Zásady ochrany osobních údajů

1. Správce a kontakt

Správcem popsaným v těchto Zásadách je Stark Codes, s. r. o., Holíčska 3043/13, 851 05 Bratislava – mestská časť Petržalka, Slovenská republika, IČO 51 414 546, DIČ 2120683730, IČ DPH SK2120683730, zapsaná v obchodním rejstříku Městského soudu Bratislava III, oddíl Sro, vložka 126116/B (dále jen „Stark Codes“, „Lucanto“ nebo „my“). Kontakt pro ochranu osobních údajů: hello@lucanto.eu.

Tyto Zásady vysvětlují zpracování, když navštívíte lucanto.eu, vytvoříte si účet, používáte app.lucanto.eu soukromě nebo firemně, platíte, komunikujete s námi nebo dostáváte marketingová sdělení.

2. Kdy jsme správcem a kdy zpracovatelem

2.1 Správcem jsme tehdy, když určujeme účely a prostředky, zejména pro:

• registraci a správu účtů, uživatelů a pracovních prostorů;
• fakturaci, platby, prevenci podvodů a plnění právních povinností;
• zabezpečení, provoz, podporu a zlepšování Služby;
• komunikaci, marketing a volitelnou analytiku; a
• obsah a doklady osoby, která Lucanto používá pro soukromé účely.

2.2 Zpracovatelem jsme tehdy, když účely pro osobní údaje v dokladech, záznamech a dalším obsahu pracovního prostoru určuje firemní zákazník. Ten je pak správcem a uplatní se Smlouva o zpracování osobních údajů. Tyto Zásady se i nadále vztahují na údaje o účtu, smlouvě, platbách, zabezpečení a komunikaci, které zpracováváme pro vlastní účely.

2.3 Používáte-li Lucanto pro jinou organizaci, měla by tato organizace vysvětlit své zpracování obsahu pracovního prostoru. Příslušné žádosti jí předáváme nebo jí pomáháme s odpovědí.

3. Údaje, které zpracováváme

Podle způsobu užívání můžeme zpracovávat:

• identifikační a kontaktní údaje: jméno, e-mail, telefon, pracovní pozici a přihlašovací identifikátor;

• údaje o účtu a pracovním prostoru: roli, oprávnění, členství, nastavení, jazyk a historii souhlasů a přijatých podmínek;

• údaje z externího přihlášení: poskytovatele, jeho uživatelský identifikátor, e-mail, jméno, profilovou fotografii a případně přeposílací adresu Apple, a to v rozsahu, který schválíte;

• firemní a fakturační údaje: obchodní firmu, identifikační, daňová a DPH označení, sídlo a fakturační adresu, zemi a údaje potřebné k určení DPH;

• obsah dokladů: faktury, účtenky, přílohy, fotografie a údaje v nich, například jména, adresy, podpisy, identifikátory, položky, částky, data, IBAN a další finanční údaje o protistranách, zaměstnancích nebo zákaznících;

• údaje z extrakce AI: doklad nebo jeho relevantní část předanou ke zpracování, pokyn (prompt), získaná pole, opravy, stav a technické identifikátory požadavku;

• platební metadata: identifikátory zákazníka a platby ve Stripe, stav, částku, měnu, datum, typ metody a poslední číslice; úplné údaje o kartě zpracovává Stripe;

• bankovní údaje: u aktivovaného propojení PSD2 s Tatra bankou identifikátor účtu/IBAN, měnu, zůstatek, transakce, protistrany, částky, data, zprávy a stav bankovní autorizace;

• údaje z komunikace, e-mailů a podpory: zprávy, přílohy, adresáta, doručení, odhlášení z odběru, požadavky, zpětnou vazbu a záznamy o vyřízení;

• údaje z hlášení chyb a provozního dohledu: jméno/e-mail ohlašovatele, obchodní firmu pracovního prostoru, IČO, metadata neúspěšné extrakce AI, interní ID uživatele/pracovního prostoru, stack trace, cestu požadavku, čas a technické údaje o chybě; u volitelného záznamu relace navštívené obrazovky, kliknutí a změny rozhraní; citlivá pole a doklady mají být maskovány nebo vyloučeny a doklad se do tiketu odesílá pouze na samostatný pokyn Uživatele;

• technické, zařízení a bezpečnostní údaje: IP adresu, otisk TLS, user-agent, prohlížeč, operační systém, čas a URL přístupu, hlavičky požadavku, referrer, sitekey/origin a token Turnstile, auditní události, chybové a bezpečnostní protokoly;

• údaje k logům: název nebo doménu protistrany, IP adresu a technické údaje požadavku na Logo.dev;

• údaje z cookies a analytiky: identifikátory, relace, jazyk, pseudonymizovaný identifikátor uživatele/pracovního prostoru a produktové události, a to pouze udělíte-li souhlas s volitelnou analytikou; a

• údaje z integrací a externích zdrojů: identifikátory a obsah potřebné pro propojení a dále IP adresu, user-agent, referrer a požadovanou URL při přímém načtení Google Fonts, jsDelivr nebo unpkg.

Údaje zvláštní kategorie záměrně nevyžadujeme. Doklad je přesto může obsahovat. Takové údaje nenahrávejte, není-li to nezbytné a podložené vhodným právním základem a zárukami.

4. Zdroje údajů

Údaje získáváme od vás, od správce vašeho pracovního prostoru, z dokladů a integrací nahraných nebo aktivovaných uživatelem, automaticky ze zařízení a z užívání Služby, od Googlu nebo Applu při volbě externího přihlášení, od Tatra banky u aktivovaného propojení PSD2, od Stripe při platbě a z veřejných či komerčních zdrojů pro zákonné oslovení firem a ověření podnikatelských údajů. Tam, kde jsme zpracovatelem, určuje původní zdroj a zákonnost sběru firemní zákazník.

5. Účely, právní základy a doby uchovávání

Nežádáme o paušální souhlas. Nezbytné zpracování se opírá o smlouvu, právní povinnost nebo oprávněný zájem. Marketing a volitelná analytika z cookies se opírají o samostatný souhlas, ledaže právní předpis umožňuje konkrétní sdělení na jiném základě.

Potřebujeme-li osobní údaje k uzavření či plnění smlouvy nebo na základě právního předpisu a vy je neposkytnete, nemusíme být schopni vytvořit účet, přijmout platbu nebo poskytnout dotčenou funkci. Souhlas s marketingem a analytikou je dobrovolný a jeho odmítnutí neomezuje základní Službu.

6. Zpracování pomocí AI a lidská kontrola

6.1 Lucanto odesílá nahrané doklady nebo jejich relevantní části do API OpenAI za účelem automatického rozpoznání a strukturování. Uživatel může výsledek před uložením opravit. AI se může mýlit; výstup nepoužívejte bez kontroly pro účetní, daňová, platební nebo právní rozhodnutí.

6.2 Pro zákazníky z EHP poskytuje služby API společnost OpenAI Ireland Ltd. OpenAI vystupuje u dat z API jako zpracovatel nebo další zpracovatel a podle svých firemních podmínek na těchto vstupech a výstupech ve výchozím nastavení netrénuje ani nezlepšuje své modely.

6.3 Používáme standardní nastavení uchovávání v API OpenAI. OpenAI může uchovávat obsah vstupů a výstupů a související technické údaje v protokolech pro monitorování zneužití po dobu až 30 dnů a déle pouze tam, kde to vyžaduje právní předpis nebo je to rozumně nezbytné k ochraně služeb OpenAI či třetích osob před újmou. Zpracování ze strany OpenAI není omezeno výhradně na EHP. Předávání mimo EHP se opírá o rozhodnutí o odpovídající ochraně nebo o standardní smluvní doložky EU.

6.4 Nepřijímáme rozhodnutí založená výhradně na automatizovaném zpracování, která by měla vůči osobě právní účinky nebo by se jí obdobně významně dotýkala. Extrakce AI je vstupem kontrolovaným člověkem, nikoli rozhodnutím o osobě.

7. Příjemci a poskytovatelé

Údaje zpřístupňujeme pouze v nezbytném rozsahu. Poskytovatel může být pro jednu činnost naším zpracovatelem a pro jinou samostatným správcem. Aktuální seznam příjemců a poskytovatelů je uveden níže. Poskytovatel, který zpracovává Zákaznické osobní údaje jménem Stark Codes pro firemní Službu, je navíc uveden jako další zpracovatel v Příloze 3 Smlouvy o zpracování osobních údajů.

Tento článek slouží zároveň jako veřejný registr poskytovatelů Lucanto. Samostatnou stránku registru neprovozujeme.

Údaje můžeme zpřístupnit také odborným poradcům vázaným mlčenlivostí, orgánům veřejné moci, pokud to vyžaduje právní předpis, nebo nabyvateli při reorganizaci či prodeji podniku s odpovídajícími zárukami.

8. Mezinárodní předávání

Někteří poskytovatelé nebo jejich dodavatelé sídlí či zpracovávají údaje mimo EHP, zejména ve Spojených státech. Používáme mechanismus podle kapitoly V GDPR: rozhodnutí Evropské komise o odpovídající ochraně, včetně rámce EU–USA pro ochranu osobních údajů (Data Privacy Framework) tam, kde se na příjemce a předání vztahuje, nebo standardní smluvní doložky EU s doplňujícími opatřeními, je-li to potřeba. Na požádání poskytneme informace o konkrétním mechanismu nebo příslušných zárukách, s výhradou ochrany obchodního tajemství.

Vývoj produktu probíhá v EU a přílohy v Hetzner Object Storage jsou uloženy v EU. Lucanto není službou zpracovávající data výhradně v EU. OpenAI, Resend, Loops, Stripe, Cloudflare, Render, Better Stack, Linear, Google, Apple, Logo.dev, jsDelivr a UNPKG nebo jejich zveřejnění dodavatelé mohou zpracovávat údaje mimo EHP za uvedených záruk.

9. Cookies a podobné technologie

Nezbytné cookies a místní úložiště používáme bez souhlasu tam, kde je to nezbytné, a to pro ověření, zabezpečení Cloudflare/Turnstile, nastavení a zaznamenání volby souhlasu. Google Tag Manager je nástroj pro správu značek: hodnoty v místním dataLayer se do Googlu neodesílají, neodešle-li je nakonfigurovaná značka. Externí kontejner GTM, značky přenášející volitelnou analytiku nebo marketing a celá prohlížečová značka Better Stack se načtou až po souhlasu s analytikou. Bez souhlasu se pro analytiku ani marketing nesmějí přenášet user_id, workspace_id, jazyk ani produktové události a Better Stack nesmí v prohlížeči vytvořit svou cookie _bs ani místní identifikátor. Protokoly na straně serveru a technické hlášení chyb backendu mohou zůstat aktivní na základě oprávněných zájmů s minimalizovanými údaji. Souhlas odvoláte v Nastavení cookies stejně snadno, jako jste jej udělili. Viz Zásady používání souborů cookie.

10. Uchovávání a výmaz

10.1 Údaje uchováváme pouze po dobu podle článku 5 nebo po dobu nezbytnou pro daný účel, s ohledem na jejich povahu, riziko, dobu trvání smlouvy, zákonné lhůty a potřebu prokázat nároky.

10.2 Po smazání účtu nebo ukončení Služby vymažeme Zákaznický obsah z aktivních systémů i ze záloh do 45 dnů, ledaže právní předpis vyžaduje konkrétní záznam. Zálohy jsou během rotačního cyklu izolované a nepoužívají se v běžném provozu. Dojde-li k obnovení ze zálohy, uplatní se příslušné žádosti o výmaz znovu.

10.3 Nemažeme záznamy, které musíme jako správce uchovávat, například daňové a účetní doklady, doklady o souhlasu nebo přijetí Podmínek a záznamy o platbách, nárocích či incidentech. Omezujeme je na nezbytný rozsah, oddělujeme je od aktivního Zákaznického obsahu a vymažeme či anonymizujeme je, jakmile potřeba pomine.

11. Zabezpečení

Používáme opatření odpovídající riziku, včetně řízení přístupu a rolí, vícefaktorového přístupu k privilegovaným systémům, šifrování při přenosu, vhodného šifrování v klidu, záloh a obnovy, logování, správy zranitelností, řešení incidentů, mlčenlivosti zaměstnanců a prověřování poskytovatelů. Podrobnosti pro B2B zákazníky jsou v Příloze 2 Smlouvy o zpracování osobních údajů.

12. Vaše práva

Za podmínek stanovených GDPR máte právo:

• získat potvrzení a přístup;
• opravit nepřesné nebo doplnit neúplné údaje;
• požadovat výmaz;
• omezit zpracování;
• získat údaje, které jste poskytli, v přenositelné podobě, je-li to použitelné;
• vznést námitku proti zpracování založenému na oprávněném zájmu;
• kdykoli odvolat souhlas, aniž je dotčena zákonnost předchozího zpracování; a

• nebýt předmětem rozhodnutí založeného výhradně na automatizovaném zpracování s právními účinky nebo obdobně významným dopadem, neuplatní-li se zákonná výjimka.

Kontaktujte hello@lucanto.eu. Vaši totožnost můžeme přiměřeně ověřit. Zpravidla odpovídáme do jednoho měsíce a u složitých žádostí můžeme lhůtu podle GDPR prodloužit s vysvětlením. Pokud údaje spravuje váš zaměstnavatel nebo jiný firemní zákazník, obraťte se nejprve na něj; pomáháme na jeho pokyn.

Stížnost můžete podat u Úřadu na ochranu osobních údajů Slovenské republiky, Hraničná 12, 820 07 Bratislava 27, dataprotection.gov.sk, nebo u dozorového úřadu v místě svého obvyklého bydliště či pracoviště — v České republice je jím Úřad pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, uoou.gov.cz. Uvítáme, můžeme-li věc nejprve vyřešit sami.

13. Marketing

Souhlas s marketingem je samostatný, dobrovolný a ve výchozím stavu neoznačený. Odvoláte jej odkazem ve zprávě nebo v nastavení. Odhlášení nezastaví nezbytná servisní sdělení, jako jsou potvrzení plateb, bezpečnostní upozornění, právní změny nebo konec zkušebního období.

Tam, kde právní předpis umožňuje B2B oslovení bez souhlasu na základě oprávněných zájmů, každá zpráva uvádí zdroj nebo kategorii zdroje a nabízí snadnou námitku. Námitkám proti přímému marketingu vyhovujeme bez dalšího vyvažování.

14. Děti

Služba není určena osobám mladším 18 let. Zjistíme-li, že jsme takové údaje získali bez platného základu, vymažeme je.

15. Změny těchto Zásad

Stávající Uživatele informujeme o podstatné změně e-mailem nebo trvalým oznámením ve Službě nejméně 14 dnů předem, ledaže je dřívější účinnost nutná podle právních předpisů nebo z naléhavých bezpečnostních důvodů. Datum aktualizace uvádíme výše. Je-li potřeba nový souhlas, vyžádáme si jej; mlčení ani další užívání souhlasem nejsou.