Data Retention Policy

Data Retention Policy Verze: 1.0 Účinnost od: 4. 8. 2026 Společnost: Kibios s.r.o., Brněnská 305/32, 664 44 Ořechov, IČO 298 14 995

1. Účel a rozsah

Tato Data Retention Policy stanoví pravidla pro uchovávání, archivaci a mazání dat v systémech společnosti Kibios s.r.o. Cílem je:

• uchovávat data pouze po nezbytně nutnou dobu,
• plnit smluvní a právní požadavky (např. GDPR, účetnictví),
• minimalizovat rizika spojená s dlouhodobým uchováváním dat.

Policy se vztahuje na:

• data klientů zpracovávaná Kibios,
• interní data Kibios (provozní, logy, dokumentace),
• zálohy a archivy dat.

2. Kategorie dat

Interně se rozlišují zejména tyto kategorie:

• provozní data služeb (konfigurace, metriky, ticketing),
• logy a auditní záznamy,
• zálohy systémů a databází,
• osobní údaje (podle DPA/GDPR),
• účetní a smluvní dokumentace.

Pro každou kategorii jsou definovány retenční doby a způsob mazání/anonymizace.

3. Retenční doby (obecný rámec)

Konkrétní doby se mohou lišit podle smluv s klienty, ale obecně:

• provozní logy pro monitoring: např. 30–180 dní,
• bezpečnostní logy (incidenty, přístupy): např. 6–24 měsíců,
• zálohy systémů: např. 30–90 dní (viz Backup Policy),
• ticketing / incident systém: např. 2–5 let (dle smluvních a právních požadavků),
• účetní doklady: dle zákonných lhůt (např. 10 let),
• osobní údaje: po dobu trvání smluvního vztahu a po nezbytnou dobu pro plnění právních nároků, v souladu s DPA a GDPR.

Konkrétní nastavení pro danou službu je uvedeno v MSA/SOW/DPA.

4. Mazání a anonymizace dat

• Po uplynutí retenční doby jsou data:
• bezpečně smazána (včetně záloh, pokud to povaha systému umožňuje), nebo
• anonymizována/pseudoanonymizována, pokud je nutné ponechat statistické nebo provozní informace bez identifikace osob/klientů.
• Mazání se provádí tak, aby nebylo možné data obnovit běžnými prostředky.

5. Zálohy a retenční politika

• Retenční doby záloh se řídí Backup Policy a smluvními ujednáními s klienty.
• Po uplynutí retenční doby jsou zálohy mazány nebo přepisovány; v případě záloh s osobními údaji se postupuje v souladu s GDPR.

6. Přístup k historickým datům

• Přístup k archivovaným a historickým datům je omezen na oprávněné osoby, které je potřebují pro:
• řešení incidentů,
• práva a nároky (např. reklamace, spory),
• audit nebo regulatorní povinnosti.
• Každé nahlížení do historických dat může být logováno, zejména pokud obsahují osobní údaje.

7. GDPR a DPA

• Pro osobní údaje platí zásada minimalizace a omezené doby uchování v souladu s čl. 5 GDPR.
• Konkrétní retenční doby osobních údajů jsou definovány v Data Processing Agreement (DPA) a případně v Privacy Policy.
• Po skončení smluvního vztahu s klientem Kibios:
• vymaže nebo vrátí osobní údaje dle DPA,
• ponechá pouze data nezbytná pro právní povinnosti nebo ochranu právních nároků (např. po omezenou dobu).

8. Vztah k ostatním politikám

Data Retention Policy je provázána zejména s:

• Backup Policy (retenční doby záloh),
• Logging & Monitoring Policy (retenční doby logů),
• Incident Response Policy (uchovávání důkazních dat po incidentech),
• DPA a Privacy Policy (osobní údaje),
• Information Security Policy (ochrana dat v průběhu životního cyklu).

9. Audit a kontrola

• Dodržování retenčních dob může být předmětem interního i externího auditu (např. audit klienta, GDPR audit).
• Zjištěné nedostatky vedou k úpravě procesů mazání/anonymizace.

10. Závěrečná ustanovení

• Data Retention Policy může být aktualizována podle změn právních předpisů, smluvních požadavků klientů nebo technických možností.
• Aktuální verze policy je dostupná interně; shrnutí může být poskytnuto klientům v rámci bezpečnostních dotazníků nebo auditů.
• Dokument je vyhotoven v českém jazyce; v případě překladu je rozhodující české znění.