Zásady zpracování osobních údajů

1. Úvod a rozsah dokumentu

1.1. Tento dokument vysvětluje, jaké osobní údaje zpracováváme, z jakých důvodů, na jakém právním základě, komu je předáváme, jak dlouho je uchováváme a jaká máte jako subjekt údajů práva. Je určen pro:

• Uživatele Služby (osoby, které se registrovaly do Dokladik nebo jednají jménem organizace, která Dokladik využívá);
• Návštěvníky Webu www.dokladik.cz a uživatele Aplikace app.dokladik.cz;
• Příjemce e-mailů odeslaných prostřednictvím Služby (např. klienti našich Uživatelů, kterým je doručena faktura);
• Osoby komunikující s naší podporou nebo uplatňující svá práva.

1.2. V souladu s GDPR rozlišujeme dvě různá postavení, ve kterých s osobními údaji zacházíme:

• jako správce. pro osobní údaje Uživatelů Služby, návštěvníků webu a obchodních kontaktů (viz čl. 3 tohoto dokumentu);
• jako zpracovatel. pro osobní údaje, které Uživatel vloží do Služby o svých klientech, dodavatelích a dalších třetích osobách (viz čl. 4 tohoto dokumentu a samostatná DPA. Smlouva o zpracování osobních údajů).

1.3. Tento dokument je v souladu s nařízením Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (GDPR) a se zákonem č. 110/2019 Sb., o zpracování osobních údajů.

2. Kontaktní údaje správce a pověřence

2.1. Správce:

• Název: PB DIGITAL s. r. o.
• IČO: 19653123
• Sídlo: Zbraslavská 12/11, Malá Chuchle, 159 00 Praha
• Datová schránka: i3x5bmc
• E-mail pro záležitosti ochrany osobních údajů: ahoj@dokladik.cz
• Web: www.dokladik.cz
• Aplikace: app.dokladik.cz

2.2. Pověřenec pro ochranu osobních údajů (DPO). Správce nemá zákonnou povinnost jmenovat pověřence ve smyslu čl. 37 GDPR. Pro veškeré dotazy a uplatňování práv se obracejte na výše uvedený e-mail.

2.3. Dozorový úřad: Úřad pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, www.uoou.gov.cz.

3. Zpracování osobních údajů, kde jsme v postavení SPRÁVCE

3.1. V následujících případech určujeme účely a prostředky zpracování sami a jsme správcem osobních údajů.

3.1.1. Registrace a provoz uživatelského účtu

3.1.2. Platby za Předplatné

3.1.3. Zákaznická podpora a komunikace

3.1.4. Zpětná vazba, feature requesty, feedback

3.1.5. Marketing a obchodní sdělení

3.1.6. Bezpečnost, prevence podvodů a audit log

3.1.7. Plnění právních povinností

3.1.8. Návštěvnost webu a analytika

3.1.9. Cookies

4. Zpracování osobních údajů, kde jsme v postavení ZPRACOVATELE

4.1. Pokud jste Uživatelem Služby a vkládáte do Dokladik osobní údaje třetích osob (svých klientů, dodavatelů, zaměstnanců, kontaktních osob atd.), vystupujete ve vztahu k těmto údajům jako správce a my jako zpracovatel podle čl. 28 GDPR.

4.2. Podmínky tohoto zpracování jsou upraveny samostatnou Smlouvou o zpracování osobních údajů (DPA), která je nedílnou přílohou VOP.

4.3. Jako zpracovatel takové údaje:

• zpracováváme výhradně na základě vašich pokynů (pokyny dáváte prostřednictvím používání aplikace a jejího nastavení);
• nepoužíváme je pro vlastní účely;
• neprodáváme je, nesdílíme s třetími stranami pro jejich marketing ani analytiku;
• nepoužíváme je k trénování AI modelů ani k profilování;
• zabezpečujeme je technickými a organizačními opatřeními popsanými v čl. 8 této politiky a v čl. 6 DPA.

4.4. Pokud jste subjektem údajů, jehož osobní údaje Uživatel Dokladik zpracovává (např. jste klient firmy, která vám prostřednictvím Dokladik vystavila fakturu), a chcete uplatnit svá práva dle GDPR, obraťte se primárně na daného Uživatele, který je správcem vašich údajů. My vám můžeme pomoci pouze v rozsahu technické součinnosti.

5. Kategorie osobních údajů, které zpracováváme

5.1. Přehled kategorií osobních údajů:

• Identifikační údaje: jméno, příjmení, titul, obchodní firma, IČO, DIČ, podpis
• Kontaktní údaje: e-mail, telefon, adresa (sídlo, fakturační, dodací), kontaktní osoba
• Přihlašovací údaje: uživatelské jméno (e-mail), heslo (ukládané výhradně jako jednosměrný bcrypt hash), tokeny pro obnovu hesla (dočasné)
• Fakturační a transakční údaje: zvolený tarif, historie plateb za Předplatné, vystavené daňové doklady, identifikátor platební transakce (tokenizovaný Stripe customer/subscription ID)
• Obsahové údaje vkládané do aplikace: klienti, produkty, faktury, dobropisy, dodací listy, objednávky, náklady, platby, bankovní účty, opakované doklady, přílohy dokladů
• Komunikační údaje: odeslané a přijaté e-maily, doručenky, bounce, stížnosti na spam, obsah zpráv zaslaných na podporu
• Technické a provozní údaje: IP adresa, user agent, typ zařízení, OS, prohlížeč, referer, časy přístupů, error logy, audit logy, ID relace
• Údaje o chování v aplikaci: navštívené stránky, použité funkce, čas strávený, interakce (pouze na agregované úrovni)
• Metadata veřejných odkazů: UUID token odkazu, datum vytvoření, datum revokace, zda byl otevřen (pokud je tato funkce aktivní)

5.2. Nezpracováváme:

• zvláštní kategorie osobních údajů dle čl. 9 GDPR (zdraví, rasa, politické názory, biometrické údaje atd.);
• osobní údaje týkající se rozsudků v trestních věcech dle čl. 10 GDPR;
• údaje o platebních kartách (číslo, CVV, expirace). ty zpracovává výhradně Stripe.

6. Zdroje osobních údajů

• Přímo od vás. při registraci, používání Služby, komunikaci s podporou, odesílání feedbacku, vyplňování formulářů.
• Od našich Subzpracovatelů. zejména Stripe (identifikátory plateb), Postmark/Resend (doručenky, bounce).
• Z veřejných rejstříků. ARES (Ministerstvo financí ČR) pro dohledání údajů dle IČO, ČNB pro kurzovní lístek.
• Od našich Uživatelů (pokud jste třetí osoba, kterou do systému vložil někdo jiný. typicky pokud jste klient firmy používající Dokladik).
• Automatizovaně. z provozu Služby (IP adresy, logy, telemetrie).

7. Komu osobní údaje předáváme (příjemci a subzpracovatelé)

7.1. Vaše osobní údaje neprodáváme, nepronajímáme ani nesdílíme s třetími stranami pro jejich vlastní marketingové, reklamní, analytické nebo obchodní účely.

7.2. V rozsahu nezbytném pro provoz Služby předáváme osobní údaje následujícím kategoriím příjemců:

7.2.1. Subzpracovatelé (provozní infrastruktura)

7.2.2. Další příjemci

• Daňoví poradci, účetní a auditoři Správce. v rozsahu nezbytném pro vedení účetnictví a plnění daňových povinností;
• Právní zástupci Správce. při uplatňování a obhajobě právních nároků;
• Orgány veřejné moci (soudy, policie, finanční úřady, ÚOOÚ). pouze na základě jejich oprávněné žádosti a v rozsahu stanoveném zákonem;
• Provozovatelé veřejných rejstříků pouze v opačném směru. my z nich data čteme (ARES, ČNB), nikdy jim předáváme data o vás;
• Nabyvatel podniku. v případě prodeje, fúze nebo převodu podniku při zachování stejných nebo lepších záruk ochrany.

8. Jak osobní údaje zabezpečujeme

8.1. S ochranou osobních údajů to myslíme vážně. Používáme následující technická a organizační opatření:

Technická opatření

• Šifrování při přenosu: veškerá komunikace přes HTTPS / TLS 1.2+ (vynucené HSTS).
• Šifrování v klidu (at-rest): data v produkční databázi a úložišti jsou šifrována standardními algoritmy (typicky AES-256) poskytovanými infrastrukturou Subzpracovatelů.
• Hashování hesel: hesla nikdy neukládáme v čitelné podobě. pouze jako jednosměrné bcrypt hashe prostřednictvím autentizační vrstvy Supabase Auth.
• Multi-tenant izolace: data jednotlivých organizací jsou striktně oddělena na úrovni databáze (row-level security, filtr podle organization_id).
• Řízení přístupu: přístup k produkčním systémům má pouze omezený okruh pověřených osob s principem nejmenších nutných oprávnění.
• Veřejné odkazy (f/[token], cn/[token], dl/[token], obj/[token]) chráněné unikátními UUID v4 tokeny s vysokou entropií, kdykoli revokovatelné.
• Audit log všech významných operací (kdo, co, kdy, snímek, rozdíl). append-only, nelze upravit.
• Rate limiting a ochrana API před zneužitím.
• Oddělení vývojového, testovacího a produkčního prostředí.
• Monitoring chybovosti, výkonu a bezpečnostních anomálií.
• Pravidelné aktualizace aplikačních knihoven a bezpečnostních patchů.
• Pravidelné zálohování databáze prostřednictvím infrastruktury Subzpracovatelů.

Organizační opatření

• Mlčenlivost všech osob, které mají přístup k produkčním systémům a datům.
• Interní pravidla pro přístup, změny a řešení incidentů.
• Výběr Subzpracovatelů podle jejich bezpečnostních standardů, certifikací a DPA.
• Smluvní zajištění ochrany dat u všech Subzpracovatelů.
• Postupy pro oznamování bezpečnostních incidentů dle čl. 33 a 34 GDPR.

9. Doby uchovávání osobních údajů

9.1. Osobní údaje uchováváme pouze po dobu nezbytně nutnou pro splnění účelu, pro který byly shromážděny, nebo po dobu stanovenou právními předpisy.

9.2. Po uplynutí těchto dob jsou osobní údaje trvale smazány nebo anonymizovány tak, aby je nebylo možné přiřadit ke konkrétní osobě.

10. Vaše práva jako subjektu údajů

10.1. V souvislosti se zpracováním vašich osobních údajů máte následující práva podle GDPR:

10.1.1. Právo na přístup (čl. 15 GDPR)

Máte právo získat potvrzení, zda osobní údaje, které se vás týkají, jsou či nejsou zpracovávány, a pokud ano, získat přístup k těmto údajům a k informacím o zpracování.

10.1.2. Právo na opravu (čl. 16 GDPR)

Máte právo na to, abychom bez zbytečného odkladu opravili nepřesné osobní údaje, které se vás týkají, a doplnili neúplné údaje. Mnohé údaje si můžete opravit sami v nastavení účtu.

10.1.3. Právo na výmaz ("právo být zapomenut", čl. 17 GDPR)

Máte právo na to, abychom bez zbytečného odkladu vymazali osobní údaje, které se vás týkají, pokud je dán některý z důvodů uvedených v čl. 17 GDPR a neuplatní se některá z výjimek (zejména plnění právní povinnosti, obhajoba právních nároků).

10.1.4. Právo na omezení zpracování (čl. 18 GDPR)

Máte právo na to, abychom omezili zpracování v případech uvedených v čl. 18 GDPR.

10.1.5. Právo na přenositelnost údajů (čl. 20 GDPR)

Máte právo získat osobní údaje, které se vás týkají a které jste nám poskytli, ve strukturovaném, běžně používaném a strojově čitelném formátu, a právo předat tyto údaje jinému správci. Většinu dat si můžete sami exportovat přímo v aplikaci (PDF, ISDOC, CSV).

10.1.6. Právo vznést námitku (čl. 21 GDPR)

Pokud zpracováváme osobní údaje na základě oprávněného zájmu, máte právo kdykoli vznést námitku. V případě zpracování pro účely přímého marketingu máte právo vznést námitku kdykoli a my vaše údaje pro tyto účely přestaneme zpracovávat.

10.1.7. Právo odvolat souhlas (čl. 7 odst. 3 GDPR)

Pokud jsme zpracování založili na vašem souhlasu, máte právo jej kdykoli odvolat. Odvoláním souhlasu není dotčena zákonnost zpracování prováděného před odvoláním.

10.1.8. Právo nebýt předmětem automatizovaného individuálního rozhodování (čl. 22 GDPR)

Máte právo nebýt předmětem rozhodnutí založeného výhradně na automatizovaném zpracování, včetně profilování, které pro vás má právní účinky nebo se vás obdobně významně dotýká. My žádné takové automatizované rozhodování neprovádíme.

10.1.9. Právo podat stížnost u dozorového úřadu (čl. 77 GDPR)

Máte právo podat stížnost u Úřadu pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, www.uoou.gov.cz.

11. Jak uplatnit svá práva

11.1. Svá práva můžete uplatnit:

• e-mailem na ahoj@dokladik.cz;
• prostřednictvím datové schránky i3x5bmc;
• písemně na adresu sídla Správce;
• u řady práv přímo v nastavení aplikace (oprava údajů, export dat, smazání účtu).

11.2. Abychom mohli vaši žádost vyřídit, můžeme vás požádat o poskytnutí dodatečných informací nezbytných k ověření vaší totožnosti. To je nutné zejména proto, abychom zabránili zpřístupnění osobních údajů neoprávněné osobě.

11.3. Vaši žádost vyřídíme bez zbytečného odkladu, nejpozději do jednoho měsíce od jejího obdržení. Tuto lhůtu je možné v případě potřeby a s ohledem na složitost a počet žádostí prodloužit o další dva měsíce. O takovém prodloužení vás budeme informovat.

11.4. Vyřízení žádosti je zpravidla bezplatné. Pokud jsou však žádosti zjevně nedůvodné nebo nepřiměřené, zejména protože se opakují, můžeme uložit přiměřený poplatek zohledňující administrativní náklady, nebo odmítnout žádosti vyhovět.

11.5. Pokud jste subjektem údajů, jehož údaje do Dokladik vložil některý z našich Uživatelů (např. váš dodavatel vám vystavil přes Dokladik fakturu), obraťte se s uplatněním práv primárně na tohoto Uživatele. on je správcem vašich údajů. My jako zpracovatel vám můžeme pomoci pouze s technickou součinností.

12. Předání do třetích zemí

12.1. Primárně zpracováváme osobní údaje v rámci Evropské unie a Evropského hospodářského prostoru.

12.2. Někteří naši Subzpracovatelé mají sídlo mimo EU/EHP, zejména ve Spojených státech amerických (Stripe, Wildbit/Postmark, Resend, Vercel, Cloudflare). V případech, kdy dochází k předání osobních údajů do USA nebo jiné třetí země, jsou zavedeny odpovídající záruky dle kapitoly V GDPR, zejména:

• Rozhodnutí Evropské komise o odpovídající ochraně (EU-U.S. Data Privacy Framework) pro Subzpracovatele, kteří jsou pod tímto rámcem certifikováni;
• Standardní smluvní doložky (SCC) dle rozhodnutí Evropské komise 2021/914;
• další technická a organizační opatření zajišťující úroveň ochrany rovnocennou úrovni v EU.

12.3. Kopie těchto záruk vám můžeme poskytnout na základě žádosti zaslané na ahoj@dokladik.cz.

13. Automatizované rozhodování a profilování

13.1. Neprovádíme automatizované individuální rozhodování ve smyslu čl. 22 GDPR, které by pro vás mělo právní účinky nebo se vás obdobně významně dotýkalo.

13.2. Neprovádíme profilování vaší osoby pro marketingové ani jiné účely.

13.3. Nepoužíváme vaše osobní údaje ani obsah vkládaný do Služby k trénování modelů strojového učení nebo umělé inteligence, ani takové údaje neposkytujeme třetím stranám pro tyto účely.

14. Porušení zabezpečení osobních údajů (data breach)

14.1. Pokud dojde k porušení zabezpečení osobních údajů, které bude mít za následek vysoké riziko pro vaše práva a svobody, budeme vás o tom bez zbytečného odkladu informovat v souladu s čl. 34 GDPR.

14.2. Dozorový úřad oznámíme porušení v souladu s čl. 33 GDPR, zpravidla do 72 hodin od okamžiku, kdy jsme se o něm dozvěděli.

14.3. Máme zavedené interní postupy pro detekci, vyhodnocování a oznamování bezpečnostních incidentů.

15. Cookies a podobné technologie

15.1. Na našem webu a v aplikaci používáme cookies a podobné technologie. Podrobnosti najdete v samostatné Cookie lište na webu, kde můžete svůj souhlas kdykoli udělit, změnit nebo odvolat.

15.2. Cookies dělíme do následujících kategorií:

• Technické (nezbytné). bez nich web/aplikace nemůže správně fungovat (přihlášení, session, bezpečnost). Nevyžadují souhlas.
• Funkční. umožňují zapamatování preferencí (jazyk, nastavení). Vyžadují souhlas.
• Analytické. měří návštěvnost a výkon. Vyžadují souhlas.
• Marketingové. pokud by byly používány, pouze se souhlasem.

16. Děti

16.1. Služba není určena osobám mladším 16 let. Vědomě neshromažďujeme osobní údaje dětí mladších 16 let. Pokud zjistíme, že jsme takové údaje zpracovávali, bez zbytečného odkladu je smažeme.

17. Změny tohoto dokumentu

17.1. Tyto Zásady zpracování osobních údajů můžeme v čase měnit, zejména v důsledku změn právní úpravy, rozvoje Služby, změny Subzpracovatelů nebo organizačních změn.

17.2. O významných změnách vás budeme informovat e-mailem nebo oznámením v Aplikaci nejméně 15 dnů před účinností změny. Drobné úpravy (opravy, upřesnění, změny kontaktů) mohou nabýt účinnosti okamžitě.

17.3. Aktuální znění je vždy k dispozici na Webu www.dokladik.cz a v Aplikaci.

18. Kontakt

18.1. Pokud máte jakékoli dotazy, připomínky nebo chcete uplatnit svá práva týkající se zpracování osobních údajů, obraťte se na nás:

PB DIGITAL s. r. o.
Zbraslavská 12/11, Malá Chuchle, 159 00 Praha
IČO: 19653123
Datová schránka: i3x5bmc
E-mail: ahoj@dokladik.cz
Web: www.dokladik.cz
Aplikace: app.dokladik.cz

Dozorový úřad:
Úřad pro ochranu osobních údajů
Pplk. Sochora 27, 170 00 Praha 7
www.uoou.gov.cz