1. Kdo jsme (Správce osobních údajů)

Správcem osobních údajů je:

faktuo s.r.o.
zapsaná v obchodním rejstříku vedeném Krajským soudem v Ostravě, oddíl C, vložka 103763
IČO: 29503876
Sídlo: č.p. 707, 783 16 Dolany
Den zápisu: 30. dubna 2026
E‑mail: [email protected]

Vzhledem k rozsahu a charakteru zpracování jsme nejmenovali pověřence pro ochranu osobních údajů — tato povinnost nám nevyplývá z čl. 37 GDPR. Ve všech věcech souvisejících s ochranou osobních údajů nás kontaktujte na výše uvedeném e‑mailu.

2. Dvě role, ve kterých vystupujeme

Při poskytování služby Faktuo (dále jen „Služba") vystupujeme ve dvou odlišných rolích:

Jako správce — ve vztahu k údajům uživatelů, kteří si u nás vytvoří účet (jméno, e‑mail, přihlašovací údaje, fakturační údaje, údaje o vaší organizaci).
Jako zpracovatel — ve vztahu k obsahu, který do Služby vkládáte (údaje o vašich zákaznících, faktury, cenové nabídky, katalog položek, přílohy). Pro tyto údaje jste správcem vy sami a odpovídáte za jejich získání a zákonnost zpracování.

3. Jaké údaje zpracováváme

Údaje o vašem účtu — e‑mailová adresa, jméno, hash hesla, role, čas vytvoření účtu, čas posledního přihlášení.

Údaje o vaší firmě — název, IČO, DIČ, sídlo, bankovní spojení, logo, patička dokumentů.

Obchodní data, která do Služby sami vkládáte — zákazníci (jejich jméno, IČO, DIČ, adresa), faktury, cenové nabídky, zálohy, položky katalogu, ceny, stav platby. K těmto datům vystupujeme jako zpracovatel.

Strukturovaná data z bankovních notifikací (pouze pokud si aktivujete propojení s bankou) — z notifikačních e‑mailů od vaší banky extrahujeme a ukládáme údaje o každé transakci: směr (příchozí/odchozí), částku, měnu, variabilní symbol (případně konstantní a specifický symbol), datum účtování, číslo a jméno protistrany, textovou zprávu pro příjemce (pokud je vyplněna) a vazbu na fakturu, kterou jsme platbu automaticky napárovali. Tyto strukturované údaje slouží jako audit a jako podklad pro označení faktur jako zaplacených; vidíte je ve své aplikaci. Neukládáme surové e‑maily — po zpracování se každý e‑mail zahazuje, ukládá se pouze jeho SHA‑256 hash sloužící k deduplikaci (zabránění opakovanému zpracování téže notifikace). Zůstatky účtu rovněž neukládáme: notifikace o samotném zůstatku rozpoznáváme jako informativní a ukládáme pouze záznam, že přišly, bez částky.

Pravidelné bankovní výpisy (pouze pokud si v rozhraní aplikace nastavíte zasílání těchto výpisů k nám) — pokud vaše banka rozesílá pravidelné výpisy z účtu jako přílohu e‑mailu, ukládáme tyto soubory v nezměněné podobě do našeho úložiště, bez ohledu na jejich formát. Vystupujeme zde výhradně jako úložiště — soubor neotevíráme, neparsujeme jeho obsah ani z něj nečteme jednotlivé transakce. Účelem uložení je výhradně to, aby vám výpis byl zpětně dostupný v okamžiku, kdy si u nás budete chtít vyexportovat podklady pro účetnictví. Výpisy lze ze Služby kdykoliv stáhnout nebo smazat; po zrušení účtu se mažou společně s ostatními daty.

Nahrané soubory — logo firmy, obrázky pozadí nabídek, případně importované staré faktury ve formátu PDF/A‑3 nebo ISDOC.

Technické údaje — IP adresa při přihlášení, ID relace, CSRF token, údaje o prohlížeči a zařízení, časové údaje, chybové stavy.

Importované ceníky (XLSX, CSV) a importované PDF faktury se v průběhu zpracování pouze dočasně analyzují — neukládáme je mimo rámec dat, která z nich Služba vytěží a uloží jako faktury či položky katalogu.

4. Účely zpracování a právní základ

Poskytování Služby a správa účtu — plnění smlouvy (čl. 6 odst. 1 písm. b GDPR). Údaje zpracováváme po dobu trvání vašeho účtu.

Zabezpečení Služby a prevence zneužití — oprávněný zájem (čl. 6 odst. 1 písm. f GDPR). Zahrnuje přihlašovací logy, rate‑limiting a detekci neobvyklého chování.

Provozní komunikace (potvrzení registrace, obnova hesla, pozvánky do organizací, technická oznámení) — plnění smlouvy a oprávněný zájem.

Plnění zákonných povinností — pokud nám zákon nařizuje údaje uchovávat (např. v případě budoucího zpoplatnění Služby povinnost uchovávat daňové doklady dle zákona o účetnictví, cca 10 let).

5. Zpracovatelé a příjemci údajů

Při provozu Služby spolupracujeme s třetími stranami, které nám pomáhají s infrastrukturou. Všichni zpracovatelé pracují s údaji výhradně v nezbytném rozsahu a podle našich pokynů.

Sparked Hosting (Francie) — poskytovatel serverové infrastruktury, na které Služba běží. Má přístup k diskovému úložišti a databázi.

Zoho Corporation B.V. — služba ZeptoMail (EU region, datacentra v Evropské unii) — odesílání transakčních e‑mailů: potvrzení registrace, ověřovací odkaz, obnova hesla, pozvánky do organizací, automatická upozornění (např. blížící se konec zkušební verze, daňový doklad za předplatné), e‑maily z kontaktního formuláře a odchozí faktury vystavené přes funkci „Odeslat zákazníkovi". Zpracovává e‑mailovou adresu příjemce, jméno odesílatele a obsah zprávy včetně případných příloh (PDF faktura, ISDOC). Zpracování probíhá v rámci EU; mateřská společnost Zoho Corporation Pvt. Ltd. má sídlo v Indii, předávání proto rovněž pokrývá rámec uvedený v čl. 6.

Pozn.: uživatelé v tarifu Pro mohou ve Službě nastavit vlastní SMTP server pro odchozí faktury — v takovém případě faktury opouštějí Službu přímo přes uživatelův SMTP a nepředávají se přes ZeptoMail. Provozní e‑maily Služby (registrace, hesla, pozvánky, předplatné) přesto nadále odchází přes ZeptoMail.

Cloudflare, Inc. (USA) — používáme čtyři dílčí služby:

Browser Rendering API — generování PDF dokladů. Do Cloudflare odchází pouze HTML šablona jednoho konkrétního dokladu, ze které se vytvoří PDF; vstup se neuchovává.
Cloudflare R2 (EU jurisdikce, datacentra v Evropě) — denní šifrovaná záloha celé databáze. Záloha je před nahráním lokálně zašifrována (GPG AES‑256) a Cloudflare tak ukládá pouze nečitelný blok bytů. Retence je nastavena na 7 dnů; starší soubory se automaticky mažou.
Turnstile — kontrola, že kontaktní formulář na faktuo.cz/kontakt není odesílán botem. Cloudflare při tom analyzuje technické signály prohlížeče; my žádné takové signály neukládáme.
Cloudflare Email Routing + Worker (pouze pokud si aktivujete propojení s bankou) — bankovní notifikace přicházejí na vygenerovanou adresu na subdoméně bank.faktuo.cz. Cloudflare obsah e‑mailu neuchovává; krátký Worker skript jej v paměti zvalidatuje a okamžitě přepošle na náš server, kde z něj extrahujeme strukturovaná data (viz čl. 3) a samotný e‑mail zahodíme. Jde o přeposílání v reálném čase, žádný mailbox ani archiv. Bez aktivace propojení s bankou pro vás Cloudflare Email Routing nezpracovává nic.

ARES (Ministerstvo financí ČR) — veřejný rejstřík ekonomických subjektů. Při vyhledání firmy podle IČO odesíláme do ARESu pouze samotné IČO. Nejde o zpracovatele v režimu GDPR, ale o veřejný státní registr.

Česká národní banka (ČNB) — veřejný kurzový lístek pro přepočet faktur v cizích měnách. Nezasíláme žádné osobní údaje, pouze stahujeme denní kurzy.

ComGate Payments, a.s. (ČR) — zpracování plateb za předplatné Faktuo Pro. Pokud si zakoupíte placené předplatné, do ComGate odchází vaše jméno, e‑mail a platební údaje (číslo karty zadáváte přímo na stránce ComGate, nikdy neprochází našimi servery). Předávání je založeno na plnění smlouvy dle čl. 6 odst. 1 písm. b GDPR.

Fio banka, a.s. — automatické párování plateb k fakturám, pokud si jej ve Službě aktivujete. Posíláme pouze read‑only token, který si sami vygenerujete v internetovém bankovnictví, a přijímáme seznam pohybů. Bez aktivace této funkce se na Fio nic neposílá.

V budoucnu zvažujeme zavedení:

Google LLC nebo jiného poskytovatele analytiky návštěvnosti veřejných stránek; spouštění proběhne až po získání souhlasu skrze cookie lištu.

6. Předávání údajů mimo EU

Servery Služby a všechny aktivně přijímané datové toky stojí v Evropské unii — produkční databáze a diskové úložiště ve Francii (Sparked Hosting), odchozí e‑maily přes Zoho ZeptoMail v EU regionu, zálohy v EU‑jurisdikčním bucketu Cloudflare R2.

Někteří zpracovatelé (Cloudflare, Inc. — USA; Zoho Corporation Pvt. Ltd. — Indie jako mateřská společnost Zoho Corporation B.V.) jsou organizačně usazeni mimo EU, i když datacentra, ve kterých zpracovávají vaše data, leží v EU. Předávání pokrývá:

EU‑US Data Privacy Framework (rozhodnutí Evropské komise o odpovídající úrovni ochrany ze dne 10. 7. 2023) — Cloudflare je na seznamu certifikovaných organizací,
standardní smluvní doložky (SCC) dle čl. 46 GDPR jako záložní právní základ pro předávání mimo EU (Zoho — Indie a Cloudflare jako záloha).

7. Cookies a podobné technologie

Faktuo samo o sobě nenastavuje žádné analytické ani marketingové cookies — neobsahuje Google Analytics, reklamní skripty, sledovací pixely ani vestavěný obsah třetích stran (Facebook, YouTube, atd.). Marketingový web faktuo.cz ani aplikace app.faktuo.cz tedy nepoužívají žádné cookies, které by vyžadovaly souhlas.

Některé striktně nezbytné cookies se však nastavují automaticky:

Cloudflare — používáme Cloudflare jako proxy a CDN pro obě domény; Cloudflare v rámci ochrany před boty a DDoS automaticky nastavuje:

__cf_bm — Cloudflare Bot Management; rozlišuje legitimního návštěvníka od bota. Životnost ~30 minut.
_cfuvid — relační cookie navázané na rate‑limiting pravidla. Mizí po zavření prohlížeče.
cf_clearance — pouze pokud Cloudflare uživateli předloží bezpečnostní challenge (např. po sérii podezřelých dotazů). Životnost až 1 rok.

Pokud na kontaktní stránce vyplňujete formulář, načítá se widget Cloudflare Turnstile, který nahrazuje klasické CAPTCHA bez nutnosti souhlasit s cookies. Případné cookies, které Turnstile používá, patří doméně challenges.cloudflare.com, nikoliv faktuo.cz.

Aplikace app.faktuo.cz používá navíc jeden technický cookie pro fungování přihlášení:

PHPSESSID — session cookie udržující přihlášený stav; končí při odhlášení nebo zavření prohlížeče.

Všechny výše uvedené cookies jsou striktně nezbytné pro bezpečné poskytování Služby a dle čl. 6 odst. 1 písm. b GDPR i § 89 zákona č. 127/2005 Sb. (a ePrivacy směrnice) nevyžadují souhlas.

Volba tmavého režimu se ukládá v localStorage pod klíčem theme. Nejde o cookie a nejsou v ní žádné osobní údaje.

Pokud v budoucnu zavedeme analytické nebo marketingové cookies, vyžádáme si k nim výslovný souhlas skrze cookie lištu.

8. Jak dlouho údaje uchováváme

Účet a obchodní data — po celou dobu trvání vašeho účtu. Po zrušení účtu jsou data smazána okamžitě z produkční databáze. Šifrované denní zálohy se rotují s 7 denní retencí, což znamená, že do 7 dnů od zrušení účtu z nich vaše údaje rovněž zmizí.

Provozní logy serveru (IP adresa, čas, URL dotazu) — uchováváme po nezbytně nutnou dobu pro účely bezpečnosti a diagnostiky. Logy nepropojujeme s účty uživatelů a nepoužíváme je k profilování. Uchovávání vyplývá z našeho oprávněného zájmu na zabezpečení Služby.

Daňové doklady za předplatné Faktuo Pro — dle zákona č. 563/1991 Sb., o účetnictví, uchováváme 10 let od konce účetního období, ke kterému se vztahují. Tato povinnost je nezávislá na trvání vašeho účtu — i po jeho zrušení si daňové doklady ponecháváme v archivu, abychom splnili zákonnou povinnost.

Strukturovaná data z bankovních notifikací (pouze u Uživatelů, kteří si dobrovolně aktivovali volitelnou funkci propojení s bankou) — uchováváme po dobu trvání aktivního propojení. Po jeho deaktivaci tvoří záznam o úhradě nedílnou součást účetní evidence Uživatele a na jeho zachování se vztahuje doba uchovávání účetních záznamů dle § 31 zákona o účetnictví (zpravidla 10 let). Uživatel může jednotlivé záznamy ze své aplikace kdykoliv exportovat nebo smazat. Po zrušení účtu se záznamy mažou společně s ostatními daty (viz výše).

Anonymizovaný otisk e‑mailové adresy — pro účely prevence zneužití zkušební verze uchováváme neobrátitelný SHA‑256 hash e‑mailových adres, které si zkušební verzi již aktivovaly. Hash neumožňuje zpětně zjistit samotnou adresu a není propojen s žádným uživatelským ani účetním záznamem. Uchovávání je založeno na našem oprávněném zájmu na ochraně Služby před opakovaným zneužitím zdarma poskytovaného zkušebního období (čl. 6 odst. 1 písm. f GDPR) a trvá i po smazání účtu.

Suppression list (e‑mailové adresy s tvrdým bounce nebo stížností) — abychom respektovali pokyny příjemců a chránili reputaci našeho odesílacího zázemí, vedeme seznam adres, které poskytovatelé pošty nahlásili jako trvale nedoručitelné nebo na které příjemce sám podal stížnost. Pro takové adresy zaznamenáváme adresu, důvod, čas první a poslední události. Záznam slouží jako záruka, že na adresu dále neposíláme žádné e‑maily ze Služby. Uchovávání je založeno na oprávněném zájmu (čl. 6 odst. 1 písm. f GDPR) a trvá, dokud existuje riziko opakovaného odeslání (typicky 24 měsíců). Smazání lze požádat na [email protected].

9. Vaše práva

Ve vztahu ke svým osobním údajům máte následující práva, která můžete kdykoliv uplatnit zasláním žádosti na [email protected]. Vaši žádost vyřídíme bez zbytečného odkladu, nejpozději do jednoho měsíce.

Právo na přístup — zjistit, jaké údaje o vás zpracováváme, a získat jejich kopii.
Právo na opravu — opravit nepřesné nebo doplnit neúplné údaje.
Právo na výmaz („právo být zapomenut") — nechat údaje smazat, pokud už nejsou potřeba pro uvedené účely.
Právo na omezení zpracování — požadovat, abychom zpracování dočasně pozastavili.
Právo na přenositelnost — získat své údaje ve strukturovaném, strojově čitelném formátu (CSV, ISDOC, PDF) a předat je jinému správci. Export dat je k dispozici přímo v aplikaci.
Právo vznést námitku — proti zpracování, které je založeno na našem oprávněném zájmu.
Právo podat stížnost — u Úřadu pro ochranu osobních údajů (www.uoou.cz), pokud se domníváte, že vaše údaje zpracováváme v rozporu s právními předpisy.

Žádosti od třetích osob (zákazníků nebo protistran transakcí Uživatelů). U dat, která do Služby vkládají Uživatelé (zákazníci, protistrany u volitelné funkce propojení s bankou), vystupujeme jako zpracovatel. Pokud nás přímo kontaktuje subjekt údajů, jehož data zpracováváme jménem některého z Uživatelů, žádost bez zbytečného odkladu předáme příslušnému Uživateli jako správci — sami ji nevyřizujeme. O předání informujeme i žadatele.

10. Zabezpečení údajů

Přijímáme přiměřená technická a organizační opatření k ochraně vašich osobních údajů před neoprávněným přístupem, ztrátou, zničením nebo zneužitím:

šifrovaný přenos dat (HTTPS s HSTS, DKIM + DMARC pro odchozí e‑maily),
hashování hesel silným algoritmem (bcrypt),
ochrana proti CSRF a běžným webovým útokům, omezení rychlosti přihlašovacích pokusů,
izolace dat mezi jednotlivými organizacemi na databázové úrovni,
denní šifrované zálohy databáze (GPG AES‑256) ukládané do EU‑jurisdikčního bucketu Cloudflare R2 s 7‑denní retencí,
citlivé klíče v databázi (přístupové údaje k platební bráně, SMTP heslo, šifrovací heslo zálohy) jsou ukládány zašifrované pomocí libsodium,
omezený přístup k produkčním systémům pouze pro správce Služby.

11. Změny zásad

Tyto zásady můžeme aktualizovat, zejména v reakci na změny právních předpisů, napojení nových zpracovatelů nebo změny funkcí Služby. O podstatných změnách budeme uživatele informovat e‑mailem nebo oznámením v aplikaci alespoň 14 dní před nabytím účinnosti. Aktuální verze je vždy dostupná na této stránce.

12. Kontakt

Jakékoliv otázky ohledně zpracování osobních údajů, žádosti o uplatnění vašich práv nebo stížnosti směrujte na [email protected]. Odpovídám obvykle do jednoho pracovního dne.

Tyto zásady nabyly účinnosti dne 30. 4. 2026.

Zásady ochrany osobních údajů