Zásady ochrany osobních údajů

Vážíme si vašeho soukromí a zavazujeme se chránit vaše osobní údaje. Tyto Zásady ochrany osobních údajů popisují, jak shromažďujeme, používáme, zpracováváme a chráníme vaše informace při používání služby Innea.

Tato politika je v souladu s Nařízením EU 2016/679 (GDPR) a českým zákonem č. 110/2019 Sb. o zpracování osobních údajů.

1. Správce osobních údajů

2. Jaké osobní údaje sbíráme

2.1 Údaje při registraci

• Email: Pro vytvoření účtu a komunikaci
• Heslo: Uloženo v šifrované podobě (hash)
• Celé jméno: Volitelné, pro personalizaci služby
• Rok narození: Pro ověření minimálního věku (18+)

2.2 Údaje při používání služby

• Konverzace s AI: Všechny zprávy, které pošlete AI asistentovi
• Záznamy nálady: Vaše denní hodnocení nálady (1-10)
• Herní statistiky: Body, úrovně, odznaky, série úspěchů
• Témata konverzací: Vybraná témata (vztahy, práce, osobní růst)
• Datum a čas aktivity: Kdy používáte službu

2.3 Technické údaje

• IP adresa: Pro bezpečnost a prevenci zneužití
• Informace o zařízení: Typ prohlížeče, operační systém
• Cookies: Pro udržení přihlášení a preference

2.4 Platební údaje (pokud máte předplatné)

• Platební metoda: Zpracováváno výhradně platební bránou (Stripe)
• Historie plateb: Částky, data, faktury

💳 Poznámka: Čísla kreditních karet a platební údaje NIKDY neukládáme na našich serverech. Vše zpracovává certifikovaný platební poskytovatel Stripe.

3. Účel zpracování osobních údajů

3.1 Poskytování služby (právní základ: plnění smlouvy)

• Umožnění konverzací s AI asistentem
• Ukládání historie konverzací
• Sledování pokroku a statistik
• Gamifikace (body, úrovně, odznaky)

3.2 Zlepšování služby (právní základ: oprávněný zájem)

• Analýza používání aplikace
• Vylepšování AI odpovědí
• Opravy chyb a technické problémy
• Testování nových funkcí

3.3 Bezpečnost (právní základ: oprávněný zájem)

• Prevence zneužití služby
• Detekce podvodů
• Ochrana před kybernetickými útoky

3.4 Právní povinnosti (právní základ: zákonná povinnost)

• Vystavování faktur (účetní předpisy)
• Daňová dokumentace
• Odpověď na oficiální žádosti orgánů činných v trestním řízení

4. S kým sdílíme vaše údaje

4.1 Zpracovatelé (subdodavatelé služeb)

4.2 Mezinárodní přenosy dat

Někteří naši poskytovatelé sídlí v USA. Přenosy dat mimo EU jsou zajištěny pomocí:

• Standardních smluvních doložek EU (SCC)
• Dodatečných technických opatření (šifrování)
• EU-US Data Privacy Framework (pro certifikované společnosti)

4.3 Kdy NESDÍLÍME údaje

5. Jak dlouho uchováváme vaše údaje

• Aktivní účet: Po dobu používání služby + 30 dní po zrušení účtu
• Smazaný účet: Údaje trvale smazány do 30 dnů od žádosti o smazání
• Účetní doklady: 10 let (zákonná povinnost dle zákona o účetnictví)
• Anonymizovaná data: Neomezeně (nelze přiřadit ke konkrétní osobě)

6. Krizová intervence — speciální zpracování

Plný popis právního rámce viz Podmínky použití, sekce 4.

6.1 Detekce krizových signálů

Tvoje zprávy procházejí automatickou detekcí (regex + LLM klasifikace) na známky bezprostředního ohrožení života (sebevražedné myšlenky s metodou, akutní psychóza s rizikem ublížení). Detekce NEUKLÁDÁ samostatný profil — pouze flagne konverzaci pro admin review.

6.2 Audit disclosure odpovědí (ai_disclosure_log)

Pokud se zeptáš na otázku týkající se bezpečnosti tvých dat (např. „kdo má přístup?"), Innea zaznamenává typ tvé otázky, použitý response template, a pseudonymizovaný identifikátor pro audit. Účel: dohledatelnost správných odpovědí, prevence „lhaní" o disclosure.

6.3 IP adresa, user agent, geolokace

Viz Podmínky použití sekce 4.6. Default retention 90 dní, crisis-flagged 12 měsíců.

6.4 Crisis case dlouhodobá archivace

Konverzace označené jako crisis case (admin review trigger) se uchovávají 5 let. Účel: legal evidence, audit trail, případná pokračující péče. Smazat dříve lze pouze po písemném vyžádání s odůvodněním, pokud nepřevažuje vital interest.

6.5 Sdílení s externími službami

Pokud admin v tvém případě kontaktuje externí krizovou službu (116 123, ČAPLD, NUDZ, 112), sdílí POUZE:

• typ a závažnost rizika (např. „suicidal ideation, high severity")
• časové razítko detekce
• minimum identifikačních údajů potřebných pro intervenci (jméno, kontakt — s ohledem na vital interest)
• pseudonymizovaný case ID

NIKDY: obsah celých rozhovorů, citace, historie případu jako narativ.

6.6 Tvoje práva

• Čl. 15 — Právo na přístup: /account/data-access-log zobrazuje každý admin přístup k tvým datům.
• Čl. 16 — Právo na opravu: kontaktuj podpora@innea.cz.
• Čl. 17 — Právo na výmaz (limited v rámci vital interest pro crisis-flagged data).
• Čl. 20 — Přenositelnost: full export dat (vč. crisis case) na vyžádání.
• Čl. 21 — Námitka: lze podat ÚOOÚ, www.uoou.cz.

6.7 Souhlas v onboardingu

Pokud jsi zaregistrován/a po dnu účinnosti této verze, v onboardingu vidíš samostatnou obrazovku s vysvětlením crisis intervention a možností opt-out z proaktivního outreach. Existující uživatelé jsou re-prompted při následujícím přihlášení.

7. Vaše práva podle GDPR

Máte následující práva:

8. Jak chráníme vaše údaje

• Šifrování: HTTPS pro veškerý provoz, šifrování databáze
• Autentizace: Bezpečné ukládání hesel (bcrypt hash)
• Přístupová práva: Row Level Security (RLS) v databázi
• Monitoring: Detekce podezřelých aktivit
• Zálohy: Pravidelné automatické zálohy databáze
• Omezený přístup: K datům má přístup pouze nezbytný personál

9. Cookies a sledovací technologie

9.1 Nezbytné cookies

Používáme pouze nezbytné cookies pro fungování služby:

• Autentizační token: Udržení přihlášení
• Session ID: Identifikace relace

9.2 Webová analytika

Pro měření návštěvnosti a zlepšování výkonu aplikace používáme nástroje, které respektují vaše soukromí:

10. Ochrana dětí

Naše služba je určena výhradně osobám starším 18 let. Vědomě neshromažďujeme osobní údaje dětí mladších 18 let. Pokud zjistíme, že jsme získali údaje od dítěte, okamžitě je smažeme.

11. Změny těchto zásad

Tyto Zásady můžeme občas aktualizovat. O podstatných změnách vás budeme informovat:

• Emailem (pokud jste registrovaní)
• Oznámením v aplikaci
• Aktualizací data "Poslední aktualizace" v záhlaví

12. Podání stížnosti

Pokud se domníváte, že zpracováváme vaše údaje v rozporu s GDPR, máte právo podat stížnost u dozorového úřadu:

13. Kontakt pro otázky o ochraně údajů

Máte-li dotazy týkající se těchto Zásad nebo zpracování vašich údajů, kontaktujte nás: