Weyo – informace o zpracování osobních údajů řidičů, dopravců a flotil

Česká republika · pracovní balík v3.0 · 4. září 2026

Stáhnout původní TXT

# Weyo – informace o zpracování osobních údajů řidičů, dopravců a flotil

Verze: pracovní v0.7  
Aktualizováno: 4. 9. 2026  
Správce platformy: Trans Flow s.r.o., IČO 24026760, DIČ CZ24026760, neplátce DPH  
Zvolená veřejná URL: <https://www.withweyo.com/pravni/driver_fleet_privacy_policy> – stránku je ještě nutné vytvořit a naplnit schválenou verzí

> **Interní pracovní návrh – nezveřejňovat.** Dokument nesmí být připojen k registraci, Driver aplikaci ani Fleet portálu, dokud nebudou doplněny všechny značky `[DOPLNIT PŘED ZVEŘEJNĚNÍM: …]`, dokončena datová mapa a DPIA a text nebude odpovídat produkčnímu onboardingu, dispatchi, poloze, platbám, administraci a blokacím.

### Interní auditní stav k 2.–4. 9. 2026 – odstranit z veřejné verze

Read-only audit zdrojového kódu ověřil implementaci v konkrétním snapshotu, nikoli skutečnou produkční konfiguraci, obsah produkční DB, podepsané aplikace nebo externí účty. Pro další práci jsou doložena tato technická fakta:

- Driver/Fleet model obsahuje invitation a membership, role Fleet `owner/admin/operations/finance/compliance/viewer/driver` a serverově odvozená oprávnění. Pracovní, mandátní ani licenční vztah řidiče ke skutečnému dopravci se v této vazbě nesnapshotuje (`fleet.ts:330`, `fleetTenant.ts:13–25`);
- celé přední/zadní obrazy nebo PDF dokladů se ukládají do privátního objektového úložiště. Identity images lze po review asynchronně smazat, ale obecná lhůta pro ostatní fotografie a nedokončený onboarding nebyla nalezena (`driverDocumentStorage.ts:37`, `reviewedIdentityDocumentCleanup.ts:13–47`);
- online Driver tracking je kontinuální a v pracovních stavech může běžet na pozadí; aktivní jízda používá vysokou přesnost a publish nejvýše jednou za pět sekund, dostupnost přibližně 50 m/30 s. Po přechodu offline se stream/heartbeat ruší, aktivní job jej může zachovat. Redis latest-location má TTL 180 sekund, ale poslední bod v PostgreSQL nemá nalezený TTL/job (`driver_location_platform.dart:131`, `liveLocationRealtime.ts:42`, `fleet.ts:261`);
- Fleet role s `operations.read` může získat poslední lokaci i offline. Ride API ukazuje cestujícímu bod do 120 sekund se stavem stáří; to není totéž jako výmaz DB bodu (`fleetTenantOperationsRoutes.ts:977`, `rideRoutes.ts:423–434`);
- Stripe Connect Express je implementován se samostatnou platform charge a následným transferem/payoutem. Právní Stripe entita, merchant of record, právní vlastník jízdného a produkční connected-account stav nejsou zjistitelné z kódu (`stripePaymentService.ts:1184`, `stripeConnectPayoutProvider.ts:131`);
- compliance může automaticky zrušit online lease při chybějícím/neplatném oprávnění; člověk rozhoduje dokumenty/eligibility a Fleet suspend/restore. Obecný odvolací endpoint, SLA, jednotná reason-code taxonomie, expiry preventivní blokace a auto-release nebyly nalezeny;
- Driver obsahuje in-app cestu výmazu a backend žádost chrání recent authentication. Erasure worker ruší relace, maže část profilů, kontaktů a dokumentových odkazů a anonymizuje uživatelský řádek; finance a vazby na jízdy mohou zůstat. Nalezen byl cleanup Weyo S3 a Stripe customer a replay tombstone po obnově, nikoli potvrzený cleanup Twilio, FCM, SES a Textract ani úplný completeness test (`accountDeactivation.ts:274–653`, `accountErasureService.ts:261–450`);
- owner rozhodnutí již stanoví pracovní retenční matici a GDPR workflow, ale audit nepotvrdil jejich úplné technické vynucení ani předání žádosti jinému dopravci/Fleet controllerovi. DPO nyní není jmenován; doložen však není ani formální DPO test. Chybějí rovněž DPIA pro GPS/dispatch/rating/fraud/Fleet dohled, RoPA, LIA, DPA, SCC, TIA a aktuální subprocessor list.
- audit B19 ze dne 3. 9. 2026 zjistil ruční schválení a dobrovolný opt-in Řidičky pro Women for Women, ale backend současně předkládá fotografii dokladu AWS Textract, ukládá úřední sex marker a confidence a marker `X` automaticky zamítá. Driver pickup UI dále vybízí k vizuálnímu posouzení cestující a hlášení automaticky spouští plný poplatek, stejnou kompenzaci, zákaz kategorie a žádný automatický refund. Passenger appeal/unban, doprovod ani fallback nebyly nalezeny. Infrastrukturní flag je defaultně `disabled`, auditovaný backend jej však nečte; produkční aktivace ani ceny nebyly ověřeny.
- audit ze dne 4. 9. 2026 zjistil serverovou geofencovanou queue s kapacitou, presence/freshness/eligibility kontrolou a pořadím podle `joined_at, id`; Driver UI umí zobrazit pozici a odhad čekání. Nebylo však doloženo, že pořadí řídí dispatch, ani pravidla decline, timeoutu, storna, rematche, krátkého opuštění, GPS chyby, priorit a odvolání (`DRIVER_DEMAND_AND_HUB_QUEUES.md:3–74`, `driverIntelligencePersistence.ts:269–307`, `driverIntelligenceService.ts:59–72`);
- payout ledger rozlišuje available/pending/held a Stripe Connect Express zná `failed`, `returned` a `reversed`, ale schedule je `biweekly` nebo `manual`; skutečný instant payout, jeho poplatek, limity, ETA, eligibility, chargebackový tok, fee invoice a daňový režim doloženy nejsou (`payoutService.ts:429–472`, `stripeConnectPayoutProvider.ts:194–216`, `0048_biweekly_payout_schedule.sql:3–5`);
- vehicle branding/polepy nebyly nalezeny; existující Fleet Campaigns jsou Weyo Work organization promotions, nikoli program polepů. Automatický cleaning fee je pouze právní/operational placeholder. Oba TARGET ON moduly proto vyžadují nový lifecycle, data, notice, lidské rozhodování, reklamace a retenci;
- Driver aplikace žádá profilovou selfie k ručnímu review a profilová fotografie může být podmínkou eligibility, ale nebyl nalezen facial match, liveness, confidence threshold, biometrická šablona ani automatické identity rozhodnutí. Profilová fotografie proto nesmí být popsána jako biometrické ověření (`account.dart:740–754`, `driver_eligibility.dart:39`);
- safety audio je částečně implementováno s výslovnou autorizací uploadu a auditovanou policy 72 hodin / 365 dní při incidentu; safety video nenalezeno. Pickup PIN a Ride Check mají serverovou logiku, ale capability jsou defaultně vypnuté. Reklamní identifikátory, attribution SDK a personalizace nebyly nalezeny;
- backend podporuje safety incident routing, scoped grants, assignment a provider handoff, ale kód nedokládá skutečné interní 24/7 personální pokrytí. Pouhé `continuous_24x7` evidence mode, šablona nebo acknowledgement nejsou staffing důkazem.

**Aktuální scope:** Family Profile, Weyo Plus, branding vozidel/flotil, letištní či geofencované fronty, instant payout, cleaning claim, biometrické selfie/liveness, safety audio/video, reklamní identifikátory a personalizace, pickup PIN, Ride Check a technické safety routování jsou rozhodnutím vlastníků TARGET ON pro veřejné spuštění. TARGET ON neznamená dnešní dostupnost ani právní či produkční připravenost. Každá funkce musí do splnění své smluvní, privacy, provozní a technické brány zůstat serverově nedostupná; veřejná verze ji popíše jako skutečnost až podle ověřeného buildu a konfigurace. Women for Women zůstává P0 OFF do odstranění rozporů B19 a splnění vlastní brány. Zdrojový audit není důkazem nastavení produkčního flagu.

## 1. Komu jsou informace určeny

Tyto informace jsou určeny:

- fyzické osobě, která je samostatným licencovaným dopravcem a současně řídí;
- jmenovanému řidiči právnické osoby, podnikatele nebo flotily;
- fyzické osobě jednající za dopravce nebo flotilu, například jednateli, zmocněnci nebo kontaktní osobě;
- správci a jinému oprávněnému uživateli Fleet portálu;
- vlastníkovi nebo provozovateli vozidla, pokud je fyzickou osobou a jeho údaje se zpracovávají;
- žadateli, jehož registrace nebyla dokončena nebo byla zamítnuta.

„Dopravcem“ se zde rozumí podnikatel, který vlastním jménem poskytuje přepravu a má potřebnou koncesi. „Flotilou“ se rozumí právnická osoba nebo podnikatel spravující řidiče či vozidla; flotila je dopravcem pouze tehdy, když přepravu skutečně poskytuje vlastním jménem a splňuje zákonné podmínky. „Řidičem“ se rozumí fyzická osoba používající Driver aplikaci.

## 2. Správce a kontakty

Platformu Weyo provozuje **Trans Flow s.r.o.**, se sídlem Holečkova 789/49, Smíchov, 150 00 Praha 5, IČO 24026760, DIČ CZ24026760, neplátce DPH, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze, oddíl C, vložka 437203 (dále jen „**Trans Flow**“, „**Weyo**“ nebo „**my**“).

Trans Flow je správcem pro zpracování, u kterého sama určuje účel a prostředky, zejména pro registraci na platformě, ověření zákonné způsobilosti, provoz Driver aplikace a Fleet portálu, zprostředkování jízd, splnění vlastních povinností zprostředkovatele taxislužby, bezpečnost, podporu, vyúčtování své platformní služby, DAC7, je-li použitelné, a ochranu vlastních právních nároků.

- Privacy kontakt: **privacy@withweyo.com** nebo poštou na sídlo Trans Flow. Při spuštění tuto agendu zajišťují oba jednatelé osobně; každý případ má jednoho přiděleného řešitele a případný nezúčastněný přezkum provede druhý jednatel.
- Podpora řidičů, dopravců a flotil: **supportfleet@withweyo.com**, obsluhovaná v pracovní dny 9:00–17:00 mimo státní svátky; na běžné požadavky zpravidla odpoví do 7 pracovních dnů.
- Hlavní telefon: **+420 778 660 864**, záložní **+420 775 503 272**; telefonní dostupnost je v pracovní dny 10:00–17:00 mimo státní svátky.
- Pověřenec pro ochranu osobních údajů nyní **není jmenován**. Potřeba jeho jmenování se musí formálně posoudit před spuštěním a znovu při významném růstu, vstupu na další území nebo novém systematickém monitorování. `TODO[PRIVACY]: doložit DPO test; netvrdit, že Weyo DPO má.`

## 3. Role Trans Flow, dopravce a flotily

### 3.1 Trans Flow jako samostatný správce

Trans Flow zpracovává osobní údaje pro vlastní platformní a zákonné účely uvedené v tomto dokumentu. Dopravce ani flotila nemohou za Trans Flow rozhodovat o vyřízení žádosti týkající se těchto účelů.

### 3.2 Dopravce nebo flotila jako samostatný správce

Dopravce nebo flotila je zpravidla samostatným správcem pro své vlastní účely, zejména:

- založení, správu a ukončení pracovního nebo jiného zákonného vztahu s řidičem;
- mzdu nebo jinou odměnu, daně, odvody, pracovní dobu, směny a BOZP;
- přidělení vozidel, provoz flotily, zákonné dopravní evidence a pojištění;
- provedení přepravy, řešení nehody, stížnosti cestujícího a vlastních právních nároků;
- vlastní účetnictví, daně a zákonné hlášení.

Řidič musí od svého dopravce nebo flotily obdržet samostatné informace o tomto zpracování. Tento dokument je nenahrazuje.

### 3.3 Předávání a společné zpracování

Trans Flow a dopravce nebo flotila si mohou předávat údaje jako dva samostatní správci, pokud každý sleduje vlastní účel a má vlastní právní základ. Pokud účel a zásadní prostředky určují společně, musí uzavřít ujednání společných správců podle čl. 26 GDPR a zpřístupnit jeho podstatné prvky. Pokud jedna strana jedná pouze na doložený pokyn druhé, musí být uzavřena smlouva podle čl. 28 GDPR.

**[DOPLNIT PŘED ZVEŘEJNĚNÍM: pro onboarding, živou polohu, dispatch, hodnocení, podporu, bezpečnost, payout a Fleet portál určit skutečnou roli každé strany, právní základ předání, kontaktní bod a podstatné prvky případného ujednání společných správců]**.

Trans Flow není zaměstnavatelem jmenovaného řidiče jen proto, že provozuje Driver aplikaci. Skutečný dopravce nebo flotila odpovídá za zákonný pracovněprávní vztah řidiče, nejde-li o samostatného dopravce.

## 4. Odkud údaje získáváme

Údaje získáváme podle okolností:

1. **přímo od vás**, například při registraci, nahrání dokladů, správě profilu, používání Driver aplikace, přijetí jízdy nebo kontaktu s podporou;
2. **od dopravce či flotily**, například údaje o vašem oprávnění jednat, pracovněprávní vazbě, vozidle, pozvání do Fleet portálu, změně role nebo ukončení vazby;
3. **z veřejných a úředních zdrojů**, například obchodní, živnostenský, insolvenční nebo dopravní registr a Portál dopravy/RPSD, v rozsahu dovoleném právem;
4. **od cestujících**, například hodnocení, stížnost, poděkování, hlášení ztracené věci nebo bezpečnostního incidentu;
5. **z Driver aplikace, vozidla a platformy**, například online stav, poloha, nabídky, serverový čas přijetí objednávky řidičem, čas zrušení cestujícím, událost příjezdu, časovač čekání/no-show, důvod zrušení nebo no-show, průběh jízdy, zařízení, diagnostika a auditní události;
6. **od poskytovatelů plateb, ověření, komunikace nebo bezpečnosti**, například stav KYB/KYC, výplatního účtu, účtované transakce, refundace či reverzace, doručení servisního oznámení nebo fraud signál;
7. **od orgánů, pojišťoven nebo jiných oprávněných osob**, pokud řešíme konkrétní zákonný požadavek, incident nebo nárok.

Pokud údaje nezískáme přímo od vás, splníme informační povinnost podle čl. 14 GDPR v příslušné lhůtě, ledaže platí zákonná výjimka.

## 5. Kategorie zpracovávaných údajů

### 5.1 Identita, kontakt a účet

- jméno, datum narození nebo jiný věkový údaj, kontaktní a doručovací údaje;
- fotografie profilu, interní identifikátor, přihlašovací a bezpečnostní údaje, jazyk;
- status registrace, aktivace, rolí, vazeb a akceptovaných dokumentů;
- údaje osoby jednající za právnickou osobu, plná moc a rozsah oprávnění.

### 5.2 Podnikatelské, daňové a DAC7 údaje

- obchodní firma nebo název, sídlo, IČO, registrace, koncese a kontakty;
- TIN/DIČ, daňová rezidence, DPH status a další údaje vyžadované pro DAC7;
- identifikace majitele výplatního účtu a údaje o protiplnění, provizích, poplatcích a daních v zákonném rozsahu;
- čtvrtletní a roční agregace potřebné pro oznamovací povinnost.

### 5.3 Doklady a oprávnění řidiče

- průkaz totožnosti v nezbytném rozsahu, řidičský průkaz, oprávnění a průkaz řidiče taxislužby;
- datum vydání a platnosti, číslo dokladu, vydávající stát nebo orgán a výsledek úředního ověření;
- pobytové a pracovní oprávnění, je-li pro danou osobu právně nezbytné;
- důkaz zákonné vazby řidiče na dopravce nebo flotilu.

Trans Flow musí před zavedením určit, zda potřebuje kopii celého dokladu, nebo postačí ověřená pole a výsledek kontroly. Nepotřebné části mají být zakryty nebo se nemají ukládat.

Dokumenty kontroluje jeden ze dvou jednatelů v soukromé admin aplikaci pod svým osobním účtem. Zaznamená svou identitu, datum, použitý zdroj, výsledek a expiraci; Weyo používá dostupné oficiální registry, obchodní/živnostenské údaje a taxi evidenci. Při launchi není samostatný externí KYC/KYB dodavatel; Stripe Connect provádí svůj platební onboarding connected accountu a Weyo ručně ověřuje identitu a taxi, řidičské, dopravní a vozidlové dokumenty. Tato kontrola neověřuje gender Řidičky pro Women for Women. Plné fotografie dokladů totožnosti jsou určeny jen oběma jednatelům v roli compliance administrátorů a zobrazí se pouze tomu z nich, který řeší danou kontrolu nebo případ, nikoli běžnému správci flotily. `TODO[PRIVACY/ENGINEERING]: ověřit minimalizaci/redakci jednotlivých polí, přístupy a fyzický výmaz podle oddílu 12; odstranit použití Textract sex markeru a confidence pro W4W a automatické zamítání markeru X.`

### 5.4 Vozidlo a pojištění

- SPZ, VIN, značka, model, barva, rok, kapacita a fotografie;
- vlastník a provozovatel, evidence vozidla taxislužby, evidenční nálepka a vazba na dopravce;
- technická způsobilost, STK, pojištění, doby platnosti a výsledek ověření;
- interní eligibility a případné kategorie vozidla.

Pro TARGET ON program polepů/brandingu mohou navíc vznikat údaje o dobrovolném přihlášení, kampani, vozidle, termínu a místě instalace/kontroly, fotografiích polepu, případné poloze pořízené při kontrole, plnění podmínek, bonusu, odstranění polepu, škodě a clawbacku. Současná codebase takový program nedokládá. `OWNER INPUT/EXTERNAL PROVIDER EVIDENCE`: určit dodavatele, inspekci, frekvenci a rozsah foto/GPS důkazu, bonus, DPH, pojištění, retenci a práva k ochranné známce; bez toho se údaje nesbírají.

Jako důkaz práva vozidlo používat lze podle situace přijmout vlastnictví, leasing, nájem, výpůjčku, souhlas vlastníka nebo potvrzení flotily. Každý dopravce musí doložit zákonem vyžadované pojištění platné pro taxislužbu; Weyo při launchi neposkytuje vlastní doplňkové pojištění.

### 5.5 Dostupnost, poloha, nabídky a jízdy

- offline/online stav, čas a oblast dostupnosti;
- přesná nebo přibližná poloha, směr, časová značka a kvalita signálu v rozsahu skutečně nutném pro dispatch, příjezd, aktivní jízdu a bezpečnost;
- nabídky jízd, jejich hlavní parametry, přijetí, odmítnutí a timeout, včetně serverového časového razítka přijetí řidičem (`driver_accept`);
- časové razítko zrušení cestujícím (`passenger_cancel`), událost příjezdu (`arrival`), stav doručení souvisejícího servisního oznámení, začátek, průběh a vypršení časovače čekání/no-show a kód nebo popis důvodu storna či no-show;
- pickup, cíl, trasa, časy, vzdálenost, dopravce, řidič, vozidlo, cena a stav jízdy.

Pro TARGET ON letištní nebo jinou geofencovanou frontu mohou být zpracovány market/hub/geofence ID, vstup a výstup, přesná poloha a freshness/presence, eligibility, `joined_at`, serverové pořadí, pozice, odhad čekání a důvod odebrání či resetu. Auditované pořadí podle `joined_at, id` není důkazem FIFO dispatch. Před aktivací musí být popsáno, zda a jak fronta ovlivní nabídky, decline, timeout, storno, rematch, krátké opuštění, chybu GPS, priority a odvolání.

Pickup PIN může vytvářet hash kódu vázaný na jízdu, expiraci, počet a časy pokusů, výsledek `verified`, `incorrect`, `locked`, `expired`, `reassigned` nebo `replayed` a support override s grantem, důvodem a auditní stopou. Driver bez ověření nebo oprávněného override nemá jízdu zahájit. PIN není zákonným dokladem identity. Ride Check může zpracovat omezené vzorky trasy/času, signály dlouhého zastavení, odchylky, prodloužené jízdy a ztráty polohy, welfare prompt, odpověď Řidiče, vznik případu a lidský follow-up. Ani funkce sama neprokazuje nehodu nebo zavinění ani neslibuje automatický kontakt IZS.

### 5.6 Platby, výdělky a vypořádání

- jízdné, cílová jednotná sazba platformní provize **10 %**, její výpočtový základ a vypočtená částka, verze příslušného sazebníku, poplatky, účtované transakce, refundace, reverzace, chargebacky, opravy, srážky, rezervy a zůstatky;
- výplatní účet, PSP identifikátor, stav onboardingu, výplaty a faktury;
- daňové a účetní údaje podle role Trans Flow a skutečného dopravce.

TARGET ON instant payout může navíc používat available/pending/held balance, rezervovanou částku, požadovanou výplatu, eligibility, frekvenci a limit, poplatek a jeho příjemce, bankovní/Stripe Connect KYC stav, odhad, stav `failed`, `returned` nebo `reversed`, související chargeback, výpis a doklad. Současný audit dokládá běžný `biweekly` nebo `manual` payout, nikoli instant produkt. `OWNER INPUT/PROVIDER/LEGAL`: určit poplatek, limity, dostupnost, negarantovanou bankovní ETA, právní Stripe entitu, chargeback po výplatě, DPH a emitenta fee invoice.

Zamýšleným PSP je Stripe Connect Express. Flotila či dopravní společnost má jeden connected account na právnickou osobu a payout na bankovní účet flotily; samostatný OSVČ dopravce má connected account a podnikatelský účet na sebe. Řidič pod flotilou nemá vlastní payout účet ve Weyo a jeho odměnu řeší flotila. Hrubé jízdné právně náleží příslušnému dopravci či flotile; Weyo uplatňuje 10% provizi z jízdného, placeného čekání a platného storno/no-show poplatku. `TODO[PAYMENTS/PRIVACY]: produkčně ověřit Dashboard, právní Stripe entitu, pole viditelná Trans Flow, merchant-of-record, tok transfer/payout, daňový režim a zacházení s refundací/chargebackem.`

**[INTERNÍ TECHNICKÝ PODKLAD – NEPUBLIKOVAT TAKTO: PSP v kódu je Stripe, Connect Express a `separate charges and transfers`. Passenger PaymentIntent je platform charge bez `on_behalf_of`, `transfer_data` a application fee; převod na connected account vzniká později. Ledger obsahuje gross/commission/net, ale nedokládá právní vlastnictví jízdného Carrierem. Ani stálých 10 % není serverový invariant: policy připouští 0–100 %, bez policy používá 0 % a Parcel seed obsahuje 25 %. Veřejný text musí popsat až opravený a produkčně ověřený stav, nikoli tuto závadnou konfiguraci.]**

Událostní a finanční záznamy se smějí spojovat s řidičem, dopravcem a konkrétní žádostí jen v rozsahu nutném pro zprostředkování, vypořádání, reklamaci, bezpečnost a zákonnou evidenci. Pokud postačí stav, čas, kód důvodu, identifikátor pravidla a transakce, nesmí se bez další prokázané potřeby kopírovat úplný obsah oznámení, komunikace ani celá polohová historie.

### 5.7 Kvalita, hodnocení, bezpečnost a podpora

- rating, zpětná vazba, stížnosti, ztracené věci, incidenty, nehody a podklady;
- podklady pro Trusted Driver, zejména datum první rozhodné Weyo jízdy, počet rozhodných jízd a jejich finanční nebo účetní uzavření podle platební metody, aktivní rank Dlouhodobý řidič, nejvýše 100 platných hodnocení za nejvýše 12 měsíců, počet hodnocení, výsledný průměr, platnost povinných dokumentů, datum a verze kritérií, udělení či odebrání statusu, důvod, oprava a přezkum;
- u budoucí partnerské výhody identifikátor programu, splnění podmínek, poskytnutá hodnota a nezbytný stav čerpání; údaje konkrétnímu partnerovi jen po předchozí informaci a na odpovídajícím právním základě;
- u Women for Women dobrovolný opt-in/opt-out Řidičky, verze přijatého pravidla, nabídka a objektivní incident reason code, lidský výsledek, oznámení, oprava a odvolání. Pro určení W4W genderu, eligibility nebo matchingu se nesmí ukládat ani používat podtyp genderové identity, vzhled, hlas, jméno, fotografie, biometrika, úřední sex marker nebo Textract confidence; pokud některý z těchto údajů existuje pro jiný zákonný účel, musí být účelově a přístupově oddělen a nesmí vstupovat do W4W eligibility nebo matchingu;
- výsledek šetření, upozornění, nápravné opatření, omezení nebo odvolání;
- komunikace s cestujícím, podporou, flotilou nebo orgánem;
- bezpečnostní a fraud signály a relevantní auditní stopa.

Pro TARGET ON cleaning claim mohou být zpracovány identifikátor jízdy, čas žádosti, fotografie a další důkaz, vyjádření cestujícího a Řidiče, výsledek lidské kontroly, přiznaná či zamítnutá částka, notice, námitka, refundace a fraud audit. Žádný takový produkční tok nebyl nalezen a automatický poplatek nesmí vzniknout bez schválených důkazních pravidel, lidského rozhodnutí a odvolání.

Pro TARGET ON safety audio/video mohou být zpracovány notice/acknowledgement, OS oprávnění, recording/segment metadata, šifrovaný záznam, výslovná upload authorization, přístupový grant, incidentní vazba, export, výmaz a předání. Audio je částečně implementováno; video není doloženo. Musí být určeno, které osoby jsou nahrávány, kdo dostane notice, kdo a kdy může záznam otevřít, zda je uložen lokálně nebo serverově a zda jej lze předat policii či pojišťovně.

### 5.8 Zařízení, cookies, SDK a audit

- zařízení, operační systém, verze aplikace, IP adresa, jazyk, push token a relace;
- technická diagnostika, crash data, síťové a bezpečnostní události;
- identifikátory a události SDK pouze podle skutečného inventáře a volby uživatele;
- identita admina, čas, kontrolovaný dokument, zdroj kontroly, rozhodnutí, důvod a změna stavu.

### 5.9 Citlivé údaje

Weyo nemá pro běžný onboarding vyžadovat zvláštní kategorie údajů podle čl. 9 GDPR ani údaje o odsouzeních a trestných činech podle čl. 10 bez konkrétního právního základu. Fotografie dokladu může nepřímo odhalit více údajů, než je potřeba; proto se uplatní minimalizace a redakce. Údaj o pohlaví není sám o sobě automaticky zvláštní kategorií podle čl. 9, ale může mít významný dopad na rovné zacházení a pracovní příležitosti.

Současná selfie nebo profilová fotografie je pouze obrazový podklad pro ruční review a vizuální identifikaci; není doložen facial match, liveness, confidence score ani biometrická šablona. TARGET ON biometrické selfie/liveness může být aktivováno až po určení konkrétního poskytovatele, účelu a alternativního ručního ověření, právních titulů podle čl. 6 a 9 GDPR, posouzení čl. 22, DPIA, datových polí, šablony/embeddingu, prahu, přístupu, retence/purge, regionu/přenosu a lidského odvolání. Odmítnutí souhlasu nebo technický neúspěch nesmí bez přístupné alternativy a lidského přezkumu automaticky ukončit možnost pracovat.

Obsahuje-li hlášení nehody, bezpečnostní podklad nebo komunikace podpory údaj o zdraví či jinou zvláštní kategorii, nestačí běžný titul uvedený v tabulce podle čl. 6 GDPR. Pro každý skutečný tok musí Trans Flow určit také konkrétní podmínku podle čl. 9 odst. 2 GDPR, například výslovný a odvolatelný souhlas pro dobrovolnou podporu, ochranu životně důležitých zájmů osoby neschopné souhlas udělit nebo nezbytnost pro určení, výkon či obhajobu právních nároků, odpovídá-li tomu situace. U údajů podle čl. 10 se musí určit konkrétní zákonné oprávnění, zdroj a záruky; nelze je vytvářet jako obecnou soukromou databázi bez takového oprávnění.

**[DOPLNIT PŘED ZVEŘEJNĚNÍM: pro každý skutečný tok podle čl. 9 nebo 10 účel, čl. 6 titul, konkrétní čl. 9 odst. 2 podmínku nebo zákonné oprávnění podle čl. 10, zdroj, příjemce, přístupové role, retenční dobu, bezpečnostní opatření a důkaz souhlasu či jiného oprávnění; bez schváleného toku jednatelé vykonávající tuto agendu nesmějí tyto údaje systematicky vyžadovat]**.

**Cílové pravidlo pro launch:** biometrické selfie/liveness a safety audio/video jsou TARGET ON, ale nejde o současný doložený stav. Do splnění výše uvedených bran je profilová fotografie pouze podkladem pro ruční review a audio/video/biometrické rozhodování nesmí být veřejně deklarováno ani produkčně aktivováno. Weyo ověřuje platnost příslušných úředních oprávnění, ale nevede vlastní databázi trestní minulosti. Women for Women je dobrovolná preference Řidičky; úřední marker `M`, `F` nebo `X` nerozhoduje, administrátor ověřuje identitu a zákonná oprávnění, nikoli gender, a Textract sex-marker OCR, confidence ani automatické zamítnutí `X` se pro W4W nesmějí používat. Biometrika se nesmí použít k odvození W4W způsobilosti ani k marketingu.

**[P0 – ZVLÁŠTNÍ KATEGORIE: formulář safety incidentu přijímá typ `medical` a volný popis; stejný typ obsahu může vzniknout v podpoře. Před aktivací musí být dokončena minimalizace, právní titul/podmínka čl. 9, přístup, retence, DPIA a písemné instrukce pro oba jednatele vykonávající tuto agendu.]**

## 6. Účely a právní základy

| Účel | Typické údaje | Právní základ | Poznámka |
|---|---|---|---|
| Předregistrace, založení účtu a uzavření partnerského vztahu | identita, kontakt, firma, role, dokumenty | čl. 6 odst. 1 písm. b) GDPR | Kroky na žádost osoby a plnění smlouvy; u zaměstnance či zástupce, který není smluvní stranou, také písm. f), oprávněný zájem spravovat smluvní vztah s jeho organizací. |
| Ověření dopravce, řidiče a vozidla před aktivací a průběžně | koncese, řidičské a taxi oprávnění, vazba, vozidlo, STK, pojištění | čl. 6 odst. 1 písm. c) a f) GDPR | Splnění povinností zprostředkovatele taxislužby a oprávněný zájem nepřipustit nezpůsobilou osobu či vozidlo. |
| Provoz Driver aplikace a Fleet portálu | účet, role, zařízení, bezpečnost, preference | čl. 6 odst. 1 písm. b) a f) GDPR | Plnění smlouvy a zabezpečení služby a přístupů. |
| Online dostupnost, dispatch a přiřazení jízdy | stav, poloha, eligibility, nabídka, základní parametry dispatch | čl. 6 odst. 1 písm. b) GDPR; podle bezpečnostního účelu také f) | Údaje musí být omezeny na to, co je nezbytné pro požadovanou platformní službu. Hlavní parametry a jejich význam musí být transparentní. |
| Letištní/geofencovaná fronta | hub/geofence, poloha a freshness, eligibility, vstup/výstup, joined time, pozice, odhad a reason code | čl. 6 odst. 1 písm. b) GDPR; prevence zneužití podle konkrétního písm. f) | Poskytnutí dobrovolně vyžádané queue funkce. Před aktivací popsat relativní význam pořadí v dispatchi, priority, reset, GPS chyby a odvolání; nelze tvrdit FIFO přidělení, dokud není integrace prokázána. |
| Příjezd, průběh a dokončení jízdy | poloha, trasa, časy, stav, cestující, dopravce, vozidlo | čl. 6 odst. 1 písm. b), c) a podle účelu f) GDPR | Zprostředkování a důkaz jízdy, zákonná evidence a konkrétní bezpečnostní zájem. |
| Storno, čekání, no-show a přezkum souvisejícího poplatku | serverové časy přijetí a zrušení, příjezdová událost, doručení servisního oznámení, časovač čekání/no-show, důvod, účtovaný poplatek, transakce, refundace nebo reverzace | čl. 6 odst. 1 písm. b) GDPR; pro řešení sporu a prevenci zneužití podle okolností také písm. f) | Provedení předem popsaných smluvních pravidel a doložení výsledku. Automatické časové vyhodnocení musí být dohledatelné a sporný případ přezkoumatelný člověkem podle více relevantních podkladů. |
| Evidence zprostředkovaných přeprav | dopravce, sídlo, IČO, řidič, SPZ, časy, místa, cena | čl. 6 odst. 1 písm. c) GDPR | § 21e odst. 2 zákona č. 111/1994 Sb. |
| Vyúčtování platformy, inkaso a payout | transakce, cílová jednotná sazba 10 %, výpočtový základ a částka provize, refundace, reverzace, účet, faktura | čl. 6 odst. 1 písm. b), c) a f) GDPR | Plnění smlouvy a účetních či daňových povinností; oprávněný zájem na správném vypořádání a prevenci zneužití. Cílový stav má pro každou transakci evidovat použitých 10 %; audit však tento invariant nepotvrdil a právní i datový režim základu výpočtu musí být před zveřejněním sladěn s partnerskými podmínkami. **[DOPLNIT PŘED ZVEŘEJNĚNÍM: skutečné role a data]**. |
| Instant payout | available/pending/held balance, rezervace, částka, limit/frekvence, KYC, poplatek, stav payoutu a reversal | čl. 6 odst. 1 písm. b), c) a podle fraud účelu f) GDPR | TARGET ON; současný kód dokládá jen běžný payout. Před aktivací určit Stripe entitu a role, fee/limity, negarantovanou bankovní ETA, chargeback, doklad a daně. |
| DAC7 due diligence, reporting a informování prodejce | identita, adresa, TIN/DIČ, rezidence, účet, protiplnění, poplatky | čl. 6 odst. 1 písm. c) GDPR | Pouze pokud se na Trans Flow a daného prodejce vztahuje zákon č. 164/2013 Sb. |
| Servisní komunikace a změny podmínek | kontakt, role, stav účtu, doručení | čl. 6 odst. 1 písm. b) nebo c) GDPR | Zprávy nutné k poskytování služby nebo splnění právní povinnosti. |
| Podpora, reklamace, nehody a ztracené věci | jízda, komunikace, podklady, rozhodnutí | čl. 6 odst. 1 písm. b), c) a f) GDPR | Oprávněný zájem spravedlivě vyřešit událost a chránit práva dotčených osob. |
| Cleaning claim | jízda, fotografie/důkazy, vyjádření, lidské rozhodnutí, poplatek, námitka a refundace | čl. 6 odst. 1 písm. b) nebo f) GDPR podle schváleného smluvního modelu; účetní záznam podle písm. c) | Náhrada konkrétně doloženého čištění. Automatický poplatek bez notice, přiměřených podkladů a odvolání není schválen. |
| Program polepů/brandingu | vozidlo, opt-in, kampaň, foto/GPS evidence, inspekce, bonus, škoda a ukončení | čl. 6 odst. 1 písm. b) GDPR; účetnictví podle písm. c); případný fraud podle písm. f) | TARGET ON, ale v codebase nenalezen. Před aktivací určit lifecycle, dodavatele, rozsah evidence, retenci, IP licenci, pojištění, bonus, DPH a clawback. |
| Pickup PIN a Ride Check | PIN lifecycle/pokusy/override; polohové a časové signály, welfare prompt, odpověď a případ | čl. 6 odst. 1 písm. b) a f) GDPR podle konkrétní funkce; u zvláštních údajů navíc čl. 9 | Ověření pickup a nabídnutí bezpečnostní kontroly. PIN není zákonná identita a Ride Check není emergency monitoring. Oba toky vyžadují přístupnou alternativu, minimalizaci, přesnou retenci, lidský postup a posouzení čl. 22/DPIA. |
| Biometrické selfie/liveness | fotografie, facial-match/liveness vstup a výsledek, případná šablona/embedding, confidence, rozhodnutí a review | **[DOPLNIT: čl. 6 titul a konkrétní čl. 9 odst. 2 podmínku]** | TARGET ON; současná selfie je jen profilová fotografie. Před aktivací vyžaduje provider, DPIA, nebiometrickou alternativu, lidský přezkum, retenci/purge, region/transfer a zákaz sekundárního použití. |
| Safety audio/video | notice, acknowledgement, OS permission, záznam/segment, upload authorization, grant, incident a předání | **[DOPLNIT: čl. 6 titul, případný čl. 9 odst. 2 titul a režim nahrávání všech osob]** | Audio je částečně implementováno, video nenalezeno. Aktivovat až po storage/KMS/access/retention testu, pravidlech exportu/výmazu, příjemcích, police/insurance handoffu a pravdivém staffing sdělení. |
| Bezpečnost, podvod a ochrana účtů | identita, zařízení, poloha v nezbytném rozsahu, transakce, incidenty, logy | čl. 6 odst. 1 písm. c) a f) GDPR | Oprávněný zájem chránit osoby, službu a majetek; musí být přiměřený, dokumentovaný a přezkoumatelný. |
| Rating a kvalita | jízdy, hodnocení, stížnosti a ověřené výsledky | čl. 6 odst. 1 písm. f) GDPR | Oprávněný zájem na kvalitě a bezpečnosti; rating nesmí být jediným nevysvětleným důvodem významné sankce. |
| Trusted Driver | platné dokumenty, datum první rozhodné jízdy, počet rozhodných jízd, rank Dlouhodobý řidič, nejvýše 100 hodnocení za nejvýše 12 měsíců, počet hodnocení, průměr, verze kritérií, status, důvod a přezkum | čl. 6 odst. 1 písm. b) a f) GDPR podle skutečného programu | Správa transparentního statusu založeného na průměru nejméně 4,80, nejméně 20 platných hodnoceních a dlouhodobém ranku. Při prvním spuštění status nemění dispatch, cenu ani provizi, není skrytou sankcí ani bezpečnostní zárukou; před aktivací se provede test proporcionality a automatizovaného rozhodování. |
| Dobrovolná účast Řidičky ve Women for Women | opt-in/opt-out, verze pravidla, stav dostupnosti pro kategorii, nabídka, objektivní incident reason code, lidské rozhodnutí, náprava a odvolání | pracovně čl. 6 odst. 1 písm. b) GDPR pro požadovanou platformní funkci a podle konkrétního incidentu písm. f); `TODO[LEGAL/PRIVACY]`: dokončit DPIA a posoudit každý skutečný údaj | Poskytnutí dobrovolné preference a spravedlivé řešení důvodného incidentu. Nezpracovává se podtyp genderové identity a marker ani fotografie dokladu se nepoužijí k W4W eligibility. Opt-out nesnižuje přístup k běžným jízdám. |
| Budoucí slevy, odměny a partnerské výhody | identifikátor programu, způsobilost, čerpání a nezbytné vypořádání | čl. 6 odst. 1 písm. b) GDPR pro vyžádanou výhodu; souhlas nebo jiný doložený titul pro volitelný marketing či předání partnerovi | Každý program musí mít vlastní pravidla a privacy informaci. Zmínka o budoucím programu sama neopravňuje ke sdílení údajů. |
| Omezení, pozastavení, ukončení a odvolání | porušení, podklady, eligibility, bezpečnost, rozhodnutí, audit | čl. 6 odst. 1 písm. b), c) a f) GDPR | Plnění podmínek a práva, ochrana bezpečnosti a práv; vyžaduje konkrétní důvod, přiměřenost a dostupný lidský přezkum. |
| Právní nároky a žádosti orgánů | relevantní smluvní, jízdní, finanční a auditní údaje | čl. 6 odst. 1 písm. c) nebo f) GDPR | Splnění konkrétní povinnosti nebo oprávněný zájem určit, vykonat či obhájit nárok. |
| Nenutná analytika a crash reporting | instalace/otevření, registrace/přihlášení, zobrazení nabídky, požadavek/přijetí/zrušení/začátek/konec jízdy, reason code, stav platby a technická chyba či výkon, vždy s pseudonymním ID | souhlas podle čl. 6 odst. 1 písm. a), pokud je vyžadován; jiný titul jen po konkrétním posouzení | Výchozí analytická retence je 13 měsíců. Do běžné analytiky neposílat přesnou GPS, chat, dokumentové fotografie, safety text ani celý telefon/e-mail. `TODO[PRIVACY]: ověřit skutečný inventář a konfiguraci.` |
| Reklamní identifikátory, atribuce a personalizace | IDFA/GAID, ATT/OS volba, campaign source, pseudonymní event a consent record | předchozí souhlas pro zařízení a čl. 6 odst. 1 písm. a) GDPR | TARGET ON, ale současný audit nástroje nenalezl. Implementovat CMP/ATT, vendor/event inventář, rovnocenné odmítnutí/odvolání a nepersonalizovanou alternativu; zakázat reklamní použití GPS jízd, chatu, safety, dokumentů, W4W, biometriky a finančních údajů. |

Oprávněné zájmy posuzujeme předem podle účelu, nezbytnosti a dopadu na dotčené osoby. Patří mezi ně zejména zabezpečení, prevence podvodů, řízení smluvního vztahu s právnickou osobou, kvalita, řešení sporů a ochrana právních nároků. Neopravňují k nepřetržitému sledování offline řidiče ani k neomezenému uchovávání údajů.

## 7. Poloha řidiče

Poloha řidiče může být nezbytná pro zobrazení dostupnosti, nabídnutí blízké jízdy, navigaci k cestujícímu, průběh aktivní jízdy, bezpečnost a zákonný důkaz. Použití musí být vázáno na jasné stavy:

- **offline:** standardně bez přenosu přesné polohy Weyo;
- **online a dostupný:** pouze rozsah a frekvence potřebné pro dispatch a očekávanou funkci;
- **nabídka, cesta k pickup, čekání a aktivní jízda:** rozsah potřebný pro konkrétní stav, cestujícího a bezpečnost;
- **po jízdě nebo přechodu offline:** aktivní přenos musí skončit, není-li pro přesně vymezený krátký technický stav prokázána nezbytnost.

Cestující vidí polohu řidiče od přijetí objednávky do ukončení jízdy. Osoba, které cestující výslovně nasdílí jízdu, ji může sledovat nejvýše 15 minut po ukončení. Flotila vidí polohu svého řidiče pouze při online dostupnosti nebo aktivní jízdě. Při offline stavu vidí jen status a čas poslední aktivity, nikoli přesné souřadnice ani přesnou offline historii. Uvnitř Trans Flow smějí při spuštění k poloze přistupovat jen jeho dva jednatelé, každý pod svým osobním účtem, podle potřeby konkrétního případu a pouze v nezbytném rozsahu. Zobrazená poloha musí uvádět stáří a nesmí vytvářet klamný dojem živého sledování.

Poloha zařízení cestujícího sama o sobě nesmí být jediným důkazem no-show. Při sporu musí být výsledek přezkoumatelný člověkem podle přiměřeného souboru dalších podkladů, například serverových časových razítek, platné události příjezdu a doručení servisního oznámení; použijí se pouze podklady, které produkt skutečně vytváří a pro jejichž zpracování existuje právní důvod.

Raw GPS řidiče v online stavu mimo aktivní jízdu se má uchovávat 30 dnů a poté vymazat nebo nevratně agregovat. Raw přesné body aktivní jízdy se uchovávají 90 dnů; odvozená trasa, vzdálenost a časové údaje tři roky. Delší raw uchování je možné jen pro konkrétní reklamaci, safety případ nebo legal hold. `TODO[ENGINEERING/PRIVACY]: vynutit pravidla ve všech úložištích, otestovat všechny stavy, přesnost, frekvenci, background/force-close a výpadky a dokončit DPIA.`

**[P0 – DOPLNIT PŘED ZVEŘEJNĚNÍM: přesně popsat, co technicky vytváří událost příjezdu, zda a jak se používá geofence, poloha řidiče nebo cestujícího, jak se zaznamená doručení oznámení a případný pokus o kontakt, jaké chyby a výpadky se zohledňují a které minimální podklady uvidí člověk při přezkumu storna/no-show. Z pouhé GPS cestujícího ani z neověřeného jednostranného tvrzení nesmí automaticky vzniknout konečný důkaz no-show.]**

**[INTERNÍ AUDIT POLOHY – NEPATŘÍ DO VEŘEJNÉ VERZE: Passenger používá foreground one-shot polohu; Driver publikuje polohu jen při `isOnline || hasActiveJob` a má oprávnění k background poloze. Po offline se heartbeat/stream ruší, ale aktivní job jej může udržet a OS continuation po force-close nebyla otestována. Redis bod expiruje po 180 s, PostgreSQL `last point` nikoli. Fleet jej může ve zdrojovém stavu vidět i u offline řidiče, což odporuje schválené policy. Před zveřejněním je P0 zavést off-duty hiding, 30/90denní DB cleanup, field-level audit a provést DPIA i real-device test jednotlivých stavů.]**

Letištní či geofencovaná fronta vyžaduje polohu jen během dobrovolné účasti a po opuštění, ukončení nebo vyřazení musí zvláštní queue tracking skončit. Výpadek GPS, nepřesný boundary nebo krátké oprávněné opuštění nesmí být bez vysvětlení vydáváno za zaviněné porušení. Před aktivací se určí přesná geozóna, freshness tolerance, frekvence, retence, příjemci, monitoring a odvolání; existence queue recordu sama neprokazuje FIFO dispatch.

## 8. Dispatch, hodnocení, kategorie a rozhodování o účtu

Weyo musí řidiči a dopravci srozumitelně popsat hlavní parametry, které ovlivňují nabídku jízd, pořadí nebo viditelnost, a relativní význam těchto parametrů v rozsahu vyžadovaném právem. Samotné odmítnutí nabídky nebo nízká míra přijetí nesmí být skrytým automatickým trestem v modelu, v němž si dopravce svobodně volí jízdy.

Auditovaná hub queue seřazuje účastníky podle `joined_at, id` a zobrazuje pozici a policy-based odhad; vazba na dispatch nebyla prokázána. Do jejího dokončení se nesmí řidiči tvrdit, že obdrží jízdu v přesném FIFO pořadí. Produkční pravidla musí popsat tie-break, priority, reset, decline, timeout, cancellation, rematch a účinek GPS chyby a umožnit opravu chybných vstupů a lidský přezkum sporného vyřazení.

Automatická blokace může technicky reagovat na doloženou expiraci koncese, řidičského nebo taxi oprávnění, vazby, vozidla, STK nebo pojištění. Odblokování má následovat až po nové kontrole. Každé jiné omezení musí mít konkrétní důvod, podklady, přiměřenou dobu a možnost lidského přezkumu, pokud tomu nebrání naléhavé nebezpečí nebo zákon.

Při expiraci povinného dokumentu se dotčený řidič, vozidlo nebo dopravce nemůže přepnout online ani vstoupit do poolu dostupných řidičů. Návrat je možný až po nahrání nového dokumentu a ručním schválení jedním ze dvou jednatelů pod jeho osobním admin účtem. Pokud dokument expiruje během jízdy, běžně se dokončí aktuální jízda a poté se online stav zablokuje; při bezprostředním bezpečnostním nebo zákonném riziku lze zasáhnout okamžitě.

Trusted Driver se smí vypočítat nebo udělit jen podle předem zveřejněné verze kritérií a dohledatelných údajů: průměr nejméně 4,80 z posledních nejvýše 100 platných hodnocení za nejvýše 12 měsíců při nejméně 20 platných hodnoceních, rank Dlouhodobý řidič založený při prvním spuštění na nejméně 12 měsících a 500 rozhodných Weyo jízdách, aktivní oprávnění jezdit a platné povinné dokumenty. Rozhodné jsou jen skutečné, netestovací a nezrušené dokončené jízdy, které nebyly zneplatněny jako duplicitní nebo podvodné a které jsou podle platební metody finančně vypořádané nebo účetně uzavřené. Řidič má dostat srozumitelný důvod neudělení nebo odebrání, možnost opravy chybných podkladů a lidský přezkum. Odmítnutí jednotlivé nabídky, timeout ani běžný offline stav status nezhoršují. Při prvním spuštění status neovlivňuje dispatch, cenu ani provizi; jakákoli budoucí změna tohoto účinku vyžaduje nové transparentní posouzení a změnu příslušných pravidel.

Automatický časovač může technicky vyhodnotit časové okno storna, čekání nebo no-show a vytvořit související finanční záznam. Sporný příjezd, důvod, účtovaný poplatek nebo dopad na účet řidiče však nesmí být definitivně uzavřen bez dostupného lidského přezkumu. Přezkum má použít pouze nezbytné podklady, zaznamenat odůvodněný výsledek a případnou opravu, refundaci nebo reverzaci; samotná GPS cestujícího nestačí.

Rating používá stupnici 1–5 a pracovní pravidlo průměru posledních 100 hodnocených dokončených jízd, nejvýše za 12 měsíců. Sankční rozhodnutí se neopírá o rating před nejméně 20 hodnoceními; pod 4,5 následuje upozornění a pod 4,2 lidské přezkoumání. Samotný rating nikdy automaticky nevede k trvalému ukončení a prokázaně manipulativní či zneužívající hodnocení se vyloučí.

Fraud/safety signály mohou zahrnovat duplicitní nebo převzaté účty, odcizené platební prostředky, neobvyklé chargebacky, expirované či neshodné dokumenty, GPS spoofing nebo nemožný pohyb, sdílení účtu či zařízení, koluzi, neobvyklé rušení/no-show a závažná bezpečnostní oznámení. Automaticky lze upozornit, vyžádat dokument, zabránit online režimu s expirovaným dokumentem nebo přidat platební kontrolu. Akutní riziko může vyvolat dočasnou preventivní blokaci; delší omezení či ukončení musí rozhodnout člověk. `TODO[ENGINEERING/PRIVACY]: ověřit produkční dispatch/ranking/fraud modely, prahy, důsledky a zaznamenání lidského zásahu.`

Pickup PIN může po pěti nesprávných pokusech technicky přejít do cooldownu/locku; oprávněný support override musí mít grant, konkrétní důvod a audit a nesmí automaticky změnit jízdné, storno, no-show, rating ani účet. Ride Check používá cílové thresholdy dlouhého zastavení 300 sekund, odchylky trasy ve čtyřech vzorcích, prodloužení 1,80× a ztráty polohy 180 sekund; automatický případ vyžaduje alespoň dva různé signály. Expected stop, nepřesná GPS a známý traffic/provider problém se mají potlačit. Signál pouze vyvolá welfare prompt nebo lidské posouzení a sám nesmí být sankcí.

**[DOPLNIT PŘED ZVEŘEJNĚNÍM: objektivní kritéria Economy/Comfort/XL a každé další kategorie, zdroje údajů, rozhodovací proces, důvod nepřijetí či odebrání, oprava údajů, lidský přezkum a dopad na přístup k jízdám]**.

Women for Women je owner-policy TARGET ON, ale podle auditu B19 P0 OFF. Cestující způsobilost vychází z vlastního prohlášení v dobré víře; výslovně zahrnuje trans ženy a nebinární osoby, které se zároveň identifikují jako ženy. Řidička se dobrovolně zapojuje a odpojuje. Úřední marker `M`, `F` nebo `X` nerozhoduje a gender se pro W4W nesmí určovat z fotografie, hlasu, jména, biometriky, vzhledu ani pomocí Textract OCR. Auditovaný tok sex marker a confidence ukládá a `X` automaticky zamítá; tento rozpor se musí odstranit a historická data účelově vyhodnotit a vymazat, nejsou-li nutná pro jiný doložený právní účel. `TODO[LEGAL/PRIVACY]: dokončit právní základ, DPIA, účelové oddělení, přístup, přesnou retenci a transparentní informaci.` `TODO[ENGINEERING]: implementovat serverový flag/kill switch, odstranit OCR/visual-assessment rozhodování a automatické sankce a doplnit opravu, refund/reversal a lidské odvolání.`

## 9. Automatizované rozhodování a profilování

Nelze zatím potvrdit, že Weyo neprovádí rozhodování založené výhradně na automatizovaném zpracování s právním nebo obdobně významným účinkem. Toto posouzení musí zahrnout aktivaci, dispatch, letištní queue, fraud, běžný i instant payout, rating, kategorie vozidel, branding bonus/clawback, cleaning claim, biometrické selfie/liveness, pickup PIN, Ride Check, safety triage, reklamní segmentaci, suspendaci a ukončení.

Automaticky úspěšné ověření dokumentu nebo budoucí biometrické kontroly může podle schválené policy urychlit postup, ale neúspěch nesmí automaticky definitivně zamítnout dokument, odejmout práci nebo ukončit účet bez dostupné ruční alternativy a lidského přezkumu. Stejně tak payout hold, queue reset, cleaning flag, Ride Check nebo biometrické skóre jsou podklady, nikoli samostatný důkaz podvodu či odpovědnosti.

**[INTERNÍ P0 – B19]: auditovaný tok automaticky zamítá W4W eligibility při Textract markeru `X` a současně existuje automatický finanční a category-ban důsledek pickup hlášení. Před aktivací se tyto automatické výsledky odstraní. Automatika smí pouze založit reverzibilní případ; konečné nepříznivé W4W rozhodnutí činí člověk, oznámí důvod a umožní opravu a odvolání k druhému Legal Co-Ownerovi. Pro W4W platí zvláštní kratší lhůta: Weyo vydá konečné písemné rozhodnutí zpravidla do 7 pracovních dnů od řádného podání, a tato lhůta má přednost před delší obecnou interní lhůtou; zvláštní zákonné lhůty tím nejsou dotčeny. Součástí DPIA je výslovné posouzení čl. 22 GDPR a dopadu na pracovní příležitosti Řidičky.]**

**[DOPLNIT PŘED ZVEŘEJNĚNÍM: u každého procesu uvést, zda je výhradně automatizovaný, použité údaje, smysluplnou informaci o postupu, význam a důsledky, právní základ a záruky; výslovně vyhodnotit čl. 22 GDPR a směrnici (EU) 2024/2831 v použitelném znění]**.

Pokud se čl. 22 GDPR použije, dotčená osoba obdrží alespoň možnost lidského zásahu, vyjádření stanoviska a napadení rozhodnutí. Tato možnost musí být skutečná, nikoli pouze automatické zopakování stejného výsledku.

## 10. Komu údaje zpřístupňujeme

Podle konkrétního účelu můžeme údaje zpřístupnit:

- cestujícímu, zejména jméno, fotografii, identitu dopravce a údaje vozidla potřebné pro bezpečnou jízdu;
- dopravci nebo flotile, ke které jste platně přiřazeni, pouze v rozsahu odpovídajícím její roli;
- ostatním oprávněným uživatelům Fleet portálu podle rolí a potřeby znát;
- uvnitř Trans Flow pouze oběma jednatelům jednajícím pod autoritou společnosti, bez zaměstnanců a bez outsourcovaného supportu nebo ručního rozhodování; nejde o externí příjemce a přístup je omezen podle přiděleného případu a potřeby znát;
- poskytovateli plateb, bance nebo karetnímu systému podle skutečného payout toku;
- poskytovateli instant payout/KYC, biometrického ověření, safety audio/video storage, emergency/provider handoffu, brandingové kontroly, CMP, atribuce nebo reklamy jen po doložení konkrétní entity, role, účelu, minimálních polí, země a právního základu;
- dodavatelům cloudu, map, routingu, komunikace, e-mailu, push, ověření, technických nástrojů podpory, analytiky, bezpečnosti, účetnictví nebo právních služeb; žádný takový dodavatel při spuštění nerozhoduje support, safety, ruční compliance, blokace ani odvolání;
- pojišťovně a odbornému poradci v souvislosti s konkrétní událostí;
- poskytovateli konkrétní budoucí výhody Trusted Driver pouze v minimálním rozsahu oznámeném před přihlášením do programu; žádný partner nezískává obecný přístup k ratingu, jízdám, poloze, dokumentům nebo incidentům jen proto, že s Weyo spolupracuje;
- Finanční správě a zahraničním daňovým orgánům prostřednictvím DAC7, je-li oznamovací povinnost použitelná;
- dopravním, policejním, soudním, dozorovým nebo jiným orgánům na základě ověřeného zákonného požadavku;
- nabyvateli či investorovi při podnikové transakci za podmínek důvěrnosti, minimalizace a právního základu.

`TODO[PRIVACY]: doplnit produkční seznam všech skutečných externích příjemců, jejich role a kategorie údajů; zvlášť cloud, map/routing, PSP, KYC, e-mail, SMS/telefonii, push, technické nástroje podpory, analytiku, crash reporting a security. Doplnit DPA, subprocesory, regiony a přenosy. Konkrétní účetní, právník, pojišťovna a další externisté zatím potvrzeni nejsou; externí smluvní administrátoři a outsourcovaný support se při spuštění nepoužívají.`

**[DOPLNIT PŘED ZVEŘEJNĚNÍM: ověřit, zda včetně reklamních, atribučních a analytických SDK nedochází k prodeji nebo jinému úplatnému či obdobnému sdílení údajů; teprve po tomto ověření lze uvést, že Trans Flow osobní údaje neprodává]**.

**[INTERNÍ AUDIT DODAVATELŮ – NEJDE O FINÁLNÍ SEZNAM PŘÍJEMCŮ: zdrojový kód/IaC obsahují AWS ECS/Fargate, RDS PostgreSQL, ElastiCache Valkey, S3, CloudWatch/SNS, Cloudflare Workers, Mapy.com a volitelné OSRM/Valhalla, MapLibre/OpenFreeMap/OSM, Stripe, AWS SES, Twilio, volitelný Meta Graph pro WhatsApp OTP, Firebase Cloud Messaging a AWS Textract. Externí CRM, Sentry/Crashlytics ani reklamní, atribuční či session-replay SDK nebyly ve zdroji nalezeny. Produkční aktivaci, právní entity, datové regiony, smlouvy a skutečný egress je nutné doložit zvlášť.]**

## 11. Předávání mimo EHP

Předání vzniká i tehdy, když jsou údaje hostovány v EHP, ale poskytovatel nebo jeho podpora k nim přistupuje ze třetí země. Pro každé předání musí být určena země, příjemce, účel a mechanismus podle kapitoly V GDPR, provedeno posouzení a podle potřeby přijata doplňková opatření. Informaci o použité záruce a možnosti získat její kopii poskytneme na žádost.

**[DOPLNIT PŘED ZVEŘEJNĚNÍM: transfer mapu, země, příjemce, rozhodnutí o odpovídající ochraně, standardní smluvní doložky nebo jiný mechanismus a způsob získání kopie záruk]**.

## 12. Doby uchování

| Kategorie | Pracovní retenční pravidlo |
|---|---|
| Evidence dokončených přeprav vedená Trans Flow jako zprostředkovatelem | Nejméně **3 roky od ukončení přepravy** podle § 21e odst. 2 zákona č. 111/1994 Sb. |
| Záznamy, smlouvy a potvrzení skutečného dopravce | Nejméně **3 roky** podle § 21 odst. 7 zákona č. 111/1994 Sb.; odpovědnost má samostatně dopravce. |
| Doklady DAC7 týkající se prověřování, zjišťování a informační povinnosti | **10 let od konce oznamovaného období** podle § 14zze zákona č. 164/2013 Sb., pokud je Trans Flow oznamujícím provozovatelem platformy. |
| Účetní závěrka a výroční zpráva Trans Flow | **10 let** počínajících koncem účetního období, kterého se týkají. |
| Účetní doklady, účetní knihy a jiné účetní záznamy v pětileté kategorii | **5 let** počínajících koncem účetního období, kterého se týkají; zákonné prodloužení pro probíhající řízení, nezaplacené závazky a jiné případy zůstává zachováno. |
| Daňové doklady pro DPH, je-li Trans Flow jejich uchovatelem | **10 let od konce zdaňovacího období**, ve kterém se plnění uskutečnilo. |
| Aktivní profil dopravce, řidiče, zástupce a Fleet admina | Po dobu aktivního vztahu; po jeho ukončení běžné profilové údaje zpravidla smazat do **30 dnů**, s odděleným uchováním jádra smluvního vztahu/jízd **3 roky** a zákonných účetních, daňových či případných DAC7 údajů. |
| Zamítnutá nebo nedokončená registrace | Nahrané fotografie **90 dnů**; základní metadata zamítnutí **1 rok**; potvrzený podvod **3 roky**. |
| Aktuální schválený dokument | Po dobu platnosti dokumentu a vztahu plus **90 dnů**. |
| Nahrazená nebo expirovaná fotografie dokumentu | **90 dnů od nahrazení**. |
| Zamítnutá nebo nedokončená fotografie dokumentu | **90 dnů**. |
| Metadata dokumentové kontroly bez fotografie | **3 roky**. |
| Události dokončené jízdy, včetně nezbytných stavů přijetí, zrušení, příjezdu, čekání/no-show, zvolené kategorie a vazby na účtovanou částku | V rozsahu jádra smluvního vztahu a zákonné evidence **3 roky**. U dokončené W4W jízdy lze po tuto dobu ponechat označení kategorie jen jako údaj nezbytný k doložení objednaného typu služby, ceny, průběhu a případného nároku; oddělí se od profilového opt-inu Řidičky, zpřístupní jen oprávněným rolím a nepoužije se k marketingu, obecnému profilování ani k odvozování genderové identity. Obsah komunikace a raw GPS mají vlastní kratší lhůty níže. `TODO[PRIVACY/ENGINEERING]: v DPIA/LIA doložit nezbytnost W4W označení, určit minimální pole, přístupy a oddělit nedokončené objednávky, finanční doklad, reklamaci a safety případ.` |
| Raw GPS online řidiče mimo aktivní jízdu | **30 dnů**, poté výmaz nebo nevratná agregace. |
| Raw přesná GPS aktivní jízdy | **90 dnů**; odvozená trasa, vzdálenost a časové údaje **3 roky**. Delší raw uchování jen pro konkrétní reklamaci, safety případ nebo legal hold. |
| Nabídky, odmítnutí, timeouty a dispatch logy | **[DOPLNIT PŘED ZVEŘEJNĚNÍM: účel, pole a doba; zabránit nepřiměřenému dlouhodobému profilování pracovního chování]**. |
| Hub/airport queue | Aktivní record jen po dobu účasti; historie vstupu, výstupu, pozice, resetu a reason code jen po dobu nutnou pro vysvětlení pořadí a spor. **[PRIVACY/ENGINEERING: určit přesnou dobu raw geofence/presence dat, agregací a queue auditů a implementovat purge.]** |
| Běžný a instant payout | Finanční, účetní a daňové záznamy podle své zákonné kategorie; neúspěšné pokusy, KYC status, raw risk signály a provider metadata jen po dobu nezbytnou podle potvrzené role PSP. **[PROVIDER/LEGAL/PRIVACY: doplnit přesné lhůty a vendor cleanup.]** |
| Branding vozidla | **[OWNER/PRIVACY: určit retenci opt-inu, fotografií a případné GPS inspekce, evidence bonusu, odstranění, škody a clawbacku; nadbytečné fotografie po kontrole odstranit.]** |
| Cleaning claim a fotografie | **[OWNER/PRIVACY: určit lhůtu pro podání, běžnou retenci zamítnuté/uznané žádosti a kratší retenci nadbytečných fotografií; při sporu podle reklamace/legal hold.]** |
| Profilová selfie/fotografie | Podle pravidel fotografie profilu a dokumentového review; současný účel není biometrický. Případná biometrická šablona/embedding musí mít před aktivací samostatnou, nejkratší nezbytnou lhůtu a prokazatelný purge. |
| Pickup PIN | Plaintext se nesmí ukládat; hash, pokusy, outcome a override jen po dobu nutnou pro bezpečnost a spor. **[PRIVACY/ENGINEERING: určit přesnou dobu a oddělit ji od tříletého jízdního jádra.]** |
| Ride Check | Nepotvrzené raw signály pracovně nejvýše **90 dnů**; potvrzený safety případ podle příslušné tříleté lhůty. **[PRIVACY/ENGINEERING: potvrdit přesná pole, sampling, agregaci a cleanup.]** |
| Safety audio | Kódová policy používá **72 hodin** pro běžný záznam a **365 dnů** při incidentu; před aktivací ověřit lokální segmenty, serverovou kopii, metadata, legal hold, export/výmaz, zálohy a purge. Nejde zatím o veřejně schválenou retenci. |
| Safety video | Implementace nenalezena; lhůtu nelze určit. Před aktivací schválit samostatnou minimální retenci a DPIA. |
| Reklamní/atribuční identifikátory | **[PROVIDER/PRIVACY: pro každý SDK určit dobu života v zařízení a serverovou retenci; odvolání zastaví budoucí sběr a identifikátor se odstraní nebo zneplatní, není-li jiný právní důvod.]** |
| Rating | Jednotlivá hodnocení a běžný rating **12 měsíců** nebo posledních 100 hodnocených dokončených jízd. |
| Trusted Driver | Aktivní status, rozhodný agregovaný rating, počet hodnocení, datum první rozhodné jízdy, počet rozhodných jízd a rank po dobu trvání; historie udělení, odebrání, důvodu a přezkumu **3 roky** pro transparentnost a spory. Nadbytečné raw podklady se neprodlužují nad svou vlastní kratší lhůtu jen kvůli statusu. |
| Women for Women opt-in Řidičky | Po dobu dobrovolné aktivní účasti. Odpojení z aktivního matchingu musí být účinné bez zbytečného odkladu; neaktivní stav, verze prohlášení a minimální auditní metadata se uchovají nejvýše **90 dnů** po opt-outu nebo zamítnutí, není-li otevřen spor, odvolání nebo konkrétní právní hold, a poté se vymažou nebo nevratně anonymizují. `TODO[PRIVACY/ENGINEERING]: implementovat a otestovat purge.` |
| Women for Women incident, rozhodnutí a odvolání | Podle povahy jako běžný support případ **2 roky**, nebo reklamace či bezpečnostní případ **3 roky od uzavření**. Nepotvrzený signál nesmí tvořit trvalý profil. Sex marker, Textract confidence a jiné inferenční výstupy použité pro W4W se odstraní; případné uchování pro jiný zákonný účel musí být oddělené, doložené a nesmí ovlivnit W4W. |
| Budoucí partnerská výhoda | Po dobu programu a vypořádání, poté zpravidla **2 roky** pro běžnou podporu; účetní nebo daňové záznamy podle příslušné zákonné lhůty. Partner má vlastní retenci oznámit samostatně. |
| Fraud a safety signály | Nízkorizikové surové signály **90 dnů**, běžné vyhodnocené flagy **12 měsíců**, potvrzený fraud/závažné zneužití **3 roky po ukončení účtu**. |
| Chat mezi cestujícím a řidičem | Obsah **90 dnů**; přímý kanál je účastníkům dostupný **24 hodin** po jízdě. |
| Maskované volání | Metadata **12 měsíců**; obsah hovoru se nenahrává. |
| Běžná podpora | **2 roky** od uzavření případu. |
| Reklamace a safety případy | **3 roky** od uzavření; u nehody nebo závažného nároku do konečného vypořádání a poté jeden rok v režimu legal hold. |
| Běžné technické logy | **90 dnů**. |
| Bezpečnostní a přístupové logy | **12 měsíců**; spis potvrzeného incidentu **3 roky**. |
| Kritické administrátorské auditní logy | **5 let**, s omezeným přístupem a ochranou proti běžným úpravám. |
| Souhlas a jeho odvolání | Důkaz souhlasu nebo odvolání **5 let od odvolání nebo ukončení účtu**. |
| Zálohy | **[DOPLNIT PŘED ZVEŘEJNĚNÍM: cyklus přepisu, izolace, obnova a prosazení výmazu po obnově]**. |

### Interní technická kontrola retence – není veřejným retenčním závazkem

| Auditovaný tok | Stav nalezený v kódu | P0 mezera |
|---|---|---|
| Jádro jízd | Bez obecného TTL nebo mazacího jobu. | Schválená tříletá evidence není technicky vynucena. |
| Online/poslední GPS | Redis TTL 180 s; PostgreSQL poslední bod bez TTL/cleanup. | Vynutit 30/90denní retenci a schválené off-duty hiding. |
| Chat | Deadline 30 dní a preservation 365 dní; purge worker nenalezen. | Sladit se schválenými 90 dny obsahu, implementovat fyzický výmaz a 12měsíční metadata volání. |
| Safety audio/video | Audio má ve zdroji 72h/365denní režim a cleanup worker; video nenalezeno. | Obě funkce jsou TARGET ON, ale aktivovat až po právním základu, notice, storage/KMS/access/retention drill, DPIA, exportu/výmazu a produkčním testu. |
| Queue / payout / branding / cleaning / biometrie / PIN / Ride Check / ads | Dílčí queue, payout, PIN a Ride Check existují; ostatní toky jsou chybějící nebo jen placeholder/profilová fotografie. | Doplnit category-specific retention, backup, provider cleanup a purge; zamýšlené lhůty nevydávat za implementovaný stav. |
| Support, rating a fraud | Bez jednotných deadlines/cleanup jobů. | Implementovat schválené 2/3 roky a 90denní/12měsíční/3leté fraud/rating vrstvy. |
| Ověřovací doklady | Identity images lze po review purgeovat; ostatní fotografie a nedokončené případy bez obecného TTL. | Implementovat schválené 90denní fotografie, roční zamítací metadata a tříleté review metadata. |
| Logy a admin audit | CloudWatch 90 dní; DB security/admin logy bez společné expirace. | Dokončit log-store inventář a legal-hold pravidla. |
| Zálohy a erasure | RDS backup 30 dní, S3 versioning/lifecycle a tombstone replay jsou v kódu/IaC; datovaný restore/re-erasure test chybí. | Otestovat obnovu a úplnost opakovaného výmazu. |

Právní hold se použije jen na přesně vymezené údaje potřebné pro existující řízení nebo nárok. Evidence musí obsahovat důvod, vlastníka, dotčená data, datum začátku, kontrolu každých šest měsíců a datum ukončení či výmazu. Po zániku důvodu se retence znovu posoudí. Nevratně anonymizované informace nejsou osobními údaji.

## 13. DAC7

Pokud je Trans Flow českým oznamujícím provozovatelem platformy a činnost dopravce je oznamovanou činností, musí od prodejce získat a ověřit zákonem určené údaje, vést čtvrtletní souhrny a podat roční oznámení. Fyzickou osobu – oznamovaného prodejce – musí před prvním oznámením informovat, že její údaje budou shromažďovány a předávány, a ve stanovené lhůtě jí sdělit údaje uvedené v oznámení v zákonném rozsahu.

Při neposkytnutí potřebné součinnosti lze použít opatření až po zákonem stanovených výzvách a lhůtě; nejde o libovolný okamžitý automatický zásah.

**[DOPLNIT PŘED ZVEŘEJNĚNÍM: potvrzenou DAC7 kvalifikaci Trans Flow a jednotlivých typů dopravců, registrační/ohlašovací stav, přesná pole, příjemce, seller-copy proces a kontaktní místo pro opravu]**.

## 14. Povinnost údaje poskytnout

Údaje označené v onboardingu jako povinné potřebujeme podle kategorie k uzavření nebo plnění smlouvy, ověření oprávnění dopravce, řidiče a vozidla, splnění dopravních, daňových či DAC7 povinností nebo k bezpečné výplatě. Bez nich nelze příslušný účet aktivovat, povolit online režim, přidělit jízdu nebo provést výplatu.

Dobrovolné údaje, marketing a nenutné SDK musí být označeny odděleně. Jejich odmítnutí nesmí bránit základnímu používání platformy.

**[DOPLNIT PŘED ZVEŘEJNĚNÍM: přesný seznam povinných polí pro OSVČ-dopravce, právnickou osobu/flotilu, jmenovaného řidiče, zástupce, vozidlo a Fleet admina a konkrétní následek neposkytnutí]**.

## 15. Vaše práva

Podle okolností máte právo:

- na přístup k údajům a jejich kopii;
- na opravu nepřesných a doplnění neúplných údajů;
- na výmaz, nebrání-li mu zákonná povinnost nebo jiný platný důvod;
- na omezení zpracování;
- na přenositelnost údajů za zákonných podmínek;
- vznést námitku proti zpracování založenému na oprávněném zájmu;
- kdykoli odvolat souhlas bez vlivu na zákonnost předchozího zpracování;
- na ochranu před výhradně automatizovaným významným rozhodnutím a na příslušné záruky;
- podat stížnost u **Úřadu pro ochranu osobních údajů**, Pplk. Sochora 27, 170 00 Praha 7, [uoou.gov.cz](https://uoou.gov.cz/).

Žádost podejte na **privacy@withweyo.com**. Přijetí interně potvrdíme do tří pracovních dnů. Totožnost ověříme primárně přihlášeným účtem, ověřeným e-mailem nebo OTP na telefon. Kopii dokladu vyžádáme jen tehdy, když je to skutečně nutné; nepotřebné části se zamaskují a kopie se smaže do 30 dnů po uzavření žádosti. Následuje vyhledání údajů, lidská kontrola, export, oprava, omezení nebo výmaz podle typu žádosti, kontrola dotčených dodavatelů a evidence výsledku. Reagujeme bez zbytečného odkladu, obvykle do jednoho měsíce; ve složitém případě lze lhůtu za podmínek GDPR prodloužit o další dva měsíce.

Pokud se žádost týká části, za kterou odpovídá dopravce nebo flotila jako samostatný správce, tuto část předáme příslušnému dopravci či flotile do tří pracovních dnů a žadatele informujeme. Weyo odpovídá za vlastní zpracování a interně eviduje dokončení části druhého správce. U společného správcovství lze právo uplatnit vůči každému ze správců.

**[P0 – ROZPOR S IMPLEMENTACÍ: výše uvedený workflow je schválené provozní pravidlo, ale audit nenalezl úplnou DSAR state machine, routing, SLA ani auditní stopu pro předání dopravci/Fleet controllerovi. TODO[ENGINEERING/PRIVACY]: implementovat, přidělit role, otestovat export, opravu, omezení, výmaz, námitku a předání a doložit výsledek.]**

## 16. Zabezpečení a přístup ve Fleet portálu

Přístup při spuštění mají pod dvěma oddělenými osobními admin účty pouze oba jednatelé Trans Flow; musí být založen na rolích, zásadě nejmenších oprávnění, potřebě konkrétního případu, vícefaktorovém ověření a auditní stopě citlivých operací. Sdílené admin účty nejsou přípustné. Flotila smí vidět jen své řidiče, vozidla, stav a expiraci dokumentů, jízdy, výdělky, settlementy a rating. Plné fotografie dokladů totožnosti vidí pouze jednatel právě pověřený danou compliance kontrolou nebo případem. Živou polohu flotila vidí jen při online dostupnosti či aktivní jízdě; v offline stavu pouze status a čas poslední aktivity. Ukončení vazby musí přístup bezodkladně odebrat.

Technické bezpečnostní incidenty a zranitelnosti lze hlásit na **security@withweyo.com**. Nejde o nepřetržitě monitorovanou 24/7 linku a Trans Flow neslibuje automatickou finanční odměnu. **[DOPLNIT PŘED ZVEŘEJNĚNÍM: ověřená úplná matice Passenger/Driver/Fleet/admin rolí, pravidelná revize přístupů, veřejně sdělitelná opatření a incidentní workflow. `TODO[ENGINEERING]: vytvořit security.txt.`]**

Safety incident routing, append-only history, assignment, scoped grant a provider handoff samy nedokládají, že případ nepřetržitě sleduje člověk. Interní označení „24/7 safety“ lze zveřejnit pouze po dodání `OPERATIONS EVIDENCE`: staffing rosteru, on-call režimu, jazyků, dostupných kanálů, priorit/SLA, eskalací, výpadkového postupu a přístupových pravidel. Bez těchto důkazů nesmí UI ani tento dokument slibovat okamžitou či nepřetržitou lidskou nebo emergency reakci; technické acknowledgement neznamená kontakt s IZS.

**[INTERNÍ AUDIT: Fleet RBAC a membership jsou serverově vynuceny; recent-auth, odebrání membership/session a Passenger passkeys existují. Povinné serverové MFA pro privilegované Fleet/admin účty, periodická recertifikace přístupů a úplný field-level audit doloženy nebyly. IaC obsahuje HTTPS a šifrování RDS/S3/Valkey, ale chybí datovaný nezávislý pentest, restore test, breach register a provozní evidence všech kontrol.]**

### 16.1 Apple App Privacy a Google Play Data Safety

Před odesláním podepsaných buildů musí store deklarace podle aktivovaných funkcí pokrýt nejméně profilovou fotografii/selfie, dokumenty, přesnou a background polohu, queue/geofence data, platební a Stripe Connect/KYC identifikátory, mikrofon a safety audio, případné video, PIN pokusy, Ride Check signály a safety incidenty. Pokud bude aktivováno biometrické facial match/liveness, musí být odděleně přiznána fotografie, biometrická nebo odvozená data podle definic obchodu. Pokud budou aktivovány reklamní identifikátory, atribuce nebo personalizace, store formuláře, iOS ATT a CMP musí pravdivě uvést tracking, účely a sdílení.

`TODO[PRIVACY/ENGINEERING]: porovnat Apple App Privacy a Google Play Data Safety s podepsanými Passenger a Driver buildy a produkčním egress capture; zdrojový manifest ani tento pracovní dokument nejsou důkazem skutečného store toku.`

## 17. Změny dokumentu

Každá verze bude mít stabilní identifikátor, datum účinnosti a archivované znění. O podstatné změně účelů, právních základů, příjemců nebo rozhodování informujeme přiměřeně předem. Vyžaduje-li nové zpracování souhlas, získáme jej samostatně; pokračování v používání služby jej nenahrazuje.

Zvolená publikační URL je <https://www.withweyo.com/pravni/driver_fleet_privacy_policy>; stránku je ještě nutné vytvořit. Datum veřejného spuštění zatím není určeno; před zveřejněním se doplní skutečný den veřejného spuštění a stejný den se uvede jako datum účinnosti. **[DOPLNIT PŘED ZVEŘEJNĚNÍM: stabilní ID, způsob doručení, historické verze a pravidla akceptace.]**

## 18. Hlavní právní zdroje

- [Nařízení (EU) 2016/679 (GDPR)](https://eur-lex.europa.eu/eli/reg/2016/679/oj?locale=cs)
- [Zákon č. 110/2019 Sb., o zpracování osobních údajů](https://e-sbirka.gov.cz/sb/2019/110)
- [Zákon č. 111/1994 Sb., o silniční dopravě, znění od 1. 7. 2026](https://e-sbirka.gov.cz/sb/1994/111/2026-07-01)
- [Zákon č. 164/2013 Sb., DAC7](https://e-sbirka.gov.cz/sb/2013/164)
- [Zákon č. 563/1991 Sb., o účetnictví](https://e-sbirka.gov.cz/sb/1991/563)
- [Zákon č. 235/2004 Sb., o DPH](https://e-sbirka.gov.cz/sb/2004/235)
- [Nařízení (EU) 2019/1150 (P2B)](https://eur-lex.europa.eu/eli/reg/2019/1150/oj)