Stručně
Údaje zpracováváme jen proto, abychom vám mohli poskytovat službu a vyúčtovat ji. Neprodáváme je a nepoužíváme je k reklamě. Data jsou na našem serveru v České republice. Provoz mezi vámi a službou ale prochází sítí společnosti Cloudflare, která může údaje zpracovávat i v USA (čl. 7). Web osval.cz nepoužívá cookies ani měřicí nástroje. Na cokoli se můžete zeptat na [email protected].
1. Správce a kontakt
1.1 Správcem osobních údajů je Bc. Marek Kopczyk, podnikající pod označením OFFMARK productions, IČO 71278532, místo podnikání Lumírova 445/5, 128 00 Praha 2 – Nusle (dále „my“). Ve věcech osobních údajů nás kontaktujte na [email protected] nebo písemně na adrese sídla. Schránku čte správce webu, který je součástí týmu podpory.
1.2 Pověřence pro ochranu osobních údajů jsme nejmenovali, protože nám to čl. 37 GDPR neukládá. Nejsme orgán veřejné moci, naší hlavní činností není rozsáhlé systematické sledování osob a zvláštní kategorie údajů (údaj o průkazu ZTP/P při přípravě přiznání) zpracováváme jen výjimečně a v malém rozsahu.
2. Kdy jsme správce a kdy zpracovatel
- Jsme správce údajů o vás jako o návštěvníkovi webu, žadateli o registraci a uživateli služby: účet, registrace, vyúčtování, bezpečnost, komunikace a vaše vlastní údaje v přípravě daňového přiznání (včetně vašeho rodného čísla a případného údaje ZTP/P).
- Jsme zpracovatel pro vás jako uživatele u údajů třetích osob, které do služby vložíte: odběratelé, dodavatelé, osoby na dokladech a ve fotkách výdajů a osoby uvedené v přiznání (například děti). Správcem těchto údajů jste vy. Podmínky najdete v čl. 13 obchodních podmínek.
Pokud jste odběratel nebo jiná osoba, jejíž údaje uživatel vložil do OSVAL, obraťte se na uživatele, který vám doklad vystavil. My vám pomůžeme jen jeho prostřednictvím.
3. Jaké údaje zpracováváme
Návštěvníci webu osval.cz
Web neobsahuje cookies, analytické ani reklamní nástroje a nenačítá obsah od třetích stran. Server a síť Cloudflare zaznamenávají při každém požadavku IP adresu, čas, požadovanou adresu a identifikaci prohlížeče. Používáme je k zabezpečení a řešení chyb.
Ti, kdo nám napíšou nebo zavolají
Jméno, e-mail nebo telefon, případně IČO a obsah zprávy. Formulář na webu nic neukládá, otevře jen váš e-mailový program s předvyplněnou zprávou.
Žadatelé o registraci
Jméno, e-mail, telefon, heslo (jen jako otisk), firemní údaje načtené z ARES (IČO, DIČ, obchodní jméno, adresa), údaj o tom, odkud jste se o službě dozvěděl(a), a poznámka. Dále čas, verzi a IP adresu při potvrzení podmínek a prohlášení.
Uživatelé služby
- Účet: e-mail, jméno, telefon, heslo (jen jako otisk), u passkey jen veřejný klíč a identifikátor (biometrie zůstává ve vašem zařízení), role, čas posledního přihlášení.
- Podnikatelské údaje: IČO, DIČ, obchodní jméno, adresa, daňový režim, plátcovství DPH, bankovní účet a IBAN, fakturační e-mail a telefon, web, text v patičce faktur, logo, balíček, nastavení odesílání e-mailu včetně hesla k vaší schránce (uloženo šifrovaně).
- Obsah, který vložíte: doklady, položky, odběratelé, výdaje a jejich fotografie a soubory, složky, opakované faktury, ceník, číselné řady a záznamy o zaplacených odvodech.
- Daňové přiznání (balíček Pro): vaše rodné číslo, údaje o dětech (jméno, příjmení a rodné číslo), údaj o průkazu ZTP/P, dary, úroky z úvěru, penzijní připojištění, zálohy a vygenerovaný soubor přiznání a čas a IP adresa při potvrzení prohlášení.
- Záchranný kruh: typ a téma žádosti, text zprávy, telefon, preferovaný čas, stav a odpověď nebo poznámka poradce, a kódy pro vstup poradce (uložen jen otisk kódu).
- Vyúčtování: balíček, poplatky, platby a souhrnné faktury.
- Bezpečnostní záznamy: IP adresa, čas a druh důležitých akcí (přihlášení, změna hesla, vystavení a odeslání dokladu, export, vstup poradce nebo provozovatele do účtu). Dále krátkodobě neúspěšná přihlášení.
- Poznámka správce ke kartě klienta (interní poznámka o účtu, například o domluvě).
4. Účely a právní základy
| Účel | Právní základ (čl. 6 odst. 1 GDPR) |
|---|---|
| Posouzení žádosti o registraci, zřízení a vedení účtu, poskytování služby a podpory | písm. b) – plnění smlouvy a kroky před jejím uzavřením na vaši žádost |
| Příprava podkladů pro daňové přiznání včetně vašeho rodného čísla (viz čl. 5) | písm. b) – plnění smlouvy; užití rodného čísla je dovoleno podle § 13c zákona č. 133/2000 Sb. |
| Údaj o průkazu ZTP/P (zdravotní údaj) | čl. 9 odst. 2 písm. a) – váš výslovný souhlas (viz čl. 5) |
| Vyúčtování služby, vedení účetnictví nebo daňové evidence, archivace dokladů | písm. c) – právní povinnost |
| Záznamy o potvrzení podmínek a prohlášení, bezpečnostní záznamy včetně vstupů poradce a provozovatele do účtu, prevence zneužití, ochrana právních nároků | písm. f) – oprávněný zájem prokázat uzavření smlouvy, chránit službu a data uživatelů a hájit se v případném sporu |
| Provozní záznamy serveru (logy) a ochrana před útoky (blokování opakovaných pokusů o neoprávněný přístup) | písm. f) – oprávněný zájem na zabezpečení služby |
| Odpověď na dotaz e-mailem nebo telefonem | písm. b) nebo f) – jednání o smlouvě, oprávněný zájem odpovědět |
| Upozornění nás (provozovatele) na novou žádost o registraci nebo změnu balíčku | písm. b) a f) – vyřízení vaší žádosti a oprávněný zájem na jejím včasném vyřízení |
| Důležitá provozní sdělení (změna podmínek, ceníku, výpadek, bezpečnostní událost) | písm. b) – plnění smlouvy |
Oprávněné zájmy pečlivě poměřujeme s vašimi právy. Proti zpracování na základě oprávněného zájmu můžete vznést námitku (čl. 11). Obchodní sdělení (newslettery) vám v současnosti neposíláme [DOPLNIT: potvrdit]. Pokud bychom s tím někdy začali, vyžádáme si předem souhlas.
5. Zdravotní údaj (ZTP/P) a rodná čísla
5.1 ZTP/P. Chcete-li v přípravě přiznání uplatnit slevu nebo zvýhodnění vázané na průkaz ZTP/P (vaše, dítěte, nebo jiné osoby), zadáváte údaj o zdravotním stavu. Jde o zvláštní kategorii osobních údajů podle čl. 9 GDPR. Zpracujeme ho jen na základě vašeho zvláštního výslovného souhlasu, který udělíte zaškrtnutím před vygenerováním přiznání. Souhlas je dobrovolný a nezávisí na něm poskytnutí služby. Můžete jej kdykoli odvolat e-mailem na [email protected] nebo smazáním údaje v přiznání. Odvolání nemá vliv na zákonnost zpracování před odvoláním. Bez souhlasu nelze příslušnou slevu v přípravě přiznání uplatnit.
5.2 Zadáváte-li údaj o jiné osobě (například dítěti), potvrzujete, že k tomu máte oprávnění, u dítěte jako zákonný zástupce.
5.3 Rodná čísla. Rodné číslo vaše a vašich dětí zpracováváme jen v rozsahu, v jakém je jeho uvedení nezbytné pro vyplnění přiznání, a nepoužíváme je k žádnému jinému účelu. Přiznání podáváte sami a my je nepodáváme.
6. Komu údaje předáváme
Údaje neprodáváme. Příjemci a zpracovatelé jsou:
| Příjemce | Co a proč | Role |
|---|---|---|
| Registr ARES (Ministerstvo financí ČR) | IČO, které vyhledáváte, kvůli načtení údajů o firmě | Samostatný správce veřejného registru |
| Cloudflare, Inc. | Zprostředkování síťového provozu a DNS. Provoz mezi vaším prohlížečem a službou prochází jejich sítí, proto se s ním technicky dostávají do styku | Zpracovatel (přenos mimo EU, čl. 7) |
| Seznam.cz, a.s. | Odesílání systémových e-mailů (pozvánky, schválení registrace, upozornění) z naší strany | Zpracovatel (Česká republika) |
| Poskytovatel e-mailové schránky provozovatele [DOPLNIT: poskytovatel a zda dochází k přenosu mimo EU] | Příjem zpráv na [email protected] a oznámení o nových žádostech | Zpracovatel |
| Váš poskytovatel e-mailu (Seznam, Gmail, Outlook, Forpsi, WEDOS, Active24, iCloud a další) | Doklady a upomínky, které odesíláte přes svou schránku | Váš zpracovatel, nikoli náš. Vybrali jste jej vy |
| Poradci Záchranného kruhu (externí podnikatelé spolupracující s námi) | Nahlížení do vašeho účtu s vaším jednorázovým kódem při konzultaci | Zpracovatel nebo další zpracovatel, vázaný mlčenlivostí a smlouvou |
| Orgány veřejné moci | Jen pokud nám to ukládá zákon | Samostatný správce |
Daňové přiznání nepodáváme my. Soubor XML nahráváte vy sami finanční správě, takže jí z naší služby nic neodchází.
Náš přístup do vašeho účtu. Poradce může do účtu vstoupit jen s vaším jednorázovým kódem (platí 15 minut). My jako provozovatel můžeme vstoupit i bez kódu, ale jen na vaši žádost nebo při nezbytném zásahu (oprava chyby, bezpečnostní incident), nejvýše na 2 hodiny. Každý vstup je viditelně označený a zaznamenává se (viz čl. 7 obchodních podmínek).
Na webu ani v aplikaci nenačítáme nic od Googlu, Facebooku, analytických služeb, reklamních sítí ani platebních bran.
7. Přenos mimo EU
7.1 Data jsou uložena na našem serveru v České republice a zálohována na samostatný zálohovací server. Doména osval.cz a aplikace app.osval.cz ale využívají službu společnosti Cloudflare, Inc. (USA), přes kterou prochází síťový provoz. Cloudflare provoz zpracovává v rámci své celosvětové sítě, a proto může dojít k přenosu údajů do USA.
7.2 Přenos se opírá o rozhodnutí Evropské komise o odpovídající ochraně osobních údajů (EU–US Data Privacy Framework), jehož se Cloudflare účastní, případně o standardní smluvní doložky. Kopii příslušných záruk vám na požádání poskytneme.
7.3 Pokud používáte poskytovatele e-mailu se zázemím mimo EU (například Gmail, Outlook nebo iCloud), dochází k přenosu na straně vašeho poskytovatele. To je mimo naši kontrolu.
8. Jak dlouho údaje uchováváme
Přesné lhůty pro mazání neslibujeme. Údaje uchováváme jen tak dlouho, jak je to podle níže uvedených kritérií nutné, a poté je mažeme.
| Údaje | Po jak dlouho (kritérium) |
|---|---|
| Účet a obsah, který jste vložili | Po dobu trvání smlouvy. Po jejím skončení je smažeme podle čl. 14 obchodních podmínek, mimo údaje, které musíme uchovat ze zákona |
| Žádosti o registraci, které jsme zamítli | Po dobu nezbytnou k prokázání rozhodnutí a k ochraně před opakovaným zneužitím, poté smazání |
| Naše faktury a vyúčtování služby a související údaje | Po dobu, kterou vyžadují účetní a daňové předpisy |
| Záznamy o potvrzení podmínek a prohlášení (čas, verze, IP adresa) | Po dobu trvání smlouvy a poté po dobu, po kterou lze z ní uplatnit právní nároky (promlčecí lhůta) |
| Bezpečnostní záznamy a provozní záznamy serveru (logy) | Po dobu nezbytnou k zabezpečení služby a k prošetření incidentů |
| Neúspěšná přihlášení (IP, jméno) | 1 den |
| Přihlášení v prohlížeči (relace) | Do odhlášení nebo vypršení relace (12 hodin nečinnosti) |
| Korespondence a záznamy o žádostech Záchranného kruhu | Po dobu vyřízení a poté po dobu nutnou k ochraně právních nároků |
| Zálohy | Smazaná data ze záloh zmizí při jejich běžné obměně. V současném nastavení zpravidla do 60 dnů |
Doklady, které v OSVAL vystavujete, si před zrušením účtu stáhněte. Archivační povinnost k nim máte vy.
9. Zabezpečení
Přijali jsme tato technická a organizační opatření:
- komunikace se službou probíhá přes HTTPS, přihlašovací cookie je dostupná jen přes zabezpečené spojení a nemůže ji přečíst skript na stránce;
- hesla ukládáme jen jako jednosměrný otisk, heslo k vaší e-mailové schránce šifrovaně a kódy pro poradce jen jako otisk;
- přihlášení lze chránit passkey, počet neúspěšných přihlášení a kódů pro poradce je omezen;
- soubory dokladů jsou uloženy mimo veřejně dostupnou část serveru a databáze je dostupná jen z téhož serveru;
- každý uživatel vidí jen svůj účet, přístup poradce a provozovatele je omezený, časově ohraničený a zaznamenávaný;
- server je chráněn blokováním opakovaných útoků a pravidelně zálohován na samostatný zálohovací server;
- služba nenačítá obsah od třetích stran.
Neexistuje dokonale bezpečný systém. Pokud dojde k porušení zabezpečení, které by mohlo ohrozit vaše práva, ohlásíme to Úřadu pro ochranu osobních údajů a v případech vyžadovaných GDPR i vám. Podrobnosti najdete na stránce Bezpečnost a data. Bezpečnostní kontakt je dostupný v souboru /.well-known/security.txt.
10. Povinnost údaje poskytnout, zdroj, automatizace
10.1 Údaje označené v registračním formuláři jako povinné jsou nezbytné k uzavření smlouvy a poskytování služby. Bez nich vám účet zřídit nemůžeme. Ostatní údaje (například poznámka k žádosti) jsou dobrovolné. Údaje v přiznání poskytujete podle toho, které funkce využijete. Údaj ZTP/P je dobrovolný a vázaný na souhlas (čl. 5).
10.2 Údaje o vaší firmě načítáme z veřejného registru ARES. Údaje o třetích osobách získáváme od vás.
10.3 Nepoužíváme automatizované rozhodování ani profilování s právními účinky. Orientační odhady daní a kalendář povinností jsou jen výpočty z vámi zadaných údajů.
11. Vaše práva
Podle čl. 15 až 22 GDPR máte právo:
- na přístup k údajům, které o vás zpracováváme, a na jejich kopii;
- na opravu nepřesných údajů, většinu z nich změníte sami v nastavení účtu;
- na výmaz, pokud údaje už nepotřebujeme nebo je nesmíme zpracovávat. Vystavené doklady nelze ze služby smazat, pouze stornovat. Údaje, které musíme uchovat ze zákona, vymazat nemůžeme;
- na omezení zpracování;
- na přenositelnost údajů, které jste nám poskytli. Dáme vám je ve strojově čitelném formátu (CSV, PDF);
- vznést námitku proti zpracování na základě oprávněného zájmu;
- odvolat souhlas (u údaje ZTP/P) kdykoli, bez vlivu na dřívější zpracování;
- podat stížnost u Úřadu pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, uoou.gov.cz.
Žádosti posílejte na [email protected], ideálně z e-mailu, který máte v účtu, abychom vás mohli ověřit. Vyřídíme je bez zbytečného odkladu, nejpozději do jednoho měsíce. Lhůtu lze u složitých žádostí prodloužit o dva měsíce a my vás o tom budeme informovat.
12. Změny zásad
Tyto zásady můžeme aktualizovat, například při přidání nové funkce nebo dalšího zpracovatele. O podstatných změnách vás předem informujeme e-mailem a v aplikaci. Aktuální znění je vždy na této stránce a účinné je od data uvedeného v záhlaví.