Ochrana osobných údajov
Verzia 0.1.0-draft.5 • NÁVRH BEZ ÚČINNOSTI
Pracovný návrh na kontrolu a doplnenie. Dokumenty zatiaľ nenadobudli účinnosť a aplikácia ich prijatie neeviduje. Pred verejným spustením je potrebná kontrola slovenským právnikom, potvrdenie prevádzkových údajov a schválenie prevádzkovateľom.

Prevádzkovateľ a kontakt
MEXCOR s.r.o., Matušova 54, 811 04 Bratislava, Slovenská republika, IČO 50455605. Kontakt pre práva a súkromie: [DOPLNIŤ: kontaktný e-mail]. Zodpovedná osoba zatiaľ nebola v podkladoch určená; potrebu jej vymenovania treba posúdiť pred rizikovými integráciami. Údaje o registri sú v identifikačnom dokumente.

Aktuálne lokálne údaje
Používateľ môže zadať zápisník, náladu, stres, energiu, pocit v tele, meno a telefón dôveryhodnej osoby. Môžu odhaľovať citlivé okolnosti vrátane zdravia. Od zdrojovej verzie 0.3.0 sú zápisky, nálady, koncept, aktivity a dôveryhodný kontakt v mobile uložené pomocou iOS Keychain alebo šifrovaného Android úložiska. Aplikácia ich automaticky neposiela na backend ani AI a nezálohuje ich do cloudu. Webový náhľad ich neuchováva po skončení relácie. Údaje mobilu možno vymazať v Profile; samotné odinštalovanie nemusí na iOS odstrániť Keychain. Aplikácia má celkový limit súkromného úložiska 2 MiB; prípadné zlyhanie uloženia výslovne zobrazí.

Export do schránky a otvorenie SMS či telefónnej aplikácie vykoná používateľ. Ďalšie spracovanie v cieľovej aplikácii je mimo lokálneho úložiska Mindcool. Zmazanie Mindcool nemusí vymazať schránku, odoslanú SMS alebo exportovanú kópiu. Mindcool bez výslovnej akcie správu neposiela.

Voliteľný testovací účet potrebuje prezývku, heslo a obnovovací kód; e-mail sa nevyžaduje. Server ukladá hash hesla a kódu, nie ich pôvodné znenie. Pripojenie Oura vyžaduje osobitnú akciu používateľa a OAuth povolenie; server uchováva šifrované tokeny a čas synchronizácie, samotné načítané nočné merania aplikácia drží iba v pamäti. Merania sa neposielajú do AI. Pred otvorením týchto služieb verejnosti musí prevádzkovateľ potvrdiť právny základ, prípadný výslovný súhlas pre zdravotné údaje, príjemcov, hosting, výmaz zo záloh a retenčné pravidlá; tento návrh ich nenahrádza.

Web, hosting a komunikácia
Web si ukladá len výslovne zvolený vzhľad do localStorage. Vlastný kód neobsahuje analytiku ani marketingové pixely. Doručenie webu a prihlásenie do súkromného náhľadu môže spracovať IP adresu, čas, cestu požiadavky a údaje relácie u hostingu. Overenie konkrétnych dodávateľských subjektov, zmluvných rolí, krajín a retenčných lehôt je otvorenou položkou; do návrhu neuvádzame vymyslenú lehotu.

Pri kontaktovaní podpory môže MEXCOR získať e-mail, meno, text otázky a nevyhnutné technické údaje. Do hlásení nevkladajte zdravotné údaje ani celý denník. Verejné GitHub issues nie sú kanálom pre žiadosti o osobných údajoch.

Účely, základy a príjemcovia — návrh na potvrdenie
Navrhnuté účely sú vybavenie vyžiadanej podpory, bezpečné doručenie webu a splnenie zákonných povinností. Pre podporu súvisiacu so zmluvou sa posudzuje čl. 6 ods. 1 písm. b), pre primeranú bezpečnosť písm. f) a pre zákonné povinnosti písm. c) GDPR. Rozsah a test oprávneného záujmu sa musia zdokumentovať.

Príjemcami môžu byť overení poskytovatelia hostingu, e-mailu a oprávnené orgány. GitHub distribuuje APK; operačný systém zabezpečuje hlas a voliteľne dialer/SMS. Používanie služby tretej strany neznamená automaticky jej postavenie sprostredkovateľa. Roly a prenosy mimo EHP treba zmluvne overiť pred účinnosťou.

Uchovávanie a práva
Lokálne údaje webového náhľadu trvajú počas relácie. Mobilné uložené údaje zostávajú do ich vymazania používateľom alebo straty úložiska. Účet a obnova používajú prezývku a hash hesla/obnovovacieho kódu; relácia má platnosť najviac 7 dní a novým prihlásením sa predchádzajúca ruší. Aplikácia uchováva prihlasovací token iba v pamäti. Serverové obmedzovanie pokusov používa HMAC identifikátory IP a mena; záznamy staršie ako 15 minút sa odstraňujú pri ďalšom pokuse. Účet je možné vymazať spolu s jeho pripojením Oura; lokálny zápisník sa maže samostatne. Tieto serverové funkcie sú dostupné iba pri nakonfigurovanom backende. Lehoty hostingu a podpory ešte nie sú potvrdené; interný retenčný návrh sa nesmie vydávať za už zavedenú prax.

V príslušnom rozsahu možno žiadať prístup, opravu, výmaz, obmedzenie alebo prenosnosť a namietať spracúvanie. Súhlas možno odvolať bez spätného zásahu do predchádzajúcej zákonnosti. Žiadosť adresujte kontaktu vyššie; pri pochybnostiach sa vyžiada len primerané overenie totožnosti. Štandardná lehota odpovede je jeden mesiac, prípadné zákonné predĺženie sa vysvetlí. Sťažnosť možno podať Úradu na ochranu osobných údajov SR.

Budúca AI a zdravotné integrácie
Aktuálny Mexcor adaptér nič neposiela. Pred prenosom textu, zvuku alebo zdravotných údajov musí byť doplnený samostatný opis účelov, príjemcov, krajín, lehôt a právnych základov vrátane výnimky pre osobitné kategórie. Brána Mexcor sama nezaručuje anonymitu. Pseudonymizované údaje môžu zostať osobnými údajmi.

V súčasnom zostavení nie sú pripojené automatizované rozhodnutia s právnymi alebo obdobne významnými účinkami ani serverové profilovanie. Budúce výskumné alebo marketingové použitie sa týmto návrhom nepovoľuje.

Dobrovoľný kamerový sprievodca a senzory
Od verzie zdroja 0.3.5 môže používateľ v mobilnej aplikácii zapnúť lokálne sledovanie bodov tela. Kamera vyžaduje samostatné zapnutie a systémové povolenie; používanie ostatných nástrojov nie je podmienené kamerou. Android spracúva obraz cez priložený model MediaPipe, iOS cez Apple Vision. Obraz, odhadované body a poloha telefónu zostávajú dočasne v pamäti zariadenia. Náš kamerový modul ich neukladá do súborov, zápisníka, záloh ani neposiela na server či Mexcor. Mikrofón sa nepoužíva. Pri odchode z aplikácie alebo ukončení relácie sa kamera vypne. Používateľ môže uložiť iba všeobecnú aktivitu s dátumom.

Sledovanie nie je určené na identifikáciu osoby, diagnostiku ani hodnotenie bezpečnosti cviku. Samotné body tela bez identifikačného účelu automaticky neznamenajú biometrickú identifikáciu; konkrétny účel a prípadné odvodzovanie zdravotných údajov sa posudzujú osobitne. Zachyťte iba seba. Systémové povolenie kamery nie je všeobecný súhlas s cloudovým spracúvaním zdravotných údajov.

Záloha, kôš a export
Prenosná záloha je šifrovaná AES-256-GCM a vyžaduje oddelený obnovovací kľúč. Zahŕňa aj odstránené zápisky v koši a osobný plán podpory. Presunutie zápisu do koša nie je trvalý výmaz; trvalý výmaz z koša alebo úplný výmaz v Profile odstráni aktuálnu lokálnu kópiu. Predtým vytvorené zálohy a zdieľané exporty zostávajú samostatnými kópiami pod kontrolou používateľa.

Výberový TXT/CSV export je nešifrovaný, vyžaduje kontrolu obsahu a výslovné potvrdenie používateľa. Zdieľanie môže vytvoriť dočasný súbor systémovej cache a kópiu vo vybranej aplikácii. Do exportu sa automaticky nezahŕňa koncept, kôš, osobný plán ani dôveryhodný kontakt.

Účet, účely súhlasu a odvolanie
Od zdroja 0.3.6 je pripravené Súkromie účtu: prehľad vlastných serverových údajov a oddelené súhlasy pre AI podporu a zdravotné údaje Oura. Záznam obsahuje účel, akciu, verziu a odtlačok znenia, jazyk a serverový čas. Neobsahuje obsah denníka ani správu pre AI. Účely s nedokončenými právnymi podmienkami neprijímajú nové súhlasy. Zmena príslušného znenia vyžaduje nový súhlas.

Odvolanie zastaví ďalšie príslušné spracúvanie cez Mindcool; pri Oura sa vykoná aj pokus o odpojenie a odvolanie tokenov. Ak poskytovateľ nepotvrdí odvolanie, používateľ dostane informáciu a môže odobrať prístup tiež v účte Oura. Samostatný súhlas nedokazuje splnenie ostatných povinností prevádzkovateľa.

Serverové lehoty a obnova
Účet existuje do jeho vymazania. Platnosť prihlásenia je najviac 7 dní; neplatné relácie a 15-minútové záznamy obmedzovania pokusov odstraňuje pripravená pravidelná úloha. Rozpracovaný Oura OAuth stav platí 10 minút a podlieha čisteniu. Minimálna história súhlasov a údaje zabraňujúce opakovaniu AI operácií zostávajú pri účte do jeho vymazania.

Vymazanie účtu odstraňuje účet, relácie, súhlasy a evidenciu AI operácií z aktuálnej databázy; denník v telefóne sa vymazáva oddelene. Šifrovaný denník požiadaviek na výmaz obsahuje iba interný identifikátor a čas, aby sa pri obnove starej zálohy neobnovili vymazané účty. Uvoľnenie obnovenej databázy musí predchádzať aplikovanie aktuálneho denníka výmazov. Lehota serverových záloh, dostupnosť nezávislej kópie a zmluvné lehoty hostingu sú zatiaľ otvorenými podmienkami verejnej prevádzky; nejde o prísľub okamžitého fyzického výmazu všetkých starších kópií.

Právny rámec:
GDPR — nariadenie (EÚ) 2016/679 — https://eur-lex.europa.eu/legal-content/SK/TXT/?uri=CELEX:32016R0679