Zásady ochrany osobních údajů

Tento dokument poskytuje informace o tom, jak provozovatel webu hyposka.cz (dále jen „Hypoška“ nebo „správce“) zpracovává osobní údaje získané prostřednictvím hypoteční kalkulačky, kalkulačky refinancování, kalkulačky bonity, navazujícího hypotečního dotazníku a klientské zóny. Jeho cílem je poskytnout jasný a srozumitelný přehled o rozsahu, účelech a právních základech zpracování, o tom, komu mohou být údaje zpřístupněny, jak dlouho jsou uchovávány a jaká práva lze v souvislosti s jejich zpracováním uplatnit.

Hypoška je webová služba, která zájemcům o hypoteční úvěr umožňuje orientační výpočet a zprostředkuje kontakt s hypotečním poradcem. Hypoška sama úvěry neposkytuje ani nezprostředkovává; zprostředkování provádí licencovaný poradce v roli vázaného zástupce společnosti eDO finance, a.s. (viz část I).

Veškeré zpracování osobních údajů probíhá v souladu s platnými právními předpisy, zejména s Nařízením Evropského parlamentu a Rady (EU) 2016/679 (dále jen „Nařízení GDPR“), se zákonem č. 110/2019 Sb., o zpracování osobních údajů, a se zákonem č. 127/2005 Sb., o elektronických komunikacích.

I. Správce osobních údajů

Správcem osobních údajů zpracovávaných prostřednictvím webu hyposka.cz je:

Jan Hemmer, IČO 08017794, se sídlem Malý Rohozec 173, 511 01 Turnov, fyzická osoba podnikající podle živnostenského zákona.

Správce určuje účely a prostředky zpracování osobních údajů zadaných na webu hyposka.cz a odpovídá za to, aby nakládání s nimi probíhalo v souladu s právními předpisy. Kontaktním místem pro uplatňování práv subjektů údajů a pro dotazy ke zpracování osobních údajů je e-mailová adresa jan.hemmer@edofinance.cz (viz část XI).

Vztah k eDO finance, a.s.

Hypoteční poradci, kteří vás na základě poptávky z tohoto webu kontaktují, vykonávají zprostředkování spotřebitelských úvěrů jako vázaní zástupci samostatného zprostředkovatele eDO finance, a.s., IČO 24783421, se sídlem V parku 2335/20, Chodov, 148 00 Praha 4. Registraci lze ověřit v Seznamu regulovaných a registrovaných subjektů finančního trhu České národní banky.

Web hyposka.cz a údaje zadané do kalkulaček, dotazníku a klientské zóny spravuje výhradně správce uvedený výše; eDO finance, a.s. tento web neprovozuje a k databázi Hypošky nemá přístup. Od okamžiku, kdy s vámi poradce zahájí jednání o zprostředkování úvěru, se na zpracování vašich osobních údajů v rámci této činnosti (posouzení úvěruschopnosti, komunikace s bankami, plnění povinností podle zákona o spotřebitelském úvěru a zákona proti legalizaci výnosů z trestné činnosti) vztahují Zásady zpracování osobních údajů skupiny eDO.

II. Kontakt ve věcech ochrany osobních údajů

Správci nevzniká povinnost jmenovat pověřence pro ochranu osobních údajů podle čl. 37 Nařízení GDPR a pověřence nejmenoval. Ve všech záležitostech týkajících se zpracování osobních údajů se můžete obracet přímo na správce prostřednictvím kontaktů uvedených v části XI.

III. Zpracovávané osobní údaje

Správce zpracovává osobní údaje výhradně v rozsahu nezbytném pro vyřízení vaší poptávky, provoz webu a ochranu před jeho zneužitím. Zpracovávány jsou pouze údaje, které sami zadáte, a technické údaje, které při použití webu vzniknou. Jde o tyto kategorie:

• Kontaktní údaje – telefonní číslo, které zadáte při odeslání poptávky, a e-mailová adresa, pokud ji dobrovolně zadáte pro přístup ke stavu své žádosti online.
• Parametry poptávky – údaje, které zadáte do kalkulaček: u nové hypotéky výše úvěru, vlastní zdroje a doba splácení; u refinancování zůstatek úvěru, současná úroková sazba, konec fixace, současná splátka a zbývající doba splácení; u výpočtu bonity čistý měsíční příjem, stávající měsíční splátky, typ příjmu, počet žadatelů a věk hlavního žadatele. Dále orientační výsledek výpočtu a úroková sazba platná v okamžiku odeslání.
• Údaje z hypotečního dotazníku – pokud se rozhodnete dotazník vyplnit: identifikační údaje (jméno, příjmení, PSČ, případně pohlaví, věk, státní příslušnost a rodinný stav), údaje o příjmech, údaje o výdajích a závazcích, údaje o domácnosti a jejích členech, údaje o nemovitostech, účel a parametry požadovaného úvěru, banky, u nichž máte účet, a vaše poznámka pro poradce. Pokud do dotazníku uvedete údaje spolužadatele nebo dalšího člena domácnosti, odpovídáte za to, že jste tuto osobu o předání údajů informovali.
• Údaje klientského účtu – e-mailová adresa, heslo (uložené výhradně v zabezpečené hashované podobě) a údaje o přihlašovacích relacích (IP adresa, typ prohlížeče, čas).
• Technické a bezpečnostní údaje – IP adresa a identifikace prohlížeče v okamžiku odeslání poptávky, ověřovací SMS kód v hashované podobě, počet pokusů o ověření, čas ověření telefonu a dočasný přístupový klíč pro pokračování v poptávce (uložený rovněž hashovaně).
• Údaje o průběhu vyřízení – stav poptávky, historie změn stavu, poradce, kterému byla poptávka přidělena, poznámky poradce k poptávce, seznam podkladů pro schůzku a případný zdroj poptávky (doporučující odkaz partnera).

Správce nezpracovává zvláštní kategorie osobních údajů (čl. 9 Nařízení GDPR) ani rodná čísla či čísla dokladů totožnosti. Web není určen osobám mladším 18 let; dotazník věk pod 18 let nepřipouští.

IV. Účel zpracování osobních údajů

Osobní údaje jsou zpracovávány zejména pro tyto účely:

• Vyřízení poptávky po hypotečním poradenství – předání vaší poptávky hypotečnímu poradci, který vás na zadané telefonní číslo kontaktuje zpravidla do 24 hodin, a příprava poradce na tento kontakt na základě parametrů poptávky a případně vyplněného dotazníku.
• Ověření telefonního čísla a ochrana před zneužitím – zaslání jednorázového ověřovacího kódu SMS, omezení počtu poptávek z jedné IP adresy a počtu pokusů o zadání kódu, aby web nebylo možné zneužít k obtěžování cizích telefonních čísel nebo k zahlcení poradců falešnými poptávkami.
• Klientská zóna – pokud zadáte e-mail, zaslání odkazu pro nastavení hesla, potvrzení o přijetí poptávky a zobrazení stavu vaší žádosti, dotazníku a seznamu podkladů po přihlášení.
• Provoz a bezpečnost webu – technické zajištění chodu aplikace, zálohování databáze a vedení provozních logů poskytovatelů hostingu.
• Měření návštěvnosti a reklama – pouze pokud k tomu udělíte souhlas v cookie liště (viz část XII).
• Určení, výkon a obhajoba právních nároků – uchování dokladu o tom, že jste o kontakt požádali a telefonní číslo ověřili, pro případ stížnosti nebo sporu.

Osobní údaje zadané na webu hyposka.cz správce nevyužívá k zasílání obchodních sdělení. Zadáním e-mailu vám nezasíláme žádná obchodní sdělení; e-mail slouží pouze k doručení potvrzení o přijetí poptávky a odkazu pro přístup ke klientské zóně. Údaje neprodáváme ani nepředáváme třetím stranám pro jejich marketingové účely.

V. Právní základ zpracování osobních údajů

Správce zpracovává osobní údaje pouze tehdy, pokud pro to existuje některý z právních důvodů stanovených v čl. 6 Nařízení GDPR. Každé zpracování probíhá transparentně, v přiměřeném rozsahu a pouze po dobu nezbytnou pro naplnění konkrétního účelu.

• Plnění smlouvy nebo jednání o jejím uzavření (čl. 6 odst. 1 písm. b) Nařízení GDPR) – odesláním poptávky žádáte o kontakt hypotečního poradce; zpracování telefonního čísla, parametrů poptávky, údajů z dotazníku a údajů klientského účtu je nezbytné pro provedení opatření před uzavřením smlouvy o zprostředkování, která přijímáme na vaši žádost. Bez telefonního čísla a parametrů poptávky vás poradce nemůže kontaktovat; e-mail a dotazník jsou dobrovolné a jejich nezadání nemá na vyřízení poptávky vliv. Pro odeslání poptávky proto nevyžadujeme souhlas se zpracováním osobních údajů.
• Oprávněný zájem správce (čl. 6 odst. 1 písm. f) Nařízení GDPR) – ověření telefonního čísla jednorázovým kódem, uložení IP adresy a identifikace prohlížeče, omezení počtu poptávek a pokusů o ověření, vedení provozních logů a údajů o přihlašovacích relacích a uchování dokladu o poptávce pro určení, výkon a obhajobu právních nároků. Oprávněným zájmem je ochrana poradců i třetích osob před zneužitím webu a bezpečnost informačních systémů; proti tomuto zpracování můžete vznést námitku (část X).
• Souhlas (čl. 6 odst. 1 písm. a) Nařízení GDPR a § 89 odst. 3 zákona o elektronických komunikacích) – pouze pro analytické a marketingové cookies a obdobné technologie. Souhlas udělujete v cookie liště a můžete jej kdykoli odvolat (část XII). Jeho neudělení nemá žádný vliv na vyřízení poptávky.
• Plnění právní povinnosti (čl. 6 odst. 1 písm. c) Nařízení GDPR) – zpřístupnění údajů orgánům veřejné moci, pokud to správci ukládá právní předpis nebo rozhodnutí oprávněného orgánu.

Zákonné povinnosti spojené se zprostředkováním spotřebitelského úvěru (zákon č. 257/2016 Sb.) a s identifikací a kontrolou klienta (zákon č. 253/2008 Sb.) plní eDO finance, a.s. a její vázaní zástupci v rámci poradenského vztahu; na webu hyposka.cz k tomuto zpracování nedochází.

VI. Příjemci nebo kategorie příjemců osobních údajů

Správce zajišťuje, aby osobní údaje byly zpřístupňovány pouze oprávněným osobám a výhradně v rozsahu nezbytném pro naplnění konkrétního účelu. Osobní údaje mohou být zpřístupněny nebo předávány následujícím kategoriím příjemců:

• Spolupracující hypoteční poradci – poradce, kterému je vaše poptávka přidělena, získá přístup k telefonnímu číslu, parametrům poptávky, e-mailu a dotazníku, aby vás mohl kontaktovat a připravit se na jednání. Poradci jsou vázanými zástupci eDO finance, a.s.; při navazujícím zprostředkování úvěru nejsou zpracovateli správce, ale zpracovávají údaje v rámci vlastní odpovědnosti podle Zásad skupiny eDO (část I).
• Administrátor aplikace – osoba pověřená správcem technickou správou webu, s přístupem ke všem údajům pro účely provozu a podpory; je vázána povinností mlčenlivosti.
• Partneři s doporučujícím odkazem – přijde-li vaše poptávka přes odkaz partnera Hypošky, partner vidí, že poptávka z jeho odkazu vznikla, její stav vyřízení a telefonní číslo, aby mohl ověřit, že jde o jím doporučeného klienta. Partneři jsou vázáni povinností mlčenlivosti.
• Zpracovatelé – dodavatelé, kteří pro správce osobní údaje zpracovávají podle čl. 28 Nařízení GDPR na základě smlouvy o zpracování osobních údajů, pouze podle pokynů správce a v rozsahu nezbytném pro poskytnutí služby:
  • Neon (Neon, LLC, součást Databricks, Inc., USA) – databáze aplikace. Předávané údaje: všechny zadané údaje. Data jsou uložena v EU (Frankfurt); případný vzdálený přístup z USA (např. technická podpora) probíhá na základě certifikace v rámci EU–U.S. Data Privacy Framework.
  • Vercel (Vercel Inc., USA) – provoz webu a aplikace. Předávané údaje: technické logy, IP adresa a údaje zpracovávané serverovou částí aplikace. Serverové funkce provozujeme v regionu EU (Frankfurt); statický obsah doručuje globální síť CDN a provozní logy mohou být zpracovány v USA na základě certifikace v rámci EU–U.S. Data Privacy Framework.
  • Resend (Resend, Inc., USA; využívá Amazon SES) – doručení transakčních e-mailů (potvrzení poptávky, odkaz pro nastavení hesla, pozvánky). Předávané údaje: e-mailová adresa, obsah zprávy. E-maily jsou odesílány z regionu EU (Irsko); obsah zpráv, záznamy o doručení a provozní metadata služba ukládá v USA na základě certifikace v rámci EU–U.S. Data Privacy Framework a standardních smluvních doložek.
  • GoSMS (ZooControl s.r.o., IČO 05766656, Česká republika) – doručení ověřovacích SMS. Předávané údaje: telefonní číslo, obsah zprávy. Umístění zpracování: Česká republika / EU.
• Orgány veřejné moci – soudy, orgány činné v trestním řízení, Úřad pro ochranu osobních údajů a další správní orgány, pokud to vyžaduje právní předpis nebo rozhodnutí oprávněného orgánu.
• Další osoby – pouze s vaším souhlasem nebo je-li to nezbytné pro určení, výkon nebo obhajobu právních nároků správce (např. advokát).

Poskytovatelé analytických a reklamních nástrojů (Google) přijímají údaje pouze v případě, že k tomu udělíte souhlas v cookie liště (část XII).

VII. Předávání osobních údajů do třetích zemí

Osobní údaje ukládáme na serverech v Evropské unii. Někteří z uvedených zpracovatelů jsou společnosti se sídlem v USA a část zpracování (obsah a záznamy o doručení e-mailů u služby Resend, provozní logy hostingu, případná technická podpora databáze) u nich probíhá mimo EU. Takové předávání se opírá o prováděcí rozhodnutí Evropské komise (EU) 2023/1795 o odpovídající ochraně podle rámce EU–U.S. Data Privacy Framework, na jehož seznamu jsou uvedení dodavatelé certifikováni, a podpůrně o standardní smluvní doložky podle čl. 46 odst. 2 písm. c) Nařízení GDPR, které jsou součástí smluv o zpracování s těmito dodavateli. Kopii příslušných záruk lze vyžádat prostřednictvím kontaktů v části XI.

Udělíte-li souhlas s analytickými nebo marketingovými cookies, mohou být údaje o vašem používání webu předány společnosti Google Ireland Limited a dále do USA společnosti Google LLC za stejných podmínek.

VIII. Doba uchovávání osobních údajů

Správce uchovává osobní údaje pouze po dobu nezbytně nutnou k naplnění účelů, pro které byly shromážděny.

• Poptávka, parametry, dotazník, poznámky poradce a technické údaje k poptávce – po dobu nezbytnou pro poskytnutí poradenství, nejdéle 24 měsíců od získání údajů. Poté jsou údaje smazány nebo anonymizovány.
• Ověřovací SMS kód – uchováván pouze v hashované podobě do ověření nebo vypršení platnosti kódu; záznam je odstraněn společně s poptávkou.
• Dočasný přístupový klíč pro pokračování v poptávce – platnost 24 hodin od ověření telefonu; po uplynutí ztrácí platnost.
• Klientský účet – po dobu existence účtu; přihlašovací relace vyprší nejpozději po 30 dnech nečinnosti. Odkaz pro nastavení hesla platí 7 dnů.
• Provozní logy poskytovatelů hostingu – krátkodobě podle nastavení poskytovatele, zpravidla nejvýše několik dní.
• Údaje uložené ve vašem prohlížeči (nastavení souhlasu, rozpracované hodnoty kalkulačky, kód doporučujícího odkazu) – do jejich změny nebo do vymazání dat prohlížeče; na server se přenášejí pouze s odeslanou poptávkou.

Osobní údaje, které poradce nebo eDO finance, a.s. zpracovávají v rámci navazujícího zprostředkování úvěru, se řídí dobami uchovávání podle Zásad skupiny eDO.

IX. Zabezpečení osobních údajů

Správce přijímá vhodná technická a organizační opatření, aby zajistil ochranu osobních údajů před neoprávněným nebo protiprávním zpracováním, ztrátou, zničením či poškozením, a to zejména:

• šifrování veškerého přenosu dat mezi prohlížečem, aplikací a databází (TLS),
• ukládání hesel, ověřovacích kódů a přístupových klíčů výhradně v hashované podobě,
• řízený přístup k údajům podle rolí (poradce vidí pouze poptávky, které mu byly přiděleny; partner pouze poptávky ze svého odkazu),
• omezení počtu poptávek z jedné IP adresy a počtu pokusů o ověření kódu,
• provoz aplikace a databáze v datových centrech v EU s pravidelným zálohováním,
• povinnost mlčenlivosti osob, které mají k údajům přístup.

Správce účinnost přijatých opatření průběžně přezkoumává a upravuje podle vývoje technologií, právních požadavků a rizik.

X. Práva subjektu údajů

Ve vztahu ke zpracování svých osobních údajů máte práva stanovená Nařízením GDPR. Správce tato práva plně respektuje a vytváří podmínky pro jejich řádné uplatnění.

• Právo na přístup k osobním údajům – máte právo získat potvrzení, zda jsou vaše osobní údaje zpracovávány, a pokud ano, získat k nim přístup a informace o účelu, rozsahu, kategoriích údajů, příjemcích, době uchovávání a dalších skutečnostech souvisejících se zpracováním.
• Právo na opravu – můžete požadovat, aby byly bez zbytečného odkladu opraveny nepřesné osobní údaje nebo doplněny údaje neúplné.
• Právo na výmaz („právo být zapomenut“) – můžete požadovat výmaz svých osobních údajů, pokud již nejsou potřebné pro účely, pro které byly shromážděny, pokud zanikl právní důvod jejich zpracování, pokud jste vznesli námitku nebo pokud byly údaje zpracovány protiprávně. Každou žádost posuzujeme individuálně s ohledem na oprávněný zájem na uchování dokladu o poptávce.
• Právo na omezení zpracování – můžete požadovat omezení zpracování, zejména pokud popíráte přesnost údajů, vznesli jste námitku nebo je zpracování protiprávní a nechcete výmaz.
• Právo na přenositelnost údajů – údaje, které jste nám poskytli a které zpracováváme automatizovaně na základě smlouvy, máte právo získat ve strukturovaném, běžně používaném a strojově čitelném formátu.
• Právo vznést námitku – proti zpracování založenému na oprávněném zájmu správce (část V) můžete kdykoli vznést námitku. Správce pak ve zpracování pokračuje pouze tehdy, prokáže-li závažné oprávněné důvody, které převažují nad vašimi zájmy, právy a svobodami.
• Právo odvolat souhlas – souhlas s analytickými a marketingovými cookies můžete kdykoli odvolat prostřednictvím odkazu „Nastavení cookies“ v patičce webu. Odvolání nemá vliv na zákonnost zpracování provedeného před ním.
• Právo nebýt předmětem automatizovaného rozhodování – správce neprovádí rozhodování založené výhradně na automatizovaném zpracování ani profilování, které by pro vás mělo právní účinky. Výsledky kalkulaček jsou pouze orientační výpočty; o poskytnutí úvěru rozhoduje výhradně banka po posouzení poradcem.
• Právo podat stížnost u dozorového úřadu – máte právo podat stížnost u Úřadu pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, www.uoou.gov.cz, nebo u dozorového úřadu jiného členského státu EU, kde máte obvyklé bydliště, místo výkonu práce nebo kde došlo k údajnému porušení.

XI. Kontaktní místo pro uplatnění práv

Práva uvedená v části X můžete uplatnit:

• e-mailem zaslaným na adresu jan.hemmer@edofinance.cz,
• dopisem doručeným na adresu Jan Hemmer, Malý Rohozec 173, 511 01 Turnov.

Při vyřizování žádosti je správce povinen ověřit totožnost žadatele, aby osobní údaje nebyly zpřístupněny neoprávněné osobě; zpravidla postačí odpověď z e-mailu nebo telefonního čísla, které jsou u poptávky evidovány. Na žádost odpovídáme bez zbytečného odkladu, nejpozději do jednoho měsíce od jejího doručení; v odůvodněných případech lze tuto lhůtu prodloužit o další dva měsíce, o čemž vás budeme informovat.

Pokud nejste spokojeni se způsobem vyřízení své žádosti, můžete se obrátit na Úřad pro ochranu osobních údajů nebo využít prostředky ochrany stanovené právními předpisy.

XII. Cookies a obdobné technologie

Web hyposka.cz používá cookies a úložiště prohlížeče (localStorage) v tomto rozsahu:

Nezbytné (bez souhlasu)

Technické uložení nezbytné pro poskytnutí služby, kterou jste si výslovně vyžádali (§ 89 odst. 3 zákona o elektronických komunikacích):

• better-auth.session_token – cookie přihlašovací relace klientské zóny; ukládá se pouze po přihlášení, platnost nejvýše 30 dnů.
• hyppo_consent – uložení vaší volby v cookie liště, aby se lišta nezobrazovala opakovaně.
• hyppo_calc_mortgage, hyppo_calc_refinancing, hyppo_calc_bonita, hyppo_calc_tab – rozpracované hodnoty kalkulačky (bez telefonu a e-mailu), abyste po návratu na web nemuseli zadávat vše znovu.
• hyppo_ref, hyppo_ref_click – kód doporučujícího odkazu partnera, přes který jste na web přišli; přenáší se pouze s odeslanou poptávkou.
• lead-access-token – dočasný klíč pro pokračování v poptávce po ověření telefonu (platnost 24 hodin).

Analytické (pouze se souhlasem)

Google Analytics 4 (Google Ireland Limited) – měření návštěvnosti a chování na webu; cookies _ga a _ga_* s platností až 13 měsíců.

Marketingové (pouze se souhlasem)

Google Ads včetně remarketingu (Google Ireland Limited) – měření konverzí reklamních kampaní a cílení reklamy; cookie _gcl_au s platností 90 dnů a další podle dokumentace Google.

Analytické a marketingové nástroje se nenačítají, dokud v cookie liště neudělíte souhlas; do té doby web žádná data společnosti Google nepředává. Používáme režim Google Consent Mode v2 s výchozím nastavením „odmítnuto“. Do těchto nástrojů nikdy nepředáváme telefonní číslo, e-mail ani jiné identifikační údaje. Souhlas můžete udělit pro každou kategorii zvlášť, tlačítka „Přijmout vše“ a „Odmítnout vše“ jsou rovnocenná a svou volbu můžete kdykoli změnit odkazem „Nastavení cookies“ v patičce webu. Odmítnutí cookies nemá žádný vliv na použití kalkulačky ani na vyřízení vaší poptávky.

Cookies lze rovněž spravovat nebo mazat v nastavení prohlížeče; zablokování nezbytného úložiště může omezit přihlášení do klientské zóny a pokračování v poptávce.

XIII. Aktualizace těchto zásad

Tyto zásady mohou být průběžně doplňovány nebo upravovány v návaznosti na změny právních předpisů, použitých technologií nebo dodavatelů. Aktuální znění je vždy k dispozici na adrese hyposka.cz/zasady-ochrany-osobnich-udaju. V případě podstatných změn, které mohou ovlivnit způsob zpracování osobních údajů, budou uživatelé klientské zóny o změnách informováni e-mailem před nabytím jejich účinnosti.

XIV. Závěrečná ustanovení

Tyto zásady nabývají účinnosti dnem 17. 9. 2026 a nahrazují všechna předchozí znění.