Zásady ochrany osobních údajů

Kdo zpracovává údaje

Provozovatelem appky Cheflex jsem já, Martin Papoušek, podnikající fyzická osoba, se sídlem Bezručova 4201, 430 03 Chomutov, IČO 05006864. Kontakt ve věcech ochrany osobních údajů: cheflex@email.cz.

Údaje, které máš v appce v telefonu, nevidím a nejsem jejich správcem — máš je pod kontrolou jen ty. Správcem jsem jen u toho, co mi pošleš e-mailem nebo přes zpětnou vazbu, u ověření nákupu, u zašifrovaných balíčků na serveru spojení telefonů a u provozních údajů webu.

Co appka ukládá v telefonu

Appka pracuje s údaji, které do ní zadáš ty, a drží je výhradně v paměti zařízení: počet členů domácnosti a jejich jména nebo přezdívky; u každého člena věk, pohlaví, výšku, váhu, míru pohybu a zvolený cíl; alergie, diety a potraviny, které nejíš; známky u surovin a kuchyní z dotazníku chutí; vygenerované jídelníčky, nákupní seznamy a odškrtnuté položky; hodnocení už uvařených jídel a vlastní poznámky k receptům; posledních pět technických chyb appky (text chyby a místo v kódu — pro zpětnou vazbu, nic z tvých údajů).

Část z toho jsou údaje o zdraví ve smyslu čl. 9 GDPR — typicky váha a alergie. Právě proto zůstávají v telefonu a nikam se neodesílají. Jedinou výjimkou je spojení se Spoluhráčem, které sám zapneš: tělesné údaje a alergie člena putují zašifrované jen do jeho vlastního telefonu (oddíl Spojení dvou telefonů).

Na telefonu Spoluhráče je kopie toho, co mu hlavní telefon pošle: složená jídla, nákupní seznam, jména, zvířátka, díly porcí a palce členů domácnosti, poznámky domácnosti k těm jídlům a tělesné údaje a alergie jen jeho vlastního člena. Po zrušení spojení appka Spoluhráči nabídne připojit se novou pozvánkou, nebo začít vlastní domácnost; obojí kopii smaže a ponechá jen palce jeho člena (u vlastní domácnosti i jeho údaje). Dokud nevybere, kopie v telefonu leží dál; smaže ji i odinstalování appky.

Zrcadlo — druhé zařízení člověka, který domácnost vede — dostává celou domácnost včetně tělesných údajů a alergií všech členů, stejně jako je vidí na hlavním telefonu.

Údaje z appky se ukládají do úložiště appky v telefonu, ne do cookies. Když appku odinstaluješ, zmizí všechno. Zálohu nemám a obnovit to neumím. Pozor na zálohy telefonu: když máš zapnutou zálohu do iCloudu nebo na Google Drive, může se v ní kopie dat appky nějakou dobu držet — to je záloha tvého telefonu, ke které nemám přístup.

V Menu najdeš „Smazat veškerá data“ — jedním potvrzením zmizí všechno, co appka o tobě i o vaší domácnosti ví.

Kam se údaje odesílají

Údaje o tobě a tvé domácnosti nikam. Appka nemá účty, nepoužívá žádné reklamní ani analytické knihovny, nesbírá identifikátory zařízení ani polohu a nechce kontakty, fotky ani kameru (QR kód pozvánky čte fotoaparát telefonu, ne appka). Ven jde jen anonymní statistika, kterou sám zapneš, v appce z obchodu to, co je potřeba k nákupu plné verze, a když spojíš telefony se Spoluhráčem, zašifrované balíčky pro druhý telefon — všechno je popsané níž. Poslední výjimkou je zpráva, kterou mi pošleš ze Zpětné vazby.

Anonymní statistika — jen když ji zapneš

Aby šlo Cheflex vylepšovat podle toho, jak se doopravdy používá, umí si appka počítat, kolikrát se co stalo — třeba že se prošel průvodce, složil jídelníček, otevřel recept, použil nákupní seznam nebo že appka narazila na chybu (jen počet, ne co se stalo). Počítá i to, kolikrát se ukázala nabídka plné verze, kolikrát se v ní klepnulo na koupi a kolikrát nákup proběhl — jen počty, nic z nákupu samotného. Jednou za den pak pošle souhrn počtů za uplynulé dny na můj server cheflex.app.

Je to vypnuté, dokud to sám nezapneš — na uvítání, po prvním doběhlém období, kdy se jednou zeptám, nebo kdykoli v Menu → Anonymní statistika. Dokud to nezapneš, appka nic nepočítá a do telefonu si k tomu nic neukládá. Když to vypneš, smaže se i to, co ještě čekalo na odeslání, a appka funguje dál úplně stejně.

K počtům přidá jen jazyk, verzi appky, typ zařízení (Android, iPhone, nebo web a jestli je to telefon, tablet, nebo počítač), pro kolik lidí v appce vaříš (1 až 4), jestli máš odemčenou plnou verzi, jestli appka počítá kalorie, nebo jen inspiruje, a jak dlouho statistiku máš zapnutou (první den, do týdne, do měsíce, déle). Když appku otevřeš poprvé v novém týdnu, v novém měsíci nebo úplně poprvé, započte to jako jedničku — tak jde spočítat, na kolika zařízeních appka běží, a přitom nepotřebuje žádné ID.

Nikdy nepošle jména, věk, váhu, cíle, alergie, chutě, názvy jídel ani to, co hledáš. Nemá žádné ID zařízení ani instalace a souhrny nenesou datum ani čas. Úložiště měření si samo zapíše čas, kdy souhrn dorazil; používám ho jen k počtům za den a po 90 dnech se smaže. Požadavek na server doručuje Cloudflare, který IP adresu krátce zpracuje kvůli ochraně před útoky; k počtům ji neukládám. Z dat tak nejde poznat, kdo je poslal — nejsou to osobní údaje (bod 26 odůvodnění GDPR), a proto je nejde ani vydat nebo smazat na žádost.

Souhrnná čísla smím uchovávat a používat bez omezení — k vývoji appky i jako součást Cheflexu, kdyby ho jednou převzal někdo jiný.

Nákup plné verze

Aby appka poznala, že je plná verze zaplacená, ověřuje nákup u App Store nebo Google Play přes službu RevenueCat (RevenueCat, Inc., USA), která mi nákupy zpracovává jako zpracovatel. RevenueCat dostane náhodné ID nákupu, které appka vytvoří, potvrzení nákupu od obchodu a technické údaje potřebné k jeho ověření (typ zařízení, verze systému, IP adresa). Nedostane tvoje jméno, e-mail ani nic z toho, co máš v appce. Záznam o nákupu se drží, dokud appka existuje — podle něj se plná verze obnoví na dalším telefonu; dřív ho smazat nejde, zmizela by s ním i obnova.

Zpracovává se to kvůli nákupu, který si objednáváš (čl. 6 odst. 1 písm. b) GDPR). Ze stejných údajů mi RevenueCat ukazuje souhrnné přehledy nákupů (kolik a v jaké zemi), abych věděl, jestli appka pokrývá náklady — to je můj oprávněný zájem (čl. 6 odst. 1 písm. f) GDPR). Předání do USA chrání standardní smluvní doložky EU, které jsou součástí smlouvy se zpracovatelem.

Spojení dvou telefonů (Kapitán a Spoluhráči)

Když spojíš hlavní telefon s telefonem Spoluhráče, posílají si přes server spojení (cheflex.app, běží na Cloudflare) balíčky dat: hlavní telefon stav domácnosti, Spoluhráč odškrtnutý nákup, palce a změny svých tělesných údajů. Každý balíček se zašifruje ještě v telefonu (AES-256-GCM) klíčem, který vznikne z pozvánky a server ho nikdy nedostane. Obsah — jména, jídla, čísla, palce — proto nevidím já ani Cloudflare.

Zrcadlu (druhému zařízení Kapitána) posílá hlavní telefon celý stav domácnosti. Když zrcadlo převezme kapitánskou pásku, dostane zašifrovaně i klíče spojení, aby mohlo domácnost vést dál.

Co server vidí: náhodné označení schránky a telefonu (nic z nich neprozradí, čí jsou), otisk hesla ke schránce, druh zprávy (třeba připojení nebo odpojení telefonu) a komu je určená, velikost a čas balíčků a IP adresu, ze které telefon přišel — tu Cloudflare krátce drží v provozních záznamech jako u webu. Obsah balíčků nikam nezapisuju. Počítám jen, kolik spojení a zpráv za den proběhlo, bez jakéhokoli označení. Proti zneužití počítá server zakládání schránek a pozvánek i podle otisku IP adresy s náhodnou solí — jen v paměti serveru, nikam se nezapisuje a nejpozději druhý den zmizí.

Jak dlouho: pozvánka 10 minut nebo do použití, balíčky nejvýš 30 dní, schránka bez provozu 180 dní. Smazání dat na hlavním telefonu schránku smaže hned, když je telefon zrovna online. Po odpojení telefonu zmizí stará schránka, jakmile se ozvou ostatní spojené telefony. Jinak ji server uklidí sám podle těchto lhůt.

Balíčky nepřečtu, i tak s nimi zacházím jako s osobními údaji. Zpracovávám je jen proto, abych ti spojení, které sis zapnul, mohl poskytnout (čl. 6 odst. 1 písm. b) GDPR), technické údaje kvůli bezpečnému provozu (čl. 6 odst. 1 písm. f) GDPR). U tělesných údajů a alergií je základem tvůj výslovný souhlas (čl. 9 odst. 2 písm. a) GDPR), který dáváš výslovně na telefonu Spoluhráče při připojení — appka tam u tlačítka říká, co se bude posílat; odvoláš ho zrušením spojení.

Server mi provozuje Cloudflare, Inc. jako zpracovatel. Předání do USA se opírá o rámec EU–USA pro ochranu osobních údajů (Data Privacy Framework), stejně jako u webu.

Když mi napíšeš

Zprávu ze Zpětné vazby odesíláš ze svého e-mailu — appka jen otevře tvůj poštovní program s předvyplněným textem a odejde teprve, až ji odešleš ty. Dostanu ji jen já. Zpracovávám pak obsah zprávy a tvou e-mailovou adresu, protože na ni potřebuju odpovědět (oprávněný zájem, čl. 6 odst. 1 písm. f) GDPR). E-mailovou schránku cheflex@email.cz mi poskytuje Seznam.cz, a.s., zprávy leží na jeho serverech v EU.

Ke každé zprávě se připojí technická hlavička: verze appky a dat, jazyk, motiv, typ zařízení a prohlížeče, čas a poslední technické chyby appky, pokud nějaké byly (text chyby a místo v kódu, nic z tvých údajů). Bez ní se chyba nedá zopakovat, proto jde vždycky.

Když zaškrtneš „Přiložit nastavení domácnosti“, přidá se souhrn bez jmen: kolik vás je, u každého dospělého cíl, váha, pohyb a vyloučené suroviny, u dětí jen velikost porce, k tomu režim appky, chutě, jídla, délka období a den nákupu. Jsou to údaje o zdraví, a proto se posílají jen s tvým výslovným souhlasem (čl. 9 odst. 2 písm. a) GDPR), který dáváš zaškrtnutím. Zaškrtnutím potvrzuješ, že je ti aspoň 16 let a že ostatní v domácnosti o tom vědí a souhlasí — dát jim vědět je na tobě. Bez přílohy ti pomůžu stejně rád.

Zprávu smažu, jakmile je věc vyřešená, nejpozději do dvou let.

Tvoje práva a jak požádat o smazání

Podle GDPR máš právo na přístup k údajům, jejich opravu, výmaz, omezení zpracování, přenositelnost a právo vznést námitku. U toho, co máš v appce, je uplatníš přímo v telefonu — žádná kopie u mě neexistuje, takže ti ji nemůžu vydat ani ji za tebe smazat. Proti zpracování, které opírám o oprávněný zájem — tvůj e-mail mně a provozní údaje webu — můžeš kdykoli vznést námitku; stačí napsat.

U zpráv, které mi přišly, napiš na cheflex@email.cz ze stejné adresy, ze které zpráva přišla — stačí věta „prosím o smazání mé zprávy z (datum)“. Tím zároveň odvoláš souhlas s přílohou. Do měsíce zprávu smažu ze schránky i s mými odpověďmi a dám ti vědět. Když napíšeš z jiné adresy, ověřím si to nejdřív na té původní. Stejně tak se můžeš zeptat, co od tebe mám, nebo nechat něco opravit.

Kdybychom se nedomluvili, můžeš si stěžovat u Úřadu pro ochranu osobních údajů (uoou.gov.cz) nebo u dozorového úřadu ve své zemi — typicky tam, kde žiješ nebo pracuješ (čl. 77 GDPR).

Web

Web cheflex.app běží na síti Cloudflare. Ta při každé návštěvě zpracovává technické údaje, bez kterých by stránku nedoručila ani neubránila před útoky — hlavně IP adresu, typ prohlížeče a čas požadavku — a krátce je drží v provozních záznamech. Cloudflare je americká firma; předání údajů do USA se opírá o rámec EU–USA pro ochranu osobních údajů (Data Privacy Framework). Děje se to na základě mého oprávněného zájmu provozovat web bezpečně (čl. 6 odst. 1 písm. f) GDPR).

Stránky webu nepoužívají cookies ani měření návštěvnosti. Do úložiště prohlížeče (localStorage) si uloží jen jazyk a vzhled webu (tmavý, nebo světlý dres), když si je ručně přepneš. Nikam se to neodesílá a smažeš to vymazáním dat webu v nastavení prohlížeče.

Ukázka appky na úvodní stránce se ptá na váhu, pohlaví, cíl a míru pohybu, aby ukázala, co appka spočítá. Všechno to počítá jen tvůj prohlížeč: ukázka nic neukládá, nic neodesílá a statistiku nepočítá. Po obnovení nebo zavření stránky zmizí všechno, co jsi do ní zadal.

Stránka cheflex.app/p, na kterou vede odkaz pozvánky, kód z odkazu na server neposílá — prohlížeč nechává část za znakem # u sebe. Stránka nic neukládá a nic neměří.

Údaje, které o tobě mají obchody s aplikacemi

Stažení a případný nákup zprostředkovává Apple (App Store), nebo Google (Google Play). Ty zpracovávají údaje o stažení, platbě a případném pádu appky podle vlastních zásad, na které nemám vliv a ke kterým nemám přístup v podobě, která by tě identifikovala. Jejich zásady najdeš přímo u nich.

Jak dlouho se co drží

V telefonu: nákupy a uvařená jídla tři měsíce zpět, pak se mažou. Historie hodnocení jídel rok. Poslední palec u receptu zůstává, dokud ho nezměníš — z něj se pozná, že jídlo neprošlo, a to má platit dál. Když v Menu zvolíš „Smazat historii a hodnocení“, zmizí všechna hodnocení a vypnuté recepty se znovu zapnou. Všechno ostatní, dokud to nesmažeš nebo appku neodinstaluješ.

U mě: zprávy z e-mailu nejpozději dva roky; záznam o nákupu u RevenueCat, dokud appka existuje (jinak by nešel obnovit); zašifrované balíčky spojení telefonů nejvýš 30 dní, nepoužívaná schránka 180 dní.

Děti

Appka není určená dětem mladším 16 let k samostatnému používání. Členem domácnosti může být i dítě — jeho údaje pak do appky zadává rodič nebo jiný zákonný zástupce a platí pro ně totéž: zůstávají v telefonu.

Změny těchto zásad

Když se appka změní tak, že se změní i zpracování údajů, upravím tyhle zásady a datum nahoře a dám to aspoň měsíc předem vědět na cheflex.app a v poznámkách k aktualizaci appky. Podstatnou změnu — třeba kdyby z telefonu začal odcházet další druh údajů — oznámím i v aktualizaci appky, ne jen tichou úpravou stránky.