Tyto zásady popisují, jak společnost Rosen Tower s.r.o. zpracovává osobní údaje v souvislosti s provozem online služby Doruna dostupné na adresách doruna.com, app.doruna.com a souvisejících doménách.

Osobní údaje zpracováváme v souladu s nařízením (EU) 2016/679 (GDPR) a zákonem č. 110/2019 Sb., o zpracování osobních údajů.

1. Správce osobních údajů a kontakt

Obchodní firma	Rosen Tower s.r.o.
IČO	23407778
DIČ	CZ23407778 (plátce DPH)
Sídlo	Witthanova 118, 373 82 Včelná, Česká republika
Zápis	sp. zn. C 35456 vedená u Krajského soudu v Českých Budějovicích
Kontaktní e-mail	podpora@doruna.com

Pověřence pro ochranu osobních údajů (DPO) jsme nejmenovali — tato povinnost nám podle čl. 37 GDPR nevzniká. Ve věcech ochrany osobních údajů nás kontaktujte na podpora@doruna.com.

2. Naše dvojí role: správce a zpracovatel

2.1 Jsme správce

U údajů, které zpracováváme pro vlastní účely — registrační a účetní údaje zákazníka a jím pozvaných členů týmu, údaje potřebné pro plnění smlouvy, fakturaci, podporu a zabezpečení Služby, a údaje návštěvníků webových stránek.

2.2 Jsme zpracovatel

U údajů, které do Služby vkládá sám zákazník — údaje o jeho zaměstnancích, obchodních partnerech, dodavatelích, fakturách a dokladech. Zde je správcem zákazník a my zpracováváme data výhradně na základě jeho pokynů. Podmínky upravuje Smlouva o zpracování osobních údajů (DPA).

3. Kategorie zpracovávaných údajů

Údaje, u nichž jsme správce

Identifikační a kontaktní údaje: jméno, e-mail, telefon
Údaje o podnikatelském subjektu: obchodní firma, IČO, DIČ, adresa, bankovní spojení
Přihlašovací a bezpečnostní údaje: heslo (nevratný hash), 2FA, čas posledního přihlášení
Provozní a technické údaje: IP adresa, user-agent, auditní záznamy přístupu
Fakturační údaje k předplatnému (typ karty a poslední čtyřčíslí; úplná čísla karet nezpracováváme)

Zvláštní kategorie

V rámci mzdové a personální agendy mohou údaje o zaměstnancích zákazníka zahrnovat data spadající do zvláštních kategorií (zdravotní pojišťovna, ZTP/invalidita). Zpracováváme je výhradně jako zpracovatel na pokyn zákazníka; správcem je zákazník.

4. Účely a právní základy zpracování

Účel	Právní základ
Poskytování Služby a správa účtu	Plnění smlouvy — čl. 6/1/b
Fakturace a vlastní účetnictví	Právní povinnost — čl. 6/1/c
Zabezpečení, prevence podvodů, auditní záznamy	Oprávněný zájem — čl. 6/1/f
Obchodní sdělení stávajícím zákazníkům (s opt-out)	Oprávněný zájem — čl. 6/1/f; § 7 zák. 480/2004
Analytika návštěvnosti webu	Souhlas — čl. 6/1/a

5. Zpracování pomocí umělé inteligence

Funkce AI (vytěžování faktur, návrhy párování, cashflow, shrnutí datových zpráv) přenášejí obsah dokumentů do Google Gemini API, který vystupuje jako náš zpracovatel. Výsledky AI mají pouze doporučující charakter; nedochází k automatizovanému rozhodování s právními účinky (čl. 22 GDPR).

6. Příjemci a zpracovatelé

Osobní údaje neprodáváme. Aktuální přehled poskytovatelů naleznete v Seznamu zpracovatelů. Údaje lze předat orgánům veřejné moci, vyžaduje-li to zákon.

7. Předání do třetích zemí

Naše infrastruktura je provozována v EU. Někteří zpracovatelé mohou zpracovávat data v USA (Google, Resend). Předání je zajištěno standardními smluvními doložkami (SCC) a/nebo certifikací v rámci EU-U.S. Data Privacy Framework.

8. Doba uchování

Údaje	Doba uchování
Údaje k účtu zákazníka	Po dobu smlouvy + 1 rok (poté výmaz)
Data vložená zákazníkem (role zpracovatel)	Po dobu smlouvy + 1 rok (poté výmaz)
Archiv datových zpráv (ISDS)	Po dobu účtu + 1 rok; export na Google Drive kdykoli dostupný
Auditní záznamy	1 rok
Zálohy databáze	Max. 30 dní (rotace)

Zákonné lhůty pro archivaci účetních a daňových dokladů (10 let / 5 let) jsou povinností zákazníka jako správce. Doruna poskytuje export dat pro splnění těchto povinností.

9. Práva subjektů údajů

Máte právo na přístup, opravu, výmaz, omezení zpracování, přenositelnost a námitku. Žádost směřujte na podpora@doruna.com. Odpovíme do 30 dnů. Export dat poskytujeme na vyžádání.

10. Zabezpečení

Uplatňujeme technická a organizační opatření: šifrovaný přenos (HTTPS/TLS, HSTS), hashování hesel (bcrypt), šifrování citlivých osobních údajů v databázi (rodné číslo, bankovní data) a přístupových klíčů k integracím (AES-256), dvoufázové ověření (2FA), řízení přístupu dle rolí (RBAC), ochranu proti CSRF a vedení auditních záznamů. Infrastruktura je provozována v EU.

11. Ochrana dětí

Služba je určena výhradně podnikatelům starším 18 let. Vědomě nezpracováváme údaje dětí.

12. Dozorový úřad

Stížnost můžete podat u Úřadu pro ochranu osobních údajů (ÚOOÚ), Pplk. Sochora 27, 170 00 Praha 7, www.uoou.cz.

13. Změny zásad

O podstatných změnách informujeme registrované uživatele e-mailem a zveřejněním nové verze na webových stránkách.

Zásady ochrany osobních údajů