Zásady ochrany osobních údajů

1. Správce osobních údajů

Správcem vašich osobních údajů je Aiclysm, značka fyzické osoby podnikající dle živnostenského zákona (dále „my“, „nás“, „Aiclysm“).

Kontakt pro dotazy ohledně ochrany údajů: info@aiclysm.com

Dozorujcí úřad: ÚŘAD PRO OCHRANU OSOBNÍCH ÚDAJŮ, Pplk. Sochora 27, 170 00 Praha 7 · uoou.gov.cz

2. Jaké údaje shromažďujeme

2.1 Údaje o účtu

E-mailová adresa, heslo (uloženo jako bezpečný hash), jazyková preference a stav předplatného. Autentizace probíhá pomocí hesla. E-mailové ověřovací kódy se používají při registraci a obnově hesla. Přihlásit se můžete také účtem Google; v takovém případě od Googlu obdržíme pouze vaši e-mailovou adresu, jméno a identifikátor účtu a Google nedostává žádná data o vašem používání Služby. Nesbíráme vaše jméno, telefonní číslo ani fyzickou adresu, pokud je dobrovolně neposkytnete.

2.2 Zdravotní údaje a data z wearables

Při připojení nositelné platformy (Polar, Withings, Fitbit, Oura) získáváme zdravotní údaje přes jejich oficiální API pomocí OAuth 2.0 a nikdy nepřistupujeme k vašim přihlašovacím údajům ani je neukládáme. Data z Garminu se importují ručně z exportního souboru, který nahrajete, protože oficiální API Garminu pro nás zatím není dostupné. Integrace se Stravou byla 28. 7. 2026 ukončena: autorizace byla odvolána, tokeny smazány a data o aktivitách, která jsme ze Stravy získali, odstraněna. Naše aplikace pro hodinky Garmin (Connect IQ) posílá ze spárovaných hodinek dvě veličiny: denní průměr stresu a křivku Body Battery (ranní vrchol, poslední hodnotu, nabito a vybito). Nic jiného hodinky neopouští, žádný tep, kroky, poloha ani soubory aktivit, a zrušením párování se posílání zastaví. Naše aplikace pro Android čte zdravotní údaje z Health Connect ve vašem telefonu, s vaším výslovným souhlasem a jen v kategoriích, které povolíte: tep a jeho variabilitu, spánek, kroky a tréninky, dechovou frekvenci a okysličení krve, tělesné složení, krevní tlak, teplotu a VO2max. Čte to, co tam zapsaly jiné aplikace v telefonu, a nic tam nezapisuje; telefon jako zdroj dat můžete kdykoli vypnout v Nastavení.

2.3 Odvozené zdravotní indexy

Z výše uvedených surových dat naše algoritmy vypočítají 12 proprietárních zdravotních indexů: Imunita, Regenerace, Stresová zátěž, Spánkový dluh, Cirkadiánní rytmus, ANS Balance, Varování těla, Přetrénování, Respirační, Ranní energie, Kvalita spánku, Srdeční efektivita — plus Body Status, Biologický věk v 8 doménách a analýza Tréninkové zátěže. Jedná se o algoritmické odhady, nikoli klinická měření.

2.4 Fakturační údaje

MyBodyAI+ je placené předplatné, které bezpečně zpracovává Stripe (stripe.com). Ukládáme pouze stav vašeho předplatného a Stripe customer ID. Číslo vaší platební karty nikdy nevidíme ani neukládáme. Zásady ochrany soukromí Stripe naleznete na stripe.com/privacy.

2.5 Technické údaje

IP adresa, typ prohlížeče, informace o zařízení a přístupové logy serveru. Používají se pro bezpečnost, ladění a zlepšování služby. Nepoužíváme reklamní ani sledovací cookies. Pro anonymní statistiky používáme Umami — self-hosted nástroj bez cookies, který nesbírá osobní údaje (viz sekce 12).

3. Právní základ zpracování

Vaše osobní údaje zpracováváme na základě následujích právních titulů dle GDPR:

• Plnění smlouvy (čl. 6 odst. 1 písm. b) — k poskytování služby MyBodyAI, správě vašeho účtu a zpracování předplatného.
• Výslovný souhlas (čl. 9 odst. 2 písm. a) — pro zpracování zdravotních údajů (zvláštní kategorie). Souhlas udělujete při připojení nositelné platformy. Souhlas můžete kdykoli odvolat.
• Oprávněný zájem (čl. 6 odst. 1 písm. f) — pro bezpečnost, prevenci podvodů a zlepšování služby.
• Právní povinnost (čl. 6 odst. 1 písm. c) — pro daňové záznamy, účetní povinnosti a soulad s českým právem.

4. Jak vaše údaje používáme

• K výpočtu a zobrazení vašich zdravotních indexů na dashboardu MyBodyAI
• Ke správě vašeho účtu a předplatného
• K zasílání důležitých upozornění (např. vypršení předplatného, bezpečnostní upozornění)
• Ke zlepšování našich algoritmů pomocí anonymizovaných a agregovaných dat
• K plnění zákonných povinností
• K zajištění bezpečnosti a prevenci zneužití našich služeb

5. Sdílení dat a třetí strany

Vaše údaje sdílíme pouze s následujími kategoriemi příjemců, všechny vázány smlouvami o zpracování osobních údajů:

• Poskytovatel hostingu — serverová infrastruktura umístěná v EU
• API nositelných platforem — datové toky iniciuje uživatel přes OAuth; zpracování dat každou platformou se řídí jejími vlastními zásadami
• Stripe — zpracování plateb (pokud se rozhodnete nás podpořit). Stripe zpracovává platební údaje dle vlastních zásad ochrany soukromí. Obdržíme pouze stav předplatného.
• Google (Google Ireland Ltd.) — volitelné přihlašování. Pokud se rozhodnete přihlásit přes Google, obdržíme od Googlu vaši e-mailovou adresu, jméno a identifikátor účtu podle jejich vlastních zásad ochrany soukromí (policies.google.com/privacy). Předávání do USA je kryto rámcem EU-U.S. Data Privacy Framework. Vaše zdravotní data Googlu nikdy neposíláme.
• Open Wearables API — naše vlastní middleware služba, která bezpečně propojuje nositelné platformy přes OAuth 2.0. Hostována na stejném EU serveru.
• Health Connect (Android) — naše Android aplikace je v uzavřeném testování na Google Play. S vaším výslovným souhlasem čte zdravotní data z Health Connect ve vašem telefonu; tato data zůstávají na našich serverech a nejsou sdílena. Používání telefonu jako zdroje dat lze vypnout v Nastavení.
• Sentry — služba pro sledování chyb (hostovaná v EU, Frankfurt). Zaznamenává technická hlášení o chybách (stack trace, typ prohlížeče, URL), abychom je mohli opravit. Hlášení neobsahují zdravotní data ani osobní identifikátory. Zásady ochrany osobních údajů Sentry.
• Doručování e-mailů (Forpsi, Česká republika) — transakční e-maily a týdenní souhrn odesíláme přes SMTP servery našeho poskytovatele pošty. Poskytovatel zpracuje vaši e-mailovou adresu a obsah zprávy, který u týdenního souhrnu obsahuje vaše vlastní skóre. Tyto e-maily si můžete vypnout v Nastavení.
• Open-Meteo (Německo) — dotazy na počasí a kvalitu vzduchu, ze kterých vychází rada „kdy a kde trénovat“. Posíláme souřadnice zaokrouhlené na přibližně 1 km, a pokud místo hledáte podle názvu, i tento hledaný text. Žádné jméno, e-mail ani zdravotní data. Uložení polohy je dobrovolné a lze ji v Nastavení smazat.
• BigDataCloud (Austrálie) — převádí souřadnice na název místa, aby appka mohla ukázat, odkud měření je. Dostane pouze souřadnice zaokrouhlené na přibližně 1 km, žádný identifikátor. Jde o zemi mimo EHP, takže se přenos opírá o standardní smluvní klauzule, a proběhne jen když si nastavíte polohu.
• Telegram (hlášení chyb) — chybová hlášení serveru chodí do soukromého kanálu, který čte jen provozovatel, aby se výpadek poznal do několika minut. Řádek s chybou může obsahovat e-mailovou adresu účtu. Žádná data z hodinek ani zdravotní měření se neposílají.
• GitHub (šifrované zálohy mimo server) — šifrovaná kopie databázových záloh leží v privátním repozitáři, aby ztráta serveru neznamenala ztrátu Vašich dat. Archivy jsou zašifrované AES-256 ještě před odesláním; GitHub je nedokáže přečíst.
• Doručování oznámení (Google FCM pro Android aplikaci, push služby prohlížečů pro web push) — pokud si oznámení zapnete, doručovací služba dostane token vašeho zařízení a krátký text oznámení, který může pojmenovat zdravotní stav, například nízkou regeneraci. Oznámení jsou vypnutá, dokud si je nezapnete, a vypnutím se token odstraní.

Osobní údaje můžeme sdělit orgánům činným v trestním řízení nebo regulačním orgánům pouze tehdy, když to vyžaduje zákon. O takových žádostech vás budeme informovat, pokud to zákon umožňuje.

6. Specifické podmínky poskytovatelů dat

Každý poskytovatel dat z nositelných zařízení má specifické požadavky na nakládání s vašimi daty. Dodržujeme všechny podmínky a zásady poskytovatelů:

Integrace se Stravou byla 28. 7. 2026 ukončena a všechny záznamy o aktivitách, které jsme ze Stravy získali, byly z našich systémů smazány. Dokud běžela, byla data ze Stravy zobrazena pouze uživateli, který připojení autorizoval, nikomu jinému, a data, která se stala nedostupnými, byla okamžitě odebrána z mezipaměti.

Kromě povinností oznamování narušení bezpečnosti dle GDPR (72 hodin dozorujícímu úřadu) upozorníme dotčené poskytovatele dat do 24 hodin od zjištění bezpečnostního incidentu, jak vyžadují jejich podmínky.

7. Mezinárodní přenosy dat

Vaše data jsou primárně uložena na serverech v Evropské unii. Pokud jsou data přenášena mimo EHP, spoléháme na standardní smluvní doložky EU (SCC) nebo rozhodnutí o odpovídající ochraně.

8. Doba uchovávání dat

Po smazání účtu jsou všechny osobní údaje do 30 dnů trvale vymazány z provozních systémů i ze záložních archivů uložených na serveru. Šifrovaná kopie mimo server (GitHub) drží starší archivy i ve své historii verzí, takže záloha pořízená před vaším smazáním tam může přetrvat déle. Tyto archivy jsou před odesláním ze serveru šifrované AES-256, GitHub je nedokáže přečíst a používají se výhradně k obnově služby po ztrátě serveru. Anonymizovaná a agregovaná data (která vás již nemohou identifikovat) mohou být uchována na dobu neurčitou pro statistické účely.

Jedna věc smazání účtu přežije: jednosměrný otisk (klíčovaný hash) vaší e-mailové adresy, který vznikne ve chvíli, kdy dostanete zkušební přístup zdarma. Zpět na adresu ho převést nelze, neslouží ke kontaktu ani k obnovení účtu. Jediný jeho účel je udržet zkušební verzi na jedné na osobu, aby smazání účtu a nová registrace nepřinesly další. Neukládáme k němu žádnou e-mailovou adresu, jméno ani identifikátor účtu.

9. Zabezpečení dat

Zavádíme přiměřená technická a organizační opatření k ochraně vašich dat:

• Šifrování při přenosu (TLS 1.2+)
• Autentizace pomocí hesla s bezpečným hashováním a časově omezené ověřovací kódy pro registraci a obnovu hesla, plus volitelné přihlášení přes Google (OAuth 2.0 / OpenID Connect)
• Volitelné dvoufázové ověření (aplikace s kódy TOTP a klíče passkey/WebAuthn) se záložními jednorázovými kódy
• OAuth 2.0 pro integrace wearables — nikdy neukládáme vaše přihlašovací údaje třetích stran
• Pravidelné bezpečnostní revize a aktualizace
• Oznámení narušení bezpečnosti ÚŘADU do 72 hodin dle čl. 33 GDPR a dotčeným poskytovatelům dat do 24 hodin
• OAuth tokeny a API přístupové údaje šifrovány v úložišti

10. Vaše práva dle GDPR

Máte následující práva týkající se vašich osobních údajů:

• Přístup (čl. 15) — získat kopii svých osobních údajů
• Oprava (čl. 16) — opravit nepřesné údaje
• Výmaz (čl. 17) — požádat o smazání vašich dat („právo být zapomenut“)
• Omezení (čl. 18) — omezit zpracování za určitých okolností
• Přenositelnost (čl. 20) — obdržet svá data ve strukturovaném, strojově čitelném formátu
• Námitka (čl. 21) — vznést námitku proti zpracování na základě oprávněného zájmu
• Odvolání souhlasu (čl. 7 odst. 3) — kdykoli odvolat souhlas se zpracováním zdravotních údajů, aniž by tím bylo dotčeno předchozí zpracování
• Stížnost — podat stížnost u ÚŘADU nebo dozorujícího úřadu vašeho členského státu EU

Pro uplatnění kteréhokoli z těchto práv nás kontaktujte na info@aiclysm.com. Odpovíme do 30 dnů.

Tato práva můžete uplatnit i přímo v aplikaci: na Dashboardu použijte Exportovat data pro stažení všech vašich dat ve formátu JSON, nebo Smazat účet pro trvalé smazání účtu a všech souvisejících dat.

11. Automatizované rozhodování a profilování

MyBodyAI používá automatizované zpracování k výpočtu zdravotních indexů (například Regenerace, Zátěž stresem, Body Status, Biologický věk) z dat vašeho nositelného zařízení. Skóre vznikají algoritmicky na základě publikovaného výzkumu a jsou personalizovaná podle vaší historie. Žádné rozhodnutí s právními nebo obdobně významnými účinky nevzniká výhradně na základě automatizovaného zpracování. Všechny výstupy jsou informativní přehledy o životosprávě, nikoli lékařská diagnóza. Máte právo požádat o posouzení kteréhokoli automatizovaného hodnocení člověkem, stačí nás kontaktovat.

12. Údaje dětí

MyBodyAI není určen pro uživatele mladší 15 let (v souladu s českým právem). Vědomě nesbíráme osobní údaje dětí. Pokud se domníváte, že nám dítě poskytlo osobní údaje, kontaktujte nás a neprodleně je smažeme.

13. Cookies

Používáme pouze nezbytné cookies pro fungování služby (session cookies, jazyková preference). Nepoužíváme reklamní ani sledovací cookies. Pro výlučně nezbytné cookies není vyžadován souhlas dle směrnice ePrivacy.

Používáme Umami, self-hosted analytický nástroj zaměřený na soukromí, pro pochopení využívání webu. Umami nepoužívá cookies, nesbírá osobně identifikovatelné informace (PII) a nesleduje uživatele napříč weby. Veškerá analytická data jsou uložena na našich vlastních serverech v EU. Žádná data nejsou sdílena s třetími stranami.

Odděleně od Umami a pouze u přihlášených účtů zaznamenáváme několik milníků prvního spuštění: kdy účet vznikl, kdy se poprvé přihlásil, které úvodní obrazovky viděl, kdy byl připojen zdroj dat a jak ten pokus dopadl, a kdy dorazil první den dat a první výsledek. Jsou vázané na váš účet, takže na rozdíl od Umami nejsou anonymní. Slouží k tomu, abychom viděli, kde se lidé při nastavování aplikace zaseknou. Žádné návštěvy stránek, žádný volný text, žádné sledování napříč weby. Jsou součástí exportu dat a mažou se s účtem.

Affiliate odkazy

Některé odkazy na tomto webu jsou affiliate odkazy, stránky s nimi to uvádějí a síť za nimi může uložit cookie kvůli přiřazení případného nákupu. Ostatní odkazy ven žádnou affiliate cookie neukládají a nic nám nevydělávají. Data Vašeho účtu MyBodyAI s nimi tak jako tak nesdílíme. Viz Informace o affiliate odkazech.

14. Změny těchto zásad

Tyto zásady můžeme průběžně aktualizovat. O podstatných změnách vás budeme informovat e-mailem nebo oznámením v aplikaci nejméně 14 dní předem. Datum „Poslední aktualizace“ v záhlaví této stránky bude odpovídajícím způsobem upraveno.

15. Kontakt

Aiclysm
Praha, Česká republika
Email: info@aiclysm.com
Web: aiclysm.com