Zásady ochrany osobních údajů (GDPR)

Tento dokument popisuje, jak systém EVCRM (Energie Výhodněji - Customer Relationship Management) zpracovává osobní údaje v souladu s nařízením EU 2016/679 (GDPR) a zákonem č. 110/2019 Sb. o zpracování osobních údajů.

1. Správce osobních údajů

2. Jaké osobní údaje zpracováváme

EVCRM zpracovává následující kategorie osobních údajů klientů (subjektů údajů):

3. Účel a právní základ zpracování

• Plnění smlouvy (čl. 6 odst. 1 písm. b GDPR) - uzavření a plnění smlouvy o dodávce energie
• Plnění právní povinnosti (čl. 6 odst. 1 písm. c GDPR) - daňová a účetní evidence, zákonné lhůty archivace
• Oprávněný zájem (čl. 6 odst. 1 písm. f GDPR) - vymáhání pohledávek, prevence podvodu, statistické zpracování
• Souhlas (čl. 6 odst. 1 písm. a GDPR) - marketingové sdělení (pokud klient souhlasil)

4. Doba uchování

• Aktivní klienti: po dobu trvání smluvního vztahu
• Po ukončení smlouvy: 10 let dle zákona o účetnictví a zákona o DPH
• Provizní podklady: 5-7 let v souladu s daňovou legislativou
• Marketingové údaje (souhlas): do odvolání souhlasu, max. 3 roky od posledního kontaktu
• Audit log: 5 let pro forenzní účely

5. Příjemci osobních údajů

Vaše údaje mohou být předány následujícím kategoriím příjemců:

• Dodavatelé energie (E.ON, ČEZ, Innogy, MND, EPET, Centropol, Dobrá Energie, DE) - pro uzavření smlouvy
• Distributoři (ČEZ Distribuce, EG.D, PRE Distribuce, GasNet, atd.) - pro převzetí odběrného místa
• Zpracovatelé - WEDOS Internet (hosting), Backblaze (cloud storage), Anthropic (AI rozpoznávání faktur - jen text bez PII)
• Orgány veřejné moci - na základě zákonné povinnosti (ERÚ, Finanční úřad)

6. Vaše práva

Jako subjekt údajů máte následující práva (čl. 15-22 GDPR):

• Právo na přístup - dostat kopii údajů, které o vás zpracováváme
• Právo na opravu - opravit nepřesné nebo neúplné údaje
• Právo na výmaz ("právo být zapomenut") - po ukončení smlouvy a uplynutí zákonných lhůt
• Právo na omezení zpracování - po dobu řešení sporu nebo opravy
• Právo na přenositelnost - obdržet údaje ve strukturovaném formátu
• Právo vznést námitku - proti zpracování na základě oprávněného zájmu
• Právo odvolat souhlas - pro marketingové údaje (kdykoliv)
• Právo podat stížnost u ÚOOÚ - www.uoou.cz

7. Technická a organizační opatření

EVCRM implementuje následující bezpečnostní opatření na ochranu osobních údajů:

• Šifrování citlivých údajů v databázi - email, telefon, datum narození, adresa, problémový důvod jsou šifrovány algoritmem sodium_crypto_secretbox (XChaCha20-Poly1305)
• Pseudonymizace pro vyhledávání - HMAC-BLAKE2b indexy umožňují deduplikaci bez plain text úložiště
• HTTPS šifrování přenosu - veškerá komunikace zabezpečena TLS
• Maskování PII pro role obchodníků - obchodníci vidí jen j***@firma.cz, +420***0760, 8591824***9231
• Granulární oprávnění - role-based access control (RBAC): obchodník vidí jen své klienty, manager skupinu, admin vše
• Audit log - každá citlivá akce (přístup, export, změna) je zaznamenána s časem, uživatelem a IP adresou
• Rate limiting - omezení počtu exportů (10/h), reset hesla (3/h) jako prevence zneužití
• Záložní kopie - šifrované zálohy v Backblaze B2 cloudu (EU lokace)
• Reset hesla přes email - tokeny SHA-256, expirace 1 hodina, one-time use

8. Cookies

EVCRM používá výhradně technicky nezbytné cookies pro:

• Udržení přihlášení (session cookie, životnost 8 hodin)
• CSRF ochranu (SameSite=Lax, HttpOnly, Secure)

Žádné marketingové ani analytické cookies třetích stran nepoužíváme.

9. Automatizované rozhodování

EVCRM nepoužívá plně automatizované rozhodování s právními účinky. Kalkulace cenových nabídek je nástroj pro obchodníka, nikoli automatické rozhodnutí - finální nabídku schvaluje vždy člověk.

10. Změny zásad

Tyto zásady mohou být aktualizovány. O podstatných změnách informujeme uživatele prostřednictvím EVCRM nebo e-mailem nejméně 30 dnů předem. Aktuální verze je vždy dostupná na evcrm.cz/gdpr.html.

11. Kontakt