Zásady ochrany osobních údajů
Tyto zásady vysvětlují, jak SynQflows, s.r.o., IČO 23685450, se sídlem Příčná 1892/4, Nové Město, 110 00 Praha 1 (dále jen „my“ nebo „Provozovatel“), zpracovává osobní údaje v souvislosti s platformou Negotiq (dále jen „Platforma“), a to v souladu s nařízením (EU) 2016/679 (dále jen „GDPR“) a zákonem č. 110/2019 Sb., o zpracování osobních údajů. Pojmy s velkým počátečním písmenem mají význam podle Obchodních podmínek.
1. Správce a kontakt
Správcem osobních údajů je Provozovatel. Ve věcech ochrany osobních údajů nás kontaktujte na inquiry@negotiq.synqflows.com nebo písemně na adrese sídla. Pověřence pro ochranu osobních údajů jsme nejmenovali, protože nám tato povinnost nevzniká.
Platforma slouží firmám. Většina údajů se týká firem (název, IČO, ceny, nabídky) a nejsou osobními údaji. Osobními údaji jsou zejména údaje o lidech, kteří za firmy na Platformě jednají, údaje podnikajících fyzických osob (např. jejich bankovní spojení) a kontaktní údaje osob ve firmách, které oslovujeme.
2. Kdy jsme správcem a kdy zpracovatelem
- Jako správce zpracováváme údaje o lidech, kteří za Organizace Platformu užívají, údaje potřebné k poskytování Platformy, k Vypořádání a prokázání Dohod, k fakturaci a k bezpečnosti a údaje o potenciálních dodavatelích (článek 3).
- Jako zpracovatel pro Organizaci, která je správcem, zpracováváme osobní údaje v Obsahu Uživatele (např. kontaktní osoba ve specifikaci nebo příloze), ve zprávách zaslaných na Adresu pro příjem e-mailů, v přístupových údajích k napojeným systémům (ERP) a v údajích z nich stažených a v údajích, které na pokyn Organizace odesíláme na její Webhooky. Řídí se to Smlouvou o zpracování osobních údajů; s žádostmi ohledně těchto údajů se obracejte na danou Organizaci.
3. Jaké údaje, proč, na jakém základě a jak dlouho
| Účel | Údaje | Právní základ | Doba uložení |
|---|---|---|---|
| Registrace a vedení účtu, přihlášení, role a oprávnění | jméno, pracovní e-mail, Organizace a role, hash hesla a záchranného kódu, přihlašovací relace (jen otisk tokenu a platnost), počet neúspěšných pokusů o přihlášení | smlouva (čl. 6 odst. 1 písm. b) GDPR), viz poznámka pod tabulkou | po dobu trvání účtu; relace 30 dní; po zrušení účtu se údaje vymažou nebo anonymizují |
| Evidence přijetí Obchodních podmínek a dalších dokumentů | dokument, verze, čas přijetí, otisk (hash) IP adresy, identifikace prohlížeče | oprávněný zájem na prokázání uzavření a obsahu Smlouvy (čl. 6 odst. 1 písm. f)) | po dobu trvání Smlouvy a 4 roky po jejím skončení |
| Poskytování Platformy: Poptávky, jednání Agentů, Dohody, Potvrzení, upozornění, Integrace | identita osoby, která Poptávku vytvořila, Nabídku schválila nebo Integraci nastavila; kontaktní údaje sdělené protistraně po uzavření Dohody | smlouva; oprávněný zájem na prokazatelnosti obchodů (písm. f)) | po dobu trvání účtu; po jeho zrušení se údaje vymažou nebo anonymizují, s výjimkou záznamů uvedených v řádku „Auditní řetězec“ |
| Vypořádání Dohod | Platební údaje Dodavatele (u podnikajících fyzických osob jsou osobními údaji), údaje faktury (číslo, částka, splatnost, variabilní symbol), kdo a kdy označil fakturaci, úhradu, přijetí platby nebo spor, poznámky ke sporu, Záznamy AP2 | smlouva; oprávněný zájem na prokazatelnosti obchodů a na ochraně před podvody (písm. f)) | 10 let od uzavření Dohody; po zrušení účtu se jména a kontakty osob nahradí interním identifikátorem |
| Auditní řetězec a bezpečnost (ochrana před zneužitím, vyšetřování incidentů, prokázání Dohod) | kdo a kdy provedl úkon, obsah úkonu, technické záznamy, IP adresa v provozních lozích | oprávněný zájem na bezpečnosti, integritě a prokazatelnosti úkonů (písm. f)) | záznamy Auditního řetězce, Potvrzení a Záznamy AP2 10 let od vzniku; po zrušení účtu v pseudonymizované podobě (místo jména a e-mailu jen interní identifikátor), protože Auditní řetězec nelze měnit; provozní logy nejvýše 90 dní |
| Fakturace a účetnictví (placené funkce) | identifikační a fakturační údaje, kontaktní osoba | právní povinnost (písm. c)) | 10 let (zákon č. 235/2004 Sb., o dani z přidané hodnoty, a zákon č. 563/1991 Sb., o účetnictví) |
| Platby a upomínky (párování plateb, platba kartou, automatické placení) | údaje o platbě a účtu plátce, značka a poslední 4 číslice karty, odeslané e-maily | plnění smlouvy (čl. 6 odst. 1 písm. b)) a právní povinnost (písm. c)) | 10 let u účetních záznamů; uložená karta do jejího odebrání |
| Oznámení nezákonného obsahu a stížnosti podle DSA | jméno a e-mail oznamovatele nebo stěžovatele, obsah oznámení, rozhodnutí a jeho odůvodnění | právní povinnost podle čl. 16 a 17 nařízení (EU) 2022/2065 (písm. c)); u stížností oprávněný zájem na jejich vyřízení (písm. f)) | 3 roky od vyřízení |
| Databáze potenciálních dodavatelů a jejich oslovování (B2B) | údaje o firmách z veřejných rejstříků; obecné firemní kontakty z jejich webů (např. info@, telefon na recepci); jméno a pracovní kontakt osoby, kterou nám firma sama sdělí; záznam o hovoru a výsledku oslovení | oprávněný zájem na nabídce spolupráce firmám (písm. f)); firmy oslovujeme telefonicky a pozvánku e-mailem zasíláme jen s jejich souhlasem (§ 7 zákona č. 480/2004 Sb.) | do vznesení námitky nebo do 3 let od posledního kontaktu; při námitce si ponecháme jen údaj, že firma nechce být kontaktována |
| Komunikace s vámi (podpora, dotazy) | jméno, e-mail, obsah komunikace | smlouva nebo oprávněný zájem | 3 roky od vyřízení |
| Obchodní sdělení stávajícím zákazníkům o obdobných službách | pracovní e-mail | § 7 odst. 3 zákona č. 480/2004 Sb.; oprávněný zájem; každé sdělení obsahuje možnost odhlášení | do odhlášení |
Poznámka k právnímu základu: Kde uvádíme „smlouva“, jde o čl. 6 odst. 1 písm. b) GDPR, jste-li smluvní stranou sami (podnikající fyzická osoba). Jednáte-li za Organizaci jako zaměstnanec nebo jiná osoba, je právním základem náš oprávněný zájem na plnění smlouvy s Organizací (písm. f)).
Údaje, které zpracováváme jako zpracovatel (článek 2), uchováváme podle pokynů Organizace a Smlouvy o zpracování osobních údajů; zprávy zaslané na Adresu pro příjem e-mailů (odesílatel, předmět, čas přijetí, přílohy) mažeme po 90 dnech, importované nabídky zůstávají.
4. Odkud údaje máme
- od vás při registraci a užívání Platformy, nebo od Správce vaší Organizace (pozvánka kolegy);
- od Organizace a z jejích Integrací (zprávy na Adresu pro příjem e-mailů, napojené systémy);
- od protistrany Dohody (Platební údaje Dodavatele, údaje faktury a stavy Vypořádání);
- z veřejných zdrojů: Registr ekonomických subjektů (Český statistický úřad), ARES, obchodní rejstřík a veřejné webové stránky firem — pouze obecné firemní kontakty;
- od firmy, kterou oslovujeme, pokud nám sama sdělí kontaktní osobu.
5. Komu údaje předáváme
- Protistraně Dohody — po uzavření Dohody zpřístupníme Kupujícímu a Dodavateli název firmy, kontaktní e-mail a telefon, aby mohli Dohodu splnit; Kupující dále vidí Platební údaje a údaje faktury Dodavatele a obě strany vidí stavy Vypořádání a poznámky ke sporu. Před uzavřením Dohody protistrana vaši identitu nevidí.
- Správci vaší Organizace — v auditních záznamech Organizace vidí, kdo a kdy provedl úkon.
- Zpracovatelům, kteří pro nás zajišťují provoz (smluvně vázáni podle čl. 28 GDPR):
Aktuální seznam zpracovatelů udržujeme ve Smlouvě o zpracování osobních údajů.Zpracovatel Účel Umístění / záruky Railway Corporation hosting aplikace a databáze, zálohy USA / EU; standardní smluvní doložky EU, případně EU-U.S. Data Privacy Framework Anthropic, PBC převod nestrukturovaných ceníků (PDF, text) do tabulky — jen pokud funkci použijete USA; standardní smluvní doložky; data nejsou použita k trénování modelů poskytovatel příjmu e-mailů (konkrétní poskytovatel bude doplněn do seznamu před spuštěním funkce) příjem zpráv zaslaných na Adresy pro příjem e-mailů a jejich předání Platformě bude uvedeno spolu s poskytovatelem; předání mimo EHP jen se zárukami podle kapitoly V GDPR poskytovatel e-mailové služby (SMTP) doručování faktur, upomínek a provozních zpráv (adresa příjemce a obsah zprávy) EU - Platebním službám jako samostatným správcům, pokud je k platbě použijete: Stripe Payments Europe, Ltd. (Irsko) zpracuje platbu kartou a uloží kartu pro automatické placení — číslo karty zadáváte přímo Stripe, my ho nevidíme ani neukládáme (známe jen značku, poslední 4 číslice a platnost); Raiffeisenbank a.s. vede náš účet a předává nám údaje o příchozích platbách (částka, variabilní symbol, název a číslo účtu plátce, zpráva pro příjemce), které párujeme s fakturami.
- Systémům, které zvolí vaše Organizace — na pokyn Organizace odesíláme údaje na její Webhooky a přihlašujeme se do jejích napojených systémů (ERP, produktové feedy). Tito příjemci nejsou našimi zpracovateli; za jejich zpracování odpovídá Organizace.
- Orgánům veřejné moci, pokud nám to ukládá zákon.
Osobní údaje neprodáváme a nepoužíváme je k reklamě třetích stran.
6. Předávání mimo EHP
Někteří zpracovatelé mají sídlo v USA. Předání probíhá na základě rozhodnutí Komise o odpovídající ochraně (EU-U.S. Data Privacy Framework) u certifikovaných příjemců, jinak na základě standardních smluvních doložek schválených prováděcím rozhodnutím Komise (EU) 2021/914 s doplňujícími opatřeními (šifrování při přenosu i uložení, minimalizace údajů). Kopii záruk vám na požádání poskytneme.
7. Automatizované rozhodování
Agenti Platformy automaticky vyjednávají ceny a podmínky mezi firmami podle pravidel, která firmy nastavily. Tato rozhodnutí se týkají obchodních podmínek firem, nikoli fyzických osob, a nezakládají vůči vám právní účinky ani se vás obdobně významně nedotýkají ve smyslu čl. 22 GDPR. Neprovádíme profilování fyzických osob. Podrobnosti uvádějí Zásady používání umělé inteligence.
8. Zabezpečení
Hesla ukládáme jen jako hash (Argon2id), přihlašovací relace a API klíče jen jako otisk, přihlášení chráníme bezpečnými cookies a kontrolou původu požadavků, komunikace probíhá šifrovaně (HTTPS), přístupové údaje k napojeným systémům šifrujeme (AES-256-GCM), přístup k údajům je omezen podle rolí a Organizací a důležité úkony zapisujeme do neměnného Auditního řetězce. Podrobnosti uvádí dokument Bezpečnost a důvěra.
9. Vaše práva
Máte právo na přístup k osobním údajům, jejich opravu, výmaz, omezení zpracování a přenositelnost a právo vznést námitku proti zpracování na základě oprávněného zájmu — včetně námitky proti oslovování jako potenciálního dodavatele a proti obchodním sdělením, kterým vyhovíme vždy. Správce Organizace může data Organizace exportovat (JSON) a zrušit účet Uživatele nebo celou Organizaci přímo v aplikaci. Ostatní žádosti pošlete na inquiry@negotiq.synqflows.com; vyřídíme je bez zbytečného odkladu, nejpozději do 1 měsíce. Právo na výmaz nemusíme uplatnit v rozsahu, v jakém údaje potřebujeme ke splnění právní povinnosti nebo k určení, výkonu či obhajobě právních nároků (čl. 17 odst. 3 GDPR); proto se záznamy Auditního řetězce, Potvrzení a Záznamy AP2 po zrušení účtu pouze pseudonymizují. Máte také právo podat stížnost u Úřadu pro ochranu osobních údajů (Pplk. Sochora 27, 170 00 Praha 7, uoou.gov.cz), případně u dozorového úřadu členského státu EU, v němž máte obvyklé bydliště nebo místo výkonu práce.
10. Je poskytnutí údajů povinné?
Údaje potřebné ke zřízení účtu jsou smluvním požadavkem a fakturační údaje též požadavkem zákonným; bez nich nelze Platformu užívat. Poskytnutí ostatních údajů je dobrovolné.
11. Cookies
Používáme jen nezbytné cookies a místní úložiště prohlížeče. Podrobnosti v Zásadách používání cookies.
12. Změny
Zásady můžeme aktualizovat; o podstatných změnách vás informujeme na Platformě nebo e-mailem. Aktuální znění je vždy na této stránce.