Zásady zpracování osobních údajů

Úvod — co tento dokument je

Tyto zásady plní informační povinnost správce podle čl. 13 nařízení (EU) 2016/679 (GDPR) a zákona č. 110/2019 Sb., o zpracování osobních údajů. Popisují, jak provozovatel Avelo zpracovává osobní údaje vás jako uživatele služby (např. při registraci, přihlášení, komunikaci a platbách).

Zpracování osobních údajů vašich klientů, které do aplikace Avelo vkládáte, se neřídí tímto dokumentem, ale zpracovatelskou smlouvou — v ní je Avelo zpracovatelem a vy správcem. Zde naopak Avelo vystupuje jako správce vašich vlastních údajů.

Totožnost a kontaktní údaje správce

Správcem osobních údajů je [DOPLNÍ PRÁVNÍK] (obchodní firma, IČO, sídlo, kontaktní e-mail).

[DOPLNÍ PRÁVNÍK] (byl-li jmenován pověřenec pro ochranu osobních údajů podle čl. 37 GDPR, uveďte jeho kontaktní údaje; jinak výslovně uveďte, že pověřenec jmenován nebyl a proč).

Účely zpracování a právní základ

Pro každý účel zpracování je níže uveden jeho právní základ podle čl. 6 odst. 1 GDPR:

• Poskytování služby a správa účtu — právní základ: plnění smlouvy (čl. 6 odst. 1 písm. b) GDPR).
• Vyúčtování a účetní/daňové povinnosti — právní základ: splnění právní povinnosti (čl. 6 odst. 1 písm. c) GDPR).
• Zabezpečení služby, prevence zneužití a provozní logy — právní základ: oprávněný zájem (čl. 6 odst. 1 písm. f) GDPR).
• [DOPLNÍ PRÁVNÍK] (doplňte případné další účely — např. zasílání obchodních sdělení na základě souhlasu čl. 6 odst. 1 písm. a) — a u každého oprávněného zájmu popište, o jaký oprávněný zájem se jedná).

Příjemci osobních údajů

Osobní údaje mohou být předány zpracovatelům, kteří pro Avelo zajišťují provoz ([DOPLNÍ PRÁVNÍK] — např. poskytovatel hostingu/cloudu v EU, e-mailová a platební brána, nástroj podpory). S každým takovým zpracovatelem je uzavřena zpracovatelská smlouva podle čl. 28 GDPR.

Osobní údaje mohou být dále zpřístupněny orgánům veřejné moci, stanoví-li tak právní předpis. [DOPLNÍ PRÁVNÍK] (uveďte konkrétní kategorie příjemců).

Předávání do třetích zemí

[DOPLNÍ PRÁVNÍK] — jsou-li údaje předávány mimo EU/EHP, uveďte třetí zemi, existenci či neexistenci rozhodnutí o odpovídající ochraně podle čl. 45 GDPR, případně vhodné záruky podle čl. 46 GDPR a způsob, jak získat jejich kopii. Nedochází-li k předávání mimo EU/EHP, uveďte to výslovně (cíl: veškeré zpracování v rámci EU).

Doba uložení osobních údajů

Osobní údaje uchováváme jen po dobu nezbytnou k danému účelu: údaje účtu po dobu trvání smlouvy, účetní a daňové doklady po dobu stanovenou právními předpisy. [DOPLNÍ PRÁVNÍK] (uveďte konkrétní doby nebo kritéria pro jejich stanovení u každého účelu).

Cookies a technické ukládání

Avelo ukládá do vašeho zařízení pouze údaje, které jsou technicky nezbytné pro fungování služby, o kterou jste výslovně požádali (přihlášení a bezpečné ověření). Nepoužíváme analytické, marketingové ani reklamní cookies.

Podle § 89 odst. 3 zákona č. 127/2005 Sb., o elektronických komunikacích, není k takovému technicky nezbytnému ukládání potřeba váš souhlas. Z toho důvodu vás neobtěžujeme souhlasovou lištou — nabízet volbu, kterou nelze odmítnout, aniž by služba přestala fungovat, by bylo zavádějící.

Pro měření návštěvnosti používáme nástroj Vercel Web Analytics. Ten neukládá do vašeho zařízení žádné cookies ani identifikátory a shromažďuje pouze souhrnné údaje (navštívená stránka, typ zařízení, prohlížeč, země) — nelze z nich zjistit vaši totožnost ani sledovat vaši cestu napříč weby. Adresy stránek, které by mohly obsahovat citlivé údaje (odkaz pro ověření klienta, identifikátor spisu, přístupové tokeny), se před odesláním nahrazují zástupným textem.

Ukládáme tyto údaje:

• avelo_session — udržuje vaše přihlášení. Platnost 7 dní. Bez ní se nelze přihlásit.
• bankid_flow — dočasně drží stav ověření po dobu přesměrování na banku a zpět (ochrana proti CSRF a replay útokům). Platnost 10 minut.
• avelo_reauth — potvrzuje čerstvé ověření totožnosti před nevratnou operací (např. výmaz spisu po uplynutí lhůty). Platnost 5 minut.
• Úložiště prohlížeče (sessionStorage) — dočasně uchovává rozpracovaný krok průvodce, abyste o rozdělanou práci nepřišli. Maže se zavřením karty.

Vaše práva a jak je uplatnit

Tato práva se týkají vašich osobních údajů jakožto uživatele služby. Netýkají se osobních údajů vašich klientů, které do aplikace Avelo vkládáte — u těch jste správcem vy a Avelo pouze zpracovatelem; práva svých klientů vyřizujete vy podle zpracovatelské smlouvy.

Jako subjekt údajů máte ve vztahu ke svým osobním údajům tato práva:

• právo na přístup k osobním údajům (čl. 15 GDPR),
• právo na opravu (čl. 16 GDPR),
• právo na výmaz — „právo být zapomenut“ (čl. 17 GDPR), s výjimkami dále uvedenými,
• právo na omezení zpracování (čl. 18 GDPR),
• právo na přenositelnost údajů (čl. 20 GDPR),
• právo vznést námitku proti zpracování založenému na oprávněném zájmu (čl. 21 GDPR),
• je-li zpracování založeno na souhlasu, právo souhlas kdykoli odvolat, aniž je dotčena zákonnost zpracování před odvoláním (čl. 7 odst. 3 GDPR).

Meze práva na výmaz — zákonná povinnost uchování (AML)

Právo na výmaz není absolutní. Podle čl. 17 odst. 3 písm. b) GDPR se neuplatní tam, kde je zpracování nezbytné pro splnění právní povinnosti správce.

Toto omezení dopadá především na osobní údaje vašich klientů: povinnost uchovávat identifikační údaje a doklady po dobu 10 let podle § 16 zákona č. 253/2008 Sb. tíží vás jakožto povinnou osobu (správce). Avelo je u těchto dat pouze zpracovatelem a nakládá s nimi podle vašich pokynů; posouzení, zda lze údaje vymazat, náleží vám. Po uplynutí zákonné lhůty jsou údaje naopak vymazány, jak § 16 odst. 4 přikazuje.

Uplatnění práva na výmaz vašich vlastních uživatelských (účtových) údajů, na které se povinnost uchování nevztahuje, tím není dotčeno.

Uplatnění práv

Kterékoli z výše uvedených práv můžete uplatnit žádostí zaslanou na kontaktní e-mail správce ([DOPLNÍ PRÁVNÍK] — kontaktní e-mail). Žádost vyřídíme bez zbytečného odkladu, nejpozději do jednoho měsíce od jejího doručení; tuto lhůtu lze ve složitých případech prodloužit o další dva měsíce (čl. 12 odst. 3 GDPR). Za tímto účelem můžeme požádat o ověření vaší totožnosti.

Právo podat stížnost u dozorového úřadu

Máte právo podat stížnost u dozorového úřadu, kterým je v České republice Úřad pro ochranu osobních údajů (ÚOOÚ), Pplk. Sochora 27, 170 00 Praha 7, www.uoou.gov.cz.

Povinnost poskytnutí údajů

Poskytnutí údajů nezbytných k registraci a plnění smlouvy je smluvním požadavkem — bez nich nelze službu poskytovat a účet zřídit. [DOPLNÍ PRÁVNÍK] (upřesněte, které údaje jsou nezbytné a jaké jsou důsledky jejich neposkytnutí).

Automatizované rozhodování a profilování

Při zpracování vašich uživatelských údajů nedochází k automatizovanému rozhodování ani profilování s právními účinky ve smyslu čl. 22 GDPR. [DOPLNÍ PRÁVNÍK] (pokud by k němu docházelo, popište použitou logiku, význam a předpokládané důsledky pro subjekt údajů).

Změny těchto zásad a účinnost

Tyto zásady můžeme aktualizovat; aktuální znění je vždy dostupné na této stránce s uvedením verze a data účinnosti. [DOPLNÍ PRÁVNÍK] (způsob oznámení podstatných změn).