Ochrana osobních údajů (GDPR)

1. Správce osobních údajů a pověřenec

Správcem osobních údajů ve smyslu Nařízení Evropského parlamentu a Rady (EU) 2016/679 (GDPR) a zákona č. 110/2019 Sb., o zpracování osobních údajů, je Lukáš Burša, se sídlem Hlavní 242, 763 26 Pozlovice, IČO: 74978217, DIČ: CZ9005124491, podnikající fyzická osoba zapsaná v živnostenském rejstříku (dále jen „Správce“).

Při poskytování Služby uplatňujeme rovněž povinnosti plynoucí z nařízení Evropského parlamentu a Rady (EU) 2024/1689 (akt o umělé inteligenci, dále jen „AI Act“) v rozsahu, v jakém se na provoz Služby vztahují (zejména povinnosti transparentnosti vůči uživatelům – viz čl. 5).

Pověřenec pro ochranu osobních údajů (DPO): Správce nejmenoval pověřence pro ochranu osobních údajů, neboť mu tato povinnost dle čl. 37 GDPR nevzniká. Veškeré dotazy a žádosti týkající se ochrany osobních údajů zasílejte na: info@realai.cz.

2. Jaké osobní údaje zpracováváme

V rámci provozování Služby RealAI zpracováváme následující kategorie osobních údajů:

2.1 Identifikační a kontaktní údaje

• jméno a příjmení,
• e-mailová adresa,
• telefonní číslo (volitelně),
• název realitní kanceláře nebo IČO (volitelně).

Přihlášení je možné e-mailem a heslem nebo přes Google OAuth; v takovém případě od Googlu získáme vaši e-mailovou adresu a jméno.

2.2 Údaje o nemovitostech a dokumenty

• popis, fotografie a parametry nemovitostí (zadávané Uživatelem ručně nebo importované Uživatelem z URL inzerátu),
• lokace nemovitostí,
• ceny a obchodní podmínky prodeje nebo pronájmu,
• nahrané dokumenty k nemovitosti (PENB, půdorysy, výpis z katastru, prohlášení vlastníka apod.), které mohou obsahovat osobní údaje.

2.3 Údaje firemní identity makléře

• jméno, titul, bio, fotografie makléře a logo kanceláře,
• kontaktní údaje, IČO/DIČ a odkazy na sociální sítě (zadávané Uživatelem pro branding generovaného obsahu).

2.4 Obsah generovaný a zpracovávaný AI

• vstupy a výstupy generování obsahu, konverzace s chatbotem a texty zadané do překladače,
• e-maily a jejich přílohy stahované e-mailovým agentem z propojené schránky (IMAP) — vč. údajů odesílatelů (třetích osob), viz čl. 14 a čl. 15.

2.5 Platební a fakturační údaje

• platební transakce (zpracovávané výhradně prostřednictvím Stripe – viz níže),
• historie zakoupených kreditů a předplatných.

2.6 Technické a analytické údaje

• IP adresa a informace o prohlížeči,
• údaje o chování na webu (analytické cookies),
• záznamy o přihlášeních a aktivitě v aplikaci,
• chybové a diagnostické reporty aplikace (stacktrace, typ prohlížeče či runtime, URL) s pseudonymním identifikátorem účtu – bez e-mailu, jména a IP adresy.

2.7 Zvláštní kategorie osobních údajů

Služba není určena k vědomému zpracování zvláštních kategorií osobních údajů dle čl. 9 GDPR (např. údaje o zdravotním stavu, rasovém či etnickém původu, náboženském vyznání nebo politických názorech). Vstupní pole, konverzace s AI a obsah e-mailů jsou však volným textem; pokud do nich Uživatel nebo třetí osoba takové údaje vloží, jsou zpracovávány pouze v nezbytném rozsahu za účelem poskytnutí Služby a po dobu uvedenou v čl. 8. Doporučujeme citlivé údaje do těchto polí nevkládat.

3. Zdroje osobních údajů

Osobní údaje získáváme z těchto zdrojů:

• přímo od vás – při registraci, nastavení účtu, vyplnění firemní identity a vkládání obsahu,
• od poskytovatele přihlášení (Google) při přihlášení přes OAuth,
• automaticky při užívání Služby (technické a analytické údaje),
• importem z URL zadané Uživatelem – část obsahu o nemovitostech (texty a fotografie inzerátu) získáváme stažením z odkazu, který Uživatel vloží (z realitního portálu nebo vlastního webu makléře). Za oprávněnost takového importu odpovídá výhradně Uživatel dle čl. 8 Obchodních podmínek,
• od třetích osob – zejména prostřednictvím e-mailového agenta, který z propojené schránky Uživatele stahuje e-maily včetně údajů odesílatelů (jméno, e-mailová adresa, obsah zprávy a přílohy). Tyto údaje třetích osob zpracováváme v postavení zpracovatele jménem Uživatele (viz čl. 14). O zpracování informuje subjekty údajů primárně příslušný makléř jakožto správce.

4. Účel a právní základ zpracování

5. Automatizované rozhodování, profilování a umělá inteligence

Služba využívá systémy umělé inteligence (modely poskytovatelů OpenAI a Anthropic) ke generování obsahu, překladům, konverzaci s chatbotem a k analýze, klasifikaci a párování příchozích e-mailů na nemovitosti.

Toto zpracování nepředstavuje automatizované individuální rozhodování s právními nebo obdobně významnými účinky ve smyslu čl. 22 GDPR. Veškeré výstupy AI (texty, koncepty odpovědí, zařazení e-mailů, návrhy párování) jsou pouze návrhy, které Uživatel kontroluje, upravuje a o jejichž použití rozhoduje sám. Žádné rozhodnutí s právním účinkem vůči subjektu údajů není činěno výhradně automatizovaně.

V souladu s povinnostmi transparentnosti dle AI Act (nařízení (EU) 2024/1689) vás informujeme, že při použití chatbota a generátorů obsahu komunikujete se systémem umělé inteligence a obsah je vytvářen AI. Vstupní data zasílaná do rozhraní (API) poskytovatelů AI nejsou těmito poskytovateli používána k trénování jejich modelů.

6. Příjemci a zpracovatelé osobních údajů

Vaše osobní údaje sdílíme s následujícími kategoriemi příjemců v rozsahu nezbytném pro poskytnutí Služby:

6.1 Klíčoví zpracovatelé

• Supabase Inc. (USA) – databáze, autentizace a cloudové úložiště. Přenos do třetích zemí je zajištěn na základě standardních smluvních doložek EU.
• OpenAI, L.L.C. (USA) a Anthropic, PBC (USA) – generování textů, chatbot, překlady a analýza e-mailů pomocí umělé inteligence. Vstupní data (popis nemovitosti, obsah konverzace či e-mailu) jsou zasílána do příslušného API. Data zasílaná přes API nejsou používána k trénování modelů.
• Stripe, Inc. (USA) – platební brána. Stripe je certifikován podle PCI DSS. Platební data karty Správce nezpracovává.
• Vercel Inc. (USA) – hosting webové aplikace.
• Google LLC (USA) – přihlášení přes Google OAuth (na základě výslovného úkonu Uživatele).

6.2 Marketingové a analytické nástroje

• Google Analytics 4 (Google LLC, USA) – analýza návštěvnosti. Sbírá pseudonymizovaná data o chování uživatelů. Aktivuje se pouze s vaším souhlasem.
• Meta Pixel (Facebook Pixel) (Meta Platforms, Inc., USA) – měření konverzí a tvorba cílených reklam na Facebooku a Instagramu. Aktivuje se pouze se souhlasem s marketingovými cookies.
• Vercel Web Analytics (Vercel Inc., USA) – měření návštěvnosti webu a aplikace. Nepoužívá cookies ani jiné úložiště ve vašem prohlížeči a sbírá pouze agregované údaje, ze kterých vás nelze identifikovat; běží proto na základě oprávněného zájmu i bez souhlasu s cookies.

6.3 Monitorování chyb a provozní stabilita

• Functional Software, Inc. (dba Sentry) – monitoring chyb a provozní stability aplikace. Zpracování probíhá v datovém regionu EU. Do Sentry se posílají pouze technická data o chybě (stacktrace, typ prohlížeče či runtime, URL) a pseudonymní identifikátor účtu (ID); e-mail, jméno, IP adresa, cookies a autentizační hlavičky jsou před odesláním automaticky odstraňovány. Nahrávání obrazovky (Session Replay) je vypnuté.

Aktuální seznam zpracovatelů poskytneme na vyžádání. Osobní údaje nepředáváme dalším příjemcům k jejich vlastním účelům bez odpovídajícího právního základu.

7. Přenos osobních údajů do třetích zemí

Někteří naši zpracovatelé sídlí v USA nebo jiných třetích zemích mimo EHP. Přenosy probíhají na základě některého z těchto záruk dle kapitoly V GDPR:

• rozhodnutí Evropské komise o odpovídající úrovni ochrany – pro subjekty certifikované v rámci EU-U.S. Data Privacy Framework (DPF) (rozhodnutí Komise (EU) 2023/1795), který je nadále platný,
• standardních smluvních doložek (SCC) schválených Evropskou komisí, doplněných v případě potřeby o dodatečná technická a organizační opatření.

Provozní a chybové reporty (Sentry) se ukládají v datovém regionu EU; v rozsahu případného přístupu z USA je přenos kryt standardními smluvními doložkami, resp. EU-U.S. Data Privacy Framework jako u ostatních zpracovatelů.

8. Doba uchovávání osobních údajů

• Údaje uživatelského účtu – po dobu trvání smluvního vztahu a 3 roky po jeho ukončení pro případ právních nároků.
• Fakturační údaje a účetní doklady – 10 let od konce účetního období (zákonná povinnost).
• Data o nemovitostech a generace – po dobu trvání účtu; Uživatel je může kdykoliv smazat.
• E-maily a koncepty e-mailového agenta – po dobu trvání integrace, resp. dle nastavení Uživatele; Uživatel je může kdykoliv smazat.
• Analytická data (Google Analytics 4) – data se na straně Google uchovávají po dobu 14 měsíců; následně jsou automaticky anonymizována a agregována. Životnost samotných cookies v prohlížeči je uvedena v Zásadách používání cookies.
• Marketingová data (Meta Pixel) – dle podmínek příslušného nástroje; životnost cookies v prohlížeči je uvedena v Zásadách používání cookies.
• Chybové a provozní reporty (Sentry) – po dobu nezbytnou pro diagnostiku, dle nastavení nástroje (zpravidla 30–90 dní), poté se automaticky mažou.

9. Vaše práva dle GDPR

Jako subjekt údajů máte následující práva, která můžete uplatnit kontaktováním Správce:

• Právo na přístup – máte právo získat potvrzení, zda zpracováváme vaše osobní údaje, a přístup k nim.
• Právo na opravu – máte právo požadovat opravu nepřesných nebo doplnění neúplných údajů.
• Právo na výmaz – za podmínek stanovených GDPR (čl. 17) máte právo na výmaz svých osobních údajů.
• Právo na omezení zpracování – za určitých okolností máte právo požadovat omezení zpracování.
• Právo na přenositelnost údajů – máte právo obdržet svá data ve strukturovaném, běžně používaném a strojově čitelném formátu.
• Právo vznést námitku – máte právo namítat zpracování založené na oprávněném zájmu, včetně profilování; proti přímému marketingu lze námitku vznést kdykoliv.
• Právo nebýt předmětem automatizovaného rozhodování – dle čl. 22 GDPR; jak je uvedeno v čl. 5, takové rozhodování ve Službě neprobíhá.
• Právo odvolat souhlas – souhlas se zpracováním (např. marketingové cookies) lze kdykoliv odvolat bez újmy na zákonnosti předchozího zpracování.
• Právo podat stížnost – máte právo podat stížnost u dozorového úřadu. V ČR je jím Úřad pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7 (www.uoou.cz), případně u dozorového úřadu v členském státě vašeho obvyklého bydliště.

Pro uplatnění práv nás kontaktujte na: info@realai.cz. Na vaši žádost odpovíme bez zbytečného odkladu, nejpozději do jednoho měsíce (tuto lhůtu lze v odůvodněných případech prodloužit dle čl. 12 odst. 3 GDPR).

10. Zabezpečení osobních údajů

Přijali jsme technická a organizační opatření k ochraně vašich osobních údajů, mimo jiné:

• šifrování přenosu dat (HTTPS/TLS),
• šifrování citlivých přístupových údajů (např. hesla k e-mailovým schránkám) v databázi,
• row-level security na úrovni databáze (Supabase),
• autentizace s možností přihlášení přes Google OAuth,
• pravidelné zálohy a monitorování infrastruktury.

V případě porušení zabezpečení osobních údajů, které by pravděpodobně mělo za následek riziko pro práva a svobody subjektů údajů, postupujeme dle čl. 33 a 34 GDPR (ohlášení dozorovému úřadu, případně informování dotčených osob).

11. Ochrana údajů nezletilých

Služba je určena podnikatelům – realitním makléřům a kancelářím – a není určena osobám mladším 18 let. Vědomě nezpracováváme osobní údaje dětí. Pokud zjistíme, že jsme získali údaje dítěte bez odpovídajícího právního základu, bez zbytečného odkladu je vymažeme.

12. Cookies

Informace o používání souborů cookie jsou uvedeny v samostatném dokumentu Zásady používání cookies.

13. Změny těchto zásad

Tyto zásady ochrany osobních údajů můžeme průběžně aktualizovat. O podstatných změnách vás budeme informovat e-mailem nebo oznámením v aplikaci. Aktuální verze je vždy dostupná na této stránce.

14. Postavení RealAI jako zpracovatele

Výše uvedené zásady popisují zpracování, u něhož je Správcem provozovatel Lukáš Burša (zejména údaje o uživatelském účtu makléře a provoz Služby).

U osobních údajů, které do Služby vkládá Uživatel (makléř) nebo které za něj stahuje a zpracovává e-mailový agent (e-maily, kontakty a poptávky klientů a dalších třetích osob z propojené schránky), je v postavení správce makléř a provozovatel Lukáš Burša vystupuje jako zpracovatel ve smyslu čl. 28 GDPR. Toto zpracování probíhá výhradně dle pokynů makléře za účelem poskytnutí Služby (analýza e-mailů, párování na nemovitost a příprava konceptů odpovědí) a řídí se ujednáními o zpracování osobních údajů (čl. 28 GDPR) obsaženými v Obchodních podmínkách, které Uživatel odsouhlasil při registraci. Samostatná listinná zpracovatelská smlouva se nevyžaduje.

Žádosti subjektů údajů (klientů) o uplatnění práv dle GDPR vyřizuje primárně příslušný makléř jakožto správce; RealAI mu při tom poskytuje nezbytnou součinnost.