Soukromí a osobní údaje.
Tohle je konkrétní vysvětlení, jaké údaje o vás domaspolu ukládá, proč to dělá a co s tím můžete udělat. Není tu nic, co aplikace ve skutečnosti nedělá: neprodáváme data, nesledujeme vás napříč weby a nemáme reklamní cookies.
Kdo za vaše údaje odpovídá
Správcem osobních údajů je Daniel Brebis
Dlouhá 798, 417 42 Krupka
E-mail: daniel.brebis@icloud.com
Rozhoduje o tom, jaké údaje aplikace zpracovává a proč. Za zpracování odpovídáme my, ne poskytovatelé technologií.
Pro cokoli kolem osobních údajů, včetně uplatnění práv, pište na daniel.brebis@icloud.com. Odpovídáme obvykle do několika pracovních dnů, nejpozději ve lhůtě podle GDPR.
Pověřence pro ochranu osobních údajů (DPO) jsme nejmenovali, protože nám to neukládá článek 37 GDPR. Nemáme tedy samostatného DPO, se kterým byste jednali.
Jaké údaje zpracováváme
Všechny údaje zadáváte sami při registraci nebo při používání aplikace. Nekupujeme databáze kontaktů, neověřujeme vás u třetích stran a nesbíráme údaje z jiných webů.
| Údaj | K čemu | Právní základ | Doba |
|---|---|---|---|
| E-mail, heslo (hash), zobrazované jméno, ID účtu, čas registrace, čas potvrzení zásad | Založení a vedení účtu, přihlášení, potvrzení e-mailu, obnova hesla a doložení, že jste se seznámil/a se zásadami | čl. 6(1)(b) — plnění smlouvy | do smazání účtu |
| Členství v domácnosti, role, jméno člena, název domácnosti | Sdílení jednoho seznamu úkolů mezi členy domácnosti | čl. 6(1)(b) — plnění smlouvy | do smazání účtu nebo opuštění domácnosti |
| Úkoly: název, ikona, termín, opakování, přiřazení, stav | Vedení seznamu úkolů a jeho zobrazení členům domácnosti | čl. 6(1)(b) — plnění smlouvy | do smazání úkolu, domácnosti nebo účtu |
| Pozvánky: hash odkazu, doba platnosti, počet pokusů o uplatnění | Pozvání dalšího člena a ochrana proti zneužití odkazu | čl. 6(1)(b) a (f) — bezpečnost | 48 hodin platnost, záznam nejdéle 30 dnů |
| Technické logy: IP adresa, čas, user-agent, požadavek a stav odpovědi | Provoz, bezpečnost, omezování zneužití a řešení chyb | čl. 6(1)(f) — oprávněný zájem | hodiny až dny, nejdéle 30 dnů |
| E-mailová komunikace: adresa, obsah potvrzovacích a resetovacích e-mailů | Potvrzení účtu a obnova přístupu | čl. 6(1)(b) — plnění smlouvy | ve schránce do vyřízení, nejdéle 30 dnů |
| Žádosti o práva: e-mail, obsah žádosti, jak byla vyřízena | Vyřízení žádosti a doložení souladu s GDPR | čl. 6(1)(c) — právní povinnost | 3 roky od vyřízení |
Do názvů úkolů můžete zadat vlastní text, který ukládáme. Nevkládejte do nich hesla, PINy, zdravotní ani jiné citlivé údaje. Aplikace neobsahuje platby. Heslo k účtu ukládá Supabase Auth v hashované podobě.
Ostatní členové vaší domácnosti vidí vaše zobrazované jméno, členství a všechny úkoly včetně názvů a přiřazení. V aplikaci vidíte svůj e-mail jen ve vlastním účtu.
Proč to smíme zpracovávat
Plnění smlouvy (čl. 6(1)(b) GDPR). Účet, domácnost, úkoly a e-maily potřebujeme k tomu, abychom vám aplikaci vůbec mohli poskytovat. Bez e-mailu nejde ověřit účet, bez jména vás ostatní v domácnosti nepoznají.
Oprávněný zájem (čl. 6(1)(f) GDPR). Krátké technické logy a omezení počtu pokusů používáme kvůli bezpečnosti a prevenci zneužití. Provedli jsme test proporcionality: logy nepoužíváme k marketingu ani k profilování, držíme je krátce a přístup k nim mají jen osoby, které je potřebují. Vaše práva převažují nad naším zájmem jen výjimečně; pokud si myslíte, že je to váš případ, můžete vznést námitku.
Právní povinnost (čl. 6(1)(c) GDPR). Záznam o vyřízení žádosti o práva si musíme ponechat, abychom uměli doložit soulad s GDPR.
Souhlas (čl. 6(1)(a) GDPR). K ničemu z toho, co aplikace dělá, souhlas nepotřebujeme. Nemáme newsletter ani marketingové cookies. Kdybychom je v budoucnu přidali, vyžádáme si předem svobodný a odvolatelný souhlas a tuhle stránku aktualizujeme.
Potvrzení při registraci. Při registraci potvrzujete, že jste se seznámil/a se zásadami ochrany osobních údajů. Potvrzení je dokladem informování podle čl. 13 GDPR, není souhlasem se zpracováním a nezakládá samostatný právní základ.
Komu se údaje dostanou
Údaje neprodáváme a nepředáváme je reklamním sítím. K údajům mají přístup jen zpracovatelé, kteří zajišťují provoz aplikace, a to v rozsahu, který potřebují:
- Vercel Inc. — hosting webu a API, serverless funkce a provozní logy.
- Supabase, Inc. — databáze, přihlašování a odesílání potvrzovacích a resetovacích e-mailů.
- Apple iCloud — vyřízení vašich zpráv a žádostí.
- Orgány veřejné moci — jen pokud nám to ukládá zákon.
U každého zpracovatele ověřujeme podmínky podle čl. 28 GDPR, které mu zakazují používat vaše data k vlastním účelům. Seznam zpracovatelů, účelů a stav smluv vedeme v interní dokumentaci.
Předání mimo EU
Vercel i Supabase jsou americké společnosti, takže část technického zpracování může probíhat ve Spojených státech. Předání se opírá o standardní smluvní doložky podle čl. 46(2)(c) GDPR (rozhodnutí 2021/914) a o dodatky o zpracování podle čl. 28. Přenos je šifrovaný pomocí TLS.
Projekt Supabase je zřízen v regionu, který provozovatel zvolil při založení projektu; konkrétní region vám na vyžádání sdělíme. Vzdálená správa a podpora poskytovatelů může zahrnovat přístup z USA. Pokud poskytovatel e-mailové schránky nebo SMTP sídlí mimo EU/EHP, platí pro něj stejný mechanismus standardních smluvních doložek.
Do jiných zemí data nepředáváme a neukládáme je u poskytovatelů, kteří by je používali k vlastnímu marketingu.
Cookies a měření
Používáme jen cookies, bez kterých by aplikace nefungovala. Nemáme Google Analytics, Meta Pixel, YouTube embed ani jiné sledovací skripty. Web neposílá data do reklamních sítí.
| Cookie | K čemu | Platnost |
|---|---|---|
__Host-doma-access (vývoj doma-access) | Přihlášení k účtu | přibližně 1 hodina |
__Host-doma-refresh (vývoj doma-refresh) | Obnovení přihlášení bez nového zadání hesla | 7 dní |
__Host-doma-invite (vývoj doma-invite) | Zapamatování pozvánky do domácnosti | 2 hodiny |
__Host-doma-recovery (vývoj doma-recovery) | Ověření prohlížeče při obnově hesla | nejvýše 1 hodina |
Všechny tyto cookies jsou technické, nastavuje je náš server, jsou HttpOnly a v produkci Secure s SameSite=Lax. JavaScript k nim nemá přístup. Nepoužíváme localStorage ani sessionStorage.
Protože žádná cookie není analytická ani marketingová, nezobrazujeme cookie lištu. Kdybychom měření přidali, nejdřív si vyžádáme souhlas a tuhle stránku aktualizujeme.
Fonty, styly i skripty načítáme z vlastní domény. Web tedy neposílá vaši IP adresu do Google Fonts ani do jiné služby, kterou bychom nepotřebovali k provozu.
Jak dlouho údaje uchováváme
- Účet, jméno a e-mail: do smazání účtu. Smazat ho můžete sami v části Můj účet, ověříme přitom heslem.
- Domácnost, členství a úkoly: do smazání účtu, opuštění domácnosti nebo smazání úkolu. Když odejde poslední člen, smaže se i domácnost a její úkoly.
- Pozvánky: odkaz platí 48 hodin. Záznamy o pozvánkách mažeme do 30 dnů po skončení platnosti nebo zrušení.
- Pokusy o uplatnění pozvánky: slouží k omezení zneužití. Mažeme je do 30 dnů; při smazání účtu se smažou s ním.
- Technické logy: krátkodobě, řádově hodiny až dny podle nastavení hostingu, nejdéle 30 dnů.
- E-maily: potvrzovací a resetovací zprávy mažeme ze schránky nejdéle 30 dnů po vyřízení.
- Žádosti o práva: 3 roky od vyřízení, abychom uměli doložit soulad s GDPR.
- Zálohy: data se mohou krátce nacházet v záloze. Zálohy používáme jen při havárii a mažeme je v rámci jejich cyklu, nejpozději do 30 dnů.
Smazáním účtu zmizí e-mail, jméno, členství i přiřazení úkolů. Pokud jste posledním členem domácnosti, smažou se i její úkoly. Údaje se mohou na krátkou dobu objevit v záloze, ale neobnovujeme je zpět do provozu.
Vaše práva
Podle GDPR máte právo na přístup ke svým údajům, jejich opravu, výmaz, omezení zpracování, přenositelnost a právo vznést námitku proti zpracování z oprávněného zájmu. Máte také právo kdykoli odvolat souhlas, pokud jste nějaký udělili; naše zpracování na souhlasu ale nestojí.
- Přístup a kopie: napište na daniel.brebis@icloud.com, pošleme vám přehled údajů, které o vás vedeme.
- Oprava: jméno změníte v Můj účet, e-mail přes obnovu přístupu. Ostatní opravíme na vyžádání.
- Výmaz: účet smažete v Můj účet → Smazat účet. Ověříme heslem a data smažeme.
- Omezení a námitka: napište nám; do vyřešení můžeme zpracování omezit.
- Přenositelnost: na vyžádání připravíme strojově čitelný export údajů, které jste zadali.
Odpovídáme do jednoho měsíce od doručení žádosti. Ve složitém případě lhůtu prodloužíme o dva měsíce a dáme vám vědět proč. Identitu ověříme přiměřeně: obvykle stačí e-mail z adresy, kterou máte u účtu. Nikdy po vás nebudeme chtít kopii občanského průkazu.
Pokud s vyřízením nesouhlasíte, můžete se obrátit na Úřad pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, www.uoou.cz.
Vznesení žádosti je zdarma. Pokud by byla zjevně nedůvodná nebo opakovaná, můžeme ji odmítnout nebo účtovat přiměřený poplatek podle čl. 12(5) GDPR.
Jak údaje chráníme
Web běží na HTTPS a posílá HSTS. Přihlašovací cookies jsou HttpOnly, v produkci Secure a SameSite=Lax. Hesla ukládá Supabase Auth hashovaná, nikdy je nevidíme v otevřené podobě. Zápisy ověřují původ požadavku, databáze používá row-level security a přístup k datům je omezený na členy domácnosti. Přihlašovací a registrační požadavky mají limity.
Názvy úkolů šifrujeme před uložením do databáze pomocí AES‑256‑GCM. Klíč je uložený odděleně od databáze na aplikačním serveru, který názvy rozšifruje při zobrazení seznamu členům domácnosti.
Pro běžné uživatele zatím nemáme dvoufázové ověření. Doporučujeme dlouhé unikátní heslo a jeho uložení ve správci hesel.
Pokud zjistíte zranitelnost nebo podezření na zneužití účtu, napište na daniel.brebis@icloud.com. Při porušení zabezpečení, které představuje riziko pro vaše práva, ohlásíme incident ÚOOÚ do 72 hodin od zjištění a dotčené osoby informujeme bez zbytečného odkladu.
Automatizované rozhodování, děti a změny
Automatizované rozhodování a profilování: neprobíhá žádné. Nenastavujeme ceny podle profilu, nedoporučujeme obsah na základě chování a nerozhodujeme o vás bez lidského zásahu.
Děti: aplikace je určená domácnostem, ne dětem. Účet si nemá zakládat dítě mladší 15 let. Pokud takový účet zjistíme, smažeme ho.
Změny zásad: zásady aktualizujeme, když se změní aplikace nebo právní úprava. Nová verze bude vždy na této adrese s datem účinnosti. O podstatné změně dáme vědět e-mailem nebo v aplikaci předem.
Kontakt: daniel.brebis@icloud.com. Daniel Brebis
Dlouhá 798, 417 42 Krupka
E-mail: daniel.brebis@icloud.com.