Zásady ochrany osobních údajů

Společnost Fanl s.r.o., se sídlem Slunečná 482/8, Nový Lískovec, 634 00 Brno, IČ: 13972642, zapsaná v obchodním rejstříku vedeném Krajským soudem v Brně, oddíl C, vložka 125865 (dále také „My" nebo „BOND") je provozovatelem aplikace BOND, webových stránek www.thebondrituals.cz a souvisejících produktů. Jako správce osobních údajů Vás informujeme o tom, jaké údaje zpracováváme, proč a jaká máte práva.

BOND je aplikace pro budování zdravého partnerského vztahu. Část údajů, které u nás budou uloženy, je svou povahou citlivá, protože se týká Vašeho intimního partnerského života. Tomu odpovídá i to, jak s nimi zacházíme. K přístupu k Vašim rituálním odpovědím a naladění není oprávněn nikdo z našeho týmu, kromě řešení konkrétního Vašeho požadavku na podporu nebo plnění zákonné povinnosti.

V těchto Zásadách zpracování osobních údajů (dále jen „Zásady") vysvětlujeme:

• Jaké informace zpracováváme a jakým způsobem je získáváme.
• Jak je využíváme a na jakém právním základu.
• Komu Vaše údaje předáváme (konkrétní seznam zpracovatelů).
• Jak dlouho je uchováváme.
• Jaká máte práva a jak je uplatnit.
• Jak smazat svůj účet a všechna svá data.

Pokud přesně nerozumíte některým pojmům jako je osobní údaj, IP adresa nebo cookies, můžete se s nimi seznámit ve slovníku klíčových pojmů v závěru těchto Zásad.

V případě, že budete potřebovat kteroukoliv část textu vysvětlit, poradit anebo projednat další zpracování Vašich osobních údajů, můžete se na nás kdykoliv obrátit na e-mailové adrese gdpr@thebondrituals.cz.

Jaké informace zpracováváme

Údaje účtu

Při registraci do aplikace BOND od Vás potřebujeme e-mailovou adresu a heslo. Heslo nikdy neukládáme v čitelné podobě, vždy pouze ve formě bezpečného hashe (bcrypt). E-mail využíváme k přihlášení, k zasílání nezbytných provozních zpráv (potvrzení registrace, párovací pozvánka, potvrzení platby, obnova hesla) a v případě, že nám k tomu udělíte souhlas, také k zasílání newsletteru.

Profilové údaje a údaje o vašem vztahu

Pro fungování aplikace si v profilu volitelně uvádíte: Vaše jméno, jméno partnera nebo partnerky, datum začátku vztahu a uspořádání vztahu (např. partner.partnerka, partnerka.partnerka, atd.). Vyplnění těchto údajů je dobrovolné a slouží výhradně k personalizaci obsahu rituálů. Pro spárování s partnerem nebo partnerkou generujeme náhodný šestiznakový párovací kód.

Obsah rituálů. Vaše odpovědi a naladění

Toto je nejcitlivější část. V průběhu používání aplikace si do BOND ukládáte:

• Odpovědi na rituální otázky (vlastní text)
• Hodnocení naladění ve vztahu
• Záznamy dokončených rituálů a postup v Cestě (Kořeny, Růst, Květ, Strom)

Tato data jsou primárně uložena lokálně ve Vašem prohlížeči (localStorage). Pokud jste přihlášeni, šifrovaně se synchronizují také do naší cloudové zálohy (Supabase, datové centrum ve Stockholmu, Švédsko), aby Vám zůstaly dostupné i po výměně zařízení nebo z druhého telefonu. K přístupu k těmto datům není oprávněn nikdo z týmu BOND. Server-side přístup je technicky řešen tak, že každý uživatel vidí pouze vlastní data, případně data sdílená s partnerem v jednom párovém účtu (Row Level Security v PostgreSQL).

Údaje o platbách

Pokud si zakoupíte placený obsah, BOND zpracovává základní údaje o transakci: částku, datum, status (úspěch nebo neúspěch), identifikátor objednávky a Váš e-mail. Číslo Vaší platební karty ani CVC kód nikdy nevidíme ani neukládáme. Tyto údaje zadáváte přímo na zabezpečené stránce platebního zpracovatele ComGate Payments, a.s. (PCI-DSS compliant). Pro účely fakturace a daňových povinností zpracováváme také fakturační údaje, které nám sami sdělíte.

Údaje při stažení lead magnetu

Pokud si zdarma stáhnete naše PDF nebo jiný úvodní materiál, zpracováváme Vaši e-mailovou adresu a údaj o tom, který materiál jste si stáhli. Slouží to k zaslání materiálu a, pokud jste souhlasili, k navazujícím e-mailům s tipy o vztazích.

Technické a diagnostické údaje

Pro udržení bezpečnosti a stability služby zpracováváme: IP adresu, typ zařízení a prohlížeče, verzi operačního systému, časy přístupů a v případě technické chyby také chybový log (s automaticky odstraněnými osobními údaji). Tyto údaje neprodáváme a nepoužíváme k profilování pro reklamu.

Údaje při kontaktu se zákaznickou podporou

Pokud nám napíšete na gdpr@thebondrituals.cz, uchováváme obsah komunikace, abychom Váš požadavek vyřešili a měli záznam pro případ dalších dotazů.

Informace o věku uživatele

BOND je aplikace pro dospělé v partnerském vztahu. Naše služby nejsou určeny osobám mladším 16 let. Pokud zjistíme, že jsme získali údaje od osoby mladší 16 let, tyto údaje smažeme. Pokud jste rodič nebo zákonný zástupce a domníváte se, že Vaše dítě nám poskytlo osobní údaje, kontaktujte nás na gdpr@thebondrituals.cz.

Jak údaje používáme a na jakém právním základu

Plnění smlouvy. Provoz aplikace

E-mail, heslo, profilové údaje a obsah Vašich rituálních odpovědí zpracováváme proto, abychom Vám mohli poskytovat aplikaci BOND. Bez těchto údajů by aplikace pro Vás nemohla fungovat. Právním základem je plnění smlouvy (čl. 6 odst. 1 písm. b) GDPR), kterou s námi uzavíráte přijetím obchodních podmínek.

Zákonné povinnosti

Údaje o platbách a fakturaci uchováváme po dobu vyžadovanou daňovými a účetními předpisy (typicky 10 let pro daňové doklady). Právním základem je plnění zákonné povinnosti (čl. 6 odst. 1 písm. c) GDPR).

Newsletter a marketing

E-mailem Vás kontaktujeme s tipy o vztazích, novinkami z BOND a podobnými obchodními sděleními pouze pokud jste nám k tomu udělili souhlas (například zaškrtnutím checkboxu při registraci, při stažení lead magnetu nebo v Nastavení aplikace). Newsletter můžete kdykoli odhlásit kliknutím na odhlašovací odkaz v každém e-mailu, případně v Nastavení BOND, nebo nám napište na gdpr@thebondrituals.cz. Právním základem je Váš souhlas (čl. 6 odst. 1 písm. a) GDPR).

Provozní e-maily

Bez ohledu na to, jestli odebíráte newsletter, Vám můžeme zasílat provozní zprávy nezbytné k fungování služby. Sem patří potvrzení registrace, párovací pozvánky, potvrzení platby, faktury, oznámení o ukončení předplatného, varování o bezpečnostních incidentech a podobné. Tyto e-maily nelze odhlásit, dokud máte aktivní účet, protože jsou součástí poskytované služby.

Zlepšování služby a diagnostika

Anonymizované technické údaje (typ prohlížeče, OS, časové údaje, chybové logy) využíváme k identifikaci a opravě technických problémů. Právním základem je náš oprávněný zájem na poskytování stabilní a bezpečné služby (čl. 6 odst. 1 písm. f) GDPR). Proti tomuto zpracování můžete vznést námitku.

Návštěvnost webu a reklamní cíle

Na webových stránkách BOND používáme Google Analytics 4 (Google Ireland Limited) pro měření návštěvnosti a chování uživatelů. Měření aktivujeme pouze s Vaším souhlasem v kategorii „Analytika" v cookie banneru. IP adresa je před zpracováním anonymizována (funkce anonymize_ip) a data jsou agregována. Pro retargeting v reklamních kampaních (Facebook, Instagram) můžeme nasadit Meta Pixel (Meta Platforms Ireland Limited), který se aktivuje výhradně po Vašem souhlasu v kategorii „Marketing". Bez souhlasu se žádné tyto nástroje neaktivují.

Co s Vašimi údaji NEDĚLÁME

• Neprodáváme Vaše údaje třetím stranám.
• Nepoužíváme Vaše rituální odpovědi pro reklamu, výzkum ani trénování modelů strojového učení.
• Nezpřístupňujeme Vaše údaje datovým brokerům.
• Neprovádíme automatizované rozhodování s právními následky.

Jak dlouho údaje uchováváme

Vaše osobní údaje uchováváme pouze po dobu nezbytně nutnou pro daný účel:

• Údaje účtu, profil a obsah rituálů: po celou dobu, kdy máte u nás aktivní účet. Po smazání účtu jsou údaje nevratně odstraněny do 30 dnů, s výjimkou těch, které musíme uchovávat ze zákona (viz níže).
• Údaje o platbách a fakturaci: 10 let ode dne uskutečnění zdanitelného plnění (zákon o účetnictví a daňové předpisy).
• E-mail v newsletteru: do odhlášení odběru, případně 3 roky od posledního Vašeho zaznamenaného otevření newsletteru (pokud déle neotvíráte, vyhodnotíme to jako konkludentní odhlášení a údaje smažeme).
• Komunikace se zákaznickou podporou: 3 roky od posledního kontaktu, abychom mohli navázat na předchozí požadavky.
• Záložní kopie databáze: denní zálohy uchováváme 7 dní, týdenní zálohy 30 dnů. Po smazání účtu se vaše údaje smažou i z aktivních záloh při příští rotaci.
• Technické chybové logy: 30 dnů.

Komu Vaše údaje předáváme. Konkrétní zpracovatelé

Při zajišťování provozu BOND využíváme služby několika ověřených dodavatelů, kteří v pozici zpracovatelů mohou přijít do styku s Vašimi osobními údaji. S každým máme uzavřenou Zpracovatelskou smlouvu (DPA), která stanoví, jak smí s údaji nakládat. Konkrétně jde o:

Hosting databáze a aplikační backend

• Supabase, Inc. (USA, smlouva přes EU entitu). Provozování databáze, autentizace a serverless funkcí. Fyzické úložiště dat je v datovém centru ve Stockholmu, Švédsko (EU). Vaše rituální odpovědi a profilové údaje jsou uloženy zde.
• Netlify, Inc. (USA). Hosting webových stránek a aplikace.
• GitHub, Inc. (USA, dceřiná společnost Microsoft). Verzování zdrojového kódu a uchování záložních kopií databáze v šifrované podobě.

E-mailová komunikace

• Resend, Inc. (USA, hosting v EU). Odesílání provozních e-mailů (potvrzení registrace, párovací pozvánky, potvrzení plateb). Server v Irsku (EU).
• Ecomail.cz s.r.o. (Česká republika). Odesílání marketingových e-mailů (newsletter) pouze osobám, které k tomu daly souhlas.

Platby a fakturace

• ComGate Payments, a.s. (Česká republika). Zpracování platebních transakcí. Při platbě jste přesměrováni přímo na zabezpečenou stránku ComGate, Vaše údaje o platební kartě se k nám nikdy nedostanou. ComGate je PCI-DSS Level 1 certifikovaný.
• Fakturoid s.r.o. (Česká republika). Vystavování faktur a daňových dokladů.

Monitoring a bezpečnost

• Functional Software, Inc. (Sentry) (USA). Sběr anonymizovaných chybových logů pro identifikaci technických problémů. Před odesláním logu se z něj automaticky odstraňují osobní údaje.

Analytika a reklama

• Google Ireland Limited (Google Analytics 4) (Irsko, EU). Měření návštěvnosti a chování uživatelů na webu. IP adresa anonymizována, data agregována. Aktivuje se pouze s Vaším souhlasem v kategorii „Analytika".
• Meta Platforms Ireland Limited (Meta Pixel) (Irsko, EU). Retargeting v reklamních kampaních na Facebooku a Instagramu. Aktivuje se pouze s Vaším výslovným souhlasem v kategorii „Marketing".

Předávání údajů mimo EU/EHP

Někteří z výše uvedených zpracovatelů jsou registrovaní v USA. K předání údajů do USA dochází na základě standardních smluvních doložek (SCC) schválených Evropskou komisí, případně na základě rámce EU-US Data Privacy Framework (do dohody Schremse III). Vždy dbáme, aby Vaše práva podle GDPR byla zachována.

Mimo zpracovatele můžeme údaje předat také úředním orgánům (Policie ČR, finanční úřad, soudy) na základě jejich zákonné žádosti. Vaše údaje nikomu jinému neprodáváme ani nepředáváme.

Aktuální seznam zpracovatelů se může čas od času měnit (například při změně dodavatele). Vždy budeme dbát na to, abychom nahradili dodavatele jiným, který poskytne stejně vysokou úroveň ochrany.

Vaše práva a jak je uplatnit

Ve vztahu k námi prováděnému zpracování Vašich osobních údajů máte následující práva:

• Právo na přístup k osobním údajům.
• Právo na opravu.
• Právo na výmaz („právo být zapomenut").
• Právo na omezení zpracování údajů.
• Právo na přenositelnost údajů.
• Právo vznést námitku proti zpracování.
• Právo podat stížnost na zpracování osobních údajů.

Vaše práva jsou níže vysvětlena, abyste si dokázali udělat jasnější představu o jejich obsahu. Všechna Vaše práva můžete uplatnit tak, že nám napíšete na e-mailovou adresu gdpr@thebondrituals.cz, žádosti se však samozřejmě budeme věnovat, ať se k nám dostane jakkoliv. Stížnost můžete podat u dozorového úřadu, kterým je Úřad pro ochranu osobních údajů (www.uoou.cz).

Právo na přístup znamená, že nás kdykoliv můžete požádat o potvrzení, zda osobní údaje, které se Vás týkají, jsou či nejsou zpracovávány, a pokud jsou, pak máte právo na přístup k těmto údajům a informacím za jakými účely, v jakém rozsahu a komu jsou zpřístupněny, jak dlouho je budeme zpracovávat, zda máte právo na opravu, výmaz, omezení zpracování či vznést námitku, odkud jsme osobní údaje získali a zda dochází na základě zpracování Vašich osobních údajů k automatickému rozhodování, včetně případného profilování.

Právo na opravu znamená, že nás kdykoliv můžete požádat o opravu či doplnění Vašich osobních údajů, pokud by byly nepřesné či neúplné.

Právo na výmaz znamená, že musíme vymazat Vaše osobní údaje pokud (i) již nejsou potřebné pro účely, pro které byly shromážděny nebo jinak zpracovány, (ii) zpracování je protiprávní, (iii) vznesete námitky proti zpracování a neexistují žádné převažující oprávněné důvody pro zpracování, nebo (iv) nám to ukládá zákonná povinnost.

Právo na omezení zpracování znamená, že dokud nevyřešíme jakékoliv sporné otázky ohledně zpracování Vašich osobních údajů, musíme omezit zpracování Vašich osobních údajů.

Právo na přenositelnost znamená, že máte právo získat osobní údaje, které se Vás týkají, a které jsou zpracovávány automatizovaně a na základě souhlasu nebo smlouvy, ve strukturovaném, běžně používaném a strojově čitelném formátu, a právo na to, aby byly tyto osobní údaje předány přímo jinému správci.

Právo vznést námitku znamená, že můžete vznést námitku proti zpracování Vašich osobních údajů, které zpracováváme pro účely našich oprávněných zájmů, zejména pro účely přímého marketingu. Pokud vznesete námitku proti zpracování pro účely přímého marketingu, nebudou již Vaše osobní údaje pro tyto účely zpracovávány.

Cookies a localStorage

Funkční cookies a localStorage

BOND využívá technicky nezbytné cookies a úložiště prohlížeče (localStorage) pro fungování přihlášení, zachování Vaší volby v Nastavení a uchování obsahu rituálů přímo ve Vašem zařízení. Bez těchto úložišť by aplikace nemohla fungovat. K jejich užívání nepotřebujeme Váš souhlas (čl. 89 odst. 3 zákona č. 127/2005 Sb., o elektronických komunikacích).

Analytické cookies a monitoring chyb

Pro měření návštěvnosti používáme Google Analytics 4 (Google Ireland Limited). GA4 zakládá cookies _ga a _ga_* s životností maximálně 2 roky, anonymizuje IP adresu a sleduje pouze agregované metriky (počet návštěv, typ zařízení, zdroj návštěvy, konverze). Souběžně nasazujeme nástroj pro monitoring technických chyb (Sentry), který nám pomáhá identifikovat a opravovat problémy. Oba nástroje aktivujeme pouze s Vaším souhlasem v kategorii „Analytika".

Reklamní cookies

Pro retargeting v reklamních kampaních na Facebooku a Instagramu používáme Meta Pixel (Meta Platforms Ireland Limited). Meta Pixel zakládá cookies _fbp a sleduje chování uživatele na webu BOND pro účely cílení reklamy. Aktivuje se pouze s Vaším výslovným souhlasem v kategorii „Marketing" v cookie banneru.

Změna nastavení

Své rozhodnutí o cookies můžete kdykoli změnit kliknutím na Spravovat nastavení cookies nebo přes odkaz „Cookies" v patičce stránky.

Smazání účtu a Vašich dat

Vaše právo na výmaz můžete uplatnit dvěma způsoby:

Smazání přímo z aplikace

Přihlaste se do aplikace BOND, jděte do Nastavení a v sekci „Soukromí a data" zvolte „Smazat účet". Po potvrzení dojde k odstranění Vašeho profilu, rituálních odpovědí, naladění, párovacích záznamů a všech dalších uživatelských dat z aktivní databáze. Tento krok je nevratný.

Žádost e-mailem

Stačí poslat e-mail z adresy, pod kterou máte u nás účet, na gdpr@thebondrituals.cz s předmětem „Smazání účtu" a my Vás do 30 dnů odhlásíme ze všech systémů.

Co po smazání zůstane

Z důvodu zákonných povinností nemůžeme okamžitě smazat:

• Daňové doklady a fakturační údaje ke koupeným produktům (10 let, zákon o účetnictví).
• Záznamy o platbách pro reklamační účely (3 roky).

Po uplynutí těchto lhůt jsou i tyto údaje smazány.

Záložní kopie

Vaše data mohou ještě krátkou dobu (max. 30 dnů) figurovat v naších šifrovaných záložních kopiích. Tyto zálohy se automaticky rotují a Vaše data z nich při rotaci zmizí.

Bezpečnost údajů

K ochraně Vašich údajů přijímáme přiměřená technická a organizační opatření:

• Hesla jsou ukládána výhradně v podobě bezpečného hashe (bcrypt), nikoli v čitelné podobě.
• Veškerá komunikace mezi Vaším zařízením a našimi servery je šifrována protokolem TLS 1.3.
• Přístup k administraci databáze je chráněn dvoufaktorovým ověřením (2FA).
• Vaše data v databázi jsou chráněna mechanismem Row Level Security, který zajišťuje, že každý uživatel vidí pouze vlastní obsah.
• Denně provádíme automatizované zálohy databáze. Týdně provádíme nezávislou zálohu mimo Supabase.
• Pro detekci bezpečnostních incidentů máme nasazený monitoring chyb (Sentry, anonymizovaně).

I přes přijatá opatření nelze zaručit absolutní bezpečnost. Pokud se dozvíme o bezpečnostním incidentu, který by mohl mít dopad na Vaše údaje, budeme Vás bez zbytečného odkladu informovat e-mailem a oznámíme jej Úřadu pro ochranu osobních údajů v zákonné lhůtě 72 hodin.

Změny těchto Zásad

Tyto Zásady občas aktualizujeme, například pokud rozšíříme aplikaci o novou funkci nebo změníme dodavatele některé z výše uvedených služeb. O podstatných změnách Vás budeme informovat e-mailem a v aplikaci nejméně 14 dní před jejich účinností. Aktuální verzi vždy najdete na této stránce s datem účinnosti.