Vaše rodinná paměť není náš obsah.

1. Kdo Křídla provozuje

Provozovatelem aplikace a správcem údajů, které se skutečně dostanou na naše servery, je Mgr. Marek Páral, IČO 73846074, Kovalovická 361, 664 07 Pozořice. Pro otázky k soukromí napište na info@rodinne-konstelace.org.

2. Místní trezor a propojení zařízení

Jména osob, rodinné vztahy, data a místa narození, fotografie, dokumenty, zvukové záznamy, vyprávění, osobní obrazy, deníkové zápisy a uložená vlákna se ukládají do IndexedDB v prohlížeči jako šifrovaný trezor. Bez zapnutého propojení zařízení se tento trezor na server Křídel neodesílá.

PIN aplikace neposílá na server ani jej neukládá. Můžete si jej uložit ve svém správci hesel. Bez zapamatování zařízení zůstává odvozený šifrovací klíč jen v paměti otevřené aplikace.

Volba „Zapamatovat toto zařízení“ uloží odemykací klíč v prohlížeči tohoto zařízení. Trezor se pak otevírá bez PINu a má k němu přístup každý, kdo může používat odemčené zařízení. Aplikace nekontroluje jeho zámek obrazovky. Zapamatování vypnete v části Já → Otevírat bez PINu; tlačítko Zamknout ho také zruší.

Odemykací klíč zařízení není součástí zálohy. Obnovení zálohy vyžaduje její původní PIN a ruší dřívější zapamatování zařízení. Zapomenutý PIN neumíme obnovit.

V části Já → Propojená zařízení můžete dobrovolně zapnout trvalé propojení přes QR kód. Server pak ukládá poslední šifrovanou verzi rodinných dat, náhodný identifikátor trezoru, otisk přístupového tokenu a číslo verze. Obsah je před odesláním šifrován AES-GCM náhodným 256bitovým klíčem nezávislým na PINu. Server tento klíč nedostane. Klíč a přístupové údaje se v zařízeních ukládají uvnitř místního šifrovaného úložiště. Každé zařízení má vlastní PIN.

Párovací QR platí 5 minut a slouží k potvrzení nového zařízení v odemčeném trezoru. Párovací tajemství je v části odkazu za znakem #, kterou prohlížeč neposílá v HTTP požadavku. Server zprostředkuje šifrované předání přístupových údajů. Schválené zařízení může číst a měnit celý trezor. Párujte pouze vlastní zařízení.

Obnovovací soubor umožňuje získat poslední synchronizovaná data i při ztrátě všech zařízení. Obsahuje tajný klíč a přístupové údaje, nikoli samotné rodinné zápisy. Kdo jej získá, může data otevřít bez původního PINu. Uložte jej mimo telefon. Bez spárovaného zařízení, obnovovacího souboru nebo vlastní zálohy přístup neumíme obnovit.

Synchronizace probíhá při otevřené a odemčené aplikaci s připojením k internetu. Změny stejného údaje na dvou zařízeních vyžadují výběr verze. Druhá verze se před nahrazením zachová jako místní šifrovaná záloha; stáhněte ji před řešením dalšího konfliktu. Synchronizace není archiv ani náhrada vlastní zálohy.

Import GEDCOM

Po výběru souboru .ged se soubor načte a rozebere přímo v prohlížeči. Původní soubor GEDCOM se na server neodesílá. Do trezoru se uloží převedené osoby a vazby. Při zapnutém propojení se tyto osoby a vazby spolu s fotografiemi a přílohami synchronizují v šifrované podobě.

Diktování a mikrofon

Pokud prohlížeč nabízí místní přepis ve zvoleném jazyce, řeč se zpracuje v zařízení. Jinak můžete povolit přepis prohlížeče: ten může odesílat hlas svému poskytovateli. Před prvním spuštěním tohoto režimu aplikace zobrazí vysvětlení a vyžádá si vaše potvrzení, které platí do zavření nebo obnovení stránky.

V režimu diktování Křídla zvuk neukládají. Zpracování hlasu poskytovatelem prohlížeče se řídí jeho podmínkami a nastavením. Přepsaný text můžete před uložením upravit. Pokud přepis nepovolíte, můžete dál psát nebo použít mikrofon systémové klávesnice, jehož soukromí řídí nastavení telefonu.

Zvukové záznamy a předčítání

Samostatnou volbou „Nahrát zvuk“ můžete vědomě uložit nahrávku ke člověku nebo deníkovému zápisu. Nahrávka se po potvrzení uloží do šifrovaného trezoru; při zapnutém propojení zařízení je součástí šifrované synchronizace. Jedna nahrávka může mít nejvýše 10 minut a 12 MB. Dokud ji neuložíte, lze ji zahodit.

Předčítání používá syntézu řeči poskytovanou operačním systémem nebo prohlížečem. Křídla kvůli předčítání text neposílají na svůj server. Dostupnost hlasu a případné další zpracování se řídí nastavením konkrétního zařízení.

Otevřený export

Na stránce otevřeného exportu můžete vytvořit nešifrovaný TXT, PDF nebo ZIP s vybranými lidmi a druhy obsahu. ZIP může obsahovat také fotografie, dokumenty, zvuky a strukturovaný JSON. Stažený otevřený export může obsahovat citlivé údaje a jeho další zabezpečení je na uživateli. Pro úplnou obnovu aplikace nadále slouží šifrovaná záloha.

3. Co může vidět webový server

Server doručuje kód a obrázky aplikace a kontroluje dostupnost nové verze. Při běžném načtení webu mohou v technických protokolech hostingu vzniknout údaje jako IP adresa, čas požadavku, požadovaná adresa a informace o prohlížeči. Slouží k bezpečnosti, řešení chyb a spolehlivému provozu; právním základem je oprávněný zájem na zabezpečení a provozu služby.

Křídla nepoužívají reklamní ani analytické služby třetích stran a nevytvářejí uživatelský účet. Provozovatelem technického hostingu je WEDOS.

Statistiky používání aplikace

Od verze 2.32.0 se při online používání zaznamenává otevření aplikace, názvy zobrazených částí, jazyk, režim prohlížeče nebo instalované aplikace a čas aktivity podle serveru. Náhodné označení návštěvy existuje pouze v paměti otevřené karty; neukládá se do cookies ani do úložiště zařízení a nespojuje se se jménem či trezorem. Statistiky neobsahují obsah rodokmenu, zápisů, fotografie, PIN ani IP adresy. Jsou dostupné pouze správci. Uchovávají se za posledních 90 dní, starší soubory se odstraňují při dalším záznamu. Požadavky slouží k přehledu používání; výpadek měření neomezuje aplikaci. Offline aktivita se zpětně neodesílá. Nastavení Do Not Track a Global Privacy Control měření vypínají.

Evidence prvního použití

Od verze 2.29.0 se při prvním online otevření vytvořeného nebo odemčeného trezoru odešle zadané jméno a technické označení trezoru. Server uloží jeho otisk, pořadí a čas prvního přijetí pro nabídky prvním uživatelům a propojení se žádostí o AI. Opakované otevření pořadí ani čas nemění. Evidence neobsahuje rodokmen, zápisy, fotografie ani PIN a není veřejná. Uchovává se pro vyhodnocení těchto nabídek; o odstranění záznamu můžete požádat provozovatele. Starší použití ani začátek práce offline tím nelze zpětně prokázat.

Knihovna a semináře

Po odemknutí a při ruční aktualizaci si aplikace vyžádá veřejný seznam vybraných článků a aktuálních seminářů z rodinne-konstelace.org. Tento požadavek neobsahuje jméno uživatele, rodokmen, PIN, deník ani jiný obsah trezoru. Server může zaznamenat pouze obvyklé technické údaje popsané výše.

Stažené texty knihovny se uloží do šifrovaného místního trezoru, aby byly dostupné offline. Při dalším připojení se mohou nahradit novější publikovanou verzí. Termíny seminářů obsahují pouze veřejné informace; přihláška se otevírá na hlavním webu a do Křídel se nepřenášejí seznamy účastníků.

Cesty, média a AI ohlédnutí

Záměr, otázka a její historie, deníkové zápisy, fotografie, nahrávky, přepisy a uložená ohlédnutí patří do šifrovaného trezoru. Při dobrovolné synchronizaci se přenáší šifrovaná kopie.

AI ohlédnutí zpracuje pouze záměr, zápisy, fotografie a zkontrolované přepisy, které vyberete a předem uvidíte. Automatický přepis zvuku, je-li na serveru nastavený, odešle po vašem potvrzení konkrétní nahrávku OpenAI. Křídla podklady na serveru neukládají; zpracování poskytovatelem se řídí jeho pravidly ochrany dat. PIN ani celý trezor se AI neposílají.

4. Volitelný AI průvodce

Vlastní AI a přístupové kódy

Zadání pro vlastní AI vzniká v zařízení a uloží se do šifrovaného trezoru, aby šel výsledek přiřadit i po návratu. Stažený TXT nebo ZIP je čitelný a obsahuje vámi vybrané podklady; své AI ho předáváte sami. Výsledek se uloží až po vaší kontrole.

Vestavěné API je dostupné jen s povolením správce. Server eviduje označení příjemce, otisk přístupového kódu, platnost, denní limit, počet požadavků a čas posledního použití. Rodinné podklady součástí tohoto seznamu nejsou. Přístup lze odvolat nebo nahradit novým kódem.

Pokud o přístup požádáte přímo v aplikaci, server uloží zadané jméno, nepovinnou zprávu, stav žádosti a časy jejího vytvoření a vyřízení. Nezbytná HttpOnly cookie spojí žádost s tímto prohlížečem, aby se schválený přístup mohl automaticky aktivovat. Žádost neobsahuje rodokmen ani zápisy z trezoru. Nevyřízené žádosti se uchovávají nejvýše 180 dní a vyřízené nejvýše rok.

Po aktivaci se přístupový kód uchovává v nezbytné HttpOnly cookie nejvýše rok; správce může jeho platnost ukončit dříve. V části Já → Přístup k AI můžete přístup v prohlížeči zapomenout. Nejde o reklamní cookie ani o čtení trezoru správcem.

Na kartě předka lze také spustit výzkum jeho života, doby a místa. Před odesláním můžete prohlédnout a vybrat genealogické údaje předka a blízkých příbuzných. Při zapnutém hledání na webu může poskytovatel AI použít jména, data a místa ve vyhledávacích dotazech. Webové hledání lze vypnout a zpracovat jen vybrané údaje stromu. Nálezy s odkazy se uloží do trezoru až po vašem výběru.

AI není potřebná pro rodokmen, GEDCOM, fotografie ani deník. K síťovému odeslání dojde až poté, co uživatel otevře AI průvodce, vybere osoby a zápisy, prohlédne si připravený výřez a stiskne tlačítko pro odeslání.

Přenést se mohou: položená otázka, vybraná jména, vztah osoby k uživateli, údaj o úmrtí a výslovně vybrané textové podklady. V AI ohlédnutí lze výslovně připojit také vybrané fotografie a přepisy; automatický přepis odesílá potvrzenou nahrávku. Celý GEDCOM, celý trezor ani PIN se neposílají. Obsah požadavku a odpovědi Křídla na vlastním serveru neukládají; odpověď se uloží do trezoru jen tehdy, když to uživatel zvolí.

Účelem je vytvořit právě vyžádaný podnět k zamyšlení. Zpracování probíhá pouze na pokyn uživatele jako součást jím vyžádané funkce aplikace; právním základem je poskytnutí této služby podle čl. 6 odst. 1 písm. b) GDPR.

Vybraný obsah projde naším serverem ke zobrazenému poskytovateli AI — podle aktuální konfigurace jde o Anthropic nebo OpenAI. Tito poskytovatelé mohou data zpracovávat mimo Evropský hospodářský prostor podle svých smluvních a bezpečnostních podmínek. Před odesláním aplikace vždy ukáže, který poskytovatel je připojen.

Pro omezení zneužití se ukládá jednosměrný otisk IP adresy a časy AI požadavků. Samotný text otázky ani rodinných podkladů v tomto záznamu není.

5. Úložiště, cookies a sledování

Šifrovaný trezor a nastavení offline aplikace používají úložiště prohlížeče. Nejde o sledování mezi weby. Křídla nepoužívají marketingové cookies, reklamní identifikátory ani analytické profily.

Při otevření AI se může vytvořit nezbytná relační cookie chránící AI požadavek proti zneužití. Neslouží k přihlášení ani reklamě.

6. Jak dlouho údaje zůstávají a jak je smazat

• Místní trezor: zůstává v zařízení, dokud jej uživatel nesmaže v části Já → Smazat všechna místní data nebo nevymaže data prohlížeče.
• Serverová kopie při propojení: zůstává uložená do volby Já → Propojená zařízení → Zrušit všechna propojení a smazat serverovou kopii. Tím zneplatníte také dosavadní obnovovací klíč. Smazání místního trezoru nebo odpojení jediného zařízení serverovou kopii neodstraní. Přístup k párovacím údajům končí nejpozději za 5 minut; po dokončení se odstraní, zbylé prošlé záznamy se uklidí při dalších párováních.
• Stažená záloha: zůstává tam, kam ji uživatel sám uložil; provozovatel k ní nemá přístup.
• AI podklady: na serveru Křídel se neukládají. Doba případného zpracování poskytovatelem AI se řídí jeho aktuálními podmínkami.
• Technické a bezpečnostní záznamy: uchovávají se jen po dobu potřebnou pro zabezpečení, omezení zneužití a řešení provozních chyb.

Po smazání místního trezoru potřebujete vlastní zálohu, jiné spárované zařízení nebo obnovovací soubor s dostupnou serverovou kopií. Odstranění serverové kopie nesmaže místní trezory ostatních zařízení ani soubory, které jste stáhli.

7. Údaje dalších členů rodiny

Rodokmen obvykle obsahuje údaje více lidí. Uživatel odpovídá za to, že s údaji žijících osob nakládá ohleduplně a používá je pro osobní či rodinný účel. Zvláštní opatrnost je namístě u zdraví, traumat, náboženství, intimního života a dalších citlivých informací.

8. Dotazy, práva a stížnost

Místní trezor z vašeho zařízení nemůžeme vyhledat ani spravovat. Serverovou kopii při zapnutém propojení neumíme bez vašeho klíče přečíst. Její odstranění ovládáte přímo v aplikaci. U údajů, které se skutečně dostanou na naše servery, lze podle okolností žádat o přístup, opravu, výmaz, omezení zpracování, přenositelnost nebo vznést námitku. Kontakt: info@rodinne-konstelace.org.

Stížnost lze podat u Úřadu pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7.

9. Změny těchto zásad

Pokud se změní způsob ukládání nebo předávání dat, upravíme tuto stránku a datum její účinnosti. Změnu, která by rozšířila odesílání rodinných údajů, aplikace nesmí skrýt pouze do textu zásad — musí ji srozumitelně ukázat také před samotným odesláním.