1. Kdo je správce
Vassweb s. r. o., IČO 56921021, se sídlem Školská 981/36, 931 01 Šamorín, zapsaná v obchodním rejstříku Okresního soudu Trnava, oddíl Sro, vložka č. 59422/T (dále jen „my“). Kontakt pro otázky ochrany údajů: podpora@terminuj.com.
- Údaje uživatelů Terminuje (majitelé, správci a personál provozoven, zájemci z formuláře): správcem jsme my.
- Údaje klientů provozoven (lidé, kteří si přes Terminuj rezervují termín): správcem je provozovna (salon), u které se objednávají. My jsme jejím zpracovatelem podle čl. 28 GDPR — údaje zpracováváme jen podle jejích pokynů na základě smlouvy o zpracování, k vlastním účelům je nepoužíváme a neprodáváme je. Provozovna si údaje svých klientů může kdykoli stáhnout (Zákazníci → Stáhnout vše).
- Měření návštěvnosti veřejných stránek (úvod, ceník, stránky provozoven /t/…; jen s vaším souhlasem, Vercel Web Analytics): správcem jsme my, ne provozovna — souhrnné počty návštěv služby Terminuj vidíme jen my a s údaji z rezervací je nepropojujeme.
2. Jaké údaje zpracováváme
Uživatelé (majitel, správce a personál provozovny):
- E-mail (přihlášení)
- Jméno + telefon (nepovinné — profil)
- Jazyk + časové pásmo (locale)
- Souhlas s marketingem (newsletter)
- IP adresa + User-Agent (audit log — bezpečnost)
- Zdroj registrace provozovny: parametry kampaně z odkazu (utm_source, utm_medium, utm_campaign, utm_content, utm_term), akční kód a zda šlo o kliknutí na reklamu Meta nebo Google (bez identifikátoru kliknutí) — k měření účinnosti naší reklamy (oprávněný zájem, čl. 6 odst. 1 písm. f) GDPR). Bez cookies; uchováváme po dobu existence provozovny.
- Zabezpečení přihlášení (pokud ho zapnete): PIN jen jako jednosměrný hash, veřejný klíč Face ID / otisku prstu (passkey) a název zařízení; přihlášená zařízení aplikace (název, platforma, token pro upozornění); odběry upozornění v prohlížeči (adresa push služby, typ prohlížeče)
- Pozvaní členové týmu: e-mail a role z pozvánky
Zájemci z formuláře na stránce Terminuj: firma, jméno, e-mail, telefon, obor, počet lidí, zpráva, zdroj odkazu (UTM) a zkrácená IP adresa (/24) — k odpovědi na poptávku (čl. 6 odst. 1 písm. b) GDPR, opatření přijatá před uzavřením smlouvy).
Klienti provozoven (rezervují si termín) — zpracováváme jako zpracovatel provozovny:
- Jméno, e-mail, telefon (rezervační proces)
- Historie rezervací (data, služby, ceny)
- Nepovinná poznámka k rezervaci
- Štítky a poznámky týmu (přidává provozovna, klient je nevidí)
- Záznam o vytvoření rezervace (audit log): e-mail, IP adresa, typ prohlížeče (User-Agent) a zdroj, odkud jste přišli (UTM parametry z odkazu, pokud je odkaz obsahoval)
2a. Měření návštěvnosti — jen s vaším souhlasem (Vercel Web Analytics)
Pokud v liště cookies povolíte kategorii Analytické, měříme na veřejných stránkách Terminuje (úvod, ceník, nápověda, právní stránky a stránky provozoven /t/…) počty návštěv nástrojem Vercel Web Analytics od našeho poskytovatele hostingu Vercel Inc. V přihlášené správě, na stránce konkrétní rezervace ani v rezervačním okně vloženém na cizím webu měření neběží. Nástroj nepoužívá cookies, do zařízení nic neukládá a nevytváří profil.
Při zobrazení stránky se zaznamená čas, adresa stránky (jiné parametry než označení kampaně před odesláním odstraníme), odkud jste přišli, typ zařízení, operační systém, prohlížeč a přibližná poloha (země, kraj, město). Návštěvníka rozliší jen dočasný otisk (hash) z požadavku, který se po 24 hodinách zahodí; IP adresa se k záznamům neukládá. Vidíme jen souhrnné počty návštěv, ne jednotlivé lidi.
Správce: Vassweb s. r. o. (i na stránce provozovny — provozovna tyto statistiky nedostává); Vercel Inc. je náš zpracovatel. Právní základ: váš souhlas — čl. 6 odst. 1 písm. a) GDPR a § 109 odst. 8 slovenského zákona č. 452/2021 Z. z., o elektronických komunikacích (skript posílá údaje z prohlížeče, proto i bez cookies potřebuje souhlas; Pokyny EDPB 2/2023, bod 33). Souhlas kdykoli odvoláte přes „Nastavení cookies“ v patičce stránky; odvolání nemá vliv na měření před ním.
2b. Mobilní aplikace Terminuj
Aplikace je pro provozovny a jejich tým. Účet se v ní nezakládá. Při přihlášení zpracováváme e-mail účtu; heslo se v aplikaci neukládá, v zabezpečeném úložišti telefonu zůstává jen přihlašovací token. Při nové rezervaci zpracováváme jméno, e-mail a telefon zákazníka a poznámku, které zadá pracovník provozovny, ke správě rezervací provozovny.
Aplikace neobsahuje reklamu ani analytiku třetích stran, nesleduje vás napříč aplikacemi a nečte polohu, kontakty ani fotky z telefonu. Smazání účtu si můžete vyžádat v aplikaci v části Nastavení nebo e-mailem na podpora@terminuj.com.
2c. Ochrana zkušební verze zdarma (jedna zkušební verze na provozovnu)
Zkušební verze zdarma je pro jednu provozovnu jen jednou. Aby ji nebylo možné získávat opakovaně, při registraci provozovny zpracováváme:
- IČO — ověříme ho ve veřejném registru (Register právnických osob Statistického úřadu SR, u českého IČO registr ARES); registru předáme jen IČO.
- Telefon provozovny — ověříme ho SMS kódem (SMS posílá poskytovatel SMS uvedený v bodě 5).
- IP adresu a údaje o zařízení, které prohlížeč posílá sám (typ prohlížeče a systému, jazyk). Do zařízení nic neukládáme a nic z něj skriptem nečteme.
Telefon, IP adresu, síť a údaje o zařízení neukládáme v čitelné podobě, jen jako jednosměrný kryptografický otisk (HMAC se soukromým klíčem), spolu s IČO a datem registrace. Pokud se otisk shoduje s předchozí zkušební verzí, provozovnu označíme a posoudí ji člověk — automaticky nic neblokujeme. Pokud už IČO zkušební verzi mělo, provozovna se založí bez zkušební verze.
Právní základ: oprávněný zájem předcházet zneužití zkušební verze (čl. 6 odst. 1 písm. f) GDPR, bod odůvodnění 47). Uchováváme 12 měsíců od registrace, poté záznam automaticky smažeme (i když provozovnu smažete dříve). Proti tomuto zpracování můžete vznést námitku (čl. 21 GDPR) na podpora@terminuj.com.
2d. Propojení s Google kalendářem a dalšími kalendáři
- Google kalendář provozovny připojuje majitel nebo správce provozovny sám v Nastavení → Kalendář; vlastní Google kalendář pracovníka připojuje pracovník sám (nebo majitel či správce) na stránce kalendáře pracovníka. Na obrazovce Google se udělí přístup (calendar.events, calendar.freebusy). Bez toho ke Google kalendáři nepřistupujeme. Z kalendáře pracovníka blokují časy událostí jen jeho termíny a zapisujeme do něj jen jeho rezervace.
- Čteme jen časy událostí v připojeném kalendáři (začátek, konec, zda je událost „obsazená“ nebo „volná“, zrušená nebo odmítnutá) — ne názvy, popisy, místa ani účastníky. Časy použijeme jen k tomu, aby se klientům nenabízely termíny, kdy je majitel obsazen; neukládáme je do databáze, v paměti serveru zůstanou nejvýše pár minut.
- Do připojeného kalendáře zapisujeme rezervace provozovny (služba, křestní jméno a iniciála klienta, stav, odkaz do přehledu) a při změně nebo zrušení je upravíme nebo smažeme. E-mail, telefon ani poznámku klienta do Google nezapisujeme. U těchto údajů klientů jednáme jako zpracovatel provozovny (bod 1).
- Přístupové tokeny od Google ukládáme šifrované (AES-256-GCM). Provozovna kalendář kdykoli odpojí v Nastavení → Kalendář (přístup v Google odvoláme a tokeny smažeme) nebo v účtu Google (myaccount.google.com/permissions). Události, které jsme už zapsali, zůstanou v jejím kalendáři, dokud je nesmaže.
- Údaje z Google nepoužíváme k reklamě, neprodáváme je, nepředáváme je dál (kromě případů, které vyžaduje zákon) a nepoužíváme je k trénování modelů umělé inteligence. Lidé v našem týmu je nečtou, kromě případu, kdy o to provozovna výslovně požádá (podpora), nebo pokud to vyžaduje bezpečnost či zákon.
- Apple a jiné kalendáře: provozovna může uložit adresu svého kalendáře ve formátu ICS (např. veřejný kalendář z iCloudu). Adresu uložíme šifrovanou, kalendář přibližně každých 10 minut stáhneme a použijeme z něj jen časy událostí stejně jako u Google. Opačným směrem tajný odkaz na odběr rezervací (bez e-mailů a telefonů klientů) vytvoří, změní nebo zruší provozovna v Nastavení → Kalendář.
- Apple kalendář iCloud (obousměrně, od 6. 11. 2026): provozovna nebo pracovník zadá Apple ID a heslo pro aplikace (vytvořené na appleid.apple.com, ne běžné heslo Apple ID). Heslo uložíme šifrované (AES-256-GCM) a používáme ho jen ke spojení se serverem iCloud (CalDAV): čteme časy událostí zvoleného kalendáře (jako u Google, bez názvů a poznámek) a zapisujeme do něj rezervace (stejný obsah jako u Google). Odpojením v Nastavení → Kalendář heslo smažeme; úplně ho zrušíte na appleid.apple.com. Zpracování na straně Apple se řídí podmínkami Apple pro iCloud.
- Microsoft Outlook / Microsoft 365 (obousměrně, od 6. 11. 2026): přístup se udělí na obrazovce Microsoft (Calendars.ReadWrite, offline_access, e-mail účtu). Tokeny ukládáme šifrované, čteme jen časy událostí (začátek, konec, obsazeno/volno, zrušeno) a zapisujeme rezervace (stejný obsah jako u Google). Odpojením v Nastavení → Kalendář tokeny smažeme; přístup úplně odvoláte na account.microsoft.com → Soukromí → Aplikace a služby. Microsoft může údaje zpracovávat i mimo EU podle svých podmínek (standardní smluvní doložky).
- Právní základ: plnění smlouvy s provozovnou (čl. 6 odst. 1 písm. b) GDPR); u údajů klientů pokyn provozovny jako správce (čl. 28 GDPR).
Používání a předávání informací získaných z Google API do jiné aplikace se řídí zásadami Google API Services User Data Policy včetně požadavků Limited Use (omezeného použití). Terminuj's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.
3. Účel zpracování
- Poskytování rezervační služby (smluvní základ, čl. 6 odst. 1 písm. b) GDPR)
- Účetní a daňové povinnosti (zákonný základ — § 35 odst. 3 slovenského zákona č. 431/2002 Z. z., o účetnictví)
- Bezpečnost (audit log) — oprávněný zájem, čl. 6 odst. 1 písm. f)
- Předcházení zneužití zkušební verze zdarma (IČO, ověřený telefon, otisky IP adresy a zařízení, bod 2c) — oprávněný zájem, čl. 6 odst. 1 písm. f)
- Přehled zdrojů rezervací pro provozovnu (UTM parametry v audit logu) — oprávněný zájem, čl. 6 odst. 1 písm. f)
- Marketing (newsletter a nabídky) — jen se souhlasem (zapnete ho v části Můj účet)
- E-maily o zkušební verzi zdarma na kontaktní e-mail provozovny (uvítání, tip 3. den, 4 dny a den před koncem, po skončení, gratulace k první rezervaci) — plnění smlouvy a oprávněný zájem, čl. 6 odst. 1 písm. b) a f); tipy a připomínky (3. den, 4 dny před koncem, první rezervace) mají v každém e-mailu odkaz k odhlášení jedním kliknutím (§ 116 odst. 15 slovenského zákona č. 452/2021 Z. z.)
- Interní přehled provozoven pro Vassweb — každé otevření zapisujeme (e-mail, IP adresa, prohlížeč) z bezpečnostních důvodů a po 365 dnech mažeme; oprávněný zájem, čl. 6 odst. 1 písm. f)
- Souhrnná statistika návštěvnosti veřejných stránek (Vercel Web Analytics) — jen se souhlasem, čl. 6 odst. 1 písm. a) GDPR (bod 2a)
4. Doba uchovávání
- Faktury (účetní doklady): 10 let od konce roku, ve kterém byly vystaveny (§ 35 odst. 3 slovenského zákona č. 431/2002 Z. z.). I po smazání provozovny je uchováváme v archivu do konce této lhůty, poté je smažeme.
- Rezervace a údaje zákazníků provozovny: po dobu trvání účtu provozovny. Zákazníkovi bez rezervace a návštěvy 36 měsíců jméno, e-mail, telefon a poznámky anonymizujeme; rezervace, které skončily před touto lhůtou, ztrácejí poznámky. Záznam o rezervaci (datum, služba, cena) zůstává bez osobních údajů.
- Záznam činností v účtu (audit log): 365 dní (z bezpečnostních důvodů)
- Záznam o založení provozovny a přijetí Obchodních podmínek (verze, čas, IP adresa, typ prohlížeče): po dobu trvání smlouvy, zaniká se smazáním provozovny
- Záznam o vytvoření rezervace (audit log): 365 dní, poté ho smažeme — včetně e-mailu zákazníka, IP adresy, typu prohlížeče a UTM parametrů
- Rozpracovaný průvodce založením provozovny: nejvýše 30 dní od poslední změny, po založení provozovny ho smažeme hned
- Pozvánky do týmu: 30 dní po vypršení nebo zrušení
- Záznam o volbě v liště cookies: 4 roky (bez IP adresy)
- Záznam o zkušební verzi zdarma (IČO a otisky telefonu, IP adresy, sítě a zařízení, bod 2c): 12 měsíců od registrace provozovny, poté ho smažeme
- Záznamy o odeslání webhooků: 90 dní
- Záznamy o odeslaných upozorněních: 90 dní
- Poptávka z formuláře na stránce Terminuj: nejvýše 12 měsíců od odeslání nebo vyřízení (podle toho, co nastalo později), poté ji smažeme. Na požádání dříve.
- Měření návštěvnosti (jen se souhlasem): otisk návštěvníka (hash) 24 hodin, poté ho Vercel zahodí; dále zůstávají jen souhrnné počty bez IP adresy.
- Smazání provozovny: 7 dní na obnovení, poté trvale smažeme všechny její údaje (kromě faktur v archivu). Pokud majitel nemá jinou provozovnu, smažeme i jeho uživatelský účet a přihlášení.
- Uživatelský účet: dokud ho používáte; výmaz na žádost (čl. 17 níže) nebo spolu se smazáním poslední provozovny.
5. Příjemci údajů
Údaje neprodáváme. Zpracovávají je jen tito naši poskytovatelé (další zpracovatelé podle čl. 28 GDPR), každý jen v rozsahu svého úkolu:
- Supabase — databáze a přihlášení; údaje uložené v EU (Frankfurt)
- Vercel — hosting aplikace; server běží v EU (Frankfurt). Jen s vaším souhlasem i měření návštěvnosti veřejných stránek (Vercel Web Analytics, bod 2a) — Vercel Inc. (USA) ho může zpracovávat i v USA
- Resend — odesílání e-mailů (potvrzení, změny a připomínky rezervací, přihlašovací e-maily)
- Stripe — platby předplatného Terminuj (platební brána Stripe Checkout a portál)
- Cloudflare, Inc. (USA) — ochrana formulářů před roboty (Cloudflare Turnstile) při přihlášení, v rezervačním formuláři a ve formuláři poptávky: zpracovává IP adresu a technické údaje prohlížeče jen k rozlišení člověka od robota
- Upstash, Inc. — počítadla ochrany před zneužitím (jen otisk IP adresy, několik minut až dní) a záznam o vaší volbě v liště cookies (bez IP adresy, 4 roky)
- Push služby Apple, Google a Mozilla — doručení šifrovaných upozornění do přehledu nainstalovaného v prohlížeči nebo telefonu (obsah nepřečtou)
- Google (Google Ireland Ltd. / Google LLC) — jen pokud provozovna sama připojí svůj Google kalendář (bod 2d): rezervace se zapíší do jejího vlastního účtu Google a čtou se časy jejích událostí
- BulkGate (TOPefekt s.r.o., Šumperk, Česko) — SMS potvrzení, změny a připomínky rezervací, pokud je provozovna zapne
Někteří z těchto poskytovatelů jsou společnosti se sídlem v USA. Pokud by údaje mohly být přístupné mimo EU/EHP, je předání chráněno standardními smluvními doložkami podle rozhodnutí Komise (EU) 2021/914 nebo rámcem EU – USA pro ochranu údajů.
6. Vaše práva (GDPR čl. 15–22)
- Čl. 15 — přístup: kopii všech údajů si stáhnete v Účet → Export osobních údajů (/dashboard/account/export) nebo si ji vyžádáte e-mailem
- Čl. 16 — oprava: upravte profil v části Můj účet nebo napište podpoře
- Čl. 17 — výmaz: e-mail na podpora@terminuj.com. Vyřídíme do 30 dní (čl. 12 odst. 3).
- Čl. 18 — omezení: můžete žádat omezení zpracování
- Čl. 20 — přenositelnost: stáhněte si data přes /dashboard/account/export (formát JSON + CSV)
- Čl. 21 — námitka: proti zpracování na základě oprávněného zájmu (bezpečnostní záznam, zdroje rezervací a registrací, ochrana zkušební verze) můžete kdykoli vznést námitku na podpora@terminuj.com; marketingové e-maily vypnete v Účet → Marketingové e-maily nebo odkazem v e-mailu
- Čl. 22 — automatizované rozhodování: rozhodnutí s právními nebo podobně závažnými účinky automaticky neděláme. Automaticky jen vyhodnotíme, zda IČO už mělo zkušební verzi zdarma (bod 2c); v takovém případě se provozovna založí bez zkušební verze. Pokud s tím nesouhlasíte, napište na podpora@terminuj.com — posoudí to člověk
Poskytnutí e-mailu je podmínkou uzavření smlouvy (bez něj účet nezaložíme); ostatní údaje profilu jsou dobrovolné.
Klienti provozoven uplatňují tato práva u provozovny (salonu), která je správcem jejich údajů. Pokud nám žádost pošlete, bez zbytečného odkladu ji postoupíme provozovně a pomůžeme jí ji vyřídit (čl. 28 odst. 3 písm. e) GDPR).
7. Cookies
Bez souhlasu používáme jen nezbytné cookies a úložiště prohlížeče: přihlášení provozovny (Supabase) a zámek přehledu Face ID / PIN (jen po přihlášení), vaši volbu v liště cookies, vámi zvolený světlý nebo tmavý režim (jen pokud ho změníte) a kontaktní údaje z poslední rezervace, jen pokud při rezervaci zaškrtnete „Zapamatovat si moje údaje“. Parametry odkazu (UTM) si na další stránku zapamatujeme jen s vaším souhlasem (Analytické). Ochrana před roboty Cloudflare Turnstile se načítá při přihlášení a ve formulářích a zpracovává technické údaje prohlížeče jen k rozlišení člověka od robota (bod 5). Analytické ani reklamní cookies nepoužíváme. Jen s vaším souhlasem (kategorie Analytické) měříme návštěvnost veřejných stránek bez cookies nástrojem Vercel Web Analytics (bod 2a); souhlas odvoláte přes „Nastavení cookies“ v patičce stránky. Úplný seznam s účelem a dobou uchování je v Zásadách cookies.
8. Přeshraniční zpracování
Databáze (Supabase) i server aplikace (Vercel) jsou v EU (Frankfurt). Mimo EU/EHP (USA) mohou údaje zpracovávat: Stripe, Resend, Cloudflare, Upstash, Vercel Inc. (měření jen s vaším souhlasem, bod 2a), Google (připojený kalendář provozovny, bod 2d). Předání je chráněno rámcem EU – USA pro ochranu údajů (rozhodnutí Komise (EU) 2023/1795), pokud je v něm příjemce certifikován, jinak standardními smluvními doložkami (rozhodnutí (EU) 2021/914). Kopii záruk vám na požádání pošleme.
9. Stížnost
Máte právo podat stížnost u dozorového úřadu, zejména v členském státě svého obvyklého bydliště, místa výkonu práce nebo místa údajného porušení (čl. 77 GDPR). Na Slovensku je to Úrad na ochranu osobných údajov SR (slovenský úřad pro ochranu osobních údajů):
dataprotection.gov.sk
Galvaniho 7/B, 821 04 Bratislava
10. Změny tohoto prohlášení
Toto prohlášení může být aktualizováno. O podstatných změnách vás budeme informovat e-mailem 14 dní předem. Verze tohoto dokumentu: 1.5 (účinná od 6. 11. 2026; 1.4 a 1.3 od 1. 11. 2026; 1.2 od 22. 10. 2026; 1.1 od 20. 10. 2026; 1.0 od 7. 6. 2026).