Informace o zpracování osobních údajů

1. Správce a rozsah dokumentu

Správcem osobních údajů souvisejících s registrací, členstvím, podporou a provozem CraftFlow je Filip Vyšohlíd, IČO 29909465, se sídlem Finská 268/7, 460 08 Liberec – Liberec VIII-Dolní Hanychov. Kontakt pro otázky ochrany osobních údajů: vysohlid.filip@gmail.com.

U údajů zákazníků, dodavatelů a dalších osob, které do aplikace vloží uživatel, určuje účel a prostředky zpracování zpravidla uživatel. Ten je správcem a provozovatel CraftFlow jeho zpracovatelem podle samostatných Zpracovatelských podmínek.

2. Kategorie osobních údajů

• identifikační a kontaktní údaje: jméno, obchodní označení, e-mail, telefon, adresa, IČO a DIČ;
• účtové údaje: identifikátor účtu, role, nastavení, stav onboardingu, členství, právní akceptace a poslední aktivita;
• fakturační a platební údaje: vystavené faktury CraftFlow, variabilní symbol, částka, splatnost, stav platby a údaje potřebné k párování bankovní transakce;
• obsah vložený uživatelem: zákazníci, katalog, nabídky, zakázky, faktury, poznámky, přílohy a historie změn;
• komunikace a podpora: zpětná vazba, hlášení problému, oznámení a historie odeslání e-mailu;
• provozní a bezpečnostní údaje: navštívená část aplikace, čas události, náhodný identifikátor relace, technická chyba a omezené serverové záznamy.

Údaje získáváme přímo od uživatele, z jeho používání služby, z veřejných registrů při výslovném vyhledání přes ARES a od bankovního poskytovatele, je-li zapnuto automatické párování plateb.

3. Účely a právní základy

Oprávněným zájmem je bezpečný a prokazatelný provoz služby, předcházení podvodům a ochrana práv provozovatele i uživatelů. Proti takovému zpracování lze vznést námitku.

4. Povinnost a dobrovolnost poskytnutí

E-mail a údaje označené v aplikaci jako povinné jsou nezbytné pro založení účtu nebo poskytnutí příslušné funkce. Bez nich nelze účet nebo doklad řádně vytvořit. IČO není podmínkou registrace, avšak uživatel odpovídá za zákonnost své činnosti a správnost dokladů. Volitelné údaje lze nevyplnit; některé funkce pak nemusí být dostupné.

5. Příjemci a zpracovatelé

Údaje jsou zpřístupněny jen v nezbytném rozsahu osobám pověřeným provozovatelem a dodavatelům zajišťujícím službu. Aktuálně jde zejména o Supabase (databáze, autentizace a úložiště), Vercel (hosting a technický výkon), poskytovatele transakčního e-mailu nastaveného provozovatelem a, po aktivaci této funkce, poskytovatele bankovního API pouze pro čtení transakcí. Příjemcem mohou být také účetní, právní a IT poradci nebo orgány veřejné moci, vyžaduje-li to právo.

Někteří dodavatelé mohou údaje zpracovávat mimo Evropský hospodářský prostor. V takovém případě se použije rozhodnutí o odpovídající ochraně, standardní smluvní doložky Evropské komise nebo jiný nástroj podle kapitoly V GDPR. Přehled zpracovatelů a povinnosti provozovatele vůči uživatelským datům obsahují Zpracovatelské podmínky.

6. Doba uložení

• údaje účtu a provozní obsah po dobu smlouvy a poté po dobu nezbytnou k exportu, vypořádání smlouvy, obnovení ze záloh a ochraně práv;
• účetní, daňové a platební doklady po dobu stanovenou příslušnými právními předpisy;
• právní akceptace, auditní záznamy a podklady k nárokům po dobu trvání smlouvy a příslušných promlčecích či archivačních lhůt;
• aplikační události používané pro interní statistiku nejdéle 13 měsíců;
• záznamy přesunuté do koše standardně 30 dnů, nejsou-li dříve obnoveny nebo trvale vymazány a nebrání-li vymazání zákonná povinnost;
• komunikace podpory po dobu vyřízení a následně po dobu nezbytnou k doložení postupu.

Po odpadnutí účelu údaje vymažeme nebo anonymizujeme, ledaže je potřebujeme pro právní povinnost nebo určení, výkon či obhajobu právních nároků. Omezené kopie mohou dočasně přetrvat v rotujících bezpečnostních zálohách.

7. Práva subjektu údajů

Za podmínek GDPR lze požadovat přístup, opravu, výmaz, omezení zpracování a přenositelnost údajů, vznést námitku proti zpracování založenému na oprávněném zájmu a odvolat souhlas do budoucna. Žádost lze poslat na kontaktní e-mail nebo písemně na sídlo. K ochraně údajů můžeme přiměřeně ověřit totožnost žadatele.

Stížnost lze podat u Úřadu pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, uoou.gov.cz. Tím není dotčeno právo na soudní ochranu.

8. Automatizované rozhodování a budoucí AI

CraftFlow v současné verzi neprovádí rozhodování založené výhradně na automatizovaném zpracování, které by mělo právní nebo obdobně významné účinky. Připravované AI funkce nejsou součástí současného zpracování. Před jejich aktivací bude tento dokument aktualizován o konkrétní účely, poskytovatele, dobu uložení a pravidla nakládání se vstupy a výstupy.

9. Zabezpečení

Používáme přístupová oprávnění oddělující jednotlivé účty, šifrovaný přenos, omezení administrátorských oprávnění, evidenci významných úkonů, zálohování a organizační pravidla pro práci s incidenty. Žádné opatření však nemůže odstranit všechna rizika. Uživatel musí chránit heslo, zařízení a účty osob, kterým přístup umožnil.

10. Ukládání údajů v zařízení

Technicky nezbytné cookies a úložiště slouží k přihlášení, zabezpečení relace, zachování nastavení rozhraní, stavu průvodce a volby ochrany soukromí. Rozpracovaná nabídka vytvořená bez účtu se ukládá pouze do místního úložiště použitého prohlížeče. Do databáze CraftFlow se její obsah přenese až poté, co uživatel založí účet nebo se přihlásí a výslovně zvolí uložení či návaznou funkci. Místní kopii lze odstranit vymazáním dat webu v prohlížeči.

Volitelné měření návštěvnosti, výkonu a průchodu editorem se spustí jen po souhlasu. Měří se technická událost, nikoli obsah nabídky, názvy osob ani jednotlivé položky. Souhlas lze kdykoli změnit prostřednictvím nastavení soukromí. CraftFlow nepoužívá reklamní profilování.

11. Změny tohoto dokumentu

Dokument aktualizujeme při změně účelu, dodavatele nebo právních požadavků. Podstatnou změnu oznámíme přiměřeným způsobem v aplikaci nebo e-mailem. Aktuální verze je vždy dostupná na této stránce a nabývá účinnosti 20. 8. 2026.