Zásady ochrany osobních údajů

1. Správce osobních údajů

Správcem osobních údajů je Alexandr Rešetňak, fyzická osoba, Česká republika (dále jen „správce“ nebo „my“). Kontaktní e-mail: mail@resetnak.cz. Služba je poskytována zdarma jako osobní projekt.

2. Jaké údaje zpracováváme a proč

Zpracováváme pouze údaje, které nám sami poskytnete používáním služby:

• Údaje o účtu — jméno, e-mailová adresa, heslo (ukládané výhradně v podobě bezpečného otisku), volitelná profilová fotografie, časové pásmo, preferovaný jazyk, nastavení aplikace (jednotky, odpočet pauzy, vzhled) a platforma, na které jste účet založili (web, nebo iOS). Právní základ: plnění smlouvy (čl. 6 odst. 1 písm. b) GDPR) — bez těchto údajů nelze účet vést.
• Tréninková data — záznamy tréninků, cviků, sérií, strečinku a poznámky, které si do aplikace zapíšete. Právní základ: plnění smlouvy.
• Souhrnné statistiky — z údajů o účtu a z tréninkových dat počítáme ve vlastní databázi jen souhrnná čísla, například kolik nových účtů za týden uložilo první trénink nebo kolik lidí trénovalo aspoň ve dvou různých týdnech. Chceme tak poznat, jestli služba lidem pomáhá. Výsledky neobsahují jména, e-maily ani obsah záznamů, nikomu je nepředáváme a nepoužíváme je k profilování ani k rozhodování o jednotlivcích. Tělesné údaje a údaje z Apple Health do nich nezahrnujeme. Právní základ: oprávněný zájem na vyhodnocení a zlepšování služby (čl. 6 odst. 1 písm. f) GDPR); proti tomuto zpracování můžete vznést námitku.
• Údaje o těle — tělesné míry, hmotnost, progresové fotografie a hodnocení nepohodlí (0–10) u protažení, pokud se je rozhodnete zaznamenávat. Jde o údaje vypovídající o zdravotním stavu (zvláštní kategorie dle čl. 9 GDPR); zpracováváme je výhradně na základě vašeho výslovného souhlasu, který udělujete jejich dobrovolným vložením. Souhlas můžete kdykoli odvolat smazáním příslušných záznamů nebo celého účtu.
• Údaje z Apple Health — denní počet kroků a záznamy tělesné hmotnosti, pokud načítání z Apple Health zapnete nebo import sami spustíte. Jde o údaje vypovídající o zdravotním stavu (zvláštní kategorie dle čl. 9 GDPR); podrobnosti a právní základ uvádí bod 3b.
• Údaje z přihlášení přes Google nebo Apple — pokud některou z těchto možností použijete, obdržíme od poskytovatele vaše jméno, e-mail (u Apple případně skrytou přeposílací adresu) a technický identifikátor. Právní základ: plnění smlouvy.
• Zpětná vazba — zpráva, kterou sami odešlete přes „Pomoz tvořit Maintenea“ (její typ a text), a pokud to ve formuláři nevypnete, verze aplikace, verze operačního systému a druh zařízení (iPhone/iPad). Formulář před odesláním ukáže vše, co se odešle. Zprávu e-mailem obdrží správci služby, aby na ni mohli reagovat. Obsah tréninků ani tělesné údaje se k ní nepřikládají. V naší databázi ji uchováváme po dobu existence účtu a je součástí exportu dat; kopie doručená e-mailem zůstává ve schránce správců, dokud ji nesmažou, a na vaši žádost ji smažeme i odtud. Právní základ: oprávněný zájem na zlepšování služby a odpovědi na vaše podněty (čl. 6 odst. 1 písm. f) GDPR).
• Technické údaje — IP adresa a základní údaje o prohlížeči v serverových protokolech, uchovávané krátkodobě pro zabezpečení a diagnostiku provozu. Právní základ: oprávněný zájem na bezpečném provozu služby (čl. 6 odst. 1 písm. f) GDPR).

3. Co s vašimi údaji neděláme

• Vaše údaje neprodáváme ani nepronajímáme třetím stranám.
• Nezobrazujeme reklamu a nepoužíváme vaše data k reklamnímu cílení.
• Bez vašeho souhlasu nepoužíváme žádné sledovací ani analytické nástroje (souhrnná čísla z bodu 2 počítáme sami z vlastní databáze, bez nástrojů třetích stran). Volitelná produktová analytika (bod 3a) i webová analytika Google Analytics 4 (bod 3c) se spouštějí výhradně s vaším souhlasem a jsou ve výchozím stavu vypnuté.
• Neprovádíme automatizované rozhodování ani profilování ve smyslu čl. 22 GDPR.

3a. Volitelná produktová analytika (opt-in)

Abychom rozuměli, které části služby pomáhají lidem u tréninku vydržet, můžeme zaznamenávat malý počet předem definovaných produktových událostí (např. „dokončen první trénink“). Tato analytika je ve výchozím stavu vypnutá a zapíná se pouze vaším výslovným souhlasem v nastavení účtu (a na webu zároveň souhlasem v cookie liště). Právní základ: souhlas (čl. 6 odst. 1 písm. a) GDPR), který můžete kdykoli odvolat vypnutím přepínače v nastavení.

Ke každé události ukládáme pouze: název události z pevného seznamu, platformu (web/iOS), verzi aplikace, případný kontextový štítek z pevného seznamu (např. obrazovka, ze které posíláte zpětnou vazbu, nebo aplikace, ze které importujete), případný identifikátor experimentu a čas. Neukládáme IP adresu, obsah tréninků, tělesné údaje ani žádná volná metadata. Události se uchovávají nejvýše 90 dnů a poté jsou automaticky mazány; se smazáním účtu se mažou okamžitě. Tato data zpracováváme výhradně na vlastní infrastruktuře — na externí zpracovatele se nepředávají.

3b. Apple Health (aplikace pro iOS)

Zápis do Apple Health. Pokud oprávnění udělíte, zapisuje aplikace pro iOS dokončené tréninky (typ aktivity a dobu trvání) do Apple Health ve vašem zařízení. Tento zápis probíhá výhradně na vašem zařízení a nepředává nám žádné údaje.

Čtení z Apple Health. Aplikace umí z Apple Health načíst dva druhy údajů a v obou případech je odesílá na naše servery a ukládá k vašemu účtu: denní počet kroků a záznamy tělesné hmotnosti. Načítání kroků je ve výchozím stavu vypnuté a zapne se, až aplikaci k Apple Health připojíte: v úvodním průvodci, na kartě Kroky na přehledu nebo přepínačem „Synchronizovat kroky“ v nastavení aplikace. Hmotnost se načítá pouze tehdy, když import sami spustíte; načtené záznamy se uloží mezi vaše tělesné údaje. Nic jiného z Apple Health nečteme.

Právní základ a nakládání. Jde o údaje vypovídající o zdravotním stavu (zvláštní kategorie dle čl. 9 GDPR), které zpracováváme výhradně na základě vašeho výslovného souhlasu — ten udělujete zapnutím synchronizace kroků, respektive spuštěním importu hmotnosti. Údaje uchováváme po dobu trvání účtu a se smazáním účtu se mažou spolu s ním; obsahuje je také export vašich dat. Souhlas odvoláte vypnutím přepínače, smazáním příslušných záznamů nebo odebráním oprávnění v nastavení systému iOS (Soukromí a zabezpečení → Zdraví). Údaje z Apple Health používáme jen k tomu, abychom vám ukázali vaši vlastní historii tréninku a těla. Nikdy je neprodáváme a nepoužíváme je pro reklamu, marketing, produktovou analytiku (bod 3a), vytěžování dat ani profilování. Žádné třetí straně je nepředáváme; ukládají se pouze v naší databázi u poskytovatele hostingu uvedeného v bodě 4, který je zpracovává výhradně podle našich pokynů.

3c. Webová analytika Google Analytics 4 (opt-in)

Pokud v cookie liště udělíte souhlas s analytickými cookies, používáme na webu službu Google Analytics 4 poskytovanou společností Google Ireland Ltd. k měření návštěvnosti a používání aplikace (zobrazené stránky, přibližná poloha na úrovni města, typ zařízení a prohlížeče). Bez souhlasu se měřicí skript vůbec nenačte. Právní základ: souhlas (čl. 6 odst. 1 písm. a) GDPR), který můžete kdykoli odvolat přes odkaz „Nastavení cookies“ v patičce; odvolání se projeví okamžitě a cookies Google Analytics se z prohlížeče smažou.

Google může údaje přenášet do USA; přenos je zajištěn rozhodnutím o odpovídající ochraně pro rámec EU–USA pro ochranu osobních údajů (EU–U.S. Data Privacy Framework), případně standardními smluvními doložkami dle čl. 46 GDPR. Přehled cookies, které Google Analytics nastavuje, uvádějí Zásady používání cookies.

3d. Transakční e-maily

Na vaši e-mailovou adresu posíláme zprávy nutné k provozu účtu — především kód pro obnovení hesla. Nejde o newsletter a nelze se z nich odhlásit, protože bez nich se k účtu nedostanete. Právní základ: plnění smlouvy (čl. 6 odst. 1 písm. b) GDPR).

Odesílání pro nás zajišťuje zpracovatel Sendinblue SAS (značka Brevo), který k tomu zpracovává vaši e-mailovou adresu, jméno a obsah zprávy. Poskytovatel k odeslaným zprávám eviduje technické údaje o doručení a otevření; máme u něj zapnutou anonymizaci, takže tyto údaje nespojuje s konkrétním příjemcem ani jeho IP adresou.

3e. E-mail o vydání aplikace pro iOS

Pokud na úvodní stránce zadáte e-mail, abyste se dozvěděli o vydání aplikace pro iOS, uložíme tuto adresu, jazyk stránky, ze které jste ji odeslali, zda a kdy jste ji potvrdili, a otisky dvou náhodných odkazů (pro potvrzení a pro odhlášení), nikoli odkazy samotné. Nic dalšího: žádné jméno, IP adresu ani vazbu na účet. Právní základ: váš souhlas (čl. 6 odst. 1 písm. a) GDPR), který udělujete kliknutím na potvrzovací odkaz.

Na potvrzenou adresu napíšeme jen jednou, až bude aplikace v App Store, a hned po odeslání tohoto e-mailu adresu smažeme. Potvrzovací odkaz platí 7 dní; když ho nepoužijete, nepotvrzenou adresu po jeho vypršení smažeme, nejpozději při rozesílce o vydání. Ze seznamu se můžete kdykoli odhlásit odkazem v potvrzovacím e-mailu, adresa se tím okamžitě smaže. E-maily odesílá zpracovatel uvedený v bodě 3d.

3f. Sdílení rutin, hlášení a blokování

Rutinu můžete sdílet odkazem, který platí 7 dní a který můžete kdykoli zrušit. Příjemce po přihlášení uvidí její název, typ, poznámky a názvy cviků včetně vašich vlastních. Váhy, vaše jméno ani e-mail se nesdílejí. Před vytvořením odkazu automaticky kontrolujeme název, poznámky a názvy vlastních cviků proti seznamu nevhodných slov.

Příjemce může sdílenou rutinu nahlásit a autora odkazu zablokovat. U hlášení uložíme důvod, případnou zprávu, účet nahlašovatele a kopii nahlášeného obsahu, aby ji mohl posoudit správce. Hlášení vyřizujeme do 24 hodin: odkaz můžeme zrušit a účet, který porušuje podmínky, zablokovat. Vyřízená hlášení mažeme po 12 měsících, se smazáním účtu nahlašovatele nebo autora okamžitě. Blokování vidíte jen vy, zrušíte ho v nastavení aplikace a smaže se se smazáním účtu. Právní základ: oprávněný zájem na bezpečném provozu služby (čl. 6 odst. 1 písm. f) GDPR).

4. Zpracovatelé a příjemci

Pro provoz služby využíváme omezený okruh zpracovatelů, kteří údaje zpracovávají pouze podle našich pokynů:

• Poskytovatel serverové infrastruktury v Evropské unii — hostování aplikace a databáze.
• Cloudinary Ltd. — ukládání progresových a profilových fotografií. Přenos údajů mimo EU je zajištěn standardními smluvními doložkami dle čl. 46 GDPR.
• Sendinblue SAS (značka Brevo), 17 rue Salneuve, 75017 Paříž, Francie — odesílání transakčních e-mailů (bod 3d), e-mailu o vydání aplikace pro iOS (bod 3e) a přeposílání zpětné vazby správcům služby (bod 2). Společnost sídlí v Evropské unii.
• Cloudflare, Inc., 101 Townsend Street, San Francisco, USA — směrování příchozí pošty zaslané na naši adresu podpory. Přenos údajů mimo EU je zajištěn standardními smluvními doložkami dle čl. 46 GDPR.
• Google Ireland Ltd. — pokud se přihlásíte přes Google (poskytovatel nám předá základní údaje o účtu) a dále jako provozovatel webové analytiky Google Analytics 4, pouze pokud jste k ní udělili souhlas (bod 3c).
• Apple Distribution International Ltd. — pouze pokud se přihlásíte přes Apple; poskytovatel nám předá základní údaje o účtu.
• Functional Software, Inc. (Sentry), San Francisco, USA — hlášení chyb aplikace. Hlášení obsahuje technický popis chyby, adresu stránky, prohlížeč a zařízení; neposíláme IP adresu, obsah tréninků ani tělesné údaje. Přenos údajů mimo EU je zajištěn standardními smluvními doložkami dle čl. 46 GDPR.

5. Doba uchování

Vaše údaje uchováváme po dobu existence vašeho účtu. Po smazání účtu jsou všechny osobní údaje včetně fotografií bez zbytečného odkladu odstraněny. Přihlašovací (refresh) tokeny expirují nejpozději po 30 dnech. Serverové protokoly jsou uchovávány krátkodobě a průběžně mazány. Adresy pro e-mail o vydání aplikace pro iOS uchováváme jen do odeslání tohoto e-mailu nebo do odhlášení (bod 3e). Vyřízená hlášení sdílených rutin uchováváme 12 měsíců (bod 3f).

6. Zabezpečení

Komunikace se službou probíhá výhradně šifrovaně (HTTPS). Hesla ukládáme pouze jako bezpečné otisky moderním algoritmem. Přístup k datům je chráněn krátkodobými přístupovými tokeny a rotovanými refresh tokeny. Kde refresh token leží, se liší podle klienta: na webu je v httpOnly cookie, kterou prohlížeč nevydá JavaScriptu, v aplikaci pro iOS v systémové Klíčence zařízení (čitelné až po prvním odemknutí a bez zálohování na jiné zařízení). Přístupový token je v obou případech jen v paměti a odhlášením zaniká.

7. Vaše práva

Podle GDPR máte právo:

• na přístup ke svým osobním údajům a informace o jejich zpracování,
• na opravu nepřesných údajů,
• na výmaz („právo být zapomenut“) — účet můžete smazat přímo v nastavení aplikace, nebo vám ho smažeme na žádost zaslanou z registrovaného e-mailu,
• na omezení zpracování a na přenositelnost údajů (v nastavení aplikace v části Vaše data si všechna svá data kdykoli stáhnete jako soubor JSON),
• vznést námitku proti zpracování založenému na oprávněném zájmu,
• kdykoli odvolat souhlas se zpracováním údajů o těle (odvoláním není dotčena zákonnost předchozího zpracování),
• podat stížnost u Úřadu pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, www.uoou.gov.cz.

8. Jak práva uplatnit

Napište nám na mail@resetnak.cz z e-mailové adresy, ke které je účet registrován. Odpovíme bez zbytečného odkladu, nejpozději do jednoho měsíce.

9. Děti

Služba není určena osobám mladším 16 let a jejich údaje vědomě nezpracováváme. Pokud zjistíme, že účet patří takové osobě, smažeme ho. Rodič nebo zákonný zástupce nás o to může požádat na mail@resetnak.cz.

10. Změny těchto zásad

Tyto zásady můžeme aktualizovat, například při změně funkcí služby. O podstatných změnách vás budeme informovat v aplikaci. Aktuální znění je vždy dostupné na této stránce.