Zásady ochrany osobních údajů

Tento dokument popisuje, jaké osobní údaje shromažďujeme, k jakému účelu je používáme a jaká máte práva jako subjekt údajů podle Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 (dále jen GDPR).

Pro úplnost doplňujeme: Proklepni.to je informativní a poradní nástroj nad veřejnými rejstříky — nenahrazuje vlastní due-diligence proces Uživatele ani závazný compliance check. Plnou míru omezení odpovědnosti za výstupy služby upravuje oddíl 7 Obchodních podmínek.

1. Správce osobních údajů

Provozovatelem služby Proklepni.to (dále jen služba) a správcem osobních údajů je společnost refactorials s.r.o., IČO 05460409, se sídlem V jezevčinách 1201/6, Klánovice, 190 14 Praha 9, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze, oddíl C, vložka 419561.

Kontakt pro uplatnění práv subjektu údajů: admin@proklepnito.cz.

2. Jaké údaje zpracováváme

Údaje, které nám poskytnete při registraci a používání služby

• Kontaktní údaje: e-mailová adresa, jméno a příjmení.
• Autentizační údaje: heslo uložené výhradně v podobě jednosměrného BCrypt hashe (vaše heslo v čitelné podobě neuchováváme); volitelně identifikátor účtu Google, pokud se přihlásíte přes Google.
• Předplatné a fakturace: zvolený tarif, historie plateb přes platební bránu Comgate (samotné údaje platební karty Proklepni.to nikdy nevidí; procesuje je výhradně Comgate jako zpracovatel).

Údaje o aktivitě ve službě

• Monitorované subjekty: IČO firem, které do svého portfolia přidáte, a historie vámi spuštěných kontrol (on-demand ověření).
• Technické údaje: IP adresa, typ prohlížeče, logy HTTP požadavků (uchováváme maximálně 30 dní pro účely ladění a bezpečnosti).
• Komunikace s AI asistentem (chat): obsah vašich dotazů a odpovědí asistenta, počet tokenů a model, který odpověď zpracoval. Konverzace se ukládají do databáze, abyste se k nim mohli vracet; obsah dotazu putuje mimo EU ke zpracovateli LLM (viz oddíl 5). Doporučujeme do dotazů nevkládat citlivé osobní údaje nad rámec běžné kontextové informace (IČO, název firmy, vaše otázka).
• Použití funkce „Kontakt": odeslaný text z formuláře na úvodní stránce, e-mail a IP. Pro ochranu proti spamu používáme Google reCAPTCHA v3 (anonymní skóre, bez profilování).

Údaje z veřejných rejstříků

Služba replikuje veřejně dostupná data z Insolvenčního rejstříku (ISIR), rejstříku plátců DPH, ARES a Obchodního rejstříku. Tyto údaje se týkají firem, nikoli fyzických osob v roli uživatelů služby. Jsou veřejné z podstaty zákonného zveřejnění a Proklepni.to je pouze agreguje.

3. Účel a právní základ zpracování

1. Plnění smlouvy (čl. 6 odst. 1 písm. b) GDPR): poskytování monitorovací služby, autentizace, správa předplatného.
2. Oprávněný zájem (čl. 6 odst. 1 písm. f) GDPR): zabezpečení aplikace, prevence zneužití, zlepšování služby na základě anonymizovaných provozních metrik.
3. Zákonná povinnost (čl. 6 odst. 1 písm. c) GDPR): účetní a daňová evidence fakturačních dokladů po dobu stanovenou zákonem.
4. Souhlas (čl. 6 odst. 1 písm. a) GDPR): pouze v případech, kdy se na něj výslovně ptáme (např. marketingové e-maily nad rámec služby). Souhlas můžete kdykoli odvolat.

4. Doba uchování údajů

• Údaje uživatelského účtu: po celou dobu aktivního účtu. Po zrušení účtu je smažeme do 30 dnů, s výjimkou údajů, které podléhají zákonné archivační povinnosti (fakturační doklady).
• Fakturační doklady: 10 let dle zákona o účetnictví.
• Provozní logy: maximálně 30 dnů.
• Data o monitorovaných firmách: po dobu, kdy je máte ve svém portfoliu, plus 90 dnů po odebrání (pro případ obnovy).
• AI chat: konverzace zůstávají vázané k vašemu účtu po celou dobu jeho trvání a smažou se spolu s ním (do 30 dnů od zrušení). Token usage záznamy slouží k vyúčtování a držíme je maximálně 24 měsíců.
• Souhlas s cookies (cw.consent): uchováván v prohlížeči, dokud si jej sami nevymažete nebo nepoužijete tlačítko „Reset cookies" v patičce.

5. Kdo má k údajům přístup (zpracovatelé)

Osobní údaje předáváme výhradně zpracovatelům, kteří nám pomáhají službu provozovat. Se všemi máme uzavřenou smlouvu o zpracování dle čl. 28 GDPR; u zpracovatelů mimo EU je předání zajištěno standardními smluvními doložkami Evropské komise (SCC) podle čl. 46 GDPR.

Infrastruktura a provoz

• Railway Corp. (USA, SCC): cloudový hosting aplikace a databáze PostgreSQL.
• Sentry (Functional Software, Inc.) (USA, SCC): zachytávání chyb a výjimek běhu aplikace pro účely ladění. Sentry může z výjimek zachytit omezený kontext požadavku (např. URL, IP, identifikátor uživatele); citlivá pole filtrujeme před odesláním.
• Axiom Industries Ltd. (USA/UK, SCC): strukturované logování serverových událostí (HTTP requesty, Hangfire jobs).
• Healthchecks.io (Monkey See Monkey Do, s.r.o.) (ČR / EU): monitorování úspěšnosti pravidelných úloh (Hangfire). Pingy obsahují pouze název úlohy a stav, nikoli osobní údaje uživatelů.

Platby

• Comgate Payments, a.s. (ČR): platební brána pro úhradu předplatného. Údaje platebních karet zpracovává výhradně Comgate jako samostatný správce v souladu s PCI-DSS.

Komunikace

• Resend, Inc. (USA, SCC): odesílání transakčních e-mailů (ověření adresy, obnova hesla, upozornění, fakturační notifikace).

AI asistent (chat)

Pokud používáte AI chat v aplikaci (od tarifu Basic výš), je obsah vašeho dotazu, kontext zobrazené stránky a metadata vašeho účtu (tarif, ID) odeslán ke zpracování velkojazykového modelu. Provozovatel se snaží minimalizovat objem osobních údajů v dotazech (žádné automatické vkládání e-mailových adres, hesel apod.).

• OpenAI, L.L.C. (USA, EU-US Data Privacy Framework + SCC): primární poskytovatel LLM (modely řady GPT-4.1). OpenAI dle své smlouvy pro API zákazníky data nepoužívá k trénování modelů a uchovává je nejdéle 30 dní pro účely abuse monitoringu.
• Anthropic, PBC (USA, EU-US Data Privacy Framework + SCC): záložní poskytovatel LLM (modely řady Claude) a zpracovatel pro extrakci finančních ukazatelů z veřejných výročních zpráv. Stejný princip — žádný tréninkový opt-in pro API zákazníky.
• Ollama (lokální): pokud je dostupný, část dotazů jde do lokální instalace Ollama na infrastruktuře Provozovatele (v ČR); v tomto případě dotaz neopouští EU.

Ochrana proti spamu / botům

• Google LLC (USA, EU-US Data Privacy Framework + SCC): služba reCAPTCHA v3 chrání kontaktní formulář před boty; analyzuje signály prohlížeče a generuje anonymní skóre. Pokud se přihlásíte přes účet Google, dochází navíc k jednorázovému ověření identity přes OAuth (Google Sign-In) — zpracování probíhá dle zásad Google.

Aktuální a úplný seznam zpracovatelů (sub-processors) v podobě vhodné pro B2B zákazníky, kteří potřebují vlastní DPA, je rovněž v dokumentu Smlouva o zpracování osobních údajů (DPA).

Osobní údaje neprodáváme žádné třetí straně a nepoužíváme je k reklamnímu profilování ani je nepředáváme do třetích zemí mimo výše uvedené zpracovatele.

6. Cookies a podobné technologie

Stručný přehled — úplný seznam každého úložiště, doby uchování a poskytovatele najdete v samostatném dokumentu Zásady cookies.

Technicky nezbytné (bez souhlasu)

K udržení přihlášení a preferencí zobrazení používáme výhradně localStorage prohlížeče. Tyto údaje neopouštějí zařízení a služba bez nich nemůže fungovat, proto je zpracováváme na základě čl. 6 odst. 1 písm. b) GDPR (plnění smlouvy) bez cookie banneru:

• cw.session: identifikace uživatele a refresh token (pro silent re-login). Samotný JWT access token se v úložišti neukládá, je drženy pouze v paměti karty.
• cw.theme: preference světlého / tmavého režimu.
• cw.consent: záznam vaší volby v souborech cookies.
• cw-chat-width: šířka panelu AI asistenta (jen pokud ji ručně upravíte).

Analytické (pouze se souhlasem)

Volitelně používáme službu Google Analytics 4, abychom rozuměli jak návštěvníci stránku používají (které sekce si prohlíží, kde zaváhají, odkud přicházejí). IP adresa se anonymizuje, žádné osobní profilování nespouštíme a nesdílíme data s inzertními systémy Google.

Analytické cookies se načtou pouze po vašem souhlasu (tlačítko „Přijmout vše" v cookies banneru). Používáme Google Consent Mode v2: do udělení souhlasu Google neuchovává žádné identifikátory. Pokud odmítnete nebo banner zavřete, analytika se neaktivuje.

• _ga, _ga_XXXXXXX: identifikátor relace a měření (Google Analytics, doména .proklepnito.cz).

Externí skripty na kontaktním formuláři

Při odeslání kontaktního formuláře na úvodní stránce se z domény www.google.com načte skript Google reCAPTCHA v3 pro ochranu proti spamu. Skript běží v režimu „invisible", neukládá žádné cookies do hlavní domény Proklepni.to a vrací pouze anonymní skóre 0–1.

Svou volbu můžete kdykoli změnit smazáním cw.consent z localStorage, nebo přes tlačítko „Reset cookies" v patičce.

7. Vaše práva

Jako subjekt údajů máte podle GDPR právo:

• na přístup ke svým údajům (čl. 15);
• na opravu nepřesných údajů (čl. 16);
• na výmaz (čl. 17): právo být zapomenut;
• na omezení zpracování (čl. 18);
• na přenositelnost údajů (čl. 20): export ve strojově čitelném formátu;
• vznést námitku proti zpracování z oprávněného zájmu (čl. 21);
• odvolat souhlas, pokud byl základem zpracování;
• podat stížnost u dozorového úřadu: Úřad pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7.

Pro uplatnění jakéhokoli práva nám napište na admin@proklepnito.cz. Odpovíme do 30 dnů.

8. Předávání mimo EU

Někteří zpracovatelé uvedení v oddíle 5 sídlí mimo Evropský hospodářský prostor (typicky v USA). Předání osobních údajů je v takových případech zajištěno:

• standardními smluvními doložkami Evropské komise (SCC), schválenými rozhodnutím č. 2021/914,
• u zpracovatelů certifikovaných v rámci EU-US Data Privacy Framework (např. Google, OpenAI, Anthropic) rovněž rozhodnutím Evropské komise o odpovídající úrovni ochrany z roku 2023.

Kompletní seznam předání včetně právního titulu najdete v DPA.

9. Děti do 16 let

Služba je určena pro podnikatele a profesionály — není záměrně určena osobám mladším 16 let a vědomě jejich osobní údaje nezpracováváme. Pokud se domníváte, že nezletilá osoba vytvořila účet, dejte nám prosím vědět a údaje odstraníme.

10. Zabezpečení

Hesla jsou uložena jen jako BCrypt hash. Komunikace mezi prohlížečem a serverem probíhá výhradně přes HTTPS (TLS 1.3). Databáze je přístupná jen z aplikace, ne z veřejné sítě. JWT access tokeny mají krátkou platnost (15 minut); refresh tokeny jsou uloženy jen jako SHA-256 hash a rotují se při každém použití.

11. Související dokumenty

• Obchodní podmínky — smluvní rámec využívání služby.
• Zásady cookies — detailní rozpis lokálních úložišť, cookies a stop-listů.
• Smlouva o zpracování (DPA) — B2B doložka pro zákazníky, kteří jsou v roli správce a Proklepni.to využívají jako zpracovatele.

12. Změny těchto zásad

Zásady můžeme čas od času upravit. O významných změnách vás budeme informovat e-mailem a v aplikaci. Datum účinnosti aktuální verze najdete v záhlaví tohoto dokumentu.