Zásady zpracování osobních údajů

Pracovní návrh. Není to právní poradenství. Finální znění projde právní kontrolou před spuštěním. Otázky: [email protected].

Krátká verze

• Diář, klientky, fotografie a poznámky se šifrují ve tvém zařízení klíčem, který nikdy nedostaneme. Server drží jen šifrovaný obsah — a k němu technické údaje o něm: kolik záznamů, jak velké, kdy naposledy změněné. Ne co v nich stojí.
• O tobě víme, co potřebujeme k účtu a k faktuře: identifikátor z Google nebo Apple přihlášení (včetně jména a profilové fotky, jak nám je předá poskytovatel), e-mail, stav předplatného, doklady.
• Žádná analytika. Žádné Google Analytics, žádný Facebook Pixel, žádné sledovací skripty. (víc o cookies)
• Žádné automatizované rozhodování ani profilování.
• Údaje tvých klientek zpracováváme jen jako tvůj zpracovatel — správkyní jsi ty. (co to pro tebe znamená)

Dvě role, dvě části

Tenhle text má dvě části, protože provozovatel vystupuje ve dvou různých rolích a v každé má jiné povinnosti:

1. Správce — u údajů o tobě a o tvém účtu (přihlášení, předplatné, faktury, provozní záznamy). Tady rozhodujeme my a informujeme tě podle čl. 13 GDPR.
2. Zpracovatel — u údajů tvých klientek (anamnéza, alergeny, fotografie, poznámky). Tady rozhoduješ ty; my je jen ukládáme a přenášíme, a to zašifrované. Pravidla téhle role popisuje zpracovatelská smlouva.

1. Provozovatel jako správce — údaje o tobě

Správcem těchto údajů je Ing. Jan Beránek, IČO 88869709, se sídlem Brozany 194, 533 52 Staré Hradiště. Kontakt: [email protected]. Pověřence pro ochranu osobních údajů jsme nejmenovali — nesplňujeme podmínky čl. 37 GDPR pro povinné jmenování. Ptej se přímo na e-mail výše.

Co zpracováváme a proč

[PRÁVNÍK — dvě doby uchování, které kód dnes nestanoví, a text je proto nemůže slíbit jako číslo. (1) Provozní záznamy. Rotují podle velikosti, ne podle času; na málo navštíveném serveru tak můžou IP adresy přežít měsíce, i když věta výš mluví o dnech až týdnech. Čl. 5 odst. 1 písm. e) chce dobu, ne mechanismus. Návrh: nastavit časový strop (běžně 14–30 dní), a teprve pak ho sem napsat. (2) Záznam o smazání účtu. Je pseudonymní, ale otisk účtu je odvozený deterministicky — kdyby se táž osoba přihlásila znovu týmž účtem Google, vyšel by stejný. K posouzení, jestli tím nejde o osobní údaj a jakou lhůtu mu dát.]

Číslo tvojí platební karty nikdy nevidíme — celou platbu kartou zpracovává Stripe na svých stránkách. U bankovního převodu vidíme údaje o příchozí platbě, jak nám je předává banka.

[PRÁVNÍK / DAŇOVÝ PORADCE: deset let je na osobní údaje dlouhá doba a stojí a padá s tím, v jakém režimu DPH provozovatel je (vatStatus v web/src/content/operator.ts). Identifikovanou osobou se stane prakticky hned první měsíc, jakmile odebere službu od Stripe, Brevo nebo Oracle z jiného členského státu (§ 6h zákona o DPH) — a § 35 odst. 1 písm. b) pak desetiletou lhůtu ukládá výslovně i jí. Kdyby identifikovanou osobou nebyl a nevedl účetnictví, byla by správná lhůta podle § 7b odst. 5 zákona o daních z příjmů ve spojení s § 148 daňového řádu tři roky, s krajní hranicí deseti let. Rozdíl je podstatný — deset let se nesmí stát košem, do kterého spadne i to, co dokladem není. K potvrzení daňovým poradcem.]

Fakturační údaje záměrně nejsou v šifrovaném trezoru: daňové doklady musí být čitelné pro správce daně. Trezor je na klientky, ne na faktury.

2. Provozovatel jako zpracovatel — údaje tvých klientek

Anamnéza, alergeny, fotografie vlasové pokožky a tvoje poznámky jsou údaje tvých klientek. Správkyní jsi ty. My je zpracováváme výhradně podle tvých pokynů, které dáváš tím, jak aplikaci používáš. Podmínky téhle role jsou v zpracovatelské smlouvě (čl. 28 GDPR).

Právní základ na tvojí straně. Jde o údaje o zdraví, tedy zvláštní kategorii podle čl. 9 GDPR. Výjimka pro zdravotnické profese (čl. 9 odst. 2 písm. h) na tricholožky a kadeřnice v Česku nedopadá — nejsou poskytovatelkami zdravotních služeb a zákon jim neukládá profesní mlčenlivost, o kterou by se výjimka opřela. Reálným základem je proto výslovný souhlas klientky (čl. 9 odst. 2 písm. a). Co má souhlas obsahovat, rozepisuje stránka GDPR; hotový text k vytištění je ve vzoru souhlasu. Aplikace ti v kartě klientky nechá zapsat, kdy souhlas dala, jakou formou a jestli ho odvolala — doložitelnost podle čl. 7 odst. 1 je na tobě a tohle je místo, kam si ji ulož.

Co server o tomhle obsahu skutečně vidí

Obsah je šifrovaný ve tvém zařízení (AES-256-GCM) a klíč u nás není. Server ale není slepý úplně — aby uměl replikovat a zálohovat, vidí:

• identifikátor záznamu, jeho typ (klientka / návštěva / fotka) a číslo revize;
• čas poslední změny a příznak, že byl záznam smazaný;
• velikost záznamu a velikost každé přílohy, celkovou velikost databáze a měsíc, do kterého záznam spadá;
• identifikátor trezoru (vaultId) v čitelné podobě — tím se šifrovaný obsah váže k tvému účtu.

Z toho se dá odvodit, kolik klientek vedeš a kdy pracuješ. Nedá se z toho zjistit, kdo jsou ani co jsi si o nich zapsala. Říkáme to takhle přesně schválně — „nevidíme nic“ by byla hezčí věta, ale nebyla by pravdivá.

Objednávání — když si klientka vybere termín sama

V každém plánu můžeš zapnout Objednávání: tvoje klientka otevře tvůj odkaz, potvrdí e-mail jednorázovým kódem a vybere si volný termín. Ve Free si takhle povolíš až 5 klientek, v Pro 20, v Max kolik chceš a jen v Max můžeš stránku otevřít komukoli s odkazem. Obsah objednávky — jméno, e-mail, telefon, poznámku a zvolené služby — její prohlížeč zašifruje na tvůj klíč dřív, než cokoli odejde. My ho neotevřeme; přečteš ho jen ty v aplikaci. Správkyní jsi ty, my jednáme jako tvůj zpracovatel.

Server u toho čitelně zná jen tohle:

• volná okna, která aplikace zveřejňuje — z doplňku do tvé pracovní doby jde odvodit, jak jsi vytížená, ne kdo u tebe byl;
• začátek a konec termínu a stav objednávky (čeká, potvrzena, odmítnuta, vypršela, zrušena);
• e-mail klientky — při zadání přechodně, aby jí dorazil kód, a při objednávce uložený už jen zašifrovaný klíčem serveru, abychom jí mohli poslat potvrzení, zrušení, připomínku 24 hodin předem. Klíč není v databázi;
• klíčované otisky e-mailu a IP adresy klientky, ze kterých nejde adresu ani IP zpětně přečíst; slouží jen k omezení počtu kódů a objednávek.

Seznam povolených klientek. Kód posíláme jen na adresu, kterou sis uložila na kartě klientky a povolila ji. Adresy tohoto seznamu z tvého zařízení neodcházejí: aplikace z každé udělá otisk (solený klíčovaný hash) a na server pošle jen otisky. My je ještě jednou zakódujeme tajným klíčem, který je mimo databázi, takže ze seznamu nejde adresy zpět přečíst. Víme jen, kolik položek seznam má a jestli je stránka otevřená komukoli, nebo jen povoleným.

Zprávy, které posíláme tobě („Máš novou objednávku“), neobsahují žádný údaj klientky. Zprávy klientkám odesílá Seznam.cz (Email Profi). Žádost o kód chrání Cloudflare Turnstile — ten vidí IP adresu a údaje prohlížeče klientky, ne její e-mail ani objednávku.

Jak dlouho. Nepotvrzená objednávka vyprší po 48 hodinách (nastavíš), nejpozději 24 hodin před termínem. Skončená objednávka přijde po 7 dnech o zašifrovaný e-mail a obsah; celá se smaže 30 dní po termínu. Ověřovací kódy se mažou po vypršení, počítadla po 24 hodinách.

[PRÁVNÍK: potvrdit roli provozovatele u Objednávání — zpracovatel u obsahu objednávky a doručení zpráv, ale u klíčovaných otisků a omezování zneužití možná samostatný správce — a právní základ u klientky (kroky před uzavřením smlouvy, čl. 6 odst. 1 písm. b). Veřejná stránka klientky má vlastní text o soukromí (/<adresa>/soukromi); musí s tímhle sedět.]

Google kalendář — když ho připojíš

Google kalendář je dobrovolný. Připojíš ho sama v Můj účet na webu; bez něj Tricho funguje beze změny. Slouží ke dvěma věcem: aby se tvoje události ukázaly v diáři a aby Objednávání nenabídlo čas, kdy už máš něco jiného.

Co od Googlu čteme

Žádáme o dvě oprávnění, obě jen ke čtení: calendar.calendarlist.readonly (seznam tvých kalendářů) a calendar.events.readonly (jejich události). Do kalendáře nikdy nic nezapisujeme. Při připojení dostaneme i e-mail účtu Google, který zobrazíme v Můj účet, abys věděla, co je připojené.

Kde se co ukládá

• Na serveru je jen: přístupový klíč k tvému Googlu (refresh token) zašifrovaný klíčem serveru, který není v databázi; e-mail připojeného účtu; identifikátory kalendářů, které sis v aplikaci označila jako blokující; a začátek a konec událostí v těchto blokujících kalendářích, sloučené do úseků „obsazeno“. Server se u Googlu výslovně ptá jen na časy a stav události — názvy, popisy, místa ani účastníky nečte a neukládá.
• Jen ve tvém zařízení jsou názvy událostí. Aplikace si je stahuje přímo od Googlu a drží je v paměti; při zamknutí aplikace zmizí. Server je nikdy nevidí.

Údaje z Google kalendáře nesdílíme, neprodáváme a nepoužíváme je k reklamě ani k trénování modelů umělé inteligence. Použijeme je jen k tomu, k čemu jsou připojené: diář a hlídání volných termínů u Objednávání.

Když připojení vyprší (odebereš přístup u Googlu), a máš kalendáře, které blokují Objednávání, online objednávání se zastaví, dokud se nepřipojíš znovu — raději nenabídnout nic než dvojí objednávku.

Smazání a odvolání

• Odpojit můžeš kdykoli v aplikaci (Nastavení → Google kalendář) nebo v Můj účet. Připojení i všechny uložené časy se tím ze serveru smažou a přístupový klíč se u Googlu zneplatní.
• Při smazání účtu se smaže i připojení a uložené časy.
• Přístup můžeš zrušit i přímo u Googlu: v nastavení účtu Google, v části zabezpečení a přístupu aplikací třetích stran (myaccount.google.com/permissions). Tricho to pozná a připojení označí jako vypršelé.
• Záloha serveru (viz tabulka výše) může smazaná data držet po dobu rotace záloh; přístupový klíč je v ní jen zašifrovaný a po odpojení už u Googlu neplatí.

Zásady Googlu pro uživatelská data

Tricho.app's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

Česky: Tricho.app bude informace získané z rozhraní Google API používat a předávat dalším aplikacím v souladu se zásadami Google API Services User Data Policy, včetně požadavků na omezené použití (Limited Use).

[PRÁVNÍK: potvrdit roli provozovatele u Google kalendáře — čas „obsazeno“ je údaj o tvém vytížení (správce my, účel diář a Objednávání, právní základ plnění smlouvy / tvůj souhlas s připojením), názvy událostí k nám nedoputují. Zkontrolovat shodu textu s ověřením aplikace u Googlu (OAuth consent screen, citlivá oprávnění).]

Komu údaje předáváme

Jen zpracovatelům a příjemcům, bez kterých služba nefunguje. Nikomu data neprodáváme a s nikým je nesdílíme pro reklamu.

Písma nenačítáme odjinud. Všechna písma servírujeme z vlastních adres; žádný požadavek na třetí stranu. Otevření stránky tedy neposílá tvoji IP adresu nikam, kde bys ji nečekala.

Někteří z těchto příjemců (Cloudflare, Stripe, Google, Apple a Let's Encrypt) jsou americké společnosti nebo údaje mimo EU/EHP zpracovávají. Předání se opírá především o standardní smluvní doložky Evropské komise podle čl. 46 odst. 2 písm. c) GDPR; u některých příjemců k nim přistupuje i rozhodnutí Komise o odpovídající ochraně pro USA (EU–US Data Privacy Framework, rozhodnutí z 10. 7. 2023).

Dvě věci k tomu patří rovnou, ať se nezamlouvají: Brevo mezi americké příjemce nepatří — je to francouzská společnost (Sendinblue SAS) a e-maily zpracovává na serverech v EU. A server, na kterém tvoje data leží, stojí v Německu (Frankfurt nad Mohanem, Německo (Oracle Cloud, region eu-frankfurt-1)); obsah tvého trezoru se do třetí země neposílá vůbec, a i kdyby se tam dostal, byl by to nečitelný šifrovaný text bez klíče. Co přes hranice putovat může, jsou údaje o tobě: IP adresa, e-mail, identifikátor z přihlášení, fakturační údaje.

[PRÁVNÍK: rozbor příjemce po příjemci — co se k němu skutečně dostane, čí jsou to údaje a o jakou záruku se předání opírá — už existuje jako pracovní návrh: docs/legal/posouzeni-predani-do-tretich-zemi.md (2026-09-03). Zbývá ho projít a rozhodnout, u kterých příjemců stačí rozhodnutí o odpovídající ochraně a u kterých je potřeba odkázat přímo na standardní smluvní doložky, jak chce čl. 13 odst. 1 písm. f). Záměrně stavíme na SCC a DPF uvádíme jen jako doplněk: DPF je sice k dnešnímu dni v platnosti (Tribunál zamítl žalobu ve věci T-553/23 Latombe), ale běží kasační opravný prostředek C-703/25 P a text, který by stál jen na DPF, by se dal jedním rozsudkem shodit. Otázka „Stripe, Inc. nebo Stripe, LLC?“ je zodpovězená: v seznamu certifikovaných subjektů je vedený „Stripe, LLC“ (South San Francisco, CA), certifikace EU–US aktivní — ověřeno 2026-09-03 v seznamu na dataprivacyframework.gov.]

Jak dlouho údaje uchováváme

Doby jsou u každého řádku v tabulce výše. Shrnutí toho, co se lidem plete nejčastěji:

• Účet a jeho obsah — dokud účet nesmažeš.
• Faktury — 10 let, i po smazání účtu. To po nás chce zákon, ne my.
• Provozní záznamy serveru — dny až týdny, podle toho, jak rychle se otáčí rotující log.
• Cloudové zálohy — 12 měsíců (Pro) nebo 5 let (Max) zpětně; starší vyprší samy.
• Zálohy celého serveru — 30 denních, 12 měsíčních a 2 roční snapshoty. Smazaný údaj v nich může přežít až dva roky. Je to nejnepříjemnější věta na téhle stránce a nemá cenu ji schovávat.
• Objednávky z veřejné stránky — 7 dní po skončení jen termín a stav, celé 30 dní po termínu; e-mail klientky šifrovaný klíčem serveru nejdéle do téže doby.
• Záznam o smazání účtu — pseudonymní, přežívá smazání.
• E-mail z formuláře „Dej mi vědět“ — do odvolání souhlasu, tedy do odhlášení odkazem v kterékoli zprávě.

Tvoje práva

Podle GDPR máš právo na přístup (čl. 15), opravu (16), výmaz (17), omezení zpracování (18), přenositelnost (20) a námitku proti zpracování z oprávněného zájmu (21). Skoro všechno zvládneš přímo v aplikaci: data si vyexportuješ do souboru (přenositelnost) a účet smažeš v Nastavení. Cokoli dalšího napiš na [email protected] — odpovíme do jednoho měsíce.

Automatizované rozhodování ani profilování neděláme (čl. 22). Poskytnutí údajů o účtu je smluvní požadavek — bez e-mailu a identifikátoru z přihlášení nemůžeme účet vést.

Nejsi-li spokojená s tím, jak s údaji zacházíme, můžeš podat stížnost u Úřadu pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, uoou.gov.cz.

Co se stane při smazání

Smazání účtu (Nastavení → Smazat účet) potvrdíš opětovným přihlášením a opsáním potvrzovacího slova. Server pak odstraní: tvoji databázi se šifrovanými daty, záznam o tvém účtu, záznamy o zařízeních, přihlašovací tokeny, záznam o předplatném a o platbách a všechny cloudové zálohy, které už vznikly. Lokální data v zařízení se vymažou taky.

Smazání účtu nedosáhne na dvě věci: na faktury, které musíme deset let uchovat podle zákona, a na zálohy celého serveru, ze kterých tvoje data zmizí až s rotací snapshotů — nejpozději za dva roky. Zůstává i pseudonymní záznam o tom, že se mazalo. Do záloh serveru nesaháme ručně: jsou to neměnné snapshoty a zásah do nich by znehodnotil obnovu pro všechny ostatní.

Trvalé smazání jedné klientky uděláš přímo v její kartě („Smazat trvale“). Karta, návštěvy i fotografie zmizí z tvého zařízení i ze serveru a ostatní tvoje zařízení je smažou, jakmile se připojí. Tři místa, kam ani tohle nedosáhne, ti aplikace ukáže na obrazovce dřív, než cokoli smaže:

• Cloudové zálohy, které už vznikly, klientku obsahují dál a doběhnou dobu podle plánu (Pro 12 měsíců, Max 5 let). Když smažeš celý účet, zmizí s ním.
• Zařízení, které je zrovna offline, ji smaže až se připojí. Když ho už nikdy nezapneš, zůstane na něm.
• Zůstane po ní prázdná stopa — samotný identifikátor záznamu bez obsahu, podle kterého ostatní zařízení poznají, co mají smazat. A záznam o tom, že se mazalo: datum a počet, žádná jména, žádný obsah.

[PRÁVNÍK: obstojí výmaz „bez zbytečného odkladu“ podle čl. 17 odst. 1, když se údaj může udržet (a) až 60 měsíců v cloudové záloze plánu Max, (b) až 24 měsíců v ročním snapshotu zálohy serveru, a (c) natrvalo jako identifikátor záznamu bez obsahu a jako záznam o provedení výmazu? Konkrétně: (1) stačí, že jsou tyhle prodlevy takhle popsané tady a v aplikaci, nebo je nutné zkrátit retenci; (2) je identifikátor záznamu, který v sobě nese přibližný čas vzniku, v tomhle kontextu osobní údaj; (3) patří stejná informace i do zpracovatelské smlouvy pro tricholožku jako správkyni. Podklad: openspec/changes/gdpr-client-purge/design.md §8.]

Zabezpečení

Obsah se šifruje ve tvém zařízení (AES-256-GCM) klíčem, který zařízení nikdy neopustí; server ukládá jen šifrovanou podobu a klíč nemá. Každý zašifrovaný záznam je navíc vázaný na svůj trezor a své id, takže ho nejde nepozorovaně přemístit jinam. Spojení je vždy šifrované (HTTPS). Přístup k serveru má jen provozovatel, přes klíč, a všechno, co se na serveru dělá, se dělá skriptem, ne rukou.

Ani při úniku dat ze serveru by útočník nezískal čitelný obsah karet. Získal by ale technické údaje popsané výše a údaje o účtech a platbách — ty šifrované nejsou.

Šifrování je opatření, které čl. 32 odst. 1 písm. a) GDPR jmenuje výslovně. Má i druhý důsledek: podle čl. 34 odst. 3 písm. a) nemusí správkyně o porušení zabezpečení informovat subjekty údajů, byly-li dotčené údaje nesrozumitelné — což je přesně situace, kterou tenhle návrh vytváří pro obsah karet. Pro technické údaje to ale neplatí a ohlašovací povinnost vůči úřadu tím nezaniká ani u obsahu.

Když dojde k porušení zabezpečení

Kdyby došlo k narušení zabezpečení na naší straně, dáme bez zbytečného odkladu vědět každé dotčené tricholožce — jako zpracovatel to je naše povinnost vůči tobě jako správkyni (čl. 33 odst. 2). Napíšeme, co se stalo, kterých údajů se to týká a co s tím děláme. Ohlášení Úřadu pro ochranu osobních údajů do 72 hodin pak podáváš ty jako správkyně, od okamžiku, kdy ses o porušení dozvěděla; jak na to, je na stránce GDPR. U vlastních údajů (účet, platby) ohlašujeme ÚOOÚ my.

Šifrování riziko výrazně snižuje, ale neruší ho úplně: porušením je i ztráta dostupnosti — kdyby data zůstala celá, ale nešla obnovit.

Verze 2026-09-05. Účinnost: 8. 9. 2026.