Informace o zpracování osobních údajů

1. Kdo údaje zpracovává

Správcem osobních údajů je MyWebdesign.cz s.r.o., IČ 21370362, DIČ CZ21370362.

Ve věcech ochrany osobních údajů nás můžete kontaktovat na info@myucto.cz.

2. Jaké údaje získáváme

• jméno, e‑mail, případně telefon a název firmy,
• informaci o typu a velikosti firmy, obsah zprávy a zdroj poptávky,
• technické údaje potřebné pro bezpečný provoz webu, zejména IP adresu, čas požadavku, údaje o relaci a výsledek kontroly proti spamu,
• údaje z objednávky předplatného: fakturační údaje včetně IČO a DIČ, e‑mail, údaje o platbě (samotné číslo karty zpracovává výhradně GoPay) a záznam o uděleném souhlasu, tedy přesné znění, jeho verze, datum, čas a IP adresa odeslání objednávky,
• podklady k incidentu placené podpory: popis problému a komunikaci v incidentu, přílohy (snímky obrazovky, exporty provozních záznamů, archivy ZIP), identifikátor instalace a verzi aplikace; u objednávky podpory dále fakturační údaje a údaje o platbě (samotné číslo karty zpracovává výhradně GoPay).

Jméno, e‑mail a zpráva jsou nezbytné, abychom mohli poptávku vyřídit. Ostatní pole formuláře jsou dobrovolná. Bez úspěšné kontroly proti spamu nelze formulář odeslat.

Upozornění k přílohám. Přílohy a exporty mohou obsahovat osobní údaje třetích osob, například vašich klientů, dodavatelů nebo zaměstnanců. Posílejte jen údaje nezbytné k vyřešení problému. Ostatní předem odstraňte nebo anonymizujte. Ve vztahu k takto předaným údajům jednáme jako zpracovatel na váš pokyn a použijeme je výhradně k vyřešení vašeho incidentu.

3. Účel a právní základ

• Vyřízení poptávky, komunikace a příprava nabídky: provedení kroků na vaši žádost před případným uzavřením smlouvy.
• Ochrana formuláře a webu proti zneužití: náš oprávněný zájem na bezpečnosti, dostupnosti a prevenci spamu.
• Ochrana právních nároků: náš oprávněný zájem na doložení komunikace, pokud je to přiměřeně potřebné.
• Poskytnutí placené technické podpory: plnění smlouvy o podpoře uzavřené na vaši žádost, včetně vystavení a archivace daňových dokladů (plnění právní povinnosti podle daňových a účetních předpisů).
• Poskytnutí předplatného: plnění smlouvy uzavřené na vaši objednávku, včetně vystavení a archivace daňových dokladů (plnění právní povinnosti podle daňových a účetních předpisů). Záznam o uděleném souhlasu, včetně prohlášení o podnikatelské činnosti, uchováváme z titulu našeho oprávněného zájmu na doložení, za jakých podmínek byla smlouva uzavřena.
• Vyřízení hlášení chyby nebo bezpečnostní zranitelnosti: náš oprávněný zájem na bezpečnosti a kvalitě produktu.

Údaje z poptávky nepoužíváme k rozesílání marketingových sdělení ani je neprodáváme.

4. Doba uložení

Pokud z poptávky nevznikne smluvní vztah, uchováváme komunikaci nejdéle 12 měsíců od poslední komunikace. Pokud smlouva vznikne, řídí se další uchování smlouvou a zákonnými povinnostmi.

Technické a bezpečnostní záznamy uchováváme pouze po dobu nezbytnou k ochraně webu, řešení incidentů a doložení funkčnosti formuláře; konkrétní doba se odvíjí od povahy záznamu a bezpečnostní události.

Záznam o souhlasu uděleném v objednávce uchováváme po dobu trvání předplatného a dále po dobu promlčecí lhůty nároků ze smlouvy. Daňové doklady k předplatnému uchováváme po dobu stanovenou daňovými a účetními předpisy.

Podklady k incidentu placené podpory, tedy popis problému a komunikaci v incidentu, uchováváme 24 měsíců od jeho uzavření kvůli případné reklamaci a daňovým dokladům. Přílohy, například snímky obrazovky, exporty provozních záznamů a archivy ZIP, mažeme nejpozději 12 měsíců od uzavření incidentu. Daňové doklady uchováváme po dobu stanovenou daňovými a účetními předpisy.

5. Kdo může mít k údajům přístup

K údajům mají přístup pouze pověřené osoby a dodavatelé nezbytní pro provoz webu, hostingu a e‑mailové komunikace. Při ochraně formuláře používáme Cloudflare Turnstile; pro ověření výsledku se společnosti Cloudflare předává token a IP adresa návštěvníka. Pro zobrazení písem se prohlížeč připojuje ke službě Google Fonts. Tito poskytovatelé mohou při načtení svých služeb získat technické údaje o zařízení a síťovém připojení.

Podrobnosti o jejich zpracování najdete v zásadách Cloudflare a zásadách Google. V rozsahu popsaném jejich podmínkami může dojít ke zpracování technických údajů mimo Evropský hospodářský prostor.

Platby za předplatné a za placenou podporu zpracovává GOPAY s.r.o. jako provozovatel platební brány; předávají se jí fakturační a kontaktní údaje nezbytné k provedení platby. Údaje o platební kartě zpracovává výhradně GoPay a my k nim nemáme přístup.

Podáte‑li veřejné hlášení v repozitáři produktu na GitHubu, jeho obsah bude veřejně přístupný a příjemcem údajů bude společnost GitHub, Inc. Do veřejného hlášení nevkládejte osobní údaje ani výřezy dat, které je obsahují. K takovým podkladům slouží neveřejný formulář na myucto.cz/support.

Provozujeme‑li pro vás instanci v hostovaném provozu, jsou do zpracování zapojeni další zpracovatelé (dodavatel provozu a provozovatelé datových center). Jmenovitě je uvádí článek 10.

6. Cookies a úložiště prohlížeče

Web používá technickou relační cookie potřebnou pro ochranu formuláře, CSRF token a omezení opakovaných pokusů. Volba světlého nebo tmavého vzhledu se ukládá do úložiště prohlížeče.

Otevřete-li web přes platný partnerský odkaz, nabídneme vám uložení cookie myucto_affiliate na 14 dní. Cookie obsahuje pouze partnerský kód a slouží k přiřazení případné objednávky partnerovi a výpočtu jeho provize. Uloží se jen po vašem souhlasu, odmítnutí nijak neomezuje používání webu a uložený kód lze odstranit přímo v objednávce. Cookie nepoužíváme k profilování ani ji nesdílíme s reklamními sítěmi.

7. Vaše práva

Můžete požadovat přístup ke svým osobním údajům, jejich opravu, výmaz nebo omezení zpracování. V případech založených na oprávněném zájmu můžete vznést námitku. Pokud je to použitelné, máte také právo na přenositelnost údajů.

Žádost pošlete na info@myucto.cz. Máte také právo podat stížnost u Úřadu pro ochranu osobních údajů.

8. Automatizované rozhodování

Při vyřizování poptávek neprovádíme automatizované rozhodování ani profilování, které by pro vás mělo právní nebo obdobně významné účinky. Automatická kontrola formuláře pouze rozlišuje běžné odeslání od pravděpodobného spamu.

9. Placená podpora a hlášení zranitelností

Placená podpora. Podklady, které nám předáte v incidentu, používáme výhradně k jeho vyřešení. Přístup k nim mají pouze osoby, které incident řeší. Podmínky služby jako celku upravuje článek 11 obchodních podmínek.

Hlášení bezpečnostní zranitelnosti podané neveřejným formulářem na myucto.cz/support je vždy bezplatné a lze je podat bez uvedení jména. Stačí kontaktní e‑mail, na který vám můžeme odpovědět. Žádné další údaje po vás nepožadujeme a e‑mail použijeme pouze ke komunikaci o daném hlášení. Podrobnosti o zranitelnosti nezveřejňujeme dřív, než je opravena.

Veřejná hlášení s náměty, připomínkami a chybami podávejte v repozitáři produktu na GitHubu. Jejich obsah je veřejný, proto do nich nevkládejte osobní údaje.

10. Hostovaný provoz: zpracovatelé, umístění dat a doba uchování

Naše role. V hostovaném provozu provozujeme instanci Produktu za vás. Osobní údaje, které do ní vložíte vy nebo vaši uživatelé, například údaje vašich klientů, dodavatelů a zaměstnanců, zpracováváme jako zpracovatel na váš pokyn a pouze v rozsahu nezbytném pro provoz služby, řešení incidentů a plnění povinností podle článku 12 obchodních podmínek. Správcem těchto údajů zůstáváte vy. Přístup k nim mají jen pověřené osoby a níže uvedení zpracovatelé.

Zpracovatelé zapojení do hostovaného provozu:

• All2U services s.r.o. (služba ServerMaster) – provoz hostované instance: správa serverů, aktualizace, zálohování a odesílání e‑mailů z instance; Slovensko.
• OVH SAS – datové centrum a servery, na kterých instance běží; Francie.
• Hetzner Online GmbH – úložiště záloh; Německo.
• VSHosting – datové centrum a servery jako rezervní lokalita pro rozšíření kapacity; k dnešnímu dni se zde data nezpracovávají; Česká republika.

Umístění dat a přenos mimo EU. Všichni uvedení zpracovatelé i datová centra, ve kterých hostované instance běží, se nacházejí v Evropské unii. K přenosu údajů z hostované instance do třetích zemí nedochází. Netýká se to technických údajů podle článku 5, které vznikají při načtení webu myucto.cz.

Změna zpracovatele. Chystáme‑li se změnit dodavatele provozu nebo datové centrum, informujeme vás nejméně 30 dnů předem. Do dne účinnosti změny můžete vznést odůvodněnou námitku; nedojde‑li k dohodě, můžete hostovaný provoz ukončit ke dni účinnosti změny a uplatní se lhůta pro stažení dat podle čl. 12.14 obchodních podmínek. Nesnese‑li změna odkladu z bezpečnostních nebo provozních důvodů, informujeme vás bez zbytečného odkladu.

Zálohy. Data hostované instance zálohujeme několikrát denně a uchováváme 30 posledních denních kopií a 3 měsíční kopie na úložišti odděleném od produkčního serveru. Obnovu provádíme pouze na vaši žádost prostřednictvím podpory; její rozsah a meze, včetně možné ztráty dat za posledních několik hodin, popisují čl. 12.9 a 12.10 obchodních podmínek.

Doba uchování po skončení služby. Po skončení hostovaného provozu zůstávají vaše data 30 dnů dostupná ke stažení; na konec této lhůty vás předem upozorníme e‑mailem. Poté instanci i data smažeme, přičemž smazání všech kopií včetně záloh proběhne nejpozději do čtyř měsíců. Delší uchování je možné jen na základě samostatné dohody a je zpoplatněno.

Export dat. Data si můžete z hostované instance kdykoli, i za trvání služby, vyexportovat funkcemi Produktu. Doporučujeme exporty pořizovat průběžně, nejen po skončení služby.

11. Zpracovatelská doložka k hostovanému provozu

Tato doložka tvoří smlouvu o zpracování osobních údajů podle čl. 28 odst. 3 GDPR mezi vámi jako správcem a námi jako zpracovatelem. Použije se od okamžiku, kdy pro vás provozujeme hostovanou instanci, a trvá po dobu hostovaného provozu a dále po dobu lhůt podle článku 10. Potřebujete‑li ji jako samostatný podepsaný dokument, vystavíme vám ji na vyžádání.

Rozdělení rolí. Dodáváme a provozujeme aplikaci; vlastní uložení dat, servery a zálohy zajišťuje dodavatel provozu jako další zpracovatel podle článku 10. Provozujete‑li aplikaci ve vlastní instalaci, tato doložka se nepoužije: k vašim datům nemáme přístup a zpracováváme jen podklady, které nám sami předáte při řešení podpory (článek 9).

Předmět, povaha a účel zpracování. Předmětem je provoz hostované instance účetního programu. Povahou zpracování je uložení, zpřístupnění, zálohování, obnova a výmaz údajů; účelem je zajištění dostupnosti a technické správy instance a poskytnutí podpory. Údaje nezpracováváme k žádnému vlastnímu účelu, nepoužíváme je k marketingu ani je nepředáváme dál nad rámec článku 10.

Subjekty a kategorie údajů. Subjekty údajů jsou zejména vaši zaměstnanci, klienti, dodavatelé a další obchodní partneři a uživatelé aplikace. Kategoriemi údajů jsou identifikační a kontaktní údaje, údaje o obchodních transakcích a účetních dokladech, bankovní spojení, mzdové a personální údaje včetně rodných čísel a údajů o zdravotním pojištění a dále přihlašovací údaje a záznamy o přístupu. Součástí zpracování mohou být zvláštní kategorie osobních údajů v rozsahu vyplývajícím z mzdové agendy.

Zavazujeme se:

• zpracovávat údaje pouze podle vašich pokynů, ledaže nám zpracování ukládá právní předpis; pokyny udělujete užíváním aplikace a písemně na náš kontaktní e‑mail;
• zavázat mlčenlivostí každého, kdo se na zpracování podílí;
• udržovat technická a organizační opatření: oddělení jednotlivých instancí, šifrování přenosu (TLS), zálohy na odděleném úložišti s vlastním přístupovým oprávněním, řízení přístupu na principu nejnižších oprávnění a vícefaktorové ověření pro správcovské přístupy, pravidelné bezpečnostní aktualizace, monitoring a logování přístupů, pravidelné ověřování obnovitelnosti záloh a dokumentovaný postup pro řešení bezpečnostních incidentů;
• zapojit dalšího zpracovatele pouze v rozsahu článku 10 a oznámit vám změnu nejméně 30 dnů předem;
• být vám nápomocni při vyřizování žádostí subjektů údajů a při plnění povinností podle čl. 32 až 36 GDPR, a to v rozsahu, který odpovídá povaze zpracování a informacím, které máme k dispozici;
• ohlásit vám porušení zabezpečení osobních údajů bez zbytečného odkladu poté, co se o něm dozvíme, včetně popisu jeho povahy a odhadu rozsahu;
• po skončení hostovaného provozu údaje vymazat postupem a ve lhůtách podle článku 10;
• poskytnout vám informace potřebné k doložení souladu s čl. 28 GDPR;
• upozornit vás, máme‑li za to, že váš pokyn porušuje předpisy o ochraně osobních údajů.

Vaše povinnosti jako správce. Odpovídáte za to, že máte pro zpracování právní důvod, že jste splnili informační povinnost vůči subjektům údajů a že údaje vkládané do instance jsou přiměřené účelu. Do instance nevkládejte údaje, které ke svému účelu nepotřebujete.

Doložení souladu a kontrola. Na žádost vám poskytneme informace a doklady k plnění této doložky. Kontrolu na místě lze provést nejvýše jednou za kalendářní rok, po oznámení nejméně 30 dnů předem, v pracovní době a na vaše náklady; můžeme ji nahradit zprávou nezávislého auditora nebo platným osvědčením. U dalších zpracovatelů podle článku 10 zajistíme kontrolu jen v rozsahu, ve kterém je umožněna nám samotným. Došlo‑li k porušení zabezpečení dotýkajícímu se vaší instance, lze kontrolu provést i mimo uvedenou četnost.

Odpovědnost. Práva subjektů údajů a odpovědnost vůči nim se řídí čl. 82 GDPR; tato doložka je nijak neomezuje. Ve vzájemném vztahu Zákazníka a Poskytovatele nese každá strana újmu, sankce a náklady v rozsahu odpovídajícím jejímu podílu na odpovědnosti. Nároky Zákazníka vůči Poskytovateli podléhají omezení podle článku 8 obchodních podmínek v rozsahu dovoleném kogentními právními předpisy.