Ochrana soukromí dětí (COPPA)

Aplikace: Grade AI

Naposledy aktualizováno: 12. října 2026

1. Kdo jsme

• Provozovatel: Martin Sixta
• E-mail: privacy@gradeai.ch

Úplné kontaktní údaje včetně poštovní adresy a telefonu jsou v oddílu 5a. Jiného provozovatele Grade AI nemá: nikdo další přes ni od dětí osobní údaje nesbírá ani je nevede.

Grade AI provozuje jeden člověk. Na tuhle adresu piš s čímkoli podle tohoto textu; odpovídáme do 30 dnů, a dřív tam, kde to zákon vyžaduje.

2. Jak se žák dostane dovnitř a co po něm chceme

Účet si u nás dítě nezakládá. Účet — s e-mailem a heslem — je pro učitele a jen pro dospělé: aplikace se před jeho založením ptá na datum narození, a to i u přihlášení Googlem a Applem, a pod 18 let ho nezaloží. Datum narození zůstává v telefonu; na server jde jen výsledek ano/ne.

Žák se místo toho přihlašuje ID a PINem. Učitel má u své třídy kód a vypínač, kterým připojování zapne a zase vypne. Dokud je zapnuté, žák zadá kód třídy, napíše svoje jméno a zvolí si šestimístný PIN; dostane ID a od té chvíle používá ID a PIN. Kdo zapnutý kód zná, do třídy se dostane — proto podmínky ukládají učiteli vydat kód jen svým žákům a po připojení třídy ho zase vypnout, a proto může učitel komukoli přístup do své třídy i zrušit. Jméno na soupisce, které už má svůj PIN, nikdo jiný zabrat nemůže. Před připojením žák vidí název třídy a jméno vyučujícího, aby poznal, že kód je od jeho učitele.

Zapomenutý PIN vydá nový jednorázový kterýkoli učitel, v jehož třídě žák je. Jakmile se jím žák přihlásí, dosavadní PIN přestane platit a žák si zvolí nový. Kdo a kdy dočasný PIN vydal, zaznamenáváme.

Od dítěte chceme dvě věci: jeho jméno a PIN, který si zvolí. Jméno aplikace přiřadí ke jménu na soupisce od učitele; když tam není, přidá ho na soupisku jako nového žáka a učitel ho vidí. Nechceme e-mail, telefon ani nic jiného, čím by šlo dítě kontaktovat mimo školu — aplikací se k němu nikdo dostat nemůže. PIN se ukládá jen jako jednosměrný otisk a slouží výhradně k tomu, aby žák viděl svoje vlastní známky. Šest číslic není moc, proto se po pěti špatných pokusech přihlášení na 15 minut zamkne a učitel to vidí.

Všechno ostatní, co o žákovi máme, zadal učitel jménem školy, a je to jen tohle:

Fotka odpovědního archu ani žádný její výřez neopouští zařízení. Ukládá se jen přečtený výsledek. Nesbíráme polohu, kontakty, galerii, mikrofon ani reklamní identifikátory — aplikace si o ně systém vůbec neřekne.

2a. Trvalé identifikátory, e-mail od dítěte a obsah, který dítě vytvoří

Trvalé identifikátory. COPPA za osobní údaj považuje i trvalý identifikátor — cookie, reklamní ID, otisk zařízení, IP adresu. Od žáka žádný nesbíráme k tomu, abychom ho poznali nebo sledovali. V mobilní aplikaci neběží žádný analytický ani reklamní skript, o reklamní identifikátor si aplikace u systému vůbec neřekne a hlášení pádů nemáme. Žákovi zůstává v zařízení jen přihlašovací token, aby nemusel PIN zadávat při každém otevření; k ničemu jinému neslouží a s ničím se nespojuje.

Jedna výjimka, a přiznáváme ji rovnou: IP adresa. Jako každá služba na internetu ji u příchozího požadavku vidíme, a to i u požadavku od žáka. Používáme ji k jedinému účelu — je z ní klíč počítadla, aby se z jednoho místa nedala aplikace zahltit a aby nešlo hádat cizí PIN donekonečna. Vzniká z toho řádek „tahle adresa, tahle minuta, tolik požadavků"; není u něj jméno žáka, jeho ID ani nic dalšího, nevzniká z toho žádný profil a nejpozději při nočním úklidu, tedy do 24 hodin, mizí. U adres IPv6 si bereme jen jejich první polovinu. K žákovským cestám se navíc adresa nikdy nezkracuje na jedno konkrétní zařízení — za jednou školní adresou sedí celá třída.

To je naše vlastní počítadlo. IP adresu ke stejnému vnitřnímu provozu vidí i služby, přes které aplikace běží: přihlašování Firebase, které Google provozuje v USA, si ji kvůli bezpečnosti drží několik týdnů, a server Cloudflare ji vidí u každého požadavku, který jím prochází. V přihlašování Firebase je žák jen ID, bez jména.

To je přesně to, co COPPA dovoluje bez souhlasu rodiče jako „support for the internal operations of the website or online service" podle § 312.5(c)(7), kam patří i zabezpečení služby a jejích uživatelů. K ničemu jinému tu adresu nepoužíváme: žádná reklama, žádná analytika, žádné rozpoznávání dítěte při další návštěvě.

Písma jsou přibalená v aplikaci. Do 12. 10. 2026 se stahovala ze služby Google Fonts, která tím viděla IP adresu zařízení; to už se neděje.

Otisk zařízení proti opakovanému zkušebnímu období se žáka netýká. Kontroluje se jen při aktivaci zkušebního období u účtu — a účet si smí založit jen dospělý (oddíl 2).

Ochrana webu před roboty se žáka netýká také. Google reCAPTCHA běží jen v přihlášené části webu, ne v mobilní aplikaci, a žák se přes web do třídy nepřipojuje.

Žák u nás žádný e-mail nemá a nikdy se ho na něj neptáme. Do aplikace se dostane ID a PINem (oddíl 2) a e-mailová kolonka pro něj nikde není.

Kdyby přesto napsal ze svojí soukromé adresy — do podpory takový e-mail jednou za čas přijde — odpovíme mu a jeho adresu pak smažeme. Neukládáme si ji, nepřidáváme ji na žádný seznam a nepoužijeme ji k tomu, abychom se ozvali sami. Kdyby se psaní opakovalo, dáme o tom vědět škole. Je to výjimka pro jednorázovou odpověď podle § 312.5(c) COPPA, ne kanál, který bychom dítěti otevírali.

Obsah, který dítě vytvoří. Žák do aplikace napíše dvě věci, a to jednou při vstupu do třídy: svoje jméno a šestimístný PIN. Pak už jen vyplňuje odpovědi na papírovém archu a v aplikaci si prohlíží výsledek. Nemá kam napsat volný text, nemůže nahrát fotku ani soubor a nemá jak se spojit s jiným uživatelem. Není tu tedy nic, čím by o sobě mohl prozradit víc, než co do třídy zapsal učitel.

Kdybychom to někdy změnili, bez ověřitelného souhlasu rodiče to nespustíme. Poslali bychom škole i rodičům přímé oznámení — co přesně se sbírá, k čemu to je, jak souhlas dát a jak ho vzít zpět — a dokud by souhlas nedorazil, nesbírali bychom nic. Zatím taková funkce neexistuje a povolení školy podle oddílu 3 pokrývá všechno, co aplikace dělá.

3. Souhlas školy místo souhlasu rodiče

Grade AI se prodává učitelům a školám pro výuku ve třídě. Podle přístupu FTC ke školním technologiím může škola povolit sběr údajů žáka pro školní vzdělávací účel namísto individuálního souhlasu rodiče.

Co škola povoluje. Učitel při zakládání účtu prohlašuje, že má od školy svolení Grade AI ve své třídě používat, a za to prohlášení odpovídá (podmínky §3b). Prohlášení se ukládá s časem a s verzí textu, který odsouhlasil. Zpracovatelská smlouva je přílohou podmínek a uzavírá se jménem školy.

Účel je omezený na známkování a vedení výsledků třídy. Údaje žáků nepoužíváme k žádnému obchodnímu účelu. Konkrétně ne:

• žádná reklama, nikomu;
• neprodáváme, nepronajímáme ani nesdílíme údaje žáků;
• neděláme z údajů žáků profily k marketingu ani k jinému účelu než výuce a nepoužíváme je k marketingu (průměry, vývoj a pořadí ve třídě vidí jen učitel);
• netrénujeme na nich modely umělé inteligence;
• neposíláme umělé inteligenci jméno žáka ani nic jiného, čím by se dal určit.

Údaje žáků nikdy nepoužijeme k reklamě — ani k naší, ani k cizí, ani k žádnému cílení podle chování na žáky nebo jejich rodiče. V aplikaci žádná reklama není.

Údaje žáků nikomu nepředáme jinak než (i) na pokyn učitele nebo školy, nebo (ii) když to ukládá zákon či rozhodnutí soudu.

Nezměníme, k čemu se údaje žáků používají a komu se předávají, bez předchozího oznámení škole a jejího souhlasu. Do té doby platí znění, které škola odsouhlasila.

Když nás škola považuje za „school official" podle FERPA, přijímáme, co z té role plyne: s údaji o vzdělávání jednáme pod přímou kontrolou školy, používáme je jen k účelu, ke kterému nám je škola svěřila, dál je nepředáváme jinak, než jak FERPA dovoluje (34 CFR § 99.33), a na pokyn školy je vrátíme nebo smažeme.

Škola má poslední slovo. Může se podívat, co o jejích žácích máme, nechat to opravit, nechat to smazat a odmítnout další sběr — viz oddíl 6.

Rodiče: první adresa je škola, protože o údajích žáků rozhoduje ona. Když škola nepomůže, napiš nám na adresu z oddílu 1 a zařídíme to. Aby údaje dítěte neodešly někomu, kdo není jeho rodič, ověříme si vztah přes školu dřív, než cokoli vydáme nebo smažeme.

3a. Zákony jednotlivých států o údajích žáků

Většina amerických států má zákon o údajích žáků u provozovatelů služeb pro školy — kalifornský SOPIPA a mnoho dalších podle jeho vzoru. Jejich hlavní pravidla dodržujeme v celých Spojených státech, ne jen tam, kde to konkrétní stát vyžaduje. Údaje žáků:

• nepoužíváme k cílené reklamě, u nás ani nikde jinde;
• nepoužíváme k vytváření profilu žáka k jinému účelu než ke vzdělávacímu účelu školy;
• neprodáváme ani nepronajímáme;
• nepředáváme jinak než na pokyn školy nebo učitele, dodavatelům z oddílu 5, aby služba běžela, nebo když to ukládá zákon.

Chráníme je přiměřenými bezpečnostními opatřeními (oddíl 8) a na žádost školy je smažeme do 15 dnů.

Některé státy a obvody vyžadují vlastní podepsanou smlouvu — třeba New York (zákon o vzdělávání § 2-d s listinou práv rodičů) nebo Illinois (SOPPA), případně obvody, které používají vzorovou smlouvu Student Data Privacy Consortium. Souhlas učitele s našimi podmínkami takovou smlouvu nenahrazuje. Potřebuje-li ji váš obvod, ať nám napíše na adresu z oddílu 1 a projdeme ji.

4. Umělá inteligence a co se k ní nikdy nedostane

Umělá inteligence dělá v Grade AI jedinou věc: píše učiteli otázky k testu z tématu nebo z podkladů, které učitel nahraje. Běží u Anthropic PBC ve Spojených státech.

O žákovi nedostane nic. Žádné jméno, e-mail, identifikátor účtu, třídu ani výsledek. Dřívější verze Grade AI uměla žákovi vysvětlit jeho vlastní chyby; tahle funkce se 5. 9. 2026 zrušila celá a automatická kontrola hlídá, aby se nevrátila.

Známku nepočítá umělá inteligence. Přečtení propiskou vybarvených koleček je běžné zpracování obrazu (obrysy a prahy jasu — žádný model, žádné učení) a známka je pevný vzorec ze správných odpovědí. O žákovi se nedělá žádné automatizované rozhodnutí s právním nebo obdobně významným účinkem. Známku dává učitel.

Jedna věc, kterou má škola vědět: učitel může ke generování otázek přiložit vlastní fotky, PDF nebo dokumenty a ty jdou do Anthropicu. Jejich obsah se nekontroluje — ověřuje se jen typ a velikost souboru. Aplikace učiteli přímo u tlačítka pro nahrání říká, ať tam nedává jména žáků, vyplněné testy ani cizí učebnice, a podmínky ho k tomu zavazují. Metadata (poloha pořízení, čas, model přístroje) se z fotek před odesláním odstraňují.

5. Komu se údaje předávají a proč

Aktuální seznam je veřejný na stránce Komu se údaje předávají. Každý z nich jedná podle našich pokynů na základě písemné smlouvy a nesmí údaje použít pro sebe.

O žákovi nedostane nic RevenueCat ani obchody (Apple, Google Play). Řeší jen předplatné učitele; při přihlášení žáka se obchod v aplikaci vůbec nespouští. Apple a Google předplatné prodávají jako samostatní správci podle vlastních podmínek, ne podle našich pokynů.

5a. Kontaktní údaje provozovatele

• Martin Sixta, IČO 30034299
• Zbyslavova 1674, 272 01 Kladno, Česká republika
• Telefon: +420 777 002 227
• E-mail: privacy@gradeai.ch

Na tuhle adresu se obracejí rodiče i školy se vším, co se týká údajů žáků.

6. Práva školy a rodičů

Škola, a přes ni rodič, může:

• nahlédnout do údajů o žákovi, které máme,
• nechat je opravit,
• nechat je smazat a
• odmítnout další sběr — učitel pak žáka vyřadí ze soupisky a dál se nesbírá nic.

Jak. Učitel smaže třídu, žáka i celý účet přímo v aplikaci a maže se to doopravdy — třídy, testy, známky i účet v přihlašování. Škola nám může taky napsat a výmaz provedeme; nevyžadujeme, aby žádost šla přes učitele.

Smazáním účtu mizí i data. Kopii si pro případ pozdější žádosti neschováváme; jedinou kopií je týdenní záloha databáze, která se po 7 dnech sama smaže (oddíl 7).

7. Jak dlouho údaje žáků držíme

COPPA vyžaduje, aby to bylo napsané a veřejné. Je:

Údaje žáků držíme kratší dobu než účet učitele. Účet přežije tři roky nečinnosti, aby se učitel po rodičovské měl kam vrátit; údaje dětí ne, protože ten důvod mluví o učiteli, ne o nich.

Údaje žáků nedržíme donekonečna ani k jinému účelu, než ke kterému byly sebrané. Když školní účel skončí, údaje jdou pryč.

8. Zabezpečení

Vedeme písemný bezpečnostní program pro osobní údaje dětí: jmenovanou odpovědnou osobu, posouzení rizik, opatření odpovídající těm rizikům a revizi nejméně jednou ročně. Program pokrývá i dodavatele z oddílu 5.

V praxi: všechno jde přes HTTPS; pravidla databáze zajišťují, že učitel vidí jen svoje třídy a žák jen svoje známky; heslo se ukládá tak, že se původní nedá zjistit; identifikátory účtů v serverovém logu jsou zkrácené; do administrace se dostane jen účet provozovatele, a to jen s dvoufázovým ověřením.

Stoprocentní zabezpečení neexistuje. Kdyby došlo k úniku, který se týká údajů žáků, oznámíme to škole bez zbytečného odkladu, nejpozději do 48 hodin od chvíle, kdy se o něm dozvíme, aby mohla vyrozumět rodiče. Stanoví-li zákon některého státu o oznamování úniků vlastní požadavky, splníme i ty.

9. Změny

Když tenhle text změníme způsobem, který se podstatně dotýká údajů žáků, oznámíme to školám dřív, než změna začne platit. Datum nahoře vždycky říká, kdy se text měnil naposledy.

Kontakt: privacy@gradeai.ch — Martin Sixta