EEA and do not provide an adequate level of protection. For example, this applies to a subcontractor from the USA, whose services the Controller uses to manage and publish Customer and Participant Ratings relating to products sold through the Hebe Drugstore Website.

2. The Controller is entitled to transfer the Personal Data of the Data Subjects to recipients established in third countries that do not provide adequate level of protection of personal data only in the event that such a recipient takes adequate additional security measures, e.g. that it concludes standard contractual clauses of the European Commission in their current version.

IX. SECURITY OF PERSONAL DATA

1. Personal Data is protected against unauthorised access by third parties, unauthorised disclosure or loss or unauthorised alteration with the use of adequate security, technical and organisational measures.

2. Third parties processing Personal Data in accordance with the instructions of the Controller may only process such Personal Data if they are contractually bound to comply with specific security measures and ensure the confidentiality of the Personal Data.

X. CHANGES TO THE POLICY

1. The Controller reserves the right to unilaterally amend or update the Policy at any time. The Controller shall inform the Customers and Participants about changes to the Policy by placing the new version of the Policy on the Hebe Drugstore Website. Unless otherwise stated in the Policy, changes to the Policy will come into effect on the fourteenth (14th) day after its publication. The Controller therefore recommends that you regularly visit the Hebe Drugstore Website for the latest version of the Policy.

XI. FINAL PROVISIONS

1. The Policy shall enter into force on the date of its promulgation.

2. The current Policy is available on the Hebe Drugstore Website.

3. The Hebe Drugstore Website may contain links that redirect the users to third-party websites. The connection to the third-party website is established only if the user clicks on the relevant button. The processing of Personal Data and cookie settings on third-party websites is governed by the rules set by such third parties and is beyond the control of the Controller. If the user uses links to other third-party websites, the Controller recommends reading their privacy and cookies policies.

Prague, on November 30, 2022