Zásady ochrany osobních údajů
Tento dokument popisuje, jaké osobní údaje služba Papu zpracovává, z jakého důvodu a jaká máte práva podle nařízení (EU) 2016/679 (GDPR). Účinné od 2026-08-18, verze 1.2.
Poslední aktualizace: 2026-08-18
1. Správce údajů
Správcem je Appsibly (Daniel Vazač), provozovatel služby na adrese https://papu.work.
Kontakt ve věcech ochrany údajů: support@papu.work. Pověřenec pro ochranu osobních údajů nebyl jmenován, protože k tomu nejsou splněny podmínky čl. 37 GDPR.
2. Jaké údaje zpracováváme
| Kategorie | Konkrétní údaje | Kdy vznikají |
|---|---|---|
| Údaje účtu | uživatelské jméno, e-mail, otisk hesla (argon2id), datum registrace, potvrzení e-mailu a jeho datum, příznak správce, datum a verze přijatých podmínek | při registraci |
| Jednorázové tokeny | otisk odkazu pro potvrzení e-mailu (platnost 24 hodin) nebo pro obnovu hesla (platnost 1 hodina) a adresa, pro kterou byl vydán | při registraci, změně e-mailu nebo obnově hesla |
| Údaje o rozdělení účtu | jména nebo přezdívky účastníků, názvy položek, částky, sleva, variabilní symboly, datum | když vytvoříte objednávku |
| Údaje o skupinové objednávce | číslo účtu (IBAN) zakladatele, souřadnice doručovací adresy, vybraná restaurace, jména účastníků, jejich položky a částky, stav zaplaceno, odkaz na sledování zásilky | když vytvoříte nebo se připojíte ke skupině |
| Údaje z bankovního výpisu | u příchozích plateb variabilní symbol, částka, měna a datum; k nim výsledek spárování s účastníkem. Jméno ani číslo účtu plátce se neukládá a samotný soubor s výpisem se nikam neukládá. | jen když jako zakladatel objednávky sami nahrajete výpis |
| Identifikátor anonymního zařízení | náhodné UUID uložené ve vašem prohlížeči a odesílané s objednávkami | při použití bez přihlášení |
| Propojení se Slackem | ID a název pracovního prostoru, ID a název kanálu, přístupový token, případně přiřazená ID uživatelů Slacku | jen když propojení sami zapnete |
| Technické a provozní údaje | IP adresa (v paměti pro limity počtu požadavků), záznamy serveru o chybách a přihlášeních, záznam o odeslání e-mailu (typ, příjemce, stav a čas, u chyby její technický popis), souhlas s cookies (kategorie, čas, verze) | automaticky při použití |
Papu nezpracovává platební karty ani bankovní přihlašovací údaje a neprovádí žádné platby. Číslo účtu použité pro QR kód se ukládá pouze proto, aby šel kód vygenerovat.
Papu se nepřipojuje k vaší bance. Kontrola zaplacení funguje tak, že jako zakladatel objednávky sami nahrajete výpis stažený z internetového bankovnictví. Soubor se zpracuje pouze v paměti a nikam se neukládá; z výpisu si Papu ponechá jen platby s variabilním symbolem, který sám vydal, a u nich částku, měnu a datum. Ostatní pohyby na účtu se zahodí.
Pokud do objednávky zadáte jméno jiné osoby, stáváte se v tomto rozsahu tím, kdo její údaje poskytl. Zadávejte proto jen minimum (křestní jméno nebo přezdívku) a nepřidávejte údaje, které pro rozdělení účtu nejsou potřeba.
3. Účely a právní základy
| Účel | Právní základ |
|---|---|
| Provoz služby - vedení účtu, ukládání objednávek a skupin, generování QR kódů | plnění smlouvy, čl. 6 odst. 1 písm. b) GDPR |
| Kontrola zaplacení - spárování plateb z vámi nahraného výpisu s účastníky podle variabilního symbolu | plnění smlouvy (funkce, kterou sami použijete), čl. 6 odst. 1 písm. b) |
| Používání bez registrace - uchování vašich objednávek pod anonymním identifikátorem | oprávněný zájem na funkčnosti služby, čl. 6 odst. 1 písm. f) |
| Zabezpečení - limity počtu požadavků, ochrana proti zneužití, provozní záznamy | oprávněný zájem na bezpečnosti služby, čl. 6 odst. 1 písm. f) |
| Transakční e-maily - potvrzení adresy, obnova hesla, upozornění na změnu účtu | plnění smlouvy a oprávněný zájem na zabezpečení účtu, čl. 6 odst. 1 písm. b) a f) |
| Odesílání zpráv do Slacku | plnění smlouvy (funkce, kterou sami zapnete), čl. 6 odst. 1 písm. b) |
| Anonymní statistika návštěvnosti | váš souhlas, čl. 6 odst. 1 písm. a) - lze kdykoli odvolat |
| Plnění právních povinností a obrana právních nároků | čl. 6 odst. 1 písm. c) a f) |
4. Komu údaje předáváme
Údaje neprodáváme. Zpracovatelé a příjemci, kteří se na provozu podílejí:
- OVH SAS - hosting serveru a databáze, datové centrum v EU.
- Add Rabbit LLC (Purelymail, USA) - rozesílání transakčních e-mailů a příjem zpráv na adresách papu.work. Předává se e-mailová adresa, uživatelské jméno a obsah odesílané zprávy.
- Cloudflare, Inc. - anonymní statistika návštěvnosti (Cloudflare Web Analytics, bez cookies) a ochrana provozu. Načítá se až po vašem souhlasu. Předání do USA je kryto standardními smluvními doložkami a rámcem EU-US Data Privacy Framework.
- Slack Technologies (Salesforce) - pouze pokud propojení se Slackem sami zapnete; do zvoleného kanálu se odesílají jména účastníků a částky.
- Bolt Food, Foodora a Wolt - dotazy na menu a nabídku restaurací podle souřadnic doručení a načtení stavu doručení z vloženého odkazu na sledování. Neodesíláme jim vaše jméno, e-mail ani identifikátor účtu.
- OpenStreetMap Foundation (Nominatim) - vyhledání adresy podle zadaného textu nebo souřadnic.
Údaje můžeme dále předat orgánům veřejné moci, pokud to ukládá zákon.
5. Jak dlouho údaje uchováváme
- Údaje účtu a s ním spojené objednávky a skupiny: po dobu existence účtu. Po smazání účtu se odstraní neprodleně.
- Objednávky vytvořené bez registrace: nejdéle 90 dnů od vytvoření, poté se osobní obsah (jména účastníků, položky, částky) automaticky maže.
- Údaje z bankovního výpisu: po dobu existence objednávky, ke které se váží. Se smazáním objednávky nebo účtu se mažou zároveň s ní.
- Jednorázové tokeny: mažou se automaticky po použití nebo po vypršení platnosti (24 hodin, resp. 1 hodina).
- Souhlas s cookies: 12 měsíců, nebo do jeho odvolání.
- Provozní záznamy serveru: nejdéle 90 dnů.
- Záznamy o odeslání transakčních e-mailů: nejdéle 90 dnů; těla zpráv se v tomto záznamu neukládají.
- Údaje v zálohách: nejdéle 30 dnů po smazání z provozní databáze.
6. Vaše práva
Podle GDPR máte právo na přístup ke svým údajům, jejich opravu, výmaz, omezení zpracování, přenositelnost, právo vznést námitku proti zpracování založenému na oprávněném zájmu a právo kdykoli odvolat souhlas (odvoláním není dotčena zákonnost dřívějšího zpracování).
- Přístup a přenositelnost: v sekci Účet si stáhnete export svých dat ve formátu JSON.
- Výmaz: v sekci Účet smažete účet včetně svých objednávek a skupin.
- Oprava: e-mail a heslo změníte v sekci Účet, ostatní na vyžádání.
- Souhlas s cookies: odvoláte tlačítkem Nastavení cookies na stránce Cookies nebo v nastavení účtu.
- Ostatní žádosti: napište na support@papu.work. Odpovíme nejpozději do jednoho měsíce.
Máte také právo podat stížnost u dozorového úřadu: Úřad pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, www.uoou.gov.cz.
7. Cookies a data v prohlížeči
Papu používá nezbytné cookies pro přihlášení a uložení vašeho souhlasu a ukládá část dat přímo ve vašem prohlížeči. Podrobný seznam najdete v Zásadách používání cookies.
8. Zabezpečení
Hesla ukládáme pouze jako otisk algoritmem argon2id. Komunikace probíhá přes HTTPS. Přístup k databázi má jen provozovatel, přihlašovací cookies jsou HttpOnly a Secure, u citlivých akcí se kontroluje oprávnění na serveru a rychlost požadavků je omezena.
Žádné opatření není stoprocentní. Pokud by došlo k porušení zabezpečení s rizikem pro vaše práva, budeme vás informovat podle čl. 34 GDPR.
9. Děti
Služba není určena osobám mladším 16 let a vědomě jejich údaje nezpracováváme. Pokud zjistíte, že nám dítě údaje poskytlo, napište nám a údaje smažeme.
10. Změny
Tyto zásady můžeme aktualizovat. Nová verze se zveřejní na této stránce s datem účinnosti a číslem verze; u podstatných změn upozorníme registrované uživatele.