Zpracování osobních údajů (GDPR)

Tento dokument popisuje, jakým způsobem provozovatel platformy EvakuApp – Fire Safety Harbour (dále jen „Správce“) zpracovává osobní údaje svých uživatelů, klientů a dalších subjektů údajů v souladu s nařízením Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů (GDPR) a se zákonem č. 110/2019 Sb., o zpracování osobních údajů.

1. Správce osobních údajů

Správcem osobních údajů je provozovatel aplikace EvakuApp. Kontaktní údaje správce budou doplněny v provozní verzi aplikace (obchodní firma, sídlo, IČO). V otázkách ochrany osobních údajů kontaktujte správce prostřednictvím e-mailu uvedeného v patičce aplikace nebo přes kontaktní formulář v sekci nápovědy.

2. Jaké osobní údaje zpracováváme

V rámci poskytování služby EvakuApp zpracováváme následující kategorie osobních údajů:

• Identifikační a kontaktní údaje uživatele: jméno a příjmení, e-mailová adresa, telefonní číslo, číslo osvědčení odborně způsobilé osoby (OZO).
• Údaje o organizaci a klientech: obchodní firma, IČO, adresa sídla, kontaktní osoba, kontaktní e-mail a telefon klientských organizací.
• Provozní údaje: záznamy v požární knize, přílohy dokumentů, evakuační plány, výsledky kontrol a revizí, auditní záznamy o změnách dat.
• Technické údaje: IP adresa, informace o prohlížeči, časy přihlášení, identifikátor relace, údaje o používání aplikace.
• Fakturační údaje: v pilotním provozu nevznikají. Platební brána není aktivní, Aplikace nevyžaduje ani neuchovává údaje o platební kartě a za užívání služby se neplatí. Tento bod se uplatní až po spuštění placených tarifů.
• Údaje pro výplatu odměny z doporučení: pokud se Uživatel dobrovolně zapojí do programu doporučení, zpracováváme jméno nebo označení, které si zvolí, a bankovní spojení pro výplatu – číslo účtu ve formátu IBAN, nebo e-mailovou adresu účtu PayPal. Tyto údaje zadává Uživatel sám, jsou viditelné pouze jemu a provozovateli, a slouží výhradně k vyplacení odměny. Zapojení do programu je zcela dobrovolné a na užívání Aplikace nemá vliv.

3. Účely a právní tituly zpracování

• Plnění smlouvy (čl. 6 odst. 1 písm. b) GDPR): poskytování služby, správa uživatelských účtů, evidence požární knihy, fakturace a účetnictví.
• Plnění právních povinností (čl. 6 odst. 1 písm. c) GDPR): vedení evidence dle zákona č. 133/1985 Sb., o požární ochraně, a vyhl. č. 246/2001 Sb., archivace daňových dokladů dle zákona č. 235/2004 Sb.
• Oprávněné zájmy správce (čl. 6 odst. 1 písm. f) GDPR): ochrana před zneužitím služby, měření kvality služby, bezpečnost provozu.
• Souhlas subjektu údajů (čl. 6 odst. 1 písm. a) GDPR): zasílání obchodních sdělení, nastavení analytických a marketingových cookies.

4. Doba uchování údajů

Osobní údaje uchováváme pouze po dobu nezbytnou pro naplnění účelů zpracování:

• Údaje uživatelských účtů po dobu trvání smluvního vztahu.
• Záznamy v požární knize a související dokumentaci minimálně po dobu 5 let od pořízení, v souladu s § 40 vyhlášky č. 246/2001 Sb.
• Fakturační doklady po dobu 10 let dle zákona č. 235/2004 Sb. – uplatní se až po spuštění placených tarifů; v pilotním provozu žádné fakturační doklady nevznikají.
• Auditní záznamy po dobu 3 let od jejich vzniku.
• Bankovní spojení pro výplatu odměny z doporučení po dobu zapojení do programu a dále po dobu nezbytnou pro splnění daňových a účetních povinností; po ukončení zapojení se bankovní spojení vymaže.
• Analytické údaje se souhlasem po dobu maximálně 26 měsíců.

5. Příjemci osobních údajů

Osobní údaje mohou být předány následujícím zpracovatelům:

• Databáze, autentizace a úložiště souborů: Supabase – databáze je provozována v regionu eu-central-1 (Frankfurt, Německo), tedy na území Evropské unie.
• Odesílání transakčních e-mailů (pozvánky do týmu, upozornění na blížící se lhůty): Resend – se sídlem ve Spojených státech amerických. Předává se jméno a e-mailová adresa příjemce a obsah upozornění (název objektu, dokumentu nebo kontroly a termín).
• Hosting aplikace: Vercel Inc. – serverové funkce jsou nastaveny na region fra1 (Frankfurt, Německo); společnost sídlí ve Spojených státech amerických.

Předání do USA: společnosti Resend a Vercel jsou certifikovány v rámci EU–U.S. Data Privacy Framework, tedy rámce, o kterém Evropská komise rozhodla, že zajišťuje odpovídající úroveň ochrany (čl. 45 GDPR). Smlouva o zpracování se společností Resend navíc obsahuje standardní smluvní doložky schválené Evropskou komisí (čl. 46 odst. 2 písm. c) GDPR).

Platební brána není v pilotním provozu aktivní a žádnému poskytovateli platebních služeb se údaje nepředávají.

Zpřístupnění orgánu státního požárního dozoru

Aplikace umožňuje vygenerovat časově omezený odkaz pro jeden konkrétní objekt, kterým Správce zpřístupní dokumentaci tohoto objektu kontrolnímu orgánu (zejména Hasičskému záchrannému sboru ČR) bez nutnosti zakládat účet. Odkaz nezpřístupňuje údaje jiných objektů ani jiných organizací, lze jej kdykoli zneplatnit a každé jeho otevření se zaznamenává do auditní stopy. Odkaz vytváří vždy Správce, nikoli Poskytovatel.

Předávání mimo EU

U zpracovatelů se sídlem mimo Evropský hospodářský prostor je předání založeno na standardních smluvních doložkách Evropské komise podle čl. 46 odst. 2 GDPR, na certifikaci v rámci EU–US Data Privacy Framework, nebo na jiném právním titulu podle kapitoly V GDPR. Konkrétní právní titul u jednotlivých zpracovatelů poskytneme na vyžádání.

6. Údaje, které se do Aplikace nevkládají

Aplikace není určena ke zpracování zvláštních kategorií osobních údajů podle čl. 9 GDPR. Jde zejména o údaje o zdravotním stavu – v kontextu požární ochrany typicky o závěry pracovnělékařských prohlídek nebo o zdravotní způsobilost k určitým pracím.

Správce se zavazuje takové údaje do Aplikace nevkládat, a to ani do polí pro volný text u záznamů o školení a o preventivních požárních prohlídkách. Do záznamu o školení patří údaj o tom, že školení proběhlo a v jakém rozsahu – nikoli údaj o zdravotním stavu školené osoby.

7. Práva subjektu údajů

V souladu s GDPR máte jako subjekt údajů následující práva:

• Právo na přístup k osobním údajům (čl. 15).
• Právo na opravu nepřesných údajů (čl. 16).
• Právo na výmaz („právo být zapomenut“) v případech dle čl. 17, pokud tomu nebrání zákonná povinnost údaje uchovávat.
• Právo na omezení zpracování (čl. 18).
• Právo na přenositelnost údajů (čl. 20).
• Právo vznést námitku proti zpracování založenému na oprávněném zájmu (čl. 21).
• Právo odvolat kdykoliv udělený souhlas (čl. 7 odst. 3).
• Právo podat stížnost u dozorového úřadu – Úřad pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, www.uoou.cz.

8. Zabezpečení

Osobní údaje chráníme technickými a organizačními opatřeními – šifrovaný přenos (TLS), šifrované úložiště, systém rolí (admin, člen, prohlížející), auditní záznamy všech změn, pravidelné zálohování a přístup pouze pro oprávněné osoby vázané mlčenlivostí.

9. Cookies a analytika

Podrobné informace o používaných cookies naleznete v dokumentu Ochrana soukromí. Nastavení cookies lze kdykoliv změnit prostřednictvím odkazu „Nastavení cookies“ v patičce aplikace.

10. Změny tohoto dokumentu

Tento dokument je průběžně aktualizován. O podstatných změnách budeme uživatele informovat prostřednictvím aplikace nebo e-mailu s dostatečným předstihem před nabytím účinnosti.