Zásady ochrany osobních údajů

Účinné od 13. 10. 2026

Tyto zásady popisují, jak služba Volden (volden.cz) zpracovává osobní údaje. Záleží nám na jejich ochraně a zpracováváme je v souladu s obecným nařízením o ochraně osobních údajů (GDPR) a dalšími právními předpisy.

1. Správce osobních údajů

Správcem osobních údajů je společnost Nuvio s.r.o., IČ: 03314782, se sídlem Mrštíkova 399/2a, Liberec 3. Ve věcech ochrany osobních údajů nás můžete kontaktovat na adrese [email protected].

2. Jaké údaje zpracováváme

Identifikační a kontaktní údaje – jméno, příjmení a e-mail.
Údaje související s prací – tým a role uživatele ve firmě.
Údaje o absencích – dovolené, sick days a další zadané absence a jejich zůstatky.
Technické údaje – údaje nezbytné pro přihlášení přes účet Google a pro zajištění provozu a bezpečnosti služby.
Údaje z účtu Google – jen v rozsahu popsaném v článku 4 (přihlášení a volitelný zápis absencí do Google Kalendáře).

3. Účel a právní základ zpracování

Osobní údaje zpracováváme za účelem poskytování a provozu služby, tedy pro plnění smlouvy, dále z důvodu plnění právních povinností a na základě našeho oprávněného zájmu na zajištění bezpečnosti a zlepšování služby. V případě zasílání obchodních sdělení tak činíme na základě souhlasu nebo oprávněného zájmu; z jejich odběru se lze kdykoli odhlásit.

4. Údaje z účtu Google (Google API)

Volden se k účtu Google připojuje jen v těchto případech a jen s následujícími oprávněními:

Přihlášení (oprávnění openid, email, profile): používáme e-mail jako identitu uživatele ve Voldenu a jméno k vyplnění profilu. Profilovou fotku ani jiné údaje z účtu neukládáme.
Osobní Google Kalendář (oprávnění calendar.events) – jen pokud si ho uživatel sám zapne v Nastavení. Po schválení absence do jeho hlavního kalendáře zapíšeme celodenní událost a uložíme si odkaz na ni (aby ji uživatel otevřel z přehledu). Dál ji neměníme ani nemažeme – spravuje ji uživatel.
Firemní sdílený Google Kalendář (oprávnění calendar.events, openid a email) – jen pokud ho propojí administrátor firmy. Do kalendáře, který administrátor zvolí, zapisujeme schválené absence zaměstnanců jako celodenní události a mažeme je, když je absence zrušena. Při nastavení kalendáře vytvoříme a ihned smažeme jednu zkušební událost, abychom ověřili právo zápisu. E-mail propojeného účtu Google ukládáme jen proto, aby administrátor v Administraci viděl, přes který účet se zapisuje.
V žádném případě nečteme, neměníme ani nemažeme jiné události v kalendáři a nenačítáme seznam kalendářů.

Přístupové (refresh) tokeny ke Google Kalendáři ukládáme šifrovaně (AES-256-GCM) a používáme je výhradně k popsanému zápisu. Token osobního kalendáře smažeme, když ho uživatel v Nastavení odpojí nebo když je jeho účet ve Voldenu zrušen. Token firemního kalendáře (spolu s e-mailem propojeného účtu) smažeme, když administrátor firemní kalendář odpojí. Přístup Voldenu lze kdykoli odebrat i v nastavení účtu Google (Zabezpečení → Připojení třetích stran). Události, které Volden do kalendáře zapsal, po odpojení v kalendáři zůstávají, dokud je jeho správce nesmaže.

Údaje získané z Google API nikomu nepředáváme ani neprodáváme a nepoužíváme je k reklamě ani k trénování modelů umělé inteligence. Tokeny a údaje z Google Kalendáře (včetně e-mailu propojeného účtu) nejsou přístupné AI asistentům, které si uživatel nebo firma k Voldenu připojí. Jméno a e-mail z přihlášení jsou běžnou součástí profilu ve Voldenu a uvidí je jen ti, s kým uživatel ve firmě sdílí Volden – včetně AI asistentů, které si sami připojí. Lidé z našeho týmu k nim nemají přístup, s výjimkou případů, kdy to uživatel výslovně požaduje (podpora), kdy je to nutné z bezpečnostních důvodů nebo to vyžaduje zákon. Používání a předávání informací získaných z Google API se řídí zásadami Google API Services User Data Policy, včetně požadavků Limited Use.

5. Zpřístupnění údajů dalším subjektům

Osobní údaje neprodáváme. Pro provoz služby využíváme prověřené poskytovatele (například hosting, odesílání e-mailů a přihlašování přes Google), kteří údaje zpracovávají jako naši zpracovatelé na základě odpovídajících smluv. Údaje mohou být zpřístupněny také tam, kde to vyžadují právní předpisy.

6. Doba uložení

Osobní údaje uchováváme po dobu trvání využívání služby a následně po dobu nezbytnou k naplnění právních povinností. Po uplynutí těchto lhůt údaje mažeme.

7. Vaše práva

Ve vztahu ke svým osobním údajům máte zejména právo na přístup, opravu, výmaz, omezení zpracování, přenositelnost údajů a právo vznést námitku. Svá data si můžete kdykoli ze služby exportovat a stáhnout. Pokud je zpracování založeno na souhlasu, můžete jej kdykoli odvolat. Máte rovněž právo podat stížnost u Úřadu pro ochranu osobních údajů (uoou.cz).

8. Cookies

Služba používá nezbytné cookies, které jsou potřebné pro její fungování, zejména pro přihlášení a udržení relace. Bez těchto cookies nelze službu řádně používat.

9. Kontakt

S jakýmkoli dotazem k ochraně osobních údajů se na nás obraťte na adrese [email protected]. Podmínky používání služby najdete na stránce Podmínky služby.

Google user data (English summary)

Volden (volden.cz), operated by Nuvio s.r.o., accesses Google user data only as follows:

Sign-in (openid, email, profile): the e-mail address identifies the user and the name fills in their profile. We do not store the profile photo or any other account data.
Personal Google Calendar (calendar.events), only if the user enables it in Settings: when an absence is approved, Volden creates an all-day event in the user's primary calendar and stores a link to it (so the user can open it from the dashboard). We do not modify or delete it afterwards; the user manages it.
Shared company Google Calendar (calendar.events, openid, email), only if a company admin connects it: Volden creates an all-day event for each approved employee absence in the calendar chosen by the admin and deletes it when the absence is cancelled. When the calendar is set up, one test event is created and immediately deleted to verify write access. The connected account's e-mail address is stored only so the admin can see in the Administration page which account is used.
In no case does Volden read, modify or delete any other events, and it never lists the user's calendars.

Refresh tokens are stored encrypted (AES-256-GCM) and used only for the purposes above. A personal calendar token is deleted when the user disconnects it in Settings or their Volden account is deleted. The company calendar token (and the connected account's e-mail) is deleted when the admin disconnects the company calendar. Access can also be revoked at any time in the Google Account (Security → Third-party connections). Events already written remain in the calendar until its owner deletes them.

We do not sell or transfer Google user data to third parties, do not use it for advertising, and do not use it to develop, improve or train AI/ML models. Google Calendar tokens and data (including the connected account's e-mail) are never exposed to AI assistants that a user or company connects to Volden. The name and e-mail from sign-in are part of the user's Volden profile and are visible only within their company's Volden workspace, including AI assistants its members connect themselves. Humans on our team do not read it unless the user explicitly asks us to (support), it is needed for security purposes, or it is required by law. Volden's use and transfer of information received from Google APIs adheres to the Google API Services User Data Policy, including the Limited Use requirements. Contact: [email protected].