Zásady ochrany osobních údajů

Náhodně generovaný identifikátor (UUID) vytvořený při prvním spuštění aplikace. Tento identifikátor sám o sobě není hardwarovým identifikátorem. Je uložen lokálně (AsyncStorage) a v cloudové databázi k propojení vašich dat. Slouží jako hlavní identifikátor namísto e-mailu či účtu. Spolu s ním ukládáme čas poslední aktivity zařízení; pokud se zařízení 24 měsíců nepřipojí, jeho údaje smažeme a sdílený seznam převezme jiný člen (bod 5). Odděleně od něj používáme k ověření předplatného odvozený identifikátor zařízení – viz bod j).

Jméno nebo přezdívka, kterou zadáte při prvním spuštění. Je třeba ji zadat, ale nemusí to být vaše skutečné jméno. Ukládáme ji lokálně i v cloudové databázi a zobrazuje se ostatním členům sdílených seznamů (u přidaných a odškrtnutých položek a v oznámeních). Kdykoli ji můžete změnit v Nastavení.

Názvy seznamů, položky (název, kategorie, množství, jednotka, cena, poznámka, stav), historie dokončených nákupů a vlastní kategorie. Jsou uloženy v cloudové databázi (Supabase) pro synchronizaci a sdílení. Zálohy si můžete exportovat jako soubor JSON přímo do úložiště zařízení. Pokud k položce přidáte fotku (například konkrétního výrobku), aplikace ji zmenší (nejvýše 1 280 pixelů na delší straně) a my ji uložíme v neveřejném úložišti Supabase v EU. Vidí ji pouze členové seznamu, ve kterém položka je; pokud položku zkopírujete nebo přesunete do jiného seznamu, fotka putuje spolu s ní a uvidí ji také členové toho seznamu. Zobrazujeme ji prostřednictvím odkazů s platností jedné hodiny a telefon, který ji zobrazil, si ponechá její kopii v mezipaměti aplikace, aby ji ukázal i bez připojení. Aplikace dostane pouze fotku, kterou sami vyfotíte nebo vyberete. Fotku u položky neposíláme AI ani ji nepoužíváme k ničemu jinému.

Záznamy o tom, kterou kategorii jste ručně přiřadili k určitým produktům – pro rychlejší návrhy při dalším použití. Jsou uloženy v cloudové databázi a propojeny s identifikátorem zařízení.

Zvukový záznam zpracovává systémová služba rozpoznávání řeči vašeho zařízení (Google na Androidu, Apple na iOS). Podle nastavení a možností zařízení může tato systémová služba zvuk zpracovat přímo v zařízení, nebo jej odeslat na servery společností Google či Apple – zpracování probíhá podle podmínek výrobce operačního systému. Naše aplikace zvukové soubory nepřijímá ani neukládá a pracuje výhradně s rozpoznaným textem.

Když položky nadiktujete a aplikace diktát nezpracuje sama, odešle rozpoznaný text na náš server (Supabase Edge Functions). Server jej spolu s názvy položek, které už na seznamu jsou (aby se nepřidaly dvakrát), a se seznamem kategorií včetně názvů vašich vlastních kategorií předá službě Claude od společnosti Anthropic, která z něj vytvoří položky a zařadí je do kategorií. Položky, které napíšete ručně, zařazujeme bez AI – podle slovníku aplikace a vašich dřívějších voleb. Bez AI se zpracuje také text, který do aplikace pošlete z jiné aplikace přes Sdílet: aplikace ho rozdělí na položky přímo v telefonu a zařadí je stejně jako položky napsané ručně. Fotku nebo odkaz na recept poslané přes Sdílet zpracujeme tak, jak popisuje tento bod dále. Společnosti Anthropic neposíláme vaše jméno, e-mail ani identifikátor zařízení; náš server tento identifikátor používá pouze k uplatnění limitů. Anthropic podle svých obchodních podmínek nepoužívá údaje z API k trénování modelů. Text diktátu a názvy položek se však odesílají tak, jak jsou, proto do seznamu nevkládejte osobní ani citlivé údaje. Výsledky kategorizace ukládáme do společné mezipaměti bez vazby na zařízení. Pokud vložíte odkaz na recept, náš server stáhne veřejnou stránku receptu a službě Claude pošle pouze její seznam surovin, aby z něj vytvořila položky včetně množství; z odkazu si kvůli počítání receptů za měsíc ukládáme jen název webu (například varecha.sk), nejvýše 62 dní. Pokud v aplikaci vyfotíte nebo vyberete fotku (například papírek se seznamem nebo recept), aplikace ji zmenší (nejvýše 1 568 pixelů na delší straně) a prostřednictvím našeho serveru ji odešle službě Claude k přečtení položek. Aplikace dostane pouze fotku, kterou sami vyfotíte nebo vyberete; k ostatním fotkám nepřistupuje. Fotku neukládáme ani na serveru, ani v databázi; zaznamenáme pouze použití AI pro účely limitů. Anthropic vstupy a výstupy z API podle svých podmínek maže zpravidla do 30 dní; déle je uchová jen tehdy, pokud je jeho systémy vyhodnotí jako porušení pravidel používání.

Pokud má aplikace v telefonu povolená oznámení a v Nastavení aplikace máte oznámení zapnutá, uložíme Expo push token. O povolení aplikace žádá, když začnete sdílet seznam nebo se k němu připojíte; na Androidu 12 a starších systém povolení uděluje automaticky. Token používáme pro oznámení o změnách ve sdílených seznamech a zřídka také pro servisní oznámení o aplikaci, například o důležité aktualizaci s opravami nebo o změně těchto zásad. Tipy, hotové sezónní seznamy a novinky o aplikaci vám prostřednictvím oznámení pošleme pouze tehdy, pokud si v Nastavení zapnete volbu „Tipy a sezónní seznamy“; ve výchozím nastavení je vypnutá. Tuto volbu a čas její poslední změny ukládáme u push tokenu, abychom taková oznámení posílali jen těm, kdo s nimi souhlasili. Souhlas kdykoli odvoláte vypnutím téže volby a záznam o něm smažeme spolu s push tokenem (bod 5). Oznámení o vašich sdílených seznamech na této volbě nezávisí. Cizí reklamu prostřednictvím oznámení neposíláme. Oznámení o změně obsahuje jméno člena, který seznam změnil, název seznamu a názvy položek. Pokud v Nastavení zapnete volbu „Skrýt obsah oznámení“, ukáže oznámení jen to, že se ve sdíleném seznamu něco změnilo. Text doručuje Expo a podle telefonu Google Firebase Cloud Messaging (Android) nebo Apple Push Notification Service (iPhone); podle nastavení telefonu se zobrazí i na zamčené obrazovce. Text oznámení na serveru neukládáme. Názvy položek a jména pro souhrnné oznámení uchováváme na serveru jen několik minut, dokud oznámení neodešleme, a o doručení krátce vedeme technický záznam (bod 5). Oznámení vypnete v Nastavení aplikace nebo telefonu. Na Androidu aplikace čte také Android ID – pseudonymní identifikátor, který Android přiděluje každé aplikaci zvlášť a který není propojen s vaším účtem Google. Ukládáme ho, abyste se po přeinstalaci aplikace vrátili do svých sdílených seznamů a nevznikali duplicitní členové; na iPhonu k tomu slouží náhodný klíč pro obnovení, který aplikace uloží do klíčenky (Keychain). Z Android ID vytváříme také odvozený identifikátor podle bodu j).

Pouze pokud nám k nim v aplikaci udělíte souhlas. Zavření otázky bez volby se za souhlas nikdy nepovažuje. Po udělení souhlasu aplikace odesílá: události používání (např. otevření aplikace, vytvoření seznamu, použití hlasového vstupu), hlášení o chybách aplikace a údaje o zařízení a aplikaci, které knihovna PostHog připojuje ke každé události (výrobce, model a typ zařízení, zda jde o emulátor, verze operačního systému, rozměry displeje, jazyk, časové pásmo, název, identifikátor balíčku a verze aplikace). Z IP adresy PostHog určí přibližnou polohu – zemi, kraj, město, PSČ a přibližné zeměpisné souřadnice oblasti (nikoli polohu z GPS) – a samotnou IP adresu poté neukládá. Události jsou propojeny s jednosměrným hashem identifikátoru zařízení, jde tedy o pseudonymizované údaje. Neobsahují jméno, e-mail ani obsah seznamů. Zpracovává je PostHog na serverech v EU. Souhlas můžete kdykoli udělit nebo odvolat v Nastavení → Statistiky používání. Vaši volbu (ano, nebo ne), čas, kdy jste ji učinili, verzi textu, na který jste odpověděli, a způsob, jakým jste ji učinili (tlačítkem, zavřením otázky, v Nastavení, nebo zda odmítnutí přišlo ze zálohy či z přenosu ze starého telefonu), ukládáme na našem serveru u identifikátoru zařízení. Souhlas tak dokážeme prokázat (čl. 7 odst. 1 GDPR) a odmítnutí respektovat. Ze záznamů zařízení počítáme pouze souhrnné počty odpovědí za týden (kolik zařízení souhlas udělilo, odmítlo nebo otázku zavřelo), bez vazby na jednotlivce (bod m). U volby ze starších verzí aplikace známe pouze čas, kdy ji server obdržel. Pokud souhlas odvoláte, ponecháme u nové volby také čas, verzi textu a způsob vašeho posledního souhlasu, abychom mohli prokázat, že jsme údaje shromážděné do odvolání shromažďovali s vaším souhlasem. Při přenosu do nového telefonu si nový telefon ponechává vlastní volbu, s jedinou výjimkou: pokud jste na starém telefonu statistiky odmítli, odmítnutí se přenese i do nového telefonu. Souhlas ze starého telefonu se do nového telefonu nepřenáší nikdy; záznam o posledním souhlasu starého telefonu ponecháme u záznamu o přenosu. Záznam se smaže spolu s ostatními údaji volbou Nastavení → Smazat všechna moje data; jak dlouho jej jinak uchováváme, uvádí bod 5.

Barevný motiv, nastavení nezhasínání obrazovky, plán zálohování a ostatní předvolby jsou uloženy lokálně v zařízení. Na server je odesíláme pouze při přenosu do nového telefonu (spolu se jménem a s názvy seznamů pro widget a pro poslední otevřený seznam); po dokončení přenosu je smažeme nejpozději do 30 dní.

Aplikace při prvním spuštění vytvoří odvozený identifikátor zařízení: jednosměrný otisk (hash) z Android ID, na iPhonu z náhodného identifikátoru, který uloží do klíčenky (Keychain). Na rozdíl od identifikátoru podle bodu a) přetrvá i po přeinstalaci aplikace nebo smazání jejích dat, na iPhonu až do obnovení telefonu do továrního nastavení. Aplikace jej posílá při každém požadavku na server a server jej přiřazuje k identifikátoru zařízení. Slouží k ověření nároku na Prémium a na hlasová zadání s AI a k tomu, aby se zkušební období nedalo opakovaně získávat přeinstalací. Jde o pseudonymizovaný údaj: z něj samotného nezjistíme, kdo jste, ale podle něj poznáme tentýž telefon. Pokud spustíte zkušební období nebo si zakoupíte Prémium, k odvozenému identifikátoru dále ukládáme: (1) doklad o nákupu z Google Play nebo App Store (token nebo potvrzení nákupu, identifikátor produktu, typ a platnost předplatného), který ověřujeme přímo u společnosti Google nebo Apple; (2) termíny zkušebního období a počítadla využití hlasových zadání; (3) záznamy o událostech předplatného (nákup, obnovení, zrušení, vrácení peněz) bez jména a bez platebních údajů. Číslo karty ani platební údaje neukládáme – platbu zpracovává výhradně Google Play nebo Apple.

Zařízením, která aplikaci používala před spuštěním Prémia (27. 8. 2026), jsme jako poděkování nabídli Prémium na celou dobu provozu aplikace. K tomu evidujeme identifikátor takového zařízení a při vyzvednutí dárku také jeho odvozený identifikátor (bod j) a čas vyzvednutí.

Pokud nám napíšete prostřednictvím formuláře na nakupnyzoznam.app nebo e-mailem, zpracováváme vaše jméno, e-mailovou adresu a obsah zprávy, abychom vám mohli odpovědět a vyřídit vaši žádost, reklamaci nebo odstoupení od smlouvy, a u formuláře také IP adresu pro ochranu před zneužitím. Při odstoupení od smlouvy prostřednictvím formuláře „Odstoupit od smlouvy zde“ zpracováváme také údaje o nákupu, které uvedete (obchod, produkt, datum nákupu, číslo objednávky, e-mail účtu Google nebo Apple ID), a čas odeslání; potvrzení s tímto obsahem vám pošleme e-mailem.

Bez ohledu na souhlas podle bodu h) počítáme souhrnné počty ze všech zařízení kromě těch, u nichž někdo vznesl námitku (bod 6). Počítáme je pouze z údajů, které už na serveru máme z důvodů uvedených v tomto bodě 2: kdy se zařízení poprvé a naposledy připojilo (ukládáme to u identifikátoru zařízení, bod a); zda má jméno (bod b); seznamy, položky a sdílení seznamů (bod c); kdy se někdo ke sdílenému seznamu připojil nebo z něj odešel; přenosy do nového telefonu; počet použití AI za den, celkem i podle druhu úlohy, který server vede pouze jako součet bez vazby na zařízení (bod f); začátek zkušebního období (bod j); zapnutá oznámení (bod g) a odpověď na otázku o statistikách (bod h). Výsledkem jsou pouze počty, například kolik zařízení bylo aktivních za poslední den, 7 a 30 dní, kolik je seznamů a položek, kolik nových zařízení za týden přibylo a kolik z nich si nastavilo jméno, má seznam s položkami, sdílí seznam a použilo aplikaci znovu alespoň 1, 7 a 30 dní po prvním připojení, kolik bylo zahájeno zkušebních období a kolik zařízení na otázku o statistikách odpovědělo ano, ne, nebo ji zavřelo. Pro tyto statistiky ze zařízení neshromažďujeme ani neodesíláme nic dalšího a chování konkrétního zařízení jimi nesledujeme. Hotové počty zobrazujeme v nástroji PostHog vedle statistik podle bodu h). Není v nich identifikátor zařízení, jméno ani obsah seznamů. Aby v nich nebylo možné rozpoznat konkrétního člověka: žádný počet od 1 do 4 neodesíláme (místo něj je prázdná hodnota); to, co dělá málo lidí (například zahájená zkušební období, přenosy do nového telefonu nebo odpovědi na otázku o statistikách), počítáme jen za celý týden; údaje o tom, jak daleko se nová zařízení dostala a zda se vrátila, odesíláme jen za celý týden a jen za skupiny alespoň 10 nových zařízení; a celkové stavy za den (například počet aktivních zařízení nebo seznamů) zaokrouhlujeme na násobky pěti, aby se z rozdílu mezi dvěma dny nedalo vyčíst, co udělalo jedno zařízení. Aplikace kromě toho při každém požadavku na server odesílá svou verzi (číslo sestavení, identifikátor aktualizace a verzi prostředí, ve kterém běží), abychom věděli, zda je se serverem kompatibilní a kdy můžeme ukončit podporu starých verzí, které už nemusí být bezpečné. Pro tento účel sledujeme také, kolik zařízení kterou verzi používá; tyto počty do nástroje PostHog neodesíláme.

Při každém požadavku na server vidí naši poskytovatelé (Supabase, Cloudflare) IP adresu, čas a druh požadavku a uchovávají si je ve svých technických záznamech: Supabase zpravidla 1 den, Cloudflare nejvýše 31 dní. Aplikace si při prvním spuštění vytvoří bezpečnostní klíč zařízení a uloží jej do zabezpečeného úložiště telefonu; my máme pouze jeho jednosměrný otisk, podle kterého ověřujeme, že požadavek přišel z vašeho telefonu. Pro ochranu před zneužitím evidujeme: pokusy o zadání kódu pro sdílení nebo přenosového kódu (2 dny), spuštění zkušebního období s klíčovaným pseudonymem adresy namísto IP adresy (1 den), počty ověření nákupu (2 dny), záznamy o kontrole bezpečnostního klíče (90 dní) a záznamy o obnovení členství po přeinstalaci (60 dní). U požadavků na AI si namísto IP adresy a identifikátoru zařízení ukládáme pouze jejich klíčované pseudonymy, z nichž se původní hodnota bez našeho tajného klíče nedá zjistit (nejvýše 30 dní). Když aplikace kontroluje aktualizace, odešle společnosti Expo svou verzi, operační systém a náhodný identifikátor instalace, podle kterého Expo aktualizace postupně zpřístupňuje.

Ukládání nákupních seznamů, položek, fotek u položek (v neveřejném úložišti Supabase Storage), push tokenů a členů sdílených seznamů. Komunikace je šifrovaná (HTTPS/TLS). Kopii standardních smluvních doložek uvedených v tomto bodě vám na požádání zašleme. Přístup k údajům je řízen pravidly na úrovni řádků (Row Level Security). Data jsou uložena v datovém centru v Irsku (AWS eu-west-1). Pokud k nim mimo EHP přistupuje personál nebo subdodavatelé Supabase, například při technické podpoře, je předání chráněno standardními smluvními doložkami EU, které jsou součástí smlouvy o zpracování osobních údajů se Supabase.

Zásady ochrany soukromí Supabase

Statistiky používání a hlášení o chybách, pouze pokud jste nám k nim v aplikaci udělili souhlas. Údaje jsou uloženy na serverech v EU (Frankfurt, eu.i.posthog.com). PostHog, Inc. je americká společnost certifikovaná v rámci EU-US Data Privacy Framework; pokud by k údajům přistupovala z USA, například při technické podpoře, je předání chráněno touto certifikací. Odesíláme pseudonymizované události bez jména, e-mailu a obsahu seznamů, spolu s údaji o zařízení a aplikaci uvedenými v bodě 2 h). Přibližnou polohu (zemi, kraj, město, PSČ a přibližné souřadnice oblasti) určí PostHog z IP adresy, kterou poté neukládá. Souhlas odvoláte v Nastavení → Statistiky používání. Bez ohledu na souhlas náš server do nástroje PostHog odesílá také hotové souhrnné počty podle bodu 2 m); není v nich identifikátor zařízení a PostHog u nich polohu neurčuje.

Zásady ochrany soukromí PostHog

Využíváme rozhraní Claude API při hlasovém diktování, u receptu z odkazu a u fotky. Posíláme rozpoznaný text diktátu, názvy položek, které už na seznamu jsou, a seznam kategorií, u receptu seznam surovin z veřejné stránky receptu a u fotky zmenšenou fotku, kterou jste sami vyfotili či vybrali; neposíláme jméno, e-mail ani identifikátor zařízení. Anthropic podle svých obchodních podmínek tyto údaje nepoužívá k trénování modelů. Údaje zpracovává také mateřská společnost Anthropic, PBC v USA; předání je chráněno standardními smluvními doložkami EU, které jsou součástí smlouvy o zpracování osobních údajů se společností Anthropic. Do seznamu proto nevkládejte osobní údaje.

Zásady ochrany soukromí Anthropic

Expo push token se odešle na servery Expo, když je povoleno doručování oznámení; přes Expo prochází také text každého oznámení (jméno člena, název seznamu a názvy položek, pokud nemáte zapnutou volbu „Skrýt obsah oznámení“). Expo také doručuje aktualizace aplikace: při jejich kontrole dostane verzi aplikace, operační systém a náhodný identifikátor instalace. Společnost Expo je certifikována v rámci EU-US Data Privacy Framework.

Zásady ochrany soukromí Expo

Doručování push oznámení včetně jejich textu do telefonů s Androidem prostřednictvím Google Firebase. Předání do USA je chráněno certifikací EU-US Data Privacy Framework.

Zásady ochrany soukromí Google

Doručování push oznámení včetně jejich textu do telefonů iPhone prostřednictvím Apple APNs. Předání do USA je chráněno standardními smluvními doložkami EU.

Zásady ochrany soukromí Apple

Prémium prodává a platby zpracovává Google Commerce Limited (Google Play) nebo Apple Distribution International Ltd. (App Store) jako samostatný správce podle svých zásad ochrany soukromí. Od nich dostáváme pouze potvrzení o nákupu, které ověřujeme přímo na jejich serverech; údaje o vaší platební kartě nevidíme.

Zprávy z formulářů na nakupnyzoznam.app doručuje do naší schránky a naše odpovědi na e-maily odesílá služba Brevo se sídlem a servery v EU.

Zásady ochrany soukromí Brevo

Web nakupnyzoznam.app běží na infrastruktuře Cloudflare, která při návštěvě zpracovává IP adresu a technické údaje potřebné k doručení a ochraně stránky; technické záznamy uchovává nejvýše 31 dní. Z nich nám zobrazuje také souhrnné počty zobrazení jednotlivých stránek bez IP adres (bod 9). Přes Cloudflare (Email Routing) procházejí také e-maily na adresu podpora@nakupnyzoznam.app. U formulářů Cloudflare Turnstile ověřuje, že zprávu neposílá robot. Pokud na webu dáte souhlas s měřením, Cloudflare Web Analytics měří návštěvnost a rychlost stránek bez cookies (bod 9). Společnost Cloudflare je certifikována v rámci EU-US Data Privacy Framework.

Zásady ochrany soukromí Cloudflare

E-maily na adresu podpora@nakupnyzoznam.app včetně zpráv z formulářů přijímá Cloudflare Email Routing a ukládá je do naší e-mailové schránky u společnosti Google. Předání do USA je chráněno certifikací EU-US Data Privacy Framework.

Zásady ochrany soukromí Google

Pokud pošlete dobrovolný příspěvek přes odkaz „Podpoř vývoj“ na webu, platbu zpracuje Stripe. Vidíme jméno, e-mail, částku a čas platby, nikoli číslo karty; tyto údaje uchováváme po dobu, kterou vyžadují účetní a daňové předpisy. Příspěvky v aplikaci se platí přes App Store nebo Google Play a Stripe se jich netýká.

Zásady ochrany soukromí Stripe

Hlasový vstup zpracovává systémová služba rozpoznávání řeči vašeho zařízení. Podle zařízení a jeho nastavení může zpracování probíhat lokálně, nebo na serverech společností Google či Apple. Aplikace dostává pouze rozpoznaný text; zvukový záznam na naše servery neposíláme. Zpracování se řídí podmínkami operačního systému vašeho zařízení.