Zásady ochrany osobních údajů — SimplyForms

Verze 1.2 · Účinné od: 1. prosince 2026 (pro nové registrace ode dne zveřejnění)

V případě rozporu mezi českou a anglickou verzí je rozhodující česká verze.

1. Správce osobních údajů

Provozovatelem služby SimplyForms (dále jen „Služba") a správcem osobních údajů zákazníků je:

Adam Todt, fyzická osoba podnikající IČO: 19197438 DIČ: CZ8909294592 (identifikovaná osoba dle §6g ZDPH; neplátce DPH) Sídlo: Drahy 1625, 696 42 Vracov, Česká republika Zápis: Registr osob (ROS) Kontaktní e-mail pro ochranu osobních údajů: privacy@simplyforms.app

Adam Todt neustanovuje pověřence pro ochranu osobních údajů (DPO) dle čl. 37 GDPR, neboť hlavní činnost nezahrnuje rozsáhlé pravidelné a systematické monitorování ani zpracování zvláštních kategorií osobních údajů ve velkém rozsahu.

2. Dvě role SimplyForms — klíčové rozlišení

SimplyForms zpracovává osobní údaje ve dvou různých rolích podle kontextu:

2.1 SimplyForms jako správce (čl. 4 odst. 7 GDPR)

Vůči Zákazníkovi Služby (osobě/firmě, která se registruje a získá API klíč) je SimplyForms správcem těchto údajů:

• e-mail účtu, hash hesla, identifikátor formuláře (form_id),
• API klíč (uložený jako SHA-256 hash),
• fakturační údaje a identifikátor zákazníka u Paddle,
• bezpečnostní logy (login, IP přihlášení, refresh tokeny),
• záznamy o přijetí ToS, DPA a souvisejících souhlasů (auditní stopa).

2.2 SimplyForms jako zpracovatel (čl. 4 odst. 8, čl. 28 GDPR)

Vůči návštěvníkům webu Zákazníka, kteří odesílají formulář, je SimplyForms pouze zpracovatelem jednajícím jménem Zákazníka. Správcem je Zákazník — provozovatel webu, na kterém je formulář vložen. Zákazník odpovídá za:

• získání platného právního základu podle čl. 6 (a případně čl. 9) GDPR od svých návštěvníků,
• informování návštěvníků dle čl. 13 GDPR ve své vlastní privacy policy,
• vyřizování práv subjektů (čl. 15–22) ohledně obsahu formulářů.

Tyto Zásady se nevztahují na obsah formulářů odeslaných návštěvníky webů našich Zákazníků. Privacy policy Zákazníka je závazná v této věci.

Pro tuto roli uzavírá SimplyForms se Zákazníkem Smlouvu o zpracování osobních údajů (DPA) — automaticky přijatou při registraci; plný text na simplyforms.app/legal/dpa.

3. Architektura služby — stateless e-mailový relay

SimplyForms je bezstavový e-mailový relay. Obsah odeslaných formulářů se neukládá do žádné databáze ani aplikačního logu. Backend přijme HTTP POST, validuje, předá e-mail odesílacímu SMTP serveru Provozovatele a payload zahodí z operační paměti. Ve frontě SMTP serveru je zpráva dočasně meziuložena výhradně do doručení do schránky Zákazníka, nejdéle 5 dnů; poté je nevratně smazána. Logy SMTP serveru obsahují pouze adresy a identifikátory zpráv, nikoli obsah.

Do databáze NEUKLÁDÁME:

• obsah formuláře (žádné pole, žádná hodnota),
• IP adresu Odesílatele,
• user-agent Odesílatele,
• referrer Odesílatele (ukládá se pouze doména, viz čl. 4.2),
• nahrané soubory (předány v e-mailu, lokálně neperzistovány).

Krátkodobě zpracováváme IP adresu Odesílatele pro ochranu Služby: v paměti (Redis) po dobu okna rate-limitu, nejdéle 60 sekund, a v provozních logech reverzní proxy a aplikace (IP adresa, čas, cesta požadavku bez parametrů) po dobu rotace logů, nejdéle 30 dnů. Právní základ: oprávněný zájem na bezpečnosti Služby (čl. 6(1)(f) GDPR).

SMTP relay je provozován Adamem Todtem na vlastní infrastruktuře v Evropské unii (datacentrum Hetzner Online GmbH, Norimberk). Žádný třetí poskytovatel e-mailových služeb (např. SendGrid, Mailgun, Postmark, Resend, Amazon SES) nevstupuje do datového toku mezi Službou a schránkou příjemce.

Volitelné výjimky (vždy opt-in nastavené Zákazníkem v dashboardu, dostupné od plánu EXTEND):

• Webhook s metadaty: pokud Zákazník aktivuje webhook s opt-in metadaty, IP, user-agent a referrer Odesílatele se odešlou na webhook URL Zákazníka. Žádná kopie nezůstává u nás.
• Autoresponder: potvrzovací e-mail Odesílateli (vyžaduje pole email v payloadu).
• Server-side validace (ENTERPRISE): kontrola polí na serveru před přeposláním. Žádné perzistování.

4. Jaké údaje zpracováváme a na jakém právním základě

4.1 Údaje Zákazníka (kde jsme správce)

4.2 Anonymní metrika odeslání formulářů

Tato metrika neumožňuje identifikaci jednotlivého Odesílatele a není považována za osobní údaj ve smyslu čl. 4(1) GDPR. Zachováváme ji jako anonymní agregaci pro účely fakturace dle limitů plánu a pro detekci zneužití.

4.3 Údaje při webhook s opt-in metadaty (EXTEND+)

Pokud Zákazník v dashboardu aktivně zapne opt-in metadata pro webhook:

4.4 Údaje Odesílatele (kde jsme zpracovatel pro Zákazníka)

Obsah formuláře, který Odesílatel vyplnil. Neukládáme. Pouze přeneseme e-mailem do schránky Zákazníka.

5. Příjemci údajů (sub-processors)

Pro provoz Služby využíváme tyto subzpracovatele:

SMTP relay i CI/CD běží na serverech pronajatých Adamem Todtem u Hetzneru a spravovaných výhradně jím — žádný třetí e-mailový provider ani provozovatel CI nezpracovává obsah relayovaných e-mailů ani nemá přístup k produkčním datům.

Paddle není subzpracovatelem. Placené plány prodává Zákazníkovi společnost Paddle.com Market Ltd (30 Old Bailey, London EC4M 7AU, Spojené království) jako prodejce (merchant of record). Paddle o účelech a prostředcích zpracování platebních údajů rozhoduje sám a je proto ve vztahu k této transakci samostatným správcem, nikoli zpracovatelem jednajícím pro nás. Předáváme mu e-mail Zákazníka a identifikátor jeho účtu; údaje Odesílatelů formulářů se k Paddle nedostávají vůbec. Platební kartu ani její číslo nikdy nevidíme ani neukládáme. Podmínky Paddle: paddle.com/legal/checkout-buyer-terms, zásady ochrany údajů: paddle.com/legal/privacy.

Aktuální seznam udržujeme veřejně na simplyforms.app/legal/sub-processors. O změnách informujeme e-mailem na adresu Účtu nejméně 30 dnů předem; Zákazník má právo proti změně vznést námitku v souladu s DPA a Smlouvu z tohoto důvodu bezplatně vypovědět.

Volitelné integrace Zákazníka (Google reCAPTCHA, Cloudflare Turnstile, vlastní webhook URL): tyto nejsou subzpracovateli SimplyForms — jsou-li aktivovány Zákazníkem, jedná se o samostatné zpracování řízené Zákazníkem; Zákazník odpovídá za informování svých Odesílatelů o předání dat mimo EU (zejména do USA u Google).

6. Předání mimo EU

Celá infrastruktura SimplyForms běží v EU (Hetzner Nürnberg). K předání osobních údajů Zákazníků do třetích zemí standardně nedochází.

Výjimky:

1. Paddle (samostatný správce, viz čl. 5) zpracovává fakturační údaje ve Spojeném království, případně i v USA. Předání je založeno na:

   • rozhodnutí Evropské komise o odpovídající úrovni ochrany pro Spojené království ze dne 19. prosince 2025 (platné do 27. prosince 2031, nahrazující rozhodnutí (EU) 2021/1772),
   • pro případná další předání do USA (Paddle.com Inc.) na Standardních smluvních doložkách dle Prováděcího rozhodnutí Komise (EU) 2021/914, případně na rámci EU-US Data Privacy Framework, je-li Paddle.com Inc. certifikován. Bližší informace: paddle.com/legal/privacy.

2. Zákazníkem aktivované Google reCAPTCHA / Cloudflare Turnstile — datový tok probíhá přímo mezi prohlížečem Odesílatele a Google/Cloudflare. SimplyForms není v tomto datovém toku zpracovatelem. Zákazník je povinen své Odesílatele o tomto datovém toku informovat ve své vlastní privacy policy.

7. Cookies a localStorage

7.1 Marketingový web (simplyforms.app)

Žádné trackery, žádné analytiky třetích stran. Web ukládá jen technicky nezbytné položky podle §89 odst. 3 zákona č. 127/2005 Sb. (zákon o elektronických komunikacích):

• cookie i18n_redirected — zapamatování zvoleného jazyka, 365 dnů,
• localStorage nuxt-color-mode — režim zobrazení (web je vždy tmavý, hodnotu ukládá použitý framework automaticky),
• localStorage sf-cookie-consent — záznam rozhodnutí o cookie souhlasu, 12 měsíců.

Tyto položky nepodléhají souhlasu dle ePrivacy směrnice 2002/58/ES, čl. 5(3) — výjimka „strictly necessary". Na marketingovém webu zobrazujeme cookie banner; dnes volby „Analytické" a „Marketingové" žádný skript nezapínají ani nevypínají, protože žádný takový skript nenačítáme.

7.2 Dashboard (dash.simplyforms.app)

Používáme pouze technicky nezbytné položky podle §89 odst. 3 zákona č. 127/2005 Sb.:

• přihlašovací tokeny v cookies auth.token (JWT) a auth.refresh-token — bez nich nelze přihlášení uskutečnit,
• cookie s volbou jazyka (i18n_redirected) a preference v localStorage: režim zobrazení (nuxt-color-mode), naposledy zvolený formulář, rozložení editoru šablon a zavřené oznámení o změně dokumentů.

Tyto nepodléhají souhlasu dle ePrivacy směrnice 2002/58/ES, čl. 5(3) — výjimka „strictly necessary". Dashboard cookie banner nezobrazuje.

7.3 Plánovaná analytika

Pokud analytiku nebo marketingové trackery v budoucnu zavedeme, požádáme vás o souhlas znovu — konkrétně pro nástroje, které budeme používat, a vždy před načtením jejich skriptů. Na rozhodnutí uložené před jejich zavedením se nespolehneme. Zároveň zveřejníme aktualizaci Cookie Policy. Aktuální stav: žádná analytika nasazena.

Plný text cookie politiky: simplyforms.app/legal/cookies.

8. Bezpečnostní opatření (čl. 32 GDPR)

• TLS 1.3 pro veškerou komunikaci (Caddy reverse proxy + Let's Encrypt, HSTS preload)
• API klíče uložené pouze jako SHA-256 hash (plaintext nikdy)
• Hesla uložená jako bcrypt hash (cost ≥ 12)
• JWT s krátkou platností (30 minut) + refresh token rotation
• Princip nejmenších oprávnění (Docker no-new-privileges, separátní kontejnery, read-only filesystem kde možno)
• Žádné ukládání obsahu formulářů = neexistuje útočná plocha pro únik payloadu
• Rate limiting + IP blocking při zneužití (Redis-backed)
• Pravidelné code review a bezpečnostní audity
• Hosting v ISO 27001 certifikovaném datacentru (Hetzner Nürnberg)
• Šifrované zálohy databáze (AES-256)

Konkrétní bezpečnostní detaily ze strategických důvodů nezveřejňujeme; jsou popsány v interní dokumentaci k dispozici v auditním režimu.

9. Vaše práva (čl. 15–22 GDPR)

Jako subjekt údajů máte právo:

Lhůta pro vyřízení žádosti: 30 dnů od přijetí (s možností prodloužení o 60 dnů u složitých případů dle čl. 12 odst. 3 GDPR).

Pokud jste návštěvník webu, který odeslal formulář provozovaný naším Zákazníkem, kontaktujte primárně provozovatele toho webu — ten je správcem vašich údajů. Můžeme však na základě žádosti Zákazníka asistovat při výmazu/exportu.

10. Právo podat stížnost u dozorového úřadu

Máte právo podat stížnost u Úřadu pro ochranu osobních údajů: Pplk. Sochora 27, 170 00 Praha 7 www.uoou.gov.cz

Nebo u dozorového úřadu v zemi vašeho obvyklého pobytu.

11. Povinnosti Zákazníka při zpracování osobních údajů Odesílatelů

Při použití SimplyForms Zákazník prohlašuje a zaručuje, že:

1. má vlastní platný právní základ podle čl. 6 GDPR (a případně čl. 9 GDPR) pro každé pole formuláře, jehož data zpracovává;
2. nebude přes Službu zpracovávat zvláštní kategorie údajů dle čl. 9 GDPR (zdraví, rasový/etnický původ, politické názory, náboženské vyznání, sexuální orientace, biometrika, genetické údaje) ani údaje o trestných činech dle čl. 10 GDPR bez výslovného souhlasu Odesílatele a dokončené DPIA;
3. informuje své Odesílatele ve své vlastní privacy policy podle čl. 13 GDPR, včetně skutečnosti, že údaje jsou předány SimplyForms jako zpracovateli;
4. u opt-in funkcí (webhook metadata, autoresponder, reCAPTCHA, Turnstile) informuje o relevantních datových tocích;
5. Služba není určena dětem mladším 16 let (čl. 8 GDPR); Zákazník je odpovědný za věkovou verifikaci tam, kde je relevantní.

Porušení těchto povinností opravňuje SimplyForms okamžitě pozastavit nebo zrušit Účet bez nároku Zákazníka na vrácení Poplatků (viz čl. 11 a 14 Podmínek použití).

12. Porušení zabezpečení osobních údajů

V případě porušení zabezpečení osobních údajů, které pravděpodobně povede k riziku pro práva a svobody subjektů údajů:

• oznámíme Úřadu pro ochranu osobních údajů do 72 hodin od zjištění (čl. 33 GDPR),
• oznámíme dotčeným Zákazníkům bez zbytečného odkladu v případech vysokého rizika (čl. 34 GDPR), resp. čl. 33 odst. 2 GDPR pro processor → controller notifikaci.

13. Změny těchto Zásad

Podstatné změny budou oznámeny:

• e-mailem na adresu Účtu nejméně 30 dnů před účinností,
• notifikací v dashboardu,
• zveřejněním nové verze na simplyforms.app/legal/privacy s vyznačením data účinnosti.

Pokračování v používání Služby po účinnosti změn se považuje za souhlas s novým zněním.

Předchozí verze poskytneme na žádost na privacy@simplyforms.app.

14. Kontakt

Ve věcech ochrany osobních údajů:

• E-mail: privacy@simplyforms.app
• Pošta: Adam Todt, Drahy 1625, 696 42 Vracov, Česká republika

Verze 1.2 · Datum účinnosti: 1. prosince 2026

Hash dokumentu (SHA-256): c9133a785699f760f16b29df2743db42ffb8134f410eb3106bb88796afc5ae64