# Weyo – informace o zpracování osobních údajů cestujících

Verze: pracovní v0.7  
Aktualizováno: 4. 9. 2026  
Správce platformy: Trans Flow s.r.o., IČO 24026760, DIČ CZ24026760, neplátce DPH  
Zvolená veřejná URL: <https://www.withweyo.com/pravni/privacy_policy> – obsah na URL musí být před spuštěním nahrazen schválenou verzí

> **Interní pracovní návrh – nezveřejňovat.** Tento dokument obsahuje otevřená produkční fakta. Před zveřejněním musí být všechny značky `[DOPLNIT PŘED ZVEŘEJNĚNÍM: …]` nahrazeny ověřenými údaji a text musí být porovnán se skutečným chováním Passenger aplikace, webu, backendu, platebního toku, podpory a používaných dodavatelů.

### Interní auditní stav k 2.–4. 9. 2026 – odstranit z veřejné verze

Read-only audit zdrojového kódu potvrdil pouze dosažitelnost a vynucení funkcí v auditovaném snapshotu; nekontroloval produkční databázi, nasazené proměnné, podepsané mobilní binárky ani účty dodavatelů. Proto následující fakta nejsou sama o sobě potvrzením produkční aktivace:

- registrace Passenger účtu serverově požaduje jméno, e-mail, heslo a právní souhlasy; telefon je volitelný, e-mail se ověřuje šestimístným kódem a datum narození ani pravidlo 18+ se serverově nevynucuje (`authRoutes.ts:132`, `authRoutes.ts:1203`);
- Passenger poloha je v nalezeném klientovi jednorázová a jen při používání aplikace; pickup i cíl lze zadat ručně. Živá poloha řidiče se cestujícímu vrací se stářím bodu a po 120 sekundách se souřadnice skryjí (`passenger_location_service.dart:99`, `rideRoutes.ts:423–434`);
- ride chat je omezen na účastníky a životní cyklus jízdy. V datech chatu existuje třicetidenní deadline a 365denní preservation, ale nebyl nalezen worker, který by fyzický výmaz provedl (`rideSafetyChat.ts:13`, `rideSafetyChat.ts:264`);
- safety audio je ve zdroji částečně implementováno a závisí na konfiguraci. Passenger i Driver mohou spustit mikrofon; upload má proběhnout jen při serverovém povolení a výslovné autorizaci, segmenty jsou šifrované a kódová policy používá základní retenci 72 hodin a 365 dní při incidentu. Safety video nalezeno nebylo. Obě funkce jsou nově TARGET ON pro veřejné spuštění, ale nesmějí být popsány jako dostupné ani aktivovány bez právního základu, notice všem osobám v kabině, storage/KMS/access/retention testu, exportu/výmazu, pravidel předání a produkčního důkazu (`safetyRoutes.ts:911–1107`, `SAFETY_RECORDING_LAUNCH_RUNBOOK.md:4`, `SAFETY_RECORDING_LAUNCH_RUNBOOK.md:53`, `SAFETY_RECORDING_LAUNCH_RUNBOOK.md:102–106`);
- elektronické jízdné používá Stripe a v nalezeném toku jde o platbu na platformním účtu a následný oddělený transfer/payout přes Stripe Connect Express. Právní Stripe entita, merchant of record, role skutečného dopravce a produkční stav účtů z kódu zjistit nelze (`stripePaymentService.ts:1184`, `stripeConnectPayoutProvider.ts:131`);
- backendové smazání účtu existuje, vyžaduje recent authentication, ruší relace, maže některé profily, kontakty a odkazy a anonymizuje uživatelský řádek. Finanční a jízdní vazby mohou zůstat; cleanup byl nalezen pro Weyo S3 a Stripe customer, nikoli pro Twilio, FCM, SES a Textract (`accountDeactivation.ts:274`, `accountDeactivation.ts:653`, `accountErasureService.ts:261`);
- owner rozhodnutí již stanoví pracovní retenční matici a GDPR workflow, ale audit nepotvrdil jejich úplné technické vynucení ani předání žádosti samostatnému dopravci. DPO nyní není jmenován; doložen však není ani formální DPO test. Rovněž nejsou doloženy DPIA, RoPA, LIA, DPA, SCC, TIA ani úplný seznam subdodavatelů.
- audit B19 ze dne 3. 9. 2026 doložil pro Women for Women self-attestation cestující, ale také pickup tok, v němž hlášení řidičky automaticky vytváří plný poplatek, stejnou kompenzaci a zákaz kategorie bez automatického refundu. Passenger appeal/unban, pravidla doprovodu a fallback nalezeny nebyly. Infrastrukturní flag je výchozně `disabled`, auditovaný backend jej však nečte; produkční aktivace ani cena nebyly ověřeny.
- audit ze dne 4. 9. 2026 doložil částečný Family Profile s rolemi owner/organizer/payer/member, hashovanou a časově omezenou pozvánkou, lifecycle členství a limity Weyo Funds na jízdu/den/měsíc; nedoložil však hosta, pravidlo 18+, zastoupeného nebo nezletilého cestujícího, schvalování jednotlivé jízdy, family-specific refund/chargeback/debt model ani automatické sdílení živé polohy, historie či safety případů (`familyProfileService.ts:168–246`, `familyRoutes.ts:215–560`, `accountDeactivation.ts:175–235`);
- Weyo Plus má ve zdroji měsíční/roční plán, trial, grace period, Stripe Checkout, stav předplatného, obnovu a zrušení ke konci období; jediným serverově doloženým benefitem je `ride_discount`. Produkční cena, plán, Stripe live režim, spotřebitelský purchase/withdrawal flow, refundace a ostatní benefity doloženy nejsou (`subscriptions.ts:38–101`, `weyoPlusSubscriptionService.ts:252–358`, `weyoPlusRoutes.ts:173–246`);
- Passenger pickup PIN má cílovou serverovou policy šesti číslic, expiraci 180 minut, nejvýše pět pokusů a cooldown 60 sekund; je hashován a vázán na pickup/jízdu a capability je defaultně vypnutá. Ride Check má cílové signály dlouhého zastavení 300 sekund, odchylky trasy ve čtyřech vzorcích, prodloužené jízdy 1,80× a ztráty polohy 180 sekund; automatický případ vyžaduje alespoň dva odlišné signály. Ani jedna funkce nesmí být popsána jako aktivní bez produkčního flagu, human-support workflow, přístupné alternativy, retence a testu (`passengerRideSafetyService.ts:112–117`, `passengerRideSafetyService.ts:408–468`, `passengerRideSafetyService.ts:600–629`);
- automatický poplatek za čištění je pouze právní/provozní placeholder bez claimu, fotografií, oznámení, finančního záznamu, lidského review, refundace nebo odvolání. Reklamní identifikátory, atribuční SDK, personalizovaná reklama a consent platforma nebyly v canonical source nalezeny. Jde o TARGET ON, nikoli o dnešní zpracování; před použitím musí být doplněn přesný tok, vendor/event inventář, právní základ, CMP/ATT, retence, příjemci a store deklarace;
- backend má routování safety incidentů, historii, scoped grants, assignment a provider handoff, ale kód neprokazuje skutečně personálně zajištěnou interní podporu 24/7. Při dvou jednatelích bez zaměstnanců je jakékoli veřejné tvrzení „24/7“ zakázané bez staffing rosteru, on-call režimu, jazyků, kanálů, SLA, eskalací a výpadkového postupu.

**P0 před zveřejněním:** dokončit datovou mapu a role Trans Flow/dopravce/Stripe; technicky implementovat a otestovat schválenou retenční matici a GDPR workflow včetně vendor cleanupu; uzavřít zvláštní kategorie údajů a transfer mapu. Poté veřejnou část znovu porovnat s produkčním síťovým a databázovým stavem; audit zdrojového kódu tuto kontrolu nenahrazuje.

**Aktuální scope:** Family Profile, Weyo Plus, automaticky zpracovaný cleaning claim, biometrické selfie/liveness, safety audio/video, reklamní identifikátory a personalizace, pickup PIN, Ride Check a technické safety routování jsou rozhodnutím vlastníků TARGET ON pro veřejné spuštění. TARGET ON neznamená, že jsou dnes dostupné, právně schválené nebo produkčně aktivní. Každá z těchto funkcí musí do splnění své datové, právní, provozní a technické aktivační brány zůstat serverově nedostupná; veřejná verze privacy je popíše jako skutečné zpracování až podle podepsaného produkčního buildu a ověřené konfigurace. Women for Women zůstává P0 OFF do odstranění rozporů auditu B19 a splnění vlastní brány. Audit zdroje není důkazem nastavení produkčního flagu.

## 1. Kdo tento dokument vydává

Platformu Weyo provozuje společnost **Trans Flow s.r.o.**, se sídlem Holečkova 789/49, Smíchov, 150 00 Praha 5, IČO 24026760, DIČ CZ24026760, neplátce DPH, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze, oddíl C, vložka 437203 (dále jen „**Trans Flow**“, „**Weyo**“ nebo „**my**“).

Trans Flow je správcem osobních údajů, pokud určuje účely a prostředky zpracování související zejména s provozem účtu Weyo, vyhledáním dopravce, bezpečností platformy, podporou, zákonnou evidencí zprostředkovaných přeprav a ochranou právních nároků.

- Kontakt pro otázky ochrany soukromí a uplatnění práv: **privacy@withweyo.com** nebo poštou na sídlo Trans Flow. Při spuštění tuto agendu zajišťují oba jednatelé osobně; každý případ má jednoho přiděleného řešitele a případný nezúčastněný přezkum provede druhý jednatel.
- Obecná podpora: **support@withweyo.com**; telefon **+420 778 660 864**, záložní **+420 775 503 272**. Telefon je obsluhován v pracovní dny 10:00–17:00 mimo státní svátky; obecná podpora v pracovní dny 9:00–17:00 mimo státní svátky.
- Pověřenec pro ochranu osobních údajů nyní **není jmenován**. Potřeba jeho jmenování se musí formálně posoudit před spuštěním a znovu při významném růstu, vstupu na další území nebo novém systematickém monitorování. `TODO[PRIVACY]: doložit DPO test; netvrdit, že Weyo DPO má.`

Tento dokument se vztahuje na cestující a další osoby používající cestující účet nebo vystupující v žádosti o jízdu, při podpoře či bezpečnostním incidentu. Nevztahuje se na zpracování, které provádí konkrétní dopravce výlučně pro své vlastní účely.

## 2. Trans Flow, dopravce a další samostatné subjekty

Weyo zprostředkovává taxislužbu. Konkrétní přepravu poskytuje vlastním jménem a na vlastní odpovědnost licencovaný dopravce uvedený u dané jízdy v aplikaci, historii a potvrzení o přepravě.

### 2.1 Trans Flow

Trans Flow je samostatným správcem pro vlastní platformní účely popsané v tomto dokumentu. Patří mezi ně provoz účtu a aplikace, zprostředkování, splnění povinností zprostředkovatele taxislužby, zabezpečení, podpora, prevence zneužití a vlastní právní nároky.

### 2.2 Konkrétní dopravce

Konkrétní dopravce je zpravidla samostatným správcem údajů, které potřebuje k uzavření a provedení přepravní smlouvy, splnění svých dopravních, účetních a daňových povinností, řešení nehody, stížnosti nebo právního nároku. Jeho identita a kontaktní údaje musí být cestujícímu zpřístupněny po spárování a před zahájením jízdy a zůstat dostupné u záznamu jízdy.

Trans Flow a dopravce se nestávají společnými správci jen proto, že si předají údaje nezbytné pro jízdu. Pokud však u některého účelu společně určí, proč a jak se údaje zpracovávají, musí uzavřít ujednání podle čl. 26 GDPR a cestujícím sdělit jeho podstatné prvky.

**[DOPLNIT PŘED ZVEŘEJNĚNÍM: na základě datové mapy a partnerské smlouvy potvrdit pro každý společný tok, zda jde o předání mezi dvěma samostatnými správci, společné správce, nebo zpracování na pokyn; uvést kontaktní bod a podstatné prvky případného ujednání společných správců]**.

### 2.3 Poskytovatel plateb a další dodavatelé

Poskytovatel plateb, banka, digitální peněženka nebo jiný partner může pro některé své zákonné či obchodní účely vystupovat jako samostatný správce a pro jiné úkony jako zpracovatel Trans Flow nebo dopravce.

Zamýšlený platební model používá Stripe Connect Express. Klientské prostředky se nemají ručně převádět přes běžný účet Trans Flow. `TODO[PAYMENTS]: produkčně ověřit Stripe právní entitu, Dashboard, skutečný tok předautorizace/capture/transfer/payout, merchant-of-record a správcovské role; poté doplnit odkaz na informace Stripe.`

**[INTERNÍ TECHNICKÝ PODKLAD – NEPUBLIKOVAT TAKTO: auditovaný backend používá Stripe Connect Express se `separate charges and transfers`: PaymentIntent cestujícího vzniká na platformním účtu bez `on_behalf_of`, `transfer_data` a aplikačního poplatku a teprve následně vzniká samostatný transfer/payout. Toto technické uspořádání neurčuje, kdo je právně merchant of record, smluvním příjemcem jízdného ani správcem jednotlivých údajů; to musí potvrdit Stripe Dashboard, smlouvy a účetní/daňový model.]**

## 3. Odkud údaje získáváme

Osobní údaje můžeme získat:

1. **přímo od vás**, například při založení účtu, zadání míst, objednání jízdy, komunikaci s řidičem, hodnocení nebo kontaktování podpory;
2. **automaticky při používání Weyo**, například údaje o zařízení, událostech v aplikaci, zvolené poloze, objednávce a průběhu jízdy, včetně serverového času přijetí objednávky řidičem a času zrušení cestujícím;
3. **od dopravce nebo řidiče**, například přijetí žádosti, událost příjezdu na místo nástupu, stav čekání nebo nedostavení cestujícího, důvod zrušení, změnu vozidla, hlášení incidentu, vrácení nalezené věci nebo podklady ke stížnosti;
4. **od platebních a technických poskytovatelů**, například stav autorizace, úhrady, účtovaného poplatku, refundace či reverzace, podvodný signál nebo stav doručení servisní zprávy;
5. **od jiné osoby**, pokud pro vás objedná jízdu nebo uvede vaše údaje v podpoře či incidentu;
6. **z veřejných zdrojů nebo od orgánů**, jen pokud je to pro konkrétní zákonný, bezpečnostní nebo nárokový účel přiměřené.

Pokud údaje nezískáme přímo od vás, poskytneme informace podle čl. 14 GDPR v zákonné lhůtě, ledaže se použije některá zákonná výjimka.

## 4. Jaké údaje mohou být zpracovávány

Podle skutečně použité funkce může jít zejména o:

- **účetní a kontaktní údaje:** jméno, telefon, e-mail, jazyk, identifikátor účtu, stav a historie účtu;
- **ověřovací údaje:** údaje potřebné k ověření telefonu, e-mailu, věku nebo oprávněného užívání účtu; **[DOPLNIT PŘED ZVEŘEJNĚNÍM: skutečný rozsah a způsob věkového či jiného ověření]**;
- **údaje o žádosti a jízdě:** místa nástupu a výstupu, zastávky, požadovaný čas, přiřazený dopravce, řidič a vozidlo, stav žádosti a jízdy a její potvrzení; podle skutečného průběhu také serverové časové razítko přijetí řidičem (`driver_accept`), časové razítko zrušení cestujícím (`passenger_cancel`), událost příjezdu (`arrival`), stav doručení souvisejícího servisního oznámení, začátek, průběh a vypršení časovače čekání/no-show a kód nebo popis důvodu storna či no-show;
- **poloha:** místo zadané ručně, poloha pinu a případně přesná poloha zařízení, pokud ji uživatel povolí a produkt ji v daném stavu skutečně potřebuje;
- **platební a transakční údaje:** zvolená metoda, token nebo jiné technické označení, stav autorizace a platby, jízdné nebo účtovaný poplatek a identifikátor související transakce, částka, měna, refundace, reverzace, chargeback a omezené údaje zobrazené PSP; **[DOPLNIT PŘED ZVEŘEJNĚNÍM: přesná pole, kdo vidí úplné údaje platebního prostředku a zda je Trans Flow vůbec ukládá]**;
- **Weyo Funds:** částka a čas dobití, PSP transakce, zdroj a třída hodnoty (zakoupená, refundovaná, promo/goodwill nebo blokovaná), zůstatek, jednotlivé odpisy a vratky, použitá služba, idempotency údaje, chargeback, recovery hold, omezení a auditní stopa; úplné údaje platební karty nemá Weyo ukládat;
- **Family Profile:** role vlastníka/organizátora/plátce/člena, pozvánka a její stav, membership lifecycle, oprávnění k financování a limity na jízdu, den či měsíc. Než bude funkce aktivována, musí být přesně určeno, kdo je objednatel, plátce a skutečný cestující, jaké údaje vidí jednotlivé role, zda a jak se sdílí poloha, historie a safety údaje, kdo odpovídá za dluh a jak se řeší nezletilí, refundace, chargeback a retence po zrušení rodiny;
- **Weyo Plus:** identifikátor plánu a zákazníka, měsíční nebo roční období, stav trialu, předplatného, grace period, platby, faktury a zrušení, technický entitlement a čerpání doloženého benefitu. Před aktivací se doplní schválená cena, benefity, právní role Stripe, refundace, odstoupení, okamžité plnění, fair-use a přesná retence;
- **Weyo Parcels:** jméno a telefon příjemce poskytnuté odesílatelem, pickup a cíl, deklarované rozměry, hmotnost, hodnota a nezbytný popis, instrukce, šifrované kontaktní údaje, pickup/delivery PIN metadata, omezený tracking token, custody stavy, odmítnutí, návrat, reklamace a případné fotografie škody; obsah zásilky se nezjišťuje nad nezbytný rozsah;
- **Women for Women:** dobrovolná preference kategorie, jednoduché self-attestation, že se osoba v dobré víře identifikuje jako žena, potvrzení, že bude hlavní cestující, neutrální příznak a počet označených doprovodných osob; označení se provede předem, je-li to rozumně možné. Součástí zpracování je dále opt-in/opt-out, dostupnost Řidičky, objektivní kód incidentu, výsledek lidského přezkumu, oznámení, oprava, odvolání, refundace nebo reverzace a časově omezené opatření. Weyo nemá zaznamenávat, zda jde o cis nebo trans ženu, diagnózu ani důvod potřeby asistenta a pro určení passenger W4W způsobilosti nemá zpracovávat úřední sex marker, confidence, fotografii, hlas, jméno, biometriku ani hodnocení vzhledu. Nemožnost předchozího označení nebo nezbytná potřeba vzniklá později sama není sankčním důvodem. Je-li pro konkrétní bezpečnostní nebo přístupnostní krok nezbytné jednorázově rozlišit dítě od asistenta, musí být tento údaj oddělen, minimalizován a nesmí se uchovat déle než příslušná objednávka bez samostatného doloženého důvodu;
- **komunikace:** zprávy související s jízdou, záznam doručení servisních oznámení, metadata hovorů přes maskované číslo a komunikace s podporou. Chat a maskované volání mezi cestujícím a řidičem mají být dostupné 24 hodin po ukončení jízdy, poté komunikace probíhá jen přes podporu. Obsah telefonních hovorů se nenahrává;
- **hodnocení, podpora a bezpečnost:** hodnocení, zpětná vazba, reklamace, fotografie nebo jiné přílohy, ztracené věci, nehody, bezpečnostní hlášení a výsledek šetření; platné číselné hodnocení může vstoupit do agregovaného ratingu a statusu Trusted Driver, avšak veřejné označení statusu neobsahuje totožnost autora jednotlivého hodnocení;
- **čištění a znečištění:** identifikátor jízdy, čas žádosti, popis, fotografie nebo jiný důkaz, výsledek kontroly, přiznaná či zamítnutá částka, oznámení, námitka, refundace a audit. Tyto údaje se nesmějí sbírat, dokud nebude existovat popsaný claim workflow, přiměřená důkazní pravidla, lidské rozhodnutí, fraud ochrana a retenční pravidlo;
- **pickup PIN:** hash kódu a jeho vazba na jízdu, vznik a expirace, počet a časy pokusů, stav `verified`, `incorrect`, `locked`, `expired`, `reassigned` nebo `replayed`, případný override, jeho důvod, grant a audit. PIN slouží jen k ověření vyzvednutí a není důkazem občanské totožnosti nebo věku;
- **Ride Check:** signál dlouhého zastavení, odchylky trasy, prodloužené jízdy či ztráty polohy, vstupní vzorky v minimalizovaném rozsahu, vytvoření případu, welfare prompt, odpověď „jsem v pořádku“, „potřebuji pomoc“ či „nahlásit problém“, navazující lidský postup a audit. Funkce není automatickým monitoringem IZS a bez sítě nebo GPS nemusí signalizaci vytvořit;
- **safety audio a případně video:** záznam, segment, notice/acknowledgement, oprávnění OS, upload authorization, grant přístupu, šifrovací a úložná metadata, incidentní vazba, export, výmaz a předání. Audio se nesmí automaticky uploadovat při každé jízdě a video nesmí být deklarováno, dokud není implementováno a ověřeno;
- **budoucí reklamní a atribuční údaje:** reklamní či instalační identifikátor, ATT/OS volba, zdroj kampaně, pseudonymní událost a consent record pouze po odpovídajícím předchozím souhlasu. Přesná GPS, pickup/cíl, chat, safety obsah, doklady, W4W údaje, biometrika a platební údaje se do reklamních publik a personalizace nesmějí použít;
- **údaje o zařízení a provozu:** typ zařízení, operační systém, verze aplikace, IP adresa, jazyk, časové pásmo, push token, identifikátory relace, diagnostika, bezpečnostní a auditní události;
- **volby soukromí a důkazy:** souhlasy, odvolání souhlasu, marketingové volby, žádosti podle GDPR, akceptované verze právních dokumentů a důkaz jejich zobrazení;
- **údaje poskytnuté orgánem nebo protistranou**, pokud řešíme zákonný požadavek, incident, spor nebo právní nárok.

Událostní záznamy o přijetí, zrušení, příjezdu, oznámení, čekání a no-show se smějí spojovat s účtem a konkrétní žádostí jen v rozsahu nutném pro provedení jízdy, výpočet či přezkum poplatku, podporu, bezpečnost a doložení transakce. Pokud pro daný účel postačí čas, stav, kód důvodu, identifikátor pravidla a identifikátor transakce, nesmí se bez další prokázané potřeby ukládat úplný obsah oznámení, komunikace ani kopie celé polohové historie.

Weyo nemá pro běžné zprostředkování jízdy potřebovat zvláštní kategorie údajů podle čl. 9 GDPR. Pokud nám je sami sdělíte například při řešení zdravotního nebo bezpečnostního incidentu, omezíme jejich zpracování na nezbytný rozsah. Pro každý konkrétní účel musí Trans Flow určit nejen právní titul podle čl. 6 GDPR, ale také samostatnou použitelnou podmínku podle čl. 9 odst. 2 GDPR. Tou může být podle skutečné situace například výslovný, konkrétní a odvolatelný souhlas pro dobrovolnou podporu, nezbytnost k ochraně životně důležitých zájmů osoby neschopné souhlas udělit nebo nezbytnost pro určení, výkon či obhajobu právních nároků; tyto podmínky nejsou zaměnitelné a nelze je uvádět bez odpovídajícího pracovního postupu a důkazu.

**[DOPLNIT PŘED ZVEŘEJNĚNÍM: pro každý skutečný tok zvláštních kategorií údajů účel, čl. 6 titul, konkrétní čl. 9 odst. 2 podmínku, příjemce, omezení přístupu, retenční dobu, bezpečnostní opatření a postup odvolání souhlasu; pokud žádný schválený tok neexistuje, formulář musí uživatele od zasílání zdravotních údajů odrazovat a jednatelé vykonávající tuto agendu je nesmějí systematicky vyžadovat]**.

**Cílové pravidlo pro launch:** safety audio, safety video a biometrické selfie/liveness jsou TARGET ON, ale jejich aktivace je podmíněna samostatným informováním, právním základem, minimalizací, DPIA a čl. 9/22 posouzením, přístupnou nebiometrickou alternativou, lidským přezkumem, přesnou retencí, příjemci, bezpečností, vendor/transfer mapou a produkčním testem. Současná profilová fotografie ani běžná selfie nejsou biometrickým ověřením; Weyo nesmí tvrdit facial match nebo liveness, dokud takový systém neexistuje a není schválen. Nahrávání telefonních hovorů není součástí doloženého toku. Women for Women slouží dobrovolně ke komfortu a subjektivnímu pocitu bezpečí a není bezpečnostní zárukou ani tvrzením o mužích. Passenger způsobilost vychází výhradně z vlastního prohlášení osoby, že se v dobré víře identifikuje jako žena; zahrnuje trans ženy a nebinární osoby, které se současně identifikují jako ženy. Marker `M`, `F` nebo `X` nerozhoduje. Způsobilost se nesmí odvozovat z fotografie, hlasu, jména, biometriky ani vzhledu.

**[P0 – ZVLÁŠTNÍ KATEGORIE: safety incident přijímá hodnotu `medical` a volný popis. Dokud nebude dokončena minimalizace, čl. 6/9 kvalifikace, DPIA, přístupová a retenční pravidla, nesmí veřejný text tvrdit, že zdravotní údaje Weyo nezpracovává.]**

## 5. Proč údaje zpracováváme a na jakém základě

| Účel | Typické údaje | Právní základ | Vysvětlení |
|---|---|---|---|
| Založení a správa účtu | účetní, kontaktní, ověřovací a bezpečnostní údaje | čl. 6 odst. 1 písm. b) GDPR | Kroky na vaši žádost a plnění platformní smlouvy s Trans Flow. |
| Vyhledání dopravce a zprostředkování jízdy | pickup, cíl, čas, poloha pinu, stav žádosti, údaje přiřazené jízdy | čl. 6 odst. 1 písm. b) GDPR | Údaje nezbytné k provedení vaší žádosti a uzavření či plnění smluvního vztahu; rozsah přesné polohy musí odpovídat skutečnému stavu aplikace. |
| Zobrazení údajů dopravci a řidiči | jméno nebo označení cestujícího, pickup, cíl, kontakt a instrukce v nezbytném rozsahu | čl. 6 odst. 1 písm. b) GDPR | Předání údajů potřebných k přijetí a provedení požadované přepravy. |
| Platba, refundace a transakční podpora | metoda, token, částka, stav platby, refundace, fraud signály | čl. 6 odst. 1 písm. b), c) a podle účelu f) GDPR | Plnění smluvních a zákonných povinností; oprávněným zájmem je prevence zneužití a doložení správného vypořádání. **[DOPLNIT PŘED ZVEŘEJNĚNÍM: skutečný tok a rozdělení titulů mezi Trans Flow, dopravce a PSP]**. |
| Dobití a používání Weyo Funds | top-up, zdrojová vrstva, zůstatek, ledger, odpis, refundace, chargeback, hold a audit | čl. 6 odst. 1 písm. b) GDPR; pro účetnictví a právní povinnost písm. c); pro přiměřený fraud a obranu nároků podle účelu písm. f) | Provedení předplacené služby, správné vedení hodnoty a ochrana proti zneužití. Před aktivací se doplní skutečný vydavatel, PSP, jeho role a regulatorní titul. |
| Family Profile | membership, role, pozvánka, oprávnění plátce, limity, objednávka a údaje viditelné jednotlivým rolím | čl. 6 odst. 1 písm. b) GDPR pro výslovně požadovanou rodinnou funkci; podle správy dluhu a bezpečnosti případně písm. f) | Před aktivací musí být určeny aktéři, pravidla 18+/nezletilých, rozsah sdílení, finanční odpovědnost, možnost odchodu/odebrání a informace podle čl. 14 pro osobu, jejíž údaje zadal jiný uživatel. Samotné členství neopravňuje majitele rodiny k neomezenému přístupu k poloze, historii, komunikaci nebo safety případům. |
| Weyo Plus | plán, období, trial, stav předplatného, Stripe customer/subscription reference, entitlement, čerpání slevy, zrušení a refundace | čl. 6 odst. 1 písm. b) GDPR; účetnictví a daně podle písm. c); fraud podle konkrétního písm. f) | Správa vyžádaného předplatného. Před aktivací se doplní skutečná cena, benefity, purchase/renewal/refund flow, správci a zpracovatelé a retence. |
| Objednání a doručení Weyo Parcels | kontakty odesílatele a příjemce, pickup/cíl, parametry, PIN a tracking metadata, custody stavy a komunikace | čl. 6 odst. 1 písm. b) GDPR vůči odesílateli; vůči příjemci podle skutečného smluvního modelu písm. b) nebo f), případně c) | Zprostředkování a provedení objednaného doručení, bezpečné předání, návrat a reklamace. Příjemci se informace podle čl. 14 GDPR poskytnou nejpozději při prvním kontaktu, neplatí-li zákonná výjimka. |
| Dobrovolná kategorie Women for Women | preference, self-attestation, potvrzení hlavní cestující, neutrální příznak a počet označených doprovodných osob; předchozí označení se používá, je-li rozumně možné, a pozdější nezbytná potřeba sama není sankčním důvodem; dále opt-in/opt-out, matching, objektivní incident reason code, lidské rozhodnutí, náprava a odvolání | pracovně čl. 6 odst. 1 písm. b) GDPR pro poskytnutí výslovně požadované funkce a podle konkrétního sporu písm. f); `TODO[LEGAL/PRIVACY]`: dokončit DPIA a posoudit každý skutečný údaj, včetně případné použitelnosti čl. 9 | Účelem je provést dobrovolnou žádost o párování s Řidičkou a spravedlivě řešit důvodné hlášení zneužití. Ukládá se jen výsledek pro daný účel, nikoli podtyp genderové identity, diagnóza, důvod asistence, vzhled, fotografie nebo sex marker. Standardní kategorie zůstává přístupná všem způsobilým uživatelům za stejných obecných podmínek, je-li v dané lokalitě provozována; dostupnost konkrétního Řidiče se negarantuje. |
| Storno, čekání, no-show a přezkum souvisejícího poplatku | serverové časy přijetí a zrušení, příjezdová událost, doručení servisního oznámení, časovač čekání/no-show, důvod, účtovaný poplatek, transakce, refundace nebo reverzace | čl. 6 odst. 1 písm. b) GDPR; pro řešení sporu a prevenci zneužití podle okolností také písm. f) | Provedení předem popsaných smluvních pravidel a doložení výsledku. Automatické časové vyhodnocení musí být dohledatelné; sporný případ musí být přezkoumatelný člověkem podle více relevantních podkladů. |
| Pickup PIN | hash a lifecycle PIN, počty pokusů, výsledek, blokace/cooldown a případný support override | čl. 6 odst. 1 písm. b) a podle ochrany účtu či zneužití písm. f) GDPR | Ověření, že jízdu zahajuje osoba, která zná kód k dané objednávce. Nejde o ověření zákonné identity. Override musí být odůvodněn a auditován a musí existovat přístupná alternativa. |
| Ride Check a welfare prompt | omezené polohové a časové signály, odvozená odchylka/zastavení/prodloužení/ztráta polohy, prompt, odpověď, případ a lidské kroky | čl. 6 odst. 1 písm. f) GDPR; při poskytování uživatelem výslovně vyžádané funkce může být podle konkrétního toku relevantní písm. b); u zdravotních údajů navíc konkrétní čl. 9 odst. 2 podmínka | Oprávněný zájem rozpoznat neobvyklý průběh a nabídnout podporu. Signál není důkaz incidentu, sám nesmí vyvolat sankci a funkce neslibuje automatický kontakt IZS ani stálý lidský dohled. Před aktivací dokončit DPIA, minimalizaci, falešné poplachy, offline/GPS fallback, retenci a staffing. |
| Safety audio/video | notice, acknowledgement, OS oprávnění, záznam/segment, upload authorization, přístupový grant, incident a předání | **[DOPLNIT PŘED ZVEŘEJNĚNÍM: přesný čl. 6 titul; pro případné zvláštní kategorie konkrétní čl. 9 odst. 2 podmínku; právní režim nahrávání všech osob]** | Dobrovolný bezpečnostní nástroj pouze po splnění samostatné brány. Určit všechny nahrávané osoby, příjemce, místní/serverové uložení, šifrování, retenci, výmaz, legal hold a pravidla předání policii/pojišťovně. Video dosud nebylo nalezeno. |
| Cleaning claim | jízda, oznámení, fotografie a další důkaz, rozhodnutí, poplatek, námitka a refundace | čl. 6 odst. 1 písm. b) nebo f) GDPR podle schváleného smluvního modelu; účetní záznam podle písm. c) | Uplatnění a lidské posouzení konkrétního nároku. Automatický poplatek bez notice, důkazů, možnosti námitky a lidského přezkumu není schválen. |
| Zákonná evidence zprostředkované přepravy | dopravce, sídlo a IČO, řidič, SPZ, začátek a konec, místa, cena | čl. 6 odst. 1 písm. c) GDPR | Splnění § 21e odst. 2 zákona č. 111/1994 Sb. |
| Potvrzení, účetnictví a daně | údaje na potvrzení, transakce, účetní a případně daňové doklady | čl. 6 odst. 1 písm. c), případně b) GDPR | Povinnosti Trans Flow a samostatně konkrétního dopravce podle jejich role. |
| Servisní komunikace | kontakty, stav účtu nebo jízdy, doručení oznámení | čl. 6 odst. 1 písm. b) nebo c) GDPR | Potřebná sdělení o účtu, jízdě, platbě, bezpečnosti nebo změně služby. |
| Podpora, reklamace a ztracené věci | jízda, komunikace, přílohy, rozhodnutí | čl. 6 odst. 1 písm. b), c) a f) GDPR | Vyřízení požadavku a plnění povinností; oprávněným zájmem je spravedlivé řešení sporů a ochrana práv všech stran. |
| Hodnocení a agregovaný status řidiče | číselné hodnocení, vazba na dokončenou jízdu a výsledek případné moderace; pro veřejný status jen agregovaný rating | čl. 6 odst. 1 písm. f) GDPR | Oprávněný zájem na kvalitě a transparentním označení Trusted Driver. Jednotlivé hodnocení se nesmí použít jako jediný důvod statusu; manipulativní nebo zneužívající hodnocení je přezkoumatelné a veřejné označení neodhaluje autora. |
| Bezpečnost, prevence podvodů a zneužití | účet, zařízení, IP, jízdy, platby, hlášení, auditní záznam | čl. 6 odst. 1 písm. c) a f) GDPR | Oprávněným zájmem je ochrana cestujících, řidičů, dopravců, Trans Flow a služby; opatření musí být přiměřená a přezkoumatelná. |
| Ochrana a vymáhání právních nároků | relevantní smluvní, jízdní, platební, komunikační a auditní údaje | čl. 6 odst. 1 písm. f) GDPR | Oprávněný zájem určit, vykonat nebo obhájit konkrétní právní nárok. Nejde o důvod držet bez omezení všechna data. |
| Zákonné žádosti orgánů | údaje vymezené konkrétním požadavkem | čl. 6 odst. 1 písm. c), výjimečně f) GDPR | Údaje se vydávají jen při ověřené pravomoci, právním titulu, nezbytnosti a přiměřeném rozsahu. |
| Analytika a zlepšování, pokud není nezbytné | instalace/otevření, registrace/přihlášení, zobrazení nabídky, požadavek/přijetí/zrušení/začátek/konec jízdy, reason code, stav platby a technická chyba či výkon, vždy s pseudonymním ID | souhlas podle čl. 6 odst. 1 písm. a) GDPR, pokud se ukládá nebo čte nenutná informace v zařízení; další titul musí odpovídat konkrétnímu toku | Výchozí analytická retence je 13 měsíců. Přesná GPS, obsah chatu, fotografie dokumentů, text safety hlášení a celé telefonní číslo nebo e-mail se do běžné analytiky neposílají. `TODO[PRIVACY]: ověřit skutečný SDK/event inventář a právní posouzení každého toku.` |
| Reklamní identifikátory, atribuce a personalizovaná reklama | IDFA/GAID či jiný reklamní identifikátor, ATT/OS volba, campaign source, pseudonymní event a consent record | předchozí souhlas pro přístup k zařízení a čl. 6 odst. 1 písm. a) GDPR | TARGET ON, avšak současný zdrojový audit tyto nástroje nenalezl. Před aktivací implementovat CMP/ATT, vendor a event inventář, snadné odmítnutí/odvolání a nepersonalizovanou alternativu; zakázat použití přesné polohy jízdy, chatu, safety, dokumentů, W4W, biometriky a platebních údajů pro reklamní cílení. |
| Přímý marketing | kontakt, marketingové volby a přiměřená historie interakce | souhlas, nebo pouze v rozsahu konkrétní zákonné výjimky | Každá zpráva musí umožnit snadné odmítnutí. **[DOPLNIT PŘED ZVEŘEJNĚNÍM: používané kanály, právní režim a segmentace]**. |

Pokud se opíráme o oprávněný zájem, předem posoudíme nezbytnost zpracování, dopad na vaše práva a dostupné méně invazivní řešení. Na vyžádání vám sdělíme další informace o konkrétním oprávněném zájmu, pokud tím neohrozíme bezpečnost nebo práva jiných osob.

## 6. Přesná a podkladová poloha

Místo nástupu a cíle je pro vyhledání jízdy potřebné. Přístup k přesné poloze zařízení však musí odpovídat konkrétní funkci a stavu aplikace.

- Passenger aplikace musí před žádostí operačního systému zobrazit srozumitelné vysvětlení účelu.
- Odmítnutí přístupu k GPS nesmí bránit ručnímu zadání místa, pokud je takové řešení technicky a bezpečnostně možné.
- Poloha na pozadí se nesmí používat jen pro pohodlí nebo analytiku. Je-li vůbec potřebná, musí být omezena na přesně definovaný stav a po jeho skončení se sběr zastaví.
- Cestující musí být informován, komu se poloha během žádosti nebo jízdy zobrazuje.
- Cestující vidí živou polohu přiřazeného řidiče od přijetí objednávky do ukončení jízdy.
- Osoba, které cestující výslovně nasdílí jízdu, ji může sledovat nejvýše 15 minut po jejím ukončení.
- Uvnitř Trans Flow smějí při spuštění k poloze přistupovat jen jeho dva jednatelé, každý pod svým osobním účtem, podle potřeby konkrétního případu a pouze v nezbytném rozsahu.

Poloha zařízení cestujícího sama o sobě nesmí být jediným důkazem, že se cestující nedostavil. Může být nepřesná, nedostupná nebo vypnutá. Případné no-show a související poplatek musí být možné přezkoumat člověkem podle přiměřeného souboru dalších podkladů, například serverových časových razítek, platné události příjezdu a doručení servisního oznámení; použijí se pouze podklady, které daný produkt skutečně vytváří a pro jejichž zpracování existuje právní důvod.

Raw přesné body vzniklé během aktivní jízdy mají být vymazány nebo nevratně agregovány po 90 dnech; odvozená trasa, vzdálenost a časové údaje se uchovávají tři roky. Delší uchování raw bodů je možné jen pro konkrétní reklamaci, safety případ nebo legal hold. `TODO[ENGINEERING]: ověřit a vynutit tyto lhůty ve všech úložištích a otestovat stavy Passenger aplikace, přesnost, frekvenci, background režim a ukončení sdílení.`

**[P0 – DOPLNIT PŘED ZVEŘEJNĚNÍM: přesně popsat, co technicky vytváří událost příjezdu, zda a jak se používá geofence, poloha řidiče nebo cestujícího, jak se zaznamená doručení oznámení a případný pokus o kontakt, jaké chyby a výpadky se zohledňují a které minimální podklady uvidí člověk při přezkumu storna/no-show. Z pouhé GPS cestujícího ani z neověřeného jednostranného tvrzení nesmí automaticky vzniknout konečný důkaz no-show.]**

## 7. Komu údaje zpřístupňujeme

Interní přístup osob jednajících pod autoritou Trans Flow není předáním externímu příjemci. Při spuštění jej mají pouze oba jednatelé, bez zaměstnanců a bez outsourcovaného supportu nebo ručního rozhodování; přístup je omezen podle přiděleného případu a potřeby znát.

Podle potřeby a role můžeme údaje zpřístupnit:

- přiřazenému dopravci a jeho řidiči v rozsahu nezbytném k přijetí a provedení jízdy;
- osobám, které pro Trans Flow zajišťují cloud, hosting, mapy, routing, komunikaci, e-mail, push, platby, ověřování, technické nástroje podpory, analytiku, zabezpečení nebo právní a účetní služby; žádný takový dodavatel při spuštění nerozhoduje support, safety, ruční compliance, blokace ani odvolání;
- platebním institucím, bankám a karetním systémům podle skutečného toku;
- osobě, která spravuje Family Profile, pouze v předem zobrazeném a nezbytném rozsahu odpovídajícím její roli; členství samo nezpřístupňuje úplnou historii, přesnou živou polohu, komunikaci ani obsah safety případu;
- poskytovateli Weyo Plus billing/entitlements, biometrického ověření, safety audio/video, bezpečnostního handoffu, CMP, atribuce nebo reklamy pouze tehdy, až bude konkrétní provider, role, účel, rozsah, země a právní základ doložen a funkce aktivována;
- pojišťovnám a odborným poradcům, je-li to nutné pro konkrétní incident nebo nárok;
- českým orgánům veřejné moci, soudům nebo jiným oprávněným subjektům na základě ověřeného zákonného požadavku;
- nabyvateli nebo investorovi při zamýšlené podnikové transakci pouze s odpovídající důvěrností, minimalizací a právním základem.

`TODO[PRIVACY]: doplnit úplný produkční seznam skutečných externích příjemců a jejich rolí, zejména cloud, mapy/routing, PSP, e-mail, SMS/telefonii, push, technické nástroje podpory, analytiku, crash reporting, bezpečnost a identitu. Doplnit smlouvy/DPA, regiony, subprocesory a přenosy. Konkrétní účetní, právník, pojišťovna a další externisté zatím potvrzeni nejsou; externí smluvní administrátoři a outsourcovaný support se při spuštění nepoužívají.`

**[DOPLNIT PŘED ZVEŘEJNĚNÍM: ověřit, zda včetně reklamních, atribučních a analytických SDK nedochází k prodeji nebo jinému úplatnému či obdobnému sdílení údajů; teprve po tomto ověření lze uvést, že Trans Flow osobní údaje neprodává]**.

**[INTERNÍ AUDIT DODAVATELŮ – NEJDE O FINÁLNÍ SEZNAM PŘÍJEMCŮ: zdrojový kód/IaC obsahují AWS ECS/Fargate, RDS PostgreSQL, ElastiCache Valkey, S3, CloudWatch/SNS, Cloudflare Workers, Mapy.com a volitelné OSRM/Valhalla, MapLibre/OpenFreeMap/OSM, Stripe, AWS SES, Twilio, volitelný Meta Graph pro WhatsApp OTP, Firebase Cloud Messaging a AWS Textract. Vlastní PostgreSQL backend a Compliance Console plní funkci podpory/CRM; vlastní endpoint zajišťuje client-error telemetry a Sentry/Crashlytics ani reklamní, atribuční či session-replay SDK nebyly ve zdroji nalezeny. Produkční aktivaci, přesné právní entity, regiony, smlouvy a skutečný egress je nutné doložit zvlášť.]**

## 8. Předávání mimo Evropský hospodářský prostor

Někteří dodavatelé mohou zpracovávat údaje mimo EHP nebo umožnit vzdálený přístup z třetí země. Před takovým předáním musí Trans Flow určit příjemce a zemi, použít platný mechanismus podle kapitoly V GDPR, posoudit ochranu v cílové zemi a podle potřeby zavést doplňková opatření. Kopii použité záruky nebo informaci, kde je dostupná, poskytneme na žádost.

**[DOPLNIT PŘED ZVEŘEJNĚNÍM: země, příjemci, rozhodnutí o odpovídající ochraně, standardní smluvní doložky či jiný mechanismus a způsob získání kopie záruk; bez dokončené transfer mapy nesmí text tvrdit, že k předání nedochází]**.

## 9. Jak dlouho údaje uchováváme

Nepoužíváme jednu univerzální dobu pro všechny údaje. Doba vychází z účelu, zákonné povinnosti, přiměřené potřeby řešit konkrétní nárok a nastavení záloh.

| Kategorie | Pracovní retenční pravidlo |
|---|---|
| Zákonné jádro evidence zprostředkované přepravy vedené Trans Flow | Nejméně **3 roky ode dne ukončení přepravy** podle § 21e odst. 2 zákona č. 111/1994 Sb. |
| Záznamy, smlouvy nebo potvrzení, které vede skutečný dopravce | Nejméně **3 roky** v rozsahu § 21 odst. 7 zákona č. 111/1994 Sb.; dopravce je samostatně odpovědný za svou evidenci. |
| Účetní závěrka a výroční zpráva Trans Flow, pokud se na dokument vztahuje zákon o účetnictví | **10 let** počínajících koncem účetního období, kterého se týkají. |
| Účetní doklady, účetní knihy a další účetní záznamy v pětileté kategorii | **5 let** počínajících koncem účetního období, kterého se týkají; delší dobu, vyžaduje-li ji probíhající řízení, neuhrazený závazek nebo jiný zákonný důvod. |
| Daňové doklady pro DPH, je-li Trans Flow jejich uchovatelem | **10 let od konce zdaňovacího období**, ve kterém se plnění uskutečnilo. |
| Uživatelský účet a profil | Deaktivace bez zbytečného odkladu; běžné profilové údaje backendově smazat zpravidla do **30 dnů**. Jádro smluvního vztahu a jízd se uchovává **3 roky** a zákonné účetní, daňové a případné DAC7 údaje po příslušnou zákonnou dobu. |
| Doklad dostupný v historii cestujícího | Produktový standard Weyo počítá se **3 roky od ukončení jízdy**; delší zákonná archivace se nemusí zobrazovat v běžném účtu. |
| Weyo Funds – ledger, top-up, odpis, refundace a chargeback | Po dobu aktivního zůstatku a poté podle povahy účetního nebo platebního záznamu zpravidla **5 let**, případně zákonných **10 let** u relevantního daňového dokladu; neprovozní tokeny a raw fraud signály kratší dobu podle tabulky. `TODO[LEGAL/PRIVACY]: sladit s vydavatelem a PSP.` |
| Family Profile | Aktivní membership a role po dobu členství. Pozvánkový token pouze po dobu nezbytné platnosti; audit lifecycle, finanční oprávnění, objednávky a vypořádání podle vlastní kategorie údajů. **[OWNER INPUT/PRIVACY/ENGINEERING: stanovit expiraci pozvánky jako veřejný údaj, family-specific viditelnost, retenci po odebrání/opuštění, dětský model a purge.]** |
| Weyo Plus | Aktivní entitlement a stav předplatného po dobu trvání a vypořádání; platební, účetní a daňové záznamy podle příslušné zákonné lhůty. **[DOPLNIT PŘED ZVEŘEJNĚNÍM: retenci trialu, zrušeného plánu, benefit history, Stripe customer/subscription metadata a support případu.]** |
| Weyo Parcels – šifrovaný kontakt příjemce a aktivní tracking | Kontakt pouze po dobu nutnou pro doručení, návrat a krátké řešení chyby, cílově nejvýše **30 dnů** bez otevřeného případu; veřejný tracking token zneplatnit při odmítnutí nebo nejpozději **24 hodin** po doručení či návratu. |
| Weyo Parcels – objednávka, custody/PIN audit a finanční záznam | Základní smluvní a finanční evidence **3 roky**, účetní nebo daňové části podle příslušné 5leté či 10leté lhůty; detailní příloha škody jen po dobu reklamace nebo legal hold. `TODO[PRIVACY/ENGINEERING]: potvrdit přesná pole a purge.` |
| Women for Women preference a self-attestation | Po dobu aktivního dobrovolného opt-in. Odpojení z aktivního matchingu musí být účinné bez zbytečného odkladu; neaktivní stav, verze prohlášení a minimální auditní metadata se uchovají nejvýše **90 dnů** po opt-outu nebo zamítnutí, není-li otevřena reklamace, odvolání nebo konkrétní právní hold, a poté se vymažou nebo nevratně anonymizují. `TODO[PRIVACY/ENGINEERING]: implementovat a otestovat purge.` |
| Women for Women incident, rozhodnutí a odvolání | Podle skutečné povahy jako běžný support případ **2 roky**, nebo při reklamaci či bezpečnostním sporu **3 roky od uzavření**; samotný nepotvrzený incidentní signál ani údaj založený na vzhledu se nesmí změnit v trvalý profil a po uplynutí příslušné lhůty se odstraní, nevyžaduje-li jeho omezené uchování konkrétní právní nárok. |
| Události dokončené jízdy, včetně nezbytných stavů přijetí, zrušení, příjezdu, čekání/no-show, zvolené kategorie a vazby na účtovanou částku | V rozsahu jádra smluvního vztahu a zákonné evidence **3 roky**. U dokončené W4W jízdy lze po tuto dobu ponechat označení kategorie jen jako údaj nezbytný k doložení objednaného typu služby, ceny, průběhu a případného nároku; oddělí se od profilové self-attestation, zpřístupní jen oprávněným rolím a nepoužije se k marketingu, obecnému profilování ani k odvozování genderové identity. Obsah komunikace a raw GPS mají vlastní kratší lhůty níže. `TODO[PRIVACY/ENGINEERING]: v DPIA/LIA doložit nezbytnost W4W označení, určit minimální pole, přístupy a oddělit nedokončené objednávky, finanční doklad, reklamaci a safety případ.` |
| Přesná GPS a podrobná telemetrie aktivní jízdy | Raw přesné souřadnice **90 dnů**; odvozená trasa, vzdálenost a časové údaje **3 roky**. Delší raw uchování jen pro konkrétní reklamaci, safety případ nebo legal hold. |
| Pickup PIN | Samotný plaintext PIN se nesmí ukládat; hash, pokusy, outcome a případný override jen po dobu nutnou pro bezpečnost a spor. **[PRIVACY/ENGINEERING: určit přesnou dobu, oddělit bezpečnostní audit od tříletého jízdního jádra a implementovat purge.]** |
| Ride Check raw signály a odvozený případ | Nepotvrzené raw signály co nejkratší dobu, pracovně nejvýše **90 dnů**; potvrzený safety případ podle příslušné tříleté lhůty. **[PRIVACY/ENGINEERING: potvrdit přesná pole, sampling, retenci, agregaci a cleanup před aktivací.]** |
| Safety audio | Auditovaná kódová policy používá **72 hodin** pro běžný záznam a **365 dnů** pro incident, nejde však ještě o schválený veřejný závazek. Před aktivací potvrdit okamžik počátku, lokální segmenty, serverovou kopii, metadata, legal hold, export, výmaz, zálohy a purge test. |
| Safety video | Implementace nenalezena; dobu nelze určit. Před aktivací samostatně schválit minimální retenci podle účelu a provést DPIA. |
| Cleaning claim a fotografie | **[OWNER INPUT/PRIVACY: stanovit lhůtu pro podání, běžnou retenci zamítnuté/uznané žádosti a kratší retenci nadbytečných fotografií; při sporu jen po dobu reklamace nebo legal hold.]** |
| Reklamní/atribuční identifikátory a události | **[PRIVACY/PROVIDER: určit pro každý SDK dobu života v zařízení a serverovou retenci; odvolání musí zastavit budoucí sběr a podle právního titulu odstranit nebo zneplatnit identifikátor.]** Obecná analytická lhůta 13 měsíců se na reklamní profil nepřenáší automaticky. |
| Zprávy mezi cestujícím a řidičem | Obsah chatu **90 dnů**; samotná dostupnost přímého chatu pro účastníky končí po **24 hodinách** od ukončení jízdy. |
| Maskované volání | Metadata volání **12 měsíců**; obsah hovoru se nenahrává. |
| Běžná podpora | **2 roky** od uzavření případu. |
| Reklamace a safety případy | **3 roky** od uzavření; u nehody nebo závažného nároku do konečného vypořádání a poté jeden rok v režimu legal hold. |
| Hodnocení | Jednotlivé hodnocení a běžný rating **12 měsíců** nebo posledních 100 hodnocených jízd, podle použitého ratingového okna. |
| Fraud a safety signály | Nízkorizikové surové signály **90 dnů**, běžné vyhodnocené flagy **12 měsíců**, potvrzený fraud nebo závažné zneužití **3 roky po ukončení účtu**. |
| Běžné technické logy | **90 dnů**. |
| Bezpečnostní a přístupové logy | **12 měsíců**; spis potvrzeného incidentu **3 roky**. |
| Kritické administrátorské auditní logy | **5 let**, s omezeným přístupem a ochranou proti běžným úpravám. |
| Souhlasy a jejich odvolání | Důkaz souhlasu nebo odvolání **5 let od odvolání nebo ukončení účtu**. |
| Zálohy | **[DOPLNIT PŘED ZVEŘEJNĚNÍM: cyklus přepisu, izolace, obnova a způsob prosazení výmazu po obnovení]**. |

### Interní technická kontrola retence – není veřejným retenčním závazkem

| Auditovaný tok | Stav nalezený v kódu | P0 mezera |
|---|---|---|
| Jádro jízdy | Schéma jízd nemá obecný TTL ani mazací job. | Schválená tříletá evidence není technicky vynucena a nesmí se vydávat za implementovaný stav. |
| Živá/poslední poloha řidiče | Redis latest-location má TTL 180 sekund; poslední bod v PostgreSQL nemá nalezený TTL ani cleanup. | Vynutit schválené lhůty, oddělit live cache od historie a skrýt offline souřadnice. |
| Ride chat | Deadline 30 dní, preservation 365 dní; fyzický purge worker nenalezen. | Sladit se schválenými 90 dny obsahu, implementovat fyzický výmaz a 12měsíční režim call metadata. |
| Support | Support tickety nemají nalezený retention deadline ani job. | Implementovat 2 roky pro běžnou podporu a 3 roky pro reklamace/safety. |
| Safety audio/video | Audio má ve zdroji 72h/365denní režim a cleanup worker; video nebylo nalezeno. | Obě funkce jsou TARGET ON, ale aktivovat až po schválení právního základu, notice, storage/KMS/access/retention drill, DPIA, exportu/výmazu a produkčním testu. |
| Family / Plus / PIN / Ride Check / cleaning / ads | Části Family, Plus, PIN a Ride Check existují; cleaning a ads jsou placeholder nebo nebyly nalezeny. | Doplnit category-specific retention, backup, vendor cleanup a purge; žádnou zamýšlenou dobu nevydávat za implementovaný stav. |
| Rating a fraud | Bez jednotné retenční doby a cleanupu. | Implementovat schválené 90denní/12měsíční/3leté expirační vrstvy a opravu signálů. |
| Cloudové a DB logy | CloudWatch je v IaC nastaven na 90 dní; DB security/admin audity nemají společnou expiraci. | Dokončit inventář všech logových úložišť. |
| Zálohy a výmaz | RDS backup 30 dní, S3 versioning/lifecycle a replay erasure tombstone po obnově jsou v návrhu; datovaný restore/re-erasure test chybí. | Prokázat test obnovy a opětovného prosazení výmazu. |

Pokud je údaj potřebný pro probíhající reklamaci, spor, kontrolu nebo právní hold, můžeme vymazání přesně vymezené části dočasně odložit. Evidence legal hold musí uvést důvod, vlastníka, dotčená data, datum začátku, kontrolu každých šest měsíců a datum ukončení či výmazu. Přístup omezíme na daný účel a po jeho skončení retenci znovu posoudíme. Nevratně anonymizované údaje již nejsou osobními údaji.

## 10. Automatizované rozhodování a profilování

Weyo může používat automatická pravidla pro technickou dostupnost služby, odhalení neobvyklého chování, bezpečnost nebo omezení zjevně neplatného stavu. Nelze však zveřejnit obecné tvrzení, že se žádné významné automatizované rozhodování nepoužívá, dokud nebude ověřen produkční dispatch, fraud, platba, rating a blokace.

Schválený pracovní fraud/safety katalog může zahrnovat zejména duplicitní nebo převzaté účty, odcizené platební prostředky, neobvyklé chargebacky, GPS spoofing nebo nemožný pohyb, sdílení účtu či zařízení, koluzi, neobvyklé rušení/no-show a závažná bezpečnostní oznámení. Automatický signál může vyvolat upozornění nebo dočasnou kontrolu; delší omezení či ukončení musí rozhodnout oprávněný člověk a musí být dostupný lidský přezkum.

Automatický časovač může technicky určit, zda podle smluvního pravidla nastalo časové okno pro storno nebo no-show a zda byl vytvořen související finanční záznam. Nemá však bez možnosti účinného lidského přezkumu definitivně rozhodnout sporný případ, zejména pokud je zpochybněn příjezd, doručení oznámení, dostupnost místa, výpadek aplikace nebo správnost důvodu. Přezkum má zpřístupnit jen podklady nezbytné pro konkrétní případ a zaznamenat výsledek, důvod a případnou refundaci či reverzaci.

Před aktivací nových TARGET ON modulů musí registr automatizovaných procesů samostatně pokrýt alespoň: Family spending limity a suspendování členství; Weyo Plus aktivaci po `invoice.paid`, `past_due` a grace period; uzamčení pickup PIN po pěti neúspěšných pokusech; thresholdy Ride Check a založení případu; biometrické facial-match/liveness skóre; reklamní segmentaci; cleaning claim; a případné třídění safety případů. Automatické splnění či nesplnění technického pravidla nesmí být zaměněno za konečné právní rozhodnutí o podvodu, odpovědnosti, poplatku nebo blokaci účtu. U každého toku se předem určí, zda může mít právní nebo obdobně významný účinek, a výslovně se vyhodnotí čl. 22 GDPR a potřeba DPIA.

Pickup PIN a Ride Check samy neověřují občanskou totožnost, neprokazují zavinění a nemají automatický dopad na jízdné, storno, no-show, rating ani účet. Ride Check pouze nabídne welfare prompt; bez sítě nebo GPS nelze jeho vznik ani doručení garantovat. Záznam reportu nebo technické acknowledgement není důkazem, že jej převzal člověk, že je služba personálně sledována 24/7 nebo že byly kontaktovány složky IZS.

**[INTERNÍ P0 – WOMEN FOR WOMEN]: audit B19 zjistil automatický plný poplatek, kompenzaci a zákaz kategorie bez implementovaného passenger appeal/unban. Cílově smí automatika pouze založit reverzibilní případ. Výchozí výsledek je bez poplatku; při systémové nebo neurčité chybě se nic neúčtuje, zachycená částka se vrátí v plném rozsahu a jinak se předautorizace uvolní. Nejvýše standardních 45 Kč lze účtovat až po lidském potvrzení objektivně prokázaného porušení. První porušení znamená upozornění a opakované úmyslné zneužití nanejvýš časově omezenou W4W suspension; za samotné porušení W4W nelze uložit obecný zákaz účtu. Oznámení, oprava a lidské odvolání s přezkumem druhým Legal Co-Ownerem musí být implementovány před aktivací. Pro W4W platí zvláštní kratší lhůta konečného písemného rozhodnutí zpravidla do 7 pracovních dnů od řádného podání, která má přednost před delší obecnou interní lhůtou; zvláštní zákonné lhůty tím nejsou dotčeny.]**

**[DOPLNIT PŘED ZVEŘEJNĚNÍM: vyjmenovat každé rozhodnutí založené výhradně na automatizovaném zpracování, jeho právní nebo obdobně významný účinek, použité kategorie údajů, smysluplnou informaci o použitém postupu, význam a předpokládané důsledky, právní základ a záruky včetně lidského zásahu a možnosti rozhodnutí napadnout]**.

Pokud se na konkrétní rozhodnutí vztahuje čl. 22 GDPR, Weyo zajistí alespoň právo na lidský zásah, možnost vyjádřit vlastní stanovisko a rozhodnutí napadnout, není-li pro daný zákonný případ stanovena jiná odpovídající ochrana.

## 11. Které údaje musíte poskytnout

Údaje označené při registraci nebo žádosti jako povinné potřebujeme pro založení účtu, zabezpečení přístupu, vyhledání dopravce, uzavření a provedení požadované jízdy, platbu nebo splnění zákonné povinnosti. Bez nich nemusí být možné účet vytvořit nebo konkrétní službu poskytnout.

Dobrovolné údaje a volitelné souhlasy musí být zřetelně označeny. Odmítnutí marketingu nebo nenutné analytiky nesmí znemožnit základní zprostředkování jízdy. **[DOPLNIT PŘED ZVEŘEJNĚNÍM: seznam skutečně povinných polí a konkrétní následky jejich neposkytnutí]**.

## 12. Vaše práva

Podle okolností máte právo:

- získat potvrzení, zda vaše údaje zpracováváme, přístup k nim a jejich kopii;
- opravit nepřesné a doplnit neúplné údaje;
- požadovat výmaz, pokud již neexistuje právní důvod k dalšímu zpracování;
- požadovat omezení zpracování;
- získat údaje, které jste nám poskytli, ve strukturovaném, běžně používaném a strojově čitelném formátu a za zákonných podmínek je předat jinému správci;
- vznést námitku proti zpracování založenému na oprávněném zájmu; proti přímému marketingu můžete namítat kdykoli a bez dalšího posuzování jej ukončíme;
- kdykoli odvolat souhlas, aniž by tím byla dotčena zákonnost předchozího zpracování;
- nebýt za podmínek čl. 22 GDPR předmětem výhradně automatizovaného významného rozhodnutí a využít dostupné záruky;
- podat stížnost u dozorového úřadu, zejména u **Úřadu pro ochranu osobních údajů**, Pplk. Sochora 27, 170 00 Praha 7, [uoou.gov.cz](https://uoou.gov.cz/).

Žádost podejte na **privacy@withweyo.com**. Přijetí interně potvrdíme do tří pracovních dnů. Totožnost ověříme primárně přihlášeným účtem, ověřeným e-mailem nebo OTP na telefon. Kopii dokladu vyžádáme jen tehdy, když je to skutečně nutné; nepotřebné části se zamaskují a kopie se smaže do 30 dnů po uzavření žádosti. Následuje vyhledání údajů, lidská kontrola, export, oprava, omezení nebo výmaz podle typu žádosti, kontrola dotčených dodavatelů a evidence výsledku. O přijatých opatřeních informujeme bez zbytečného odkladu, zpravidla nejpozději do jednoho měsíce. Ve složitých případech lze lhůtu za podmínek GDPR prodloužit o další dva měsíce.

Pokud se žádost týká části, za kterou odpovídá konkrétní dopravce jako samostatný správce, tuto část předáme dopravci do tří pracovních dnů a žadatele informujeme. Weyo odpovídá za vlastní zpracování a interně eviduje dokončení části dopravce. Tím není dotčeno právo obrátit se přímo na kteréhokoli správce a v případě společných správců uplatnit práva vůči každému z nich.

**[P0 – ROZPOR S IMPLEMENTACÍ: výše uvedený workflow je schválené provozní pravidlo, ale audit nenalezl úplnou state machine, routing, SLA ani auditní stopu pro předání GDPR žádosti dopravci/Fleet controllerovi. TODO[ENGINEERING/PRIVACY]: před zveřejněním workflow implementovat, přidělit role, otestovat a doložit.]**

## 13. Zrušení účtu a výmaz

Zrušení účtu v aplikaci nebo na <https://www.withweyo.com/smazat-ucet> ukončí jeho běžné používání a účet deaktivujeme bez zbytečného odkladu. Běžné profilové údaje mají být backendově smazány zpravidla do 30 dnů. To neznamená okamžitý výmaz údajů, které musíme uchovat kvůli dopravní, účetní, daňové nebo jiné právní povinnosti nebo je potřebujeme pro přesně vymezený právní nárok. Takové údaje oddělíme od aktivního účtu, omezíme přístup a po skončení příslušného účelu je vymažeme nebo anonymizujeme.

**[DOPLNIT PŘED ZVEŘEJNĚNÍM: audit potvrdil in-app a webovou cestu `/smazat-ucet`, recent-auth/credential step-up a backendový erasure worker běžící v minutovém intervalu. Po žádosti se účet omezí a proběhne částečné smazání/anonymizace; finance a vazby na jízdy mohou zůstat. Před zveřejněním popsat ověřené stavy a lhůty, důvody ponechání jednotlivých polí, lost-account postup a ověřit úplnost napříč DB, S3, Stripe, Twilio, FCM, SES, Textract a zálohami.]**.

## 14. Zabezpečení

Trans Flow musí používat technická a organizační opatření přiměřená riziku, zejména řízení přístupů podle rolí, osobní administrátorské účty, ochranu přenosu, audit citlivých zásahů, zálohování, řízení zranitelností a postup pro bezpečnostní incidenty. Žádné opatření však neposkytuje absolutní ochranu.

Technické bezpečnostní incidenty a zranitelnosti lze hlásit na **security@withweyo.com**. Nejde o nepřetržitě monitorovanou 24/7 linku a Trans Flow neslibuje automatickou finanční odměnu. **[DOPLNIT PŘED ZVEŘEJNĚNÍM: ověřený veřejně popsatelný souhrn opatření; veřejný text nesmí prozradit informace, které by oslabily zabezpečení. `TODO[ENGINEERING]: vytvořit security.txt.`]**

Backendové routování incidentu, assignment, scoped grant nebo předání externímu poskytovateli samo neprokazuje nepřetržité lidské pokrytí. Interní označení „24/7 safety“ lze zveřejnit pouze po doložení `OPERATIONS EVIDENCE`: staffing rosteru, on-call režimu, jazykového pokrytí, funkčních kanálů, priorit/SLA, eskalací, výpadkového postupu a pravidel přístupu a předávání údajů. Bez tohoto důkazu musí rozhraní i tento dokument používat pravdivější označení „bezpečnostní hlášení“ nebo „podpora“ a nesmějí slibovat okamžitou či nepřetržitou reakci.

**[INTERNÍ AUDIT: v IaC bylo nalezeno HTTPS přes ALB a šifrování RDS/S3/Valkey v klidu i TLS pro Valkey; existují RBAC, membership, recent-auth, oddělené prod/dev účty a test-DB guards. Povinné MFA administrátorů, periodická recertifikace přístupů, úplný runtime DLP/log audit, datovaný nezávislý pentest, restore test a breach register doloženy nebyly. Tyto mezery nelze nahradit obecnou větou o zabezpečení.]**

## 15. Děti

Pracovní produktový model počítá s účtem cestujícího pro osoby od 18 let. Weyo nesmí vědomě vytvářet účet dítěti ani podporovat samostatnou jízdu nezletilého, dokud nejsou schválena zvláštní pravidla. Pokud zjistíme, že jsme získali údaje dítěte bez odpovídajícího právního základu, účet omezíme, ověříme situaci přiměřeným způsobem a údaje vymažeme, nebrání-li tomu zákonná povinnost nebo ochrana dítěte či jiných osob.

Samostatný účet je určen jen osobě starší 18 let. Dospělý držitel účtu odpovídá za objednávku, platbu a osoby přepravované v rámci objednávky. Family Profile je TARGET ON, ale nesmí být aktivován, dokud vlastník neurčí pravidla věku, hosta, nezletilého a skutečného cestujícího, oprávnění objednávat a platit, viditelnost, odpovědnost za dluh a lifecycle údajů a dokud je backend serverově nevynutí. Přeprava nezletilých se řídí pravidly dopravce, zákonem a případnou kategorií Kids; samotná existence Family membership není souhlasem dítěte ani oprávněním k neomezenému sdílení jeho polohy nebo historie.

**[P0 – ROZPOR S KÓDEM: Passenger registrace neobsahuje datum narození ani serverové pravidlo 18+. Family financování existuje, avšak účet/jízda stále patří přihlášenému cestujícímu a nebyl nalezen model zastoupeného cestujícího nebo nezletilého. Cílové pravidlo v předchozím odstavci proto není implementovaným stavem.]**

### 15.1 Apple App Privacy a Google Play Data Safety

Před odesláním produkčního buildu musí store deklarace odpovídat skutečnému toku a podle aktivovaných funkcí pokrýt nejméně účet a kontakt, platební/customer identifikátory, přesnou polohu a trasu, profilovou fotografii, mikrofon a safety audio, případné video, PIN pokusy, Ride Check signály a safety incidenty. Pokud bude aktivováno biometrické selfie/liveness, musí být odděleně přiznána fotografie a biometrická či odvozená data podle definic konkrétního obchodu. Pokud budou aktivovány reklamní identifikátory, atribuce nebo personalizace, musí store formuláře i ATT/consent obrazovky pravdivě uvést tracking, účely a sdílení.

`TODO[PRIVACY/ENGINEERING]: porovnat Apple App Privacy a Google Play Data Safety s podepsanými Passenger a Driver buildy a produkčním egress capture; zdrojový manifest ani tento pracovní dokument nenahrazují store deklaraci.`

## 16. Změny tohoto dokumentu

U každé verze uvedeme datum účinnosti a zpřístupníme ji na trvalém nosiči nebo v právním centru. O podstatné změně, která ovlivní účely, právní základy, příjemce nebo práva, informujeme přiměřeně předem. Pokud je pro nové zpracování potřebný souhlas, vyžádáme jej samostatně; pouhé pokračování v používání Weyo souhlas nenahrazuje.

Zvolený publikační kanál je <https://www.withweyo.com/pravni/privacy_policy>. Datum veřejného spuštění zatím není určeno; před zveřejněním se doplní skutečný den veřejného spuštění a stejný den se uvede jako datum účinnosti. **[DOPLNIT PŘED ZVEŘEJNĚNÍM: stabilní ID dokumentu, archiv historických verzí a ověřený oznamovací proces.]**

## 17. Hlavní právní zdroje

- [Nařízení (EU) 2016/679 (GDPR)](https://eur-lex.europa.eu/eli/reg/2016/679/oj?locale=cs)
- [Zákon č. 110/2019 Sb., o zpracování osobních údajů](https://e-sbirka.gov.cz/sb/2019/110)
- [Zákon č. 111/1994 Sb., o silniční dopravě, znění od 1. 7. 2026](https://e-sbirka.gov.cz/sb/1994/111/2026-07-01)
- [Zákon č. 563/1991 Sb., o účetnictví](https://e-sbirka.gov.cz/sb/1991/563)
- [Zákon č. 235/2004 Sb., o DPH](https://e-sbirka.gov.cz/sb/2004/235)