Zásady zpracování osobních údajů

English

Krátká verze

• Diář, klientky, fotografie a poznámky se šifrují ve tvém zařízení klíčem, který nikdy nedostaneme. Server drží jen šifrovaný obsah — a k němu technické údaje o něm: kolik záznamů, jak velké, kdy naposledy změněné. Ne co v nich stojí.
• O tobě víme, co potřebujeme k účtu a k faktuře: identifikátor z Google nebo Apple přihlášení (včetně jména a profilové fotky, jak nám je předá poskytovatel), e-mail, stav předplatného, doklady.
• Žádná analytika. Žádné Google Analytics, žádný Facebook Pixel, žádné sledovací skripty. (víc o cookies)
• Žádné automatizované rozhodování ani profilování.
• Google kalendář a Google Úkoly připojuješ jen když chceš. Názvy událostí a úkoly čte a zapisuje tvoje zařízení přímo u Googlu; náš server zná jen časy „obsazeno“. Údaje z Googlu neprodáváme, nepoužíváme k reklamě ani k trénování umělé inteligence. (podrobně)
• Údaje tvých klientek zpracováváme jen jako tvůj zpracovatel — správkyní jsi ty. (co to pro tebe znamená)
• U akcí a záloh platí totéž pro účastnice a klientky, které platí předem. Server tu ale vidí víc než u kartotéky — stav přihlášek, lhůty, e-maily zašifrované jeho klíčem — a u upozornění z banky čte zprávu na pár sekund Cloudflare. Vypisujeme to celé. (podrobně)

Dvě role, dvě části

Tenhle text má dvě části, protože provozovatel vystupuje ve dvou různých rolích a v každé má jiné povinnosti:

1. Správce — u údajů o tobě a o tvém účtu (přihlášení, předplatné, faktury, provozní záznamy). Tady rozhodujeme my a informujeme tě podle čl. 13 GDPR.
2. Zpracovatel — u údajů tvých klientek (anamnéza, alergeny, fotografie, poznámky). Tady rozhoduješ ty; my je jen ukládáme a přenášíme, a to zašifrované. Pravidla téhle role popisuje zpracovatelská smlouva.

1. Provozovatel jako správce — údaje o tobě

Správcem těchto údajů je Ing. Jan Beránek, IČO 88869709, se sídlem Brozany 194, 533 52 Staré Hradiště. Kontakt: [email protected]. Pověřence pro ochranu osobních údajů jsme nejmenovali — nesplňujeme podmínky čl. 37 GDPR pro povinné jmenování. Ptej se přímo na e-mail výše.

Co zpracováváme a proč

Číslo tvojí platební karty nikdy nevidíme — celou platbu kartou zpracovává Stripe na svých stránkách. U bankovního převodu vidíme údaje o příchozí platbě, jak nám je předává banka.

Fakturační údaje záměrně nejsou v šifrovaném trezoru: daňové doklady musí být čitelné pro správce daně. Trezor je na klientky, ne na faktury.

2. Provozovatel jako zpracovatel — údaje tvých klientek

Anamnéza, alergeny, fotografie vlasové pokožky a tvoje poznámky jsou údaje tvých klientek. Správkyní jsi ty. My je zpracováváme výhradně podle tvých pokynů, které dáváš tím, jak aplikaci používáš. Podmínky téhle role jsou v zpracovatelské smlouvě (čl. 28 GDPR).

Právní základ na tvojí straně. Jde o údaje o zdraví, tedy zvláštní kategorii podle čl. 9 GDPR. Výjimka pro zdravotnické profese (čl. 9 odst. 2 písm. h) na tricholožky a kadeřnice v Česku nedopadá — nejsou poskytovatelkami zdravotních služeb a zákon jim neukládá profesní mlčenlivost, o kterou by se výjimka opřela. Reálným základem je proto výslovný souhlas klientky (čl. 9 odst. 2 písm. a). Co má souhlas obsahovat, rozepisuje stránka GDPR; hotový text k vytištění je ve vzoru souhlasu. Aplikace ti v kartě klientky nechá zapsat, kdy souhlas dala, jakou formou a jestli ho odvolala — doložitelnost podle čl. 7 odst. 1 je na tobě a tohle je místo, kam si ji ulož.

Co server o tomhle obsahu skutečně vidí

Obsah je šifrovaný ve tvém zařízení (AES-256-GCM) a klíč u nás není. Server ale není slepý úplně — aby uměl replikovat a zálohovat, vidí:

• identifikátor záznamu, jeho typ (klientka / návštěva / fotka) a číslo revize;
• čas poslední změny a příznak, že byl záznam smazaný;
• velikost záznamu a velikost každé přílohy, celkovou velikost databáze a měsíc, do kterého záznam spadá;
• identifikátor trezoru (vaultId) v čitelné podobě — tím se šifrovaný obsah váže k tvému účtu.

Z toho se dá odvodit, kolik klientek vedeš a kdy pracuješ. Nedá se z toho zjistit, kdo jsou ani co jsi si o nich zapsala. Říkáme to takhle přesně schválně — „nevidíme nic“ by byla hezčí věta, ale nebyla by pravdivá.

Objednávání — když si klientka vybere termín sama

V každém plánu můžeš zapnout Objednávání: tvoje klientka otevře tvůj odkaz, potvrdí e-mail jednorázovým kódem a vybere si volný termín. Ve Free si takhle povolíš až 5 klientek, v Pro 20, v Max kolik chceš a jen v Max můžeš stránku otevřít komukoli s odkazem. Obsah objednávky — jméno, e-mail, telefon, poznámku a zvolené služby — její prohlížeč zašifruje na tvůj klíč dřív, než cokoli odejde. My ho neotevřeme; přečteš ho jen ty v aplikaci. Správkyní jsi ty, my jednáme jako tvůj zpracovatel.

Server u toho čitelně zná jen tohle:

• volná okna, která aplikace zveřejňuje — z doplňku do tvé pracovní doby jde odvodit, jak jsi vytížená, ne kdo u tebe byl;
• začátek a konec termínu a stav objednávky (čeká, potvrzena, odmítnuta, vypršela, zrušena);
• e-mail klientky — při zadání přechodně, aby jí dorazil kód, a při objednávce uložený už jen zašifrovaný klíčem serveru, abychom jí mohli poslat potvrzení, zrušení, připomínku 24 hodin předem. Klíč není v databázi;
• klíčované otisky e-mailu a IP adresy klientky, ze kterých nejde adresu ani IP zpětně přečíst; slouží jen k omezení počtu kódů a objednávek.

Seznam povolených klientek. Kód posíláme jen na adresu, kterou sis uložila na kartě klientky a povolila ji. Adresy tohoto seznamu z tvého zařízení neodcházejí: aplikace z každé udělá otisk (solený klíčovaný hash) a na server pošle jen otisky. My je ještě jednou zakódujeme tajným klíčem, který je mimo databázi, takže ze seznamu nejde adresy zpět přečíst. Víme jen, kolik položek seznam má a jestli je stránka otevřená komukoli, nebo jen povoleným.

Zprávy, které posíláme tobě („Máš novou objednávku“), neobsahují žádný údaj klientky. Zprávy klientkám odesílá Seznam.cz (Email Profi). Žádost o kód chrání Cloudflare Turnstile — ten vidí IP adresu a údaje prohlížeče klientky, ne její e-mail ani objednávku.

Jak dlouho. Nepotvrzená objednávka vyprší po 48 hodinách (nastavíš), nejpozději 24 hodin před termínem. Skončená objednávka přijde po 7 dnech o zašifrovaný e-mail a obsah; celá se smaže 30 dní po termínu. Ověřovací kódy se mažou po vypršení, počítadla po 24 hodinách.

Kdo za co odpovídá. U obsahu objednávky a u zpráv klientce jsme tvůj zpracovatel; klientka se na tebe obrací jako na správkyni a právním základem na tvé straně je jednání o smlouvě na její žádost (čl. 6 odst. 1 písm. b). Klíčované otisky a počítadla, které brání zneužití formuláře, vedeme jako samostatný správce z oprávněného zájmu na bezpečném provozu (čl. 6 odst. 1 písm. f). Klientka najde stručnou verzi těchhle pravidel přímo na tvé stránce Objednávání, v odkazu „Soukromí“.

Akce, zálohy a platby

V plánu Max můžeš zveřejnit akci (kurz, workshop) a účastnice se na ni přihlásí na tvé veřejné stránce; v plánech Pro a Max můžeš u termínu v Objednávání chtít zálohu. Prodáváš ty a správkyní údajů účastnic a klientek jsi ty; my jednáme jako tvůj zpracovatel podle zpracovatelské smlouvy. Peníze jdou přímo na tvůj účet — z plateb nic neinkasujeme a nic nevracíme sami.

Jméno, telefon, fakturační údaje, jména spoluúčastnic a poznámku přihlášky zapečetí prohlížeč účastnice na tvůj klíč; my je nepřečteme. Server ale u akcí vidí víc než u kartotéky, a tak to říkáme celé: zveřejněnou akci, obsazená místa, u každé přihlášky stav, lhůty, kdy a čím byla zaplacená, a klíčované otisky e-mailu a IP pro limity; e-maily přihlašující a spoluúčastnic a platební údaje drží zašifrované vlastním klíčem, aby mohl posílat potvrzení, výzvy k platbě a připomínky. Variabilní symbol ani částku přihlášky neukládá čitelně. Úplný výčet je v příloze B zpracovatelské smlouvy.

• Upozornění z banky (volitelné, Max). Když si je zapneš, banka posílá upozornění o příchozích platbách na tvou tajnou adresu. Přijímá je Cloudflare Email Routing a jeho Worker zprávu na pár sekund přečte v paměti — i platby, které s akcemi nesouvisí, a u některých bank i zůstatek —, spočítá otisky plateb, celou zprávu zapečetí na tvůj klíč a originál zahodí. Cloudflare si u každé zprávy uloží odesílatele, adresu příjemce a předmět na 31 dní; obsah neukládá. Tohle se vypnout nedá, proto to píšeme takhle rovně. Výchozí cestou zůstává import výpisu, který se spáruje jen ve tvém zařízení. Funkci zapneme nejdřív 30 dní po oznámení nového dalšího zpracovatele.
• Platba kartou (volitelné, Max) běží na tvém vlastním Stripe účtu podle tvé smlouvy se Stripe. Údaje plátkyně, které Stripe pošle v oznámení o platbě, projdou serverem jen tranzitně a neuloží se; vratku kartou provedeme jen na tvůj pokyn ze zařízení.
• Jak dlouho. E-maily a odkazy přihlášek mažeme na konci posledního dne akce, zbytek přihlášky po dalších 30 dnech zmenší na záznam o stavu bez kontaktu. Otisky plateb leží v databázi, která se nezálohuje. Zapečetěné upozornění z banky smažeme 30 dní po vyřízení v zařízení, jinak po 90 dnech.
• Ochrana stránky akce. Ověření Cloudflare Turnstile (IP adresa a údaje prohlížeče), klíčované otisky e-mailu a IP a počítadla pokusů vedeme jako samostatný správce z oprávněného zájmu na bezpečném provozu (čl. 6 odst. 1 písm. f); počítadla po 24 hodinách, otisky spolu s kontaktem na konci akce.

Pravidla, která u akce nastavíš (lhůta k zaplacení, uvolnění nezaplaceného místa, pořadí čekací listiny), uplatňuje aplikace automaticky podle tvého nastavení; účastnice se může obrátit na tebe, a ty rozhodnutí v aplikaci kdykoli ručně změníš. Účastnice najdou stručné zásady přímo na stránce akce.

Vyúčtování, doklady a evidence tržeb

Účty, doklady, ceník a nastavení evidence tržeb jsou součástí tvého šifrovaného trezoru stejně jako karty klientek. Doklad (PDF) vzniká ve tvém zařízení. Dvě věci z něj ale odcházejí ven, a jen když o to sama požádáš:

• Doklad e-mailem klientce. Když doklad pošleš e-mailem, zařízení předá našemu serveru hotové PDF, text zprávy, adresu klientky a název tvé provozovny. Server zprávu okamžitě předá k odeslání (Seznam.cz, Email Profi) a nic si nenechá — žádnou kopii, žádnou adresu v databázi ani v záznamech; do provozního záznamu jde jen to, že zpráva odešla, a její velikost. Je to jediné místo, kde obsah z tvého trezoru projde naším serverem čitelně, a proto je dobrovolné: v kartě klientky si zapíšeš, že s posíláním dokladů e-mailem souhlasila. Jednáme tu jako tvůj zpracovatel.
• Evidence tržeb (EET). Když ji zapneš, posílá tvoje zařízení údaje o tržbě přímo Finanční správě: tvoje evidenční číslo (EIČ), označení provozovny a zařízení, číslo dokladu, čas a částku. Nic o klientce. Náš server tyhle zprávy nevidí. Certifikát pro evidenci a jeho soukromý klíč leží jen ve tvém šifrovaném trezoru. Finanční správa je tu příjemce, kterému údaje předáváš ze zákona ty, ne my.

Google kalendář a Google Úkoly — když je připojíš

Připojení Googlu je dobrovolné. Připojíš ho sama v aplikaci (Nastavení → Google kalendář) nebo v Můj účet na webu; souhlas dáváš Googlu v prohlížeči. Připojení platí pro tvůj účet, tedy pro všechna tvoje zařízení, a odpojením skončí na všech. Bez něj Tricho.app funguje beze změny. Slouží k tomu, aby:

• se tvoje události a úkoly z Googlu ukázaly v diáři;
• jsi mohla z diáře zakládat, měnit a mazat události a úkoly ve svém Googlu;
• Objednávání nenabídlo čas, kdy už máš něco jiného;
• se ti termíny z Tricho.app volitelně zapisovaly do kalendáře „Tricho.app“ (zrcadlení).

U těchto údajů jsme správce — jde o údaje o tobě a tvém účtu Google. Právním základem je plnění smlouvy na tvou žádost (čl. 6 odst. 1 písm. b): připojením si službu objednáváš, odpojením ji kdykoli ukončíš.

O jaká oprávnění žádáme

Při připojení dostaneme i e-mail účtu Google, který zobrazíme v Můj účet, abys věděla, co je připojené.

Co čte a zapisuje tvoje zařízení

Názvy událostí, názvy kalendářů a úkoly si aplikace stahuje přímo od Googlu a drží je jen v paměti zařízení; při zamknutí aplikace zmizí. Zápisy (nová událost, úprava, smazání, úkol, zrcadlený termín) posílá tvoje zařízení přímo do Googlu, a jen když v aplikaci něco uděláš ty. Než se zápis odešle — třeba když jsi zrovna offline — čeká ve frontě v zařízení, zašifrovaný tvým klíčem. Na náš server nic z toho nechodí. K přístupu Googlu zařízení používá krátkodobý přístupový token, který mu vydá náš server a který po hodině vyprší.

Co dělá náš server

Server drží tvůj dlouhodobý přístupový klíč k Googlu (refresh token) zašifrovaný klíčem serveru, který není v databázi, a každých pár minut se u Googlu zeptá na kalendáře, které sis označila jako blokující. Ptá se výslovně jen na začátek, konec a stav události a na to, jestli jsi pozvánku odmítla — názvy, popisy, místa ani ostatní účastníky nečte a neukládá. Z odpovědi spočítá úseky „obsazeno“, aby Objednávání nenabídlo čas, kdy už máš něco jiného.

Server do Googlu nezapisuje. Řekneme ale otevřeně, co by technicky mohl: přístupový klíč by stačil i ke čtení názvů a — pokud jsi udělila volitelná oprávnění — k zápisu. Že to nedělá, je pravidlo v kódu, které hlídají automatické testy, ne šifra.

Když připojení vyprší (odebereš přístup u Googlu) a máš kalendáře, které blokují Objednávání, online objednávání se zastaví, dokud se nepřipojíš znovu — raději nenabídnout nic než dvojí objednávku.

Zrcadlení termínů do kalendáře „Tricho.app“

Zrcadlení je ve výchozím stavu vypnuté. Zapneš ho v Nastavení → Google kalendář a vybíráš ze dvou režimů:

• Jen obsazeno — do Googlu jde jen čas termínu s názvem „Obsazeno“.
• I s klientkou — do Googlu jde i jméno klientky. Uvidí ho Google a každý, komu kalendář „Tricho.app“ nasdílíš.

Služby, poznámky, alergeny ani anamnéza do Googlu nejdou nikdy, v žádném režimu. Jméno klientky v režimu „I s klientkou“ předáváš Googlu ty jako správkyně jejích údajů, ze svého zařízení do svého účtu Google. Náš server ho nevidí a nezpracováváme ho; co to znamená pro informování klientek, je na stránce GDPR.

Kde se co ukládá a jak dlouho

• Na serveru: zašifrovaný přístupový klíč, e-mail připojeného účtu, identifikátory kalendářů, které blokují Objednávání (u Googlu to bývá e-mailová adresa), a úseky „obsazeno“ od teď do konce horizontu Objednávání (výchozí 60 dní). Úseky se při každém dotazu na Google přepíšou, starší si nenecháváme. Všechno platí do odpojení nebo smazání účtu.
• Ve tvém zařízení: názvy událostí a úkoly jen v paměti, do zamknutí aplikace; neodeslané zápisy zašifrované do odeslání; tvoje volba kalendářů a režimu zrcadlení v zašifrovaném trezoru.
• U Googlu: události, úkoly a kalendář „Tricho.app“, které jsi založila. Jsou tvoje a řídí se podmínkami Googlu.

Odpojení a smazání

• Odpojit můžeš kdykoli v aplikaci (Nastavení → Google kalendář) nebo v Můj účet. Ze serveru se tím smaže připojení i všechny uložené časy a přístupový klíč se u Googlu zneplatní.
• Při smazání účtu se smaže i připojení a uložené časy.
• Kalendář „Tricho.app“ a události či úkoly, které jsi v Googlu založila, po odpojení zůstávají u Googlu. Vypnutím zrcadlení se kalendář „Tricho.app“ smaže sám; jinak ho smažeš v Google Kalendáři na webu (Nastavení → kalendář → Smazat).
• Přístup můžeš zrušit i přímo u Googlu: v nastavení účtu Google, v části zabezpečení a přístupu aplikací třetích stran (myaccount.google.com/permissions). Tricho.app to pozná a připojení označí jako vypršelé.
• Záloha serveru (viz tabulka výše) může smazané údaje držet po dobu rotace záloh; přístupový klíč je v ní jen zašifrovaný a po odpojení už u Googlu neplatí.

Omezené použití údajů z Googlu

Údaje, které Tricho.app získá z rozhraní Google (Google kalendář a Google Úkoly), používáme jen pro funkce popsané výše, které vidíš a používáš: diář, zápisy, které v aplikaci uděláš, zrcadlení termínů a hlídání volných termínů u Objednávání. Konkrétně:

• neprodáváme je a nikomu je nepředáváme — s výjimkou případů, kdy to vyžaduje zákon, nebo kdy to je nutné k ochraně bezpečnosti služby;
• nepoužíváme je k reklamě, k cílení reklamy, k posuzování úvěruschopnosti ani k jinému účelu, než pro který sis je připojila;
• nepoužíváme je k vytváření, trénování ani vylepšování modelů umělé inteligence nebo strojového učení;
• žádný člověk u nás je nečte — ledaže nás o to sama výslovně požádáš (třeba při řešení chyby), je to nutné kvůli bezpečnosti (vyšetření zneužití) nebo to vyžaduje zákon. Názvy událostí a úkoly k nám ostatně vůbec nedorazí.

Tricho.app's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements. The use of information received from Google Workspace scopes will adhere to the Google Workspace API User Data and Developer Policy, including the Limited Use requirements. Tricho.app does not use Google user data to develop, improve or train generalized or non-personalized AI or ML models.

Česky: Tricho.app bude informace získané z rozhraní Google API používat a předávat dalším aplikacím v souladu se zásadami Google API Services User Data Policy a Google Workspace API User Data and Developer Policy, včetně požadavků na omezené použití (Limited Use). Údaje uživatelů Google nepoužívá k vývoji, vylepšování ani trénování obecných modelů umělé inteligence nebo strojového učení.

Komu údaje předáváme

Jen zpracovatelům a příjemcům, bez kterých služba nefunguje. Nikomu data neprodáváme a s nikým je nesdílíme pro reklamu.

Písma nenačítáme odjinud. Všechna písma servírujeme z vlastních adres; žádný požadavek na třetí stranu. Otevření stránky tedy neposílá tvoji IP adresu nikam, kde bys ji nečekala.

Někteří z těchto příjemců (Cloudflare, Stripe, Google, Apple a Let's Encrypt) jsou americké společnosti nebo údaje mimo EU/EHP zpracovávají. Předání se opírá především o standardní smluvní doložky Evropské komise podle čl. 46 odst. 2 písm. c) GDPR; u některých příjemců k nim přistupuje i rozhodnutí Komise o odpovídající ochraně pro USA (EU–US Data Privacy Framework, rozhodnutí z 10. 7. 2023).

Výjimkou je Cloudflare Email Routing a Workers u upozornění z banky: zpráva je tam po dobu zpracování čitelná, a proto se předání opírá primárně o EU–US Data Privacy Framework (Cloudflare, Inc. je certifikovaná) a podpůrně o standardní smluvní doložky. Kdyby Soudní dvůr EU tohle rozhodnutí zrušil, do 30 dní příjem přesuneme na vlastní server v EU, nebo funkci vypneme.

Dvě věci k tomu patří rovnou, ať se nezamlouvají: Brevo mezi americké příjemce nepatří — je to francouzská společnost (Sendinblue SAS) a e-maily zpracovává na serverech v EU. A server, na kterém tvoje data leží, stojí v Německu (Frankfurt nad Mohanem, Německo (Oracle Cloud, region eu-frankfurt-1)); obsah tvého trezoru se do třetí země neposílá vůbec, a i kdyby se tam dostal, byl by to nečitelný šifrovaný text bez klíče. Co přes hranice putovat může, jsou údaje o tobě: IP adresa, e-mail, identifikátor z přihlášení, fakturační údaje.

Jak dlouho údaje uchováváme

Doby jsou u každého řádku v tabulce výše. Shrnutí toho, co se lidem plete nejčastěji:

• Účet a jeho obsah — dokud účet nesmažeš.
• Faktury — podle daňových předpisů, nejdéle 10 let, i po smazání účtu. To po nás chce zákon, ne my.
• Provozní záznamy serveru — dny až týdny, podle toho, jak rychle se otáčí rotující log.
• Google kalendář — přístupový klíč a časy „obsazeno“ do odpojení nebo smazání účtu; časy jen dopředu, starší se přepisují.
• Cloudové zálohy — 12 měsíců (Pro) nebo 5 let (Max) zpětně; starší vyprší samy.
• Zálohy celého serveru — 30 denních, 12 měsíčních a 2 roční snapshoty. Smazaný údaj v nich může přežít až dva roky. Je to nejnepříjemnější věta na téhle stránce a nemá cenu ji schovávat.
• Objednávky z veřejné stránky — 7 dní po skončení jen termín a stav, celé 30 dní po termínu; e-mail klientky šifrovaný klíčem serveru nejdéle do téže doby.
• Přihlášky na akce — e-maily a odkazy do konce posledního dne akce, zbytek o 30 dní déle jen jako záznam o stavu bez kontaktu. Upozornění z banky 30 dní po vyřízení, jinak 90 dní; u Cloudflare odesílatel, adresa a předmět 31 dní.
• Záznam o smazání účtu — pseudonymní, přežívá smazání.
• E-mail z formuláře „Dej mi vědět“ — do odvolání souhlasu, tedy do odhlášení odkazem v kterékoli zprávě.

Tvoje práva

Podle GDPR máš právo na přístup (čl. 15), opravu (16), výmaz (17), omezení zpracování (18), přenositelnost (20) a námitku proti zpracování z oprávněného zájmu (21). Skoro všechno zvládneš přímo v aplikaci: data si vyexportuješ do souboru (přenositelnost) a účet smažeš v Nastavení. Cokoli dalšího napiš na [email protected] — odpovíme do jednoho měsíce.

Automatizované rozhodování ani profilování neděláme (čl. 22). Poskytnutí údajů o účtu je smluvní požadavek — bez e-mailu a identifikátoru z přihlášení nemůžeme účet vést.

Nejsi-li spokojená s tím, jak s údaji zacházíme, můžeš podat stížnost u Úřadu pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, uoou.gov.cz.

Co se stane při smazání

Smazání účtu (Nastavení → Smazat účet) potvrdíš opětovným přihlášením a opsáním potvrzovacího slova. Server pak odstraní: tvoji databázi se šifrovanými daty, záznam o tvém účtu, záznamy o zařízeních, přihlašovací tokeny, záznam o předplatném a o platbách a všechny cloudové zálohy, které už vznikly. Lokální data v zařízení se vymažou taky.

Smazání účtu nedosáhne na dvě věci: na faktury, které musíme uchovat podle daňových předpisů (nejdéle deset let), a na zálohy celého serveru, ze kterých tvoje data zmizí až s rotací snapshotů — nejpozději za dva roky. Zůstává i pseudonymní záznam o tom, že se mazalo. Do záloh serveru nesaháme ručně: jsou to neměnné snapshoty a zásah do nich by znehodnotil obnovu pro všechny ostatní.

Trvalé smazání jedné klientky uděláš přímo v její kartě („Smazat trvale“). Karta, návštěvy i fotografie zmizí z tvého zařízení i ze serveru a ostatní tvoje zařízení je smažou, jakmile se připojí. Tři místa, kam ani tohle nedosáhne, ti aplikace ukáže na obrazovce dřív, než cokoli smaže:

• Cloudové zálohy, které už vznikly, klientku obsahují dál a doběhnou dobu podle plánu (Pro 12 měsíců, Max 5 let). Když smažeš celý účet, zmizí s ním.
• Zařízení, které je zrovna offline, ji smaže až se připojí. Když ho už nikdy nezapneš, zůstane na něm.
• Zůstane po ní prázdná stopa — samotný identifikátor záznamu bez obsahu, podle kterého ostatní zařízení poznají, co mají smazat. A záznam o tom, že se mazalo: datum a počet, žádná jména, žádný obsah.

Zabezpečení

Obsah se šifruje ve tvém zařízení (AES-256-GCM) klíčem, který zařízení nikdy neopustí; server ukládá jen šifrovanou podobu a klíč nemá. Každý zašifrovaný záznam je navíc vázaný na svůj trezor a své id, takže ho nejde nepozorovaně přemístit jinam. Spojení je vždy šifrované (HTTPS). Přístup k serveru má jen provozovatel, přes klíč, a všechno, co se na serveru dělá, se dělá skriptem, ne rukou.

Ani při úniku dat ze serveru by útočník nezískal čitelný obsah karet. Získal by ale technické údaje popsané výše a údaje o účtech a platbách — ty šifrované nejsou.

Šifrování je opatření, které čl. 32 odst. 1 písm. a) GDPR jmenuje výslovně. Má i druhý důsledek: podle čl. 34 odst. 3 písm. a) nemusí správkyně o porušení zabezpečení informovat subjekty údajů, byly-li dotčené údaje nesrozumitelné — což je přesně situace, kterou tohle uspořádání vytváří pro obsah karet. Pro technické údaje to ale neplatí a ohlašovací povinnost vůči úřadu tím nezaniká ani u obsahu.

Když dojde k porušení zabezpečení

Kdyby došlo k narušení zabezpečení na naší straně, dáme bez zbytečného odkladu vědět každé dotčené tricholožce — jako zpracovatel to je naše povinnost vůči tobě jako správkyni (čl. 33 odst. 2). Napíšeme, co se stalo, kterých údajů se to týká a co s tím děláme. Ohlášení Úřadu pro ochranu osobních údajů do 72 hodin pak podáváš ty jako správkyně, od okamžiku, kdy ses o porušení dozvěděla; jak na to, je na stránce GDPR. U vlastních údajů (účet, platby) ohlašujeme ÚOOÚ my.

Šifrování riziko výrazně snižuje, ale neruší ho úplně: porušením je i ztráta dostupnosti — kdyby data zůstala celá, ale nešla obnovit.

Verze 2026-10-31. Účinnost: 31. 10. 2026.