Ochrana osobních údajů

Tento dokument popisuje, jaké osobní údaje zpracovává Peter Valašik jako správce v rámci služby VNORIA podle Nařízení EU 2016/679 (GDPR). Vychází ze skutečných datových toků aplikace — bez vymyšlených dodavatelů ani lhůt.

1. Správce a kontakt

Peter Valašik, Obrancov mieru 2005/10, 953 01 Zlaté Moravce, Slovensko, IČO 50058045, DIČ 1121257951.

Kontakt ve věcech osobních údajů: vnoria.slavic.oracle@gmail.com · +421 948 616 012.

Pověřence pro ochranu osobních údajů (DPO) nemá správce povinnost jmenovat.

2. Kategorie zpracovávaných údajů (podle skutečných funkcí)

2.1 Účet a e-mail

Při registraci ukládáme: e-mailovou adresu, přihlašovací identifikátor, případně jméno a avatar z Google/Apple přihlášení, technický čas vytvoření účtu, jazyk rozhraní. E-mail slouží výhradně k autentizaci, transakční komunikaci (nákupy, právní oznámení) a k odpovědím na tvé žádosti.

2.2 Otázky uživatele (volný text)

Otázky, které zadáš do Osobní věštby, Šepotu snů, Karet osudu či jiných textových vstupů, se odesílají AI modelu (Google Gemini přes Lovable AI Gateway) a ukládají se v tvé Knize osudu. Pokud texty mohou obsahovat údaje o zdraví, sexuálním životě, orientaci, víře nebo psychickém stavu, zpracujeme je pouze na základě tvého výslovného, samostatného souhlasu (čl. 9 odst. 2 písm. a GDPR).

Přesné znění souhlasu (v1): „Výslovně souhlasím se zpracováním citlivých údajů, které dobrovolně uvedu, výhradně pro vytvoření požadovaného výkladu a jeho uložení podle mých nastavení.“

2.3 Kniha osudu

Soukromá časová osa tvých výkladů, poznámek, oblíbených symbolů a hodnocení. Přístup má výhradně tvůj účet (Row-Level Security). Jednotlivý záznam nebo výklad kdykoli smažeš — otevři jej v Knize osudu a použij tlačítko „Smazat“. Kompletní výmaz provedeš v Účet → Soukromí.

2.4 Vytvořené výklady

AI výstupy (text výkladu, symboly, obraz karty) ukládáme spolu s tvou otázkou. Pokud jsi ukládání paměti („memory“) vypnul/a v účtu, výklady se neukládají do dlouhodobého kontextu.

2.5 Platební údaje

Platby zpracovává výhradně Stripe. My ukládáme pouze identifikátor transakce, částku, měnu, produkt, stav (paid/refunded), typ (jednorázově/předplatné) a čas. Nikdy neukládáme číslo karty, CVV ani bankovní údaje.

2.6 Bezpečnostní logy

IP adresa, čas a hlavička prohlížeče se krátkodobě zpracovávají pro rate-limiting, ochranu před útoky a audit změn účtu. Právní základ: oprávněný zájem — bezpečnost služby (čl. 6 odst. 1 písm. f).

2.7 Cookies a analytika

Před souhlasem spouštíme pouze nezbytné cookies (přihlášení, jazyk, uložení samotného souhlasu). Google Analytics 4, PostHog Cloud EU, případné marketingové pixely a další volitelná analytika se načtou pouze po tvém výslovném souhlasu. Detaily a správa: Cookies.

2.8 Komunikace s podporou

Zprávy z kontaktního formuláře, reklamace, odstoupení od smlouvy a GDPR žádosti ukládáme spolu s tvou identifikací (jméno, e-mail) a obsahem, abychom je mohli vyřídit a prokázat zákonné postupy.

3. Účely a právní základy

• Poskytování služby a plnění smlouvy — čl. 6 odst. 1 písm. b (účet, výklady, platby).
• Zákonné povinnosti — čl. 6 odst. 1 písm. c (účetnictví, reklamace, odstoupení).
• Oprávněný zájem — čl. 6 odst. 1 písm. f (bezpečnost, prevence zneužití).
• Souhlas — čl. 6 odst. 1 písm. a (analytické cookies, newsletter, blogová analýza) a čl. 9 odst. 2 písm. a pro zvláštní kategorie (citlivé údaje ve volném textu).

4. Příjemci a zpracovatelé

Skutečně aktivní zpracovatelé:

• Supabase Inc. — databáze, autentizace, ukládání účtů a Knihy osudu. Umístění: EU (Frankfurt, Německo). Zásady.
• Cloudflare, Inc. — hosting a serverless runtime (Workers), CDN a ochrana před útoky. Umístění: globální síť, primárně regiony EU. Přenos: SCC. Zásady.
• Stripe Payments Europe, Ltd. — zpracování plateb, správa předplatného, vystavení potvrzení. Umístění: Irsko (EU), globální infrastruktura. Přenos: SCC. Zásady.
• Google LLC — Gemini API (přes Lovable AI Gateway) — generování AI výkladů. Vstupy se nepoužívají k trénování modelu. Umístění: USA / globální infrastruktura Google. Přenos: SCC. Zásady.
• Lovable, Inc. — AI Gateway — zprostředkování volání AI modelů a agregace měření použití. Umístění: EU / USA. Přenos: SCC. Zásady.
• Google Ireland Ltd. — Google Analytics 4 — anonymizovaná návštěvnostní analytika; načítá se pouze se souhlasem. Umístění: EU / USA. Přenos: SCC. Zásady.
• PostHog, Inc. — PostHog Cloud EU — produktová analytika kroků ve funkcích bez volného textu a bez nahrávání relací; pouze se souhlasem. Data jsou uložena v EU (Frankfurt, Německo). Zásady.

5. Přenos mimo EU/EHP

Část infrastruktury (Google/Gemini, Cloudflare, Stripe, Lovable AI Gateway, GA4) může zpracovávat údaje i mimo EU/EHP. Přenos je vždy zajištěn standardními smluvními doložkami (SCC) dle čl. 46 GDPR uzavřenými se zpracovatelem.

6. Doby uchovávání

• Účet a e-mail: do zrušení účtu a následně 30 dnů pro technické zálohy.
• AI výklady a Kniha osudu: uloženy v Knize osudu, dokud je sám nesmažeš nebo nezrušíš účet.
• Účetní doklady: 10 let od konce účetního období (dle zákona o účetnictví).
• Kontaktní zprávy: 12 měsíců od poslední komunikace.
• Souhlasy (včetně citlivých údajů): po celou dobu trvání účtu + 3 roky k prokázání souhlasu.
• Bezpečnostní logy: 30 dnů, poté se mažou nebo agregují.
• Cookies: viz Cookies.

7. Tvá práva

• Právo na přístup, opravu, výmaz („právo být zapomenut“) a omezení zpracování.
• Právo na přenositelnost údajů (export ve formátu JSON přímo v účtu).
• Právo vznést námitku proti zpracování na základě oprávněného zájmu.
• Právo kdykoli odvolat kterýkoli souhlas — bezplatně a bez následků pro přístup ke službě.
• Právo podat stížnost u dozorového úřadu (v ČR Úřad pro ochranu osobních údajů, uoou.gov.cz; ve věcech správce také Úrad na ochranu osobných údajov SR, dataprotection.gov.sk).

Praktické nástroje: export údajů a smazání účtu, formulář GDPR žádosti, odvolání jednotlivých souhlasů.

8. Blogová analýza — samostatný dobrovolný opt-in

Ve výchozím stavu je vypnutá. Bez tvého souhlasu nepoužíváme tvé zápisy k žádné analýze pro blog. Pokud souhlas udělíš, platí: historické zápisy před souhlasem se nepoužívají; do analytiky nikdy nevkládáme surové texty ani úryvky; ukládáme pouze široké anonymní kategorie a počty; kategorii nelze zpětně přiřadit ke konkrétnímu uživateli; po odvolání souhlasu tyto údaje k tomuto účelu přestaneme používat. Odmítnutí nemá vliv na přístup ke službě.

Přesné znění (v1): „Souhlasím, aby Vnoria analyzovala obsah mých zápisů výhradně pro tvorbu anonymních souhrnných témat pro blog. Mé texty, identita ani přímé citace nebudou zveřejněny.“

9. Newsletter

Ve výchozím stavu vypnutý. Odběr začne až po zaškrtnutí samostatného, nezaškrtnutého políčka. Každý e-mail obsahuje bezplatný odkaz na odhlášení a odhlásit se lze i v Účet → Soukromí.

Přesné znění (v1): „Souhlasím se zasíláním newsletteru VNORIA na moji e-mailovou adresu. Souhlas mohu kdykoli bezplatně odvolat odkazem v každém e-mailu nebo v Účtu.“

10. AI a automatizované rozhodování

Aplikace využívá generativní AI (Google Gemini přes Lovable AI Gateway) pro tvorbu textových výkladů, interpretací snů a symbolů. Podle AI Act komunikuješ s AI systémem a výstupy jsou generovány strojově. Neprovádíme automatizované rozhodování s právními ani obdobně významnými účinky ve smyslu čl. 22 GDPR. Výstupy mají informační a reflexivní charakter — neposkytují lékařské, právní, finanční ani obdobné odborné rady. Detaily: Informace o AI.

11. Bezpečnost

Používáme šifrovanou komunikaci (HTTPS/TLS), oddělené role, přísné RLS politiky v databázi (každý uživatel vidí pouze své záznamy), pravidelné zálohy a audit kritických změn. Přístupy do administrace chrání silná autentizace.

12. Děti

Služba není určena osobám mladším 16 let.

13. Změny

Tento dokument můžeme aktualizovat. Verze a datum účinnosti jsou uvedeny v hlavičce a patičce dokumentu. O zásadních změnách informujeme e-mailem nebo v aplikaci.