Ochrana osobních údajů v CFO Panorama – stručně

Kdo je kdo: Vaše společnost je zpravidla správcem; Hospitality CEE, s.r.o. je zpracovatelem klientských dat podle DPA. Případný řetězec zpracovatelů musí odpovídat článku 2.2. Přijaté DPA obsahuje stálý pokyn k nezbytnému zavedení, importům, mapování, diagnostice, podpoře a provozu reportingu. Pro každý takový vstup pracovníka není potřeba samostatný tiket nebo souhlas. Pro omezené vlastní účely, například bezpečnost platformy a důkaz o smlouvě, jsme samostatným správcem podle zásad pro uživatele.

Jaké údaje: Účetní exporty, účtový rozvrh, střediska, činnosti, zakázky, rozpočty a případně statistiky PMS. Mohou obsahovat osobní údaje dodavatelů, zaměstnanců a hostů; jejich rozsah není automaticky zanedbatelný. Minimalizujte údaje a přednostně používejte souhrny. Zvláštní kategorie, údaje podle článku 10 GDPR a rodná čísla nenahrávejte bez předchozí písemné dohody podle článku 4.2 a odpovídajících opatření.

Kde jsou data: Databáze, soubory a zálohy Služby jsou v Google Cloud ve Frankfurtu. Resend zpracovává transakční e-maily také v USA; Microsoft 365 slouží pro podporu. Zahraniční podpora a globální infrastruktura mohou znamenat předání mimo EHP. Použitelné mechanismy a poskytovatele uvádí článek 8 a Příloha C; samotný region EU nestačí. Seznam: https://cfopanorama.com/legal/sub-processors.

Zabezpečení a přístup: Oddělení klientů, role, povinné 2FA pro administrátory, editory a pracovníky, šifrování a sedmidenní databázové zálohy. Superuživatel poskytovatele má plná administrátorská oprávnění ve všech skupinách pro činnosti podle pokynů, včetně importů a nastavení reportingu; nejméně každých 12 hodin obnovuje druhý faktor. Nezbytné záznamy přístupů a významných úkonů jsou viditelné v Nastavení → Protokol přístupu platformy. Běžné bezpečnostní a diagnostické záznamy se uchovávají nejdéle 90 dní; provozní historie vašeho reportingu (importy, mapování, zápisy, změny uživatelů) je součástí vašich dat a maže se s nimi; samostatná dlouhodobá historie běžných zobrazení stránek se nevede. Výjimky pro konkrétní incidenty, povinnosti a právní nároky jsou úzké a doložené.

Incident: Porušení zabezpečení vám oznámíme bez zbytečného odkladu, nejpozději do 48 hodin od chvíle, kdy se o něm dozvíme (včetně zprávy od subdodavatele).

Subdodavatelé a AI: Změny oznamujeme podle článku 7 DPA, zpravidla 30 dní předem; pro změny subdodavatelů dodavatele a naléhavé situace platí zvláštní postup článků 7.2 a 7.4; právo na námitku a řešení zůstává zachováno. Žádná klientská AI funkce není aktivní. Budoucí funkce přes Vertex AI s koncovým bodem v EU vyžaduje předchozí oznámení konkrétního zpracování a váš výslovný doložený pokyn; data se nepoužijí k trénování modelů.

Výmaz a konec spolupráce: Standardně máte 30 dní přístup pouze pro čtení k exportu. Oprávněná osoba může kdykoli požádat o dřívější výmaz vymezených nebo všech klientských dat; na konec exportní lhůty se pak nečeká. Výmaz z aktivních systémů se provádí bez zbytečného odkladu, nejen skrytím dat. Zálohy databáze zanikají v sedmidenním cyklu a zbytkové kopie Google v jeho cyklu až do 180 dní od zahájení příslušného výmazu. Pouze úzce odůvodněné zákonné údaje a minimální důkazy právních nároků mohou zůstat podle článku 14.5. Výmaz uživatelského účtu sám nevymazává data celé společnosti; označení „smazaný uživatel #id“ není automaticky anonymizace.

Co potřebujeme od vás: Uveďte každou společnost a doložte oprávnění podle DPA. Při společném jednání přijmou stejné znění a seznam společností všechny potřebné osoby; alternativou je řádná plná moc nebo podepsaná listina. Samotné členství ve skupině oprávnění nedává. Do dokončení přijetí a potřebného pověření nelze data nahrávat. Vyplňte Přílohu A, spravujte uživatele, minimalizujte data a uchovávejte vlastní účetní originály. Zásady pro uživatele: https://cfopanorama.com/legal/user-privacy-notice. Kontakt: privacy@cfopanorama.com.

Toto shrnutí (verze 1.5 ze dne 27. října 2026) je pouze orientační a není součástí smlouvy. Rozhoduje použitelné DPA verze 1.5. Česká verze má přednost.