Zásady ochrany osobních údajů

1. Správce

Stefan Renzler, Donaueschingenstraße 28/45-46, 1200 Vídeň, Rakousko — datenschutz@ovulyx.com — je správcem ve smyslu obecného nařízení o ochraně osobních údajů (GDPR) pro zpracování osobních údajů v rámci Ovulyx.

2. Jaké údaje zpracováváme a proč

Údaje o cyklu a zdraví jsou „zvláštní kategorií osobních údajů“ podle čl. 9 GDPR. Zpracováváme je výhradně s tvým výslovným souhlasem — při zakládání účtu jej potvrzuješ samostatným, zvlášť formulovaným zaškrtávacím políčkem (odděleně od souhlasu s obchodními podmínkami), které se výslovně týká zpracování údajů o cyklu a zdraví podle čl. 9 GDPR a bez něhož účet technicky nelze vytvořit. Souhlas můžeš kdykoli odvolat smazáním svého účtu.

Druh údajů	Účel	Právní základ
E-mailová adresa, heslo (v podobě hashe)	Vytvoření účtu, přihlášení, obnovení hesla	čl. 6 odst. 1 písm. b) GDPR (smlouva)
Zobrazované jméno (nepovinné, lze nastavit v nastavení)	Zobrazení propojenému partnerovi (např. „Nová reakce: …“)	čl. 6 odst. 1 písm. b) GDPR (smlouva)
Údaje o menstruaci (včetně volitelného konce menstruace a intenzity krvácení), záznamy v deníku (nálada, energie, příznaky, bazální teplota, poznámky)	Základní funkce: sledování cyklu a prognózy	čl. 9 odst. 2 písm. a) GDPR (výslovný souhlas)
Údaje o menstruaci z volitelného importu z Apple Health (export.xml, pouze záznamy o menstruaci)	Pohodlný import údajů při prvním nastavení, na tvé vlastní přání	čl. 9 odst. 2 písm. a) GDPR (výslovný souhlas, soubor aktivně vybíráš sám/sama)
Nastavení sdílení, sdílené shrnutí a reakce mezi tebou a tvým partnerem (např. „Díky, že jsi mi to řekla“)	Funkce sdílení s partnerem, pokud je aktivována	čl. 9 odst. 2 písm. a) GDPR (souhlas)
Koncový bod push oznámení a šifrovací klíče tvého zařízení (pokud jsou aktivovány)	Připomínky (blížící se menstruace, záznam do deníku) a reakce partnera ve formě oznámení	čl. 6 odst. 1 písm. a) GDPR (souhlas při aktivaci)
Platební údaje (údaje o kartě se nikdy nedostanou do našich systémů)	Účtování předplatného po skončení zkušebního období	čl. 6 odst. 1 písm. b) GDPR (smlouva)
Stav předplatného a identifikátor nákupu u nákupů přes App Store nebo Google Play (historie nákupů, prostřednictvím RevenueCat)	Odemčení a správa tvého předplatného	čl. 6 odst. 1 písm. b) GDPR (smlouva)
IP adresa (krátkodobě, k prevenci zneužití)	Omezení počtu požadavků (rate limiting) jako ochrana proti útokům hrubou silou	čl. 6 odst. 1 písm. f) GDPR (oprávněný zájem)

3. Reklama (pouze nepersonalizovaná) a žádný prodej údajů

Ovulyx zobrazuje reklamy prostřednictvím Google AdMob (mobilní aplikace) a Google AdSense (webová aplikace) — záměrně pouze nepersonalizované, bez cílení na základě chování nebo zájmů, a to právě proto, že Ovulyx zpracovává zvláštní kategorie osobních údajů (údaje o zdraví). Přitom mohou být společnosti Google předávány identifikátory na úrovni zařízení/prohlížeče (např. reklamní ID, tvá IP adresa a z ní odvozená přibližná poloha), informace o tvé interakci s reklamami (např. zobrazení a kliknutí) a údaje o pádech a diagnostické údaje z reklamní sady SDK — výhradně za účelem zobrazování reklam, měření jejich doručení a prevence podvodů, nikoli za účelem sledování tvé osoby napříč aplikacemi nebo webovými stránkami. Údaje o cyklu, zdraví ani jiné údaje z deníku se nikdy nepředávají reklamním sítím. Žádné Google Analytics, žádný Meta Pixel ani nic podobného. Osobní údaje neprodáváme ani nepronajímáme. Nejsou nastavovány žádné soubory cookie pro analytické účely — technicky nezbytné údaje relace (přihlašovací token) jsou uloženy lokálně v tvém zařízení, nikoli jako sledovací cookie.

4. Kdo další má přístup k údajům (zpracovatelé)

K provozu Ovulyx využíváme následující poskytovatele služeb, kteří zpracovávají údaje výhradně naším jménem:

Poskytovatel	Účel	Místo zpracování
Cloudflare, Inc.	Hosting aplikace, databáze (Cloudflare D1), serverová logika (Workers)	Region západní Evropa (WEUR)
Stripe Payments Europe, Ltd.	Zpracování plateb za předplatné zakoupené ve webové aplikaci	EU / USA (Stripe je certifikován podle standardních smluvních doložek EU)
Link, LLC (Stripe Managed Payments)	U webových nákupů mimo Rakousko je prodávajícím (merchant of record) společnost Link: platba, výpočet daně, fakturace, prevence podvodů a zákaznická podpora k nákupu. Za tímto účelem Link zpracovává tvé jméno, e-mail, fakturační adresu a platební údaje jako samostatný správce podle svých vlastních zásad ochrany osobních údajů; údaje o zdraví z Ovulyx Link nikdy nedostává.	USA / EU (standardní smluvní doložky)
Resend	Odesílání transakčních e-mailů (např. obnovení hesla)	USA (standardní smluvní doložky)
Služba pro doručování push oznámení tvého prohlížeče (např. Google FCM u Chrome, Mozilla Push Service u Firefoxu)	Doručování push oznámení — obsah je šifrován end-to-end (RFC 8291); služba vidí pouze to, že má být do tvého zařízení doručena nějaká zpráva, nikoli její obsah	závisí na příslušném poskytovateli, mimo naši kontrolu; relevantní pouze tehdy, pokud oznámení aktivuješ
Expo (650 Industries, Inc.)	Doručování push oznámení do mobilní aplikace (interně je předává stejným platformním push službám, jaké jsou uvedeny výše) — relevantní pouze tehdy, pokud oznámení aktivuješ	USA
RevenueCat, Inc.	Párování a správa nákupů předplatného v App Store/Play Store (stav předplatného, identifikátor nákupu) — relevantní pouze pro předplatné zakoupené přímo přes App Store/Play Store	USA
Google Ireland Limited (Google AdMob)	Zobrazování reklam v mobilní aplikaci, pouze nepersonalizovaných (viz bod 3)	EU/USA, na základě standardních smluvních doložek společnosti Google
Google Ireland Limited (Google AdSense)	Zobrazování reklam ve webové aplikaci, pouze nepersonalizovaných (viz bod 3)	EU/USA, na základě standardních smluvních doložek společnosti Google

5. Sdílení s partnerem

Pokud sdílení s partnerem aktivuješ, rozhoduješ sám/sama — a kdykoli to můžeš odvolat —, jaké informace uvidí osoba, kterou jsi pozval/a: kalendář menstruace, příznaky (kromě těch, které skryješ), tvé poznámky „Co mi pomáhá“/„Čemu se vyhnout“ (pouze jednotlivě sdílené záznamy) a — podle tvé volby — buď tvou náladu/energii den po dni, nebo pouze průměr za fázi. Volné textové poznámky a tvá bazální teplota se propojené osobě nikdy nesdílejí. Propojení partneři ti navíc mohou poslat krátkou, pevně danou reakci (např. „Díky, že jsi mi to řekla“) — tyto reakce se uchovávají, dokud příslušné propojení trvá, nebo dokud není jeden z obou účtů smazán.

Propojený partner si navíc může vést vlastní seznam „Co mi dělá dobře“, nezávislý na cyklu (záznamy „Co pomáhá“/„Čemu se vyhnout“, seřazené podle situací). Záznam se ti předá pouze tehdy, pokud jej partner výslovně sdílí; vše ostatní zůstává soukromé. Když otevřeš tento seznam nebo odpovídající řádek pod jeho denní náladou, partnerovi se zobrazí pouze čas tvého posledního zobrazení („viděl/a to dnes ve 14:05“) — nikoli to, které záznamy sis přečetl/a. Tento ukazatel nelze vypnout a při zrušení nebo opětovném navázání propojení se vynuluje.

Svůj cyklus můžeš sdílet s více osobami (nejvýše 10) a pro každou z nich určit samostatná nastavení sdílení. U jednotlivých záznamů (např. událostí, „Co pomáhá“, denní nálady, reakcí) volíš, které z propojených osob je obdrží; tento výběr se vynucuje na našem serveru, takže každá osoba dostane jen to, co je určeno pro ni. Osoby s vlastním cyklem se mohou propojit navzájem — opačný směr vznikne teprve tehdy, když jedna strana nabídne svůj cyklus a druhá strana to potvrdí. S kým dalším máš propojení, uvidí propojené osoby jen tehdy, když to výslovně zapneš.

6. Doba uložení

Tvé údaje uchováváme po dobu existence tvého účtu. Pokud svůj účet smažeš v aplikaci, budou všechny související údaje (údaje o cyklu, záznamy v deníku, nastavení sdílení, propojení s partnery) nevratně smazány. Aktivní předplatné zakoupené ve webové aplikaci se při smazání účtu automaticky zruší; předplatné zakoupené přes Google Play nebo App Store musíš zrušit sám/sama v příslušném obchodě. Faktury a platební doklady se uchovávají v souladu se zákonnými povinnostmi archivace. Podrobnosti: Smazání účtu.

6a. Uživatelé mimo EU

Ovulyx je provozován z Rakouska a uplatňuje standard GDPR na všechny uživatele po celém světě: práva uvedená v bodě 7 ti náleží bez ohledu na to, kde žiješ. Údaje tvého účtu a údaje o zdraví jsou uloženy v EU (Cloudflare, region západní Evropa); poskytovatelé služeb uvedení v bodě 4 mohou zpracovávat údaje v USA na základě standardních smluvních doložek. Údaje se nikdy neprodávají a nikdy se nepoužívají pro personalizovanou reklamu. V závislosti na tvé zemi můžeš mít navíc práva podle místního práva (například ve Spojeném království, Švýcarsku, Austrálii, na Novém Zélandu, v Japonsku, Singapuru nebo Jižní Koreji); můžeš je uplatnit prostřednictvím stejného kontaktu (datenschutz@ovulyx.com) a my odpovíme ve lhůtě stanovené příslušnými právními předpisy. Uživatelé ve Spojených státech: viz také naše Consumer Health Data Privacy Policy (v angličtině).

6b. Informace pro jednotlivé země

• Dostupnost: Ovulyx nepřijímá nové účty z pevninské Číny, Ruska, Běloruska, Íránu, Severní Koreje, Sýrie, Kuby, Afghánistánu, Iráku, Libye, Jemenu, Myanmaru, Venezuely, Turecka, Indonésie, Keni, Nigérie, Saúdské Arábie, Vietnamu, Egypta, Kataru, Alžírska, Thajska, Kazachstánu, Uzbekistánu ani Turkmenistánu. Ve Spojených státech, Brazílii a Indii je Ovulyx dostupný pouze pro dospělé ve věku od 18 let.
• Příjemci v zahraničí (mimo jiné Japonsko APPI, Jižní Korea PIPA): Osobní údaje jsou uloženy v EU (Cloudflare, region západní Evropa) a v rozsahu nezbytném pro účely uvedené v bodě 2 předávány poskytovatelům služeb uvedeným v bodě 4, z nichž někteří sídlí ve Spojených státech (Cloudflare, Resend, Expo, RevenueCat, Stripe/Link, Google). Spojené státy nemají komplexní federální zákon o ochraně údajů; tito poskytovatelé jsou vázáni standardními smluvními doložkami EU. Předávání probíhá průběžně po dobu používání Ovulyx a končí smazáním účtu.
• Uchovávání a likvidace: Údaje se uchovávají po dobu existence tvého účtu a při smazání účtu se okamžitě a nevratně vymažou (záznamy v databázi se odstraní; zálohy se přepíšou do 30 dnů). Faktury se uchovávají po zákonem stanovenou dobu (v Rakousku zpravidla 7 let).
• Odpovědná osoba / pověřenec pro ochranu osobních údajů / grievance officer / encarregado (mimo jiné Kanada, Brazílie LGPD, Indie DPDP, Jižní Korea PIPA): Stefan Renzler, datenschutz@ovulyx.com, Donaueschingenstraße 28/45-46, 1200 Vídeň, Rakousko.
• Brazílie (LGPD): Údaje o zdraví se zpracovávají na základě tvého konkrétního souhlasu (čl. 11 I LGPD); prostřednictvím výše uvedeného kontaktu můžeš požadovat potvrzení, přístup, opravu, anonymizaci, přenositelnost, výmaz a informace o sdílení údajů a odvolat souhlas; stížnost můžeš podat u ANPD.
• Indie (DPDP Act): Prostřednictvím výše uvedeného kontaktu můžeš požadovat přístup, opravu a výmaz, určit jinou osobu a podávat stížnosti; pokud věc nebude vyřešena, můžeš se obrátit na Data Protection Board of India.

7. Tvá práva

• Přístup a přenositelnost údajů — svůj úplný soubor údajů si můžeš kdykoli stáhnout jako soubor JSON v části „Nastavení → Účet → Exportovat data“.
• Výmaz — kdykoli sám/sama v části „Nastavení → Účet → Trvale smazat účet“, bez čekací doby, nebo e-mailem (viz Smazání účtu).
• Oprava — každý záznam lze změnit přímo v aplikaci.
• Námitka/odvolání souhlasu — kdykoli, vypnutím jednotlivých funkcí (např. sdílení s partnerem) nebo smazáním účtu.
• Stížnost u dozorového úřadu — v Rakousku u Datenschutzbehörde (dsb.gv.at) nebo u úřadu příslušného podle tvého bydliště.

8. Změny těchto zásad

Tyto zásady aktualizujeme, kdykoli se změní zpracování (např. nové funkce, noví poskytovatelé služeb). Aktuální verze je vždy k dispozici na této adrese.