Zásady ochrany osobních údajů v aplikaci Revizorio

Tyto Zásady popisují, jak Poskytovatel nakládá s osobními údaji ve službě Revizorio.

Pojmy „Poskytovatel", „Uživatel" a „Služba" mají význam vymezený ve Všeobecných obchodních podmínkách. Uživatelem aplikace se rozumí fyzická osoba, které Uživatel zřídil uživatelský účet.

MVP Enterprises s.r.o.

IČO: 299 33 005

DIČ: CZ29933005

Sídlo: Korunní 2569/108, Vinohrady, 101 00 Praha 10

Zapsaná v obchodním rejstříku vedeném Městským soudem v Praze,

spisová značka C 454267

E-mail pro dotazy k osobním údajům: info@revizorio.com

Poskytovatel provozuje webovou aplikaci Revizorio na adrese app.revizorio.com. Slouží k tvorbě revizních zpráv elektrické instalace, hromosvodů a strojů a je určena výhradně podnikatelům.

Poskytovatel nemá pověřence pro ochranu osobních údajů, neboť mu jej zákon neukládá. Dotazy se podávají na e-mailovou adresu uvedenou výše.

Poskytovatel vystupuje ve dvou rolích.

U údajů o Uživateli a o uživatelích aplikace, kteří se do ní přihlašují, je Poskytovatel správcem. Určuje účel a prostředky zpracování a popisují je tyto Zásady.

U údajů, které Uživatel do aplikace vloží o svých vlastních zákaznících, o objektech a o strojích, je Poskytovatel zpracovatelem a správcem je Uživatel. Poskytovatel je zpracovává pouze podle pokynů Uživatele a k žádnému jinému účelu. Pravidla pro tuto část jsou v Příloze 1 Všeobecných obchodních podmínek.

Poskytovatel jako správce zpracovává:

a) Údaje k přístupu do aplikace. E-mail, otisk hesla a roli uživatele. Účelem je přihlášení a rozlišení oprávnění. Heslo se neukládá, pouze jeho jednosměrný otisk.

b) Údaje technika. Jméno, evidenční číslo osvědčení, evidenční číslo oprávnění a adresu. Účelem je jejich uvedení na revizní zprávě, kde je vyžaduje předpis.

c) Obrázek razítka a podpisu technika. Účelem je jeho vložení do vytvořených dokumentů.

d) Fakturační údaje. Název firmy, IČO, DIČ, adresu, variabilní symbol, cenu a fakturační období. Účelem je vystavení dokladu a vedení účetnictví.

e) Historii plateb a faktur. Účelem je evidence úhrad a plnění daňových povinností.

f) Provozní záznam o odeslaných e-mailech. E-mailová adresa je v něm uložena pouze maskovaně, spolu s typem a stavem zprávy. Účelem je ověřit, zda zpráva odešla, nedorazila-li příjemci.

g) Záznam o změnách dat. Kdo, kdy a co změnil, včetně obsahu změny. Účelem je doložit, kdo revizní zprávu vydal nebo upravil.

h) Záznam o pokusech o přístup. Popisuje jej článek 10.

i) Komunikaci s Poskytovatelem. E-mailovou adresu, jméno, firmu a obsah zprávy včetně příloh, ať přijde e-mailem, nebo formulářem pro zpětnou vazbu v aplikaci. Formulář připojí k zprávě roli uživatele a název jeho firmy. Přiložený snímek obrazovky může obsahovat i údaje, které Uživatel vede o svých zákaznících. Účelem je vyřízení dotazu, požadavku nebo podnětu.

Poskytovatel nezpracovává telefonní číslo. Nezpracovává časy přihlášení nad rámec technické relace, která uživatele aplikace udržuje přihlášeného.

Poskytovatel nepoužívá analytiku, reklamní ani sledovací nástroje ani externí fonty. Nemá platební bránu. Nepoužívá služby umělé inteligence. Data Uživatele nepoužívá k trénování modelů.

Údaje k přístupu do aplikace, údaje technika, razítko a podpis zpracovává Poskytovatel z důvodu plnění smlouvy podle článku 6 odstavce 1 písmene b) GDPR.

Fakturační údaje a historii plateb a faktur zpracovává z důvodu plnění právních povinností podle článku 6 odstavce 1 písmene c) GDPR, tedy podle daňových a účetních předpisů.

Provozní záznam o e-mailech, záznam o změnách dat, záznam o pokusech o přístup a komunikaci s Poskytovatelem zpracovává na základě oprávněného zájmu podle článku 6 odstavce 1 písmene f) GDPR. Tímto zájmem je zabezpečení služby, doložitelnost úkonů provedených ve službě a vyřízení toho, s čím se na Poskytovatele kdo obrátí. Proti zpracování na základě oprávněného zájmu lze podat námitku podle článku 13 těchto Zásad.

Poskytnutí údajů podle článku 3 písmen a) až e) je smluvním požadavkem.

Bez nich nelze zřídit uživatelský účet, vydat revizní zprávu s náležitostmi vyžadovanými předpisem ani vystavit daňový doklad, a Službu tedy nelze poskytovat.

Poskytnutí ostatních údajů nevyžaduje Poskytovatel od subjektu údajů; vznikají provozem Služby.

Poskytovatel osobní údaje nepředává za úplatu ani k marketingovým účelům. Předává je pouze následujícím dodavatelům, kteří se podílejí na provozu Služby.

Vercel Inc., Spojené státy americké. Provoz aplikace a provozní záznamy. Výpočetní region je v Evropské unii.

Neon Inc., Spojené státy americké. Databáze aplikace. Data jsou uložena v Německu, v regionu AWS eu-central-1 ve Frankfurtu.

Cloudflare, Inc., Spojené státy americké. Doménové jméno, ochrana provozu a úložiště souborů. V úložišti jsou fotografie, razítka, podpisy, archivní dokumenty a faktury. Úložiště je založené v jurisdikci Evropské unie.

Resend, Spojené státy americké. Odesílání e-mailů, tedy přihlašovacích údajů, obnovy hesla, připomínek termínů revizí a provozních hlášení.

Fakturoid s.r.o., Česká republika. Vystavování faktur a evidence jejich úhrad. Předává se název firmy, IČO, adresa, fakturační e-mail, částka a fakturované období. Nepředávají se údaje, které Uživatel do aplikace vkládá o svých zákaznících.

Have I Been Pwned, Spojené království. Kontrola, zda zvolené heslo neuniklo při některém ze známých úniků. Odesílá se pouze prvních pět znaků otisku hesla, nikoli heslo ani jakýkoli identifikátor uživatele. Z takového dotazu nelze zjistit, koho se týká.

ARES, Ministerstvo financí České republiky. Ověření zadaného IČO ve veřejném registru.

Google Cloud EMEA Limited, Irsko. E-mailová schránka Poskytovatele, do které přichází komunikace podle článku 3 písm. i), včetně zpětné vazby z aplikace. Google může tyto údaje zpracovávat i mimo Evropský hospodářský prostor.

Údaje aplikace jsou uloženy v Evropské unii. Někteří z uvedených dodavatelů však sídlí mimo Evropský hospodářský prostor nebo tam údaje zpracovávají a mohou k nim přistupovat při provozu a podpoře. S těmi z nich, kterých se to týká, má Poskytovatel jako součást zpracovatelských smluv uzavřené standardní smluvní doložky podle prováděcího rozhodnutí Komise (EU) 2021/914. U Spojeného království se uplatní rozhodnutí Komise o odpovídající úrovni ochrany.

Údaje dále může Poskytovatel předat účetní firmě a v nezbytném rozsahu právnímu zástupci. Orgánům veřejné moci je předá pouze tehdy, ukládá-li mu to zákon.

Revizní zprávy a jejich přílohy se uchovávají 10 let. Po uplynutí této doby zůstávají pouze základní údaje o zprávě a vydaný dokument. Důvodem je archivační lhůta u revizních zpráv.

Fakturační a účetní údaje se uchovávají 10 let podle daňových a účetních předpisů.

Provozní záznam o odeslaných e-mailech se uchovává 365 dní.

Záznam o pokusech o přístup se uchovává 365 dní. Kratší doba by nestačila k rozpoznání opakovaného jednání.

Záznam o změnách dat se uchovává po dobu trvání smlouvy.

Smazané rozpracované zprávy se uchovávají 7 dní a poté se nevratně mažou. Slouží to k nápravě omylu, nikoli k archivaci.

Smazané soubory v úložišti se uchovávají 7 dní a poté se nevratně mažou.

Záloha databáze se uchovává 7 dní.

Počítadlo neúspěšných přihlášení se maže po 15 minutách.

Komunikace s Poskytovatelem se uchovává po dobu trvání smlouvy a tři roky po jejím skončení, tedy po dobu, kdy z ní mohou vzniknout nároky.

Do konce výpovědní lhůty má Uživatel plný přístup.

Následujících 30 dní zůstane účet přístupný pouze pro export dat. V této době již nelze ve Službě pracovat, lze však stáhnout veškerá data.

Poté Poskytovatel účet uzavře.

Po dalších 30 dnech proběhne automatický a nevratný výmaz. Nemažou se pouze údaje, které je Poskytovatel povinen uchovávat podle účetních a daňových předpisů, tedy údaje o firmě, platbách a fakturách.

Poskytovatel přijal technická a organizační opatření odpovídající povaze zpracování podle článku 32 GDPR. Patří k nim zejména:

šifrovaný přenos všech dat, oddělení dat jednotlivých zákazníků v aplikaci i v databázi, ukládání hesel pouze v podobě, ze které je nelze zpětně získat, ověřování hesel proti databázi známých úniků, omezení počtu pokusů o přihlášení a o obnovu hesla, ukončení probíhajícího přihlášení při odebrání přístupu nebo změně hesla, ověřování nahrávaných souborů podle jejich skutečného obsahu, vydávání příloh pouze ověřenému požadavku s kontrolou příslušnosti k firmě, pravidelné šifrované zálohování, oddělené role a záznam o změnách dat.

Šifrování uložených dat zajišťují poskytovatelé infrastruktury.

Podrobnější popis opatření poskytne Poskytovatel Uživateli na vyžádání.

Poskytovatel vede oddělený záznam o pokusech o přístup. Zaznamenává se neúspěšné přihlášení a odepřená akce, tedy druh události, místo v aplikaci, čas a klíčovaný otisk původu požadavku. Účelem je rozpoznat pokus o přístup k cizímu účtu.

IP adresa se neukládá. Při přihlašování se z ní počítá klíčovaný otisk, který umožňuje omezit opakované pokusy podle původu požadavku. Z otisku nelze IP adresu zpětně získat a záznam se maže po 15 minutách. Samotné IP adresy zpracovávají ve svých provozních záznamech provozovatelé infrastruktury, tedy Cloudflare a Vercel, nikoli aplikace.

Uživatel aplikace si může vzít revizi do offline režimu, nejvýše deset zpráv současně. Kompletní data takové revize včetně fotografií jsou pak uložena v prohlížeči jeho zařízení a odešlou se po obnovení připojení.

Za zabezpečení svého zařízení odpovídá uživatel aplikace. Na odemčeném zařízení jsou tato data čitelná.

Poskytovatel používá pouze cookies technicky nezbytné pro přihlášení a pro zabezpečení. Bez nich by aplikace nefungovala.

Nepoužívá analytické ani sledovací nástroje. U technicky nezbytných cookies zákon souhlas nevyžaduje, proto jej Poskytovatel nevyžaduje.

Subjekt údajů má právo:

na přístup ke svým osobním údajům a na jejich kopii, na opravu nepřesných údajů, na výmaz, nejsou-li údaje již potřebné a neuchovávají-li se podle zákonné lhůty, na omezení zpracování, na přenositelnost poskytnutých údajů ve strojově čitelném formátu, vznést námitku proti zpracování založenému na oprávněném zájmu.

Práva se uplatňují e-mailem na adrese info@revizorio.com. Poskytovatel odpoví do 14 dnů. Bude-li vyřízení trvat déle, oznámí to i s důvodem.

Export dat může Uživatel kdykoli provést sám přímo v aplikaci, a to i po skončení smlouvy ve třicetidenní lhůtě podle článku 8.

Poskytovatel neprovádí automatizované rozhodování ani profilování s právními účinky pro subjekt údajů.

Subjekt údajů má právo podat stížnost u dozorového úřadu:

Úřad pro ochranu osobních údajů

Pplk. Sochora 27, 170 00 Praha 7

https://uoou.gov.cz/

Uplatnění tohoto práva není ničím podmíněno.

Tyto Zásady jsou plněním informační povinnosti podle článků 13 a 14 GDPR, nikoli smlouvou. Jejich změnu Poskytovatel oznámí e-mailem nebo v aplikaci; souhlas s ní se nevyžaduje. Souhlas se vyžaduje pouze u Všeobecných obchodních podmínek a řídí se jejich článkem 13.

Starší znění zašle Poskytovatel na požádání.