Zásady ochrany soukromí

1. Úvod

Tyto zásady ochrany soukromí popisují, jak mobilní aplikace StageCore (dále jen „aplikace“) nakládá s osobními a provozními údaji při používání skladového terminálu pro zaměstnance a oprávněné uživatele.

Aplikace je určena pro interní provoz skladu a komunikuje výhradně se serverem intranetu vaší organizace (API StageCore / intranet-api), jehož adresu zadáte při přihlášení.

Pokud aplikaci používáte jako zaměstnanec nebo smluvní pracovník zákazníka StageCore, může být správcem osobních údajů (data controller) vaše organizace (zaměstnavatel). Provozovatel softwaru pak vystupuje jako zpracovatel v rozsahu poskytování služby. Podrobnosti o zpracování v rámci vaší firmy najdete u interního oddělení nebo u správce intranetu.

2. Rozsah platnosti

Zásady se vztahují na:

• mobilní aplikaci StageCore pro Android,
• data zpracovávaná aplikací lokálně v zařízení,
• data odesílaná na server intranetu, který si uživatel nebo organizace nakonfiguruje.

Aplikace nesbírá údaje pro reklamní účely, nepoužívá analytické SDK třetích stran (např. Firebase Analytics) a neprodává osobní údaje.

3. Jaké údaje aplikace zpracovává

3.1 Údaje, které zadáváte vy

3.2 Údaje získané po přihlášení ze serveru

3.3 Údaje uložené lokálně v zařízení

Aplikace ukládá do zabezpečeného úložiště preferencí zařízení (Android DataStore):

• přístupový a obnovovací token (JWT),
• metadata relace (ID uživatele, jméno, oprávnění, role),
• adresa API a doména serveru.

Při odhlášení se přístupové tokeny a metadata relace z lokálního úložiště odstraní.

3.4 Údaje, které aplikace nesbírá

Aplikace nevyžaduje a nezpracovává ze zařízení mimo jiné:

• polohu (GPS),
• kontakty, kalendář, SMS, hovory,
• fotografie ani soubory z galerie,
• mikrofon (kromě systémových zvukových signálů přehrávaných aplikací),
• reklamní identifikátor zařízení.

Kamera zařízení se nepoužívá. Čárové kódy se zadávají přes terminálový skener (emulace klávesnice) nebo ručním vstupem.

4. Oprávnění Android

Aplikace žádá pouze tato oprávnění:

Žádná další oprávnění pro přístup k osobním datům v zařízení nejsou vyžadována.

5. Účely a právní základy zpracování

Údaje zpracováváme za těchto účelů:

1. Přihlášení a udržení relace — ověření identity a autorizace požadavků na API.
   Právní základ: plnění smlouvy / oprávněný zájem organizace (provoz intranetu).
2. Provádění skladových operací — evidence nakládky, vykládky, výdejek a souvisejících úkonů.
   Právní základ: plnění smlouvy / oprávněný zájem organizace.
3. Zabezpečení a provoz služby — ochrana API tokenů, refresh relace, prevence zneužití.
   Právní základ: oprávněný zájem.
4. Plnění právních povinností — pokud to vyžaduje zákon (např. účetní nebo pracovněprávní dokumentace na straně serveru).
   Právní základ: právní povinnost správce na serveru.

6. Komu mohou být údaje předány

6.1 Server vaší organizace

Veškerá provozní data a přihlašovací požadavky jsou odesílány na intranet API server, který spravuje vaše organizace nebo její dodavatel. Rozsah uchování a přístupu na serveru se řídí smluvními podmínkami a interními pravidly organizace.

6.2 Třetí strany v aplikaci

Aplikace neintegruje služby pro reklamu, sledování chování ani cloudové analytické platformy třetích stran.

Používané open-source knihovny (Android Jetpack, OkHttp, Retrofit, Coil aj.) slouží pouze k technickému chodu aplikace a neodesílají data mimo vámi zadaný server API.

6.3 Google Play

Distribuce přes Google Play podléhá zásadám ochrany soukromí společnosti Google. Google může zpracovávat údaje související s instalací a aktualizací aplikace podle svých podmínek.

7. Přenos dat mimo EU/EHP

Pokud je server intranetu umístěn v EU/EHP, data zůstávají v tomto regionu. Pokud je server mimo EU/EHP, přenos se řídí pravidly vaší organizace (standardní smluvní doložky, rozhodnutí o přiměřenosti apod.). Informace získáte u správce intranetu.

8. Doba uchování

Zálohování dat aplikace do cloudové zálohy Androidu je vypnuto (allowBackup="false").

9. Zabezpečení

Přijímáme přiměřená technická a organizační opatření, mimo jiné:

• přenos dat výhradně přes šifrované spojení HTTPS (produkční aplikace neumožňuje nešifrovaný HTTP provoz),
• ukládání tokenů pouze v lokálním úložišti aplikace, ne v běžných sdílených souborech,
• automatické obnovení a zneplatnění relace při odhlášení,
• autorizace každého API požadavku pomocí přístupového tokenu.

Žádný způsob přenosu nebo uložení přes internet není zcela bez rizika; organizace by měla používat silné heslo, aktuální zařízení a zabezpečenou síť (VPN/Wi‑Fi).

10. Vaše práva (GDPR)

Pokud jste subjektem údajů podle nařízení GDPR, máte vůči správci osobních údajů (typicky vaší organizaci) tato práva:

• právo na přístup k údajům,
• právo na opravu,
• právo na výmaz („být zapomenut“),
• právo na omezení zpracování,
• právo na přenositelnost údajů,
• právo vznést námitku,
• právo podat stížnost u dozorového úřadu (v ČR: Úřad pro ochranu osobních údajů, www.uoou.cz).

Žádosti týkající se údajů zpracovaných na intranet serveru směřujte na správce u vaší organizace. Dotazy k těmto zásadám nebo k aplikaci jako takové můžete poslat na gdpr@vermoont.cz.

11. Děti

Aplikace není určena osobám mladším 16 let a vědomě nesbírá osobní údaje dětí. Používání je určeno pro oprávněné pracovníky a partnery organizace.

12. Změny zásad

Tyto zásady můžeme aktualizovat při změně funkcí aplikace nebo právních požadavků. O podstatných změnách informujeme zveřejněním nové verze na této adrese s uvedením data „Poslední aktualizace“. Další používání aplikace po účinnosti změn znamená seznámení s aktualizovaným zněním.

13. Kontakt