Ochrana osobních údajů

1. Správce osobních údajů

Správcem vašich osobních údajů je:

• Název: Gorat Alpha s.r.o.
• IČ: 23963085
• Sídlo: Dlouhá 727/39, Staré Město, 110 00 Praha 1
• Email: info@gorat.ai

Tato Zásada ochrany osobních údajů (dále jen "Zásada") popisuje, jak zpracováváme vaše osobní údaje v souladu s Nařízením EU 2016/679 (GDPR) a zákonem č. 110/2019 Sb. o zpracování osobních údajů.

2. Jaké osobní údaje zpracováváme

2.1 Registrační a přihlašovací údaje

Při registraci a přihlášení zpracováváme následující údaje:

• Email - pro přihlášení a komunikaci
• Telefonní číslo - pro ověření identity pomocí SMS kódu
• Jméno a příjmení (pokud poskytnuto přes Google účet)
• Google účet ID - při přihlášení přes Google OAuth
• Datum registrace
• IP adresa při registraci (bezpečnostní účely)

2.2 Platební údaje

Pro zpracování plateb používáme Stripe (web) a Apple App Store (iOS aplikace). Zpracováváme:

• Fakturační jméno a adresa
• IČO / DIČ / VAT ID (pokud poskytnuto)
• Stripe Customer ID - pro správu předplatného na webu
• Apple App Store transakce - pro nákupy v iOS aplikaci
• Historie plateb - faktury, datum, částka

⚠️ Údaje platební karty NEUKLÁDÁME - jsou zpracovány přímo Stripe nebo Apple a nikdy se k nám nedostanou.

2.3 Údaje o používání služby

• Historie AI generování - typ obsahu, prompt, parametry, timestamp
• Kreditový účet - stav kreditů, transakce, vypršení
• Vstupní data - nahrané obrázky a audio pro zpracování AI
• Výstupy - vygenerované obrázky, videa a audio (uložené na Cloudflare R2)
• Logs - technické logy pro debugging (IP, browser, timestamp)

2.4 Údaje z iOS aplikace

• Identifikátor zařízení - pro správu předplatného
• App Store transakce - ID nákupu, typ produktu, datum
• Verze aplikace a OS - pro technickou podporu

2.5 Cookies a analytika

Detailní informace o používání cookies najdete v našich Zásadách používání cookies.

3. Účel zpracování osobních údajů

Vaše osobní údaje zpracováváme pro následující účely:

3.1 Provoz služby (smluvní základ)

• Autentizace a správa účtu
• Poskytování AI generování přes poskytovatele AI služeb
• Správa kreditového systému (FEFO alokace)
• Ukládání výstupů na Cloudflare R2
• Technická podpora

3.2 Zpracování plateb (smluvní základ)

• Zpracování předplatného a jednorázových nákupů
• Vystavování faktur
• Správa rolloverů a vypršení kreditů
• Prevence podvodů a chargeback fraudu

3.3 Právní povinnosti

• Účetnictví a daňová evidence (uchovávání faktur 10 let)
• Splnění požadavků finančních úřadů
• Odpověď na soudní příkazy

3.4 Oprávněný zájem

• Zabezpečení platformy a prevence zneužití
• Analýza výkonu AI modelů a optimalizace
• Statistické zpracování (anonymizované agregované údaje)

3.5 Souhlas

• Marketingová komunikace (novinky, tipy) - pouze po výslovném souhlasu
• Analytické cookies - volitelné, lze odmítnout

4. Právní základ zpracování (GDPR čl. 6)

• Plnění smlouvy (čl. 6 odst. 1 písm. b) - poskytování AI generování, správa účtu
• Právní povinnost (čl. 6 odst. 1 písm. c) - účetnictví, daně
• Oprávněný zájem (čl. 6 odst. 1 písm. f) - bezpečnost, prevence podvodů
• Souhlas (čl. 6 odst. 1 písm. a) - marketing, analytické cookies

5. Sdílení údajů s třetími stranami

Pro zajištění plnohodnotného provozu Služby sdílíme vaše údaje s těmito důvěryhodnými partnery:

5.1 Google (přihlášení)

• Účel: Přihlášení přes Google OAuth
• Údaje: Email, jméno, Google user ID
• Sídlo: USA (GDPR-compliant)
• Zásady: policies.google.com/privacy

5.2 Bulkgate (SMS ověření)

• Účel: Zasílání SMS ověřovacích kódů
• Údaje: Telefonní číslo
• Sídlo: EU (Česká republika)
• Zásady: bulkgate.com/privacy-policy

5.3 Stripe, Inc.

• Účel: Zpracování plateb a fakturace (webová verze)
• Údaje: Jméno, adresa, IČO, historie plateb
• Sídlo: USA (GDPR-compliant)
• Zásady: stripe.com/privacy

5.4 Apple Inc. (App Store)

• Účel: Zpracování plateb v iOS aplikaci (In-App Purchases)
• Údaje: Apple ID, historie nákupů, identifikátor transakce
• Sídlo: USA (GDPR-compliant)
• Zásady: apple.com/legal/privacy

5.5 RevenueCat, Inc.

• Účel: Správa předplatného v iOS aplikaci
• Údaje: User ID, historie nákupů, stav předplatného
• Sídlo: USA (GDPR-compliant)
• Zásady: revenuecat.com/privacy

5.6 Poskytovatelé AI služeb

• Účel: AI generování obrázků, videí a audio obsahu
• Údaje: Prompty, vstupní soubory, parametry generování
• Sídlo: USA a EU (všichni GDPR-compliant)
• Poznámka: Využíváme více specializovaných AI poskytovatelů pro zajištění nejlepší kvality služeb

5.7 Cloudflare, Inc.

• Účel: Ukládání vygenerovaných výstupů (R2 Object Storage)
• Údaje: Vygenerované obrázky a videa (veřejně přístupné URL)
• Sídlo: USA (GDPR-compliant)
• Zásady: cloudflare.com/privacy

5.8 Vercel Inc. (hosting)

• Účel: Hosting aplikace a databáze
• Údaje: Veškerá data uložená v databázi (PostgreSQL)
• Sídlo: USA (GDPR-compliant)
• Zásady: vercel.com/legal/privacy-policy

5.9 Upstash (Redis cache)

• Účel: Rate limiting a cache
• Údaje: Dočasné session tokeny, IP adresy
• Sídlo: EU (Frankfurt)
• Zásady: upstash.com/trust/privacy

⚠️ Přenos do USA: Některé služby sídlí v USA. Všichni naši partneři jsou však GDPR-compliant a používají standardní smluvní doložky (SCC) schválené EU.

6. Doba uchovávání osobních údajů

• Účetní data (faktury): 10 let (zákonná povinnost)
• Údaje účtu: Do smazání účtu + 30 dní (záložní backup)
• Historie generování: Do smazání účtu nebo na vyžádání
• Výstupy (R2 storage): Trvale (dokud je nesrušíte)
• Logs a bezpečnostní záznamy: 90 dní
• Marketingové souhlasy: Do odvolání nebo 3 roky bez aktivity

7. Vaše práva podle GDPR

Jako subjekt údajů máte následující práva:

7.1 Právo na přístup (čl. 15)

Můžete požádat o kopii všech osobních údajů, které o vás zpracováváme. Odpovíme do 30 dní.

7.2 Právo na opravu (čl. 16)

Můžete opravit nesprávné nebo neúplné údaje ve svém účtu nebo nás kontaktovat.

7.3 Právo na výmaz - "právo být zapomenut" (čl. 17)

Můžete požádat o smazání účtu a všech osobních údajů. Výjimky: Údaje nutné pro účetnictví (faktury) musíme uchovat 10 let.

7.4 Právo na omezení zpracování (čl. 18)

Můžete požádat o dočasné pozastavení zpracování údajů (např. při sporném zpracování).

7.5 Právo na přenositelnost (čl. 20)

Můžete získat své údaje ve strojově čitelném formátu (JSON export).

7.6 Právo vznést námitku (čl. 21)

Můžete vznést námitku proti zpracování na základě oprávněného zájmu (marketingová komunikace).

7.7 Právo podat stížnost

Pokud se domníváte, že porušujeme GDPR, můžete podat stížnost u dozorového úřadu:

• Úřad pro ochranu osobních údajů (ÚOOÚ)
• Pplk. Sochora 27, 170 00 Praha 7
• Email: posta@uoou.cz
• Web: uoou.cz

Jak uplatnit práva?

Napište nám na info@gorat.ai s uvedením, jakého práva se domáháte. Odpovíme do 30 dní (v komplikovaných případech 60 dní s odůvodněním).

8. Zabezpečení osobních údajů

Implementovali jsme následující bezpečnostní opatření:

• Šifrování dat: TLS 1.3 pro přenos, AES-256 pro úložiště
• Přístupová kontrola: SMS OTP ověření a bezpečné session tokeny
• Database security: Prisma ORM prevence SQL injection
• Rate limiting: Ochrana proti brute-force útokům
• Regular audits: Pravidelné bezpečnostní audity kódu
• Backup: Automatické zálohy s 30denní retencí

Při podezření na narušení zabezpečení vás informujeme do 72 hodin a nahlásíme incident ÚOOÚ.

9. Ochrana dětí

Naše služba není určena pro osoby mladší 18 let. Vědomě neshromažďujeme údaje o dětech. Pokud zjistíme, že jsme omylem zpracovali údaje nezletilého, okamžitě je smažeme.

10. Změny těchto zásad

Tuto Zásadu můžeme kdykoliv aktualizovat. O významných změnách vás informujeme emailem alespoň 30 dní předem.

11. Kontakt

• Email: info@gorat.ai
• Adresa: Gorat Alpha s.r.o., Dlouhá 727/39, Staré Město, 110 00 Praha 1