Tyto zásady popisují, jak služba VimiaCRM zpracovává osobní údaje svých uživatelů v souladu s nařízením EU 2016/679 (GDPR) a zákonem č. 110/2019 Sb. o zpracování osobních údajů.
1. Správce osobních údajů
Správcem osobních údajů je:
- Kalendo a.s.
- IČO: 23231122
- Sídlo: K Sekance 552, 252 09 Hradištko
- zapsaná v obchodním rejstříku vedeném Městským soudem v Praze, oddíl B, vložka 29674
- Kontaktní e-mail: [email protected]
2. Jaké údaje zpracováváme
V rámci provozu služby VimiaCRM zpracováváme následující kategorie údajů:
Údaje uživatele (registrace a profil)
- E-mailová adresa
- Jméno a příjmení
- Fakturační údaje (IČO, DIČ, adresa, bankovní účet)
- Heslo (uložené v hashované podobě, nemáme k němu přístup)
Údaje vložené uživatelem (role zpracovatele)
- Kontakty na klienty (jméno, e-mail, telefon, adresa, IČO/DIČ)
- Údaje o projektech, úkolech, fakturách, nabídkách a evidenci času
- Soubory (podklady) nahrané k projektům
- Obsah e-mailových oznámení o bankovních platbách (pokud uživatel tuto funkci aktivuje)
Důležité: Správcem těchto údajů je uživatel, který je do služby vložil - my je zpracováváme jako zpracovatel podle jeho pokynů na základě Zpracovatelské smlouvy (DPA). Subjekty údajů (klienti uživatelů) by se se svými právy měly obracet primárně na svého dodavatele (našeho uživatele).
Technické údaje
- IP adresa, identifikátor relace, typ prohlížeče (logy serveru)
- Cookies - viz Zásady používání cookies
3. Účel a právní základ zpracování
- Plnění smlouvy (čl. 6 odst. 1 písm. b) GDPR) - provoz služby, poskytnutí funkcionalit CRM, fakturace, time trackingu a souvisejících nástrojů.
- Plnění právní povinnosti (čl. 6 odst. 1 písm. c) GDPR) - uchovávání účetních a daňových dokladů po dobu stanovenou zákonem (typicky 10 let).
- Oprávněný zájem (čl. 6 odst. 1 písm. f) GDPR) - bezpečnost služby, prevence zneužití, technické logy a sledování chyb aplikace (error tracking s pseudonymním identifikátorem uživatele).
- Souhlas (čl. 6 odst. 1 písm. a) GDPR) - pro nepovinné cookies a marketingovou komunikaci.
4. Příjemci údajů (zpracovatelé)
Údaje zpřístupňujeme následujícím zpracovatelům, kteří se podílí na provozu služby:
- Supabase Inc. - databáze a autentizace (servery v EU)
- Hetzner Online GmbH (Německo, EU) - serverová infrastruktura, na které aplikace běží (server spravuje provozovatel)
- Cloudflare, Inc. (USA) - DNS a směrování síťového provozu (IP adresy návštěvníků)
- Stripe Payments Europe, Ltd. - zpracování plateb za předplatné (e-mail, fakturační údaje, ID platebního prostředku)
- Mailgun Technologies Inc. (USA) - příjem e-mailových notifikací o bankovních platbách (jen pokud si funkci párování plateb aktivujete)
- OpenRouter, Inc. (USA) a poskytovatel modelu Google - strojové vytěžení obsahu e-mailu od banky (částka, variabilní symbol, jméno plátce) pro spárování platby s fakturou (volitelná funkce). Do modelu se předává relevantní text notifikace, který může obsahovat osobní údaje plátce; e-mailové adresy se před odesláním redigují a data se nepoužívají k trénování modelů ani neukládají.
- Seznam.cz, a.s. (ČR) - SMTP server pro odesílání faktur, nabídek a systémových e-mailů (e-mailová adresa příjemce, obsah dokladu)
- Google (FCM), Apple (APNs), Mozilla - doručování push notifikací, pokud si je zapnete (obsah notifikace může obsahovat např. jméno klienta a částku platby; notifikace lze kdykoli vypnout v nastavení)
- Sentry (Functional Software, Inc.) (USA) - sledování chyb aplikace (bez ukládání osobních údajů z požadavků; jen pseudonymní identifikátor uživatele)
- Google (Analytics, Ads), Microsoft (Clarity), Meta (Pixel) (USA) - analytika a marketing, pouze po udělení souhlasu s cookies
- ARES (ares.gov.cz, státní správa ČR) - vyhledání firemních údajů podle IČO, které zadáte (veřejný rejstřík)
Se zpracovateli máme (resp. uzavíráme) zpracovatelské smlouvy (DPA). Někteří zpracovatelé sídlí mimo EU (USA) - předání se opírá o standardní smluvní doložky (SCC) a/nebo certifikaci EU‑US Data Privacy Framework. Marketingové a analytické nástroje se aktivují až po vašem souhlasu s cookies.
5. Doba uchování
- Údaje uživatele a obsah CRM - po dobu existence účtu, max. 30 dní po jeho zrušení (zálohy).
- Daňové doklady, které vystavujeme my vám (za předplatné) - 10 let dle zákona č. 235/2004 Sb. Faktury, které ve službě vystavujete svým klientům, jsou vaše účetní doklady - mažou se spolu s účtem a jejich archivace je vaší povinností.
- E-maily o příchozích platbách - surový obsah e-mailu mažeme po 90 dnech, parsovaná metadata (částka, variabilní symbol, jméno plátce) max. 24 měsíců.
- Záznamy o platbách předplatného (Stripe události) - max. 90 dní.
- Technické logy - max. 12 měsíců.
6. Vaše práva
V souladu s GDPR máte právo na:
- Přístup k osobním údajům (čl. 15)
- Opravu nepřesných údajů (čl. 16)
- Výmaz osobních údajů (čl. 17)
- Omezení zpracování (čl. 18)
- Přenositelnost údajů (čl. 20)
- Vznést námitku proti zpracování (čl. 21)
- Odvolat udělený souhlas
- Podat stížnost u Úřadu pro ochranu osobních údajů
Kopii všech svých dat si můžete kdykoli stáhnout přímo v aplikaci (Nastavení → Export dat) a účet včetně všech dat okamžitě smazat (Nastavení → Smazat účet). Pro ostatní práva nás kontaktujte na [email protected].
7. Zabezpečení
Údaje jsou chráněny šifrováním v přenosu (TLS) i v klidu, vícefaktorovou autentizací infrastruktury a politikou minimálních oprávnění. Databáze využívá row-level security, která zaručuje, že každý uživatel vidí pouze vlastní data.
8. Změny zásad
Tyto zásady můžeme aktualizovat. O podstatných změnách informujeme uživatele e-mailem nebo upozorněním v aplikaci.