Zásady ochrany osobních údajů

Poslední revize: 2026-10-14

1. Úvod

Tyto Zásady ochrany osobních údajů vysvětlují, jak společnost TO BRIEF Ι.Κ.Ε. („TO BRIEF“, „my“, „nás“) shromažďuje, používá a chrání osobní údaje v souvislosti s webovými stránkami tobrief.gr a tobrief.eu, mobilními aplikacemi To Brief pro iOS a Android a souvisejícími službami (společně dále jen „Služba“). TO BRIEF je správcem osobních údajů zpracovávaných prostřednictvím Služby, s výjimkou případů, kdy je níže výslovně uveden jiný správce.

Podrobnosti o správci

• Právní název: TO BRIEF Ι.Κ.Ε. (Ιδιωτική Κεφαλαιουχική Εταιρεία)
• Sídlo: Troon 26, 118 51, Athény, Attika, Řecko
• GEMI: 188116103000
• AFM: 803045387
• E-mail: [email protected]
• Kontakt pro ochranu údajů: [email protected]

V současné době nemáme jmenovaného pověřence pro ochranu osobních údajů (DPO); nicméně všechny dotazy týkající se ochrany údajů jsou směrovány prostřednictvím výše uvedeného vyhrazeného kontaktu a řešeny v rámci dokumentovaného procesu, který splňuje standardy očekávané od funkce DPO podle čl. 37–39 GDPR, je-li to relevantní.

2. Jaké údaje shromažďujeme

Shromažďujeme pouze minimální množství údajů potřebných k provozu Služby a plnění našich zákonných povinností.

2.1 Údaje o účtu

Když si zaregistrujete účet, ukládáme: vaši e-mailovou adresu, bezpečně hašované heslo, vámi zvolené zobrazované jméno (volitelné), datum vytvoření účtu, edici, prostřednictvím které jste se zaregistrovali (GR nebo EU), a stav předplatného. Právní základ: plnění smlouvy (čl. 6 odst. 1 písm. b) GDPR).

2.2 Údaje o používání webu a analytika

Pokud — a pouze pokud — udělíte volitelný souhlas s měřením prostřednictvím našeho banneru cookies, shromažďujeme agregované signály o používání prostřednictvím Google Analytics 4, UX analytiku/signály relací prostřednictvím Contentsquare/Hotjar, konverzní signály prostřednictvím pixelu X a konverzní signály prostřednictvím pixelu Meta (Facebook/Instagram): zobrazené stránky, třída zařízení/prohlížeče, přibližná zeměpisná poloha (země/region z IP adresy, nikdy ne surová IP adresa), odkazující stránka, doba trvání relace, interakční události, signály tření uživatelské zkušenosti, registrace a konverze předplatného. Právní základ: souhlas (čl. 6 odst. 1 písm. a) GDPR a čl. 5 odst. 3 směrnice o soukromí a elektronických komunikacích). Na základě stejného souhlasu náš server také informuje společnost OpenAI, když si na našem webu vytvoříte účet nebo když je tam ověřena první platba za vaše předplatné, abychom mohli měřit a zlepšovat reklamy To Brief v ChatGPT. OpenAI obdrží vaši e-mailovou adresu v hashované podobě, hashovaný náhodný identifikátor zákazníka, referenci kliknutí na reklamu v ChatGPT, pokud jste přišli přes takovou reklamu, čas a u předplatného částku a měnu. OpenAI ve vašem prohlížeči neukládá žádný soubor cookie ani nenačítá žádný skript. Právní základ: souhlas (čl. 6 odst. 1 písm. a) GDPR).

2.3 Platební údaje

Platby předplatného zpracovává společnost Stripe Payments Europe, Limited („Stripe“). Zadávání platební karty zajišťuje Stripe; čísla karet a kódy CVV nejsou prostřednictvím naší pokladny odesílány na naše aplikační servery. Informace o ochraně soukromí společnosti Stripe naleznete na adrese https://stripe.com/privacy. Dostáváme záznamy potřebné ke správě předplatného a ověření plateb: identifikátory zákazníka, předplatného, faktury a vrácení peněz; částky a měny plateb/vrácení peněz; data a stav; fakturační údaje a záznamy o fakturách. Tyto záznamy spojujeme s vaším účtem To Brief. Právní základ: plnění smlouvy a právní povinnost pro účely fakturace a účetnictví. Volitelné reklamní využití ověřené platby se řídí samostatnými pravidly v §2.7.

2.4 Údaje o stížnostech a hlášeních

Když použijete /report nebo zašlete stížnost e-mailem, ukládáme: váš e-mail, text stížnosti, vámi poskytnuté přílohy, hašovanou hodnotu vaší IP adresy se solí (nikoliv surovou IP adresu), číslo tiketu, které přidělíme, a výsledek šetření. Právní základ: oprávněný zájem (provozování odpovědné zpravodajské služby a obhajoba právních nároků) a právní povinnost (čl. 20 EMFA, čl. 16 DSA).

2.5 Údaje o zařízení a prohlížeči

Naše servery přijímají standardní metadata požadavků HTTP — user-agent, Accept-Language, odkazující stránka, zkrácená IP adresa — která jsou uchovávána v protokolech přístupu. Právní základ: oprávněný zájem (bezpečnost, prevence podvodů, diagnostika).

2.6 Citlivé kategorie

Vědomě neshromažďujeme zvláštní kategorie osobních údajů (čl. 9 GDPR), jako jsou údaje o zdraví, náboženství, politických názorech nebo sexuální orientaci. Prosíme, nevkládejte takové údaje do polí s volným textem.

2.7 Měření mobilní aplikace

Používáme AppsFlyer, abychom pochopili, které kampaně přinášejí instalace aplikací a platící předplatitele, a abychom zlepšili reklamu To Brief na platformách Meta (Facebook/Instagram), X a Reddit. Toto měření reklamy je volitelné a založené na souhlasu. Přístup k účtu, správa předplatného a bezpečnostní záznamy potřebné k respektování vašich voleb zůstávají oddělenými funkcemi služby.

V této verzi pouze noví uživatelé. Volitelné měření prostřednictvím AppsFlyer začne až poté, co ověříme nový účet a první instalaci provedenou po zahájení zavádění a udělíte souhlas. Stávající účty, aktualizace, opětovné instalace a instalace s nejasným původem jsou vyloučeny. Podmínky ověřujeme před žádostí o povolení sledování nebo načtením AppsFlyer. Volby měření stávajících čtenářů se nemění.

Pokud je měření aplikace povoleno a aktivováno, AppsFlyer obdrží svůj identifikátor instalace, dostupný reklamní identifikátor, spuštění aplikace a technické informace o aplikaci/zařízení používané pro atribuci, analytiku a prevenci podvodů. To může zahrnovat verze operačního systému a aplikace, jazyk, diagnostiku spuštění a síťové informace. Jeho servery přijímají IP adresu připojení a mohou odvodit přibližnou zeměpisnou polohu. Pro toto měření nepožadujeme přesnou polohu ani přístup k GPS. Náš backend uchovává asociaci instalace, stav oprávnění a revize, informace o aplikaci/platformě, čas nativní instalace a omezené pozorování kampaně, je-li k dispozici.

Po prvním úspěšném přihlášení k účtu propojíme instalaci s tímto účtem pomocí samostatného náhodného identifikátoru zákazníka. Zaznamenáváme registraci, počáteční kvalifikované použití aplikace, zahájení pokladny a události ověřeného předplatného. Pokud platíte na našem webu pomocí stejného účtu To Brief, můžeme tuto platbu spojit s příslušnou instalací aplikace. Povolené události odeslané prostřednictvím AppsFlyer mohou zahrnovat registrace a platby předplatného, obnovení nebo vrácení peněz, s identifikátorem události, částkou, měnou a časem. Každý partner obdrží události nakonfigurované pro svou integraci; ne každá událost je odeslána každému partnerovi. Na základě stejného oprávnění v aplikaci náš server také posílá přímo společnosti OpenAI až tři události, abychom mohli měřit a zlepšovat reklamy To Brief v ChatGPT: registraci, první ověřenou platbu za předplatné a novou instalaci aplikace. Posílají se pouze u způsobilých nových instalací a pouze u událostí po udělení vašeho oprávnění, nikdy u stávajících instalací, aktualizací aplikace nebo opětovných instalací. Každá událost obsahuje vaši e-mailovou adresu v hashované podobě, hashovaný náhodný identifikátor zákazníka, referenci kliknutí na reklamu v ChatGPT, pokud byla zaznamenána při registraci, čas a u předplatného částku a měnu. Obnovení předplatného a vrácení peněz se společnosti OpenAI neposílají.

Do těchto datových sad reklamních událostí nezahrnujeme váš e-mail, jméno, telefonní číslo, text komentářů, názvy článků, témata ke čtení, vyhledávací dotazy, politické zájmy, údaje o kartě ani fakturační dokumenty. Sdílení s partnery může zahrnovat oprávněné nové uživatele z organických a jiných zdrojů kampaní, nejen uživatele připsané danému partnerovi. Jedinou výjimkou jsou události pro OpenAI popsané v §2.2 a v tomto oddílu, které obsahují vaši e-mailovou adresu pouze v hashované podobě, nikdy jako prostý text.

Vaše volba. V systému iOS je standardní výzva Apple App Tracking Transparency (ATT) jedinou výzvou k povolení sledování. Později ji můžete změnit v Nastavení iPhonu. V systému Android použijte volbu měření v aplikaci a její položku Nastavení. Aplikaci můžete používat i po odmítnutí. Volba cookies na webu nemůže přebít odmítnutí sledování v aplikaci. Aplikace při návratu do popředí znovu kontroluje volbu platformy; náš backend před odesláním zařazených událostí kontroluje aktuálně zaznamenané oprávnění a asociaci účtu. Odvolání souhlasu zastaví SDK v zařízení a aktualizuje náš backend; pokud je zařízení offline, tato aktualizace serveru se opakuje po obnovení připojení.

Samostatný mechanismus agregované atribuce společnosti Apple může zůstat aktivní i po odmítnutí ATT. Hlásí omezené konverzní hodnoty bez našich identifikátorů účtu nebo AppsFlyer. Odvolání souhlasu zastaví budoucí měření osobní reklamy; nejedná se o automatické smazání údajů již přijatých poskytovatelem. Smazání účtu zahájí příslušný proces výmazu, odstraní lokální pozorování kampaní a přeruší reklamní vazby od uchovávaných fakturačních záznamů. Záznamy držené poskytovatelem jsou řešeny prostřednictvím procesu výmazu, nikoliv předpokládaným okamžitým smazáním. O výmaz můžete také požádat prostřednictvím [email protected]. Platí rozlišení uchovávání uvedená v §4.

3. Proč používáme vaše údaje

Účel	Kategorie údajů	Právní základ
Poskytování zážitku ze čtení	Účet, zařízení	Smlouva, oprávněný zájem
Fakturace, prevence podvodů, daňová shoda	Platba, účet	Smlouva, právní povinnost
Měření zapojení a zlepšování produktu	Měření	Souhlas
UX analytika prostřednictvím Contentsquare/Hotjar	Měření	Souhlas
Měření konverzí prostřednictvím pixelu X	Měření	Souhlas
Měření konverzí prostřednictvím pixelu Meta	Měření	Souhlas
Měření konverzí reklam OpenAI (ze serveru)	Měření	Souhlas
Volitelné měření akvizice aplikace a předplatného	Instalace, oprávnění, události účtu a platby	Souhlas
Vyřizování stížností a oprav	Stížnosti, účet	Oprávněný zájem, právní povinnost
Bezpečnost, detekce zneužití, reakce na incidenty	Zařízení, účet	Oprávněný zájem
Dodržování zákonných požadavků	Všechny kategorie, dle potřeby	Právní povinnost

Osobní údaje nepoužíváme k automatizovanému rozhodování, které by pro vás mělo právní nebo podobně významné účinky (čl. 22 GDPR).

4. Jak dlouho uchováváme vaše údaje

• Lokální pozorování kampaní v aplikaci: vyprší 89 dní po dřívějším z dat: první registrace instalace na backendu nebo přijetí pozorování kampaně, a jsou vymazána dříve při odvolání souhlasu nebo smazání účtu. Opakovaná zpětná volání kampaní neprodlužují toto období.
• Přímé vazby událost-instalace: vyloučeny z reportingu měření po 89 dnech od události a odstraněny plánovaným čištěním. Staré nároky na konverze z prohlížeče jsou rovněž odstraněny po 89 dnech. Finanční identity, částky a minimální záznamy o událostech potřebné k zabránění duplicitním záznamům o platbách/konverzích jsou odděleny od těchto reklamních vazeb.
• Záznamy o oprávnění a výmazu: záznamy o instalaci potřebné k prosazení voleb, zabránění opětovnému přiřazení účtu a splnění žádostí o výmaz jsou uchovávány odděleně od pozorování kampaní. Identifikátor poskytovatele vyžadovaný pro nevyřízenou žádost o výmaz zůstává do potvrzení dokončení. Omezený záznam o potlačení je uchováván, aby se zabránilo opětovnému použití této vyřazené identity pro reklamu. Tyto záznamy nejsou anonymní a nejsou používány jako data pro reklamní publikum. Uchovávání na straně poskytovatele a individuální žádost o výmaz jsou odděleny od našeho lokálního vypršení platnosti kampaně.
• Údaje o účtu: po dobu, kdy je účet aktivní, a až dva (2) roky po jeho zrušení, pro řešení sporů a zpětných plateb po zrušení.
• Analytické údaje: čtrnáct (14) měsíců pro GA4; cookies měření Contentsquare/Hotjar jsou uchovávány podle svého účelu a obecně až třináct (13) měsíců pro cookies UX analytiky na úrovni návštěvníka.
• Údaje o platbách / fakturaci: sedm (7) let, pro splnění řeckých povinností daňové archivace (Κ.Φ.Α.Σ. / zákon 4174/2013).
• Údaje o stížnostech: tři (3) roky od konečné odpovědi, v souladu s pětiletou promlčecí lhůtou pro smluvní nároky, ale tam, kde je to možné, zkráceno.
• Protokoly přístupu: devadesát (90) dní.
• Zálohy: šifrované zálohy jsou přemazány do 35 dnů.

Po uplynutí těchto období údaje mažeme nebo nevratně anonymizujeme.

5. S kým sdílíme údaje

Osobní údaje sdílíme pouze s příjemci a pro účely zde uvedené. Osobní údaje neprodáváme žádné třetí straně.

• Stripe (platby, jako nezávislý správce).
• Google Ireland Limited (GA4) — pouze pokud udělíte souhlas s analytikou.
• Contentsquare/Hotjar — pouze pokud udělíte souhlas s volitelným měřením UX analytiky.
• X — volitelné měření konverzí na webu a povolené sdílení událostí aplikace prostřednictvím AppsFlyer.
• Meta (Facebook/Instagram) — volitelné měření konverzí na webu a povolené sdílení událostí aplikace prostřednictvím AppsFlyer.
• AppsFlyer — náš poskytovatel služeb mobilní atribuce a měření, včetně povoleného propojení účtu s předplatným a zpracování výmazu popsaného v §2.7.
• Reddit — povolené sdílení událostí aplikace prostřednictvím AppsFlyer pro měření a zlepšování kampaní To Brief.
• OpenAI (OpenAI Ireland Limited): volitelné měření konverzí reklam To Brief v ChatGPT, odesílané naším serverem, jak je popsáno v §2.2 a §2.7.
• Poskytovatelé hostingu a infrastruktury (např. Vercel, AWS, Cloudflare) jednající striktně jako zpracovatelé na základě smluv podle čl. 28.
• Profesionální poradci (právníci, účetní, auditoři), kde je to právně nezbytné a podléhá mlčenlivosti.
• Příslušné orgány, kde jsme k tomu nuceni zákonným, konkrétním a přiměřeným požadavkem (soudní příkaz, úřad pro ochranu osobních údajů, daňový úřad).

Aktuální, auditovatelný seznam zpracovatelů je veden interně a může být poskytnut na vyžádání.

6. Mezinárodní předávání údajů

Někteří naši zpracovatelé jsou usazeni ve Spojených státech nebo působí globálně. Pokud jsou osobní údaje předávány mimo EHP, spoléháme na:

• Standardní smluvní doložky Evropské komise (rozhodnutí 2021/914), nebo
• rozhodnutí o odpovídající ochraně (např. Rámec pro ochranu osobních údajů mezi EU a USA, pro Stripe, Google a další certifikované dovozce), nebo
• váš výslovný souhlas pro omezená, cílená předávání.

Dodatečná opatření, jako je šifrování při přenosu (TLS 1.2+), šifrování v klidovém stavu a řízení přístupu, jsou aplikována nad rámec právního mechanismu předávání.

7. Vaše práva podle GDPR

Podle čl. 15–22 GDPR máte následující práva:

• Přístup — potvrzení, že zpracováváme vaše údaje, a jejich kopii.
• Oprava — oprava nepřesných nebo neúplných údajů.
• Výmaz („právo být zapomenut“) — smazání, pokud existují důvody.
• Omezení — omezení způsobu, jakým zpracováváme vaše údaje do doby ověření.
• Přenositelnost — strojově čitelná kopie údajů, které jste poskytli na základě smlouvy nebo souhlasu.
• Námitka — proti zpracování založenému na oprávněných zájmech, včetně profilování.
• Odvolání souhlasu — kdykoliv, aniž by to ovlivnilo zpracování provedené před odvoláním.
• Stížnost u dozorového úřadu — zejména u Řeckého úřadu pro ochranu osobních údajů (viz §12).

Pro uplatnění jakéhokoliv práva zašlete e-mail na [email protected] z adresy, kterou máme v evidenci, nebo poskytněte jiný rozumný způsob ověření totožnosti. Odpovídáme do jednoho (1) měsíce, s možností prodloužení o další dva (2) měsíce u složitých žádostí; jakékoliv prodloužení vysvětlíme.

8. Cookies

Používáme cookies a podobné technologie. Kategorie, účely a doba trvání každého souboru cookie jsou popsány v Zásadách používání cookies. Své preference můžete kdykoliv nakonfigurovat a souhlas odvolat prostřednictvím /cookie-preferences.

9. Děti

Služba není určena dětem mladším patnácti (15) let, což je věk digitálního souhlasu v Řecku podle zákona 4624/2019, čl. 21. Vědomě neshromažďujeme údaje od mladších dětí. Pokud se domníváte, že se zaregistrovalo dítě, kontaktujte prosím [email protected] a my účet smažeme.

10. Bezpečnost

Uplatňujeme komerčně přiměřená technická a organizační opatření — včetně TLS, hašovaných hesel (rodina Argon2), izolovaných prostředí, principu přístupu s nejnižšími oprávněními, protokolování, zálohování a postupů reakce na incidenty — ale žádný systém není dokonale bezpečný. V případě porušení zabezpečení osobních údajů, které pravděpodobně povede k riziku pro vaše práva, budeme do 72 hodin informovat Řecký úřad pro ochranu osobních údajů, jak vyžaduje čl. 33 GDPR, a pokud je riziko vysoké, budeme informovat přímo i vás.

11. Změny těchto zásad

Revidovanou verzi zveřejníme na této adrese URL a v případě podstatných změn poskytneme oznámení nejméně třicet (30) dní předem prostřednictvím Služby nebo e-mailem. Datum „Poslední revize“ v horní části vždy odráží nejnovější aktualizaci. Historické verze tohoto dokumentu jsou uchovávány v protokolu změn právních stránek.

12. Kontakt a dozorový úřad

• Dotazy k ochraně údajů: [email protected]
• Poštovní adresa: Troon 26, 118 51, Athény, Attika, Řecko

Máte právo podat stížnost u Řeckého úřadu pro ochranu osobních údajů (Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα):

• Webové stránky: https://www.dpa.gr
• Poštovní adresa: Kifissias 1-3, 115 23 Athény, Řecko

Obyvatelé EU mimo Řecko se mohou rovněž obrátit na dozorový úřad ve svém členském státě obvyklého bydliště.