Zásady ochrany osobních údajů

1. Správce a kontakt

• Matee Devs s.r.o., Thámova 137/16, Karlín, 186 00 Praha 8, IČO 08283435, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze, oddíl C, vložka 315432.
• E-mail pro dotazy a uplatnění práv: info@matee.cz.
• Pověřence pro ochranu osobních údajů jsme nejmenovali, protože nám to právní předpisy neukládají.

2. Kdy jsme správcem a kdy zpracovatelem

Jako správce zpracováváme údaje o uživatelských účtech, přihlašování, správě organizací a komunikaci s námi a údaje nezbytné k zabezpečení služby.

Statistiky o využívání AI nástrojů, které do organizace odesílá CLI nástroj, a související údaje o členech organizace zpracováváme jako zpracovatel jménem zákazníka, typicky zaměstnavatele. Správcem těchto údajů je zákazník, který určuje, proč a jak se ve službě používají. S dotazy k nim se prosím obracejte nejprve na něj; s vyřízením mu pomůžeme.

3. Jaké údaje zpracováváme

• Účet: jméno, příjmení, celé jméno z účtu Google nebo GitHub, e-mailová adresa, identifikátor účtu Google nebo GitHub, profilový obrázek, pokud ho poskytovatel poskytne, u přihlášení heslem hash hesla (heslo samotné neukládáme), datum registrace, datum ověření e-mailu a stav účtu.
• Přihlášení: relace přihlášení a tokeny, které Google nebo GitHub vydá při přihlášení (přístupový token, u Googlu i token identity se jménem, e-mailem a profilovým obrázkem). Od GitHubu čteme veřejný profil (jméno, uživatelské jméno, profilový obrázek) a seznam e-mailových adres, ze kterého použijeme jen ověřenou primární adresu. U přihlášení heslem jednorázové odkazy pro ověření e-mailu (platí 24 hodin) a obnovení hesla (platí 1 hodinu), které ukládáme jen v podobě hashe.
• Organizace a členství: název organizace, časové pásmo, domény, role, pozvánky včetně e-mailu pozvané osoby, žádosti o připojení včetně jména a e-mailu žadatele, využití denních náhledů dashboardu a záznamy auditu o správních akcích.
• Zařízení: označení přístupu, čas vytvoření, posledního použití, expirace a odvolání přístupu. Přístupové tokeny ukládáme pouze v podobě hashe.
• MCP tokeny: název, kdo a kdy token vytvořil, kdy byl naposledy použit, kdy vyprší a kdy byl zrušen. Samotný token ukládáme pouze v podobě hashe.
• Statistiky z CLI nástroje: nástroj, model a jeho poskytovatel, identifikátory relací AI nástroje, počty tokenů a zpráv, časy první a poslední aktivity, hodinové počty odpovědí a aktivní čas, souhrny běhů agentů (počty, délka, úroveň uvažování) a čekání na uživatele, souhrnná historická počítadla, cena hlášená nástrojem, e-mail, název počítače a verze CLI nástroje.
• Statistiky projektů, jen pokud je organizace povolí a vy konkrétní projekt sdílíte: identita repozitáře Git, nebo název složky projektu s pseudonymním otiskem její cesty, kategorie práce, trvání a tokeny jednotlivých kroků. Kategorii práce určuje CLI nástroj přímo na vašem počítači; text konverzace počítač neopouští.
• Technické údaje: IP adresa, typ prohlížeče a časy požadavků v provozních záznamech serveru a nezbytné cookies.
• Komunikace: obsah e-mailů, které nám pošlete.

Nikdy nezpracováváme obsah promptů a odpovědí, názvy konverzací, zdrojový kód, soubory, diffy, úplné cesty k souborům ani názvy větví Git. CLI nástroj tyto údaje neodesílá a server přijímá jen pevně daný seznam polí; jakákoli jiná pole odmítne.

4. Účely a právní základy

• Poskytování služby, vedení účtu a organizace, přihlašování a pozvánky: plnění smlouvy (čl. 6 odst. 1 písm. b) GDPR); u uživatelů, kteří nejsou smluvní stranou, náš oprávněný zájem na poskytování služby zákazníkovi (čl. 6 odst. 1 písm. f) GDPR).
• Zabezpečení služby, prevence zneužití a řešení incidentů: oprávněný zájem (čl. 6 odst. 1 písm. f) GDPR).
• Komunikace se zákazníky a podpora: plnění smlouvy nebo oprávněný zájem.
• Plnění právních povinností, například účetních a daňových: čl. 6 odst. 1 písm. c) GDPR.
• Uplatnění a obhajoba právních nároků: oprávněný zájem.
• Zpracování statistik jménem zákazníka: podle pokynů zákazníka, který k němu musí mít vlastní právní základ.

Osobní údaje nepoužíváme k marketingu, profilování, automatizovanému rozhodování s právními účinky ani k trénování modelů umělé inteligence.

5. Kdo má k údajům přístup

• Členové vaší organizace podle svých rolí: vlastníci a administrátoři vidí statistiky celé organizace, členové po odeslání vlastního reportu nebo v rámci denního limitu náhledů vidí statistiky organizace včetně statistik jednotlivých kolegů.
• AI agenti, které připojí vlastník nebo administrátor organizace přes MCP: po jeho zapnutí a s tokenem, který vydá, čtou stejné souhrnné statistiky po lidech, jaké vidí administrátor na dashboardu. Jak s nimi agent naloží, určuje organizace.
• Pověření pracovníci poskytovatele v administraci platformy: vidí seznam organizací, jejich členů a uživatelů (jméno, e-mail, role) a mohou spravovat členství, domény a organizace, například při podpoře nebo řešení zneužití.
• Railway Corporation: hosting aplikace a databáze v datových centrech v Evropské unii (zpracovatel).
• Google Ireland Limited: přihlášení účtem Google; při přihlášení vystupuje jako samostatný správce podle vlastních zásad ochrany soukromí.
• GitHub, Inc.: přihlášení účtem GitHub; při přihlášení vystupuje jako samostatný správce podle vlastních zásad ochrany soukromí.
• Resend: odesílání e-mailů služby (pozvánky, ověření e-mailu, obnovení hesla a upozornění k účtu), s daty v regionu EU (zpracovatel).
• Orgány veřejné moci, pokud nám to ukládá právní předpis.

Aktuální seznam našich zpracovatelů vám na požádání zašleme.

6. Předávání údajů mimo EU

Údaje služby ukládáme v datových centrech v Evropské unii. Někteří naši dodavatelé, například Railway a Resend, jsou společnosti se sídlem v USA. Pokud by při poskytování služby došlo k předání osobních údajů mimo Evropský hospodářský prostor, zajistíme ho vhodnými zárukami podle čl. 44 až 49 GDPR, zejména standardními smluvními doložkami schválenými Evropskou komisí nebo rozhodnutím o odpovídající ochraně.

7. Jak dlouho údaje uchováváme

• Účet a údaje o členství po dobu existence účtu; po jeho zrušení je do 30 dnů vymažeme nebo anonymizujeme. Statistiky, které jste odeslali do organizace, v ní zůstávají jako data bývalého člena, dokud je organizace nesmaže.
• Data organizace včetně statistik a záznamů auditu po dobu užívání služby. Vlastník organizace může v nastavení zapnout automatické mazání dat starších 6, 12 nebo 24 měsíců, administrátor může trvale smazat data bývalých členů a vlastník celou organizaci. Po skončení smlouvy data vymažeme do 30 dnů.
• Záznamy auditu o správních akcích, které mohou obsahovat jméno a e-mail toho, kdo akci provedl, nebo koho se týkala, i po zrušení účtu nebo smazání organizace, abychom mohli doložit, kdo co ve službě změnil. Na žádost zaslanou na info@matee.cz je vymažeme nebo anonymizujeme.
• Záznamy o odvolaných a expirovaných zařízeních po dobu existence organizace, aby bylo možné doložit bezpečnostní události.
• Provozní záznamy serveru jen po dobu nezbytnou k provozu a zabezpečení služby.
• Zálohy databáze po dobu jejich pravidelné rotace; smazané údaje z nich zmizí nejpozději přepsáním zálohy.
• Komunikaci s námi po dobu nezbytnou k vyřízení věci a k obhajobě případných nároků.

8. Cookies a úložiště v prohlížeči

Používáme jen technicky nezbytné cookies a úložiště, bez kterých služba nefunguje. Analytické ani marketingové cookies nepoužíváme, a proto nežádáme o souhlas.

• Přihlašovací cookies Auth.js (relace, ochrana proti CSRF, návratová adresa a dočasné údaje přihlášení přes Google nebo GitHub): relace 30 dní od posledního použití, ostatní do zavření prohlížeče nebo nejvýše 15 minut.
• peapod.verify-binding: po registraci heslem propojí odkaz pro ověření e-mailu s prohlížečem, ve kterém jste se registrovali, 24 hodin.
• locale: zvolený jazyk rozhraní, 1 rok.
• sidebar_state: zda je postranní panel otevřený, 7 dní.
• V úložišti prohlížeče (localStorage), dokud je nesmažete: zvolený barevný motiv (theme), zobrazené tipy na novinky, předvolby sdílení a exportu a modely vybrané k porovnání cen.

9. Zabezpečení

Přenos dat šifrujeme pomocí HTTPS. Data jednotlivých organizací jsou v databázi oddělena řízením přístupu na úrovni řádků, přístupové tokeny zařízení a MCP ukládáme pouze v podobě hashe a přístup každého zařízení lze samostatně odvolat. K produkčním údajům má přístup jen omezený okruh našich pracovníků.

10. Vaše práva

• Právo na přístup k osobním údajům.
• Právo na opravu nepřesných údajů.
• Právo na výmaz, pokud údaje již nepotřebujeme nebo pro jejich zpracování chybí právní základ.
• Právo na omezení zpracování.
• Právo na přenositelnost údajů, které zpracováváme automatizovaně na základě smlouvy.
• Právo vznést námitku proti zpracování založenému na oprávněném zájmu.

Práva uplatníte e-mailem na info@matee.cz. Odpovíme bez zbytečného odkladu, nejpozději do jednoho měsíce. Týká-li se žádost údajů, u kterých jsme zpracovatelem, předáme ji zákazníkovi, který je jejich správcem, a pomůžeme mu ji vyřídit.

11. Stížnost u dozorového úřadu

Máte právo podat stížnost u Úřadu pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, https://uoou.gov.cz, nebo u dozorového úřadu ve státě svého bydliště či pracoviště.

12. Změny zásad

Zásady můžeme aktualizovat. Podstatné změny oznámíme ve službě nebo e-mailem. Datum účinnosti aktuální verze je uvedeno na začátku dokumentu.