Ochrana osobních údajů

1. Správce osobních údajů

Provozovatelem služby KonecSanonu.cz a správcem osobních údajů je:

• Jiří Honomichl — fyzická osoba podnikající (OSVČ)
• Sídlo: Na Komárově 518, 331 51 Kaznějov
• IČO: 04858671 · neplátce DPH
• E-mail: info@konecsanonu.cz

(dále jen „Správce“).

2. Jaké údaje zpracováváme

• Identifikační údaje: e-mail, jméno (display_name), telefon (volitelně).
• Provozní údaje: auth tokeny, session cookies, IP adresa (v access logu), audit log akcí.
• Obsah uživatele: dokumenty, smlouvy, faktury a další soubory, které nahrajete nebo vygenerujete v modulech. Tento obsah je váš majetek a my k němu přistupujeme jen pro technické zajištění chodu (uložení, šifrování, zobrazení).
• Platební údaje: jména, fakturační adresy, předplatné a platební události. Platební karty nikdy neukládáme — zpracovává je výhradně Stripe (PCI-DSS Level 1 certifikace).
• AI interakce: texty zpráv s AI pomocníky a Profesorem (90 dní retention pro účely abuse-detection a bug-fixing, pak automaticky mažeme).

3. Účel a právní základ

• Plnění smlouvy (čl. 6 odst. 1 písm. b GDPR) — provoz účtu, doručení placené služby.
• Oprávněný zájem (čl. 6 odst. 1 písm. f GDPR) — bezpečnost, prevence zneužití, audit log.
• Zákonná povinnost (čl. 6 odst. 1 písm. c GDPR) — vystavování dokladů, archivace dle zákona o účetnictví.

4. Příjemci a zpracovatelé (subprocesory)

Pro provoz služby využíváme tyto subprocesory v EU/EHP nebo zemích s adekvátní úrovní ochrany:

• Supabase Inc. (USA, datové centrum Frankfurt) — databáze a úložiště souborů.
• Stripe Payments Europe (Irsko) — platby.
• Anthropic PBC (USA) — AI chat (Claude). Komunikace prochází přes API v režimu, kdy vstupy nejsou používány k tréninku modelů; Anthropic vstupy dočasně uchovává pro účely abuse detection (typicky do 30 dní) dle své DPA.
• Voyage AI (USA) — vektorové embedy pro AI vyhledávání ve vašich souborech (Premium tier).
• Resend, Inc. (USA) — odesílání transakčních e-mailů (potvrzení, upozornění, fakturační oznámení).
• Vercel Inc. (USA, EU edge) — hosting webu + anonymní měření návštěvnosti a výkonu (bez cookies, bez PII).

Předání do USA. Předání osobních údajů do USA (Anthropic, Voyage AI, Resend, Vercel, Supabase Inc.) je zajištěno Standardními smluvními doložkami (SCC, rozhodnutí Komise 2021/914) a v případech, kdy je zpracovatel certifikován, také rámcem EU-U.S. Data Privacy Framework. Kopii doložek poskytneme na vyžádání.

Automatizované rozhodování ve smyslu čl. 22 GDPR, které by mělo právní účinky nebo se vás obdobně významně dotýkalo, neprovádíme. AI pomocníci a Profesor jsou nástroje s lidskou kontrolou — jejich výstupy nemají právní účinky bez vašeho potvrzení.

5. Doba uchování

• Aktivní účet: dokud máte registraci.
• Smazání účtu: 14denní výpovědní lhůta — přihlášením v této době smazání zrušíte. Po uplynutí jsou všechna vaše data nevratně smazána s výjimkou účetních dokladů a anonymizovaných agregovaných statistik.
• Identifikační údaje (e-mail, jméno): mažeme spolu s účtem po uplynutí 14denní lhůty.
• Access log s IP adresami: 30 dní (bezpečnost).
• Audit log akcí se soubory: 365 dní.
• AI interakce: 90 dní.
• Účetní doklady (faktury): 10 let dle § 35 zákona č. 563/1991 Sb. o účetnictví (čl. 17 odst. 3 písm. b GDPR — uchování pro splnění zákonné povinnosti).

6. Vaše práva

Jako subjekt osobních údajů máte právo na:

• přístup ke svým údajům (čl. 15 GDPR) — v Nastavení účtu tlačítkem „Stáhnout moje data“ získáte kompletní kopii ve formátu JSON,
• opravu nesprávných údajů (čl. 16),
• výmaz (čl. 17) — podporujeme přes „Smazat účet“ v Nastavení,
• omezení zpracování (čl. 18),
• přenositelnost údajů (čl. 20) — strojově čitelný export „Stáhnout moje data“ v Nastavení; vaše soubory si navíc kdykoli stáhnete,
• vznést námitku proti zpracování (čl. 21),
• nebýt předmětem automatizovaného rozhodování s právními účinky.

Pro uplatnění práv kontaktujte Správce. Stížnost můžete podat u Úřadu pro ochranu osobních údajů (www.uoou.cz).

7. Cookies a měření návštěvnosti

Web používá pouze technické (essential) cookies nutné k provozu. Žádné marketingové ani third-party tracking cookies. Souhlas se podle čl. 5 odst. 3 ePrivacy směrnice (výjimka „strictly necessary”) nevyžaduje.

Konkrétní cookies, které ukládáme:

• sb-access-token — Supabase auth session (HttpOnly, Secure, SameSite=Lax). Doba: do odhlášení, max 7 dní.
• sb-refresh-token — Supabase auth refresh (HttpOnly, Secure, SameSite=Lax). Doba: 30 dní.

Pro měření návštěvnosti a výkonu používáme Vercel Analytics a Speed Insights — fungují bez cookies a bez ukládání osobních údajů (anonymní agregovaná data o stránkách a rychlosti načítání), proto nevyžadují souhlas ani cookie lištu.

Pokud bychom v budoucnu zavedli funkce vyžadující souhlas (např. marketingové cookies třetích stran, A/B testovací nástroje s identifikátory), zobrazí se vám cookie banner s možností odmítnutí.

8. Zabezpečení

Veškerý přenos je šifrován moderním TLS (1.2/1.3 dle prohlížeče). Hesla jsou uchovávána výhradně ve formě moderního kryptografického hashe (bcrypt/scrypt přes Supabase Auth) a nikdy nejsou ukládána v otevřené podobě. Soubory v úložišti jsou izolovány Row-Level Security a přístup k nim mají jen autentizovaní vlastníci přes podepsané URL s krátkou platností (60 sekund).

9. Změny zásad

Zásady můžeme aktualizovat. Podstatné změny vám oznámíme e-mailem a v aplikaci minimálně 30 dní před účinností.

10. Použití umělé inteligence (AI Act, čl. 50)

Funkce „AI pomocník” a „Profesor” jsou založeny na velkém jazykovém modelu (Claude od Anthropic PBC). V souladu s nařízením EU 2024/1689 (AI Act, čl. 50) vás informujeme:

• Komunikujete s umělou inteligencí, nikoli s člověkem; v UI vás na to vždy upozorňujeme.
• Výstupy AI mohou obsahovat nepřesnosti („halucinace”) a nepředstavují právní, daňové ani lékařské poradenství.
• Výstupy AI nejsou používány k tréninku modelu (zero-training režim API).
• Máte právo nepoužívat AI funkce (Free tier vám umožní využít všechny ostatní moduly bez AI) a požadovat lidský přezkum kteréhokoli AI výstupu — kontaktujte podporu.