Zásady ochrany osobních údajů

Provozovatel

Michal Michovský, IČO 23503149, se sídlem Na pěšinách 247/5, Kobylisy, 182 00 Praha 8, fyzická osoba podnikající dle živnostenského zákona (OSVČ). Provozovatel není plátcem DPH. Kontakt: podpora@schvalovacka.com, tel. +420 728 891 763.

1. Kdy jsme správce a kdy zpracovatel

Zpracovatel: u dat, která do služby vkládají zákaznické firmy a jejich uživatelé (doklady, údaje schvalovatelů). Správcem těchto dat je zákaznická firma; my je zpracováváme jen podle jejích pokynů a v rozsahu popsaném v těchto zásadách, které tvoří nedílnou součást Obchodních podmínek.

Správce: u dat potřebných k provozu vztahu se zákazníkem: kontaktní a fakturační údaje, e-maily v registraci/podpoře, technické logy.

Přístup provozovatele: provozovatel (jeho oprávněná osoba, tedy vlastník platformy) má z titulu správy a provozu služby technicky přístup ke všem datům všech firem, a to pro provoz, podporu, řešení incidentů a zabezpečení. Tento přístup je vázán mlčenlivostí a zaznamenává se do neměnného auditního logu. Údaje zákaznických firem nepoužíváme k jiným účelům a nepředáváme je dál (viz níže).

2. Jaké údaje zpracováváme

Uživatelé: jméno, pracovní e-mail, role a úroveň v hierarchii schvalování; technické: hash hesla (ne heslo), šifrovaný klíč k 2FA, případné passkeye, časy a IP adresy přihlášení v auditním logu.

Doklady: dodavatel, částka, datum, popis, zakázka a soubor dokladu. Jde převážně o firemní/účetní data; osobní údaj se může objevit v textu a chráníme ho stejně.

Registrace: jméno, e-mail, název firmy, IČO, případně preferovaný tarif.

Provozní měření vlastní aplikace: kolikrát se která obrazovka zobrazila a text technické chyby, když aplikace ve vašem prohlížeči spadne. Ukládá se souhrn za firmu, den a obrazovku, bez jména a bez identifikátoru člověka, a slouží jen k tomu, abychom poruchu našli dřív než vy. Z textu chyby ještě vyřazujeme e-mailové adresy a delší řady číslic. Nic z toho neodchází mimo naše servery.

Nepoužíváme reklamní ani analytické cookies třetích stran a neprofilujeme.

3. Účel a právní základ

• Poskytování služby zákazníkovi: plnění smlouvy / pokyny správce.
• Správa účtu, fakturace, podpora: plnění smlouvy / oprávněný zájem.
• Zabezpečení, prevence zneužití, audit: oprávněný zájem.
• Účetní/daňové povinnosti u našich faktur: zákonná povinnost.

4. Umělá inteligence (transparence)

Při nahrání dokladu se jeho obsah posílá do služby umělé inteligence (Cloudflare Workers AI), aby se předvyplnila pole formuláře (dodavatel, částka, datum…). Výsledek vždy kontroluje člověk; AI nerozhoduje samostatně a nic si z ní neukládáme.

5. Jak dlouho údaje držíme

• Doklady: po dobu trvání smlouvy; zákonné archivační lhůty (zpravidla 5-10 let) jsou povinností zákazníka; umožníme export před smazáním.
• Účty: po dobu členství ve firmě; deaktivace zachová auditní stopu.
• Po ukončení smlouvy: data na pokyn zákazníka vrátíme/exportujeme a poté smažeme (vč. souborů), nebrání-li tomu zákon.
• Zálohy: smazaná data ještě nějakou dobu zůstanou v zálohách, protože zálohy jsou zamčené proti přepisu (chrání to vaše data před útokem, při kterém se nejdřív ničí zálohy). Ze zálohy je proto nemažeme. Místo toho vedeme seznam provedených výmazů a při každé obnově ze zálohy se výmazy zopakují, takže se smazaná data nevrátí do provozu. Zálohy se přepisují postupně a nejpozději do 90 dnů po nich nezůstane stopa.

6. Komu údaje předáváme (subdodavatelé)

• Cloudflare: hosting, databáze, úložiště souborů, AI čtení dokladů (data v regionu EU).
• Resend: odesílání transakčních e-mailů.

Údaje neprodáváme a nepředáváme nikomu dalšímu, vyjma plnění zákonných povinností.

7. Předání mimo EU

Data služby běží a ukládají se v EU. Pokud některý subdodavatel zpracovává údaje mimo EU, děje se tak na základě standardních smluvních doložek (SCC) schválených Evropskou komisí.

8. Zabezpečení

• Dvoufázové ověření (2FA) a volitelně přihlášení passkeyem; zákaznická firma si druhý faktor může vynutit všem svým uživatelům.
• Přihlášení z neznámého prohlížeče se potvrzuje jednorázovým kódem zaslaným na e-mail uživatele.
• Hesla jen jako hash (PBKDF2 + pepper), klíče k 2FA šifrované.
• Oddělení dat mezi zákaznickými firmami a řízení přístupu podle rolí (na úrovni uživatelů). Provozovatel (vlastník platformy) má pro provoz, podporu a bezpečnost přístup ke všem datům, vázaný mlčenlivostí a auditní stopou.
• Neměnný auditní log.
• HTTPS a přísné bezpečnostní hlavičky, zálohy a monitoring, pravidelné bezpečnostní revize.

9. Vaše práva

Máte právo na přístup, opravu, výmaz (s výhradou zákonných archivačních lhůt), omezení zpracování, přenositelnost a námitku. U dat ve zpracovatelském režimu žádost vyřizuje správce (vaše firma); my poskytneme součinnost. Žádost uplatněte na podpora@schvalovacka.com. Stížnost můžete podat u Úřadu pro ochranu osobních údajů (ÚOOÚ, uoou.gov.cz).

10. Cookies

Používáme jen nezbytné (technické) cookies pro přihlášení a chod služby; nevyžadují souhlas. Žádné sledovací ani reklamní cookies.

11. Kontakt

Michal Michovský, IČO 23503149, Na pěšinách 247/5, Kobylisy, 182 00 Praha 8. Kontakt pro ochranu údajů: podpora@schvalovacka.com.