Informační povinnost o ochraně osobních údajů

2.1 Uzavření smlouvy a poskytování služeb portálu

Účel: Registrace a správa uživatelských účtů; zprostředkování poptávek a příloh zpřístupněním vybraným Agenturám v jejich účtu; zasílání technických a transakčních notifikací e-mailem (např. potvrzení odeslání poptávky, seznam příjemců, fakturační údaje).

2.2 Splnění právní povinnosti

Účel: Plnění povinností vyplývajících z právních předpisů (účetnictví, daně, archivace)

Právní základ: čl. 6 odst. 1 písm. c) nařízení GDPR - zpracování je nezbytné pro splnění právní povinnosti

Zpracovávané údaje: fakturační údaje, údaje potřebné pro daňové účely a vedení účetnictví

Doba zpracování: po zákonem stanovenou dobu pro účetní a daňové doklady; smluvní dokumentaci a faktury archivujeme obvykle 10 let.

2.3 Oprávněné zájmy správce

Právní základ: čl. 6 odst. 1 písm. f) nařízení GDPR - oprávněné zájmy správce

Oprávněný zájem: Informování registrovaných uživatelů o možnostech portálu souvisejících s jejich původní registrací představuje oprávněný zájem, který nepřevažuje nad právy subjektů údajů. Zasílání se provádí v minimálním rozsahu a subjekt údajů má právo kdykoli vznést námitku. Každý e-mail obsahuje funkční odhlašovací odkaz, který umožňuje okamžité uplatnění tohoto práva.

Výchozí nastavení: Při registraci je zasílání e-mailů o aktualizacích produktů (nové funkce a důležitá oznámení) ve výchozím nastavení zapnuto. Uživatel může tuto předvolbu kdykoli změnit v sekci Nastavení účtu → Oznámení → Předvolby upozornění. Zasílání podle tohoto bodu probíhá nejvýše 2 roky od posledního aktivního používání portálu uživatelem; následně se automaticky zastaví, pokud uživatel portál dále aktivně nepoužívá.

2.4 Souhlas subjektu údajů

Právní základ: čl. 6 odst. 1 písm. a) nařízení GDPR - souhlas subjektu údajů

Udělení souhlasu: V registračním formuláři je samostatné, ve výchozím nastavení nezaškrtnuté zaškrtávací políčko pro udělení souhlasu se zasíláním marketingových e-mailů (informace o akcích, speciálních nabídkách a slevách). Souhlas je nezávislý na registraci - využívání portálu není podmíněno jeho udělením. Souhlas trvá nejvýše 2 roky od posledního aktivního projevu zájmu, případně do jeho odvolání. Tento souhlas můžete kdykoli odvolat v sekci Nastavení účtu → Oznámení → Předvolby upozornění nebo prostřednictvím odhlašovacího odkazu v každém e-mailu. Odvolání souhlasu nemá vliv na zákonnost zpracování před odvoláním.

Auditní záznam o udělení a odvolání souhlasu. Při každém udělení nebo odvolání marketingového souhlasu Správce uchovává v interním auditním záznamu datum a čas změny, kontext změny (registrace, nastavení účtu, odhlašovací odkaz, smazání účtu), User-Agent prohlížeče nebo poštovního klienta a verzi těchto Zásad účinnou v době změny. Záznam slouží jako důkazní prostředek podle čl. 7 odst. 1 GDPR a uchovává se po dobu trvání souhlasu a následně ještě 4 roky od jeho odvolání nebo do anonymizace účtu (podle toho, co nastane dříve).

Každý informační nebo marketingový e-mail obsahuje funkční odhlašovací odkaz, jehož prostřednictvím lze souhlas kdykoli odvolat.

2.5 Bezpečnostní opatření

• Správce uplatňuje zásadu ochrany osobních údajů již při návrhu a ve výchozím nastavení (privacy by design/by default):
  • přenos údajů mezi prohlížečem a Portálem je vždy chráněn šifrováním (TLS/HTTPS),
  • citlivé údaje z formulářů (kontaktní údaje, obsah poptávek, přílohy) se ukládají v šifrované databázi („encryption at rest“),
  • přístup k serveru a databázi mají pouze oprávněné osoby Správce; přístupy jsou logovány a pravidelně kontrolovány,
  • technické logy a bezpečnostní záznamy se uchovávají v omezeném rozsahu (zejména IP adresa, čas požadavku a technické identifikátory) maximálně 90 dní.

2.6 Zpracování IP adresy a údajů o relacích (sessions)

Účel: Zajištění přihlášení, ochrana účtu před neoprávněným přístupem, poskytnutí přehledu aktivních relací přihlášenému uživateli a prokazatelnost žádostí o smazání účtu.

Právní základ: čl. 6 odst. 1 písm. f) nařízení GDPR — oprávněný zájem Správce na bezpečném provozu portálu, ochraně účtů uživatelů před zneužitím a na splnění povinnosti odpovědnosti (accountability) podle čl. 5 odst. 2 GDPR.

Přehled aktivních relací: Přihlášený uživatel má v sekci Nastavení účtu → Bezpečnost → Aktivní relace k dispozici seznam svých aktivních přihlášení včetně země, prohlížeče, zařízení, operačního systému a času poslední aktivity a může jednotlivé relace kdykoli ukončit (odhlásit).

Audit smazání účtu: Cílem zaznamenání IP adresy a User-Agentu při smazání účtu je prokazatelnost žádosti pro případ jejího zpochybnění (např. podezření na neoprávněné smazání třetí osobou), umožnění kontroly podezřelé aktivity a splnění povinnosti odpovědnosti (accountability) podle čl. 5 odst. 2 GDPR.

Doba uchovávání: záznamy o relacích se uchovávají po dobu trvání aktivní relace a po odhlášení nebo expiraci nejvýše 30 dní; potvrzující e-maily o smazání účtu včetně IP a User-Agentu se uchovávají v e-mailové schránce Správce po nezbytnou dobu prokázání žádosti, nejdéle však 12 měsíců.

3.1 Za účelem poskytování služeb a splnění právních povinností:

• Agentury - příjemci (samostatní správci): vybraným Agenturám se zpřístupní poptávky a přílohy; zpracovávají je pro vlastní účely náboru. Seznam konkrétních Agentur se subjektu údajů zasílá e-mailem po odeslání poptávky
• Dodavatelé IT služeb (technická správa aplikace, CDN, bezpečnostní služby, objektové úložiště příloh)
• Účetní, daňoví poradci
• Právní zástupce/advokátní kancelář - pouze v případě vymáhání nebo obrany právních nároků; advokát v takovém případě vystupuje jako samostatný správce a nemá přístup k Portálu ani k databázi
• Státní instituce: finanční úřad, orgány dozoru (Česká obchodní inspekce, Úřad pro ochranu osobních údajů), soudy, exekutoři, orgány činné v trestním řízení

3.2 Konkrétní zpracovatelé:

• Serverová infrastruktura: Portál je provozován na vlastním serveru Provozovatele umístěném v datovém centru v rámci Evropské unie; v oblasti hostingu databáze nevyužíváme samostatného externího zpracovatele.
• Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA - poskytování sítě CDN, TLS šifrování a ochrany proti útokům; Cloudflare R2 (EU) - objektové úložiště příloh; Cloudflare Images - distribuce veřejných obrázků nahraných agenturami (u této služby může docházet k přenosům mimo EU); Cloudflare Turnstile - ochrana formulářů proti botům (přihlášení, registrace, kontaktní formulář, poptávky, obnovení hesla).
• Analytické služby: PostHog, Spojené království/USA — analytika návštěvnosti webu
• Vývoj a technická správa: Proxels Technologies Limited, Suite C2, 4-6 Greatorex Street, London, United Kingdom, E1 5NF, Company ID: 16329127
• Obrázky nahrané agenturami mohou obsahovat i osobní údaje (například podobiznu fyzické osoby). Tyto obrázky jsou určeny ke zveřejnění agenturami a jsou veřejně přístupné prostřednictvím služby Cloudflare Images (CDN). Za obsah obrázků nesou primární odpovědnost samotné agentury, které je nahrály. Přenosy údajů prostřednictvím Cloudflare Images mohou zahrnovat i přenos do třetích zemí mimo EU, který je zabezpečen prostřednictvím standardních smluvních doložek (SCC) nebo mechanismem Data Privacy Framework (DPF).

4.1 Údaje za účelem smlouvy a právních povinností:

• Údaje v profilech agentur a poboček se uchovávají po celou dobu existence registrace uživatele. Uživatel může agenturu, pobočku nebo celý uživatelský účet odstranit; odstraněné údaje jsou okamžitě skryty (měkké smazání). Po uplynutí 90 dnů od žádosti o smazání jsou osobní údaje nevratně anonymizovány — identifikační a kontaktní údaje (jméno, příjmení, e-mail, telefon, adresa) se ze záznamu odstraní tak, že je není možné zpětně přiřadit ke konkrétní fyzické osobě ani na straně Správce, ani třetí stranou. Šifrované zálohy databáze se pravidelně automaticky přepisují v cyklech určených interním plánem obnovy systému (disaster recovery); přesnou dobu uchovávání záloh Správce z bezpečnostních důvodů nezveřejňuje, na základě odůvodněné žádosti subjektu údajů ji však poskytne v přiměřeném rozsahu.
• Obchodní a účetní záznamy (faktury, objednávky služeb, přijaté platby, daňové doklady) ponecháváme i po anonymizaci uživatelského účtu v rozsahu vyžadovaném platnými daňovými a účetními předpisy — včetně fakturačních údajů právnické osoby (obchodní firma, identifikační číslo, DIČ a fakturační adresa), zpravidla po dobu 10 let od konce účetního období. Uchovávání těchto údajů je plněním právní povinnosti Správce ve smyslu čl. 6 odst. 1 písm. c) a čl. 17 odst. 3 písm. b) nařízení GDPR. Osobní údaje fyzických osob (jméno, příjmení, e-mail, telefon, doručovací adresa) se z těchto záznamů anonymizují tam, kde to není v rozporu s uvedenými zákonnými povinnostmi.
• E-mailová adresa použitá při registraci zůstává po smazání účtu blokována pro opětovnou registraci po dobu 90 dnů z bezpečnostních důvodů. Po uplynutí této lhůty je možné stejný e-mail použít k vytvoření zcela nového, samostatného účtu bez jakékoli vazby na původní anonymizovaný záznam.
• Tím nejsou dotčeny zvláštní lhůty pro poptávky, přílohy a technické logy podle bodu 4.2.

4.2 Retence:

• Poptávky a přílohy se uchovávají nejvýše 90 dní. Po uplynutí lhůty se poptávky a přílohy nevratně odstraní; zůstává pouze interní informace o tom, že poptávka byla doručena, bez osobních údajů. Šifrované zálohy databáze podléhají samostatnému cyklu pravidelného přepisování podle bodu 4.1.
• Technické logy (včetně IP adres): 90 dní od vytvoření záznamu; po uplynutí lhůty probíhá automatické odstranění nebo agregace do anonymní podoby.
• Cookies a obdobné technologie (localStorage, sessionStorage): podle dokumentu „Informační povinnost k souborům cookies“ (analytické identifikátory PostHog — 365 dní; technické autentizační cookies — 4 hodiny nebo 30 dní; consent cookie cookie_consent — 365 dní; analytické cookies a nástroje se aktivují až po udělení souhlasu).

5.1 Právo na přístup k osobním údajům (čl. 15 GDPR)

Máte právo vědět, jaké osobní údaje o Vás zpracováváme, a získat kopii těchto údajů.

5.2 Právo na opravu (čl. 16 GDPR)

Máte právo požadovat opravu nepřesných nebo neúplných osobních údajů.

5.3 Právo na výmaz (čl. 17 GDPR)

5.4 Právo na omezení zpracování (čl. 18 GDPR)

5.5 Právo vznést námitku proti zpracování (čl. 21 GDPR)

Máte právo vznést námitku proti zpracování na základě oprávněného zájmu včetně přímého marketingu.

5.6 Právo na přenositelnost údajů (čl. 20 GDPR)

Při zpracování na základě souhlasu nebo smlouvy máte právo získat své údaje ve strukturovaném formátu a přenést je k jinému správci.

5.7 Právo odvolat souhlas (čl. 7 GDPR)

Při zpracování na základě souhlasu máte právo souhlas kdykoli odvolat. Odvolání nemá vliv na zákonnost zpracování před odvoláním.

5.8 Právo podat stížnost (čl. 77 GDPR)

Subjekt údajů má právo podat stížnost u Úřadu pro ochranu osobních údajů, případně u dozorového úřadu členského státu EU svého obvyklého bydliště nebo místa výkonu zaměstnání; podrobnosti včetně kontaktních údajů viz čl. 7.

• Adresa: Pplk. Sochora 27, 170 00 Praha 7, Česká republika
• Telefon: +420 234 665 111
• E-mail: posta@uoou.gov.cz
• Web: https://uoou.gov.cz/

11.1 Postup smazání účtu

Smazání účtu může uživatel kdykoli iniciovat v sekci Nastavení účtu → Účet a údaje → Smazat účet zadáním aktuálního hesla a potvrzením žádosti. Po potvrzení se účet okamžitě měkce smaže - přihlášení již není možné, všechny aktivní relace se ukončí a profil se skryje před ostatními uživateli portálu. Současně se skryjí i všechny související záznamy (agentury, pobočky, delegovaní uživatelé, poptávky přijaté agenturami).

Na e-mailovou adresu uživatele se zašle potvrzující e-mail s detaily smazání (seznam smazaných údajů, IP adresa a User-Agent, ze kterých byla žádost odeslána, upozornění na blokování e-mailu na 90 dní). Interní kopie tohoto e-mailu se zasílá na zvláštní adresu Správce pro účely auditu.

11.2 Anonymizace po 90 dnech

Po uplynutí 90 dnů od žádosti o smazání účtu se osobní údaje uživatele a údaje souvisejících agentur a poboček nevratně anonymizují tak, že je není možné zpětně přiřadit ke konkrétní fyzické osobě (čl. 4 bod 5 a recitál 26 nařízení GDPR). Konkrétně:

Anonymizace je nevratná — po jejím provedení neexistuje způsob, jak z anonymizovaného záznamu obnovit původní identifikační údaje, a tyto údaje proto nepředstavují osobní údaje ve smyslu čl. 4 bodu 1 GDPR a recitálu 26 nařízení GDPR.

11.3 Blokování e-mailové adresy

E-mailovou adresu použitou při původní registraci není možné použít k vytvoření nového účtu po dobu 90 dnů od smazání (technická ochrana před náhlými opakovanými registracemi a uchování údajů pro případné zpětné prokázání žádosti). Po uplynutí 90 dnů a provedení anonymizace je možné stejný e-mail použít k vytvoření zcela nového, samostatného účtu bez jakékoli vazby na původní anonymizovaný záznam.

11.4 Přístup k fakturám a objednávkám po smazání účtu

Smazáním účtu uživatel ztrácí přístup ke svým fakturám v uživatelském rozhraní. Původní e-maily s potvrzením objednávek a daňovými doklady zůstávají v e-mailové schránce uživatele. Pokud je uživatel potřebuje znovu získat, může kontaktovat podporu na adrese support@rekuvo.cz. Originální daňové doklady (PDF faktur) zůstávají uloženy u Správce po dobu vyžadovanou platnými daňovými a účetními předpisy (zpravidla 10 let) a Správce má právo zaslat je uživateli i po smazání účtu na základě ověření identity.