← Zpět na úvod

Ochrana osobních údajů

Poslední aktualizace: 29. září 2026

Tyto zásady popisují, jaké osobní údaje služba prekvap.me zpracovává, proč je zpracovává, jak dlouho je uchovává a jaká máte v souvislosti s ní práva. Zpracování probíhá v souladu s Nařízením Evropského parlamentu a Rady (EU) 2016/679 (dále jen „GDPR") a zákonem č. 110/2019 Sb., o zpracování osobních údajů.

1. Správce osobních údajů

Správce nejmenoval pověřence pro ochranu osobních údajů, protože k tomu není dle čl. 37 GDPR povinen. Ve všech záležitostech týkajících se zpracování osobních údajů je možné kontaktovat správce přímo na e-mailu uvedeném výše.

2. Jaké osobní údaje zpracováváme

Služba prekvap.me zpracovává pouze údaje nezbytné pro fungování. Rozsah závisí na tom, zda jste tvůrce překvapení (objednavatel), obdarovaný, který si překvapení otevře přes odkaz, nebo nám nahlašujete obsah.

Údaje tvůrce překvapení

Údaj	Účel	Zdroj
E-mailová adresa	Zaslání odkazu a potvrzení, přihlášení do Správy překvapení kódem, ověření e-mailu kódem před odesláním překvapení zdarma, upozornění na vybrané odměny, komunikace ohledně objednávky	Průvodce tvorbou překvapení, přihlašovací formulář
Název projektu, jména obdarovaného a odesílatele, příležitost, osobní zpráva, odměny v obchodě, vzhled a nastavení hry	Obsah samotného překvapení doručovaného obdarovanému	Průvodce tvorbou překvapení
Rozpracované překvapení (údaje z řádku výše, bez e-mailu)	Uložení rozpracovaného překvapení, abyste mohli pokračovat později nebo na jiném zařízení, a náhled	Průvodce tvorbou překvapení (ukládá se samo)
Přístupové heslo do Správy překvapení (jen jako otisk bcrypt), u placených balíčků	Přihlášení ke správě překvapení heslem	Vytvoříme ho při objednávce a pošleme vám ho e-mailem
Čas ověření e-mailu kódem (u verze Zdarma)	Doklad, že překvapení zdarma odeslal ten, kdo má přístup k uvedenému e-mailu	Ověření kódem v průvodci
ID platební relace Stripe, zaplacená částka, balíček a použitý kupon	Propojení platby s projektem, evidence tržeb a účetní doklady	Proces platby
IP adresa a čas potvrzení obchodních podmínek	Doklad o udělení souhlasu s podmínkami a (u placených balíčků) s okamžitým poskytnutím digitálního obsahu	Průvodce tvorbou překvapení
Čas a odůvodnění zablokování (jen u zablokovaného překvapení)	Moderace obsahu, odůvodnění rozhodnutí pro tvůrce (čl. 17 nařízení o digitálních službách, DSA) a doklad k nahlášení	Rozhodnutí správce

Rozpracované překvapení ukládá průvodce průběžně ve vašem prohlížeči a při přechodu mezi kroky a před otevřením náhledu také na náš server (databáze Cloud Firestore), a to pod náhodným identifikátorem. Na serveru ho ukládáme bez e-mailu: e-mail zadaný v průvodci si pamatuje jen váš prohlížeč a k nám ho průvodce pošle až s objednávkou, případně se žádostí o ověřovací kód. Identifikátor je také v cookie prekvap_draft a v odkazu „Pokračovat na jiném zařízení". Kdo tento odkaz má, může rozpracované překvapení otevřít a upravit, proto ho nikomu neposílejte.

Údaje obdarovaného

Údaj	Účel	Zdroj
E-mailová adresa	Identifikace herního profilu (mince a vybrané odměny se ukládají k e-mailu); u placených balíčků také zasílání potvrzení o vybraných odměnách. Obdarovanému překvapení zdarma žádné e-maily neposíláme.	Obrazovka odemčení překvapení
Herní stav (mince, vybrané odměny, čas poslední aktivity)	Fungování hry a obchodu uvnitř překvapení	Interakce s aplikací

Tvůrce překvapení vidí ve Správě překvapení e-mail každého obdarovaného, co si vybral, kolik má mincí a kdy byl naposledy aktivní. O vybraných odměnách mu posíláme také upozornění e-mailem, ve kterém je uveden e-mail obdarovaného (u verze Zdarma nejvýše 5 upozornění).

Oznamovatelé (nahlášení obsahu)

Údaj	Účel	Zdroj
Odkaz na nahlášené překvapení, důvod a popis; nepovinně jméno a e-mail	Posouzení nahlášení a moderace obsahu; potvrzení o přijetí a oznámení rozhodnutí na uvedený e-mail (čl. 16 DSA)	Formulář na stránce prekvap.me/nahlasit

K nahlášení neukládáme IP adresu (počet nahlášení z jednoho připojení jen omezujeme, viz Technické údaje níže). Údaje oznamovatele autorovi nahlášeného překvapení nepředáváme, pokud to nevyžaduje zákon.

Zájemci o adventní kalendář (čekací listina)

Údaj	Účel	Zdroj
E-mailová adresa, čas přihlášení, znění a čas souhlasu, odkud jste přišli (stránka, případně kampaň)	Jeden e-mail s oznámením, že je adventní kalendář v prodeji; doklad o udělení souhlasu	Formulář na stránce prekvap.me/vanoce

Adresu používáme jen k tomuto oznámení a nepředáváme ji dál. Souhlas můžete kdykoli odvolat e-mailem na info@prekvap.me nebo odkazem v e-mailu; adresu pak hned smažeme.

Technické údaje a ochrana proti zneužití

• Přihlašovací kódy — když si necháte poslat kód (přihlášení do Správy překvapení nebo ověření e-mailu před odesláním zdarma), uložíme záznam, ve kterém není čitelně ani e-mail, ani kód. Záznam je veden pod klíčovaným otiskem (HMAC) vaší adresy převedené na jednotný tvar a kód je v něm jen jako klíčovaný otisk. Dále obsahuje časy odeslání kódů a chybných pokusů za posledních 24 hodin. Kód platí 10 minut; záznam se automaticky smaže přibližně den po poslední aktivitě.
• Limity verze Zdarma — aby verzi Zdarma nešlo zneužít, evidujeme časy odeslání překvapení zdarma pod klíčovanými otisky (HMAC) e-mailové schránky tvůrce, sítě, ze které bylo překvapení odesláno (IP adresa, u IPv6 její prefix /48), a e-mailové domény. Čitelně tedy neukládáme ani e-mail, ani IP adresu. Záznam ke schránce se automaticky smaže po 30 dnech, ostatní po 1 dni.
• Zákaz verze Zdarma — pokud e-mailové adrese zakážeme posílat překvapení zdarma (kvůli porušení pravidel obsahu), uložíme jen klíčovaný otisk (HMAC) její schránky, a to do zrušení zákazu.
• IP adresa — pro ochranu proti zneužití (omezení počtu požadavků, např. při přihlášení, odeslání kódu, tvorbě překvapení nebo nahlášení obsahu) evidujeme časy požadavků v souboru na hostingu, a to jen pod otiskem (hashem) IP adresy, u IPv6 jejího prefixu /64. Stejně, pod otiskem e-mailu, hlídáme, aby oznamovatel dostal potvrzení o nahlášení nejvýše jednou denně. Záznam slouží nejdéle 24 hodin, poté ho průběžně mažeme. U tvůrce IP adresu navíc uchováváme spolu s projektem jako doklad o souhlasu s podmínkami (viz výše).
• Údaje k objednávce — při zahájení platby uložíme k platební relaci ve Stripe také zdroj návštěvy (UTM parametry, identifikátor kliknutí na reklamu, pokud přicházíte z reklamy), IP adresu a identifikaci prohlížeče (user agent). Slouží k vyhodnocení reklam, viz článek 6.
• Cookies a úložiště v prohlížeči — jejich úplný přehled s účelem a dobou uložení najdete v článku 6.

3. Právní základ a účel zpracování

• Plnění smlouvy — čl. 6 odst. 1 písm. b) GDPR. Zpracování je nezbytné pro dodání služby, na které jste se s námi dohodli, nebo pro kroky před uzavřením smlouvy, o které jste požádali (vytvoření a doručení digitálního překvapení, uložení rozpracovaného překvapení, přihlášení do Správy překvapení kódem nebo heslem, ověření e-mailu před odesláním zdarma, odbavení platby, doručení účtenek a upozornění).
• Oprávněný zájem — čl. 6 odst. 1 písm. f) GDPR. Zpracování technických údajů (IP adresa, relace, záznamy o přihlašovacích kódech a o počtu pokusů) pro zajištění bezpečnosti, prevenci spamu a ochranu proti zneužití služby; limity a zákazy verze Zdarma, aby ji nešlo zneužít; e-mail a herní stav obdarovaného, aby mohl překvapení od tvůrce používat a tvůrce viděl, co si vybral; prověřování obsahu z vlastního podnětu a uchování zablokovaných překvapení jako dokladu.
• Souhlas — čl. 6 odst. 1 písm. a) GDPR. E-mail na čekací listině adventního kalendáře (oznámení o spuštění). Souhlas můžete kdykoli odvolat, zpracování do té doby tím není dotčeno.
• Plnění právní povinnosti — čl. 6 odst. 1 písm. c) GDPR. Archivace účetních dokladů podle zákona č. 563/1991 Sb., o účetnictví; vyřizování nahlášení nezákonného obsahu, potvrzení o přijetí a oznámení rozhodnutí oznamovateli a zasílání odůvodnění tvůrci podle nařízení (EU) 2022/2065 o digitálních službách (DSA).

4. Zpracovatelé a třetí strany

Pro provoz služby využíváme níže uvedené poskytovatele. Každý z nich má uzavřenou smlouvu o zpracování osobních údajů a zpracovává údaje pouze pro naše účely.

Zpracovatel	Účel	Poznámka
Google LLC / Google Cloud (Firebase, Cloud Firestore)	Ukládání projektových dat, rozpracovaných překvapení, herních statistik, záznamů o přihlašovacích kódech a limitů verze Zdarma (jen jako otisky), nahlášení obsahu a čekací listiny	EU region, standardní smluvní doložky SCC pro případné přenosy
Stripe Payments Europe, Ltd.	Zpracování plateb platební kartou	PCI DSS certifikace, data karet se nikdy nedotknou našich serverů
Meta Platforms Ireland Ltd.	Měření účinnosti reklam na Facebooku a Instagramu (Conversions API)	Jen u tvůrců při zahájení platby a po zaplacení, odesíláno ze serveru; podrobnosti v článku 6
Cloudflare, Inc.	Doručování webu, ochrana proti útokům a anonymní měření rychlosti stránek (Web Analytics)	Přes Cloudflare prochází každý požadavek na web, včetně IP adresy; Web Analytics nepoužívá cookies. Standardní smluvní doložky pro přenosy mimo EU.
WEDOS Internet, a.s.	Webhosting (běh webu a aplikace, dočasné záznamy pro omezení počtu požadavků) a odesílání e-mailů (odkazy, přihlašovací kódy, potvrzení, účtenky, upozornění)	Česká republika

5. Doba uchování

• Projektová data (obsah překvapení, heslo, položky obchodu, čas ověření e-mailu), u placených balíčků i u verze Zdarma — uchovávají se po dobu platnosti projektu a dále 30 dní ochranné lhůty, poté jsou automaticky trvale smazány. Překvapení můžete smazat i dřív ve Správě překvapení.
• Zablokovaná překvapení — uchováváme jako doklad k nahlášení nejméně 90 dní od zablokování, případně až do dne, kdy by jinak byla smazána, je-li pozdější; poté jsou automaticky smazána. Tvůrce je smazat nemůže.
• Údaje o obdarovaných (e-mail obdarovaného, herní statistiky) — smazány společně s projektem.
• Rozpracovaná překvapení na serveru — 14 dní od posledního uložení, poté se automaticky smažou; po odeslání překvapení je obvykle smažeme hned. Kopie ve vašem prohlížeči zůstává, dokud překvapení neodešlete nebo nezvolíte „Začít znovu".
• Nezaplacené rezervace projektů se mažou automaticky, nejpozději 3 dny po vytvoření (na dokončení platby je 24 hodin, zbytek je rezerva pro zpožděné potvrzení platby).
• Záznamy o přihlašovacích kódech — kód platí 10 minut; záznam se automaticky smaže přibližně den po poslední aktivitě (odeslání kódu nebo pokus o přihlášení).
• Limity verze Zdarma — záznam k e-mailové schránce 30 dní, k síti a e-mailové doméně 1 den, poté se automaticky smažou. Zákaz verze Zdarma — do jeho zrušení.
• Nahlášení obsahu — 1 rok od odeslání, poté se automaticky smažou.
• Záznamy pro omezení počtu požadavků — slouží nejdéle 24 hodin, poté je průběžně mažeme.
• Účetní doklady a záznamy o platbách (ID platby, částka, balíček, kupon, faktury) — 10 let dle zákona o účetnictví. U platby, kterou nešlo přiřadit k překvapení, uchováváme i e-mail plátce, abychom mu mohli peníze vrátit.
• Čekací listina adventního kalendáře — do konce vánoční sezóny, nejpozději do 31. 1. 2027, poté se automaticky smaže. Při odvolání souhlasu hned.
• E-mailová korespondence — po dobu nezbytnou pro vyřízení dotazu, nejdéle 3 roky.

6. Cookies, úložiště v prohlížeči a statistiky

Technické cookies a úložiště v prohlížeči

Služba prekvap.me používá jen technické cookies a úložiště v prohlížeči, které jsou nezbytné pro fungování služby, o kterou jste požádali: odemčení překvapení, přihlášení, ochranu formulářů, rozpracované překvapení a hru. Reklamní ani analytické cookies nepoužíváme a nic z níže uvedeného neslouží ke sledování napříč weby. Tyto cookies a úložiště nevyžadují souhlas uživatele ve smyslu § 89 odst. 3 zákona č. 127/2005 Sb., o elektronických komunikacích.

Název	Druh	K čemu slouží	Jak dlouho
PHPSESSID	Cookie relace, nedostupná pro skripty	Odemčené překvapení u obdarovaného během návštěvy, přihlášení do Správy překvapení, ochranný kód formulářů proti podvrženým požadavkům, rozpracované ověření e-mailu kódem. Pokud přijdete z reklamy nebo z odkazu označeného kampaní, zapamatuje si relace také tento zdroj (UTM parametry, identifikátor kliknutí na reklamu), viz Meta Conversions API níže.	Do zavření prohlížeče; přihlášení nejdéle 24 hodin
prekvap_rt_…	Cookie, nedostupná pro skripty	Zapamatované odemčení překvapení u obdarovaného, aby při dalším otevření odkazu nemusel znovu zadávat e-mail (za podtržítkem je odkaz překvapení). Obsahuje podepsaný e-mail obdarovaného a čas platnosti.	30 dní od poslední návštěvy překvapení
prekvap_draft	Cookie, nedostupná pro skripty	Identifikátor vašeho rozpracovaného překvapení v průvodci	14 dní
prekvap_draft, prekvap_draft_token, prekvap_draft_email	Úložiště prohlížeče (localStorage)	Rozpracované překvapení, jeho identifikátor a e-mail zadaný v průvodci	Do odeslání překvapení nebo volby „Začít znovu"
prekvap_runner_coins_…, prekvap_best_runner_…, prekvap_best_flappy_…, prekvap_best_catch_…, prekvap_best_snake_…	Úložiště prohlížeče (localStorage)	Mezipaměť mincí obdarovaného a nejlepší skóre ve hrách (za podtržítkem je odkaz překvapení)	Dokud je v prohlížeči nesmažete
prekvap_msg_…	Úložiště prohlížeče (localStorage)	Že obdarovaný už zprávu v překvapení otevřel (za podtržítkem je odkaz překvapení)	Dokud je v prohlížeči nesmažete
prekvap_welcome_…, prekvap_visit_…	Úložiště relace (sessionStorage)	Jednorázové zobrazení uvítacích mincí po odemčení překvapení; aby se otevření překvapení v jedné kartě započítalo do statistik jen jednou	Smaže se hned po zobrazení, nejpozději zavřením karty
demo_…, preview_…	Úložiště relace (sessionStorage)	Stav ukázky na prekvap.me/demo a náhledu v průvodci (mince, vybrané odměny, postup ukázkou); nic z toho se neposílá na server	Do zavření karty prohlížeče

Cookies i úložiště můžete kdykoli smazat v nastavení prohlížeče. Rozpracované překvapení tím z daného zařízení zmizí; na serveru zůstane, dokud neuplyne 14 dní od posledního uložení.

Statistiky o návštěvnosti

Pro vyhodnocení provozu naší služby zaznamenáváme pseudonymní statistické údaje o návštěvách webu prekvap.me. Konkrétně:

• Datum a čas události (zobrazení stránky, kliknutí na tlačítko, krok při tvorbě překvapení, zahájení platby, dokončení nákupu)
• Země původu (odvozená z IP adresy, samotná IP adresa NENÍ ukládána)
• Kategorie zařízení (mobilní telefon / desktop / robot)
• Identifikátor projektu, pokud je relevantní (odkaz překvapení, u výběru odměny i identifikátor odměny)

Zobrazení stránek a kliknutí odesílá na náš server přímo váš prohlížeč, bez cookies. Údaje nejsou propojeny s vaší identitou. U překvapení s jediným obdarovaným ale odkaz překvapení spolu s časem ukazuje, kdy ho obdarovaný otevřel nebo si vybral odměnu, proto je považujeme za pseudonymní, ne anonymní. Neukládáme:

• IP adresy
• E-mailové adresy
• Jména
• Identifikátory zařízení (cookies, fingerprinting)
• Jakékoli údaje umožňující vás identifikovat napříč webem

Údaje jsou ukládány na našich serverech (Google Cloud Firestore, EU region) a slouží výhradně k vyhodnocení provozu naší služby. NEjsou sdíleny s žádnou třetí stranou.

Právní základ: oprávněný zájem správce dle čl. 6 odst. 1 písm. f) GDPR. Události bez odkazu překvapení nelze zpětně přiřadit k osobě. Události konkrétního překvapení na požádání smažeme spolu s ním (info@prekvap.me).

Měření rychlosti webu (Cloudflare Web Analytics)

Abychom věděli, jak rychle se stránky načítají, používáme službu Cloudflare Web Analytics společnosti Cloudflare, Inc. Skript v prohlížeči odešle anonymní údaje o načtení stránky: její adresu, dobu načítání, typ prohlížeče a zařízení a zemi. Služba nepoužívá cookies ani jiné úložiště v prohlížeči a návštěvníky nesleduje napříč weby. Právní základ: oprávněný zájem správce na rychlém a spolehlivém webu dle čl. 6 odst. 1 písm. f) GDPR.

Měření účinnosti reklam (Meta Conversions API)

V prohlížeči nepoužíváme žádné reklamní cookies ani marketingové pixely. Abychom poznali, které naše reklamy na Facebooku a Instagramu fungují, odesíláme přímo ze serveru společnosti Meta Platforms Ireland Ltd. informaci o zahájení platby a o dokončeném nákupu. Obsahuje:

• IP adresu a identifikaci prohlížeče (user agent),
• identifikátor kliknutí na reklamu, pokud jste na web přišli z reklamy,
• hodnotu a měnu objednávky,
• u dokončeného nákupu e-mail tvůrce v jednosměrně zahashované podobě (SHA-256).

Meta tyto údaje používá k přiřazení nákupu ke zobrazené reklamě. Údaje obdarovaných se společnosti Meta neposílají. Právní základ: oprávněný zájem správce na měření účinnosti reklamy dle čl. 6 odst. 1 písm. f) GDPR. Proti tomuto zpracování můžete kdykoli vznést námitku na info@prekvap.me.

7. Vaše práva

V souladu s GDPR máte vůči nám jako správci následující práva:

• Právo na přístup (čl. 15 GDPR) — získat potvrzení, zda zpracováváme vaše osobní údaje, a kopii těchto údajů.
• Právo na opravu (čl. 16) — opravit nepřesné nebo doplnit neúplné údaje.
• Právo na výmaz (čl. 17) — žádat smazání údajů („právo být zapomenut"), pokud již pominul důvod zpracování.
• Právo na omezení zpracování (čl. 18).
• Právo na přenositelnost (čl. 20) — získat své údaje ve strukturovaném strojově čitelném formátu.
• Právo vznést námitku (čl. 21) — proti zpracování založenému na oprávněném zájmu.
• Právo podat stížnost u dozorového úřadu (viz níže).

Pro uplatnění jakéhokoli z výše uvedených práv nás prosím kontaktujte na info@prekvap.me. Vyřídíme vaši žádost nejpozději do 30 dnů od jejího doručení. Ve výjimečných případech (složitost, velký rozsah) může být tato lhůta prodloužena o další dva měsíce; o takovém prodloužení vás informujeme.

8. Zabezpečení údajů

• Veškerá komunikace s aplikací probíhá přes zabezpečené HTTPS spojení (TLS).
• Data v databázi Firestore jsou šifrována při uložení i při přenosu.
• Přístupová hesla projektů jsou ukládána pouze jako silný otisk (bcrypt), nikdy v čitelné podobě.
• Přihlašovací kódy ukládáme jen jako klíčovaný otisk (HMAC), platí 10 minut a počet pokusů je omezen. Ani záznamy o kódech, ani limity verze Zdarma neobsahují čitelný e-mail nebo IP adresu.
• Rozpracovaná překvapení jsou chráněna dlouhým náhodným identifikátorem; odkazy překvapení zdarma končí náhodnou příponou, aby je nešlo snadno odhadnout.
• Přístup do databáze je omezen na servisní účet s minimálními nezbytnými oprávněními.
• Platební údaje nejsou na našich serverech nikdy uloženy — zpracovává je přímo Stripe.
• Statistická data o návštěvnosti jsou anonymizována při sběru — IP adresy ani identifikátory uživatele nejsou ukládány.
• Administrátorský přístup k systému je oddělený od standardního zákaznického přihlašování — má přísnější omezení počtu pokusů a při neúspěšných pokusech o přihlášení nás okamžitě upozorní.

9. Dozorový úřad

Pokud se domníváte, že zpracováním vašich osobních údajů došlo k porušení GDPR, máte právo podat stížnost u dozorového úřadu:

10. Změny těchto zásad

Tyto zásady ochrany osobních údajů můžeme příležitostně aktualizovat, zejména v reakci na změny v právních předpisech nebo v rozsahu služby. Aktuální verze je vždy dostupná na této stránce. Datum poslední aktualizace je uvedeno v záhlaví dokumentu.

V případě podstatných změn vás budeme informovat prostřednictvím e-mailu nebo upozornění v aplikaci.