Zásady ochrany osobních údajů

Správcem osobních údajů ve smyslu článku 4 odst. 7 GDPR je společnost Braincode s.r.o., IČO 23484942, DIČ CZ23484942, se sídlem Kurzova 2222/16, Stodůlky, 155 00 Praha 5, datová schránka s8iq3ay, která provozuje platformu RideSnap.

Pro kontakt ve věcech ochrany osobních údajů použij e-mail podpora@ridesnap.cz s předmětem „GDPR“. Vzhledem k velikosti a charakteru zpracování nemáme jmenovaného pověřence pro ochranu osobních údajů (DPO) - kontakt zajišťuje přímo provozovatel.

Sbíráme jen údaje, které jsou nutné k tomu, aby platforma fungovala - nic víc. Poskytnutí registračních údajů (jméno, e-mail, heslo) je smluvním požadavkem nutným k založení a vedení účtu; bez nich ti účet nemůžeme zřídit. Ostatní údaje (profil, garáž, analytika) jsou dobrovolné a jejich neposkytnutí znamená jen to, že nevyužiješ příslušnou funkci.

• jméno a příjmení
• e-mailová adresa
• uživatelské jméno (username pro veřejnou URL profilu)
• heslo (uchované jen jako bcrypt hash, nikdy ne v čitelné podobě)
• volitelně OAuth identifikátor (Google, pokud se přihlásíš přes SSO)

• profilové bio, odkaz na Instagram nebo vlastní web
• obálka profilu, profilová fotka
• údaje o vozidlech v garáži (značka, model, ročník, barva, přezdívka a volitelně registrační značka - jde o textové pole, které vyplňuješ a případně maskuješ podle svého uvážení; aplikace ji automaticky nemaskuje)

• fotky, které vystavuješ jako fotograf - tyto fotky často zachycují identifikovatelné osoby (jezdce a řidiče), případně registrační značky vozidel viditelné v záběru; o právním základu jejich zveřejnění a o tom, jak může zobrazená osoba požádat o stažení, viz § 3 a § 6
• metadata fotek z EXIF (čas pořízení, expozice - ISO, závěrka, clona - a model fotoaparátu); GPS souřadnice a veškerý ostatní EXIF z uložených souborů i ze staženého originálu odstraňujeme (soubor při zpracování plně překódujeme)
• tvoje aktivita: uložené fotky, košík, tagování vlastních vozidel na fotkách
• objednávky ZIP balíčků: číslo objednávky, seznam fotek a e-mail + jméno v okamžiku objednávky (po smazání účtu je anonymizujeme)

• IP adresa a user agent prohlížeče (ukládají se u přihlášené relace; slouží k bezpečnosti - rate limiting, detekce útoků)
• typ zařízení, operační systém a URL požadavku
• záznamy chyb a výkonu aplikace pořizované knihovnou Sentry - stack trace, release, prostředí, technické breadcrumby a kontext chyby. Tyto záznamy odesíláme do naší vlastní self-hostované aplikace na notifier.devuni.cz (ČR), nikoli do služby Sentry Inc. Výchozí odesílání osobních údajů je vypnuté; výjimkou je selhání sestavení objednávky, kdy k chybě připojíme e-mail z objednávky kvůli dohledání problému
• návštěvnické a UX metriky pouze po souhlasu: Google Analytics 4 s anonymizací IP adresy a Microsoft Clarity (heatmapy a nahrávky relací s maskováním citlivého obsahu)
• agregované informace o viditelnosti ve vyhledávání z Google Search Console
• obsah a doručovací metadata transakčních e-mailů přes Resend (příjemce, stav doručení, bounce)

Každý kus dat zpracováváme z jasně definovaného důvodu. Podle čl. 6 GDPR existuje šest možných právních základů - my používáme čtyři:

Souhlas s analytikou můžeš kdykoli změnit přes odkaz „Nastavení cookies“ v patičce webu, případně přes kontaktní e-mail. Odvolání souhlasu nemá zpětný účinek na zpracování, které proběhlo do té doby. Diagnostika chyb (Sentry), Search Console a doručování e-mailů (Resend) nejsou analytické cookies; používáme je pro provoz, bezpečnost, doručování e-mailů a opravy chyb na základě oprávněného zájmu, resp. plnění smlouvy.

Tvoje údaje nikomu neprodáváme. Naprostá většina dat - databáze, nahrané fotky i zálohy - zůstává na naší vlastní infrastruktuře v České republice. Externí služby používáme jen v nezbytném rozsahu; tam, kde dodavatel zpracovává osobní údaje jako zpracovatel, máme nebo budeme mít uzavřenou smlouvu o zpracování osobních údajů (DPA) podle čl. 28 GDPR.

• Server provozovatele - aplikaci, databázi i fotky provozujeme na vlastním serveru společnosti Braincode s.r.o. fyzicky umístěném v České republice (Prostějov). Server vlastní a spravuje provozovatel.
• Green-hosting s.r.o. - housing a konektivita pro tento server (fyzické umístění, napájení a připojení v datovém centru v ČR).
• notifier.devuni.cz - vlastní aplikace provozovatele běžící v ČR, do níž směřují (a) šifrovaná záloha databáze (AES-256), (b) šifrovaná záloha lokálních souborů (obálky, loga, ZIP balíčky) a (c) diagnostické záznamy chyb z knihovny Sentry. Samotné fotky (originály a náhledy) se sem nezálohují - leží na našem úložišti Garage S3 s trojnásobnou replikací. Nejde o veřejnou službu třetí strany - data zůstávají pod kontrolou provozovatele.
• Uptime Kuma - vlastní self-hostovaný nástroj pro monitoring dostupnosti webu; nezpracovává osobní údaje návštěvníků, pouze ověřuje, že web odpovídá.

• Google LLC (USA) - Google Analytics 4 (anonymizovaná návštěvnost, pouze po souhlasu), Google Search Console (ověření vlastnictví webu přes meta tag a agregovaná data vyhledávání, bez cookies na RideSnapu) a Google Sign-In, pokud se přihlásíš přes Google (OAuth identifikátor). Datový transfer do USA na základě Standardních smluvních doložek (SCC) a EU-US Data Privacy Frameworku.
• Microsoft Clarity (USA) - heatmapy a nahrávky relací, pouze po souhlasu. Clarity ve výchozím nastavení maskuje citlivý obsah; konkrétní úroveň maskování řídíme v nastavení nástroje.
• Resend (USA) - doručování transakčních e-mailů (registrace, reset hesla, systémová oznámení, odkaz na ZIP balíček objednávky). Zpracovává e-mailovou adresu příjemce, obsah zprávy a doručovací metadata typu delivered, bounced nebo complaint.

Písma a ikony hostujeme přímo u nás, takže se kvůli nim nikam nic nepřenáší. Pro vykreslení některého obsahu ale tvůj prohlížeč načítá přímo dvě externí služby, čímž se k nim přenese tvoje IP adresa: DiceBear (api.dicebear.com - náhradní avatary, pokud nemáš vlastní) a OpenFreeMap (tiles.openfreemap.org - mapové podklady). Používáme je jen pro vykreslení obsahu, ne ke sledování.

Údaje můžeme předat orgánům veřejné moci (Policie ČR, soudy, ÚOOÚ) pouze v rozsahu odpovídajícímu jejich zákonné žádosti.

• Aktivní účet a obsah: po dobu, kdy účet trvá. Fotky, galerie a profilová data uchováváme bez časového limitu, dokud je sám nesmažeš nebo nesmažeš účet. Když smažeš účet, profil, galerie, fotky (včetně souborů na úložišti), garáž i uložené záznamy (oblíbené fotky, košík, tagy) trvale odstraníme ihned - mazání souborů z úložiště dobíhá na pozadí v řádu minut. Auditní záznamy o tvém účtu smažeme a zbylé auditní záznamy zbavíme vazby na tvoji osobu. Záznamy objednávek zůstávají pro evidenci, ale e-mail a jméno z nich anonymizujeme.
• Přihlášené relace (IP + user agent): po dobu platnosti relace; neaktivní relace vyprší po 120 minutách a jsou odstraněny.
• Auditní log: 90 dnů, pak automaticky mazán (denní úklid auditního logu).
• ZIP balíčky objednávek: ke stažení 30 dnů od zpřístupnění odkazu, poté soubor smažeme a objednávku označíme jako expirovanou.
• Šifrované zálohy (notifier.devuni.cz): denní záloha databáze a týdenní záloha lokálních souborů (obálky, loga, ZIP balíčky); doba uchování záloh se řídí nastavením zálohovací aplikace provozovatele.
• Analytické agregáty (GA4, Clarity): podle nastavení daného nástroje - GA4 zpravidla nejdéle 14 měsíců, Clarity nejdéle 13 měsíců.
• Diagnostické záznamy (Sentry): po dobu nezbytnou pro dohledání a opravu problému, zpravidla nejdéle 90 dnů.
• Doručovací metadata e-mailů (Resend): po dobu potřebnou pro řešení doručitelnosti a podpory, zpravidla nejdéle 12 měsíců.
• Faktury a účetní doklady: placený provoz zatím neběží, žádné faktury negenerujeme. Jakmile bude spuštěn, budeme účetní doklady uchovávat po zákonnou dobu (zpravidla 10 let podle zákona o účetnictví a daňového řádu).

Jako subjekt údajů máš podle GDPR sadu konkrétních práv. Můžeš:

• požadovat přístup ke svým údajům (čl. 15 GDPR) - odpovíme do 30 dnů,
• požadovat opravu nesprávných údajů (čl. 16) - nebo si je sám/sama uprav v Nastavení profilu,
• požadovat výmaz („právo být zapomenut“, čl. 17) - smazání účtu funguje jako jednorázový výmaz: obsah a osobní údaje odstraníme, záznamy objednávek anonymizujeme (viz § 5),
• omezit zpracování (čl. 18),
• získat přenositelnou kopii svých údajů (čl. 20) - na vyžádání ti poskytneme strojově čitelnou kopii údajů, které jsi nám poskytl/a,
• vznést námitku proti zpracování založenému na oprávněném zájmu (čl. 21),
• odvolat souhlas s analytikou (čl. 7 odst. 3) bez sankce.

Neprovádíme žádné automatizované rozhodování ani profilování s právními či obdobně významnými účinky ve smyslu čl. 22 GDPR.

Pokud máš pocit, že zpracováváme tvé údaje nesprávně, máš právo podat stížnost u Úřadu pro ochranu osobních údajů, Pplk. Sochora 727/27, 170 00 Praha 7 ( uoou.cz).

Fotky na platformě často zachycují jezdce a řidiče, kteří u nás nemají účet. I tobě náleží práva výše. Pokud jsi na nějaké fotce a nepřeješ si její zveřejnění, napiš nám na podpora@ridesnap.cz nebo využij formulář Nahlásit obsah . Fotku po ověření bez zbytečného odkladu odstraníme; podrobnosti a lhůty najdeš v § 6 Pravidel služby.

Používáme dvě skupiny cookies:

• Funkční cookies (přihlášení, CSRF token) - nutné pro běh platformy. Souhlas není vyžadován, bez nich by aplikace nefungovala.
• Analytické cookies (GA4, Clarity) - spouštíme až po tvém aktivním souhlasu v cookie banneru. Když odmítneš, nepřijdou.

Google Search Console, Sentry a Resend nepoužíváme jako reklamní nebo analytické cookies: Search Console je ověřovací meta tag a agregovaná SEO data, Sentry řeší chyby aplikace a Resend doručuje transakční e-maily. Reklamní cookies (Facebook Pixel, Google Ads atd.) nepoužíváme.

Kompletní seznam každé cookie (název, účel, doba uchování) najdeš v dedikovaném dokumentu Zásady používání cookies →

Platforma je určena uživatelům od 16 let. Registrací prohlašuješ, že je ti alespoň 16 let. Pokud zjistíme, že účet patří dítěti mladšímu 16 let, bez zbytečného odkladu jej smažeme.

Tyto zásady občas aktualizujeme - buď když se změní právní úprava, přidáme novou službu nebo přepneme dodavatele. O zásadních změnách (nový zpracovatel, rozšíření účelů) tě budeme informovat e-mailem nebo přes platformu.