Zásady ochrany osobních údajů

Verze ze dne 30. července 2026 · Správce: Martin Vaňa, support@cedulka.eu

Stručně

Cedulka je mobilní aplikace, která na základě naskenovaného čárového kódu nebo vyfoceného jídelníčku zobrazí složení potraviny a upozorní na alergeny, které jsi si nastavil(a). Aplikace je navržená tak, aby ti sebrala co nejméně dat: spustí se bez registrace a jméno ani telefonní číslo po tobě nechce nikdy.

Dvě věci ale vědět musíš. Aby ti šla data přenést mezi zařízeními, vytvoří si aplikace na pozadí anonymní účet a pod jeho identifikátorem drží na serveru tvůj profil alergenů, tvoje vlastní produkty a výsledky skenů jídelníčku. A profil alergenů je zdravotní údaj — zvláštní kategorie osobních údajů podle čl. 9 GDPR — takže s ním zacházíme přísněji než se zbytkem. Podrobnosti níže, včetně toho, jak všechno smazat.

1. Jaká data zpracováváme

1.1 Lokálně na zařízení

• Profil alergenů — kterých 14 EU alergenů ti aplikace bude hlásit. Vybíráš je v Nastavení.
• Historie skenů — čárové kódy, které jsi naskenoval(a), a jejich výsledek (nalezeno / nenalezeno / nedosažitelné).
• Lokální cache produktů — informace o naposledy zobrazených produktech, abys je viděl(a) i offline.

Tato data zůstávají výhradně na tvém zařízení. Při odinstalaci aplikace zmizí.

1.2 Tvůj účet

Při prvním dotazu na server ti aplikace založí anonymní účet ve Firebase Authentication. Nevyžaduje to žádnou akci z tvé strany a nevzniká tím žádný údaj o tvé osobě — jen náhodný identifikátor (uid), pod kterým jsou vedená data níže.

Účet si můžeš dobrovolně povýšit na trvalý pomocí e-mailu a hesla (Nastavení → Účet), abys o data nepřišel(-la) při přechodu na jiné zařízení. Teprve tím nám dáváš svoji e-mailovou adresu; drží ji Firebase Authentication a slouží k přihlášení, ověření adresy a obnově hesla. Nikdy ti na ni nepíšeme marketing.

Od verze 1.3.0 jde účet povýšit také účtem Google nebo Apple. Google či Apple nám tím předají jen e-mailovou adresu tvého účtu (o jméno ani fotku nežádáme); u Apple můžeš zvolit skrytou adresu, která poštu jen přeposílá. Heslo k účtu Google ani Apple nikdy nevidíme a na adresu z nich neposíláme ani ověřovací e-mail.

1.3 Uloženo na našem serveru pod tvým uid

• Profil alergenů — kterých alergenů se vyhýbáš. Je to údaj o zdravotním stavu, tedy zvláštní kategorie podle čl. 9 GDPR. Zpracováváme ho na základě tvého výslovného souhlasu, který dáváš tím, že profil vyplníš, a výhradně proto, abychom ti mohli hlásit to, co jsi si vybral(a).
• Vlastní produkty — potraviny, které si do aplikace přidáš sám(a), když je databáze nezná.
• Výsledky skenů jídelníčku — vytěžený text jídel a vyhodnocení jednotlivých položek, spolu s otiskem profilu alergenů použitého k danému vyhodnocení (aby starší výsledek zůstal čitelný i po změně profilu).
• Denní počítadlo využití rozpoznávání z fotek, kvůli spravedlivému rozdělení kapacity.

1.4 Odesíláno na server, ale neukládáno

• Čárový kód produktu, který právě skenuješ, a preferovaný jazyk (cs/en) — pro vyhledání produktu v databázi.
• Fotky etikety nebo jídelníčku. Server je předá modelu Gemini (viz oddíl 3), převezme z nich text a fotku samotnou nikam neuloží — v žádné databázi ani úložišti souborů. Náhledy zůstávají jen ve tvém zařízení.
• Anonymní atestační token zařízení (Firebase App Check) — Apple App Attest na iOS, Google Play Integrity na Androidu. Token potvrzuje, že požadavek pochází z legitimní instance aplikace, neobsahuje žádný identifikátor uživatele.
• Síťová metadata nezbytná pro doručení požadavku (IP adresa, User-Agent). Cloud Run je drží v provozních lozích typicky 30 dnů a poté maže.

Cache produktů na serveru je sdílená mezi všemi uživateli a není nijak navázaná na tebe (Coca-Cola je Coca-Cola pro každého).

1.5 Diagnostika pádů (Crashlytics)

V aplikaci je integrovaný Firebase Crashlytics. Pokud aplikace spadne, odešle se do Firebase Console stack trace a verze OS / zařízení, abychom mohli chybu opravit.

Součástí hlášení jsou i technické záznamy (breadcrumbs), které aplikace píše do svého logu, aby bylo vidět, co se dělo těsně před pádem. Tyto řádky mohou obsahovat technické identifikátory — třeba čárový kód naposledy hledaného produktu. Neobsahují obsah obrazovky, fotky ani tvůj profil alergenů.

1.6 Statistika používání (Firebase Analytics)

Aplikace odesílá do Firebase Analytics anonymní statistiku o tom, jak se používá — zobrazení jednotlivých obrazovek a události jako „proběhl sken čárového kódu", „dokončen úvodní průvodce" nebo „vymazána historie". Slouží nám k tomu, abychom viděli, které části aplikace mají smysl rozvíjet a kde lidé zabloudí.

Co se v těchto událostech neodesílá: žádný naskenovaný čárový kód, žádný verdikt o bezlepkovosti, žádný název produktu, žádný obsah fotky ani nic z tvého profilu alergenů. U skenu menu se odesílá jen počet nalezených jídel a kolik z nich vyšlo jako bezpečná — tedy čísla, ne obsah.

Události nejsou vedené pod tvým účtem. Firebase k nim přiřazuje identifikátor instalace aplikace, který vznikne při instalaci a zanikne při odinstalování aplikace nebo vymazání jejích dat; nespojujeme ho s tvým přihlášením. Aplikace nečte reklamní identifikátor (Android AAID ani Apple IDFA) — příslušná oprávnění jsou z aplikace odstraněná — a nesleduje tě napříč jinými aplikacemi ani weby.

Statistiku můžeš kdykoli vypnout — Nastavení → Soukromí → Anonymní data o používání. Vypnutí zároveň zahodí identifikátor instalace, takže události odeslané předtím nejde spojit s tím, co zařízení dělá potom.

2. Externí zdroje dat

Informace o produktech (název, složení, alergeny, výživové hodnoty, fotografie) pocházejí z otevřené databáze OpenFoodFacts. Náš server tam jejich jménem dotazuje produkt podle čárového kódu a výsledek vrací aplikaci. OpenFoodFacts vidí dotaz pod jednou User-Agent identitou aplikace, ne pod identitou konkrétního uživatele.

3. Zpracovatelé a sdílení dat

• Google Cloud Run / Neon Postgres — hostují náš backend a databázi.
• Firebase (Google) — Authentication (účty), App Check (atestace zařízení), Crashlytics (diagnostika pádů) a Analytics (statistika používání, viz 1.6).
• Google Gemini API — vytěžuje text z fotek etiket a jídelníčků. Spolu s fotkou dostane i seznam alergenů z tvého profilu, aby uměl vyhodnotit jednotlivá jídla. Službu odebíráme v placeném režimu, ve kterém Google vystupuje jako zpracovatel: obsah nepoužívá k vylepšování svých modelů a nečtou ho lidští hodnotitelé. V bezplatném režimu by to neplatilo, proto na něm nejedeme.
• OpenFoodFacts — zdroj dat o produktech. Dostává jen čárový kód, nikdy tvůj identifikátor ani profil.

Všichni výše uvedení jsou zpracovatelé, kteří smějí s daty nakládat jen podle našich pokynů. Žádná třetí strana od nás neobdrží uživatelská data pro marketingové účely, profilování ani prodej. Data neprodáváme.

4. Tvá práva (GDPR)

Protože jsou tvá data vedená pod identifikátorem účtu, dokážeme je najít a GDPR práva jsou plně uplatnitelná. Máš právo na přístup ke svým údajům, jejich opravu, výmaz, omezení zpracování, přenositelnost a právo vznést námitku. Souhlas se zpracováním profilu alergenů (oddíl 1.3) můžeš kdykoli odvolat — profil stačí vyprázdnit nebo smazat účet.

Dvě z těchto práv jsou zabudovaná přímo do aplikace, takže na ně nemusíš nikomu psát:

• Přístup a přenositelnost — Nastavení → Export dat vytvoří JSON dokument se serverovými i lokálními daty a zkopíruje ti ho do schránky.
• Výmaz — viz oddíl 5.

Cokoli dalšího vyřídíme na support@cedulka.eu, nejpozději do 30 dnů. Stížnost můžeš podat i u Úřadu pro ochranu osobních údajů (uoou.cz).

5. Smazání účtu a dat

V aplikaci: Nastavení → Účet → Smazat účet. Následují dvě potvrzení; ve druhém je potřeba opsat slovo DELETE, aby nešlo účet zrušit omylem.

Co se smaže okamžitě a nevratně:

• účet ve Firebase Authentication (a s ním e-mailová adresa, pokud jsi ji zadal(a)),
• profil alergenů uložený na serveru,
• tvoje vlastní produkty,
• uložené výsledky skenů jídelníčku včetně otisků profilu,
• denní počítadla využití,
• celá lokální databáze v zařízení — historie skenů, cache produktů i náhledy fotek,
• stažené fotky produktů v mezipaměti aplikace — jejich seznam je záznam o tom, co jsi skenoval(a),
• identifikátor instalace používaný statistikou (Firebase Analytics, viz 1.6). Zahodí se a založí nový, takže události z doby před smazáním účtu nejde spojit s tím, co zařízení dělá potom. Už odeslanou statistiku to nemaže — ta je anonymní, nejde ji podle účtu dohledat a Firebase ji sám maže po uplynutí doby uchování nastavené u naší property.

Co smazání účtu nezasáhne:

• provozní logy Cloud Run (IP adresa, User-Agent), které se samy mažou zhruba po 30 dnech,
• záznamy o pádech v Crashlytics — nejsou vedené pod tvým účtem a nejde je podle něj dohledat; Firebase je uchovává max. 90 dnů,
• sdílenou cache produktů, která neobsahuje nic tvého.

Smazání jednotlivých položek bez rušení účtu: nemusíš mazat všechno. Vlastní produkt smažeš v jeho detailu, sken jídelníčku buď v seznamu historie, nebo v detailu skenu, a profil alergenů vyprázdníš odškrtáním v Nastavení. Odstranění se okamžitě propíše i na server; nic z toho neruší účet ani zbytek dat.

Bez přístupu k aplikaci: napiš z e-mailové adresy svého účtu na support@cedulka.eu s předmětem „Smazání účtu Cedulka“. Účet i data smažeme nejpozději do 30 dnů a smazání ti potvrdíme. U anonymního účtu, ke kterému nemáš přístup, tě bohužel dohledat nedokážeme — v takovém případě odinstalace aplikace odstraní vše, co je ve tvém zařízení, a zbytek se váže na identifikátor, který už nikdo nepoužije.

6. Děti

Aplikace cílí na uživatele od 13 let výše a nezaměřuje se na děti mladší. Jde o nástroj pro nakupujícího — u dítěte s alergií se předpokládá, že účet drží rodič.

7. Změny těchto zásad

Pokud zásady významně změníme, aktualizujeme datum verze nahoře a, pokud to bude možné, ohlásíme to v aplikaci. O předchozí znění si můžeš kdykoli napsat na support@cedulka.eu.

8. Kontakt

Martin Vaňa
e-mail: support@cedulka.eu
web: cedulka.eu