Zásady ochrany osobních údajů

1. Správce osobních údajů

Správcem Vašich osobních údajů ve smyslu čl. 4 odst. 7 Nařízení Evropského parlamentu a Rady (EU) č. 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů (dále jen „GDPR") a zákona č. 110/2019 Sb., o zpracování osobních údajů, je:

Provozovatel nejmenoval samostatného pověřence pro ochranu osobních údajů (DPO), neboť mu tato povinnost ze zákona nevyplývá. Veškeré dotazy týkající se ochrany osobních údajů zasílejte na výše uvedený e-mail.

2. Jaké osobní údaje zpracováváme

V závislosti na způsobu využívání Platformy zpracováváme následující kategorie osobních údajů:

• Identifikační a kontaktní údaje: jméno, příjmení, datum narození, e-mailová adresa, telefonní číslo.
• Ověřovací údaje z BankID: pseudonymizovaný identifikátor uživatele vydaný Bankovní identitou, a.s.; státní příslušnost; datum narození; ověřená adresa trvalého pobytu. Platforma neuchovává přihlašovací údaje k bankovnictví.
• Údaje o nemovitosti: adresa, katastrální číslo parcely, katastrální území, výpis z katastru nemovitostí ČÚZK pro účely ověření vlastnictví.
• Platební a fakturační údaje: transakční ID Stripe, fakturační adresa, částky transakcí. Čísla platebních karet, CVV ani PIN kódy Platforma neuchovává – zpracovává je výhradně Stripe, Inc.
• Komunikační záznamy: zprávy odeslané prostřednictvím anonymního chatu Platformy (uchovávány po dobu platnosti nájemní smlouvy a 6 měsíců po jejím ukončení pro případ sporů).
• Technické a provozní údaje: IP adresa, typ prohlížeče a operačního systému, časy přihlášení a odhlášení, identifikátory relace (session), záznamy o chybách aplikace.
• Smluvní dokumentace: generované nájemní smlouvy a předávací protokoly obsahující identifikační údaje stran, popis nemovitosti a podmínky nájmu.
• Cookies a analytická data: viz samostatná Politika cookies.

Platforma nezpracovává tzv. zvláštní kategorie osobních údajů (citlivé údaje) ve smyslu čl. 9 GDPR, jako jsou údaje o zdravotním stavu, rase, náboženském přesvědčení apod.

3. Účely a právní základy zpracování

Osobní údaje zpracováváme výhradně pro níže uvedené účely:

Po uplynutí doby uchování jsou osobní údaje bezpečně vymazány nebo anonymizovány, nestanoví-li závazný právní předpis delší dobu archivace.

4. Příjemci osobních údajů

Vaše osobní údaje předáváme pouze důvěryhodným příjemcům a výhradně v rozsahu nezbytném pro plnění výše uvedených účelů. Vaše údaje neprodáváme třetím stranám za obchodními ani marketingovými účely.

Příjemci osobních údajů jsou:

• Stripe, Inc. (San Francisco, USA) – zpracování platebních transakcí a escrow. Předání do třetí země je zajištěno Standardními smluvními doložkami (SCC) schválenými Evropskou komisí. Stripe je certifikován dle PCI DSS Level 1.
• Bankovní identita, a.s. (Praha, ČR) – služba BankID pro ověření totožnosti uživatelů. Zpracování probíhá výhradně na území EU.
• Český úřad zeměměřický a katastrální (ČÚZK) – dotazy do katastru nemovitostí pro ověření vlastnictví. Jedná se o veřejný rejstřík; předání probíhá formou API dotazů.
• Resend, Inc. – doručování transakčních e-mailů (potvrzení, notifikace, ověřovací kódy). Smlouva o zpracování osobních údajů (DPA) dle čl. 28 GDPR je uzavřena; datová centra v EU.
• Neon, Inc. / Neon PostgreSQL – hosting databáze aplikace. DPA uzavřena; zpracování v EU/EEA. Přístup je řízen přísnými oprávněními.
• Cloudflare, Inc. – CDN, ochrana proti DDoS, Cloudflare R2 pro ukládání souborů (fotografie nemovitostí, dokumenty). DPA uzavřena; data jsou primárně zpracovávána v EU.
• Vercel, Inc. – hosting a infrastruktura webové aplikace. DPA uzavřena; datová centra v EU.
• Orgány veřejné moci – soudy, orgány činné v trestním řízení, Úřad pro ochranu osobních údajů (ÚOOÚ) – pouze na základě zákonné povinnosti nebo pravomocného rozhodnutí.

Aktuální seznam zpracovatelů a smluvní dokumentace (DPA) jsou k dispozici na vyžádání zasláním e-mailu na info@kadastra.cz.

5. Předávání osobních údajů do třetích zemí

Některé ze zpracovatelů uvedených v čl. 4 (zejm. Stripe, Inc.) sídlí ve Spojených státech amerických (USA), které jsou třetí zemí mimo Evropský hospodářský prostor. Předávání osobních údajů do těchto zemí je zajištěno prostřednictvím:

• Standardních smluvních doložek (Standard Contractual Clauses, SCC) schválených Evropskou komisí dle čl. 46 odst. 2 písm. c) GDPR,
• rozhodnutí Evropské komise o přiměřenosti ochrany (kde je relevantní).

Na vyžádání Vám poskytneme kopii příslušných smluvních doložek nebo odkaz na ně.

6. Vaše práva jako subjektu údajů

V souladu s GDPR a zákonem č. 110/2019 Sb. máte jako subjekt údajů tato práva:

• Právo na přístup (čl. 15 GDPR): Máte právo kdykoli požádat o potvrzení, zda zpracováváme Vaše osobní údaje, a obdržet jejich kopii spolu s informacemi o účelech zpracování, kategoriích údajů, příjemcích a době uchování.
• Právo na opravu (čl. 16 GDPR): Máte právo požádat o opravu nepřesných nebo doplnění neúplných osobních údajů. Část údajů lze opravit přímo v uživatelském profilu na Platformě.
• Právo na výmaz – „právo být zapomenut" (čl. 17 GDPR): Máte právo požádat o vymazání Vašich osobních údajů, pokud: (a) údaje již nejsou potřebné pro účely, pro které byly shromážděny; (b) odvoláte souhlas a neexistuje jiný právní základ; (c) vznesete námitku a neexistují převažující oprávněné důvody; nebo (d) údaje byly zpracovávány protiprávně. Toto právo se neuplatní, pokud je zpracování nezbytné pro splnění zákonné povinnosti nebo pro určení, výkon nebo obhajobu právních nároků.
• Právo na omezení zpracování (čl. 18 GDPR): Máte právo požádat o omezení zpracování v zákonem stanovených případech (např. po dobu ověřování přesnosti údajů nebo vznesení námitky).
• Právo na přenositelnost (čl. 20 GDPR): Máte právo obdržet osobní údaje, které jste nám poskytli, ve strukturovaném, běžně používaném a strojově čitelném formátu (JSON nebo CSV), a přenést je k jinému správci, pokud je zpracování založeno na souhlasu nebo plnění smlouvy a provádí se automatizovaně.
• Právo vznést námitku (čl. 21 GDPR): Máte právo kdykoli vznést námitku proti zpracování Vašich osobních údajů prováděnému na základě oprávněného zájmu (čl. 6 odst. 1 písm. f) GDPR). Zpracování ukončíme, ledaže prokážeme závažné oprávněné důvody, které převažují nad Vašimi zájmy, nebo pro určení, výkon či obhajobu právních nároků.
• Právo odvolat souhlas: Pokud je zpracování založeno na Vašem souhlasu (např. zasílání newsletteru), máte právo souhlas kdykoli odvolat bez udání důvodu. Odvolání souhlasu nemá vliv na zákonnost zpracování provedeného před odvoláním.
• Právo nebýt předmětem automatizovaného rozhodování (čl. 22 GDPR): Platforma nevyužívá plně automatizované rozhodování, které by mělo pro Vás právní nebo obdobně závažné účinky, s výjimkou katastrálního ověření vlastnictví (binární výsledek: ověřeno / neověřeno). V případě negativního výsledku máte právo požádat o lidský přezkum.

Jak uplatnit práva: Žádost zasílejte písemně na e-mailovou adresu info@kadastra.cz nebo poštou na adresu sídla správce. Pro ověření totožnosti žadatele si vyhrazujeme právo vyžádat doplňující informace. Na Vaši žádost odpovíme bez zbytečného odkladu, nejpozději do 30 dnů od jejího obdržení. Ve výjimečných případech lze tuto lhůtu prodloužit o dalších 60 dnů; v takovém případě Vás o prodloužení a jeho důvodech informujeme.

7. Zabezpečení osobních údajů

Provozovatel přijal a průběžně aktualizuje technická a organizační opatření k ochraně osobních údajů před neoprávněným nebo protiprávním zpracováním, náhodnou ztrátou, zničením nebo poškozením:

• Šifrování přenosu dat prostřednictvím TLS 1.3.
• Šifrování hesel algoritmem bcrypt s pracovním faktorem 12.
• Dvoufázové ověření (OTP) při registraci a kritických operacích.
• Přístup k osobním údajům je omezen na oprávněné zaměstnance na principu minimálních oprávnění (least privilege).
• Pravidelné bezpečnostní audity a penetrační testy prováděné externími odborníky.
• Automatické záznamy přístupů a monitorování anomálií (audit logy).
• Šifrování dat v databázi (encryption at rest) pro zvláště citlivé záznamy.
• Plán reakce na bezpečnostní incidenty a postup oznamování narušení dle čl. 33–34 GDPR.

V případě porušení zabezpečení osobních údajů, které pravděpodobně způsobí vysoké riziko pro práva a svobody fyzických osob, budete o takovém incidentu informováni bez zbytečného odkladu v souladu s čl. 34 GDPR.

8. Cookies

Platforma používá soubory cookies a obdobné technologie. Podrobné informace o druzích cookies, jejich účelech a způsobu správy preferencí naleznete v naší samostatné Politice cookies.

Technicky nezbytné cookies jsou zpracovávány na základě oprávněného zájmu dle čl. 6 odst. 1 písm. f) GDPR. Analytické a marketingové cookies jsou zpracovávány pouze na základě Vašeho výslovného souhlasu uděleného prostřednictvím cookie lišty.

9. Změny zásad ochrany osobních údajů

Provozovatel je oprávněn tyto zásady kdykoli aktualizovat v souladu s vývojem právních předpisů nebo změnami v technickém zpracování dat. O podstatných změnách Vás informujeme e-mailem na adresu registrovanou v uživatelském účtu nebo oznámením v aplikaci, a to nejméně 14 kalendářních dnů před nabytím účinnosti nového znění. Datum poslední aktualizace je vždy uveden v záhlaví tohoto dokumentu.

10. Právo podat stížnost u dozorového úřadu

Pokud se domníváte, že zpracování Vašich osobních údajů porušuje GDPR nebo zákon č. 110/2019 Sb., máte právo podat stížnost u dozorového úřadu:

Uplatnění tohoto práva se nedotýká Vašeho práva domáhat se ochrany u obecných soudů dle čl. 79 GDPR.

11. Kontakt

Veškeré dotazy, žádosti o uplatnění práv nebo jiná podání týkající se ochrany osobních údajů zasílejte na: