Tyto zásady popisují, jak společnost Rosen Tower s.r.o. zpracovává osobní údaje v souvislosti s provozem online služby Doruna dostupné na adresách doruna.cz, app.doruna.cz a souvisejících doménách.

Osobní údaje zpracováváme v souladu s nařízením (EU) 2016/679 (GDPR) a zákonem č. 110/2019 Sb., o zpracování osobních údajů.

1. Správce osobních údajů a kontakt

Obchodní firma	Rosen Tower s.r.o.
IČO	23407778
DIČ	CZ23407778 (plátce DPH)
Sídlo	Witthanova 118, 373 82 Včelná, Česká republika
Zápis	sp. zn. C 35456 vedená u Krajského soudu v Českých Budějovicích
Kontaktní e-mail	podpora@doruna.cz

Pověřence pro ochranu osobních údajů (DPO) jsme nejmenovali — tato povinnost nám podle čl. 37 GDPR nevzniká. Ve věcech ochrany osobních údajů nás kontaktujte na podpora@doruna.cz.

2. Naše dvojí role: správce a zpracovatel

2.1 Jsme správce

U údajů, které zpracováváme pro vlastní účely — registrační a účetní údaje zákazníka a jím pozvaných členů týmu, údaje potřebné pro plnění smlouvy, fakturaci, podporu a zabezpečení Služby, údaje o přístupu uživatelů klientského portálu, poptávky z webu, odběr novinek a údaje návštěvníků webových stránek.

2.2 Jsme zpracovatel

U údajů, které do Služby vkládá sám zákazník — údaje o jeho zaměstnancích, obchodních partnerech, dodavatelích, fakturách a dokladech, včetně údajů OSVČ pro daňová podání (bod 3.2). Zde je správcem zákazník a my zpracováváme data výhradně na základě jeho pokynů. Podmínky upravuje Smlouva o zpracování osobních údajů (DPA). Jste-li osobou, jejíž údaje do Služby vložil náš zákazník (například jeho zaměstnanec nebo obchodní partner), uplatňujte svá práva u něj; poskytneme mu potřebnou součinnost.

3. Kategorie zpracovávaných údajů

3.1 Údaje, u nichž jsme správce

Identifikační a kontaktní údaje: jméno, e-mail, telefon
Údaje o podnikatelském subjektu: obchodní firma, IČO, DIČ, adresa, bankovní spojení
Přihlašovací a bezpečnostní údaje: heslo (nevratný hash), 2FA, čas posledního přihlášení
Provozní a technické údaje: IP adresa, user-agent, auditní záznamy přístupu a záznamy o chybách aplikace
Záznam o přijetí obchodních podmínek a dalších dokumentů: verze, čas, IP adresa a prohlížeč
Fakturační údaje k předplatnému (typ karty a poslední čtyřčíslí; úplná čísla karet nezpracováváme)
Komunikace se zákaznickou podporou (e-mail, zprávy v aplikaci a v chatu) a záznamy hovorů, pokud hovor nahráváme (bod 4.1)
Uživatelé klientského portálu: přihlašovací e-mail, jméno, heslo (nevratný hash), čas přihlášení, IP adresa a záznam o zobrazení dokladu
Poptávky z webu a dotazy návštěvníků bez účtu (formulář poptávky, chat): jméno, e-mail, telefon, IČO a název firmy, text poptávky, IP adresa a identifikátor konverzace uložený ve vašem prohlížeči
Odběr novinek: e-mail, kdy a jak jste souhlas udělili, potvrdili nebo odvolali, znění souhlasu a IP adresa
Údaje o návštěvě webu a aplikace z analytických a reklamních nástrojů (jen s vaším souhlasem): identifikátory cookies, IP adresa, navštívené stránky a interakce

3.2 Údaje OSVČ pro daňová podání

OSVČ může do svého daňového profilu zadat údaje potřebné pro oznámení o vstupu do paušálního režimu, přiznání k dani z příjmů fyzických osob a přehledy pro správu sociálního zabezpečení a zdravotní pojišťovnu:

rodné číslo a číslo pojištěnce — ukládáme je šifrovaně a v aplikaci je zobrazujeme jen maskované
jméno, příjmení, datum narození, pohlaví, státní příslušnost a adresa trvalého pobytu
příslušná okresní správa sociálního zabezpečení, zdravotní pojišťovna a variabilní symbol plateb pojistného
den zahájení a předměty činnosti, způsob zdanění, paušální režim, daňové rezidentství, zálohy na daň a pojistné a účast na dobrovolném nemocenském pojištění
druh samostatné výdělečné činnosti (hlavní, vedlejší) a důvod vedlejší činnosti — zaměstnání, studium, starobní nebo invalidní důchod, rodičovský příspěvek nebo péče o osobu
údaje o dětech pro daňové zvýhodnění: jméno, datum narození, měsíce nároku a průkaz ZTP/P
údaje o manželovi nebo manželce pro slevu na dani: měsíce nároku a průkaz ZTP/P
stupeň invalidity a průkaz ZTP/P (bod 3.4)

Oznámení o vstupu do paušálního režimu s rodným číslem a číslem pojištěnce odešleme na váš pokyn z vaší datové schránky finančnímu úřadu; soubor podání (XML) si také můžete stáhnout do svého zařízení a podat sami. Tyto údaje zpracováváme jako zpracovatel podle bodu 2.2.

3.3 Historie změn daňového profilu

U každé změny daňového profilu (například způsobu zdanění, paušálního režimu, pojišťovny, záloh nebo slev na dani) zaznamenáváme, kdo, kdy a od kdy nastavení změnil, s hodnotou před změnou a po ní — včetně slev (u dětí jméno a datum narození, stupeň invalidity a průkaz ZTP/P) a jména, příjmení a adresy trvalého pobytu. Rodné číslo a číslo pojištěnce do historie nezapisujeme, jen to, že se změnily. Historie slouží k doložení, podle jakého nastavení se počítala daň a pojistné.

3.4 Zvláštní kategorie

V rámci mzdové a personální agendy mohou údaje o zaměstnancích zákazníka zahrnovat data spadající do zvláštních kategorií (zdravotní pojišťovna, ZTP/invalidita, pracovní neschopnost). Údaji o zdravotním stavu jsou také stupeň invalidity OSVČ, průkaz ZTP/P, který OSVČ uvádí u sebe, manžela nebo manželky a dětí pro slevy na dani, a invalidní důchod uvedený jako důvod vedlejší činnosti. Zpracováváme je výhradně jako zpracovatel na pokyn zákazníka; správcem je zákazník.

3.5 Údaje z účtu Google

Přihlásíte-li se přes Google, převezmeme od Googlu identifikátor účtu, e-mail a jméno. Připojíte-li Disk Google, Doruna na něm vytvoří složku „Doruna“ a pracuje jen s ní, se soubory v ní a se soubory, které sami vyberete; z účtu Google zjistí jen jeho e-mailovou adresu. Přístupové údaje k Disku ukládáme šifrovaně.

4. Účely a právní základy zpracování

Účel	Právní základ
Poskytování Služby a správa účtu, včetně přihlášení přes Google	Plnění smlouvy — čl. 6/1/b
Zákaznická podpora	Plnění smlouvy — čl. 6/1/b
Fakturace a vlastní účetnictví	Právní povinnost — čl. 6/1/c
Zabezpečení, prevence podvodů (včetně ověření, zda firmu zakládá osoba zapsaná u ní ve veřejném rejstříku), auditní záznamy, záznamy o chybách aplikace a ochrana formulářů před roboty	Oprávněný zájem — čl. 6/1/f
Doložení přijetí podmínek, oznámení o jejich změně a vydání exportu dat firmy	Oprávněný zájem — čl. 6/1/f
Nahrávání hovorů s podporou (bod 4.1)	Oprávněný zájem — čl. 6/1/f
Klientský portál: účet uživatele portálu	Plnění smlouvy (podmínky použití portálu) — čl. 6/1/b
Klientský portál: záznamy o přihlášení a zobrazení dokladů	Oprávněný zájem — čl. 6/1/f
Poptávky z webu a dotazy návštěvníků bez účtu	Oprávněný zájem — čl. 6/1/f
Novinky a nabídky e-mailem (newsletter)	Souhlas — čl. 6/1/a
Doklad o udělení a odvolání souhlasu s odběrem novinek	Oprávněný zájem — čl. 6/1/f
Analytika návštěvnosti webu a aplikace	Souhlas — čl. 6/1/a
Měření a cílení reklamy (Google Ads, Meta)	Souhlas — čl. 6/1/a

4.1 Nahrávání hovorů s podporou

Hovory se zákaznickou podporou mohou být nahrávány. Na nahrávání upozorníme na začátku hovoru; kdo si nahrávání nepřeje, může podporu kontaktovat písemně. Záznam slouží k doložení obsahu hovoru, k ochraně právních nároků a ke zlepšování kvality podpory; právním základem je náš oprávněný zájem (čl. 6 odst. 1 písm. f) GDPR). Záznam uchováváme nejdéle 1 rok od hovoru. Proti nahrávání můžete vznést námitku na začátku hovoru nebo na podpora@doruna.cz. Nástroj, kterým hovory nahráváme, uvedeme v Seznamu zpracovatelů a příjemců dříve, než ho začneme používat.

5. Zpracování pomocí umělé inteligence

Funkce AI (vytěžování faktur, návrhy párování, cashflow, shrnutí datových zpráv) přenášejí obsah dokumentů do Google Gemini API, který vystupuje jako náš zpracovatel. Používáme výhradně placenou úroveň Gemini API. Výsledky AI mají pouze doporučující charakter; nedochází k automatizovanému rozhodování s právními účinky (čl. 22 GDPR).

6. Příjemci a zpracovatelé

Osobní údaje neprodáváme. Zpracovatele a další příjemce jmenovitě uvádí Seznam zpracovatelů a příjemců. Údaje lze předat orgánům veřejné moci, vyžaduje-li to zákon. Podání, která na váš pokyn odešleme z vaší datové schránky, obdrží jejich adresát: finanční úřad (přiznání k DPH, kontrolní hlášení, oznámení o vstupu do paušálního režimu), u podání mzdové agendy Česká správa sociálního zabezpečení a zdravotní pojišťovna.

7. Předání do třetích zemí

Aplikaci a databázi provozujeme v EU. Zálohy databáze (šifrované) a přílohy datových zpráv ukládáme v úložišti Cloudflare R2. Někteří zpracovatelé mohou zpracovávat data v USA (Cloudflare, Google, PostHog, Resend, Sentry, Stripe), stejně jako reklamní služby Google a Meta, které používáme jen s vaším souhlasem. Předání je zajištěno standardními smluvními doložkami (SCC) a/nebo certifikací v rámci EU-U.S. Data Privacy Framework.

8. Doba uchování

Údaje	Doba uchování
Údaje k účtu zákazníka	Po dobu trvání účtu; po zrušení účtu ještě 30 dnů, poté výmaz
Data vložená zákazníkem (role zpracovatel), včetně údajů OSVČ pro daňová podání	Po dobu trvání účtu; po zrušení účtu nebo smazání firmy ještě 30 dnů (o export lze v této lhůtě požádat), poté výmaz
Archiv datových zpráv (ISDS)	Jako data vložená zákazníkem; přílohy si můžete kdykoli uložit na svůj Disk Google
Historie změn daňového profilu (bod 3.3)	10 let od změny; smaže se se smazáním účtu
Auditní záznamy	1 rok
Záznam o vydání exportu dat firmy a o rozeslání oznámení o změně podmínek	10 let (záznam o exportu i po smazání firmy)
Záznamy o přihlášení a zobrazení dokladů v klientském portálu	24 měsíců; účet v portálu, který už nemá žádný přístup, smažeme
Poptávky z webu a dotazy návštěvníků bez účtu	Po dobu vyřízení a navazujícího jednání, nejdéle 12 měsíců od posledního kontaktu
Odběr novinek	Do odvolání souhlasu; nepotvrzenou přihlášku smažeme po 30 dnech, doklad o souhlasu a jeho odvolání uchováváme 3 roky od odhlášení
Záznamy hovorů s podporou	Nejdéle 1 rok od hovoru
Daňové doklady k předplatnému	10 let od konce zdaňovacího období, v němž se plnění uskutečnilo
Provozní záznamy serveru (logy)	30 dnů
Záznamy o chybách aplikace (Sentry)	Nejdéle 90 dnů
Údaje analytických a reklamních nástrojů	Cookies po dobu uvedenou v Zásadách používání cookies; u poskytovatele podle nastavení nástroje (Google Analytics nejdéle 14 měsíců)
Zálohy databáze	Max. 30 dní (rotace); smazaná data ze záloh zmizí nejpozději do 30 dnů

Zákonné lhůty pro archivaci účetních a daňových dokladů (10 let / 5 let) jsou povinností zákazníka jako správce. Doruna poskytuje export dat pro splnění těchto povinností.

9. Práva subjektů údajů

Máte právo na přístup, opravu, výmaz, omezení zpracování, přenositelnost a námitku. Žádost směřujte na podpora@doruna.cz. Odpovíme do 30 dnů. Kopii svých osobních údajů si můžete vyžádat také v aplikaci (Nastavení → Zabezpečení → Moje data). Export všech dat firmy připravíme na žádost jejího vlastníka (čl. 5 Obchodních podmínek).

Souhlas můžete kdykoli odvolat: u cookies odkazem „Nastavení cookies“, u novinek odkazem v každém e-mailu nebo v nastavení aplikace. Odvolání se nedotkne zpracování před ním.

10. Zabezpečení

Uplatňujeme technická a organizační opatření: šifrovaný přenos (HTTPS/TLS, HSTS), hashování hesel (bcrypt), šifrování vybraných citlivých osobních údajů v databázi (rodné číslo zaměstnance a jeho rodinných příslušníků a čísla bankovních účtů v kartě zaměstnance, rodné číslo a číslo pojištěnce v daňovém profilu OSVČ, číslo účtu a IBAN v adresáři obchodních partnerů a v údajích firmy) a přístupových údajů k datové schránce, Disku Google, Fio bance, účtu Stripe zákazníka a službě Uplisting (AES-256), šifrování záloh databáze (AES-256), dvoufázové ověření (2FA), řízení přístupu dle rolí (RBAC), ochranu proti CSRF a vedení auditních záznamů.

11. Ochrana dětí

Služba je určena výhradně podnikatelům starším 18 let. Údaje dětí zpracováváme jen tehdy, když je zákazník do Služby vloží kvůli slevám na dani nebo mzdové agendě (bod 3.2), a to jako zpracovatel.

12. Dozorový úřad

Stížnost můžete podat u Úřadu pro ochranu osobních údajů (ÚOOÚ), Pplk. Sochora 27, 170 00 Praha 7, www.uoou.cz.

13. Změny zásad

O podstatných změnách informujeme registrované uživatele e-mailem a zveřejněním nové verze na webových stránkách.

Zásady ochrany osobních údajů