OCHRANA SOUKROMÍ A GDPR

Zásady ochrany osobních údajů

Jaké údaje zpracováváme, proč, na jakém právním základě, jak dlouho a jaká jsou tvá práva. Bez právnického žargonu — co nejstručněji a nejjasněji.

Platnost

Platnost od: duben 2026.

Správce

WHITESAND s.r.o., se sídlem Nerudova 653/40, Vítkovice, 703 00 Ostrava, IČO: 211 62 263. Kontakt: support@allyforlife.ai.

Právní rámec

Řídí se nařízením GDPR (2016/679) a zákonem č. 110/2019 Sb. o zpracování osobních údajů.

SPRÁVCE

Správce osobních údajů

Kdo je zodpovědný za tvá data.

Správce

WHITESAND s.r.o..

Aplikace

ALLY — osobní AI asistent (app.allyforlife.ai).

Platné právní normy

Nařízení EU 2016/679 (GDPR), zákon č. 110/2019 Sb. (zákon o zpracování osobních údajů).

Pověřenec pro ochranu osobních údajů (DPO)

ALLY v současné době nejmenuje DPO — zpracování osobních údajů nespadá do kategorií, které jeho jmenování povinně vyžadují (čl. 37 GDPR). Dotazy k ochraně dat směřuj na podporu Ally: support@allyforlife.ai.

ÚČELY A PRÁVNÍ ZÁKLADY

Účely zpracování a právní základy

Proč zpracováváme tvá data a na základě jakého práva.

Registrace a správa účtu

Právní základ: čl. 6 odst. 1 písm. b) — plnění smlouvy. Popis: vytvoření účtu, přihlašování, správa profilu — nutné pro poskytování služby.

Poskytování AI asistenta

Právní základ: čl. 6 odst. 1 písm. b) — plnění smlouvy. Popis: chat, analýza dokumentů, kalendář, finance — core služba, za kterou ses přihlásil(a).

Bezpečnost a prevence podvodů

Právní základ: čl. 6 odst. 1 písm. f) — oprávněný zájem. Popis: logy přístupů, rate limiting, detekce anomálií — ochrana tebe i nás.

Zasílání transakčních emailů

Právní základ: čl. 6 odst. 1 písm. b) — plnění smlouvy. Popis: OTP kódy, potvrzení akcí, pozvánky — nutné pro fungování bezpečnostních funkcí.

Ověření totožnosti (volitelné)

Právní základ: čl. 6 odst. 1 písm. a) — souhlas. Popis: dobrovolné ověření průkazem pro odemčení pokročilých funkcí — pouze pokud ty sám souhlasíš.

Google integrace

Právní základ: čl. 6 odst. 1 písm. a) — souhlas. Popis: propojení se Google účtem (Gmail, Calendar, Drive) výhradně na základě tvého explicitního souhlasu v Nastavení.

Novinky a produktové updaty

Právní základ: čl. 6 odst. 1 písm. a) — souhlas. Popis: pouze pokud jsi souhlas udělil(a), odhlásit se lze kdykoliv v Nastavení nebo odkazem v emailu.

Zálohy a disaster recovery

Právní základ: čl. 6 odst. 1 písm. f) — oprávněný zájem. Popis: pravidelné zálohy dat pro ochranu před ztrátou dat — v tvém zájmu.

KATEGORIE ÚDAJŮ

Kategorie osobních údajů

Jaké typy dat zpracováváme — a kde jsou uloženy.

Identifikační a kontaktní

Jméno, e-mail, pseudonymní UUID (interní identifikátor). Citlivost: běžné OÚ.

Autentizační

Hash hesla (bcrypt), JWT session tokeny, email OTP logy. Citlivost: běžné OÚ.

Profilová data

Datum narození, adresa, rodinné vazby, role, zájmy — pouze co sám zadáš. Citlivost: běžné OÚ.

Finanční data

Faktury, výdaje, pojistky — strukturovaná data z nahraných dokumentů nebo zadaná ručně. Citlivost: citlivější OÚ.

Dokumenty a soubory

PDF, fotky, smlouvy — uloženo v izolovaném adresáři pod UUID, přístupné jen tobě. Citlivost: citlivější OÚ.

Identitní údaje z dokladu (volitelné)

Jméno, příjmení, datum narození, adresa — bez čísla dokladu; pouze pokud aktivně zahájíš ověření. Citlivost: citlivější OÚ.

Technické a bezpečnostní logy

IP adresa, User-Agent, čas přístupu, chybové kódy — logy přístupu k API. Citlivost: běžné OÚ.

AI kontext a paměť

Preference, zvyky, shrnutí konverzací — ukládáno lokálně v memory.json bez přístupu třetích stran. Citlivost: běžné OÚ.

Google data (volitelné)

Email, kalendářové události, Drive soubory — zpracovávány pouze pokud propojíš Google účet. Citlivost: citlivější OÚ.

Komunikační a emailové údaje

Zpracováváme e-mailovou komunikaci, zprávy z kontaktních formulářů, transakční e-maily a systémová oznámení. Pokud propojíš Gmail nebo jinou e-mailovou integraci, zpracováváme pouze údaje potřebné pro funkce, které v Ally aktivně používáš.

Kalendářní data

Pokud propojíš kalendář, zpracováváme kalendářové události, názvy, termíny, časy, připomínky a související metadata jen pro funkce přehledu, připomínek a asistence v Ally.

Google API Limited Use

Použití dat získaných z Google API se řídí zásadou Limited Use podle Google API Services User Data Policy. Google data používáme jen pro uživatelsky viditelné funkce Ally, které si aktivuješ.

Omezení použití Google dat

Google user data neprodáváme, nepoužíváme pro reklamu, retargeting, personalizované reklamní profily, určování bonity ani trénování reklamních modelů.

Lidský přístup ke Google datům

Lidé Google data nečtou, kromě situací, kdy k tomu dáš výslovný souhlas, kdy je to nutné pro bezpečnost nebo řešení zneužití, pro splnění právní povinnosti, nebo pokud jde o agregovaná/anonymizovaná data pro interní provoz.

Minimální oprávnění

Žádáme jen oprávnění nezbytná pro konkrétní funkce. Přístupy k Google službám nejsou požadovány „do zásoby“ a lze je odpojit v Nastavení nebo v Google účtu.

Zvláštní kategorie osobních údajů (čl. 9 GDPR)

ALLY záměrně nezpracovává zvláštní kategorie: zdravotní stav, rasový/etnický původ, politické názory, náboženské přesvědčení, biometrické ani genetické údaje. Pokud bys takové údaje do dokumentů nahrál, zpracovávají se jako příloha a neextrahují se do strukturovaných polí.

RETENCE

Jak dlouho data uchováváme?

Retenční doby podle typu údajů.

Uživatelský účet a profil

Po dobu trvání účtu. Smazáním účtu se odstraní vše.

Dokumenty a soubory

Do smazání tebou / smazání účtu. Smazání na vyžádání do 7 pracovních dní.

Finanční data a termíny

Do smazání tebou / smazání účtu. Exportovat lze kdykoliv.

AI paměť a kontext

Do smazání tebou / smazání účtu. Resetovatelné v Nastavení.

Identitní údaje z dokladu

Do odvolání souhlasu / smazání účtu. Smazání na vyžádání do 7 pracovních dní.

Technické logy přístupu

Max. 30 dní. Rotovány automaticky; starší se mažou.

Email OTP logy

Max. 7 dní. Pouze pro audit bezpečnostních akcí.

Zálohy dat

Max. 14 dní od požadavku na výmaz. Zálohy od 7. 4. 2026.

Anonymizovaná statistika

Bez časového omezení. Pouze agregované počty; žádná identifikace.

SUBPROCESOŘI

Subprocesoři a příjemci dat

Smluvní poskytovatelé, kteří mají přístup k části tvých dat.

Railway.app

Účel: hosting, persistent disk storage. Data: všechna uložená data (šifrovaná i nešifrovaná). Region/záruky: EU — GDPR-compliant, DPA.

Cloudflare, Inc.

Účel: DNS, HTTPS/TLS, Turnstile CAPTCHA, DDoS ochrana. Data: IP adresa, metadata requestů, CAPTCHA signály. Region/záruky: EU/US — SCC, DPA.

Google LLC — Gemini API

Účel: AI zpracování, chat, analýza dokumentů, OCR dokladů. Data: text dotazů, kontext, base64 obrázek dokladu dočasně. Region/záruky: Google Business DPA, SCC.

Google LLC — OAuth / Calendar / Drive

Účel: SSO přihlášení, sync kalendáře, přístup k Drive dokumentům. Data: email, jméno, profil, tokeny, kalendářová data. Region/záruky: Google DPA.

Perplexity AI

Účel: vyhledávání v reálném čase pro AI odpovědi. Data: text dotazů dočasně po dobu dotazu. Region/záruky: Perplexity DPA.

Impossible Cloud GmbH

Účel: šifrované zálohy dat od 7. 4. 2026. Data: šifrované zálohy (AES-256). Region/záruky: EU — GDPR-compliant, německá firma.

Resend.com

Účel: doručování transakčních emailů. Data: email adresa, jméno, obsah zprávy (OTP, pozvánky). Region/záruky: EU/US — SCC, DPA.

Stripe

Účel: zpracování předplatného a plateb. Data: platební a fakturační údaje potřebné pro provedení platby; Ally neukládá celé údaje z platební karty. Region/záruky: Stripe DPA, SCC podle nastavení služby.

Co tito poskytovatelé nesmí

Každý z uvedených poskytovatelů je vázán smluvními podmínkami, které zakazují prodej dat třetím stranám, využití dat pro vlastní trénování AI modelů, sdílení mimo rozsah smluvního vztahu. Data nejsou sdílena s orgány veřejné moci, pokud to nevyžaduje zákon nebo řádné soudní rozhodnutí.

MEZINÁRODNÍ PŘENOSY

Mezinárodní přenosy dat

Kde probíhá zpracování a jaké jsou záruky.

Primární úložiště — vždy EU

Veškerá data uložená na disku (dokumenty, profil, finance, paměť) jsou uchovávána na serverech Railway.app v EU. Tato data neopouštějí EU úložiště.

AI zpracování — může probíhat mimo EU

Při volání AI API (Google Gemini, Perplexity) je část dat, například text dotazu nebo kontext, dočasně předávána těmto poskytovatelům. Google zpracování řídí svými Business DPA podmínkami a standardními smluvními doložkami (SCC). Perplexity obdobně svým DPA. Tato data jsou zpracována v rámci konkrétního požadavku a nejsou trvale uchovávána těmito poskytovateli.

Právní záruky pro přenosy mimo EHP

Přenosy do třetích zemí (USA) probíhají na základě standardních smluvních doložek (SCC) dle rozhodnutí Komise 2021/914/EU nebo v rámci EU-US Data Privacy Framework, kde to příslušný poskytovatel uplatňuje.

COOKIES A LOKÁLNÍ ÚLOŽIŠTĚ

Cookies a lokální úložiště

Web i aplikace používají nezbytné technologie pro fungování služby a volitelné technologie podle tvého nastavení.

Nezbytné cookies

Používají se pro základní fungování webu, bezpečnost, session a uložení volby v cookies liště. Tyto cookies jsou nutné.

Analytické a marketingové cookies

Na veřejném webu používáme analytické a marketingové měření podle volby v cookies liště. Nastavení můžeš změnit na stránce Cookies.

Lokální úložiště

Aplikace může používat lokální úložiště pro technická nastavení, stav rozhraní nebo bezpečné zapamatování preferencí. Nepoužíváme ho k obcházení tvé volby cookies.

TVÁ PRÁVA

Tvá práva jako subjektu údajů

Plný přehled práv dle GDPR — jak je uplatnit.

Právo na přístup

Máš právo vědět, jaké osobní údaje o tobě zpracováváme. Na vyžádání poskytneme kopii. Čl. 15 GDPR — odpověď do 30 dní.

Právo na opravu

Pokud jsou tvá data nepřesná, máš právo na jejich opravu. Základní údaje opravíš sám v profilu. Čl. 16 GDPR — oprava do 30 dní.

Právo na výmaz

Máš právo požádat o smazání všech svých dat. V aplikaci: Nastavení → Účet → Smazat účet. Nebo emailem — do 7 pracovních dní. Čl. 17 GDPR.

Právo na přenositelnost

Kdykoli si můžeš vyžádat export svých dat ve strojově čitelném formátu (JSON). Kontaktuj nás emailem. Čl. 20 GDPR — export do 30 dní.

Právo na omezení zpracování

Pokud zpochybňuješ přesnost dat nebo zákonnost zpracování, máš právo požádat o omezení zpracování do doby vyřešení. Čl. 18 GDPR.

Právo vznést námitku

Proti zpracování na základě oprávněného zájmu (logy, zálohy) máš právo vznést námitku. Posoudíme a buď zpracování ukončíme, nebo doložíme přesvědčivé oprávněné důvody. Čl. 21 GDPR.

Odvolání souhlasu

Souhlas (Google integrace, identity ověření, marketing) můžeš kdykoli odvolat v Nastavení bez jakýchkoliv následků. Čl. 7 odst. 3 GDPR — okamžitě.

Automatizované rozhodování

ALLY nevyužívá automatizované rozhodování s právními nebo obdobnými účinky. AI doporučení mají pouze informativní charakter — konečné rozhodnutí je vždy na tobě. Čl. 22 GDPR — neuplatňuje se.

Jak práva uplatnit

Napiš na support@allyforlife.ai — v emailu uveď jméno, email účtu a co konkrétně žádáš. Odpovíme do 30 dnů (ve složitých případech až 90 dní — ale o tom tě vlastně budeme informovat).

DĚTI A VĚKOVÉ OMEZENÍ

Děti a věkové omezení

Ally je služba pro dospělé uživatele a není určena dětem.

Služba není určena dětem

Ally není určena osobám mladším 16 let. Pokud zjistíme, že zpracováváme údaje dítěte bez odpovídajícího souhlasu zákonného zástupce, údaje odstraníme.

Google služby a děti

Google integrace nejsou určeny pro dětské účty a používají se pouze jako volitelná funkce pro uživatele, kteří mohou udělit platný souhlas.

ZMĚNY ZÁSAD

Změny těchto zásad

Zásady můžeme upravit, pokud se změní služba, právní požadavky nebo způsob zpracování dat.

Jak změny oznamujeme

Aktuální verze je vždy dostupná na této stránce. Pokud půjde o významnou změnu způsobu zpracování osobních údajů, upozorníme tě v aplikaci nebo e-mailem.

Nový účel zpracování

Pokud bychom chtěli Google data nebo jiné osobní údaje používat jiným způsobem, než je zde popsáno, nejdříve zásady aktualizujeme a vyžádáme si odpovídající souhlas, pokud je vyžadován.

Stížnosti a dozorový úřad

Pokud si myslíš, že tvá práva nejsou respektována, máš právo podat stížnost k dozorovému úřadu.

Úřad pro ochranu osobních údajů (ÚOOÚ)

Pokud se domníváš, že ALLY zpracovává tvé osobní údaje v rozporu s GDPR, máš právo podat stížnost k dozorovému úřadu.

Úřad pro ochranu osobních údajů
Pplk. Sochora 27, 170 00 Praha 7
Tel.: +420 234 514 501
E-mail: posta@uoou.cz
Web: www.uoou.cz

Doporučujeme nejprve kontaktovat nás přímo — většinu věcí vyřešíme rychle a bez formálního řízení.