Zásady ochrany osobních údajů

1. Správce osobních údajů

Správcem osobních údajů ve smyslu čl. 4 odst. 7 Nařízení Evropského parlamentu a Rady (EU) 2016/679 (dále jen „GDPR") a provozovatelem služby Můj Výkaz (dále jen „Služba") je:

Správce nemá jmenovaného pověřence pro ochranu osobních údajů, neboť jeho činnost nespadá pod povinné jmenování dle čl. 37 odst. 1 GDPR. Dotazy a žádosti týkající se zpracování osobních údajů směřujte na kontaktní e-mail výše — vyřizujeme je bez zbytečného odkladu, nejpozději do 30 dnů (čl. 12 odst. 3 GDPR).

2. Jaké údaje zpracováváme

V rámci poskytování Služby zpracováváme následující osobní údaje:

• Identifikační údaje: jméno a příjmení, e-mailová adresa, telefonní číslo
• Údaje o organizaci: název firmy, IČO, DIČ, adresa sídla, bankovní spojení
• Pracovní záznamy: odpracované hodiny, popisy činností, projekty, fakturační údaje
• Technické údaje: IP adresa, typ prohlížeče (User-Agent), data relací
• Údaje z Google Calendar (volitelné): pokud si v Nastavení propojíte svůj Google účet, aplikace čte názvy a časy událostí z vybraných kalendářů (pro zobrazení návrhů v timesheetu) a zapisuje celodenní události schválených nepřítomností do vašeho primárního kalendáře. Obsah událostí neukládáme v databázi. Podrobnosti v sekci 10 „Google API Services".

3. Účel zpracování

Vaše údaje zpracováváme za těmito účely:

• Poskytování služby: evidence pracovních výkazů, správa projektů, fakturace
• Správa účtu: registrace, přihlašování, správa organizace
• AI reporty: generování analytických přehledů z vašich pracovních dat
• Komunikace: zasílání systémových e-mailů (upomínky faktur, reset hesla)
• Bezpečnost: ochrana proti zneužití, logování přístupů

4. Právní základ zpracování

• Plnění smlouvy (čl. 6 odst. 1 písm. b) GDPR) — zpracování nezbytné pro poskytování Služby
• Oprávněný zájem (čl. 6 odst. 1 písm. f) GDPR) — bezpečnost, prevence podvodů, zlepšování Služby
• Souhlas (čl. 6 odst. 1 písm. a) GDPR) — kde je vyžadován, např. při registraci

5. Příjemci údajů

Vaše údaje mohou být sdíleny s následujícími třetími stranami:

Se všemi zpracovateli máme uzavřené zpracovatelské smlouvy podle čl. 28 GDPR. Aktuální seznam zpracovatelů poskytneme na vyžádání.

6. Doba uchovávání

7. Vaše práva

Jako subjekt údajů máte dle GDPR následující práva:

• Právo na přístup (čl. 15) — získat kopii svých osobních údajů
• Právo na opravu (čl. 16) — opravit nepřesné údaje
• Právo na výmaz (čl. 17) — požádat o smazání svého účtu a dat
• Právo na přenositelnost (čl. 20) — exportovat svá data ve strojově čitelném formátu
• Právo vznést námitku (čl. 21) — proti zpracování na základě oprávněného zájmu
• Právo podat stížnost — u Úřadu pro ochranu osobních údajů (ÚOOÚ), www.uoou.cz

8. Soubory cookie a sledovací technologie

Na webu mujvykaz.cz a v aplikaci app.mujvykaz.cz používáme tři kategorie cookies a obdobných technologií. Pro kategorie „Analytické" a „Marketingové" vyžadujeme Váš předchozí souhlas dle § 89 odst. 3 zákona č. 127/2005 Sb. a čl. 6 odst. 1 písm. a) GDPR. Nastavení můžete kdykoli změnit tlačítkem níže.

8.1 Nezbytné cookies

Potřebné pro fungování Služby (přihlášení, uživatelské preference). Právní základ: oprávněný zájem [čl. 6 odst. 1 písm. f) GDPR] — souhlas se dle § 89 odst. 3 zákona č. 127/2005 Sb. nevyžaduje.

8.2 Analytické měření — Plausible Analytics

Pro porozumění návštěvnosti webu používáme Plausible Analytics provozované na našem vlastním serveru v Evropské unii (analytics.mujvykaz.cz). Plausible neukládá žádné cookies ani údaje do prohlížeče, nevytváří trvalé identifikátory návštěvníka a nepřenáší data třetím stranám mimo EU. Právní základ: oprávněný zájem [čl. 6 odst. 1 písm. f) GDPR] — anonymizovaná měření návštěvnosti. Plausible měření běží nezávisle na Vaší volbě souhlasu s cookies.

8.3 Analytické cookies — Google Analytics 4

Pokud udělíte souhlas, aktivujeme také Google Analytics 4 pro podrobnější analýzu chování návštěvníků. Google Analytics využívá cookies pro identifikaci unikátních návštěvníků a relací. Právní základ: Váš souhlas [čl. 6 odst. 1 písm. a) GDPR]. Provozovatel: Google LLC (USA), adekvátnost zajištěna EU–US Data Privacy Framework.

8.4 Marketingové cookies — Google Ads

Pokud udělíte souhlas s marketingovými cookies, aktivujeme měření účinnosti reklam v Google Ads (sledování konverzí, remarketing). Právní základ: Váš souhlas [čl. 6 odst. 1 písm. a) GDPR]. Provozovatel: Google LLC (USA).

8.5 Google Consent Mode v2

Používáme Google Consent Mode v2. V praxi to znamená, že do udělení souhlasu Google Analytics a Ads neukládají žádné cookies ani osobní údaje; Google v tu dobu pouze přijímá anonymizované „cookieless pings" pro statistické modelování. Po udělení souhlasu se aktivuje plné měření s cookies dle tabulky výše.

8.6 Jak souhlas odvolat

Svůj souhlas můžete kdykoli odvolat kliknutím na tlačítko „Nastavení cookies" v patičce webu nebo výše v této sekci. Odvolání souhlasu nemá vliv na zákonnost zpracování před jeho odvoláním. Alternativně lze GA4 a Google Ads cookies mazat přímo v nastavení Vašeho prohlížeče.

8.7 Cal.com — rezervační systém

Pro rezervaci demo schůzek používáme službu Cal.com (Cal.com, Inc., Delaware, USA) vestavěnou jako iframe na stránce /contact a v popup okně z hlavní stránky. Cal.com vystupuje jako samostatný správce (resp. zpracovatel — dle typu dotčeného údaje) pro data, která do formuláře zadáte (jméno, e-mail, firma, volitelné odpovědi).

Právní základ: Váš souhlas vyjádřený rezervací schůzky [čl. 6 odst. 1 písm. a) GDPR], resp. jednání před uzavřením smlouvy [čl. 6 odst. 1 písm. b) GDPR].

Přenos do USA: Cal.com zpracovává data v USA. Ochrana je zajištěna standardními smluvními doložkami (SCC) podle čl. 46 GDPR a certifikací EU–US Data Privacy Framework. Podrobnosti najdete v Privacy Policy Cal.com.

Iframe cookies: Pokud si rezervujete demo, Cal.com může uložit vlastní cookies do Vašeho prohlížeče (pro funkčnost iframe a prevenci spamu). Tyto cookies spravuje Cal.com, nikoli Můj Výkaz. Dokud rezervaci neodešlete, žádná data do Cal.com nejdou.

9. Zabezpečení

Přijímáme vhodná technická a organizační opatření k ochraně vašich údajů:

10. Google API Services — dodatečná ustanovení

Pokud v Nastavení aplikace propojíte svůj Google účet pro integraci s Google Calendarem, Můj Výkaz přistupuje k datům vašeho Google Calendaru v souladu s Google API Services User Data Policy, včetně požadavků Limited Use.

10.1 Používaná oprávnění (OAuth scopes)

Aplikace žádá Google o následující oprávnění:

• .../auth/calendar.readonly — čtení událostí z vybraných kalendářů. Používáme pro zobrazení návrhů v denním přehledu výkazů (možnost vytvořit záznam práce jedním klikem z existující schůzky).
• .../auth/calendar.events — vytváření a mazání celodenních událostí ve vašem primárním kalendáři. Používáme výhradně pro synchronizaci schválených žádostí o nepřítomnost (dovolená, nemocenská, home office) z modulu Nepřítomnosti. Tento scope nepoužíváme ke čtení ani úpravě jiných událostí.

10.2 Jak Google data používáme

• Čtení: Názvy a časy událostí načítáme v reálném čase při otevření stránky timesheet. Zobrazujeme je jako modré návrhy v denním přehledu s možností „+ Zapsat" pro rychlé vytvoření záznamu práce. Obsah událostí neukládáme do naší databáze.
• Zápis: Při schválení žádosti o nepřítomnost vytvoříme celodenní událost ve vašem primárním kalendáři s identifikujícím názvem (např. „Dovolená — Jan Novák"). ID vytvořené události ukládáme spolu se záznamem nepřítomnosti, abychom ji mohli automaticky smazat při zrušení či zamítnutí žádosti.

10.3 Limited Use — co s Google daty NEDĚLÁME

V souladu s požadavky Google API Services User Data Policy — Limited Use výslovně prohlašujeme, že:

• Nepoužíváme Google user data k tréninku modelů umělé inteligence ani jakýchkoli obecných modelů.
• Nepoužíváme Google user data k cílené reklamě.
• Nepřeprodáváme ani neposkytujeme Google user data třetím stranám pro komerční účely.
• Nesdílíme Google user data s třetími stranami mimo rámec nezbytný pro poskytování funkce, kterou jste si explicitně vyžádali (např. zobrazení návrhů v timesheetu).
• Nečteme a neupravujeme jiné události než ty, které vznikly z modulu Nepřítomnosti.
• Nezapisujeme do sdílených, týmových ani sekundárních kalendářů — pouze do vlastního primárního kalendáře uživatele.
• Žádní lidé (včetně zaměstnanců Mého Výkazu) nečtou vaše Google data, kromě případů, kdy: (a) jste nám k tomu dali výslovný souhlas, (b) je to nezbytné pro bezpečnost nebo odstranění technického problému, (c) to vyžaduje zákon, nebo (d) jsou data agregována a anonymizována pro účely interní analýzy.

10.4 Uchovávání tokenů a retention

• Váš Google refresh token je uložen šifrovaně (AES-256-GCM) v profilu uživatele v naší databázi na serveru v Německu (Hetzner Cloud).
• Access tokeny jsou dočasné (platnost 1 hodina) a drženy pouze v paměti serveru; neukládají se do databáze.
• Obsah událostí z vašeho kalendáře (čtení): NIKDY neukládáme — načítáme z Google API při každém zobrazení timesheetu a po zobrazení zapomínáme.
• ID vytvořených absence událostí (zápis): ukládáme ve sloupci google_calendar_event_id tabulky absence_requests, abychom mohli událost automaticky smazat při cancel/reject žádosti.
• Při odpojení integrace (Nastavení → Integrace → Google Calendar → Odpojit) je refresh token okamžitě smazán z naší databáze.
• Při smazání účtu jsou všechna související data (token, event ID) anonymizována nebo smazána do 30 dnů, jak je popsáno v sekci 6.

10.5 Jak oprávnění odvolat

Přístup k Google Calendaru můžete kdykoli zrušit dvěma způsoby:

• V aplikaci Můj Výkaz: Nastavení → Integrace → Google Calendar → tlačítko „Odpojit". Okamžitě smaže refresh token z naší databáze.
• Přímo v Google účtu: myaccount.google.com/permissions — zrušíte přístup na straně Google. Existující události, které Můj Výkaz již do kalendáře zapsal, v něm zůstanou; nové synchronizace nebudou probíhat.

11. Změny zásad

Tyto zásady můžeme průběžně aktualizovat. O podstatných změnách vás budeme informovat e-mailem nebo oznámením v aplikaci. Datum poslední aktualizace je uvedeno na začátku dokumentu.