Zásady ochrany osobních údajů

Platné od 16. 11. 2026. Verze 1.0.

1. Kdo údaje zpracovává

Správcem osobních údajů je Bc. Tomáš Dorda, IČO 09982019, Hrnčířská 745/8, 682 01 Vyškov („my“). Kontakt ve všech věcech ochrany údajů: podpora@zachranfoto.cz. Pověřence pro ochranu osobních údajů jsme nejmenovali, zákon nám to neukládá.

Tyto zásady platí pro vás jako zákazníka i pro lidi, kteří jsou na nahraných fotkách. Fotky s jejich podobou nám poskytl zákazník, který je do služby nahrál. Kdo na nich je, nevíme a kontaktní údaje na tyto lidi nemáme, proto je nemůžeme informovat přímo a informace pro ně zveřejňujeme zde (čl. 14 odst. 5 písm. b) GDPR). Zákazníky prosíme, aby o službě řekli i lidem, jejichž fotky nahrávají.

2. Jaké údaje, proč a na jakém základě

Nahrané fotky a výsledky. Fotky mohou zobrazovat vás, vaše blízké, děti i zesnulé. Zpracováváme je jen proto, abychom fotku zkontrolovali a vytvořili službu, o kterou žádáte. Právní základ: vůči vám plnění smlouvy a kroky před jejím uzavřením (čl. 6 odst. 1 písm. b) GDPR). Vůči lidem na fotce náš oprávněný zájem a oprávněný zájem zákazníka zachovat rodinnou vzpomínku (čl. 6 odst. 1 písm. f) GDPR). Tento zájem převažuje, protože fotky můžete kdykoli smazat, nepoužíváme je k ničemu jinému, sami je nezveřejňujeme a zákazník potvrzuje, že fotku smí použít pro osobní a rodinné účely a nezasahuje tím neoprávněně do práv zobrazených (u dětí jejich rodičů, u zesnulých jejich blízkých).
Výsledek automatické kontroly fotky (popis stavu fotky, počet lidí, zda fotka odpovídá pravidlům obsahu). Slouží k doporučení úprav a k ochraně před zneužitím služby (plnění smlouvy, oprávněný zájem).
E-mail a účet (e-mail, čas ověření, zůstatek a pohyby kreditů, objednávky). Slouží k přihlášení kódem, zaslání výsledku a potvrzení nákupu (plnění smlouvy).
Obchodní sdělení. Jako našemu zákazníkovi vám můžeme poslat uvítání s tipy, připomínku nedokončeného nákupu a nabídky našich obdobných služeb (§ 7 odst. 3 zákona č. 480/2004 Sb.). Odmítnout je můžete už při zadání e-mailu a potom jedním klepnutím v každém takovém e-mailu. E-maily k objednávkám a nákupům chodí dál.
Otisk e-mailu (jednosměrný hash, z něhož adresu nelze přímo zjistit). Brání tomu, aby stejná schránka dostala kredity zdarma podruhé (oprávněný zájem na předcházení zneužití). Uchováváme ho i po zrušení účtu.
Platby (částka, datum, e-mail, stav platby a případné vrácení peněz). Údaje o kartě vidí jen platební brána GoPay, my ne. Právní základ: plnění smlouvy a právní povinnosti (daňové předpisy, ochrana spotřebitele).
Odstoupení od smlouvy a reklamace (obsah vašeho prohlášení, čas odeslání, jméno, pokud ho uvedete). Plnění právní povinnosti a ochrana našich právních nároků.
Sdílení výsledku. Výsledky sami nezveřejňujeme. Pokud použijete tlačítko „Sdílet“, vznikne odkaz, přes který výsledek i původní fotku uvidí každý, komu odkaz předáte, dokud soubory nesmažete vy nebo my podle bodu 3. Stránka se nezobrazuje ve vyhledávačích. Zrušit sdílení můžete e-mailem. Když odkaz pošlete přes WhatsApp, Messenger nebo podobnou aplikaci, načte si aplikace ze stránky náhled fotky a zobrazí ho v konverzaci. To se řídí pravidly té aplikace.
Dárková karta (jméno obdarovaného, jméno dárce, věnování). Vyplníte je jen vy, potřebujeme je k vytvoření karty (plnění smlouvy). Uvidí je každý, kdo má odkaz na kartu nebo video nebo naskenuje QR kód. Mažeme je spolu s fotkou.
IP adresa a technické záznamy (čas, akce, chyby). Slouží k ochraně proti zneužití (limity nahrávání a odesílání kódů) a k zabezpečení služby (oprávněný zájem).
Měření reklam (že jste se zaregistrovali nebo nakoupili, částka, otisk e-mailu a ID účtu, IP adresa, údaje o prohlížeči). Posíláme je společnosti Meta, abychom věděli, které naše reklamy fungují (oprávněný zájem). Podrobnosti a jak podat námitku najdete v oddílu 6.

Obličeje nepoužíváme k rozpoznávání nebo identifikaci osob, nejde tedy o biometrické údaje podle čl. 9 GDPR. Automatická kontrola popisuje jen stav fotky a počet lidí; nezjišťujeme z fotek zdraví, náboženství ani jiné citlivé údaje. Fotky ani výsledky nepoužíváme k tréninku AI ani k propagaci. Ukázky na našem webu a v reklamách pocházejí z volně dostupných sbírek, od lidí, kteří k tomu dali souhlas, nebo je vytvořila AI. Vaše fotky bychom mohli ukázat jen s vaším samostatným výslovným souhlasem.

Údaje zesnulých podle GDPR nejsou osobními údaji, chráníme je ale stejně. Ochrany osobnosti zesnulého se mohou domáhat jeho blízcí (§ 82 občanského zákoníku).

Nerozhodujeme o vás automatizovaně s právními nebo podobně závažnými účinky. Automatická kontrola fotky může fotku odmítnout, pokud zjevně porušuje pravidla obsahu. Kredity se tím nestrhnou a o přezkoumání nás můžete požádat e-mailem.

3. Jak dlouho údaje uchováváme

Nahrané fotky a výsledky: dokud je sami nesmažete v sekci Moje fotky a videa, nebo dokud nesmažete účet. Pokud se 24 měsíců nepřihlásíte, upozorníme vás e-mailem a po 30 dnech fotky a výsledky smažeme. Fotky, u kterých nedokončíte registraci: do 24 hodin.
Účet a e-mail: dokud účet nesmažete, účet bez kreditů také do 25 měsíců od poslední aktivity. Po smazání ponecháme jen otisk e-mailu a záznamy, které musíme uchovat podle bodů níže (o platbách, případně o odstoupení a reklamacích).
Otisk e-mailu: 3 roky od smazání účtu nebo od posledního přihlášení.
Údaje o platbách: 10 let od konce roku, kdy platba proběhla (lhůty daňových předpisů pro doložení příjmů).
Odstoupení a reklamace: 4 roky od jejich vyřízení (promlčecí lhůta a rezerva pro doručení), v případě sporu do jeho skončení.
IP adresy a technické záznamy: 30 dní. Výsledek automatické kontroly fotky mažeme spolu s fotkou.
Údaje pro obchodní sdělení: dokud je neodmítnete, nejdéle dokud máte účet.

4. Komu údaje předáváme

Údaje předáváme zpracovatelům, kteří nám pomáhají službu poskytovat. Všichni je smějí použít jen pro nás a s poskytovateli, kteří nabízejí zpracovatelskou smlouvu, ji máme uzavřenou. Platební brána GoPay je pro část zpracování samostatným správcem (viz níže).

Oprava a vybarvení fotek: BytePlus Pte. Ltd. (Singapur, skupina ByteDance), model Seedream. Fotky zpracovává v datovém centru v Malajsii, při vytížení i v jiném svém regionu (Indonésie, Irsko). Fotky nepoužívá k tréninku, odkaz na výsledek platí 24 hodin; obsah, který jeho bezpečnostní filtr vyhodnotí jako závadný, uchovává až 180 dní v Malajsii. Když BytePlus nejde použít, opraví fotku model Nano Banana společnosti Google přes fal (viz další bod).
Tvorba videa a záložní oprava: fal (Features & Labels, Inc., USA). Hlavní video model FLUX od Black Forest Labs běží přímo v infrastruktuře fal. Když selže, nebo když video ručně vytváříme znovu, použijeme jiný model, u kterého fal předá fotku k výpočtu jeho výrobci: Seedance (ByteDance), Wan (Alibaba) nebo Kling (Kuaishou), tedy skupinám se sídlem v Číně; kde přesně výpočet probíhá, výrobci nezveřejňují. U modelů společnosti Google (Nano Banana) předá fal fotku Google LLC (USA). Uchovávání vstupů u fal máme vypnuté, výsledky u něj zůstávají jen po dobu nutnou k jejich stažení. Google může vstupy krátce uchovat kvůli odhalování zneužití.
Automatická kontrola a záložní vylepšení fotky: OpenRouter, Inc. (USA), který fotku předá ke zpracování modelu Google Gemini (Google LLC, USA). Ukládání vstupů u OpenRouteru máme vypnuté (režim bez uchovávání dat). Google může vstupy krátce uchovat kvůli odhalování zneužití.
Hosting a úložiště: INTERNET CZ, a.s. (Forpsi, servery v České republice) a Cloudflare, Inc. (úložiště R2 s daty v EU).
Návštěvnost a chyby webu: PostHog Inc. (USA), data uložená v EU (Frankfurt). Viz oddíl o cookies a měření.
E-maily: Resend (Plus Five Five, Inc., USA).
Platby: GoPay Czech, odštěpný závod Worldline NV (České Budějovice). GoPay část údajů zpracovává jako samostatný správce (například kvůli prevenci podvodů a předpisům proti praní peněz) podle svých zásad na help.gopay.com.

Předání mimo EU. Do USA předáváme údaje na základě rozhodnutí Komise o rámci ochrany údajů EU–USA u příjemců, kteří jsou v něm certifikováni (Google, Resend, Cloudflare), a u ostatních (fal, OpenRouter, PostHog) na základě standardních smluvních doložek schválených Evropskou komisí (rozhodnutí 2021/914). Do Singapuru, Malajsie, Indonésie a Číny, pro které rozhodnutí o odpovídající ochraně neexistuje, předáváme údaje rovněž na základě standardních smluvních doložek ve smlouvách s BytePlus a fal. V těchto zemích mohou mít úřady k údajům širší přístup než v EU; riziko jsme posoudili a omezujeme ho tím, že posíláme jen samotnou fotku bez metadat, jména či e-mailu a čínské video modely používáme jen jako zálohu. Kopii doložek vám na požádání pošleme.

BytePlus, fal, Google a OpenRouter podle svých smluvních podmínek fotky nepoužívají k tréninku svých modelů. Obsah, který jejich bezpečnostní filtry vyhodnotí jako závadný (například zneužívání dětí), si mohou ponechat kvůli prevenci zneužití.

Když změníme použité modely nebo dodavatele, tento seznam aktualizujeme dřív, než změnu nasadíme.

Mimo zpracovatele výše předáváme údaje společnosti Meta kvůli měření reklam (oddíl 6). Jiným příjemcům je předáme jen tehdy, když nám to uloží zákon (například soud nebo policie).

5. Vaše práva

Máte právo na přístup ke svým údajům, jejich opravu, výmaz a omezení zpracování, a u údajů, které jste nám poskytli na základě smlouvy nebo souhlasu, také na jejich přenositelnost. Proti zpracování na základě oprávněného zájmu můžete vznést námitku, proti obchodním sdělením kdykoli a bez udání důvodu. Souhlas (například s cookies) můžete kdykoli odvolat. Fotky můžete nechat smazat i dřív. Stačí napsat na podpora@zachranfoto.cz, odpovíme do jednoho měsíce.

Pokud jste na fotce, kterou nahrál někdo jiný, a nesouhlasíte s tím, napište nám. Fotku i výsledky smažeme.

Máte také právo podat stížnost u Úřadu pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7 (uoou.gov.cz).

E-mail je nutný k uzavření smlouvy: bez něj vám nemůžeme poslat kód, výsledek ani potvrzení nákupu. Ostatní údaje poskytujete dobrovolně.

6. Cookies a měření reklam

Nezbytné cookies používáme vždy, bez nich web nefunguje, a souhlas k nim proto nepotřebujeme:

zv_session: přihlášení k účtu (180 dní),
přihlášení do administrace (12 hodin, jen provozovatel),
zv_pay_…: ověření návratu z platební brány (2 hodiny),
zf_consent: vaše volba v „Nastavení cookies“ (12 měsíců při zapnutí, 6 měsíců při vypnutí).

Marketingové cookies používáme od první návštěvy. Jde o Meta Pixel společnosti Meta Platforms Ireland Ltd. (Merrion Road, Dublin 4, Irsko), cookies _fbp a _fbc (90 dní) a dočasnou zf_px_pay (6 hodin), a naši cookie zf_src s údajem, odkud jste na web přišli (například z jaké reklamy), která platí do zavření prohlížeče. Díky nim zjistíme, které reklamy na Facebooku a Instagramu k nám přivedly návštěvníky, a můžeme reklamy lépe cílit. Náš server k tomu pošle Metě i informaci o registraci, nákupu a zahájení výroby spolu s identifikátory z těchto cookies. Právní základ je náš oprávněný zájem zjistit, které reklamy fungují (čl. 6 odst. 1 písm. f) GDPR). Marketingové cookies můžete kdykoli vypnout odkazem „Nastavení cookies“ v patičce, web pak smaže _fbp, _fbc a zf_src. Vypnutí nemá vliv na zpracování před ním.

Měření registrací a nákupů ze serveru. Když se zaregistrujete nebo nakoupíte, pošle o tom náš server zprávu společnosti Meta (Conversions API), a to i když jste marketingové cookies vypnuli. Zpráva obsahuje druh události (registrace nebo nákup), u nákupu částku, měnu a zakoupený balíček, váš e-mail a ID vašeho účtu u nás v nevratně zašifrované podobě (otisk SHA-256), IP adresu, údaje o prohlížeči a stránku webu, na které k události došlo (bez odkazů na vaše fotky). Nic o vašich fotkách Meta nedostane. S vypnutými cookies neposíláme identifikátory z nich. Meta podle otisku e-mailu zjistí, zda jste před tím viděli naši reklamu, a nám ukáže jen souhrnné počty.

Právní základ je náš oprávněný zájem zjistit, které reklamy fungují, a neplatit za ty, které nefungují (čl. 6 odst. 1 písm. f) GDPR). Tento zájem podle nás převažuje, protože neposíláme obsah fotek, sami z těchto zpráv nevytváříme reklamní profily a proti zpracování můžete kdykoli vznést námitku. Stačí napsat na podpora@zachranfoto.cz, důvod uvádět nemusíte. U vašeho účtu měření vypneme a další zprávy o vás už neodejdou. Zprávy odeslané předtím to nevrátí.

Za sběr a předání údajů společnosti Meta odpovídáme společně s ní (čl. 26 GDPR). Jak je Meta dál používá, popisují její zásady na facebook.com/privacy/policy. Meta může údaje předávat do USA na základě rámce ochrany údajů EU–USA.

Návštěvnost webu a chyby. Kvůli přehledu o tom, kolik lidí web navštíví, kudy jím projdou a kde se jim něco pokazí, používáme PostHog (data v EU, Frankfurt). Měření běží bez cookies a bez ukládání čehokoli do vašeho prohlížeče, proto k němu souhlas nepotřebujeme. PostHog dostane adresu stránky bez odkazů na vaše fotky a objednávky, odkud jste přišli, typ prohlížeče a zařízení a popis případné chyby. IP adresu neukládá, návštěvníka rozliší jen podle otisku, který se každý den mění. Nenahráváme obrazovku ani texty, které na webu zadáte. Právní základ je náš oprávněný zájem web provozovat bez chyb a vědět, jak se používá (čl. 6 odst. 1 písm. f) GDPR). Souhrnná data uchováváme nejvýše 1 rok.

7. Změny

Zásady aktualizujeme, když se změní zpracovatelé nebo způsob zpracování. O podstatných změnách vás informujeme e-mailem.