Zásady ochrany osobních údajů

1. Kdo jsme

Provozovatelem platformy Realtorz (dále „platforma“) je:

Azamat Kassymbekov
IČO: 07115652
Vysočanská 237/101, 190 00 Praha 9 – Střížkov
info@realtorz.cz

Platforma je software pro realitní kanceláře: evidence klientů a zakázek, publikace nabídek, tržní data a asistent s umělou inteligencí.

2. Dvojí role: správce a zpracovatel

Správcem jsme u údajů, které nám dáváte jako uživatel platformy: registrace, přihlašování, nastavení účtu, provozní záznamy a fakturace.

Zpracovatelem jsme u údajů, které do platformy vkládá realitní kancelář o svých klientech, zájemcích a zakázkách. Správcem těchto údajů je kancelář; my je zpracováváme podle jejích pokynů a na základě smlouvy o zpracování. Chcete-li uplatnit svá práva jako klient kanceláře, obraťte se prosím nejprve na ni — my jí poskytneme součinnost.

3. Jaké údaje zpracováváme

• Účet uživatele: e-mail, jméno, jazyk, role v organizaci, čas přihlášení a základní technické identifikátory relace.
• Obsah organizace: kontakty, poptávky, zakázky, úkoly, prohlídky, poznámky, dokumenty a přílohy — vše, co kancelář v platformě vede.
• Komunikace: pokud kancelář zapne propojení e-mailu, zpracováváme zprávy související se zakázkami. Rozsah a viditelnost nastavuje kancelář a informuje o nich své zaměstnance.
• Technické záznamy: IP adresa, typ prohlížeče, čas a výsledek požadavku, identifikátor requestu. Slouží k provozu a bezpečnosti.
• Tržní data: veřejně dostupné inzeráty z realitních portálů sbíráme pro vnitřní analytiku trhu (ceny, doba inzerce). Tato data nepoužíváme k oslovování inzerentů a nezveřejňujeme je dál.

4. Právní základ zpracování

• plnění smlouvy (čl. 6 odst. 1 písm. b GDPR) — provoz platformy pro uživatele;
• oprávněný zájem (písm. f) — bezpečnost, prevence zneužití, provozní záznamy, zlepšování služby;
• právní povinnost (písm. c) — zejména zákon č. 253/2008 Sb. o některých opatřeních proti legalizaci výnosů z trestné činnosti a účetní předpisy;
• souhlas (písm. a) — u marketingových sdělení; lze jej kdykoli odvolat.

5. Doba uchování a AML

Údaje uchováváme jen po dobu nezbytnou k danému účelu. Údaje o zakázce a klientovi drží kancelář po dobu vztahu a přiměřenou dobu po jeho skončení; provozní záznamy v řádu měsíců.

Výjimka podle AML: identifikační údaje pořízené při identifikaci klienta podle zákona č. 253/2008 Sb. musíme uchovat 10 let. Tyto údaje proto nelze smazat na žádost — v platformě jsou vedeny odděleně právě proto, aby výmaz podle GDPR nesmazal to, co zákon nařizuje uchovat.

6. Komu údaje předáváme

Využíváme tyto zpracovatele:

• Hetzner Online GmbH (Německo) — servery a úložiště databáze.
• Cloudflare (úložiště R2, jurisdikce EU) — soubory, fotografie a přílohy.
• Resend — odesílání transakčních e-mailů a notifikací.
• Anthropic PBC (USA) — jazykový model pro funkce asistenta. Do modelu posíláme jen text nezbytný pro konkrétní úkol. Předání do USA je kryto standardními smluvními doložkami Evropské komise.
• PostHog (hosting v EU) — provozní a produktová analytika, je-li zapnuta.
• Poskytovatel videohovorů (Jitsi / 8x8) — online prohlídky.
• Realitní portály (Sreality a další) — pouze údaje, které kancelář vědomě publikuje v inzerátu.

Údaje neprodáváme a nepředáváme je k marketingu třetích stran.

7. Umělá inteligence

Asistent připravuje návrhy — texty inzerátů, překlady, koncepty odpovědí, výběry nemovitostí. Odeslání klientovi vždy potvrzuje člověk. Asistent nemá více oprávnění než uživatel, pod kterým běží, a jeho kroky se zapisují do historie organizace.

8. Data z vašeho účtu Google

Pokud si k Realtorz připojíte svůj účet Google, přistupujeme k jeho datům výhradně v rozsahu, který jste odsouhlasili v okně Google, a jen pro níže uvedené účely:

• Kalendář (calendar.events) — čteme a zapisujeme události, aby se prohlídky a termíny z Realtorz objevily ve vašem kalendáři a naopak. K jiným datům kalendáře nepřistupujeme.
• Odeslání e-mailu (gmail.send) — odesíláme zprávu, kterou jste v Realtorz sami připravili a potvrdili, z vaší adresy. Vaši poštu nečteme — oprávnění ke čtení Gmailu záměrně nepožadujeme vůbec.

Přístupové a obnovovací tokeny uchováváme šifrovaně a používáme je pouze k výše uvedeným operacím. Přístup můžete kdykoli odebrat v nastavení Realtorz nebo na myaccount.google.com/permissions — tokeny poté smažeme.

Data získaná z Google API nepředáváme třetím stranám, nepoužíváme je k reklamě ani k trénování modelů umělé inteligence a nezpřístupňujeme je lidem s výjimkou případů, které vy sami odsouhlasíte, které vyžaduje zákon, nebo které jsou nezbytné pro bezpečnost a podporu.

Používání informací získaných z rozhraní Google API se řídí dokumentem Google API Services User Data Policy, včetně požadavků na omezené použití (Limited Use).

9. Zabezpečení údajů

Osobní údaje — včetně citlivých dat a dat získaných z Google API — chráníme těmito technickými a organizačními opatřeními:

• Šifrování při přenosu: veškerá komunikace s aplikací i výměna dat s Google API probíhá výhradně přes šifrované spojení TLS (HTTPS).
• Šifrování při uložení: přístupové a obnovovací tokeny Google ukládáme šifrované algoritmem AES-256-GCM; šifrovací klíč je uložen odděleně od databáze. Soubory a přílohy leží v úložišti se šifrováním na straně serveru (Cloudflare R2, jurisdikce EU).
• Infrastruktura v EU: servery a databáze provozujeme v Evropské unii (Německo); databáze není dostupná z internetu — přístup k ní má pouze aplikace na tomtéž serveru.
• Řízení přístupu: data organizací jsou izolována na úrovni řádků databáze (row-level security — dotaz bez kontextu organizace nevrátí nic), oprávnění uživatelů se řídí rolemi. Přihlášení používá krátkodobé tokeny v zabezpečených httpOnly cookies. Přístup personálu k datům je omezen na nezbytné minimum a vázán mlčenlivostí.
• Minimalizace: od Googlu žádáme jen nejužší potřebná oprávnění. Cizí události ve vašem kalendáři neukládáme — dostupnost zjišťujeme v okamžiku plánování a výsledek nikam nezapisujeme.
• Auditní stopa: citlivé operace (přístupy, změny rolí, práce s osobními údaji) se zapisují do samostatného, needitovatelného auditního žurnálu.
• Zálohy: denní šifrovaně přenášené zálohy uchováváme v EU s omezeným přístupem; obnovu pravidelně testujeme.
• Výmaz: po odpojení účtu Google tokeny neprodleně mažeme; údaje mažeme či pseudonymizujeme po uplynutí doby uchování (oddíl 5) a na žádost (oddíl 11).
• Incidenty: provoz monitorujeme; případné porušení zabezpečení oznámíme dozorovému úřadu a dotčeným osobám v souladu s čl. 33 a 34 GDPR bez zbytečného odkladu.

10. Cookies

Používáme nezbytné cookies pro přihlášení (bezpečnostní httpOnly cookie na doméně aplikace; na veřejné weby kanceláří se nepřenáší). Analytické nástroje nasazujeme jen v rozsahu, který neumožňuje identifikaci návštěvníka bez jeho souhlasu.

11. Vaše práva

Máte právo na přístup k údajům, opravu, výmaz, omezení zpracování, přenositelnost a právo vznést námitku (čl. 15–22 GDPR). Souhlas lze kdykoli odvolat. Žádost pošlete na info@realtorz.cz.

Se stížností se můžete obrátit na Úřad pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, uoou.gov.cz.

12. Změny

Tyto zásady můžeme aktualizovat. Každá verze je datovaná a předchozí znění archivujeme, aby bylo možné doložit, jaké znění platilo v konkrétní den. O podstatných změnách uživatele informujeme v aplikaci nebo e-mailem.