Zásady ochrany osobních údajů

Správce osobních údajů

Správcem osobních údajů je provozovatel platformy Zettl:

1. Rozsah zpracovávaných údajů

1.1 Identifikační a kontaktní údaje

• Jméno, příjmení, e-mailová adresa
• Název společnosti, obchodní adresa (ulice, město, PSČ, země)
• IČO, DIČ, status plátce DPH
• Jazykové a měnové preference, preference zobrazení

1.2 Finanční údaje

• Záznamy o bankovních transakcích (datum, popis, částka, měna, kategorie)
• Faktury včetně položek, proforma faktury, dobropisy
• Soubory účtenek a extrahovaná metadata
• Přihlašovací údaje k bankovním API (šifrované tokeny)
• Záznamy o klientech (šifrované)
• Rozpočtové položky a záznamy o výdajích
• Fakturační údaje a historie plateb za předplatné (od spuštění plateb); údaje o platební kartě zpracovává přímo Stripe a Správce je nevidí

1.3 Technické a provozní údaje

• IP adresy (auditní záznamy)
• User agent řetězce (auditní záznamy)
• Protokoly zpracování e-mailů (odesílatel, předmět, počet příloh, stav)
• Protokoly chyb synchronizace
• Čítače rate limitů
• OAuth tokeny pro Google Drive (šifrované)
• Chybová hlášení aplikace a záznamy průběhu části relací se skrytým textem (Sentry)

2. Účely zpracování a právní základ

3. Příjemci a zpracovatelé osobních údajů

Osobní údaje mohou být předány následujícím kategoriím příjemců (zpracovatelů):

Databáze a nahrané soubory jsou uloženy v EU (Irsko), chybová hlášení v EU (Německo). Někteří zpracovatelé jsou však společnosti se sídlem v USA nebo provozují celosvětovou infrastrukturu, takže u zpracovatelů označených „EU/USA“ nebo „USA“, a u zpracovatelů se sídlem v USA i tehdy, když jsou data uložena v EU, může docházet k předávání osobních údajů mimo EU. Předávání probíhá na základě rozhodnutí Evropské komise o odpovídající ochraně (EU-US Data Privacy Framework) u certifikovaných příjemců, jinak na základě standardních smluvních doložek (čl. 46 GDPR). Při načítání webových fontů z Google Fonts zpracovává Google LLC IP adresu návštěvníka. Na přihlašovacích formulářích a ve formuláři žádosti o přístup používáme Cloudflare Turnstile: aby rozlišil lidi od botů, zpracovává Cloudflare IP adresu a technické údaje o prohlížeči a zařízení. Právním základem obojího je náš oprávněný zájem na zabezpečení a fungování služby (čl. 6 odst. 1 písm. f) GDPR).

4. Zabezpečení osobních údajů

• Šifrování v klidu: AES-GCM šifrování na úrovni polí prostřednictvím klíčů odvozených PBKDF2
• Šifrování při přenosu: HTTPS/TLS pro veškerou komunikaci
• Row Level Security: PostgreSQL RLS — uživatelé mají přístup pouze ke svým datům nebo sdíleným datům organizace
• Auditní záznamy: logování všech citlivých operací
• Ochrana přihlášení: CAPTCHA (Cloudflare Turnstile) a omezení počtu požadavků (rate limiting)
• Zálohy: denní šifrované zálohy uchovávané 30 dní

5. Doba uchovávání údajů

• Údaje aktivního účtu: po celou dobu trvání účtu
• Po skončení předplatného nebo zkušební doby: 12 měsíců v režimu pouze pro čtení (prohlížení a export), poté smazání nejdříve 30 dní po upozornění e-mailem
• Po smazání účtu: smazání údajů v databázi a souborů dokladů a log evidovaných v Platformě bez zbytečného odkladu, nejpozději do 30 dnů; ze záloh do dalších 30 dnů. Soubory, které již nejsou přiřazeny k žádnému záznamu, smažeme do 30 dnů na žádost zaslanou na info@idex-corp.com
• Účetní doklady o platbách za předplatné: po dobu, kterou stanoví účetní a daňové předpisy
• Auditní záznamy: 12 měsíců od vytvoření
• Protokoly zpracování e-mailů: 6 měsíců

6. Práva subjektu údajů

V souladu s GDPR máte následující práva:

• Právo na přístup (čl. 15 GDPR) — získat potvrzení o zpracování a kopii údajů
• Právo na opravu (čl. 16 GDPR) — opravit nepřesné údaje
• Právo na výmaz (čl. 17 GDPR) — „právo být zapomenut"
• Právo na omezení zpracování (čl. 18 GDPR)
• Právo na přenositelnost údajů (čl. 20 GDPR) — export dat v JSON formátu
• Právo vznést námitku (čl. 21 GDPR) — proti zpracování na základě oprávněného zájmu
• Právo odvolat souhlas — kdykoli, bez vlivu na zákonnost předchozího zpracování
• Právo podat stížnost — u Úřadu pro ochranu osobních údajů (www.uoou.cz)

Svá práva můžete uplatnit zasláním e-mailu na info@idex-corp.com. Na žádost odpovíme bez zbytečného odkladu, nejpozději do 30 dnů.

7. Export a smazání dat

Platforma umožňuje úplný export uživatelských dat ve formátu JSON (transakce, faktury, účtenky, klienti, párování, auditní záznamy).

Smazání účtu a dat je možné prostřednictvím nastavení Platformy nebo žádostí na e-mail Správce.

8. Automatizované rozhodování a profilování

Platforma využívá AI funkce pro extrakci dat z dokladů a párování transakcí. Jedná se o automatizované zpracování, nikoli však o automatizované rozhodování s právními účinky ve smyslu čl. 22 GDPR.

Údaje přečtené z dokladů Platforma rovnou uloží a Uživatel je může kdykoli opravit. Párování, jehož skóre shody dosáhne alespoň 70 ze 100, Platforma použije automaticky, bez potvrzení Uživatelem; na základě ověřené příchozí platby může také označit vystavenou fakturu jako uhrazenou. Párování dokladu s platbou lze jedním kliknutím zrušit; fakturu označenou jako uhrazenou vrátíte změnou jejího stavu. Uživatel je povinen výsledky před dalším použitím zkontrolovat.

9. Změny zásad

O změnách těchto Zásad budeme informovat prostřednictvím e-mailu nebo oznámení v Platformě. Aktuální znění je vždy dostupné na Platformě.

10. Kontakt