Zásady ochrany osobních údajů

Aplikace: bikested (mobilní aplikace pro iOS a Android) Provozovatel: Tomáš Ross, samostatně podnikající fyzická osoba, se sídlem Hanácká 62/63, 751 24 Přerov, Česká republika, IČO: 87884020, DIČ: CZ9112194487 (identifikovaná osoba dle § 6g zákona č. 235/2004 Sb., o DPH), evidovaný v živnostenském rejstříku vedeném Magistrátem města Přerov (dále jen „Provozovatel" nebo „my") Kontakt: privacy@bikested.com Verze dokumentu: 1.2 Účinnost od: 15.06.2026 Poslední aktualizace: 05.07.2026

1. Úvod

Tyto zásady ochrany osobních údajů (dále jen „Zásady") popisují, jaké osobní údaje shromažďujeme, k jakým účelům je používáme a jaká máte práva, když používáte mobilní aplikaci bikested (dále jen „Aplikace" nebo „Služba").

Provozovatel je správcem osobních údajů ve smyslu Nařízení Evropského parlamentu a Rady (EU) 2016/679, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů (dále jen „GDPR"), a zákona č. 110/2019 Sb., o zpracování osobních údajů.

Pokud máte k těmto Zásadám jakékoli otázky, kontaktujte nás na e-mailu privacy@bikested.com.

2. Definice pojmů

• Osobní údaj – jakákoli informace o identifikované nebo identifikovatelné fyzické osobě.
• Zpracování – jakákoli operace s osobními údaji (sběr, uchování, úprava, použití, sdílení, výmaz).
• Subjekt údajů (uživatel) – fyzická osoba, jejíž údaje zpracováváme; v kontextu Aplikace osoba, která si vytvořila účet.
• Správce – Provozovatel, který určuje účely a prostředky zpracování.
• Zpracovatel – třetí strana, která zpracovává údaje jménem Správce na základě smlouvy (DPA).
• Anonymizovaný údaj – údaj, který nelze přiřadit konkrétní osobě a nepodléhá GDPR.

3. Jaké údaje zpracováváme

3.1 Údaje, které nám sdělíte přímo

Registrace a účet:

• e-mailová adresa (při registraci přes Apple Sign In může jít o anonymizovaný relay e-mail ve tvaru …@privaterelay.appleid.com)
• heslo (uchováváno výhradně jako bcrypt hash, nikdy v plaintextu; neuplatní se při registraci přes Apple / Google Sign In)
• volitelně: zobrazované jméno, biografie (max. 280 znaků), uživatelské jméno (username), profilová fotografie

Profil cyklisty (volitelné):

• výška (cm), váha (kg), FTP (W), úroveň pokročilosti

Garáž a kola:

• značka, model, rok, velikost, typ (MTB / silnice / gravel / urban / BMX / e-bike), barva, datum a cena pořízení, fotografie kola, vlastní poznámky

Komponenty kol:

• značka, model, rok, váha, datum a cena pořízení, poznámky

Servisní deník:

• typ úkonu, popis, datum, najeté kilometry, cena, kdo úkon provedl (svépomocí / servis), případně název servisu, fotografie

AI asistent:

• obsah zpráv, které do chatu vepíšete

Placené předplatné (Lite / Plus):

• údaje o předplatném (typ, délka, datum začátku a konce, status)

Poznámka: Platební údaje (číslo karty atd.) nezpracováváme přímo – platby zpracovává výhradně Apple App Store nebo Google Play dle jejich vlastních zásad.

3.2 Údaje generované při užívání Aplikace

• identifikátor uživatele (UUID) přidělený systémem Supabase
• časové razítko vytvoření účtu, posledního přihlášení, posledních aktivit
• preferenční nastavení (styl AI odpovědí, oznamovací preference, jazyk, motiv)
• denní agregát využití AI (počet zpráv, počet tokenů – pro účely cost guardu)
• žurnál servisních úkonů, milníky najetých kilometrů, výročí kola
• agregovaná statistika: celkový počet kilometrů na kole

3.3 Údaje z propojených služeb

Apple Health / Health Connect (volitelné, na zařízení): Pokud jako zdroj najetých kilometrů zvolíte Apple Health (iOS) nebo Health Connect (Android), čteme z něj pouze:

• Vaše cyklistické aktivity (tréninky typu „cyklistika") a jejich vzdálenost, datum a čas

Čtení probíhá na Vašem zařízení, je pouze pro čtení (do Apple Health ani Health Connect nikdy nic nezapisujeme) a Apple ani Google nevystupují jako příjemci těchto dat od nás. Vzdálenost jízdy poté ukládáme v naší databázi pro výpočet najetých km a servisních intervalů. Nečteme tep, GPS, kalorie, spánek ani jiná zdravotní data.

99Spokes (databáze kol – server-side): Když vyhledáváte značku/model kola při přidávání do garáže, dotaz odesíláme přes náš server na službu 99Spokes. Neposíláme žádné vaše osobní údaje – pouze textový dotaz typu „Trek Fuel EX 8".

3.4 Technické a diagnostické údaje

Chybové hlášky a pády (Sentry, regio EU): Při neočekávané chybě nebo pádu Aplikace se anonymizovaná diagnostika odesílá službě Sentry (server v Německu):

• typ a verze operačního systému, model zařízení, jazyk
• verze Aplikace, stack trace chyby, breadcrumbs
• náš identifikátor uživatele (UUID) – pro spárování více chyb téhož uživatele při debugu
• NESBÍRÁME IP adresu, přesnou geolokaci, obsah obrazovek, vstupy uživatele

Sentry je nakonfigurován s tracesSampleRate = 0.2 (sample 20 % transakcí v produkci) a bez výchozího PII (sendDefaultPii = false).

Push notifikace:

• Expo push token zařízení (uchováváme v tabulce user_push_tokens)
• platforma (iOS / Android), identifikátor zařízení (volitelně)

4. Účely a právní základ zpracování

5. Příjemci osobních údajů

5.1 Zpracovatelé (čl. 28 GDPR)

S následujícími zpracovateli máme uzavřenou smlouvu o zpracování osobních údajů (DPA) ve smyslu čl. 28 GDPR. Zpracovávají osobní údaje výhradně podle našich pokynů a pro účely uvedené níže:

5.2 Samostatní správci a další příjemci

Následující subjekty nevystupují jako naši zpracovatelé, ale jako samostatní správci podle vlastních zásad ochrany osobních údajů. Údaje se k nim dostávají pouze tehdy, když příslušnou službu sami aktivujete nebo využijete:

5.3 Služby nepřijímající osobní údaje

Vaše osobní údaje neprodáváme žádné třetí straně. Údaje sdílíme pouze v rozsahu nezbytném pro provoz Aplikace.

6. Předávání údajů mimo EHP

Některé naše zpracovatele sídlí mimo Evropský hospodářský prostor (EHP), zejména v USA. Pro tyto přenosy uplatňujeme:

• Standardní smluvní doložky (SCC) ve znění prováděcího rozhodnutí Komise (EU) 2021/914
• EU-US Data Privacy Framework (DPF), pokud daný zpracovatel je certifikován
• doplňková technická opatření (šifrování přenosu TLS, šifrování v klidu)

Kopii těchto záruk poskytneme na vyžádání na privacy@bikested.com.

7. Doba uchování údajů

Po uplynutí těchto lhůt jsou údaje automaticky a nenávratně smazány nebo plně anonymizovány.

8. Veřejný profil a sdílení obsahu

Aplikace umožňuje volitelně zveřejnit Váš cyklistický profil a kola na adrese https://bikested.com/u/<username> (viditelnost je ve výchozím stavu private). Pokud aktivujete viditelnost public nebo unlisted:

• public – profil je dohledatelný v sekci „Najít jezdce" a indexovatelný vyhledávači
• unlisted – profil je dostupný jen přes přímý odkaz, není veřejně dohledatelný
• private (výchozí) – profil vidíte pouze Vy

Pro každé kolo zvlášť určujete, zda má být veřejné (is_public) a jaké jeho části jsou viditelné (komponenty, servisní deník, najeté km, cena pořízení, příběh kola). Tato volba je kdykoli odvolatelná v nastavení profilu.

Sdílení odkazů na milníky a příběh kola: Když sdílíte vygenerovanou kartu nebo odkaz na kolo, jsou metadata kola (název, foto, najeté km) viditelná v náhledu odkazu na třetích platformách (Instagram, WhatsApp, Facebook). Tato volba je dobrovolná a vyžaduje, aby kolo bylo veřejné.

9. AI asistent – speciální upozornění

Při použití AI asistenta:

• Obsah Vašich zpráv se odesílá přes náš zabezpečený server (Supabase Edge Function ai-chat) bráně OpenRouter, která dotaz směruje poskytovateli AI modelu – standardně Google (model Gemini), u vybraných odpovědí Anthropic (model Claude)
• Spolu se zprávami odesíláme kontext Vaší garáže (značky a modely kol, komponenty, posledních 5 servisních záznamů) – bez něj by AI nemohla dávat užitečné odpovědi
• U dotazů, které vyžadují vyhledání v naší znalostní bázi návodů, je obsah Vašeho dotazu rovněž odeslán službě Voyage AI za účelem jeho převodu na vektor (embedding) a vyhledání relevantních pasáží
• NeOdesíláme Vaši e-mailovou adresu, jméno, fotografie ani jiné identifikátory mimo to, co je nutné pro odpověď
• Poskytovatelé AI nepoužívají obsah Vašich dotazů k trénování modelů; Anthropic uchovává obsah max. 30 dní pro účely zneužití (abuse monitoring)
• Konverzace je rovněž uložena v naší databázi – můžete ji kdykoli smazat sami ze seznamu konverzací

Nezadávejte do chatu citlivé osobní údaje. AI asistent slouží k radám o údržbě kola. Do zpráv prosím nevkládejte zvláštní kategorie osobních údajů ve smyslu čl. 9 GDPR (údaje o zdravotním stavu, etnickém původu, sexuální orientaci apod.) ani osobní údaje třetích osob. Pokud takové údaje přesto zadáte, činíte tak na základě svého výslovného souhlasu (čl. 9 odst. 2 písm. a) GDPR) a na vlastní odpovědnost.

AI asistent není odborný poradenský nástroj. Jeho odpovědi jsou informativní; pro kritické zásahy do brzd, řízení a pohonu vždy konzultujte certifikovaného mechanika. Viz Smluvní podmínky, čl. 7.

10. Propojené zdroje aktivit – speciální upozornění

Najeté kilometry můžete volitelně synchronizovat z jednoho z těchto zdrojů (aktivní je vždy jen jeden zdroj naráz): Apple Health nebo Health Connect. Propojení je vždy plně dobrovolné a kdykoli odvolatelné v nastavení Aplikace.

Apple Health a Health Connect:

• čteme pouze vzdálenost, datum a čas cyklistických aktivit – žádný tep, GPS, kalorie, spánek ani jiná zdravotní data; přístup je pouze pro čtení
• získaná data o aktivitě používáme výhradně k výpočtu najetých km a servisních intervalů Vašich kol. Nikdy je nepoužíváme k reklamě, marketingu, profilování ani dolování dat a neprodáváme je ani je nesdílíme s třetími stranami pro takové účely
• u Apple Health / Health Connect probíhá čtení na Vašem zařízení; souhlas udělujete v systémovém dialogu a kdykoli jej odvoláte v Nastavení → Soukromí → Zdraví (iOS), resp. v aplikaci Health Connect (Android)
• naimportovaná vzdálenost jízdy zůstává v naší databázi i po odpojení zdroje (jako součást Vašich servisních dat); můžete ji smazat individuálně nebo zánikem účtu

Apple Health a Health Connect jsou lokální agregátory na Vašem zařízení (Apple / Google), spravované jejich vlastními zásadami.

11. Push notifikace

Aplikace Vám může zasílat push notifikace o:

• milnících najetých kilometrů
• nadcházejících servisních intervalech
• volitelných týdenních souhrnech aktivity

Notifikace lze granulárně zapnout/vypnout v Nastavení → Notifications a zcela odebrat v systémovém nastavení iOS / Android.

K odesílání používáme Expo Push Notifications, které relayují notifikaci přes APNs (Apple) nebo FCM (Google).

12. Děti

Aplikace není určena dětem mladším 16 let. Pokud zjistíme, že jsme zpracovávali údaje dítěte mladšího 16 let bez souhlasu zákonného zástupce, údaje neprodleně smažeme.

Pokud jste rodič nebo zákonný zástupce a domníváte se, že Vaše dítě poskytlo Aplikaci své údaje, kontaktujte nás na privacy@bikested.com.

13. Zabezpečení

Pro ochranu Vašich osobních údajů uplatňujeme:

Technická opatření:

• šifrování přenosu (TLS 1.2+) mezi Aplikací a všemi zpracovateli
• šifrování úložiště (Supabase Postgres at-rest encryption, AES-256)
• bcrypt hashování hesel
• Row-Level Security (RLS) v PostgreSQL – uživatel vidí pouze svá data
• separace API klíčů AI služeb na serveru (Aplikace klíče nezná)

Organizační opatření:

• princip nejnižších oprávnění
• pravidelné aktualizace závislostí (npm audit, Dependabot)
• monitoring pádů a anomálií (Sentry)
• DPA se všemi zpracovateli
• evidence o smazání účtu pro účely accountability dle GDPR

Důvěrnost a integrita: Přijímáme přiměřená opatření k zajištění důvěrnosti, integrity a dostupnosti Vašich údajů. Žádný systém však nemůže být 100% zabezpečený. V případě bezpečnostního incidentu, který by představoval vysoké riziko pro Vaše práva, Vás budeme informovat ve lhůtě 72 hodin v souladu s čl. 33 a 34 GDPR.

14. Vaše práva

V souvislosti s Vašimi osobními údaji máte následující práva podle GDPR:

Na žádost odpovíme nejpozději do 30 dnů od jejího přijetí (lhůta může být ve zvlášť složitých případech prodloužena o další 60 dnů).

15. Cookies a podobné technologie

Aplikace nepoužívá cookies (jde o nativní mobilní aplikaci, nikoli web). Používáme:

• MMKV – lokální key-value úložiště na zařízení pro cache offline dat a uživatelské preference; nedochází k odesílání mimo zařízení
• Expo SecureStore – šifrované úložiště pro session token Supabase
• AsyncStorage – nešifrované úložiště pro nekritické cache (TanStack Query persister)

Žádné z těchto úložišť není sdíleno s třetími stranami a je smazáno spolu s Aplikací.

Web bikested.com včetně veřejných profilů (/u/<username>) aktuálně nepoužívá žádné cookies, analytiku ani sledovací technologie. Detaily v Zásadách používání cookies.

16. Změny zásad

Tyto Zásady můžeme čas od času aktualizovat (např. při přidání nové funkce nebo zpracovatele). O podstatných změnách Vás budeme informovat:

• in-app banner při příštím spuštění Aplikace
• e-mailem na adresu uvedenou v účtu
• aktualizací data „Poslední aktualizace" v záhlaví dokumentu

Pokračování v užívání Aplikace po vstupu změn v platnost představuje akceptaci nových Zásad.

17. Kontakt a dozorový orgán

Provozovatel / Správce: Tomáš Ross Hanácká 62/63, 751 24 Přerov, Česká republika IČO: 87884020 DIČ: CZ9112194487 (identifikovaná osoba) E-mail: privacy@bikested.com

Dozorový orgán: Úřad pro ochranu osobních údajů Pplk. Sochora 27, 170 00 Praha 7 Telefon: +420 234 665 111 E-mail: posta@uoou.cz Web: www.uoou.cz

Máte právo podat stížnost u Úřadu pro ochranu osobních údajů, pokud se domníváte, že zpracováním Vašich osobních údajů dochází k porušení GDPR. Stížnost můžete podat rovněž u dozorového úřadu členského státu EU/EHP, ve kterém máte obvyklé bydliště nebo místo výkonu práce.

Tento dokument byl vyhotoven v souladu s nařízením (EU) 2016/679 (GDPR), zákonem č. 110/2019 Sb., o zpracování osobních údajů, a App Store Review Guidelines (5.1.1) i Google Play Developer Program Policies (User Data).