Zásady zpracování osobních údajů

> **NÁVRH – KE KONTROLE.** Text připravil Claude Code jako podklad pro > kontrolu zadavatelem (JUDr., DPO). Nejde o hotový právní dokument. Místa > označená **[OVĚŘIT]** obsahují údaj nebo odkaz na předpis, u kterého si > autor návrhu není jistý. Datum „platnost od“ je datum návrhu, ne datum > účinnosti. # Zásady zpracování osobních údajů – služba Příjemkomat Verze 0.9-draft Tyto zásady vysvětlují, jak společnost HARTMANN servis, spol. s r.o. zpracovává osobní údaje uživatelů a zákazníků služby Příjemkomat jako **správce**. Zpracování se řídí nařízením Evropského parlamentu a Rady (EU) 2016/679 (obecné nařízení o ochraně osobních údajů, dále jen „GDPR“) a zákonem č. 110/2019 Sb., o zpracování osobních údajů. Tyto zásady se **nevztahují** na osobní údaje obsažené v dokladech, které zákazník do služby nahraje (např. jména a kontakty na fakturách dodavatelů). Tyto údaje zpracováváme pro zákazníka jako zpracovatel podle Zpracovatelské smlouvy, která je přílohou VOP; správcem je zákazník. ## 1. Správce a kontakt - **Správce:** HARTMANN servis, spol. s r.o., IČ 27159680, se sídlem [OVĚŘIT – sídlo] - **Kontaktní e‑mail pro ochranu osobních údajů:** [OVĚŘIT – adresa] - **Pověřenec pro ochranu osobních údajů:** [OVĚŘIT – zda je jmenován; pokud ano, jméno a kontakt] ## 2. Jaké údaje zpracováváme | Kategorie | Údaje | Odkud je máme | |---|---|---| | Údaje uživatelů | jméno, e‑mail, hash hesla (heslo samotné neznáme), role, jazyk, stav účtu, čas posledního přihlášení | od uživatele, nebo od administrátora zákazníka při pozvání | | Fakturační údaje zákazníka | obchodní firma nebo jméno podnikatele, IČO, DIČ / IČ DPH, adresa, fakturační e‑mail | od zákazníka při registraci; u českých zákazníků předvyplnění z registru ARES | | Platební údaje | číslo účtu a název plátce, částka, variabilní symbol, zpráva pro příjemce, datum platby | z výpisu našeho bankovního účtu | | Faktury a pohyby kreditů | vystavené daňové doklady, nákupy, spotřeba a vrácení kreditů | vznikají používáním služby | | Záznamy o souhlasech | odsouhlasení VOP a dalších dokumentů (verze, čas, uživatel, IP adresa, identifikace prohlížeče), změny režimu učení (čas, uživatel, IP adresa) | vznikají používáním služby | | Provozní a bezpečnostní záznamy (logy) | IP adresa, identifikace prohlížeče, časy přihlášení a pokusů o přihlášení, záznamy o úkonech v účtu (kdo nahrál, exportoval, smazal doklad, změnil nastavení) | vznikají používáním služby | | Komunikace | obsah reklamací, žádostí o nový formát čtení, e‑mailů a dalších zpráv | od uživatele | Logy aplikace neobsahují obsah dokladů, hesla ani přístupové tokeny. ## 3. Proč a na jakém právním základě | Účel | Právní základ | |---|---| | Registrace, vedení účtu, přihlašování, poskytování služby, provozní e‑maily (ověření e‑mailu, obnova hesla, pozvánky, platební pokyny, upozornění na zůstatek, propadnutí a expiraci, vyřízení reklamace, změny VOP) | plnění smlouvy – čl. 6 odst. 1 písm. b) GDPR | | Vystavení a archivace daňových dokladů, vedení účetnictví | plnění právní povinnosti – čl. 6 odst. 1 písm. c) GDPR (předpisy o účetnictví a DPH) | | Spárování plateb s platebními pokyny | plnění smlouvy – čl. 6 odst. 1 písm. b) GDPR | | Prokázání odsouhlasení VOP a změn nastavení, vyřizování reklamací a sporů | oprávněný zájem – čl. 6 odst. 1 písm. f) GDPR | | Zabezpečení služby, ochrana proti zneužití (omezení počtu registrací z jedné IP adresy, blokace jednorázových e‑mailových adres, jedny zkušební kredity na IČO, omezení pokusů o přihlášení) | oprávněný zájem – čl. 6 odst. 1 písm. f) GDPR | Službu neposkytujeme spotřebitelům a nezasíláme obchodní sdělení. [OVĚŘIT – pokud se budou zasílat novinky, doplnit účel a právní základ] Automatizované rozhodování s právními účinky vůči fyzickým osobám neprovádíme. Automatické vyřízení reklamace (vrácení kreditů) se týká zákazníka jako podnikatele a vždy ho lze nechat přezkoumat provozovatelem. [OVĚŘIT] ## 4. Komu údaje předáváme Údaje předáváme jen v rozsahu nezbytném pro daný účel: - **poskytovateli hostingu** (server ve virtuálním prostředí v EU) a **poskytovateli rozesílání e‑mailů** – jako našim zpracovatelům; jejich aktuální seznam je v dokumentu Seznam subzpracovatelů, - **bance**, u které vedeme účet (Fio banka, a.s.) – údaje o přijatých platbách z ní získáváme; [OVĚŘIT – postavení banky, spec kap. 21 bod 5], - **externí účetní / daňovému poradci**, pokud jej využíváme [OVĚŘIT], - **orgánům veřejné moci**, pokud nám to ukládá zákon. Poskytovatelům umělé inteligence údaje uživatelů ani fakturační údaje zákazníků nepředáváme; předáváme jim jen obsah dokladů ke zpracování (viz Zpracovatelská smlouva). Do zemí mimo Evropský hospodářský prostor předáváme údaje jen s odpovídajícími zárukami podle kapitoly V GDPR. [OVĚŘIT – zda se to týká poskytovatele e‑mailů] ## 5. Jak dlouho údaje uchováváme | Údaje | Doba uchování | |---|---| | Údaje uživatelů | po dobu existence účtu uživatele; po zrušení účtu zákazníka nebo deaktivaci uživatele se anonymizují [OVĚŘIT – lhůta po deaktivaci uživatele] | | Fakturační údaje, faktury, platební údaje, pohyby kreditů a hlavičky dokladů | po dobu trvání smlouvy a poté po dobu stanovenou předpisy o účetnictví a DPH [OVĚŘIT – lhůta podle zákona č. 563/1991 Sb., o účetnictví, a zákona č. 235/2004 Sb., o dani z přidané hodnoty] | | Záznamy o odsouhlasení dokumentů a změnách režimu učení | po dobu trvání smlouvy a poté [OVĚŘIT – po dobu promlčecí lhůty] | | IP adresy v auditních záznamech | 12 měsíců | | Provozní logy aplikace | [OVĚŘIT – doba] | | Zálohy databáze | 30 denních a 12 měsíčních záloh; zálohy neobsahují soubory dokladů | ## 6. Vaše práva Máte právo: - na **přístup** k osobním údajům, které o vás zpracováváme (čl. 15 GDPR), - na **opravu** nepřesných údajů (čl. 16 GDPR), - na **výmaz**, pokud pro zpracování odpadl důvod (čl. 17 GDPR), - na **omezení zpracování** (čl. 18 GDPR), - na **přenositelnost** údajů, které zpracováváme na základě smlouvy (čl. 20 GDPR); administrátor zákazníka může data účtu stáhnout jedním kliknutím v nastavení, - **vznést námitku** proti zpracování založenému na oprávněném zájmu (čl. 21 GDPR), - podat **stížnost** u dozorového úřadu, kterým je Úřad pro ochranu osobních údajů (www.uoou.cz) (čl. 77 GDPR). Práva můžete uplatnit e‑mailem na kontaktní adresu v čl. 1. Odpovíme bez zbytečného odkladu, nejpozději do jednoho měsíce (čl. 12 odst. 3 GDPR). ## 7. Cookies Služba používá jen cookies nezbytné pro přihlášení a zabezpečení (relační cookie, ochrana proti CSRF). Analytické ani reklamní cookies nepoužívá. [OVĚŘIT – zůstane‑li to tak i na prezentačním webu] ## 8. Zabezpečení Služba běží na serveru v EU přístupném jen přes šifrované spojení (HTTPS). Hesla ukládáme jen ve formě hashe (Argon2id). Přístup k databázi mají jen pověření pracovníci provozovatele. Soubory dokladů se mažou podle lhůt ve VOP a nejsou součástí záloh. ## 9. Změny zásad Zásady můžeme aktualizovat. Aktuální verze je vždy zveřejněna ve službě; o podstatných změnách informujeme uživatele e‑mailem.