Jak Kořenka pracuje s daty

Kdo odpovídá

Správce a kontakt

Správcem osobních údajů zpracovávaných prostřednictvím Kořenky je právnická osoba, která Kořenku provozuje. Platforma MNOHO SVĚTŮ v Jilemnici je název společného prostředí; není názvem právnické osoby.

Správce

Jilemnický lidskoprávní spolek

IČO

09409963

Sídlo

Peřimov 9, 512 04 Peřimov

Rejstřík

L 13473 vedená u Krajského soudu v Hradci Králové

Kontakt k údajům

admin@mnohosvetu.cz

Další cesta

Žádost lze doručit také poštou do sídla spolku.

Mapa údajů

Co se v Kořence ukládá

Přístupové hranice

Kdo může vidět které údaje

Přístup neurčuje jen to, zda je člověk „admin“. Každá oblast má vlastní pravidlo a server ho ověřuje při čtení nebo změně.

Technický servisní účet Firebase může v rámci serverových funkcí pracovat s daty potřebnými pro konkrétní operaci. Nejde o další členskou roli; funkce musí samy ověřit přihlášení, členství a oprávnění před vrácením dat.

Proč se údaje používají

Účely a právní základ

Právní základ se odvíjí od konkrétního účelu. Kořenka nepoužívá jeden obecný „souhlas se vším“.

Dodavatelé a příjemci

Jaké služby Kořenka používá

MAGIE (AI)

Co přesně odchází do Gemini

Kořenka neodesílá celou databázi. AI volání vznikne až po vědomém kliknutí na konkrétní funkci a obsah se omezuje na její úkol:

• Shrnutí porady: název porady a text zápisu, nejvýše 12 000 znaků. Výsledek se vrátí k lidské kontrole.
• Návrhy úkolů z porady: text zápisu nejvýše 14 000 znaků, název a druh porady, projekty na agendě a názvy existujících úkolů kvůli duplicitám.
• Dokumentová magie: celé zvolené PDF do 12 MB a 100 stran, název souboru, název projektu, jména lidí v týmu a názvy existujících úkolů. Dočasný soubor ve Firebase Storage se po zpracování maže; návrhy jsou v Kořence cachované 24 hodin.
• Magie Dílny Semínka: klient odešle serveru pouze identifikátor semínka, režim, zvolený rozsah a při práci s výřezem identifikátory 1 až 12 ručně vybraných Karet. Server vždy znovu načte autoritativní uložený obsah. Režim Celá plocha může pro hledání slepých míst, překryvů a celkové shrnutí odeslat uložený název a Jádro, typy a omezené texty všech aktivních Karet zobrazených Dílnou (nejvýše 200), vztahy mezi nimi, názvy pracovních Rámů, přibližné prostorové rozložení a rozpracované Směry; komentáře v tomto režimu neposílá. Režim Výběr odešle pouze zvolených 1 až 12 Karet, vztahy mezi nimi a jejich krátké komentáře; nevybrané Karty, Rámy a Směry neposílá. Pokud Semínko už vyrostlo v projekt, oba rozsahy přidají jeho název, stav, účel a uložený další krok, aby doporučení navázalo na skutečnou práci; gestor, tým, termíny, rozpočet ani projektové poznámky se neposílají. Z komentářů odstraní autorství, zmínění i reakce; jména, e-maily a profily se do Gemini neposílají vůbec. Gemini vrátí nejvýš jeden doložený podnět. U slepého místa musí rozlišit, zda otázka opravdu chybí, nebo už na ploše existuje a pouze nemá odpověď; nesmí její parafrázi vydat za nový objev. Vedle stručného nálezu vrátí jeden konkrétní pracovní tah a pozorovatelnou podmínku dokončení. Dalšími režimy jsou neověřený předpoklad, možné překryvy se zachovaným rozdílem, jiné pojmenování problému, nejmenší ověřovací pokus nebo shrnutí. Výstup musí odkázat na skutečné Karty z použitého rozsahu a při nedostatečné opoře smí výslovně odmítnout hádat. Kořenka vrátí i počet skutečně prošlých Karet, vztahů, Rámů a Směrů. Kořenka výsledek na serveru necachuje ani automaticky nezapisuje. Nová otázka či pojmenování se nejdřív ukážou průsvitně; pokud otázka už existuje, Kořenka pouze najde původní Kartu a pokus pouze předvyplní člověkem potvrzovaný Směr.

Gemini návrh nikdy sám nevytvoří úkol, nerozhodne za výbor ani neodešle veřejný text. Výsledek musí zkontrolovat člověk. Používání MAGIE lze v osobním nastavení vypnout.

Doba a konec zpracování

Jak dlouho údaje zůstávají a co znamená smazání

Prohlížeč a telefon

Co zůstává na tomto zařízení

• Firebase Authentication udržuje přihlášení. Na telefonu a v nainstalované PWA je relace trvalá do výslovného odhlášení; na běžném desktopu může zůstat jen do zavření prohlížeče. Kořenka si navíc ukládá nezbytnou první stranovou cookie korenka_auth_recovery=1: neobsahuje identifikátor ani přihlašovací údaj, pouze brání falešnému zobrazení loginu během obnovy relace, platí nejvýše rok a při odhlášení se smaže. Firestore používá pouze cache v paměti otevřené stránky. Dřívější trvalé kopie z předchozích verzí tato verze nečte; odstranit je lze smazáním dat webu v prohlížeči.
• Kořenka používá localStorage pro rozpracovaný zápis porady, průchod onboardingem, připomínky, rychlost hlasovek, lokální cache některých čtení, volbu soukromého zařízení a osobní nastavení tohoto zařízení včetně volby nezahrnout zařízení do anonymních souhrnů. Místní diagnostika startu drží jen verzi aplikace, časy a technické přechody loading/login/app; neukládá jméno, e-mail, ID účtu ani obsah Kořenky a nikam se sama neodesílá. U anonymních souhrnů si místně pamatuje jen kalendářní den posledního úspěšného odeslání, aby je neposílala častěji než jednou denně. U E2EE zde zůstává také aktuální generace identity, náhodné ID zařízení, očekávaný otisk a náhodné heslo, kterým místní Matrix runtime otevírá oddělený šifrovaný IndexedDB store; tato hodnota se neposílá na server. Starší generace se při resetu automaticky nemažou ani znovu nepoužijí.
• Push používá Service Worker, identifikátor instalace a push token uložený Firebase Messaging. Volitelný testovací náhled ukládá do IndexedDB tohoto zařízení neexportovatelný soukromý klíč; k push tokenu se na server posílá pouze odpovídající veřejný klíč a příznak zapnutí.
• Dobrovolný E2EE pilot přímých zpráv ukládá do IndexedDB schváleného zařízení jeho soukromou kryptografickou identitu, ratchetový stav, šifrovaný outbox, klíče zpráv zabalené neexportovatelným místním klíčem a případný aktivní či dočasně čekající neexportovatelný klíč obnovy. Čekající klíč při výměně se aktivuje až po serverovém potvrzení úplné kopie; pokud se výměna nedokončí, lze ji zrušit a původní klíč zůstane aktivní. Plaintext rozepsané nebo přijaté zprávy, médií, hlasování, hlasů, reakcí ani sdílených karet se do E2EE outboxu či key store neukládá. Diagnostika ukáže verzi místního store, počet klíčů a čekajících zásilek, stav trvalého úložiště a verzi kryptografické knihovny, nikoli jejich obsah. Server dostává veřejné klíče zařízení, podepsané jednorázové klíče, stav schválení, ciphertext a technická metadata nutná pro doručení.
• Soukromý klíč Schránky důvěry zůstává zašifrovaný pouze v zařízení ombudsosoby; heslo ani stažená záloha se neposílají do Firebase.

Kořenka nepoužívá Google Analytics ani reklamní měřicí kód. Vlastní měření nepřidává analytickou cookie, lokální identifikátor ani ID relace: názvy částí, výsledky formulářů, hledání bez hledaného textu, pevné kategorie chyb, pásma rychlosti a místní signály opakování se krátce sečtou v paměti a ze zařízení se odešlou nejvýše jednou za pražský kalendářní den. Server po ověření aktivního účtu odhodí identitu a přičte jen týdenní souhrn. Text chyby, stack, hodnoty formuláře, hledaná slova, přesná doba ani čas události se do tohoto souhrnu neposílají. Schránka důvěry se neměří vůbec. Měření lze pro toto zařízení vypnout v Nastavení → Tvoje Kořenka → Na tomto zařízení. Nezbytné technické identifikátory Firebase, Google přihlášení, reCAPTCHA a push ale mohou používat cookies nebo obdobné úložiště, aby fungovalo přihlášení, ochrana a doručení.

Jak jsou data chráněná

Technická a organizační opatření

• Veřejný formulář pouze založí žádost. E-mail se ověří jednorázovým odkazem, ale účet ani přístup tím nevznikne; rozhodnutí musí udělat aktivní admin. Schválení nového člověka vytvoří jen běžný profil bez členství, orgánové role, financí a administrátorských práv. Heslo lze přidat jen k hlavní adrese už ověřeného aktivního profilu; sekundární adresa zůstává pro jednorázový odkaz.
• Při odebrání schválené adresy nebo archivaci profilu server okamžitě vypne členský přístup, zakáže související Firebase Auth účty a odvolá obnovovací relace. Při návratu z archivu se automaticky obnoví jen hlavní adresa; případná vedlejší adresa vyžaduje nové schválení. Změnu hesla provází audit, upozornění v Kořence a bezpečnostní e-mail.
• Firestore a Storage mají výchozí zákaz a povolují jen výslovně popsané cesty a role.
• Týdenní souhrny používání přečtou jen admini. Klient do jejich kolekce nesmí zapisovat; server přijme pouze povolené technické klíče, ověří aktivní účet a uloží je bez identity a obsahu.
• Citlivé finanční operace a AI volání ověřují přihlášení a roli znovu v serverové funkci; App Check s reCAPTCHA omezuje volání z cizích klientů.
• Google uvádí šifrování zákaznického obsahu při přenosu a v klidu. To není totéž jako end-to-end šifrování: běžná data může zpracovat oprávněná serverová služba.
• Testovací „Obsah zprávy v oznámení“ nemění uložení zpráv na end-to-end šifrované a nevztahuje se na úkoly, porady, projekty, Finance ani jiné druhy push notifikací. U zapnutého zařízení server zašifruje pouze krátký náhled přímé zprávy, zmínění ve zprávách nebo připomínky zprávy jeho veřejným klíčem; FCM dostane obecný viditelný text a šifrovanou obálku. Obecný text je bez jména odesílatele a textu zprávy. Zařízení nejdřív zobrazí obecné oznámení a teprve potom se pokusí obálku lokálně otevřít. Soukromý klíč zůstává neexportovatelný v místním úložišti zařízení a Kořenka při otevření nastavení ověřuje, že s veřejným klíčem skutečně tvoří pár.
• E2EE nyní chrání nové texty, fotografie a jejich náhledy, hlasovky, otázky a možnosti hlasování, jednotlivé hlasy, emoji reakce a karty sdílených položek v podporovaných 1:1 konverzacích a jen na schválených zařízeních. Hlasy a reakce jsou samostatné šifrované události; aktuální stav se skládá až v prohlížeči a server nedostává čitelnou mapu voleb nebo emoji. Ruční pilot dál vyžaduje povolení správce a souhlas obou lidí; připravený automatický režim vyžaduje u obou účtů ověřené zařízení a výslovně potvrzené bezpečné uložení obnovovacího kódu a teprve potom provede atomický přechod přímo z vypnuto do aktivní, takže čekání na druhý účet neblokuje běžný chat. Další zařízení se propojí jednorázovým QR kódem potvrzeným na už ověřeném zařízení; kamera i případný vybraný snímek se zpracují jen místně v prohlížeči a při potížích zůstává dostupný textový kód. Obnovovací klíč se přenese v ECDH/AES-GCM obálce určené jen novému zařízení; server vidí pouze ciphertext, po převzetí jej klient nechá odstranit a neúspěšný pokus vyprší do deseti minut. Serverová schvalovací akce je zároveň podepsaná celým otiskem zařízení a aktuální generací identity. Když člověk ztratí všechna zařízení, může po čerstvém ověření přihlášení založit novou generaci. Server odvolá starou generaci a zachová ciphertext, ale bez původních klíčů staré zprávy neobnoví. Reset se neprovede, pokud v místním outboxu čeká nedoručená šifrovaná zásilka. Každá obsahová nebo stavová událost má nový AES-256-GCM klíč; ten je pro každé cílové zařízení zabalený samostatnou Olm relací. Server přijme pouze přesnou šifrovanou obálku, zkontroluje účastníky, aktivní zařízení, generace identity, stav chatu, limity a idempotenci a nedovolí tichý návrat k plaintextu. Při opakování se nejprve odešle přesně původní idempotentní zásilka; jen když server potvrdí změnu seznamu zařízení, klient vytvoří ze stejného místního klíče nové kapsle pro aktuální zařízení, ale nemění ciphertext ani ID. Server nevidí obsah, ale zná účastníky, autora a čas každé události, velikost ciphertextu a trasování zařízení. Naplánované odeslání, úpravy, přeposílání, uložené zprávy a připomínky, klientské smazání, skupinové a projektové chaty ani serverové hledání obsahu zatím podporované nejsou; hledání v již rozšifrovaných načtených zprávách probíhá lokálně.
• Push E2EE pilotní zprávy zůstává záměrně obecný, bez jména a obsahu; ratchet se v Service Workeru neotevírá. Ostatní druhy push upozornění tento pilot nemění. Samostatný testovací „Obsah zprávy v oznámení“ je jiná funkce pro běžné ne-E2EE zprávy a neslouží k otevření E2EE zprávy.
• End-to-end ochranu má obsah Schránky důvěry a po výslovném zapnutí také podporovaný nový obsah a interakce v E2EE pilotu přímých zpráv. U Schránky důvěry ani u E2EE identity zařízení není soukromý dešifrovací klíč uložen ve Firebase.
• Fotografie ve zprávách se v prohlížeči překreslí do JPEG, čímž se odstraní původní EXIF včetně polohy, a ukládá se omezená plná i náhledová varianta.
• Vybrané změny mají nezměnitelnou auditní stopu a serverové finance znovu ověřují skutečnou roli člověka.

Žádný systém nemůže slíbit absolutní bezpečnost. Podezření na ztrátu zařízení, omylem sdílený odkaz, cizí přihlášení nebo únik údajů oznam co nejdřív na admin@mnohosvetu.cz.

GDPR

Jaká máš práva

Podle situace můžeš požádat zejména o:

• potvrzení, zda spolek tvoje údaje zpracovává, a přístup k nim;
• opravu nepřesných nebo doplnění neúplných údajů;
• výmaz údajů, pro které už není právní důvod;
• omezení zpracování během řešení sporu o přesnost či důvod;
• námitku proti zpracování založenému na oprávněném zájmu;
• přenositelnost údajů, pokud jsou splněné zákonné podmínky;
• odvolání souhlasu tam, kde je zpracování opravdu založené na souhlasu;
• informaci o příjemcích, zdrojích a konkrétním způsobu zpracování.

Žádost pošli na admin@mnohosvetu.cz nebo do sídla spolku. Správce odpovídá bez zbytečného odkladu, zpravidla nejpozději do jednoho měsíce; ve složitém případě může zákonnou lhůtu prodloužit a musí vysvětlit proč.

Pokud nejsi spokojený/á s vyřízením, můžeš podat stížnost u Úřadu pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7.

Ověřitelné podklady

Právní a technické zdroje

Dokumentace vychází ze skutečného kódu a bezpečnostních pravidel Kořenky ve verzi uvedené nahoře. Právní rámec a tvrzení o dodavatelích lze ověřit zde:

• Nařízení (EU) 2016/679 – GDPR, zejména články 5, 6, 9, 12–22, 28 a 32
• ÚOOÚ – metodika k informační povinnosti
• ÚOOÚ – práva subjektu údajů
• ÚOOÚ – cookies a analytické technologie
• EDPB – pokyny 02/2026 k anonymizaci (veřejná konzultace)
• Zákon č. 563/1991 Sb., o účetnictví – § 31
• Firebase – Privacy and Security
• Firebase Data Processing and Security Terms
• Google Cloud Data Processing Addendum
• Google Cloud – šifrování dat
• Gemini API Additional Terms