Zásady ochrany osobních údajů
platné od 2026-10-12 · pulZ
Správce osobních údajů (data controller):
Ondřej Hatala, IČO 74556830
fyzická osoba podnikající dle živnostenského zákona
sídlo: Smetanova 296, 572 01 Polička
zapsán v živnostenském rejstříku ČR (Městský úřad Polička)
plátce DPH: NE
ahoj@ondrejhatala.cz
1. Jaké údaje shromažďujeme
a) Údaje, které nám aktivně poskytneš
- Při registraci: e-mailová adresa, hash hesla (nikdy plaintext)
- V Nastavení dodavatele: jméno, IČO, DIČ, adresa, číslo bankovního účtu
- Při komunikaci: obsah zpráv, které nám pošleš
b) Údaje shromažďované automaticky
- Provozní: IP adresa, User-Agent (typ prohlížeče), časová razítka přihlášení, neúspěšné pokusy o přihlášení
- Cookies: jeden HttpOnly bezpečnostní cookie pro session (TTL 30 dní). Žádné analytické ani marketingové cookies.
- localStorage: téma (světlé/tmavé), jazyk, lokální snapshot dat (1× denně, pouze v tvém prohlížeči)
c) Údaje, které sám vkládáš (data Uživatele)
Záznamy o odpracovaném čase, projekty, klienti, faktury, výdaje, dovolená. Tyto údaje jsou ve vlastnictví Uživatele — Poskytovatel je pouze ukládá a zpracovává podle pokynů Uživatele.
2. Účel zpracování a právní základ
| Účel | Právní základ |
|---|
| Poskytování Služby | Plnění smlouvy (čl. 6/1/b GDPR) |
| Vystavení faktur za Službu | Právní povinnost (zákon o účetnictví) |
| Bezpečnost (brute-force protection, audit log) | Oprávněný zájem (čl. 6/1/f) |
| Komunikace (zákaznická podpora) | Plnění smlouvy |
| Marketing (newsletter o novinkách) | Souhlas (čl. 6/1/a) — můžeš odvolat |
3. Komu předáváme údaje (sub-zpracovatelé)
- Cloudflare, Inc. — hosting, KV storage. DPA Cloudflare
- OpenStreetMap Foundation (UK) — autocomplete adres (volitelné, jen když píšeš adresu)
- EU Komise / VIES — ověření DIČ EU klientů (volitelné, jen na tvůj klik)
- ARES (Ministerstvo financí ČR) — registr ekonomických subjektů (volitelné, jen na tvůj klik)
4. Předávání mimo EU
Cloudflare může data ukládat na edge POPs po celém světě včetně USA. Cloudflare je certifikován dle Standard Contractual Clauses (SCC) a EU-US Data Privacy Framework.
5. Doba uchování
- Aktivní účet: po dobu trvání smlouvy
- Po ukončení smlouvy: 30 dní na export, pak smazání
- Faktury (pokud platíš): 10 let dle zákona o DPH
- Logy přihlášení: 90 dní
- Smazaná data v koši: 65 dní (pak permanentní smazání)
6. Tvá práva podle GDPR
Máš tyto práva, která můžeš uplatnit kdykoli e-mailem:
- Přístup k údajům, které o tobě uchováváme (čl. 15)
- Oprava nesprávných údajů (čl. 16) — dělej to v aplikaci nebo nás kontaktuj
- Výmaz ("právo být zapomenut") (čl. 17)
- Omezení zpracování (čl. 18)
- Přenositelnost — export ve strojově čitelném formátu (Settings → Záloha dat) (čl. 20)
- Námitka proti zpracování (čl. 21)
- Odvolání souhlasu kdykoli (např. odhlášení newsletteru)
- Stížnost u Úřadu pro ochranu osobních údajů
7. Bezpečnostní opatření
Více detailně v DPA, čl. 5. Zkráceně:
- HTTPS only (TLS 1.3)
- Šifrování at-rest (AES-256, Cloudflare)
- SHA-256 hash hesla (nikdy plaintext)
- Volitelné 2FA TOTP
- Brute-force lockout (5 pokusů → 15 min)
- HttpOnly + Secure + SameSite cookies
- Audit log pro citlivé akce
- 30denní soft delete (recovery z koše)
8. Cookies
pulZ používá pouze nezbytně nutné cookies (technický bezpečnostní session cookie). Žádné analytické, marketingové nebo trackovací cookies. Žádný banner ti nebude blikat — protože ho podle GDPR nepotřebujeme.
9. Změny zásad
Změny zásad oznámíme e-mailem registrovaným uživatelům alespoň 30 dní předem.
10. Kontakt
Pro jakékoli dotazy ohledně osobních údajů: [e-mail]. Odpovědi do 5 pracovních dnů.