Zásady ochrany osobních údajů

Platné od: 10. srpna 2026

I. Základní informace o správci

Správce osobních údajů: FixIt.app s.r.o. IČO: 23725681 Sídlo: Choratická 2734/6, Záběhlice, 141 00 Praha 4, Česká republika E-mail: legal@fixit.app Telefon: +420 702 140 894

Právní základ: Tyto Zásady jsou v souladu s:

• Nařízením (EU) 2016/679 (GDPR)
• Zákonem č. 110/2019 Sb., o zpracování osobních údajů
• Zákonem č. 127/2005 Sb., o elektronických komunikacích

Kontakt pro ochranu osobních údajů: legal@fixit.app.

Dozorový úřad: Úřad pro ochranu osobních údajů Adresa: Pplk. Sochora 27, 170 00 Praha 7 Web: uoou.cz E-mail: posta@uoou.cz

II. Úvod

FixIt.app s.r.o. ("FixIt", "my" nebo "náš") respektuje vaše soukromí a zavazuje se chránit vaše osobní údaje. FixIt provozuje online platformu, která propojuje poskytovatele služeb se zákazníky a zároveň u vybraných menších zakázek v režimu MARKETPLACE QUICK zajišťuje plnění prostřednictvím vlastních pracovníků zaměstnaných na DPP/DPČ.

Dvojí role: U QUICK zakázky v zaměstnanecké koleji je FixIt zaměstnavatelem pracovníka a poskytovatelem služby. U QUICK zakázky v IČO koleji a u zakázek REALTIME, SCHEDULED a MARKETPLACE PRO je FixIt zprostředkovatelem a dodavatelem služby je označený nezávislý poskytovatel. Zpracování údajů pracovníků v pracovněprávním vztahu podrobně popisuje samostatný dokument Podmínky spolupráce a ochrana osobních údajů pro pracovníky.

Úplný seznam zpracovatelů a příjemců údajů najdete na stránce Zpracovatelé údajů.

III. Jaké osobní údaje zpracováváme

A. Údaje poskytovatelů a partnerů

Rozsah údajů:

• Identifikační údaje: jméno, příjmení, datum narození
• Kontaktní údaje: e-mail, telefonní číslo, adresa
• Obchodní údaje: IČO, DIČ, údaje o oprávnění k podnikání
• Údaje z ověření totožnosti přes Bank iD (bankovní identita)
• Fotografie profilu
• Údaje o poskytovaných službách, hodnocení, recenze
• Identifikátory platebního účtu u poskytovatele plateb (Stripe) a příznaky způsobilosti
• Údaje o transakcích a platbách

Právní základ:

• Čl. 6 odst. 1 písm. b) GDPR - plnění smlouvy
• Čl. 6 odst. 1 písm. c) GDPR - plnění právních povinností
• Čl. 6 odst. 1 písm. f) GDPR - oprávněný zájem (bezpečnost, prevence podvodů, zlepšování služeb)

B. Údaje zákazníků

Rozsah údajů:

• Identifikační údaje: jméno, příjmení
• Kontaktní údaje: e-mail, telefonní číslo
• Adresa místa plnění, včetně případných doplňujících informací (např. kód od vchodu, poznámky k přístupu) - tyto údaje jsou předány přiřazenému poskytovateli/pracovníkovi
• Popis zakázky a fotografie problému, které nahrajete
• Údaje o objednávkách, komunikaci a hodnocení
• Platební údaje zpracovávané platební bránou (Stripe)

Právní základ:

• Čl. 6 odst. 1 písm. b) GDPR - plnění smlouvy
• Čl. 6 odst. 1 písm. a) GDPR - souhlas (marketing)
• Čl. 6 odst. 1 písm. f) GDPR - oprávněný zájem (bezpečnost, funkčnost platformy)

C. Údaje o poloze

Pro vyhledání a přiřazování zakázek používáme aktuální polohu. Při sledování průběhu přiřazené zakázky ukládáme také historii polohy pracovníka: souřadnice, čas, přesnost a související údaje o pohybu. Slouží k určení příjezdu, průběhu práce a řešení sporů. Po dokončení vzniká zjednodušená trasa a údaj o době strávené na místě; tyto záznamy jsou dostupné oprávněné obsluze platformy. Zjednodušená trasa je trvalou součástí záznamu zakázky a přesné souřadnice v okamžiku příjezdu a odjezdu zůstávají i v protokolu událostí zakázky; u pracovníků na DPP/DPČ z ní odvozujeme začátek a konec práce v evidenci odpracované doby podle § 96 zákoníku práce (změřený příjezd a odjezd má přednost před ručně zadanou změnou stavu). Vypnutí sdílení polohy zastaví nové údaje ze zařízení, samo o sobě ale nevymaže již uložené záznamy.

Právní základ: Čl. 6 odst. 1 písm. b) GDPR (plnění smlouvy) a písm. f) (funkčnost služby). U zakázek na marketplace je poloha zobrazovaná protistraně zhrubena (obě strany vidí přibližnou lokalitu, nikoli přesnou adresu, dokud nedojde k přijetí zakázky).

D. Komunikace a přílohy

Zprávy v chatu mezi uživateli jsou uchovávány. Přílohy jsou ukládány v neveřejném úložišti, zpřístupňovány přes dočasné podepsané odkazy a procházejí antivirovou kontrolou.

Právní základ: Čl. 6 odst. 1 písm. b) a f) GDPR.

E. Push notifikace a údaje o zařízení

Pro zasílání oznámení do aplikace zpracováváme push tokeny a základní údaje o zařízení. Doručování notifikací zajišťuje služba Expo (viz Zpracovatelé údajů).

F. Údaje návštěvníků webu

Rozsah údajů:

• IP adresa
• informace o prohlížeči a zařízení
• údaje o návštěvnosti (Umami Analytics - vlastní instalace)
• URL navštívených stránek, referrer

Právní základ: Čl. 6 odst. 1 písm. f) GDPR - oprávněný zájem (bezpečnost, analýza, zlepšování služeb).

G. Veřejný poptávkový formulář (web-leads)

Pokud odešlete poptávku přes veřejný formulář na webu, zpracováváme e-mail, popis problému, město, případné fotografie a IP adresu odeslání. Formulář je chráněn proti robotům službou Cloudflare Turnstile. Na toto ověření se vztahuje dodatek Cloudflare o ochraně soukromí Turnstile. Neuplatněné poptávky jsou po uplynutí lhůty automaticky mazány.

Právní základ: Čl. 6 odst. 1 písm. b) a f) GDPR.

H. Údaje pracovníků (DPP/DPČ)

U pracovníků v pracovněprávním vztahu zpracováváme rozsáhlejší kategorie údajů (mj. rodné číslo, údaje pro mzdovou agendu, hlášení ČSSZ a finančnímu úřadu). Tyto údaje a jejich právní základ popisuje samostatný dokument Podmínky spolupráce a ochrana osobních údajů pro pracovníky.

I. Údaje účastníků soutěží a promo akcí

V rámci soutěží a propagačních akcí zpracováváme identifikační a kontaktní údaje, údaje o účasti (body, referral kódy) a technické údaje (IP adresa, přístupové logy). Podrobnosti obsahuje samostatný dokument Zásady zpracování osobních údajů pro soutěž.

IV. Zpracování obsahu umělou inteligencí (AI)

AI používáme pro zpracování zakázek, tvorbu obsahu a asistenta Fixáček pro zákazníky, pracovníky i nepřihlášené návštěvníky. Zpracováváme text a obrázky, které této funkci předáte, průběh konverzace a kontext potřebný k vyřízení požadavku (např. související zakázku nebo stránku aplikace). Podle použité funkce požadavek zpracovávají:

• Anthropic - jazykové modely pro konverzaci a analýzu a rozpoznání obsahu nahraných fotografií a dokumentů (fotografie problému, účtenky, podklady firemního profilu),
• OpenAI - jazykové modely pro konverzaci a analýzu textu,
• Google - modely Gemini pro generování obrázků (loga, bannery, ilustrace nabídek) z textového zadání; vaše fotografie se do Google nepředávají.

Požadavky směruje naše AI služba Eve; některé požadavky využívají OpenRouter. Obsah tak předáváme i poskytovatelům mimo EU/EHP, zejména do USA. Není správné předpokládat, že konverzace s asistentem zůstává pouze na serverech FixIt. Příjemce a podmínky předávání popisuje přehled zpracovatelů a příjemců.

Právní základ: Čl. 6 odst. 1 písm. b) GDPR (zpracování a vyřízení zakázky) a písm. f) (zlepšování a automatizace služeb).

V. Účely zpracování osobních údajů

Vaše osobní údaje zpracováváme za těmito účely:

1. Provoz platformy - propojení poskytovatelů a zákazníků, dispatch zakázek
2. Plnění smlouvy - zpracování objednávek, komunikace, správa účtů
3. Platební transakce - zpracování plateb přes Stripe
4. Pracovněprávní a daňové povinnosti - u pracovníků na DPP/DPČ (mzdy, ČSSZ, finanční úřad)
5. Právní povinnosti - daňové doklady, účetnictví, archivace
6. Bezpečnost a prevence podvodů - ochrana platformy a uživatelů
7. Marketing - zasílání obchodních sdělení (pouze se souhlasem)
8. Zlepšování služeb - analýza návštěvnosti, automatizace, UX optimalizace

VI. Prevence podvodů a zabezpečení

Za účelem ochrany platformy a uživatelů před podvody a zneužitím zpracováváme technické a bezpečnostní údaje, zejména charakteristiky zařízení, síťové identifikátory (např. IP adresa), přístupové logy a signály pro vyhodnocení rizika. Na základě těchto údajů můžeme omezit nebo zablokovat rizikové jednání.

Právní základ: Čl. 6 odst. 1 písm. f) GDPR - oprávněný zájem (bezpečnost, prevence podvodů).

VII. Zpracovatelé a předávání údajů

A. Zpracovatelé osobních údajů

V souladu s čl. 28 GDPR využíváme řadu zpracovatelů (hosting, platby, ověření totožnosti, AI analýza, notifikace, e-mail, analytika, monitoring chyb aj.). Úplný a aktuální seznam zpracovatelů a příjemců - včetně účelu, umístění a případného předávání mimo EU - najdete na samostatné stránce:

→ Zpracovatelé údajů (subprocessors)

Konkrétní služby, zpracovávané údaje a umístění uvádíme na odkazované stránce. Zahraniční poskytovatelé zajišťují mimo jiné přihlášení, AI, SMS a oznámení; tyto údaje nezůstávají výhradně v EU/EHP.

B. Předávání osobních údajů dalším stranám

Osobní údaje poskytovatelů/pracovníků jsou zpřístupněny zákazníkům při zobrazení profilu a přijetí zakázky (jméno, kontakt, hodnocení).

Osobní údaje zákazníků jsou předány přiřazenému poskytovateli/pracovníkovi po přijetí zakázky (jméno, kontakt, adresa zakázky včetně případných přístupových údajů).

U pracovníků na DPP/DPČ předáváme zákonem stanovené údaje České správě sociálního zabezpečení (ČSSZ), finanční správě a zdravotní pojišťovně pracovníka (hromadné oznámení zaměstnavatele a měsíční přehled o platbě pojistného) - podrobnosti v Podmínkách spolupráce pro pracovníky.

Nepředáváme vaše údaje třetím stranám pro jejich vlastní marketingové účely bez vašeho souhlasu.

VIII. Doba uchovávání osobních údajů

Zákonná archivace se vztahuje na potřebné doklady, nikoli automaticky na celý účet. Při žádosti o výmaz posuzujeme i související záznamy a sdělíme, které údaje uchováváme a proč.

IX. Vaše práva jako subjektu údajů

Dle GDPR máte následující práva. Uvádíme zároveň, jak dnes tato práva reálně uplatňujeme:

A. Právo na přístup (čl. 15 GDPR)

Máte právo na potvrzení, zda vaše údaje zpracováváme, a na přístup k nim. Část svých údajů (profil, adresy, poloha, členství) si můžete stáhnout přímo v aplikaci prostřednictvím funkce exportu; zbývající údaje vám na vyžádání poskytneme ve lhůtě uvedené níže.

B. Právo na opravu (čl. 16 GDPR)

Máte právo požadovat opravu nepřesných nebo doplnění neúplných údajů.

C. Právo na výmaz - „právo být zapomenut" (čl. 17 GDPR)

Žádost můžete podat v nastavení účtu nebo na legal@fixit.app. Pokud jí nebrání probíhající zakázka, platba, pracovněprávní vztah či jiná překážka, systém po 14denní ochranné lhůtě, během níž lze žádost odvolat, účet deaktivuje, smaže adresy, kontakty, push tokeny a přihlašovací identity a zbývající záznam pseudonymizuje (jméno, e‑mail a telefon nahradí zástupnými hodnotami). Údaje, které musíme uchovat ze zákona (zejména mzdové a identifikační záznamy pracovníků, podpisové a ověřovací auditní stopy a datum narození u pracovních záznamů), zůstávají vázány na tento pseudonymizovaný záznam po zákonnou dobu. Ostatní žádosti se předávají k ručnímu posouzení. Údaje potřebné pro zákonné povinnosti nebo konkrétní právní nároky se uchovávají odděleně od běžného používání účtu; smazání účtu proto neznamená okamžitý výmaz všech dokumentů.

D. Právo na omezení zpracování (čl. 18 GDPR)

Máte právo požadovat, abychom omezili zpracování vašich údajů.

E. Právo na přenositelnost údajů (čl. 20 GDPR)

Máte právo získat údaje, které jste nám poskytli, ve strukturovaném, běžně používaném a strojově čitelném formátu (v rozsahu, který funkce exportu podporuje; zbytek na vyžádání).

F. Právo vznést námitku (čl. 21 GDPR)

Máte právo kdykoli vznést námitku proti zpracování, zejména pro účely přímého marketingu.

G. Právo odvolat souhlas (čl. 7 odst. 3 GDPR)

Pokud je zpracování založeno na souhlasu, máte právo jej kdykoliv odvolat. Souhlas udělený při ověření přes Bank iD lze odvolat; po odvolání je příslušný snímek identity zneplatněn (viz čl. XI).

H. Právo podat stížnost

Máte právo podat stížnost u Úřadu pro ochranu osobních údajů.

Jak uplatnit svá práva: Kontaktujte nás na legal@fixit.app. Žádost vyřídíme bez zbytečného odkladu, nejpozději do jednoho měsíce. Pokud zákon dovoluje prodloužení kvůli složitosti nebo počtu žádostí, oznámíme vám během prvního měsíce důvod a novou lhůtu.

X. Analytika a sledování návštěvnosti

Pro pochopení využívání webu používáme vlastní analytické řešení Umami:

• žádný analytický soubor cookie na vašem zařízení,
• data jsou agregována, ukládána na serverech v EU,
• žádné sdílení dat s třetími stranami pro jejich účely,
• geografická poloha pouze na úrovni země.

Umami samo o sobě neukládá do zařízení žádný analytický soubor cookie. Web ale ukládá tyto vlastní cookies: fixit_locale (zvolený jazyk, 1 rok), __Host-fixit_session (přihlášení, HttpOnly, po dobu relace) a při příchodu z kampaně fixit_attr (zdroj a kampaň bez osobních údajů, 90 dní), který se připojuje k událostem v Umami. Cookies třetích stran nepoužíváme.

Právní základ: Oprávněný zájem (čl. 6 odst. 1 písm. f GDPR).

Pro vyšetřování chyb používáme vlastní instalaci Sentry. Chybová hlášení mohou obsahovat identifikátor účtu, e-mail, technické údaje o zařízení a kontext chyby. Při chybě může hlášení obsahovat i krátký záznam obrazovky před chybou (Session Replay); text a vstupy formulářů jsou v něm maskovány a záznam vzniká jen při chybě, nikdy průběžně. Vypnutí automatického sběru některých údajů neznamená, že jsou všechna hlášení anonymní. Přístup slouží k diagnostice a opravě chyb.

Pro vyhledávání v aplikaci ukládáme u přihlášených zákazníků vyhledávací události: když hledání vrátí výsledky nebo když klepnete na našeptaný návrh, uložíme hledanou frázi (malými písmeny, nejvýše 60 znaků; fráze se znakem @ nebo s pěti a více číslicemi neukládáme), přibližnou oblast (buňka o velikosti zhruba 5 km, nikdy přesné souřadnice), typ a čas události a pseudonymní identifikátor (klíčovaný otisk HMAC identifikátoru účtu; samotný identifikátor účtu neukládáme). Slouží k zobrazení sekce „Oblíbené v okolí“ a k řazení našeptávače. Ostatním se fráze zobrazí, až ji v dané oblasti během 30 dní hledalo alespoň 5 různých lidí; vulgární výrazy filtrujeme. Právním základem je oprávněný zájem na zlepšování vyhledávání (čl. 6 odst. 1 písm. f GDPR).

XI. Ověření totožnosti přes Bank iD

Pro ověření totožnosti využíváme službu Bank iD (bankovní identita). Z Bank iD získáváme identifikační údaje potřebné pro ověření a v případě pracovníků i další údaje nezbytné pro pracovněprávní vztah (podrobně v Podmínkách spolupráce pro pracovníky).

Odvolání souhlasu / revokace: Souhlas udělený v Bank iD můžete odvolat. Na základě revokace je příslušný snímek ověření totožnosti u nás zneplatněn a tato skutečnost je zaznamenána v auditní stopě.

XII. Zabezpečení osobních údajů

Implementovali jsme technická a organizační opatření:

• Šifrování: SSL/TLS při přenosu; citlivé údaje (např. rodná čísla, IBANy) jsou šifrovány i při uložení (AES-256-GCM),
• Přístupová práva: omezený přístup pouze pro oprávněné osoby,
• Zálohy: pravidelné automatické zálohy,
• Monitoring: sledování bezpečnostních hrozeb,
• Minimalizace: citlivé identifikátory jsou v přehledech maskovány.

XIII. Změny těchto zásad

Tyto Zásady můžeme aktualizovat. O významných změnách vás budeme informovat prostřednictvím e-mailu nebo oznámení na platformě.

XIV. Kontakt

Pro dotazy k ochraně osobních údajů:

• E-mail: legal@fixit.app
• E-mail: info@fixit.app
• Telefon: +420 702 140 894

Úřad pro ochranu osobních údajů:

• Web: www.uoou.cz
• E-mail: posta@uoou.cz
• Telefon: +420 234 665 111

Poslední aktualizace: 25. září 2026