Zásady ochrany osobních údajů

1. Správce osobních údajů

Správcem osobních údajů ve smyslu nařízení Evropského parlamentu a Rady (EU) 2016/679 (GDPR) je:

Dále jen „Správce" nebo „Poskytovatel". Pověřenec pro ochranu osobních údajů (DPO) není ustanoven — povinnost jeho ustanovení dle čl. 37 GDPR se na Poskytovatele nevztahuje (nejedná se o veřejný subjekt, nezpracovává citlivé údaje ve velkém rozsahu ani neprovádí systematické monitorování ve velkém rozsahu).

2. Jaká data zpracováváme

2.1 Data uložená lokálně na vašem počítači

2.2 Data zpracovávaná Poskytovatelem na serveru

Poskytovatel zpracovává následující osobní údaje, které jsou nezbytné pro fungování služby:

Co Poskytovatel NEzpracovává:

• Hesla zákazníků (Taxuj.cz nemá uživatelské účty s hesly — autentizace probíhá pouze pomocí licenčního klíče)
• Obsah vašich faktur ani údaje vašich odběratelů
• Hardware ID, otisky zařízení, telemetrii
• Citlivé osobní údaje (zdravotní, biometrické, atd.)

2.3 Platební údaje

Platební údaje (číslo karty, CVC, atd.) zpracovává výhradně platební brána Stripe (Stripe Payments Europe, Limited). Poskytovatel k těmto údajům nemá přístup — vidí pouze identifikátor platby (Stripe customer/session ID) a výši transakce.

3. Účel a právní základ zpracování

Osobní údaje zpracováváme na následujících právních základech podle čl. 6 GDPR:

3.1 Plnění smlouvy (čl. 6 odst. 1 písm. b)

• Vystavení a aktivace licence
• Doručení licenčního klíče e-mailem
• Zpracování platby přes Stripe
• Vyřizování reklamací a žádostí o vrácení peněz

3.2 Splnění právní povinnosti (čl. 6 odst. 1 písm. c)

• Vystavování a uchovávání faktur dle zákona č. 563/1991 Sb. o účetnictví
• Plnění daňových povinností dle zákona č. 235/2004 Sb. o DPH (je-li Poskytovatel plátcem DPH) a souvisejících daňových předpisů
• Vedení záznamů o zpracování dle čl. 30 GDPR
• Plnění povinností vůči orgánům státní správy na základě právních předpisů

3.3 Oprávněný zájem (čl. 6 odst. 1 písm. f)

• Zákaznická podpora (pro potenciální zákazníky a obecné dotazy nesouvisející s konkrétní smlouvou)
• Bezpečnost a stabilita serveru (provozní log, rate limiting, fail2ban)
• Detekce a prevence zneužití (podvodné platby, automatizované útoky)

3.4 Souhlas (čl. 6 odst. 1 písm. a)

• Analytické cookies na webu Taxuj.cz (pokud je v budoucnu aktivována analytika)
• Marketingová sdělení (pokud zákazník výslovně poskytne souhlas)

4. Doba uchování dat

Po uplynutí uvedených dob jsou údaje smazány nebo anonymizovány.

5. Vaše práva

V souladu s GDPR máte následující práva:

• Právo na přístup (čl. 15) — získat informace o tom, jaké údaje o vás zpracováváme
• Právo na opravu (čl. 16) — opravit nepřesné nebo doplnit neúplné údaje
• Právo na výmaz (čl. 17) — „právo být zapomenut" (s výjimkou zákonné povinnosti uchování po 10 let u faktur)
• Právo na omezení zpracování (čl. 18)
• Právo na přenositelnost (čl. 20) — získat údaje ve strukturovaném formátu
• Právo vznést námitku (čl. 21) proti zpracování založenému na oprávněném zájmu
• Právo odvolat souhlas (čl. 7) — kdykoliv, např. pro analytické cookies
• Právo podat stížnost u dozorového úřadu — Úřad pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, www.uoou.cz

5.1 Jak uplatnit svá práva

Pošlete e-mail na info@taxuj.cz s předmětem „Žádost GDPR". Pro ověření identity uveďte e-mail, na který byla licence vystavena, případně licenční klíč.

Vaši žádost vyřídíme do 30 dnů od jejího přijetí. Tato lhůta může být v komplexních případech prodloužena až o 60 dnů, o čemž vás budeme včas informovat.

6. Předávání osobních údajů třetím stranám

6.1 Nesdílíme pro marketing

Poskytovatel neprodává ani neposkytuje osobní údaje třetím stranám za účelem marketingu, profilování ani jiných obchodních účelů.

6.2 Zpracovatelé (subprocesoři)

Pro fungování služby využíváme následující zpracovatele osobních údajů. S každým z nich máme uzavřenou (nebo budeme mít před spuštěním služby do živého provozu) smlouvu o zpracování dle čl. 28 GDPR — typicky formou Data Processing Addendum (DPA), které je součástí jejich obchodních podmínek:

6.3 Předávání mimo EU/EHP

Většina zpracovatelů sídlí v EU. Výjimkou je GitHub, Inc. (USA), kterému se předávají IP adresy návštěvníků stránky releases (technicky nutné pro stažení souborů). Předávání je zajištěno na základě Standardních smluvních doložek (SCC) schválených Evropskou komisí, které jsou součástí GitHub Customer Data Processing Addendum.

6.4 Státní orgány

Údaje mohou být zpřístupněny příslušným státním orgánům (finanční úřad, Policie ČR, ÚOOÚ) na základě zákonné povinnosti.

7. Zabezpečení dat

Pro ochranu osobních údajů Poskytovatel zavedl následující technická a organizační opatření v souladu s čl. 32 GDPR:

• Šifrování veškeré komunikace pomocí HTTPS / TLS 1.2+
• Certifikáty Let's Encrypt s automatickou obnovou
• Firewall na serveru s omezením povolených portů
• Content Security Policy (CSP) proti XSS útokům
• Pravidelné aktualizace operačního systému a aplikací
• Automatické denní zálohy databáze s 14denní rotací
• Logování přístupů a změn pro audit
• HMAC podepisování webhooků pro ověření pravosti
• Omezený přístup k systémům — pouze jednatel společnosti
• Zásada minimalizace — zpracováváme jen údaje nezbytné pro daný účel

Detailní popis zabezpečení je součástí interního dokumentu Záznam o činnostech zpracování dle čl. 30 GDPR, který Poskytovatel předkládá kontrolním orgánům na vyžádání.

8. Cookies a sledování

8.1 Cookies na webu Taxuj.cz

Web Taxuj.cz používá tyto kategorie cookies:

• Nezbytné cookies — pro správné fungování webu a platební brány Stripe (vždy aktivní, nepotřebují souhlas)
• Analytické cookies — anonymizovaná analýza návštěvnosti (volitelné, vyžadují váš souhlas)

Při první návštěvě webu se zobrazí cookies banner s možností výběru — Přijmout vše / Jen nezbytné / Nastavení. Souhlas můžete kdykoliv změnit kliknutím na ikonu 🍪 v rohu stránky.

8.2 Telemetrie a sledování v aplikaci

Desktopová aplikace Taxuj.cz neobsahuje žádné sledovací mechanismy chování uživatele, telemetrii ani analytické nástroje. Aplikace komunikuje s licenčním serverem výhradně za účelem ověření licence a (na výslovnou žádost uživatele) za účelem vyhledávání v ARES nebo MFČR. Tato komunikace je technicky nezbytná pro fungování služby a nezahrnuje sběr dat o tom, jak uživatel aplikaci používá.

9. Změny zásad ochrany osobních údajů

Poskytovatel si vyhrazuje právo tyto Zásady aktualizovat. O podstatných změnách budou Zákazníci informováni e-mailem nebo prostřednictvím aplikace s předstihem alespoň 30 dnů. Aktuální verze Zásad je vždy dostupná na taxuj.cz/gdpr.html.

10. Kontakt

Pro jakékoli dotazy týkající se ochrany osobních údajů, žádosti o uplatnění práv nebo stížnosti nás kontaktujte: