Zásady ochrany osobních údajů

1. Správce osobních údajů

Správcem osobních údajů je:

• Jméno: Jurij Starynec, OSVČ
• IČO: 04080866
• DIČ: CZ9305054319
• Sídlo: Korunní 2569/108h, Vinohrady, 101 00 Praha 10
• E-mail: contact@skillsetup.tech
• Web: skillsetup.tech

(dále jen „Správce” nebo „SkillSetup”)

Správce nejmenoval pověřence pro ochranu osobních údajů (DPO), neboť mu tato povinnost nevzniká dle čl. 37 Nařízení (EU) 2016/679 (dále jen „GDPR”). Pro veškeré záležitosti týkající se ochrany osobních údajů se můžete obrátit na kontaktní údaje uvedené výše.

2. Právní rámec

Tyto Zásady ochrany osobních údajů (dále jen „Zásady”) jsou vydány v souladu s:

• Nařízením Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (obecné nařízení o ochraně osobních údajů, dále jen „GDPR”),
• Zákonem č. 110/2019 Sb., o zpracování osobních údajů (adaptační zákon k GDPR),
• dalšími příslušnými právními předpisy České republiky a Evropské unie.

3. Rozsah působnosti a role SkillSetup

3.1 Návštěvníci webových stránek

SkillSetup vystupuje jako Správce osobních údajů návštěvníků webových stránek skillsetup.tech. Zpracování se řídí těmito Zásadami.

3.2 Kontaktní osoby zákazníků (administrátoři společností)

SkillSetup vystupuje jako Správce osobních údajů kontaktních osob zákazníků, tj. osob, které se registrují jménem své společnosti jako administrátoři platformy SkillSetup. Zpracování se řídí těmito Zásadami.

3.3 Údaje zaměstnanců zákazníků – SkillSetup jako Zpracovatel

V rámci poskytování služeb HR platformy zpracovává SkillSetup osobní údaje zaměstnanců zákazníků výhradně jako Zpracovatel ve smyslu čl. 28 GDPR, a to na základě pokynů zákazníka (Správce).

Zpracování údajů zaměstnanců zákazníků není předmětem těchto Zásad. Toto zpracování se řídí:

• Smlouvou o zpracování osobních údajů (dále jen „DPA”) uzavřenou mezi SkillSetup (Zpracovatelem) a zákazníkem (Správcem),
• pokyny příslušného Správce (zákazníka),
• interními bezpečnostními a organizačními opatřeními SkillSetup.

Zaměstnanci zákazníků uplatňují svá práva dle GDPR (čl. 15–22) vůči svému zaměstnavateli (Správci). SkillSetup jako Zpracovatel poskytne zákazníkovi (Správci) součinnost při plnění jeho povinností vůči subjektům údajů v souladu s DPA.

Mezi údaje zaměstnanců zpracovávané jako Zpracovatel patří mimo jiné: identifikační údaje, údaje o pracovním poměru, finanční údaje, kontaktní údaje, zdravotní údaje (včetně údajů zvláštní kategorie dle čl. 9 GDPR), pojišťovací údaje, dokumenty, záznamy o absencích, inventář a auditní záznamy. Podrobnosti jsou specifikovány v příslušné DPA.

Údaje o poloze (geolokace). V rámci funkce docházky s ověřením polohy (geofencing) může být zpracovávána poloha (GPS souřadnice) zaměstnance zákazníka při zaznamenání příchodu a odchodu. Tento údaj je zpracováván výhradně na základě souhlasu konkrétního zaměstnance, který lze kdykoli odvolat – platforma pro udělení a odvolání souhlasu poskytuje samostatný mechanismus. Právním základem je čl. 7 odst. 1 GDPR ve spojení s § 316 zákona č. 262/2006 Sb., zákoníku práce. Stejně jako u ostatních údajů uvedených v tomto oddíle 3.3 probíhá toto zpracování jménem Zákazníka (Správce) a řídí se DPA a jeho pokyny; je zde uvedeno pouze pro účely transparentnosti.

4. Kategorie zpracovávaných osobních údajů (SkillSetup jako Správce)

4.1 Kontaktní údaje

• Jméno a příjmení
• E-mailová adresa
• Telefonní číslo

4.2 Účetní (registrační) údaje

• E-mailová adresa
• Hash hesla (Argon2id)

4.3 Technické údaje

• IP adresa
• User agent (identifikace prohlížeče)
• Typ prohlížeče a verze
• Operační systém
• Informace o zařízení

4.4 Údaje o relacích (sessions)

• Přístupový token (access_token, cookie)
• Obnovovací token (refresh_token, cookie)

4.5 Komunikační údaje

• Obsah odeslaných a přijatých e-mailů v rámci komunikace se Správcem

5. Účely a právní základy zpracování

5.1 Plnění smlouvy – čl. 6 odst. 1 písm. b) GDPR

5.2 Plnění právních povinností – čl. 6 odst. 1 písm. c) GDPR

5.3 Oprávněný zájem – čl. 6 odst. 1 písm. f) GDPR

Proti zpracování založenému na oprávněném zájmu máte právo vznést námitku dle čl. 21 GDPR (viz § 9.6).

Session replay (Sentry). Za účelem odhalování chyb a zajištění kvality služby může Správce prostřednictvím nástroje Sentry pořizovat tzv. záznamy session replay – nahrávky zachycující dění na obrazovce aplikace v průběhu uživatelské relace. Právním základem tohoto zpracování je oprávněný zájem Správce (čl. 6 odst. 1 písm. f) GDPR); subjekt údajů má právo vznést námitku dle čl. 21 GDPR (viz § 9.6). Doba uchovávání těchto záznamů je uvedena v Harmonogramu uchovávání údajů (viz § 8).

5.4 Souhlas – čl. 6 odst. 1 písm. a) GDPR

Souhlas lze kdykoli odvolat bez vlivu na zákonnost zpracování před jeho odvoláním (viz § 9).

6. Cookies

Zpracování údajů prostřednictvím souborů cookies je podrobně upraveno v samostatném dokumentu Zásady používání cookies (Cookie Policy), který je dostupný na webových stránkách skillsetup.tech.

Podstatné (nezbytné) cookies slouží k zajištění funkčnosti služby a jsou zpracovávány na základě oprávněného zájmu. Nepodstatné cookies jsou zpracovávány výhradně na základě souhlasu subjektu údajů.

7. Příjemci osobních údajů a dílčí zpracovatelé

7.1 Dílčí zpracovatelé (sub-processors)

SkillSetup využívá následující dílčí zpracovatele:

Toto je úplný seznam dílčích zpracovatelů SkillSetup; stejný seznam je uveden napříč celým dokumentačním balíčkem (tyto Zásady, DPA, ROPA).

7.2 Předávání údajů mimo EU/EHP

Veškeré osobní údaje jsou primárně zpracovávány a uloženy v rámci Evropské unie (datové centrum Frankfurt, eu-central-1). V případě aktivace Slack integrace zákazníkem jsou jména zaměstnanců a informace o absencích předávány společnosti Slack Technologies, LLC (USA) na základě rozhodnutí Evropské komise o odpovídající úrovni ochrany v rámci EU-US Data Privacy Framework (čl. 45 GDPR).

7.3 Další příjemci

Osobní údaje mohou být zpřístupněny:

• orgánům veřejné moci v případech stanovených zákonem (finanční úřad, soudy apod.),
• auditorům a daňovým poradcům v rozsahu nezbytném pro plnění zákonných povinností.

8. Doba uchovávání osobních údajů

Osobní údaje jsou uchovávány pouze po dobu nezbytnou pro naplnění účelu, pro který byly shromážděny, případně po dobu vyžadovanou příslušnými právními předpisy.

Následující Harmonogram uchovávání údajů je závazným a jediným zdrojem těchto lhůt napříč celým dokumentačním balíčkem SkillSetup (tyto Zásady, DPA, ROPA, VOP). Číselné hodnoty se v ostatních dokumentech neopakují, aby nemohlo dojít k jejich vzájemnému rozporu.

8.1 Údaje zpracovávané SkillSetup jako Správcem

8.2 Údaje zpracovávané jménem zákazníka (SkillSetup jako Zpracovatel)

Toto zpracování není předmětem těchto Zásad (viz § 3.3) a řídí se DPA a pokyny zákazníka jako Správce. Lhůty jsou uvedeny pro úplnost.

Po uplynutí příslušné doby uchovávání jsou osobní údaje vymazány nebo nevratně anonymizovány.

9. Práva subjektů údajů

Jako subjekt údajů máte v souladu s GDPR následující práva:

9.1 Právo na přístup (čl. 15 GDPR)

Máte právo získat od Správce potvrzení, zda osobní údaje, které se Vás týkají, jsou či nejsou zpracovávány, a pokud ano, máte právo získat přístup k těmto údajům a informacím uvedeným v čl. 15 GDPR.

9.2 Právo na opravu (čl. 16 GDPR)

Máte právo požadovat, aby Správce bez zbytečného odkladu opravil nepřesné osobní údaje, které se Vás týkají. S přihlédnutím k účelům zpracování máte rovněž právo na doplnění neúplných osobních údajů.

9.3 Právo na výmaz (čl. 17 GDPR)

Máte právo požadovat, aby Správce bez zbytečného odkladu vymazal osobní údaje, které se Vás týkají, pokud je dán některý z důvodů stanovených v čl. 17 GDPR. Právo na výmaz se neuplatní, pokud je zpracování nezbytné pro splnění právní povinnosti nebo pro určení, výkon nebo obhajobu právních nároků.

9.4 Právo na omezení zpracování (čl. 18 GDPR)

Máte právo požadovat, aby Správce omezil zpracování Vašich osobních údajů, pokud je dán některý z důvodů stanovených v čl. 18 GDPR, zejména pokud popíráte přesnost údajů, zpracování je protiprávní, nebo Správce údaje již nepotřebuje.

9.5 Právo na přenositelnost údajů (čl. 20 GDPR)

Máte právo získat osobní údaje, které se Vás týkají a které jste poskytl/a Správci, ve strukturovaném, běžně používaném a strojově čitelném formátu, a právo předat tyto údaje jinému správci, pokud je zpracování založeno na souhlasu nebo na plnění smlouvy a provádí se automatizovaně.

9.6 Právo vznést námitku (čl. 21 GDPR)

Máte právo kdykoli vznést námitku proti zpracování osobních údajů, které se Vás týkají, na základě oprávněného zájmu Správce (čl. 6 odst. 1 písm. f) GDPR). Správce osobní údaje dále nezpracovává, pokud neprokáže závažné oprávněné důvody pro zpracování, které převažují nad zájmy nebo právy subjektu údajů.

9.7 Právo odvolat souhlas

Pokud je zpracování založeno na souhlasu (čl. 6 odst. 1 písm. a) GDPR), máte právo svůj souhlas kdykoli odvolat. Odvoláním souhlasu není dotčena zákonnost zpracování vycházejícího ze souhlasu, který byl dán před jeho odvoláním.

9.8 Právo podat stížnost u dozorového úřadu (čl. 77 GDPR)

Máte právo podat stížnost u dozorového úřadu, pokud se domníváte, že zpracováním Vašich osobních údajů je porušeno GDPR. Příslušným dozorovým úřadem v České republice je:

Úřad pro ochranu osobních údajů (ÚOOÚ)

• Adresa: Pplk. Sochora 27, 170 00 Praha 7
• Web: uoou.cz
• E-mail: podatelna@uoou.cz
• Telefon: +420 234 665 111

9.9 Jak uplatnit svá práva

Svá práva můžete uplatnit:

• E-mailem: contact@skillsetup.tech
• Písemně: Jurij Starynec, Korunní 2569/108h, Vinohrady, 101 00 Praha 10

Správce je povinen reagovat na Vaši žádost bez zbytečného odkladu, nejpozději do jednoho měsíce od obdržení žádosti. V odůvodněných případech (složitost, počet žádostí) může být tato lhůta prodloužena o další dva měsíce, o čemž Vás Správce informuje.

Uplatnění práv je bezplatné. V případě zjevně nedůvodných nebo nepřiměřených žádostí (zejména z důvodu jejich opakování) může Správce účtovat přiměřený poplatek nebo žádost odmítnout v souladu s čl. 12 odst. 5 GDPR.

10. Automatizované rozhodování a profilování

SkillSetup neprovádí automatizované rozhodování ve smyslu čl. 22 GDPR, které by mělo právní účinky nebo se subjektu údajů obdobným způsobem významně dotýkalo.

SkillSetup neprovádí profilování osobních údajů.

SkillSetup v současnosti nevyužívá žádné funkce umělé inteligence (AI) při zpracování osobních údajů. V případě budoucího zavedení funkcí AI bude tato skutečnost reflektována v aktualizaci těchto Zásad a posouzena v souladu s Nařízením Evropského parlamentu a Rady (EU) 2024/1689 (Akt o umělé inteligenci).

11. Zabezpečení osobních údajů

Správce přijal vhodná technická a organizační opatření k zajištění úrovně zabezpečení odpovídající riziku v souladu s čl. 32 GDPR. Mezi přijatá opatření patří zejména:

11.1 Technická opatření

• Šifrování dat v klidu: AES-256-GCM pro citlivé údaje
• Šifrování dat při přenosu: TLS 1.2+ pro veškerou komunikaci
• Hashování hesel: Argon2id (odolný proti GPU a side-channel útokům)
• Vícefaktorová autentizace (MFA): dostupná pro všechny uživatelské účty
• Izolace dat nájemců: schématická izolace na úrovni databáze (tenant schema isolation)
• Auditní záznamy: kompletní záznam všech uživatelských akcí včetně IP adresy, user agenta a provedených změn

11.2 Organizační opatření

• Řízení přístupu na základě rolí (RBAC): 5 úrovní rolí s principem nejmenších oprávnění
• Pravidelné bezpečnostní aktualizace infrastruktury a aplikačních závislostí
• Zálohování dat s šifrováním
• Postupy pro řešení bezpečnostních incidentů v souladu s čl. 33 a 34 GDPR

12. Porušení zabezpečení osobních údajů

V případě porušení zabezpečení osobních údajů (data breach) Správce:

1. oznámí porušení dozorovému úřadu (ÚOOÚ) bez zbytečného odkladu, nejpozději do 72 hodin od zjištění, pokud je pravděpodobné, že porušení představuje riziko pro práva a svobody fyzických osob (čl. 33 GDPR),
2. informuje dotčené subjekty údajů bez zbytečného odkladu, pokud je pravděpodobné, že porušení bude mít za následek vysoké riziko pro jejich práva a svobody (čl. 34 GDPR).

13. Zdroj osobních údajů

Správce získává osobní údaje:

• přímo od subjektů údajů – při registraci, vyplnění kontaktního formuláře, e-mailové komunikaci nebo při používání služby,
• automaticky – technické údaje shromažďované při návštěvě webových stránek (IP adresa, user agent, informace o zařízení).

14. Povinnost poskytnutí údajů

Poskytnutí osobních údajů v rozsahu kontaktních a účetních údajů je smluvním požadavkem nezbytným pro vytvoření uživatelského účtu a poskytování služeb SkillSetup. Bez poskytnutí těchto údajů není možné službu poskytnout.

Poskytnutí souhlasu s marketingovými sděleními a nepodstatnými cookies je dobrovolné a jeho neposkytnutí nemá vliv na možnost využívání služby.

15. Změny Zásad ochrany osobních údajů

Správce si vyhrazuje právo tyto Zásady kdykoli aktualizovat nebo změnit. O podstatných změnách bude Správce subjekty údajů informovat:

• zveřejněním aktualizovaných Zásad na webových stránkách skillsetup.tech,
• e-mailovým oznámením registrovaným uživatelům (v případě podstatných změn).

Doporučujeme Zásady pravidelně kontrolovat. Datum poslední aktualizace je uvedeno na začátku tohoto dokumentu.

16. Závěrečná ustanovení

Tyto Zásady nabývají účinnosti dnem 4. srpna 2026.

Pokud by některé ustanovení těchto Zásad bylo nebo se stalo neplatným či nevymahatelným, nebude tím dotčena platnost ostatních ustanovení.

V případě rozporu mezi českou a jazykovou verzí těchto Zásad je rozhodující česká verze.

17. Historie verzí

Poslední aktualizace: 4. srpna 2026