Soukromí

Tento dokument informuje o způsobu, rozsahu a účelech zpracování osobních údajů v souvislosti s používáním platformy Observa (dále jen „Platforma“), a to v souladu s nařízením Evropského parlamentu a Rady (EU) 2016/679 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů (dále jen „GDPR“) a zákonem č. 110/2019 Sb., o zpracování osobních údajů.

1. Správce osobních údajů

Správcem osobních údajů je:

• Jméno: Waldemar Kučera
• IČO: 23496495
• Sídlo: Korunní 2569/108, Vinohrady, 101 00 Praha 10
• E-mail pro ochranu údajů: [email protected]
• Obecný kontakt: [email protected]
• Telefon: +420 704 129 568

Správce nepověřil pověřence pro ochranu osobních údajů (DPO), neboť zpracování nepodléhá povinnosti dle čl. 37 GDPR. Pro veškeré dotazy a žádosti týkající se ochrany osobních údajů využijte adresu [email protected].

2. Účely a právní základ zpracování

Osobní údaje zpracováváme pro následující účely a na základě těchto právních titulů:

2.1 Plnění smlouvy — čl. 6 odst. 1 písm. b) GDPR

• Registrace a správa uživatelského účtu — vytvoření účtu, autentizace, správa rolí a oprávnění.
• Poskytování služby — provoz Platformy, zpracování dat vložených Uživatelem, generování reportů a exportů.
• Fakturace a platby — vystavení daňových dokladů, zpracování plateb prostřednictvím Stripe.
• Komunikace — zasílání provozních oznámení, informací o změnách služby, technická podpora.

2.2 Oprávněný zájem — čl. 6 odst. 1 písm. f) GDPR

• Bezpečnost a prevence zneužití — vedení auditních záznamů (audit log), detekce podezřelé aktivity, ochrana před neoprávněným přístupem. Oprávněným zájmem je ochrana Platformy, dat uživatelů a plnění regulatorních požadavků.
• Analytika a zlepšování služby — anonymizovaná analýza využívání Platformy za účelem zlepšování uživatelského prostředí a funkčnosti. Zpracování se provádí pouze na agregovaných datech.
• Uplatnění právních nároků — uchování údajů po dobu nezbytnou k ochraně oprávněných zájmů v případě soudních či správních řízení.

2.3 Souhlas — čl. 6 odst. 1 písm. a) GDPR

• Marketingová komunikace — zasílání informací o nových funkcích, novinkách a nabídkách (pouze na základě výslovného souhlasu). Souhlas lze kdykoli odvolat.

2.4 Plnění právní povinnosti — čl. 6 odst. 1 písm. c) GDPR

• Účetní a daňové povinnosti — uchování fakturačních údajů po dobu stanovenou zákonem č. 563/1991 Sb., o účetnictví, a zákonem č. 235/2004 Sb., o DPH.

3. Kategorie zpracovávaných údajů

V rámci poskytování Platformy zpracováváme následující kategorie osobních údajů:

Důležité: Platforma nezpracovává zvláštní kategorie osobních údajů ve smyslu čl. 9 GDPR (citlivé údaje). Čísla platebních karet ani jiné platební instrumenty neukládáme — veškeré platební údaje zpracovává výhradně Stripe jako nezávislý správce.

4. Příjemci osobních údajů

Osobní údaje mohou být předány následujícím kategoriím příjemců, a to výhradně v rozsahu nezbytném pro daný účel:

Aplikační data (databáze, zálohy, soubory) jsou uložena jen v EU. Produkční prostředí běží v datovém centru v Německu, zálohy jsou uloženy i v jiné lokalitě, vždy v EU. Zpracování dotazů AI asistenta (pokud je funkce Správcem aktivována) probíhá v regionu EU (datová centra Google Cloud v Evropské unii) se smluvně garantovanou nulovou retencí dat u poskytovatele.

Předání mimo EHP. Provoz Platformy prochází sítí Cloudflare, Inc. (USA), která zajišťuje ochranu proti DDoS útokům, filtrování provozu (WAF) a doručení provozu. Šifrované spojení (TLS) končí na síti Cloudflare. Data aplikace Cloudflare trvale neukládá. Předání do USA probíhá na základě rozhodnutí Evropské komise o odpovídající ochraně (EU-US Data Privacy Framework), v jehož rámci je Cloudflare certifikován, a standardních smluvních doložek (SCC 2021/914), které jsou součástí smlouvy o zpracování osobních údajů s Cloudflare.

Platby zpracovává Stripe Payments Europe, Ltd. (Irsko). Rozsah údajů je omezen na fakturační údaje (jméno, e-mail, adresa, IČO). Pokud Stripe některé údaje předává do USA, děje se to podle jeho smluv na základě EU-US Data Privacy Framework a standardních smluvních doložek (SCC).

5. Doba uchování osobních údajů

Osobní údaje uchováváme pouze po dobu nezbytně nutnou pro daný účel zpracování:

Po uplynutí doby uchování jsou údaje bezpečně smazány nebo anonymizovány, a to bez zbytečného odkladu.

6. Práva subjektů údajů

Jako subjekt údajů máte v souvislosti se zpracováním svých osobních údajů následující práva:

6.1 Právo na přístup (čl. 15 GDPR)

Máte právo získat potvrzení, zda jsou vaše osobní údaje zpracovávány, a pokud ano, získat k nim přístup spolu s informacemi o účelech zpracování, kategoriích údajů, příjemcích a plánované době uchování.

6.2 Právo na opravu (čl. 16 GDPR)

Máte právo požadovat opravu nepřesných osobních údajů nebo doplnění neúplných údajů. Základní údaje (jméno, kontakt) můžete upravit přímo v nastavení Platformy.

6.3 Právo na výmaz (čl. 17 GDPR)

Máte právo požadovat výmaz svých osobních údajů, pokud pominul účel zpracování, odvoláte souhlas, nebo vznesete námitku. Právo na výmaz se neuplatní, pokud je zpracování nezbytné pro splnění právní povinnosti (např. archivace fakturačních údajů).

6.4 Právo na omezení zpracování (čl. 18 GDPR)

Máte právo požadovat omezení zpracování, například pokud popíráte přesnost údajů nebo pokud vznesete námitku proti zpracování.

6.5 Právo na přenositelnost údajů (čl. 20 GDPR)

Máte právo získat osobní údaje, které jste nám poskytli, ve strukturovaném, běžně používaném a strojově čitelném formátu. Platforma umožňuje export dat v CSV a PDF formátu.

6.6 Právo vznést námitku (čl. 21 GDPR)

Máte právo kdykoli vznést námitku proti zpracování založenému na oprávněném zájmu. V takovém případě zpracování ukončíme, pokud neprokážeme závažné oprávněné důvody pro zpracování, které převažují nad vašimi zájmy.

6.7 Právo odvolat souhlas

Pokud zpracování probíhá na základě souhlasu, máte právo souhlas kdykoli odvolat, a to bez dopadu na zákonnost zpracování před odvoláním. Souhlas lze odvolat e-mailem na [email protected] nebo v nastavení Platformy.

6.8 Právo podat stížnost

Máte právo podat stížnost u dozorového úřadu, kterým je:

• Úřad pro ochranu osobních údajů (ÚOOÚ)
• Pplk. Sochora 27, 170 00 Praha 7
• Web: www.uoou.cz
• E-mail: [email protected]

Svá práva můžete uplatnit zasláním žádosti na adresu [email protected]. Na žádost odpovíme bez zbytečného odkladu, nejpozději do 30 dnů od jejího doručení. Pro ověření totožnosti můžeme požadovat doplňující informace.

7. Cookies a sledování

Platforma Observa používá pouze technicky nezbytné cookies (session cookies), které jsou nezbytné pro fungování aplikace — přihlášení, CSRF ochrana a uchování stavu relace.

Platforma nepoužívá:

• Analytické cookies třetích stran (Google Analytics apod.).
• Reklamní nebo remarketingové cookies.
• Sledovací skripty sociálních sítí.
• Fingerprinting prohlížeče.

Vzhledem k tomu, že používáme výhradně technicky nezbytné cookies, není vyžadován souhlas dle čl. 5 odst. 3 směrnice ePrivacy (2002/58/ES).

8. Zabezpečení osobních údajů

K ochraně osobních údajů přijímáme přiměřená technická a organizační opatření odpovídající riziku, zejména:

• Šifrování při přenosu — veškerá komunikace mezi prohlížečem a Platformou je šifrována protokolem TLS 1.2+.
• Šifrování dat v klidu — databáze a zálohy jsou uloženy na šifrovaných discích.
• Hashování hesel — hesla jsou ukládána výhradně v podobě jednosměrného otisku (Argon2id s náhodnou solí pro každé heslo).
• Dvoufaktorové ověření (MFA) — Platforma podporuje TOTP-based MFA pro všechny uživatele.
• Izolace mezi organizacemi: data jednotlivých organizací jsou přísně oddělena na aplikační úrovni pomocí globálních Eloquent scope a izolaci ověřují desítky automatických testů.
• Auditní záznamy — veškeré citlivé operace jsou zaznamenávány v audit logu s informací o uživateli, akci, čase a IP adrese.
• Bezpečnostní hlavičky — Platforma implementuje Content Security Policy (CSP), HSTS, X-Frame-Options a další bezpečnostní HTTP hlavičky.
• Omezení přístupu — rolový model (RBAC) s principem nejmenších oprávnění.
• Hosting v EU — data aplikace i zálohy ukládáme jen v EU, produkční prostředí běží v Německu. Provoz chrání a doručuje síť Cloudflare (článek 4).

Podrobnosti o bezpečnostní architektuře najdete na stránce Zabezpečení a důvěra.

9. Zpracování údajů za Uživatele (role zpracovatele)

Pokud Uživatel v rámci Platformy zpracovává osobní údaje třetích osob (např. údaje zaměstnanců, dodavatelů, kontaktních osob nebo osob bez uživatelského účtu evidovaných v modulu Lidé a identity v rámci řízení kybernetické bezpečnosti), vystupuje Provozovatel v roli zpracovatele ve smyslu čl. 28 GDPR a Uživatel v roli správce.

Týká se to i záznamů o potvrzení školení nebo seznámení se směrnicí odkazem z e-mailu (čas potvrzení, IP adresa, identifikace prohlížeče). Dobu uchování těchto údajů určuje Uživatel jako správce, doby uchování uvedené v článku 5 se na ně nevztahují.

Podmínky tohoto zpracování jsou podrobně upraveny ve Smlouvě o zpracování osobních údajů (DPA) ve verzi 1.1, která je nedílnou součástí smluvního vztahu.

10. Změny zásad ochrany osobních údajů

Tyto Zásady mohou být průběžně aktualizovány, zejména v reakci na legislativní změny, nové funkce Platformy nebo změny v organizaci zpracování.

O podstatných změnách budou Uživatelé informováni e-mailem a oznámením v Platformě. Aktuální verze je vždy dostupná na této stránce.

11. Kontakt

Pro veškeré dotazy, žádosti a podněty v oblasti ochrany osobních údajů nás kontaktujte:

• E-mail: [email protected]
• Adresa: Waldemar Kučera, Korunní 2569/108, Vinohrady, 101 00 Praha 10
• Telefon: +420 704 129 568