Zásady ochrany osobních údajů

Tyto zásady vysvětlují, jaké osobní údaje v aplikaci ChytrýDoklad.cz zpracováváme, proč, na jakém právním základě, komu je předáváme a jaká máš práva. Řídíme se nařízením Evropského parlamentu a Rady (EU) 2016/679 (GDPR) a zákonem č. 110/2019 Sb., o zpracování osobních údajů.

1. Správce osobních údajů

Správcem je MLVenture s.r.o., IČ 22291091, se sídlem Mírová 55, Ostrava, zapsaná v obchodním rejstříku vedeném Krajským soudem v Ostravě, oddíl C, vložka 97887 (nejsme plátci DPH), jednatel Martin Liberda. Ve věcech ochrany osobních údajů nás můžeš kontaktovat na podpora@chytrydoklad.cz. Nemáme povinnost jmenovat pověřence pro ochranu osobních údajů (DPO), protože rozsah a povaha zpracování, které provádíme, to nevyžaduje.

2. Jaké údaje zpracováváme

Podle toho, jak aplikaci používáš, zpracováváme:

• Přihlašovací údaje: e-mail, heslo (uloženo zaheslované, my ho nevidíme), případně jméno a fotku z profilu, pokud se přihlašuješ přes Google.
• Fakturační a firemní údaje: název firmy, IČO, DIČ, adresa, právní forma, DPH status, bankovní účet, telefon.
• Obsah nahraných dokladů: faktury, účtenky, bankovní výpisy a mzdové podklady, které nahraješ ke zpracování, včetně z nich vytěžených údajů (dodavatel, odběratel, částky, data, kategorie).
• Údaje o tvých kontaktech, cenících a nabídkách, které si v aplikaci vedeš.
• Mzdové údaje o tvých zaměstnancích, pokud používáš modul Mzdy: jméno a mzdové částky z podkladů, které nahraješ.
• Platební údaje: při platbě předplatného zpracovává údaje o platební kartě přímo Stripe, my je nevidíme ani neukládáme.
• Technické a provozní údaje: logy přístupů a chyb, IP adresa, pro zabezpečení a diagnostiku.
• Odkud jsi k nám přišel/přišla: když se registruješ přes odkaz z reklamy, sociální sítě nebo jiného webu, uložíme k účtu zdroj a kampaň z odkazu, případně doménu webu, ze kterého jsi přišel/přišla (ne celou adresu). Cookies k tomu nepoužíváme. Když v průvodci po registraci odpovíš na nepovinnou otázku, jak ses o nás dozvěděl/a, uložíme k účtu i tuhle odpověď.

3. Proč údaje zpracováváme

• Plnění smlouvy: abychom ti mohli poskytovat samotnou službu, tedy vedení evidence dokladů, AI zpracování, párování plateb, vystavování faktur, daňové přehledy a exporty.
• Náš oprávněný zájem: zabezpečení účtu a aplikace, prevence zneužití, vylepšování služby a vyhodnocení, která naše propagace funguje.
• Plnění právních povinností: např. pokud si přes aplikaci vedeš účetní/daňovou evidenci, kterou po tobě jako po podnikateli vyžaduje zákon; tato povinnost je ale tvoje, ne naše. Naší povinností je uchovávat faktury, které jsme ti vystavili za předplatné.

Registraci ani přihlášení nepodmiňujeme souhlasem s marketingem. Žádné marketingové e-maily bez tvého výslovného souhlasu neposíláme. Neprovádíme žádné automatizované rozhodování s právními či obdobně významnými účinky, protože AI zpracování dokladů je pomocná extrakce dat, kterou si vždy sám/sama zkontroluješ a schválíš.

4. Komu údaje předáváme

Pro provoz aplikace využíváme následující zpracovatele. Se všemi máme uzavřenou smlouvu o zpracování osobních údajů:

• Supabase (databáze, přihlašování, ukládání souborů); data jsou uložena v EU (Stockholm).
• Vercel (hosting aplikace a měření návštěvnosti webu); aplikace běží na serverech v EU (Stockholm), statický obsah webu (skripty, obrázky) doručuje celosvětová síť Vercelu. Vercel je společnost se sídlem v USA.
• Anthropic (AI model Claude) zpracovává obsah nahraných dokladů, aby z nich vytěžil strukturovaná data. Nahraný dokument se k nim odešle jen za účelem tohoto zpracování; servery v USA.
• Stripe (platební brána) zpracovává platby předplatného; má přístup k fakturačním údajům tvé firmy, číslo platební karty ale ukládá jen Stripe, my ho nikdy nevidíme; servery v USA.
• Google: pokud se rozhodneš přihlašovat přes Google, ověřuje tvoji identitu.
• Google Analytics: na veřejných/marketingových stránkách webu (mimo appku po přihlášení) měří návštěvnost, jen pokud s tím přes cookie lištu souhlasíš.
• Cloudflare: pokud si nastavíš automatické párování bankovních plateb z e-mailových notifikací banky, přeposílá tyto notifikace do aplikace.
• Forpsi: odesílá provozní e-maily z aplikace (pozvánky do týmu apod.).

Při vyhledání firmy podle IČO se dotazujeme na veřejný registr ARES (Ministerstvo financí ČR) a pro kurzovní lístek na ČNB. V obou případech jde o dotaz na veřejně dostupný rejstřík, ne o předání tvých údajů třetí straně.

V sekci Rejstřík se při otevření firmy dotazujeme také na insolvenční rejstřík (Ministerstvo spravedlnosti ČR) a na registr plátců DPH (Ministerstvo financí ČR), u slovenských firem na slovenské registry a u VAT ID na systém VIES Evropské komise. Vedle údajů o firmě ukazujeme jména společníků a členů vedení tak, jak je uvádí veřejný rejstřík, bez bydliště a data narození. Tyto údaje jen zobrazíme a neukládáme je. Ptáme se jen na firmu, kterou vyhledáš, a registrům neposíláme nic o tobě.

Tvoje údaje neprodáváme a nesdílíme je pro cizí marketing.

5. Předávání údajů mimo EU

Databáze, nahrané soubory i samotná aplikace běží v EU (Stockholm). Mimo EU (v USA) mohou tvoje údaje zpracovávat Anthropic (obsah dokladů při vytěžování), Stripe (platby), Google (přihlášení přes Google a Google Analytics) a Vercel jako společnost se sídlem v USA (technické záznamy o provozu, měření návštěvnosti webu a doručování statického obsahu přes celosvětovou síť). Přenos v takovém případě zajišťujeme pomocí standardních smluvních doložek Evropské komise (SCC) u Vercelu a Anthropicu, nebo v rámci certifikace EU–US Data Privacy Framework u Stripe a Google. Kopii příslušných doložek ti na vyžádání poskytneme.

6. Jak dlouho údaje uchováváme

Po dobu, kdy máš u nás aktivní účet. Účet a všechna data k němu si kdykoliv můžeš v Nastavení trvale smazat. Smazání proběhne okamžitě a zahrnuje i nahrané soubory. Některé údaje z fakturační evidence pro tebe jako podnikatele podléhají zákonným archivačním lhůtám podle daňových a účetních předpisů. To je ale tvoje zákonná povinnost jako provozovatele podnikání, ne naše.

Při smazání účtu smažeme i tvůj zákaznický záznam u platební brány Stripe. Zůstanou jen faktury, které jsme ti za předplatné vystavili, včetně nulové faktury za zkušební období. Jsou to naše účetní doklady a jsou na nich údaje z doby vystavení: název firmy nebo jméno, adresa, IČO a e-mail. Uchováváme je u Stripe po dobu, kterou nám ukládají účetní a daňové předpisy, a k ničemu jinému je nepoužíváme.

Kromě faktur si po smazání účtu necháváme jen dvě věci, obojí z oprávněného zájmu a bez jakékoliv vazby na tvoje doklady. Když se odhlásíš z našich novinek, zůstane tvoje adresa v seznamu odhlášených, protože jinak bychom ti při jejím dalším výskytu začali psát znovu. A záznam o založení firmy, tedy IP adresa a doména e-mailu bez tvého jména, se maže po 30 dnech; slouží jako ochrana proti opakovanému zneužívání zkušební verze.

7. Tvoje práva

Podle GDPR máš právo:

• na přístup ke svým osobním údajům,
• na opravu nepřesných údajů,
• na výmaz (kdykoliv v Nastavení, nebo na vyžádání),
• na omezení zpracování,
• na přenositelnost údajů,
• vznést námitku proti zpracování na základě oprávněného zájmu,
• podat stížnost u Úřadu pro ochranu osobních údajů (uoou.cz).

Pro uplatnění kteréhokoliv z těchto práv nám napiš na podpora@chytrydoklad.cz.

8. Pokud u nás zpracováváš údaje svých vlastních zákazníků

Pokud v dokladech nahráváš osobní údaje svých zákazníků, dodavatelů nebo zaměstnanců, jsi ve vztahu k těmto údajům správcem ty a my jsme tvým zpracovatelem. Podmínky tohoto zpracování upravuje samostatná Zpracovatelská smlouva.

9. Cookies

Pro přihlášení a fungování aplikace používáme jen technické cookies, které nevyžadují souhlas. Na veřejných/marketingových stránkách používáme Google Analytics, ten spustíme jen s tvým souhlasem přes cookie lištu. Vedle něj měříme návštěvnost webu přes Vercel Web Analytics, který žádné cookies nepoužívá a vidí jen souhrnná čísla, ne konkrétního člověka. Podrobný přehled najdeš v Zásadách používání cookies.

Na blogu navíc počítáme, kolikrát se který článek otevřel a kolikrát z něj někdo klikl na registraci. Ukládáme jen součet za článek a den: žádné cookies, žádnou IP adresu, nic o tobě.

10. Zabezpečení

Přístup k datům je omezen na přihlášeného uživatele (row-level security na úrovni databáze), hesla jsou uložena zaheslovaná, komunikace probíhá šifrovaně přes HTTPS. Víc najdeš na stránce Bezpečnost a zálohování.

11. Změny těchto zásad

Tyto zásady můžeme čas od času aktualizovat, například když přidáme novou funkci nebo zpracovatele. O podstatných změnách tě budeme informovat e-mailem.