Zásady ochrany osobních údajů

Účinné od: [TODO: doplnit datum účinnosti při deployi, např. 2026-05-15]. Tento dokument popisuje, jaké údaje o tobě zpracováváme, proč, jak dlouho a jaká máš práva.

1. Kdo je správce údajů

Správcem osobních údajů ve smyslu nařízení (EU) 2016/679 (GDPR) a zákona č. 110/2019 Sb. je [TODO: doplnit jméno / obchodní firmu a sídlo správce]. Provoz Buzerátoru může být veden jako činnost jednotlivce; pokud správcem není právnická osoba, uplatňuje se režim fyzické osoby podnikající.

Kontakt pro veškerá podání podle GDPR (přístup, oprava, výmaz atd.): [TODO: doplnit kontaktní e-mail, např. privacy@…]. Pověřence pro ochranu osobních údajů (DPO) nemáme jmenovaného, protože k tomu nejsme podle čl. 37 GDPR povinni (nezpracováváme zvláštní kategorie údajů ve velkém rozsahu a neprovádíme rozsáhlé systematické sledování).

2. Anonymní režim — výchozí stav

Pokud si nevytvoříš účet, Buzerátor funguje čistě lokálně ve tvém prohlížeči. V takovém případě žádné údaje neopouštějí tvé zařízení a server o tvé existenci vůbec neví. Nezpracováváme tedy žádné osobní údaje a tato pravidla se na tebe v podstatě nevztahují (s výjimkou technických cookies Next.js, viz bod 8).

3. Kategorie zpracovávaných údajů a právní základ

Pokud si vytvoříš účet (volitelné), zpracováváme následující kategorie údajů:

• E-mailová adresa — pro přihlášení, ověření účtu a obnovu hesla. Právní základ: plnění smlouvy (čl. 6 odst. 1 písm. b) GDPR).
• Identifikátor Google účtu (OIDC „sub" claim) — pouze pokud použiješ „Přihlásit se přes Google". Ukládáme výhradně tento technický identifikátor, nikoli jméno, profilovou fotku ani další údaje z tvého Google profilu. Právní základ: plnění smlouvy.
• Šifrované záznamy (úkoly, události, nastavení) — server uchovává pouze ciphertext, identifikátor záznamu a časové razítko. Tvé úkoly a události jsou na tvém zařízení zašifrovány auditovaným algoritmem (XSalsa20-Poly1305 secretbox) a klíč k jejich odšifrování se odvozuje z tvého hesla algoritmem Argon2id; klíč ani heslo nikdy neopouštějí tvé zařízení. Provozovatel nemá technickou možnost obsah tvých záznamů přečíst. Právní základ: plnění smlouvy.
• IP adresa a user-agent přihlášení — ukládáme u každé aktivní relace, abychom ti v Nastavení mohli ukázat seznam přihlášených zařízení a abychom mohli omezit opakované neúspěšné pokusy o přihlášení (rate-limiting). Právní základ: oprávněný zájem na bezpečnosti služby (čl. 6 odst. 1 písm. f) GDPR).
• WebAuthn passkey (jen u Google přihlášení) — ukládáme pouze veřejný klíč a metadata zařízení. Žádné biometrické údaje (otisk prstu, sken obličeje) neopouštějí tvé zařízení a my je neukládáme. Právní základ: plnění smlouvy.
• Záložní (recovery) kódy — ukládáme pouze jejich Argon2id ověřovací hash. Originální kód zná pouze ty; pokud jej ztratíš, nelze ho z naší strany obnovit. Právní základ: plnění smlouvy.
• Záznamy o pokusech o přihlášení (e-mail v normalizované podobě, IP, výsledek, čas) — slouží k detekci útoků a rate-limitingu. Právní základ: oprávněný zájem na bezpečnosti.

4. Doba uchování

• Aktivní účty: po celou dobu trvání účtu, tedy dokud účet sám/sama nesmažeš.
• Po smazání účtu: server-side šifrovaná data jsou definitivně odstraněna nejpozději do 30 dní (toto okno slouží jako pojistka proti náhodnému smazání).
• Neověřené účty (nedokončené ověření e-mailu): automaticky mazány po 7 dnech.
• Záznamy o pokusech o přihlášení: 90 dní, poté automaticky mazány.
• Expirované relace (sessions): 7 dní po expiraci, poté automaticky mazány.
• Odkazy pro propojení zařízení (cross-device link): mazány bezprostředně po vypršení nebo uplatnění.

5. Místo zpracování

Veškerá serverová infrastruktura (databáze, aplikační server) je provozována v Evropské unii, preferovaně v regionech CZ, DE nebo AT. Konkrétní provider: [TODO: doplnit konkrétního providera, např. Hetzner Falkenstein (DE) nebo Wedos VPS Praha (CZ)]. Tvá data neopouštějí EU.

6. Zpracovatelé (sub-procesoři)

Pro provoz služby využíváme tyto zpracovatele. Seznam [TODO: aktualizovat při změně providerů]:

• Provider hostingu ([TODO: doplnit, viz bod 5]) — provoz aplikačního serveru a databáze, EU region.
• Resend — doručování transakčních e-mailů (ověření e-mailu, obnova hesla). Nastaveno na EU region. Resend obdrží tvou e-mailovou adresu a obsah e-mailu, který ti posíláme.
• Google LLC — pouze v případě, že použiješ „Přihlásit se přes Google". Google funguje jako poskytovatel identity (OAuth/OIDC). Google s námi nesdílí tvá data nad rámec technického identifikátoru (sub) a my nesdílíme s Googlem žádný obsah tvých záznamů. Pro vztah mezi tebou a Googlem platí Zásady ochrany soukromí Google.

7. Tvá práva podle GDPR (čl. 15–22)

• Právo na přístup (čl. 15) — v Nastavení → Export si stáhneš všechna svá data ve formátu JSON.
• Právo na opravu (čl. 16) — všechny své údaje si můžeš upravit přímo v aplikaci.
• Právo na výmaz / „být zapomenut" (čl. 17) — v Nastavení → Smazat účet. Účet i serverový ciphertext jsou smazány nejpozději do 30 dní.
• Právo na omezení zpracování (čl. 18) — uplatníš na kontaktním e-mailu (viz bod 1).
• Právo na přenositelnost (čl. 20) — Export v JSON formátu kompatibilním se schématem aplikace (001-mvp-core).
• Právo vznést námitku (čl. 21) — proti zpracování opřenému o oprávněný zájem (IP, user-agent, auth-attempt logy) můžeš vznést námitku na kontaktním e-mailu. Upozorňujeme, že odmítnutí těchto údajů znemožní provoz účtu z bezpečnostních důvodů.
• Automatizované rozhodování a profilování (čl. 22) — neaplikuje se. Žádné automatizované rozhodování ani profilování neprovádíme.
• Právo podat stížnost u dozorového úřadu — v České republice je dozorovým úřadem Úřad pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, www.uoou.cz.

8. Cookies a sledování

Aplikace používá pouze technicky nezbytné cookies:

• __Secure-authjs.session-token (resp. authjs.session-token ve vývojovém prostředí) — přihlašovací JWT cookie knihovny Auth.js. Bez ní by ses nemohl/a udržet přihlášen/a.
• Technické cookies Next.js (lokalizace, CSRF tokeny).

Nepoužíváme žádné analytické, marketingové ani reklamní cookies. Nesledujeme tě napříč weby. Nepoužíváme Google Analytics, Facebook Pixel ani jiné nástroje pro tracking. Z toho důvodu nepotřebujeme tzv. cookie lištu se souhlasem podle § 89 zákona č. 127/2005 Sb. — všechny použité cookies jsou nezbytné k poskytnutí služby, kterou si výslovně vyžádáš.

9. Bezpečnost zpracování

Při ochraně tvých údajů uplatňujeme tato opatření (čl. 32 GDPR):

• End-to-end šifrování obsahu. Úkoly, události a nastavení šifrujeme na tvém zařízení algoritmem XSalsa20-Poly1305 secretbox. Klíč k odšifrování se odvozuje z tvého hesla pomocí Argon2id a nikdy neopouští tvé zařízení. Provozovatel ani jeho zaměstnanci nemají technickou možnost obsah tvých záznamů přečíst.
• Hesla nikdy neukládáme v čitelné podobě — ukládáme pouze Argon2id verifier (jednosměrný hash).
• Veškerá komunikace probíhá přes HTTPS (TLS 1.2+).
• Do logů serveru nikdy nezapisujeme obsah záznamů, hesla, recovery kódy ani jiné citlivé hodnoty.
• Rate-limiting a detekce opakovaných neúspěšných pokusů o přihlášení.

10. Děti

Služba není určena dětem mladším 16 let. Česká republika podle čl. 8 GDPR stanovila věkovou hranici pro samostatný souhlas se zpracováním údajů v rámci služeb informační společnosti na 15 let; my však z důvodu opatrnosti nastavujeme hranici na 16 let. Pokud je ti méně než 16 let, můžeš službu používat výhradně se souhlasem zákonného zástupce. Pokud zjistíme, že jsme bez tohoto souhlasu zpracovali údaje dítěte mladšího 16 let, údaje neprodleně vymažeme.

11. Mezinárodní přenos

Tvá data neopouštějí Evropskou unii. Hosting databáze i aplikačního serveru je v EU (viz bod 5). Jediná výjimka: pokud použiješ přihlášení přes Google, probíhá samotná autentizace na infrastruktuře Google LLC (Google Workspace), na kterou Google uplatňuje vlastní záruky podle čl. 46 GDPR (Standard Contractual Clauses). My ovšem Googlu nepředáváme žádný obsah tvých záznamů — Google nás pouze technicky autentizuje.

12. Změny tohoto dokumentu

Jakoukoli podstatnou změnu těchto zásad ti oznámíme v aplikaci při nejbližším přihlášení a budeš mít možnost se s aktuálním zněním seznámit dříve, než budeš moci pokračovat. Drobné úpravy (oprava překlepů, upřesnění formulací) můžeme provádět bez výslovného upozornění; v takovém případě aktualizujeme datum účinnosti v záhlaví dokumentu.

13. Kontakt

Žádosti podle GDPR, dotazy a podněty směřuj na [TODO: doplnit kontaktní e-mail]. Odpovíme bez zbytečného odkladu, nejpozději do 30 dní od doručení žádosti (čl. 12 odst. 3 GDPR).

Tento dokument připravil v zastoupení provozovatele AI agent. Před uvedením služby do veřejného provozu doporučujeme nechat text revidovat kvalifikovaným advokátem se zaměřením na ochranu osobních údajů v České republice. Text odráží technickou skutečnost popsanou ve specifikacích projektu k datu sepsání, nikoli právní stanovisko.