Zásady ochrany osobních údajů

1. Správce osobních údajů

Pověřence pro ochranu osobních údajů nemáme jmenovaného — naše zpracování nedosahuje rozsahu, který by jej dle GDPR vyžadoval. V případě dotazů ke zpracování pište přímo na uvedený kontakt.

2. Jaké údaje zpracováváme

• Identifikační a kontaktní: emailová adresa (povinná pro registraci), jméno z OAuth providera (pokud se přihlašujete přes Google), zobrazované jméno (volitelně upravujete v Nastavení).
• Autentizační: heslo (uloženo v hashované podobě u Supabase), TOTP secret (pokud aktivujete 2FA).
• Údaje o užívání Služby: uložené filtry („hlídací psi"), historie vámi vyžádaných AI analýz, oblíbené dražby, poznámky.
• Platební údaje: pouze metadata transakce (částka, datum, ID transakce u Stripe), variabilní symbol u bankovních převodů. Číslo karty neukládáme — zpracovává jej výhradně Stripe.
• Fakturační údaje: pokud nakupujete jako firma, doplňujete IČO, DIČ a sídlo (u platby kartou přímo ve Stripe Checkout); tyto údaje se objevují na faktuře.
• Technické: IP adresa a User-Agent při GDPR akcích (mazání účtu, změna emailu) pro audit; cookies viz Zásady cookies.
• Push notifikace: pokud je povolíte, ukládáme identifikátor zařízení/prohlížeče (push endpoint a šifrovací klíče) nezbytný pro doručení notifikace.
• Důvěryhodná zařízení (2FA): token zařízení, které jste označili jako důvěryhodné, abyste po dobu 30 dní nemuseli opakovaně zadávat 2FA kód.
• Údaje o uzavření smlouvy: IP adresa v okamžiku uzavření placeného předplatného a udělení souhlasu se zahájením plnění (doklad dle § 1834 občanského zákoníku).

3. Účel a právní základ zpracování

4. Příjemci osobních údajů

Vaše údaje předáváme pouze následujícím zpracovatelům:

• Supabase Inc. (USA, EU servery) — autentizace a databáze. Smluvní doložky podle čl. 46 GDPR (SCC).
• Vercel Inc. (USA) — hosting frontendu a serverless funkcí. SCC.
• Anthropic PBC (USA) — provozovatel AI modelu Claude, který analyzuje dokumenty dražeb. Anthropic nepoužívá data zákazníků k tréninku modelu (zero-retention). SCC.
• Resend, Inc. (USA) — doručování transakčních emailů (potvrzení, notifikace hlídacího psa, faktury). SCC.
• Stripe, Inc. (USA, Irsko) — zpracování plateb kartou. SCC + PCI DSS.
• Google Ireland Ltd. / Google LLC (Irsko, USA) — webová analytika (Google Analytics 4), pouze s vaším souhlasem uděleným v cookie banneru. Online identifikátory (_ga cookie) a údaje o užívání. DPF / SCC.

Žádné jiné třetí strany k vašim údajům přístup nemají. Údaje neprodáváme ani nepředáváme reklamním sítím.

5. Vaše práva

Podle GDPR máte následující práva:

• Právo na přístup (čl. 15) — kdykoliv si v Nastavení účtu stáhnete JSON export všech svých dat.
• Právo na opravu (čl. 16) — údaje upravujete přímo v Nastavení účtu.
• Právo na výmaz (čl. 17) — smazání účtu v Nastavení. Údaje budou trvale odstraněny po 30denní grace lhůtě (s výjimkou údajů, které musíme uchovat dle zákona, např. faktury).
• Právo na omezení zpracování (čl. 18) — kontaktujte nás emailem.
• Právo na přenositelnost údajů (čl. 20) — pokrývá JSON export.
• Právo vznést námitku (čl. 21) — proti zpracování na základě oprávněného zájmu.
• Právo odvolat souhlas — odvolání souhlasu se zasíláním marketingu nemá vliv na zpracování probíhající na jiných právních základech.
• Právo podat stížnost u Úřadu pro ochranu osobních údajů (Pplk. Sochora 27, Praha 7).

6. Předávání mimo EU

Někteří naši zpracovatelé (Anthropic, Resend, Stripe, Vercel, Google) sídlí ve Spojených státech. Předávání primárně opíráme o rozhodnutí Evropské komise o odpovídající úrovni ochrany v rámci EU-US Data Privacy Framework (čl. 45 GDPR) u zpracovatelů, kteří jsou v tomto rámci certifikováni. Jako záložní záruku — a pro případné zpracovatele mimo rámec — máme zároveň uzavřené standardní smluvní doložky (SCC, Modul 2 čl. 46 GDPR) a doplňující technicko-organizační opatření (šifrování při přenosu i v klidu).

7. Automatizované rozhodování

Vendos používá AI (Anthropic Claude) pro analýzu dokumentů dražby a výpočet investičního skóre. Toto skóre je informačnía nikdy nezakládá automatizované rozhodnutí ve smyslu čl. 22 GDPR (žádné rozhodnutí Vendos automaticky neuzavírá smlouvy ani neodmítá vaše požadavky výhradně na základě AI výstupu).

8. Zpracování údajů osob uvedených v dražbách

Aby Vendos mohl informovat o probíhajících dražbách, zpracovává také osobní údaje fyzických osob, jejichž majetek je předmětem dražby (povinní / dlužníci). Tyto údaje nezískáváme od Vás ani od nich, ale z veřejných zdrojů — uplatní se proto informační povinnost dle čl. 14 GDPR.

• Kategorie údajů: jméno, případně IČO a datum narození; údaje o souvisejícím insolvenčním řízení z rejstříku ISIR (spisová značka, stav řízení).
• Zdroj: veřejné dražební vyhlášky a znalecké posudky a insolvenční rejstřík ISIR (čl. 14 odst. 2 písm. f GDPR).
• Účel: poskytnutí informace o konkrétní probíhající dražbě — nikoli profilování ani hodnocení dlužníka.
• Právní základ: oprávněný zájem (čl. 6 odst. 1 písm. f GDPR) na agregaci veřejně dostupných informací o dražbách.
• Doba uložení: identifikační údaje dlužníka a výsledek dotazu do ISIR anonymizujeme do 30 dní po skončení dražby. Datum narození dlužníka v aplikaci vůbec nezobrazujeme.
• Vaše práva: máte právo vznést námitku (čl. 21), požádat o výmaz (čl. 17) či opravu a podat stížnost u ÚOOÚ. Pište na info@vendos.cz.

Vzhledem k velkému počtu dražeb nás čl. 14 odst. 5 písm. b GDPR nezavazuje kontaktovat každou dotčenou osobu jednotlivě; proto tuto informaci zveřejňujeme zde.

9. Cookies

Používáme technické cookies nezbytné pro fungování (session, přihlášení, předvolba theme) a — pouze s vaším souhlasem uděleným v cookie banneru — analytické cookies Google Analytics 4. Souhlas lze kdykoliv odvolat („Nastavení cookies" v patičce webu nebo v menu účtu v přihlášené aplikaci). Detaily v samostatných Zásadách cookies.

10. Změny zásad

Tyto zásady můžeme aktualizovat. O podstatných změnách budete informováni emailem alespoň 14 dní předem. Aktuální verze je vždy dostupná na této stránce.