Ochrana osobních údajů

1. Správce osobních údajů

Provozovatelem služby Kliker a správcem osobních údajů ve vztahu k uživatelským účtům služby je:

Mitro Group Solutions s.r.o.
Novodvorská 1099/130, Braník, 142 00 Praha 4
IČO: 23760311
Spis. zn. C 432501 vedená u Městského soudu v Praze
Kontakt: podpora@kliker.cz

1.1 Dvojí role: správce vs zpracovatel

Kliker zastává ve vztahu k osobním údajům dvě role podle toho, čí údaje jsou zpracovávány:

• Správce — pro osobní údaje uživatelů, kteří si u nás založí účet (registrace, přihlášení, fakturace, podpora).
• Zpracovatel — pro osobní údaje, které zákazník (typicky SVJ, bytové družstvo, účetní firma) vkládá do Klikeru o svých vlastnících jednotek, členech, nájemnících či dodavatelích. Tyto údaje zpracováváme jménem zákazníka a na jeho pokyn na základě zpracovatelské smlouvy (DPA).

2. Jaké údaje zpracováváme

2.1 Údaje uživatelů Klikeru (role: správce)

• Identifikační a kontaktní údaje — jméno, příjmení, e-mailová adresa, případně telefon.
• Přihlašovací údaje — heslo (uloženo pouze ve formě kryptografického hashe scrypt, neukládáme v čitelné podobě), volitelné 2FA TOTP secret.
• Údaje o organizaci zákazníka — název, IČO, DIČ, sídlo, fakturační adresa.
• Provozní a technické údaje — IP adresa přihlášení, prohlížeč (User-Agent), čas a typ akce v audit logu.
• Fakturační údaje — historie plateb za předplatné (číslo faktury, částka, datum). Platit lze bankovním převodem nebo platební kartou. Údaje platebních karet u nás neukládáme a nikdy se k nám nedostanou — číslo karty zadáváte přímo na zabezpečené stránce platební brány Stripe (PCI-DSS) a tam ji i spravujete. Kliker o vaší kartě neuchovává žádný údaj, jen odkaz na zákazníka a předplatné vedené u Stripe. Podrobnosti v bodě 9.

2.2 Zájemci z webu (role: správce)

Když na kliker.cz vyplníte kontaktní formulář nebo se přihlásíte k odběru novinek, zpracováváme:

• E-mailovou adresu, kterou jste zadali.
• IP adresu a prohlížeč (User-Agent) — jako ochranu proti automatizovanému odesílání formulářů a jako doklad o okolnostech odeslání.
• Zdroj návštěvy — adresu stránky, ze které jste formulář odeslali, a parametry kampaně v odkazu (UTM), pokud jste přišli z odkazu, který je obsahuje.

Právní základ je oprávněný zájem podle čl. 6 odst. 1 písm. f) GDPR — reagovat na poptávku a chránit formulář před zneužitím. IP adresu a User-Agent mažeme po 3 měsících, celý záznam po 12 měsících, pokud se z vás mezitím nestane zákazník. Proti zpracování na základě oprávněného zájmu můžete kdykoli vznést námitku (viz čl. 6 níž).

2.3 Údaje subjektů zákazníka (role: zpracovatel)

Pokud Kliker používáte jako SVJ, BD, účetní firma nebo podnikatel, vkládáte do systému osobní údaje třetích osob (vlastníků jednotek, členů družstva, nájemníků, dodavatelů, odběratelů a obchodních kontaktů). Tyto údaje zpracováváme jako zpracovatel jménem zákazníka. Typicky:

• Jméno a příjmení vlastníka / člena / nájemníka
• Adresa jednotky a kontaktní adresa
• E-mail, telefon (pokud zákazník vyplní)
• Číslo účtu, variabilní symbol, historie plateb
• Spoluvlastnické podíly, počty osob v jednotce, odečty měřidel
• Datum nabytí / pozbytí vlastnictví, doba užívání
• U podnikatelských účtů navíc: fakturační a kontaktní údaje odběratelů a dodavatelů (včetně kontaktních osob), obsah vystavených faktur a nabídek
• V obchodní části (CRM): obchodní případy zákazníka (název, hodnota, fáze, zdroj), poznámky a záznamy o komunikaci s kontaktem (hovor, schůzka, úkol, výsledek jednání)

Účel a právní základ tohoto zpracování určuje zákazník (správce). Kliker tato data zpracovává výhradně podle pokynů zákazníka a v rozsahu zpracovatelské smlouvy.

3. Účel a právní základ zpracování

Účel	Právní základ (čl. 6 GDPR)	Doba
Poskytování služby (registrace, přihlášení, provoz účtu)	plnění smlouvy — čl. 6 odst. 1 písm. b)	po dobu existence účtu
Fakturace, účetnictví	právní povinnost — čl. 6 odst. 1 písm. c) (zákon o účetnictví, DPH)	10 let
Bezpečnost (audit log, IP, anti-abuse)	oprávněný zájem — čl. 6 odst. 1 písm. f)	obvykle 24 měsíců
Reakce na dotazy podpory	oprávněný zájem / plnění smlouvy	obvykle 12 měsíců po vyřízení
Marketing existujícím zákazníkům (info o novinkách)	oprávněný zájem; lze kdykoli odhlásit	do odhlášení
Zasílání obchodních sdělení potenciálním zákazníkům	souhlas (kontaktní formulář / přihlášení k odběru)	do odvolání souhlasu
Evidence poptávek z webu a ochrana formuláře proti zneužití	oprávněný zájem — čl. 6 odst. 1 písm. f)	12 měsíců (IP a User-Agent 3 měsíce)

4. Doba uchování

• Aktivní účet — po celou dobu existence účtu.
• Po ukončení účtu — provozní data mažeme podle provozní retenční politiky, zpravidla nejpozději do 90 dnů. Údaje, u nichž to vyžaduje právní předpis (faktury, účetní doklady), uchováváme po zákonem stanovenou dobu (zpravidla 10 let). Detaily viz Provozní pravidla.
• Audit log a bezpečnostní záznamy — zpravidla 24 měsíců.
• Poptávky z webu (kontaktní formulář, odběr novinek) — 12 měsíců od odeslání, pokud se ze zájemce nestane zákazník. IP adresu a prohlížeč u těchto záznamů mažeme dřív, a to po 3 měsících.
• Údaje subjektů zákazníka (role zpracovatele) — řídí se pokyny zákazníka a jeho retenční politikou; po ukončení smlouvy data exportujeme zákazníkovi a ze svých systémů smažeme.

5. Příjemci osobních údajů (subdodavatelé)

Osobní údaje předáváme pouze v nezbytném rozsahu těmto kategoriím příjemců. Aktuální a úplný seznam včetně sídel, rolí a jurisdikcí je samostatně dostupný na /subdodavatele:

• Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Německo) — hosting a serverové zálohy v datovém centru HEL1 Helsinki, Finsko (EU).
• INTERNET CZ, a.s. (Forpsi, č.p. 2, 38403 Ktiš, IČO 26043319) — DNS pro doménu kliker.cz a e-mailový SMTP server pro odchozí transakční zprávy.
• Ing. Barbora Mitrová, daňový poradce (Novodvorská 1099/130, 142 00 Praha 4, IČO 06604340) — daňové poradenství pro Mitro Group Solutions s.r.o. (zákonná povinnost mlčenlivosti dle zákona č. 523/1992 Sb.).
• Seznam.cz, a.s. (Radlická 3294/10, 150 00 Praha 5, IČO 26168685) — našeptávání adres při vyplňování formulářů (Mapy.cz Suggest API). Předává se pouze text, který do pole píšete; nikoli vaše jméno, IP adresa ani jiný údaj z účtu.
• Stripe Payments Europe, Limited (The One Building, 1 Grand Canal Street Lower, Dublin 2, Irsko) — platba předplatného kartou. Předává se pouze váš fakturační údaj a údaj o tarifu; nikoli údaje osob vedených ve vaší organizaci. Zahrnuje předání do USA příjemci certifikovanému v rámci EU–USA pro ochranu osobních údajů — viz bod 9. Pro předcházení podvodům a plnění vlastních zákonných povinností (AML, identifikace klienta) vystupuje Stripe jako samostatný správce, ne jako náš zpracovatel. Platíte-li převodem, netýká se vás vůbec.
• Orgány veřejné moci — pouze pokud o to požádají na základě zákona (FÚ, soudy, ÚOOÚ, orgány činné v trestním řízení).

Kromě toho se aplikace dotazuje veřejných rejstříků, aby vám ušetřila opisování údajů. Odchází do nich jen IČO nebo název, který sami zadáte — nikdy obsah vašeho účtu. Provozovatelé těchto rejstříků nejsou naši zpracovatelé; jsou to veřejné evidence se samostatným právním základem:

• ARES (Ministerstvo financí ČR) — doplnění názvu, sídla a údajů z obchodního rejstříku podle IČO.
• RPO — Register právnických osôb (Štatistický úrad SR) — totéž pro slovenské účty.
• ISIR — insolvenční rejstřík (Ministerstvo spravedlnosti ČR) — orientační kontrola, zda má obchodní partner záznam v insolvenčním rejstříku; spouští ji uživatel u konkrétního kontaktu.

Se všemi subdodavateli, kteří zpracovávají osobní údaje na naší pokyn, máme uzavřenou zpracovatelskou smlouvu podle čl. 28 GDPR.

Do třetích zemí mimo EU/EHP předáváme údaje ve dvou případech: při platbě předplatného kartou (pouze fakturační údaj plátce) a — dáte-li k tomu souhlas — při měření účinnosti reklamy (bod 8.1). Podrobnosti a záruky jsou v bodě 9. Údaje neprodáváme. Sami je nepoužíváme k profilování ani automatizovanému rozhodování s právními účinky pro subjekt údajů; dáte-li souhlas s měřením reklamy, může na svém profilování údaje použít Meta podle svých vlastních zásad.

6. Vaše práva jako subjektu údajů

Podle GDPR máte právo:

• na přístup k vašim údajům (čl. 15) — zjistit, jaké údaje o vás zpracováváme
• na opravu (čl. 16) — opravit nepřesné údaje
• na výmaz / „právo být zapomenut" (čl. 17) — smazat údaje, není-li dán jiný zákonný důvod jejich uchovávání
• na omezení zpracování (čl. 18)
• na přenositelnost údajů (čl. 20) — získat údaje ve strojově čitelném formátu
• vznést námitku proti zpracování na základě oprávněného zájmu (čl. 21)
• odvolat souhlas, pokud byl základem zpracování
• podat stížnost u Úřadu pro ochranu osobních údajů (www.uoou.cz, Pplk. Sochora 27, 170 00 Praha 7)

6.1 Jak práva uplatnit

Žádost zašlete na podpora@kliker.cz. Vyřídíme ji bez zbytečného odkladu, nejpozději do 30 dnů. Pro ověření totožnosti si můžeme vyžádat doplňující informace.

Pokud jde o údaje, které u nás zpracovává váš správce (typicky SVJ nebo BD, kterého jste vlastníkem či členem), kontaktujte nejprve tohoto správce — Kliker vystupuje jako zpracovatel a žádost mu předá k vyřízení.

7. Zabezpečení

• Šifrované spojení (HTTPS / TLS 1.2+) na všech doménách
• HSTS, security headers (X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy)
• Hesla uložená pouze ve formě scrypt hashe
• Volitelné dvoufázové ověření (TOTP)
• Oddělení dat jednotlivých organizací pomocí tenant_id, aplikační autorizace a kontrol přístupu
• Audit log všech důležitých operací (kdo, kdy, co — stav před/po, IP)
• Pravidelné zálohy databáze
• Provoz v datovém centru v EU jurisdikci

8. Cookies a sledování

Bez vašeho souhlasu kliker.cz nepokládá žádné cookies a nespouští žádný nástroj třetí strany. Google Analytics nepoužíváme vůbec.

8.1 Měření účinnosti reklamy (Meta Pixel) — jen s vaším souhlasem

Inzerujeme na Facebooku a Instagramu a potřebujeme vědět, jestli reklama někoho přivede. K tomu slouží Meta Pixel. Spustí se až poté, co na liště kliknete na „Přijmout“ — do té doby se jeho skript vůbec nestáhne a Meta se o vaší návštěvě nedozví nic. Kliknete-li na „Odmítnout“, nespustí se nikdy a web funguje stejně.

Se souhlasem se společnosti Meta předává:

• IP adresa, údaje prohlížeče (User-Agent, jazyk) a adresa navštívené stránky
• název události — zobrazení stránky (na každé stránce webu), prohlédnutí produktové stránky (Fakturace, CRM, Kliker Domy, Ceník), založení zkušebního účtu a přechod na placený tarif včetně částky v Kč
• obsah cookies _fbp, případně _fbc, které si Meta Pixel sám založí ve vašem prohlížeči

Nepředává se váš e-mail, telefon, jméno ani nic z obsahu účtu. Funkci „Automatic Advanced Matching“, která by Metě posílala hashované kontaktní údaje z formulářů, máme vypnutou.

Události, které vznikají až na našem serveru (založení zkušebního účtu po ověření e-mailu a přechod na placený tarif), odesíláme přes rozhraní Meta Conversions API. I ty odejdou jen tehdy, pokud jste souhlas dali — váš souhlas si k tomu účelu poznamenáváme k vašemu předplatnému. Uvnitř přihlášené aplikace app.kliker.cz žádný měřicí nástroj Mety neběží a data, která do Klikeru vkládáte, se Metě nepředávají nikdy.

Právním základem je souhlas podle čl. 6 odst. 1 písm. a) GDPR. Souhlas můžete kdykoli odvolat odkazem Nastavení cookies v patičce webu; od té chvíle se nic dalšího neodešle. Odvolání nemá vliv na zákonnost zpracování před ním a nemažou se jím údaje, které už Meta má — ty se řídí zásadami společnosti Meta. Ke shromáždění údajů ve vašem prohlížeči a jejich předání dochází v režimu společných správců podle čl. 26 GDPR; pro navazující zpracování je Meta samostatným správcem.

Příjemcem je Meta Platforms Ireland Limited (Merrion Road, Dublin 4, D04 X2K5, Irsko). Zahrnuje to předání do USA na základě standardních smluvních doložek a rámce EU-US Data Privacy Framework. U nás se z tohoto měření neukládá nic; cookie _fbp žije ve vašem prohlížeči zpravidla 90 dnů a záznam vaší odpovědi na lištu (kl_souhlas) 180 dnů. Dobu uchování na své straně určuje Meta.

8.2 Vlastní anonymní statistika (bez souhlasu)

Pro základní statistiku návštěvnosti (kolik lidí web navštívilo, které stránky a odkud) používáme vlastní anonymní měření. Neukládáme žádnou IP adresu ani cookie — pro odlišení návštěvníků v rámci jednoho dne vytváříme pouze nevratný otisk, který se každý den mění a nelze z něj zjistit IP ani konkrétní osobu. Jde o anonymní souhrnnou statistiku, která nepodléhá souhlasu podle směrnice ePrivacy ani GDPR.

Stejným způsobem — bez cookie, bez IP a bez jakéhokoli identifikátoru, který by přežil den — počítáme i několik kroků cesty webem, abychom věděli, kde lidé odpadají: kliknutí na demo, vstup do ukázkového účtu, spuštění a dokončení průvodce demem, kliknutí na závěrečnou nabídku a otevření registrace. Ukládá se jen název kroku, den a týž denně rotující otisk. Nevzniká z toho profil, nejde to spojit s konkrétním účtem ani propojit napříč dny a nic z toho neopouští naše servery. Ve vaší vlastní aplikaci (po přihlášení) se takto neměří nic — kroky se sbírají jen na webu a v ukázkovém účtu.

Aplikace app.kliker.cz používá pouze technicky nezbytné cookies:

• sid — přihlašovací session (HMAC-podepsaná, HttpOnly, Secure, SameSite=Lax)
• tid — kontext aktuálně vybrané organizace (HttpOnly, Secure, SameSite=Lax)
• pid — přihlášení vlastníka do portálu vlastníka přes jednorázový odkaz z e-mailu (HttpOnly, Secure, SameSite=Lax). Platí nejdéle 30 dnů a zaniká dřív, pokud se portál 7 dnů nepoužije.
• goauth — krátkodobá cookie při přihlášení účtem Google; drží ochranu proti podvržení požadavku po dobu 10 minut a pak zaniká (HttpOnly, Secure, SameSite=Lax). Zakládá se jen tehdy, když přihlášení přes Google sami zvolíte. Přihlášení účtem Google zatím není v provozu, takže se tato cookie dnes nepokládá.

Tyto cookies jsou nezbytné pro provoz služby a nepodléhají souhlasu podle směrnice ePrivacy. Cookies se mažou při odhlášení nebo po vypršení platnosti.

Kromě cookies si prohlížeč pamatuje ve vlastním úložišti (localStorage) jen vaše nastavení vzhledu — zvolený barevný motiv a světlý/tmavý režim. Neodesílá se nám a neslouží k identifikaci.

8.1 Ukázkové demo (demo.kliker.cz)

Demo si můžete projít bez registrace — nechceme po vás e-mail ani jiný údaj o vaší osobě. Běží v oddělené instalaci s vlastní databází, která neobsahuje data žádného zákazníka a nemá k nim přístup. Používá stejné technicky nezbytné cookies sid a tid jako aplikace.

Cokoli v demu vyplníte, je dočasné: databáze dema se každé 2 hodiny přepíše výchozí ukázkou a vaše zápisy nenávratně zmizí. Demo neodesílá žádné e-maily. Ze serverových snapshotů poskytovatele hostingu zanikají zbytky dat rotací do 7 dnů. Přesto do dema nevkládejte skutečné osobní údaje — je to ukázka, ne úložiště.

9. Předávání údajů mimo EU

Data, která do Klikeru vkládáte, zpracováváme výhradně v EU/EHP — aplikace i databáze běží v datovém centru ve Finsku. Údaje vlastníků, členů a nájemníků, jednotky, předpisy, platby ani vyúčtování mimo EU/EHP nepředáváme.

První výjimkou je platba předplatného kartou. Zajišťuje ji Stripe Payments Europe, Limited (Irsko, EU), která podle své zpracovatelské smlouvy předává osobní údaje společnosti Stripe, LLC v USA. Tato společnost je aktivním účastníkem rámce EU–USA pro ochranu osobních údajů (EU-U.S. Data Privacy Framework), u kterého Evropská komise rozhodla o odpovídající úrovni ochrany — předání se tedy opírá o čl. 45 GDPR. Certifikaci si můžete ověřit ve veřejném seznamu účastníků vedeném Ministerstvem obchodu USA na dataprivacyframework.gov. Navíc se uplatní standardní smluvní doložky podle čl. 46 GDPR. Předává se přitom pouze váš fakturační údaj (jméno nebo název firmy, e-mail, adresa, IČO, DIČ) a údaj o objednaném tarifu — nikoli údaje osob vedených ve vaší organizaci. Číslo karty se k nám vůbec nedostane, zadáváte ho přímo u Stripe.

Druhou výjimkou je měření účinnosti reklamy (bod 8.1), a to jen tehdy, pokud k němu dáte souhlas. Příjemcem je Meta Platforms Ireland Limited (Irsko, EU), která předává údaje společnosti Meta Platforms, Inc. v USA. Předání se opírá o standardní smluvní doložky podle čl. 46 GDPR a o účast v rámci EU-U.S. Data Privacy Framework. Předává se IP adresa, údaje prohlížeče, adresa navštívené stránky a název události — nikoli obsah vašeho účtu ani údaje osob vedených ve vaší organizaci.

Když zvolíte platbu bankovním převodem a měření reklamy odmítnete, k žádnému předání mimo EU/EHP u vás nedojde. Pokud by v budoucnu mělo dojít k dalšímu předání mimo EU/EHP, budeme vás předem informovat a zajistíme odpovídající záruky podle čl. 46 GDPR.

10. Změny zásad

Tyto zásady můžeme čas od času aktualizovat — typicky kvůli změnám právních předpisů nebo rozšíření služby. O podstatných změnách budeme informovat e-mailem přihlášené uživatele a upozorněním ve službě nejméně 14 dní předem. Aktuální verze je vždy dostupná na této adrese s datem účinnosti.

11. Související dokumenty

• Zpracovatelská smlouva (DPA) — vzor podle čl. 28 GDPR pro zákazníky v roli správce.
• Seznam subdodavatelů — aktuální subprocesoři, jurisdikce, datum přidání.
• Provozní pravidla — zálohy, dostupnost, incidenty, mazání dat.
• Obchodní podmínky — VOP poskytování služby Kliker.

12. Kontakt

Dotazy a žádosti o uplatnění práv subjektu údajů zasílejte na:

Mitro Group Solutions s.r.o.
Novodvorská 1099/130, Braník, 142 00 Praha 4
podpora@kliker.cz