Zásady ochrany osobních údajů

1. Správce osobních údajů

Správcem osobních údajů (dále jen „Správce") ve smyslu nařízení Evropského parlamentu a Rady (EU) 2016/679 (GDPR) je provozovatel aplikace ProInvestiQ: Lukáš Závodný, IČO 88061515, se sídlem Svitákova 2902/18, 155 00 Praha 5.

Kontaktní email pro otázky ochrany údajů: support@proinvestiq.com

2. Jaké údaje zpracováváme

2.1 Údaje, které poskytuješ sám

• Email a heslo - pro vytvoření a přihlášení do účtu. Heslo ukládáme pouze v hashované podobě (bcrypt přes Supabase Auth).
• Importované broker výpisy - transakce z brokerských účtů (eToro, Trading212, Patria, DEGIRO, IBKR, XTB, Revolut): datum, ticker, množství, cena, měna, typ. Tyto údaje jsou uloženy v databázi a viditelné pouze Tobě.
• Bankovní výpisy - datum, popis, částka, kategorie. Výpisy slouží pouze Tobě pro analýzu měsíčních výdajů. Nikam je neposíláme.
• Napojení banky Fio (volitelné) - pokud zadáš svůj Fio API token, aplikace jím automaticky stahuje Tvé transakce přímo z Fio banky (přes oficiální Fio API, fioapi.fio.cz). Token ukládáme zabezpečeně, slouží výhradně ke stažení Tvých vlastních dat a kdykoli ho můžeš odebrat. Stažené transakce zůstávají uložené jen u Tebe, nikam je dál nepředáváme.
• Vlastní kategorie a pravidla - kategorie, ke kterým přiřazuješ transakce.
• Smlouvy, pojistky a nemovitosti - údaje, které si sám/sama zadáš (dodavatel, částky, data platnosti, kontakt na poradce, nájemníci bez osobních údajů). Slouží pouze Tobě.
• Nahrané dokumenty - volitelně nahrané soubory smluv/pojistek (PDF, obrázky) ukládáme v soukromém šifrovaném úložišti (Supabase Storage), přístupné pouze Tobě. Mohou obsahovat osobní údaje; nahráním uděluješ souhlas. Při smazání smlouvy nebo účtu se soubory trvale odstraní.

2.2 Údaje získané automaticky

• Technické údaje - IP adresa, typ prohlížeče, verze OS, čas přihlášení (pro účely bezpečnosti a debugging).
• Cookies - pouze technicky nezbytné (session cookies pro přihlášení). Nepoužíváme reklamní ani marketingové cookies třetích stran.
• Statistika návštěvnosti - vlastní (first-party) agregovaná statistika používání (zobrazené stránky, zdroj návštěvy) bez cookies, bez profilování a bez předávání třetím stranám; slouží ke zlepšování služby (oprávněný zájem dle čl. 6 odst. 1 písm. f GDPR).

3. Účel a právní základ zpracování

Uvedené lhůty vymáhá automatická úloha, která běží každý den a starší záznamy nenávratně maže. Není to jen deklarace v tomto dokumentu.

4. Komu data předáváme (zpracovatelé)

Pro provoz služby spolupracujeme s následujícími zpracovateli, kteří mají přístup k Tvým datům pouze v rozsahu nezbytném pro poskytování technické infrastruktury:

• Supabase Inc. (databáze, autentizace + úložiště souborů) - server v EU, data uložena v Postgres s Row-Level Security; nahrané dokumenty v soukromém šifrovaném úložišti přístupném jen vlastníkovi.
• Netlify Inc. (hosting frontendu) - CDN, statické soubory.
• Resend (transakční emaily) - odeslání emailů pro potvrzení registrace, reset hesla.
• Stripe Payments Europe, Ltd. (platby) - zpracování plateb za předplatné; vidí e-mail a platební metadata, čísla karet se ukládají výhradně u Stripe.
• hCaptcha (Intuition Machines, Inc.) (ochrana proti botům) - zabezpečení přihlašovacích a registračních formulářů; zpracovává IP adresu a údaje o prohlížeči.
• Google (přihlášení přes Google) - pokud zvolíš přihlášení tlačítkem „Pokračovat přes Google", Google zpracuje údaje nutné k ověření Tvé identity.
• ipapi.co (geolokace IP) - při přihlášení z nového zařízení dohledá přibližné město a zemi z Tvé IP adresy pro bezpečnostní upozornění e-mailem („nové přihlášení"). Zpracovává výhradně IP adresu.
• Anthropic PBC (USA) (AI finanční analýza, plán Ultra) - pouze pokud dobrovolně spustíš AI rozbor svých financí, odešlou se agregovaná data (souhrn portfolia, čisté jmění, kategorizované výdaje - bez jména, e-mailu a kontaktních údajů) ke zpracování modelem Claude. Anthropic data nepoužívá k trénování svých modelů. Bez spuštění AI analýzy se nic neodesílá.
• Třetí strany pro tržní data: ČNB / ECB (FX kurzy), TwelveData (ceny akcií), Alpha Vantage (dividendy), CoinGecko (krypto ceny), SEC EDGAR (fundamenty firem). Tyto služby pouze poskytují data, Tvoje osobní údaje jim nepředáváme.

Data nikdy nepředáváme třetím stranám pro marketingové účely, neprodáváme je ani neposkytujeme reklamním sítím.

Předávání do třetích zemí: někteří zpracovatelé (Supabase, Netlify, Resend, Stripe) jsou společnosti se sídlem v USA. Data jsou uložena v EU regionech; případné předání do USA probíhá na základě rozhodnutí o odpovídající ochraně (EU-US Data Privacy Framework), případně standardních smluvních doložek dle čl. 46 GDPR. Do USA se rovněž předává IP adresa službě ipapi.co (geolokace pro bezpečnostní upozornění) a při dobrovolném spuštění AI analýzy agregovaná data službě Anthropic PBC - na základě standardních smluvních doložek dle čl. 46 GDPR.

5. Tvoje práva

Podle GDPR máš následující práva, která můžeš uplatnit kdykoli:

• Právo na přístup (čl. 15) - vyžádat si kopii všech svých dat. Můžeš je stáhnout přímo v Nastavení → Export dat.
• Právo na opravu (čl. 16) - opravit nepřesné údaje.
• Právo na výmaz (čl. 17, „právo být zapomenut") - smazat celý účet včetně všech transakcí. Můžeš provést v Nastavení → Smazat účet.
• Právo na přenositelnost (čl. 20) - získat svá data ve strukturovaném formátu (JSON/CSV).
• Právo na omezení zpracování (čl. 18).
• Právo vznést námitku (čl. 21) proti zpracování na základě oprávněného zájmu.
• Právo podat stížnost u dozorového úřadu - Úřad pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, uoou.cz.

6. Zabezpečení

Pro ochranu Tvých dat používáme:

• HTTPS s TLS 1.3 pro veškerou komunikaci.
• Row-Level Security v databázi - každý záznam je viditelný pouze vlastníkovi.
• Hesla hashovaná pomocí bcrypt (přes Supabase Auth).
• Pravidelné bezpečnostní aktualizace závislostí.
• HSTS, XFO, CSP a další bezpečnostní hlavičky.

7. Cookies

Používáme pouze technicky nezbytné cookies pro fungování přihlášení (session tokeny Supabase). Pro měření návštěvnosti používáme vlastní agregovanou statistiku bez cookies (identifikátor relace uložený jen v sessionStorage prohlížeče, žádné třetí strany, žádné profilování). Souhlas se zpracováním cookies dle ePrivacy směrnice proto nepotřebujeme.

8. Automatizované rozhodování

ProInvestiQ neprovádí automatizované rozhodování ani profilování s právními účinky ve smyslu čl. 22 GDPR. Výpočty a souhrny v aplikaci slouží pouze pro Tvoji orientaci a nemají právní účinky.

9. Změny zásad

Tyto zásady můžeme čas od času aktualizovat. O podstatných změnách budeš informován emailem nebo upozorněním v aplikaci s minimálně 14denním předstihem.

10. Kontakt

V případě jakéhokoli dotazu ohledně zpracování Tvých osobních údajů nebo uplatnění práv kontaktuj: support@proinvestiq.com.