Zásady ochrany osobních údajů

Poslední aktualizace: 13. listopadu 2025

1. Úvod

Vítejte v zásadách ochrany osobních údajů služby GiftWeGo.

Tento dokument popisuje, jak Ondřej Smutný, IČO: 75343533, se sídlem Družstevní 511, 294 41 Dobrovice, Česká republika (dále jen "my", "nás" nebo "GiftWeGo") zpracovává vaše osobní údaje při používání naší webové aplikace dostupné na giftwego.com.

1.1 Náš závazek k ochraně soukromí

• Respektujeme vaše soukromí a bereme vážně ochranu vašich osobních údajů
• Dodržujeme Nařízení GDPR (EU) 2016/679 a český zákon č. 110/2019 Sb. o zpracování osobních údajů
• Zpracováváme pouze údaje nezbytné pro poskytování našich služeb
• Nikdy neprodáváme vaše data třetím stranám pro marketingové účely

1.2 Kontakt pro otázky ohledně ochrany údajů

Správce osobních údajů: Ondřej Smutný IČO: 75343533 Sídlo: Družstevní 511, 294 41 Dobrovice, Česká republika Email: info@giftwego.com

Data Protection Officer (DPO): Není určen (není povinný pro fyzické osoby podnikající)

2. Jaké osobní údaje zpracováváme

2.1 Údaje, které od vás přímo získáváme

2.1.1 Registrace a uživatelský účet

Při registraci pomocí emailu a hesla:

• Email (povinný) - identifikátor účtu, přihlášení, komunikace
• Jméno (povinný) - zobrazované jméno v aplikaci
• Heslo (povinný) - uloženo jako bcrypt hash, nikdy neuloženo v čitelné podobě

Při registraci pomocí Google/Facebook OAuth:

• Email (z OAuth poskytovatele)
• Jméno (z OAuth poskytovatele)
• Profilová fotka (z OAuth poskytovatele, volitelné)
• Google/Facebook ID (pro asociaci účtu)

Volitelné údaje v profilu:

• Křestní jméno a příjmení
• Telefonní číslo
• Datum narození
• Preference (jazyk, měna, časová zóna, formát data)
• Notifikační nastavení (email notifikace, push notifikace)

2.1.2 Platební a fakturační údaje

Údaje pro nákup kreditů:

• Jméno (pro fakturu)
• Email (pro fakturu a potvrzení)
• Stripe Customer ID (reference na váš účet v systému Stripe)

Údaje platebních karet:

• DŮLEŽITÉ: Čísla platebních kart NIKDY neukládáme ani nezpracováváme
• Karty jsou zpracovávány výhradně systémem Stripe (PCI DSS certifikován)
• Ukládáme pouze: typ karty (Visa, Mastercard), poslední 4 číslice, datum expirace

Fakturační adresa (volitelné, pro firmy):

• Název firmy
• IČO, DIČ
• Fakturační adresa (ulice, město, PSČ, země)

Historie kreditů:

• Datum a čas transakcí
• Množství kreditů (přidání/odečtení)
• Typ transakce (nákup, bonus, spotřeba, refund)
• Stripe Payment ID (pro účetnictví a refundy)
• Popis transakce

2.1.3 Profily obdarovaných

Osobní údaje obdarovaných osob, které zadáváte:

• Jméno obdarovaného
• Věk nebo datum narození
• Pohlaví
• Vztah k vám (partner, rodič, přítel, kolega, atd.)

Zájmy a preference:

• Zájmy (sport, umění, cestování, technologie, atd.)
• Osobnostní rysy
• Preferované značky
• Typ bydliště a lokace (typ města, konkrétní místo, země)

Omezení:

• Zdravotní omezení (alergie, dietní omezení - vegan, vegetarián, bezlepkové, atd.)
• Dárkové restrikce (alkohol, elektronika, oblečení, atd.)

Historie dárků:

• Název dárku
• Cena
• Datum darování
• Příležitost
• Hodnocení úspěšnosti (1-5 hvězdiček)
• Poznámky

Blacklist:

• Seznam zakázaných produktů/kategorií
• Důvod vyloučení (volitelný)
• Datum přidání

Volné poznámky:

• Jakékoli poznámky, které o obdarovaném napíšete

2.1.4 AI doporučení a historie

Při používání AI Advisoru ukládáme:

• Session ID (seskupení doporučení z jedné session)
• Snapshot informací o obdarovaném (jméno)
• Příležitost (narozeniny, Vánoce, atd.)
• Rozpočet a naléhavost
• AI doporučení (název, popis, zdůvodnění, cena, kategorie)
• Datum a čas generování
• Spotřebované kredity

Feedback a hodnocení:

• Hodnocení jednotlivých doporučení (palec nahoru/dolů)
• Hodnocení celé session (1-5 hvězdiček)
• Textový feedback (volitelný)
• Čas potřebný k hodnocení (pro analytics)

2.1.4 Data z Chrome Rozšíření

Při používání rozšíření GiftWeGo pro Chrome:

Informace o produktech z e-shopů:

• Názvy produktů, ceny, popisy, obrázky, URL adresy
• Sbírány pouze když aktivně použijete rozšíření na stránce produktu
• Zdroje: Amazon, Alza.cz, Mall.cz a další e-shopy
• Účel: AI analýza vhodnosti produktu jako dárku

Autentizace rozšíření:

• Přístupový token k vašemu GiftWeGo účtu
• Uložen lokálně ve vašem prohlížeči pomocí Chrome Storage API
• Účel: Bezproblémová integrace s vaším GiftWeGo účtem

Uživatelské preference a nastavení:

• Výběr jazyka (angličtina, čeština, němčina, francouzština)
• Nastavení rozšíření (zapnuto/vypnuto)
• Pozice plovoucího tlačítka pro každou doménu
• Uloženy lokálně ve vašem prohlížeči
• Účel: Personalizace a funkcionalita

Historie kontrol produktů:

• URL adresy produktů, které jste analyzovali s AI
• Časové značky kontrol a výsledky
• Přiřazeny k vašemu GiftWeGo účtu
• Účel: Poskytnutí historie analýz a zlepšení doporučení

Vysvětlení oprávnění Chrome Rozšíření:

• storage: Pro ukládání přihlášení, preferencí a nastavení lokálně
• activeTab: Pro čtení informací o produktu ze stránek, které prohlížíte
• giftwego.com: Pro komunikaci s naším API pro AI analýzu

Sdílení dat:

• Data produktů jsou zpracována naším AI poskytovatelem (Anthropic Claude) pod přísnými podmínkami důvěrnosti
• Nikdy neprodáváme vaše data třetím stranám
• Data nejsou používána pro reklamní účely

Mazání dat:

• Lokální data: Automaticky smazána při odinstalaci rozšíření
• Serverová data: Následují zásady uchovávání hlavní aplikace GiftWeGo (viz sekce 4)
• Žádost o smazání prostřednictvím info@giftwego.com

2.2 Údaje, které automaticky sbíráme

2.2.1 Technická data

Při návštěvě webu a používání aplikace:

• IP adresa (anonymizovaná pro analytics)
• User Agent (typ prohlížeče, operační systém, typ zařízení)
• Referrer (odkud jste na web přišli)
• Session ID (pro sledování relace)
• Timestamp (datum a čas návštěvy)

2.2.2 Cookies a tracking

Nezbytné cookies (bez souhlasu):

• Session cookie (přihlášení, autentizace)
• Security tokens (CSRF ochrana)
• Preference (jazyk, theme)

Analytické cookies (se souhlasem):

• Google Analytics 4 - analýza návštěvnosti webu
• Microsoft Clarity - session recording, heatmapy, analýza uživatelského chování
• Sledování chování na webu pro zlepšování UX
• Anonymizovaná data pro optimalizaci služby

DŮLEŽITÉ: Od 31. října 2025 vyžaduje Microsoft Clarity explicitní souhlas pro uživatele z EEA, UK a Švýcarska. Před udělením souhlasu funguje Clarity v režimu "no-consent" (bez cookies a session tracking).

2.2.3 Affiliate tracking

Pro provize od partnerů sledujeme:

• Kliknutí na affiliate linky
• Partner (Google, Heureka, Alza, atd.)
• Produkt/kategorie
• Recommendation ID (asociace s doporučením)
• User ID (pro statistiky)
• Timestamp

DŮLEŽITÉ: Affiliate partneři NEOBDRŽÍ vaše osobní údaje (jméno, email). Tracking je anonymní.

2.3 Údaje, které nám poskytnou třetí strany

2.3.1 OAuth poskytovatelé (Google, Facebook)

Pokud se registrujete přes Google/Facebook:

• Email
• Jméno
• Profilová fotka (pokud povolíte)
• OAuth Provider ID

Co NEOBDRŽÍME:

• Vaše heslo k Google/Facebook účtu
• Seznam kontaktů
• Obsah emailů
• Historie aktivit

2.3.2 Stripe (platební procesor)

Stripe nám poskytuje:

• Customer ID (reference na váš účet)
• Payment Method ID (reference na uloženou kartu)
• Payment Intent status (úspěšná/neúspěšná platba)
• Webhook events (události plateb)

Stripe nám NEPOSKYTUJE:

• Čísla platebních karet (pouze poslední 4 číslice)
• CVV kódy
• PIN kódy

3. Proč zpracováváme vaše údaje (právní základy)

3.1 Plnění smlouvy (čl. 6 odst. 1 písm. b GDPR)

Potřebujeme pro poskytnutí služby:

• Email, jméno, heslo - pro vytvoření a správu účtu
• Profily obdarovaných - jádro služby AI Advisoru
• Historie AI doporučení - poskytování personalizované služby
• Kredity a platby - vykonání kupní smlouvy

Bez těchto údajů nemůžeme službu poskytnout.

3.2 Oprávněný zájem (čl. 6 odst. 1 písm. f GDPR)

Pro zlepšování služby a její udržitelnost:

• Affiliate tracking - monetizace služby pro zajištění udržitelnosti
• Analytics - zlepšování AI doporučení a uživatelského zážitku
• Fraud detection - ochrana před zneužitím služby a podvody
• Technické logy - řešení technických problémů a chyb

Vyvažujeme náš oprávněný zájem s vašimi právy. Můžete vznést námitku (viz sekce 7).

3.3 Souhlas (čl. 6 odst. 1 písm. a GDPR)

Vyžadujeme váš explicitní souhlas pro:

• Marketingové emaily (newslettery, tipy, nabídky)
  • Opt-in, výchozí nastavení: NE
  • Můžete kdykoliv odvolat (odkaz v emailu nebo Nastavení)
• Push notifikace (připomínky událostí, tipy)
  • Musíte povolit v nastavení prohlížeče
  • Můžete kdykoliv vypnout
• Analytické cookies (Google Analytics)
  • Zobrazíme cookie banner při první návštěvě
  • Můžete odmítnout

Odvolání souhlasu:

• Neovlivní zákonnost zpracování před odvoláním
• Odvolat můžete kdykoliv v Nastavení účtu

3.4 Zákonná povinnost (čl. 6 odst. 1 písm. c GDPR)

Musíme ze zákona uchovávat:

• Fakturační údaje a historii plateb - zákon o účetnictví (5 let)
• Daňové doklady - daňové předpisy (10 let pro některé dokumenty)

Tyto údaje nemůžeme smazat ani na vyžádání, ale budou anonymizovány (odstranění jména, emailu).

4. Jak dlouho údaje uchovávame

4.1 Aktivní účty

Po dobu trvání vašeho účtu:

• Všechny údaje profilu, obdarovaných, doporučení
• Historie kreditů a transakcí
• Preference a nastavení

4.2 Neaktivní účty

Po 24 měsících neaktivity:

• Pošleme vám upozornění na email
• Nabídneme možnost prodloužit účet

Po 36 měsících neaktivity:

• Účet bude automaticky smazán
• Budete upozorněni 30 dní předem

4.3 Po smazání účtu

Osobní údaje (okamžitě, max. 30 dní):

• Všechny profily obdarovaných - SMAZÁNO
• Všechna AI doporučení - SMAZÁNO
• Preference a nastavení - SMAZÁNO
• Email a jméno - SMAZÁNO
• Uživatelský účet - SMAZÁN

Finanční data (5-10 let, anonymizováno):

• Historie kreditů a plateb - ANONYMIZOVÁNO (bez jména a emailu)
• Faktury - ANONYMIZOVÁNY (nahrazeno anonymním ID)
• Důvod: Zákonná povinnost (účetnictví, daně)

Anonymizovaná data (neomezeně):

• Agregované statistiky (např. "průměrný počet obdarovaných na uživatele")
• Nelze zpětně přiřadit k vaší osobě

4.4 Historie AI doporučení

Automatický limit:

• Max. 500 záznamů per uživatel
• Nejstarší záznamy se automaticky mažou při překročení limitu

Doporučení: Exportujte si pravidelně důležitá doporučení (JSON formát).

4.5 Cookies

Session cookies: Smazány po odhlášení nebo zavření prohlížeče Persistent cookies: Platnost 30 dní - 1 rok (dle typu) Analytické cookies: Platnost 2 roky (Google Analytics default)

5. S kým sdílíme vaše údaje

5.1 Zpracovatelé (subdodavatelé)

Používáme následující důvěryhodné zpracovatele:

5.1.1 Anthropic Inc. (Claude API)

• Účel: Generování AI doporučení dárků
• Předávaná data:
  • Informace o obdarovaném (jméno, věk, pohlaví, zájmy, osobnost)
  • Příležitost, rozpočet, naléhavost
  • Historie dárků (pro lepší doporučení)
  • Blacklist produktů
• Právní základ: Plnění smlouvy (poskytování AI služby)
• Lokace: USA
• Ochrana:
  • Anthropic má vlastní GDPR-compliant zásady
  • Data nejsou uchovávána dlouhodobě ani použita pro trénování AI
  • Standardní smluvní doložky (SCCs) pro přenos do USA
• Více info: https://www.anthropic.com/legal/privacy

5.1.2 Stripe Inc.

• Účel: Zpracování plateb za kredity
• Předávaná data:
  • Email, jméno (pro fakturu)
  • Platební údaje (karty zpracovává pouze Stripe)
  • Fakturační adresa (pokud vyplníte)
• Právní základ: Plnění smlouvy (platby)
• Lokace: USA/EU (dostupné EU data centers)
• Ochrana:
  • PCI DSS Level 1 certifikace (nejvyšší úroveň bezpečnosti)
  • GDPR-compliant Data Processing Agreement (DPA)
  • Standardní smluvní doložky (SCCs)
• Více info: https://stripe.com/privacy

5.1.3 Vercel Inc. (hosting)

• Účel: Hosting webové aplikace
• Předávaná data:
  • Technická data (IP adresy, User Agent)
  • Session data
• Právní základ: Oprávněný zájem (provoz služby)
• Lokace: Edge Network, primárně EU region (Frankfurt, Amsterdam)
• Ochrana: GDPR-compliant, SOC 2 Type II certifikace
• Více info: https://vercel.com/legal/privacy-policy

5.1.4 MongoDB Inc. (databáze)

• Účel: Uchovávání dat aplikace
• Předávaná data: Všechna data aplikace (profily, doporučení, kredity)
• Právní základ: Plnění smlouvy (ukládání dat)
• Lokace: Dle konfigurace MongoDB Atlas (obvykle EU region)
• Ochrana: GDPR-compliant, ISO 27001, SOC 2 Type II
• Více info: https://www.mongodb.com/legal/privacy-policy

5.1.5 Resend (email provider)

• Účel: Odesílání transaktional a marketingových emailů
• Předávaná data:
  • Email, jméno
  • Personalizační data (např. jméno obdarovaného pro připomínku)
• Právní základ: Plnění smlouvy / Souhlas (marketing)
• Lokace: USA/EU (dle konfigurace)
• Ochrana: GDPR-compliant service
• Více info: https://resend.com/legal/privacy-policy

5.1.6 Google Analytics 4

• Účel: Analýza návštěvnosti a chování uživatelů
• Předávaná data:
  • Anonymizovaná IP adresa
  • User Agent, chování na webu
  • Cookies (se souhlasem)
• Právní základ: Souhlas (čl. 6 odst. 1 písm. a GDPR)
• Lokace: USA
• Ochrana:
  • IP anonymizace povolena
  • Google Analytics 4 (GDPR-friendly)
  • Lze odmítnout cookie bannerem
  • Nespouští se bez souhlasu - implementována consent kontrola
• Více info: https://policies.google.com/privacy

5.1.7 Microsoft Clarity (Session Recording & Heatmapy)

• Účel: Analýza uživatelského chování, session recording, heatmapy, zlepšování UX
• Předávaná data:
  • Se souhlasem:
    • Session recordings (záznam pohybů myši, kliků, scrollování)
    • Heatmapy (kde uživatelé klikají a scrollují)
    • IP adresa (anonymizovaná)
    • User Agent, typ zařízení
    • URL navštívených stránek
    • Session ID pro propojení návštěv
  • Bez souhlasu (no-consent mode):
    • Pouze základní anonymní metriky bez cookies
    • Žádné session recordings
    • Žádné propojení napříč návštěvami
• Právní základ: Souhlas (čl. 6 odst. 1 písm. a GDPR)
• Lokace: USA (Microsoft Azure cloud)
• Data controller: Microsoft Ireland Operations Limited (pro EU uživatele)
• Retention (doba uchovávání):
  • Session recordings: 30 dní
  • Heatmapy: 13 měsíců
  • Favorite recordings: až 13 měsíců
• Ochrana:
  • EU-US Data Privacy Framework compliance (schváleno EC v červenci 2023)
  • Standardní smluvní doložky (SCCs) podle čl. 46 GDPR
  • Automatická anonymizace citlivých dat (hesla, čísla karet)
  • Clarity Consent API v2 implementována (consent enforcement od 31. 10. 2025)
  • GDPR-compliant Data Processing Agreement
  • Nespouští se bez souhlasu - session recording aktivní pouze po udělení consent
• Vaše práva:
  • Můžete odmítnout v cookie banneru
  • Můžete odvolat souhlas kdykoliv v nastavení cookie
  • Bez souhlasu funguje v "no-consent" módu (žádné sledování)
• Více info:
  • https://learn.microsoft.com/en-us/clarity/faq
  • https://privacy.microsoft.com/en-us/privacystatement

5.1.8 Error Tracking System (Debugging a Monitoring)

• Účel: Zajištění stability a bezpečnosti webu, detekce a řešení technických chyb
• Předávaná data:
  • Error messages (chybové hlášky)
  • Stack traces (technické informace o chybě)
  • URL stránky kde došlo k chybě
  • User Agent (browser, OS)
  • IP adresa (anonymizovaná)
  • User ID a email (pouze pro přihlášené uživatele)
  • Timestamp (čas výskytu chyby)
• Právní základ: Oprávněný zájem (čl. 6 odst. 1 písm. f GDPR)
  • Odůvodnění: Zajištění bezpečnosti a funkčnosti služby je nezbytné pro provoz webu. Uživatelé očekávají stabilní a fungující službu. Error monitoring je nutný pro identifikaci a opravu technických problémů.
  • Balancing test: Minimální zásah do soukromí (pouze technická data) vs. kritická potřeba zajistit funkčnost služby → oprávněný zájem převáží
  • Recital 49 GDPR: Zpracování osobních údajů v rozsahu nezbytně nutném pro zajištění bezpečnosti sítě a informací je oprávněný zájem
• Lokace: MongoDB Atlas (EU region)
• Retention (doba uchovávání): 90 dní, pak automatické smazání
• Ochrana:
  • Ukládáme pouze nezbytná data pro debugging
  • IP adresy anonymizovány kde možné
  • Žádné citlivé informace (hesla, platební údaje) nejsou logovány
  • Automatická retention policy (90 dní)
  • Přístup pouze pro adminy
  • End-to-end encryption při přenosu (TLS)
• Vaše práva:
  • Můžete vznést námitku proti zpracování (viz sekce 7.5)
  • Při námitce zvážíme ukončení zpracování, pokud neexistují závažné důvody
  • Poznámka: Error monitoring je kritický pro bezpečnost služby - bez něj nemůžeme zajistit stabilitu aplikace
• Funkce: Automatické zachytávání JavaScript chyb, unhandled promises, React render chyb, API chyb

5.2 Affiliate partneři

Partneři, na které vedou odkazy:

• Google (vyhledávání)
• Heureka.cz (srovnávač cen)
• Alza.cz, Mall.cz, Datart.cz (e-shopy)
• Amazon.cz (marketplace)

Co jim NEPŘEDÁVÁME:

• Vaše jméno, email, telefon
• Profily obdarovaných
• AI doporučení

Co mohou obdržet:

• Referrer (že jste přišli z giftwego.com)
• UTM parametry (tracking kódy pro provizi)
• Anonymní Click ID (pro sledování konverzí)

Pokud u partnera nakoupíte:

• Partner má vlastní Privacy Policy
• Vyřídí se jejich podmínky, ne naše
• GiftWeGo neodpovídá za jejich zpracování dat

5.3 Právní požadavky

Můžeme být povinni sdělit údaje:

• Soudům - na základě soudního příkazu
• Policii - při vyšetřování trestné činnosti
• Daňovým úřadům - pro kontrolu účetnictví
• Úřadu pro ochranu osobních údajů - při kontrole GDPR compliance

V těchto případech sdělíme pouze minimum nutných údajů.

5.4 Co NIKDY neděláme

❌ NEPRODÁVÁME vaše data třetím stranám ❌ NESDÍLÍME data pro marketing třetích stran (targeted reklama) ❌ NEPRONAJÍMÁME databázi emailů ❌ NEPŘEDÁVÁME data mimo výše uvedené zpracovatele

6. Přenos údajů mimo EU

6.1 Přenosy do USA

Někteří naši zpracovatelé sídlí v USA:

• Anthropic Inc. (Claude API)
• Stripe Inc. (platby)
• Resend (emaily)
• Google Analytics 4 (analytics - se souhlasem)
• Microsoft Clarity (session recording, heatmapy - se souhlasem)
• Error Tracking System (monitoring chyb - oprávněný zájem)

6.2 Ochranné mechanismy

Pro přenosy do USA používáme:

1. Standardní smluvní doložky (SCCs) - schválené Evropskou komisí
2. Data Processing Agreements (DPA) - smlouvy o zpracování údajů
3. EU Data Centers - pokud dostupné (Stripe, Vercel)
4. Dodatečná bezpečnostní opatření:
   • Šifrování při přenosu (TLS 1.3)
   • Šifrování uložených dat (encryption at rest)
   • Minimalizace přenášených dat

6.3 Vaše práva

Máte právo:

• Získat kopii standardních smluvních doložek
• Vznést námitku proti přenosu mimo EU
• V případě námitky nemůžeme poskytovat služby, které vyžadují přenos (např. AI Advisor)

Požadavky zasílejte na: info@giftwego.com

7. Vaše práva (GDPR čl. 15-22)

7.1 Právo na přístup (čl. 15)

Máte právo získat:

• Potvrzení, zda vaše data zpracováváme
• Kopii všech vašich osobních údajů
• Informace o účelu zpracování, kategorii údajů, příjemcích
• Informace o době uchovávání
• Informace o vašich právech

Jak uplatnit:

1. V aplikaci: Přihlaste se → Nastavení → Export dat → Stáhnout JSON
2. Emailem: Napište na info@giftwego.com (ověříme vaši identitu)

Dodací lhůta: 30 dní od žádosti (ZDARMA, první žádost)

7.2 Právo na opravu (čl. 16)

Máte právo opravit:

• Nepřesné osobní údaje
• Neúplné údaje (doplnit chybějící)

Jak uplatnit:

1. V aplikaci: Přihlaste se → Profil / Obdarovaní → Editace údajů
2. Emailem: info@giftwego.com (pro údaje, které nemůžete upravit sami)

Lhůta: Okamžitě (při úpravě v aplikaci), 7 dní (při žádosti emailem)

7.3 Právo na výmaz / Právo být zapomenut (čl. 17)

Máte právo požadovat smazání údajů, pokud:

• Údaje již nejsou potřebné pro původní účel
• Odvoláte souhlas a neexistuje jiný právní základ
• Vznesete úspěšnou námitku (viz 7.6)
• Údaje byly zpracovány nezákonně
• Údaje musí být smazány dle právní povinnosti

Jak uplatnit:

1. V aplikaci: Přihlaste se → Nastavení → Smazat účet
   • Potvrďte frázi "SMAZAT MŮJ ÚČET"
   • Smazání je nevratné
2. Emailem: info@giftwego.com (pokud nemůžete přihlásit)

Co se smaže:

• ✅ Všechny profily obdarovaných
• ✅ Všechna AI doporučení
• ✅ Vaše preference a nastavení
• ✅ Email, jméno, telefon
• ✅ Uživatelský účet

Co se NESMAŽE (právní povinnost):

• ⚠️ Historie kreditů a plateb (5 let) - ale ANONYMIZOVÁNO
• ⚠️ Faktury (10 let) - ale ANONYMIZOVÁNO
• Důvod: Zákon o účetnictví, daňové předpisy

Lhůta: Okamžitě (max. 30 dní pro kompletní smazání)

7.4 Právo na přenositelnost dat (čl. 20)

Máte právo získat data v strojově čitelném formátu:

• Formát: JSON (JavaScript Object Notation)
• Obsah: Všechna data, která jste nám poskytli

Jak uplatnit: Přihlaste se → Nastavení → Export dat → Stáhnout JSON

Export obsahuje:

• ✅ Uživatelský profil (jméno, email, preference)
• ✅ Všechny profily obdarovaných (včetně historie dárků, blacklistu)
• ✅ Všechna AI doporučení (včetně reasoning a feedback)
• ✅ Historie kreditů (transakce, nákupy)

Lhůta: Okamžitě (generování trvá cca 5-10 sekund)

Předání jinému správci:

• Můžete nás požádat o přímý přenos dat jinému správci (pokud to technika dovolí)
• Žádost zasílejte na: info@giftwego.com

7.5 Právo na omezení zpracování (čl. 18)

Máte právo požadovat omezení (pozastavení) zpracování, pokud:

• Popíráte přesnost údajů (omezení na dobu ověření)
• Zpracování je nezákonné, ale nechcete výmaz (chcete pouze omezení)
• Už údaje nepotřebujeme, ale vy je potřebujete pro právní nárok
• Vznesli jste námitku (omezení na dobu posouzení)

Jak uplatnit: Emailem na: info@giftwego.com (popište důvod)

Co to znamená:

• Vaše údaje budou uloženy, ale nebudeme je aktivně zpracovávat
• Účet bude deaktivován (nelze se přihlásit)
• Po vyřešení důvodu omezení vás budeme informovat

Lhůta: 7 pracovních dnů od žádosti

7.6 Právo vznést námitku (čl. 21)

Máte právo vznést námitku proti zpracování na základě oprávněného zájmu:

• ❌ Affiliate tracking
• ❌ Analytics (sledování chování)
• ❌ Marketing (i se souhlasem - můžete souhlas odvolat)

Jak uplatnit:

1. V aplikaci: Nastavení → Soukromí → Vypnout affiliate tracking / analytics
2. Marketing: Odkaz "Odhlásit odběr" v emailu
3. Emailem: info@giftwego.com

Co se stane:

• Přestaneme zpracovávat data pro daný účel
• Pokud máme jiný právní základ (např. plnění smlouvy), můžeme pokračovat

Lhůta: Okamžitě (při vypnutí v aplikaci), 7 dní (při žádosti emailem)

7.7 Právo nebýt předmětem automatizovaného rozhodování (čl. 22)

GiftWeGo NEPOUŽÍVÁ plně automatizované rozhodování, které by mělo právní důsledky nebo významně ovlivnilo vaši osobu.

AI Advisor:

• AI doporučení jsou pouze návrhy a inspirace
• Konečné rozhodnutí je vždy na vás
• AI nemá žádný právní vliv na vaši osobu

Neexistuje automatizované:

• ❌ Schvalování/odmítání účtů
• ❌ Určování cen na základě profilu
• ❌ Rozhodování o přístupu ke službám

7.8 Právo podat stížnost

Pokud si myslíte, že porušujeme GDPR, máte právo podat stížnost:

Úřad pro ochranu osobních údajů (ÚOOÚ) Pplk. Sochora 27 170 00 Praha 7 Česká republika

Telefon: +420 234 665 111 Email: posta@uoou.cz Web: www.uoou.cz

Online podání: https://www.uoou.cz/rades

Doporučujeme: Nejprve nás kontaktujte (info@giftwego.com) - vyřešíme většinu problémů přámo.

8. Zabezpečení vašich údajů

8.1 Technická opatření

Šifrování:

• ✅ HTTPS (TLS 1.3) - veškerá komunikace mezi vámi a serverem je šifrována
• ✅ Encryption at rest - data v databázi jsou šifrována
• ✅ Bcrypt hash - hesla jsou hashována s 12 salt rounds (nelze zpětně dešifrovat)

Autentizace a autorizace:

• ✅ JWT tokeny - bezpečné session management (30 dní platnost)
• ✅ User isolation - každý dotaz do databáze filtrován userId (ochrana proti úniku dat)
• ✅ CSRF ochrana - ochrana proti cross-site request forgery útokům
• ✅ Rate limiting - ochrana proti brute-force útokům

Infrastruktura:

• ✅ Vercel Edge Network - DDoS ochrana, geografická distribuce
• ✅ MongoDB Atlas - spravovaná databáze s automatickými zálohami
• ✅ Stripe - PCI DSS Level 1 certifikace pro platby

8.2 Organizační opatření

Přístup k datům:

• ✅ Princip minimálních oprávnění - přístup pouze pro autorizované osoby
• ✅ Audit logy - zaznamenávání přístupů k citlivým datům
• ✅ Pravidelné revize - kontrola přístupových práv

Školení:

• ✅ Provozovatel je seznámen s GDPR požadavky
• ✅ Používání bezpečných postupů při vývoji

Smlouvy se zpracovateli:

• ✅ Data Processing Agreements (DPA) s všemi subdodavateli
• ✅ Zajištění GDPR compliance u zpracovatelů

8.3 Hlášení bezpečnostních incidentů

V případě data breach (úniku dat):

• ✅ Oznámíme ÚOOÚ do 72 hodin od zjištění (pokud existuje riziko)
• ✅ Informujeme dotčené uživatele bez zbytečného odkladu (pokud existuje vysoké riziko)
• ✅ Popíšeme charakter incidentu, jeho důsledky a přijatá opatření

Hlášení bezpečnostních chyb: Pokud objevíte bezpečnostní chybu, kontaktujte nás: info@giftwego.com

9. Údaje o dětech

GiftWeGo NENÍ určeno pro děti mladší 16 let.

• ❌ Záměrně nesbíráme údaje od dětí mladších 16 let
• ❌ Pokud zjistíme, že jsme omylem sebrali údaje dítěte, okamžitě je smažeme
• ⚠️ Rodiče: Pokud si myslíte, že vaše dítě nám poskytlo údaje, kontaktujte nás: info@giftwego.com

Profily obdarovaných dětí:

• ✅ Můžete vytvořit profily obdarovaných dětí (pro dárkové tipy)
• ✅ Toto je v pořádku, protože VY (dospělý) poskytujete data, ne dítě samo

10. Změny těchto zásad

10.1 Aktualizace zásad

Můžeme tyto zásady změnit z důvodů:

• Změny v zákonech (nové GDPR požadavky)
• Nové funkce aplikace
• Změny zpracovatelů (nový email provider, atd.)
• Zpětná vazba od uživatelů

10.2 Oznámení změn

Malé změny (gramatické opravy, zpřesnění):

• Aktualizujeme datum "Poslední aktualizace"
• Zveřejníme na webu

Významné změny (nové účely zpracování, noví zpracovatelé):

• Pošleme email 30 dní předem
• Zobrazíme upozornění v aplikaci
• Vyzveme k přezkoumání nových zásad

10.3 Váš souhlas

Pokud pokračujete v používání služby po nabytí účinnosti změn:

• Považuje se to za souhlas s novými zásadami

Pokud nesouhlasíte:

• Můžete účet smazat před nabytím účinnosti změn
• Kontaktujte nás: info@giftwego.com

10.4 Archiv starších verzí

• Starší verze zásad jsou archivovány
• Dostupné na vyžádání: info@giftwego.com

11. Mezinárodní uživatelé

11.1 Služba dostupná globálně

GiftWeGo je dostupné ve 4 jazycích:

• 🇨🇿 Čeština
• 🇬🇧 Angličtina
• 🇩🇪 Němčina
• 🇫🇷 Francouzština

11.2 Rozhodné právo

Tyto zásady se řídí:

• Českým právem (sídlo provozovatele v ČR)
• GDPR (nařízení EU 2016/679) - platí pro všechny uživatele v EU
• Lokální zákony o ochraně osobních údajů (pokud jste mimo EU)

11.3 Uživatelé mimo EU

Pokud používáte GiftWeGo mimo EU:

• Vaše data mohou být přenášena do EU (server v EU)
• Používáním služby souhlasíte s přenosem dat do EU
• Platí tyto zásady a GDPR (i když jste mimo EU)

Dodatečná práva mimo EU:

• California Consumer Privacy Act (CCPA) - pro uživatele v Kalifornii
• Další lokální zákony o soukromí

12. Kontakt

12.1 Správce osobních údajů

Ondřej Smutný IČO: 75343533 Sídlo: Družstevní 511, 294 41 Dobrovice, Česká republika Email: info@giftwego.com Web: https://giftwego.com

12.2 Data Protection Officer (DPO)

Není určen (není povinný pro fyzické osoby podnikající)

Pro dotazy ohledně ochrany osobních údajů kontaktujte: Email: info@giftwego.com

12.3 Odpovědní lhůty

• Běžné dotazy: 7 pracovních dnů
• Žádosti o přístup k údajům (čl. 15): 30 dní
• Ostatní žádosti (čl. 16-21): 7-30 dní (dle složitosti)
• Stížnosti: 14 dní

Potvrzení a souhlas

Používáním služby GiftWeGo potvrzujete, že:

✓ Jste si přečetli a porozuměli těmto zásadám ochrany osobních údajů ✓ Souhlasíte se zpracováním vašich osobních údajů dle těchto zásad ✓ Jste starší 16 let (nebo máte souhlas zákonného zástupce) ✓ Poskytnuté údaje jsou pravdivé a úplné

Datum účinnosti: 7. října 2025 Verze: 1.0

© 2025 GiftWeGo. Všechna práva vyhrazena.