Zásady ochrany osobních údajů Elowio

Správcem osobních údajů zpracovávaných v souvislosti s provozem internetových stránek a vlastním provozem služby Elowio je:

Erik Löwy
IČO: 06228810
Školská 660/3
110 00 Praha 1
Česká republika

E-mail pro otázky týkající se ochrany osobních údajů: info@elowio.cz.

Elowio je online softwarová služba určená zejména k řízení vztahů se zákazníky, evidenci kontaktů, obchodních příležitostí, aktivit, úkolů, poznámek a dalších informací souvisejících s podnikatelskou činností uživatele.

Rozsah zpracovávaných osobních údajů závisí na tom, jakým způsobem Elowio používáte.

1. Údaje při registraci

Při registraci do Elowio můžeme zpracovávat zejména:

• jméno a příjmení
• e-mailovou adresu
• telefonní číslo
• název společnosti
• zvolený tarif
• údaje související se souhlasem s obchodními podmínkami
• případně marketingové preference
• technické údaje související s registrací, například IP adresu
• datum a čas registrace
• identifikátor registračního požadavku

Údaje jsou používány zejména za účelem vytvoření uživatelského účtu, ověření e-mailové adresy, zpřístupnění služby a komunikace související s registrací.

2. Údaje uživatelského účtu

V souvislosti s používáním účtu můžeme zpracovávat zejména:

• e-mailovou adresu
• jméno
• telefon
• identifikátory uživatelského účtu
• údaje o přihlášení a ověření účtu
• údaje o oprávněních a členství uživatele v jednotlivých prostředích
• informace o zvoleném tarifu
• bezpečnostní a provozní informace související s účtem

Přístupové údaje a autentizační informace jsou zpracovávány za účelem bezpečného ověření identity uživatele. Elowio nepoužívá heslo uživatele k jiným účelům, než je autentizace uživatele.

3. Data vložená uživatelem do Elowio

Uživatel může do Elowio vkládat například:

• kontaktní údaje zákazníků
• jména a příjmení
• e-mailové adresy
• telefonní čísla
• údaje o společnostech
• obchodní komunikaci
• poznámky
• úkoly
• obchodní příležitosti
• fakturační údaje
• dokumenty
• e-mailovou komunikaci
• další informace související s podnikatelskou činností

U těchto údajů je třeba rozlišovat postavení Elowio a zákazníka. Pokud zákazník používá Elowio ke zpracování osobních údajů svých zákazníků, zaměstnanců, obchodních partnerů nebo jiných osob, vystupuje zpravidla jako správce těchto osobních údajů a Elowio jako zpracovatel. Podmínky takového zpracování jsou upraveny samostatnými Podmínkami zpracování osobních údajů (DPA).

a) Registrace a vytvoření účtu

• vytvoření uživatelského účtu
• ověření e-mailové adresy
• dokončení prvního přístupu
• zabezpečení registračního procesu
• aktivace příslušného prostředí

b) Poskytování služby Elowio

• provoz CRM
• zpřístupnění funkcí služby
• správa uživatelských oprávnění
• správa jednotlivých zákaznických prostředí
• ukládání dat
• zabezpečení přístupu
• technická podpora

c) Bezpečnost

Osobní a technické údaje můžeme zpracovávat za účelem ochrany účtů, prevence neoprávněného přístupu, detekce podezřelé aktivity, ochrany infrastruktury, řešení bezpečnostních incidentů a evidence bezpečnostních a provozních událostí.

Bezpečnost je součástí návrhu, vývoje a provozu Elowio a zahrnuje mimo jiné řízení přístupových oprávnění, oddělení jednotlivých prostředí, zabezpečení komunikace, ochranu infrastruktury a monitoring vybraných událostí.

d) Komunikace se zákazníkem

• odpovědi na dotazy
• technickou podporu
• informace o provozu služby
• informace týkající se účtu
• informace o platbách
• důležitá upozornění
• informace o změnách smluvních podmínek

e) Fakturace a plnění smlouvy

• aktivace placeného tarifu
• evidence plateb
• vystavení účetních a daňových dokladů
• plnění smluvních a zákonných povinností

f) Plnění právních povinností

Osobní údaje můžeme zpracovávat také tehdy, pokud je jejich zpracování nezbytné pro splnění právní povinnosti.

g) Ochrana oprávněných zájmů

V nezbytném rozsahu můžeme osobní údaje zpracovávat také za účelem ochrany našich oprávněných zájmů, zejména ochrany služby před zneužitím, ochrany našich práv, prevence podvodů, zabezpečení infrastruktury, řešení sporů a uplatňování nebo obhajoby právních nároků.

Osobní údaje zpracováváme podle konkrétní situace zejména na těchto právních základech:

• plnění smlouvy nebo provedení opatření před uzavřením smlouvy
• splnění právní povinnosti
• oprávněný zájem Elowio nebo třetí osoby
• souhlas subjektu údajů, pokud je pro konkrétní účel vyžadován

Poskytnutí některých údajů může být nezbytné pro uzavření smlouvy nebo poskytování služby. Pokud takové údaje neposkytnete, nemusíme být schopni účet vytvořit nebo službu poskytovat.

Elowio používá elektronickou komunikaci zejména pro registrační e-maily, ověření účtu, odkazy pro první přístup, systémová upozornění, provozní komunikaci, komunikaci zákaznické podpory a interní provozní notifikace související s registrací.

Pro odesílání transakčních e-mailů využíváme poskytovatele Plus Five Five, Inc. (Resend). Podle dostupné dokumentace Resend může být zpracováván obsah zpráv, e-mailové adresy, metadata, informace o doručení, odmítnutí a stížnostech a další technické údaje.

Pro provoz Elowio využíváme specializované technologické poskytovatele.

Lovable Labs Incorporated

Lovable zajišťuje zejména deployment aplikace, hosting, serverový runtime, serverové funkce a související cloudovou infrastrukturu a správu konfigurace. Lovable využívá další subzpracovatele, mimo jiné Google Cloud Platform, Cloudflare, Amazon Web Services a Anthropic.

Supabase, Inc.

Supabase využíváme zejména pro databázi, autentizaci, ukládání souborů, řízení přístupu a související infrastrukturu. Projekt Elowio je technicky konfigurován v regionu AWS eu-west-1 (Irsko). Tato skutečnost však sama o sobě neznamená, že veškeré zpracování osobních údajů probíhá výhradně v EU/EHP.

Cloudflare, Inc.

Cloudflare využíváme zejména pro CDN, TLS, ochranu aplikace, WAF, ochranu proti botům a serverless infrastrukturu / Workers. Cloudflare zpracovává provoz v globální síti a v současné konfiguraci Elowio není aktivováno Enterprise řešení, které by zpracování omezovalo výhradně na EU.

Plus Five Five, Inc. (Resend)

Resend používáme pro odesílání transakčních e-mailů. Resend umožňuje volbu regionu pro samotné odesílání e-mailů, avšak podle jeho oficiální dokumentace jsou účetní údaje, e-mailová metadata, logy a API záznamy ukládány ve Spojených státech bez ohledu na zvolený sending region.

Někteří naši technologičtí poskytovatelé nebo jejich subzpracovatelé mohou zpracovávat osobní údaje mimo Evropský hospodářský prostor („EHP“). Elowio proto negarantuje, že všechny osobní údaje zůstávají výhradně na území EU/EHP.

Předávání mimo EHP provádíme v souladu s GDPR a na základě odpovídajících právních mechanismů. Podle konkrétního poskytovatele může jít zejména o:

• standardní smluvní doložky Evropské komise
• EU-U.S. Data Privacy Framework, pokud je pro konkrétního poskytovatele relevantní
• UK International Data Transfer Agreement / příslušné rozšíření
• Swiss Addendum
• další mechanismy uznané příslušnými právními předpisy

U Lovable je pro relevantní přenosy používán zejména mechanismus EU SCC, UK IDTA a Swiss Addendum. U Supabase jsou přeshraniční přenosy řešeny prostřednictvím mechanismů uvedených v jeho DPA, včetně standardních smluvních doložek EU. Cloudflare využívá zejména EU-U.S. Data Privacy Framework a pro další relevantní transfery standardní smluvní doložky a související mechanismy. Resend uvádí EU-U.S. Data Privacy Framework, jeho UK Extension a standardní smluvní doložky EU.

Pokud zákazník používá Elowio ke zpracování osobních údajů jménem své organizace, je nutné rozlišovat:

• Zákazník = správce osobních údajů
• Elowio = zpracovatel osobních údajů

Elowio v takovém případě zpracovává osobní údaje pouze v rozsahu potřebném pro poskytování služby a podle pokynů zákazníka. Podrobnosti týkající se předmětu a doby zpracování, kategorií osobních údajů, kategorií subjektů údajů, bezpečnostních opatření, subzpracovatelů, mezinárodních přenosů, součinnosti, mazání a vracení údajů jsou upraveny samostatnou Dohodou o zpracování osobních údajů (DPA). V případě rozporu mezi těmito Zásadami a DPA má pro zpracování osobních údajů jménem zákazníka přednost DPA.

Elowio přijímá přiměřená technická a organizační opatření odpovídající povaze zpracování a souvisejícím rizikům. Mezi používaná opatření patří zejména:

• řízení přístupových oprávnění
• oddělení jednotlivých zákaznických prostředí
• autentizace uživatelů
• ověřování e-mailové adresy
• ochrana komunikace
• ochrana infrastruktury
• řízení přístupu k datům
• monitoring vybraných bezpečnostních událostí
• zálohování
• postupy pro řešení bezpečnostních incidentů

Konkrétní technická opatření nemusí být z bezpečnostních důvodů veřejně popsána v úplném rozsahu. Současně platí, že žádná internetová služba nemůže garantovat absolutní ochranu před všemi bezpečnostními hrozbami.

Osobní údaje uchováváme pouze po dobu nezbytnou pro účely, pro které byly získány, případně po dobu stanovenou právními předpisy. Konkrétní doba závisí zejména na charakteru daného údaje, účelu zpracování, délce trvání zákaznického vztahu, právních povinnostech, potřebě ochrany právních nároků a bezpečnostních potřebách.

Po ukončení účtu může být účet deaktivován a data mohou být následně odstraněna v souladu s pravidly služby a DPA.

U některých technologických poskytovatelů jsou retenční lhůty dány jejich vlastními podmínkami. Například Lovable uvádí retenci logových dat až 90 dnů a výmaz osobních údajů po ukončení služby zpravidla do 30 dnů, přičemž záložní kopie mohou obsahovat data déle. U Resend není v auditovaných oficiálních podkladech konkrétní retenční doba obsahu zpráv a logů uvedena, proto zde žádnou konkrétní lhůtu neslibujeme.

Internetové stránky a aplikace Elowio mohou používat cookies, local storage, session storage a obdobné technické mechanismy. Používáme je zejména pro fungovaní webových stránek, přihlášení uživatele, zachování uživatelské relace, bezpečnost, technické nastavení aplikace a případně analytické a další účely, pokud jsou aktivovány.

Technicky nezbytné technologie mohou být používány bez souhlasu, pokud je jejich použití nezbytné pro poskytování požadované služby. Pokud budeme používat analytické, marketingové nebo jiné technologie, pro jejichž použití je vyžadován souhlas, bude tento souhlas získán odpovídajícím způsobem.

Pokud nám udělíte souhlas se zasíláním marketingových sdělení, můžeme vaše kontaktní údaje použít pro zasílání informací o Elowio, nových funkcích, produktech a službách, obchodních nabídkách, akcích a dalších relevantních informacích.

Souhlas s marketingovou komunikací je dobrovolný. Z odběru marketingových sdělení se můžete kdykoli odhlásit způsobem uvedeným v konkrétním sdělení nebo kontaktováním Elowio na info@elowio.cz.

Elowio je služba určená primárně podnikatelům, právnickým osobám a osobám samostatně výdělečně činným pro jejich podnikatelskou nebo profesní činnost. Elowio není určeno k vědomému shromažďování osobních údajů dětí bez odpovídajícího právního základu a souhlasu jejich zákonného zástupce, pokud je takový souhlas podle právních předpisů vyžadován.

V souvislosti se zpracováním osobních údajů máte podle GDPR zejména právo:

• požadovat potvrzení, zda zpracováváme vaše osobní údaje
• požadovat přístup k osobním údajům
• požadovat opravu nepřesných nebo neúplných údajů
• požadovat výmaz osobních údajů v případech stanovených GDPR
• požadovat omezení zpracování
• vznést námitku proti zpracování
• požadovat přenositelnost údajů v případech, kdy je toto právo použitelné
• kdykoli odvolat souhlas, pokud je zpracování založeno na souhlasu
• podat stížnost u dozorového úřadu

Odvoláním souhlasu není dotčena zákonnost zpracování založeného na souhlasu před jeho odvoláním.

Svá práva můžete uplatnit zasláním žádosti na info@elowio.cz. V žádosti prosím uveďte, které právo uplatňujete, čeho se žádost týká, a případně účet nebo e-mailovou adresu, ke které se žádost vztahuje.

Z důvodu ochrany osobních údajů můžeme před vyřízením žádosti požadovat přiměřené ověření identity žadatele. Na žádost reagujeme v souladu s lhůtami stanovenými GDPR.

Pokud se domníváte, že zpracováním vašich osobních údajů dochází k porušení GDPR, máte právo podat stížnost u příslušného dozorového úřadu. V České republice je dozorovým úřadem:

Úřad pro ochranu osobních údajů
Pplk. Sochora 27
170 00 Praha 7
Česká republika
uoou.gov.cz

Elowio v rámci běžného poskytování služby nezakládá rozhodování o uživatelích výhradně na automatizovaném zpracování osobních údajů způsobem, který by měl právní účinky nebo obdobně významný dopad na subjekt údajů.

Pokud by Elowio v budoucnu zavedlo funkci, která by představovala automatizované rozhodování nebo profilování ve smyslu GDPR, budou uživatelé o takovém zpracování informováni v rozsahu požadovaném právními předpisy.

Při vývoji, údržbě, testování a dalším rozvoji Elowio mohou být využívány nástroje založené na umělé inteligenci. Toto využití se týká zejména vývoje a technického rozvoje samotné služby.

Použití AI při vývoji Elowio samo o sobě neznamená, že zákaznická data jsou používána k trénování veřejných modelů umělé inteligence. Pokud by byla do produkční služby zavedena funkce, při které by zákaznická data byla předávána externímu poskytovateli AI za účelem poskytování konkrétní funkce, bude takové zpracování řešeno v souladu s GDPR, příslušnou smluvní dokumentací a DPA.

V současné auditované konfiguraci je AI Gateway v projektu technicky nakonfigurována, avšak nebylo potvrzeno její používání z produkčního uživatelského rozhraní pro zpracování zákaznických dat.

Elowio může v rámci své infrastruktury komunikovat s dalšími externími službami. Například při ověřování identifikačních údajů společnosti může být využíván ARES provozovaný Ministerstvem financí České republiky. Při dotazu do ARES je předáváno IČO společnosti. ARES je veřejný registr a v rámci tohoto použití není považován za subzpracovatele osobních údajů Elowio.

Pokud zjistíme bezpečnostní událost, která může mít významný dopad na bezpečnost osobních údajů, přijmeme s ohledem na její povahu a závažnost přiměřená opatření k jejímu omezení, vyhodnocení a odstranění.

Pokud nám právní předpisy uloží povinnost informovat příslušný dozorový orgán nebo dotčené osoby, provedeme takové oznámení v příslušném rozsahu. Bezpečnostní opatření a postupy při incidentech jsou dále upraveny v příslušné smluvní dokumentaci a DPA.

Tyto Zásady můžeme v přiměřeném rozsahu měnit zejména v případě změny právních předpisů, služby, používaných technologií, poskytovatelů, způsobů zpracování osobních údajů nebo bezpečnostních požadavků.

Aktuální verze Zásad bude vždy zveřejněna na internetových stránkách Elowio. Pokud by změna měla podstatný dopad na práva subjektů údajů, přijmeme přiměřená opatření k informování dotčených osob.

V případě dotazů týkajících se ochrany osobních údajů nás můžete kontaktovat:

Erik Löwy
IČO: 06228810
Školská 660/3
110 00 Praha 1
Česká republika
E-mail: info@elowio.cz

Tyto Zásady představují základní informace o zpracování osobních údajů v souvislosti s provozem Elowio. Pokud zákazník využívá Elowio jako zpracovatele osobních údajů pro svou vlastní podnikatelskou činnost, použije se vedle těchto Zásad také příslušná Dohoda o zpracování osobních údajů (DPA).

V případě rozporu mezi těmito Zásadami a DPA v otázkách zpracování osobních údajů jménem zákazníka má v rozsahu tohoto zpracování přednost DPA.