Zásady ochrany osobních údajů (GDPR)

1. Identifikace a vymezení rolí (Správce vs. Zpracovatel)

Provozovatelem webu leveraged.cz a klientského portálu je:

2. Jaké údaje zpracováváme a za jakým účelem

Zpracováváme výhradně údaje nezbytné pro poskytování služeb, technický provoz a plnění smluvních ujednání:

• Zájemci o strategickou konzultaci: Jméno, příjmení, e-mailová adresa, telefonní číslo, čas a poznámky k rezervaci. Tyto údaje jsou předávány prostřednictvím integrovaného rezervačního systému Google Kalendář za účelem sjednání a realizace online hovoru.
• Zájemci vyplňující dotazník na /leverage: Odpovědi a podklady týkající se stávajícího podnikání, cílové skupiny, nabídky, cenové struktury, obchodních výsledků a cílů, a případné kontaktní a identifikační údaje (jméno, e-mail), pokud jsou v dotazníku poskytnuty či spárovány při sjednání konzultace. Tyto údaje slouží výhradně pro individuální analýzu a přípravu akvizičního systému před zahájením spolupráce.
• Klienti portálu (finanční poradci): Jméno, příjmení, e-mail, oslovení v 5. pádu, kryptografický otisk hesla (hash), nastavení účtu, záznamy komunikace s podporou a systémové logy. Účelem je zřízení a správa klientského účtu, zabezpečení přístupu a poskytování zákaznické podpory.
• Leady z reklamních kampaní Meta Ads (v portálu klienta): Jméno a příjmení, telefonní číslo, e-mail, město/region, identifikátory inzerce (název kampaně, název reklamy, platforma Facebook nebo Instagram, čas odeslání) a odpovědi na specifické dotazníkové otázky z reklamního formuláře. Tyto údaje zpracováváme v klientském portálu jako zpracovatel za účelem umožnění jejich triáže, kontaktování a správy klientem.
• Provozní a technické logy: IP adresa (zpracovávaná pouze v paměti za účelem rate limitingu přihlášení a ochrany proti zneužití dotazníku), časová razítka a technické stavové záznamy pro zajištění stability a ochrany aplikace.

3. Právní základy zpracování (čl. 6 GDPR)

Veškeré osobní údaje zpracováváme pouze na základě platných právních titulů:

• Plnění smlouvy a předsmluvní jednání (čl. 6 odst. 1 písm. b GDPR): Zpracování údajů při rezervaci konzultace, vyplnění dotazníku na míru na /leverage a při samotném poskytování služeb klientského portálu a správy kampaní pro klienty.
• Oprávněný zájem (čl. 6 odst. 1 písm. f GDPR): Zajištění technické bezpečnosti, stability a integrity webu a databáze, ochrana proti kybernetickým útokům, zneužití a podvodům (rate limiting, autorizační mechanismy), a případná obhajoba právních nároků.
• Souhlas (čl. 6 odst. 1 písm. a GDPR): Pokud zájemce odešle leadový formulář v rámci reklamní sítě Meta (Facebook/Instagram), činí tak na základě souhlasu uděleného přímo v prostředí sociální sítě, kde je před odesláním seznámen s podmínkami inzerenta. Udělený souhlas má zájemce právo kdykoliv odvolat.
• Plnění právních povinností (čl. 6 odst. 1 písm. c GDPR): Vedení účetní a daňové evidence ve vztahu k přímým klientům podle právních předpisů České republiky.

4. Doba uchovávání osobních údajů

Osobní údaje uchováváme pouze po dobu nezbytně nutnou k naplnění uvedených účelů a v souladu se zásadou minimalizace údajů:

• Zájemci o konzultaci a dotazník /leverage: Údaje o zájemcích, se kterými nedojde k navázání spolupráce, uchováváme nejdéle 12 měsíců od posledního kontaktu pro případ obnovení jednání, poté jsou bezpečně vymazány. Rozpracované nedokončené odpovědi dotazníku jsou uchovávány nejdéle 30 dnů.
• Klienti portálu: Po dobu trvání smluvního vztahu a následně po dobu stanovenou zákonnými lhůtami pro archivaci účetních dokladů (zpravidla 10 let od konce zdaňovacího období).
• Leady v portálu klienta: Údaje o leadech jsou v portálu uchovávány po dobu trvání aktivní spolupráce s příslušným klientem. Pokud klient lead přesune do Koše (soft-delete), je tento záznam z databáze automaticky a trvale odstraněn po uplynutí 30 dnů. Po ukončení spolupráce s klientem jsou veškerá data jeho leadů smazána nebo protokolárně předána klientovi.

5. Zpracovatelé, příjemci a předávání do třetích zemí

Osobní údaje neprodáváme ani nepředáváme třetím stranám pro marketingové účely. Provoz zajišťujeme pomocí prověřených poskytovatelů cloudové infrastruktury, kteří splňují přísné bezpečnostní standardy a vystupují jako zpracovatelé či sub-zpracovatelé:

• Vercel Inc. (USA / globální CDN) – poskytovatel hostingové platformy a serverless výpočetního výkonu pro běh webu a API.
• Supabase Inc. (USA / hosting v datacentru AWS Frankfurt, Německo) – poskytovatel šifrovaného cloudového databázového řešení PostgreSQL.
• Google Ireland Limited / Google LLC (Irsko / USA) – poskytovatel rezervačního systému Google Kalendář pro sjednání termínu konzultace a videoplatformy YouTube (v režimu youtube-nocookie.com) pro zobrazení videonávodů v klientském portálu.
• Zapier Inc. (USA) – poskytovatel automatizační integrační platformy pro spolehlivý přenos webhooků s leady z Meta Ads do aplikačního rozhraní portálu.
• Meta Platforms Ireland Ltd. (Irsko) – poskytovatel inzertního systému pro příjem reklamních poptávek na Facebooku a Instagramu.

Vzhledem k tomu, že někteří tito poskytovatelé sídlí nebo využívají servery v USA, dochází k předávání údajů mimo Evropský hospodářský prostor (EHP). Toto předávání probíhá výhradně v souladu s kapitolou V GDPR, a to především na základě rozhodnutí Evropské komise o odpovídající ochraně (rámec EU-U.S. Data Privacy Framework), jehož jsou všichni uvedení poskytovatelé certifikovanými účastníky, případně na základě platných Standardních smluvních doložek (SCC) schválených Evropskou komisí.

6. Soubory cookies a lokální úložiště

Náš web a klientský portál nevyužívají žádné reklamní ani analytické sledovací cookies třetích stran (nepoužíváme Google Analytics, Meta Pixel ani nástroje typu Hotjar). Není proto vyžadován souhlas s marketingovými cookies (cookie lišta).

Používáme výhradně technicky nezbytné first-party cookies, které jsou nutné pro fungování a bezpečnost webu dle § 89 odst. 3 zákona č. 127/2005 Sb., o elektronických komunikacích:

• leveraged_session: Šifrovaný autentizační token (httpOnly) sloužící k udržení bezpečného přihlášení uživatele v klientském portálu.
• leverage_owner: Bezpečnostní kryptografický token (httpOnly) uchovávaný v prohlížeči po dobu 30 dní, který umožňuje návštěvníkovi bezpečně pokračovat v rozpracovaném dotazníku na /leverage.

Lokální úložiště prohlížeče (localStorage): Klientský portál ukládá v prohlížeči uživatele výhradně technická nastavení rozhraní – volbu motivu vzhledu (klíč theme) a preference zobrazení sloupců tabulky leadů (klíče leveraged.leads.visibleColumns a leveraged.leads.visibleCustomAnswers). Tato data neobsahují žádné osobní údaje, neopouštějí prohlížeč uživatele a slouží čistě pro funkčnost a komfort ovládání aplikace.

Externí prvky Google Kalendář a YouTube videa: V sekci rezervace termínu na úvodní stránce je vložen interaktivní rezervační prvek služby Google Kalendář a v klientském portálu jsou vkládány videonávody ze služby YouTube v režimu se zvýšenou ochranou soukromí (doména youtube-nocookie.com). Tyto služby společnosti Google mohou ukládat vlastní technické soubory cookies nezbytné pro provoz dle svých vlastních zásad ochrany soukromí.

7. Technické a organizační zabezpečení (čl. 32 GDPR)

Zavedli jsme přísná technická a organizační opatření, aby nemohlo dojít k neoprávněnému přístupu k osobním údajům, jejich změně, zničení či ztrátě:

• Veškerá síťová komunikace je šifrována moderním protokolem HTTPS / TLS 1.3.
• Uživatelská hesla do portálu jsou jednosměrně hašována silným algoritmem bcrypt se solí.
• Přístup k datům v portálu je striktně oddělen podle rolí (klienti vidí výhradně své vlastní leady).
• Systém uplatňuje automatickou ochranu proti útokům hrubou silou (rate limiting na přihlášení a formuláře).
• Příjem dat přes API je chráněn statickým kryptografickým klíčem a časově bezpečným porovnáváním (timing-safe).
• Databáze je provozována v zabezpečeném cloudu s pravidelným zálohováním a řízeným přístupem.

8. Vaše práva podle GDPR

V souladu s Nařízením GDPR máte vůči nám jako správci následující práva:

• Právo na přístup (čl. 15): Získat potvrzení, zda vaše údaje zpracováváme, a jejich kopii.
• Právo na opravu (čl. 16): Požadovat opravu nepřesných či doplnění neúplných údajů.
• Právo na výmaz (čl. 17): Požadovat vymazání údajů („právo být zapomenut“), pokud pominul účel nebo byl odvolán souhlas.
• Právo na omezení zpracování (čl. 18): V případech stanovených čl. 18 GDPR.
• Právo na přenositelnost údajů (čl. 20): Získat své údaje ve strukturovaném, běžně používaném a strojově čitelném formátu.
• Právo vznést námitku (čl. 21): Právo kdykoliv vznést námitku proti zpracování založenému na oprávněném zájmu.
• Právo odvolat souhlas: Pokud je zpracování založeno na souhlasu, můžete jej kdykoliv bezplatně odvolat.
• Právo podat stížnost: Máte právo podat stížnost u dozorového úřadu, kterým je v ČR Úřad pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, web: www.uoou.gov.cz.

Lhůta pro vyřízení žádostí: Vaše žádosti o výkon práv vyřizujeme bez zbytečného odkladu, nejpozději do 1 měsíce od jejich doručení. Ve výjimečných a složitých případech jsme oprávněni lhůtu prodloužit o další 2 měsíce, o čemž vás budeme do jednoho měsíce písemně informovat včetně odůvodnění.

Pro uplatnění práv nás kontaktujte e-mailem na heligtomas@gmail.com.

9. Automatizované rozhodování a profilování (čl. 22 GDPR)

Výslovně prohlašujeme, že v rámci provozu webu, onboarding dotazníku ani klientského portálu nedochází k automatizovanému individuálnímu rozhodování ani profilování ve smyslu čl. 22 GDPR, které by pro subjekty údajů mělo právní účinky nebo se jich obdobným způsobem významně dotýkalo.

11. Ochranná známka a závěrečná ustanovení

Klientský portál je vyvinut a provozován pod technologickou značkou

Tyto zásady nabývají účinnosti dnem 1. 1. 2026 a jsou průběžně aktualizovány. Provozovatel si vyhrazuje právo tyto zásady v přiměřeném rozsahu změnit v návaznosti na legislativní či technický vývoj.