Zásady ochrany soukromí

Správcem osobních údajů je Ing. Lubomír Jiřišta, podnikatel (OSVČ), IČO 88628647, se sídlem Peřimov 3, 512 04 Peřimov. Letos stavím a provozuji sám, bez zaměstnanců.

Ve všem, co se týká soukromí, mi piš na [email protected]. Pověřence pro ochranu osobních údajů nemám.

Tyhle zásady se týkají aplikace Letos (macOS, Windows, Linux, iOS), synchronizačního serveru a webu letos.app.

Letos se připojuje přímo k tvé poště a kalendáři: přes IMAP/SMTP nebo přes Google (Gmail, Google Kalendář, kontakty). Stažená pošta, kalendář, úkoly, cíle i výsledky lokální AI se ukládají do databáze na tvém zařízení.

Hesla k poště a přístupové tokeny Googlu jsou v systémovém úložišti hesel tvého zařízení (Klíčenka a podobně). Na náš server se nikdy nedostanou v čitelné podobě: pokud používáš synchronizaci, putují na další zařízení jen zašifrované na tvém zařízení, takže je server nepřečte. Výjimkou je webová verze (zatím není veřejně dostupná), kde si po výslovném souhlasu můžeš zvolit uložení hesla k poště nebo API klíče na našem serveru.

V pozvánkové (beta) fázi nezaručujeme, že se data na zařízení nebo na serveru neztratí. Doporučujeme zálohy. Originály e-mailů zůstávají u tvého poskytovatele pošty, dokud je v aplikaci sám(sama) nesmažeš nebo nepřesuneš.

Aplikace nemá telemetrii: neposílá nám žádné statistiky používání, otisky zařízení ani hlášení o pádech. Chyby si zapisuje jen do lokálního logu. Pokud nám log pošleš sám, třeba e-mailem na podporu, použijeme ho jen k vyřešení tvého problému.

Smazáním aplikace (a jejích dat ve složce aplikace) smažeš i všechno, co je jen u tebe.

Některá spojení vedou z tvého zařízení rovnou k jiným firmám. My do nich nevidíme a ony vidí jen to, co je k danému spojení potřeba, zejména tvou IP adresu (u externí AI také obsah, který sám(sama) pošleš):

• Tvůj poskytovatel pošty a kalendáře (např. Google, Seznam.cz): veškerá pošta a kalendář. Řídí se jeho vlastními zásadami.
• Nastavení serveru při přidání účtu: aplikace zkusí zjistit nastavení IMAP/SMTP nejdřív u tvého poskytovatele (s tvou adresou), potom v databázi Mozilla Thunderbird (posílá se jen doména, např. „seznam.cz“).
• Lokální AI model se stahuje z Hugging Face, jen když o něj požádáš.
• Slovníky pro kontrolu pravopisu se stahují z jsDelivr.
• Externí AI (jen když ji zapneš): Anthropic, OpenAI nebo tvůj vlastní endpoint, případně Claude CLI či Codex CLI, které máš nainstalované. Posílá se jen obsah, který potvrdíš v dialogu souhlasu (např. text e-mailů, které necháš zpracovat, úkoly, cíle, poznámky), API klíč zůstává v Klíčence zařízení. Platí zásady poskytovatele.

Pokud propojíš účet Google, aplikace dostane přístup jen s tvým souhlasem přes standardní OAuth Googlu. Poštu, kalendář a kontakty z Google stahuje a zobrazuje přímo tvoje zařízení a případně je zpracuje lokální AI na tvém zařízení; obsah pošty a kalendáře z Google na náš server nenahráváme.

Pokud používáš synchronizaci mezi zařízeními, putují přes náš synchronizační server tvoje úkoly (i ty vytvořené z e-mailu nebo události), stav vláken, pravidla, nastavení a přihlašovací údaje k účtu Google včetně obnovovacího tokenu. Všechno je zašifrované na tvém zařízení dřív, než odejde, takže server nemá jak to přečíst.

Data z Google nikomu dalšímu nepředáváme a neprodáváme je. Jedinou výjimku zapínáš sám(sama): pokud v nastavení AI zvolíš externí službu (Anthropic, OpenAI, vlastní endpoint, Claude CLI nebo Codex CLI) nebo připojíš agenta a v dialogu potvrdíš první odeslání, odejde vybraný obsah (např. text zprávy nebo události) z tvého zařízení přímo k tomuto poskytovateli, ne přes náš server (viz Externí AI). Bez tvého souhlasu se to nestane a souhlas můžeš kdykoli odvolat vypnutím externí AI. Zpracování u poskytovatele se řídí jeho zásadami. Data z Google nepoužíváme k reklamě ani k trénování modelů.

Využití a předávání informací z Google API v Letos se řídí Google API Services User Data Policy, včetně požadavků Limited Use.

Přístup zrušíš odpojením účtu v aplikaci nebo v nastavení účtu Google.

Letos umí pracovat s AI třemi způsoby. Ve výchozím stavu používá model na tvém zařízení a nic neodesílá. Navíc si můžeš sám(sama) zvolit externího poskytovatele: Claude (Anthropic) nebo OpenAI přes vlastní API klíč, vlastní endpoint kompatibilní s OpenAI (třeba Ollama u tebe doma) nebo na počítači nainstalované a přihlášené nástroje Claude CLI či Codex CLI. Letos nemá vlastního poskytovatele AI ani za tebe neplatí její provoz; klíč nebo předplatné máš u poskytovatele ty.

Souhlas. Žádný obsah se externímu poskytovateli neodešle, dokud mu při prvním použití výslovně neodsouhlasíš odesílání. Souhlas je zvlášť pro každého poskytovatele; u vlastního endpointu platí jen pro adresu, kterou jsi schválil(a), a po změně adresy se zeptáme znovu. Zkontrolujeme to v jádru aplikace, ne jen v obrazovce, a bez souhlasu se nic neodešle. Souhlas můžeš kdykoli odvolat v Nastavení → Soukromí. Rozšíří-li se to, co se odesílá, zeptáme se znovu. Rozhodnutí o AI (kromě CLI nástrojů, které jsou vázané na jedno zařízení) se synchronizuje mezi tvými zařízeními.

Co se odešle. Jen obsah k funkci AI, kterou spustíš: text e-mailu (tělo, předmět, odesílatel a datum), text úkolů, cílů a poznámek, rozepsaný koncept a případně profil stylu psaní (ten při ručním sestavení vychází až z 20 tvých odeslaných e-mailů). U vlastního API klíče se poskytovateli posílá i klíč, protože se jím ověřuje.

Kam to jde. Z tvého zařízení rovnou poskytovateli, ne přes náš server. API klíč leží jen v systémové klíčence zařízení a nesynchronizuje se. Výjimka je webová verze aplikace: ta běží na našem serveru, takže klíč se tam uloží až po tvém souhlasu a požadavek na AI jím projde cestou k poskytovateli. Server obsah požadavků ani klíče nezapisuje do aplikačních logů. Reverzní proxy na našem serveru pro app.letos.app a sync.letos.app nezapisuje přístupové logy vůbec, takže se v nich neukládá ani obsah požadavků, ani jejich hlavičky. Provoz navíc prochází přes Cloudflare, který zpracovává metadata požadavků (viz „Kdo další data zpracovává“).

Co s tím dělá poskytovatel. Od odeslání se obsah řídí podmínkami a zásadami zvoleného poskytovatele, který je samostatným správcem nebo zpracovatelem podle svých podmínek. Nemáme vliv na to, jak dlouho obsah uchová ani zda ho použije ke zlepšování svých modelů, a nic takového za něj neslibujeme. Podmínky si před souhlasem přečti. Pokud odesíláš poštu třetích osob, odpovídáš za to, že to smíš.

Podobně agent, kterého si přes MCP sám(sama) připojíš, dostane data, o která si řekne, a jeho poskytovatel je může zpracovat podle svých podmínek.

Na počítači aplikace funguje bez registrace. Účet potřebuješ jen pro synchronizaci mezi zařízeními a pro placené tarify. Pak synchronizační server ukládá:

Obsah pošty, kalendáře, úkolů a cílů je zašifrovaný na tvém zařízení dřív, než odejde. Server ho neumí přečíst, takže ho nemůže nikomu ukázat, ani kdyby chtěl. Platí to i pro stav e-mailových vláken: synchronizační server ví jen, že přišel zašifrovaný blok.

Přihlásit se můžeš heslem, přístupovým klíčem (passkey) nebo přes Apple. U přihlášení přes Apple od něj dostaneme jen identifikátor účtu a e-mail, který nám Apple předá (může být skrytý); jinde je nepoužíváme a nikam je nepředáváme. Když si účet smažeš, smažeme i tuto vazbu, takže Apple ID už s naším účtem spojené nezůstane.

Důsledek: když zapomeneš heslo i kód pro obnovu, data na serveru ti obnovit neumíme. Data na tvých zařízeních zůstanou.

Při přihlašování do účtu v prohlížeči nastaví synchronizační server jednu technickou cookie na 10 minut jako ochranu formuláře (CSRF). Nic jiného si nepamatuje.

Když se zapíšeš na čekací listinu, uložíme e-mail, platformu, kterou chceš používat, a jazyk, k tomu čas zápisu, čas potvrzení a potvrzovací odkaz (na serveru jen v podobě, ze které odkaz nejde zpětně získat, a čitelně jen do potvrzení, abychom ti mohli poslat stejný odkaz znovu). Pokud odkaz, přes který jsi přišel(a), nesl krátký kód kampaně nebo kanálu (například `?c=blog`), uložíme ho k zápisu a smažeme spolu s ním; neobsahuje žádné osobní údaje a nepoužíváme k tomu cookies. IP adresu ani prohlížeč neukládáme.

Zápis funguje jako dvojí potvrzení: pošleme jeden potvrzovací e-mail s odkazem platným 7 dní. Bez potvrzení ti už nic dalšího nepošleme. Po potvrzení dostaneš jeden e-mail, až bude tvoje pozvánka připravená. Žádný newsletter.

Právním základem je tvůj souhlas, který můžeš kdykoli odvolat. Každý e-mail z čekací listiny má odkaz, kterým se jedním kliknutím, bez přihlášení, smažeš. Můžeš také napsat na [email protected].

Formulář čekací listiny chrání ALTCHA: tvůj prohlížeč vyřeší krátkou výpočetní úlohu (obvykle pár sekund), než se zápis odešle. Nepoužívá cookies, nic o tobě nesbírá a neběží přes žádnou třetí stranu. Skript je součástí našeho webu a úlohu vydává náš server.

Server si u každé vyřešené úlohy krátce pamatuje její podpis, aby ji nešlo použít dvakrát. Úloha platí 5 minut a podpis se maže při nejbližším denním úklidu po vypršení.

Web nepoužívá analytiku ani cookies a nenačítá skripty, písma ani obrázky od třetích stran. Pokud se někdy rozhodneme měřit návštěvnost, tady to předem doplníme.

Reklamní pixely zatím nepoužíváme. Pokud je někdy přidáme, nejdřív to tady doplníme a požádáme tě o souhlas dřív, než se načtou.

Web i synchronizační server běží za službou Cloudflare, která je chrání před útoky a doručuje stránky. Cloudflare přitom zpracovává technické údaje o připojení, hlavně IP adresu. Na stránku navíc vkládá malý skript, který skrývá e-mailové adresy před roboty.

Systémové e-maily (ověření adresy, čekací listina, pozvánka) odesíláme z adresy [email protected] přes službu Seznam.cz Email Profi. Přes ni běží i schránka podpory [email protected], takže tam leží i tvoje zprávy pro podporu.

Odchozí e-maily čekají ve frontě na našem serveru (adresa, předmět, text). Text se smaže hned po odeslání, odeslané řádky (adresa a předmět) po 7 dnech a nikdy neodeslané po 30 dnech.

Placené tarify prodává náš platební partner Paddle.com Market Limited jako merchant of record: je prodejcem, přijímá platbu, vystavuje doklad a odvádí daň. Údaje o kartě a fakturační adresu zadáváš přímo jemu a my je nikdy nevidíme. Partner je pro tyto údaje samostatným správcem podle svých zásad.

Od partnera dostáváme jen to, co potřebujeme k zapnutí tarifu: že je zaplaceno, jaký tarif a do kdy, a e-mail, kterým tě spárujeme s účtem.

Data na našem serveru nikomu neprodáváme ani nepředáváme k marketingu. Pomáhají nám tito zpracovatelé:

Externí AI (Anthropic, OpenAI, vlastní endpoint) není náš zpracovatel: je to spojení z tvého zařízení, které sám(sama) zapneš.

Novinky a tipy e-mailem rozesílá nástroj listmonk, návštěvnost webu měří Umami a načasování e-mailů řídí Activepieces. Všechno to běží na našem vlastním serveru nad naší databází PostgreSQL. Jsou to naše nástroje, ne další firmy, takže nepřidávají žádného dalšího příjemce a nepotřebují zpracovatelskou smlouvu. Kampaň neodešleme, dokud v listmonku nebude vypnuté sledování, a měření webu nespustíme dřív, než tenhle text schválí právník.

Poskytovatel SMTP (Amazon SES) je zpracovatel: e-mail sám odešle, ale vidí adresáta i jeho text. Potřebuje k tomu zpracovatelskou smlouvu. Máme ho nastavený na region eu-north-1 (Stockholm), tedy v EU; pro případný přenos mimo EU se opíráme o standardní smluvní doložky a rámec EU–USA.

Platební partner (Paddle.com Market Limited) je samostatný správce, ne náš zpracovatel (viz Platby).

Přenos do USA u Cloudflare se opírá o rámec EU–USA pro ochranu osobních údajů (Data Privacy Framework), případně o standardní smluvní doložky EU.

Údaje vydáme úřadům, jen pokud nám to ukládá zákon. Obsah tvých dat vydat nemůžeme, protože ho neumíme přečíst.

• Plnění smlouvy (čl. 6 odst. 1 písm. b GDPR): účet, synchronizace, tarif, podpora.
• Souhlas (písm. a): čekací listina a e-mailové novinky a nabídky. Souhlas s novinkami je ve výchozím stavu vypnutý, zapínáš ho sám(sama) přepínačem v Nastavení → Účet a můžeš ho kdykoli stejným přepínačem nebo odkazem v e-mailu odvolat. Zahrnuje i jednu zprávu o Letos Plus, když narazíš na limit tarifu Free (nejvýše jednou za 30 dní).
• Oprávněný zájem (písm. f): ochrana serveru a účtů (záznamy neúspěšných přihlášení, ALTCHA, Cloudflare, omezení počtu požadavků).
• Právní povinnost (písm. c): účetní a daňové záznamy, pokud nějaké vedeme my, a ne platební partner.

Zrušení účtu: napiš na [email protected] z adresy účtu. Účet a všechna jeho data na serveru smažeme do 30 dní a potvrdíme ti to. Účet a jeho data (zařízení, šifrované bloky, přílohy včetně souborů, klíče, přihlašovací tokeny, pozvánky, čekající e-maily a řádek čekací listiny) smažeme jedním příkazem, ne ručně v databázi. Účet můžeš smazat i sám přímo v aplikaci (Nastavení → Účet → Smazat účet) po zadání hesla, případně kódu z autentikátoru; smazání je okamžité. Data uložená jen v tvém zařízení (pošta, kalendář, úkoly) tím zůstanou na zařízení. V šifrovaných zálohách serveru můžou smazaná data zůstat ještě nejvýš asi 6 měsíců, než se záloha přepíše.

V pozvánkové (beta) fázi mohou být data na serveru kvůli chybě nebo změně služby poškozena či ztracena. Server není záložní kopií tvých dat.

Když placený plán skončí, pošta, kalendář ani úkoly se nemažou: zařízení a schránky nad limit plánu Zdarma se jen vypnou. Jediná výjimka: synchronizované přílohy nad 100 MiB (limit plánu Zdarma) se po konci placeného plánu označí ke smazání, nejstarší první, a smažou se po 14 dnech (u účtu, který měl Plus jen z bety, po 30 dnech).

Máš právo na přístup ke svým údajům, jejich opravu, výmaz, omezení zpracování, přenositelnost a právo vznést námitku proti zpracování na základě oprávněného zájmu. Souhlas (čekací listina) můžeš kdykoli odvolat.

Napiš na [email protected]. Odpovíme do jednoho měsíce. Abychom nevydali data někomu cizímu, můžeme chtít potvrzení z adresy účtu.

Většinu svých dat máš u sebe v aplikaci, takže je můžeš kdykoli exportovat nebo smazat sám.

Stížnost můžeš podat u Úřadu pro ochranu osobních údajů (Pplk. Sochora 27, 170 00 Praha 7) nebo u dozorového úřadu v zemi, kde žiješ.

Obsah synchronizace šifruje tvoje zařízení a server nemá klíč. Hesla se na server nikdy neposílají v čitelné podobě. Přístupové tokeny zařízení a kódy pozvánek ukládáme jen jako otisky, ze kterých nejdou zpětně získat. Server chrání omezení počtu pokusů, dvoufázové ověření a šifrované spojení.

Kdyby přesto došlo k úniku, který tě může ohrozit, dáme ti vědět bez zbytečného odkladu.

Letos není určený dětem mladším 15 let a vědomě od nich údaje nesbíráme.

Webová verze aplikace (app.letos.app) zatím není veřejně dostupná. Bude fungovat jinak než aplikace v zařízení: data se zpracovávají na našem serveru, ne u tebe. Než ji otevřeme, doplníme do těchto zásad, jak přesně.

Když se změní to, co aplikace nebo server s daty dělá, změníme i tento text. O podstatných změnách dáme vědět e-mailem (pokud máš účet) a tady na webu předem. Platí verze s datem účinnosti nahoře.