Zásady ochrany osobních údajů uživatelů

reporting.finance · Hospitality CEE, s.r.o. · verze 1.0 ze dne 30. září 2026

Tyto zásady vysvětlují, jak společnost Hospitality CEE zpracovává osobní údaje fyzických osob, které mají uživatelský účet v reporting.finance, a osob, jejichž jméno a e-mail se objeví v pozvánkách, při obnově hesla nebo ve zprávách o přijetí smlouvy. Liší-li se jazykové verze, má přednost česká. Tyto zásady se týkají zpracování, při kterém je Hospitality CEE samostatným správcem (článek 2.3 smlouvy o zpracování osobních údajů). Účetní obsah a data z PMS, která nahraje klient, zpracováváme jako zpracovatel pro tohoto klienta; dotazy k tomuto obsahu směřujte na klienta.

1. Správce

Hospitality CEE, s.r.o., IČO 19489617, sídlo Kaprova 42/14, Staré Město, 110 00 Praha 1, zapsaná u Městského soudu v Praze, oddíl C, vložka 387413. Statutární orgán: Anna Dempsey, jednatelka. Kontakt: privacy@reporting.finance. Pověřenec pro ochranu osobních údajů není jmenován.

2. Kdo je subjekt údajů

Uživatelé Služby (administrátor, editor, prohlížející), osoby pozvané k účtu a osoby, které jménem klienta přijímají Smlouvu o zpracování osobních údajů nebo Hlavní smlouvu. Zaměstnavatel nebo klient, který vám účet zřídil, je samostatným správcem svého rozhodnutí dát vám přístup.

3. Účely a právní základy

Uzavření a plnění smlouvy s klientem, včetně záznamu o přijetí smluvních dokumentů (VOP a DPA) a zaslání potvrzení: u zástupců a uživatelů klienta oprávněný zájem na uzavření, plnění a prokázání smlouvy (čl. 6 odst. 1 písm. f) GDPR); je-li smluvní stranou přímo podnikající fyzická osoba, čl. 6 odst. 1 písm. b) GDPR. Provoz a zabezpečení Služby: přihlášení, 2FA, rate limiting, audit přístupů, odhalení zneužití (čl. 6 odst. 1 písm. f) – oprávněný zájem na bezpečnosti platformy a ochraně klientských dat). Fakturační a kontaktní údaje zástupců klienta (čl. 6 odst. 1 písm. c) – daňové a účetní předpisy, a čl. 6 odst. 1 písm. f)). Transakční e-maily (pozvánka, obnova hesla, potvrzení smlouvy) (čl. 6 odst. 1 písm. f); u podnikající fyzické osoby jako smluvní strany písm. b)). Neprovádíme automatizované rozhodování s právními účinky podle čl. 22 GDPR.

4. Kategorie údajů

Jméno a příjmení, e-mail, funkce, role ve Službě, jazyk, identifikátor účtu, čas a výsledek přihlášení, IP adresa, identifikace prohlížeče, stav dvoufázového ověření (TOTP), auditní záznamy o importech, mapování a změnách rolí, obsah transakčního e-mailu a záznam o doručení, u přijetí DPA také hash textu smlouvy a prohlášení o oprávnění. Hesla ukládáme jen jako solené hashe; tajné klíče TOTP ukládáme v databázi šifrovaně. Nežádáme rodné číslo ani zvláštní kategorie údajů o vás jako o uživateli.

5. Účetní a PMS data klienta

Obsah, který klient nahraje (deník, doklady, mzdy, statistiky hotelu, jména dodavatelů nebo hostů), zpracováváme jako zpracovatel podle DPA. K těmto údajům se zásady v bodech 3–4 nevztahují jako k našemu správcovskému zpracování. Žádost o přístup, opravu nebo výmaz takového obsahu směřujte na klienta (vašeho zaměstnavatele nebo objednatele). My mu poskytneme součinnost funkcemi Služby.

6. Příjemci

Google Cloud EMEA Limited a přidružené společnosti (infrastruktura, region europe-west3 Frankfurt). Plus Five Five, Inc. – Resend (transakční e-maily; odesílání může jít z EU, správa účtu a záznamy v USA). Microsoft Ireland Operations Limited (schránka podpory Microsoft 365, pokud nám napíšete). Naši zaměstnanci s potřebou přístupu, vázaní mlčenlivostí. Dozorové orgány, kde to ukládá právo.

7. Předání mimo EHP

Uložení dat Služby je v EHP (Frankfurt). Předání do USA u Resend, případně u podpory Google nebo Microsoft, opíráme o rozhodnutí Komise (EU) 2023/1795 (EU-U.S. Data Privacy Framework), je-li příjemce certifikován, a o standardní smluvní doložky podle rozhodnutí (EU) 2021/914 jako zálohu. Zakončení šifrovaného spojení může nastat na okraji sítě Google mimo EHP; data se tam neukládají.

8. Doba uložení

Účet: po dobu, po kterou vám klient přístup ponechá, a poté do výmazu tenanta (export 30 dní + logický výmaz 30 dní). Záznam o přijetí DPA: doba smlouvy a 10 let po jejím skončení. Bezpečnostní záznamy o přihlášení: zpravidla 12 měsíců. Transakční e-maily a doručenky u Resend: podle podmínek Resend (běžně desítky dní). Faktury: doba podle daňových předpisů.

9. Vaše práva

Máte právo na přístup, opravu, výmaz, omezení, námitku proti zpracování založenému na čl. 6 odst. 1 písm. f) a na přenositelnost tam, kde zpracování probíhá automatizovaně na základě smlouvy. Práva uplatněte na privacy@reporting.finance. Můžete podat stížnost u Úřadu pro ochranu osobních údajů (ÚOOÚ), Pplk. Sochora 27, 170 00 Praha 7, uoou.gov.cz. Jste-li v jiném členském státě EU, můžete jít i k tamnímu dozorovému úřadu.

10. Oprávněný zájem a námitka

Oprávněný zájem spočívá v provozu a zabezpečení Služby, v ochraně klientských dat a v prokázání uzavření smluv. Můžete podat námitku; vyhovíme jí, pokud nepřevažují závažné oprávněné důvody nebo ochrana právních nároků. Námitka proti nezbytnému zabezpečení může znamenat, že účet nelze bezpečně provozovat.

11. Zdroj údajů

Údaje získáváme od vás (registrace, přihlášení, 2FA), od administrátora klienta, který vás pozve, a automaticky ze zařízení při používání Služby. Údaje o uzavření smlouvy vznikají ve Službě.

12. Změny

Aktuální znění je na https://reporting.finance/legal/user-privacy-notice. Podstatnou změnu oznámíme e-mailem na účet nebo oznámením ve Službě.