Späť

Zásady ochrany osobných údajov

Tieto zásady sa vzťahujú na produktové, marketingové, onboardingové, účtové a súvisiace právne stránky prevádzkované AppoTo, ktoré odkazujú na tento dokument.

1. Prevádzkovateľ

Prevádzkovateľ: Marek Minár

IČO: 24023353

Sídlo: Gajdošova 2422/12, Ostrava 70200, Česká republika

Kontaktný e-mail: info@appo.to

2. Kategórie osobných údajov

Môžeme spracúvať identifikačné a kontaktné údaje, údaje o podnikateľskom účte, údaje o členoch tímu a oprávneniach, údaje o rezerváciách a plánovaní, záznamy komunikácie, záznamy o využití SMS a billing usage, autentifikačné údaje, údaje o zariadení a používaní služby, prevádzkové a bezpečnostné logy a informácie zaslané prostredníctvom podpory alebo formulárov. Ak zákazník alebo člen tímu prepojí Google Kalendár, môžeme ďalej spracúvať identifikátory Google účtu, metadáta zoznamu Google kalendárov, ID kalendárov, nastavenia vybraného kalendára, informácie o dostupnosti a free/busy, ID udalostí, začiatky a konce udalostí, stav udalostí, názvy a popisy udalostí tam, kde sú potrebné na synchronizáciu termínov alebo import udalostí, metadáta watch kanálov, sync tokeny a OAuth access a refresh tokeny.

3. Účely a právne základy spracúvania

Osobné údaje spracúvame:

  • na účel vytvárania a správy používateľských účtov, poskytovania rezervačných a plánovacích funkcií a prevádzky služby podľa čl. 6 ods. 1 písm. b) GDPR;
  • na účel prepojenia a synchronizácie Google Kalendára, ak si používateľ túto integráciu zvolí, vrátane zobrazenia zapisovateľných kalendárov, vytvorenia alebo výberu kalendára, vytvárania, úprav, mazania a importu udalostí, výpočtu dostupnosti, zisťovania zmien v kalendári a zdieľania kalendárov s členmi tímu tam, kde je táto funkcia povolená, podľa čl. 6 ods. 1 písm. b) GDPR;
  • na účel plnenia právnych, účtovných, daňových, protipodvodových a evidenčných povinností podľa čl. 6 ods. 1 písm. c) GDPR;
  • na účel ochrany bezpečnosti, dostupnosti a integrity služby, vybavovania podpory, vymáhania podmienok a zlepšovania produktu podľa čl. 6 ods. 1 písm. f) GDPR;
  • na účel spracovania marketingových preferencií len vtedy, ak je vyžadovaný a udelený súhlas podľa čl. 6 ods. 1 písm. a) GDPR.

4. Sprostredkovatelia, príjemcovia a zdieľanie údajov používateľov Google

Podľa súčasnej implementácie môžu byť osobné údaje spracúvané týmito poskytovateľmi:

  • služby Google Cloud vrátane Firebase pre hosting, autentifikáciu, cloudové funkcie, databázu, ukladanie súborov a prevádzkové meranie výkonu a chýb;
  • Google API a Google Calendar integrácia v prípadoch, keď zákazník prepojí Google služby;
  • Google Maps API na vyhľadávanie adries a miest, ak sú tieto funkcie použité;
  • spracovateľov platieb na spracovanie predplatného, platobných metód, faktúr, poplatkov za miesta v tíme a usage-based účtovania SMS nad limit;
  • Resend na doručovanie transakčných e-mailov;
  • BulkGate na doručovanie transakčných SMS.

AppoTo nepredáva osobné údaje, vrátane údajov používateľov Google, a nezdieľa osobné údaje s inzerentmi ani ich nepoužíva na reklamu. Pre súčasnú Google integráciu v AppoTo znamenajú údaje používateľov Google údaje z Google účtu a Google Kalendára, ktoré AppoTo získa po tom, čo používateľ udelí súhlas, najmä:

  • identifikátory Google účtu a e-mailovú adresu použitú na prepojenie účtu;
  • metadáta zoznamu Google kalendárov, ID kalendárov, nastavenia vybraných kalendárov, informácie o dostupnosti a free/busy;
  • údaje o kalendárových udalostiach potrebné pre plánovacie funkcie AppoTo, napríklad ID udalostí, začiatky a konce, stav, názvy, popisy, sync tokeny, metadáta watch kanálov a OAuth access a refresh tokeny.

AppoTo zdieľa, prenáša alebo sprístupňuje údaje používateľov Google iba príjemcom a v situáciách uvedených nižšie:

  • službám Google Cloud vrátane Firebase ako poskytovateľom infraštruktúry, ktorí zabezpečujú hosting služieb AppoTo, databázy, autentifikáciu, cloudové funkcie, úložisko, logy a prevádzkový monitoring;
  • službám Google API, ak je to nevyhnutné na čítanie, vytváranie, úpravu, mazanie, sledovanie a synchronizáciu kalendárov a udalostí Google Kalendára vyžiadaných používateľom;
  • oprávneným členom rovnakého AppoTo tenantu, napríklad vlastníkom firmy, administrátorom alebo zamestnancom, iba ak to vyžaduje produktová funkcia, napríklad zobrazenie dostupnosti, rezervačných udalostí, priradenie kalendára alebo zdieľanie kalendára so zamestnancami nastavené zákazníkom;
  • pracovníkom podpory, bezpečnosti, právnych alebo compliance činností iba tam, kde je to nevyhnutné na prevádzku, zabezpečenie, riešenie problémov, vymáhanie podmienok alebo splnenie právnej povinnosti;
  • tretej strane iba na výslovný pokyn používateľa, ak to vyžaduje právny predpis alebo ak je to nevyhnutné na ochranu práv, bezpečnosti a zabezpečenia používateľov, AppoTo alebo verejnosti.

5. Údaje z Google Kalendára a Google API Limited Use

AppoTo pristupuje k údajom z Google Kalendára iba po tom, čo používateľ prepojí Google účet a udelí súhlas. Údaje z Google Kalendára používame iba na poskytovanie kalendárových funkcií produktu: výber alebo vytvorenie kalendárov, synchronizácia termínov a blokácií, import udalostí na žiadosť používateľa, výpočet dostupnosti, prijímanie oznámení o zmenách v kalendári, zobrazenie stavu synchronizácie a zdieľanie kalendárov s členmi tímu, ak zákazník túto funkciu povolí.

AppoTo ukladá OAuth access a refresh tokeny serverovo v tenant workspace zákazníka, aby synchronizácia kalendára mohla pokračovať aj po prvom prepojení. Prístup k údajom z Google Kalendára a tokenom je obmedzený na automatizovanú prevádzku služby a na oprávnený prístup podpory, bezpečnosti alebo právnej povinnosti tam, kde je to nevyhnutné. AppoTo údaje používateľov z Google nepredáva, nepoužíva ich na reklamu, nepoužíva ich na trénovanie všeobecných AI modelov a neodovzdáva ich tretím stranám okrem prípadov, keď je to nevyhnutné na poskytovanie alebo zabezpečenie AppoTo, splnenie právnych povinností alebo podľa výslovného pokynu používateľa. Používanie a odovzdávanie informácií získaných z Google API zo strany AppoTo sa riadi Google API Services User Data Policy vrátane požiadaviek Limited Use.

Používatelia môžu Google Kalendár odpojiť v AppoTo, odobrať prístup AppoTo vo svojom Google účte alebo požiadať o výmaz na info@appo.to. Po odpojení alebo odvolaní prístupu AppoTo zastaví nové synchronizačné operácie pre dané prepojenie a vymaže alebo ďalej nepoužíva uložené OAuth tokeny, ak dlhšie uchovávanie nie je vyžadované z bezpečnostných, právnych alebo účtovných dôvodov.

6. Ochrana údajov a zabezpečenie

AppoTo používa technické a organizačné opatrenia určené na ochranu osobných údajov, vrátane údajov používateľov Google a OAuth tokenov, proti neoprávnenému prístupu, sprístupneniu, zmene alebo strate. Tieto opatrenia zahŕňajú:

  • šifrovanie pri prenose pomocou HTTPS/TLS pre komunikáciu aplikácie, API a Google API;
  • šifrovanie pri uložení zabezpečované službami Google Cloud vrátane Firebase pre uložené databázy, súbory, logy a prevádzkové údaje;
  • serverové ukladanie Google OAuth tokenov namiesto vystavenia refresh tokenov v prehliadači;
  • Firebase Authentication, tenantové autorizačné kontroly, Firestore security rules a role-based access controls na obmedzenie prístupu do zákazníckych workspace;
  • prístup prevádzkového personálu podľa zásady najmenších oprávnení, obmedzený na potreby podpory, bezpečnosti, právnych činností alebo prevádzky služby;
  • oddelenie tenantových údajov tak, aby používatelia jedného zákazníka nemohli bežnými produktovými postupmi pristupovať k údajom workspace iného zákazníka;
  • prevádzkové logovanie, monitoring a kontroly prevencie zneužitia na detekciu a vyšetrovanie podozrivej aktivity;
  • limity uchovávania, odpojovacie toky, podporu odvolania prístupu a vybavovanie žiadostí o výmaz podľa týchto zásad.

7. Prenosy do tretích krajín

Niektorí poskytovatelia používaní v AppoTo môžu osobné údaje spracúvať alebo sprístupňovať mimo EÚ alebo EHP, vrátane tretích krajín, ako sú Spojené štáty americké. Ak k tomu dochádza, AppoTo sa opiera o mechanizmus prenosu popísaný v dokumentácii príslušného poskytovateľa, napríklad o rozhodnutie o primeranosti, štandardné zmluvné doložky alebo iný zákonný mechanizmus podľa kapitoly V GDPR.

8. Doba uchovávania

Ak právny predpis nevyžaduje dlhšiu dobu alebo nie je dlhšie uchovávanie potrebné na ochranu právnych nárokov, AppoTo aktuálne uchováva údaje počas týchto lehôt:

  • údaje o účte a nastavení prevádzky: počas trvania účtu a až 3 roky po jeho ukončení;
  • rezervačné a plánovacie záznamy: až 3 roky od dátumu termínu;
  • OAuth tokeny pre Google Kalendár: počas doby, keď je kalendárová integrácia prepojená, a následne sú vymazané alebo deaktivované po odpojení, odvolaní prístupu, ukončení účtu alebo overenej žiadosti o výmaz, ak dlhšie uchovávanie nie je potrebné z bezpečnostných, právnych alebo protiabúznych dôvodov;
  • metadáta synchronizácie Google Kalendára, napríklad ID vybraných kalendárov, ID vzdialených udalostí, sync tokeny a metadáta watch kanálov: počas doby potrebnej na poskytovanie synchronizácie a až 3 roky spolu so súvisiacim rezervačným alebo plánovacím záznamom, ak nie sú vymazané skôr alebo ak právny predpis nevyžaduje dlhšie uchovávanie;
  • podpora a prevádzková komunikácia: až 2 roky od poslednej komunikácie;
  • bezpečnostné a aplikačné logy: spravidla až 90 dní, ak nie je potrebné dlhšie uchovávanie kvôli vyšetrovaniu alebo prevencii zneužitia;
  • účtovné a daňové záznamy: 10 rokov, ak to vyžadujú české účtovné alebo daňové predpisy;
  • záznamy o marketingovom súhlase: do odvolania súhlasu a následne až 3 roky na preukázanie súladu.

9. AppoTo AI

Ak sa prihlásený používateľ rozhodne použiť AppoTo AI, AppoTo spracuje jeho otázku a iba údaje z účtu potrebné na odpoveď alebo vykonanie povolenej zmeny rezervačných pravidiel. Podľa požiadavky môže ísť o obmedzené kontaktné údaje klienta a údaje o návštevách, údaje o procedúrach a termínoch, mesačné súhrny reportov, mená pracovníkov, oprávnenia a rezervačné nastavenia. AppoTo AI je navrhnuté tak, aby modelu neposielalo poznámky ku klientom, fotografie, odpovede z konzultácií, obsah správ, prílohy, bankové údaje ani platobné identifikátory.

Na vytváranie odpovedí AppoTo AI používame Google Cloud Vertex AI. Podmienky Google Cloud stanovujú, že Customer Data sa bez predchádzajúceho súhlasu alebo pokynu zákazníka nepoužívajú na trénovanie ani dolaďovanie AI/ML modelov. Spracovanie modelom je nastavené pre región v EÚ. Existujúca databáza AppoTo vo Firebase je hostovaná v severoamerickom multi-regióne, preto nemožno AppoTo AI chápať ani prezentovať ako službu s úplnou dátovou rezidenciou v EÚ.

Každý prihlásený používateľ má súkromnú konverzáciu AppoTo AI, ktorá nie je automaticky viditeľná majiteľovi prevádzky, správcom, ďalším členom tímu ani podpore. Správy sa uchovávajú najviac 90 dní, pokiaľ ich používateľ nevymaže skôr. Minimálny záznam o vykonaných akciách obsahujúci aktéra, prevádzku, príkaz, dotknutý záznam, hodnoty pred a po zmene a výsledok, nie však text chatu, sa uchováva najviac 12 mesiacov. Technická telemetria je navrhnutá bez textu otázok. Google môže v obmedzenom rozsahu uchovávať otázky, ak je to podľa príslušných cloudových podmienok potrebné na kontrolu zneužitia.

10. Local storage a cookies

Podľa aktuálneho kódu AppoTo ukladá do local storage alebo session storage jazykové preferencie, rozpracovaný onboarding a pomocné údaje pre rezervačný formulár. AppoTo používa Firebase Performance Monitoring na prevádzkové meranie výkonu, napríklad rýchlosti načítania stránok, času zmeny sekcií a sieťových požiadaviek. AppoTo tiež používa Firebase Crashlytics a Google Cloud Error Reporting na zhromažďovanie technických hlásení o pádoch a chybách aplikácie, ktoré sú potrebné na spoľahlivú prevádzku služby. Tieto hlásenia majú obsahovať technický kontext, napríklad dotknutú časť aplikácie, verziu aplikácie, typ zariadenia a záznam chyby, nie správy a poznámky zákazníkov, platobné údaje, mená, e-mailové adresy ani telefónne čísla. AppoTo aktuálne neinicializuje Google Analytics, Meta Pixel ani podobné marketingové analytické skripty. Ak budú v budúcnosti pridané nepovinné marketingové analytické nástroje, pred ich aktiváciou bude zabezpečený súhlas tam, kde to vyžaduje právny predpis.

11. Vaše práva

V rozsahu stanovenom právnymi predpismi môžete požadovať prístup, opravu, výmaz, obmedzenie spracúvania, prenosnosť alebo namietať proti spracúvaniu. Ak je spracúvanie založené na súhlase, môžete súhlas kedykoľvek odvolať bez toho, aby bola dotknutá zákonnosť predchádzajúceho spracúvania. Google Kalendár môžete tiež kedykoľvek odpojiť v AppoTo alebo odobrať prístup AppoTo vo svojom Google účte.

12. Sťažnosti

Ak sa domnievate, že sú vaše osobné údaje spracúvané v rozpore s právnymi predpismi, môžete podať sťažnosť príslušnému dozornému orgánu. Keďže prevádzkovateľ sídli v Českej republike, hlavným dozorným orgánom je Úřad pro ochranu osobních údajů (Pplk. Sochora 727/27, 170 00 Praha 7, ČR, https://uoou.gov.cz). Sťažnosť však môžete podať aj dozornému orgánu vo vašej krajine, napríklad Úradu na ochranu osobných údajov Slovenskej republiky (Hraničná 12, 820 07 Bratislava, https://dataprotection.gov.sk).

13. Kontakt

Žiadosti týkajúce sa ochrany osobných údajov zasielajte na info@appo.to.

13. Mobilná aplikácia, prihlásenie cez Apple, upozornenia a informácie o súkromí v App Store

Keď používate AppoTo na iOS alebo inej mobilnej platforme, môžeme spracúvať:

  • údaje z Prihlásenia cez Apple, napríklad Apple identifikátor používateľa, e-mailovú adresu alebo adresu Private Relay, zobrazované meno, ak ho Apple poskytne pri prvom prihlásení, a metadáta poskytovateľa autentifikácie. Tieto údaje používame na vytvorenie, prepojenie, zabezpečenie a podporu vášho účtu AppoTo.
  • údaje poskytovateľov autentifikácie pre iné spôsoby prihlásenia, napríklad Google alebo e-mail a heslo, aby bolo možné prepojiť účty používajúce rovnaký e-mail alebo zobraziť odporúčanie k správnemu spôsobu prihlásenia.
  • údaje pre push upozornenia, vrátane registračných tokenov Firebase Cloud Messaging/APNs, identifikátorov zariadenia alebo platformy potrebných na doručovanie upozornení, stavu povolenia upozornení a nastavení upozornení. Používame ich na doručovanie transakčných upozornení o termínoch, čakacej listine, účte, kalendári a pripomienkach, ktoré zapnete alebo ktoré sú potrebné na prevádzku služby.
  • údaje pre Live Activities a widgety na podporovaných zariadeniach Apple, napríklad stav procedúry alebo termínu, časy začiatku a konca, kontext pracovníka alebo prevádzky a lokálny zdieľaný stav App Group potrebný na zobrazenie aktivity na zamknutej obrazovke, v Dynamic Island alebo vo widgetoch. Tieto údaje slúžia iba pre viditeľnú funkciu aplikácie a nepoužívame ich na reklamu.
  • údaje o zariadení a stave aplikácie potrebné na zabezpečenie, diagnostiku, prevenciu podvodov, zmazanie účtu a podporu, vrátane verzie aplikácie, platformy, crash alebo diagnostických logov, ak ich platforma poskytne, a prevádzkových logov.

Integrácia Apple Kalendára je oddelená od Prihlásenia cez Apple. Ak pripojíte Apple Kalendár pomocou hesla pre konkrétnu aplikáciu, spracúvame e-mail Apple účtu, heslo pre konkrétnu aplikáciu alebo prihlasovací údaj uložený serverovo, metadáta vybraného kalendára, informácie o dostupnosti a free/busy a údaje o kalendárových udalostiach potrebné na synchronizáciu termínov, ak je táto funkcia zapnutá.

Informácie o súkromí v App Store: Pri distribúcii pre iOS musia odpovede v App Store Connect a štítky ochrany súkromia v App Store popisovať údaje, ktoré aplikácia AppoTo a jej SDK zhromažďujú. Tieto štítky sú súhrnom a majú byť udržiavané v súlade s týmito zásadami, vrátane identifikátorov účtu, kontaktných údajov, používateľského obsahu a rezervačných údajov, identifikátorov zariadenia alebo push tokenov, diagnostiky a platobných alebo predplatiteľských údajov tam, kde sú zhromažďované. AppoTo tieto údaje nepoužíva na reklamu tretích strán ani sledovanie naprieč aplikáciami a webmi, pokiaľ to budúca verzia výslovne neuvedie a nezíska prípadný vyžadovaný súhlas.