Ochrana osobních údajů
Informace podle článků 13 a 14 GDPR pro web, Android aplikaci, komunitu, ligy, newsletter a e-shop Kult krokařů.
Účinné od 14. srpna 2026
1. Správce a kontakt
Správcem osobních údajů je Miloslav Sviták, podnikající pod označením Czech North Media, IČO 88708993, Brněnská 2582, 470 06 Česká Lípa, Česká republika.
E-mail pro žádosti a dotazy: admin@m-portal.czTelefon: +420 731 880 521
Správce nejmenoval pověřence pro ochranu osobních údajů, protože mu taková povinnost podle současného rozsahu zpracování nevznikla.
2. Jaké údaje, proč a na jakém základě zpracováváme
| Účel | Údaje | Právní základ |
|---|---|---|
| Účet, přihlášení a podpora | jméno/přezdívka, e-mail, hash hesla, ověření e-mailu, avatar, relace a tokeny, komunikace | plnění smlouvy; zabezpečení jako oprávněný zájem |
| Health Connect a aktivita | denní součet kroků, vzdálenost, datum, technický zdroj a čas synchronizace; pro časově omezené výzvy také začátek, konec, počet kroků a technický identifikátor jednotlivé relace Steps za posledních 24 hodin; nikdy poloha ani trasa | výslovný souhlas podle čl. 6 odst. 1 písm. a) a, pokud jde o údaj o zdraví, čl. 9 odst. 2 písm. a) GDPR |
| Ligy, žebříčky a gamifikace | přezdívka, kroky, liga, pořadí, odznaky, série, Šlápoty, referral, postup ve výzvách, čas dokončení, vítězství a globálně zobrazený Řád vítěze | plnění smlouvy; integrita soutěží jako oprávněný zájem |
| Veřejný profil a komunita | přezdívka, avatar, veřejné statistiky, trasy, GPX, body zájmu, přesné souřadnice ručně nahrané trasy a bodů zájmu, fotografie, recenze, komentáře pod blogem, diskusní příspěvky, odeslané a přijaté žádosti o přátelství a seznam přátel | plnění smlouvy; u dobrovolně zveřejněného obsahu tvůj úkon |
| Vědomostní hra | pozvání přátel, zvolený režim hry, pozice, pořadí tahů, odpovědi a jejich časy, správnost a souhrnná úspěšnost podle kategorií, výhry a porážky, hodnocení, hlášení a navržené otázky | plnění smlouvy; férovost, prevence zneužití a moderace jako oprávněný zájem |
| Provozní push upozornění v Android aplikaci | registrační token Firebase nebo Expo Push Token, platforma, verze aplikace, vazba na aktivní mobilní relaci a obsah provozního upozornění s cílem otevření | plnění smlouvy; uživatel doručování ovládá systémovým oprávněním Androidu |
| Výbava a profil | značka/model obuvi, vzdálenost, cílové opotřebení | plnění smlouvy |
| Objednávka a platba | jméno, e-mail, telefon, adresa, firma, IČO/DIČ, obsah a cena objednávky, stav platby, identifikátory SumUp | jednání o smlouvě a plnění smlouvy; účetní a daňové zákonné povinnosti; právní nároky jako oprávněný zájem |
| Novinky e-shopu | e-mail, zdroj a čas přihlášení/odhlášení | souhlas; lze kdykoli odvolat |
| Dobrovolná analytika webu a aplikace | navštívená stránka nebo obrazovka, pseudonymní relace, délka relace, platforma, obecný typ a u Androidu model zařízení, operační systém, prohlížeč/verze aplikace a Web Vitals | souhlas; službu lze plně používat i bez něj |
| Dobrovolná klientská diagnostika | typ, zpráva, kód a anonymizovaný stack chyby, stránka či obrazovka, pseudonymní relace a technický kontext zařízení; bez kroků, polohy, hesel, tokenů a obsahu formulářů | souhlas; lze samostatně odvolat |
| Bezpečnost a provoz | IP adresa, čas a typ požadavku, chybové a bezpečnostní záznamy, identifikátor relace/API tokenu; u Android relace také čas registrace, kontroly, pokusu a úspěchu automatické synchronizace, výsledek, interval a ano/ne stavy oprávnění Health Connect a omezení baterie | oprávněný zájem na ochraně služby, uživatelů a právních nároků |
| Administrace a audit zásahů | samostatné admin jméno a e-mail, hash hesla, relace, časy přihlášení, zablokování účtu, ruční ověření e-mailu, změna hesla, administrátor, dotčený účet, čas, důvod a stav řešení chyby | oprávněný zájem na bezpečné správě služby, odpovědnosti a ochraně práv uživatelů |
3. Health Connect podrobně
Aplikace nejprve ověří dostupnost Health Connect a vyžádá systémové oprávnění ke čtení kroků, vzdálenosti a samostatně k přístupu na pozadí. Po povolení sestaví denní agregáty, obvykle za posledních 7 dní, a pro přesné určení dokončení aktivních výzev také časové relace Steps za posledních 24 hodin. Obojí odešle zabezpečeným spojením na server. Relace neobsahují polohu ani trasu. Prázdný či nižší výsledek nemá snižovat již uložený denní součet.
Souhlas lze odvolat tlačítkem „Odebrat přístup“ nebo v systémovém nastavení Health Connect. Odvolání zastaví budoucí čtení; samo o sobě nevymaže již synchronizované údaje. Ty lze odstranit smazáním účtu nebo žádostí správci. Odvolání nemá zpětný vliv na zákonnost předchozího zpracování ani na již uzavřený týden.
Další technické informace jsou na stránce Ochrana soukromí a Health Connect.
4. Co vidí ostatní
Služba je komunitní. Ostatní uživatelé mohou vidět přezdívku, avatar, ligu, pořadí, souhrnné krokové statistiky, získané odznaky a veřejně publikovaný obsah. Přijaté přátelství zpřístupní oběma stranám vzájemné týdenní porovnání napříč ligami; žádost lze odmítnout a přátelství kdykoli zrušit. E-mail, hash hesla, přihlašovací údaje, detailní fakturační údaje a platební identifikátory veřejné nejsou.
Do textu, fotografie ani GPX souboru nevkládej údaje, které nechceš zveřejnit, zejména adresu bydliště, přesný pravidelný pohyb nebo údaje jiných osob. Souřadnice uvnitř ručně vybraného GPX souboru mohou být přesnou polohou ve smyslu pravidel obchodů s aplikacemi. Aplikace ale nežádá oprávnění k živé poloze telefonu a polohu nezískává z Health Connect.
5. Odkud údaje získáváme
- přímo od uživatele při registraci, nastavení a nákupu;
- z Health Connect na zařízení po udělení systémového oprávnění;
- automatickým výpočtem z aktivity (pořadí, liga, série, odznaky, Šlápoty);
- od poskytovatele platby SumUp jako stav a identifikátor transakce;
- z technického provozu webu a API (bezpečnostní a chybové záznamy).
- z webu nebo aplikace při dobrovolném souhlasu s analytikou či klientskou diagnostikou.
6. Příjemci a dodavatelé
Údaje zpřístupňujeme jen v nezbytném rozsahu:
- poskytovateli VPS/hostingové a databázové infrastruktury a správcům serveru;
- poskytovateli transakční e-mailové infrastruktury (aktuálně sdílené poštovní řešení Czech North Media / CL Sport);
- společnosti SumUp při vytvoření a zpracování platby; platební údaje karty zadáváš přímo na zabezpečené stránce SumUp a Kult krokařů je neukládá;
- poskytovateli mapových dlaždic CARTO/OpenStreetMap, kterému prohlížeč při načtení mapy technicky sdělí IP adresu a údaje požadavku;
- službám YouTube, Instagram nebo TikTok pouze tehdy, když uživatel výslovně klikne na načtení vloženého příspěvku; poskytovatel pak obdrží IP adresu, údaje prohlížeče a může použít vlastní technologie podle svých podmínek;
- Mapy.cz nebo jiné mapové aplikaci pouze tehdy, když sám/sama otevřeš odkaz nebo nasdílíš GPX soubor;
- službě Google Firebase Cloud Messaging nebo Expo Push Service v rozsahu nutném k doručení tebou povoleného provozního upozornění; předává se push token, text zprávy a technický cíl otevření, nikoli kroky, poloha nebo Health Connect data;
- orgánům veřejné moci, pokud to vyžaduje zákon nebo závazné rozhodnutí.
Osobní údaje neprodáváme a neposkytujeme reklamním sítím. Pokud dodavatel zpracuje údaje mimo EHP, použijeme platný mechanismus podle GDPR, zejména rozhodnutí o odpovídající ochraně nebo standardní smluvní doložky.
7. Doby uchování
| Kategorie | Doba nebo kritérium |
|---|---|
| Účet a profil | po dobu trvání účtu; po smazání se aktivní osobní profil odstraní bez zbytečného odkladu |
| Relace a jednorázové tokeny | relace nejvýše 30 dní; ověření e-mailu 24 hodin; token obnovy hesla 1 hodinu, pokud nebyl použit dříve |
| Push token mobilní instalace | do odhlášení, zneplatnění mobilní relace, odmítnutí tokenu doručovací službou nebo smazání účtu |
| Denní kroky a vzdálenost | po dobu trvání účtu pro historii a soutěže; po smazání účtu se osobní záznamy odstraní |
| Časové relace kroků pro výzvy | nejvýše 120 dní; odvozený postup, čas dokončení, vítězství a Řád se uchovávají po dobu trvání účtu |
| Ligy, odznaky, Šlápoty a notifikace | po dobu trvání účtu; uzavřené výsledky se zpětně nepřepisují |
| Herní místnosti, odpovědi a statistiky | po dobu trvání účtu pro historii, souhrnné statistiky správnosti podle kategorií, férovost a řešení hlášení; po smazání účtu se osobní vazby odstraní spolu s účtem |
| Návrhy, hodnocení a hlášení otázek | schválená otázka může zůstat jako obsah bez veřejného jména autora; zamítnuté návrhy a vyřešená hlášení nejdéle 3 roky |
| Trasy a komunitní obsah | do smazání uživatelem, ukončení účtu nebo odstranění pro porušení pravidel; bezpečnostní kopie nejdéle 90 dní |
| Nedokončené a neuhrazené objednávky | po dobu potřebnou k řešení platby a právních nároků, obvykle nejdéle 3 roky |
| Uhrazené objednávky a účetní doklady | po zákonnou účetní a daňovou dobu, podle druhu dokladu zpravidla 5 až 10 let; při smazání účtu se oddělí od profilu a údaje, které nejsou povinné, se anonymizují |
| Newsletter | do odvolání souhlasu; údaj o odhlášení může být omezeně uchován nejvýše 3 roky jako důkaz, že další zprávy nemají být zasílány |
| Souhlasová analytika webu a aplikace | nejvýše 13 měsíců; po odvolání už nevznikají nové události |
| Jednotlivé souhlasové klientské chybové výskyty | nejvýše 6 měsíců; agregovaná vyřešená či ignorovaná skupina nejvýše 1 rok od posledního výskytu |
| Audit administrátorských zásahů | nejvýše 3 roky kvůli odpovědnosti a bezpečnosti |
| Záznamy volby analytiky a diagnostiky | nejvýše 3 roky jako doklad udělení nebo odvolání souhlasu; bez přesné IP adresy |
| Provozní a bezpečnostní logy | obvykle nejvýše 90 dní; déle jen při řešení incidentu, zneužití nebo právního nároku |
| Provozní stav automatické synchronizace Androidu | po dobu platnosti příslušné mobilní relace; odstraní se při jejím zneplatnění, odhlášení nebo smazání účtu |
| Žádosti, stížnosti a podpora | po dobu vyřízení a poté obvykle 3 roky kvůli doložení postupu |
Údaje mohou po omezenou dobu zůstat v šifrovaných bezpečnostních kopiích, které se nepoužívají k běžnému provozu a přepisují se nejpozději do 90 dní, ledaže zákon vyžaduje delší uchování.
8. Tvoje práva
Za podmínek GDPR můžeš požadovat:
- potvrzení a přístup k osobním údajům;
- opravu nepřesných nebo doplnění neúplných údajů;
- výmaz nebo omezení zpracování;
- přenositelnost údajů poskytnutých na základě souhlasu či smlouvy;
- vznést námitku proti zpracování založenému na oprávněném zájmu;
- kdykoli odvolat souhlas bez dopadu na předchozí zpracování;
- podat stížnost u Úřadu pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7.
Žádost pošli z e-mailu účtu na admin@m-portal.cz. Můžeme přiměřeně ověřit totožnost. Odpovíme bez zbytečného odkladu, standardně do jednoho měsíce.
9. Automatizované výpočty
Služba automaticky počítá pořadí, série, odznaky, Šlápoty, step-lock a přesuny mezi ligami. Jde o herní a smluvní funkce bez právního nebo obdobně závažného účinku ve smyslu čl. 22 GDPR. Pokud máš za to, že vstupní data nebo výsledek jsou chybné, můžeš požádat o lidský přezkum před uzavřením týdne; po pondělní uzávěrce se soutěžní pořadí již nemění.
10. Povinné a dobrovolné údaje
E-mail, přezdívka a přihlašovací údaj jsou nutné pro účet. Kroky jsou dobrovolné, ale bez nich nelze využít ligy, osobní statistiky a krokové odemykání. Fakturační a doručovací údaje jsou nutné až při nákupu. Veřejné příspěvky, fotografie, výbava a newsletter jsou dobrovolné.
11. Zabezpečení a změny
Používáme HTTPS, hashování hesel, omezení pokusů, zabezpečené relace, řízení přístupu, oddělené databázové služby a pravidelné aktualizace. Žádný systém však nemůže zaručit absolutní bezpečnost. Podezření na incident oznam neprodleně správci.
Zásady aktualizujeme při změně služby nebo právních požadavků. Podstatné změny oznámíme v aplikaci, na webu nebo e-mailem; nahoře vždy uvedeme datum účinnosti.