Zpracování osobních údajů (GDPR)

Poslední aktualizace: 6. listopadu 2026

1. Správce a zpracovatel údajů

Správce osobních údajů: Mám Flekk s.r.o., se sídlem Za Lidkou 818, Hlouška, 284 01 Kutná Hora, IČO: 29509696, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze, oddíl C, vložka 447593.
Kontakt: info@flekk.cz, +420 735 755 773.
Jednatel: Richard Gašparík.

Výše uvedená společnost (dále jen "Provozovatel") vystupuje ve vztahu k osobním údajům v dvojí roli:

• Jako správce ve vztahu k údajům uživatelů Platformy (registrovaní poskytovatelé služeb) a k recenzím, které o podnicích píší klienti (bod 2.4)
• Jako zpracovatel ve vztahu k údajům koncových klientů, které uživatelé ukládají prostřednictvím Platformy, a k přihláškám uchazečů o práci z formuláře na webu podniku (bod 2.3)

2. Zpracovávané osobní údaje

2.1 Údaje uživatelů (správce)

• Jméno a příjmení
• E-mailová adresa
• Telefonní číslo
• Název a adresa provozovny
• Fakturační údaje
• Technické údaje (IP, prohlížeč, zařízení)
• Zdroj registrace (parametry UTM, identifikátor kliknutí na reklamu gclid nebo fbclid)

2.2 Údaje koncových klientů (zpracovatel)

• Jméno klienta
• Kontaktní údaje (telefon, e-mail)
• Historie návštěv a poskytnutých služeb
• Poznámky a preference zadané uživatelem
• Fotodokumentace (pokud je nahrána)
• Údaje z importu seznamu klientů

2.3 Přihlášky do týmu z webu podniku (zpracovatel)

Když má podnik na svém webu ve Flekku formulář s přihláškou do týmu, je správcem údajů uchazečů podnik a Poskytovatel je zpracovává jeho jménem. Znění souhlasu a odkaz na zásady ochrany osobních údajů podniku jsou součástí formuláře.

• Zpracováváme jméno a příjmení, e-mail, telefon, odkaz na pracovní profil, text, který uchazeč napíše, a životopis, pokud ho přiloží (PDF, Word .docx nebo obrázek, nejvýš 10 MB).
• U přihlášky ukládáme také znění souhlasu, odkaz na zásady podniku, se kterými uchazeč souhlasil, a datum odeslání.
• Přihlášku vidí jen majitel podniku v administraci. Životopis je v neveřejném úložišti a stáhne ho jen majitel. Fotografie v životopisu ukládáme bez údajů o poloze a fotoaparátu.
• Majiteli pošleme e-mail a upozornění, že přišla nová přihláška. Údaje uchazeče v nich nejsou.
• Přihlášku i životopis smažeme automaticky 6 měsíců po odeslání. Majitel je může smazat dřív, a tak vyřizuje i žádost uchazeče o výmaz.

2.4 Recenze (správce)

Recenze píší jen klienti s ověřeným účtem Flekk po dokončené návštěvě. Podnik je nemůže skrýt ani upravit. Celá pravidla recenzí najdete v obchodních podmínkách.

• U recenze zpracováváme hodnocení hvězdičkami, text, datum, křestní jméno autora a vazbu na hodnocenou rezervaci.
• Podle rezervace ověřujeme, že návštěva proběhla, že ji hodnotí klient s ověřeným účtem Flekk a že ji hodnotí jednou. Recenzi z účtu majitele nebo člena týmu podniku nepřijmeme.
• Na stránce podniku je u recenze vidět křestní jméno autora, hodnocení, text a datum.
• Automatická moderace může skrýt recenzi s vulgaritami, spamem, nenávistí nebo osobními údaji a také recenzi podezřelou z podvodu. Podnik si skrytou recenzi přečte a může ji zveřejnit.
• Pokud zrušíte svůj účet, smažeme u vašich recenzí jméno a text. Hodnocení hvězdičkami zůstane a dál se počítá do průměru.
• U recenzí z Facebooku ukládáme jen odkazy na veřejné příspěvky, které vybral podnik. Obsah recenze se načítá přímo z Facebooku a jen po vašem souhlasu.

3. Smlouva o zpracování údajů (DPA)

Registrací na Platformě a používáním funkcí pro správu klientů nebo formuláře s přihláškou do týmu na webu podniku uzavírá uživatel s Poskytovatelem smlouvu o zpracování osobních údajů (Data Processing Agreement) dle čl. 28 GDPR. Smlouva se vztahuje na údaje koncových klientů i uchazečů o práci.

Poskytovatel se zavazuje:

• Zpracovávat údaje koncových klientů a uchazečů o práci výhradně na základě pokynů uživatele
• U přihlášek do týmu přihlášku uložit, zobrazit ji majiteli podniku a smazat ji nejpozději 6 měsíců po odeslání, nebo dříve na jeho pokyn
• Zajistit odpovídající technická a organizační opatření
• Nepředávat údaje třetím stranám bez souhlasu uživatele
• Na žádost uživatele údaje vymazat nebo vrátit
• Umožnit a přispívat k provádění auditů

4. Technická a organizační opatření

• Šifrování dat při přenosu (TLS 1.3)
• Šifrování dat v klidu (AES-256)
• Přístup k databázi pouze přes autentizované a autorizované kanály
• Pravidelné zálohování dat
• Monitorování bezpečnostních hrozeb
• Omezení přístupu na principu nejmenších oprávnění

5. Zpracovatelé, hosting a další příjemci

Provoz Platformy využívá následující zpracovatele osobních údajů:

• DigitalOcean, LLC (hosting, USA, servery ve Frankfurtu): provozuje server Platformy a databázi, kde jsou uložené údaje uživatelů, koncových klientů a uchazečů o práci včetně záloh.
• Raintank, Inc. (Grafana Labs, monitorování serveru, USA, servery v Německu): ukládá provozní logy API, tedy čas, adresu a výsledek každého požadavku na server (bez parametrů a přístupových kódů), číslo účtu a zkrácenou IP adresu, a záznamy o chybách a bezpečnostních událostech. E-maily, telefonní čísla ani obsah požadavků do logů neposíláme. Záznamy po 14 dnech maže.
• Vercel Inc. (provoz webu, USA, servery ve Frankfurtu): provozuje web flekk.cz a aplikaci app.flekk.cz na serverech v EU. Při každé návštěvě zpracovává IP adresu, údaje o prohlížeči a obsah zobrazených stránek. S vaším souhlasem měří návštěvnost (Vercel Analytics).
• Cloudflare, Inc. (úložiště souborů a záloh, DNS, USA): ukládá v úložišti s jurisdikcí EU nahrané soubory, například fotografie, které doručuje přes cdn.flekk.cz, v neveřejném úložišti životopisy z přihlášek do týmu a zálohy databáze, které pořizujeme každou hodinu a před odesláním šifrujeme.
• Stripe Payments Europe, Ltd. (platby): certifikace PCI DSS, jurisdikce EU. Provozovatel Platformy nepřichází do styku s úplnými údaji platební karty.
• Google Ireland Limited (e-mail, Irsko): odesílá e-maily Platformy přes Google Workspace (adresa příjemce a obsah zprávy). E-mail o nové přihlášce do týmu údaje uchazeče neobsahuje.
• TOPefekt s.r.o. (BulkGate, SMS, Česká republika) a Twilio Ireland Limited (SMS, Irsko): odesílají SMS s ověřovacími kódy a upozorněními (telefonní číslo a text zprávy).
• 650 Industries, Inc. (Expo, push notifikace, USA): doručuje notifikace do mobilní aplikace (identifikátor zařízení a text notifikace).
• RevenueCat, Inc. (předplatné v mobilní aplikaci, USA): eviduje předplatné zakoupené v obchodě s aplikacemi (identifikátor účtu a údaje o nákupu).
• Fakturoid s.r.o. (fakturace, Česká republika): vystavuje faktury za předplatné Platformy (fakturační údaje podniku).
• PostHog, Inc. (analytika produktu, USA, data uložená v EU): údaje o používání Platformy, u kterých uživatele označujeme jen číslem účtu.
• Functional Software, Inc. (Sentry, hlášení chyb, USA, data uložená v EU): technické údaje o chybách, které při používání Platformy nastanou.
• OpenAI Ireland Limited (umělá inteligence, Irsko): pohání asistenta v administraci a dostává od něj dotazy uživatele a údaje, které asistent vyhledá, například jména a kontaktní údaje klientů. Když je služba Anthropic nedostupná, zastoupí ji u textů kampaní, pomoci s psaním a překladem textů, návrhů segmentů klientů, AI poradce ve statistikách a odpovědí na dotazy návštěvníků stránky podniku a dostane k tomu stejné údaje. Údaje nepoužívá k trénování modelů a nejpozději do 30 dnů je smaže.
• Anthropic, PBC (umělá inteligence, USA): pohání texty kampaní, pomoc s psaním a překladem textů, návrhy segmentů klientů, AI poradce ve statistikách a odpovědi na dotazy návštěvníků stránky podniku a dostává k tomu zadání a text uživatele, souhrnné statistiky podniku včetně jmen pracovníků a dotaz návštěvníka. Dále pohání odpovědi podpory, kontrolu recenzí, odhad nedostavení se a návrh rozpisu směn a dostává jen údaje, které daná funkce potřebuje, například obsah dotazu na podporu, text recenze, historii návštěv nebo jména pracovníků, jejich dostupnost, důvody nepřítomnosti a poznámky k směnám. Čte také soubory, které uživatel nahraje při importu klientů (PDF, fotografie, volný text) a při úvodním nastavení profilu (web, ceník v PDF). Z tabulek (CSV, Excel, vCard) dostává jen názvy sloupců a anonymizovaný tvar hodnot, nikoli osobní údaje. Při importu produktů do Skladu dostává názvy, varianty a značky produktů, jejich jednotky a obsah balení a názvy kategorií podniku, aby navrhla, co v souboru chybí; ceny ani kódy nedostává a texty, které vypadají jako e-mail nebo telefonní číslo, vynecháme. Údaje nepoužívá k trénování modelů.
• Firecrawl (načtení webu, USA): při úvodním nastavení profilu načte web podniku, který uživatel zadá, včetně kontaktních údajů a jmen, které na něm jsou zveřejněné.
• GitHub, Inc. (evidence chyb, USA): když uživatel přes asistenta v administraci nahlásí chybu, uložíme hlášení s přepisem konverzace a číslem podniku. E-maily a telefonní čísla z něj předem odstraníme.

Pokud návštěvník webu flekk.cz povolí v cookie banneru marketingové cookies, dostávají údaje o jeho návštěvě (navštívená stránka, identifikátory cookies, IP adresa a údaje o prohlížeči, registrace nebo založení podniku) také Meta Platforms Ireland Limited (Meta Pixel) a Google Ireland Limited (značka Google pro Google Ads). Slouží k měření našich reklam a právním základem je souhlas (čl. 6 odst. 1 písm. a) GDPR a § 89 odst. 3 zákona o elektronických komunikacích). Tyto společnosti nejsou našimi zpracovateli, údaje zpracovávají jako další správci podle svých zásad. Údaje koncových klientů ani obsah administrace jim nepředáváme.

Při bezpečnostních událostech, například neúspěšném přihlášení, ověřujeme IP adresu u služeb ipwho.is a AbuseIPDB (poloha a hlášené zneužití). Stránky podniků načítají mapu s adresou podniku z Map Google, takže Google Ireland Limited dostane IP adresu návštěvníka a údaje o prohlížeči. Když zadáte IČO, ověříme ho ve veřejném registru ARES Ministerstva financí.

Recenze z Facebooku na stránkách podniků: když je zobrazíte (po souhlasu v liště cookies nebo tlačítkem u recenzí), dostane Meta Platforms Ireland Limited vaši IP adresu, údaje o prohlížeči a adresu stránky a může ukládat své cookies. Pro své další zpracování je Meta samostatným správcem.

Když ve vyhledávání zobrazíte mapu, načteme Mapy Google společnosti Google Ireland Limited, případně mapu OpenStreetMap od OpenStreetMap Foundation (Spojené království), a ty přitom dostanou IP adresu, údaje o prohlížeči a zobrazenou oblast. Hledanou adresu může dostat také vyhledávání adres OpenStreetMap (Nominatim), a to i při zadávání adresy v administraci. Mapa v mobilní aplikaci na iPhonu používá Mapy Apple společnosti Apple Distribution International Ltd. (Irsko). Když v mobilní aplikaci zadáváte adresu, návrhy adres nám poskytuje Český úřad zeměměřický a katastrální (ČÚZK), který dostane zadaný text a IP adresu.

Vercel, Cloudflare, PostHog, Functional Software (Sentry), 650 Industries (Expo), RevenueCat, Anthropic, Firecrawl a GitHub zpracovávají údaje v USA. DigitalOcean ukládá databázi Platformy ve Frankfurtu a Grafana Labs provozní logy v Německu, ale jako americké společnosti mohou údaje zpracovávat i mimo EU. Google, Twilio a OpenAI mohou údaje předat do USA v rámci své skupiny. Takové předání je chráněno rámcem EU-USA pro ochranu osobních údajů (EU-U.S. Data Privacy Framework), pokud je příjemce v tomto rámci certifikován, jinak standardními smluvními doložkami schválenými Evropskou komisí, které s příjemcem uzavíráme. Kopii těchto záruk vám na požádání zašleme, napište na info@flekk.cz. Služby ipwho.is a AbuseIPDB, kterým při bezpečnostních událostech předáváme IP adresu, sídlí mimo EU. Spojené království zajišťuje odpovídající ochranu podle rozhodnutí Evropské komise. Meta a Google mohou údaje z marketingových cookies předat do USA na základě rámce EU-USA pro ochranu osobních údajů (EU-U.S. Data Privacy Framework). Další předání mimo EU/EHP neprovádíme; pokud bychom zapojili dalšího zpracovatele s takovým předáním, doplníme ho sem dříve, než ho zapojíme.

6. Práva subjektů údajů

Každý subjekt údajů má právo:

• Na informace o zpracování svých údajů
• Na přístup ke svým osobním údajům
• Na opravu nepřesných údajů
• Na výmaz (právo být zapomenut)
• Na omezení zpracování
• Na přenositelnost údajů ve strojově čitelném formátu
• Vznést námitku proti zpracování
• Podat stížnost u dozorového úřadu (ÚOOÚ, www.uoou.cz)

7. Doba uchovávání

• Údaje uživatelů: po dobu trvání účtu + 3 roky
• Údaje koncových klientů: po dobu trvání účtu uživatele
• Přihlášky do týmu z webu podniku: 6 měsíců od odeslání, nebo kratší dobu, pokud je podnik smaže dřív; v zálohách databáze nejvýše dalších 14 dní
• Fakturační údaje: 10 let (zákonná povinnost)
• Technické logy: 90 dní
• Provozní logy API v Grafana Cloud: 14 dní
• Zálohy databáze: nejvýše 14 dní

8. Bezpečnostní incidenty

V případě bezpečnostního incidentu, který ohrožuje osobní údaje, se Poskytovatel zavazuje informovat dotčené uživatele a příslušný dozorový úřad do 72 hodin od zjištění incidentu, jak vyžaduje čl. 33 GDPR.

9. Pověřenec pro ochranu osobních údajů

Pro otázky spojené se zpracováním osobních údajů se obracejte na: info@flekk.cz

10. Platnost

Tyto zásady jsou platné a účinné od 13. května 2026, v aktuálním znění od 19. října 2026.