Zásady ochrany osobních údajů

1. Správce osobních údajů

Správcem osobních údajů je Provozovatel Aplikace:

• Aplikaci Foliotiq (dále jen „Aplikace“), dostupnou na adrese [DOPLŇTE: webová adresa aplikace], v současné době provozuje fyzická osoba v rámci nekomerčního testovacího provozu (dále jen „Provozovatel“).
• V této fázi Provozovatel nevystupuje jako podnikatel, nemá přiděleno IČO a za užívání Aplikace neúčtuje žádné poplatky.
• Kontakt na Provozovatele: support@foliotiq.com.

2. Testovací provoz a minimalizace údajů

Aplikace je v současné době v bezplatném testovacím (beta) provozu. Je poskytována zdarma, „tak jak je“ a „jak je dostupná“, bez záruky dostupnosti, správnosti či zachování dat. Aplikace i tyto podmínky se mohou kdykoli změnit a provoz může být pozastaven nebo ukončen. Data zadaná během testování mohou být změněna nebo smazána — nevkládejte do Aplikace údaje, o jejichž ztrátu byste nechtěli přijít, ani citlivé osobní údaje.

Vzhledem k testovací povaze do Aplikace prosím nevkládejte zvláštní kategorie osobních údajů ani jiné citlivé informace. Své údaje můžete kdykoli exportovat nebo smazat v nastavení účtu.

3. Jaké údaje zpracováváme

• Identifikační a kontaktní údaje: jméno (nepovinné), e-mailová adresa.
• Přihlašovací údaje: heslo (uložené pouze v zašifrované/hašované podobě), případně identifikátor účtu Google při přihlášení přes Google.
• Údaje, které sami vložíte: transakce, portfolia, sledované tituly a další obsah.
• Technické a provozní údaje: IP adresa, typ prohlížeče, jazyk, soubory cookies (viz Zásady cookies) a logy nezbytné pro provoz a zabezpečení.
• Údaje pro push notifikace: pokud si je zapnete, ukládáme adresu (endpoint), kterou vašemu zařízení přidělí služba push notifikací daného prohlížeče, a klíče nutné k zašifrování zprávy. Slouží výhradně k doručení upozornění, která jste si zapnuli; kdykoli je vypnete v nastavení a záznam se smaže.
• Platební údaje se v testovacím provozu nezpracovávají (uvnitř Aplikace neprobíhají žádné platby). Po spuštění placené verze je bude zpracovávat výhradně platební brána Stripe; údaje o platebních kartách neukládáme.

4. Účely a právní základy zpracování

Poskytnutí e-mailové adresy a hesla (nebo přihlášení přes Google) je smluvním požadavkem — bez nich nelze účet zřídit ani Aplikaci poskytovat. Ostatní údaje, včetně jména a veškerého investičního obsahu, vkládáte dobrovolně; jejich neposkytnutí znamená pouze to, že příslušné funkce nebudou mít z čeho počítat.

• Poskytování Aplikace a správa účtu (čl. 6 odst. 1 písm. b GDPR – plnění smlouvy, resp. opatření před jejím uzavřením).
• Zabezpečení, prevence zneužití a řešení sporů (oprávněný zájem, čl. 6 odst. 1 písm. f GDPR).
• Diagnostika chyb Aplikace (souhlas udělený v cookies liště, čl. 6 odst. 1 písm. a GDPR).
• Plnění právních povinností (čl. 6 odst. 1 písm. c GDPR), je-li relevantní.
• Případná marketingová sdělení pouze na základě vašeho souhlasu (čl. 6 odst. 1 písm. a GDPR), který lze kdykoli odvolat.

5. E-mailová sdělení

V souvislosti s provozem účtu vám můžeme zasílat tyto e-maily:

• Provozní (transakční) e-maily — ověření e-mailové adresy a obnova hesla. Jsou nezbytné pro poskytování služby a zabezpečení účtu, proto je nelze vypnout; jejich zasílání je zpracováním pro plnění smlouvy.
• Cenové alerty — zasíláme pouze u tickerů, u kterých si sami nastavíte cílovou cenu. Zrušíte je odstraněním cílové ceny ve watchlistu.
• Týdenní přehled blížících se výsledků firem z vašeho watchlistu. Odhlásíte jej kdykoli přepínačem v nastavení účtu nebo odkazem v patičce každého takového e-mailu.

6. Příjemci a zpracovatelé

Vaše údaje mohou být zpřístupněny zpracovatelům zajišťujícím provoz Aplikace:

• Cloudflare, Inc. – hosting aplikace a databáze.
• Resend (Plus Five Five, Inc.) – doručování transakčních e-mailů (ověření e-mailu, obnova hesla, cenové alerty, týdenní přehled). Zpracovává vaši e-mailovou adresu a obsah zprávy.
• Functional Software, Inc. (Sentry) – diagnostika chyb aplikace. Zpracovává technické údaje o chybě: IP adresu, adresu stránky, typ prohlížeče a maskovaný záznam relace pořízený pouze v okamžiku chyby. Nasazuje se až po udělení vašeho souhlasu v cookies liště.
• Google Ireland Ltd. – přihlášení přes Google (pouze pokud tuto možnost využijete) a doručování písem (Google Fonts), při němž se poskytovateli písem zpřístupní vaše IP adresa.
• Stripe Payments Europe, Ltd. – zpracování plateb; bude zapojen až po spuštění placené verze.
• Poskytovatelé tržních dat (zdroje cen, fundamentů a firemních log) – těmto nejsou předávány vaše osobní údaje; dotazy na ceny a fundamenty provádí server Aplikace, nikoli váš prohlížeč.

7. Předání mimo EU/EHP

Někteří z výše uvedených zpracovatelů jsou usazeni ve Spojených státech amerických nebo tam mohou údaje zpracovávat (zejména Cloudflare, Sentry a Resend). V takovém případě je předání zajištěno vhodnými zárukami podle kapitoly V GDPR — standardními smluvními doložkami Evropské komise, případně certifikací příjemce v rámci rámce EU–USA pro ochranu osobních údajů (EU–U.S. Data Privacy Framework), na jehož základě vydala Komise rozhodnutí o odpovídající ochraně.

Kopii použitých záruk vám na vyžádání poskytneme na kontaktní adrese uvedené níže.

8. Doba uchování

Osobní údaje uchováváme po dobu trvání účtu, resp. po dobu testovacího provozu. Po zrušení účtu nebo ukončení testování jsou údaje smazány nebo anonymizovány, s výjimkou údajů, které musíme uchovat na základě právních povinností.

Pro jednotlivé kategorie uplatňujeme tyto lhůty:

• Údaje účtu a vámi vložený obsah (portfolia, transakce, watchlist, nastavení): po dobu existence účtu. Smazáním účtu v nastavení jsou odstraněny neprodleně a nevratně.
• Ověřovací odkazy a odkazy pro obnovu hesla: nejdéle do vypršení jejich platnosti, poté jsou mazány.
• Provozní záznamy o chybách (Sentry): nejdéle 90 dnů od vzniku, poté je poskytovatel automaticky maže.
• Záznamy o doručení e-mailů u poskytovatele doručování (Resend): nejdéle 30 dnů.
• Záznamy o administrátorských zásazích do účtu (kdy a jaká změna byla provedena): nejdéle 3 roky, a to z důvodu doložitelnosti a bezpečnosti. Při smazání účtu jsou tyto záznamy zbaveny vaší e-mailové adresy a dalších identifikátorů, takže vás již nelze určit.
• Záhlaví a technické logy hostingové infrastruktury: podle nastavení poskytovatele hostingu, zpravidla v řádu dnů.

9. Vaše práva

Ve vztahu ke svým osobním údajům máte zejména právo:

• na přístup k údajům a získání jejich kopie (export dat lze provést přímo v nastavení účtu),
• na opravu nepřesných údajů,
• na výmaz („právo být zapomenut“) – účet i data lze smazat v nastavení účtu,
• na omezení zpracování a na vznesení námitky proti zpracování z oprávněného zájmu,
• na přenositelnost údajů,
• odvolat udělený souhlas, aniž je dotčena zákonnost dřívějšího zpracování,
• podat stížnost u dozorového úřadu – Úřad pro ochranu osobních údajů (www.uoou.cz).

10. Automatizované rozhodování a profilování

Nedochází k automatizovanému rozhodování ani profilování ve smyslu čl. 22 GDPR — tedy k rozhodování, které by mělo právní účinky nebo se vás obdobně významně dotýkalo, a probíhalo by bez lidského zásahu.

Aplikace sice provádí rozsáhlé výpočty nad vašimi daty (pozice, výnosy, daňové přehledy, projekce), ty však pouze zobrazují vaše vlastní údaje a nevedou k žádnému rozhodnutí o vás. Nevytváříme z vašeho chování profily, nehodnotíme vaši bonitu ani vhodnost investičních nástrojů a takové údaje nikomu nepředáváme.

11. Údaje dětí

Aplikace není určena osobám mladším 18 let; registrace je podle Obchodních podmínek vyhrazena zletilým a plně svéprávným osobám. Vědomě nezpracováváme osobní údaje dětí.

Zjistíme-li, že byl účet zřízen osobou mladší 18 let, účet zrušíme a související údaje smažeme. Domníváte-li se jako zákonný zástupce, že nám dítě poskytlo své údaje, napište nám na kontaktní adresu níže a údaje bez zbytečného odkladu odstraníme.

12. Zabezpečení údajů

Přijímáme přiměřená technická a organizační opatření k ochraně údajů (šifrování přenosu pomocí HTTPS, hašování hesel, řízení přístupů a šifrování investičních dat ve stavu uložení — viz čl. 13). Žádný způsob přenosu ani ukládání dat však není stoprocentně bezpečný a s ohledem na testovací provoz nelze bezpečnost ani zachování dat zaručit.

Dojde-li k porušení zabezpečení osobních údajů s rizikem pro vaše práva, budeme postupovat podle čl. 33 a 34 GDPR a v případech stanovených zákonem vás bez zbytečného odkladu informujeme.

13. Šifrování investičních dat

Vaše investiční data — transakce, historie hodnoty portfolia a názvy importovaných souborů — jsou v naší databázi uložena v zašifrované podobě pomocí moderního standardu AES-256. U účtů se zapnutým šifrováním (soukromý i serverový režim, viz níže) nejsou tato data v databázi, jejích zálohách ani v hostingové infrastruktuře uložena v čitelné (nezašifrované) podobě — kdokoli by k nim získal přístup, uvidí pouze nečitelný šifrovaný text. Starší účty založené před zavedením šifrování mají data uložena čitelně, dokud si šifrování nezapnou v nastavení účtu.

U účtů zakládaných e-mailem a heslem je automaticky od registrace zapnutý soukromý režim. Šifrovací klíč se odvozuje z vašeho hesla a v databázi je uložen výhradně v zabezpečené, „zabalené“ podobě, kterou lze otevřít pouze vaším heslem nebo vaším jednorázovým obnovovacím klíčem. Klíč v otevřené podobě neukládáme. Díky tomu k vašim investičním datům uloženým v databázi nemá přístup nikdo kromě vás — ani provozovatel, ani nikdo s přístupem k databázi či zálohám.

Jediný okamžik, kdy jsou data v čitelné podobě, nastává krátkodobě v paměti serveru během vašeho vlastního přihlášeného požadavku, aby Aplikace mohla provést potřebné výpočty (držené pozice, výnosy, daňové přehledy). V čitelné podobě se data nikam neukládají ani se jinak nezpracovávají. Nejde tedy o tzv. end-to-end šifrování — výpočty probíhají na serveru — ale ve stavu uložení jsou data chráněna klíčem, který držíte pouze vy.

Při aktivaci soukromého režimu obdržíte jednorázově zobrazený obnovovací klíč. Uschovejte jej bezpečně: pokud zapomenete heslo a obnovovací klíč nemáte, zašifrovaná data technicky nelze obnovit — to je záměrná vlastnost této ochrany, nikoli závada.

Soukromý režim můžete v nastavení účtu kdykoli vypnout; účty přihlašované přes Google jej mají ve výchozím stavu vypnutý a mohou si jej zapnout volbou vlastní šifrovací passphrase. I s vypnutým soukromým režimem vaše investiční data zůstávají v databázi zašifrovaná (AES-256); v tomto režimu je však šifrovací klíč spravován provozovatelem odděleně od databáze (nikdy není uložen v samotné databázi). Exporty databáze, zálohy ani administrátorská konzole tak nadále neobsahují čitelná data — na rozdíl od soukromého režimu však provozovatel v tomto režimu data technicky dešifrovat může. Nejvyšší úroveň ochrany proto poskytuje soukromý režim.

Seznam sledovaných titulů (watchlist) a nastavené cenové alerty se nešifrují, aby mohly fungovat automatické notifikace; neobsahují žádné částky ani objemy vašich investic.

Veřejné sdílení portfolia odkazem funguje i při zapnutém šifrování: sdílený náhled se ukládá jako šifrovaný snímek, jehož klíč je odvozen ze samotného odkazu a v databázi se neukládá — náhled tedy otevře pouze ten, komu odkaz poskytnete. Snímek se obnovuje při vaší aktivitě v Aplikaci a odkaz můžete kdykoli zrušit. Sdílené odkazy vytvořené před aktivací šifrování se při aktivaci ruší.

14. Cookies

Aplikaci provozujeme s využitím souborů cookies. Podrobnosti a možnost správy souhlasu naleznete v samostatných Zásadách používání cookies.

15. Kontakt a změny

S dotazy k ochraně osobních údajů nebo uplatněním svých práv se obracejte na support@foliotiq.com.

Tyto zásady můžeme aktualizovat, zejména při přechodu na placený provoz. Účinné od 2026-08-14.