Spolumo spája ľudí na spoločné športovanie. Aby to fungovalo, ostatní o vás musia niečo vedieť: meno, mesto, športy, na ktoré aktivity chodíte. Snažíme sa, aby to bolo len to nevyhnutné a aby ste o tom rozhodovali vy. Súkromie je vlastnosť Spolumo, nie dodatok: trasy sú predvolene súkromné, správy nečítame, reklamné cookies nemáme a vaše údaje nepredávame.
1. Kto je prevádzkovateľ a ako nás kontaktovať
[GDPR-1.1] Prevádzkovateľom vašich osobných údajov je [[JMÉNO_PROVOZOVATELE]], IČO [[IČO]], [[ADRESA_SÍDLA]] („my“). Kontakt pre súkromie: [[EMAIL_SOUKROMÍ]], alebo poštou na adresu sídla.
[GDPR-1.2] Zodpovednú osobu pre ochranu osobných údajov sme nevymenovali, pretože nám to zákon neukladá (čl. 37 GDPR). Všetky otázky vybavuje priamo prevádzkovateľ.
[GDPR-1.3] Po prevode prevádzky na obchodnú spoločnosť (napríklad s.r.o.) sa prevádzkovateľom stane táto spoločnosť. Vopred vás o tom informujeme.
2. Aké údaje, prečo a na akom právnom základe
| # | Údaje | Účel | Právny základ (čl. 6 GDPR) | Kto ich vidí |
|---|---|---|---|---|
| 2.1 | Účet: e-mail, identifikátor účtu Google alebo Apple, dátum registrácie, vyhlásenie 18+ | prihlásenie, komunikácia o účte | plnenie zmluvy (b) | len my |
| 2.2 | Profil: meno alebo prezývka, fotka, mesto, športy, úroveň, tempo, kedy športujete, krátky popis, jazyk | nájsť parťákov a aktivity | plnenie zmluvy (b) | verejne ostatní používatelia |
| 2.3 | Aktivity a účasť: založené aktivity, eventy, skupiny, prihlášky, čakacia listina, „Idem teraz“, sledovanie, pozvánky, odznaky, výzvy | fungovanie komunity | plnenie zmluvy (b) | účastníci a organizátori, zoznam prihlásených podľa nastavenia podujatia |
| 2.4 | Správy: súkromné správy, správy v skupinách a diskusiách | dohoda | plnenie zmluvy (b) | súkromné správy, správy k inzerátom a rezerváciám vidia len účastníci konverzácie; správca k nim nemá prístup, kým niekto z účastníkov konverzáciu nenahlási (2.11). Správy vo verejných kanáloch a diskusiách aktivít sú verejné. |
| 2.5 | Hodnotenia: hviezdičky a text po podujatí alebo rezervácii | dôvera v komunite | plnenie zmluvy (b) | verejne |
| 2.6 | Poloha: mesto z profilu; presná poloha zariadenia, len keď ju sami zapnete (mapa „okolo mňa“, „Idem teraz“, check-in, záznam trasy) | ukázať, čo je blízko, a zaznamenať trasu | plnenie zmluvy (b); prístup k polohe povoľujete v zariadení | presnú polohu neukladáme, okrem trasy, ktorú si sami zaznamenáte a uložíte (2.7). Záznam trasy v mobilnej aplikácii beží aj so zhasnutým displejom, ale len od chvíle, keď ho sami spustíte, do chvíle, keď ho ukončíte; mimo záznamu polohu na pozadí nesledujeme. |
| 2.7 | Denník a trasy: šport, dátum, dĺžka, čas, trasa z GPX, TCX, záznamu alebo nakreslená | váš športový denník | plnenie zmluvy (b) | predvolene len vy; zdieľanú trasu server uloží bez všetkých bodov do 200 m od štartu a od cieľa (súkromná zóna), takže sú bez nich aj export GPX a mapa pre ostatných |
| 2.8 | Hmotnosť (nepovinná) | odhad spálených kalórií a pitného režimu | výslovný súhlas (čl. 9 ods. 2 písm. a) GDPR), pozri 2.8a | len vy; nikdy v profile, nikdy v otázke pre AI |
| 2.9 | Trhovisko: inzeráty, fotky, ponuky ceny, rezervácie, stav odovzdania a vrátenia; pri obchodníkoch meno alebo firma, IČO, adresa, telefón, e-mail; pri tréneroch doklady o kvalifikácii | nákup, požičiavanie, lekcie; informácie o obchodníkovi | plnenie zmluvy (b); pri obchodníkoch právna povinnosť (c) podľa § 11b českého zákona o ochrane spotrebiteľa | inzeráty verejne; rezervácie len strany; kontakty obchodníka pri jeho ponuke |
| 2.10 | Platené služby: tarifa, obdobie, fakturačné údaje, stav platby, identifikátory v Stripe | poskytnutie služby, účtovníctvo a dane | plnenie zmluvy (b); právna povinnosť (c) | len my a Stripe; číslo karty nevidíme |
| 2.11 | Nahlásenia a moderácia: kto čo nahlásil, kópia nahláseného obsahu, rozhodnutie, odôvodnenie, odvolanie | bezpečnosť, povinnosti podľa DSA | právna povinnosť (c); oprávnený záujem na bezpečí komunity (f) | len my; oznamovateľa nahlásenému neprezrádzame. Ak účastník nahlási súkromnú konverzáciu, rezerváciu alebo ponuku, môže si ju správca na najviac 72 hodín otvoriť; každé otvorenie sa zapisuje do záznamu zásahov (kap. 6) aj s odkazom na nahlásenie. Inak k súkromným správam prístup nemá. |
| 2.12 | Dopyty organizácií (leady), žiadosti o prevzatie športoviska: meno, e-mail, telefón, organizácia | odpovedať na dopyt | opatrenia pred uzavretím zmluvy (b); oprávnený záujem (f) | len my |
| 2.13 | Technické údaje: IP adresa, typ zariadenia a prehliadača, chybové hlásenia, časy prihlásenia | bezpečnosť, prevencia zneužitia, oprava chýb | oprávnený záujem (f) | len my a sprostredkovatelia (kap. 4) |
| 2.13a | Súhlas s podmienkami: čas, verzia podmienok a zásad, jazyk a typ prehliadača pri registrácii | preukázať uzavretie zmluvy | plnenie zmluvy (b); oprávnený záujem (f) | len my |
| 2.14 | Notifikácie: token pre push oznámenia, nastavenie upozornení | pripomienky podujatí a správ | plnenie zmluvy (b); povolenie v zariadení | len my |
| 2.15 | Otázky pre AI: text, ktorý zadáte do funkcie s AI, a kontext podujatia | návrh textu alebo odpoveď | plnenie zmluvy (b) na vašu žiadosť | my a Anthropic ako sprostredkovateľ |
| 2.16 | Štatistiky používania bez cookies, agregované | zlepšovanie Spolumo | oprávnený záujem (f) | len my |
| 2.17 | Novinky e-mailom | informácie o Spolumo a podujatiach vo vašom meste | súhlas (a), u zákazníkov oprávnený záujem podľa § 7 ods. 3 českého zák. č. 480/2004 Zb. | len my |
[GDPR-2.8a]Hmotnosť. Údaj o hmotnosti je nepovinný. Použijeme ho len na výpočet vo vašom zariadení a v súkromnom nastavení účtu. Súhlas udelíte zaškrtnutím pri zadaní a kedykoľvek ho odvoláte zmazaním údaja. Bez prihlásenia zostáva údaj len vo vašom prehliadači.
[GDPR-2.18]Oprávnený záujem. Tam, kde spracúvame na základe oprávneného záujmu, sme zvážili, že vaše práva neprevažujú: ide o bezpečnosť služby a zlepšovanie bez profilovania na reklamu. Proti takémuto spracúvaniu môžete namietať (kap. 7).
[GDPR-2.19]Čo nespracúvame. Nevedieme reklamné profily, nepredávame údaje, nezbierame údaje o zdraví (okrem nepovinnej hmotnosti podľa 2.8) a neskenujeme vaše kontakty. Polohu zariadenia sledujeme len počas záznamu trasy, ktorý sami spustíte a ukončíte (2.6); mimo neho presnú polohu na pozadí nesledujeme ani neukladáme.
[GDPR-2.20]Automatizované rozhodovanie. Nerozhodujeme o vás automaticky s právnymi účinkami (čl. 22 GDPR). Odporúčania aktivít a zoradenie ponúk sú automatické podľa pravidiel v Obchodných podmienkach (kap. 12). Filtre proti spamu môžu dočasne obmedziť rozosielanie správ novým účtom; o blokovaní účtu vždy rozhoduje človek.
[GDPR-2.21]Vek. Spolumo je určené osobám starším ako 18 rokov. Ak zistíme, že účet patrí mladšej osobe, účet zrušíme a údaje zmažeme.
3. Odkiaľ údaje máme
Väčšinu údajov zadávate sami. Z účtu Google alebo Apple dostaneme len e-mail, meno a identifikátor (pri Apple môžete e-mail skryť). Niečo o vás môžu vložiť aj ostatní používatelia: hodnotenie, zmienku v správe, fotku z podujatia alebo nahlásenie. Od Stripe dostávame informáciu o stave platby.
4. Komu údaje odovzdávame
[GDPR-4.1]Ostatní používatelia vidia váš profil, verejné aktivity, hodnotenia a zdieľané záznamy podľa vášho nastavenia.
[GDPR-4.2]Sprostredkovatelia, ktorí pre nás pracujú podľa zmluvy o spracúvaní (čl. 28 GDPR):
| Sprostredkovateľ | Čo robí | Kde sú údaje | Prenos mimo EÚ a záruka |
|---|---|---|---|
| Supabase (Supabase Pte. Ltd., Singapur) | databáza, prihlásenie, úložisko fotiek, realtime, serverové funkcie | EÚ, Frankfurt | vzdialený prístup podpory mimo EÚ: štandardné zmluvné doložky (SCC) v DPA Supabase |
| Cloudflare (Cloudflare, Inc., USA) | hosting webu, DNS, ochrana pred útokmi, mapové dlaždice (R2) | globálna sieť, R2 región EÚ | EU–US Data Privacy Framework (DPF) a SCC |
| Resend [OVĚŘIT entitu] | odosielanie e-mailov (potvrdenia, pripomienky) | [OVĚŘIT region] | DPF alebo SCC |
| Sentry (Functional Software, Inc., USA) | hlásenie chýb bez IP adries a osobných údajov | región EÚ | DPF a SCC |
| Anthropic [OVĚŘIT entitu pro API] | model AI Claude pre funkcie s AI (2.15), len na vašu žiadosť | USA | SCC podľa DPA Anthropic; údaje z API nepoužíva na trénovanie |
| Google (Firebase Cloud Messaging) | doručenie push oznámení do Androidu | globálne | DPF a SCC |
| Apple (Apple Push Notification service) | doručenie push oznámení do iOS | globálne | DPF a SCC |
[GDPR-4.2a]Písma a knižnice načítavame z vlastnej domény spolumo.cz, nie z Google Fonts ani z verejných CDN, takže vaša IP adresa pri načítaní aplikácie nejde tretej strane okrem sprostredkovateľov vyššie.
[GDPR-4.3]Samostatní prevádzkovatelia, ktorí spracúvajú údaje podľa svojich zásad:
- Stripe (Stripe Payments Europe, Ltd., Írsko): platby kartou, overenie totožnosti poskytovateľov (KYC), prevencia podvodov. Zásady Stripe.
- Google a Apple: prihlásenie účtom Google alebo Apple, obchody Google Play a App Store (platby, sťahovanie).
- Organizátori, požičovne a tréneri: údaje, ktoré im odovzdáte pri prihláške alebo rezervácii, spracúvajú ako samostatní prevádzkovatelia na vlastné účely (napríklad evidenciu zákazníkov).
[GDPR-4.4]Orgány. Na základe zákona odovzdáme údaje súdom, polícii a ďalším orgánom verejnej moci, a to len v nevyhnutnom rozsahu.
5. Ako dlho údaje uchovávame
| Údaje | Doba |
|---|---|
| Účet, profil, denník, trasy, fotky | do zmazania účtu alebo položky; účet, do ktorého sa 24 mesiacov nikto neprihlási, zmažeme, 30 dní vopred vás upozorníme e-mailom na adresu účtu |
| Verejné správy v kanáloch a diskusiách | po 90 dňoch ich presunieme z aplikácie do archívu (už nie sú viditeľné), z archívu ich zmažeme po ďalších 12 mesiacoch; so zmazaním účtu strácajú vaše meno |
| Súkromné správy, správy k inzerátom a rezerváciám | do zmazania účtu; druhej strane zostane konverzácia s označením „Zmazaný používateľ“, kým ju nezmaže alebo nezmaže účet aj ona |
| Hodnotenia, ktoré ste napísali | po zmazaní účtu zostanú anonymizované („Zmazaný používateľ“) |
| Uskutočnené aktivity, eventy a prihlášky | 24 mesiacov od konania; potom prihlášky zmažeme a pri aktivite odstránime organizátora, popis a platobné údaje (zostane len anonymný záznam pre štatistiky) |
| Nahlásenia, moderácia a záznam zásahov správcu | 12 mesiacov od nahlásenia alebo zásahu; pri odvolaní alebo spore do jeho skončenia |
| Faktúry a účtovné a daňové doklady | počas doby stanovenej daňovými a účtovnými predpismi (až 10 rokov) |
| Dopyty organizácií (leady) | 24 mesiacov od posledného kontaktu |
| Chybové hlásenia (Sentry), ak ich zapneme | najviac 90 dní |
| Technické logy (prihlásenia, požiadavky, bezpečnosť) | najviac 30 dní (u poskytovateľa databázy 7 dní) |
| Zálohy databázy | najviac 30 dní; zmazané údaje v nich dožijú túto dobu |
| Záznam o súhlase s podmienkami | počas trvania účtu; po zmazaní účtu bez väzby na vás |
| Súhlas s novinkami | do odvolania |
6. Ako údaje chránime
Šifrované spojenie (HTTPS), prístup k údajom len podľa pravidiel na úrovni riadkov databázy (RLS), prihlásenie bez hesiel (jednorazový kód, Google, Apple), minimálny prístup správcu (k súkromným správam a rezerváciám len po nahlásení, dočasne a so záznamom), záznam zásahov správcu (audit log), súkromné zóny trás vynútené na serveri, odstránenie metadát (EXIF vrátane GPS) z fotiek, pravidelné zálohy a test obnovy. Pri porušení ochrany, ktoré vás ohrozuje, vás budeme informovať (čl. 34 GDPR) a český Úrad na ochranu osobných údajov do 72 hodín (čl. 33 GDPR).
7. Vaše práva
Máte právo:
- na prístup k údajom a ich kópiu (čl. 15 GDPR),
- na opravu (čl. 16), väčšinu údajov upravíte sami v profile,
- na vymazanie (čl. 17): Viac › Účet › Zmazať účet,
- na obmedzenie spracúvania (čl. 18),
- na prenosnosť (čl. 20): Viac › Účet › Stiahnuť moje údaje (súbor JSON, denník aj vo formáte GPX),
- namietať proti spracúvaniu na základe oprávneného záujmu (čl. 21) a kedykoľvek proti priamemu marketingu,
- odvolať súhlas (hmotnosť, novinky) bez toho, aby to ovplyvnilo spracúvanie pred odvolaním,
- podať sťažnosť na českom Úrade na ochranu osobných údajov (Úřad pro ochranu osobních údajů), Pplk. Sochora 27, 170 00 Praha 7, uoou.gov.cz, alebo na Úrade na ochranu osobných údajov Slovenskej republiky.
Žiadosti vybavíme do 1 mesiaca (čl. 12 ods. 3 GDPR). Ak nemôžeme overiť, že žiadosť podávate vy, požiadame o potvrdenie z e-mailu účtu.
8. Zmazanie účtu
[GDPR-8.1] Po ťuknutí na Zmazať účet a potvrdení:
- okamžite skryjeme váš profil a odhlásime vás zo všetkých zariadení,
- do 30 dní zmažeme profil, denník, trasy, fotky, inzeráty, prihlášky, sledovanie, nastavenia a push tokeny,
- vaše správy u druhých strán, vaše hodnotenia a uskutočnené aktivity, ktoré ste organizovali, anonymizujeme („Zmazaný používateľ“); obsah ostatných ľudí (ich správy vám, hodnotenia, fotky) nemažeme,
- ponecháme len to, čo musíme podľa zákona (faktúry, údaje o prebiehajúcom spore alebo moderácii),
- zmazané údaje dožijú v zálohách podľa kap. 5.
[GDPR-8.2] Ak máte aktívne predplatné cez App Store alebo Google Play, zrušte ho tam. Zmazanie účtu platbu v obchode nezastaví.
9. Zmeny týchto zásad
Zásady aktualizujeme, keď sa zmení spracúvanie (nová funkcia, nový sprostredkovateľ). O podstatnej zmene vás informujeme e-mailom alebo v aplikácii vopred. Predchádzajúce verzie sú na spolumo.cz/soukromi/archiv.