Zásady ochrany osobních údajů

Verze: 1.0
Účinnost od: [DATUM ÚČINNOSTI]

1. Identifikace správce
2. Pověřenec pro ochranu údajů
3. Právní základ a dvě role poskytovatele
4. Přehled zpracování osobních údajů
5. Příjemci a zpracovatelé
6. Přenosy do třetích zemí
7. Zabezpečení osobních údajů
8. Práva subjektů údajů
9. Automatizované rozhodování a profilování
10. Cookies a podobné technologie
11. Změny těchto zásad
12. Kontakt pro dotazy
13. Právní upozornění

Název: [OBCHODNÍ FIRMA POSKYTOVATELE]
Právní forma: Podnikatel provozující aplikaci „Fakturace"
IČO: [IČO]
DIČ: [DIČ]
Sídlo: [SÍDLO]
E-mail: [E-MAIL]
Telefon: [TELEFON]
URL aplikace: [URL APLIKACE]

Poskytovatel je správcem v souladu s článkem 4 odst. 7 Nařízení (EU) 2016/679 (GDPR) a zákonem č. 110/2019 Sb., o zpracování osobních údajů.

Poskytovatel nemá jmenovaného pověřence pro ochranu údajů (DPO). Je-li na základě právního předpisu v budoucnu DPO povinen jmenovat, bude na tuto stránku přidán kontakt.

Důvod: Provozovatel není veřejnou institucí a není podnikáním, jehož hlavní činností je systematické a rozsáhlé sledování chování osob. Podle článku 37 GDPR je jmenování DPO povinné pouze v případě: (a) zpracovatele nebo správce je veřejný subjekt; (b) hlavní činností subjektu je provádění operací sledování v rozsahu a povaze, které vyžadují rozsáhlé pravidelné a systematické monitorování subjektů údajů; nebo (c) subjekt zpracovává zvláštní kategorie údajů nebo údaje o trestech podle čl. 10 GDPR v rozsahu stanoveném zákonem č. 110/2019 Sb. Žádná z těchto podmínek se na poskytovatele nevztahuje.

Dotazy týkající se ochrany osobních údajů lze adresovat na: [E-MAIL] nebo [TELEFON].

Aplikace Fakturace slouží k vydávání a správě faktur a účetních dokladů. V důsledku toho má poskytovatel dvě odlišné role v ochraně osobních údajů:

Pokud jde o účet uživatele, přihlašovací údaje, kontakty, nastavení a komunikaci (podrobněji v oddíle 4), je poskytovatel správcem osobních údajů dle čl. 4 odst. 7 GDPR. Tuto politiku vydává jako správce.

Pokud jde o faktury, ceníky, seznamy kontaktů a další účetní doklady, které uživatel vytváří a vydává prostřednictvím aplikace, je poskytovatel zpracovatelem dle čl. 4 odst. 8 GDPR. Uživatel (vystavitel faktury) je v tomto případě správcem, a poskytovatel zpracovává údaje na jeho základě a podle jeho pokynů.

Vztah správce a zpracovatele je upraven v dokumentu [„Smlouva o zpracování osobních údajů (DPA)" - odkaz na zpracovatelska-smlouva-dpa.md], který je nedílnou součástí obchodních podmínek.

Níže uvedená tabulka popisuje hlavní účely, kategorie subjektů, kategorie údajů, právní základy a doby uchování:

1. Hesla: Jsou hašována algoritmem PBKDF2-SHA256 s 100,000 iteracemi. Poskytovatel neuchovává hesla v otevřené (čitelné) podobě.

1. Fakturační data: Povinnost 10leté archivace vychází ze zákona č. 563/1991 Sb., o účetnictví (§ 31, 32 – vedení účetnictví a archivace) a zákona č. 235/2004 Sb., o DPH (§ 35 – uchování daňových dokladů). Tyto údaje přetrvávají i po smazání účtu uživatele.

1. Resend: Transakční e-maily jsou odesílány prostřednictvím poskytovatele e-mailové služby Resend (viz oddíl 5).

1. Výmaz účtu: Vystavené účetní doklady nelze na žádost smazat před uplynutím zákonné desetileté archivační lhůty. Smazat lze údaje účtu, které této povinnosti nepodléhají (například jméno uživatele a jeho nastavení), nikoli však vystavené faktury a daňové doklady. Viz oddíl 8 (Práva subjektů údajů).

Poskytovatel předává osobní údaje následujícím příjemcům a zpracovatelům:

• Role: Zpracovatel – hostování aplikace, CDN, Workers runtime
• Sídlo: USA (Cloudflare, Inc., San Francisco)
• Údaje: Soubory aplikace, obsah požadavků a odpovědí (včetně přihlašovací cookie, která požadavkem prochází), IP adresy přístupu, metadata požadavků
• Právní základ: Čl. 28 GDPR (Smlouva o zpracování údajů)
• Bezpečnost: TLS šifrování, firewall, DDoS ochrana
• Další info: Cloudflare je certifikován pro transfer údajů pod Standardními smluvními doložkami (SCCs)

• Role: Zpracovatel – ukládání a správa databáze
• Sídlo: USA (Neon Inc.), ale databáze fyzicky v EU (eu-central-1, Frankfurt)
• Údaje: Všechny údaje aplikace (faktury, kontakty, hesla ve formě otisku PBKDF2, provozní záznamy). Přihlašovací relace se v databázi neukládají: token je podepsaná cookie, kterou aplikace ověřuje kryptograficky, takže žádná tabulka relací neexistuje.
• Právní základ: Čl. 28 GDPR (Smlouva o zpracování údajů)
• Bezpečnost: Šifrování v klidu (encryption at rest), šifrování při přenosu (TLS), zálohování a PITR (Point-in-Time Recovery)
• Další info: Neon má smlouvu o zpracování údajů podle GDPR; data se nacházejí v EU

• Role: Zpracovatel – odesílání e-mailů (ověření, notifikace, podporu)
• Sídlo: USA (Resend, Inc.)
• Údaje: E-mailová adresa, jméno, obsah transakčního e-mailu
• Právní základ: Čl. 28 GDPR (Smlouva o zpracování údajů)
• Bezpečnost: Šifrování TLS, bezpečné API
• Uchování: Resend uchovává logy e-mailů po dobu ≤ 30 dní; obsah e-mailu není dlouhodobě archivován
• Další info: Resend je certifikován pro transfer údajů pod SCCs

• Účel: Ověření IČO a automatické doplnění údajů o společnosti (jméno, sídlo, DIČ)
• Jak funguje: Aplikace odesílá pouze IČO na veřejný endpoint https://ares.gov.cz/ekonomicke-subjekty-v-be/rest/ekonomicke-subjekty/{ico}
• Údaje: IČO (bez osobních údajů)
• Odpověď z ARES: Jméno firmy, právní forma, sídlo, DIČ – vrácené údaje jsou uloženy v řádku kontaktu a nejsou předávány dál
• Právní základ: Čl. 6 odst. 1 písm. b) GDPR – plnění smlouvy; čl. 6 odst. 1 písm. f) GDPR – oprávněný zájem (přesnost údajů)
• Poznámka: ARES je veřejný registr Ministerstva financí ČR; dotaz na ARES není subjektem smlouvy o zpracování

• Účel: Získání denního měnového kurzu pro faktury v cizích měnách (povinné dle § 37 ZDPH)
• Jak funguje: Aplikace dotazuje veřejný API ČNB s kódem měny a datem faktury (např. https://www.cnb.cz/en/financial-markets/foreign-exchange-market/central-bank-exchange-rate-fixing/)
• Údaje: Měna, datum faktury (bez osobních údajů)
• Odpověď: Kurz CZK/cizí měna – vrácený kurz je součástí faktury a uchováván po dobu 10 let
• Právní základ: Čl. 6 odst. 1 písm. b) GDPR – plnění smlouvy (korektní sazby DPH); čl. 6 odst. 1 písm. c) GDPR – právní povinnost (§ 37 ZDPH)
• Poznámka: ČNB je veřejná instituce; dotaz na ČNB není subjektem smlouvy o zpracování

Poskytovatel využívá služby Cloudflare a Resend, která se nacházejí v USA. Přenos osobních údajů do USA je založen na:

1. Standardní smluvní doložky (SCCs) – Cloudflare a Resend mají uzavřeny Standardní smluvní doložky dle rozhodnutí Evropské komise C-311/18 (Schrems II). Obě společnosti v souladu s místním právem USA (zejména FISA Section 702 a Executive Order 12333) zajišťují přiměřenou ochranu osobních údajů.

1. Neon – Databáze je fyzicky umístěna v EU (Frankfurt, eu-central-1), přestože je Neon Inc. registrován v USA. Majitel/správce databáze má datové centrum v EU, a proto se hlavní uchovávání údajů děje v EU.

Poskytovatel rozumí, že právní rámec pro transfery do USA zůstává dynamický. Uživatelé, kteří mají obavy z přenosu údajů do třetích zemí, mohou kontaktovat poskytovatele na adrese uvedené v oddíle 12 a požádat na podrobnosti o opatřeních k ochraně.

Poskytovatel implementuje následující opatření k ochraně osobních údajů:

• Hesla: Hašována algoritmem PBKDF2-SHA256 s 100,000 iteracemi dle OWASP doporučení (s limitem Cloudflare Workers runtime, který neumožňuje vyšší počet).
• Session tokeny: Podepsány HMAC-SHA256, přenášeny v cookie s příznaky httpOnly, secure (v produkci), sameSite=lax.
• Šifrování v přenosu: Veškerá komunikace probíhá přes TLS/HTTPS.
• Šifrování v klidu: Databáze Neon je šifrována na disku; citlivé údaje (hesla, tokeny) jsou hašovány nebo šifrovány.

• Tenant isolation: Každý uživatel (OSVČ/s.r.o.) má izolované údaje. Systém používá dvě strategie:
• Pojmenovaný tenant: Přihlášení z APP_USERS má vlastní fyzickou databázi (zero-cross-access).
• Veřejný tenant: Self-service registrace sdílejí jednu databázi, ale jsou odděleny přes account_id a issuer_id v každé tabulce.
• Žádný fallback: session bez validního tenant klíče je odmítnut.

• Role a oprávnění: Uživatelé mají definované role (vlastník, člen týmu); operace jsou kontrolovány na základě těchto rolí.
• Princip nejmenšího privilegia: Uživatel vidí jen údaje svého účtu a vydané faktury.

• Provozní logy: IP adresy, čas přístupu, typ operace a výsledek jsou zaznamenávány.
• Faktury a doklady: Jsou archivovány po dobu 10 let dle zákona; lze sledovat, kdo co vytvořil a kdy.
• Smazání logy: Nejsou uchovávány; údaje se mažou bez záznamu (s výjimkou faktur, které přetrvávají z důvodu archivace).

• Neon PITR: Point-in-Time Recovery umožňuje obnovení databáze z libovolného času v posledních 7 dnech.
• Redundance: Cloudflare a Neon mají redundanci a failover mechanismy.

• Bankovní výpisy: Pokud uživatel nahraje bankovní výpis pro vyrovnání, jsou bankovní čísla částečně maskována v uživatelském rozhraní (zobrazuje se např. ***1234); plné číslo se neukládá.

• Přístup k databázi: Omezen na autorizovaný provozní tým.
• Vzdálené přístupy: VPN, MFA, klíčový management.
• Incidenty: Poskytovatel má postup hlášení bezpečnostních incidentů (viz oddíl 12 pro kontakt).

Poskytovatel nemá následující certifikace:

• ISO 27001
• SOC 2 Type II
• Penetration test od třetí strany

Jsou-li v budoucnu takové certifikace získány, budou zveřejněny na webu. Tato politika se aktualizuje.

Podle GDPR (čl. 15–22) mají subjekty údajů následující práva:

Subjekt údajů má právo požádat poskytovatele o potvrzení, zda jsou jeho údaje zpracovávány, a má-li k nim právo, o přístup k těmto údajům.

Jak uplatnit: Kontaktovat poskytovatele na e-mailu [E-MAIL] nebo na adrese [SÍDLO]. Žádost musí obsahovat identifikaci subjektu (jméno, e-mail) a jasný popis požadavku.

Lhůta: Poskytovatel odpovídá do 1 měsíce od obdržení žádosti. Lhůta může být prodloužena o 2 měsíce, je-li počet žádostí velmi rozsáhlý.

Forma: Údaje budou poskytnuty v čitelné, nejlépe elektronické formě (CSV, PDF).

Subjekt údajů má právo na opravu nepřesných nebo neúplných údajů. Poskytovatel opravuje údaje bez zbytečného odkladu.

Jak uplatnit: V aplikaci Fakturace se uživatel může přihlásit a sám upravit své údaje (jméno, e-mail, nastavení). Není-li to možné, kontaktovat podporu.

Lhůta: Okamžitě pro údaje, které uživatel spravuje sám; do 1 měsíce pro údaje, na které má právo (stejně jako přístup).

Subjekt údajů má právo požádat na smazání svých údajů, s výjimkami:

Lze smazat:

• Osobní údaje v účtu (jméno, e-mail, heslo, nastavení).
• Osobní kontakty (seznamy kontaktů).
• Logy a historii operací.

Nelze smazat (důvod – povinná archivace dle zákona č. 563/1991 Sb. a č. 235/2004 Sb.):

• Faktury a účetní doklady, které jsou starší než 10 let, nejsou smazány. Faktury, které nejsou starší 10 let, lze smazat.
• Po smazání účtu jsou faktury uchovávaný po dobu 10 let v anonymizované nebo pseudonymizované formě (bez přístupu k živému účtu).

Jak uplatnit: Kontaktovat poskytovatele na e-mailu [E-MAIL]. Žádost musí obsahovat identifikaci (jméno, e-mail) a výslovné potvrzení, že si přeje smazání.

Lhůta: Poskytovatel smaže na základě právního nároku do 1 měsíce. Faktury budou uchovávaný dle archivačních povinností (10 let).

Subjekt údajů může požádat na omezení zpracování (např. když jsou údaje sporné).

Jak uplatnit: E-mail [E-MAIL] s popisem, které údaje mají být omezeny a proč.

Lhůta: Do 1 měsíce od obdržení žádosti poskytovatel potvrdí omezení.

Subjekt údajů má právo obdržet své údaje v běžně používaném, strojově čitelném formátu a právo na jejich přenos jinému správci.

Jak uplatnit: E-mail [E-MAIL] s požadavkem na export údajů.

Formát: CSV, JSON, XML nebo jiný strukturovaný formát.

Lhůta: Do 1 měsíce.

Omezení: Faktury a účetní doklady, které jsou součástí povinné 10leté archivace, mohou být exportovány pouze v jejich právě aktuální formě (bez možnosti „přenosit" je na jinou aplikaci bez porušení archivačních povinností).

Subjekt údajů má právo podat námitku proti zpracování jeho údajů na základě oprávněného zájmu (čl. 6 odst. 1 písm. f).

Poskytovatel si vyhrazuje právo na zpracování údajů pro:

• Zabezpečení (detekce podvodů, prevence zneužití).
• Obchodní sdělení a marketing (na základě souhlasu nebo oprávněného zájmu).

Jak uplatnit: E-mail [E-MAIL] s jasným popisem důvodu námitky.

Lhůta: Poskytovatel zvažuje námitku do 1 měsíce a informuje o rozhodnutí.

Viz oddíl 9 – aplikace Fakturace nepoužívá automatizované rozhodování.

1. Poskytovatel odpovídá na všechny žádosti do 30 dnů od jejich obdržení. Není-li to možné, poskytovatel jej to oznámí a určí nový termín.
2. Žádost musí obsahovat dostatečné údaje k identifikaci subjektu (jméno, e-mail). Žádosti bez identifikace mohou být zamítnuty.
3. Poskytovatel si vyhrazuje právo na ověření identity před zpřístupněním citlivých údajů.
4. Není-li žádost oprávněná nebo je zřejmě podvodná, poskytovatel ji bez zbytečného odkladu zamítne a informuje žadatele.

Aplikace Fakturace nepoužívá:

• Automatizované rozhodování (např. automatické zamítnutí příslušnosti, automatické zablokování účtu na základě algoritmu).
• Profilování (segmentaci uživatelů podle chování, preference nebo rizika).
• Machine learning nebo AI na osobní údaje.
• Datové zpravodajství či prediktivní analýzy zaměřené na jednotlivé uživatele.

Všechna rozhodnutí týkající se přístupu k aplikaci, funkčnosti nebo podpory jsou činěna lidmi nebo jsou čistě automatizované bezpečnostní kontroly (např. blokování podezřelých IP, ale bez důsledků pro účet).

Podrobný popis cookies je uveden v dokumentu cookies.md (součást dokumentace). Zde je stručný přehled:

• Účel: Správa přihlášení a autentizace.
• Typ: HTTP-only, signed, secure (v produkci).
• Doba platnosti: 30 dní od poslední aktivity.
• Obsah: Podepsaný token s identifikátorem uživatele a tenant klíčem.
• Právní základ: Čl. 6 odst. 1 písm. b) GDPR – plnění smlouvy (přístup k aplikaci).

• Účel: Automatické spuštění interaktivního průvodce při přihlášení.
• Typ: Běžný cookie, NE http-only, lze číst z JavaScriptu.
• Doba platnosti: Během jedné relace; je smazán klientem po spuštění průvodce.
• Obsah: Čisté číslo 1 (bez citlivých údajů).
• Právní základ: Čl. 6 odst. 1 písm. a) GDPR – souhlas (nastavení uživatele); nebo čl. 6 odst. 1 písm. f) GDPR – oprávněný zájem (zlepšení UX).

Aplikace používá localStorage (ne cookies) pro:

• theme: Uživatelova preference tmavého/světlého režimu. Obsah: "light" nebo "dark". Toto není cookie a není odesílano na server.

Aplikace Fakturace neobsahuje:

• Google Analytics, Mixpanel, Segment nebo jiné analytics.
• Cookies třetích stran (kromě Cloudflare a Resend, které se poskytují jako integrální součást hostingu a e-mailu).
• Sledovací pixely nebo beacon skripty.

Je-li v budoucnu analytics přidáno, bude vyžadován souhlas uživatele a bude zveřejněn aktualizovaný seznam cookies a příslušný consent banner.

Poskytovatel si vyhrazuje právo měnit tyto zásady. Změní-li se podmínky, poskytovatel:

1. Zveřejní novou verzi na [URL APLIKACE]/privacy nebo podobně.
2. Informuje registrované uživatele e-mailem nebo oznámením v aplikaci, je-li změna podstatná.
3. Změna nabývá účinnosti od data zadaného v novém dokumentu.

Pokračováním v používání aplikace po zveřejnění změn uživatel vyjadřuje souhlas s aktualizovanými zásadami.

Dotazy a žádosti týkající se ochrany osobních údajů:

• E-mail: [E-MAIL]
• Telefon: [TELEFON]
• Adresa: [SÍDLO]

Poskytovatel se zavazuje odpovídat na dotazy v angličtině i češtině.

Tyto zásady vycházejí z:

• Nařízení (EU) 2016/679 (GDPR)
• Zákona č. 110/2019 Sb., o zpracování osobních údajů
• Zákona č. 89/2012 Sb., občanský zákoník (obchodní podmínky, distanční nákupy)
• Zákona č. 563/1991 Sb., o účetnictví
• Zákona č. 235/2004 Sb., o dani z přidané hodnoty (archivace daňových dokladů)
• Zákona č. 480/2004 Sb., o podnikání
• Zákona č. 634/1992 Sb., o ochraně spotřebitele

Máte-li pocit, že vaše práva na ochranu osobních údajů byla porušena, máte právo podat stížnost:

1. U poskytovatele: Nejdříve kontaktujte poskytovatele (e-mail, telefon výše) a poskytněte prostor na řešení.
2. U dozorového úřadu: Pokud nejste spokojem s odpovědí poskytovatele, můžete podat stížnost Úřadu pro ochranu osobních údajů (ÚOOÚ):

Úřad pro ochranu osobních údajů (ÚOOÚ)
Pplk. Sochora 27
170 00 Praha 7
E-mail: posta@uoou.cz
Web: www.uoou.cz

Dle zákona č. 634/1992 Sb., o ochraně spotřebitele, je pro mimosoudní řešení sporů příslušna Česká obchodní inspekce (ČOI):

Česká obchodní inspekce
Web: adr.coi.cz

TOTO JE NÁVRH DOKUMENTU PŘIPRAVENÝ PROVOZUJÍCÍM TÝMEM. PŘED PUBLIKOVÁNÍM MUSÍ BÝT PRÁVNĚ PŘEZKOUMÁN ADVOKÁTEM SE SPECIALIZACÍ NA GDPR A ČESKOU PRÁVNÍ ÚPRAVU.

Ačkoliv byl obsah tohoto dokumentu připraven s důrazem na přesnost a soulad s právní úpravou, nejde o právní radu. V případě jakýchkoliv nejasností nebo právních otázek kontaktujte právního poradce nebo Úřad pro ochranu osobních údajů.

Účinnost: Tento dokument je účinný od [DATUM ÚČINNOSTI] a nahrazuje všechny předchozí verze.

Verze: 1.0