Zásady ochrany osobních údajů

1. Kdo je správce

Správcem osobních údajů je IT Lab czech s.r.o., IČO 24150975, DIČ CZ24150975, se sídlem Plzeňská 3350/18, Smíchov, 150 00 Praha 5, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze, oddíl C, vložka 183337 (dále „my“). Službu inbu provozujeme my.

Ve všech otázkách ochrany osobních údajů nám piš na info@untd.club. Pověřence pro ochranu osobních údajů jsme nejmenovali, protože nám to zákon neukládá.

2. Na co se zásady vztahují

Na webovou aplikaci app.inbu.io, aplikaci inbu pro iOS, rozhraní API a MCP pro připojení dalších nástrojů (dále společně „služba“) a na tento web inbu.io.

3. Jaké údaje zpracováváme

• Účet: e-mailová adresa a jméno, které se zobrazuje ostatním, datum založení účtu. Hesla nepoužíváme — přihlašuješ se jednorázovým kódem nebo odkazem z e-mailu. O přihlašovacích kódech a odkazech ukládáme jen jejich otisk (hash), e-mail, čas vydání a použití a počet pokusů, nikdy kód samotný.
• Obsah, který vytvoříš: úkoly, projekty, složky, poznámky, komentáře, štítky, seznamy a perspektivy, termíny, přiřazení osob, historie změn úkolů (kdo co a kdy změnil) a záznamy o aktivitě.
• Přílohy: fotky a soubory (např. PDF), které připojíš k úkolům, komentářům nebo poznámkám, včetně názvu, typu, velikosti a metadat, která soubor obsahuje. Aplikace pro iOS přistupuje k fotkám, jen když sám vybereš fotku k nahrání.
• Kontakty v adresáři: jména, e-maily, telefony, adresy, firmy a poznámky o lidech, které do adresáře zadáš. Kontakty z telefonu nenačítáme.
• Sdílení a hosté: sdílecí odkazy (co sdílíš, s jakými oprávněními, platnost) a u hostů, kteří otevřou sdílený odkaz bez účtu, jméno, které zadají, a jejich komentáře a fotky.
• Oznámení a e-maily: oznámení v aplikaci (např. že někdo okomentoval nebo dokončil úkol) a transakční e-maily — přihlašovací kód a odkaz, a pozvánka k úkolu, kterou na tvůj pokyn pošleme příjemci (funkce „Odeslat úkol“).
• API tokeny: název tokenu, jeho začátek pro rozlišení, otisk (hash), rozsah oprávnění, čas vytvoření a posledního použití. Celý token vidíš jen ty, a to jednou při vytvoření.
• Technické údaje: IP adresa, typ zařízení a prohlížeče, časy požadavků, údaje o připojení k synchronizaci a provozní a chybové záznamy (logy) serveru.
• Komunikace s námi: obsah e-mailů, které nám pošleš na podporu.

Údaje o jiných lidech (kontakty, příjemci pozvánek, osoby přiřazené k úkolům) do inbu vkládáš ty. Ujisti se prosím, že na to máš právo. My je zpracováváme jen proto, abychom ti mohli službu poskytnout.

4. Proč údaje zpracováváme a na jakém základě

• Poskytování služby — účet a přihlášení, uložení a synchronizace obsahu mezi zařízeními, sdílení a spolupráce, přílohy, oznámení, transakční e-maily a API. Právní základ: plnění smlouvy (čl. 6 odst. 1 písm. b) GDPR), tedy našich podmínek používání.
• Bezpečnost a provoz — ochrana před zneužitím a útoky, omezení počtu pokusů o přihlášení, hledání a oprava chyb, souhrnné provozní statistiky (např. kolik přihlašovacích kódů se použije). Právní základ: náš oprávněný zájem na bezpečné a funkční službě (čl. 6 odst. 1 písm. f) GDPR).
• Podpora — odpovědi na tvé dotazy a žádosti. Právní základ: plnění smlouvy, případně oprávněný zájem.
• Zákonné povinnosti a právní nároky — pokud nám je ukládá zákon nebo je potřebujeme k obhajobě svých práv. Právní základ: čl. 6 odst. 1 písm. c) a f) GDPR.

Pokud bychom chtěli údaje použít k jinému účelu (např. k marketingovým e-mailům), požádáme tě předem o souhlas.

5. Co neděláme

• Tvoje údaje neprodáváme ani je nepronajímáme.
• Nezobrazujeme reklamy a údaje nepoužíváme k reklamním účelům.
• Nepoužíváme analytické ani sledovací nástroje třetích stran a nesledujeme tě napříč aplikacemi a weby. Aplikace pro iOS nepoužívá reklamní identifikátor.
• Tvůj obsah nepoužíváme k trénování modelů umělé inteligence.
• Neprovádíme automatizované rozhodování ani profilování s právními účinky.

6. Umělá inteligence a připojené nástroje

inbu dnes nemá vestavěné AI funkce, které by tvůj obsah posílaly poskytovateli umělé inteligence. Pokud je v budoucnu přidáme, budou volitelné a tyto zásady předem aktualizujeme.

Přes API token si můžeš k inbu připojit vlastní nástroj, například AI asistenta přes MCP. Takový nástroj pak čte a mění data v rozsahu tvého účtu a s daty nakládá podle podmínek svého poskytovatele, kterého sis zvolil ty. Token můžeš kdykoli zrušit v nastavení aplikace.

7. Komu údaje svěřujeme

Se službou nám pomáhají tito zpracovatelé. Zpracovávají údaje jen podle našich pokynů a na základě smlouvy o zpracování:

• Cloudflare, Inc. (USA) — provoz aplikace a API (Cloudflare Workers, Containers a Durable Objects), synchronizační server, hosting webu (Cloudflare Pages), úložiště příloh (Cloudflare R2), odesílání e-mailů (Cloudflare Email Service), příjem e-mailů na podporu (Cloudflare Email Routing) a ochrana před útoky.
• Neon, Inc. (USA) — databáze PostgreSQL, ve které je uložený tvůj účet a obsah. Databáze běží v regionu EU (Frankfurt, infrastruktura Amazon Web Services).

Dalším příjemcům údaje předáváme jen v těchto případech:

• Lidé, se kterými sdílíš — členové sdílených projektů a hosté se sdíleným odkazem vidí obsah v rozsahu, který jim zpřístupníš, včetně tvého jména u komentářů a změn.
• Apple — aplikaci pro iOS distribuujeme přes App Store. Údaje o stažení zpracovává Apple jako samostatný správce podle svých zásad. Pokud v nastavení iOS povolíš sdílení analytiky s vývojáři, dostáváme od Apple souhrnné statistiky a hlášení o pádech aplikace.
• Orgány veřejné moci — jen pokud nám to ukládá zákon.

8. Předávání mimo EU

Databáze s tvým obsahem je uložená v EU. Cloudflare provozuje celosvětovou síť, takže některé údaje (např. při doručení požadavku nebo e-mailu) mohou být zpracovány i mimo Evropský hospodářský prostor. Oba zpracovatelé jsou americké společnosti. Předání zajišťujeme standardními smluvními doložkami schválenými Evropskou komisí, případně certifikací poskytovatele v rámci rámce EU–USA pro ochranu osobních údajů (Data Privacy Framework).

9. Jak dlouho údaje uchováváme

• Účet a obsah — po dobu, kdy máš účet. Po smazání účtu viz další bod.
• Záznamy o přihlášení (otisky kódů, časy, pokusy) — po dobu trvání účtu; smažeme je spolu s ním.
• Technické logy — krátce, zpravidla několik dní, nejdéle 30 dní.
• Zálohy databáze — slouží jen k obnově po havárii a přepisují se nejpozději do 30 dní. Smazaná data proto ze záloh zmizí nejpozději 30 dní po trvalém smazání.
• Sdílené odkazy a data hostů — dokud odkaz nezrušíš nebo nevyprší; komentáře a fotky hostů zůstávají u sdíleného obsahu, dokud ho vlastník nesmaže.
• E-maily na podporu — po dobu nutnou k vyřízení a poté nejdéle 3 roky kvůli případným právním nárokům.

10. Smazání účtu

O smazání účtu můžeš kdykoli požádat přímo v aplikaci — v aplikaci pro iOS přes menu účtu ⋯ v hlavičce → Nastavení → Smazat účet, ve webové aplikaci kliknutím na své jméno → Nastavení → sekce Smazání účtu → Smazat účet…. Můžeš nám také napsat na info@untd.club z adresy, se kterou se přihlašuješ. Postup najdeš i na stránce Podpora.

Hned po žádosti:

• účet se okamžitě deaktivuje a odhlásíme tě,
• na tvůj e-mail pošleme potvrzení s datem, kdy budou data trvale smazána,
• přestanou fungovat tvoje API tokeny (REST i MCP) a sdílecí odkazy, které jsi vytvořil.

Když se během 30 dnů znovu přihlásíš, žádost se zruší a účet se obnoví — včetně dat, API tokenů a sdílecích odkazů.

Po 30 dnech trvale smažeme:

• projekty, ve kterých jsi jediný člen, včetně úkolů, komentářů, příloh (i souborů v úložišti), historie změn a aktivity,
• tvoje poznámky (i s přílohami), štítky a seznamy,
• kontakty v adresáři a záznamy hostů, kteří přišli přes tvoje sdílecí odkazy,
• oznámení, API tokeny, sdílecí odkazy, záznamy o přihlášení a samotný účet.

Sdílené projekty (s alespoň jedním dalším členem) se nemažou — obsah v nich ostatním zůstane:

• jako autor komentářů, řešitel úkolů a aktér v historii změn se místo tebe zobrazí „Smazaný uživatel“ (totéž platí pro hosty z tvých odkazů a pro zmínky),
• tvoje štítky se z úkolů odeberou,
• pokud jsi sdílený projekt vlastnil, vlastnictví přejde na dalšího člena.

11. Tvoje práva

Podle obecného nařízení o ochraně osobních údajů (GDPR) máš právo:

• na přístup ke svým údajům a jejich kopii,
• na opravu nepřesných údajů,
• na výmaz („právo být zapomenut“),
• na omezení zpracování,
• na přenositelnost — údaje ti na požádání předáme ve strojově čitelném formátu (JSON),
• vznést námitku proti zpracování založenému na oprávněném zájmu.

Práva uplatníš e-mailem na info@untd.club. Odpovíme bez zbytečného odkladu, nejpozději do jednoho měsíce. Abychom tvoje údaje nevydali někomu jinému, můžeme tě požádat o ověření, že účet patří tobě.

Máš také právo podat stížnost u dozorového úřadu: Úřad pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, uoou.gov.cz.

12. Cookies a úložiště v zařízení

• Webová aplikace používá jednu nezbytnou cookie inbu_session, která tě drží přihlášeného (platnost 30 dní). Do úložiště prohlížeče ukládá tvoje předvolby a lokální kopii dat, aby aplikace byla rychlá a fungovala i offline.
• Aplikace pro iOS ukládá přihlašovací token a předvolby do zabezpečené klíčenky zařízení (Keychain).
• Web inbu.io cookies nepoužívá. V prohlížeči si pamatuje jen zvolený motiv (světlý/tmavý) a jazyk.

Jde výhradně o technicky nezbytné úložiště, proto k němu nepotřebujeme souhlas a nezobrazujeme cookie lištu.

13. Zabezpečení

Veškerá komunikace se službou je šifrovaná (HTTPS/TLS). Přihlašovací kódy a API tokeny ukládáme jen jako otisky, kódy mají krátkou platnost a omezený počet pokusů. Přístup k obsahu řídí oprávnění — vidí ho jen ty a ti, se kterými ho sdílíš. Poskytovatelé infrastruktury šifrují uložená data. Žádné zabezpečení ale není stoprocentní; pokud by došlo k úniku, který by ohrozil tvoje práva, budeme tě informovat.

14. Děti

inbu není určené dětem mladším 15 let. Pokud zjistíme, že účet založilo mladší dítě bez souhlasu zákonného zástupce, účet smažeme.

15. Změny zásad

Zásady můžeme aktualizovat, například když přidáme novou funkci nebo zpracovatele. Aktuální znění je vždy na této stránce s datem účinnosti. O podstatných změnách tě předem informujeme v aplikaci nebo e-mailem.

16. Kontakt

IT Lab czech s.r.o., Plzeňská 3350/18, Smíchov, 150 00 Praha 5. E-mail: info@untd.club.