Zásady ochrany osobních údajů

Správce osobních údajů

Správcem osobních údajů ve smyslu nařízení Evropského parlamentu a Rady (EU) 2016/679 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů (dále jen „GDPR“) je:

Správce nepovažuje s ohledem na rozsah a povahu zpracování za nutné jmenovat pověřence pro ochranu osobních údajů (DPO) ve smyslu čl. 37 GDPR. Veškerou komunikaci ohledně ochrany osobních údajů směřujte na výše uvedenou e-mailovou adresu.

Jaké údaje shromažďujeme

V rámci provozu aplikace ManaVault zpracováváme následující kategorie osobních údajů:

2.1 Registrační a účetní údaje

• Jméno a příjmení, název společnosti
• E-mailová adresa, telefonní číslo
• Fakturační údaje (IČ, DIČ, adresa sídla)
• Přihlašovací údaje (uživatelské jméno, heslo v zašifrované podobě)

2.2 Obchodní data uživatelů

ManaVault je nástroj pro správu skladu, prodejů a e-commerce. Uživatelé v něm ukládají:

• Produktová data — názvy, popisy, ceny, fotografie, skladové zásoby
• Objednávky a prodeje — informace o transakcích, historie prodejů
• Zákaznická data — jména, e-maily a doručovací adresy z objednávek
• Finanční data — faktury, bankovní transakce, účetní exporty
• Data zaměstnanců — docházka, osobní čísla, PIN kódy pro přihlašování

2.3 Data z integrace s tržišti

• Aukro — nabídky, objednávky, fakturační údaje kupujících, webhook události
• Vinted — informace o vystavovaných položkách
• Další integrace — platební brána Stripe (identifikátory transakcí, ne čísla karet)

2.4 Technické a provozní údaje

• IP adresa, typ prohlížeče (user agent), čas přístupu
• Záznamy o přihlášení a bezpečnostních událostech (audit log)
• Cookies nezbytné pro fungování aplikace

Účel zpracování

Osobní údaje zpracováváme výhradně pro následující účely:

Právní základ zpracování

Osobní údaje zpracováváme na základě následujících právních titulů dle čl. 6 odst. 1 GDPR:

Doba uchování údajů

Osobní údaje uchováváme pouze po dobu nezbytnou pro naplnění účelu zpracování:

Po uplynutí doby uchování jsou osobní údaje trvale smazány nebo anonymizovány.

Sdílení údajů s třetími stranami

Vaše osobní údaje neprodáváme ani neposkytujeme třetím stranám za účelem marketingu. Údaje můžeme sdílet pouze v následujících případech:

6.1 Zpracovatelé

6.2 Integrace s tržišti

Pokud uživatel aktivuje integraci s tržištěm (např. Aukro, Vinted), aplikace si s daným tržištěm vyměňuje data nezbytná pro plnění objednávek (informace o nabídkách, objednávkách, doručovacích adresách kupujících). Toto sdílení je iniciováno uživatelem a probíhá na základě jeho aktivního nastavení.

6.3 Zákonná povinnost

Osobní údaje můžeme poskytnout orgánům veřejné moci, pokud nám to ukládá platný právní předpis České republiky nebo Evropské unie (např. daňové kontroly, soudní řízení).

6.4 Předávání do třetích zemí

Platební brána Stripe může zpracovávat údaje v USA. Společnost Stripe je certifikována v rámci EU-U.S. Data Privacy Framework a zároveň používá standardní smluvní doložky dle čl. 46 odst. 2 písm. c) GDPR. Ostatní zpracování probíhá výhradně na území České republiky.

Zabezpečení údajů

Přijali jsme přiměřená technická a organizační opatření k ochraně vašich osobních údajů před neoprávněným přístupem, změnou, zničením nebo ztrátou:

• Šifrovaný přenos — Veškerá komunikace mezi vaším prohlížečem a naší aplikací probíhá prostřednictvím protokolu HTTPS (TLS 1.2+).
• Zabezpečené úložiště — Data jsou uložena na serverech v České republice s omezeným přístupem. Hesla jsou ukládána v podobě jednosměrného hashe (bcrypt).
• Přístupové kontroly — Multi-tenant architektura zajišťuje, že každý uživatel má přístup pouze k datům svého účtu. Role a oprávnění (vlastník, administrátor, zaměstnanec) omezují přístup uvnitř organizace.
• Bezpečnostní opatření — Rate limiting pro ochranu před brute-force útoky, bezpečnostní HTTP hlavičky (X-Frame-Options, X-Content-Type-Options), audit log všech kritických operací.
• Pravidelné zálohy — Databáze je pravidelně zálohována pro případ havárie či ztráty dat.

Žádný systém však nemůže zaručit absolutní bezpečnost. V případě bezpečnostního incidentu postupujeme v souladu s čl. 33 a 34 GDPR — informujeme dozorový úřad do 72 hodin a dotčené subjekty údajů bez zbytečného odkladu.

Práva subjektů údajů

Jako subjekt údajů máte dle GDPR následující práva, která můžete uplatnit zasláním žádosti na obchod@btcin.cz:

Na vaši žádost odpovídáme bez zbytečného odkladu, nejpozději do 30 dnů od jejího obdržení. Ve složitých případech může být tato lhůta prodloužena o další 2 měsíce, o čemž vás budeme informovat.

Cookies a analytické nástroje

Aplikace ManaVault používá následující typy cookies:

9.1 Nezbytné cookies (technické)

Tyto cookies jsou nutné pro správné fungování aplikace a nelze je vypnout. Zahrnují především:

• Session cookie — udržuje přihlášení uživatele po dobu relace (expiruje při zavření prohlížeče nebo po neaktivitě).
• CSRF token — ochrana proti cross-site request forgery útokům.

9.2 Funkční cookies

• Uživatelské preference — uložení nastavení zobrazení, vybraného jazyka a oblíbené navigace (localStorage). Tato data nejsou odesílána na server.

9.3 Analytické cookies

V současné době aplikace ManaVault nepoužívá analytické cookies třetích stran (např. Google Analytics). Pokud budou v budoucnu zavedeny, budeme o tom informovat v aktualizované verzi těchto zásad a vždy budeme vyžadovat váš předchozí souhlas.

9.4 Správa cookies

Cookies můžete spravovat v nastavení svého webového prohlížeče. Vypnutí nezbytných cookies však může způsobit, že aplikace nebude fungovat správně.

Změny zásad ochrany osobních údajů

Tyto zásady můžeme čas od času aktualizovat, abychom zohlednili změny v našich postupech zpracování údajů nebo změny právních předpisů. O každé významné změně vás budeme informovat:

• Oznámením v rámci aplikace ManaVault.
• Zasláním e-mailové notifikace na adresu spojenou s vaším účtem.
• Aktualizací data „Poslední aktualizace“ v záhlaví tohoto dokumentu.

Doporučujeme tyto zásady pravidelně kontrolovat. Pokračováním v používání aplikace po zveřejnění změněných zásad vyjadřujete souhlas s jejich aktualizovaným zněním, pokud právní předpisy nevyžadují váš výslovný souhlas.

Kontakt

V případě jakýchkoliv dotazů, žádostí nebo podnětů týkajících se ochrany vašich osobních údajů nás kontaktujte:

Na vaši zprávu odpovídáme zpravidla do 5 pracovních dnů. U formálních žádostí dle čl. 15–22 GDPR odpovídáme nejpozději do 30 dnů.