Zásady ochrany osobních údajů a GDPR – Flowbily

1. Úvod

Zpracování osobních údajů se řídí zejména nařízením Evropského parlamentu a Rady (EU) 2016/679, obecným nařízením o ochraně osobních údajů (GDPR), zákonem č. 110/2019 Sb., o zpracování osobních údajů, a dalšími použitelnými právními předpisy.

Flowbily je desktopová aplikace určená zejména pro import kalendářových událostí, tvorbu faktur a export fakturačních dokumentů.

Při běžném používání mohou být kalendářové a fakturační údaje zpracovávány přímo v počítači uživatele. Aplikace může rovněž komunikovat se serverem například za účelem ověření licence, získání aktualizací nebo zajištění bezpečnosti.

Konkrétní způsob zpracování závisí na používaných funkcích, konfiguraci aplikace a skutečně nasazené infrastruktuře.

2. Správce osobních údajů

Správcem osobních údajů je:

Obchodní firma / jméno a příjmení: Belvela s.r.o.

Sídlo / místo podnikání: Petříkov 101, 251 69

IČO: 04293002

Kontaktní e-mail: info@belvela.com

(dále jen „Provozovatel“).

Provozovatel určuje účely a prostředky zpracování osobních údajů v případech, kdy vystupuje jako správce podle GDPR.

Pokud uživatel prostřednictvím aplikace zpracovává osobní údaje svých klientů nebo jiných osob pro vlastní podnikatelské účely, může být správcem těchto údajů sám uživatel. Role Provozovatele se posuzuje podle konkrétního účelu a skutečného způsobu zpracování.

3. Jaké osobní údaje mohou být zpracovávány

Rozsah zpracovávaných údajů závisí na tom, jaké funkce aplikace uživatel používá.

3.1 Údaje o licenci

V souvislosti s licencí mohou být zpracovávány zejména:

identifikátor licence;

stav a doba platnosti licence;

informace potřebné pro ověření oprávnění k používání aplikace;

verze aplikace;

datum a výsledek ověření licence;

nezbytné technické a bezpečnostní záznamy.

3.2 Kontaktní a smluvní údaje

Pokud uživatel zakoupí licenci, objedná službu nebo kontaktuje podporu, mohou být zpracovávány jeho kontaktní údaje, zejména jméno, e-mailová adresa, údaje o objednávce, informace o platbě a obsah komunikace.

3.3 Kalendářové údaje

Při použití importu kalendářových souborů nebo propojení s Google Kalendářem může aplikace zpracovávat například:

názvy a popisy událostí;

data, časy a délky událostí;

další importovaná pole;

údaje potřebné pro výpočet času nebo přípravu fakturačních podkladů.

Konkrétní rozsah závisí na oprávněních udělených uživatelem, formátu importovaných dat a používaných funkcích.

3.4 Fakturační údaje

Při vytváření faktur může aplikace pracovat například se jmény a názvy odběratelů, adresami, IČO, DIČ, popisem plnění, cenami, daty vystavení, daty uskutečnění plnění a splatností.

Takové údaje mohou být osobními údaji, pokud se vztahují k identifikované nebo identifikovatelné fyzické osobě.

3.5 Technické údaje

Při komunikaci se serverem nebo při návštěvě webu mohou být zpracovávány technické údaje, například IP adresa, čas požadavku, verze aplikace, informace o operačním systému, stav požadavku a bezpečnostní nebo diagnostické záznamy, pokud jsou tyto údaje skutečně získávány.

4. Lokální zpracování údajů v aplikaci

Flowbily je desktopová aplikace. Kalendářové soubory, importované události, fakturační podklady a vytvořené faktury mohou být zpracovávány a ukládány lokálně na zařízení uživatele.

Pokud konkrétní údaje zůstávají výhradně v zařízení uživatele a nejsou předávány Provozovateli, nemá Provozovatel automaticky přístup k jejich obsahu.

Aplikace může komunikovat se serverem například za účelem:

ověření licence;

kontroly platnosti oprávnění k používání aplikace;

stahování aktualizací;

zajištění bezpečnosti;

poskytování dalších výslovně popsaných online funkcí.

Tato komunikace má být omezena na údaje nezbytné pro příslušný účel.

Pokud bude zavedena funkce, která odesílá obsah kalendářů, faktur nebo jiných uživatelských dokumentů na server, musí být její fungování odpovídajícím způsobem vysvětleno a zpracování musí mít vhodný právní základ.

5. Propojení s Google Kalendářem

Flowbily může umožňovat propojení s Google Kalendářem prostřednictvím Google API a import kalendářových souborů.

Při propojení s Google Kalendářem uživatel samostatně autorizuje přístup prostřednictvím přihlašovacího a autorizačního procesu Google.

Aplikace má požadovat pouze oprávnění potřebná pro funkce, které skutečně poskytuje. Rozsah přístupu odpovídá oprávněním zobrazeným uživateli v autorizačním dialogu.

Údaje získané prostřednictvím Google API mohou být využity pro funkce aplikace, například pro zobrazení událostí, výpočet času nebo přípravu fakturačních podkladů, pokud je uživatel využívá.

Údaje získané prostřednictvím Google API nejsou používány pro reklamu ani prodávány třetím stranám. Jejich používání podléhá také pravidlům Google API Services User Data Policy, včetně zásady omezeného použití údajů.

Uživatel může oprávnění aplikace odvolat prostřednictvím nastavení svého účtu Google. Tím může být omezena nebo ukončena možnost dalšího propojení a synchronizace.

6. Účely a právní základy zpracování

Osobní údaje zpracováváme pouze tehdy, pokud pro daný účel existuje odpovídající právní základ.

6.1 Plnění smlouvy

Podle čl. 6 odst. 1 písm. b) GDPR můžeme zpracovávat údaje nezbytné pro uzavření a plnění smlouvy, například při správě licence, ověření oprávnění k používání aplikace, poskytování sjednaných funkcí a komunikaci související se službou.

6.2 Plnění právních povinností

Podle čl. 6 odst. 1 písm. c) GDPR zpracováváme údaje, pokud je to nezbytné pro splnění právních povinností, zejména v oblasti účetnictví, daní a dalších povinností stanovených právními předpisy.

6.3 Oprávněný zájem

Podle čl. 6 odst. 1 písm. f) GDPR můžeme zpracovávat nezbytné údaje za účelem zabezpečení aplikace a serverů, prevence zneužití licencí, řešení technických problémů a ochrany právních nároků.

V těchto případech posuzujeme, zda nad našimi oprávněnými zájmy nepřevažují práva a svobody dotčených osob.

6.4 Souhlas

Pokud pro konkrétní účel neexistuje jiný použitelný právní základ a právní předpisy vyžadují souhlas, zpracováváme osobní údaje pouze na základě platného souhlasu.

Souhlas musí být svobodný, konkrétní, informovaný a jednoznačný. Uživatel jej může odvolat, aniž tím bude dotčena zákonnost zpracování před jeho odvoláním.

Přijetí obchodních podmínek ani potvrzení seznámení se zásadami ochrany osobních údajů není automaticky souhlasem se všemi způsoby zpracování.

6.5 Marketing

Obchodní sdělení zasíláme v souladu s příslušnými právními předpisy. Pokud je vyžadován souhlas, vyžádáme si jej samostatně.

V případech, kdy právní předpisy umožňují zasílání vlastních obdobných nabídek stávajícím zákazníkům bez samostatného souhlasu, dodržujeme příslušné podmínky a možnost zasílání odmítnout.

7. Příjemci osobních údajů

Osobní údaje mohou být zpřístupněny externím poskytovatelům, pokud je to nezbytné pro provoz aplikace a webu.

Může se jednat například o poskytovatele:

serverové infrastruktury a hostingu;

ověřování licencí a distribuce aktualizací;

e-mailových a komunikačních služeb;

platebních služeb;

technické podpory;

dalších služeb, které Provozovatel skutečně využívá.

Pokud poskytovatel zpracovává osobní údaje jménem Provozovatele jako zpracovatel, musí být splněny požadavky čl. 28 GDPR.

Google může zpracovávat údaje v souvislosti s využíváním Google Kalendáře podle svých podmínek a zásad ochrany osobních údajů.

Údaje mohou být zpřístupněny orgánům veřejné moci, pokud to vyžaduje zákon nebo existuje jiný odpovídající právní základ.

Konkrétní seznam poskytovatelů musí odpovídat skutečně používaným technologiím Flowbily.

8. Předávání údajů mimo Evropskou unii

Pokud jsou osobní údaje předávány do zemí mimo Evropský hospodářský prostor, postupujeme podle kapitoly V GDPR.

Předávání může probíhat například na základě rozhodnutí Evropské komise o odpovídající ochraně nebo na základě jiného přípustného mechanismu, například standardních smluvních doložek, pokud jsou splněny příslušné podmínky.

Konkrétní země, příjemci a mechanismy ochrany závisí na používaných externích službách.

9. Doba uchovávání osobních údajů

Osobní údaje uchováváme pouze po dobu nezbytnou pro účel, pro který byly získány, nebo po dobu stanovenou právními předpisy.

Údaje o licenci uchováváme po dobu potřebnou pro její správu, ověření oprávnění a vypořádání případných smluvních nároků.

Údaje o objednávkách a účetní či daňové doklady uchováváme po dobu vyžadovanou příslušnými právními předpisy.

Technické a bezpečnostní záznamy uchováváme po přiměřenou dobu potřebnou pro zajištění bezpečnosti, diagnostiku a řešení incidentů.

Pokud jsou kalendářové údaje a faktury ukládány výhradně lokálně na zařízení uživatele a nejsou předávány Provozovateli, jejich dobu uchovávání a odstranění spravuje uživatel.

Konkrétní retenční lhůty musí odpovídat skutečnému fungování aplikace a používaných systémů.

10. Zabezpečení osobních údajů

Používáme přiměřená technická a organizační opatření odpovídající povaze zpracovávaných údajů a souvisejícím rizikům.

Tato opatření mohou zahrnovat řízení přístupových oprávnění, zabezpečení serverů, ochranu autentizačních údajů, aktualizace softwaru a postupy pro řešení bezpečnostních incidentů.

Uživatel odpovídá za zabezpečení svého zařízení, přístupových údajů a lokálně uložených dat.

Přiměřená bezpečnostní opatření snižují rizika, nemohou však zaručit absolutní bezpečnost.

11. Práva subjektů údajů

V rozsahu stanoveném GDPR máte zejména následující práva.

Právo na přístup: Máte právo získat potvrzení, zda jsou vaše osobní údaje zpracovávány, a přístup k těmto údajům a souvisejícím informacím.

Právo na opravu: Můžete požadovat opravu nepřesných nebo doplnění neúplných osobních údajů.

Právo na výmaz: Za podmínek stanovených GDPR můžete požadovat vymazání osobních údajů. Právo není absolutní, například pokud je další uchovávání vyžadováno zákonem.

Právo na omezení zpracování: V případech stanovených GDPR můžete požadovat omezení zpracování.

Právo na přenositelnost: Za podmínek GDPR můžete požadovat poskytnutí údajů, které jste nám poskytli a které zpracováváme automatizovaně na základě souhlasu nebo smlouvy, ve strukturovaném, běžně používaném a strojově čitelném formátu. Za zákonných podmínek můžete požadovat také jejich předání jinému správci.

Právo vznést námitku: Pokud údaje zpracováváme na základě oprávněného zájmu, můžete vznést námitku. Pokud jde o přímý marketing, můžete vznést námitku kdykoliv.

Právo odvolat souhlas: Pokud je zpracování založeno na souhlasu, můžete jej kdykoliv odvolat.

Práva týkající se automatizovaného rozhodování: Za podmínek čl. 22 GDPR máte právo nebýt předmětem určitých rozhodnutí založených výhradně na automatizovaném zpracování, která mají právní účinky nebo se vás obdobně významně dotýkají.

Uvedená práva se uplatňují podle konkrétních okolností a mohou podléhat zákonným omezením.

12. Jak uplatnit svá práva

Svá práva můžete uplatnit prostřednictvím e-mailu:

info@belvela.com

V žádosti prosím uveďte, kterého práva se dovoláváte a jakého zpracování se žádost týká.

Pokud budeme mít důvodné pochybnosti o vaší totožnosti, můžeme požádat o dodatečné informace nezbytné k jejímu ověření.

Na žádosti odpovídáme bez zbytečného odkladu, zpravidla do jednoho měsíce od jejich obdržení. Ve složitých případech lze za podmínek GDPR lhůtu prodloužit až o další dva měsíce. O prodloužení a jeho důvodech vás budeme informovat.

13. Stížnost u dozorového úřadu

Pokud se domníváte, že zpracováním vašich osobních údajů dochází k porušení právních předpisů, máte právo podat stížnost u dozorového úřadu.

V České republice je tímto úřadem:

Úřad pro ochranu osobních údajů

Pplk. Sochora 27

170 00 Praha 7

Web: https://uoou.gov.cz

Podání stížnosti u dozorového úřadu neomezuje další práva, která vám přiznávají právní předpisy.

14. Údaje dalších osob a odpovědnost uživatele

Kalendářové události a fakturační dokumenty mohou obsahovat osobní údaje klientů, obchodních partnerů nebo dalších osob.

Uživatel odpovídá za to, že má odpovídající oprávnění takové údaje importovat a zpracovávat pro své účely.

Pokud uživatel používá Flowbily pro vlastní podnikání a určuje účely zpracování osobních údajů svých klientů, zpravidla vystupuje jako správce těchto údajů.

Pokud by Provozovatel začal zpracovávat osobní údaje jménem uživatele jako zpracovatel, bude třeba odpovídajícím způsobem upravit smluvní vztah a splnit požadavky čl. 28 GDPR.

15. Cookies a webové stránky

Webové stránky Flowbily mohou používat technicky nezbytné cookies a obdobné technologie pro zajištění fungování a zabezpečení webu.

Pokud web využívá analytické, marketingové nebo jiné nepovinné technologie, které vyžadují souhlas, budou aktivovány až po získání platného souhlasu.

Uživatel musí mít možnost spravovat souhlas v rozsahu vyžadovaném právními předpisy.

Konkrétní informace o používaných cookies, jejich účelu, době platnosti a případných příjemcích budou uvedeny v samostatném přehledu cookies nebo v odpovídajícím nastavení webu, pokud jsou tyto technologie používány.

16. Změny zásad ochrany osobních údajů

Tyto zásady můžeme aktualizovat zejména v případě změn aplikace, technické infrastruktury, používaných externích služeb nebo právních předpisů.

Aktuální znění zveřejníme na webových stránkách Flowbily spolu s datem poslední aktualizace.

Pokud změna vyžaduje nový souhlas se zpracováním osobních údajů, vyžádáme si jej samostatně. Samotné zveřejnění nové verze zásad nenahrazuje souhlas, pokud je podle právních předpisů vyžadován.

17. Kontaktní údaje

Ve věcech ochrany osobních údajů nás můžete kontaktovat na:

Provozovatel: Belvela s.r.o.

E-mail: info@belvela.com

Adresa: Petříkov 101, 251 69