Zásady ochrany osobních údajů

Účinné od: 26. září 2026

Tyto zásady vysvětlují, jak služba Slateroom (slateroom.com) zpracovává osobní údaje. Rozhodující je české znění. Anglická verze je překlad. Pokud se obě verze liší, platí český text.

1. Kdo jsme

Provozovatelem služby Slateroom a správcem osobních údajů je:

David Kurka, IČO 06266215, se sídlem Mlýnská 376, 696 21 Prušánky
fyzická osoba podnikající, zapsaná v živnostenském rejstříku

E-mail pro otázky ochrany osobních údajů: info@slateroom.com

Slateroom je software pro podniky poskytující služby, například terapeuty, finanční poradce, salony a holičství. Podniky ve Slateroom spravují svůj web, online rezervace, zákazníky, evidenci plateb a pracovníky. Službu provozujeme z České republiky.

2. Dvě role Slateroom

Podle toho, o čí údaje jde, vystupujeme ve dvou rolích:

• Správce. U údajů našich vlastních uživatelů, tedy majitelů podniků a jejich pracovníků, kteří mají ve Slateroom účet, dále u fakturace a komunikace s námi a u návštěvníků webu slateroom.com. Těchto údajů se týkají části 3, 4 a 6 až 14.
• Zpracovatel. U údajů, které podniky ve Slateroom shromažďují o svých zákaznících (rezervace, kontaktní údaje, poptávky, záznamy o platbách). Správcem těchto údajů je příslušný podnik. Podrobnosti jsou v části 5.

3. Údaje, které zpracováváme jako správce

3.1 Uživatelský účet

• jméno a e-mailová adresa,
• heslo (ukládáme pouze jeho hash, nikoli heslo samotné),
• role a členství v týmech podniků,
• pozvánky do týmu: e-mail pozvané osoby, přidělená role a stav pozvánky (pozvánka platí 7 dní).

3.2 Přihlášení a technické údaje

• Přihlašovací tokeny. Po přihlášení vydáváme krátkodobý přístupový token (platnost 1 hodina) a obnovovací token (platnost 30 dní). Na serveru ukládáme pouze jejich hash.
• IP adresa a údaje o prohlížeči. IP adresu krátkodobě používáme k omezení počtu požadavků na veřejné formuláře a na přijetí pozvánky. Provozní záznam webového serveru zaznamenává jen cestu požadavku, při chybě se ale IP adresa objevit může. Do databáze aplikace IP adresy neukládáme.
• Chybová hlášení. Pokud v aplikaci dojde k chybě, zaznamenáme technické údaje o chybě, chybové a varovné zprávy z konzole prohlížeče a záznam průběhu relace v okamžiku chyby (session replay). Záznam relace ve výchozím nastavení maskuje text a zadané hodnoty. K hlášením sami nepřipojujeme identitu uživatele. Chybový záznam na serveru může výjimečně obsahovat údaje z právě zpracovávaného požadavku.
• Cookies a místní úložiště. Viz část 10.

3.3 Fakturace a komunikace

• identifikační a fakturační údaje podniku a údaje o úhradách za službu (faktury vystavujeme ve službě Fakturoid),
• obsah komunikace s námi (například e-maily s dotazy a požadavky na podporu).

Slateroom neobsahuje platební bránu a údaje o platebních kartách nezpracovává.

3.4 Údaje z účtu Google

Pokud si propojíte účet Google, zpracováváme údaje popsané v části 8.

3.5 Web slateroom.com

• Kontaktní formulář. Jméno, e-mail, telefon a text zprávy, které do formuláře vyplníte. Zprávy z formuláře přicházejí e-mailem do naší schránky info@slateroom.com a použijeme je k odpovědi na váš dotaz.
• Měření návštěvnosti. Web používá službu Cloudflare Web Analytics, která nepoužívá cookies a nevytváří profily návštěvníků. Zpracovává technické údaje o návštěvě, například navštívenou stránku, typ prohlížeče a zemi.

3.6 Odkud údaje získáváme

Údaje získáváme přímo od vás, od podniku, který vás pozval do svého týmu (váš e-mail a role), a při propojení účtu Google také od společnosti Google (e-mailová adresa účtu Google).

4. Účely a právní základy

Poskytnutí jména, e-mailu a hesla je nezbytné pro vytvoření účtu. Bez nich službu nelze používat. Propojení s Google je dobrovolné.

5. Slateroom jako zpracovatel (údaje zákazníků podniků)

Podniky ve Slateroom zpracovávají údaje o svých zákaznících a dalších osobách, zejména:

• rezervace (jméno, telefon, e-mail, poznámka zákazníka, termín, služba, cena),
• evidenci zákazníků (jméno, telefon, e-mail, interní poznámky),
• poptávky z kontaktního formuláře (jméno, e-mail, telefon, text zprávy),
• záznamy o platbách (způsob úhrady, částka, datum; bez údajů o platebních kartách),
• profily pracovníků zveřejněné na webu podniku (například jméno, fotografie, medailonek).

Správcem těchto údajů je podnik, u kterého jste si službu rezervovali nebo kterému jste poslali poptávku. Slateroom je zpracovává pouze podle pokynů podniku na základě smlouvy o zpracování osobních údajů, kterou s podnikem uzavíráme. K tomu využíváme další zpracovatele uvedené v části 6, například k odeslání potvrzení rezervace e-mailem nebo připomínky rezervace v SMS.

Pokud jste zákazníkem některého podniku, informace o zpracování svých údajů najdete v zásadách ochrany osobních údajů daného podniku. Se žádostmi o uplatnění svých práv se obracejte přímo na něj. Pokud se se žádostí obrátíte na nás, odkážeme vás na příslušný podnik a podnik o tom informujeme.

6. Příjemci a zpracovatelé

Osobní údaje neprodáváme. Předáváme je pouze poskytovatelům, které potřebujeme k provozu služby:

Funkce umělé inteligence. Pokud podnik použije generování nebo překlad obsahu webu, odesíláme poskytovateli AI název a popis podniku, texty stránek, služeb a referencí a u profilů pracovníků jejich jména, medailonky, pracovní zařazení a pohlaví (pro gramaticky správný překlad). Údaje o zákaznících, rezervacích, poptávkách, platbách ani uživatelských účtech poskytovatelům AI neodesíláme.

Údaje můžeme dále předat orgánům veřejné moci, pokud nám to ukládá zákon, a svým právním, daňovým a účetním poradcům v nezbytném rozsahu.

7. Předávání mimo EU a EHP

Někteří poskytovatelé sídlí ve Spojených státech nebo tam mohou údaje zpracovávat: Resend, Sentry, Anthropic, Cloudflare a Google. Servery a úložiště služby jsou v Německu.

Předání se opírá o rozhodnutí Evropské komise o odpovídající ochraně (rámec EU-U.S. Data Privacy Framework) u poskytovatelů, kteří jsou v tomto rámci certifikováni, a v ostatních případech o standardní smluvní doložky schválené Evropskou komisí. Na požádání vám sdělíme podrobnosti o použitých zárukách.

8. Údaje z Google API

Slateroom používá jednu aplikaci Google OAuth pro dvě volitelné integrace. Každou z nich propojuje uživatel samostatně a může ji kdykoli odpojit.

8.1 Co získáváme při propojení (oprávnění openid a email)

Při propojení přečteme z Google pouze e-mailovou adresu propojeného účtu Google. Používáme ji k tomu, abychom vám v nastavení zobrazili, který účet je propojen, a abychom zabránili nechtěné záměně propojeného účtu za jiný. Jméno, profilovou fotografii ani identifikátor účtu Google nezískáváme a neukládáme.

8.2 Kalendář Google (oprávnění https://www.googleapis.com/auth/calendar.events.owned)

Svůj účet Google může propojit každý pracovník podniku. Propojení platí pro daného uživatele.

Co Slateroom v Kalendáři Google dělá:

• po potvrzení rezervace vytvoří událost v hlavním (primárním) kalendáři uživatele,
• při změně termínu rezervace událost aktualizuje,
• při přeřazení rezervace na jiného pracovníka událost odstraní z kalendáře původního pracovníka a vytvoří ji v kalendáři nového pracovníka, pokud má kalendář propojen,
• při zrušení nebo smazání rezervace událost odstraní,
• při prvním propojení (a při opětovném propojení) přidá do kalendáře existující budoucí potvrzené rezervace daného uživatele.

Události dokončených rezervací a rezervací, na které se zákazník nedostavil, v kalendáři ponecháváme.

Co událost obsahuje: název události složený z názvu služby a jména zákazníka, začátek a konec rezervace a časové pásmo podniku. Událost neobsahuje popis, místo, účastníky, telefon ani e-mail zákazníka, poznámku ani cenu.

Co Slateroom z Kalendáře Google čte: nic. Slateroom v současnosti nečte žádné události ani kalendáře uživatele. Pracuje pouze s událostmi, které sám vytvořil.

U jména zákazníka v názvu události je správcem podnik (část 5). Do kalendáře pracovníka se jméno zapisuje proto, aby pracovník viděl své rezervace.

8.3 Firemní profil Google (oprávnění https://www.googleapis.com/auth/business.manage)

Propojení provádí uživatel s oprávněním spravovat podnik a platí pro daný podnik.

Současný stav: Slateroom při propojení uloží pouze e-mailovou adresu propojeného účtu Google a šifrovaný obnovovací token. Žádné údaje z Firemního profilu Google (účty, provozovny, recenze) zatím nečte a nic do něj nezapisuje.

Plánované použití: po zprovoznění funkce bude Slateroom z Firemního profilu Google pouze číst:

• seznam účtů a provozoven, aby uživatel mohl vybrat provozovnu svého podniku,
• recenze vybrané provozovny: zobrazované jméno autora, odkaz na jeho profilovou fotografii, hodnocení, text recenze a datum.

Recenze se zobrazí jako reference na webu daného podniku. Text recenze nebudeme upravovat. Pokud má web podniku více jazykových verzí, může být text recenze strojově přeložen prostřednictvím našeho poskytovatele AI (část 6), a to pouze za účelem zobrazení označeného překladu na webu podniku. Do Firemního profilu Google nebude Slateroom nic zapisovat (například odpovědi na recenze).

8.4 Uložení a zabezpečení

• Obnovovací tokeny OAuth ukládáme šifrované (autentizované šifrování knihovnou libsodium). Šifrovací klíč je uložen odděleně od databáze.
• Přístupové tokeny neukládáme. Získáváme je podle potřeby a držíme je pouze v paměti po dobu jednotlivé operace.
• Kromě šifrovaného obnovovacího tokenu ukládáme e-mailovou adresu propojeného účtu, stav propojení a u Kalendáře Google také záznam o tom, které rezervace byly do kalendáře zapsány.

8.5 K čemu údaje z Google nepoužíváme

Údaje získané z Google API:

• neprodáváme,
• nepoužíváme k reklamě ani k personalizaci reklamy,
• nepoužíváme k vývoji ani trénování modelů umělé inteligence,
• nepředáváme třetím stranám, s výjimkou případů, kdy je to nezbytné k poskytnutí funkce, kterou jste si zapnuli, ke splnění právní povinnosti nebo k zajištění bezpečnosti služby.

V současnosti žádné údaje získané z Google API poskytovatelům AI nepředáváme.

Používání a předávání informací získaných z Google API službou Slateroom se řídí zásadami Google API Services User Data Policy (https://developers.google.com/terms/api-services-user-data-policy), včetně požadavků na omezené použití (Limited Use).

8.6 Odpojení a smazání

• Odpojení ve Slateroom (Kalendář v nastavení uživatele, Firemní profil v nastavení podniku) smaže uložené propojení včetně e-mailové adresy účtu Google a šifrovaného obnovovacího tokenu. Synchronizace se tím zastaví.
• Události, které Slateroom v Kalendáři Google už vytvořil, odpojením nemizí. Můžete je smazat přímo v Kalendáři Google.
• Odpojení ve Slateroom samo neruší oprávnění udělené na straně Google. Přístup Slateroom ke svému účtu Google úplně odeberete na adrese https://myaccount.google.com/permissions.
• Pokud Google oznámí, že oprávnění už neplatí (například proto, že jste je odebrali v účtu Google), synchronizace se zastaví a propojení označíme jako neplatné. Uložený šifrovaný token je v tu chvíli nepoužitelný. Smažeme jej při odpojení, při opětovném propojení jej nahradí nový.
• O smazání údajů souvisejících s propojením Google můžete také požádat na e-mailu uvedeném v části 1.

9. Doba uchování

• Údaje účtu: po dobu existence účtu. Na žádost zaslanou na e-mail uvedený v části 1 účet do 30 dnů anonymizujeme: nahradíme jméno a e-mailovou adresu, znemožníme přihlášení a odstraníme relace, členství v týmech a propojené služby. Záznamy, které musíme uchovávat kvůli účetnictví, například platby, pak odkazují na anonymní účet.
• Přihlašovací tokeny: přístupový token platí 1 hodinu, obnovovací token 30 dní. Odhlášením je zneplatníme.
• Pozvánky do týmu: platí 7 dní. Záznam o pozvánce smažeme 30 dní po skončení její platnosti, bez ohledu na to, zda byla přijata.
• Propojení s Google: do odpojení (část 8.6).
• Fakturační a účetní doklady: po dobu stanovenou daňovými a účetními předpisy (u daňových dokladů 10 let).
• Zálohy databáze: 30 dní.
• Provozní záznamy serveru a chybová hlášení: provozní záznamy uchováváme do dalšího nasazení, nejvýše 30 MB na službu. Chybová hlášení mažeme po 30 dnech, a to v našem úložišti i v Sentry.
• Komunikace s námi: po dobu potřebnou k vyřízení vašeho požadavku a následně po dobu, ve které lze uplatnit související nárok, nejdéle 3 roky od poslední zprávy.
• Profily členů týmu: když podnik smaže člena týmu, odstraníme jeho kontaktní údaje, fotografii, životopis, osvědčení, rozvrh a dovolené. Jméno ponecháváme, protože na něj odkazují rezervace, platby a poptávky jako na záznam o tom, kdo službu poskytl.
• Údaje zákazníků podniků (část 5): o době uchování rozhoduje podnik jako správce. Rezervaci, poptávku nebo záznam o platbě, které podnik smaže, odstraníme z databáze trvale. V zálohách zůstanou do uplynutí doby uchování záloh. Po skončení smlouvy s podnikem jeho údaje po uplynutí 30 dnů trvale vymažeme z aktivních systémů. Ze záloh zmizí v rámci běžné rotace záloh.

10. Cookies a místní úložiště

Web slateroom.com nepoužívá analytické ani reklamní cookies. Měření návštěvnosti (část 3.5) funguje bez cookies.

10.1 Administrace Slateroom

Administrace používá pouze nezbytné cookies a položky místního úložiště prohlížeče. Analytické ani reklamní nástroje v administraci nepoužíváme.

Místní úložiště prohlížeče dále slouží k zapamatování stavu rozhraní, například naposledy otevřeného webu nebo rozpracovaného průvodce vytvořením webu. Tyto údaje zůstávají ve vašem prohlížeči.

10.2 Veřejné weby podniků

Weby podniků provozované ve Slateroom samy od sebe neukládají žádné cookies ani položky místního úložiště, s těmito výjimkami:

• Google Analytics. Používá se pouze na webech, kde si jej podnik nastavil, a načte se až poté, co udělíte souhlas v cookie liště. Pokud souhlas odmítnete nebo později odvoláte (odkaz „Nastavení cookies“ v patičce webu), cookies Google Analytics smažeme. Správcem údajů z měření je příslušný podnik.
• Videa YouTube. Pokud stránka obsahuje video z YouTube, náhledový obrázek se načítá ze serverů YouTube (Google) už při zobrazení stránky. Google tak získá vaši IP adresu a údaje o prohlížeči. Přehrávač YouTube, který může ukládat vlastní cookies, se načte až po kliknutí na video.
• Chybová hlášení. I na webech podniků zaznamenáváme chyby způsobem popsaným v části 3.2.

Cookies můžete také smazat nebo zablokovat v nastavení svého prohlížeče. Bez nezbytných cookies nebude fungovat přihlášení do administrace.

11. Zabezpečení

• Hesla ukládáme pouze jako hash (algoritmus Argon2id).
• Přihlašovací tokeny ukládáme pouze jako hash. Při podezření na zneužití obnovovacího tokenu zneplatníme celou relaci.
• Obnovovací tokeny Google ukládáme šifrované (část 8.4).
• Údaje jednotlivých podniků jsou v databázi odděleny na úrovni řádků (PostgreSQL Row-Level Security).
• Komunikace probíhá přes šifrované spojení HTTPS.
• Přístup uživatelů k údajům podniku řídí role a oprávnění.
• Veřejné formuláře chrání omezení počtu požadavků.

12. Vaše práva

Podle GDPR máte právo:

• na přístup ke svým osobním údajům,
• na opravu nepřesných údajů,
• na výmaz údajů, pokud pominul důvod jejich zpracování,
• na omezení zpracování,
• na přenositelnost údajů, které jste nám poskytli a které zpracováváme automatizovaně na základě smlouvy nebo souhlasu,
• vznést námitku proti zpracování založenému na oprávněném zájmu,
• kdykoli odvolat souhlas, pokud je zpracování na souhlasu založeno. Odvolání nemá vliv na zákonnost zpracování před odvoláním.

Práva uplatníte e-mailem na adrese uvedené v části 1. Odpovíme bez zbytečného odkladu, nejpozději do jednoho měsíce.

Máte také právo podat stížnost u dozorového úřadu: Úřad pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, https://www.uoou.cz.

13. Automatizované rozhodování

Neprovádíme automatizované rozhodování ani profilování, které by pro vás mělo právní nebo obdobně významné účinky.

14. Změny těchto zásad

Zásady můžeme aktualizovat, například při zavedení nové funkce nebo změně poskytovatele. Aktuální znění s datem účinnosti najdete vždy na této stránce. O podstatných změnách budeme uživatele informovat e-mailem nebo v administraci.

Pokud bychom chtěli podstatně změnit způsob, jakým používáme údaje uživatelů z Google, předem vás o tom informujeme a před zahájením nového způsobu použití vás požádáme o souhlas.