Zásady ochrany osobních údajů
Tyto zásady ochrany osobních údajů vysvětlují, jaké osobní údaje shromažďujeme, když používáte službu Lapvio, proč je shromažďujeme, jak je používáme a sdílíme a jaká práva k nim máte.
Vztahují se na službu Lapvio ve všech jejích podobách: aplikaci pro řidiče na lapvio.com, mobilní aplikaci Lapvio pro Android a iOS, administrátorské portály pořadatelů na [poradatel].lapvio.com/admin a portály akcí pro řidiče na [poradatel].lapvio.com/d/[token]. Vztahují se také na náš marketingový web, na e-maily, které vám zasíláme, a na jakoukoli další interakci se službou Lapvio. Pokud jste si aplikaci Lapvio nainstalovali z Google Play nebo App Store, platí pro tuto aplikaci právě tyto zásady ochrany osobních údajů.
Pokud máte čas pouze na krátkou verzi: shromažďujeme minimum, které potřebujeme k provozu služby, vaše údaje nikdy neprodáváme, používáme malý počet ověřených dodavatelů k jejich hostování a zpracování, své údaje můžete kdykoli zobrazit a smazat a před jakoukoli zásadní změnou vás na to jasně upozorníme.
1. Kdo za vaše údaje odpovídá
Službu Lapvio provozuje Amahi s.r.o., společnost s ručením omezeným se sídlem Kurzova 2222/16, Stodůlky, 155 00 Praha 5, Česká republika, IČO: 29494621, DIČ: CZ29494621, zapsaná u Městského soudu v Praze, oddíl C, vložka 447404. V těchto zásadách termíny „Amahi", „my", „nás" a „naše" označují společnost Amahi s.r.o.; termín „Lapvio" označuje samotnou službu.
V otázkách ochrany osobních údajů, uplatnění vašich práv nebo jakékoli další záležitosti týkající se osobních údajů nás kontaktujte na privacy@lapvio.com. V ostatních věcech: info@lapvio.com. Korespondenční adresa: Kurzova 2222/16, Stodůlky, 155 00 Praha 5, Česká republika.
Nemáme zákonnou povinnost jmenovat pověřence pro ochranu osobních údajů (DPO) a žádného jsme nejmenovali. Dotazy ohledně soukromí směřují na privacy@lapvio.com a vyřizuje je společnost Amahi s.r.o. přímo.
Kdy jsme správcem a kdy ne
Lapvio má dvě odlišné stránky. Která z nich se uplatní, určuje, kdo je za vaše údaje odpovědný podle nařízení (EU) 2016/679 (dále jen „GDPR").
Aplikace pro řidiče (lapvio.com a mobilní aplikace Lapvio). Když si vytvoříte účet Lapvio, zaznamenáte si trackday, sledujete jiného řidiče, zveřejníte příspěvek nebo nahrajete fotku auta, správcem těchto údajů je společnost Amahi s.r.o. My rozhodujeme, co a proč shromažďujeme, a tyto Zásady to popisují.
Portály akcí pořadatelů ([poradatel].lapvio.com/d/[token]). Když se registrujete na konkrétní trackday (akce na okruhu), zadáte své údaje, podepíšete Prohlášení účastníka, absolvujete instruktáž, správcem údajů, které pro danou akci poskytnete, je daný pořadatel. Pořadatel rozhoduje, proč je shromažďuje (k uspořádání trackdaye, ke splnění požadavků pojištění, ke komunikaci s vámi ohledně dne akce). My v takovém případě vystupujeme jako jeho zpracovatel podle čl. 28 GDPR na základě smlouvy o zpracování osobních údajů uzavřené s každým pořadatelem. Údaje zpracováváme podle pokynů pořadatele a v rámci naší infrastruktury, ale nerozhodujeme o tom, co s nimi dělat.
V praxi to znamená: pokud se ptáte „proč má tento pořadatel moje telefonní číslo?", to je otázka pro pořadatele. Pokud se ptáte „proč Lapvio zobrazuje moji historii trackdayů na mém profilu?", to je otázka pro nás a odpověď najdete v těchto Zásadách.
Instruktoři, u kterých si rezervujete lekci. Existuje ještě třetí případ. Když si na Lapviu zarezervujete instruktážní lekci u instruktora, předáme tomuto instruktorovi údaje o vaší rezervaci (vaše jméno, e-mail, telefon a případnou poznámku), aby vám lekci mohl poskytnout. Pro tyto údaje je instruktor samostatným správcem; sám rozhoduje, jak je k provedení lekce použije, na vlastní odpovědnost, a my nejsme ani jeho zpracovatelem, ani společným správcem. Toto sdílení popisujeme v části 4.3. Naše vlastní zpracování vaší rezervace (přijetí platby, zaznamenání objednávky na vašem účtu) pokrývají tyto Zásady, kde správcem jsme my.
Tyto dvě stránky se propojují přes váš profil Lapvio. Pokud profil aktivujete, vaše ověřená historie akcí od pořadatelů se na profilu zobrazí (s ohledem na nastavení vašeho soukromí). V takovém okamžiku jsme správcem zobrazení této historie, zatímco údaje o samotné registraci na akci zůstávají pod kontrolou příslušného pořadatele.
2. Jaké údaje shromažďujeme
2.1 Když si vytvoříte účet Lapvio
Pro vytvoření účtu, na lapvio.com nebo v mobilní aplikaci, nám zadáte e-mailovou adresu. Během přihlášení přes jednorázový kód (OTP) vám na tuto adresu zašleme šestimístný kód; po jeho ověření se vytvoří váš účet. Následně zvolíte jméno, uživatelské jméno (které se stane součástí URL vašeho veřejného profilu lapvio.com/[username]) a volitelně avatar, krátký bio a domovský okruh.
Dále shromažďujeme:
- IP adresu a obecné informace o zařízení (prohlížeč, operační systém), automaticky zaznamenává náš poskytovatel hostingu
- Metadata o přihlášení, kdy a z jaké relace jste se přihlásili
- Vaši preferenci motivu (tmavý / světlý) a jazyka
- Vaši volbu ohledně marketingových e-mailů
2.2 Když službu Lapvio používáte
Při používání služby shromažďujeme údaje o tom, co s ní děláte:
- Ručně zaznamenané trackdaye: datum, okruh, auto, typ slotu, volitelné poznámky, volitelný nejlepší čas na kolo, volitelný odkaz na onboard video, vaše nastavení viditelnosti pro každý záznam
- Auta přidaná do garáže: značka, model, rok, volitelná SPZ, volitelné poznámky, volitelná fotografie, štítky
- Sledovaní a sledovatelé: sociální graf toho, koho sledujete a kdo sleduje vás
- Získané úspěchy: seznam odznaků a kdy byl každý z nich udělen
- Propojené e-mailové adresy: další e-maily, které jste si ověřili, abychom mohli sloučit historii od různých pořadatelů do jednoho účtu
- Instruktážní lekce, které si rezervujete: u kterého instruktora, kterou lekci, datum a údaje o rezervaci (jméno, e-mail, telefon, případná poznámka), které předáváme instruktorovi k poskytnutí lekce
- Příspěvky a sociální obsah: příspěvky, které zveřejníte, komentáře a odpovědi, zmínky, reakce a fotografie a videa, která k nim připojíte, vše viditelné podle publika, které jste pro daný obsah zvolili
- Chaty a přímé zprávy: zprávy, které na Lapviu odesíláte a přijímáte, a s kým jste si je vyměnili
- Nahlášení obsahu a blokace: nahlášení, která podáte na obsah někoho jiného, nahlášení, která ostatní podají na váš obsah, a seznam uživatelů, které jste zablokovali
- Soubory s měřením kol, které importujete: soubory, které se rozhodnete importovat ze svého laptimeru (například CSV export z RaceBoxu), včetně časů kol a sektorů a přesné GPS stopy, kterou váš laptimer zaznamenal na okruhu a ze které odvozujeme například vaši jetou stopu a souřadnice startu a cíle okruhu
- Údaje pro push notifikace: push token vašeho zařízení, základní informace o zařízení (platforma a model) a vaše preference notifikací, shromažďované pouze v případě, že si notifikace zapnete
- Zhlédnutá oznámení v aplikaci: když vám aplikace zobrazí oznámení Lapvia (krátkou „story", kterou procházíte klepnutím), zaznamenáme, že jste ho viděli a zda jste ho dokončili, abychom vám ho nezobrazovali znovu
- Dotazy a zpětná vazba: dotazy, které zašlete instruktorovi, zpětná vazba, kterou nám pošlete z aplikace, a žádosti o demo z našeho marketingového webu. U těchto odeslání zaznamenáváme také vaši IP adresu a typ prohlížeče, které používáme výhradně k prevenci zneužití
- Vaše preference soukromí a oznámení
2.3 Když se zúčastníte trackdaye pořadatele
Když vás pořadatel zaregistruje na akci (přímo nebo přes synchronizaci z WooCommerce ze svého e-shopu), vytvoří v naší infrastruktuře záznam o registraci. Údaje v tomto záznamu shromažďuje pořadatel, ne my, ale procházejí systémem Lapvio. Obvykle zahrnují vaše jméno, e-mail, telefonní číslo, jazykovou preferenci, typ slotu, údaje o autě a SPZ. Pořadatel rozhoduje, na co se přesně zeptá.
Když dokončíte registrační proces na portálu akce, pořadatel dále shromažďuje:
- Potvrzení, že jste absolvovali bezpečnostní instruktáž, a kdy
- Podepsané Prohlášení účastníka, zpracovávané službou DocuSeal jménem pořadatele a vrácené jako PDF a auditní záznam
- Případné poznámky, které o vás pořadatel přidává (jeho CRM)
- Stav check-inu v den akce, přiřazení do skupiny / pitu / čísla transpondéru a případné vlajky, které pořadatel zaznamená (nezaplaceno, incident, no-show apod.)
Pro účast na trackdayi pořadatele není váš účet Lapvio nutný; přístup přes magic-link funguje i bez něj. Pokud účet Lapvio nemáte, žádné z výše uvedených údajů se nepřenášejí na váš profil Lapvio, protože žádný profil neexistuje.
2.4 Pokud vás pořadatel zaregistruje na akci dříve, než si vytvoříte účet Lapvio
Když vás pořadatel zaregistruje na akci, můžeme uchovávat vaše jméno a e-mail, abychom při pozdějším přihlášení do Lapvia mohli vaši historii akcí již mít připravenou. Tento záznam není nikomu viditelný a nikomu neumožňuje přístup k účtu. Pokud se nikdy nepřihlásíte, údaje po pěti letech nečinnosti anonymizujeme.
2.5 Co neshromažďujeme
Nepožadujeme a neshromažďujeme:
- Datum narození, identifikační čísla, doklady totožnosti vydané státem nebo fotografie vašeho řidičského průkazu (pořadatelé je mohou vyžadovat, uchováváme to, co shromáždí jejich jménem, ale Lapvio samo o sobě je nevyžaduje)
- Čísla bankovních účtů ani platebních karet, všechny platební údaje zpracovává Stripe, my je nikdy nevidíme
- Zdravotní informace
- Aktuální polohu zařízení: web ani mobilní aplikace nesledují, kde se vaše zařízení nachází, a aplikace neprovádí žádné vlastní GPS sledování. Jedna poctivá výhrada: soubory s měřením kol, které se rozhodnete importovat (část 2.2), obsahují přesné GPS pozice zaznamenané na okruhu vaším laptimerem a my je ukládáme a zpracováváme jako součást vaší historie trackdayů, ale pouze proto, že jste je sami importovali
- Informace ze sociálních sítí třetích stran nad rámec toho, co nám sami při registraci poskytnete
2.6 Cookies a podobné technologie
Cookies používáme pro přihlášení, jazykové a vzhledové preference, ukládání souhlasu a (pouze s vaším souhlasem) pro Google Analytics a Meta Pixel. Detail najdete v Zásadách používání cookies.
Mobilní aplikace nepoužívá reklamní cookies. Její analytiku používání (PostHog) a diagnostiku pádů (Sentry) popisujeme v částech 3 a 4.1 a analytiku můžete kdykoli vypnout v nastavení aplikace.
3. Proč vaše údaje zpracováváme, a právní základ pro každý účel
Podle čl. 6 GDPR potřebuje každá zpracovatelská činnost právní základ. Zde uvádíme, co s vašimi údaji děláme a proč to smíme dělat.
| Co děláme | Právní základ | Vysvětlení |
|---|---|---|
| Vytvoření a údržba vašeho účtu Lapvio | Plnění smlouvy, čl. 6 odst. 1 písm. b) GDPR | Pro poskytnutí účtu, který jste si zaregistrovali, potřebujeme zpracovávat váš e-mail a přihlašovací údaje |
| Zobrazování vašeho veřejného profilu, historie a garáže | Souhlas, čl. 6 odst. 1 písm. a) GDPR | Při registraci si volíte nastavení soukromí pro jednotlivé sekce. Výchozí je veřejné; kdykoli je můžete změnit |
| Zasílání transakčních e-mailů (kódy OTP, pozvánky k aktivaci profilu, post-event shrnutí, oznámení o úspěších) | Plnění smlouvy / oprávněný zájem, čl. 6 odst. 1 písm. b) a f) GDPR | Tyto e-maily jsou nezbytné pro provoz služby |
| Zasílání marketingových e-mailů o nových funkcích, nových okruzích a pořadatelích vstupujících na platformu | Oprávněný zájem s možností opt-out, čl. 6 odst. 1 písm. f) GDPR a § 7 odst. 3 zákona č. 480/2004 Sb., o některých službách informační společnosti | Zasílání odběru můžete kdykoli odhlásit kliknutím v každém marketingovém e-mailu nebo v nastavení účtu. Vycházíme z výjimky pro vlastní zákazníky podle českého práva |
| Poskytnutí vašich údajů pořadatelům jako jejich zpracovatel | Pro pořadatele čl. 6 odst. 1 písm. b) GDPR; pro naši roli čl. 28 GDPR | Když se registrujete na akci pořadatele, držíme jeho údaje jeho jménem. Jeho informační povinnost správce pokrývá v jeho zásadách |
| Předání údajů o rezervaci instruktorovi, u kterého jste si rezervovali lekci | Plnění smlouvy, čl. 6 odst. 1 písm. b) GDPR | Když si rezervujete instruktážní lekci, sdílíme vaše jméno a kontaktní údaje s instruktorem, aby vám lekci mohl poskytnout. Instruktor je poté samostatným správcem (část 4.3) |
| Provoz sociálního feedu, chatů a veřejného obsahu | Plnění smlouvy, čl. 6 odst. 1 písm. b) GDPR | Zveřejňování příspěvků, komentování, reakce a zprávy jsou součástí služby, kterou jste si zaregistrovali. Kdo co vidí, se řídí nastavením viditelnosti, které si zvolíte |
| Moderování obsahu a vyřizování nahlášení a blokací | Oprávněný zájem a právní povinnost, čl. 6 odst. 1 písm. f) a c) GDPR | Prověřujeme nahlášený obsah, respektujeme blokace a odstraňujeme obsah, který porušuje naše pravidla nebo zákon, abychom platformu udrželi bezpečnou pro všechny |
| Zasílání push notifikací na vaše zařízení | Plnění smlouvy a souhlas, čl. 6 odst. 1 písm. b) a a) GDPR | Pouze pokud si notifikace zapnete, prostřednictvím oprávnění operačního systému a vašich preferencí v aplikaci. Kdykoli je můžete vypnout v nastavení aplikace nebo v nastavení svého zařízení |
| Provoz analytických nástrojů s Google Analytics 4 | Souhlas, čl. 6 odst. 1 písm. a) GDPR | Pouze poté, co v cookie liště odsouhlasíte analytické cookies |
| Měření reklamy s Meta Pixel | Souhlas, čl. 6 odst. 1 písm. a) GDPR | Pouze poté, co v cookie liště odsouhlasíte marketingové cookies |
| Měření používání mobilní aplikace pomocí PostHog (hostováno v EU) | Oprávněný zájem, čl. 6 odst. 1 písm. f) GDPR | Analytika používání, která nám ukazuje, které funkce fungují a které ne. Kdykoli se můžete odhlásit přepínačem analytiky v nastavení aplikace |
| Diagnostika pádů a chyb mobilní aplikace pomocí Sentry (hostováno v EU) | Oprávněný zájem, čl. 6 odst. 1 písm. f) GDPR | Když aplikace spadne nebo se chová chybně, diagnostická zpráva nám řekne, co se pokazilo, abychom to mohli opravit |
| Detekce, prevence a reakce na podvody, zneužití a bezpečnostní incidenty | Oprávněný zájem, čl. 6 odst. 1 písm. f) GDPR | Potřebujeme zachovat platformu bezpečnou |
| Plnění právních povinností: daňové záznamy, oprávněné žádosti orgánů veřejné moci | Právní povinnost, čl. 6 odst. 1 písm. c) GDPR | Když nám zákon ukládá údaje uchovat nebo sdílet |
| Obhajoba právních nároků | Oprávněný zájem, čl. 6 odst. 1 písm. f) GDPR | Po dobu nevyřízeného sporu můžeme uchovávat relevantní údaje |
Poznámka k souhlasu
Tam, kde je právním základem souhlas (výchozí nastavení veřejného profilu, analytické cookies, marketingové cookies), můžete souhlas kdykoli odvolat. Odvolání nemá vliv na zpracování provedené před odvoláním, ale od daného okamžiku zpracování zastavíme. Pro analytické a marketingové cookies je odkaz pro úpravu vašich voleb v patičce každé stránky. V mobilní aplikaci najdete přepínač pro vypnutí analytiky v nastavení aplikace a push notifikace můžete vypnout tamtéž nebo v nastavení svého zařízení.
Poznámka k propagovanému obsahu
Feed i aplikace mohou zobrazovat zřetelně označený propagovaný obsah, od pořadatelů nebo od samotného Lapvia. U propagovaného obsahu měříme pouze souhrnné počty zobrazení a kliknutí. Nevytváříme žádný reklamní profil jednotlivých uživatelů a s tím, čí obsah je propagován, nesdílíme žádné vaše osobní údaje.
4. S kým vaše údaje sdílíme
Údaje sdílíme čtyřmi způsoby: se zpracovateli (subprocesory), kteří provozují části naší infrastruktury, s pořadateli, když se registrujete na jejich akce, s instruktory, když si u nich rezervujete lekci, a s veřejností prostřednictvím vašeho profilu (pokud jste ho nastavili jako veřejný). Vaše údaje nikomu neprodáváme.
4.1 Subprocesoři
Toto jsou společnosti, které využíváme k provozu Lapvia. Každá vidí pouze údaje, které potřebuje pro svou konkrétní roli, a každá je zavázána smlouvou o zpracování osobních údajů splňující požadavky čl. 28 GDPR.
| Poskytovatel | Co dělá | Co dostává | Kde |
|---|---|---|---|
| Supabase | Databáze, úložiště souborů, autentizace | Vše ve službě, ale šifrováno na úložišti a přístupné pouze kódem Lapvia | EU (eu-central-1, Frankfurt) |
| Vercel | Hostování aplikace, serverové logy | Požadavky stránek, IP adresy, aplikační logy | Regionálně, včetně edge lokací v EU a USA |
| Postmark | Doručování transakčních e-mailů | E-mail příjemce, předmět, obsah, stav doručení | USA (certifikováno DPF) |
| DocuSeal | Podpis Prohlášení účastníka jménem pořadatelů | Jméno řidiče, e-mail, obsah Prohlášení účastníka, podepsané PDF, auditní záznam | EU (servery DocuSeal v EU) |
| Stripe | Zpracování plateb za trackdaye, instruktážní lekce nebo instruktážní obsah, kde pořadatel, instruktor nebo jiný prodávající využívá Stripe Connect | Částka, měna, vaše jméno a e-mail (pro doklad), údaje o kartě, ty zpracovává přímo Stripe, my je nikdy nevidíme | Irsko a USA |
| Google (OAuth) | Přihlašování pouze pro administrátory pořadatelů | E-mail a jméno z vašeho Google účtu | USA (certifikováno DPF) |
| QuickChart | Generování QR kódů pro check-in | Jméno řidiče, ID akce, zakódované v QR kódu | USA |
| Google Analytics 4 (načítán přes Google Tag Manager) | Souhrnné analytické údaje, pouze se souhlasem | Zkrácená IP, otisk zařízení, interakce na stránce | USA (certifikováno DPF) |
| Meta Pixel | Měření reklamy, pouze se souhlasem | IP, identifikátor zařízení, typ prohlížeče, interakce na stránce, zdroj návštěvy | USA (certifikováno DPF) |
| Expo | Doručování push notifikací pro mobilní aplikaci | Push token zařízení, obsah notifikace | USA (DPF tam, kde se uplatní) |
| Google Firebase Cloud Messaging | Přenos push notifikací na zařízení Android | Push token zařízení, obsah notifikace | USA a EU (certifikováno DPF) |
| Mapbox | Mapové dlaždice pro mapu okruhů | IP adresa vašeho zařízení při načítání mapových dlaždic | USA |
| PostHog | Analytika používání mobilní aplikace | Události používání, model zařízení, verze aplikace | EU (hostováno v Německu) |
| Sentry | Diagnostika pádů a chyb mobilní aplikace | Zprávy o pádech: model zařízení, verze OS, stav aplikace v okamžiku chyby | EU (rezidence dat v EU) |
Tento seznam udržujeme aktuální. Při přidání nebo odstranění subprocesora tuto stránku aktualizujeme a zveřejníme oznámení. Pokud se přihlásíte k odběru notifikací (v nastavení účtu), o změnách vám zašleme e-mail.
4.2 Pořadatelé
Když se registrujete na akci pořadatele, vidí registrační údaje, které poskytnete, plus jakékoli údaje, které si vyžádá, a jakékoli údaje, které o vás generuje (poznámky, vlajky, stav check-inu). Sdílíme je s ním, protože je jejich správcem; je to jeho akce, jeho údaje, jeho vztah s vámi.
Pokud máte aktivovaný profil Lapvio, pořadatel pořádající akci, které se účastníte, může vidět také základní profilové informace: vaše jméno a jazykovou preferenci, aby vás v CRM rozpoznal a oslovil správně.
Pořadatelé nevidí údaje z akcí jiných pořadatelů. Nevidí vaše ručně zadané záznamy, vaše sledující ani vaši aktivitu na zbytku platformy.
4.3 Instruktoři, u kterých si rezervujete lekci
Když si na Lapviu zarezervujete instruktážní lekci u instruktora, sdílíme s tímto instruktorem údaje, které potřebuje k jejímu poskytnutí: vaše jméno, e-mail, telefonní číslo a případnou poznámku, kterou jste k rezervaci přidali. Sdílíme je proto, že instruktor je prodávajícím lekce a potřebuje je k poskytnutí služby, kterou jste si koupili.
Jakmile je předáme, je instruktor samostatným správcem těchto údajů, nikoli naším zpracovatelem. Smí je použít pouze k poskytnutí a administraci vaší lekce a k účelům, které byste rozumně očekávali, musí vám poskytnout vlastní informace o zpracování tam, kde to vyžaduje zákon, a plnit vůči nim vlastní povinnosti podle GDPR. Pokud chcete vědět, jak konkrétní instruktor s vašimi údaji nakládá, nebo uplatnit svá práva vůči němu, kontaktujte instruktora přímo. Pokud se vám to nepodaří, napište na privacy@lapvio.com a pomůžeme, kde to půjde.
Instruktoři také používají nástroje Lapvia k vedení své výuky. Dostávají dotazy, které jim zašlete přes jejich profil Lapvio, a o lidech, které učí, si mohou vést poznámky ve svém pracovním prostoru instruktora na Lapviu. I pro tyto dotazy a poznámky je instruktor správcem a my vystupujeme jako jeho zpracovatel: tyto údaje ukládáme jménem instruktora a podle jeho pokynů a otázky k nim směřujte na instruktora. Když instruktorovi odešlete dotaz, zaznamenáme si také, na vlastní odpovědnost, vaši IP adresu a typ prohlížeče, výhradně k prevenci zneužití (oprávněný zájem, čl. 6 odst. 1 písm. f) GDPR).
Instruktoři nedostávají vaše ručně zadané záznamy trackdayů, vaše sledující, vaši aktivitu jinde na platformě ani žádnou rezervaci kromě té, kterou jste u nich uskutečnili.
4.4 Ostatní řidiči Lapvia a veřejnost
Váš veřejný profil (na adrese lapvio.com/[username]) je viditelný pro kohokoli, přihlášeného i nepřihlášeného, podle nastavení vašeho soukromí. Ve výchozím stavu jsou veřejné tyto sekce:
- Jméno, uživatelské jméno, avatar, bio, domovský okruh
- Historie akcí (ověřené akce od pořadatelů a všechny ručně zadané záznamy, které jste označili jako veřejné)
- Auta v garáži
- Mapa okruhů
- Úspěchy
- Seznam sledovaných
Ve výchozím stavu jsou neveřejné:
- Časy na kolo
- E-mailová adresa (vždy soukromá)
- Ručně zadané záznamy, které jste označili jako soukromé
- Marketingové a notifikační preference
Kterékoli z těchto výchozích nastavení můžete změnit v nastavení soukromí.
Příspěvky, komentáře a reakce, které zveřejníte ve feedu, jsou viditelné podle publika, které jste při zveřejnění zvolili. Komentáře a reakce vidí každý, kdo vidí obsah, ke kterému patří.
Pokud sledujete jiného řidiče, vaše uživatelské jméno je viditelné v jeho seznamu sledujících (s ohledem na nastavení jeho soukromí).
4.5 Sdílení do jiných aplikací a veřejné odkazy na příspěvky
Svůj obsah a své karty Lapvio (čas na kolo, úspěch, příspěvek) můžete sdílet do aplikací třetích stran, jako jsou Instagram Stories nebo WhatsApp. Sdílení vždy spouštíte vy sami, a jakmile obsah dorazí do druhé aplikace, platí pro něj podmínky a zásady ochrany soukromí dané platformy. Když sdílíte do Instagram Stories, aplikace se vůči společnosti Meta identifikuje identifikátorem aplikace Lapvio, aby Instagram sdílení přijal; kromě obrázku, který jste se rozhodli sdílet, v tomto procesu společnosti Meta žádné vaše osobní údaje nepředáváme.
Příspěvky mají také veřejné stránky s trvalým odkazem na adrese lapvio.com/p/.... Takovou stránku si může zobrazit kdokoli s odkazem a vyhledávače ji mohou indexovat, v obou případech podle nastavení viditelnosti daného příspěvku.
4.6 Orgány veřejné moci, právní zástupci, poradci
Údaje můžeme sdílet s orgány veřejné moci (policie, finanční úřady, soudy), pokud to vyžaduje závazná právní žádost. Proti nepřiměřeně širokým žádostem se bráníme tam, kde nám to zákon umožňuje. Údaje můžeme sdílet také s našimi profesionálními poradci (účetní, právníci, auditoři) podle jejich vlastní povinnosti mlčenlivosti.
4.7 Při korporátní transakci
Pokud bude společnost Amahi s.r.o. prodána, sloučí se s jinou společností nebo budou nabyta její aktiva, mohou být vaše údaje převedeny na nabyvatele. O takové transakci vás předem informujeme a před jejím účinnou budete mít právo svůj účet smazat.
5. Mezinárodní předávání údajů
Někteří naši subprocesoři sídlí ve Spojených státech amerických. Pro každé předání osobních údajů do USA se opíráme o:
- Rámec EU-US Data Privacy Framework pro poskytovatele, kteří jsou v něm certifikováni (Google, Meta, Postmark, americký subjekt Stripe a Expo tam, kde se uplatní)
- Standardní smluvní doložky (SCC) podle prováděcího rozhodnutí Evropské komise (EU) 2021/914 jako záložní mechanismus, podepsané s každým poskytovatelem
- Doplňková opatření tam, kde jsou potřeba, minimálně šifrování při přenosu i v klidu
Údaje v Supabase a DocuSeal zůstávají v EU. PostHog a Sentry jsou nakonfigurovány pro hostování v EU, takže analytika mobilní aplikace a data o pádech zůstávají také v EU. Vercel hostuje na edge lokacích včetně datových center v EU; samotná aplikační data zůstávají v Supabase. Mapbox při načítání mapových dlaždic přijímá IP adresu vašeho zařízení ve Spojených státech; toto předání se opírá o výše uvedené záruky.
Pokud bude rámec EU-US Data Privacy Framework zrušen soudem, přejdeme výhradně na SCC a oznámíme vám případnou podstatnou změnu úrovně ochrany.
6. Jak dlouho údaje uchováváme
Obecná zásada: údaje uchováváme jen tak dlouho, dokud k tomu máme důvod. Konkrétně:
| Typ údajů | Doba uchovávání |
|---|---|
| Aktivní účet Lapvio | Dokud svůj účet nesmažete |
| Údaje smazaného účtu Lapvio | Anonymizace do 30 dnů od žádosti o smazání; zobrazované jméno nahrazeno „Smazaný řidič", avatar / bio / garáž / ručně zadané záznamy / sledovaní vymazány. Údaje o registraci na akce uchovávané jménem pořadatelů zůstávají podle politiky uchovávání pořadatele |
| Profily, které nikdy nebyly aktivovány | 5 let od poslední aktivity akce spojené s daným e-mailem, pak anonymizace |
| Sociální obsah (příspěvky, komentáře, reakce, připojená média) | Dokud obsah nesmažete, nebo dokud nesmažete svůj účet |
| Importované soubory s měřením kol a údaje z nich odvozené | Dokud import nesmažete, nebo dokud nesmažete svůj účet |
| Push tokeny pro notifikace | Smazány při odhlášení, při smazání účtu, nebo když token přestane fungovat |
| Serverové logy (IP, údaje o požadavcích) ve Vercelu | 30 dnů |
| Aplikační logy v Supabase | 90 dnů |
| Logy doručování e-mailů v Postmarku | 45 dnů |
| Záznamy o odhlášení z marketingového odběru | Trvale (musíme si pamatovat, abychom vám neposílali e-maily) |
| Daňově relevantní údaje: faktury, platební záznamy | 10 let od konce zdaňovacího období podle § 35 zákona č. 235/2004 Sb., o dani z přidané hodnoty |
| Spory a právní nároky | Po dobu trvání sporu plus promlčecí lhůta |
Když údaje již nejsou potřeba pro žádný z těchto účelů, buď je anonymizujeme (a tedy nejsou již osobními údaji), nebo je smažeme.
7. Vaše práva
Podle GDPR máte konkrétní práva ke svým údajům. Všechna respektujeme, bezplatně, a na jakoukoli žádost odpovídáme do 30 dnů (lhůta je prodloužitelná o 60 dnů u složitých žádostí, s předchozím oznámením).
| Právo | Co znamená | Jak ho uplatnit |
|---|---|---|
| Přístup, čl. 15 GDPR | Kopie údajů, které o vás máme | Napište na privacy@lapvio.com nebo použijte nástroj exportu údajů v nastavení účtu (až bude k dispozici) |
| Oprava, čl. 16 GDPR | Oprava nepřesných nebo neúplných údajů | Většinu údajů můžete upravit přímo v nastavení. Co upravit nelze, řešíme e-mailem |
| Výmaz / „právo být zapomenut", čl. 17 GDPR | Smazání vašich údajů | Použijte tlačítko pro smazání účtu v nastavení nebo nám napište; podrobný postup najdete v dokumentu Smazání účtu a dat. Anonymizujeme podle tabulky výše |
| Omezení zpracování, čl. 18 GDPR | Omezení zpracování po dobu řešení sporu | Napište nám s konkrétním důvodem |
| Přenositelnost, čl. 20 GDPR | Získání údajů v přenositelném formátu | Napište nám; zašleme export v JSON nebo CSV |
| Námitka, čl. 21 GDPR | Námitka proti zpracování na základě oprávněného zájmu, včetně přímého marketingu | Klikněte na odhlašovací odkaz v jakémkoli marketingovém e-mailu, změňte nastavení nebo nám napište. Námitky proti marketingu jsou vyřízeny okamžitě a bezpodmínečně |
| Odvolání souhlasu | Stažení souhlasu pro jakékoli zpracování založené na souhlasu | Změňte nastavení nebo otevřete cookie lištu odkazem v patičce |
| Stížnost u dozorového úřadu | Podání stížnosti na to, jak nakládáme s vašimi údaji | Česká republika: Úřad pro ochranu osobních údajů, uoou.cz. Stížnost můžete podat také u dozorového úřadu země vašeho bydliště |
Pro uplatnění jakéhokoli práva napište na privacy@lapvio.com z e-mailové adresy spojené s vaším účtem nebo použijte ovládací prvky v nastavení. Můžeme vás požádat o jednu nebo dvě kontrolní otázky pro ověření identity, než budeme jednat.
Pokud žádost zamítneme (například když požadujete smazání údajů, které jsme ze zákona povinni uchovávat), vysvětlíme proč a sdělíme, jaké máte další možnosti.
8. Děti
Lapvio není určeno osobám mladším 18 let. Účast na trackdayi zpravidla vyžaduje řidičský průkaz a registrace nezletilých osob nepřijímáme. Pokud se domníváte, že si účet vytvořila nezletilá osoba, napište na privacy@lapvio.com a účet uzavřeme.
9. Jak vaše údaje chráníme
Uplatňujeme bezpečnostní opatření odpovídající velikosti a rizikovému profilu naší služby:
- Všechny údaje jsou šifrovány při přenosu (TLS 1.2+) i v klidu (šifrování databáze a úložiště v Supabase)
- Autentizace probíhá výhradně přes OTP, žádná hesla, která by se daly ztratit nebo zneužít
- Tokeny magic-linků jsou ukládány jako SHA-256 hashe; surový token nikdy neukládáme ani nelogujeme na našich serverech
- Přístup do produkčních systémů má pouze omezený počet oprávněných osob, všechny s vícefaktorovým ověřením
- Dodržujeme princip nejnižších oprávnění, subprocesoři vidí jen to, co skutečně potřebují
- Veškerý administrátorský přístup je auditně zaznamenán
- Spoléháme na bezpečnostní certifikace našich subprocesorů (Supabase: SOC 2 Type II; Vercel: SOC 2; Stripe: PCI DSS Level 1)
Žádný systém není dokonale bezpečný. Pokud dojde k porušení zabezpečení, které pravděpodobně představuje riziko pro vaše práva, oznámíme vám to a Úřadu pro ochranu osobních údajů do 72 hodin od zjištění, v souladu s čl. 33 a 34 GDPR.
10. Změny těchto Zásad
Tyto Zásady můžeme měnit s tím, jak se vyvíjí služba, mění zákony nebo měníme naše subprocesory. Datum „Poslední aktualizace" v záhlaví uvádí, kdy byla zveřejněna nejnovější verze, a verzové číslo identifikuje, která verze platí.
U drobných změn (opravy překlepů, upřesnění formulací) stránku aktualizujeme přímo.
U podstatných změn (například přidání nového účelu zpracování, přidání nového subprocesora, podstatná změna doby uchovávání nebo způsobu fungování práv) provedeme následující:
- Nejméně 14 dní před účinností změny zašleme e-mail všem držitelům účtu
- Při příštím přihlášení zobrazíme upozornění v aplikaci
- Pokud to GDPR vyžaduje, požádáme o opětovné přijetí
Pokud se změnou nesouhlasíte, máte vždy právo svůj účet smazat.
11. Kontakt a identifikace provozovatele
Kontakt
Otázky ochrany osobních údajů: privacy@lapvio.com
Obecný kontakt: info@lapvio.com
Korespondenční adresa: Amahi s.r.o., Kurzova 2222/16, Stodůlky, 155 00 Praha 5, Česká republika
Identifikace provozovatele (Provozovatel / Imprint / Anbieterkennzeichnung)
V souladu s § 435 zákona č. 89/2012 Sb., občanský zákoník, zákonem č. 634/1992 Sb., o ochraně spotřebitele, a § 5 německého zákona Digitale-Dienste-Gesetz (DDG, dříve TMG) je provozovatelem služby Lapvio:
Amahi s.r.o.
Kurzova 2222/16, Stodůlky
155 00 Praha 5
Česká republika
IČO: 29494621
DIČ: CZ29494621
Zapsaná v obchodním rejstříku vedeném Městským soudem v Praze, oddíl C, vložka 447404
E-mail: info@lapvio.com
Společnost zastupuje její statutární orgán v souladu se zápisem v obchodním rejstříku. Aktuální údaje o zástupci společnosti jsou k dispozici na or.justice.cz.
Mimosoudní řešení sporů spotřebitelů
Podle § 14 zákona č. 634/1992 Sb., o ochraně spotřebitele, mají spotřebitelé právo na mimosoudní řešení sporů vzniklých v souvislosti s touto službou. Příslušným orgánem je:
Česká obchodní inspekce
Štěpánská 567/15, 120 00 Praha 2
coi.cz · adr.coi.cz
Spotřebitelé v Evropské unii mohou pro zahájení mimosoudního řešení online využít také platformu EU pro online řešení sporů na adrese ec.europa.eu/consumers/odr.
Na jakýkoli návrh mimosoudního řešení sporu doručený nám prostřednictvím ČOI nebo platformy ODR odpovíme.
Dozorový úřad pro ochranu osobních údajů
Úřad pro ochranu osobních údajů (ÚOOÚ)
Pplk. Sochora 27, 170 00 Praha 7
Česká republika
uoou.cz · posta@uoou.cz · +420 234 665 111
Pokud se domníváte, že s vašimi osobními údaji nakládáme nevhodně, můžete podat stížnost u ÚOOÚ, nebo u dozorového úřadu země vašeho bydliště.