Zásady zpracování osobních údajů při ověření totožnosti přes Bank iD

Lidské hodnoty i v digitálním právním prostředí.

O projektu O nás Osobní údaje Ověření: zásady Ověření: podmínky

Zásady zpracování osobních údajů při ověření totožnosti přes Bank iD

Tyto zásady popisují, jaké osobní údaje zpracováváme, když si v aplikaci „JURISTIC – ověření totožnosti“ necháte ověřit totožnost přes Bank iD, k čemu je používáme, komu je předáváme a jak dlouho je uchováváme. Podmínky samotné služby jsou na stránce Podmínky ověření totožnosti.

1. Kdo údaje zpracovává

Správce	Spolek JURISTIC, z.s.
IČO	69458545
Sídlo	náměstí Republiky 204/30, Vnitřní Město, 301 00 Plzeň
Kontakt	gdpr@juristic.cz (žádosti o výmaz a o uplatnění práv)

Pověřenec pro ochranu osobních údajů není jmenován.

Bank iD a banka, ve které jste klientem, jsou při předávání údajů každý samostatným správcem; nejsou našimi společnými správci. Jejich zpracování se řídí jejich vlastními zásadami (viz kapitola 7).

2. K čemu ověření slouží

Účel: ověřit totožnost přihlášeného uživatele jednotného účtu JURISTIC (JIM) přes Bank iD a připsat ověření k jeho účtu; ruční párování ověření s matrikou spolku.
Komu výsledek slouží: jen Spolku JURISTIC. V této verzi služby ověření nepředává do JIM ani do jiných aplikací žádný údaj; než se to změní, změníme tyto zásady. Aplikacím a organizacím mimo spolek výsledek ani údaje z něj nepředáváme.
Dobrovolnost: ověření probíhá na vaši žádost. Údaj označený jako povinný můžete odmítnout, ale ověření se tím zruší.
Věk: službu smí použít jen zletilé osoby (18 let a více). Věk zjistíme z data narození, které dostaneme z banky, jen v paměti; datum ani věk neukládáme. Nezletilému ověření odmítneme a vysvětlíme proč.

Právní základ zpracování (čl. 6 odst. 1 GDPR):

Účel	Právní základ
Ověření totožnosti, připsání ověření k vašemu účtu a oznámení o výsledku e-mailem	písm. b) – plnění služby ověření podle podmínek ověření
Tištěná matrika, provozní a bezpečnostní záznamy a doklad o transakci	písm. f) – oprávněný zájem spolku: doložit ověření, plnění služby a její úhradu, bránit falešným identitám a zajistit bezpečnost služby. Proti tomuto zpracování můžete vznést námitku (kapitola 6).

Tištěná matrika není seznamem členů spolku; vede se jen k doložení ověření podle těchto zásad.

3. Jaké údaje dostaneme z banky

Vaše jméno a datum narození jsme získali od vaší banky prostřednictvím služby Bank iD. Při ověření využíváme službu Bank iD CONNECT. Banka vám při souhlasu zobrazí, které údaje se předají (tuto obrazovku zobrazuje banka, ne my).

Povinné údaje: jméno a příjmení, datum narození.
Volitelný údaj: e-mailová adresa z banky (pokud ji banka předá).
Technické údaje ověření: identifikátor osoby u Bank iD, označení banky, čas ověření a identifikátor transakce.
Nežádáme: tituly, adresu, rodné číslo ani číslo bankovního účtu. Všechna ostatní pole, která by banka mohla předat, aplikace ignoruje.

4. Co ukládáme, kde a jak dlouho

Po spuštění služby ukládáme tyto údaje (většinu v databázi aplikace, provozní a auditní záznamy zvlášť):

Údaj	Proč	Kdo ho vidí	Jak dlouho
Záznam o ověření v databázi, úroveň 1 (vazba na váš účet)
Účet v JIM, výsledek ověření a jeho čas, kód chyby	kotva ověření; ruční párování, řešení sporů; počítání pokusů (opravný pokus při neshodě jména)	vy, pověřené osoby spolku	po dobu existence vašeho účtu v JIM; po jeho výmazu se smažou do jednoho měsíce
Iniciály (například „J. N.“) a shoda jména s účtem v JIM (shoda, neshoda, jméno v JIM chybí)	viditelný znak při ručním párování; rozlišení neshody bez uložení jména	vy, pověřené osoby spolku	stejně: po dobu existence účtu, po výmazu do jednoho měsíce
Rok narození (jen rok)	rozlišení jmenovců při párování s matrikou	vy, pověřené osoby spolku	stejně
Identifikátor osoby u Bank iD a označení banky	poznat opakované ověření téže osoby	nikdo v aplikaci; správce databáze	stejně
Příznak, že oznámení o ověření bylo odesláno i na e-mail z banky (bez adresy)	doložit, komu oznámení šlo	pověřené osoby spolku	stejně
Údaje o párování (kdo, kdy, stav, číslo záznamu v matrice)	ruční párování s matrikou	pověřené osoby spolku	stejně
Záznam o ověření v databázi, úroveň 2 (doklad o transakci)
Identifikátor transakce u Bank iD, čas ověření u banky, verze podmínek ověření a čas zaškrtnutí souhlasu s podmínkami	doložit transakci, její úhradu a váš souhlas s podmínkami (reklamace faktury, spor u Bank iD); shodně s lhůtou pro účetní záznamy podle § 31 zákona č. 563/1991 Sb., o účetnictví	pověřené osoby spolku	5 let od konce roku, v němž ověření proběhlo; při výmazu se vazba na váš účet v aplikaci ruší (smažou se údaje úrovně 1), samotný doklad zůstává do uplynutí lhůty
Ostatní záznamy
Neúspěšné pokusy o ověření (čas, kód chyby, účet v JIM)	bezpečnost, řešení potíží, porovnání s fakturou	pověřené osoby spolku	1 rok
Technické řádky průběhu jednoho ověření	průběh ověření	aplikace	smažou se po 24 hodinách
Jméno a e-mail vašeho účtu z JIM v přihlášení aplikace	porovnání jména, adresát oznámení	nikdo	nejvýše 8 hodin
Technický identifikátor Bank iD v provozním záznamu (není osobní údaj)	podpora Bank iD	pověřené osoby spolku	30 dní
Auditní záznam událostí (identifikátor účtu v JIM, čas, událost, výsledek; bez jména a e-mailu)	důkaz a dohled	pověřené osoby spolku	90 dní (dlouhodobý doklad drží záznam o ověření podle úrovně 2)

Celé jméno z banky, celé datum narození a e-mail z banky do databáze neukládáme nikdy. Zobrazí se jen na stránce s úplnou odpovědí, která vznikne jednou a neukládá se na serveru, a použijí se pro kontrolní kód. Stránku si můžete vytisknout. Nápověda při neshodě jména (tlačítko „Zkopírovat“) běží jen ve vašem prohlížeči: jméno z banky se z ní nikam neodesílá, neukládá se a nedostane se do adresy stránky ani do provozního záznamu.

Do provozních záznamů se podle návrhu aplikace nedostávají jména, data narození, e-mailové adresy ani identifikátor osoby u Bank iD. Před spuštěním služby spolek zkontroluje, že tomu odpovídá nasazená verze aplikace.

Tištěná matrika a výtisk

Tištěná matrika spolku (papír, vede ji předseda): plné jméno, datum narození, e-mail z banky (je-li předán), identifikátor osoby u Bank iD, banka, čas a identifikátor ověření, identifikátor účtu v JIM, čas a kontrolní kód. Slouží jako důkaz a k ručnímu párování. Matrika je uložena uzamčená v sídle spolku; přístup mají předseda spolku a správci služby ověření. Doba uchování: po dobu existence vašeho účtu v JIM; po výmazu na žádost 5 let od konce kalendářního roku, v němž jste o výmaz požádali, pak se list skartuje; nejpozději při zániku spolku. Při výmazu na žádost list v matrice zůstane, jen se označí „výmaz požádán dne …“; skartaci po uplynutí lhůty provádí předseda každý leden a zapíše ji (datum, listy, kdo).
E-mail s výtiskem: pokud výtisk (PDF) pošlete spolku e-mailem, posíláte ho sami; aplikace žádné PDF neposílá ani neukládá. Předmět zprávy obsahuje číslo ověření. Po založení do tištěné matriky zprávu smažeme i z koše, nejpozději do 30 dnů od přijetí. Adresa schránky: matrika@juristic.cz (schránka spolku v Google Workspace; přístup mají předseda spolku a správci služby ověření).

5. Komu údaje předáváme a kdo je zpracovává

Příjemce nebo zpracovatel	Účel a co mu jde	Místo zpracování	Záruka při předání mimo EU	Podmínky zpracování (čteno)
Bank iD (Bankovní identita, a.s.) a banka, ve které jste klientem	jsou zdrojem údajů; z naší strany jde jen o přesměrování a požadavek na oprávnění; samostatní správci	podle jejich zásad (kapitola 7)	—	bankid.cz/osobni-udaje
Microsoft (Azure)	hostování aplikace, databáze, provozních záznamů a tajemství aplikace; údaje z kapitoly 4	aplikace, databáze a úložiště: Švédsko (Sweden Central); provozní záznamy (Log Analytics): Švédsko (Sweden Central)	předání mimo EU jen se zárukami podle kapitoly V GDPR (rozhodnutí o odpovídající ochraně EU–US Data Privacy Framework nebo standardní smluvní doložky)	Microsoft Products and Services Data Protection Addendum, vydání květen 2026, čteno 28. 10. 2026
Twilio SendGrid	odesílání oznámení e-mailem: adresa příjemce a text oznámení (jen čas a výsledek); oznámení jde na e-mail účtu a na e-mail z banky, je-li předán. Záznamy o odeslání se podle dokumentace drží nejvýše 30 dní.	USA	Twilio Inc. je podle svých podmínek zapsána v rámci EU–U.S. Data Privacy Framework; jako záloha slouží standardní smluvní doložky	Twilio Data Protection Addendum, vydání 9. 4. 2026, čteno 28. 10. 2026; doba uchování záznamů o odeslání, čteno 28. 10. 2026
Google Workspace pro neziskové organizace	schránka matrika@juristic.cz: výtisk s úplnou odpovědí, pokud ho pošlete e-mailem; maže se po založení do matriky, nejpozději do 30 dnů	Google může údaje uchovávat v datových centrech v EU i mimo EU; předání se řídí standardními smluvními doložkami (příloha 3, čl. 4.1 jeho DPA).		Google Data Processing Addendum, změněno 8. 6. 2026, příloha 3 (evropské právo ochrany údajů), čl. 4 „Data Transfers“, čteno 28. 10. 2026
Osoby pověřené spolkem	přístup podle kapitoly 4: předseda spolku a správci služby ověření	—	—	—
Aplikace spolku (JIM a další)	v této verzi nic; než se to změní, změníme tyto zásady	—	—	—
Aplikace a organizace mimo spolek	nic	—	—	—

6. Žádost o výmaz a další práva

Žádost o výmaz svých údajů i o uplatnění dalších práv pošlete na adresu gdpr@juristic.cz. Žádost vyřídí správce služby ověření nejpozději do jednoho měsíce od doručení.

Vaše práva

Máte právo na přístup ke svým údajům, na jejich opravu, na výmaz, na omezení zpracování a právo vznést námitku proti zpracování podle čl. 6 odst. 1 písm. f) GDPR. Máte také právo podat stížnost u Úřadu pro ochranu osobních údajů (www.uoou.cz).

Postup výmazu v aplikaci ověření

Údaje záznamu o ověření, které se vážou na váš účet (úroveň 1 v kapitole 4), se smažou do jednoho měsíce; identifikátor transakce a čas ověření zůstanou bez vazby na vás do uplynutí lhůty z kapitoly 4.
List v tištěné matrice se označí „výmaz požádán dne …“ a uchová se po dobu z kapitoly 4; pak ho předseda spolku skartuje a skartaci zapíše.
E-mail s výtiskem, který jste spolku poslali, se smaže včetně koše.
Zálohy databáze se mažou až po uplynutí lhůty zálohování (záloha v Azure 35 dní; nezávislá kopie 30 dní a dalších 7 dní v koši); po obnově ze zálohy se výmaz zopakuje.

Kopie mimo naši kontrolu (odeslaná pošta a zařízení uživatele, kopie u poskytovatelů a jejich zálohy) nelze vymazat okamžitě nebo vůbec; okamžitý a úplný výmaz proto zaručit nelze. Účet v JIM a údaje v dalších aplikacích spolku se řídí obecnými zásadami na stránce Osobní údaje; tyto zásady jejich výmaz neslibují.

Blokace e-mailu po výmazu

Po výmazu uchováme jen jednosměrný otisk (HMAC) e-mailové adresy vašeho účtu a e-mailu z banky, nikoli adresu samotnou. Účelem je, aby se vám po výmazu nic neposílalo a aby se vaše údaje znovu nezpracovaly bez vašeho vědomí. Právním základem je čl. 6 odst. 1 písm. f) GDPR (oprávněný zájem). Otisk uchováváme do zrušení blokace na vaši žádost; proti tomuto zpracování můžete vznést námitku. Týká se jen služby ověření.

7. Informace o zpracování údajů u Bank iD

Bank iD zpracovává údaje podle vlastních zásad: bankid.cz/osobni-udaje. Zásady zpracování ve své bance najdete u banky, kterou při ověření zvolíte.

8. Platnost a změny zásad

Verze 1, znění ze dne 29. 10. 2026. Zásady jsou účinné dnem spuštění služby ověření totožnosti přes Bank iD. Změny zásad zveřejníme na této stránce s novým číslem verze a datem; podstatné změny nejméně 30 dní před účinností.