Zásady ochrany osobních údajů

1. Kdo jsme a koho se zásady týkají

Správcem osobních údajů je společnost BAXA servis s.r.o., IČO 07856920, se sídlem SNP 2652/22, 434 01 Most (dále „my“ nebo „BAXA“). Provozujeme web baxio.cz a aplikaci Baxio dostupnou na app.baxio.cz. Ve věcech ochrany osobních údajů nás zastihnete na dispecink@baxio.cz. Pověřence pro ochranu osobních údajů jsme nejmenovali, protože nám to zákon neukládá.

Zásady se vztahují na tyto skupiny lidí:

• návštěvníci webu baxio.cz,
• zájemci, kteří nám pošlou poptávku nebo si domluví ukázku,
• zákazníci a jejich kontaktní osoby, se kterými máme smlouvu,
• uživatelé aplikace, tedy zaměstnanci a spolupracovníci zákazníků, kterým zákazník založí účet.

U dat, která zákazníci vkládají do své instance Baxia (jejich zákazníci, zakázky, docházka, doklady), nejsme správcem, ale zpracovatelem. Správcem je zákazník a pravidla popisuje zpracovatelská smlouva. Shrnutí najdete v části 6.

Řídíme se nařízením (EU) 2016/679 (GDPR), zákonem č. 110/2019 Sb., o zpracování osobních údajů, zákonem č. 127/2005 Sb., o elektronických komunikacích, a zákonem č. 480/2004 Sb., o některých službách informační společnosti.

2. Návštěvníci webu baxio.cz

Technické záznamy

Web běží na infrastruktuře Cloudflare. Při každém načtení stránky server zpracuje vaši IP adresu, typ prohlížeče, čas požadavku a adresu stránky. Tyto údaje slouží k doručení obsahu, ochraně před útoky a řešení chyb. Právním základem je náš oprávněný zájem na bezpečném provozu webu (čl. 6 odst. 1 písm. f) GDPR). Záznamy se uchovávají krátkodobě, nejdéle 30 dní.

Ochrana formuláře

Poptávkový formulář chrání služba Cloudflare Turnstile, která bez hádanek ověřuje, že odesílatel není robot. Turnstile běží v samostatném rámečku načteném z challenges.cloudflare.com a vyhodnocuje technické signály prohlížeče. Web baxio.cz sám žádné cookies Turnstile neukládá; Cloudflare může při ověření nastavit vlastní technické cookies, zpravidla na dobu relace nebo do 30 minut (podrobnosti v zásadách cookies). Právním základem je oprávněný zájem na ochraně před spamem a zneužitím (čl. 6 odst. 1 písm. f) GDPR).

Analytika a marketing jen se souhlasem

Statistiky návštěvnosti (Google Analytics) a měření reklamy (Meta Pixel) zapínáme pouze po vašem souhlasu v cookie liště; právním základem je tedy váš souhlas (čl. 6 odst. 1 písm. a) GDPR). Bez souhlasu se tyto nástroje nenačtou a žádná data k nim neodcházejí. Souhlas můžete kdykoli změnit nebo odvolat odkazem „Nastavení cookies“ v patičce. Podrobnosti, včetně seznamu cookies a jejich životnosti, jsou v zásadách cookies.

3. Poptávkový formulář a ukázka

Přes formulář na stránce Ceník nám posíláte jméno, název firmy, e-mail, volitelně telefon, orientační počet uživatelů a popis toho, co řešíte. Stejné údaje zpracováváme, když nás oslovíte e-mailem nebo telefonicky.

Jméno, název firmy a e-mail jsou povinné, protože bez nich vám nemůžeme odpovědět; pokud je nevyplníte, poptávku neodešlete. Ostatní údaje jsou dobrovolné a pomáhají nám připravit ukázku.

Poptávky ukládáme do naší vlastní instance Baxia hostované v Evropské unii. Údaje z poptávky nepoužíváme k rozesílání newsletterů ani je nepředáváme jiným firmám. Pokud dojde k uzavření smlouvy, přesouvají se údaje do režimu podle části 4.

4. Zákazníci a jejich kontaktní osoby

Pokud s námi vaše firma uzavře smlouvu, zpracováváme identifikační a kontaktní údaje firmy a jejích kontaktních osob (jméno, pracovní pozice, e-mail, telefon), fakturační údaje a historii komunikace a podpory.

Identifikační, kontaktní a fakturační údaje jsou nutné k uzavření a plnění smlouvy a fakturační údaje nám navíc ukládá zákon. Bez nich smlouvu uzavřít ani plnit nemůžeme.

5. Uživatelé aplikace Baxio

Účty uživatelů zakládá administrátor zákazníka. O tom, kdo účet dostane a jaká data v aplikaci vede, rozhoduje zákazník jako správce. My v roli zpracovatele zajišťujeme technický provoz. Zpracovávané údaje účtu jsou: jméno, e-mail, telefon, role a oprávnění, heslo v podobě bezpečného otisku (hash) a nastavení účtu.

Také auditní záznam úkonů uživatelů v instanci (kdo, kdy a co změnil) vedeme pro zákazníka jako zpracovatel. Vidí ho uživatelé zákazníka s rolí administrátor nebo vlastník a uchovává se 365 dní.

Pro vlastní účely, a tedy jako správce, zpracováváme jen tyto technické údaje uživatelů:

• záznamy požadavků na aplikaci (IP adresa, čas, adresa požadavku) pro zajištění bezpečnosti a řešení provozních potíží, uchovávané 90 dní,
• záznamy pokusů o přihlášení včetně neúspěšných pokusů a blokací pro ochranu účtů před zneužitím, uchovávané 180 dní,
• chybová hlášení aplikace pro odstraňování chyb; osobní údaje se do nich standardně neodesílají a hesla, přihlašovací tokeny a cookies z nich odstraňujeme,
• komunikaci s podporou, pokud se na nás uživatel obrátí.

Právním základem je náš oprávněný zájem na bezpečném a spolehlivém provozu služby (čl. 6 odst. 1 písm. f) GDPR).

Volitelné integrace (Google Kalendář, vlastní e-mailová schránka přes IMAP/SMTP, upozornění do Telegramu) zapíná uživatel nebo administrátor sám a může je kdykoli odpojit. Data z Google Kalendáře, ke kterému se aplikace připojuje přes OAuth, používáme výhradně k obousměrné synchronizaci událostí v souladu s Google API Services User Data Policy včetně požadavků Limited Use. Přístup lze odvolat také na myaccount.google.com/permissions.

6. Data, která do Baxia vkládají zákazníci

Každý zákazník má vlastní instanci s oddělenou databází, do které vkládá údaje o svých zákaznících, objektech a zařízeních, zakázkách, docházce a polohách techniků při docházce, mzdových podkladech, dokladech a komunikaci. U těchto dat je správcem zákazník. My je zpracováváme jen podle jeho pokynů, v rozsahu nutném pro provoz služby, a nikdy je nepoužíváme pro vlastní účely, marketing ani trénování modelů.

Podmínky tohoto zpracování, včetně seznamu subzpracovatelů, bezpečnostních opatření a pravidel pro výmaz, upravuje zpracovatelská smlouva, která je součástí obchodních podmínek. Pokud jste zákazníkem našeho zákazníka a chcete uplatnit svá práva, obraťte se nejprve na něj; pokud nevíte, na koho se obrátit, napište nám a vaši žádost předáme.

AI funkce. AI funkce jsou ve výchozím nastavení vypnuté a zapíná je administrátor zákazníka. Pokud pak uživatel pošle doklad k automatickému vytěžení, obsah dokladu se předá poskytovateli jazykového modelu (Anthropic nebo OpenAI) přes jejich firemní rozhraní. Anthropic a OpenAI mohou vstupy uchovávat nejdéle 30 dní kvůli odhalování zneužití, poté je mažou; k trénování modelů je nepoužívají. Požadavky na OpenAI navíc posíláme s vypnutým ukládáním na jejich straně. Výsledek vždy schvaluje člověk.

7. Příjemci a zpracovatelé

Osobní údaje neprodáváme ani nepředáváme k marketingovým účelům jiným firmám. Přístup k nim mají naši zaměstnanci a spolupracovníci vázaní mlčenlivostí a dále zpracovatelé, kteří pro nás zajišťují části provozu:

DPF: EU-U.S. Data Privacy Framework. SCC: standardní smluvní doložky podle prováděcího rozhodnutí Komise (EU) 2021/914. U dat v instancích zákazníků jsou zpracovatelé aplikace našimi subzpracovateli; jejich úplný seznam se sídly uvádí Příloha 1 zpracovatelské smlouvy.

Zpracovateli nejsou e-mailová schránka zákazníka, přes jejíž SMTP a IMAP aplikace odesílá a přijímá e-maily (tu si zákazník volí a sjednává sám), banka zákazníka (oznámení o platbách z ČSOB CEB a výpisy ve formátu CSV nám dodává zákazník sám, bez prostředníka) ani registr ARES, ze kterého jen načítáme veřejné údaje o firmách.

Vedle toho můžeme údaje zpřístupnit orgánům veřejné moci, pokud nám to ukládá zákon, a našim právním a daňovým poradcům v nezbytném rozsahu.

8. Předání mimo EU/EHP

Aplikace, databáze i zálohy běží v Evropské unii. Někteří zpracovatelé mají sídlo nebo mateřskou společnost v USA. Předání do USA se opírá o rozhodnutí Evropské komise o odpovídající ochraně pro společnosti certifikované v EU-U.S. Data Privacy Framework, případně o standardní smluvní doložky podle čl. 46 odst. 2 písm. c) GDPR doplněné o technická opatření (šifrování při přenosu i v klidu). Které záruky platí pro kterého zpracovatele, uvádí tabulka v části 7.

Upozornění do Telegramu, která si může zapnout zákazník, zpracovává Telegram Messenger Inc. se sídlem ve Spojených arabských emirátech. Pro tuto zemi neexistuje rozhodnutí o odpovídající ochraně a standardní smluvní doložky s touto společností uzavřeny nemáme. Upozornění se proto odesílají jen na pokyn zákazníka, který je zapne; podrobnosti upravuje čl. 7.4 zpracovatelské smlouvy.

Kopii příslušných záruk si můžete vyžádat na dispecink@baxio.cz.

9. Jak dlouho údaje uchováváme

Po uplynutí doby údaje vymažeme nebo nevratně anonymizujeme. Zálohy se přepisují v cyklu nejvýše 30 dnů, takže vymazané údaje z nich zmizí nejpozději 30 dní po výmazu. Data v instanci zákazníka proto vymažeme do 60 dnů od skončení smlouvy a ze záloh zmizí nejpozději do 90 dnů od skončení smlouvy.

10. Vaše práva

Podle GDPR máte právo:

• na přístup k údajům, které o vás vedeme, a na kopii,
• na opravu nepřesných nebo doplnění neúplných údajů,
• na výmaz, pokud už údaje nepotřebujeme nebo je zpracováváme neoprávněně,
• na omezení zpracování po dobu řešení sporné situace,
• na přenositelnost údajů, které jste nám poskytli, ve strojově čitelném formátu,
• vznést námitku proti zpracování založenému na oprávněném zájmu, včetně obchodních sdělení,
• odvolat souhlas kdykoli, aniž by to mělo vliv na zpracování před odvoláním,
• nebýt předmětem automatizovaného rozhodování s právními účinky; takové rozhodování neprovádíme.

Žádost pošlete na dispecink@baxio.cz nebo datovou schránkou vy4uscp. Odpovíme do jednoho měsíce; u složitých žádostí můžeme lhůtu prodloužit o další dva měsíce a dáme vám vědět. Pro ověření totožnosti můžeme požádat o doplňující informace.

Pokud se domníváte, že údaje zpracováváme v rozporu s právem, můžete podat stížnost u dozorového úřadu: Úřad pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, uoou.gov.cz. Budeme rádi, když se nejdřív ozvete nám.

11. Zabezpečení

Veškerá komunikace probíhá šifrovaně přes HTTPS. Databáze a zálohy jsou šifrované v klidu, každý zákazník má oddělenou databázi. Hesla ukládáme jen jako otisk (bcrypt), přístupové údaje k integracím šifrujeme. Přístup k datům řídí role a oprávnění, každá změna se zapisuje do auditního záznamu. Naši lidé přistupují k produkčním datům jen tehdy, je-li to nezbytné pro podporu nebo odstranění závady na žádost či pokyn zákazníka, nebo k řešení bezpečnostního incidentu, a každý takový přístup se zaznamenává. Podrobný přehled opatření je v Příloze 2 zpracovatelské smlouvy.

Pokud by přes všechna opatření došlo k porušení zabezpečení, které by pro vás představovalo vysoké riziko, informujeme vás bez zbytečného odkladu a porušení ohlásíme také Úřadu pro ochranu osobních údajů.

12. Změny těchto zásad

Zásady průběžně aktualizujeme, když přidáme novou funkci, zpracovatele nebo se změní legislativa. Aktuální znění s datem účinnosti je vždy na této stránce. O podstatných změnách informujeme zákazníky e-mailem nebo upozorněním v aplikaci. Předchozí verze poskytneme na vyžádání.