Zásady zpracování osobních údajů služby INVOICO

Poslední aktualizace: 15. 4. 2026

1. Úvodní ustanovení a totožnost správce

1.1. Tyto Zásady zpracování osobních údajů (dále jen „Zásady") informují uživatele služby INVOICO (dále jen „Služba") o tom, jakým způsobem jsou jejich osobní údaje zpracovávány.

1.2. Správce osobních údajů:

• Apertia Robotics s.r.o., IČO: 22233270
• Sídlo: Matěje Koštíře 269, Sedlčánky, 250 88 Čelákovice
• E-mail pro záležitosti ochrany osobních údajů: info@apertia.cz
• Obecný kontakt: info@apertia.cz

1.3. Tyto Zásady jsou vydány v souladu s Nařízením Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů (dále jen „GDPR") a zákonem č. 110/2019 Sb., o zpracování osobních údajů.

1.4. Provozovatel vystupuje ve dvou rolích:

• jako správce ve vztahu k údajům potřebným pro registraci účtu, ověření identity, provoz Workspace, billing, podporu, zabezpečení a plnění právních povinností,
• jako zpracovatel ve vztahu k osobním údajům třetích osob obsaženým v dokumentech, které do Služby nahrávají uživatelé jménem svých organizací.

1.5. Není-li v těchto Zásadách výslovně uvedeno jinak, osobní údaje nahrané do faktur a dalších dokumentů zpracovává Provozovatel výhradně jménem uživatele a podle jeho pokynů za účelem poskytování Služby.

1.6. Provozovatel vystupuje jako správce zejména u údajů souvisejících s registrací a správou účtu, ověřením identity, billingem, zákaznickou podporou, zabezpečením služby, provozní analytikou založenou na technických a agregovaných údajích a při plnění právních povinností.

1.7. Provozovatel vystupuje jako zpracovatel zejména u obsahu nahraných faktur, vytěžených účetních údajů a dalších dat třetích osob, která uživatel do Služby vkládá jménem své firmy nebo klienta. V tomto rozsahu Provozovatel neurčuje samostatně účel zpracování těchto údajů, pokud právní předpis nebo individuální ujednání nestanoví jinak.

2. Kategorie zpracovávaných osobních údajů

Správce zpracovává následující kategorie osobních údajů:

2.1. Údaje o uživateli (registrační a profilové údaje)

• Jméno a příjmení
• E-mailová adresa
• Telefonní číslo
• Heslo v hashované (nečitelné) podobě
• Jazykové nastavení
• Role ve Workspace (Owner, Admin, Member)
• Informace o ověření telefonu a e-mailu
• Datum vytvoření účtu, datum poslední změny

2.2. Údaje o firmách evidovaných ve Workspace

• Název firmy
• IČO / registrační číslo
• DIČ / VAT ID
• Sídlo / adresa
• Telefonní číslo firmy
• Měna a fakturační kontext
• Nastavení účetních polí

2.3. Údaje obsažené v nahraných fakturách

Uživatel nahrává do Služby faktury ve formátu PDF, které mohou obsahovat osobní údaje třetích osob (dodavatelů, kontaktních osob). Jedná se zejména o:

• Identifikační údaje dodavatele a odběratele (název, IČO, DIČ, adresa)
• Jména kontaktních osob uvedených na faktuře
• Bankovní spojení (číslo účtu, IBAN)
• Číslo faktury, data, částky a další účetní údaje
• Variabilní symbol a další platební údaje

2.4. Fakturační a platební údaje

• Identifikace zákazníka/Workspace v platebním systému Stripe
• Název a adresa fakturační firmy
• IČO, DIČ fakturační firmy
• Informace o nabitém zůstatku Workspace
• Historie dobití, platebních transakcí a případných refundací
• Informace o uložené platební metodě a nastavení automatického dobíjení

Poznámka: Čísla platebních karet Správce neukládá; jsou uložena výhradně u poskytovatele platebních služeb Stripe.

2.5. Komunikační údaje

• Obsah e-mailové komunikace se zákaznickou podporou
• Pozvánky do Workspace (e-mailová adresa pozvaného)
• SMS ověřovací kódy

2.6. Technické a provozní údaje

• IP adresa
• Typ a verze prohlížeče
• Informace o zařízení
• Přístupové a session tokeny
• Technické logy aplikace
• Webhook a event záznamy

3. Účely a právní základy zpracování

3.1. Oprávněný zájem podle tohoto článku se nevztahuje na obsah faktur a dalších dokumentů nahraných uživatelem jménem jeho organizace v případech, kdy Provozovatel vystupuje jako zpracovatel. V takových případech Provozovatel zpracovává údaje pouze v rozsahu pokynů uživatele a za účelem poskytování Služby.

4. Příjemci a zpracovatelé osobních údajů

Správce předává osobní údaje následujícím kategoriím příjemců výhradně v rozsahu nezbytném pro poskytování Služby:

4.1. Externí zpracovatelé

4.1.1. Pokud je AI zpracování zajišťováno prostřednictvím více modelových poskytovatelů zprostředkovaných platformou OpenRouter, dochází k předání dat vždy pouze v rozsahu nezbytném pro jednorázové zpracování konkrétního požadavku. Provozovatel tyto poskytovatele využívá výhradně za účelem poskytování Služby.

4.1.2. Provozovatel nemůže poskytovat záruku ohledně interních procesů nakládání s daty na straně OpenRouteru nebo jeho návazných modelových poskytovatelů nad rámec smluvních ujednání, technických nastavení a veřejně deklarovaných závazků těchto poskytovatelů.

4.1.3. Není-li v individuální smlouvě, samostatné DPA nebo technické specifikaci výslovně uvedeno jinak, Provozovatel negarantuje využití výhradně EU routingu, zero data retention režimu nebo pevně omezeného seznamu downstream modelových poskytovatelů u všech AI požadavků zpracovávaných prostřednictvím OpenRouteru.

4.1.4. Aktuální přehled hlavních externích zpracovatelů a subprocesorů je uveden v tomto článku Zásad. Pokud dojde k podstatné změně v okruhu těchto zpracovatelů nebo v povaze jejich zapojení, Provozovatel přiměřeně aktualizuje tyto Zásady a aktivní uživatele nebo vlastníky Workspace o změně informuje e-mailem nebo oznámením v rámci Služby, je-li to vzhledem k povaze změny rozumně možné.

4.1.5. Pokud má uživatel vůči novému nebo změněnému subprocesoru odůvodněné compliance nebo smluvní výhrady, může se obrátit na Provozovatele na e-mailu info@apertia.cz a požádat o doplňující informace, samostatnou DPA nebo AI dodatek. Nedojde-li k dohodě, může uživatel omezit používání dotčené funkcionality nebo Službu ukončit podle Podmínek.

4.2. Státní registry a veřejné zdroje

• ARES (Administrativní registr ekonomických subjektů) – Služba dotazuje veřejně dostupný registr ARES na základě IČO zadaného uživatelem za účelem doplnění údajů o firmě. Správce nepředává do ARES žádné osobní údaje; dotaz obsahuje pouze IČO.

4.3. Orgány veřejné moci

Správce může být povinen předat osobní údaje orgánům veřejné moci na základě zákonné povinnosti (např. finanční úřad, soudy, orgány činné v trestním řízení).

5. Předávání údajů do třetích zemí

5.1. Některé zpracovatele osobních údajů (zejména OpenRouter, Stripe a Twilio) mají sídlo v USA nebo mohou používat infrastrukturu mimo Evropský hospodářský prostor. Předávání osobních údajů do těchto zemí probíhá na základě rozhodnutí Evropské komise o přiměřenosti (zejména EU-U.S. Data Privacy Framework), případně na základě standardních smluvních doložek přijatých Evropskou komisí dle čl. 46 odst. 2 písm. c) GDPR. V případě AI zpracování přes OpenRouter může konkrétní downstream poskytovatel zpracování záviset na routing pravidlech dané platformy a nemusí být vždy omezen pouze na subjekty se sídlem v EU.

5.2. Podrobnější informace o konkrétních zárukách lze získat na vyžádání na e-mailu info@apertia.cz.

5.3. Pokud uživatel požaduje podrobnější smluvní nebo technickou úpravu mezinárodních přenosů a AI zpracování, může si vyžádat samostatný AI/DPA dodatek nebo individuální bezpečnostní přílohu, která upřesní zejména okruh subprocesorů, způsob routingu, retenční režim a další relevantní omezení.

6. Doba uchovávání osobních údajů

Po uplynutí doby uchovávání jsou údaje nevratně smazány nebo anonymizovány.

7. Práva subjektů údajů

7.1. V souladu s GDPR má každý subjekt údajů následující práva:

• Právo na přístup (čl. 15 GDPR) – právo získat potvrzení o tom, zda jsou osobní údaje zpracovávány, a pokud ano, získat k nim přístup.
• Právo na opravu (čl. 16 GDPR) – právo na opravu nepřesných osobních údajů.
• Právo na výmaz (čl. 17 GDPR) – právo požádat o smazání osobních údajů za podmínek stanovených GDPR.
• Právo na omezení zpracování (čl. 18 GDPR) – právo požádat o omezení zpracování v určitých případech.
• Právo na přenositelnost údajů (čl. 20 GDPR) – právo obdržet osobní údaje ve strukturovaném, běžně používaném a strojově čitelném formátu.
• Právo vznést námitku (čl. 21 GDPR) – právo vznést námitku proti zpracování založenému na oprávněném zájmu Správce.
• Právo podat stížnost – právo podat stížnost u dozorového úřadu, kterým je Úřad pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, www.uoou.cz.

7.2. Svá práva může subjekt údajů uplatnit zasláním žádosti na e-mail info@apertia.cz. Správce vyřídí žádost bez zbytečného odkladu, nejpozději do 30 dnů od jejího obdržení.

8. Právo na výmaz dat v rámci Služby

8.1. Uživatel má právo kdykoli požádat o smazání všech svých dat uložených v rámci Služby. Tuto možnost nalezne v sekci Nastavení → Profil → Smazání dat.

8.2. Po potvrzení budou nevratně odstraněny veškeré nahrané faktury, vytěžená data, dokumenty, firmy a další uživatelská data v rámci Workspace.

8.3. Účet uživatele zůstane po smazání dat aktivní, pokud uživatel nepožádá rovněž o zrušení účtu.

8.4. Správce si ponechává pouze anonymizované statistické údaje a fakturační záznamy nezbytné pro plnění zákonných povinností (zejména daňových a účetních).

9. Osobní údaje třetích osob obsažené ve fakturách

9.1. Uživatel bere na vědomí, že nahráváním faktur do Služby může dojít ke zpracování osobních údajů třetích osob (zejména identifikačních údajů dodavatelů a kontaktních osob uvedených na fakturách).

9.2. Ve vztahu k těmto osobním údajům třetích osob vystupuje uživatel (resp. Firma, jejímž jménem jedná) jako správce a Provozovatel jako zpracovatel ve smyslu čl. 28 GDPR.

9.3. Provozovatel zpracovává osobní údaje třetích osob výhradně za účelem poskytování Služby (AI/OCR vytěžování, uložení, zobrazení a export dat) a v rozsahu pokynů uživatele.

9.4. Uživatel odpovídá za to, že zpracování osobních údajů třetích osob prostřednictvím Služby je v souladu s platnými právními předpisy, zejména GDPR. To zahrnuje mimo jiné zajištění odpovídajícího právního základu pro zpracování těchto údajů.

9.5. Smlouva o zpracování osobních údajů (DPA): Pro účely čl. 28 GDPR se tyto Zásady považují za rámcovou smlouvu o zpracování osobních údajů. Na vyžádání Provozovatel poskytne samostatnou smlouvu o zpracování (Data Processing Agreement), zejména pro produkční nasazení, interní procurement nebo compliance audit uživatele. Žádost lze zaslat na e-mail info@apertia.cz.

9.6. Provozovatel zpracovává osobní údaje třetích osob pouze na základě dokumentovaných pokynů uživatele, ledaže mu zpracování ukládá právní předpis, kterým je Provozovatel vázán.

9.7. Osoby oprávněné zpracovávat osobní údaje na straně Provozovatele jsou vázány povinností mlčenlivosti a mají přístup k údajům pouze v rozsahu nezbytném pro plnění svých pracovních nebo smluvních povinností.

9.8. Provozovatel může využívat další subprocesory uvedené v čl. 4 těchto Zásad. O podstatných změnách v okruhu subprocesorů bude uživatel informován přiměřeným způsobem, zejména e-mailem nebo oznámením v rámci Služby.

9.9. Provozovatel poskytne uživateli přiměřenou součinnost při vyřizování žádostí subjektů údajů, při posouzení vlivu na ochranu osobních údajů (DPIA), při konzultacích s dozorovým úřadem a při prokazování souladu podle čl. 28 GDPR, pokud je taková součinnost vzhledem k povaze zpracování rozumně potřebná.

9.10. Přiměřené informace o technických a organizačních opatřeních a o souladu se zpracovatelskými povinnostmi poskytne Provozovatel na odůvodněnou žádost uživatele. Pokud to bude vzhledem k povaze služby a citlivosti údajů nezbytné, může být mezi stranami sjednán i přiměřený režim auditu nebo bezpečnostního dotazníku.

9.11. Pokud to uživatel vyžaduje pro své interní compliance nebo produkční nasazení, může s Provozovatelem sjednat samostatnou DPA nebo AI dodatek, které podrobněji upraví zejména mezinárodní přenosy, okruh subprocesorů, retenční režim, bezpečnostní opatření a související smluvní záruky.

10. Automatizované zpracování a využití AI

10.1. Služba využívá automatizované AI/OCR zpracování pro vytěžení a předvyplnění údajů z nahraných dokumentů. Toto zpracování slouží pouze jako podpora práce uživatele; výsledky mají být před dalším použitím zkontrolovány a případně opraveny.

10.2. Provozovatel nepoužívá nahrané faktury ani vytěžená data k trénování, fine-tuningu nebo internímu zlepšování vlastních modelů umělé inteligence nad identifikovatelnými daty uživatelů. Provozovatel současně tyto údaje nepoužívá pro vlastní marketingové účely. Pokud by mělo dojít k použití dat k jinému účelu než poskytování Služby, bude takový účel oznámen samostatně a založen na odpovídajícím právním základu.

10.3. Pokud je pro AI zpracování využita platforma OpenRouter nebo návazní externí modeloví poskytovatelé, Provozovatel nemůže ručit za jejich interní postupy nakládání s daty nad rámec smluvních a veřejně deklarovaných záruk těchto poskytovatelů. Uživatel bere tuto skutečnost na vědomí. Není-li samostatně ujednáno jinak, Provozovatel současně negarantuje využití výhradně EU routingu, zero data retention režimu nebo pevně omezeného seznamu downstream poskytovatelů u všech AI požadavků.

10.4. Podle veřejně dostupných informací platformy OpenRouter mohou být jednotlivé AI požadavky standardně směrovány mezi různými návaznými modelovými poskytovateli podle routing pravidel dané platformy. Tito návazní poskytovatelé mohou mít odlišná pravidla retention, logování a interního nakládání s daty. Provozovatel proto doporučuje, aby uživatelé se zvýšenými regulatorními nebo smluvními požadavky před produkčním nasazením vyžádali individuální AI/DPA dodatek.

10.5. Podle veřejně dostupných informací platformy OpenRouter tato platforma standardně neukládá obsah promptů a odpovědí, pokud není na straně zákazníka nebo poskytovatele aktivováno logování či jiný retenční režim. Provozovatel však nemůže garantovat, že stejný režim bez dalšího platí i pro všechny návazné modelové poskytovatele, přes které může být konkrétní požadavek zpracován.

10.6. Automatizované zpracování v rámci Služby samo o sobě nevede k právním účinkům vůči subjektům údajů ani nenahrazuje rozhodnutí uživatele. Za kontrolu, interpretaci a finální použití dat odpovídá uživatel.

11. Zabezpečení osobních údajů

11.1. Správce přijal přiměřená technická a organizační opatření k zajištění bezpečnosti zpracovávaných osobních údajů, a to zejména:

• Šifrování komunikace mezi uživatelem a Službou (TLS/HTTPS).
• Ukládání hesel výhradně v hashované podobě.
• Řízení přístupu na základě rolí (Owner, Admin, Member).
• Pravidelné zálohování dat.
• Logování přístupů a bezpečnostně relevantních událostí.
• Omezení přístupů k produkční infrastruktuře pouze na oprávněné osoby a princip minimálních oprávnění.
• Platební údaje karet jsou ukládány výhradně u poskytovatele Stripe a Správce k nim nemá přístup.
• Oddělení dat jednotlivých Workspace.

11.2. V případě zjištění bezpečnostního incidentu, který představuje riziko pro práva a svobody subjektů údajů, Správce postupuje v souladu s čl. 33 a 34 GDPR (oznamovací povinnost vůči dozorovému úřadu a dotčeným osobám).

11.3. Pokud se bezpečnostní incident týká osobních údajů zpracovávaných jménem uživatele jako správce, informuje Provozovatel tohoto uživatele bez zbytečného odkladu po zjištění incidentu a poskytne mu přiměřeně dostupné informace potřebné pro splnění jeho vlastních povinností podle GDPR. Je-li to vzhledem k povaze incidentu rozumně možné, učiní tak Provozovatel zpravidla do 72 hodin od interního potvrzení incidentu.

12. Soubory cookies a analytické nástroje

12.1. Služba používá technicky nezbytné cookies pro zajištění základní funkčnosti (přihlášení, session management, jazykové preference).

12.2. Pokud Služba využívá analytické nebo marketingové cookies, bude uživatel o jejich použití informován prostřednictvím cookie lišty a bude mít možnost udělit nebo odmítnout souhlas v souladu s platnými předpisy.

12.3. Provozní a transakční komunikace (např. ověření účtu, bezpečnostní upozornění, informace o Workspace, billing nebo změny služby) je odlišena od marketingové komunikace. Obchodní sdělení budou zasílána pouze tehdy, pokud k tomu existuje odpovídající právní základ podle platných předpisů.

12.4. Podrobnosti o používaných cookies mohou být uvedeny v samostatném dokumentu Cookies Policy dostupném na webových stránkách Služby.

13. Změny Zásad

13.1. Správce si vyhrazuje právo tyto Zásady kdykoli upravit, zejména v reakci na změny právních předpisů nebo změny ve zpracování osobních údajů.

13.2. O podstatných změnách bude uživatel informován prostřednictvím e-mailu nebo oznámením v rámci Služby.

13.3. Aktuální znění Zásad je vždy dostupné na webových stránkách Služby.

14. Kontakt

Dotazy, žádosti a podněty ohledně zpracování osobních údajů můžete směřovat na:

• E-mail: info@apertia.cz
• Poštovní adresa: Apertia Robotics s.r.o., Matěje Koštíře 269, Sedlčánky, 250 88 Čelákovice