Zásady ochrany osobních údajů

Tyto zásady popisují, jak společnost Golden Nose s.r.o. zpracovává osobní údaje v rámci provozu služby „Domovní Asistent" (web a webová/PWA aplikace dostupná na adrese domovniasistent.cz a jejích poddoménách, dále jen „Služba"). Zpracování probíhá v souladu s Nařízením Evropského parlamentu a Rady (EU) 2016/679 (GDPR) a zákonem č. 110/2019 Sb., o zpracování osobních údajů.

1. Správce osobních údajů

Správcem osobních údajů je:

Golden Nose s.r.o.
IČO: 24142484, DIČ: CZ24142484
Sídlo: Novodvorská 1082/94, Braník, 142 00 Praha 4, Česká republika
Zapsaná v obchodním rejstříku vedeném Městským soudem v Praze, sp. zn. C 182542
Datová schránka: 9vq4puf
Kontakt pro soukromí: [email protected]
Obecný kontakt: [email protected] · +420 725 806 612

1.1 Pověřenec pro ochranu osobních údajů (DPO)

Kontaktní osobou pro ochranu osobních údajů je Martin Chovan. Žádosti subjektů údajů a dotazy ke zpracování směřujte na e-mail [email protected] nebo poštou na adresu sídla s označením obálky „GDPR".

1.2 Role správce a zpracovatele

U údajů uživatelů Služby (registrace, přihlášení, fakturace, zákaznická podpora) vystupujeme jako správce osobních údajů. U údajů, které do Služby zadávají zákazníci (typicky společenství vlastníků jednotek — SVJ, bytová družstva nebo správcovské firmy) o svých vlastnících, nájemnících, dodavatelích či jiných osobách, vystupujeme jako zpracovatel a jednáme podle pokynů zákazníka na základě smlouvy o zpracování osobních údajů, která je součástí Obchodních podmínek.

2. Jaké údaje zpracováváme

2.1 Identifikační a kontaktní údaje

• jméno, příjmení, akademický titul,
• e-mailová adresa, telefonní číslo,
• profilový obrázek (pokud jej nahrajete nebo je získán z poskytovatele přihlášení),
• u fakturace: fakturační adresa, IČO, DIČ (u podnikajících osob a firem).

2.2 Účtové a technické údaje

• uživatelské jméno, hesla (ukládáme pouze jejich hash),
• technický identifikátor u poskytovatele přihlášení (Google, Seznam, Microsoft),
• role a přidělená oprávnění ve Službě,
• datum registrace, poslední přihlášení, IP adresa a User-Agent prohlížeče,
• auditní záznamy o úkonech ve Službě (kdo, kdy a co provedl),
• session cookies a další nezbytné technické cookies.

2.3 Platební údaje

Pro zpracování plateb předplatného využíváme platební bránu společnosti Stripe, Inc. Údaje o platební kartě (číslo karty, CVC, datum platnosti) nikdy neukládáme ani neprocházejí našimi servery — zadávají se přímo na šifrovaných formulářích Stripe. My uchováváme pouze:

• Stripe identifikátor zákazníka a předplatného,
• maskované číslo karty (poslední 4 číslice), typ karty, vydavatele,
• historii plateb, faktur a refundací,
• stav předplatného (trial, aktivní, zrušené, po splatnosti).

2.4 Obsah nahraný do Služby

• texty nástěnky, oznámení, komentáře,
• dokumenty (smlouvy, zápisy, faktury, revize),
• fotografie závad a další přílohy,
• hlasy a odpovědi v hlasování per rollam,
• údaje o jednotkách, vlastnících, nájemnících a dodavatelích.

U těchto údajů vystupujeme typicky jako zpracovatel — viz bod 1.2.

2.5 Rodné číslo

Rodné číslo vlastníka jednotky se ve Službě vyskytuje ve dvou situacích: zákazník (SVJ nebo správcovská firma) ho zadá k osobě v evidenci, nebo přijde v datech z Katastru nemovitostí ČR při synchronizaci vlastnictví, kde slouží k jednoznačnému spárování vlastníka s existující osobou (typicky po sňatku či změně jména). Rodné číslo v kartě osoby ukládáme šifrovaně a v uživatelském rozhraní se zobrazuje maskovaně.

Rodné číslo je zvláštní kategorie údaje podle § 13c zákona č. 133/2000 Sb. — zpracováváme ho výhradně na pokyn zákazníka jako zpracovatel a na základě souhlasu subjektu údajů, který eviduje zákazník. Souhlas i datum jeho udělení Služba u osoby zaznamenává. Rodné číslo nepředáváme žádnému příjemci mimo zpracovatele uvedené v bodě 5.

2.6 Komunikační a diagnostická data

• obsah zpráv zaslaných přes kontaktní formulář,
• záznamy o doručení transakčních e-mailů,
• chybové logy a diagnostické záznamy (anonymizované nebo pseudonymizované).

3. Účely a právní základy zpracování

4. Odkud osobní údaje získáváme

Většinu údajů získáváme přímo od vás — při registraci, používání Služby nebo komunikaci s námi. Dále můžeme získat údaje:

• Od poskytovatelů přihlášení — pokud použijete přihlášení přes Google, Seznam nebo Microsoft, získáme od nich typicky e-mail, jméno, příjmení, profilový obrázek a technický identifikátor účtu.
• Od správce/výboru SVJ — pokud vás do Služby pozve výbor, získáme vaše jméno, e-mail, příp. údaje o vlastnické jednotce.
• Z veřejných registrů — při importu z katastru nemovitostí (ČÚZK) získáváme údaje o vlastnických vztazích, které jsou veřejně dostupné v katastru.
• Od platební brány Stripe — informace o stavu platby, maskované údaje o kartě, údaje o refundaci.

5. Zpracovatelé (subprocessors)

Osobní údaje neprodáváme. Pro provoz Služby využíváme následující zpracovatele, s nimiž máme uzavřenou smlouvu o zpracování osobních údajů dle čl. 28 GDPR. Aktualizovaný seznam publikujeme v těchto Zásadách:

Předávání mimo EU/EHP: Pokud dochází k předání do třetích zemí (typicky USA), zajišťujeme odpovídající záruky — standardní smluvní doložky Evropské komise (SCC) a případnou certifikaci v rámci EU–U.S. Data Privacy Framework (DPF). Aktuální seznam certifikovaných zpracovatelů je veřejně dostupný na dataprivacyframework.gov/list.

6. Doba uchování údajů

Osobní údaje uchováváme pouze po nezbytně nutnou dobu pro daný účel (viz tabulka v bodě 3). Po jejím uplynutí údaje vymažeme nebo anonymizujeme.

• Aktivní účet: po dobu trvání účtu + 30 dnů po zrušení (grace period pro obnovení).
• Zálohy: rotační zálohy až 90 dnů.
• Účetní doklady a faktury: 10 let (§ 31 zákona o účetnictví).
• Auditní a bezpečnostní logy: 12–24 měsíců.
• Záznamy Stripe o platbách: v souladu s pravidly Stripe a požadavky karetních sítí (typicky 13 měsíců + v rámci finanční legislativy).
• Newsletter: do odhlášení (odkaz v každém e-mailu), poté ještě 3 roky v seznamu odhlášených (pro prokázání odhlášení).

7. Vaše práva

Podle GDPR máte následující práva, která můžete uplatnit e-mailem na [email protected] (nebo přímo v nastavení účtu tam, kde je to technicky umožněno):

• Právo na přístup — obdržet potvrzení, zda zpracováváme vaše údaje, a kopii zpracovávaných údajů.
• Právo na opravu — požadovat opravu nepřesných údajů.
• Právo na výmaz („být zapomenut") — v případech stanovených GDPR (již neexistuje důvod zpracování, odvolaný souhlas apod.). Výmaz nelze provést u údajů nezbytných ke splnění právní povinnosti (např. fakturační doklady).
• Právo na omezení zpracování — např. po dobu ověřování přesnosti údajů.
• Právo na přenositelnost — obdržet údaje, které jste nám poskytli, v přenositelné podobě. Export dat o osobě vydáváme jako PDF sestavu; strojově čitelný formát (CSV/JSON) připravíme na vyžádání.
• Právo vznést námitku — proti zpracování založenému na oprávněném zájmu.
• Právo odvolat souhlas — tam, kde je zpracování založeno na souhlasu. Odvolání nemá vliv na zpracování před jeho odvoláním.
• Právo podat stížnost u dozorového úřadu:
  Úřad pro ochranu osobních údajů (ÚOOÚ), Pplk. Sochora 27, 170 00 Praha 7, www.uoou.cz.

Žádosti vyřizujeme bez zbytečného odkladu, nejpozději do 30 dnů od doručení. V odůvodněných případech můžeme tuto lhůtu prodloužit o dalších 60 dnů, o čemž vás vyrozumíme.

8. Cookies a obdobné technologie

Používáme pouze nezbytně nutné (technické) cookies pro provoz Služby (session, bezpečnost, CSRF ochrana, volba jazyka a motivu). Analytické a marketingové cookies používáme až po vašem souhlasu. Nastavení cookies můžete kdykoliv změnit v liště souhlasu nebo v nastavení prohlížeče.

9. Automatizované rozhodování a profilování

Neprovádíme automatizované rozhodování, které by pro vás mělo právní nebo obdobně významný účinek ve smyslu čl. 22 GDPR. AI asistent „Alfréd" slouží pouze jako pomocník pro hledání informací ve Službě a negeneruje žádná závazná rozhodnutí.

10. Zabezpečení

Uplatňujeme přiměřená technická a organizační opatření k ochraně údajů:

• šifrovaný přenos dat (TLS 1.2+),
• šifrování dat v databázi a záloh,
• hashování hesel (bcrypt/argon2),
• volitelné dvoufaktorové ověření (2FA, TOTP) pro všechny uživatelské účty,
• řízení přístupu (RBAC — role-based access control),
• auditní záznamy citlivých operací,
• pravidelné zálohy databáze u poskytovatele hostingu,
• školení pracovníků v oblasti ochrany osobních údajů.

11. Odhlášení z marketingových sdělení

Z odběru novinek se můžete kdykoli odhlásit kliknutím na odkaz „Odhlásit" v patičce každého marketingového e-mailu nebo zápisem do formuláře na /unsubscribe. Transakční a systémové e-maily nezbytné pro provoz Služby (bezpečnostní upozornění, fakturace, potvrzení změn) nelze odhlásit, dokud máte aktivní účet.

12. Změny těchto Zásad

Tyto Zásady můžeme aktualizovat v reakci na vývoj právní úpravy, Služby či zpracovatelů. Aktuální znění je vždy dostupné na této URL s uvedením data účinnosti. O podstatných změnách vás vyrozumíme e-mailem nebo oznámením ve Službě s přiměřeným předstihem.

13. Kontakt

S jakýmkoli dotazem ke zpracování osobních údajů se obracejte na:

[email protected]
Martin Chovan, pověřenec pro ochranu osobních údajů
Golden Nose s.r.o., Novodvorská 1082/94, 142 00 Praha 4