Zásady ochrany osobních údajů

1. Správce údajů

Kabraz, s.r.o., IČO 24872091, DIČ CZ24872091, se sídlem Na Čihadle 688, 262 02 Stará Huť, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze, sp. zn. C 445177.
Kontaktní e-mail pro ochranu osobních údajů: kancelar@kabraz.cz, telefon +420 608 934 500.

Správcem osobních údajů uživatelů služby naimportuj.cz (dále „Služba") je společnost Kabraz, s.r.o. (dále „my"). Pověřence pro ochranu osobních údajů jsme nejmenovali, protože nesplňujeme podmínky čl. 37 GDPR; ve věcech ochrany osobních údajů nás kontaktujte na uvedeném e-mailu.

2. Dvě role: správce a zpracovatel

a) Údaje uživatelů Služby (my = správce). Údaje o vašem účtu a využívání Služby zpracováváme jako správce. Firemní údaje při registraci doplňujeme z veřejného rejstříku ARES (zdroj dat).

b) Údaje na dokladech (my = zpracovatel). Faktury a doklady, které do Služby zasíláte, mohou obsahovat osobní údaje třetích osob (jména, adresy, IČO fyzických osob, bankovní účty, podpisy). Tyto údaje zpracováváme vaším jménem a podle vašich pokynů jako zpracovatel ve smyslu čl. 28 GDPR. Správcem těchto údajů jste vy. Ustanovení oddílu 8 plní funkci zpracovatelské smlouvy.

3. Jaké údaje zpracováváme a proč

Platební karty nezpracováváme vůbec — platba probíhá bankovním převodem z účtu uživatele, žádné údaje o platebních prostředcích neuchováváme.

4. Příjemci a zpracovatelé

Pro provoz Služby využíváme tyto kategorie subdodavatelů (dílčích zpracovatelů):

• Anthropic, PBC (USA) — AI vytěžení dat z dokladů. Data jsou předávána v rozsahu nezbytném pro vytěžení a nejsou používána k trénování modelů. Předání do třetí země je zajištěno standardními smluvními doložkami (SCC) dle čl. 46 GDPR.
• Microsoft Ireland Operations Ltd. (EU) — odesílání systémových a notifikačních e-mailů; data v EU, případné předání do USA v rámci skupiny Microsoft je kryto SCC / EU-US Data Privacy Framework.
• INTERNET CZ, a.s. (FORPSI), IČO 26043319, Ktiš 2 — poskytovatel serverové infrastruktury; data jsou uložena v datovém centru v České republice (EU).

Příjem plateb zajišťuje banka Provozovatele (Komerční banka, a.s.) — banka vystupuje jako samostatný správce, nikoli jako náš zpracovatel.

Aktuální úplný seznam dílčích zpracovatelů poskytneme na vyžádání. O záměru přidat nového dílčího zpracovatele informujeme e-mailem předem; správce může vznést námitku.

5. Cookies a měření návštěvnosti

Služba používá technické (nezbytné) cookies — přihlašovací relaci, ochranu proti CSRF a zapamatování vaší volby souhlasu. Návštěvnost úvodní a registrační stránky měříme vlastním anonymním počítadlem bez cookies (jen souhrnný počet návštěv za den, bez IP a osobních údajů — oprávněný zájem na provozu a rozvoji služby). Analytické a marketingové cookies (např. měření konverzí reklamy) nasadíme jen s vaším souhlasem uděleným v cookie liště; volbu můžete kdykoliv změnit odkazem „Nastavení cookies" v patičce. Podrobnosti v Zásadách používání cookies.

6. Zabezpečení

• Veškerá komunikace je šifrována (TLS/HTTPS).
• Hesla ukládáme výhradně jako bcrypt hash; podporujeme dvoufaktorové ověření.
• Přístupové údaje k účetním systémům (API klíče) jsou v databázi šifrovány.
• Data jednotlivých zákazníků jsou důsledně oddělena (multitenant izolace).
• Přístup k produkčním datům má pouze pověřený personál.

7. Vaše práva

Máte právo na: přístup ke svým údajům, opravu, výmaz, omezení zpracování, přenositelnost, námitku proti zpracování na základě oprávněného zájmu, a právo podat stížnost u Úřadu pro ochranu osobních údajů (uoou.gov.cz).

Vytěžení dokladů umělou inteligencí není automatizovaným rozhodováním s právními účinky ve smyslu čl. 22 GDPR — každý doklad schvaluje člověk (nebo je schválen v režimu, který si uživatel sám aktivoval a jehož výstupy může kdykoli zkontrolovat a zvrátit).

Svým zákazníkům můžeme zasílat obchodní sdělení o novinkách Služby na základě oprávněného zájmu (§ 7 odst. 3 zák. č. 480/2004 Sb.); odhlásit se lze v každém e-mailu.

Žádosti vyřizujeme do 30 dnů. Originály dokladů i exporty si můžete kdykoli stáhnout přímo v konzoli Služby.

8. Podmínky zpracování (čl. 28 GDPR)

Pro údaje na dokladech, kde vystupujeme jako zpracovatel, platí:

• Zpracováváme je výhradně za účelem poskytování Služby a podle vašich doložených pokynů (pokynem je užívání funkcí Služby).
• Osoby s přístupem k údajům jsou vázány mlčenlivostí.
• Přijímáme technická a organizační opatření dle čl. 32 GDPR (viz oddíl 6).
• Využití dílčích zpracovatelů dle oddílu 4; za jejich činnost odpovídáme. Registrací udělujete obecné povolení k jejich zapojení; o změnách informujeme předem.
• Pomůžeme vám s plněním povinností dle čl. 32–36 GDPR (zabezpečení, ohlašování incidentů, posouzení vlivu).
• Případný bezpečnostní incident dotýkající se vašich údajů vám ohlásíme bez zbytečného odkladu, nejpozději do 48 hodin od jeho zjištění, včetně známých okolností a přijatých opatření.
• Po ukončení účtu údaje smažeme do 30 dnů (nestanoví-li zákon jinak); před smazáním si je můžete stáhnout (jednotlivě i hromadně v ZIP).
• Audit zpracování umožníme primárně poskytnutím dokumentace a zodpovězením dotazníku; audit na místě nejvýše jednou ročně, s ohlášením alespoň 30 dní předem, v běžné pracovní době a na náklady správce.

Účetní kanceláře a řetězení zpracovatelů: Je-li uživatel sám zpracovatelem pro své klienty, vystupujeme jako další zpracovatel v řetězci (čl. 28 odst. 4 GDPR). Uživatel odpovídá za to, že má od svých klientů (správců) obecné povolení zapojit další zpracovatele. Naše povinnosti dle tohoto oddílu platí obdobně vůči správci na konci řetězce.

9. Změny těchto zásad

O podstatných změnách vás budeme informovat e-mailem a v konzoli Služby nejméně 14 dní předem.