Zásady ochrany osobních údajů
Verze ze dne 29. 9. 2026
Toto je překlad. Závazná je polská verze.
1. Správce a kontakt
Správcem tvých osobních údajů (ve smyslu GDPR) je:
- Rafał Wasil, podnikající fyzická osoba pod obchodní firmou WASIL RAFAŁ
- Adresa: ul. Rezydencka 11, Grzepnica, 72-003 Dobra (Szczecińska), Polsko
- DIČ (NIP): 8512906989 · REGON: 320846551 · zapsaný v CEIDG (Polsko)
- Pomoc: support@gridhunt.app
- Ochrana osobních údajů: privacy@gridhunt.app
- Adresa pro elektronické doručování (Polsko): AE:PL-37059-17121-TTEWJ-25
Pověřence pro ochranu osobních údajů jsme nejmenovali (nemáme takovou povinnost). Ve všech záležitostech týkajících se údajů piš na privacy@gridhunt.app. Tyto zásady se vztahují na gridhunt.app, aplikace pro iPhone a Apple Watch, aplikace Connect IQ (Garmin), rozšíření pro Karoo a Integrace popsané v podmínkách používání.
2. Jaké údaje zpracováváme
- Účet: tvoje jméno nebo zobrazované jméno, e-mailová adresa, profilový obrázek (adresa obrázku od poskytovatele přihlášení), jazyk, identifikátor od poskytovatele přihlášení (Strava, Apple, Google, Facebook) a tvoje nastavení a souhlasy (s daty). Ostatní vidí zobrazované jméno, které si nastavíš v Gridhuntu (viz Údaje ze Stravy a veřejné funkce).
- Aktivity: název, typ sportu, datum, vzdálenost a GPS stopa. Ze stopy vypočítáme získané dlaždice a uchováme zjednodušenou trasu, kterou ti zobrazujeme. Surové GPS body aktivit importovaných z jiných služeb po zpracování mažeme. U jízd zaznamenaných v aplikaci Gridhunt pro iPhone uchováváme původní soubor (GPX), aby bylo možné ho znovu zpracovat nebo odeslat na Stravu. U každé aktivity ukládáme její zdroj (např. Strava API, nahraný soubor, záznam v aplikaci Gridhunt, propojená aplikace), protože na něm závisí, kde se aktivita smí zobrazit.
- Cíle a trasy: oblasti, které chceš získat, a plánované trasy (soubory GPX).
- Integrace: tvoje ID a jméno účtu v propojené službě, udělený rozsah oprávnění a přístupové tokeny (šifrované). Tvoje hesla k těmto službám neznáme. Výjimkou je současné propojení s komootem: heslo zadáš jednou, použije se jen k získání tokenu a nikdy se neukládá.
- Zařízení: název spárovaného zařízení (Garmin, Karoo, Wahoo), čas jeho posledního připojení a hash jeho tokenu. Během jízdy zařízení odesílá svoji aktuální polohu, aby si stáhlo dlaždice v tvém okolí; tuto polohu neukládáme.
- Komunita: přátelství, hlášení „nedosažitelných“ dlaždic, hlasy, komentáře a fotografie (s metadaty EXIF, která mohou obsahovat místo a čas pořízení fotografie) a tvoje nastavení žebříčku a veřejného odkazu.
- Premium: tvoje ID zákazníka a předplatného ve Stripe, tarif, stav, období, země, částky a doklady. Údaje o tvé kartě nikdy nevidíme.
- Technické a bezpečnostní údaje: záznamy událostí (přihlášení, změny nastavení, platby) s IP adresou, počítadla proti zneužití (e-mailová adresa, IP) a serverové logy.
- Kontakt: obsah zpráv, které nám pošleš (pomoc, reklamace, žádosti podle GDPR).
- Hlášení o chybách a hlášení problémů: když aplikace nebo web Gridhunt narazí na chybu, s tvým souhlasem odešleme technické hlášení: typ chyby, výpis zásobníku, verzi aplikace, model zařízení nebo prohlížeče, verzi systému a tvé poslední kroky v aplikaci (např. otevřené obrazovky). Hlášení neobsahuje tvůj e-mail; e-mailové adresy, tokeny a souřadnice z něj automaticky odstraňujeme. Polohu a stav jízdy přikládáme jen tehdy, když zaškrtneš „Přiložit kontext jízdy“. O odeslání rozhoduješ pokaždé, nebo jednou provždy v Nastavení → Soukromí („ptát se / vždy / nikdy“). S tvým účtem hlášení propojíme jen na tvou žádost; jeho stav pak uvidíš v „Moje hlášení“. Hlášení, která pošleš sám (popis, údaje o zařízení, volitelný snímek obrazovky), zpracováváme stejně; snímek obrazovky předáme týmu jako přílohu jen s tvým souhlasem. Právní základ hlášení o chybách: souhlas (čl. 6 odst. 1 písm. a GDPR), který můžeš kdykoli odvolat v nastavení; hlášení problémů: plnění smlouvy (čl. 6 odst. 1 písm. b GDPR).
3. Odkud údaje pocházejí
Většinu údajů nám poskytuješ sám nebo vznikají při používání Gridhuntu. Některé pocházejí ze služeb, které se rozhodneš propojit:
- Přihlášení: Strava, Apple, Google a Facebook nám předávají tvoje jméno, e-mail (pokud ho sdílejí), profilový obrázek a identifikátor.
- Aktivity: (1) propojení se Stravou přes Strava API (automatický import po propojení účtu); (2) soubory a archivy, které nahraješ (GPX, FIT, TCX, ZIP), včetně archivu účtu exportovaného ze Stravy nebo z Garmin Connect; (3) jízdy nahrané v aplikacích Gridhunt (iPhone, Apple Watch, v budoucnu Android); (4) další propojené aplikace: Wahoo, Garmin Connect, Suunto, COROS, Polar, Ride with GPS (některé Integrace jsou v přípravě); (5) komoot. Nahrané soubory po zpracování mažeme, nejpozději po 7 dnech; aktivity a dlaždice z nich vypočítané zůstávají.
- Aplikace pro iPhone a Apple Watch: GPS stopa zaznamenávané jízdy (i na pozadí, dokud záznam běží) a fotografie z fotoaparátu nebo knihovny, když hlásíš dlaždici. Aplikace pro hodinky čte tvoji tepovou frekvenci z Apple Health (HealthKit), aby ji zobrazila během jízdy, a ukládá trénink do Apple Health. Údaje z HealthKitu, včetně tepové frekvence, na naše servery neposíláme.
- Zařízení Garmin a Karoo: z Gridhuntu údaje jen stahují (dlaždice, cíl, trasy, tvoje křestní jméno a iniciálu příjmení); aktivity nenahrávají.
4. Účely a právní základy
- Poskytování Služby (účet, přihlášení odkazem v e-mailu nebo přes poskytovatele, počítání dlaždic, mapa, cíle, plánovač, přátelé, zařízení, Integrace, export a smazání údajů, pomoc): plnění smlouvy, čl. 6 odst. 1 písm. b) GDPR.
- Premium a platby (předplatné, zkušební doba, oprávnění): plnění smlouvy, čl. 6 odst. 1 písm. b). Reklamace, odstoupení od smlouvy, daňové a účetní povinnosti: právní povinnost, čl. 6 odst. 1 písm. c) GDPR.
- Žebříček čtverců a pomoc ostatním v plánovači: tvůj souhlas (zapínáš je v Nastavení), čl. 6 odst. 1 písm. a) GDPR; odvoláš ho vypnutím volby.
- Analytika s cookies (Google Analytics 4, Microsoft Clarity) a reklamní signály Googlu: souhlas, čl. 6 odst. 1 písm. a) GDPR.
- Bezpečnost, prevence zneužití a podvádění v žebříčku, moderování obsahu (DSA), statistiky bez cookies, určení, výkon a obhajoba právních nároků: naše oprávněné zájmy, čl. 6 odst. 1 písm. f) GDPR.
5. Kdo vidí tvoje údaje
Ve výchozím nastavení jen ty. Ostatním tvoje údaje zobrazujeme jen v níže uvedených situacích, které si sám zapneš:
- Přátelé (po přijetí oběma stranami): tvoje získané dlaždice (z14 a z17), počet aktivit a počet jízd a kilometrů za rok. Nevidí trasy, data ani cíle. Přátelství můžeš kdykoli ukončit.
- Žebříček čtverců („Zobrazuj mě v žebříčku“): přihlášení uživatelé vidí tvoje zobrazované jméno (viz níže), avatar, velikost a polohu až 10 tvých čtverců a dlaždice v nich. Nevidí trasy ani data. Název místa pro střed každého čtverce zjišťujeme přes OpenStreetMap Nominatim a odesíláme jen souřadnice. Vypnutím volby z žebříčku okamžitě zmizíš. Pamatuj, že poloha čtverce může prozradit oblast, kde bydlíš nebo trénuješ.
- Pomoc ostatním v plánovači: ostatní se dozví jen to, že „někdo“ projel dlaždicí, která je překážkou v OpenStreetMap, nikdy tvoje jméno, trasy ani data. Vypnutím volby svůj příspěvek odstraníš.
- Veřejný odkaz (Nastavení → Sdílení): kdokoli s odkazem vidí tvoje zobrazované jméno, tvoje získané dlaždice z14 podle roků a tvoje cíle (název a obrys). Nevidí trasy ani dlaždice z17. Odkaz sám nevyprší a vyhledávače ho neindexují. Vypnutím se odkaz smaže; opětovným vygenerováním vznikne nový.
- Hlášení „nedosažitelných“ dlaždic, komentáře a fotografie vidí všichni přihlášení uživatelé spolu s tvým jménem a avatarem.
- Pozvánky k přátelství: kdokoli s tvým odkazem na pozvánku vidí tvoje zobrazované jméno.
Jen údaje mimo Strava API. Vše popsané výše počítáme výhradně z aktivit, které nepřišly přes Strava API. Údaje získané přes Strava API nikomu jinému v žádné podobě neukazujeme, ani když jsou tyto možnosti zapnuté (viz Údaje ze Stravy a veřejné funkce). Ostatní vidí zobrazované jméno, které si nastavíš v Gridhuntu, nikdy jméno ani profilovou fotku z tvého účtu Strava. Videa (reels) vytváří tvůj prohlížeč nebo telefon a na naše servery se nikdy nedostanou.
Administrátorský přístup má jen poskytovatel služby. Na GPS stopu aktivity se díváme jen tehdy, když byla aktivita automaticky označena, protože prochází dlaždicí nahlášenou jako nedosažitelná, a každé takové zobrazení se zaznamenává. O vyřazení aktivity rozhoduje člověk.
6. Údaje ze Stravy a veřejné funkce
U každé aktivity ukládáme její zdroj. Na něm závisí, kdo smí vidět dlaždice z ní vypočítané.
- Strava API: jen pro tebe. Aktivity automaticky importované po propojení účtu Strava a dlaždice a trasy z nich vypočítané ukazujeme jen tobě: na tvé mapě, ve statistikách, v plánovači, v jízdách a ve videích vytvořených na tvém zařízení. Nikdy je nepoužíváme v žebříčku čtverců, ve funkcích pro přátele, ve veřejném odkazu, v souhrnných údajích komunity (pomoc ostatním v plánovači) ani v marketingových materiálech. Vyžadují to pravidla Strava API.
- Veřejné zdroje. Funkce, které něco ukazují ostatním, používají jen soubory a archivy, které nahraješ (včetně archivu ZIP exportovaného ze Stravy nebo z Garmin Connect), jízdy nahrané v aplikacích Gridhunt, zařízení a další propojené aplikace (např. Wahoo, Garmin, Ride with GPS, komoot). Fungují, jen když je zapneš (viz Kdo vidí tvoje údaje).
- Jedna jízda, jedna kopie. Když stejná jízda přijde z více zdrojů, ponecháme jednu kopii v tomto pořadí: záznam v aplikaci Gridhunt, zařízení Garmin (Connect IQ), nahraný soubor nebo archiv, další propojené aplikace, komoot a nakonec Strava API. Aktivita z archivu ZIP ze Stravy nahradí stejnou aktivitu získanou dříve přes Strava API.
- Strava API: nejvýš 7 dní. Aktivitu získanou přes Strava API a z ní spočítané dlaždice a trasy uchováváme nejvýš 7 dní od stažení. Potom je smažeme, pokud stejnou aktivitu sám nenahraješ (archiv ZIP nebo soubor) nebo nezaznamenáš v aplikaci Gridhunt — pak zůstane tvoje kopie z tohoto zdroje. Smazání aktivity na Stravě odstraní jen kopii získanou přes Strava API, nikdy kopii, kterou jsi sám nahrál.
- Jak zveřejnit historii ze Stravy. Pokud chceš, aby se tvoje dřívější aktivity ze Stravy počítaly v žebříčku a u přátel, stáhni si na Stravě archiv svého účtu a nahraj soubor ZIP do Gridhuntu. Návod krok za krokem: Zdroje dat.
- Veřejné jméno. Ostatní vidí zobrazované jméno, které si nastavíš v Gridhuntu. Pokud si ho nenastavíš, ukážeme jméno z jiného způsobu přihlášení (e-mail, Apple, Google, Facebook) jen tehdy, když nemáš propojenou Stravu; jinak neutrální označení s číslem. Jméno ani profilovou fotku z účtu Strava ostatním nikdy neukazujeme.
7. Příjemci údajů
Zpracovatelé jednající naším jménem (na základě smluv o zpracování osobních údajů):
- Microsoft Ireland Operations Ltd. (Azure): servery, databáze, úložiště souborů, Key Vault (šifrovací klíče), logy a monitoring (Application Insights) a odesílání e-mailů s odkazy pro přihlášení (Azure Communication Services). Region: West Europe (Nizozemsko); umístění dat e-mailů: Evropa.
- Cloudflare, Inc. (USA): DNS, CDN, ochrana před útoky (WAF) a Cloudflare Web Analytics. Provoz na web včetně tvé IP adresy prochází přes Cloudflare.
- Google Ireland Ltd. (Google Analytics 4) a Microsoft Ireland Operations Ltd. (Clarity): jen s tvým souhlasem, viz cookies.
- Microsoft Ireland Operations Ltd. (Azure DevOps): řešení chyb a hlášení týmem. Předáváme technický popis chyby nebo text hlášení, počet výskytů a interní identifikátor, bez tvého jména, e-mailu a bez surového hlášení o chybě.
Samostatní správci (zpracovávají údaje podle vlastních podmínek):
- Stripe: Stripe Payments Europe, Ltd. (Irsko) a Sold through Link, LLC (USA) v rámci Stripe Managed Payments. Zajišťují platbu, daně, doklady, prevenci podvodů a podporu k transakcím. Předáváme jim tvůj e-mail, jméno, ID uživatele a jazyk; údaje o kartě zadáváš přímo Stripe. Zásady: stripe.com/privacy, link.com/privacy.
- Služby, které propojíš: Strava, komoot, Wahoo, Garmin, Suunto, COROS, Polar, Ride with GPS a poskytovatelé přihlášení (Apple, Google, Meta/Facebook). Na tvůj pokyn jim posíláme údaje (např. jízdu na Stravu nebo trasu do Wahoo) a stahujeme od nich aktivity.
- Apple (App Store, Apple Health ve tvém zařízení) a Garmin (obchod Connect IQ): podle jejich vlastních podmínek.
Mapové služby: tvůj prohlížeč načítá mapové dlaždice z OpenFreeMap (tiles.openfreemap.org), který vidí tvoji IP adresu a oblast, kterou si prohlížíš. Náš server se ptá OpenStreetMap Nominatim na názvy míst a serverů Overpass API na údaje o cestách a odesílá jen souřadnice nebo oblast, nic o tobě. Výpočet tras (BRouter) běží na našem vlastním serveru. Avatary z Googlu, Facebooku nebo Stravy načítá tvůj prohlížeč přímo ze serverů těchto společností.
Údaje můžeme předat také orgánům veřejné moci, pokud to vyžaduje zákon, a poradcům (účetním, právníkům) vázaným profesním tajemstvím.
8. Předávání mimo EHP
Naše servery jsou v EU. Údaje se mohou dostat do zemí mimo Evropský hospodářský prostor, hlavně do USA, prostřednictvím Cloudflare, Googlu, Microsoftu (Clarity), Stripe/Link a služeb, které propojíš. Právním základem je rozhodnutí Evropské komise o odpovídající ochraně (EU-US Data Privacy Framework, pokud je příjemce certifikován) nebo standardní smluvní doložky (čl. 46 odst. 2 písm. c) GDPR). Informace o zárukách ti na požádání pošleme. Když propojíš službu se sídlem mimo EHP, k předání dochází na tvůj pokyn na základě tvé smlouvy s danou službou.
9. Jak dlouho údaje uchováváme
- Účet, aktivity, dlaždice, cíle, trasy, přátelství: dokud nesmažeš účet. Účty mažeme okamžitě, bez ochranné lhůty. Zálohy databáze a souborů vyprší po 7 dnech.
- Údaje ze Stravy: když Gridhunt odpojíš (v Nastavení Gridhuntu nebo na Stravě), smažeme všechny aktivity získané přes Strava API a údaje z nich vypočítané (dlaždice, trasy). Aktivity ze souborů, které jsi nahrál sám (včetně archivu ZIP ze Stravy), a jízdy nahrané v Gridhuntu zůstávají, dokud je nesmažeš nebo nesmažeš účet. Jinak aktivity získané přes Strava API mažeme nejpozději 7 dní po stažení a aktivitu smazanou na Stravě hned (jen kopii ze Strava API).
- Ostatní Integrace: po odpojení zrušíme přístup a smažeme tokeny; importované aktivity zůstanou, dokud je nebo svůj účet nesmažeš.
- Nahrané soubory: mažeme po zpracování, nejpozději po 7 dnech.
- Hlášení dlaždic a komentáře: po smazání účtu zůstanou bez tvého jména a avataru; fotografie se smažou.
- Bezpečnostní záznamy s IP adresou: 12 měsíců; počítadla proti zneužití: až 30 dní; serverové logy: 30 dní.
- Údaje o předplatném: u nás do smazání účtu; Stripe/Link uchovává doklady a údaje o transakcích tak dlouho, jak vyžadují daňové předpisy.
- Korespondence a reklamace: až 3 roky po uzavření věci (obhajoba nároků).
- Analytika: Google Analytics 14 měsíců; Clarity: záznamy až 30 dní, souhrnná data až 13 měsíců.
- Hlášení o chybách: surová hlášení 90 dní; všechna hlášení propojená s účtem mažeme spolu s ním. Hlášení problémů: dokud je věc otevřená, poté jako korespondence; po smazání účtu zůstávají bez vazby na tebe.
10. Tvoje práva
Máš právo na přístup ke svým údajům a jejich kopii, na opravu, výmaz, omezení zpracování a přenositelnost údajů, právo vznést námitku proti zpracování založenému na našich oprávněných zájmech a právo kdykoli odvolat souhlas (bez vlivu na zákonnost předchozího zpracování).
- Sám: v Nastavení si můžeš stáhnout svoje údaje (soubor JSON s profilem, aktivitami, dlaždicemi, cíli, přáteli a předplatným), opravit je, odpojit Integrace, vypnout žebříček, pomoc v plánovači a veřejný odkaz a smazat účet.
- E-mailem: na privacy@gridhunt.app; odpovíme do jednoho měsíce. Můžeme tě požádat o potvrzení, že žádost pochází od držitele účtu.
- Stížnost: u polského dozorového úřadu, předsedy Úřadu pro ochranu osobních údajů (UODO, ul. Stawki 2, 00-193 Varšava, uodo.gov.pl), nebo u úřadu pro ochranu osobních údajů ve tvé zemi. V Česku je to Úřad pro ochranu osobních údajů (uoou.gov.cz).
Poskytnutí údajů je dobrovolné, ale bez e-mailové adresy nebo účtu u poskytovatele přihlášení si nemůžeš založit účet a bez aktivit nemůžeme počítat dlaždice.
12. Bezpečnost
Spojení jsou šifrovaná (HTTPS) a uložená data jsou šifrovaná. Tokeny pro Stravu a další služby jsou navíc šifrované (AES-256-GCM) klíčem uloženým v Azure Key Vault. Tokeny zařízení a párovací kódy ukládáme jen jako hashe. Hesla ke Gridhuntu neexistují, protože se přihlašuješ odkazem v e-mailu nebo přes poskytovatele. Administrátorský přístup je omezený a zaznamenávaný. Pokud by tě porušení zabezpečení osobních údajů ohrozilo, oznámíme to tobě i dozorovému úřadu, jak vyžaduje GDPR.
13. Děti
Gridhunt je určen osobám od 16 let. Vědomě neshromažďujeme údaje mladších dětí; pokud to zjistíme, účet smažeme. Pokud jsi rodič a myslíš si, že si tvoje dítě založilo účet, napiš na privacy@gridhunt.app.
14. Profilování, AI a prodej údajů
- Nečiníme o tobě rozhodnutí založená výhradně na automatizovaném zpracování, která by měla právní účinky nebo se tě podobně významně dotýkala (čl. 22 GDPR). Jediným automatizovaným krokem je označení aktivit ke kontrole člověkem (viz výše).
- Tvoje údaje nepoužíváme k trénování modelů umělé inteligence a nesdílíme je k tomuto účelu s jinými.
- Osobní údaje neprodáváme ani je nesdílíme s inzerenty nebo obchodníky s daty.
15. Změny těchto zásad a historie změn
O podstatných změnách tě budeme informovat v aplikaci nebo e-mailem předtím, než nabudou účinnosti. Pokud změna vyžaduje tvůj souhlas, požádáme tě o něj.
- 29. 9. 2026. (k právní kontrole) Hlášení o chybách a hlášení problémů: rozsah údajů, souhlas a nastavení „ptát se / vždy / nikdy“, uchovávání surových hlášení 90 dní, mazání spolu s účtem, Azure DevOps (Microsoft) jako zpracovatel.
- 29. 9. 2026. Zdroje dat: údaje získané přes Strava API vidí jen majitel účtu a nepoužívají se v žebříčku, ve funkcích pro přátele, ve veřejných odkazech ani v údajích komunity; veřejné funkce používají nahrané soubory a archivy, záznamy v aplikacích Gridhunt a další propojené zdroje; pořadí zdrojů u duplicit; zobrazované jméno nastavené v Gridhuntu; co se stane s údaji po odpojení Stravy. Údaje ze Strava API uchováváme nejvýš 7 dní, pokud stejnou aktivitu nenahraješ nebo nezaznamenáš v Gridhuntu; smazání aktivity na Stravě neodstraní tvou nahranou kopii.
- 28. 9. 2026. Nová verze: úplné údaje o správci, účely a právní základy, nové zdroje údajů (komoot, Wahoo, Garmin a další, aplikace pro iPhone a Apple Watch, zařízení), Stripe Managed Payments, veřejné odkazy, hlášení dlaždic, doby uchovávání, práva, minimální věk 16 let, adresa gridhunt.app.
- Dříve: verze z předběžného přístupu popisující cookies a analytiku.