Zásady ochrany osobních údajů
Tyto zásady vysvětlují, jak „HRko" (dále „my") zpracovává osobní údaje návštěvníků webu hrko.eu, uživatelů aplikace app.hrko.eu a uživatelů mobilní aplikace HRko pro Android a iPhone. Totéž platí pro instance HRka provozované pro konkrétního klienta na jeho vlastní adrese (např. hrko.uhcar.cz) a pro jejich mobilní aplikace (např. „HRko UH CAR"). Zpracování probíhá v souladu s Nařízením (EU) 2016/679 (GDPR) a zákonem č. 110/2019 Sb., o zpracování osobních údajů.
Obsah
1. Správce vs. zpracovatel
HRko působí ve dvou různých rolích podle toho, čí údaje zpracovává:
- Správce — pro údaje návštěvníků webu, uchazečů o naše služby a uživatelských účtů administrátorů. Sami určujeme, proč a jak údaje zpracováváme.
- Zpracovatel — pro údaje zaměstnanců a HR data, která do aplikace nahráli naši klienti (zákaznické firmy). V tomto případě je správcem daný klient, my údaje zpracováváme podle jeho pokynů na základě smlouvy o zpracování osobních údajů (DPA).
2. Jaké údaje zpracováváme
2.1 Návštěvníci webu
- IP adresa, user-agent, čas návštěvy — z webových logů
- Soubory cookies (viz Cookie policy)
- Údaje, které sami zadáte do kontaktního formuláře nebo poptávky (jméno, e-mail, telefon, název firmy, IČO)
2.2 Uživatelé aplikace
- Identifikační údaje účtu — e-mail, jméno, zobrazované jméno
- Autentizační údaje — hash hesla (BCrypt), TOTP secret pro MFA, refresh tokeny
- Logy aktivity — login/logout, IP adresa, prováděné operace (audit log)
- Kontaktní údaje, pokud je sami vyplníte (telefon, alternativní e-mail)
2.3 Zaměstnanci našich klientů
V roli zpracovatele uchováváme údaje, které do aplikace nahrávají sami klienti. Typicky jde o:
- Identifikační údaje — jméno, příjmení, datum narození, rodné číslo
- Kontaktní údaje — adresa, telefon, e-mail
- Pracovní údaje — pozice, mzda, smlouvy, plán směn, docházka, dovolená
- Dokumenty — pracovní smlouvy, lékařské posudky, certifikáty (nahrávané klientem)
Konkrétní rozsah a doba uchování jsou určeny v DPA s daným klientem.
2.4 Mobilní aplikace
Mobilní aplikace HRko (Android z Google Play, na iPhonu jako webová aplikace přidaná na plochu) zobrazuje stejná data jako webová aplikace — směny, dovolenou, docházku, zprávy a upozornění. Navíc zpracovává:
- Údaje o zařízení — interní identifikátor instalace, platforma (Android / web), název modelu telefonu, verze aplikace, čas registrace a posledního odemčení. Slouží ke správě přihlášených zařízení; uživatel je vidí ve svém profilu a může je kdykoli odhlásit.
- Token pro push oznámení — na Androidu token služby Firebase Cloud Messaging, na iPhonu a v prohlížeči adresa odběru Web Push. Bez nich nelze doručit oznámení o nové zprávě nebo žádosti ke schválení.
- Obsah oznámení — nadpis a krátký text upozornění (např. „Nová zpráva" a její začátek, žádost o dovolenou). U citlivých typů upozornění se posílá jen obecný text a obsah se zobrazí až po otevření aplikace.
- Zabezpečení přístupu — PIN ukládáme pouze jako jednosměrný otisk (hash). Otisk prstu ověřuje výhradně telefon; do aplikace ani k nám se nedostane, na serveru je uložen jen veřejný klíč pro ověření podpisu.
Aplikace neobsahuje reklamy ani analytické a sledovací nástroje, nepřistupuje k poloze, kontaktům, fotografiím ani jiným datům v telefonu. Požaduje jen oprávnění k zobrazování oznámení a (pokud si ho uživatel zvolí) k odemykání otiskem prstu. Přihlašovací relace se drží jen v paměti aplikace; v zabezpečeném úložišti telefonu zůstávají pouze údaje o registraci zařízení, které se smažou odhlášením nebo odinstalováním aplikace.
3. Účely a právní základy zpracování
| Účel | Právní základ | Doba uchování |
|---|---|---|
| Poskytování služby HRko (provoz účtu, autentizace) | Plnění smlouvy (čl. 6 odst. 1 písm. b GDPR) | Po dobu trvání smlouvy + 30 dní |
| Fakturace a účetnictví | Zákonná povinnost (zákon o účetnictví) | 10 let od konce účetního období |
| Marketingová komunikace (newsletter) | Souhlas (čl. 6 odst. 1 písm. a) | Do odvolání souhlasu |
| Mobilní aplikace — správa přihlášených zařízení a doručování oznámení | Plnění smlouvy (čl. 6 odst. 1 písm. b) a oprávněný zájem (bezpečnost) | Do odhlášení zařízení, nejdéle 90 dní od posledního použití |
| Bezpečnost a audit log | Oprávněný zájem (čl. 6 odst. 1 písm. f) | 2 roky |
| Webové logy serveru | Oprávněný zájem (bezpečnost) | 90 dní |
| Cookies — nezbytné | Oprávněný zájem | Sezení / max 12 měsíců |
| Cookies — analytické a marketingové | Souhlas (přes cookie banner) | Do odvolání |
4. Příjemci údajů
Údaje sdílíme pouze s pečlivě vybranými subprocesory, kteří jsou smluvně vázáni dodržováním GDPR. Aktuální seznam je veřejný na stránce Subprocessors. Hlavní subprocesoři:
- Oracle Cloud Infrastructure (Oracle Czech, s.r.o.) — hosting aplikace, region eu-frankfurt-1 (Německo)
- Let's Encrypt — TLS certifikáty
- Google Ireland Limited — Google Analytics 4, měření návštěvnosti webu hrko.eu; jen se souhlasem návštěvníka a pouze na webu, nikoli v aplikaci
- Google Ireland Limited — Firebase Cloud Messaging, doručování push oznámení do mobilní aplikace pro Android (token zařízení a obsah oznámení)
- Provozovatelé služeb Web Push (Apple, Google, Mozilla — podle prohlížeče uživatele) — doručení oznámení na iPhone a do prohlížeče; obsah oznámení je šifrován end-to-end a služba ho nemůže přečíst
Údaje nepředáváme orgánům veřejné moci nad rámec zákonných povinností.
5. Mezinárodní přenos údajů
Všechna produkční data jsou uložena výhradně v EU (Německo, datacentrum Oracle Frankfurt); instance provozované pro klienta na jeho vlastním serveru jsou uloženy tam, kde určí klient. Data aplikace se mimo EU neukládají.
Výjimkou je doručování push oznámení do mobilní aplikace pro Android přes službu Firebase Cloud Messaging: token zařízení a obsah oznámení může společnost Google zpracovávat i mimo EU (zejména v USA). Přenos je zajištěn standardními smluvními doložkami Evropské komise a certifikací Google LLC v rámci EU-US Data Privacy Framework. Oznámení nese jen krátký text; citlivé typy upozornění jen obecné znění. Oznámení doručovaná přes Web Push (iPhone, prohlížeč) jsou šifrována end-to-end.
6. Doba uchování
Údaje uchováváme jen po dobu nezbytně nutnou. Konkrétní lhůty jsou v tabulce výše. Po skončení doby údaje neodvolatelně mažeme nebo anonymizujeme.
7. Vaše práva
Podle GDPR máte právo:
- Na přístup — kopii údajů, které o vás máme
- Na opravu — pokud jsou údaje nesprávné
- Na výmaz („být zapomenut")
- Na omezení zpracování
- Na přenositelnost — export ve strojově čitelném formátu (CSV/JSON)
- Vznést námitku proti zpracování z oprávněného zájmu
- Odvolat souhlas — kdykoli a bez udání důvodu
- Podat stížnost u Úřadu pro ochranu osobních údajů
Žádost zašlete na privacy@hrko.eu. Vyřídíme ji nejpozději do 30 dní (ve výjimečných případech max do 90 dní s informací o prodloužení).
Důležité: pokud jste zaměstnancem některé z firem, které HRko využívají, žádost adresujte přímo svému zaměstnavateli (správci údajů). My pouze provádíme úkony na základě jeho pokynů.
8. Kontakt a stížnost
Kontakt pro otázky ochrany osobních údajů: privacy@hrko.eu
Identifikační údaje správce: viz stránka Provozovatel
Dozorový orgán: Úřad pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, uoou.cz
Tyto zásady můžeme čas od času aktualizovat. Aktuální verzi najdete vždy na této stránce. Materiální změny vám oznámíme s předstihem e-mailem.