Zásady ochrany osobních údajů

Aplikace: Grade AI

Naposledy aktualizováno: 12. října 2026

1. Kdo zpracovává tvoje údaje

Správcem osobních údajů je:

• Jméno / název: Martin Sixta
• E-mail: privacy@gradeai.ch

Na tento e-mail se obracej s čímkoliv, co se týká tvých údajů. Úplné údaje o správci jsou v oddílu 7a.

Pověřence pro ochranu osobních údajů nemáme, protože ho podle čl. 37 GDPR nepotřebujeme: nejsme orgán veřejné moci a naší hlavní činností není rozsáhlé sledování lidí ani zpracování zvláštních kategorií údajů. Odpovídá přímo provozovatel, na adrese výš. Zástupce v EU nepotřebujeme také — sídlíme v Česku.

U údajů o žácích je to jinak. Tam jsme jen zpracovatel: rozhoduje o nich škola, pro kterou učitel učí, a my je pro ni ukládáme. Co si přesně slibujeme, je ve zpracovatelské smlouvě — je to příloha podmínek a učitel ji uzavírá jménem školy.

2. Jaké údaje sbíráme

Sbíráme jen to, bez čeho by aplikace nefungovala.

Když si založíš účet: e-mailovou adresu, heslo (v zašifrované podobě, my ho nikdy nevidíme) a jméno a příjmení. Účet si zakládá jen učitel — žák žádný nemá a do aplikace se dostane ID a PINem, které nejsou spojené s e-mailem (viz oddíl 9).

Když jsi učitel: názvy tříd, které vytvoříš, předměty, školní rok, seznamy jmen žáků ve třídě, testy včetně otázek a správných odpovědí, a výsledky naskenovaných archů.

Když jsi žák: třídy, do kterých se připojíš, tvoje odpovědi v testech, procenta a známky.

Když projdeš úvodním dotazníkem: odpovědi na dvanáct otázek, které aplikace klade učiteli před registrací — jak dlouho učíš, co a koho učíš, kolik máš žáků a jak velké třídy, kolik testů zadáváš a kolik času nad nimi strávíš, co tě na opravování zdržuje, pohlaví a odkud o nás víš. Slouží nám jedině k tomu, abychom aplikaci dělali podle učitelů, kteří ji používají; v našem přehledu je vidíme jako počty odpovědí, ne po jménech. Pohlaví nám říká, pro koho aplikaci děláme, k ničemu jinému ho nepoužíváme.

Dotazník je dobrovolný. Vpravo nahoře ho jedním ťuknutím přeskočíš a u pohlaví je i možnost „nechci uvádět“. Bez odpovědí aplikace funguje stejně, jen ti na konci neukáže odhad ušetřeného času.

Na věk se dotazník neptá. Ptal se, v pásmech, a 5. 9. 2026 se ta otázka zrušila jako zbytečná: věk už jednou řeší věková brána před registrací, a to přísněji. Přesné datum z brány přitom zůstává v telefonu a na server nikdy nejde (oddíl 9) — přenést ho do dotazníku by z něj udělalo osobní údaj navíc, uložený u účtu. Zůstala tedy jediná věková otázka v celé aplikaci, a je to ta přísnější.

Technické údaje: kolik jsi využil funkcí s umělou inteligencí — slouží to výhradně k dodržení měsíčního limitu.

Když si zapneš dvoufázové ověření (je dobrovolné): přihlašovací služba Firebase uchová tajný klíč, ze kterého aplikace v telefonu počítá šestimístné kódy, a čas, kdy sis ho zapnul. My ten klíč nevidíme a nikam ho neposíláme.

Když se registruješ s partnerským kódem: uložíme, že tvůj účet vznikl s tímhle kódem, kdy ses zaregistroval, kdy jsi poprvé zaplatil a do kdy se z tvých plateb počítá partnerovi provize. Partner, jehož kód jsi použil, vidí jen tohle — bez jména a bez e-mailu: „někdo se tohoto dne registroval, platí, provize tolik". Kdo jsi, se od nás nedozví.

Když jsi náš partner (doporučuješ Grade AI za provizi): jméno, e-mail, přidělený kód, dohodnutý podíl a jeho délku, přehled provizí a výplat a číslo účtu, na který výplaty posíláme. Číslo účtu vidí jen provozovatel v administraci; do deníku administrace se nezapisuje.

Když nám napíšeš: adresu, ze které píšeš, a obsah zprávy — abychom mohli odpovědět a vyřídit, oč žádáš.

Co je povinné. Bez e-mailu a jména účet nezaložíme — jsou nutné k uzavření a plnění smlouvy. Všechno ostatní v tomhle oddílu vzniká tím, co v aplikaci sám děláš, nebo je výslovně dobrovolné.

IP adresa. Jako každá služba na internetu vidíme u příchozího požadavku IP adresu. Používáme ji k jedinému účelu: dělá se z ní klíč počítadla, díky kterému se z jednoho místa nedá aplikace zahltit ani na cizí účet protočit peníze za umělou inteligenci. V databázi z toho vznikne řádek ve tvaru „tahle adresa, tahle minuta, tolik požadavků" — není u něj účet, jméno ani e-mail a k ničemu jinému se nepoužívá. Počítadlo platí dvě minuty a nejpozději při nočním úklidu mizí, tedy do 24 hodin. U adres IPv6 si bereme jen jejich první polovinu, takže konkrétní zařízení z ní poznat nejde; u jediné cesty — ověření partnerského kódu, které běží ještě před registrací a žádný účet u sebe nemá — se adresa nezkracuje. Nesledujeme tě podle ní, nespojujeme ji s tvým účtem.

Tohle platí pro naše vlastní počítadlo. IP adresu z povahy věci vidí i služby, přes které aplikace běží: přihlašování Firebase si ji kvůli bezpečnosti drží několik týdnů, hostování webu Firebase několik měsíců a server Cloudflare ji vidí u každého požadavku, který jím prochází. Používají ji k provozu a ochraně služby, ne k reklamě (oddíl 6).

Písma jsou přibalená přímo v aplikaci i na webu. Při jejich načítání se nikam jinam nechodí.

Identifikátor zařízení (jen při zkušebním období): když si aktivuješ zkušební období zdarma, aplikace jednorázově odešle identifikátor zařízení. Na iPhonu je to identifikátor, který systém přiděluje našim aplikacím na tomhle telefonu (Apple ho nazývá „identifier for vendor"); není to reklamní identifikátor, nesleduje napříč cizími aplikacemi a mizí, když si smažeš všechny naše aplikace. V prohlížeči je to náhodně vygenerovaný kód uložený jen v tomhle prohlížeči. Server z něj uchová pouze jednosměrný otisk (HMAC) a používá ho výhradně k tomu, aby z jednoho zařízení nešlo opakovaně zakládat účty jen kvůli další zkušební době. K tvému účtu ho neukládáme a nespojujeme ho s ničím jiným. Otisk se smaže 2 roky od poslední aktivace zkušebního období na tom zařízení.

Proč se tě na to neptáme. Číst údaje ze zařízení smíme bez souhlasu jen tehdy, když je to nezbytné pro službu, o kterou sis sám řekl (§ 89 odst. 3 zákona o elektronických komunikacích). Tady to podle nás platí: o zkušební období si řekneš sám a bez téhle kontroly by šlo brát znovu a znovu. Je to naše posouzení, ne rozhodnutí úřadu.

Co nesbíráme: polohu, kontakty, mikrofon, historii prohlížení ani žádné reklamní identifikátory. Aplikace nemá reklamy a v mobilu neběží žádný cizí skript — na webu jeden je, Google reCAPTCHA proti robotům. Načte se až v přihlášené části webu a je popsaný v oddílu 11. Do galerie aplikace sama nesahá — otevře se jen tehdy, když si tam pro podklady k testu jdeš sám (viz oddíl 4).

Jedna výhrada, ať to nevypadá líp, než to je. Výčet výš je o tom, oč si aplikace řekne telefonu — o polohu, kontakty ani mikrofon si neřekne a systém se tě na ně nezeptá. Kdo se ale přihlásí Googlem, používá jeho přihlašovací knihovnu, a ta má v prohlášení pro Apple uvedený sběr hrubé polohy pro potřeby Googlu. Není to GPS a k nám se nedostane — nevidíme ji, neukládáme a nic s ní neděláme. Píšeme to sem proto, že kvůli ní bude v App Storu u aplikace svítit štítek „Poloha", a ten by jinak vypadal jako rozpor s touhle stránkou. Přihlášení Googlem nebo Applem se vedle těchhle zásad řídí i pravidly Googlu, respektive Applu.

3. Fotky odpovědních archů

Když skenuješ odpovědní arch, obraz z kamery se vyhodnocuje přímo v telefonu. Fotografie se neposílá na server, neukládá do galerie ani nikam neodesílá. Na server se uloží jen výsledek, tedy které odpovědi byly zaškrtnuté, kolik z nich bylo správně a jaká z toho vyšla známka.

Náhled naskenovaného archu si aplikace drží jen v paměti telefonu, dokud máš obrazovku skenování otevřenou — aby sis mohl zkontrolovat, že se sken přečetl správně. Do databáze se nezapisuje a aplikace nemá úložiště obrázků vůbec.

Archy k tisku jsou něco jiného. Když si necháš vytisknout odpovědní archy, vznikne v telefonu PDF a v jeho hlavičce jsou jména žáků. Aplikace ho odloží do dočasné složky telefonu, aby šlo poslat do tiskárny — sami ho nikam neodesíláme. Když ho ale pošleš dál systémovým tlačítkem (e-mailem, do cloudu, do zprávy), rozhoduješ o tom ty jako učitel jménem školy: kam soubor odejde a komu, my nevidíme a neovlivníme. Viz podmínky §3c.

4. Podklady, které nahraješ k testu

Když necháváš otázky vytvořit z vlastních materiálů, můžeš k tomu nahrát fotky výpisků, PDF, dokumenty Wordu nebo textové soubory — buď z galerie, nebo rovnou vyfotit. Tyhle soubory se posílají umělé inteligenci (Anthropic, USA), protože z nich otázky vytváří ona.

U nás se neukládají nikam. Projdou serverem a zmizí; po vygenerování testu po nich v aplikaci nezůstane nic. Posíláme je přímo v požadavku, ne do úložiště souborů u Anthropicu. Anthropic ale vstupy svého rozhraní maže až do 30 dnů od přijetí a k trénování modelů je nepoužívá.

Rozhoduješ o tom ty. Aplikace si do galerie sama nechodí; otevře ji, jen když nahrání sám vyvoláš. Když otázky zadáváš tématem nebo textem, neodejde žádný soubor.

Z fotek odstraňujeme metadata. Než se obrázek odešle, aplikace ho v telefonu překreslí — a tím z něj zmizí poloha pořízení, čas i model a sériové číslo přístroje. Odejde tedy jen to, co je na fotce vidět. Platí to pro každou fotku, i pro tu, která se nezmenšuje; když překreslení neprojde, soubor se neodešle vůbec.

Proto je u aplikace v App Storu vidět položka „Photos or Videos". Ten štítek je právě o těchhle podkladech — o souborech, které sám vybereš a pošleš ke generování otázek. Není o skenování odpovědních archů: ta fotka telefon neopouští (oddíl 3), takže se do žádného štítku počítat nemá a nepočítá.

Nedávej do podkladů osobní údaje, které tam nepatří — hlavně ne jména, adresy nebo zdravotní údaje žáků. K vytvoření testových otázek nejsou potřeba. Obsah podkladů nikdo nečte ani nekontroluje; ověřuje se jen typ a velikost souboru. Co do nich vložíš, to odejde — proto na to aplikace upozorňuje přímo u tlačítka pro nahrání a proto to stojí i v podmínkách §3c.

5. Proč údaje zpracováváme a na základě čeho

Oprávněný zájem tu vždycky znamená něco, bez čeho by služba nešla provozovat bezpečně nebo poctivě, a nikdy reklamu ani prodej. Proti zpracování z něj můžeš vznést námitku (oddíl 8) a my ho pak ukončíme, ledaže bychom doložili závažný důvod, který převáží — typicky ochranu před zneužitím.

O nikom automatizovaně nerozhodujeme (čl. 22 GDPR). Známku počítá pevný vzorec ze správných odpovědí a stupnice, kterou nastaví učitel; umělá inteligence do ní nezasahuje a o žádném člověku nerozhoduje.

Statistiky pro učitele. Aplikace z výsledků počítá průměry, vývoj a pořadí žáků ve třídě. Je to podklad pro učitele, ne rozhodnutí — známku dává on. Vidí je jen učitel té třídy; žák vidí jen svoje vlastní výsledky.

6. Komu údaje předáváme

Nikomu je neprodáváme a nepředáváme za účelem reklamy. Používáme jen tyto zpracovatele, bez kterých by aplikace nefungovala:

Google Firebase (Google Ireland Limited) zajišťuje přihlašování, databázi a hostování webu, a každá ta část běží jinde:

• Databáze (Cloud Firestore) se třídami, testy, známkami a profily běží v Evropské unii (multiregion eur3).
• Přihlašování (Firebase Authentication) Google provozuje jen v USA. Je v něm e-mail a jméno učitele, otisk hesla a klíč dvoufázového ověření, pokud je zapnutý. O žákovi v něm je jen přidělené ID, bez jména.
• Hostování webu a ochrana App Check běží na celosvětové infrastruktuře Googlu.

Anthropic PBC (USA) poskytuje umělou inteligenci, a to k jediné věci — k psaní otázek do testu. Posílá se jí jen to, co jí k tomu zadáš: téma a zadání testu a podklady, které k testu sám nahraješ (fotky výpisků, PDF, dokumenty; viz oddíl 4). Neposílá se jí tvoje jméno, e-mail, nic o žácích — ani jméno, ani odpověď, ani výsledek — ani fotky odpovědních archů. Anthropic podle svých podmínek data z API nepoužívá k trénování svých modelů a maže je do 30 dnů. Déle je drží jen tehdy, když jeho automatická kontrola vyhodnotí požadavek jako porušení pravidel užívání (pak vstupy a výstupy až 2 roky a výsledky té kontroly až 7 let), nebo když mu to uloží zákon. Soubory mu posíláme přímo v požadavku, ne do jeho úložiště souborů.

Cloudflare provozuje server, který stojí mezi aplikací a umělou inteligencí. Prochází jím text, který se posílá umělé inteligenci, a přihlašovací token, aby se dalo poznat, komu se má počítat limit. Text neukládá a nic si z něj nenechává.

RevenueCat vede evidenci předplatného, tedy jestli a od kdy platí. Dostane k tomu identifikátor účtu, historii nákupů z App Storu nebo Google Play a technické údaje požadavku (třeba typ systému a IP adresu) — ne jméno ani e-mail.

Apple a Google předplatné prodávají a přijímají za něj platbu. Nejsou v tom naši zpracovatelé, ale samostatní správci podle svých vlastních zásad — v EU je prodejcem Apple Distribution International Ltd., respektive Google Commerce Ltd, obě z Irska. Údaje o tvé kartě jdou přímo jim a my se k nim nikdy nedostaneme.

Google Ireland Limited (Google Workspace) provozuje schránku, do které chodí pošta na adresu v prvním bodě.

Partnerovi, jehož kód jsi při registraci použil, ukazujeme jen údaje bez jména a e-mailu popsané v oddílu 2.

Předání mimo EU. Google a Cloudflare jsou certifikované podle rámce EU–USA pro ochranu osobních údajů (Data Privacy Framework), u kterého Evropská komise rozhodla, že zajišťuje odpovídající ochranu. U Googlu to kryje i přihlašování Firebase, které běží v USA, a smlouva Firebase k tomu navíc obsahuje standardní smluvní doložky. Předání k Anthropicu a RevenueCatu kryjí standardní smluvní doložky Evropské komise. Jejich kopii ti na požádání pošleme (bez obchodních částí).

Když nás k tomu donutí zákon. Údaje vydáme i tehdy, když nám to uloží platný soudní příkaz, orgán veřejné moci v mezích svých pravomocí nebo jiná právní povinnost — a dál v rozsahu nezbytném k ochraně života, zdraví nebo našich práv, typicky při podvodu. Vydáme jen to, co je vyžádané, ne víc. Pokud nám v tom zákon nebrání, dáme ti o takové žádosti předem vědět; týká-li se údajů žáků, vyrozumíme školu.

Když aplikace změní majitele. Údaje žáků nejsou převoditelný majetek. Před prodejem, sloučením nebo ukončením provozu dáme škole 30 dnů předem vědět, nabyvatele váže znění, které škola odsouhlasila, škola může převod odmítnout a nechat údaje smazat, a při insolvenci se údaje žáků smažou, neprodají. Převod na společnost, kterou ovládá sám provozovatel, za nezměněných podmínek oznámíme také 30 dnů předem; kdo nic nenamítne, pokračuje beze změny, a škola může i tehdy smlouvu ukončit a nechat údaje smazat. Viz oddíl 9a Podmínek použití.

7. Jak dlouho údaje držíme

Dvě různé lhůty, a je to schválně

Údaje žáků držíme kratší dobu než tvůj účet. Po roce, kdy se do aplikace nikdo nepřihlásí, se smažou třídy, jména žáků a známky — tvůj účet, testy a složky zůstávají do tří let.

Není to překlep ani přísnost navíc. Tři roky se odvozují od délky rodičovské dovolené, aby se učitel měl kam vrátit — jenže to je důvod, který mluví o jeho práci, ne o dětech. Jména a známky dětí nemá co držet naživu úvaha o učitelově návratu, a čím dýl leží nepoužívané, tím hůř se obhajují.

Kdo se po roce a půl vrátí, najde svoje testy a prázdné třídy. Žáky do nich zapíše znovu; známky z doby, kdy se aplikace nepoužívala, jsou pryč. Výsledky, které škola musí archivovat, patří do školního systému, ne sem — jsme zpracovatel, ne školní matrika.

Zálohy: krátce a jen u nás

Kopii databáze si pořizujeme sami, naplánovanou úlohou na počítači provozovatele zhruba jednou týdně, abychom při chybě nebo výpadku nepřišli o všechno. Leží na šifrovaném disku počítače provozovatele v Česku, nikam dál se neposílá a po 7 dnech se smaže. Co smažeš, z ní tedy zmizí nejpozději za 7 dní. Obnovovali bychom z ní jen při ztrátě databáze. Co bylo smazáno po jejím pořízení, by se tím mohlo vrátit: smazané účty a výmazy na žádost školy (o těch máme záznam) po obnově smažeme znovu a o všem ostatním dáme dotčeným učitelům vědět.

Poskytovatelé infrastruktury mažou se zpožděním. Smazané údaje odstraňují i ze svých záložních systémů; u přihlašování (Firebase Authentication) Google uvádí nejvýš 180 dnů. K těm kopiím nemáme přístup a nic z nich neobnovujeme. Databázi navíc Google drží ve více kopiích proti výpadku hardwaru — to ale není záloha proti smazání.

Proto to říkáme rovnou, i když to nezní hezky: týdenní kopie chrání před výpadkem, ne před omylem, kterého si všimneš za měsíc. Známky, na kterých ti záleží, veď i ve školním systému. Grade AI opravuje testy, nenahrazuje školní matriku.

Co se doopravdy smaže

Mazání se spustí až po 30 dnech na rozmyšlenou, aby se dalo vzít zpátky — přihlášením do aplikace ho zrušíš sám. Potom je to nevratné.

Jsi-li učitel, zmizí úplně všechno tvoje: třídy, testy včetně otázek a správných odpovědí, výsledky, složky, záznam o spotřebě AI, předplatné, profil i účet v přihlašování.

Jsi-li žák, účet si sám nemažeš — do třídy tě pustil učitel a on také rozhoduje, kdo v ní je. Přístup do třídy ti zruší její učitel (ostatní třídy ti zůstanou); o výmaz tvých údajů může požádat škola nebo tvůj zákonný zástupce (oddíl 9). Při výmazu dat žáků u učitele zmizí i tvoje ID a otisk PINu — pokud nejsi ve třídě ještě u jiného učitele; pak ti přihlášení zůstane pro jeho třídy.

Jméno na soupisce třídy a známky u učitele ale zůstávají. Nejsou to naše údaje ani tvoje — je to školní hodnocení a rozhoduje o něm škola. Kdyby si je mohl smazat žák kliknutím, byla by to chyba, ne funkce. O výmaz těchhle údajů žádej školu nebo svého učitele; ten je v aplikaci smaže sám — jedním tlačítkem, i po vypršení předplatného.

Škola o to může požádat i nás přímo. Napíše-li ředitel nebo pověřená osoba na adresu v prvním bodě, smažeme všechny třídy a známky vedené u toho učitele do 15 dnů a vystavíme o tom protokol. Účet učitele a testy, které napsal, zůstanou — jsou to jeho data, ne školy.

Co zůstává i po smazání: daňové doklady (podle daňových předpisů, nejdéle 10 let), záznam o souhlasu s podmínkami (3 roky), záznam o přístupech do administrace (24 měsíců) a do 7 dní kopie v záloze. Všechno je v tabulce výš.

Opuštěné účty mažeme sami. Účet, do kterého se tři roky nikdo nepřihlásil, se označí k smazání a po dvou měsících zmizí i se všemi daty. Držet jména a známky dětí navždy proto, že se nikdo neozval, by neobstálo.

Tři roky nejsou náhodné číslo: tak dlouho běžně trvá rodičovská dovolená, a učitelka, která se z ní vrátí a nenajde jediný svůj test, by na tom byla hůř než ta lhůta. Kdo se během těch dvou měsíců přihlásí, označení sám zruší.

7a. Údaje o správci

Správcem je Martin Sixta, fyzická osoba podnikající podle živnostenského zákona.

• IČO: 30034299
• Sídlo: Zbyslavova 1674, 272 01 Kladno, Česká republika
• Telefon: +420 777 002 227
• E-mail: privacy@gradeai.ch

8. Tvoje práva

Podle GDPR máš právo:

• na přístup k údajům, které o tobě máme
• na opravu, když je něco špatně
• na výmaz, tedy nechat všechno smazat
• na omezení zpracování, třeba dokud se neověří, jestli jsou údaje správně
• na přenositelnost, tedy dostat svoje údaje ve strojově čitelné podobě
• vznést námitku proti zpracování z oprávněného zájmu
• nebýt předmětem automatizovaného rozhodování — žádné neděláme (oddíl 5)
• podat stížnost u Úřadu pro ochranu osobních údajů (uoou.gov.cz), nebo u dozorového úřadu ve své zemi — v EU a EHP u toho místního, ve Švýcarsku u Federálního pověřence pro ochranu údajů a informací (edoeb.admin.ch)

Většinu z toho zvládneš sám v aplikaci. Účet i se všemi daty smažeš v Nastavení, položka Smazat účet. Pro cokoliv dalšího napiš na e-mail uvedený v prvním bodě.

Než ti údaje vydáme, musíme vědět, že jsi to ty. Přijde-li žádost z e-mailu, který u účtu nemáme, doptáme se — jinak by stačilo napsat cizím jménem a data by odešla někam, kam nepatří. Občanku po tobě nechceme; stačí, když se ozveš z e-mailu, kterým se přihlašuješ.

Odpovídáme do jednoho měsíce a zdarma. U složité nebo rozsáhlé žádosti můžeme lhůtu prodloužit o další dva měsíce — dáme ti o tom vědět do měsíce i s důvodem. Poplatek si smíme účtovat jen u žádosti, která se zjevně bezdůvodně opakuje, a i tehdy ti to řekneme předem.

Je-li zpracování založené na souhlasu, můžeš ho kdykoliv odvolat. Na zpracování, které do té chvíle proběhlo, to nemá vliv.

Týká-li se žádost údajů žáka, rozhoduje o nich škola (oddíl 1). Když nám napíše žák nebo rodič přímo, neodbydeme ho: žádost předáme škole, pomůžeme ji vyřídit a dáme vědět, co se stalo. Výmaz na žádost školy provedeme do 15 dnů.

8a. Jaké e-maily od nás chodí

Marketing ti neposíláme. Nemáme rozesílací službu — je to vidět i na stránce Komu se údaje předávají, kde v kolonce „poštovní služba" stojí, že žádnou nemáme. Tvůj e-mail nikam neprodáváme ani nepůjčujeme.

Chodí ti jen e-maily k zabezpečení účtu, a jen když je sám spustíš: obnova hesla, ověření adresy (když si zapínáš dvoufázové ověření) a potvrzení změny e-mailu. Posílá je přihlašovací služba Firebase. Nic dalšího od nás do schránky samo nechodí, protože rozesílací službu nemáme žádnou — napíšeme ti jen tehdy, když odpovídáme na tvoji zprávu nebo když ti musíme něco sdělit podle zákona či těchto zásad (třeba zdůvodnění podle oddílu 9 podmínek).

Všechno ostatní se dozvíš jinudy:

• konec zkušebního období — dva dny předem ti ho připomene sám telefon (viz níž), nejde to přes nás,
• platby a jejich případné neúspěchy — vyřizuje je Apple nebo Google a píšou ti oni, ne my,
• změnu podmínek a těchhle zásad — oznámíme ti ji v aplikaci.

Odhlásit se z toho nedá, a je to schválně: bez těch oznámení by se ti podmínky změnily pod rukama a informovat tě o nich nám ukládá zákon.

A řekneme rovnou i to, co z toho plyne: o změnách a novinkách se dozvíš jen v aplikaci. Výjimkou je bezpečnostní incident podle oddílu 10 — o tom napíšeme e-mailem přímo dotčeným učitelům, ručně z naší schránky, protože oznámení v aplikaci by minul každý, kdo ji zrovna neotevře. Jakmile rozesílací služba přibude, objeví se na stránce Komu se údaje předávají, oznámíme to 30 dnů předem a tenhle oddíl se změní.

Kdybychom někdy začali posílat novinky o aplikaci, bude to zvlášť a jen na přihlášení (opt-in), s odhlášením v každém takovém e-mailu. Dokud tady a na stránce zpracovatelů nepřibude poštovní služba, žádné takové e-maily neodcházejí.

Oznámení v telefonu neposíláme přes server. Aplikace umí dvě upozornění — dva dny před koncem zkušebního období a v den, kdy končí — a naplánuje si je sám telefon, když si zkušební období pustíš. Nechodí přes nás, nedokážeme ho poslat kdykoli a žádná oznámení žákům nechodí vůbec. Vypnout si je můžeš v nastavení telefonu.

9. Údaje dětí

Aplikace je určená školám a část uživatelů jsou nezletilí žáci. Bereme to vážně a řídíme se tím při každém rozhodnutí o tom, co aplikace sbírá.

Co o dítěti víme: jméno a příjmení, do které třídy patří, jak dopadlo v testech, znění otázek, na kterých chyboval, a poznámku, kterou si o něm učitel může napsat. Ta poznámka je volný text a píše ji učitel — proto mu podmínky (oddíl 3a) zakazují do ní psát cokoliv o zdraví, původu, náboženství nebo rodinných poměrech žáka. Je vidět jen jemu a nikam dál nechodí; k umělé inteligenci se nedostane. Žádný obrázek — fotka archu ani její výřez neopouští zařízení. Nic víc. Žádný e-mail, telefon, polohu, kontakty, fotky z galerie, mikrofon ani reklamní identifikátory — aplikace o ně vůbec nežádá. Jediné technické navíc je IP adresa: v počítadle požadavků podle oddílu 2 platí pro všechny stejně, nespojuje se s účtem a do 24 hodin mizí; vidí ji i služby, přes které aplikace běží (tamtéž). V přihlašování Firebase (USA) je o žákovi jen jeho ID, bez jména.

Co s tím neděláme: nezobrazujeme reklamu, neprodáváme údaje, nevytváříme z nich profily k reklamě ani k jinému účelu než výuce, nepoužíváme je k trénování modelů umělé inteligence a neposíláme jméno dítěte umělé inteligenci. Průměry, vývoj a pořadí ve třídě vidí jen učitel (oddíl 5).

Vlastní účet — s e-mailem a heslem — si smí založit jen dospělý, tedy od 18 let. Ptáme se na datum narození ještě před registrací a zůstává v telefonu; na server jde jen výsledek ano/ne.

Žák se přihlašuje jinak: ID a PINem. Učitel má u své třídy kód a vypínač, kterým připojování zapne a zase vypne. Dokud je zapnuté, žák zadá kód třídy, napíše svoje jméno a zvolí si šestimístný PIN; dostane ID a od té chvíle používá ID a PIN. Kdo zapnutý kód zná, do třídy se dostane — proto podmínky ukládají učiteli vydat ho jen svým žákům a po připojení třídy ho zase vypnout (§3a), a proto může učitel komukoli přístup do své třídy i zrušit. Věková brána se žáka na nic neptá — účet si nezakládá.

Před připojením žák vidí název třídy a jméno vyučujícího. Kdo ho do třídy pustí, může mu totiž vydat nový PIN (níž), takže si dítě má ověřit, že kód je od jeho učitele. Jméno vyučujícího tím uvidí každý, kdo zná zapnutý kód třídy.

Zapomenutý PIN. Nový jednorázový PIN může žákovi vydat kterýkoli učitel, v jehož třídě žák je — tedy do které se žák sám připojil kódem, nebo do které ho učitel z takové své třídy přesunul; to, že si učitel žákův účet do své třídy zapíše sám, nestačí, a kdo žáka ze třídy odebral nebo z jehož třídy žák odešel, PIN už nevydá. Vymyslí ho server, ne učitel, platí hodinu a jen jednou. Jakmile se jím žák přihlásí, dosavadní PIN přestane platit, žák se do hodiny odhlásí na ostatních zařízeních a musí si zvolit nový; na té obrazovce vidí, kdo mu dočasný PIN vydal. Kdyby se dočasným PINem přihlásil někdo jiný, žákovi přestane fungovat jeho PIN a pozná to. Kdo a kdy dočasný PIN vydal, zaznamenáváme (u každého žáka posledních deset vydání), aby šlo odpovědět, kdo to byl. Jednomu žákovi jdou vydat nejvýš tři dočasné PINy denně.

Od dítěte tím sbíráme dvě věci: jméno a PIN. Jméno, které napíše, aplikace přiřadí ke jménu na soupisce; když tam není, přidá ho na soupisku jako nového žáka a učitel ho vidí. PIN ukládáme jen jako jednosměrný otisk (nedá se z něj spočítat zpátky) a neslouží k ničemu jinému než k tomu, aby žák viděl svoje vlastní známky. Šest číslic není moc, proto se po pěti špatných pokusech přihlášení na 15 minut zamkne a učitel to u žáka vidí. Nechceme e-mail, telefon ani nic, čím by šlo dítě kontaktovat mimo školu, a aplikací se k němu nikdo dostat nemůže.

Souhlas zákonného zástupce nesbíráme. Jméno na soupisku zapsal učitel jménem školy — správcem je tedy škola a základem je její úkol, ne souhlas. Čl. 8 GDPR se na to nepoužije, protože dítěti službu nenabízíme přímo: dovnitř ho pouští jeho učitel.

Když žáka do třídy zapisuje učitel, děje se to v rámci činnosti školy. Za informování žáků a jejich zákonných zástupců odpovídá škola jako správce údajů svých žáků; my jsme zpracovatel a co si slibujeme, je ve zpracovatelské smlouvě.

Žák si třídu sám neopouští a svůj přístup nemaže — kdo do třídy patří, rozhoduje učitel. O výmaz údajů žáka může požádat škola, učitel i zákonný zástupce; zákonný zástupce na e-mail v prvním bodě. Aby údaje dítěte neodešly někomu cizímu, ověříme si vztah k žákovi přes školu.

Ve Spojených státech platí navíc COPPA a k ní máme samostatný text: Ochrana soukromí dětí. Je v něm popsané, co o žákovi víme, proč místo souhlasu rodiče stačí povolení školy, komu se údaje předávají a jak dlouho je držíme. Pro USA je rozhodující jeho anglická verze.

10. Zabezpečení

Při přenosu i v uložení. Všechno mezi telefonem a serverem jde přes šifrované spojení (HTTPS/TLS). Data uložená u Google Firebase jsou šifrovaná i na discích poskytovatele, tedy v klidu.

Kdo se kam dostane. Přístup do databáze omezují pravidla, která zajišťují, že učitel vidí jen svoje třídy a žák jen svoje známky. Nejsou to pravidla na papíře — hlídá je sada automatických testů, která běží před každým nasazením. Znění testů a správné odpovědi leží v části databáze, kam žák nevidí, ani když se na ni zeptá napřímo.

Hesla a PINy. Heslo se ukládá jen v podobě, ze které se původní heslo nedá zjistit (solený jednosměrný otisk, obstarává ho přihlašovací služba Firebase), a stejně tak PIN žáka. Neumíme ti říct, jaké heslo máš — umíme ti ho jen nechat změnit.

Kdo k tomu má přístup u nás. Aplikaci provozuje jeden člověk a ten je jediný, kdo se dostane do administrace. Pustí ho tam jen jeho vlastní účet a jen s dvoufázovým ověřením; nejcitlivější kroky navíc chtějí přihlášení z posledních pár minut. Každý pohled do cizího účtu se zaznamenává — když se zeptáš, kdo se díval do tvého, jde na to odpovědět. Deník se drží 24 měsíců (oddíl 7).

Klíče. Servisní klíče k databázi a k umělé inteligenci nejsou v aplikaci ani v databázi. Leží jako tajné proměnné na serveru a na šifrovaném disku provozovatele, stejně jako týdenní kopie databáze.

Revize. Vedeme písemný bezpečnostní program: posouzení rizik, opatření, která jim odpovídají, a revizi nejméně jednou ročně. Pokrývá i zpracovatele z oddílu 6.

Žádné zabezpečení není stoprocentní. Kdyby došlo k úniku, záleží na tom, čích údajů se týká:

• Údaje učitelů máme jako správce my. Únik, který by ohrozil tvá práva, ohlásíme Úřadu pro ochranu osobních údajů do 72 hodin od chvíle, kdy se o něm dozvíme, a vyrozumíme tě.
• Údaje žáků má jako správce škola, a úřadu je proto hlásí ona. Dáme jí vědět bez zbytečného odkladu, nejpozději do 48 hodin od chvíle, kdy se o úniku dozvíme, a pošleme jí všechno, co k ohlášení a k informování rodičů potřebuje. Škole přitom píšeme přes učitele, který aplikaci používá.

11. Cookies a místní úložiště

Nepoužíváme žádné reklamní ani analytické cookies a nic tě tu neprofiluje, aby ti něco prodalo. Proto na webu není lišta se souhlasem.

Jeden cizí skript tu ale běží a radši ho pojmenujeme, než abychom ho zamlčeli. Web načítá Google reCAPTCHA, aby rozeznal člověka od automatického skriptu — jinak by šlo bušit do serveru nebo na cizí účet protočit peníze za umělou inteligenci. K tomu si reCAPTCHA čte signály z prohlížeče a ukládá vlastní cookie. Načte se jen v přihlášené části webu — až ve chvíli, kdy webová aplikace poprvé mluví s naším serverem (třeba ověřuje předplatné nebo generuje otázky). Úvodní stránka ani tyhle texty ji nenačítají. Používáme ji výhradně k zabezpečení webu, ne k reklamě ani analytice, a v tomhle použití ji považujeme za technicky nezbytnou pro službu, o kterou sis sám řekl — proto běží bez souhlasové lišty. Je to naše posouzení, ne rozhodnutí úřadu; kdyby dozorový úřad došel k jinému závěru, lištu doplníme nebo reCAPTCHA nahradíme. V mobilní aplikaci neběží vůbec — a nic ji tam nenahrazuje. Ověření zařízení přes App Check se na mobilu vědomě nezapíná (webové SDK se ve WebView k ověření od Applu nedostane), takže aplikaci tam chrání jen limity na serveru, ne potvrzení, že požadavek jde z pravé appky. Je to známá díra a je popsaná i v našem bezpečnostním programu.

Aplikace i web si ukládají do zařízení jen to, bez čeho by nefungovaly:

• přihlášení — abys nemusel zadávat heslo při každém otevření (Firebase),
• volbu jazyka a rozečtený stav pár obrazovek,
• náhodný kód zařízení popsaný v oddílu 2, pokud si aktivuješ zkušební období.

Tohle úložiště je nezbytné pro chod služby. Když ho v prohlížeči smažeš, jen se budeš muset znovu přihlásit a nastavit jazyk.

12. Kde aplikaci nabízíme

Grade AI nabízíme po celém světě, kromě zemí vyjmenovaných níž, a je postavená na evropských pravidlech ochrany osobních údajů. Ta platí pro každého uživatele, i mimo Evropu — nižší úroveň ochrany nikde neuplatňujeme.

Kde aplikaci nenabízíme — a kde se s žáky nesmí používat:

• Spojené království — tamní kodex pro služby, ke kterým mají přístup děti (Age Appropriate Design Code), vyžaduje samostatné posouzení a zákon zástupce v zemi; obojí zatím nemáme.
• Brazílie — zákon o ochraně dětí v digitálním prostředí (ECA Digital) vyžaduje u služeb, ke kterým mají přístup nezletilí, ověřování věku a nástroje pro rodiče, které nemáme.
• Indie, Indonésie, Jižní Korea, Vietnam, Keňa a Uganda — tamní právo vyžaduje u údajů nezletilých souhlas zákonného zástupce, který nesbíráme.
• Alžírsko a Tunisko — údaje dětí tam vyžadují souhlas zákonného zástupce a k tomu povolení soudce, v Alžírsku i povolení úřadu k předání údajů do zahraničí.
• Turecko, Egypt, Saúdská Arábie, Srbsko, Thajsko, Tanzanie a Zimbabwe — zahraniční provozovatel tam potřebuje registraci nebo licenci u úřadu, případně zástupce v zemi.
• Rusko, Kazachstán, Rwanda a Zambie — údaje se tam musí ukládat v zemi; v Rusku navíc nefungují platby.
• Bělorusko — kvůli sankcím Evropské unie a Spojených států proti tamnímu režimu a nejistým platbám jsme se rozhodli aplikaci tam nenabízet.
• Pevninská Čína — aplikace by potřebovala registraci u tamního úřadu (ICP), kterou nemáme. Hongkongu, Macaa a Tchaj-wanu se to netýká.
• Sýrie, Írán, Severní Korea a Kuba — App Store tam aplikaci nabídnout neumí a v Google Play ji tam nenabízíme.

Ve Spojených státech aplikaci nabízíme školám a učitelům podle zákona COPPA: údaje žáka se sbírají na povolení školy pro školní vzdělávací účel, nikdy k obchodnímu. Podrobnosti jsou v samostatném textu Ochrana soukromí dětí. Vedeme k tomu i písemný bezpečnostní program s jmenovanou odpovědnou osobou a roční revizí.

Práva podle práva Kalifornie, Nevady a dalších amerických států popisuje anglická verze těchhle zásad — Privacy Policy, oddíly „If you live in California", „If you live in another US state" a „If you live in Nevada". Jsou jen anglicky schválně: mluví o amerických právech a v USA rozhoduje jejich anglické znění. Ve zkratce: osobní údaje neprodáváme a nikdy jsme neprodávali, nesledujeme napříč weby a za uplatnění práv ti nikdy nedáme horší službu ani vyšší cenu.

Ve Švýcarsku platí švýcarský zákon o ochraně údajů; práva, která ti dává, odpovídají oddílu 8 a stížnost podáš u Federálního pověřence pro ochranu údajů a informací (edoeb.admin.ch).

Mimo Evropu ukládáme tvoje údaje v databázi v Evropské unii (oddíl 6; přihlašování běží v USA) a chráníme je podle evropských pravidel. Dává-li ti právo tvé země víc, než popisuje tahle stránka, napiš nám na adresu v prvním bodě — vyhovíme.

13. Změny

Když zásady změníme, upravíme datum nahoře. Podstatné změny ti oznámíme v aplikaci nejméně 30 dnů předem, stejně jako u podmínek. Změny, které nakládání s údaji žáků mění, navíc potřebují souhlas školy (podmínky, oddíl 10). Předchozí znění ti na požádání pošleme.

Správce: Martin Sixta · privacy@gradeai.ch