Zásady ochrany osobních údajů — Step Swap

Verze: 2.4 · Datum účinnosti: 2026-11-02

Step Swap pomáhá lidem s různými velikostmi bot najít si paru a vyměnit boty. Tyto zásady vysvětlují, jaké osobní údaje zpracováváme a jaká máte vůči nim práva.

Správce údajů: Vitalii Bartashchuk (fyzická osoba podnikající, živnostník), sídlo podnikání Za vodou 161/2, 032 03 Liptovský Ján, Slovenská republika, IČO 54225337 (živnostenský rejstřík: Živnostenský register Okresného úradu Liptovský Mikuláš, č. 540-24297). Kontakt: info@vaet.sk, telefon: +421 952 681 072. Nepověřili jsme pověřence pro ochranu osobních údajů (DPO); v záležitostech ochrany soukromí kontaktujte info@vaet.sk.

1. Údaje, které shromažďujeme

Neprodáváme vaše osobní údaje.

Poskytnutí velikostí bot je nutné pro párování; adresa a telefon jsou nutné pro doručení výměny. Bez nich můžete aplikaci používat, ale výměnu nedokončíte.

2. Jak je používáme

• Vytvoření účtu a přihlášení (přihlášení Google nebo Apple, nebo jednorázový odkaz či kód, který vám zašleme na vaši e-mailovou adresu).
• Párování s ostatními členy podle velikosti bot (styl je signálem pro řazení).
• Chat a tok výměny bot.
• Generování přepravních štítků pro výměnu (adresa + telefon sdílíme s naším partnerem pro doručení pouze pro výměnu, kterou zahájíte).
• Vybírání poplatku za doručení za výměnu, kde je to vhodné (údaje karty zadáváte u hostovaného checkoutu Stripe a nikdy se nedostanou na naše servery; ukládáme pouze stav platby, částku a identifikátory Stripe).
• Diagnostika pádů (hlášení jsou očištěna od adresy, telefonu, jména a textu zpráv).
• Udržování bezpečnosti webu: automatická bezpečnostní hlášení z vašeho prohlížeče, zredukovaná podle §10, předáváme službě Sentry, abychom mohli najít a opravit to, co naše bezpečnostní pravidla blokují.
• Vyřizování žádostí o podporu, sporů a prověrek v oblasti důvěry a bezpečnosti. K tomu mohou naši administrátoři pro důvěru a bezpečnost nahlédnout do vašeho účtu v režimu pouze pro čtení (viz §6).
• Agregované pochopení používání pro zlepšování aplikace.
• Před přihlášením můžete procházet úvodní stránku, vyhledávat podle velikosti bot a vidět anonymizované počty shod a ukázky, stejně jako veřejné sazby za doručení. Vyhledávání podle velikosti se odesílá na naše servery pouze pro výpočet náhledů a neukládá se, dokud se nepřihlásíte; čekající velikosti mohou být do té doby v sessionStorage prohlížeče. Ukázky nikdy neobsahují jméno, fotografie, e-mail, adresu ani telefon.
• Pokud se zapíšete na čekací seznam velikostí, jednou vám pošleme e-mail, až se zaregistruje člen s odpovídající velikostí. Na tuto adresu nic jiného neposíláme — žádný newsletter, žádnou reklamu — a každý e-mail obsahuje odkaz pro odhlášení.
• Pokud vás pozveme k cenové otázce ke smíšeným párům, zeptáme se vás, zda byste si nechali sestavit smíšený pár a za jaký servisní poplatek, abychom mohli posoudit zájem dříve, než takovou službu vytvoříme nebo nabídneme. Nic se přes ni neprodává, neobjednává ani neúčtuje. Při výběru, koho pozveme, používáme údaje, které už jsou ve vašem profilu: vaše velikosti bot a na které chodidlo nosíte, modely, které jste označili jako vlastněné nebo hledané, a naše kontroly blokování, podvodů (sybil) a propojených účtů, abychom pozvali jen dva členy, jejichž velikosti se navzájem zrcadlí. Vaše odpovědi se nikdy nezobrazují ostatním členům.
• Zobrazení typické nápovědy k poplatku za výměnu podle jazykové oblasti prohlížeče — nepoužíváme GPS ani přesnou polohu.
• Nepoužíváme automatizované rozhodování s právními nebo obdobně významnými účinky — párování podle velikosti je nezávazný návrh, na který se rozhodnete reagovat.

3. Právní základy (GDPR)

Pro různé účely se opíráme o různé základy (čl. 6 GDPR):

• Plnění smlouvy (čl. 6 odst. 1 písm. b)) — váš účet, přihlášení (přes Google, Apple nebo jednorázový odkaz či kód zaslaný na vaši e-mailovou adresu), párování, chat, tok výměny, přepravní štítky a poplatek za výměnu. Přihlášení je způsob, jak službu poskytujeme, proto stojí na smlouvě, ne na souhlasu.
• Souhlas (čl. 6 odst. 1 písm. a)) — volitelná diagnostika pádů/chyb, jakékoli neesenciální analytika nebo ukládání (viz §10) a e-mail z čekacího seznamu velikostí, k jehož odběru se přihlásíte (odhlášením souhlas odvoláváte). Souhlas můžete kdykoli odvolat.
• Výslovný souhlas se zvláštní kategorií údajů (čl. 9 odst. 2 písm. a) — Pokud botu nosíš jen na jedné noze, tento údaj k párování použijeme až po výslovném souhlasu v aplikaci. Na cenovou otázku o smíšených párech tě pozveme, jen pokud jsi předem v Profil → Nastavení souhlasil(a), že k tomu smíme použít rozdíl mezi velikostí tvé levé a pravé boty; odpověď (i velikosti u ní) uložíme jen s tímto souhlasem. Kterýkoli souhlas můžeš odmítnout nebo kdykoli odvolat v Profil → Nastavení: pak ho přestaneme používat a u cenové otázky smažeme tvůj řádek včetně uložených velikostí.
• Oprávněné zájmy (čl. 6 odst. 1 písm. f)) — udržení bezpečnosti služby, prevence zneužití a podvodů a ladění; vyváženo s vašimi právy. Patří sem i zredukovaná bezpečnostní hlášení popsaná v §10. Patří sem i to, že naši administrátoři pro důvěru a bezpečnost nahlížejí do účtu člena v režimu pouze pro čtení, aby vyřídili žádosti o podporu, spory a prověrky v oblasti důvěry a bezpečnosti, a také záznam, který o těchto nahlédnutích vedeme (viz §5 a §6). Patří sem i cenová otázka ke smíšeným párům (§2): náš zájem zjistit, zda by si členové chtěli nechat sestavit smíšený pár a za jaký servisní poplatek, dříve než tuto službu vytvoříme nebo nabídneme. Odpověď je dobrovolná a otázku můžete ignorovat nebo skrýt. Kdykoli můžete vznést námitku v aplikaci („Už se mě neptejte“) nebo e-mailem na info@vaet.sk a my pak vaše odpovědi smažeme.
• Právní povinnost (čl. 6 odst. 1 písm. c)) — uchovávání záznamů o platbách a doručení pro daňové a účetní účely (viz §5).

4. S kým je sdílíme

Zpracovatelé jednající podle našich pokynů: Supabase (autentizace, databáze, úložiště avatarů, hosting), Sightengine (automatická kontrola volitelných profilových avatarů na explicitní/urážlivý obsah před uložením; obrázky se na analýzu odešlou Sightengine a podle jejich pravidel se při volání API neuchovávají dlouhodobo), Google (přihlášení), Apple (přihlášení přes Apple; při Skrýt můj e-mail přeposílá relay Apple naše e-maily na vaši skutečnou adresu), Sentry (diagnostika chyb/pádů bez identifikovatelných osobních údajů; pouze ve webové verzi maskované záznamy relací u chyb — veškerý text, vstupy a média maskována; nainstalovaná aplikace záznamy relací nevytváří; na webu také zredukovaná hlášení o bezpečnostních pravidlech, která nevyžadují souhlas (viz §10)), přepravce obsluhující vaši trasu (v současnosti Packeta/Zásielkovňa pro Slovensko/střední Evropu; Sendcloud se svým dopravcem, např. Österreichische Post, pro Rakousko/západní Evropu; Packlink pro zásilky odesílané z Německa, Posti z Finska, Hrvatska pošta z Chorvatska a Econt z Bulharska) (jméno příjemce, adresa, telefon a u doručení domů e-mail — pro vygenerování štítku a doručení zásilky), Resend (doručování e-mailů: přihlašovací odkazy a kódy, oznámení k výměnám, e-maily o shodě z čekacího seznamu velikostí, potvrzení odstoupení a provozní upozornění našemu vlastnímu týmu; Resend zpracovává e-mailovou adresu příjemce a obsah každé zprávy a zprávy i protokoly o doručení uchovává v USA), a Vercel (webhosting a analytika šetrná k soukromí).

Samostatní správci. Stripe zpracovává poplatek za doručení za výměnu a údaje vaší karty zpracovává jako vlastní správce podle svých vlastních zásad ochrany osobních údajů — číslo vaší karty nikdy nevidíme a dostáváme pouze stav platby, částku a identifikátory transakce. U této platby o použití údajů vaší karty rozhoduje Stripe, nikoli Step Swap.

Ostatní členové vidí pouze vaše zobrazené jméno, avatar, velikosti a styly. Poštovní adresa a telefonní číslo nejsou zobrazeny ostatním členům — používají se pouze pro generování přepravního štítku a sdílí se s dopravcem pro doručení zásilky.

5. Uchovávání údajů

• Token pro odvolání Apple — uchováváme jej pouze proto, abychom mohli při smazání vašeho účtu požádat Apple o odvolání přístupu Step Swap (Apple to vyžaduje); nikdy se nepoužívá ke čtení dat, není čitelný pro ostatní členy ani pro aplikaci a maže se spolu s vaším účtem.
• Profil a obecné údaje účtu — váš profil (jméno, avatar, velikosti bot, styl), kontaktní údaje a push tokeny, stejně jako chat, který nebyl součástí výměny, jež dosáhla fáze platby nebo přepravního štítku — po dobu aktivního účtu a po smazání účtu neprodleně odstraněny (viz §7), s výjimkou omezené vazby identity, kterou uchováváme se záznamy níže.
• Záznamy o platbách, doručení a výměnách — musíme uchovávat fakturační a transakční záznamy podle slovenského daňového a účetního práva, obvykle až 10 let, i po smazání účtu. Protože takový záznam musí identifikovat dotčenou osobu — aby platbu bylo možné přiřadit osobě, která ji provedla, pro účetnictví, chargebacky a podvody — uchováváme je s omezenou vazbou na vaši identitu po tuto dobu; přístup je omezen na tyto účely. Právní základy: právní povinnost (čl. 6 odst. 1 písm. c)) a náš oprávněný zájem na bezpečné službě bez podvodů (čl. 6 odst. 1 písm. f)).
• Chat u placených/odeslaných výměn — u výměny, která dosáhla fáze platby nebo doručení, uchováváme i vyměněné chatové zprávy pro tuto výměnu s omezenou vazbou na identitu až 3 roky (obecná promlčecí lhůta podle slovenského práva) po smazání účtu — a déle pouze po dobu otevřeného sporu, právního nároku nebo žádosti orgánu — poté jsou smazány. Uchovávány s omezeným přístupem a používány pouze pro hlášení, spory, podvody a právní nároky. Právní základ: oprávněný zájem na bezpečné službě bez podvodů a na určení, výkonu nebo obhajobě právních nároků (čl. 6 odst. 1 písm. f) GDPR). Čl. 17 odst. 3 písm. e) GDPR není právním základem zpracování; je to výjimka, která nám umožňuje tyto údaje uchovat i přes žádost o výmaz, a to pro tytéž nároky.
• Protokol zpráv podpory — když člen našeho týmu podpory vloží zprávu do chatu, aby pomohl vyřešit problém, zaznamenáváme, který pracovník tak učinil a kdy — kontrolní záznam o úkonech podpory (nepřidává o vás žádné nové osobní údaje nad rámec samotného chatu). Tento záznam uchováváme až 3 roky, není čitelný pro členy a — protože zaznamenává úkon pracovníka — uchovává se i tehdy, pokud tento pracovník později odejde. Právní základ: náš oprávněný zájem na odpovědné službě odolné vůči zneužití (čl. 6 odst. 1 písm. f) GDPR).
• Záznam o přístupu pracovníků — když některý z našich administrátorů pro důvěru a bezpečnost vyhledává členy nebo otevře účet člena (viz §6), zaznamenáme, který administrátor to udělal, kdy, o který účet šlo, kterou jeho část si prohlédl, důvod, který uvedl, a hledané výrazy, které použil. Záznam uchováváme až 3 roky, není čitelný pro členy a uchovává se i tehdy, pokud tento administrátor později odejde. Pokud požádáte o kopii svých údajů (čl. 15 GDPR), obdržíte i záznamy týkající se vašeho účtu. Právní základ: náš oprávněný zájem na odpovědné službě, která umí doložit, kdo si údaje členů prohlížel a proč (čl. 6 odst. 1 písm. f) GDPR).
• Diagnostika — chybová hlášení uchováváme po omezenou dobu (obvykle až 90 dní) a neobsahují adresu, telefon, jméno ani text zpráv.
• Čekací seznam velikostí — smazán do jednoho dne po vašem odhlášení, 30 dní poté, co byla nalezena shoda a poslali jsme vám o ní e-mail, a nejpozději 12 měsíců po vašem zapsání.
• Cenová otázka ke smíšeným párům — vaše odpovědi spolu s modelem, velikostmi a poplatky, které se vám zobrazily, se smažou 12 měsíců po uzavření otázky (uzavře se 14 dní poté, co jsme vám ji poslali), bez ohledu na to, zda jste odpověděli, nebo dříve, pokud smažete svůj účet. Právní základ: náš oprávněný zájem (čl. 6 odst. 1 písm. f) GDPR, viz §3).
• Počítadla proti zneužití — abychom omezili spam a zneužívání, počítáme, jak často se určité úkony (například zprávy, nahlášení, vyhledávání nebo zápisy do čekacího seznamu) provedou v krátkém časovém okně, a po dosažení limitu další pokusy odmítneme. Počítadlo obsahuje úkon, počet a začátek časového okna spolu s ID vašeho účtu — nebo, pokud nejste přihlášeni, s hashem vaší IP adresy místo samotné adresy (u online formuláře pro odstoupení: ID vašeho účtu nebo e-mailovou adresu, kterou jste zadali). Každé počítadlo se automaticky smaže nejpozději 3 dny po začátku svého časového okna. Právní základ: náš oprávněný zájem na bezpečné službě bez zneužívání (čl. 6 odst. 1 písm. f) GDPR).

6. Zabezpečení

Údaje jsou šifrovány při přenosu i v klidu. Přístup k databázi používá zabezpečení na úrovni řádků (row-level security), takže člen může číst pouze vlastní údaje a údaje osob, se kterými sdílí chat; přístup k našim systémům je omezen na nezbytné pro provoz služby. Pokud porušení ochrany osobních údajů pravděpodobně ohrozí vaše práva, oznámíme vám to i slovenskému úřadu pro ochranu osobních údajů (Úrad na ochranu osobných údajov SR), jak vyžaduje GDPR.

Přístup pracovníků k účtům členů mají pouze naši administrátoři pro důvěru a bezpečnost. Aby administrátor mohl otevřít účet člena, musí se přihlásit s druhým faktorem (kódem z ověřovací aplikace) a uvést důvod. Zobrazení je pouze pro čtení: neumožňuje přihlásit se za vás, jednat vaším jménem ani měnit vaše údaje. Zobrazuje váš profil (včetně adresy, telefonního čísla a e-mailové adresy), datum vaší registrace a posledního přihlášení, vaše velikosti bot, zbylé boty, které nabízíte, boty označené v katalogu (například seznam přání), vaše výměny a jejich stav a seznam vašich chatů bez obsahu zpráv. Každé vyhledávání a každé zobrazení se zaznamenává (viz §5) a každý administrátor může za hodinu provést jen omezený počet nahlédnutí.

U cenové otázky ke smíšeným párům může administrátor, který se přihlásil s druhým faktorem, vidět také odpovědi každého pozvaného člena, uvedené podle ID člena spolu s velikostmi a poplatky, které se tomuto členovi zobrazily, bez jmen a kontaktních údajů. Tento seznam není součástí zobrazení účtu, proto se nezaznamenává v záznamu o přístupu pracovníků.

7. Vaše práva a smazání účtu

K údajům můžete přistupovat a opravovat je v aplikaci a smazat účet kdykoli — související údaje neprodleně odstraníme, s výjimkou omezených záznamů, které musíme nebo smíme uchovávat podle §5 (daňové/účetní záznamy a záznamy nutné pro bezpečnost, prevenci podvodů nebo právní nároky): v aplikaci přes Profil → Nastavení → Smazat účet, nebo na žádost — viz smazání účtu. Podle vaší lokality můžete mít také práva na přenositelnost, námitku/omezení, odvolání souhlasu a podání stížnosti u dozorového úřadu pro ochranu údajů. Naším hlavním dozorovým orgánem podle mechanismu one-stop-shop GDPR je slovenský Úrad na ochranu osobných údajov SR (dataprotection.gov.sk). Pokud bydlíte v České republice, můžete kontaktovat také ÚOOÚ (uoou.gov.cz). Pokud bydlíte v jiné zemi EU/EHP, můžete podat stížnost svému národnímu úřadu — Evropský sbor pro ochranu osobních údajů vede seznam všech (edpb.europa.eu).

8. Mezinárodní přenosy

Někteří výše uvedení poskytovatelé (např. Google, Stripe, Sentry, Vercel, Resend) mohou zpracovávat údaje mimo EHP, včetně USA. Resend uchovává e-maily, které pro nás doručuje, a jejich protokoly o doručení v USA. Takové přenosy stojí na odpovídajících zárukách — standardních smluvních doložkách EU a/nebo rámci EU–USA pro ochranu soukromí (Data Privacy Framework), pokud je poskytovatel certifikován. Podrobnosti si můžete vyžádat e-mailem na info@vaet.sk.

9. Děti

Step Swap není určen dětem mladším 18 let a jejich údaje vědomě neshromažďujeme.

10. Cookies a lokální úložiště

Cookies a lokální úložiště omezujeme na minimum:

• Nezbytně nutné — Supabase nastavuje úložiště/cookies pro udržení přihlášení a zabezpečení aplikace. Jsou nutné pro fungování služby a nevyžadují souhlas.
• Bezpečnostní hlášení (nezbytně nutné) — když váš prohlížeč na webu narazí na obsah, který naše bezpečnostní pravidla nepovolují, automaticky odešle hlášení na náš server. Ponecháme si jen pravidlo, které se spustilo, původ zablokovaného obsahu (např. https://example.com, bez zbytku adresy) a cestu naší stránky bez dotazu a fragmentu. Vaši IP adresu, údaje o prohlížeči, cookies a odkazující stránku zahodíme a tento zredukovaný záznam předáme službě Sentry, abychom mohli web opravit; Sentry jej uchovává stejně dlouho jako chybová hlášení (§5). Na vašem zařízení se nic neukládá ani se z něj nic nečte, proto není potřeba souhlas.
• Prohlížení jako host (pohodlí) — pokud hledáte velikosti před přihlášením, čekající velikosti mohou být v sessionStorage prohlížeče, dokud se nepřihlásíte nebo nezavřete kartu; preference jazyka může být v localStorage. Účet se nevytvoří, dokud se nepřihlásíte přes Google, Apple nebo jednorázový odkaz či kód, který vám zašleme na vaši e-mailovou adresu.
• Karta cenové otázky (pohodlí) — pokud cenovou otázku ke smíšeným párům skryjete, aplikace si to zapamatuje ve vašem zařízení v localStorage (stepswap-price-question-dismissed, ID otázek, které jste skryli) a nic nám neposílá. Slouží jen k tomu, aby karta zůstala skrytá, proto nevyžaduje souhlas.
• Diagnostika a analytika (souhlas) — hlášení pádů/chyb (Sentry) a produktová analytika (Vercel Analytics) se používají pouze se souhlasem v souladu se slovenským zákonem o elektronických komunikacích (zákon č. 452/2021 Sb.). Kde je to nutné, ptáme se před nastavením neesenciálního úložiště a volbu můžete kdykoli změnit nebo odvolat: přes „Analytika používání a diagnostika“ v patičce úvodní stránky nebo, když jste přihlášeni, v části Profil → Nastavení. Nepoužíváme reklamní ani cross-site sledovací cookies.

11. Změny

Tyto zásady můžeme aktualizovat. Aktuální číslo verze a datum účinnosti jsou uvedeny nahoře; starší verze uchováváme k dispozici na vyžádání. Podstatné změny oznámíme v aplikaci nebo na webu před nabytím účinnosti. Pokračující používání po datu účinnosti znamená, že souhlasíte s aktualizovanými zásadami.

12. Kontakt

Dotazy nebo žádosti: info@vaet.sk.