Zásady ochrany soukromí
Co ukládáme
E-mail, otisk hesla a to, co si v aplikaci vytvoříš: záznamy, projekty, návyky, úkoly a poznámky.
Kde data leží
V databázi Supabase v EU (Stockholm). Aplikaci doručuje Cloudflare.
Komu je dáváme
Nikomu je neprodáváme. Žádné reklamy, žádná analytika třetích stran, žádná cookie lišta.
Co můžeš udělat
Data si stáhnout, nebo smazat celý účet i se vším. Obojí najdeš v Nastavení → Data.
Níže je úplné znění podle čl. 13 GDPR.
Časostopa je osobní nástroj pro měření času, budování návyků a plánování studia. Tento dokument vysvětluje, jaké osobní údaje zpracováváme, proč, jak dlouho, kdo k nim má přístup a jaká máš práva. Je psaný podle článku 13 obecného nařízení o ochraně osobních údajů (GDPR).
01Kdo údaje zpracovává (správce)
Josef Hána, Praha, Česká republika
e-mail: [email protected]
Časostopa je provozována jako nekomerční osobní projekt. Pověřenec pro ochranu osobních údajů není jmenován, protože to zákon pro tento rozsah zpracování nevyžaduje.
02Jaké údaje zpracováváme, proč a jak dlouho
a) Účet
E-mailová adresa a heslo (ukládáme pouze jeho kryptografický otisk, nikdy heslo samotné). Při přihlášení přes Google dostáváme od Googlu e-mail, jméno a případně profilový obrázek, které jsou spojené s tvým Google účtem.
b) Obsah, který v aplikaci vytvoříš
Záznamy o čase (začátek, konec, délka, poznámka), projekty, návyky a jejich splnění, úkoly, rychlé poznámky, odpočty, měsíční poznámky, denní cíle a nastavení aplikace (jazyk, motiv, zvuky).
c) Zpětná vazba
Pokud pošleš zprávu přes formulář zpětné vazby, ukládáme její text, čas odeslání a spojení s tvým účtem, abychom mohli odpovědět.
d) Záznamy o návštěvách
Při každém otevření aplikace se uloží jeden záznam s časem otevření a, pokud jsi přihlášený, s identifikátorem účtu. Neukládáme IP adresu, typ prohlížeče ani nic dalšího. Slouží to výhradně ke zjištění, kolik lidí aplikaci používá.
e) Technické záznamy poskytovatelů infrastruktury
Poskytovatelé, na jejichž serverech aplikace běží (viz bod 3), krátkodobě zaznamenávají IP adresu a technické údaje o požadavku kvůli bezpečnosti a ochraně před útoky. My k těmto záznamům přistupujeme jen při řešení technického problému.
Nezpracováváme žádné zvláštní kategorie údajů, neprovádíme profilování ani automatizované rozhodování a nezobrazujeme reklamu.
03Kdo má k údajům přístup
Provozovatel
Jako správce databáze má provozovatel technicky přístup ke všem uloženým údajům. V běžném provozu nahlíží pouze do přehledu účtů (e-mail, datum registrace, čas poslední aktivity, počet a celková délka záznamů, zvolený jazyk a motiv) a do zpráv ze zpětné vazby. Do obsahu tvých poznámek a záznamů se nedívá, pokud ho o to sám nepožádáš kvůli řešení problému.
Zpracovatelé (poskytovatelé služeb)
- Supabase, Inc. (USA) – databáze, přihlašování a odesílání systémových e-mailů. Data jsou uložena v datovém centru v EU (Stockholm, Švédsko). Zásady Supabase
- Cloudflare, Inc. (USA) – hosting webové aplikace, síť pro doručování obsahu (CDN) a ochrana před útoky. Cloudflare zpracovává IP adresu a technické údaje každého požadavku na svých serverech po celém světě. Zásady Cloudflare
Pokud se přihlásíš přes Google, zpracovává Google tvé přihlášení jako samostatný správce podle svých zásad. Pokud Google nepoužiješ, žádná tvá data mu nepředáváme.
Jediná volitelná funkce načítá obsah z dalšího serveru, který při tom vidí tvou IP adresu: lofi rádio v nastavení zvuku se připojuje ke streamu FluxFM (streams.fluxfm.de, přesměrovává na servery streamabc.net). Pokud rádio nezapneš, k žádnému spojení nedojde. Videa na pozadí motivů jsou uložena na našem vlastním serveru.
Údaje nikomu neprodáváme, nepronajímáme ani nepředáváme pro marketing. Předat je můžeme jen orgánu veřejné moci, pokud nám to ukládá zákon.
04Předávání mimo EU
Supabase i Cloudflare mají sídlo v USA. Databáze je umístěna v EU, ale oba poskytovatelé mohou mít k údajům přístup ze zahraničí v rámci provozu a podpory. Předávání je zajištěno standardními smluvními doložkami Evropské komise, které jsou součástí jejich smluv o zpracování údajů. Cloudflare je navíc certifikován v rámci EU–US Data Privacy Framework.
05Cookies a úložiště prohlížeče
Aplikace nepoužívá žádné sledovací ani reklamní cookies a žádné analytické nástroje třetích stran (Google Analytics apod.). Proto nezobrazujeme cookie lištu.
Používáme pouze technicky nezbytné lokální úložiště prohlížeče (localStorage), bez kterého aplikace nefunguje:
- přihlašovací token, aby ses nemusel/a přihlašovat při každém otevření (spravuje Supabase);
- rozběhnuté měření (stopky nebo pomodoro), aby přežilo obnovení stránky nebo zavření karty a pokračovalo, kde skončilo;
- pokud aplikaci používáš bez účtu: tvé záznamy, projekty, návyky, poznámky, odpočty a úkoly, aby nezmizely při zavření karty nebo obnovení stránky. Zůstávají jen v tomto prohlížeči; smažeš je v Nastavení → Data („smazat lokální data") a při přihlášení se tě aplikace zeptá, jestli je přenést do účtu, nebo zahodit;
- tvé volby na tomto zařízení: zvolený zvuk na pozadí a zvuky pomodora, barvy návyků, že jsi už zavřel/a úvodní obrazovku, nabídku přihlášení a úvodní checklist (a jak daleko v něm jsi), a jazyk aplikace a těchto stránek.
Tyto údaje zůstávají v tvém prohlížeči a nikam se neodesílají. Smažeš je odhlášením nebo vymazáním dat webu v nastavení prohlížeče.
06Jak údaje chráníme
- Veškerá komunikace probíhá šifrovaně (HTTPS).
- Hesla jsou uložena jen jako kryptografický otisk (bcrypt).
- Databáze používá zabezpečení na úrovni řádků (Row Level Security): každý účet má přístup pouze ke svým datům, i kdyby došlo k chybě v aplikaci.
- Přístup do administrace má pouze provozovatel.
07Tvá práva
Podle GDPR máš právo:
- na přístup – zjistit, jaké údaje o tobě máme, a získat jejich kopii;
- na opravu – nepřesné údaje si můžeš opravit přímo v aplikaci;
- na smazání účtu a všech jeho dat – provedeš ho sám/sama v aplikaci: Nastavení → Data → Smazat účet. Smazání je okamžité a nevratné;
- na přenositelnost – v aplikaci (Nastavení → Data → Exportovat) si stáhneš záznamy, projekty a návyky ve formátu JSON. Úplnou kopii všech údajů ti na požádání pošleme e-mailem;
- na omezení zpracování a na námitku proti zpracování založenému na oprávněném zájmu (záznamy o návštěvách, zpětná vazba).
Práva uplatníš e-mailem na [email protected] z adresy, na kterou je registrován účet. Odpovíme nejpozději do jednoho měsíce.
Pokud si myslíš, že tvé údaje zpracováváme v rozporu se zákonem, můžeš podat stížnost u Úřadu pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, uoou.gov.cz.
08Použití bez účtu
Aplikaci lze používat i bez registrace. Tvá data pak zůstávají jen v úložišti tohoto prohlížeče (bod 5): přežijí zavření karty i obnovení stránky, ale nepřenesou se na jiné zařízení a zmizí, když vymažeš data webu v prohlížeči nebo je smažeš v Nastavení → Data. Na server se neodesílá nic kromě anonymního záznamu o návštěvě (bod 2d). Když se později přihlásíš nebo si vytvoříš účet, aplikace se zeptá, jestli data přenést do účtu, nebo zahodit.
09Děti
Aplikace není určena dětem mladším 15 let. Pokud je ti méně než 15 let, používej ji se souhlasem rodiče nebo zákonného zástupce.
10Změny těchto zásad
Zásady můžeme aktualizovat, když se změní funkce aplikace nebo právní požadavky. Datum účinnosti a číslo verze najdeš vždy nahoře. O podstatných změnách tě upozorníme přímo v aplikaci.
Privacy Policy
What we store
Your email, a password hash and what you create in the app: records, projects, habits, tasks and notes.
Where it lives
In a Supabase database in the EU (Stockholm). The app is delivered by Cloudflare.
Who gets it
Nobody, we never sell it. No ads, no third-party analytics, no cookie banner.
What you can do
Download your data or delete your whole account. Both are in Settings → Data.
The full text under Article 13 GDPR is below.
Časostopa is a personal tool for time tracking, habit building and study planning. This document explains which personal data we process, why, for how long, who has access to it and what your rights are. It is written to meet Article 13 of the General Data Protection Regulation (GDPR).
01Who processes your data (controller)
Josef Hána, Prague, Czech Republic
e-mail: [email protected]
Časostopa is run as a non-commercial personal project. No data protection officer has been appointed, as the law does not require one for processing of this scope.
02What we process, why and for how long
a) Account
Your e-mail address and password (we store only a cryptographic hash, never the password itself). If you sign in with Google, we receive your e-mail, name and possibly profile picture linked to your Google account.
b) Content you create in the app
Time records (start, end, duration, note), projects, habits and their completions, tasks, quick notes, countdowns, monthly notes, daily goals and app preferences (language, theme, sounds).
c) Feedback
If you send a message through the feedback form, we store its text, the time it was sent and its link to your account so that we can reply.
d) Visit records
Each time the app is opened, one record is stored with the time of opening and, if you are signed in, your account identifier. We do not store your IP address, browser type or anything else. This is used solely to see how many people use the app.
e) Technical logs of infrastructure providers
The providers whose servers run the app (see section 3) keep short-term logs of IP addresses and technical request details for security and attack protection. We access these logs only when troubleshooting a technical problem.
We do not process any special categories of data, we do not profile you or make automated decisions, and we do not show advertising.
03Who has access to your data
The operator
As the database administrator, the operator technically has access to all stored data. In normal operation he only looks at the account overview (e-mail, registration date, time of last activity, number and total duration of records, chosen language and theme) and at feedback messages. He does not look into the content of your notes and records unless you ask him to while resolving a problem.
Processors (service providers)
- Supabase, Inc. (USA) – database, authentication and system e-mails. Data is stored in a data centre in the EU (Stockholm, Sweden). Supabase privacy policy
- Cloudflare, Inc. (USA) – hosting of the web app, content delivery network (CDN) and attack protection. Cloudflare processes the IP address and technical details of every request on its servers worldwide. Cloudflare privacy policy
If you sign in with Google, Google processes your sign-in as an independent controller under its own policy. If you do not use Google sign-in, no data of yours is shared with Google.
One optional feature loads content from another server, which sees your IP address in the process: the lofi radio in the sound settings connects to the FluxFM stream (streams.fluxfm.de, which redirects to streamabc.net servers). If you do not turn the radio on, no such connection is made. The theme background videos are served from our own server.
We never sell, rent or share your data for marketing. We may disclose it to a public authority only where the law obliges us to.
04Transfers outside the EU
Both Supabase and Cloudflare are based in the USA. The database is located in the EU, but both providers may access data from abroad as part of operations and support. Such transfers are covered by the European Commission's Standard Contractual Clauses included in their data processing agreements. Cloudflare is additionally certified under the EU–US Data Privacy Framework.
05Cookies and browser storage
The app uses no tracking or advertising cookies and no third-party analytics (such as Google Analytics). That is why we do not show a cookie banner.
We only use strictly necessary browser storage (localStorage), without which the app cannot work:
- the sign-in token, so you do not have to log in every time you open the app (managed by Supabase);
- a running timer (stopwatch or pomodoro), so it survives a page reload or a closed tab and continues where it left off;
- if you use the app without an account: your records, projects, habits, notes, countdowns and tasks, so they survive closing the tab or reloading the page. They stay only in this browser; you can delete them in Settings → Data ("clear local data"), and when you sign in the app asks whether to transfer them to your account or discard them;
- your choices on this device: the chosen background sound and pomodoro chimes, habit colours, that you have already dismissed the intro screen, the sign-in prompt and the first-run checklist (and how far you got in it), and the language of the app and these pages.
This data stays in your browser and is not sent anywhere. You can remove it by signing out or by clearing site data in your browser settings.
06How we protect your data
- All communication is encrypted (HTTPS).
- Passwords are stored only as a cryptographic hash (bcrypt).
- The database uses Row Level Security: each account can access only its own data, even in case of a bug in the app.
- Only the operator has access to the administration.
07Your rights
Under the GDPR you have the right:
- of access – to learn what data we hold about you and obtain a copy;
- to rectification – you can correct inaccurate data directly in the app;
- to erasure – you can delete your account and all data yourself in the app: Settings → Data → Delete account. Deletion is immediate and irreversible;
- to data portability – in the app (Settings → Data → Export) you can download your records, projects and habits as JSON. On request we will e-mail you a complete copy of all your data;
- to restriction of processing and to object to processing based on legitimate interest (visit records, feedback).
To exercise your rights, e-mail [email protected] from the address your account is registered to. We will respond within one month at the latest.
If you believe we process your data unlawfully, you may lodge a complaint with the Czech supervisory authority, Úřad pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, Czech Republic, uoou.gov.cz, or with the supervisory authority of your own EU country.
08Using the app without an account
You can use the app without registering. Your data then stays only in this browser's storage (section 5): it survives closing the tab or reloading the page, but it does not move to other devices and is gone when you clear the site data in your browser or delete it in Settings → Data. Nothing is sent to the server except the anonymous visit record (section 2d). When you later sign in or create an account, the app asks whether to transfer the data to your account or discard it.
09Children
The app is not intended for children under 15. If you are under 15, please use it with the consent of a parent or legal guardian.
10Changes to this policy
We may update this policy when the app's features or legal requirements change. The effective date and version number are always shown at the top. We will notify you of material changes directly in the app.