Ochrana osobních údajů

1. Kdo údaje zpracovává

Správcem údajů pro provoz aplikace je Český Institut pro AI a Data z.ú., Příčná 1892/4, Nové Město, 110 00 Praha 1, IČO 297 52 736, sp. zn. U 1452 vedená u Městského soudu v Praze (dále jen „CIAD“).

Dotazy k soukromí a žádosti o uplatnění práv posílejte na office@ciad.cz. Běžnou technickou podporu najdete na stránce Podpora aplikace CIAD.

2. Jaké údaje aplikace zpracovává

Účet a přihlášení

• interní identifikátor účtu, e-mailová adresa, stav ověření e-mailu a čas vytvoření a posledního přihlášení;
• volitelně jméno nebo zobrazované jméno, jazyk a vzhled aplikace;
• typ účtu a zvolená persona, název společnosti a role v organizaci;
• pokud je zapnuto přihlášení přes Google nebo Apple, identifikátor účtu od daného poskytovatele a jím potvrzený e-mail. CIAD nedostává heslo k účtu Google ani Apple;
• jednorázové přihlašovací kódy jsou ukládány v zahashované podobě, mají omezenou platnost a slouží jen k ověření přihlášení nebo změny e-mailu.

Profil, zájmy a organizace

• zvolený obor, pracovní pozice a až pět tematických zájmů;
• členství, role, pozvánky a přidělené firemní místo;
• u firemního účtu název, IČO, sídlo a veřejné údaje načtené z registru ARES, dále stav a kapacita organizace;
• údaje vložené do NIS2 posouzení, roadmapy a registru rizik, například odvětví, velikost organizace, odpovědi, stav opatření, text nebo odkaz na důkaz, popis aktiva a vlastníka rizika.

Do volných polí NIS2 roadmapy a registru rizik nevkládejte osobní nebo důvěrné údaje, které nejsou pro daný účel nezbytné.

Učení a používání funkcí

• průchod lekcemi a videi, dokončení modulů, výsledky a zvolené odpovědi v kvízech, počet pokusů, čas kvízu a časy u jednotlivých otázek;
• XP, denní cíl, série, odznaky, výzvy, liga, certifikáty a historie souvisejících aktivit;
• vyhledávací dotaz po dobu potřebnou k vrácení výsledků a krátkodobému uložení výsledku do provozní cache;
• doména, výsledek a podrobnosti uloženého Kyberchecku;
• u kontroly úniků přihlašovací e-mail a poslední získaný přehled známých úniků.

Předplatné

• stav bezplatného, zkušebního nebo placeného přístupu, datum platnosti a identifikátor používaný službou RevenueCat;
• události potřebné k aktivaci, obnovení nebo ukončení nároku na placené funkce.

Platbu zpracovává Apple App Store nebo Google Play. CIAD ani aplikace neobdrží úplné číslo platební karty.

Zařízení, oznámení a diagnostika

• platforma zařízení, token Firebase Cloud Messaging, čas registrace a posledního použití tokenu a volba, zda jsou oznámení povolena;
• předvolby kategorií oznámení a, jen při zapnuté volitelné analytice, událost otevření oznámení s jeho technickým typem;
• jen při výslovném zapnutí anonymní analytiky v Nastavení: náhodný identifikátor relace, typ povolené události, platforma, verze aplikace, čas a omezené technické vlastnosti, například délka relace nebo název obrazovky. Volné texty, e-mail, odpovědi na otázky ani obsah vyhledávání se do analytických událostí neukládají;
• pokud je Firebase aktivní, Firebase Installation ID, údaje o modelu a operačním systému, verze aplikace a technické údaje nutné pro doručení oznámení;
• pokud je Crashlytics aktivní, chybové zásobníky, stav aplikace při pádu, identifikátor instalace a základní diagnostika zařízení;
• IP adresa, čas, požadovaná cesta, stav odpovědi a bezpečnostní události v provozních záznamech API.

Aplikace v této verzi neobsahuje Firebase Analytics ani reklamní SDK. Volitelná produktová analytika je first-party funkce backendu CIAD, je ve výchozím stavu vypnutá a lze ji kdykoli vypnout. Údaje nepoužíváme ke sledování uživatele napříč aplikacemi nebo weby a neprodáváme je pro cílenou reklamu.

Údaje pouze v zařízení

Přihlašovací tokeny, některé předvolby a offline cache jsou uloženy v zařízení. Pokud uživatel zapne biometrické odemknutí, otisk prstu ani podoba obličeje se CIAD neposílají; ověření provádí operační systém a aplikace obdrží pouze výsledek.

3. Proč údaje používáme

• Poskytnutí služby a plnění smlouvy: vytvoření účtu, přihlášení, synchronizace profilu, uložení pokroku, vystavení certifikátu, firemní funkce a správa předplatného (čl. 6 odst. 1 písm. b) GDPR).
• Bezpečnost a spolehlivost: ochrana účtů, omezení zneužití, audit bezpečnostních událostí, diagnostika pádů a obrana infrastruktury. Základem je oprávněný zájem CIAD a uživatelů na bezpečné službě (čl. 6 odst. 1 písm. f) GDPR).
• Firemní vzdělávání: evidence přidělených míst, dokončení školení a certifikátů a zpřístupnění dohodnutých přehledů správci organizace. Právní základ a role jednotlivých stran se mohou řídit také smlouvou mezi CIAD a organizací.
• Právní povinnosti: údaje nezbytné pro účetnictví, řešení právních nároků nebo splnění závazné povinnosti (čl. 6 odst. 1 písm. c) GDPR).
• Volitelné funkce: oznámení se zapnou až po volbě uživatele v aplikaci a lze je později vypnout v aplikaci i v systému zařízení.
• Volitelná produktová analytika: měření stability, používání obrazovek, dokončení onboardingu, relací a otevření oznámení probíhá pouze na základě souhlasu uživatele (čl. 6 odst. 1 písm. a) GDPR). Souhlas lze kdykoli odvolat v Nastavení bez omezení ostatních funkcí.

4. Kdo může údaje obdržet

Přístup mají pouze osoby a poskytovatelé, kteří jej potřebují pro uvedený účel. Aktivní sada poskytovatelů závisí na konfiguraci konkrétní verze aplikace.

• Provoz CIAD a hosting: API a databázi provozuje CIAD na infrastruktuře v Německu.
• Google Firebase: Firebase Cloud Messaging pro oznámení a Firebase Crashlytics pro diagnostiku pádů. Podrobnosti uvádí Firebase Privacy and Security.
• RevenueCat: správa nároku k předplatnému a předávání událostí z Apple App Store nebo Google Play. Viz zásady RevenueCat.
• Apple a Google: distribuce aplikace, platby a, pokud je příslušná možnost zapnuta, ověření přihlášení. Tito poskytovatelé zpracovávají údaje také podle vlastních podmínek.
• XposedOrNot: jen po spuštění funkce kontroly úniků odešle backend přihlašovací e-mail na veřejné API XposedOrNot a uloží vrácený přehled. Viz zásady XposedOrNot.
• NVIDIA: pokud je zapnuto kontextové AI vysvětlení, externímu modelu se může odeslat omezený kontext vybrané NIS2 kontroly, například odvětví, režim a stav, nebo statický text kvízové otázky. E-mail a identifikátor účtu do tohoto promptu neposíláme. Bez aktivní konfigurace se použije lokální statické vysvětlení. Viz zásady NVIDIA.
• ARES: při založení firemního profilu se IČO použije k načtení veřejných údajů ekonomického subjektu.
• Správce organizace: pokud se připojíte k organizaci, její správce vidí členství, e-mail nebo zobrazované jméno, roli, dokončení modulů, XP, certifikáty a souhrnné týmové statistiky. Firemní NIS2 data mohou být dostupná oprávněným členům podle jejich role.

5. Zpracování mimo EHP

Někteří poskytovatelé uvedení výše mohou údaje zpracovávat také mimo Evropský hospodářský prostor. Konkrétní umístění, role poskytovatele a používaný mechanismus ochrany se řídí aktivní konfigurací a smluvními podmínkami daného poskytovatele. Informaci o mechanismu použitém pro konkrétní předání si můžete vyžádat na office@ciad.cz.

6. Jak dlouho údaje uchováváme

• Účet, profil, pokrok, výsledky, předvolby, tokeny zařízení a osobní bezpečnostní přehledy uchováváme po dobu aktivního účtu nebo dokud jsou potřebné pro danou funkci.
• Poslední přehled úniků se při další kontrole nahradí aktuálním výsledkem; s účtem se smaže.
• Krátkodobé OTP, cache a provozní údaje se uchovávají jen po dobu potřebnou pro ověření, bezpečnost a provozní řešení.
• Volitelné produktové analytické události se uchovávají nejvýše 90 dní. Vypnutí analytiky v aplikaci odstraní dosavadní události daného účtu bez čekání na konec této lhůty.
• Údaje o nákupu mohou Apple, Google nebo RevenueCat uchovávat podle svých právních a účetních povinností i po smazání účtu CIAD.
• Organizační NIS2 evidence a registr rizik patří organizaci. Po smazání účtu člena mohou zůstat zachovány bez přímého spojení na smazaného uživatele, pokud je organizace nadále používá nebo je potřebuje jako auditní či právní evidenci.
• Bezpečnostní a compliance auditní záznam může být po smazání účtu zachován bez přímého identifikátoru uživatele, pokud je to nezbytné k ochraně služby, doložení změny nebo řešení nároku.

Pokud právní předpis nebo probíhající spor vyžaduje delší uchování konkrétního záznamu, omezíme jej na nezbytný rozsah a dobu.

7. Firemní účty a viditelnost pro organizaci

Připojením k organizaci se vaše členství a výše uvedené vzdělávací výsledky zpřístupní jejím oprávněným správcům. Organizace odpovídá za to, že má pro používání zaměstnaneckých údajů vlastní právní základ a že své členy informovala o účelu, rozsahu a době používání těchto přehledů. CIAD neposkytuje správci organizace heslo, OTP, FCM token ani plný obsah přihlašovacích údajů.

8. Automatizace a AI

Aplikace automaticky počítá skóre, XP, sérii, ligu, doporučené pořadí obsahu a výsledky kontrol podle předem stanovených pravidel. Tyto výstupy nemají právní ani obdobně významný účinek. Kontextová vysvětlení mohou být vytvořena externím jazykovým modelem a mohou obsahovat chybu; nejsou právním ani bezpečnostním posudkem.

9. Vaše volby a práva

• profil a předvolby lze upravit v aplikaci;
• kopii dat lze stáhnout v nastavení účtu pomocí funkce exportu;
• oznámení lze vypnout v aplikaci nebo v nastavení telefonu;
• účet lze bez čekání smazat přímo v aplikaci; alternativní veřejný postup je na stránce Smazání účtu CIAD;
• můžete požadovat přístup, opravu, výmaz nebo omezení zpracování, vznést námitku proti zpracování založenému na oprávněném zájmu a, kde se uplatní, získat přenositelné údaje nebo odvolat souhlas.

Žádost pošlete na office@ciad.cz. Před vyřízením můžeme přiměřeně ověřit, že žádost podává vlastník účtu. Pokud se domníváte, že s údaji nakládáme v rozporu s právem, můžete podat stížnost u Úřadu pro ochranu osobních údajů.

Smazání účtu CIAD samo nezruší předplatné vedené u Apple nebo Google. Předplatné je potřeba zrušit samostatně v účtu příslušného obchodu.

10. Zabezpečení a změny

Používáme přístupová oprávnění, šifrovaný přenos, omezení počtu požadavků, oddělení rolí a audit bezpečnostních událostí. Žádný systém však nelze označit za absolutně bezpečný. Zranitelnost oznamte podle pravidel na stránce Hlášení zranitelností.

Tyto zásady aktualizujeme, pokud se změní funkce, poskytovatel nebo právní požadavek. Nové datum a aktuální znění budou vždy na této adrese.

Poslední aktualizace: 15. července 2026