Zásady zpracování osobních údajů

Tyto zásady popisují, jak společnost Vision Thing, s.r.o. zpracovává osobní údaje v souvislosti s webovou aplikací Vision Thing AI dostupnou na visionthing.ai.

1. Správce osobních údajů

Správcem osobních údajů je:

Vision Thing, s.r.o.
Na Pankráci 1618/30
140 00 Praha - Nusle
IČO: 06958133
DIČ: CZ06958133
E-mail: info@visionthing.cz
Web: https://visionthing.cz

Společnost nejmenovala pověřence pro ochranu osobních údajů, protože podle svého posouzení nesplňuje podmínky povinného jmenování pověřence podle GDPR.

2. Koho se zpracování týká

Tyto zásady se vztahují zejména na:

• registrované uživatele aplikace,
• návštěvníky, kteří používají veřejné části aplikace,
• osoby, které vytvářejí, upravují nebo odesílají návrh reklamní kampaně,
• osoby, které komunikují s AI asistentem,
• osoby, jejichž údaje uživatel vloží do aplikace,
• interní uživatele a administrátory aplikace.

Pokud uživatel vloží do aplikace osobní údaje jiné osoby, získáváme tyto údaje od tohoto uživatele. Uživatel odpovídá za to, že je oprávněn takové údaje do aplikace vložit a že splnil případné informační nebo jiné povinnosti vůči dotčené osobě. Takové údaje zpracováváme pouze v rozsahu nezbytném pro poskytnutí služby, přípravu návrhu kampaně, zákaznickou podporu, zabezpečení, řešení incidentů a ochranu právních nároků.

3. Jaké osobní údaje zpracováváme

V aplikaci můžeme zpracovávat tyto kategorie údajů:

• identifikační a kontaktní údaje, zejména jméno, příjmení a e-mail,
• údaje o uživatelském účtu, zejména heslo v zabezpečené hashované podobě, datum registrace, role, jazyková preference, preferovaný režim plánování a nastavení profilu,
• údaje související s přihlášením přes externího poskytovatele, zejména poskytovatel, identifikátor účtu u poskytovatele, e-mail a případně avatar,
• bezpečnostní údaje, zejména údaje o dvoufaktorovém ověření, recovery kódy v zabezpečené podobě, resetovací tokeny, remember tokeny, session identifikátory, IP adresa, user-agent a údaje potřebné pro ochranu účtu,
• údaje o kampani, zejména datum kampaně, rozpočet, vybrané reklamní plochy, požadované rozpočty u položek, kategorie médií, odhadované výsledky a poznámka ke kampani,
• nahrané podklady ke kampani, zejména loga, značkové prvky, obrázky, texty, produktové podklady, briefy nebo jiné soubory vložené uživatelem,
• vygenerované nebo upravené kreativy, náhledy, prompty, varianty kreativ a související metadata,
• obsah komunikace s AI asistentem, zejména vstupy uživatele, odpovědi asistenta, související kontext kampaně, systémový a technický kontext, technické záznamy konverzace, volání nástrojů, výsledky nástrojů, AI summary konverzace, metadata a údaje o využití,
• technické a provozní údaje, zejména logy, informace o chybách, údaje o požadavcích, broadcast/stream identifikátory, údaje potřebné pro rate limiting a zabezpečení,
• údaje o marketingové komunikaci, zejména e-mail, evidence souhlasu nebo jiného právního titulu, datum přihlášení a odhlášení, preference odběru a základní technické údaje o doručení,
• údaje uložené v cookies, session nebo lokálním úložišti prohlížeče,
• údaje obsažené v interních obchodních nebo provozních notifikacích.

Aplikace není určena ke zpracování zvláštních kategorií osobních údajů podle čl. 9 GDPR, zejména údajů o zdraví, biometrických údajů, údajů o politických názorech, náboženském vyznání, sexuálním životě nebo sexuální orientaci. Uživatel by do aplikace neměl vkládat citlivé osobní údaje, údaje třetích osob ani důvěrné informace, pokud to není nezbytné pro použití služby. Provozovatel může takový obsah omezit, smazat nebo jinak zpracovat pouze v nezbytném rozsahu, pokud je to nutné pro bezpečnost, splnění právních povinností nebo ochranu právních nároků.

4. Účely a právní základy zpracování

Osobní údaje zpracováváme pro následující účely:

Vytvoření a správa účtu

Zpracováváme údaje potřebné pro registraci, přihlášení, ověření e-mailu, obnovu hesla, správu profilu, dvoufaktorové ověření a smazání účtu.

Právní základ: plnění smlouvy nebo provedení opatření před uzavřením smlouvy.

Přihlášení přes externího poskytovatele

Pokud uživatel využije přihlášení přes externího poskytovatele, zpracováváme údaje potřebné k ověření identity, vytvoření nebo propojení účtu a zabezpečení přihlášení.

Právní základ: plnění smlouvy; u bezpečnostních kontrol také oprávněný zájem.

Používání aplikace a návrh reklamní kampaně

Zpracováváme údaje, které uživatel zadá nebo vytvoří při plánování kampaně, výběru reklamních ploch, práci s rozpočtem a kontrole návrhu.

Právní základ: plnění smlouvy nebo provedení opatření před uzavřením smlouvy.

Komunikace s AI asistentem

Zpracováváme zprávy uživatele, odpovědi AI asistenta a související kontext kampaně, aby bylo možné poskytnout AI plánování, udržet konverzaci, zobrazit historii, synchronizovat návrh kampaně, řešit chyby a zlepšovat kvalitu služby.

Právní základ: plnění smlouvy; pro opravy chyb, kontrolu kvality, zabezpečení a přiměřené zlepšování služby také oprávněný zájem.

Generování a úprava reklamních kreativ

Pokud uživatel využije funkce pro generování nebo úpravu kreativ, zpracováváme zadané prompty, briefy, nahraná loga, obrázky, texty, značkové prvky, produktové podklady, výsledné kreativy, náhledy a související technická metadata. Tyto údaje zpracováváme za účelem vytvoření kreativ, jejich zobrazení uživateli, úprav, kontroly kvality, řešení chyb, bezpečnosti a ochrany právních nároků.

Právní základ: plnění smlouvy; pro kontrolu kvality, bezpečnost, opravy chyb a ochranu právních nároků také oprávněný zájem.

AI summary pro obchodní tým a kontrolu kvality

Z konverzace s AI asistentem a z údajů o kampani můžeme vytvářet stručné AI summary. Summary může být zpřístupněno oprávněným osobám provozovatele, zejména obchodnímu týmu, supportu, administrátorům, vývojářům a externím technickým spolupracovníkům, aby mohli posoudit návrh kampaně, navázat na poptávku, ověřit kvalitu doporučení AI asistenta, řešit chyby a zlepšovat službu.

Právní základ: oprávněný zájem na vyřízení poptávky, kontrole kvality, zákaznické podpoře a přiměřeném zlepšování služby.

Odeslání nezávazného návrhu kampaně

Po odeslání návrhu kampaně zpracováváme údaje potřebné k vytvoření záznamu, interní kontrole návrhu a navazující obchodní komunikaci. Odeslání návrhu neznamená automatickou objednávku, rezervaci reklamních ploch ani platbu.

Právní základ: provedení opatření před uzavřením smlouvy; oprávněný zájem na vyřízení poptávky a interní obchodní návaznosti.

Zákaznická podpora, interní kontrola a vývoj

Oprávněné osoby mohou mít přístup k údajům v aplikaci za účelem zákaznické podpory, kontroly odeslaných návrhů, opravy technických chyb, zlepšování AI nástrojů, zlepšování databáze reklamních ploch, obchodní analýzy, bezpečnosti a prevence zneužití.

Právní základ: oprávněný zájem.

Zabezpečení aplikace a prevence zneužití

Zpracováváme technické údaje, session data, IP adresu, user-agent, logy a rate limiting údaje za účelem zabezpečení aplikace, ochrany účtů, prevence útoků, řešení incidentů a udržení stability služby.

Právní základ: oprávněný zájem; v některých případech splnění právní povinnosti.

Plnění právních povinností a ochrana nároků

Některé údaje můžeme zpracovávat pro splnění právních povinností, vedení evidence, řešení sporů a ochranu právních nároků.

Právní základ: splnění právní povinnosti nebo oprávněný zájem.

Marketing

Můžeme zasílat newsletter, produktové novinky, obchodní sdělení nebo jinou přímou marketingovou komunikaci. Taková komunikace bude probíhat pouze na základě souhlasu nebo v rozsahu povoleném právními předpisy, zejména u komunikace se stávajícími zákazníky nebo uživateli o obdobných službách. Uživatel bude mít možnost odběr kdykoliv odhlásit, zejména odkazem v e-mailu nebo kontaktováním provozovatele.

Právní základ: souhlas nebo oprávněný zájem v zákonem povoleném rozsahu.

Pokud zpracování zakládáme na oprávněném zájmu, sledujeme zejména tyto oprávněné zájmy: zabezpečení aplikace a ochranu účtů, prevenci zneužití a útoků, vyřízení poptávky a obchodní návaznost, opravy chyb a zajištění stability služby, přiměřené interní zlepšování služby, ochranu právních nároků a ochranu provozovatele, uživatelů a třetích osob.

5. AI poskytovatelé

Aplikace používá externí AI služby pro zpracování zpráv uživatele, vytvoření odpovědí AI asistenta, generování nebo úpravu kreativ, analýzu podkladů a tvorbu interních summary. Do AI služby mohou být odesílány zejména zprávy uživatele, dosavadní konverzace, parametry kampaně, vybrané reklamní plochy, rozpočet, termín kampaně, poznámka, nahrané logo nebo jiné podklady, prompty, vygenerované či upravované kreativy, výsledky interních nástrojů a technický kontext potřebný pro fungování asistenta.

Provozovatel může používat různé poskytovatele AI modelů a AI infrastruktury, včetně textových, obrazových, multimodálních nebo záložních AI služeb. Konkrétní poskytovatel se může měnit podle dostupnosti, kvality, bezpečnosti, ceny, technických požadavků nebo vývoje služby. Příjemci osobních údajů jsou proto v těchto zásadách popsáni zejména kategorií "poskytovatelé AI služeb". Pokud by změna poskytovatele znamenala podstatnou změnu zpracování osobních údajů nebo nové významné riziko pro uživatele, provozovatel tyto zásady odpovídajícím způsobem aktualizuje.

Podmínky uchování dat u AI poskytovatele závisí na konkrétním API endpointu a nastavení služby. U některých AI API endpointů mohou být zákaznická data uchovávána pro účely bezpečnosti, prevence zneužití a provozu služby například až po dobu 30 dní, pokud se neuplatní jiné nastavení nebo právní důvod delší retence.

Obsah uživatelů a související metadata můžeme používat pro kontrolu kvality, evaluace, ladění promptů a zlepšování nástrojů aplikace.

Data zasílaná do AI služeb nejsou určena k tomu, aby uživatel vkládal citlivé osobní údaje, údaje třetích osob nebo důvěrné obchodní informace, pokud to není nezbytné.

6. Příjemci osobních údajů

K osobním údajům mohou mít přístup pouze osoby a dodavatelé, kteří to potřebují pro výše uvedené účely, zejména:

• oprávněné osoby provozovatele,
• administrátoři aplikace,
• zákaznická podpora, obchodní tým a osoby řešící odeslané návrhy kampaní,
• vývojáři a externí spolupracovníci v nezbytném rozsahu,
• poskytovatelé hostingu, databáze, infrastruktury, objektového úložiště, záloh a monitoringu,
• poskytovatelé AI služeb, včetně textových, obrazových, multimodálních a záložních AI poskytovatelů,
• poskytovatelé autentizace, zejména Google, pokud uživatel zvolí externí přihlášení přes Google,
• poskytovatelé e-mailových služeb,
• poskytovatelé interních notifikací,
• právní, účetní nebo techničtí poradci, pokud je to nezbytné,
• orgány veřejné moci, pokud to vyžaduje zákon.

Interní obchodní notifikace nebo přehledy pro oprávněné osoby mohou obsahovat zejména jméno a e-mail uživatele, datum kampaně, rozpočet, vybrané položky, kategorie, poznámku ke kampani, AI summary konverzace, informace o vygenerovaných kreativách a odkaz na přehled návrhu.

7. Předávání mimo EU/EHP

Aplikace může využívat dodavatele se sídlem nebo technickou infrastrukturou mimo Evropskou unii nebo Evropský hospodářský prostor, zejména u AI služeb, autentizačních služeb, interních notifikací, e-mailových služeb nebo provozní infrastruktury. Někteří dodavatelé mohou zpracovávat osobní údaje zejména ve Spojených státech amerických nebo v jiných třetích zemích podle svých smluvních a technických podmínek.

Pokud dochází k předání osobních údajů mimo EU/EHP, provozovatel používá vhodné právní mechanismy podle GDPR, zejména rozhodnutí o odpovídající ochraně, pokud se na konkrétního dodavatele vztahuje, nebo standardní smluvní doložky schválené Evropskou komisí společně s doplňkovými technickými a organizačními opatřeními. Informace o použitých zárukách lze získat na žádost na adrese info@visionthing.cz.

8. Cookies a úložiště prohlížeče

Aplikace používá cookies a úložiště prohlížeče zejména pro technické, bezpečnostní a preferenční účely. Aktuálně jde zejména o:

Název / úložiště	Typ	Účel	Poskytovatel / doména	Doba uložení	Souhlas
session cookie	technická	udržení session, přihlášení a fungování aplikace	aplikace Vision Thing AI	120 minut nečinnosti	ne
XSRF-TOKEN	bezpečnostní	ochrana proti CSRF útokům	aplikace Vision Thing AI	120 minut; při používání aplikace se obnovuje	ne
remember_web_*	funkční	zapamatování přihlášení, pokud jej uživatel zvolí	aplikace Vision Thing AI	přibližně 400 dní; do odhlášení, změny přihlášení nebo jiné bezpečnostní změny	ne, pokud jde o uživatelem zvolenou funkci
appearance cookie	preferenční	uložení preference vzhledu aplikace pro serverové vykreslení	aplikace Vision Thing AI	365 dní od nastavení nebo změny preference	ne
appearance v localStorage	preferenční	uložení preference vzhledu aplikace v prohlížeči	prohlížeč uživatele	do změny preference, vymazání úložiště prohlížečem nebo uživatelem	ne
sidebar_state	preferenční	uložení stavu postranního panelu	aplikace Vision Thing AI	7 dní od změny stavu postranního panelu	ne
Hodnoty session pro jazykovou preferenci, guest AI chat, rozpracované odeslání kampaně a rate limiting	technické / preferenční	uložení jazyka, návaznost guest AI chatu, dokončení odeslání po přihlášení a ochrana proti zneužití	aplikace Vision Thing AI	120 minut nečinnosti	ne

Tyto cookies a obdobná úložiště slouží k fungování aplikace, přihlášení, zabezpečení a uložení uživatelských preferencí. Pokud aplikace používá pouze tyto technické a preferenční prvky, samostatný souhlas s analytickými nebo marketingovými cookies se zpravidla nevyžaduje.

Pokud budou do aplikace přidány analytické, reklamní nebo jiné netechnické nástroje, například měření návštěvnosti, remarketing nebo marketingové pixely, bude nutné doplnit odpovídající informování a mechanismus souhlasu.

9. Doba uchování

Osobní údaje uchováváme pouze po dobu nezbytnou pro příslušné účely:

Kategorie údajů	Doba uchování
Uživatelský účet	po dobu existence účtu; při zrušení účtu budou přímé identifikátory a údaje potřebné jen pro provoz účtu smazány nebo anonymizovány, pokud není dán jiný právní důvod uchování
Heslo a bezpečnostní údaje účtu	po dobu existence účtu nebo do jejich změny; při zrušení účtu budou odstraněny nebo zneplatněny
Propojený externí účet	po dobu propojení s uživatelským účtem; při zrušení účtu bude propojení odstraněno nebo anonymizováno
Session data	120 minut nečinnosti
Resetovací tokeny	60 minut od vytvoření
Rozpracované návrhy kampaní	po dobu existence účtu nebo do jejich smazání uživatelem či provozovatelem; při zrušení účtu budou zpravidla smazány nebo anonymizovány, pokud nebyly součástí odeslané či uložené kampaně
Odeslané nebo uložené kampaně	po dobu potřebnou pro vyřízení poptávky, obchodní návaznost, interní evidenci, statistiky, kontrolu kvality, ochranu právních nároků nebo splnění právních povinností; při zrušení účtu mohou být dále uchovány jako samostatný obchodní, provozní nebo analytický záznam
Údaje obsažené v kampani	po dobu uchování příslušné kampaně; může jít zejména o datum kampaně, rozpočet, vybrané reklamní plochy, poznámku, AI summary konverzace, nahrané podklady, loga, vygenerované nebo upravené kreativy, náhledy a související metadata
AI konverzace a související metadata	po dobu existence účtu nebo po dobu potřebnou pro historii konverzace, kontrolu kvality, řešení chyb a ochranu právních nároků; při zrušení účtu budou zpravidla smazány nebo anonymizovány, pokud nejsou součástí uchovávané kampaně, interní notifikace nebo jiného oprávněně uchovávaného záznamu
AI summary konverzací	po dobu potřebnou pro vyřízení poptávky, uchování kampaně, kontrolu kvality AI doporučení, zákaznickou podporu, interní statistiky a ochranu právních nároků; pokud je summary součástí kampaně, uchovává se po dobu uchování této kampaně
Nahrané podklady, loga a soubory	po dobu potřebnou pro poskytnutí služby, vytvoření nebo úpravu kreativ, historii kampaně, kontrolu kvality, řešení chyb a ochranu právních nároků; pokud jsou součástí kampaně, uchovávají se po dobu uchování této kampaně
Vygenerované nebo upravené kreativy	po dobu potřebnou pro historii kampaně, další úpravy, vyřízení poptávky, kontrolu kvality, interní statistiky a ochranu právních nároků; pokud jsou součástí kampaně, uchovávají se po dobu uchování této kampaně
Newsletter a marketingová komunikace	po dobu odběru nebo trvání oprávněného zájmu; údaje potřebné k prokázání souhlasu nebo odhlášení můžeme uchovat po dobu nezbytnou pro ochranu právních nároků
Technické logy	po dobu potřebnou pro provoz, bezpečnost a řešení incidentů
Bezpečnostní incidenty	po dobu řešení incidentu a následně po dobu nezbytnou pro ochranu právních nároků
Interní obchodní notifikace	po dobu potřebnou pro vyřízení poptávky, obchodní návaznost, interní evidenci, provozní kontrolu a ochranu právních nároků
Zálohy	po dobu vyplývající z technického nastavení zálohování a obnovy, zpravidla po omezenou rotační dobu
Údaje pro právní nároky nebo povinnosti	po dobu vyžadovanou právními předpisy nebo po dobu trvání příslušných promlčecích lhůt

Po zrušení účtu nebo vyřízení žádosti o výmaz mohou být přímé identifikátory uživatele odstraněny, anonymizovány nebo nahrazeny technickým identifikátorem. Zrušení účtu neznamená automatické smazání odeslaných nebo uložených kampaní, pokud jsou dále uchovávány z důvodů uvedených výše. Některé údaje mohou být uchovány v pseudonymizované podobě, pokud je to nezbytné pro právní nároky, bezpečnost, audit, kontrolu kvality, vyřízení poptávky nebo oprávněné interní statistiky. Pseudonymizované údaje jsou stále osobními údaji, pokud je lze znovu přiřadit ke konkrétní osobě. Anonymizované nebo agregované statistiky, ze kterých již nelze určit konkrétní osobu, můžeme uchovávat bez časového omezení.

Některé údaje mohou po omezenou dobu zůstat v logách, zálohách, interních notifikacích, e-mailové komunikaci nebo provozních evidencích. Provozovatel je maže, anonymizuje nebo omezuje jejich použití podle technických možností, retenčních lhůt a právních důvodů.

10. Bezpečnost

Provozovatel chrání osobní údaje pomocí technických a organizačních opatření, zejména:

• řízení přístupových práv,
• zabezpečeného přihlašování,
• hashování hesel,
• možnosti dvoufaktorového ověření,
• ochrany proti CSRF útokům,
• rate limitingu vybraných akcí,
• logování a monitoringu,
• omezení přístupu k produkčním datům na oprávněné osoby,
• zálohování a provozních bezpečnostních opatření.

Žádné technické opatření však nezaručuje absolutní bezpečnost. Pokud máte podezření na zneužití účtu nebo bezpečnostní incident, kontaktujte provozovatele na info@visionthing.cz.

11. Práva subjektů údajů

Podle GDPR máte zejména právo:

• požádat o přístup ke svým osobním údajům,
• požádat o opravu nepřesných údajů,
• požádat o výmaz údajů,
• požádat o omezení zpracování,
• vznést námitku proti zpracování založenému na oprávněném zájmu,
• získat údaje v přenositelném formátu, pokud jsou splněny zákonné podmínky,
• odvolat souhlas, pokud je zpracování založeno na souhlasu,
• podat stížnost u Úřadu pro ochranu osobních údajů.

Práva můžete uplatnit e-mailem na info@visionthing.cz. Provozovatel může požádat o přiměřené ověření totožnosti, pokud je to nutné pro ochranu účtu a údajů.

Žádosti vyřizujeme bez zbytečného odkladu, zpravidla do jednoho měsíce. U složitých nebo početných žádostí může být lhůta prodloužena až o další dva měsíce; v takovém případě bude žadatel informován. Odvolání souhlasu nemá vliv na zákonnost zpracování provedeného před jeho odvoláním.

12. Automatizované rozhodování

Aplikace používá AI asistenta pro podporu plánování kampaně. AI asistent může navrhovat reklamní plochy, rozpočet nebo další parametry kampaně, ale sám nevytváří právně závaznou objednávku, rezervaci ani platbu.

Výstupy AI asistenta nejsou používány jako jediný podklad pro rozhodnutí, které by vůči uživateli mělo právní účinky nebo jej obdobně významně ovlivňovalo. V aplikaci nedochází k automatizovanému rozhodování, které by samo o sobě mělo vůči uživateli právní účinky nebo jej obdobně významně ovlivňovalo ve smyslu GDPR.

13. Změny těchto zásad

Provozovatel může tyto zásady aktualizovat, zejména pokud se změní funkce aplikace, typy zpracovávaných údajů, účely zpracování, dodavatelé, doby uchování nebo právní požadavky.

Aktuální znění bude dostupné v aplikaci nebo na webu provozovatele. V případě významných změn může být uživatel informován také e-mailem nebo oznámením v aplikaci.