Zásady ochrany osobních údajů

1 Úvod

Fango je aplikace pro osobní sledování plýtvání jídlem dostupná pro iOS a Android. Tyto zásady ochrany osobních údajů vysvětlují, jaké informace shromažďujeme, jak je používáme a jaká máš práva ke svým údajům.

Tyto zásady jsou informací poskytovanou podle článků 13 a 14 GDPR; vysvětlují naše zpracování, ale samy o sobě nejsou jeho právním základem (právní základy jsou uvedeny v článku 9). Pokud je funkce založená na tvém souhlasu, aplikace si o něj řekne zvlášť.

Správce osobních údajů (čl. 4 bod 7 GDPR):

Valtteri Isokorpi
Anolinintie 6
28400 Ulvila
Finsko
support@fango.fi

Fango provozuje fyzická osoba usazená v Evropské unii; neexistuje samostatná obchodní společnost a nepoužije se pověřenec pro ochranu osobních údajů (DPO) ani zástupce v EU.

Je poskytnutí údajů povinné? Ne. Poskytnutí osobních údajů Fangu není zákonným ani smluvním požadavkem a poskytnout je nemusíš. Fango funguje bez účtu a každé zpracování popsané níže, při kterém údaje opouštějí tvé zařízení, je volitelné – skenování účtenek, formulář pro nahlášení problému, analytiku, sdílení domácnosti i pozvánky pro přátele zapínáš ty. Jediným důsledkem neposkytnutí údajů je, že daná funkce není k dispozici; aplikace samotná funguje dál.

2 Jaké údaje shromažďujeme

Fango nevyžaduje registraci ani uživatelský účet. Všechny údaje, které zadáš – produkty, ceny, data připomínek, nákupní seznam, nastavení a statistiky – se ve výchozím stavu ukládají pouze místně v tvém zařízení a neodesílají se na externí servery. Pokud nepoužíváš sdílení domácnosti, vývojář nemá k tvým produktům, nastavení ani statistikám přístup. Jedinou výjimkou je sdílení domácnosti (článek 5), které ukládá sdílené produkty, seznamy a záznam označení domácnosti na server po dobu existence domácnosti – a jen tehdy, když domácnost vytvoříš nebo se k ní připojíš.

Widget na ploše. Pokud si na plochu přidáš widget Fango, čte údaje o připomínkách produktů přímo z místního úložiště, které aplikace a widget sdílejí v tvém zařízení (kontejner App Group v iOS a SharedPreferences v Androidu). Na externí servery se nic nekopíruje. Widget zobrazuje jen informace, které už jsou uložené v tvém zařízení.

Případy, kdy obsah, který poskytneš, opouští tvé zařízení, jsou volitelné skenování účtenek (článek 3), volitelný formulář „Nahlásit problém“ (článek 4) a volitelné sdílení domácnosti (článek 5) – skenování účtenek ho předá přes zprostředkující službu, aniž by ho uchovávalo, sdílení domácnosti ho ukládá a „Nahlásit problém“ uchovává jen to, co dorazí do schránky podpory, včetně účtenky, kterou se rozhodneš přiložit. Minimální technické a pseudonymní toky údajů, které zajišťují provoz služby (stav předplatného, počítadla proti zneužití, volitelná analytika, doporučení přátelům, měnové kurzy), popisují články 3, 4 a 7.

Údaje, které o tobě získáváme nepřímo (čl. 14 GDPR). Pokud si koupíš předplatné Fango, Apple App Store nebo Google Play předá potvrzení transakce službě RevenueCat (naše správa předplatného – viz článek 7) a RevenueCat vrátí aplikaci minimální stav předplatného (aktivní / neaktivní, identifikátor oprávnění „pro“ a neprůhledné App User ID služby RevenueCat). Fango od společností Apple, Google ani RevenueCat nedostává tvé jméno, e-mail, platební prostředek, fakturační adresu ani žádné jiné osobní údaje. Zdrojem těchto nepřímo získaných údajů je transakce v obchodě, kterou zahájíš; právním základem je plnění smlouvy (čl. 6 odst. 1 písm. b), článek 9). Stejný minimální tok údajů se uplatní u funkce doporučení přátelům (článek 7), když pozvaný uživatel uplatní kód.

3 Skenování účtenek (volitelné)

Fango obsahuje volitelnou funkci skenování účtenek, která pomocí AI rozpoznává potraviny z obrázku nebo PDF účtenky. Při skenování obsah účtenky krátce opustí tvé zařízení kvůli rozpoznání; ostatní případy, kdy obsah opouští zařízení, uvádí článek 2.

Co se odesílá. Při skenování se binární data obrázku (nebo text získaný z textového PDF) krátce přenesou přes naši zprostředkující službu (Supabase Edge Function) k poskytovateli AI (Anthropic Claude), který rozpozná produkty. Obsah se na žádném z obou serverů trvale neukládá a k požadavku se nepřipojuje jméno, uživatelský účet ani jiné informace, které by tě identifikovaly.

Co se vrací. AI vrátí strukturovaný seznam rozpoznaných potravin. Tento seznam se ukládá pouze v tvém zařízení – nebo, pokud patříš do domácnosti, do společné lednice domácnosti (článek 5). Po dokončení skenování Fango obsah účtenky neuchovává.

Prevence zneužití. Aby se předešlo nadměrnému používání služby AI, aplikace při prvním skenování zaregistruje náhodný identifikátor instalace, ke kterému jsou vázána počítadla použití (hodinová, denní a měsíční). Identifikátor se náhodně vygeneruje na zprostředkující službě; neobsahuje žádné informace o zařízení ani uživateli, není odvozen z ničeho, co se týká tvého telefonu, a nikdy se neukládá spolu s obsahem účtenky. Existuje proto, aby se používání jedné instalace dalo počítat samostatně – což zároveň znamená, že jednu zneužívající instalaci lze zablokovat, aniž by to postihlo kohokoli jiného ve stejné síti. Pokud skenování nikdy nepoužiješ, žádný takový identifikátor nevznikne. Souběžně s ním dál platí hrubý limit podle IP adresy. Podle GDPR se IP adresa považuje za osobní údaj (bod odůvodnění 26); zpracovává se výhradně pro účtování limitů požadavků, není propojena s identifikátorem instalace ani s žádným jiným identifikátorem a nepoužívá se k žádnému jinému účelu. Záznamy automaticky maže plánovaná úloha: počítadla přibližně do 35 dnů, identifikátory instalace do 400 dnů (viz článek 14).

Zvláštní kategorie údajů (čl. 9 GDPR). Obsah účtenky může nahodile obsahovat informace, které by samy o sobě nebo v kombinaci mohly představovat „zvláštní kategorie osobních údajů“ – například účtenka z lékárny s názvy léků, ze kterých lze vyčíst informace o zdraví, nebo účtenka s položkami spojenými s náboženskými stravovacími zvyklostmi. Fango takové kategorie záměrně nezpracovává a z tvých údajů je neodvozuje. AI vrací strukturovaný seznam položek, které na účtence rozpoznala (může zahrnovat i nepotravinové položky, například drogerii – ty se označí zvlášť, aby se nedostaly do připomínek v lednici). Obsah účtenky se po rozpoznání neuchovává: zprostředkující služba neukládá obrázky ani získaný text a do tvého zařízení se doručí jen strukturovaný seznam produktů.

Anonymní telemetrie. Zprostředkující služba zapisuje na svůj server anonymní záznamy o skenování: nastavená země skenování, použitý režim, počet rozpoznaných produktů, země, ze které účtenka podle rozpoznání pochází, a výsledek rozpoznání (produkty byly rozpoznány, z účtenky z obchodu s potravinami se nepodařilo přečíst žádný produkt, obrázek nebyl účtenkou z obchodu s potravinami, nebo rozpoznání selhalo z technických důvodů). Z nich se sestavují denní počty podle země a výsledku, abychom viděli, ve kterých zemích je potřeba rozpoznávání účtenek zlepšit. Tato telemetrie nezaznamenává obsah účtenek, název obchodu, čas, identifikátory uživatelů ani instalací ani IP adresy a v souhrnných počtech nelze rozlišit žádné jednotlivé skenování.

Zásady společnosti Anthropic. Anthropic nepoužívá data odeslaná přes API k trénování svých modelů. Podrobnosti najdeš zde: Zásady ochrany soukromí společnosti Anthropic.

4 Nahlásit problém (volitelné)

Fango obsahuje volitelný formulář pro zpětnou vazbu přímo v aplikaci (Nastavení → Nahlásit problém a také obrazovky chyby a kontroly při skenování účtenek). Můžeš v něm popsat chybu nebo poslat zpětnou vazbu vývojovému týmu. Odeslání vždy zahajuješ ty – nic se neodesílá automaticky.

Co se odesílá. Jen to, co do formuláře napíšeš, a k tomu anonymní technická metadata: verze aplikace, operační systém, model zařízení (např. iPhone16,2 (iPhone) nebo samsung SM-G998B – surový hardwarový identifikátor zařízení, ne tvůj vlastní název zařízení), nastavení jazyka a země, nastavení měny a anonymní údaje z posledního skenování účtenky ve stejné relaci (použitý režim, doba trvání v milisekundách, počet rozpoznaných produktů a případný kód chyby). Spolu s nimi se odesílá čas tohoto skenování a země rozpoznaná na účtence. Formulář ti před odesláním přesně ukáže, co se odešle.

Co se NEODESÍLÁ. Produkty v tvé lednici, statistiky, e-mail, jméno, IP adresa jako součást obsahu zprávy ani nic, co by tě mohlo identifikovat. Jediný soubor, který může přes tento formulář kdy opustit tvé zařízení, je účtenka, kterou přiložíš ty – viz níže.

Přiložení účtenky (volitelné). V hlášení týkajícím se skenování nabídne formulář přiložení naposledy naskenované účtenky – obrázku nebo PDF, ze kterého se skenovalo, ne údajů z lednice. Přiloží se jen tehdy, když stiskneš samostatné tlačítko pro přiložení (například Přiložit účtenku); bez jeho stisknutí se žádný soubor neodešle a žádný jiný typ hlášení tuto možnost vůbec nenabízí. Přiložená účtenka slouží jedinému účelu: naučit skener Fanga číst formát účtenek daného obchodu. Tato práce zahrnuje zpracování účtenky stejnou službou AI pro rozpoznávání, kterou používá běžné skenování (Anthropic Claude, článek 3), abychom zjistili, proč nebyla rozpoznána, a její uchování jako testovacího vzorku, aby se oprava později potichu nerozbila. Nikdy se nesdílí s třetími stranami, nikdy se nepoužívá k reklamě a nikdy se nekombinuje s jinými údaji o tobě – hlášení nenese jméno, účet ani identifikátor zařízení, takže není s čím ho kombinovat.

Jak dlouho se přiložená účtenka uchovává. Uchováváme ji tak dlouho, jak je potřeba pro vývoj a testování skenování účtenek; účtenka, která se ukáže jako neužitečná, se po zpracování smaže. Než účtenka vstoupí do našich testovacích materiálů, odstraníme z ní veškeré viditelné osobní údaje, například jméno nebo adresu vytištěné na účtence z online objednávky. Protože je hlášení anonymní, nemůžeme účtenku později přiřadit k tobě – pokud chceš, aby byla odeslaná účtenka smazána, popiš ji (obchod, datum, celková částka) na support@fango.fi a odstraníme ji.

Jak se doručuje. Tvoje zpráva se krátce přenese přes naši zprostředkující službu (Supabase Edge Function) a jako e-mail se přepošle vývojovému týmu na support@fango.fi prostřednictvím poskytovatele transakčních e-mailů (Resend). Zprostředkující služba neukládá obsah hlášení do žádné databáze; existuje jen v doručeném e-mailu a krátce v krátkodobých provozních protokolech platformy. Schránku podpory provozuje Hostingpalvelu Oy ve Finsku, takže doručené hlášení i případná přiložená účtenka zůstávají v EU.

Prevence zneužití. Aby se předešlo spamu, vede zprostředkující služba pseudonymní hodinové počítadlo založené na IP adrese (5 zpráv za hodinu). Počítadlo zaznamenává jen IP adresu a hodinový interval, automaticky ho maže plánovaná úloha (viz článek 14) a samotný obsah hlášení se do žádné databáze neukládá. Z hlediska GDPR platí totéž, co je popsáno v článku 3.

Místní protokol chyb. Kromě výše uvedených metadat ukládá Fango místně v tvém zařízení až 20 posledních technických chybových událostí (například nečekaných pádů aplikace, ke kterým došlo na pozadí). Každá událost obsahuje: typ chyby, místo v kódu aplikace, časové razítko, obrazovku, na které k ní došlo, šířku obrazovky a nastavení velikosti textu – žádné osobní údaje, žádný obsah účtenek, žádné produkty z lednice, žádné identifikátory vázané na uživatele. Tento místní protokol se nikdy neodesílá automaticky. Přikládá se jen tehdy, když se aktivně rozhodneš odeslat zprávu „Nahlásit problém“, a jen jako její součást. Než stiskneš Odeslat, formulář zobrazí počet chyb, které se přiloží, a nabídne odkaz „Ukázat, co odesíláš“, přes který si můžeš prohlédnout přesný obsah. Po úspěšném odeslání se místní protokol chyb z tvého zařízení okamžitě smaže. Pokud zprávu „Nahlásit problém“ nikdy neodešleš, protokol chyb se k nám nikdy nedostane.

5 Sdílení domácnosti (volitelné)

Fango ti umožňuje sdílet lednici, nákupní seznamy a statistiky snědeného a vyhozeného jídla s domácností až čtyř osob. Funkce je ve výchozím stavu vypnutá a aplikace bez ní plně funguje. Je to jediná funkce, při které se část tvých údajů o potravinách na serveru ukládá, a ne jen přes něj prochází – všude jinde v těchto zásadách je server zprostředkovatel nebo počítadlo. Proto je slib v článku 2 formulován slovy „ve výchozím stavu“: vytvoření domácnosti nebo připojení k ní je vědomý krok, který to mění.

Identita, kterou funkce vytváří. Připojení k domácnosti vytvoří anonymní přihlášení bez e-mailové adresy, bez hesla, bez jména a bez jakéhokoli profilu. Jeho přihlašovací údaje se uchovávají v zabezpečené klíčence tvého zařízení a záměrně se nesynchronizují do iCloudu. Nic na této identitě není odvozeno z tvého telefonu, kontaktů ani účtu v obchodě. Přihlašovací služba (Supabase Auth) zaznamenává běžné technické údaje o relaci, například IP adresu a technický řetězec user-agent aplikace, aby relace fungovala a aby se předešlo zneužití.

Co domácnost sdílí. Názvy produktů, emoji, data připomínek, ceny, měny, množství, místa uložení a informaci, zda se v okamžiku označení produktu blížil den jeho připomínky; obsah nákupních seznamů včetně tvých vlastních poznámek; záznam označení (snědeno nebo vyhozeno, čas, název produktu a částka); společná nastavení domácnosti (cíl úspor, přepínače sledování, domácí měna, okno záchrany) a přezdívku, kterou si zvolíš a kterou vidí ostatní členové.

Co vytvoření domácnosti přesune. Když domácnost vytvoříš, přesunou se do ní produkty z tvé lednice a označení snědeného a vyhozeného z aktuálního měsíce, takže statistiky domácnosti začínají aktuálním měsícem. Označení z dřívějších měsíců zůstávají jen v tvém zařízení. Když se připojíš k existující domácnosti, tvoje vlastní produkty se nepřesouvají: zůstávají v tvém zařízení a vrátí se, když domácnost opustíš.

Propojení předplatného s domácností. Aby jedno předplatné mohlo pokrýt celou domácnost, ukládá aplikace tvůj anonymní identifikátor domácnosti v RevenueCat jako atribut tvého předplatného a server k tomuto identifikátoru ukládá tvé App User ID služby RevenueCat a stav předplatného (aktivní či ne, obchod, produkt a čas skončení). Server tyto údaje načítá přímo z RevenueCat, místo aby se spoléhal na tvrzení aplikace. Ukládají se u každého člena, i u člena bez vlastního předplatného. Nezpracovává se přitom žádné jméno, e-mail ani platební údaje.

Co záznam označení záměrně neobsahuje. Nezaznamenává, kdo produkt označil. Není to skryté v rozhraní – tato informace se vůbec neshromažďuje, takže na otázku „kdo to vyhodil“ tahle databáze nedokáže odpovědět nikomu, ani nám. Řádky produktů nesou anonymní identifikátor domácnosti toho, kdo je přidal, z jediného úzce technického důvodu: dva telefony, které přidají položky ve stejné milisekundě, by se jinak střetly.

Co nikdy neopustí tvé zařízení, ať už v domácnosti jsi, nebo ne. Nastavení připomínek pro jednotlivé produkty i celková, motiv, zvuky, jazyk, paměť produktů, která zlepšuje další skenování, a všechny obrázky a obsah účtenek.

Spojení na pozadí. Dokud jsi v domácnosti, aplikace obnovuje své údaje na pozadí i tehdy, když je zavřená, aby se připomínky k produktům ostatních členů naplánovaly včas. Zařízení používané samostatně nenavazuje na pozadí vůbec žádná spojení. Obnovování na pozadí můžeš vypnout v nastavení zařízení (iOS: Nastavení → Fango → Aktualizace na pozadí; Android: nastavení baterie aplikace) – změny v domácnosti se pak zobrazí až po otevření aplikace.

Odchod a co odchod nevrátí. Domácnost můžeš kdykoli opustit. Tvoje vlastní údaje se ti okamžitě vrátí a nákupní seznamy, které sdílíš, se z domácnosti stáhnou. Produkty, které už jsou přidané do společné lednice, zůstávají zbývajícím členům – sdílení produktu nelze odchodem vrátit a raději to řekneme tady, než aby to později bylo překvapení. Když domácnost opustí poslední člen, domácnost i všechno v ní se ze serveru okamžitě smaže, a to v rámci stejné operace (viz článek 14).

Právní základ: tvůj souhlas (čl. 6 odst. 1 písm. a), článek 9).

6 Push oznámení (jen v domácnosti)

Pokud patříš do domácnosti a máš povolená oznámení Fanga – stejné oprávnění, díky kterému dostáváš připomínky trvanlivosti –, náš server pošle do tvého zařízení zprávu, když jiný člen něco přidá nebo změní.

Tato zpráva je vždy tichá. Na obrazovce se nic nezobrazí a neexistuje žádné nastavení, které by ji zobrazilo. Slouží k probuzení aplikace, aby mohla stáhnout změny a znovu naplánovat tvoje připomínky – jen tak dostane člen, který Fango otevírá zřídka, připomínku k jídlu, které přidal někdo jiný. Zpráva nenese vůbec žádný obsah – žádné názvy produktů, žádný počet, nic o tom, kdo je přidal. Je to jen probuzení a nic víc.

Co se ukládá. Token oznámení tvého zařízení (token APNs v iOS, token FCM v Androidu), platforma a časové razítko, uložené k anonymní identitě domácnosti popsané v článku 5. U zařízení používaného samostatně se token oznámení vůbec nevytváří ani neukládá – ani na našem serveru, ani v systémech společností Apple či Google.

Smazání. Token se smaže, když domácnost opustíš, když vypneš oznámení a když platforma ohlásí, že jeho platnost vypršela.

Kdo zprávu doručuje. Apple (APNs) v iOS a Google (Firebase Cloud Messaging) v Androidu – viz článek 7. Oznámení pro iOS přes Google neprocházejí.

Právní základ: tvůj souhlas (čl. 6 odst. 1 písm. a), článek 9).

7 Třetí strany

Fango využívá tyto třetí strany:

RevenueCat – spravuje předplatné Fanga. Zpracovává jen údaje nezbytné k udržení stavu tvého předplatného (stav předplatného a identifikátor zařízení) prostřednictvím Apple App Store nebo Google Play. Na zařízeních s Androidem může RevenueCat zpracovávat také reklamní identifikátor Androidu (AAID), pokud je v zařízení zapnutý. RevenueCat nemá přístup k údajům o tvých potravinách ani produktech. Pokud patříš do domácnosti, RevenueCat uchovává také tvůj anonymní identifikátor domácnosti jako atribut předplatného (viz článek 5).

Supabase – poskytuje zprostředkující služby (Edge Functions), které přechodně zpracovávají požadavky na skenování účtenek a zprávy „Nahlásit problém“. Vede pseudonymní tabulku limitů požadavků založenou na IP adresách. Obsah účtenek neukládá. Slouží také jako databáze a přihlašovací služba sdílení domácnosti a ukládá tokeny oznámení domácností (články 5 a 6). Přijímá také anonymní agregované události analytiky používání popsané níže v části Anonymní analytika, vázané jen na pseudonymní hash zařízení. Zprostředkující služba také ukládá záznamy doporučení přátelům popsané níže.

Doporučení přátelům (kódy pozvánek). Volitelná funkce pozvánek přidělí měsíce zdarma tobě i tvému kamarádovi, když kamarád uplatní tvůj kód. K jejímu provozu ukládá zprostředkující služba pseudonymní, nevratný hash zařízení SHA-256 (odvozený z náhodného identifikátoru instalace v iOS nebo z Android ID) spolu s kódem pozvánky, App User ID služby RevenueCat potřebným k přidělení odměny a časovými razítky. Při přidělení odměny se ukládají také hashe SHA-256 odměněného identifikátoru RevenueCat a identifikátoru RevenueCat tvůrce kódu, aby žádné zařízení ani účet nemohly získat více než 10 měsíců odměny. Když otevřeš aplikaci, krátce se u zprostředkující služby ověří, zda na hash tvého zařízení nečeká odměna. Tyto údaje neobsahují nic o tvém jídle, účtenkách, jménu ani kontaktech a slouží výhradně k přidělování odměn za doporučení a k tomu, aby stejné zařízení nebo účet nezískávaly odměny opakovaně. Protože jsou základem prevence zneužití, záznam o tom, že zařízení už bylo odměněno, výše uvedené hashe účtů a uplatněný kód spolu s App User ID služby RevenueCat toho, kdo ho uplatnil, se uchovávají po celou dobu trvání programu doporučení; ostatní záznamy doporučení maže plánovaná úloha poté, co vyprší nebo jsou vyzvednuty (viz článek 14). Právní základ: poskytnutí propagační výhody, kterou si zvolíš (čl. 6 odst. 1 písm. b), článek 9).

Anthropic (Claude AI) – rozpoznává potraviny z obsahu účtenky. Nepoužívá data odeslaná přes API k trénování svých modelů. Uplatňuje se standardní doba uchování API pro účely monitorování bezpečnosti a důvěryhodnosti.

Resend – poskytovatel transakčních e-mailů, který doručuje zprávy „Nahlásit problém“ vývojovému týmu. Zpracovává anonymní obsah hlášení o chybě – a účtenku, pokud se ji rozhodneš přiložit – jako e-mail; bez identifikátorů vázaných na uživatele.

Apple App Store a Google Play – platební transakce a účtování předplatného podle jejich vlastních zásad ochrany osobních údajů. Fango platební údaje nikdy přímo nezpracovává.

Hostingpalvelu Oy (Finsko) – hostuje web fango.fi (článek 18) a schránku support@fango.fi, do které se doručují zprávy „Nahlásit problém“ a případné přiložené účtenky. Údaje zůstávají v EU.

Frankfurter (měnové kurzy) – aby mohla aplikace zobrazit odhad úspor v tvé místní měně, pravidelně stahuje zveřejněné referenční kurzy Evropské centrální banky z rozhraní Frankfurter API (frankfurter.app). Požadavek neobsahuje žádné osobní údaje ani parametry o tobě (jen „jaká je základní měna“); jako u každého webového požadavku vidí tato služba tvou IP adresu na okamžik, aby mohla odpovědět. Kurzy se v tvém zařízení ukládají do mezipaměti na 24 hodin. Viz: frankfurter.dev.

Apple Search Ads (AdServices) – pouze v iOS: pokud instalace Fanga proběhla z reklamy Apple Search Ads, poskytne rámec AdServices společnosti Apple token atribuce na úrovni kampaně (která kampaň, skupina reklam a klíčové slovo vedly k instalaci). Jde o vlastní atribuci společnosti Apple: nenese identifikátor napříč aplikacemi a nevyžaduje výzvu App Tracking Transparency. Fango předává token službě RevenueCat výhradně proto, aby anonymní metriky předplatného a zkušebního období přiřadilo k reklamě, která vedla k instalaci – nikdy ne k tobě osobně. Abychom byli na bezpečné straně pravidel EU, shromažďuje se jen tehdy, když zapneš analytiku (Nastavení → Soukromí); ve výchozím stavu je vypnutá a bez tvého souhlasu se nikdy neshromažďuje.

Google Play (Install Referrer) – pouze v Androidu: rozhraní Install Referrer API služby Google Play sděluje, z jakého odkazu instalace začala (například z fango.fi nebo z vyhledávání přímo v Google Play). Fango ho přečte jednou za instalaci a ponechá si z něj jen tři krátké štítky – zdroj, médium a kampaň – bez identifikátoru zařízení, bez reklamního identifikátoru a bez čehokoli, co by tě identifikovalo. Googlu se při tom nic neodesílá: hodnota se čte z aplikace Obchod Play, která už v zařízení je, a tři štítky putují na vlastní zprostředkující službu Fanga (Supabase) spolu s událostmi analytiky. Stejně jako výše uvedená atribuce Apple se shromažďuje jen tehdy, když zapneš analytiku (Nastavení → Soukromí); ve výchozím stavu je vypnutá a bez tvého souhlasu se nikdy neshromažďuje.

Anonymní analytika. Fango může shromažďovat anonymní, agregované události o používání, které pomáhají aplikaci zlepšovat – ale jen pokud analytiku zapneš v Nastavení → Soukromí. Ve výchozím stavu je vypnutá (opt-in). Když je zapnutá, zahrnují tyto události například to, které kroky úvodního průvodce a které obrazovky se otevřou, zda se spustí zkušební období zdarma nebo předplatné a zda se zkušební období zruší, kdy je skenování úspěšné, kdy se uplatní kód pozvánky od kamaráda, kdy se klepne na akční tlačítko připomínky a kdy se produkt označí jako snědený nebo vyhozený (jen druh označení – nikdy produkt ani cena). Shromažďují se také technická hlášení o chybách: typ a podoba chyby, nikdy její obsah. Hlášení o chybě nese také obrazovku, na které k chybě došlo, šířku obrazovky zařízení a nastavení velikosti textu, aby bylo možné závadu přiřadit ke správnému zobrazení. Uvádí také místo v kódu aplikace, kde k chybě došlo: ve verzi z obchodu jen adresy v programu (posuny), architekturu procesoru a prvních osm znaků identifikátoru sestavení. Ty označují pouze místo v kódu a nikdy neobsahují nic z toho, co zadáš, naskenuješ nebo uložíš. Pokud se skenování účtenky nezdaří a zobrazí se obrazovka s chybou, shromažďuje se typ chyby, způsob skenování, krok, ve kterém skenování selhalo, a přibližné rozmezí doby čekání (v sekundách), nikdy účtenka ani její obsah. Shromažďují se i pokusy o nákup a jejich výsledek, včetně kódu chyby a podrobnějšího kódu, které vrátí obchod, a také to, zda obrazovku předplatného opustíš bez uzavření předplatného. Události nesou jen pseudonymní hash zařízení, verzi aplikace, platformu a jazyk – nikdy tvoje produkty, data, ceny, obsah účtenek, obsah lednice ani nic, co by tě identifikovalo; analytika nic z toho nikdy neodesílá. Údaje analytiky se zpracovávají na vlastní zprostředkující službě Fanga (Supabase). Nesdílejí se s reklamními sítěmi, nepoužívají se ke sledování napříč aplikacemi a nepoužívají se k profilování ani cílené reklamě. Kdykoli je můžeš zapnout nebo vypnout. Právní základ: tvůj souhlas (čl. 6 odst. 1 písm. a); viz článek 9). Atribuce Apple Search Ads a štítky zdroje instalace v Androidu popsané výše spadají pod stejný souhlas a jsou rovněž vypnuté, dokud analytiku nezapneš.

Dotazník po zrušení. Když zrušíš zkušební období nebo předplatné, Fango se tě jednou zeptá na důvod. Pokud důvod vybereš, odpověď se odešle, i když je analytika vypnutá – samotný výběr odpovědi je rozhodnutím ji odeslat. Bez souhlasu s analytikou nenese odpověď hash zařízení, ale jednorázový náhodný identifikátor, takže ji nelze spojit s tvým zařízením ani s žádnou jinou událostí. Odpověď obsahuje jen vybraný důvod, údaj, zda šlo o zkušební období, nebo předplatné, a to, zda byla naskenována účtenka a zda byl některý produkt označen jako snědený. Přeskočení nic neodesílá. Uchovává se stejně jako analytika (25 měsíců). Právní základ: tvůj souhlas, který udělíš výběrem odpovědi (čl. 6 odst. 1 písm. a) GDPR).

Apple (APNs) – pouze v iOS a jen pokud patříš do domácnosti: služba Push Notification společnosti Apple doručuje zprávu sdílení domácnosti do tvého iPhonu. Zpracovává token oznámení zařízení a obsah zprávy, který nenese vůbec žádný obsah – je to jen signál k probuzení (viz článek 6).

Google (Firebase Cloud Messaging) – tentýž úkol na zařízeních s Androidem a za stejných podmínek. Jde výhradně o přenos zpráv: Fango nepoužívá Firebase Analytics, hlášení pádů Firebase ani žádný reklamní produkt Googlu. Z technických důvodů je knihovna Firebase součástí balíčku aplikace pro iOS, ale nikdy se neinicializuje ani nepoužívá – iPhone se kvůli příjmu oznámení s Googlem nespojuje. Uvádíme to proto, že kdokoli si může balíček aplikace prohlédnout a knihovnu v něm uvidí; podstatné je, že v něm je, ale neběží.

Kromě této vlastní analytiky založené na souhlasu (opt-in) nepoužívá Fango žádné reklamní sítě ani technologie sledování chování.

Další informace: Zásady ochrany soukromí RevenueCat · Zásady ochrany soukromí Supabase · Zásady ochrany soukromí Anthropic · Zásady ochrany soukromí Resend

8 Platné právní předpisy

Fango dodržuje obecné nařízení EU o ochraně osobních údajů (GDPR, nařízení 2016/679), které se přímo uplatňuje ve všech členských státech EU/EHP (27 zemí EU a Island, Lichtenštejnsko a Norsko), a finský zákon o ochraně údajů (1050/2018), který GDPR na vnitrostátní úrovni doplňuje. Hmotněprávní pravidla GDPR – omezení účelu, minimalizace údajů, právní základ, zabezpečení a práva vyjmenovaná v článku 11 – platí jednotně pro všechny uživatele v těchto jurisdikcích bez ohledu na to, ve kterém členském státě žijí nebo v jakém jazyce aplikaci používají.

Údaje, které Fango uchovává na vlastních serverech, jsou minimální a pseudonymní – počítadla proti zneužití a události volitelné analytiky používání popsané v článcích 4 a 7, z nichž žádné tě neidentifikuje jménem – a k tomu údaje domácnosti popsané v článku 5, pokud jsi členem nějaké domácnosti. Pseudonymní údaje jsou podle GDPR stále osobními údaji a tyto zásady s nimi tak zacházejí: vztahují se na ně práva podle článku 11, s výhradou čl. 11 GDPR v případech, kdy záznam s tebou skutečně nedokážeme propojit. Údaje o předplatném zpracovávané službou RevenueCat, přechodný obsah skenování účtenek zpracovávaný službami Supabase a Anthropic a anonymní obsah hlášení chyb doručovaný službou Resend navíc podléhají vlastnímu souladu těchto poskytovatelů s GDPR.

9 Právní základ zpracování

Pokud se v souvislosti s Fangem zpracovávají jakékoli osobní údaje (ať už v zařízení, zprostředkující službou nebo externími poskytovateli uvedenými v článku 7), uplatní se tyto právní základy podle čl. 6 odst. 1 GDPR:

Souhlas (čl. 6 odst. 1 písm. a)). Skenování účtenek (článek 3), odeslání zprávy „Nahlásit problém“ (článek 4), sdílení domácnosti (článek 5) a oznámení domácnosti, která ho doprovázejí (článek 6), se zpracovávají na základě tvého aktivního souhlasu – tyto funkce si výslovně volíš a můžeš je odmítnout tím, že je nepoužiješ. Anonymní analytika používání, atribuce Apple Search Ads a štítky zdroje instalace v Androidu (článek 7) se rovněž zpracovávají jen na základě tvého souhlasu: ve výchozím stavu jsou vypnuté a shromažďují se, jen pokud je zapneš v Nastavení → Soukromí, kde můžeš souhlas kdykoli odvolat.

Odpověď v dotazníku po zrušení – souhlas udělený výběrem odpovědi (čl. 6 odst. 1 písm. a)).

Plnění smlouvy (čl. 6 odst. 1 písm. b)). Stav předplatného Fanga a identifikátor zařízení, se kterými pracuje RevenueCat, se zpracovávají kvůli poskytnutí předplatného koupeného přes App Store nebo Google Play. Nevratný hash zařízení SHA-256 u funkce doporučení přátelům se zpracovává na stejném základě (kvůli přidělení propagačního přístupu, o který požádáš).

Oprávněné zájmy (čl. 6 odst. 1 písm. f)). Pseudonymní počítadla limitů požadavků založená na IP adrese na zprostředkující službě a náhodný identifikátor instalace, ke kterému jsou vázána počítadla skenování, se zpracovávají na základě oprávněného zájmu Fanga předcházet zneužití služby AI a koncového bodu pro hlášení chyb; tento zájem byl poměřen s tvými právy a údaje jsou krátkodobé (intervaly počítadel se automaticky mažou do 48 hodin až 35 dnů, identifikátory instalace do 400 dnů – viz článek 14), nejsou propojené s žádným identifikátorem uživatele a nepoužívají se k žádnému jinému účelu. Anonymní serverová telemetrie (nastavení země, režim, počet produktů, rozpoznaná země účtenky a výsledek rozpoznání – bez IP adresy a bez identifikátoru uživatele) se na stejném základě zpracovává ke sledování kvality služby a ke zlepšování rozpoznávání účtenek v jednotlivých zemích. Záznamy proti zneužití uchovávané po dobu trvání programu doporučení (označení odměněného zařízení, hashe účtů a identifikátor toho, kdo uplatnil kód – článek 7) se opírají o stejný oprávněný zájem zabránit opakovanému získání téže odměny. (Analytika používání v aplikaci, atribuce Apple Search Ads a štítky zdroje instalace v Androidu se naopak opírají o tvůj souhlas – viz výše – a ve výchozím stavu jsou vypnuté.)

Žádné zpracování se neopírá o základy „životně důležitých zájmů“, „úkolu ve veřejném zájmu“ ani „právní povinnosti“. Fango záměrně nezpracovává „zvláštní kategorie osobních údajů“ (čl. 9 GDPR) – omezené okolnosti, za kterých se takové údaje mohou nahodile objevit v obsahu účtenky, popisuje článek 3, a účtenku, kterou se můžeš rozhodnout přiložit k hlášení problému výslovným úkonem a kterou uchováváme, popisuje článek 4.

10 Předávání údajů do zahraničí

Externí poskytovatelé uvedení v článku 7 mohou přechodné údaje popsané v těchto zásadách ukládat nebo zpracovávat na serverech mimo Evropský hospodářský prostor (EHP), mimo jiné ve Spojených státech a v Singapuru. Taková předání jsou podle kapitoly V GDPR přípustná díky těmto zárukám:

Standardní smluvní doložky (SCC). Předání poskytovatelům působícím ve Spojených státech (Anthropic, RevenueCat, Resend) a do datových center Supabase ve Spojených státech nebo v Singapuru se opírají o standardní smluvní doložky Evropské komise (článek 46 GDPR) zveřejněné v dodatku o zpracování údajů každého poskytovatele.

Rozhodnutí o odpovídající ochraně. Pokud Evropská komise pro cílovou zemi vydala rozhodnutí o odpovídající ochraně podle článku 45 GDPR, použije se místo SCC toto rozhodnutí.

Doručování push oznámení. Oznámení sdílení domácnosti doručují Apple (APNs, iOS) a Google (Firebase Cloud Messaging, Android), kteří oba působí celosvětově a údaje popsané v článku 6 zpracovávají podle svých vlastních zásad jako správci. Zpráva nenese vůbec žádný obsah – nikdy počet, název produktu ani člena.

Kopie záruk si můžeš vyžádat na support@fango.fi nebo přímo u každého poskytovatele přes odkazy na zásady ochrany soukromí v článku 7.

11 Tvoje práva podle GDPR

Podle článků 15–22 GDPR máš ve vztahu k osobním údajům, které se o tobě zpracovávají, následující práva. Protože Fango ukládá obsah tvé lednice, statistiky a nastavení v tvém vlastním zařízení a – mimo sdílení domácnosti (článek 5) – nevede na serveru žádnou evidenci osobních údajů (články 2 a 8), uplatňuje se většina těchto práv přímo v tvém zařízení:

Právo na přístup (čl. 15) – Všechny údaje, které o tobě aplikace má, si prohlédneš otevřením aplikace v zařízení. Na serveru mohou existovat jen minimální pseudonymní záznamy popsané v článcích 7 a 14 (počítadla proti zneužití, události volitelné analytiky vázané na hash zařízení a záznamy doporučení přátelům) – a pokud používáš sdílení domácnosti, také údaje domácnosti popsané v článku 5, které celé vidíš přímo v aplikaci; kopii takových záznamů si můžeš vyžádat na support@fango.fi postupem ověření totožnosti popsaným níže.

Právo na opravu (čl. 16) – Libovolný produkt, cenu, datum připomínky nebo nastavení upravíš přímo v aplikaci.

Právo na výmaz (čl. 17) – Všechny místně uložené údaje smažeš v Nastavení → „Nevratné akce“ → „Smazat všechna data aplikace“, nebo odinstalováním aplikace. Oba způsoby údaje natrvalo odstraní; Fango je nedokáže obnovit.

Právo na omezení zpracování (čl. 18) – Vypni volitelné funkce, které odesílají údaje mimo zařízení: nepoužívej skenování účtenek (článek 3), neodesílej formulář „Nahlásit problém“ (článek 4) a nepřipojuj se k domácnosti (článek 5). Zbytek aplikace dál funguje výhradně v zařízení.

Právo na přenositelnost údajů (čl. 20) – Tvoje údaje jsou v tvém zařízení a při sdílení domácnosti jsou sdílené údaje domácnosti také na serveru, kde je každý člen vidí v aplikaci. Fango zatím nenabízí strukturovaný export, ale zálohy zařízení iOS a Android (iCloud / Google) zahrnují místní úložiště aplikace a lze je použít k přenosu na nové zařízení se stejnou platformou.

Právo vznést námitku (čl. 21) – Proti jakémukoli volitelnému zpracování vzneseš námitku tím, že danou funkci (skenování, hlášení) prostě nepoužiješ. Vypnutím oprávnění k oznámením v nastavení zařízení se zastaví místní zpracování připomínek.

Právo nebýt předmětem automatizovaného rozhodování (čl. 22) – Fango nečiní automatizovaná rozhodnutí, která by pro tebe měla právní nebo obdobně významné účinky. Skenování účtenek pomocí AI jen rozpoznává potraviny z obrázku, který aktivně poskytneš; uživatele nehodnotí, neprofiluje ani neřadí.

Právo odvolat souhlas (čl. 7 odst. 3) – Pokud je zpracování založené na tvém souhlasu (článek 9), můžeš ho kdykoli odvolat: u skenování účtenek a odeslání zprávy „Nahlásit problém“ tím, že danou funkci už nepoužiješ; u sdílení domácnosti odchodem z domácnosti (článek 5); u anonymní analytiky používání jejím vypnutím v Nastavení → Soukromí (ve výchozím stavu je vypnutá a shromažďuje se až poté, co ji zapneš). Odvolání nemá vliv na zákonnost zpracování provedeného před ním, ale po odvolání se už mimo zařízení žádné další údaje neodesílají.

Sdílení domácnosti a tvoje práva. Protože je identita v domácnosti už z principu anonymní, nedokážeme tvoje údaje domácnosti dohledat podle e-mailové adresy – identita existuje jen v klíčence tvého zařízení, a to záměrně. Práva se proto uplatňují ze zařízení: Sdílení domácnosti → Opustit domácnost ukončí tvé členství na serveru a stáhne seznamy, které sdílíš, a Nastavení → Smazat všechna data aplikace udělá totéž a potom vše smaže i místně. Pokud odchází poslední člen, domácnost i veškerý její obsah se ze serveru smažou v rámci stejné operace. Platí dvě omezení, která uvádíme rovnou, aby později nebyla překvapením: produkty, které už jsou sdílené do domácnosti, zůstávají zbývajícím členům, a záznam označení nelze filtrovat na „tvoje“ záznamy, protože nikdy nezaznamenává, kdo je vytvořil.

U údajů, které zpracovávají externí poskytovatelé (RevenueCat, Supabase, Anthropic, Resend – viz článek 7), můžeš svá práva uplatnit přímo u každého poskytovatele prostřednictvím kontaktů v jejich zásadách ochrany soukromí, na které odkazuje článek 7.

Pokud máš k těmto právům otázky nebo chceš další informace, napiš na support@fango.fi.

Jak vyřizujeme žádosti. Na žádosti odpovídáme do jednoho měsíce od jejich obdržení (čl. 12 odst. 3 GDPR); u složitých nebo početných žádostí lze tuto lhůtu prodloužit o další dva měsíce a v takovém případě tě o tom informujeme během první lhůty. Odpovědi poskytujeme bezplatně (čl. 12 odst. 5); přiměřený poplatek můžeme účtovat nebo žádost odmítnout jen tehdy, je-li zjevně nedůvodná nebo nepřiměřená, zejména proto, že se opakuje. Protože Fango nevede uživatelské účty, můžeme tě v případě důvodných pochybností o tvé totožnosti požádat o další informace, které postačí k potvrzení tvého vztahu k údajům, jichž se žádost týká (například IP adresa, hash zařízení nebo App User ID služby RevenueCat spojené s danými údaji – čl. 12 odst. 6). Pokud žádný takový identifikátor nelze poskytnout, odpovíme potvrzením, že na serveru nejsou žádné osobní údaje, které by byly s tebou propojené.

12 Právo podat stížnost

Máš právo podat stížnost u dozorového úřadu v členském státě EU svého obvyklého bydliště, místa výkonu práce nebo místa, kde došlo k údajnému porušení GDPR (čl. 77 GDPR).

Fango působí z Finska; příslušným dozorovým úřadem je:

Úřad finského zmocněnce pro ochranu osobních údajů (Tietosuojavaltuutetun toimisto)
Poštovní adresa: PO Box 800, FI-00531 Helsinki, Finsko
Sídlo: Lintulahdenkuja 4, 00530 Helsinki
E-mail: tietosuoja@om.fi
Telefon (ústředna): +358 29 566 6700
Web: tietosuoja.fi

Pokud žiješ v Česku. Článek 77 ti umožňuje podat stížnost u dozorového úřadu země, ve které žiješ, takže se nemusíš obracet do Finska: stížnost můžeš podat u Úřadu pro ochranu osobních údajů (ÚOOU), Pplk. Sochora 27, 170 00 Praha 7, přes web uoou.gov.cz. ÚOOU se v případě potřeby spojí s finským úřadem.

Než se obrátíš na dozorový úřad, můžeš nám svůj problém nejprve napsat na support@fango.fi, ale nemusíš.

Právo na účinnou soudní ochranu (čl. 79). Kromě podání stížnosti u dozorového úřadu máš právo na účinnou soudní ochranu proti právně závaznému rozhodnutí dozorového úřadu (čl. 78), proti správci nebo zpracovateli, který porušil tvá práva, a právo na náhradu škody způsobené porušením GDPR (čl. 82). Takové řízení lze zahájit u soudů členského státu EU, ve kterém má správce nebo zpracovatel provozovnu, nebo ve kterém máš obvyklé bydliště.

13 Zabezpečení

Bezpečnost údajů uložených v tvém zařízení – obsahu lednice, statistik a nastavení – závisí na vlastním zabezpečení zařízení (PIN, heslo nebo biometrické ověření). Požadavky na skenování účtenek a hlášení chyb se přenášejí přes HTTPS. Údaje sdílení domácnosti jsou na serveru chráněné zabezpečením na úrovni řádků vázaným na členství v domácnosti, takže je mohou číst jen členové téže domácnosti; klient nemá u sdílených tabulek oprávnění k mazání a veškerý provoz je šifrovaný (HTTPS/TLS). Doporučujeme:

• udržovat operační systém zařízení aktuální
• používat v zařízení silný PIN nebo biometrický zámek
• zapnout automatické zálohy, pokud si chceš údaje uchovat

14 Doba uchování údajů

Mimo sdílení domácnosti Fango neuchovává obsah tvé lednice, statistiky ani nastavení na žádném serveru: údaje, které v aplikaci vytvoříš, se ukládají výhradně v tvém zařízení a zůstávají tam, dokud si je chceš ponechat – nebo dokud je nesmažeš či aplikaci neodinstaluješ.

Obsah skenování účtenek (binární data obrázku nebo text PDF) se zpracovává přechodně a na našich serverech se neukládá.

Účtenka přiložená k hlášení problému je jedinou výjimkou, a to jen proto, že ji přikládáš záměrně: uchovává se tak dlouho, jak je potřeba pro vývoj a testování skenování účtenek, a pokud nepomůže, po zpracování se smaže. Viditelné osobní údaje se z ní odstraní dřív, než vstoupí do našich testovacích materiálů. Viz článek 4, včetně toho, jak požádat o její smazání.

Údaje sdílení domácnosti. Produkty, nákupní seznamy, záznam označení a společná nastavení domácnosti se uchovávají, dokud má domácnost členy. Když domácnost opustí poslední člen, domácnost a všechny záznamy, které k ní patří, se okamžitě smažou, a to stejnou operací, která ukončuje členství – vyprázdněnou domácnost nenecháváme čekat. Smazání je okamžité, a ne odložené, protože jedinou cestou zpět do prázdné domácnosti by byl neuplatněný kód pozvánky, a kdybychom takový kód přijali, předali bychom lednici člena, který odešel, tomu, kdo kód drží.

Anonymní identita domácnosti. Identita a stav předplatného, který je s ní spojen (článek 5), se při odchodu z domácnosti nemažou hned: uchovávají se, aby se člen, který je znovu pozván, vrátil ke stejné historii domácnosti. Plánovaná úloha identitu, její relace (IP adresa a řetězec user-agent), záznam o předplatném a token oznámení smaže, jakmile platí všechno následující: nemá aktivní členství nebo její členství skončilo před více než 90 dny, nevlastní žádnou domácnost, nemá v žádné domácnosti žádné produkty ani řádky nákupních seznamů a 90 dní nebyla použita. U identity, která se stále používá, maže stejná úloha relace starší než 90 dnů; nejnovější relace zůstává. Když zvolíš Smazat všechna data aplikace, všechny relace identity se na serveru okamžitě zneplatní a identita se odstraní z tvého zařízení. V aktivní domácnosti se smazané produkty a řádky seznamů uchovávají označené jako smazané, aby se smazání dostalo ke všem členům, a ze serveru se odstraňují po 90 dnech.

Tokeny oznámení. Push token zařízení se smaže, když domácnost opustíš, když vypneš oznámení a když Apple nebo Google ohlásí, že platnost tokenu vypršela.

Počítadla proti zneužití (IP adresy). Pseudonymní záznamy limitů požadavků založené na IP adrese automaticky maže plánovaná denní úloha, jakmile už nejsou potřebné pro své časové okno: hodinová počítadla koncových bodů „Nahlásit problém“ a doporučení přátelům se odstraňují přibližně do 48 hodin a počítadla skenování – která hlídají i klouzavý měsíční limit proti zneužití – přibližně do 35 dnů. Záznamy na seznamu blokovaných IP adres spojených se zneužitím se uchovávají jen po dobu nutnou k zabránění tomuto zneužití. Náhodný identifikátor instalace, ke kterému jsou vázána počítadla skenování, se maže 400 dní po svém vytvoření; instalace, která se stále používá, si jednoduše zaregistruje nový, takže se identifikátor obměňuje a nesleduje tě neomezeně dlouho.

Anonymní analytika používání. Pokud analytiku zapneš, agregované události (hash zařízení, verze aplikace, platforma, jazyk; žádné údaje o jídle, účtenkách ani osobní údaje) se ukládají na zprostředkující službě a plánovaná úloha je automaticky maže po 25 měsících. Anonymní telemetrie skenování (země, režim, počet produktů, země účtenky, výsledek rozpoznání – bez IP adresy, bez identifikátoru) se uchovává v krátkodobých serverových protokolech; denní počty podle země, které se z ní sestavují, uchováváme bez časového omezení, protože z nich nelze identifikovat jednotlivé skenování ani žádnou osobu. Odpovědi z dotazníku po zrušení se rovněž uchovávají 25 měsíců.

Záznamy doporučení přátelům. Kódy pozvánek a k nim přiřazené pseudonymní hashe zařízení odstraňuje denní úloha poté, co vyprší (kódy vyprší 30 dní po vytvoření); uplatněný kód se uchovává spolu s App User ID služby RevenueCat toho, kdo ho uplatnil, po celou dobu trvání programu doporučení, protože brání tomu, aby stejný účet uplatnil druhý kód. Ze záznamů o doručených odměnách se identifikátory předplatného odstraní 90 dní po doručení; minimální pseudonymní záznam (hash zařízení, časová razítka a hashe SHA-256 odměněného účtu a účtu, který kód vytvořil) se uchovává po celou dobu trvání programu doporučení, protože vynucuje limit 10 měsíců odměny na zařízení a na účet a brání opakovanému vyzvedávání (viz článek 7).

Hlášení chyb se přeposílají jako e-mail a uchovávají se ve schránce vývojového týmu po dobu nutnou k vyřešení nahlášeného problému.

RevenueCat uchovává údaje týkající se předplatného (stav předplatného a identifikátor zařízení) podle svých vlastních pravidel uchovávání. Anthropic uplatňuje standardní dobu uchování API pro monitorování bezpečnosti a důvěryhodnosti. Resend uchovává metadata o doručení e-mailů podle svých vlastních pravidel. O smazání údajů, které uchovávají, můžeš tyto poskytovatele požádat přímo.

15 Ochrana soukromí dětí

Fango není určeno dětem mladším 13 let a vědomě neshromažďujeme osobní údaje dětí. Fango nemá uživatelské účty a po uživatelích žádného věku nechce jméno, e-mail ani žádné profilové údaje.

Věk digitálního souhlasu (čl. 8 GDPR). Pokud zpracování stojí na souhlasu – volitelná analytika, skenování účtenek, sdílení domácnosti –, může dítě takový souhlas udělit samo až od věku stanoveného jeho zemí: 16 let v Německu, Nizozemsku a Polsku, 15 let v Česku (§ 7 zákona č. 110/2019 Sb.) a ve Francii, 14 let v Itálii a Španělsku a 13 let ve Finsku, Švédsku, Norsku a Dánsku. Pod touto hranicí musí souhlas udělit nebo schválit nositel rodičovské odpovědnosti. Protože Fango nemá registraci, na věk se neptá a nemůže ho ověřit, takže tuto kontrolu nedokáže provést samo – proto je role zákonného zástupce důležitá a proto nic v aplikaci není navrženo tak, aby lákalo děti.

Kromě sdílení domácnosti (viz níže) se mimo zařízení zpracovávají jen minimální pseudonymní údaje popsané v článcích 2–4 a 7 (dočasná počítadla proti zneužití, volitelná anonymní analytika, identifikátory předplatného a doporučení) – žádné z nich není zaměřené na dítě ani se nepoužívá k jeho identifikaci.

Sdílení domácnosti a nezletilí. Domácnost může zahrnovat i nezletilého člena rodiny – společná lednice je nástroj domácnosti a v domácnostech žijí děti. Fango se ani tak neptá na věk a nevede žádný profil, takže nemůže ověřit, kdo je členem; o tom, kdo je pozván a co se v domácnosti sdílí, rozhoduje dospělý, který domácnost vytvořil. Údaje nezletilého člena v domácnosti jsou stejné údaje o jídle jako u kohokoli jiného (článek 5) a záznam označení neobsahuje vůbec žádnou identitu člena.

Pokud jsi rodič nebo zákonný zástupce a myslíš si, že tvé dítě aplikaci používalo, všechny místní údaje smažeš odinstalováním aplikace nebo volbou „Smazat všechna data aplikace“ v Nastavení. Pokud si myslíš, že můžeme mít na serveru pseudonymní záznam spojený s dítětem, napiš na support@fango.fi a smažeme ho.

16 Obyvatelé Kalifornie (CCPA / CPRA)

Pokud žiješ v Kalifornii, dává ti kalifornský zákon o ochraně soukromí spotřebitelů (CCPA) ve znění zákona California Privacy Rights Act (CPRA) konkrétní práva týkající se tvých osobních údajů.

Kategorie shromažďovaných informací. Fango na svých serverech neshromažďuje informace, které by tě identifikovaly (viz články 2–4 a 7). Zpracovávat se mohou jen tyto kategorie: (a) obchodní informace (stav předplatného, se kterým pracují Apple App Store / Google Play a RevenueCat); (b) identifikátory: pseudonymní IP adresy používané výhradně k prevenci zneužití pomocí limitů požadavků (automaticky mazané do 48 hodin až 35 dnů), náhodný identifikátor instalace používaný výhradně k počítání skenování (vzniká při prvním skenování, maže se do 400 dnů – článek 3) a pseudonymní hash zařízení spolu s App User ID služby RevenueCat používaný volitelnou funkcí doporučení přátelům (článek 7); (c) pseudonymní, agregované události analytiky používání (hash zařízení, verze aplikace, platforma a jazyk – žádné osobní údaje, žádné produkty ani obsah účtenek), shromažďované jen s tvým souhlasem a kdykoli vypnutelné v Nastavení; viz článek 7; a (d) pokud se připojíš k domácnosti, údaje o jídle domácnosti a přezdívka, kterou si zvolíš, popsané v článku 5, anonymní identita domácnosti se s ní spojeným stavem předplatného a token oznámení (článek 6).

Žádný prodej, žádné sdílení, žádná cílená reklama. Fango tvé osobní údaje neprodává ani nesdílí a nepoužívá je pro behaviorální reklamu napříč kontexty. Odkaz „Do Not Sell or Share My Personal Information“ není potřeba, protože k žádné takové činnosti nedochází.

Tvoje práva podle CCPA/CPRA. Máš právo vědět, jaké údaje se zpracovávají, právo na jejich výmaz a opravu, právo omezit použití citlivých osobních údajů a právo na rovné zacházení při uplatňování těchto práv. Protože Fango ukládá tvoje údaje v tvém vlastním zařízení (a údaje sdílení domácnosti také na serveru domácnosti – viz článek 11), uplatníš právo vědět a právo na výmaz přímo přes Nastavení → „Smazat všechna data aplikace“ nebo odinstalováním aplikace. U údajů, které uchovávají externí poskytovatelé (článek 7), se obrať přímo na každého z nich.

Dotazy: support@fango.fi.

17 Další jurisdikce

Fango je dostupné v mnoha zemích. Architektura bez účtů s ukládáním v zařízení popsaná v těchto zásadách platí jednotně pro všechny uživatele bez ohledu na jejich polohu. Pokud místní předpisy o ochraně soukromí přiznávají práva nad rámec výše uvedených, respektujeme je v rozsahu, který postupy Fanga při práci s údaji umožňují. Zejména:

Spojené království (UK GDPR). Platí stejná práva, jaká popisují články 10 a 11; stížnost lze podat u britského úřadu Information Commissioner's Office (ICO).

Švýcarsko (revidovaný zákon FADP). Platí obdobná práva; stížnost lze podat u Federal Data Protection and Information Commissioner (FDPIC).

Další zákony o ochraně soukromí v amerických státech (Virginia VCDPA, Colorado CPA, Connecticut CTDPA, Utah UCPA, Texas TDPSA, Oregon OCPA a další, jak nabývají účinnosti). Fango neprodává osobní údaje, nepoužívá cílenou reklamu a neprovádí profilování, které by mělo právní nebo obdobně významné účinky. Právo na výmaz a na přístup se uplatňuje v zařízení, jak popisuje článek 11.

Turecko (KVKK / zákon č. 6698). Fango podporuje formáty tureckých účtenek. Hmotněprávní povinnosti podle KVKK (minimalizace údajů, omezení účelu, zabezpečení) splňuje výše popsaná architektura se zabudovanou ochranou soukromí. Při uplatnění práv subjektu údajů podle článku 11 KVKK se použije postup výmazu v zařízení podle článku 11; u zbývajících údajů třetích stran se obrať přímo na poskytovatele uvedené v článku 7.

Nový Zéland (Privacy Act 2020), Singapur (PDPA), Izrael (zákon o ochraně soukromí 5741-1981). Zásady společné těmto režimům – omezení účelu, minimalizace údajů, bezpečnostní záruky a práva na přístup, opravu a výmaz – splňuje model ukládání Fanga v zařízení. Obyvatelé Izraele mohou uplatnit práva podle § 15 PPL; obyvatelé Singapuru se mohou kvůli zbývajícím údajům obrátit na poskytovatele uvedené v článku 7.

Kanada (PIPEDA), Austrálie (Privacy Act 1988), Brazílie (LGPD), Japonsko (APPI), Jižní Korea (PIPA), Jihoafrická republika (POPIA), Indie (Digital Personal Data Protection Act 2023), Mexiko (LFPDPPP), Argentina (PDPA), Thajsko (PDPA) a další jurisdikce. Architektura Fanga se zabudovanou ochranou soukromí (žádné uživatelské účty, jen analytika na základě souhlasu, žádné sledování chování, žádný prodej údajů) splňuje hmotněprávní požadavky těchto režimů. Pokud místní právo přiznává další práva nebo prostředky nápravy nad rámec těchto zásad, respektujeme je v rozsahu, který je při minimu údajů na serveru rozumně možný. Pokud potřebuješ další informace specifické pro svou jurisdikci, napiš na support@fango.fi.

18 Web (fango.fi)

Články 1–17 popisují aplikaci Fango. Tento článek popisuje web fango.fi včetně blogu. Web je provozován odděleně od aplikace, nesdílí s ní žádné údaje a neshromažďuje nic, co by tě identifikovalo.

Žádné cookies, žádné reklamní sledovače. Web nenastavuje žádné cookies a nenačítá žádné reklamní, sociální ani profilovací skripty. Proto tu není ani žádná lišta s cookies, kterou by bylo nutné přijmout nebo odmítnout.

Statistiky návštěvnosti. Zobrazení stránek a klepnutí na tlačítka ke stažení počítá GoatCounter, analytická služba bez cookies. Nenastavuje cookies, neukládá IP adresy a nesleduje návštěvníky napříč weby. Dostáváme jen souhrnné počty – zobrazení stránek a klepnutí na tlačítka podle stránky, odkazující web a hrubé kategorie prohlížeče a země – nikdy historii procházení jednotlivého návštěvníka. Vlastní prohlášení GoatCounteru o ochraně soukromí najdeš na goatcounter.com/help/privacy.

Měření odkazů ke stažení. Když klepneš na odkaz k instalaci aplikace, fango.fi/get/ tě přesměruje do App Storu nebo Google Play a zapíše jeden řádek do serverového protokolu: čas, ve kterém článku a na kterém místě stránky se odkaz nacházel, typ zařízení (Android, iPhone nebo počítač), hrubou rodinu prohlížeče a operačního systému s hlavní verzí prohlížeče, například Safari18/iOS, a technické zařazení, zda klepnutí vypadá jako od člověka, nebo od automatického programu. Nezaznamenává se IP adresa, cookie, identifikátor ani úplný řetězec prohlížeče, takže záznamy nelze propojit mezi sebou ani s tebou. Jedinou výjimkou jsou programy, které se samy označují za crawlery, a zjevně podvržené řetězce prohlížeče – u nich se ukládá zkrácený řetězec prohlížeče kvůli ladění filtrování. Používáme to výhradně ke zjištění, které články vedou lidi k instalaci aplikace. Tyto záznamy se automaticky mažou po 90 dnech. Odkaz do obchodu, na který tě přesměrujeme, nese stejný štítek kampaně na úrovni článku; Apple a Google ho zpracovávají ve vlastní analytice obchodu podle svých zásad ochrany soukromí (viz článek 7) – identifikuje článek, ne tebe.

Jediná věc uložená v tvém zařízení. Pokud zavřeš lištu ke stažení zobrazenou dole v článku blogu, uloží se do místního úložiště tvého prohlížeče jediný příznak s názvem fango_sticky_dismissed, aby lišta zůstala zavřená i při dalších návštěvách. Neobsahuje žádný identifikátor, nikam se neodesílá a kdykoli ho můžeš odstranit v nastavení dat webů ve svém prohlížeči.

Smart App Banner společnosti Apple. Na iPhonu může Safari v horní části stránky zobrazit vlastní banner aplikace od společnosti Apple. Tento banner generuje Apple ze standardní značky v našich stránkách; jakákoli interakce s ním probíhá mezi tvým zařízením a společností Apple a my ji nevidíme.

Hosting. Jako každý web je i fango.fi poskytován hostingovou společností (Hostingpalvelu Oy, Finsko), jejíž webový server uchovává standardní přístupové protokoly s IP adresami pro účely zabezpečení a řešení problémů. Tyto protokoly uchovává poskytovatel podle svých vlastních pravidel; my je nepoužíváme k analytice, profilování ani marketingu.

Právní základ. Souhrnné statistiky a protokol odkazů ke stažení se opírají o oprávněný zájem (čl. 6 odst. 1 písm. f)) na pochopení, který obsah je užitečný a zda web funguje správně – zájem vyvážený tím, že se neshromažďují žádné osobní údaje. Příznak v místním úložišti je nezbytně nutný k poskytnutí funkce, o kterou žádáš (aby zavřená lišta zůstala zavřená), a proto podle směrnice o soukromí a elektronických komunikacích nevyžaduje souhlas.

19 Změny těchto zásad

Tyto zásady ochrany osobních údajů můžeme čas od času aktualizovat. V takovém případě aktualizujeme datum účinnosti v horní části této stránky. Doporučujeme zásady pravidelně procházet, zejména před použitím nové verze aplikace.

Další používání Fanga po zveřejnění změn znamená, že s aktualizovanými zásadami souhlasíš. Pokud jsou změny významné, vynaložíme přiměřené úsilí, abychom uživatele upozornili (například oznámením v aplikaci).

20 Kontakt

S dotazy nebo žádostmi týkajícími se ochrany soukromí se na nás obrať:

E-mail: support@fango.fi

Na všechny dotazy týkající se ochrany soukromí se snažíme odpovědět do 30 dnů.