Zásady zpracování osobních údajů (GDPR)

Účinnost: 21. 9. 2026

Tyto zásady popisují, jak Invico zpracovává osobní údaje. Píšeme je lidsky; v případě nejasností pište na [email protected].

1. Kdo je správce

Správcem osobních údajů je provozovatel služby:

Tomáš Dvořák, se sídlem č.p. 108, 686 01 Kostelany nad Moravou,
IČO 24330621, zapsaný v živnostenském rejstříku (OSVČ)
e-mail: [email protected]

(dále jen „správce").

2. Dvě role zpracování — je důležité je rozlišit

a) Vaše údaje (uživatel služby). Pro údaje o vašem účtu (e-mail, jméno, údaje o firmě, nastavení) je správcem provozovatel Invico.

b) Údaje vašich klientů (obsah dokladů). Do dokladů vkládáte osobní údaje svých odběratelů a dodavatelů (jména, adresy, IČO/DIČ, kontakty). Těmito údaji spravujete vy — jste správcem a Invico pro vás vystupuje jako zpracovatel. Tento vztah upravuje samostatná Smlouva o zpracování osobních údajů (DPA). Odpovědnost za informovanost vašich klientů nese uživatel.

3. Jaké údaje zpracováváme (jako správci)

Poskytnutí osobních údajů je smluvním požadavkem pro zřízení účtu; bez poskytnutí údajů označených jako povinné není možné smlouvu uzavřít ani službu poskytovat (čl. 13 odst. 2 písm. e) GDPR).

Transakční a obchodní e-maily. Provozní (transakční) e-maily — potvrzení registrace, doklady za předplatné, upozornění na obnovu, výzvy k úhradě a bezpečnostní oznámení — zasíláme jako plnění smlouvy a nelze je odmítnout bez zrušení účtu. Obchodní sdělení (novinky, tipy) zasíláme pouze stávajícím zákazníkům na základě oprávněného zájmu dle § 7 odst. 3 zákona č. 480/2004 Sb., případně na základě souhlasu; každý takový e-mail obsahuje funkční odkaz pro okamžité odhlášení.

4. Co sledujeme u veřejných odkazů a e-mailech

U veřejného odkazu na doklad zaznamenáváme události (zobrazení, projev zájmu o úhradu, stažení PDF) včetně času a technických metadat. E-maily s doklady, které uživatel odešle přes službu, mohou obsahovat technický pixel signalizující otevření zprávy — zaznamenává se pouze skutečnost a čas načtení, nikoli obsah či chování příjemce. Tyto údaje slouží uživateli k přehledu o stavu dokladu a prokazatelnosti doručení. O zaznamenávání informujeme příjemce **přímo na stránce veřejného odkazu a v patičce e-mailu**; uživatel je navíc povinen tuto skutečnost sdělit příjemci dokladu.

Volitelná funkce detekce odpovědí (IMAP) přistupuje pouze ke schránce samotného uživatele — čte výhradně hlavičky nepřečtených zpráv (nikoli jejich obsah), zpracované zprávy označí jako přečtené a nic nemaže ani neodesílá. Zjištěná odpověď klienta se zaznamená jako událost u příslušného dokladu. Přihlašovací údaje ke schránce ukládáme v rámci nastavení účtu uživatele.

5. Příjemci a předávání údajů

Osobní údaje předáváme pouze v nezbytném rozsahu:

• Poskytovatel hostingu a infrastruktury — OVHcloud (OVH SAS, https://www.ovhcloud.com/), EU region Polsko (Varšava),
• Platební brána — Stripe Payments Europe, Ltd. (Irsko, EU) zpracovává údaje o platbách předplatného (údaje o kartě zadává uživatel přímo ve formuláři brány; my uchováváme pouze potvrzení a identifikaci karty). Případné předání údajů do USA probíhá na základě standardních smluvních doložek či rámce EU-US Data Privacy Framework (čl. 45/46 GDPR),
• E-mailová infrastruktura — odesílání provozních e-mailů (přihlašovací odkazy, upomínky) probíhá přes SMTP server nastavený uživatelem; pro systémové e-maily účtu používáme Resend (Plus Five Five, Inc.; EU datový region),
• Orgány veřejné moci — jen v rozsahu vyžadovaném zákonem (zejména povinnost součinnosti vůči správci daně dle § 57 a 58 daňového řádu). Oprávněnost každé žádosti ověřujeme před poskytnutím údajů.

Osobní údaje nepředáváme mimo EU/EHP, **s výjimkou předání souvisejícího s platbami přes Stripe** — u něj jsou případné přenosy do třetích zemí kryty zárukami dle čl. 45/46 GDPR.

6. Doba uchování

• Údaje účtu — po dobu trvání účtu; po zrušení smazány nebo anonymizovány do 90 dnů, ledaže zákon ukládá delší dobu.
• Obsah vložený uživatelem (doklady, kontakty, evidence) — zpracováváme jako zpracovatel; po ukončení účtu je uživatel exportuje a my následně vymažeme kopie dle Smlouvy o zpracování. Povinnost uchovávat daňové doklady po ukončení účtu náleží uživateli, nikoli nám.
• Vlastní účetní doklady provozovatele (faktury za předplatné) — uchováváme po zákonnou dobu (10 let dle zákona o účetnictví a lhůt daňového řádu).
• Logy a audit událostí — obvykle 12 měsíců, pokud není nutná delší doba (bezpečnostní incident).
• Zálohy — rotace 30 dnů, pak přepsány.

7. Vaše práva

Máte právo na:

• přístup k údajům a jejich kopii,
• opravu nepřesných údajů (lze i přímo v aplikaci),
• výmaz — v rozsahu, v jakém nebrání zákonné doby uchování u údajů, které uchováváme jako správce (vlastní účetní doklady provozovatele),
• omezení zpracování a přenositelnost údajů ve strukturovaném formátu (exporty jsou součástí služby),
• námitku proti zpracování z oprávněného zájmu,
• odvolání souhlasu — bez vlivu na zákonnost předchozího zpracování,
• podání stížnosti u Úřadu pro ochranu osobních údajů — ÚOOÚ, Pplk. Sochora 27, 170 00 Praha 7; datová schránka: qkbaa2n; e-podatelna: [email protected]; www.uoou.gov.cz.

Práva uplatníte na [email protected]. Odpovídáme zpravidla do 30 dnů.

8. Zabezpečení

• TLS šifrování přenosu, hesla ukládána pouze jako bcrypt hash,
• přístup k datům vázaný na relace a role, tenantová izolace dat,
• API klíče ukládány jako hash, HMAC podpisy webhooků,
• auditní log událostí dokladů,
• zálohy databáze a úložiště.

9. Cookies a lokální úložiště

Viz samostatné Zásady používání cookies. Služba používá pouze nezbytné technické cookies/úložiště (relace, předvolby vzhledu) — bez souhlasu dle § 89 odst. 3 zákona č. 127/2005 Sb. Analytické nástroje budou zavedeny výhradně se souhlasným mechanismem.

10. Změny zásad

O podstatných změnách informujeme e-mailem a v aplikaci; nová verze vyžaduje potvrzení souhlasu (verzování souhlasu v aplikaci). Verze legal-v2.