1. Správce osobních údajů

Správcem osobních údajů je:
Jaroslav Bartoš, IČ 03858731, DIČ CZ9403253596
Vlčí Habřina 29, 533 41 Lázně Bohdaneč
e-mail: [email protected], tel. 704 064 368
(dále jen „Správce")

Tyto zásady popisují, jak Správce nakládá s osobními údaji v rámci služby „Krabice Cestovatelka", dostupné na kouskysveta.cz/box/. Podrobnosti o samotné službě najdeš v Podmínkách služby.

2. Jaké údaje zpracováváme

Při používání služby můžeme zpracovávat následující údaje:

3. Účel a právní základ

• E-mail, přezdívka, fotka, vzkaz — zpracovává se na základě souhlasu uživatele (čl. 6 odst. 1 písm. a) GDPR). Souhlas uděluje zaškrtnutím pole „Souhlasím se zpracováním osobních údajů" v kroku 3.
• Město a souřadnice — zpracovává se na základě oprávněného zájmu Správce (čl. 6 odst. 1 písm. f) GDPR) za účelem fungování služby (sledování cesty krabice).
• IP adresa — zpracovává se na základě oprávněného zájmu Správce k ochraně služby proti spamu a automatizovanému zneužití. IP se drží jen dočasně (viz bod 4).

4. Jak dlouho data uchováváme

• E-mail, přezdívka, fotka, vzkaz — do odvolání souhlasu (odhlášením z e-mailů nebo přes funkci „Zapomeň na mě"). Anonymizovaná trasa (město, země, souřadnice, datum) zůstává zachována, aby se příběh krabice nerozpadl.
• IP adresa — pouze v dočasných transientech (rate limiting), automatická expirace do 24 hodin.
• Slevové kupóny — do uplynutí platnosti kupónu a potřebné doby pro účetní evidenci (uplatněné kupóny).

5. Komu data předáváme

Osobní údaje obvykle nikomu nepředáváme. Ke zpracování však využíváme tyto nástroje (zpracovatele):

• Poskytovatel e-mailové služby (SMTP) — pro doručování notifikací.
• Cloudflare Turnstile (volitelně) — antispam CAPTCHA. Cloudflare může krátkodobě zpracovat IP a technické atributy prohlížeče.
• OpenStreetMap / Nominatim — geokódování názvů měst na souřadnice.
• WooCommerce — evidence vydaných slevových kupónů na e-shopu kouskysveta.cz.
• Hosting webu — provozovatel serveru, na kterém běží kouskysveta.cz (standardní logy webového serveru).

Mimo tyto dodavatele data nikomu nepředáváme, nikomu je neprodáváme a nepoužíváme je k cílené reklamě.

6. Cookies

Služba používá malé množství technických cookies / localStorage výhradně pro provoz:

• zapamatování rozdělané zastávky (aby uživatel mohl pokračovat, když se vrátí),
• volba jazyka (cs / en).

Žádné marketingové ani analytické cookies třetích stran v rámci této služby nepoužíváme.

7. Tvá práva

Podle GDPR máš právo:

• na přístup k údajům, které o tobě zpracováváme,
• na opravu nepřesných nebo neaktuálních údajů,
• na výmaz („právo být zapomenut") — viz bod 8,
• na omezení zpracování,
• na přenositelnost údajů,
• vznést námitku proti zpracování z titulu oprávněného zájmu,
• kdykoliv odvolat souhlas (odhlášením z e-mailů nebo žádostí na [email protected]),
• podat stížnost u dozorového úřadu — Úřadu pro ochranu osobních údajů (uoou.cz).

8. Jak se odhlásit / nechat zapomenout

• Odhlášení z e-mailů: v každém notifikačním e-mailu je odkaz „Odhlásit odběr". Kliknutím se tvůj e-mail odstraní ze všech zastávek a přestaneme ti posílat notifikace.
• Úplný výmaz: napiš na [email protected] z e-mailu, který chceš vymazat. Do 30 dnů odstraníme e-mail, přezdívku, fotku a GDPR souhlas ze všech tvých zastávek. Město a souřadnice (anonymizovaná trasa) zůstanou, aby nebyl narušen příběh krabice.

9. Zabezpečení

• Fotky ukládáme s náhodným UUID názvem, nikdy s původním názvem souboru.
• Secret klíče krabic (128 bit entropie) se nikdy nezobrazují ve sdílených odkazech ani dashboardu.
• Ověřujeme skutečný MIME typ nahrávaných souborů (jen JPG/PNG).
• Komunikace probíhá přes HTTPS.

10. Děti

Služba není cílena na děti mladší 16 let. Pokud je uživateli méně, mělo by být zadání e-mailu provedeno se souhlasem zákonného zástupce.

11. Změny zásad

Zásady můžeme aktualizovat — aktuální verze je vždy na kouskysveta.cz/box/zasady-ochrany/. Pokračováním v používání služby po změně souhlasíš s aktualizovaným zněním.

12. Kontakt

Dotazy k ochraně osobních údajů směřuj na [email protected].

1. Data controller

The data controller is:
Jaroslav Bartoš, Company ID (IČ) 03858731, VAT ID CZ9403253596
Vlčí Habřina 29, 533 41 Lázně Bohdaneč, Czech Republic
e-mail: [email protected], phone +420 704 064 368
(the "Controller").

This policy describes how the Controller handles personal data within the "Traveling Box" service available at kouskysveta.cz/box/. For details about the service itself see the Terms of Service.

2. What data we process

3. Purpose and legal basis

• E-mail, nickname, photo, message — processed on the basis of the user's consent (Art. 6(1)(a) GDPR).
• City and coordinates — processed under the Controller's legitimate interest (Art. 6(1)(f) GDPR) to operate the service.
• IP address — processed under legitimate interest to protect the service against spam and automated abuse. IP is kept only temporarily (see section 4).

4. How long we keep data

• E-mail, nickname, photo, message — until consent is withdrawn (via the unsubscribe link or a "forget me" request). An anonymized route (city, country, coordinates, date) remains so the Box's story stays intact.
• IP address — only in temporary transients (rate limiting), automatically expires within 24 hours.
• Discount coupons — kept until their expiry and for the period required by accounting records (if redeemed).

5. Who we share data with

We generally do not share personal data. For processing we rely on these providers:

• E-mail provider (SMTP) — for delivering notifications.
• Cloudflare Turnstile (optional) — anti-spam CAPTCHA; may briefly process IP and browser attributes.
• OpenStreetMap / Nominatim — geocoding city names to coordinates.
• WooCommerce — issuing and tracking discount coupons on kouskysveta.cz.
• Web host — standard web-server logs of the server hosting kouskysveta.cz.

Beyond these vendors we do not share, sell, or use data for targeted advertising.

6. Cookies

The service uses a small amount of technical cookies / localStorage purely for operation:

• remembering an in-progress stop (so the user can return and continue),
• language preference (cs / en).

We do not use any marketing or third-party analytics cookies within this service.

7. Your rights

Under GDPR you have the right to:

• access the data we hold about you,
• correct inaccurate or outdated data,
• erasure ("right to be forgotten") — see section 8,
• restrict processing,
• data portability,
• object to processing based on legitimate interest,
• withdraw consent at any time (via unsubscribe or by writing to [email protected]),
• file a complaint with the Czech supervisory authority — Office for Personal Data Protection (uoou.cz).

8. How to unsubscribe / be forgotten

• Unsubscribe from e-mails: every notification e-mail contains an "Unsubscribe" link. Clicking it removes your e-mail from all stops and stops further notifications.
• Full erasure: write to [email protected] from the e-mail you want deleted. Within 30 days we remove e-mail, nickname, photo, and GDPR consent from all your stops. The city and coordinates (anonymized route) remain so the Box's story is preserved.

9. Security

• Photos are stored with random UUID filenames, never with the original filename.
• Box secret keys (128-bit entropy) never appear in share links or the dashboard.
• We verify the real MIME type of uploaded files (only JPG / PNG).
• All communication goes over HTTPS.

10. Children

The service is not directed at children under 16. Users below this age should only provide an e-mail with the consent of a legal guardian.

11. Changes to this policy

We may update this policy — the current version is always at kouskysveta.cz/box/zasady-ochrany/. Continued use after a change constitutes acceptance.

12. Contact

Privacy questions? [email protected].