Zásady zpracování osobních údajů

pro obchodní vztahy, elektronické objednávky a webové stránky SORBETIN

Tyto zásady vysvětlují, jak společnost NP manufacturing SE při prodeji a distribuci výrobků SORBETIN zpracovává osobní údaje zákazníků, zájemců o obchodní spolupráci, dodavatelů, jejich zástupců a návštěvníků webových stránek. Zpracování probíhá v souladu s nařízením Evropského parlamentu a Rady (EU) 2016/679 (GDPR), zákonem č. 110/2019 Sb., o zpracování osobních údajů, a souvisejícími právními předpisy.

Tyto zásady jsou informačním dokumentem. Přijetí zásad ani souhlas se zpracováním osobních údajů není podmínkou uzavření smlouvy, pokud je zpracování nezbytné pro jednání o smlouvě, její plnění, splnění právní povinnosti nebo ochranu oprávněných zájmů správce.

1 Správce osobních údajů

Správcem osobních údajů je NP manufacturing SE, evropská společnost, IČO 07919298, se sídlem Za sokolovnou 1284/9a, Suchdol, 165 00 Praha 6, Česká republika, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze, oddíl H, vložka 2225 (dále jen "Správce").

Kontaktní e-mail pro otázky a žádosti týkající se ochrany osobních údajů: sorbetin@post.cz

Webové stránky: www.sorbetin.com

Správce nemá povinnost jmenovat pověřence pro ochranu osobních údajů; nebyl-li pověřenec jmenován, vyřizuje žádosti Správce prostřednictvím výše uvedeného kontaktu.

2 Koho se zásady týkají

GDPR chrání osobní údaje fyzických osob. Údaje právnické osoby samy o sobě osobními údaji nejsou. Tyto zásady se však vztahují také na osobní údaje fyzických osob jednajících za právnické osoby, zejména členů statutárních orgánů, zaměstnanců, kontaktních osob, zmocněnců, skutečných majitelů a dalších zástupců obchodních partnerů.

3 Jaké osobní údaje zpracováváme

Podle povahy obchodního vztahu můžeme zpracovávat zejména:

identifikační údaje, zejména jméno, příjmení, pracovní pozici a vazbu na zastupovanou společnost;

kontaktní údaje, zejména e-mailovou adresu, telefonní číslo, doručovací a fakturační adresu;

údaje o podnikání a zastoupení, zejména obchodní firmu, IČO, DIČ, EORI, funkci, plnou moc a údaje z veřejných rejstříků;

údaje o objednávkách a smlouvách, zejména poptávku, objednané výrobky, množství, cenu, dodací a platební podmínky, reklamace a související komunikaci;

platební a účetní údaje, zejména číslo účtu, údaje o platbě a údaje na účetních a daňových dokladech;

údaje potřebné pro dopravu, celní řízení, kontrolu obchodního partnera a dodržování sankčních, exportních nebo jiných právních povinností, jsou-li pro konkrétní obchod nezbytné;

technické údaje související s používáním webu, například IP adresu, údaje o zařízení, protokolové záznamy a identifikátory cookies, pokud jsou používány.

4 Zdroje osobních údajů

Osobní údaje získáváme především přímo od subjektu údajů nebo od společnosti, kterou zastupuje, a to prostřednictvím poptávky, registrace, objednávky, smlouvy, e-mailu, telefonu, osobního jednání nebo jiného obchodního kontaktu. Údaje můžeme dále získat od obchodních zprostředkovatelů, dopravců, poradců, veřejných orgánů a z veřejně dostupných rejstříků či jiných zákonných zdrojů, je-li to nezbytné pro ověření obchodního partnera nebo ochranu našich práv.

5 Účely a právní základy zpracování

Účel

Rozsah zpracování

Právní základ

Poptávky a jednání o smlouvě

Vyřízení poptávky, nabídka, cenová a technická komunikace, ověření oprávnění jednat.

Čl. 6 odst. 1 písm. b) GDPR; u zástupců právnických osob také písm. f) GDPR.

Objednávka a plnění smlouvy

Uzavření a plnění smlouvy, dodání zboží, komunikace, fakturace, platby, reklamace a servis.

Čl. 6 odst. 1 písm. b) GDPR; u kontaktních osob také písm. f) GDPR.

Právní a regulatorní povinnosti

Účetnictví, daně, celní povinnosti, sankční a compliance kontroly, součinnost s orgány veřejné moci.

Čl. 6 odst. 1 písm. c) GDPR.

Ochrana práv a bezpečnosti

Prevence podvodů, zabezpečení systémů, evidence komunikace, určení, výkon nebo obhajoba právních nároků.

Čl. 6 odst. 1 písm. f) GDPR.

Přímý marketing

Zasílání obchodních sdělení stávajícím zákazníkům o obdobných výrobcích; adresát může kdykoli vznést námitku nebo se odhlásit.

Oprávněný zájem podle čl. 6 odst. 1 písm. f) GDPR a podmínky zákona č. 480/2004 Sb.; v ostatních případech souhlas podle písm. a).

Web a analytika

Zajištění základních funkcí a bezpečnosti webu; měření návštěvnosti a analytika pouze v rozsahu dovoleném nastavením cookies.

Nezbytné zpracování: čl. 6 odst. 1 písm. f) GDPR; analytické a marketingové cookies: souhlas podle písm. a).

Pokud je právním základem oprávněný zájem, spočívá tento zájem zejména v řádném řízení obchodních vztahů, komunikaci s kontaktními osobami obchodních partnerů, ochraně majetku a právních nároků a zajištění bezpečného provozu webu a informačních systémů. Subjekt údajů může proti takovému zpracování vznést námitku.

6 Povinnost poskytnout údaje

Poskytnutí údajů nezbytných pro uzavření a plnění smlouvy nebo splnění zákonné povinnosti je smluvním nebo zákonným požadavkem. Bez těchto údajů nemusí být možné poptávku vyřídit, smlouvu uzavřít, dodat zboží nebo splnit související právní povinnosti. Údaje zpracovávané na základě souhlasu jsou poskytovány dobrovolně a souhlas lze kdykoli odvolat, aniž by tím byla dotčena zákonnost předchozího zpracování.

7 Doba uchovávání

Kategorie

Doba uchovávání

Poptávky bez uzavření smlouvy

Po dobu nezbytnou k vyřízení poptávky, obvykle nejdéle 3 roky od poslední věcné komunikace, není-li důvod k delšímu uchování.

Smluvní a obchodní dokumentace

Po dobu trvání smluvního vztahu a následně zpravidla 3 roky; déle, pokud běží reklamační, záruční, promlčecí nebo soudní lhůta.

Účetní a daňové doklady

Po dobu stanovenou příslušnými právními předpisy, zpravidla 5 nebo 10 let podle druhu dokumentu.

Právní nároky a spory

Po dobu nezbytnou pro určení, výkon nebo obhajobu právních nároků a po dobu navazujících řízení.

Přímý marketing

Do odvolání souhlasu nebo vznesení námitky; nejdéle po přiměřenou dobu od posledního aktivního obchodního vztahu.

Cookies a technické údaje

Podle druhu cookies a nastavení uvedeného v cookie liště nebo samostatných zásadách cookies.

Po uplynutí příslušné doby osobní údaje bezpečně vymažeme nebo anonymizujeme, pokud jejich další uchování nevyžaduje právní předpis nebo ochrana právních nároků. Povinnost výmazu se nevztahuje na údaje, které musí být nadále uchovávány ze zákonného důvodu.

8 Příjemci a zpracovatelé

Osobní údaje zpřístupňujeme pouze v nezbytném rozsahu. Příjemci mohou být zejména:

poskytovatel webové platformy, hostingu, e-mailu, IT podpory a zabezpečení, včetně společnosti Webnode AG, je-li její platforma používána;

dopravci a logističtí partneři, například Česká pošta, DHL, UPS nebo jiný smluvený dopravce;

banky, poskytovatelé platebních služeb, pojišťovny a finanční instituce zapojené do obchodu;

účetní, daňoví, právní, auditorské a compliance poradci;

celní zástupci, inspekční společnosti, sklady, výrobní a další smluvní partneři, pokud je to nezbytné pro konkrétní dodávku;

orgány veřejné moci, soudy a jiné oprávněné subjekty, vyžaduje-li to právní předpis nebo ochrana práv Správce.

Zpracovatelé zpracovávají údaje na základě smlouvy a podle pokynů Správce, pokud nevystupují jako samostatní správci podle právních předpisů. Aktuální seznam konkrétních poskytovatelů se může měnit podle používaných služeb.

9 Předávání mimo Evropský hospodářský prostor

Vzhledem k mezinárodní povaze obchodu mohou být osobní údaje v nezbytném rozsahu předány příjemcům mimo Evropský hospodářský prostor, například zahraničnímu dopravci, zákazníkovi, bance, celnímu zástupci nebo poskytovateli informačních a analytických služeb. K předání dochází pouze při splnění podmínek kapitoly V GDPR, zejména na základě rozhodnutí Evropské komise o odpovídající ochraně, standardních smluvních doložek, příslušného rámce pro předávání údajů nebo jiné použitelné právní výjimky. Informaci o konkrétním mechanismu předání lze vyžádat na kontaktním e-mailu Správce.

10 Cookies a Google Analytics

Web může používat nezbytné cookies nutné pro jeho provoz. Analytické nebo marketingové cookies, včetně služby Google Analytics, mohou být aktivovány pouze na základě předchozího souhlasu uživatele, pokud právní předpis nestanoví jinak. Uživatel musí mít možnost udělit, odmítnout i následně změnit svůj souhlas stejně snadným způsobem. Podrobnosti o používaných cookies, jejich poskytovatelích, účelu a době uložení mají být uvedeny v samostatných zásadách cookies nebo přímo v nastavení cookie lišty.

11 Práva subjektu údajů

Za podmínek stanovených GDPR má subjekt údajů zejména právo:

získat potvrzení, zda jsou jeho osobní údaje zpracovávány, a požádat o přístup k nim;

požadovat opravu nepřesných nebo doplnění neúplných údajů;

požadovat výmaz údajů, pokud jsou splněny zákonné podmínky;

požadovat omezení zpracování;

získat osobní údaje ve strukturovaném, běžně používaném a strojově čitelném formátu a případně je předat jinému správci, pokud se uplatní právo na přenositelnost;

kdykoli odvolat souhlas, je-li zpracování založeno na souhlasu;

vznést námitku proti zpracování založenému na oprávněném zájmu; proti přímému marketingu lze vznést námitku kdykoli a osobní údaje poté nebudou pro tento účel dále zpracovávány;

podat stížnost u Úřadu pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, www.uoou.gov.cz.

Žádost lze zaslat na sorbetin@post.cz. Správce může před vyřízením žádosti přiměřeně ověřit totožnost žadatele. Na žádost odpoví bez zbytečného odkladu, zpravidla do jednoho měsíce; ve složitých případech může být lhůta za podmínek GDPR prodloužena.

12 Automatizované rozhodování

Správce neprovádí rozhodování založené výhradně na automatizovaném zpracování, včetně profilování, které by pro subjekt údajů mělo právní účinky nebo se jej obdobně významně dotýkalo.

13 Zabezpečení osobních údajů

Správce přijímá přiměřená technická a organizační opatření odpovídající povaze zpracování a rizikům, zejména řízení přístupových oprávnění, ochranu účtů a zařízení, zálohování, aktualizace, ochranu proti škodlivému softwaru, smluvní závazky mlčenlivosti a přiměřenou kontrolu poskytovatelů. Konkrétní bezpečnostní opatření se průběžně přizpůsobují vývoji technologií a rizik.

14 Změny zásad

Správce může tyto zásady přiměřeně aktualizovat, zejména při změně zpracování, používaných služeb nebo právních předpisů. Aktuální verze bude zveřejněna na webových stránkách s uvedením data účinnosti. Pokud by změna podstatně ovlivnila práva subjektů údajů, Správce je vhodným způsobem upozorní, vyžaduje-li to právní předpis.

15 Účinnost

Tyto zásady jsou účinné od 21. září 2026 a nahrazují předchozí znění pravidel ochrany soukromí pro web a obchodní činnost SORBETIN.

NP manufacturing SE
Ludvík Krajči
předseda představenstva

Zásady zpracování osobních údajů • verze 21. 9. 2026

Privacy and Personal Data Processing Policy

for business relationships, electronic orders and the SORBETIN website

This Policy explains how NP manufacturing SE processes personal data in connection with the sale and

distribution of SORBETIN products. It applies to customers, prospective business partners, suppliers, their

representatives and visitors to the website. Personal data are processed in accordance with Regulation

(EU) 2016/679 of the European Parliament and of the Council (GDPR), Czech Act No. 110/2019 Coll., on

Personal Data Processing, and other applicable legislation.

This Policy is provided for information purposes. Acceptance of this Policy, or consent to the processing of

personal data, is not a condition for entering into a contract where the processing is necessary for precontractual

steps, performance of a contract, compliance with a legal obligation or the protection of the

Controller's legitimate interests.

1 Data Controller

The data controller is NP manufacturing SE, a European Company (Societas Europaea), Company ID No.

07919298, with its registered office at Za sokolovnou 1284/9a, Suchdol, 165 00 Prague 6, Czech Republic,

registered in the Commercial Register maintained by the Municipal Court in Prague, Section H, File 2225

(the "Controller").

Contact email for privacy-related questions and requests: sorbetin@post.cz

Website: www.sorbetin.com

The Controller is not required to appoint a Data Protection Officer. Unless a Data Protection Officer is

appointed, requests will be handled by the Controller through the contact details stated above.

2 Persons Covered by this Policy

The GDPR protects the personal data of natural persons. Information relating solely to a legal entity does

not constitute personal data. This Policy nevertheless also applies to the personal data of natural persons

acting on behalf of legal entities, including members of governing bodies, employees, contact persons,

authorised representatives, beneficial owners and other representatives of business partners.

3 Categories of Personal Data Processed

Depending on the nature of the business relationship, we may process in particular:

 identification data, including first name, surname, job title and relationship to the represented company;

 contact details, including email address, telephone number, delivery address and billing address;

 business and representation details, including company name, company registration number, VAT

number, EORI number, position, power of attorney and information obtained from public registers;

 order and contract information, including enquiries, products ordered, quantities, prices, delivery and

payment terms, complaints and related communications;

 payment and accounting information, including bank account details, payment information and

information appearing on accounting and tax documents;

 information required for transport, customs clearance, business-partner screening and compliance

with sanctions, export-control or other legal obligations, where necessary for the relevant transaction;

Privacy and Personal Data Processing Policy • version dated 21 September 2026

 technical information connected with use of the website, such as IP address, device information,

server logs and cookie identifiers, where applicable.

4 Sources of Personal Data

We obtain personal data primarily from the data subject or from the company that the data subject

represents, through an enquiry, registration, order, contract, email, telephone call, meeting or other

business contact. We may also obtain personal data from commercial intermediaries, carriers, advisers,

public authorities, publicly available registers and other lawful sources where this is necessary to verify a

business partner or protect our rights.

5 Purposes and Legal Bases of Processing

Purpose Scope of processing Legal basis

Enquiries and pre-contractual

negotiations

Handling enquiries, preparing offers,

commercial and technical

communications, and verifying authority

to act.

Article 6(1)(b) GDPR; for

representatives of legal entities, also

Article 6(1)(f) GDPR.

Orders and performance of contracts

Entering into and performing contracts,

delivering goods, communications,

invoicing, payments, complaints and

customer support.

Article 6(1)(b) GDPR; for contact

persons, also Article 6(1)(f) GDPR.

Legal and regulatory obligations

Accounting, taxation, customs

obligations, sanctions and compliance

screening, and cooperation with public

authorities.

Article 6(1)(c) GDPR.

Protection of rights and security

Fraud prevention, system security,

records of communications, and the

establishment, exercise or defence of

legal claims.

Article 6(1)(f) GDPR.

Direct marketing

Sending communications to existing

customers concerning similar products;

recipients may object or unsubscribe at

any time.

Legitimate interests under Article 6(1)(f)

GDPR and the conditions of Czech Act

No. 480/2004 Coll.; in other cases,

consent under Article 6(1)(a) GDPR.

Website and analytics

Providing essential website functionality

and security; audience measurement

and analytics only to the extent

permitted by the user's cookie settings.

Necessary processing: Article 6(1)(f)

GDPR; analytics and marketing cookies:

consent under Article 6(1)(a) GDPR.

Where processing is based on a legitimate interest, that interest consists primarily in the proper

management of business relationships, communication with the contact persons of business partners,

protection of property and legal claims, and the secure operation of the website and information systems.

The data subject has the right to object to such processing.

6 Requirement to Provide Personal Data

The provision of personal data necessary for entering into and performing a contract, or for compliance

with a legal obligation, is a contractual or statutory requirement. Without such information, we may be

unable to process an enquiry, enter into a contract, deliver goods or comply with related legal obligations.

Personal data processed on the basis of consent are provided voluntarily. Consent may be withdrawn at

any time without affecting the lawfulness of processing carried out before its withdrawal.

Privacy and Personal Data Processing Policy • version dated 21 September 2026

7 Retention Periods

Category Retention period

Enquiries not resulting in a contract

For the time necessary to handle the enquiry, normally no

longer than three years after the last substantive

communication, unless there is a reason for longer retention.

Contractual and commercial documentation

For the duration of the contractual relationship and normally

for three years thereafter; longer where a complaint, warranty,

limitation or court period remains pending.

Accounting and tax documents

For the period prescribed by applicable law, generally five or

ten years depending on the type of document.

Legal claims and disputes

For the period necessary to establish, exercise or defend legal

claims and for the duration of any related proceedings.

Direct marketing

Until consent is withdrawn or an objection is made, and in any

event only for a reasonable period after the last active

business relationship.

Cookies and technical data

According to the type of cookie and the settings stated in the

cookie banner or a separate Cookie Policy.

At the end of the applicable retention period, personal data will be securely erased or anonymised unless

further retention is required by law or necessary for the protection of legal claims. The obligation to erase

data does not apply to information that must continue to be retained on a lawful basis.

8 Recipients and Processors

We disclose personal data only to the extent necessary. Recipients may include:

 providers of the website platform, hosting, email, IT support and security services, including Webnode

AG where its platform is used;

 carriers and logistics partners, including Czech Post, DHL, UPS or another carrier agreed for the

relevant transaction;

 banks, payment service providers, insurers and financial institutions involved in the transaction;

 accounting, tax, legal, audit and compliance advisers;

 customs representatives, inspection companies, warehouses, manufacturers and other contractual

partners where necessary for a particular delivery;

 public authorities, courts and other authorised bodies where required by law or necessary to protect

the Controller's rights.

Processors handle personal data under a contract and in accordance with the Controller's instructions,

unless they act as independent controllers under applicable law. The specific service providers used by

the Controller may change from time to time.

Privacy and Personal Data Processing Policy • version dated 21 September 2026

9 Transfers Outside the European Economic Area

Because our business is international, personal data may, where necessary, be transferred to recipients

outside the European Economic Area, including foreign carriers, customers, banks, customs

representatives and providers of information or analytics services. Any such transfer is made only in

accordance with Chapter V of the GDPR, in particular on the basis of an adequacy decision adopted by

the European Commission, Standard Contractual Clauses, an applicable data-transfer framework or

another lawful derogation. Information about the safeguards used for a specific transfer may be requested

from the Controller using the contact email stated above.

10 Cookies and Google Analytics

The website may use cookies that are strictly necessary for its operation. Analytics or marketing cookies,

including Google Analytics, may be activated only after the user has given prior consent, unless otherwise

permitted by law. Users must be able to grant, refuse and subsequently change their consent with equal

ease. Details of the cookies used, their providers, purposes and storage periods should be set out in a

separate Cookie Policy or directly in the cookie settings interface.

11 Rights of Data Subjects

Subject to the conditions set out in the GDPR, a data subject has, in particular, the right to:

 obtain confirmation as to whether personal data concerning them are being processed and request

access to those data;

 request correction of inaccurate data or completion of incomplete data;

 request erasure of personal data where the applicable legal conditions are met;

 request restriction of processing;

 receive personal data in a structured, commonly used and machine-readable format and, where the

right to data portability applies, transmit those data to another controller;

 withdraw consent at any time where processing is based on consent;

 object to processing based on legitimate interests; an objection to processing for direct-marketing

purposes may be made at any time, after which the personal data will no longer be processed for that

purpose;

 lodge a complaint with the Czech Office for Personal Data Protection, Pplk. Sochora 27, 170 00

Prague 7, Czech Republic, www.uoou.gov.cz.

Requests may be submitted to sorbetin@post.cz. Before handling a request, the Controller may take

proportionate steps to verify the identity of the applicant. The Controller will respond without undue delay,

normally within one month. In complex cases, that period may be extended subject to the conditions of the

GDPR.

12 Automated Decision Making

The Controller does not carry out decision-making based solely on automated processing, including

profiling, that produces legal effects concerning the data subject or similarly significantly affects them.

Privacy and Personal Data Processing Policy • version dated 21 September 2026

13 Security of Personal Data

The Controller implements appropriate technical and organisational measures proportionate to the nature

of the processing and the associated risks. These measures include access controls, protection of

accounts and devices, backups, updates, protection against malicious software, contractual confidentiality

obligations and appropriate oversight of service providers. Security measures are reviewed and adapted

as technology and risks develop.

14 Changes to this Policy

The Controller may update this Policy where appropriate, in particular following changes to processing

activities, service providers or applicable legislation. The current version will be published on the website

together with its effective date. Where a change materially affects the rights of data subjects, the

Controller will provide appropriate notice where required by law.

15 Effective Date

This Policy takes effect on 21 September 2026 and replaces the previous privacy policy applicable to the

SORBETIN website and business activities.

NP manufacturing SE

Ludvík Krajči

Chairman of the Board