Ochrana osobních údajů

Platné od 31. října 2026.

Tyto zásady popisují zpracování osobních údajů při návštěvě webu nestro.cz a používání webové a mobilní aplikace Nestro. Týkají se uživatelů, návštěvníků, osob komunikujících s podporou i lidí, jejichž údaje do Nestra vloží například pronajímatel nebo správce nemovitosti.

1. Kdo za zpracování odpovídá

Nestro provozuje AIVANNA s.r.o., IČO 23754885, se sídlem Litobratřice 196, 671 78 Litobratřice, Česká republika. V otázkách ochrany osobních údajů nás kontaktujte na support@nestro.cz. Na tuto adresu můžete zaslat také žádost o uplatnění svých práv.

Při vedení uživatelských účtů, provozu a zabezpečení služby, komunikaci s podporou a plnění vlastních právních povinností vystupuje AIVANNA s.r.o. jako správce osobních údajů: určuje účel a prostředky tohoto zpracování.

Jestliže pronajímatel, správce, realitní makléř nebo organizace používá Nestro k evidenci nájemníků, kontaktních osob, smluv a plateb, účel tohoto zpracování zpravidla určuje on. Nestro pro něj tyto údaje zpracovává jako zpracovatel podle jeho pokynů. Rozhodující je konkrétní vztah a účel, nikoli samotné označení role v aplikaci.

Tyto zásady jsou informací o zpracování. Nenahrazují zpracovatelskou smlouvu podle článku 28 GDPR mezi Nestrem a zákazníkem, který je správcem údajů jiných osob. Potřebujete-li ji pro své používání služby, obraťte se na podporu.

2. Jaké údaje zpracováváme a odkud je máme

• Účet a přihlášení: jméno, příjmení, e-mail, uživatelské jméno, typ účtu, stav ověření, nastavení a údaje o registraci. U přihlášení heslem ukládáme jeho kryptografický otisk, dále údaje potřebné pro ověřování, obnovu přístupu a relace.

• Přihlášení přes Google nebo Apple: identifikátor účtu, e-mail a dostupné jméno, případně profilová fotografie. Od Apple může přijít zprostředkovaná e-mailová adresa. Rozsah závisí na zvoleném způsobu přihlášení a nastavení poskytovatele.

• Profil a kontakty: fotografie, telefon, adresa, datum narození, pohlaví, kontaktní a doručovací údaje a další informace, které vyplníte, například medailonek, zaměstnání, vzdělání, jazyky nebo zájmy. U firem také IČO, DIČ a údaje kontaktní osoby či zástupce.

• Správa nemovitostí a nájmů: adresy a fotografie nemovitostí, vlastnické a nájemní vztahy, údaje nájemníků a dalších kontaktů, smlouvy, předávací a jiné dokumenty, předpisy, jistoty, pojištění, platby, čísla účtů, poznámky, závady, žádosti, revize a úkoly.

• Komunikace a spolupráce: zprávy, komentáře, přílohy, sdílené kontakty, účast v konverzacích a pracovních prostorech, oprávnění, pozvánky, reakce, stav přečtení, psaní a online aktivity, oznámení a hlášení závadného obsahu nebo uživatelů.

• Bankovní propojení: údaje o připojení a účtu a transakce dostupné z vámi povoleného propojení, například datum, částka, protistrana, účet, variabilní symbol a zpráva k platbě. U e-mailového importu zpracováváme přeposlaná bankovní oznámení a technické záznamy jejich zpracování.

• Technické a provozní údaje: IP adresa, údaje o prohlížeči a zařízení, čas a průběh požadavků, chybové a bezpečnostní záznamy, identifikátory relací, nastavení rozhraní a údaje o doručení oznámení. U mobilních oznámení také token zařízení a identifikátor instalace.

• Podpora a ukončení účtu: obsah vaší komunikace, žádostí a případně dobrovolně sdělený důvod odstranění účtu.

Údaje získáváme přímo od vás, při používání služby a od osob, které vás do Nestra pozvou, uloží jako kontakt nebo s vámi sdílí obsah. Při použití příslušné funkce je získáváme také od poskytovatelů přihlášení, bankovního propojení a z veřejného registru ARES při doplňování firemních údajů. Nestro tak může zpracovávat údaje i o člověku, který si dosud nezaložil účet.

Rozsah závisí na tom, co používáte a co do služby vložíte. Údaje označené při registraci nebo konkrétní akci jako povinné potřebujeme k jejímu provedení; bez nich nemusí být možné založit účet nebo použít danou funkci. Ostatní profilové údaje a volitelné funkce můžete vynechat. Do poznámek a příloh nevkládejte údaje o zdraví, kopie dokladů ani jiné citlivé informace, pokud nejsou pro daný účel nezbytné a nemáte pro jejich zpracování odpovídající právní důvod.

3. Proč údaje používáme a na jakém základě

• Založení a vedení vašeho účtu, přihlášení, ověření, poskytování funkcí, ukládání obsahu a vyřízení požadavků souvisejících se službou: jednání o smlouvě a plnění smlouvy podle čl. 6 odst. 1 písm. b) GDPR, pokud jste její stranou.

• Spolupráce se zástupci organizací, vyřízení běžných dotazů a provozní komunikace s kontaktními osobami: oprávněný zájem podle čl. 6 odst. 1 písm. f) GDPR na poskytování služby a komunikaci s jejími uživateli a zákazníky.

• Zabezpečení účtů, omezení zneužití, diagnostika chyb, vyřizování hlášení a ochrana právních nároků: oprávněný zájem podle čl. 6 odst. 1 písm. f) GDPR na bezpečném a spolehlivém provozu, ochraně uživatelů a obhajobě práv.

• Souhrnné měření návštěvnosti webu: oprávněný zájem podle čl. 6 odst. 1 písm. f) GDPR na zjišťování využití a zlepšování služby; konkrétní nástroj je popsán v části o cookies a analytice.

• Plnění právních povinností, například odpovědi na oprávněné požadavky úřadů a vyřizování práv podle GDPR: čl. 6 odst. 1 písm. c) GDPR.

• Zpracování, pro které si samostatně vyžádáme váš souhlas: čl. 6 odst. 1 písm. a) GDPR, pouze pro účel a dobu uvedené při jeho udělení. Souhlas můžete kdykoli odvolat; tím není dotčena zákonnost předchozího zpracování.

Pouhé přečtení těchto zásad ani přijetí obchodních podmínek není souhlasem se všemi způsoby zpracování. Založení účtu nepodmiňujeme souhlasem s reklamou. Ověřovací, bezpečnostní a provozní zprávy či pozvánky od jiných uživatelů slouží k fungování služby a nejsou samy o sobě přihlášením k newsletteru.

U údajů, které pro zákazníka zpracováváme jako zpracovatel, určuje odpovídající právní základ zákazník jako správce. Může jít například o plnění nájemní smlouvy, zákonnou povinnost nebo jeho oprávněný zájem; samotné uložení do Nestra právní základ nevytváří.

4. Sdílení, profily a pracovní prostory

Obsah, který sdílíte v pracovním prostoru, u nemovitosti, úkolu, požadavku nebo v konverzaci, zpřístupňujeme příslušným účastníkům podle funkce a nastavených oprávnění. Přístup může mít také správce pracovního prostoru. Osobní účet a pracovní prostory mají oddělený kontext; některé funkce, například konverzace, fungují napříč těmito kontexty.

Profilové informace slouží k vašemu představení ostatním. Jméno, uživatelské jméno a profilová fotografie se používají také ve veřejných odkazech a náhledech sdíleného profilu. Další vyplněné údaje mohou být dostupné v profilu. Do veřejné části profilu proto uvádějte pouze informace určené ke sdílení. Vypnutí vyhledatelnosti profilu samo o sobě neznamená odstranění jeho sdílených odkazů nebo již vytvořených náhledů.

Při propojení vašeho účtu s kontaktem může Nestro synchronizovat profilové údaje do adresáře jiného uživatele, pokud to dovoluje nastavení sdílení a daného kontaktu. V nastavení soukromí můžete upravit sdílení dat s kontakty a pravidla přijímání zpráv. Omezení další synchronizace neodstraní údaje, které si druhá osoba již samostatně uložila nebo exportovala.

Příjemce může sdílený obsah dále zpracovávat na vlastní odpovědnost. Stejně to platí pro veřejné odkazy, stažené dokumenty, exporty a obsah, který sami předáte e-mailem nebo přes jiné služby.

5. Bankovní propojení, AI a další volitelné funkce

Bankovní propojení spouštíte vy nebo oprávněný člen pracovního prostoru. Pro API propojení používáme Salt Edge a banku či poskytovatele uvedeného v průběhu připojení. Rozsah a doba přístupu vyplývají z uděleného oprávnění; přihlášení k bance probíhá v prostředí příslušného poskytovatele. E-mailový import zpracovává oznámení zaslaná na přidělenou párovací adresu. Odpojení přístupu samo o sobě nevymaže již importované platby a navazující evidenci.

Když spustíte AI import nemovitostí, výdajů nebo ceníků, odešleme obsah vybraných souborů včetně osobních údajů v nich, názvy souborů a technické údaje požadavku přes Vercel AI Gateway poskytovateli modelu. Implementace používá modely Google a jako záložní možnost OpenAI; součástí požadavku je také identifikátor uživatele. Nahrávejte jen dokumenty, které smíte pro tento účel zpracovat, a nepotřebné osobní údaje předem odstraňte.

Výsledkem AI importu je návrh k vaší kontrole a uložení. Nejde o rozhodnutí, zda někomu pronajmout nemovitost, poskytnout úvěr nebo přiznat právo. Nestro neprovádí hodnocení bonity ani jiné výhradně automatizované rozhodování s právními nebo obdobně významnými účinky ve smyslu článku 22 GDPR. Automatické párování plateb a připomínky podporují vedení evidence.

Při odesílání e-mailových a SMS upomínek předáváme doručovací službě kontaktní údaje příjemce a obsah zprávy. Mobilní push oznámení mohou obsahovat jméno odesílatele a náhled zprávy nebo požadavku; mohou se zobrazit na zamčené obrazovce. Jejich zobrazování můžete omezit v zařízení. Při použití map se zpracovává hledaná adresa nebo poloha nemovitosti, při otevírání externích odkazů se uplatní také pravidla příslušné služby.

6. Kdo může údaje přijímat

Vedle příjemců zvolených sdílením používáme dodavatele potřebné pro provoz jednotlivých funkcí. Údaje se jim předávají podle toho, kterou funkci používáte a jaký obsah do ní vložíte:

• Vercel – provoz aplikace a její infrastruktury, technické záznamy, webová analytika a AI Gateway.

• Supabase – databáze, ukládání souborů a aktualizace obsahu v reálném čase.

• Hostinger – e-mailová infrastruktura, odesílání zpráv a schránky pro příjem bankovních oznámení.

• Salt Edge a zvolená banka nebo poskytovatel bankovního přístupu – připojení bankovních účtů a načítání transakcí.

• Google a Apple – zvolené přihlášení; Google také mapové funkce, Apple doručování iOS push oznámení.

• Google a OpenAI prostřednictvím Vercel AI Gateway – zpracování podkladů při spuštěném AI importu.

• Sent.dm a navazující doručovací síť – odeslání SMS upomínky, pokud tuto funkci použijete.

• Pověřené osoby zajišťující podporu a správu služby, případně právní poradci a orgány veřejné moci, je-li zpřístupnění potřebné pro konkrétní právní povinnost nebo ochranu práv.

Někteří poskytovatelé, zejména banka, poskytovatel bankovního přístupu a služby použité pro přihlášení, mohou pro své vlastní účely vystupovat jako samostatní správci. Informace o jejich vlastním zpracování jsou součástí jejich podmínek a zásad zobrazených při použití služby.

7. Předávání mimo Evropský hospodářský prostor

Při používání globální infrastruktury, AI modelů, přihlášení a doručovacích služeb může docházet ke zpracování také mimo Evropský hospodářský prostor, zejména ve Spojených státech amerických. Nelze proto vycházet z toho, že všechny údaje zůstávají pouze v České republice nebo v EU.

Předání musí mít odpovídající právní záruky podle kapitoly V GDPR: rozhodnutí Evropské komise o odpovídající ochraně vztahující se na příslušného příjemce, nebo vhodné záruky, zejména standardní smluvní doložky a případná doplňující opatření. Informace o konkrétním příjemci, zemi zpracování a použitých zárukách včetně možnosti získat jejich kopii si můžete vyžádat na support@nestro.cz.

8. Jak dlouho údaje uchováváme

• Účet a obsah potřebný k poskytování služby uchováváme po dobu jeho vedení a používání příslušné funkce. Jednotlivé záznamy můžete odstranit dostupnými ovládacími prvky nebo řešit jejich výmaz s příslušným správcem.

• Při potvrzeném odstranění účtu jej označíme jako odstraněný a ukončíme jeho relace. Následuje 30denní lhůta pro obnovení; po jejím uplynutí je účet zařazen do pravidelného trvalého mazání. Nejde o okamžité smazání všech kopií již při potvrzení žádosti.

• Údaje potřebné pro vyřízení podpory nebo konkrétního incidentu uchováváme po dobu řešení a případně navazující ochrany práv. U právních nároků rozhoduje použitelná promlčecí lhůta a délka řízení; u zákonných povinností lhůta daná příslušným předpisem. Týká se to potřebných podkladů, nikoli automaticky celého obsahu účtu.

• U technických záznamů, ověřovacích údajů a záložních kopií rozhoduje jejich bezpečnostní a provozní účel, platnost a cyklus uchovávání příslušné služby. Uplynutí platnosti přístupového tokenu nebo kódu není samo o sobě potvrzením výmazu souvisejícího záznamu. Konkrétní dobu pro dotčené údaje vám sdělíme na žádost.

• U údajů zpracovávaných pro zákazníka rozhodují jeho pokyny, trvání poskytování služby a příslušné právní povinnosti. Výmaz vašeho vlastního účtu neodstraní samostatné evidence pronajímatele ani kopie, které si jiný příjemce oprávněně uložil mimo váš účet.

O odstranění účtu můžete požádat v nastavení soukromí. Nemáte-li přístup k účtu nebo potřebujete řešit konkrétní údaje, napište na podporu. Právo na výmaz lze uplatnit i bez odstranění celého účtu; posuzuje se podle konkrétního účelu a právního důvodu zpracování.

9. Cookies a měření návštěvnosti

Web používá cookies a obdobné úložiště pro přihlášení, bezpečnost, pozvánky, výběr pracovního prostoru a zapamatování nastavení rozhraní. Nezbytné technické ukládání umožňuje poskytovat požadovanou službu; jeho blokování v prohlížeči může omezit přihlášení a další funkce.

Na webu je zapojen Vercel Web Analytics pro souhrnné měření návštěvnosti. Podle dokumentace poskytovatele nepoužívá analytické cookies; pracuje například s navštívenou adresou, odkazující stránkou, typem zařízení, prohlížečem a přibližnou geografickou oblastí. Krátkodobý identifikátor návštěvníka je vytvářen z požadavku a zahazován po 24 hodinách. Podrobnosti uvádí dokumentace ochrany soukromí Vercel Web Analytics. Tato analytika se liší od ukládání analytických či marketingových cookies.

10. Zabezpečení

Používáme ověřování uživatelů, kontrolu přístupových oprávnění, omezení požadavků a oddělení osobního a pracovního obsahu. Hesla se ukládají jako kryptografické otisky; přístup k soukromým souborům zajišťují oprávnění a časově omezené odkazy. Přenos přes webové rozhraní probíhá pomocí HTTPS.

Obsah Nestra není obecně chráněn koncovým šifrováním mezi účastníky. Provozní zpracování, například ukládání, náhledy, doručení zprávy nebo vámi spuštěný AI import, vyžaduje zpracování obsahu na serverech. Chraňte přístup k účtu a zvažte rozsah sdílených údajů, příloh a oprávnění.

11. Vaše práva a jak je uplatnit

Podle podmínek GDPR můžete požadovat přístup k osobním údajům a jejich kopii, opravu nepřesností, výmaz nebo omezení zpracování. U automatizovaného zpracování založeného na souhlasu nebo smlouvě máte také právo na přenositelnost vámi poskytnutých údajů, případně jejich přímé předání jinému správci, je-li technicky možné.

Proti zpracování založenému na oprávněném zájmu můžete vznést námitku z důvodů týkajících se vaší konkrétní situace. Proti případnému přímému marketingu můžete namítat kdykoli. Pokud je zpracování založeno na souhlasu, můžete jej kdykoli odvolat stejně snadno, jako jste jej udělili.

Žádost zašlete na support@nestro.cz. Uveďte, kterých údajů nebo účtu se týká a jaké právo uplatňujete. V případě důvodných pochybností můžeme požádat o přiměřené ověření totožnosti. Běžné žádosti vyřizujeme bezplatně, bez zbytečného odkladu a zpravidla do jednoho měsíce od obdržení. Při složité žádosti nebo větším počtu žádostí lze lhůtu za podmínek GDPR prodloužit až o další dva měsíce; v prvním měsíci vás o prodloužení a jeho důvodu informujeme.

Jestliže se žádost týká evidence vedené vaším pronajímatelem, správcem nemovitosti nebo organizací, obraťte se také přímo na něj jako na správce. S identifikací příslušného správce a vyřízením žádosti v rozsahu naší role vám pomůžeme. Nemusíte mít vlastní účet Nestro, abyste mohli svá práva uplatnit.

Máte právo podat stížnost u dozorového úřadu, zejména v místě svého obvyklého bydliště, zaměstnání nebo domnělého porušení. V České republice jde o Úřad pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7. Předchozí kontaktování Nestra není podmínkou podání stížnosti.

12. Změny těchto zásad

Aktuální znění je dostupné na nestro.cz/help/privacy. Při podstatné změně způsobu zpracování poskytneme odpovídající informaci v aplikaci nebo jiným vhodným způsobem; pokud by nové zpracování vyžadovalo souhlas, vyžádáme si jej samostatně. S používáním služby souvisejí také obchodní podmínky.