Zásady ochrany osobních údajů a cookies

Kdo jsme a pro koho zásady platí

Správcem osobních údajů podle těchto zásad je Caeli Creative, s.r.o., IČO 07606591, se sídlem Podjavorinské 1596/2, Chodov, 149 00 Praha 4, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze, oddíl C, vložka 303605 („Kioban“, „my“). Kontakt pro ochranu údajů: privacy@kioban.app. Pověřence pro ochranu osobních údajů jsme nejmenovali.

Zásady platí pro návštěvníky webu kioban.app a stránek podniků na jeho subdoménách, pro každého, kdo nám napíše, a pro uživatele účtů podniků na partner.kioban.app a staff.kioban.app, tedy majitele, adminy, vedoucí a obsluhu.

Držitelé kartiček: správcem vašich údajů je podnik, jehož kartičku máte, a my jsme jeho zpracovatel. Informace o zpracování je na kioban.app/legal/card-privacy a na stránce každé kartičky.

Účty podniků a jejich uživatelé

Jaké údaje: e-mail, heslo pouze jako otisk, zobrazované jméno, role a stav účtu; verze a čas přijetí obchodních podmínek a smlouvy o zpracování a IP adresa při přijetí; pozvánky do týmu (e-mail, role, platnost); PIN obsluhy pouze jako otisk, počet chybných pokusů a zámek; auditní záznam (přihlášení PINem, nastavení PINu, export zákazníků, oprava stavu kartičky, smazání údajů); autorství pohybů na kartičkách. Údaje o podniku: název, obchodní firma, IČO, DIČ, sídlo, pobočky, logo a fotografie; u podnikající fyzické osoby jde o osobní údaje.

Proč a na jakém základě:

• poskytování služby, přihlášení, správa týmu a servisní e-maily (potvrzení účtu, obnova hesla, pozvánky, oznámení změn podmínek a bezpečnostní upozornění): plnění smlouvy, čl. 6 odst. 1 písm. b) GDPR;
• bezpečnost služby, dohledatelnost úkonů u pultu a ochrana před zneužitím: oprávněný zájem náš a podniků, čl. 6 odst. 1 písm. f);
• doklad o přijetí podmínek, fakturace a účetnictví: plnění smlouvy a právní povinnost, čl. 6 odst. 1 písm. c);
• novinky o službě Kioban pro majitele účtů jako naše zákazníky: oprávněný zájem; odhlásit se lze v každém takovém e-mailu nebo na privacy@kioban.app.

Kdo je správcem: u přihlašovacích údajů, záznamu o přijetí podmínek a bezpečnostních záznamů jsme správcem my. U jmen, rolí, PINů a autorství úkonů členů týmu, které do služby vkládá podnik jako zaměstnavatel, je správcem podnik a my jeho zpracovatel; podnik vás o tom informuje.

Jak dlouho: po dobu existence účtu. Po ukončení smlouvy má podnik 30 dní na export a do 90 dnů účet i jeho data smažeme; záznam o přijetí podmínek držíme ještě 3 roky, faktury 10 let. Účet odebraného člena týmu smažeme do 30 dní; jeho zobrazované jméno zůstává u pohybů v historii kartiček. Auditní záznam mažeme po 3 letech, záznamy o vypršelých pozvánkách po 30 dnech.

Členové týmu pozvaní podnikem

Pozval-li vás do služby podnik, zpracováváme váš e-mail, zobrazované jméno a roli, abyste se mohli přihlásit, a u každého razítka, bodu, odměny nebo storna, které u pultu provedete, ukládáme, že jste to byli vy, kdy a na které pobočce. Přihlášení PINem se zapisuje do bezpečnostního záznamu. Tyto záznamy vidí majitel, admin a vedoucí účtu vašeho podniku a slouží k dohledání chyb a zneužití. Dotazy k tomu, proč vás podnik do služby přizval, směřujte na něj; dotazy k přihlašovacím údajům a bezpečnosti na nás.

Návštěva webu a stránek podniků

Provozní záznamy: při každém načtení stránky vzniká u našeho poskytovatele hostingu záznam s IP adresou, časem, adresou stránky a údaji o prohlížeči. Slouží k provozu a zabezpečení služby (oprávněný zájem) a maže se nejpozději po 30 dnech. Adresa webové kartičky obsahuje kód kartičky, který je proto i v těchto záznamech.

Omezení počtu požadavků: abychom zabránili zahlcení a hádání kódů, počítáme požadavky podle otisku IP adresy se solí, která se denně mění. Samotnou adresu neukládáme a počitadla mažeme po 2 dnech.

Ochrana proti robotům: formulář pro přidání kartičky chrání služba Cloudflare Turnstile. Cloudflare při tom dostává IP adresu a technické údaje o prohlížeči, aby odlišil člověka od robota; nám vrací jen výsledek ověření. Jde o bezpečnostní opatření na základě oprávněného zájmu. Cloudflare je americká společnost, viz Předávání mimo EU.

Statistika a hlášení chyb

Statistiku užívání vedeme v nástroji PostHog provozovaném v EU. Zaznamenáváme počty událostí po podnicích, například kolik kartiček bylo přidáno nebo uloženo do peněženky, bez údajů o konkrétních osobách. Události posílá náš server; ve vašem prohlížeči neběží žádný statistický skript a neukládá se žádná cookie.

Technické chyby serveru i prohlížeče hlásíme do nástroje Sentry provozovaného v EU. Před odesláním odstraňujeme kódy kartiček, e-maily, telefony a přístupové tokeny, identitu uživatele neposíláme a IP adresy se neukládají. Hlášení se mažou nejpozději po 90 dnech. Základem je oprávněný zájem na spolehlivém provozu.

Když nám napíšete

E-maily na hello@kioban.app, partner@kioban.app, support@kioban.app a privacy@kioban.app končí v našich schránkách u Google Workspace. Zpracováváme je, abychom vám odpověděli a vyřídili vaši věc (plnění smlouvy nebo oprávněný zájem), a držíme je 3 roky od vyřízení, u žádostí podle GDPR kvůli doložení jejich vyřízení.

E-maily, které posíláme my, tedy potvrzení účtu, obnovu hesla, pozvánky, odkaz na kartičku a potvrzení smazání, odesílá služba Resend z regionu EU; záznam o odeslání (adresát, obsah, doručení) se u ní drží nejvýše 30 dní.

Kdo údaje dostává

Údaje držíme v databázi v EU (Frankfurt nad Mohanem). Naši poskytovatelé dostávají jen to, co potřebují ke své úloze, a jsou vázáni smlouvami o zpracování:

• Supabase: databáze, přihlášení uživatelů podniků a úložiště souborů, EU.
• Vercel: běh aplikace a webu a provozní záznamy, výpočet v EU.
• Resend: odesílání e-mailů, region EU.
• Cloudflare: ochrana formuláře proti robotům.
• Google: Google Workspace pro naši poštu a Google Wallet pro kartičky.
• Apple: Peněženka Apple pro kartičky.
• Sentry: hlášení chyb, EU. PostHog: statistika, EU.
• Seznam.cz (Mapy.cz): našeptávání adres při zadávání pobočky; dostává jen text hledané adresy. ARES: veřejný rejstřík, ze kterého načítáme údaje o podniku podle IČO.

Aktuální seznam s podrobnostmi je na partner.kioban.app/legal/subprocessors. Údaje můžeme dále předat orgánům veřejné moci, ukládá-li nám to zákon, a našim účetním a právním poradcům. Údaje neprodáváme.

Předávání mimo EU

Někteří poskytovatelé jsou americké společnosti, které mohou k údajům přistupovat ze Spojených států, zejména při podpoře a provozu, a Apple, Google a Cloudflare provozují celosvětové sítě. Předávání se opírá o rozhodnutí Evropské komise o odpovídající ochraně (EU-US Data Privacy Framework) u certifikovaných poskytovatelů, jinak o standardní smluvní doložky podle čl. 46 GDPR. Kopii záruk vám pošleme na vyžádání.

Jak dlouho údaje držíme

• Účet podniku a jeho uživatelů: po dobu smlouvy, poté 30 dní na export a výmaz do 90 dnů; záznam o přijetí podmínek 3 roky po skončení smlouvy; faktury 10 let.
• Odebraný člen týmu: výmaz účtu do 30 dní. Vypršelé pozvánky: 30 dní.
• Auditní záznam: 3 roky.
• Provozní záznamy hostingu: nejvýše 30 dní. Počitadla požadavků: 2 dny. Hlášení chyb: nejvýše 90 dní. Záznamy o odeslaných e-mailech: nejvýše 30 dní.
• E-maily, které nám napíšete: 3 roky od vyřízení.
• Zálohy databáze: 7 dní; smazané údaje v nich dožívají nejvýše týden.

Kartičky zákazníků se řídí informací na kioban.app/legal/card-privacy: do smazání, jinak anonymizace po 24 měsících bez aktivity.

Vaše práva

Máte právo na přístup ke svým údajům, na jejich opravu, výmaz, omezení zpracování a přenositelnost, právo vznést námitku proti zpracování založenému na oprávněném zájmu, včetně novinek o službě, a právo podat stížnost u Úřadu pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, uoou.gov.cz. Napište nám na privacy@kioban.app, nejlépe z e-mailu svého účtu, abychom vás poznali; odpovíme do jednoho měsíce. Heslo a zobrazované jméno si můžete změnit sám v administraci na stránce Můj účet; o změnu e-mailu účtu nám napište. Jste-li členem týmu, obraťte se u údajů, které o vás vede podnik, nejprve na něj.

Cookies

Používáme jen cookies nezbytné k tomu, aby web a aplikace fungovaly tak, jak jste si vyžádali. K těm se podle § 89 odst. 3 zákona o elektronických komunikacích souhlas nevyžaduje, proto nezobrazujeme cookie lištu. Analytické ani marketingové cookies nepoužíváme a nikomu neumožňujeme vás na našem webu sledovat.

• Jazyk: pamatuje si jazyk, který jste si na webu vybrali; ukládá se jen po vaší volbě a platí 1 rok.
• Přihlášení uživatele podniku: drží vaše přihlášení do administrace a aplikace pro obsluhu; platí do odhlášení nebo vypršení relace.
• Identita obsluhy: po zadání PINu pamatuje, kdo z obsluhy pracuje; 8 hodin.
• Směrování: technická cookie, která určuje, kterou část aplikace vám zobrazit; 8 hodin.
• Rozpracovaná registrace: drží rozdělaný formulář registrace podniku, dokud ji nedokončíte.
• Ověření proti robotům (Cloudflare Turnstile): může si na dobu ověření uložit technický záznam v prohlížeči, aby nemuselo ověření opakovat; není to sledování.

Cookies můžete v prohlížeči smazat nebo zakázat; bez nezbytných cookies však nepůjde přihlášení ani přidání kartičky. Kartička v Peněžence Apple nebo Google Wallet není webová stránka a cookies nepoužívá; řídí se podmínkami Apple a Google. Pokud bychom někdy přidali analytické nebo marketingové cookies, zobrazíme lištu se souhlasem a tyto zásady upravíme.

Změny zásad

Tyto zásady (verze privacy-v1) platí od 16. 10. 2026 a nahrazují verzi privacy-v0. Změny oznámíme uživatelům účtů podniků e-mailem nebo v administraci podle obchodních podmínek a na této stránce uvedeme datum účinnosti.