1 Kdo jsme a jak nás kontaktovat

leanDeals je CRM platforma provozovaná společností Apiwave s.r.o., zapsanou v obchodním rejstříku České republiky.

Veškeré dotazy, žádosti nebo stížnosti týkající se ochrany osobních údajů zasílejte na info@lean-deals.com. Odpovíme do 30 dnů.

2 Rozsah těchto Zásad

Tyto Zásady ochrany osobních údajů vysvětlují, jak leanDeals shromažďuje, využívá, uchovává a sdílí osobní údaje v těchto situacích:

• Návštěva naší webové stránky app.lean-deals.com;
• Registrace nebo využívání Služby leanDeals;
• Komunikace s námi prostřednictvím e-mailu nebo jiných prostředků;
• Propojení služeb třetích stran (např. e-mailových účtů) se Službou.

Tyto Zásady se nevztahují na data, která Klienti v rámci Služby zpracovávají o svých vlastních zákaznících nebo kontaktech — to upravuje Smlouva o zpracování osobních údajů (DPA).

3 Naše role: správce vs. zpracovatel

3.1 leanDeals jako správce osobních údajů

Pokud od vás přímo shromažďujeme a zpracováváme data — jako jsou údaje z registrace účtu, fakturační informace nebo data o využívání — vystupujeme jako správce osobních údajů. Tyto Zásady popisují naše postupy v tomto postavení.

3.2 leanDeals jako zpracovatel osobních údajů

Pokud Službu využíváte k ukládání a zpracování dat o vašich vlastních kontaktech, zákaznících nebo zaměstnancích (tj. „Data klienta"), vystupujeme jako zpracovatel osobních údajů jednající vaším jménem. Jako zpracovatel zpracováváme Data klienta výhradně podle vašich pokynů, jak je stanoveno v Smlouvě o zpracování osobních údajů (DPA).

3.3 Smlouva o zpracování osobních údajů

Pokud zpracováváte osobní údaje jako správce a k tomuto zpracování využíváte leanDeals, je dostupná Smlouva o zpracování osobních údajů (DPA). Kontaktujte nás na info@lean-deals.com.

4 Osobní údaje, které shromažďujeme

4.1 Údaje k účtu a registraci

4.2 Fakturační a platební údaje

Zpracování plateb zajišťuje společnost Paddle jako Merchant of Record. Neukládáme čísla platebních karet ani údaje bankovních účtů. Od Paddle přijímáme: stav předplatného, historii faktur, jméno plátce a poslední čtyři číslice platební karty pouze pro zobrazení.

4.3 Technická data a data o využívání

4.4 Data z e-mailové integrace

Pokud aktivujete e-mailovou integraci, zpracováváme metadata e-mailů podle popisu v oddíle 6.

4.5 Komunikační data

Pokud nás kontaktujete e-mailem nebo jiným způsobem, záznamy těchto komunikací uchováváme za účelem vyřízení vašeho dotazu a zlepšení naší podpory.

4.6 Zvláštní kategorie osobních údajů

Záměrně neshromažďujeme zvláštní kategorie osobních údajů (jako jsou údaje o zdraví, rasovém nebo etnickém původu, politických názorech, náboženském přesvědčení nebo biometrické údaje). Prosíme, neukládejte taková data do Služby.

5 Jak vaše údaje využíváme a právní základ

Kde se opíráme o oprávněný zájem (čl. 6 odst. 1 písm. f), jsme posoudili, že naše zájmy nejsou převáženy vašimi právy a svobodami. Kdykoli máte právo vznést námitku — viz oddíl 10.

6 E-mailová integrace a zpracování dat

6.1 Jak to funguje

Volitelná funkce e-mailové integrace vám umožňuje propojit váš Gmail (přes Google OAuth 2.0), Microsoft Outlook (přes Microsoft OAuth 2.0) nebo jiné e-mailové účty (přes IMAP) s leanDeals za účelem synchronizace e-mailové aktivity s CRM záznamy.

6.2 Co zpracováváme

Při aktivní integraci zpracováváme tato metadata e-mailů:

• Jména a e-mailové adresy odesílatele a příjemce;
• Předmět e-mailu;
• Datum a čas e-mailu;
• Krátký textový úryvek (přibližně 300 znaků);
• Název a velikost přílohy (obsah příloh neukládáme);
• Jedinečné identifikátory zpráv (pro deduplikaci a seskupování do vláken).

Celý text e-mailu neukládáme.

6.3 Právní základ

E-mailová integrace funguje na základě čl. 6 odst. 1 písm. b) GDPR (plnění smlouvy) pro držitele účtu. Vy jako správce osobních údajů nesete odpovědnost za zajištění platného právního základu pro zpracování e-mailových dat třetích stran (vašich kontaktů), jejichž e-mailové adresy se ve synchronizovaných e-mailech vyskytují.

6.4 OAuth tokeny

Přístupové tokeny a obnovovací tokeny pro Gmail a Outlook jsou uloženy v zašifrované podobě. Tyto tokeny používáme výhradně k načítání metadat e-mailů vaším jménem. Přístup můžete kdykoli odvolat prostřednictvím nastavení svého účtu Google nebo Microsoft, nebo odpojením integrace v leanDeals.

6.5 Přihlašovací údaje IMAP

Uživatelská jména a hesla IMAP jsou uložena v zašifrované podobě. Doporučujeme používat hesla specifická pro aplikaci a ověřit si podmínky poskytovatele e-mailu pro přístup přes IMAP.

6.6 Zveřejnění podmínek Google API

Využití informací získaných z Google API bude probíhat v souladu se Zásadami pro uživatelská data služeb Google API, včetně požadavků na omezené použití.

7 Komu vaše údaje předáváme

Vaše osobní údaje neprodáváme. Vaše údaje sdílíme pouze s důvěryhodnými poskytovateli služeb třetích stran („dílčí zpracovatelé"), kteří nám pomáhají při poskytování Služby, a to na základě smluvních závazků v oblasti ochrany osobních údajů. Naši dílčí zpracovatelé spadají do následujících kategorií:

Vaše údaje můžeme také zpřístupnit: (i) na základě zákona, soudního příkazu nebo rozhodnutí regulačního orgánu; (ii) za účelem ochrany práv, majetku nebo bezpečnosti leanDeals, uživatelů nebo veřejnosti; (iii) v souvislosti s převodem podniku, fúzí nebo akvizicí (s předchozím oznámením dotčeným uživatelům).

8 Přenos osobních údajů do třetích zemí

Naše primární infrastruktura je hostována v Evropské unii. Pokud dochází k přenosu dat mimo EU/EHP (například v souvislosti s poskytovatelem CI/CD pipeline), zajišťujeme vhodné záruky v souladu s kapitolou V GDPR, zejména:

• Standardní smluvní doložky (SCC) schválené Evropskou komisí; a/nebo
• Přenosy do zemí s rozhodnutím EU o odpovídající ochraně.

Souhlasíte-li s marketingovými cookies (čl. 11.3), předává se navíc omezený okruh údajů o vaší návštěvě webu třem příjemcům v Irsku — Google Ireland Limited, Microsoft Ireland Operations Limited a Meta Platforms Ireland Limited — a případně dále jejich mateřským společnostem ve Spojených státech (Google LLC, Microsoft Corporation, Meta Platforms, Inc.). Tyto přenosy se opírají o rozhodnutí Evropské komise o odpovídající ochraně pro EU-US Data Privacy Framework, jehož jsou všechny tři certifikovanými účastníky, doplňkově o Standardní smluvní doložky. Bez vašeho souhlasu k žádnému z těchto přenosů nedochází.

Více informací o konkrétních zárukách pro mezinárodní přenosy dat si můžete vyžádat na info@lean-deals.com.

9 Uchovávání dat

Po uplynutí příslušné retenční lhůty jsou data trvale a bezpečně smazána z našich systémů, včetně záloh.

10 Vaše práva dle GDPR

Pokud se nacházíte v Evropské unii nebo Evropském hospodářském prostoru, máte tato práva týkající se osobních údajů, které zpracováváme jako správce:

Jak uplatnit svá práva

Pro uplatnění jakéhokoli z těchto práv kontaktujte info@lean-deals.com. Odpovíme do 30 dnů (u složitých žádostí lze lhůtu prodloužit o další dva měsíce s předchozím upozorněním). Před vyřízením žádosti můžeme požádat o ověření totožnosti.

11 Cookies a sledování

11.1 Nezbytné cookies

Následující cookies potřebujeme k provozu Služby a webu. Nevyžadují váš souhlas, protože bez nich by Služba nefungovala, a nelze je vypnout:

11.2 Měření návštěvnosti — pouze s vaším souhlasem

Měříme, jak návštěvníci procházejí naším webem a registrací, abychom je mohli zlepšovat. Data sbíráme sami, na vlastní infrastruktuře, a nepředáváme je žádné třetí straně. Ukládáme název události, čas, adresu stránky, zdroj návštěvy (UTM parametry) a náhodný identifikátor uložený ve vašem prohlížeči (ld_anon_id).

Vaši IP adresu neukládáme. Okamžitě ji nahrazujeme nevratným kryptografickým otiskem (SHA-256 se solí), který slouží výhradně k ochraně proti zneužití.

Právní základ. Toto měření probíhá výhradně na základě vašeho souhlasu podle čl. 6 odst. 1 písm. a) GDPR a § 89 odst. 3 zákona č. 127/2005 Sb., o elektronických komunikacích. Dokud souhlas neudělíte, měřicí skript se vůbec nenačte. Údaje uchováváme 24 měsíců. Odvoláte-li souhlas, uložené identifikátory z vašeho prohlížeče smažeme.

11.3 Google Tag Manager, měření reklamy a nahrávání relací

Na našem webu používáme Google Tag Manager. Je to jediný skript, ale spouští nástroje tří různých společností:

Bez vašeho souhlasu se nenačte ani jeden z nich. Kód Google Tag Manageru je na stránce blokovaný do okamžiku, kdy v cookie liště zvolíte „Přijmout vše" nebo zapnete kategorii „Marketing a analýza chování". Do té doby neodesíláme Googlu, Microsoftu ani Metě žádné údaje, a to včetně vaší IP adresy.

Před vaším rozhodnutím nenačítáme nic z cizí domény. Písmo i CSS framework, které web používá, hostujeme na vlastním serveru — právě proto, aby vás už první vykreslení stránky nikomu nenahlásilo. Jediný požadavek, který odejde dřív, než rozhodnete, směřuje na naši vlastní doménu a je to záznam vaší volby podle čl. 11.5.

K nahrávání relací zvlášť. Clarity je nástroj, který zaznamenává, jak se po stránce pohybujete, a záznam nám zpřístupňuje k přehrání. Souhlas s kategorií „Marketing a analýza chování" zahrnuje i tohle — pokud si nepřejete být nahráváni, tuto kategorii nezapínejte, nebo ji kdykoli vypněte. Zbytek webu funguje beze změny.

Cookies třetích stran. Souhlasíte-li s marketingem, nastaví Microsoft cookies na svých vlastních doménách (MUID, MR, SRM_B, ANONCHK a SM na clarity.ms a bing.com). Ty nepatří nám a nemůžeme je za vás smazat — odmítnutím se přestanou nastavovat a odstranit je lze v nastavení prohlížeče. Cookies, které vzniknou na naší doméně (_ga, _ga_JT1PQL0BTN, _fbp, _clck, _clsk), smažeme při odvolání souhlasu sami.

Udělíte-li souhlas, mohou tyto společnosti zpracovávat vaši IP adresu, identifikátory cookies, údaje o prohlížeči a o vašem pohybu po našem webu. Vůči Googlu používáme Google Consent Mode v2, který mu předává vaše aktuální rozhodnutí ve čtyřech samostatných signálech, takže se změnou nastavení se okamžitě mění i rozsah zpracování. Clarity a Meta Pixel žádný takový průběžný signál nemají — u nich je rozhodující, že se bez souhlasu vůbec nespustí.

Právním základem je váš souhlas podle čl. 6 odst. 1 písm. a) GDPR a § 89 odst. 3 zákona o elektronických komunikacích. Souhlas můžete kdykoli odvolat (viz čl. 11.4); odvolání nemá vliv na zákonnost zpracování prováděného před odvoláním.

Přenos mimo EU. Google Ireland Limited může údaje předávat společnosti Google LLC ve Spojených státech. Přenos je zajištěn rozhodnutím Evropské komise o odpovídající ochraně pro EU-US Data Privacy Framework, jehož je Google LLC certifikovaným účastníkem, a doplňkově Standardními smluvními doložkami. Podrobnosti najdete v Zásadách ochrany soukromí společnosti Google.

11.4 Správa a odvolání souhlasu

Své rozhodnutí můžete kdykoli změnit odkazem „Nastavení cookies" v patičce kterékoli stránky. Otevře se okno, ve kterém jednotlivé kategorie zapnete nebo vypnete. Odvolání souhlasu je stejně jednoduché jako jeho udělení.

Cookies můžete spravovat rovněž prostřednictvím nastavení svého prohlížeče. Zakázání nezbytných cookies může ovlivnit funkčnost Služby.

11.5 Záznam o vašem rozhodnutí

Kdykoli v cookie liště něco zvolíte — ať už souhlas, odmítnutí, nebo pozdější změnu — uložíme si o tom záznam na vlastním serveru. Musíme být totiž schopni doložit, že jsme se zeptali a co jste odpověděli; vyžaduje to čl. 7 odst. 1 GDPR i Zásady Google pro souhlas uživatelů v EU. Samotná cookie ve vašem prohlížeči, kterou si můžete kdykoli smazat, jako doklad nestačí.

Co záznam obsahuje: náhodný identifikátor souhlasu, který je uložený i ve vaší cookie cc_cookie; čas rozhodnutí; které kategorie jste povolili a které odmítli; verzi textu lišty, který jste viděli; jazyk; adresu stránky, na které jste rozhodli; údaj o prohlížeči; a nevratný otisk IP adresy (SHA-256 se solí). Vaši IP adresu neukládáme.

Co záznam neobsahuje: žádný identifikátor z měření návštěvnosti. Doklad o souhlasu a data o vašem pohybu po webu držíme odděleně a nikdy je nespojujeme — jinak by se z právní povinnosti stalo sledování.

Právní základ není souhlas, ale náš oprávněný zájem a povinnost prokazatelnosti podle čl. 6 odst. 1 písm. c) a f) ve spojení s čl. 7 odst. 1 GDPR. Proto záznam vzniká i tehdy, když všechno odmítnete. Uchováváme jej 3 roky od rozhodnutí — déle než souhlas samotný (6 měsíců), protože doklad musí případný spor přežít. Poté se automaticky maže.

12 Ochrana soukromí dětí

Služba není určena osobám mladším 18 let a nesmí být jimi používána. Záměrně neshromažďujeme osobní údaje od osob mladších 18 let. Pokud zjistíme, že jsme neúmyslně shromáždili osobní údaje nezletilé osoby, neprodleně je smažeme. Pokud se domníváte, že nezletilá osoba nám poskytla osobní údaje, kontaktujte nás na info@lean-deals.com.

13 Bezpečnost

Implementujeme průmyslově standardní technická a organizační opatření k ochraně vašich osobních údajů, zejména:

• Veškerá data při přenosu jsou šifrována pomocí TLS 1.2+;
• Data v klidu jsou šifrována pomocí AES-256, kde je to podporováno;
• Zabezpečení na úrovni řádků databáze (Row Level Security) zajišťuje striktní izolaci dat mezi Pracovními prostory;
• OAuth tokeny a přihlašovací údaje IMAP jsou uloženy v zašifrované podobě;
• Přístup k produkčním systémům je přísně kontrolován a omezen na autorizované osoby;
• Pravidelně provádíme bezpečnostní přehledy naší infrastruktury.

V případě porušení zabezpečení osobních údajů, které ovlivní vaše práva a svobody, vás a příslušný dozorový orgán informujeme v souladu s články 33 a 34 GDPR (pokud možno do 72 hodin od zjištění).

14 Změny těchto Zásad

Tyto Zásady ochrany osobních údajů můžeme čas od času aktualizovat, aby odrážely změny v našich postupech, Službě nebo příslušných právních předpisech. O podstatných změnách vás budeme informovat e-mailem nebo prostřednictvím výrazného oznámení ve Službě nejméně 30 dní před nabytím účinnosti změn.

Datum „Účinné od" v záhlaví tohoto dokumentu uvádí, kdy tato verze nabyla účinnosti. Pokračováním v užívání Služby po tomto datu aktualizované Zásady přijímáte.

Máte-li jakékoli dotazy týkající se ochrany osobních údajů, kontaktujte nás na info@lean-deals.com.