Zásady používání cookies a audit úložišť v prohlížeči

Účinnost od: [DATUM ÚČINNOSTI] Verze: 1.1 (návrh) Správce: [OBCHODNÍ FIRMA POSKYTOVATELE], IČO [IČO], se sídlem [SÍDLO], e-mail [E-MAIL] Aplikace: [URL APLIKACE]

1. Co jsou cookies a jiná úložiště
2. Právní rámec
3. Přehled cookies, které aplikace používá
4. Úložiště localStorage
5. Analytika, reklama a sledování třetími stranami
6. Jak je souhlas s analytikou zajištěn
7. Jak cookies spravovat v prohlížeči
8. Kontakt a změny těchto zásad

Cookie je krátký textový údaj, který webová aplikace uloží ve vašem prohlížeči a který prohlížeč posílá zpět při každém dalším požadavku. Aplikace je používá zejména k tomu, aby poznala, že jste stále přihlášeni, a nemusela se ptát na heslo při každém kliknutí.

Vedle cookies může aplikace ukládat údaje do úložiště localStorage. To je rovněž úložiště v prohlížeči, ale na rozdíl od cookie se neodesílá na server; zůstává ve vašem zařízení a čte je pouze kód běžící ve vašem prohlížeči.

Tento dokument je auditem skutečného stavu aplikace. Uvedené názvy, doby platnosti a atributy odpovídají zdrojovému kódu, nikoli obecnému vzoru.

• § 89 odst. 3 zákona č. 127/2005 Sb., o elektronických komunikacích, ve znění účinném

od 1. 1. 2022. Ukládat údaje do koncového zařízení uživatele nebo k nim získávat přístup lze jen s předchozím souhlasem, s výjimkou případů, kdy je ukládání nezbytné pro provedení přenosu zprávy nebo pro poskytnutí služby, kterou uživatel výslovně vyžádal.

• Nařízení (EU) 2016/679 (GDPR), zejména čl. 6 odst. 1 písm. b) (plnění smlouvy) a

písm. f) (oprávněný zájem na zabezpečení).

• Zákon č. 110/2019 Sb., o zpracování osobních údajů.

Cookie nezbytná pro přihlášení spadá pod uvedenou výjimku: bez ní službu, kterou jste si vyžádali (přihlášený přístup k vašim fakturám), nelze poskytnout. Souhlas se pro ni nevyžaduje. Aplikace dnes **nepoužívá žádnou analytickou, marketingovou ani sledovací cookie**, a proto nezobrazuje souhlasovou lištu.

Kde v kódu to je (pro účely auditu a kontroly):

• lib/auth.ts — SESSION_COOKIE = "fakturace_session", TOUR_START_COOKIE = "fakturace_tour_start",

SESSION_TTL_SECONDS = 60 * 60 * 24 * 30 a funkce sessionCookieOptions(), která vrací httpOnly: true, sameSite: "lax", path: "/", secure podle prostředí.

• app/prihlaseni/actions.ts — nastavení obou cookies po úspěšném přihlášení; store.delete(SESSION_COOKIE)

při odhlášení.

• app/registrace/actions.ts — nastavení fakturace_session po dokončení registrace.
• middleware.ts a lib/session.ts — ověření podpisu a platnosti tokenu při každém požadavku.
• app/(app)/tour-guide.tsx — přečtení a okamžité smazání fakturace_tour_start.
• lib/cookie-consent.ts — COOKIE_CONSENT_COOKIE = "fakturace_analytics_consent", verze

zásad, ke které se souhlas váže, a funkce resolveConsent(), která chybějící, poškozený nebo zastaralý záznam vyhodnotí jako „bez souhlasu".

• lib/cookie-consent-actions.ts — zápis a smazání záznamu o souhlasu.
• lib/posthog-init.ts — jediné místo, které spouští PostHog. Bez hodnoty granted se

posthog.init nezavolá, takže se skript nenačte a cookie ph_*_posthog nevznikne.

• components/cookie-consent-banner.tsx — souhlasová lišta.

Aplikace nenastavuje žádnou další cookie. Jediná cookie třetí strany je ph_*_posthog a vznikne pouze s vaším souhlasem. Žádná z uvedených cookies se nepoužívá k profilování ani k reklamnímu cílení.

Volba vzhledu tedy není cookie. Nastavuje ji components/theme-toggle.tsx a čte ji skript v app/layout.tsx, aby stránka nezablikala bílou barvou před vykreslením. Údaj neopouští vaše zařízení.

Aplikace používá jeden analytický nástroj, a to pouze s vaším souhlasem.

Co konkrétně se s vaším souhlasem měří. Uvádíme to podrobně, protože nástroj dělá více než jen počítá návštěvy:

• Zobrazené stránky a kliknutí. Které stránky jste navštívili a na které prvky jste

klikli.

• Záznam relace (session replay). Nástroj pořizuje přehrávatelný záznam vaší

návštěvy — pohyb myší, posun stránky a zadané úkony. **Jde o víc než anonymní statistiku a proto to zde uvádíme výslovně.** Obsah polí formulářů je v záznamu standardně maskován.

• Chybová hlášení. Pokud v prohlížeči nastane chyba, odešle se její technický popis,

aby ji bylo možné opravit.

Nesouhlasíte‑li, nenastane nic z uvedeného: skript se vůbec nenačte.

Bez vašeho souhlasu se měřicí skript vůbec nenačte. Nejde o skript, který běží a následně je „umlčen" — souhlas se kontroluje dříve, než se knihovna spustí. Odmítnete‑li, neodejde žádný požadavek a nevznikne žádná cookie třetí strany. Technicky to zajišťuje lib/posthog-init.ts, jediné místo v kódu, které PostHog spouští, a bezpečnostní politika lib/csp.ts, která povoluje spojení pouze na eu.i.posthog.com a eu-assets.i.posthog.com.

Aplikace nepoužívá:

• žádnou reklamní ani remarketingovou značku,
• žádný sledovací pixel,
• žádné profilování ani automatizované rozhodování,
• žádné sdílení identifikátorů z prohlížeče s jinou třetí stranou než uvedeným nástrojem.

Provozní a bezpečnostní protokoly (logy) vznikají na straně poskytovatele hostingu a databáze; nejde o cookies a jejich zpracování popisují Zásady ochrany osobních údajů.

Verze 1.0 těchto zásad stanovila šest podmínek, které musí nasazení analytiky splnit. Analytika nasazena byla a tato část popisuje, jak je každá podmínka splněna a kde v kódu si to lze ověřit.

1. Předchozí souhlas podle § 89 odst. 3 zákona č. 127/2005 Sb. Souhlas se vyžaduje

dříve, než se knihovna spustí.

1. Souhlasová lišta skript skutečně blokuje. Nejde o měření, které běží a je následně

umlčeno. lib/posthog-init.ts je jediné místo, které volá posthog.init, a nezavolá jej, dokud záznam o souhlasu nemá hodnotu granted. Bez souhlasu se nenačte žádný skript třetí strany a neodejde žádný požadavek.

1. Rovnocenná volba odmítnutí. Tlačítka „Souhlasím" a „Nesouhlasím" mají stejnou

velikost, stejný tvar i stejné umístění. Lištu nelze „odklikat" mimo ni a mlčení se nepovažuje za souhlas.

1. Souhlas lze kdykoli odvolat, stejně snadno, jako byl udělen — viz část 7.

Odvolání smaže záznam i cookies nástroje.

1. Záznam o souhlasu. Cookie fakturace_analytics_consent uchovává, co bylo

odsouhlaseno a ke které verzi těchto zásad. Změní‑li se verze, starý záznam pozbývá platnosti a budete dotázáni znovu; nikdo tedy není vázán zněním, které nečetl.

1. Aktualizace tohoto dokumentu. Část 3 uvádí novou cookie, její dobu platnosti a

atributy; část 5 uvádí nástroj, příjemce, místo zpracování a to, že k předání do třetí země nedochází.

Souhlas s analytikou odvoláte tak, že smažete cookie fakturace_analytics_consent způsobem popsaným níže. Při další návštěvě se lišta zobrazí znovu a měření zůstane vypnuté, dokud souhlas znovu neudělíte. Odvolání je tedy stejně snadné jako udělení a nevyžaduje žádnou žádost ani kontakt s poskytovatelem.

Cookies můžete kdykoli smazat nebo zakázat v nastavení svého prohlížeče:

• Chrome: Nastavení → Soukromí a zabezpečení → Soubory cookie
• Firefox: Nastavení → Soukromí a zabezpečení → Cookies a data stránek
• Safari: Předvolby → Soukromí → Spravovat data webů
• Edge: Nastavení → Soubory cookie a oprávnění webu

Důsledek zablokování: cookie fakturace_session je nezbytná. Pokud ji zablokujete nebo smažete, nebude možné se přihlásit a aplikaci nebude možné používat; po smazání za provozu budete odhlášeni. Zablokování fakturace_tour_start nemá jiný důsledek, než že se nezobrazí úvodní průvodce. Zablokování fakturace_analytics_consent znamená, že se lišta zobrazí při každé návštěvě a analytika zůstane vypnutá, protože bez uloženého souhlasu se měřicí skript nenačte.

Odhlášením v aplikaci se fakturace_session smaže na straně serveru i v prohlížeči.

Dotazy k cookies a k ochraně osobních údajů: [E-MAIL], [TELEFON], [OBCHODNÍ FIRMA POSKYTOVATELE], [SÍDLO].

Tyto zásady mohou být změněny, zejména bude‑li do aplikace doplněn nový nástroj, který ukládá údaje do vašeho zařízení. Aktuální znění je vždy dostupné na [URL APLIKACE]. Podstatnou změnu poskytovatel oznámí e‑mailem nebo oznámením v aplikaci.

Máte právo podat stížnost u dozorového úřadu: Úřad pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, www.uoou.gov.cz.