Datum poslední aktualizace: 10.10.2025
Odin Pay s.r.o., společnost registrovaná v České republice, IČO 223 56 312, se sídlem Olšanská 54/3 Praha 3 Žižkov 130 00, Česká republika (dále jen „Společnost“), zavádí odpovídající opatření k ochraně vlastnických práv zákazníků k jejich kryptoaktivům.
Podle nařízení Evropského parlamentu a Rady (EU) 2023/1114 ze dne 31. května 2023 o trzích s kryptoaktivy, kterým se mění nařízení (EU) č. 1093/2010 a (EU) č. 1095/2010 a směrnice 2013/36/EU a (EU) 2019/1937 (dále jen „MiCA“), je Společnost povinna zavést vhodná opatření k ochraně vlastnických práv zákazníků a zabránit použití kryptoaktiv zákazníků na vlastní účet. Společnost zároveň zajistí, aby byli zákazníci srozumitelným, stručným a technicky nenáročným jazykem informováni o klíčových aspektech systémů, politik a postupů Společnosti za účelem dodržení výše uvedeného.
Za tímto účelem Společnost řádně zavedla následující opatření, procesy, politiky a postupy.
1. Oddělení kryptoaktiv
1.1 Společnost zavedla komplexní a bezpečný rámec pro oddělení kryptoaktiv zákazníků od vlastních kryptoaktiv Společnosti.
1.2 Společnost zajišťuje, že vlastnická práva zákazníků ke kryptoaktivům jsou chráněna a kryptoaktiva jednotlivých zákazníků jsou mezi sebou řádně oddělena.
1.3 Společnost dále zajišťuje, že kryptoaktiva zákazníků nejsou používána na vlastní účet Společnosti a že oddělená kryptoaktiva zákazníků se liší od provozních kryptoaktiv Společnosti.
1.4 Společnost vyvinula a implementovala příslušné interní procesy a dále také zajistila technické řešení ve svých interních systémech, konkrétně v Platformě Odin Pay, které umožňují, aby kryptoaktiva zákazníků byla oddělena od vlastních kryptoaktiv Společnosti.
1.5 Platforma Odin Pay je interní softwarová platforma Společnosti, vyvinutá na základě nebo ve spojení s různými softwarovými řešeními třetích stran. Umožňuje identifikaci, ověření a onboardování zákazníků, otevření účtu v rámci Platformy Odin Pay, zadávání pokynů a objednávek, směnu a uložení kryptoaktiv.
1.6 Platforma Odin Pay sama o sobě kryptoaktiva zákazníků neukládá – kryptoaktiva zákazníků jsou ukládána prostřednictvím vysoce hodnocených třetích stran poskytujících úschovu (custody providers).
1.7 Jsou prováděny pravidelné kontroly k ověření oddělení (segregace) kryptoaktiv, zajišťující průběžné dodržování požadavku na segregaci. Tyto kontroly jsou koordinovány Compliance Officerem a Risk Managerem.
1.8 Platforma Odin Pay zajišťuje, že veškerá kryptoaktiva zákazníků, která obdrží, jsou přímo převedena do oddělených krypto peněženek zákazníků, a nejsou nejprve přijata na provozní krypto peněženky Společnosti a až následně oddělena.
1.9 Společnost může zvážit diverzifikaci umístění kryptoaktiv zákazníků u více než jedné kryptoburzy, například pokud je objem dostatečně velký, aby taková diverzifikace byla odůvodněná.
1.10 Aby Společnost mohla zkontrolovat, že má dostatečné kryptoaktivum segregováno v segregovaných krypto peněženkách klientů (segregated crypto wallet/s) k plnění svých závazků vůči klientům, Společnost pravidelně vypočítává částku, která by měla být segregována (požadavek na kryptoaktiva), a porovnává ji s částkou uvedenou jako zdroj kryptoaktiv jejích klientů. CFO je odpovědný za proces výpočtu a odsouhlasení, s podporou Risk Managera pro kontrolu rizika. Jakékoli nesrovnalosti jsou neprodleně prošetřeny a vyřešeny.
1.11 Společnost zajišťuje, aby pouze omezený a důvěryhodný personál měl přístup k odděleným Wallet adresám, kde jsou uložena kryptoaktiva klientů, jak je definováno Politikou řízení přístupu (Access Management Policy), pod dohledem CISO.
1.12 Společnost má zavedené a řádně implementované příslušné vnitřní dokumenty, jako například Postup pro oddělení kryptoaktiv zákazníků, Politiku uchovávání záznamů apod.
2. Zákaznická smlouva nemá vliv na vlastnická práva zákazníků
2.1 Zákaznická smlouva neobsahuje žádné ustanovení, klauzuli ani skryté znění, které by mohly ovlivnit vlastnická práva zákazníků ke kryptoaktivům uloženým v peněženkách, které pro ně Společnost otevřela.
2.2 Pokud zákazník uchovává kryptoaktiva u Společnosti, zůstává jejich vlastníkem.
2.3 V případě ukončení smluvního vztahu se zákazníkem, pokud u Společnosti zůstává pozitivní zůstatek kryptoaktiv, je Společnost oprávněna uzavřít zákaznický účet na Platformě Odin Pay. Společnost převede a bude uchovávat kryptoaktiva zákazníka odděleně až do obdržení pokynu od zákazníka k jejich převodu na adresu, kterou zákazník uvede.
2.4 Pokud takový pokyn zákazník neposkytne, je Společnost oprávněna uchovávat zůstatková kryptoaktiva v oddělené peněžence pro kryptoaktiva, a to až do obdržení pokynu k jejich převodu na adresu uvedenou zákazníkem, v souladu s podmínkami Zákaznické smlouvy.
3. Opatření vnitřní kontroly
3.1 Společnost implementuje opatření vnitřní kontroly, včetně řádných procesů, ICT aktiv a odpovědného personálu. Hlavní oblasti vnitřní kontroly ve Společnosti jsou přiděleny příslušným Nositelům funkcí (např. AML Officer, Risk Manager, Compliance Officer) a zahrnují mimo jiné:
3.1.1 kontrolu nad ochranou majetku Společnosti a jejích zákazníků;
3.1.2 kontrolu nad plněním poskytovaných služeb Společnosti;
3.1.3 kontrolu dodržování regulatorních požadavků (včetně MiCA, DORA);
3.1.4 kontrolu účinnosti systému řízení rizik;
3.1.5 Řízení informační bezpečnosti, bezpečnosti kryptoaktiv, toků, včetně přijímání a předávání informací a transakcí, zajištění fungování systému řízení informační bezpečnosti, které je vedeno CISO a dohlíženo ICT Security Officerem.
3.2 Společnost má zavedenu a řádně implementuje příslušnou dokumentaci, mimo jiné Politiku vnitřní kontroly, Politiku oznamování protiprávního jednání (Whistleblowing Policy), Politiku střetu zájmů apod.
4. Opatření v oblasti bezpečnosti a informační bezpečnosti
4.1 Společnost využívá vhodné a přiměřené zdroje a postupy, včetně odolných a bezpečných informačních a komunikačních technologií (ICT).
4.2 Rámec řízení ICT rizik Společnosti, dohlížený CISO a ICT Security Officerem, zahrnuje strategie, politiky, postupy, ICT protokoly a nástroje, které jsou nezbytné pro řádnou a adekvátní ochranu všech kryptoaktiv, osobních údajů klientů, informačních aktiv a ICT aktiv.
4.3 Společnost stanovuje specifické požadavky na ochranu kryptoaktiv zákazníků před neoprávněným přístupem a účinně zavedla kontrolu přístupu.
4.4 Společnost pravidelně zálohuje ICT aktiva a informační aktiva.
4.5 Rámec pro řízení ICT rizik podporuje obchodní strategii a cíle Společnosti prostřednictvím:
4.5.1 sladění řízení ICT rizik se základními cíli a obchodní strategií Společnosti;
4.5.2 Ochrana kryptoaktiv klienta a Společnosti. Rámec řízení ICT rizik pomáhá chránit tato kritická aktiva identifikací a zmírňováním rizik, přičemž tento proces je řízen Risk Managerem a implementován CISO;
4.5.3 souladu s regulatorními požadavky upravujícími informační bezpečnost a ochranu kryptoaktiv zákazníků;
4.5.4 odolnosti a kontinuity podnikání – zvyšuje odolnost Společnosti tím, že proaktivně identifikuje a zmírňuje rizika, zajišťuje kontinuitu provozu i za ztížených okolností.
4.6 Společnost zavedla procesy, které umožňují rychle, efektivně a komplexně reagovat na ICT rizika a zajistit vysokou úroveň digitální provozní odolnosti.
4.7 Společnost vyvinula spolehlivý, komplexní a dobře zdokumentovaný rámec řízení ICT rizik, který jí umožňuje řešit ICT rizika rychle, efektivně a komplexně. Tento rámec rovněž napomáhá zajištění vysoké úrovně digitální provozní odolnosti odpovídající obchodním potřebám, velikosti a složitosti Společnosti.
4.8 Společnost má zavedeny následující politiky a postupy informační bezpečnosti (včetně, ale nikoli výlučně):
4.8.1 Politika přijatelného používání informačních a IT aktiv;
4.8.2 Politika čistého stolu a čisté obrazovky;
4.8.3 Politika informační bezpečnosti;
4.8.4 Postup interního auditu informační bezpečnosti;
4.8.5 Politika správy aktiv;
4.8.6 Metodika analýzy dopadu na podnikání (Business Impact Analysis);
4.8.7 Plán obnovy po havárii ICT;
4.8.8 Krizový plán řízení;
4.8.9 Zálohovací politika;
4.8.10 Plán kontinuity ICT;
4.8.11 RACI matice odpovědnosti pro fáze obnovy IT služeb po havárii;
4.8.12 Politika řízení změn;
4.8.13 Strategie digitální provozní odolnosti;
4.8.14 Politika testování digitální provozní odolnosti;
4.8.15 Politika klasifikace informací;
4.8.16 Politika bezpečnosti lidských zdrojů;
4.8.17 Politika řízení přístupů;
4.8.18 Politika pro hesla;
4.8.19 Politika pro práci na dálku;
4.8.20 Matice úrovně rizik (Heatmapa);
4.8.21 Politika řízení ICT rizik;
4.8.22 Politika pořizování, vývoje a podpory ICT systémů;
4.8.23 Politika šifrování;
4.8.24 Politika Bring Your Own Device (BYOD);
4.8.25 Postup řízení kapacity a výkonnosti;
4.8.26 Politika síťové bezpečnosti;
4.8.27 Plán reakce na incidenty informační bezpečnosti a kontinuita provozu;
4.8.28 Politika přenosu informací;
4.8.29 Politika řízení incidentů;
4.8.30 Tabulka hodnocení závažnosti incidentů;
4.8.31 Politika protokolování (Logging Policy);
4.8.32 RACI matice pro reakci na incidenty informační bezpečnosti;
4.8.33 Politika bezpečnosti dodavatelů;
4.8.34 Strategie ukončení ICT služeb;
4.8.35 Politika řízení zranitelností a oprav (patch management).
5. Opatření pro zajištění kontinuity činností a obnovy provozu
5.1 Společnost činí veškeré přiměřené kroky k zajištění kontinuity a pravidelnosti při poskytování svých služeb v oblasti kryptoaktiv.
5.2 Cílem procesů kontinuity podnikání je:
5.2.1 zajistit, že Společnost má zavedený rámec, který jí umožňuje pokračovat v poskytování služeb zákazníkům v případě neočekávané události nebo mimořádné situace;
5.2.2 udržet vysokou dostupnost služeb, integritu dat a provozní odolnost;
5.2.3 neustále zlepšovat strategie kontinuity podnikání Společnosti tak, aby odpovídaly vývoji hrozeb a rizik.
5.3 Opatření pro zajištění kontinuity podnikání mají za cíl:
5.3.1 zajistit kontinuitu kritických nebo důležitých funkcí Společnosti;
5.3.2 rychle, přiměřeně a efektivně reagovat na ICT incidenty a další události a řešit je způsobem, který omezuje škody a klade důraz na obnovení činností a opatření k obnově;
5.3.3 realizovat plán kontinuity činností, zejména v oblasti ICT jako součásti obecné kontinuity podnikání.
5.4 Společnost vyčlenila adekvátní zdroje k zajištění toho, aby vyvinula a implementovala vhodné modely prevence, reakce a obnovy v souladu s cíli kontinuity podnikání. Management dohlíží na alokaci zdrojů, zatímco Risk Manager zajišťuje, aby modely řešily identifikované hrozby.
5.5 Procesy kontinuity podnikání jsou navrženy tak, aby umožnily Společnosti pokračovat v provozu při minimalizaci dopadů narušení.
5.6 Společnost zajišťuje, že systémy klíčové pro provoz obchodních funkcí mají dostatečnou stabilitu díky zavedeným účinným procesům kontinuity činností, které řeší narušení provozu nebo problémy s výkonností.
5.7 Společnost má zavedenou následující dokumentaci (včetně, ale nikoli výlučně):
5.7.1 Politika kontinuity podnikání;
5.7.2 Plán kontinuity podnikání;
5.7.3 Plán reakce a obnovy;
5.7.4 Komunikační plán.
6. Opatření při ukončení činnosti
6.1 V případě ukončení činnosti Společnosti z různých důvodů má Společnost zavedené procesy pro vypořádání finančních závazků vůči zákazníkům, včetně vrácení zbývajících zůstatků.
6.2 Společnost má zavedeny účinné postupy pro včasné vrácení kryptoaktiv klientů. CFO, podporovaný COO, je odpovědný za řízení včasného vrácení aktiv.
6.3 V případě implementace útlumu (wind-down) má Společnost vypracovány časové plány útlumu (wind-down timelines), včetně termínu vrácení kryptoaktiv klientům, s validací rizika provedenou Risk Managerem.
6.4 Společnost má zavedenou Politiku ukončení činnosti (Wind Down Policy), která je řádně implementována.
V případě jakýchkoli dalších požadavků týkajících se ochranných opatření nás prosím kontaktujte na adrese: [email protected].