Zásady ochrany soukromí CoveGuard

Poslední aktualizace: 29. října 2026

CoveGuard ("my") dbá na ochranu a respektování tvého soukromí. Tyto zásady vysvětlují, jak shromažďujeme, používáme, zpřístupňujeme a chráníme tvé údaje, když používáš mobilní aplikaci CoveGuard a související služby (společně dále jen "Služba"). Přečti si tyto zásady pozorně. Pokud s nimi nesouhlasíš, přestaň prosím Službu používat.

1 Jaká data sbíráme

1.1 Údaje o poloze (GPS)

Kotevní alarm a vedení po trase počítá přímo zařízení. Trasu k cíli („Navigovat sem“, „Najít kryt“, cesta k lodi v nouzi) spočítá náš server z výchozího bodu (obvykle tvé polohy), cíle, ponoru a výšky stěžně; nikam si je neukládá. Barvy bezpečnosti zátok počítá server pro celé oblasti — aplikace mu k tomu posílá jen obdélník oblastí, které máš odebrané, ne tvoji polohu. Sama od sebe, bez tvého kroku, odchází poloha takhle: (1) sdílení přítomnosti — je ZAPNUTÉ, dokud ho sám nevypneš (podrobnosti níž); (2) záloha dat, dokud je zapnutá (ve výchozím stavu je): zápisy deníku s přesnou polohou — za plavby každou hodinu, při vyplutí, zakotvení, zastávce, poplachu a muži přes palubu — a s přepínačem „Včetně GPS stop“ (ve výchozím stavu zapnutým) i celé stopy plaveb. Je to PŘESNÝ záznam toho, kde jsi byl, vázaný na tvůj účet, ne hrubá anonymizovaná poloha. Stopy server uloží jako komprimované soubory do úložiště Cloudflare R2; dostaneš je jen ty po přihlášení — a správce, když ho o to sám požádáš v hlášení podpoře (1.5); (3) kotevní hlídka, dokud běží (podrobnosti níž); (4) hlášení polohy za plavby: když máš aplikaci otevřenou a GPS má signál, odchází každých 5 minut přesná poloha, kurz a push token zařízení (za navigace i plánovaná trasa), aby server mohl varovat před změnou počasí. Server drží jen poslední hlášení a smaže ho, když aplikaci dáš na pozadí, nejpozději ale zhruba 6 hodin po posledním hlášení. Z každého hlášení i z hlídky si navíc 12 hodin pamatuje poslední známou polohu lodi (zaokrouhlenou zhruba na 100 m), rychlost a čas, aby tě mohl varovat před bouřkou a blesky i po zavření aplikace; (5) dotazy na počasí a dno pro místo, kde jsi: upozornění na nebezpečné počasí v okolí a předpověď větru u lodi a pro zápisy deníku (poloha zaokrouhlená na 0,02°, zhruba 2 km; při muži přes palubu a obnově záznamu plavby přesná), sklon dna pod lodí (zaokrouhlená zhruba na 100 m, nejvýš jednou za 50 m plavby; když náš server nemá vlastní data o dně, zeptá se na ten bod služby EMODnet — bez tvého účtu i tvé IP adresy) a modelový tlak na vodě (zhruba 1 km). Tyhle dotazy server neukládá; jejich souřadnice ale zůstávají v provozních lozích (viz 4 a dobu uchování). Nic z bodů 4 a 5 nejde vypnout zvlášť; vypnutá upozornění zastaví jen zprávu, ne odeslání. Na tvůj krok odchází poloha takhle. Komunitní hlášení, recenze, fotky a návrhy míst nesou polohu místa (hlášení na mapě zaokrouhlenou zhruba na 100 m); u recenze se uloží i to, jestli jsi ji psal na místě (do 300 m), a to vidí ostatní. Když nahlásíš žádost o pomoc, odejde s hlášením i tvoje přesná poloha; server z ní spočítá vzdálenost od žádosti, aby šlo poznat zneužití hlášení. Hledání míst a čerpacích stanic, „Najít kryt“, vítr modelů v bodě, okno pro vyplutí, hloubky podél trasy a vrstva AIS (výřez kolem lodi) pošlou polohu jen k výpočtu odpovědi. Když odpovíš na dotaz „Je tam místo?“ (odpovědět jde jen do 500 m od místa), uloží se k odpovědi tvoje přesná poloha; smaže se zhruba 24 hodin po položení dotazu, odpověď zůstává u účtu kvůli bodům za příspěvky — a dokládá, že jsi tehdy byl poblíž. Za navigace, nebo když u uložené trasy zapneš hlídání, pošle aplikace trasu (nejvýš 24 bodů) s jejím názvem, aby server hlídal bóru na tvé cestě; drží ji zhruba 48 hodin od posledního odeslání. Soukromé poznámky k místům a na mapě odcházejí s přesnou polohou a textem; vidíš je jen ty a zůstávají do smazání účtu. Ruční „Synchronizovat“ v deníku pošle tankování (místo, množství, cenu) a souhrny plaveb se začátkem a koncem; neřídí se přepínačem zálohy a zůstávají do smazání účtu. Sdílení AIS (ve výchozím stavu vypnuté) posílá přesnou polohu přijímače a lodě, které slyší, včetně tvé; server polohu drží 3 minuty. Odkaz na živou polohu pro blízké je v aplikaci zatím vypnutý — nový nejde vytvořit; ze starých odkazů poloha zmizí hned po zrušení a po vypršení nejpozději do druhého dne. Ceny paliva a stav u čerpací stanice: když jsi přihlášený, můžeš u čerpací stanice nahlásit cenu paliva za litr (nafta, benzín 95 nebo 100) a měnu, nebo stav u ní: bez fronty, fronta, zavřeno, došlo palivo. Potvrzení ceny, kterou nahlásil někdo jiný, je také hlášení. Aplikace k hlášení přiloží jeden bod — přesnou polohu telefonu a čas, kdy tam byl: aktuální GPS, nebo bod ze stopy plaveb uložené v telefonu. Server jen ověří, že je bod do 500 m od stanice a u ceny nejvýš 7 dní starý (stačí, že jsi tam v posledním týdnu byl), u stavu nejvýš 15 minut, a neuloží ho. Uloží se tvůj účet, stanice, druh paliva, cena, měna a čas hlášení, u stavu účet, stanice, stav a čas. U ceny vidí ostatní tvoji přezdívku a den hlášení, ne čas; ukazujeme hlášení z posledních 60 dní a přečíst je jde i bez přihlášení. Stav ukazujeme nejvýš 60 minut, bez jména, jen s tím, před kolika minutami byl nahlášen. Samo hlášení ale dokládá, že jsi u stanice byl — u ceny v týdnu před nahlášením (podle přezdívky a dne to poznají i ostatní), u stavu v posledních 15 minutách. Hlášení cen mažeme po roce, hlášení stavu po 7 dnech; když smažeš účet, zůstanou do té doby bez tvého účtu a přezdívky. Starší hlášení cen v aplikaci neukazujeme (jen posledních 60 dní), necháváme si je ale do roka, abychom mohli dohledat a smazat zneužití — třeba vymyšlené ceny — a srovnat ceny mezi sezónami. Svoje hlášení si v aplikaci smazat nemůžeš; napiš podpoře na [email protected] a smažeme je. Přítomnost: ostatní jachtaři v CoveGuardu díky ní vidí tvoji přezdívku a profilovou fotku, přibližnou polohu (server ji před uložením zaokrouhlí zhruba na 200 m) a jak je stará, kurz, směr přídě a rychlost, jméno a typ tvé lodi (délku, jen když si ji zapneš) a technické označení tvého účtu — loď jen v rozsahu, který sdílíš. Vidí tě každý přihlášený, kdo má tvoje okolí na mapě (do 50 námořních mil od středu mapy), a tví přátelé — jen ti, s nimiž jste se přidali navzájem — kdekoli; kartu s přezdívkou a lodí si přihlášený jachtař otevře i podle toho označení, třeba po vyhledání přezdívky, odkudkoli. Přesnou, nezaokrouhlenou souřadnici ostatním ukážeme, když si v Menu → Profil → Přítomnost a sdílení sám zapneš „Přesnou polohu“, a v nouzi — při tísni (SOS), muži přes palubu a žádosti o pomoc — VŽDY, i když máš přítomnost vypnutou nebo nastavenou na „Jen posádka“. Volba „Jen posádka“ tě jinak skryje všem — posádku aplikace zatím určit neumí. Poloha přítomnosti se na serveru neukládá natrvalo — živá sama mizí do 3 minut od posledního odeslání. Když jsi na vodě nebo do 50 m od ní, nechá server ostatním po zavření appky tvoji poslední polohu (zaokrouhlenou stejně jako živou) ještě nejvýš 5 hodin, s popiskem, jak je stará („naposledy online“); vypnutím přítomnosti zmizí obě, jakmile se to server dozví. Kvůli kontrole nemožných skoků polohy si server navíc u každého zařízení na 5 minut drží jeho poslední polohu nezaokrouhlenou; nikomu ji neukazuje. Celé to vypneš jedním přepínačem v Menu → Profil → Přítomnost a sdílení — i bez signálu: aplikace si vypnutí pamatuje a pošle ho nejpozději při dalším spuštění. Tam jde také polohu nechat a schovat jen jméno nebo typ lodi, nebo kurz a rychlost. Zálohu vypneš v Menu → Nastavení a účet → Zařízení / Aktivní přihlášení — celou, nebo jen stopy (přepínač „Včetně GPS stop“); serverová kopie se tím smaže. Kotevní hlídka: když ji spustíš, dostane server přesnou polohu kotvy, přibližný poloměr, délku řetězu a push token zařízení a po celou dobu hlídky zhruba každou minutu polohu lodi, její vzdálenost od kotvy, poloměr zóny, stav ztišení a po kolika minutách ticha má upozornit hlídka na dálku (volba v menu hlídky), tvar hlídané zóny (výseč nebo nakreslený tvar), novou polohu kotvy, když ji za hlídky přesuneš, a stav lodi: jestli na ní zní nebo je ztišený poplach a proč, jestli je u hranice zóny, stav GPS (přesnost a jak dlouho je bez polohy) a baterii telefonu (procenta a nabíjení); stav lodi server drží jen 5 minut od posledního hlášení — a když máš aplikaci otevřenou i na jiném zařízení, každých 30 sekund. Zhruba každých 10 minut se navíc hlídka zeptá serveru na počasí u kotvy (předpověď, radar, blesky a nejbližší meteostanici) a pošle k tomu polohu kotvy; server ten dotaz neukládá a podle odpovědi rozhoduje telefon, jak dlouho smí za klidného počasí čekat na obnovu polohy. Slouží to k hlídání počasí a bouřek u tvé kotvy, k varování tebe a tvých dalších zařízení, k hlídce z pevniny — když se kotva táhne nebo loď ztratí spojení, upozorníme tvá další zařízení i posádku, kterou máš spárovanou přes Telegram, a to i s poslední polohou lodi — a k tomu, aby ti mohl přijít dotaz „Je tam místo?“ od jachtařů poblíž. Zvlášť to vypnout nejde, běží to s každou kotevní hlídkou. Běžící hlídky vidí v provozní konzoli i správce služby: tvoje jméno a přezdívku, zkrácený identifikátor účtu, přesnou polohu kotvy, poloměr, délku řetězu, časy a počet a stáří push tokenů, ne e-mail; zaznamená se, kdo konzoli otevřel a kolik hlídek viděl. Záznam hlídky — i s poslední přesnou polohou lodi — smažeme nejpozději 31 dní po jejím skončení a stopa lodi zmizí sama 48 hodin po posledním bodu. Po kotevní hlídce a po plavbě aspoň půl míle — a když počasí nahlásíš sám z menu — pošle aplikace pozorování počasí: přesnou polohu (kotvy, místa, kde plavba skončila, nebo kde jsi), u hlídky i nejbližší kotviště, odkdy dokdy hlídka nebo plavba trvala a co ukazovala předpověď; když vyplníš dotazník, přidá se tvoje odpověď. Slouží ke zpřesnění předpovědi bouřek a vln a zvlášť vypnout nejde — přepínač „Ptát se na přesnost předpovědi“ řídí jen dotazník. Po 90 dnech server pozorování odpojí od účtu a polohu zaokrouhlí na desetinu stupně (zhruba 10 km); kotviště, časy a odpovědi v něm zůstanou natrvalo, protože podle nich ladíme předpověď vln a bouřek. Když nahlásíš, že se blíží bouřka, dostanou lodě do 15 námořních mil upozornění s přesným místem, odkud hlásíš (u hlídky s polohou kotvy). Když telefon s barometrem zachytí klesající tlak a máš zapnutou přítomnost, odešle tlak, jeho vývoj, polohu (zaokrouhlenou zhruba na 200 m, s „Přesnou polohou“ přesně) a identifikátor instalace aplikace; server z hlášení víc lodí pozná blížící se bouřku, lodím do 15 mil pošle upozornění s místem hlášení a hlášení smaže nejpozději zhruba po 7 hodinách. V nouzi: žádost o pomoc (všechny tři úrovně) odešle tvoji přesnou polohu, druh nouze, poznámku, počet lidí na palubě a případně fotku. Upozornění s přesnou polohou dostanou lodě se zapnutou přítomností do 10 námořních mil; u tísně, když v okruhu nikdo není, postupně do 20 a 30 mil. Seznam žádostí kolem libovolného místa (do 60 mil) si může prohlédnout každý přihlášený jachtař — i s druhem nouze, poznámkou, počtem lidí, přesnou polohou a fotkou — a detail žádosti, i po jejím uzavření, každý, kdo zná její číslo (chodí s upozorněním); v detailu jsou i polohy těch, kdo ti jedou pomoct. Když se z upozornění vydáš někomu pomoct („Jedu pomoct“), odchází tvoje přesná poloha a odhad příjezdu každých 30 sekund (z karty žádosti jednou) a vidí je každý, kdo zná číslo žádosti. Žádosti i odpovědi drží server, dokud existuje účet. Polohu, kterou pošleš ve zprávě, vidí adresát; při řešení nahlášení může správce otevřít posledních 10 zpráv konverzace a zaznamená se to. Soukromé zprávy i zprávy v chatech oblasti, skupin a žádostí o pomoc se mažou po 180 dnech. Po noci s kotevní hlídkou odchází, u které zátoky a kdy jsi kotvil — bez souřadnic, do záznamu noci se uloží jen měsíc (viz 1.2a). A po stání aspoň 30 minut u kotviště, bóje nebo mariny odchází, o které místo šlo a v který den a hodinu jsi připlul a odplul — bez souřadnic; server to jen přičte k počtům lodí na tom místě (viz 1.2b). Noci i stání řídí jeden přepínač, zapnutý, dokud ho na daném zařízení sám nevypneš. Rozbor kotevní hlídky (1.2c) zeměpisnou polohu nenese — loď je v něm jen v metrech vůči kotvě. Po plavbě lodi s vyplněným ponorem v profilu odchází, kterými buňkami zhruba 25–30 m loď v pohybu projela, s ponorem a měsícem — bez souřadnic bodů a časů (viz 1.2d); řídí to vlastní přepínač, zapnutý, dokud ho sám nevypneš. Hloubky z lodního echolotu sdílí aplikace s komunitou, dokud v Menu → Přístroje (NMEA) nevypneš přepínač „Sdílet anonymní hloubková data komunitě“ (ve výchozím stavu je zapnutý): odchází přesná poloha každého bodu, hloubka, kvalita fixu, ponor, odkud měříš a hloubka sondy. Body se ukládají bez účtu a natrvalo a z času jen den uložení; jdou ale po sobě, takže se dají spojit do úseku trasy — proto tomu sami anonymní neříkáme. U účtu se kvůli odměnám drží seznam buněk zhruba 150 m, kde jsi měřil, s dnem prvního odeslání; zmizí s účtem. Dokud účet existuje, dají se podle toho seznamu tvoje body poznat tam, kde v buňce ten den neměřil nikdo jiný. Vypnutí přepínače ještě odešle dávku, která už čeká v telefonu.

1.2 Analytika používání

Analytiku používání — které funkce otevíráš, jak dlouho aplikaci používáš, kudy se v ní pohybuješ — NESBÍRÁME. Aplikace analytiku nevolá a automatický sběr přibalené knihovny Firebase Analytics je vypnutý. Pro provozní přehled (kolik lidí aplikaci ten den použilo a kolik jich bylo na moři) si server u každého přihlášeného požadavku na nejvýš 15 minut zapamatuje zkrácený otisk tvého účtu (SHA-256) a tytéž počty spočítá i z dat, která u účtu už má (razítko verze zařízení, hlídky, plavby a zálohované stopy, poplachy a ztišení ze zálohy deníku, záznam bezpečnostních upozornění). Ukládají se jen čísla, bez účtu — počty za pět minut 90 dní, denní natrvalo. Anonymní ten otisk není — my ho k účtu přiřadit umíme. Co odchází, jsou hlášení o pádech a chybách (Firebase Crashlytics, Google) — i o chybách, které aplikaci neshodí, třeba o nedostupných mapových podkladech. Bez nich bychom se o chybě, která shodí aplikaci uprostřed plavby, nedozvěděli. Hlášení obsahuje technický popis chyby a místo v kódu, kde nastala, plus model zařízení, verzi systému a identifikátor instalace, které k němu přidá samo Firebase. Nepřikládáme k němu tvůj účet, polohu, deník ani obsah zpráv; adresu mapové dlaždice, která by prozradila výřez mapy, z textu chyby odstraňujeme. Kromě toho odchází sama od sebe jen diagnostika kotevní hlídky: po každé hlídce její rozbor, tedy jak fungovala, jak dlouho běžela a jak posádka reagovala na poplach (1.2c). Kvůli zpřesňování údajů o zátokách odchází sám od sebe ještě souhrn noci s kotevní hlídkou (1.2a) a stání pro vytížení míst (1.2b) a pro mapu „Kudy lodě jezdí“ buňky, kterými projela loď s vyplněným ponorem (1.2d); co odchází samo proto, že to potřebuje některá funkce aplikace (záloha, poloha při plavbě a na kotvě, dotazy na počasí, pozorování počasí, verze aplikace), popisují 1.1 a 1.6. Jinou diagnostiku posíláš jen ty sám: když napíšeš podpoře — a předtím uvidíš přesné znění (viz 1.5) — nebo když v Nastavení vyexportuješ soubory deníku a někomu je pošleš.

1.2a Noci na kotvě

Po noci s kotevní hlídkou pošle aplikace pod tvým účtem souhrn té noci: o kterou zátoku a noc šlo, v kolik zhruba jsi zakotvil a zvedl kotvu, jak daleko se loď na řetězu houpala, jak spolehlivě hlídka měřila, jestli a jaký alarm houkal nebo málem houkal, jestli jsi v noci odplul nebo se přemístil, a jakou barvu a hodinovou předpověď jsme té zátoce ukazovali při zakotvení. Souřadnice ani trasa se neposílají. Slouží to jedinému účelu — zjistit, jestli barvy zátok odpovídají skutečnosti. Právním titulem je oprávněný zájem na tom, aby barvy zátok nelhaly; k reklamě ani profilování se to nepoužívá. Do záznamu noci se uloží jen hrubý výsledek: zátoka a měsíc, předpovědní model a verze aplikace (bez čísla buildu), barva, kterou jsme dávali, odkud podle té předpovědi převážně foukalo a do jakých pásem v ní padly nárazy větru a vlna, jestli jsi odplul před svítáním nebo se přemístil, do jakých pásem padla výchylka lodi, délka noci a spolehlivost měření, kolikrát alarm houkal (celkem, kvůli tažení kotvy a kvůli zóně) nebo málem houkal — od tří výš se nerozlišuje — a jak noc dopadla. Účet, zařízení, souřadnice, přesné datum ani hodinové hodnoty předpovědi se do záznamu neukládají. Kromě ověření přihlášení (a toho, co platí pro každý přihlášený požadavek — záznamu verze aplikace v 1.6 a provozního přehledu v 1.2) použije server účet jen ke dvěma věcem: aby tutéž noc nezapočítal dvakrát — drží si k tomu 8 dní otisk účtu, zátoky a data noci, který umí přepočítat jen server — a aby jeden účet neposlal příliš mnoho; počet odeslání si u účtu pamatuje jeden den. Záznam noci se smaže nejpozději 91 dní po ní. Předtím se přičte do souhrnu, který zůstává natrvalo: počty nocí za zátoku podle směru větru, pásma nárazů a vlny, barvy a výsledku — bez data i bez měsíce. Je-li noc ve své kombinaci jediná, prozradí souhrn i tak, že v té zátoce taková noc jednou byla. Plně anonymní to ale není. Server má u tvého účtu i jiné záznamy o tom, kde a kdy jsi kotvil — zálohu deníku a stop (ve výchozím stavu zapnutou), záznam kotevní hlídky, pozorování počasí po hlídce (s přesnou polohou kotvy a časy, 90 dní), 12 hodin poslední známou polohu lodi a na 8 dní otisk proti dvojímu započtení — a noc by se s nimi dala spárovat. Proto tomu neříkáme anonymní. Už odeslané noci ti ale ukázat, opravit ani smazat neumíme: nejsou vedené u tvého účtu a nedokážeme je k němu dohledat. Když to nechceš, vypni položku „Pomáhat zpřesňovat bezpečnost zátok“ v Nastavení → Data a soukromí; volba platí jen pro to zařízení a účet a po přeinstalaci aplikace je zase zapnutá. Noci, které z něj ještě neodešly, pak neodejdou ani po opětovném zapnutí. Týž přepínač řídí i stání pro vytížení míst (1.2b).

1.2b Vytížení míst

Po každém stání aspoň 30 minut u kotviště (do 500 m), bóje nebo mariny (do 300 m) pošle aplikace pod tvým účtem, o které místo šlo, v který den a hodinu loď připlula a odplula, jestli šlo o kotvení s hlídkou, nebo o zastávku zapsanou v deníku, a jestli je tvoje loď na tom místě „nová“ — tedy jestli tam z tohohle zařízení v témž období (v sezóně, mimo ni a zvlášť pro den v týdnu) rok nestála. Podle toho server odhadne, kolik různých lodí místo navštívilo. Kde už tvoje loď stání poslala, si dlouhodobě pamatuje jen tvoje zařízení. Pošle to až po odplutí, spolu s otiskem přesných časů příjezdu a odjezdu (podle něj server pozná, že totéž stání přišlo podruhé); souřadnice ani trasa se neposílají a stání, u kterého aplikace žádné známé místo nenajde, se nepošle vůbec. Slouží to jedinému účelu — zjistit, kdy a jak moc jsou místa vytížená, a ukázat to u míst na mapě. Ukazujeme poměr vytížení po hodinách, kdy se místo obvykle plní a jak je na tom proti okolí — nikdy počet lodí — a to i bez přihlášení; jen pro místo a období (sezóna, mimo sezónu, den v týdnu), které má z posledních tří let aspoň 20 stání z 5 různých dnů, z toho aspoň 5 příjezdů „nové“ lodi. Tutéž loď to může započítat víckrát — z jiného zařízení, po přeinstalaci aplikace nebo pod jiným účtem. Právním titulem je oprávněný zájem na tom, aby jachtaři věděli, kdy bývá místo plné; k reklamě ani profilování se to nepoužívá. Server stání jako záznam neuloží: jen ho přičte k počtům lodí na místě po dnech, hodinách a druhu stání (kotvení s hlídkou, nebo zastávka) — kolik lodí tam v danou hodinu stálo, kolik připlulo, kolik odplulo a kolik z nich bylo „nových“. Účet, zařízení, souřadnice ani přesný čas se neukládají a řádek o jednotlivé lodi nevzniká. Kromě ověření přihlášení (a toho, co platí pro každý přihlášený požadavek — záznamu verze aplikace v 1.6 a provozního přehledu v 1.2) použije server účet jen ke dvěma věcem: aby totéž stání, tutéž hodinu tvé lodi na místě ani tutéž loď jako novou (třeba z telefonu i tabletu) nezapočítal dvakrát — drží si k tomu 8 dní otisky účtu se stáním, s místem, dnem a hodinou a s místem a obdobím (a dnem v týdnu), které umí přepočítat jen server — a aby jeden účet neposlal příliš mnoho; počet odeslání si u účtu pamatuje jeden den. Počty zůstávají natrvalo. Plně anonymní to ale není: když na místě v danou hodinu stála jediná loď, dá se počet spárovat s tvou zálohou deníku a stop nebo se záznamem kotevní hlídky, které server u účtu má, a v těch 8 dnech i s otisky. Už započtená stání ti ale ukázat, opravit ani smazat neumíme: v počtech nejsou vedená u tvého účtu a nedokážeme je k němu dohledat. Patří to pod přepínač „Pomáhat zpřesňovat bezpečnost zátok“ (1.2a) v Nastavení → Data a soukromí; jeho vypnutí zastaví i tohle. Stání z doby, kdy byl vypnutý, ani z doby před verzí aplikace, která stání posílá, neodejdou nikdy — ani přes zálohu deníku z jiného tvého zařízení: aplikace si u každého zakotvení a zastávky zapíše, jestli byl přepínač zapnutý, a pošle jen stání zapsané se zapnutým. Stání z ukázky hlídky z pevniny nebo ze zkoušky kotevní hlídky se nepošle.

1.2c Rozbor kotevní hlídky

Po každé kotevní hlídce pošle aplikace pod tvým účtem rozbor toho, jak hlídka fungovala: jak byla nastavená (režim, způsob zaměření kotvy a jak daleko od lodi stál její špendlík, kde podle stopy příjezdu kotva padla a kolem kterého bodu se loď stáčela (obojí v metrech vůči špendlíku), poloměr a tvar zóny, délka řetězu a lodi, hloubka, jestli šlo o bóji a jestli to byla zkouška), kolik poloh GPS přišlo, jak byly přesné a jak dlouho chyběly, jak daleko a kam se loď od kotvy pohybovala, každý poplach (důvod, jistota a příznaky detektoru, skóre, vzdálenost, kdy od zapnutí hlídky nastal, jak dlouho trval a jak skončil, ztišení — i z pevniny —, odklad sirény a tvoje odpověď na „Táhla kotva?“), úseky, kdy by dřívější rozbor pohybu lodi hlásil tažení (minuta od zapnutí, délka a nejdál od kotvy — sirénu to nespouští), každý výpadek GPS a hodinovou předpověď větru, kterou aplikace při zakotvení ukazovala (když ji má; jen jako pásma rychlosti a nárazů — pod 15, 15–22, 22–34 a od 34 uzlů — a směr po osminách růžice). Dál stav baterie na začátku a na konci, jestli se telefon nabíjel, stav oprávnění, na kterých hlídka stojí (výjimka z úspory baterie, oznámení, oznámení na celou obrazovku, přesná poloha), výrobce, model a verzi Androidu telefonu a verzi aplikace (bez čísla buildu). U poplachů, výpadků a chvil, kdy se loď přiblížila hraně zóny, přidá úsek stopy deset minut před a po. Loď je v něm jen v metrech na sever a na východ od kotvy — souřadnice, zátoka ani datum se neposílají; z času jen měsíc a hodina zapnutí hlídky. Pošle to nejdřív zhruba půl hodiny po zvednutí kotvy, a když po poplachu ještě nepadla odpověď na „Táhla kotva?“, počká na ni nejvýš den. Slouží to jedinému účelu — aby hlídka méně houkala zbytečně, nemlčela, když kotva opravdu táhne, a vydržela celou noc na různých telefonech. Právním titulem je oprávněný zájem na spolehlivé kotevní hlídce; k reklamě ani profilování se to nepoužívá. Uloží se všechno výše uvedené; tvůj účet, identifikátor zařízení ani číslo, podle kterého server pozná opakované odeslání, ne. Kromě ověření přihlášení (a toho, co platí pro každý přihlášený požadavek — záznamu verze aplikace v 1.6 a provozního přehledu v 1.2) použije server účet jen ke třem věcem: aby týž rozbor nezapočítal dvakrát — drží si k tomu 8 dní otisk účtu a rozboru, který umí přepočítat jen server —, aby jeden účet neposlal příliš mnoho (počet odeslání si u účtu pamatuje jeden den) a aby šly vyřadit naše vlastní zkoušky: u rozboru z našich účtů se uloží jen příznak, že je náš, ne čí je. Rozbor se smaže nejpozději 12 měsíců po hlídce. Plně anonymní to ale není: měsíc, hodina zapnutí a délka hlídky by šly spárovat se zálohou deníku a stop, se záznamem kotevní hlídky nebo s pozorováním počasí po hlídce, které nese její přesný začátek a konec — to všechno server u tvého účtu má (1.1). S archivem předpovědí by se z pásem větru po hodinách dal odhadnout i den; a rozbory, které aplikace pošle najednou, se v databázi dají poznat jako jedna dávka. Proto tomu neříkáme anonymní. Už odeslané rozbory ti ale ukázat, opravit ani smazat neumíme: nejsou vedené u tvého účtu a nedokážeme je k němu dohledat. Když to nechceš, vypni položku „Pomáhat zlepšovat kotevní hlídku“ v Nastavení → Data a soukromí; volba platí jen pro to zařízení a účet a po přeinstalaci aplikace je zase zapnutá. Hlídky z doby, kdy byla vypnutá, ani z doby před verzí aplikace, která rozbory posílá, neodejdou nikdy. Tvoje odpověď na „Táhla kotva?“ zůstane v deníku i tak.

1.2d Kudy lodě jezdí

Když má loď v profilu vyplněný ponor, pošle aplikace po plavbě pod tvým účtem, kterými buňkami sítě zhruba 25–30 m loď v pohybu projela — jen tam, kde jela rychleji než 1,5 uzlu a GPS měla přesnost lepší než 10 m; body, které jsi v editoru plavby odřízl, vyřadil nebo posunul, se nepoužijí. Pošle to nejdřív půl hodiny po konci plavby a nejpozději do 14 dní; plavbu z minulého měsíce ale server přijme jen do 14. dne nového měsíce. K tomu přidá ponor lodi, která byla aktivní na konci plavby, zaokrouhlený na 0,1 m, měsíc plavby a náhodné číslo plavby, které vznikne v telefonu na jejím konci a podle kterého server pozná opakované odeslání téže plavby. Buňky odcházejí jako množina seřazená podle čísla, ne podle průjezdu — souřadnice jednotlivých bodů, pořadí, časy, rychlost ani jméno lodi se neposílají. Nepošle se jízda nahraná ve zkušebním režimu záznamu v autě, stopa obnovená ze zálohy ani plavba rozdělená nebo sloučená v editoru. Loď bez vyplněného ponoru nepošle nic; náhradní ponor, se kterým počítá plánování trasy, se nepoužije. Slouží to jedinému účelu — mapě „Kudy lodě jezdí“, která jachtařům ukáže, kudy projelo aspoň pět lodí a s jakým ponorem (po půlmetrových třídách). Právním titulem je oprávněný zájem na tom, aby jachtaři věděli, kudy se obvykle jezdí; k reklamě ani profilování se to nepoužívá. Přispět může jen účet s ověřeným e-mailem, který existuje aspoň 7 dní; jinak server plavbu nepřijme a aplikace ji zkusí poslat později. Jeden účet přispěje nejvýš 20 000 buňkami za den — plavbu nad tím stropem pošle aplikace jindy a z plavby s víc buňkami pošle jen prvních 20 000 podle čísla buňky. Plavbu, která místo čáry vyplňuje plochu (víc než čtvrtina z jejích aspoň 30 buněk má obsazených všech osm sousedních), server odmítne celou. Server plavbu jako záznam neuloží. Pro každý měsíc drží u každé buňky jen 16 přihrádek s největším ponorem, který do nich v tom měsíci padl; do které přihrádky tvoje loď padne, určí otisk tvého účtu a buňky s náhodným klíčem daného měsíce. Ten klíč leží jen v paměti Redisu na našem serveru a v jeho pracovním souboru na témž disku (do noční zálohy nejde; v databázi je jen jeho otisk, ze kterého se klíč spočítat nedá). Buňky měsíce u nás leží s měsícem, ale bez účtu, zařízení a času. Patnáctého dne následujícího měsíce měsíc uzavřeme: buňky, kterými v něm projelo aspoň pět lodí — v okolí maríny (sahá od ní nejméně zhruba 1,5–2 km, podle polohy v síti až asi 5,7 km) aspoň tři —, přejdou do mapy; všechny buňky toho měsíce i jeho klíč se smažou (z pracovního souboru Redisu zmizí klíč nejpozději zhruba o čtvrt hodiny později) a potom už ani my nedokážeme říct, která přihrádka patřila komu. Když klíč zmizí dřív (třeba při výpadku serveru), nepřijmeme do konce měsíce už nic, aby se táž loď nezapočítala dvakrát. Kromě ověření přihlášení, ověřeného e-mailu a stáří účtu (a toho, co platí pro každý přihlášený požadavek — záznamu verze aplikace v 1.6 a provozního přehledu v 1.2) použije server účet jen ke třem věcem: aby tvoje loď v jednom měsíci zabrala v buňce vždy tutéž přihrádku (deset plaveb téže trasy nebo telefon i tablet pod týmž účtem se počítají jednou), aby tutéž plavbu nezapočítal dvakrát — drží si k tomu nejvýš 15 dní otisk účtu a čísla plavby, který bez klíče měsíce nikdo nespočítá — a aby jeden účet neposlal příliš mnoho; počet odeslání a buněk si u účtu pamatuje jeden den. Mapa u buňky ukáže ponor, se kterým tudy v tom měsíci jelo aspoň pět (u maríny tři) lodí, ne ten největší, a jen po půlmetrových třídách zaokrouhlený dolů (ponor 2,4 m padne do třídy 2–2,5 m): jedna hlubší loď tak barvou neprozradí svou trasu a mapa nikdy neukáže větší ponor, než tudy projel. Buňka z víc měsíců nese nejvyšší z měsíčních tříd. Buňky, které vypadají podvržené, může správce z mapy vratně odebrat; dokud je nevrátí, mapa je neukazuje a měsíce, které v době odebrání běžely, je do ní nevrátí. Buňky, jejichž ponor nesedí s mapou hloubek — třída ponoru je o víc než 0,5 m větší než největší hloubka mapy EMODnet v okolí buňky —, do mapy nejdou, dokud je nezkontroluje člověk; do té doby leží stranou s měsícem, bez účtu. V přílivových oblastech Atlantiku, kde mapa hloubek počítá s nejnižším odlivem, a tam, kde hloubku neznáme, se to neověřuje. Mapa se mění při uzavření měsíce, tedy jednou za měsíc, aby z ní nešlo poznat, kdy která loď plula; mezi tím jen zásahem správce (odebrání, obnova nebo schválení buňky), který o plavbách nic nového neprozradí. Vidí ji každý, i bez přihlášení. Buňky mapy zůstávají natrvalo, bez účtu, času i měsíce. Plně anonymní to ale není. Než měsíc uzavřeme, tvoří buňky jedné plavby v odlehlém místě, kudy nikdo jiný nejel, v uložených datech úsek trasy lodi — stejně jako u hloubek z echolotu — a buňky mapy tam, kudy v měsíci jelo jen pár lodí, úsek jejich společné trasy. Kdo si v tomtéž měsíci pořídí čtyři ověřené, aspoň týden staré účty (u maríny dva) a projede jimi — nebo za ně pošle vymyšlené plavby — přes místo, kudy plula jiná loď, může z příští mapy vyčíst část její trasy a třídu jejího ponoru (po půl metru); denní strop a kontrola tvaru to jen ztěžují. Stejně tak pět spolčených účtů umí do mapy vepsat průjezd, který neexistuje — i proto mapa nikdy netvrdí, že je tam bezpečná voda. Dokud klíč měsíce existuje, umí server u buňky ověřit, jestli do ní mohla padnout tvoje loď; a záloha deníku a stop, kterou server u účtu drží, když ji máš zapnutou (1.1), nese tutéž plavbu přesně. Proto tomu neříkáme anonymní. Už odeslané buňky ti ale ukázat, opravit ani smazat neumíme: nejsou vedené u tvého účtu a nedokážeme je k němu dohledat. Když to nechceš, vypni položku „Přispívat do mapy Kudy lodě jezdí“ v Nastavení → Data a soukromí; najdeš ji i v Menu → Přístroje (NMEA). Ve výchozím stavu je zapnutá, platí jen pro to zařízení a účet a po přeinstalaci aplikace je zase zapnutá. Před první odeslanou plavbou to aplikace jednou oznámí s tlačítkem „Vypnout“. Plavby, které skončily, když byla položka vypnutá, nebo před verzí aplikace, která je posílá, neodejdou nikdy.

1.3 Data lodi

Údaje o lodi, které zadáš (jméno, typ, rozměry, motor, nádrže, cestovní rychlost a spotřeba, MMSI, IMO, volací značka, vlajka), leží v zařízení. Na náš server se dostanou se zálohou dat (ve výchozím stavu zapnutou) a jsou vázané na tvůj účet. Pro kartu v přítomnosti navíc aplikace posílá jméno, typ a délku AKTIVNÍ lodi — ale jen ta pole, která necháš ostatním sdílet: jméno a typ ve výchozím stavu ano, délku, jen když si ji zapneš (Menu → Profil → Přítomnost a sdílení, kde jde skrýt i jen jméno nebo jen typ). S vypnutou přítomností nebo volbou „Jen posádka“ se nepošle nic. Šířku, ponor, motor ani MMSI takhle nesdílíme nikdy. Ponor aktivní lodi se ale ukáže u recenze kotviště nebo bóje a typ a délka u recenze místa na břehu, když to u recenze zapneš (ve výchozím stavu vypnuté), jméno lodi jde do upozornění na tvá zařízení a posádce přes Telegram (viz 4) a jméno, typ a rozměry aktivní lodi i do snímku stavu, když ho přiložíš k hlášení podpoře (1.5). Doklady lodi a posádky včetně skenů a fotek (pojistka, licence, průkaz, pas) jsou výjimka: zůstávají v zařízení. Na naše servery se neodesílají a nezálohují se — takové soubory vědomě nesbíráme. Znamená to zároveň, že je z naší strany nejde obnovit: reinstalace aplikace, vymazání jejích dat nebo ztráta telefonu je smaže natrvalo.

1.4 Údaje o účtu

Při vytvoření účtu sbíráme tvou e-mailovou adresu, přezdívku (je povinná) a volitelně jméno; při přihlášení přes Google se jméno bere z Google účtu a při každém přihlášení se přepíše. Tvoje heslo u nás neleží v žádné podobě, ani zahashované — účty a hesla spravuje Firebase Authentication (Google), viz sekci 4. U účtu si dál držíme profilovou fotku (přezdívku a fotku vidí ostatní), datum založení, jestli je e-mail ověřený a jestli máš heslo, identifikátor u Firebase, jestli tě jde najít podle přezdívky, váhu tvých hlášení (mění ji moderace), případné zablokování, tarif a u betatesterů i to, od kdy a z kterého sestavení aplikace betaverzi testují; když ti správce udělí hodnost, i kdo a kdy ji udělil a jeho poznámku. Z údajů o účtu po jeho smazání zůstane jen záznam, že účet s daným technickým identifikátorem byl smazán, a kdy — bez e-mailu; co dalšího zůstává bez tvého jména, popisuje právo na výmaz v sekci 5.

1.5 Hlášení podpoře

Když napíšeš podpoře (Menu → Nápověda a podpora → Napsat podpoře), hlášení neodchází z tvé e-mailové schránky — přijme ho náš server a teprve ten ho rozešle. Vždycky odejde: tvoje zpráva, číslo hlášení, e-mailová adresa tvého účtu (podle ní hlášení přiřadíme a můžeme se doptat), adresa, kterou zadáš do pole „Kam ti máme odpovědět“, a technické údaje o aplikaci (verze, kanál beta/ostrá, jazyk); e-mail, který z toho dostane podpora, nese navíc interní identifikátor tvého účtu, druh hlášení a čas přijetí. Navíc jen tehdy, když si to na obrazovce sám zapneš (ve výchozím stavu je všechno vypnuté): snímek stavu aplikace a zařízení — verze a razítko sestavení, systém a jeho verze, identifikátor instalace, baterie a typ připojení, oprávnění, jméno, typ a rozměry aktivní lodi, zvolené oblasti počasí, nastavení kotevní hlídky (délka řetězu, poloměr, čas spuštění, bez polohy kotvy), stav zálohy s časy synchronizace a velikost offline dat —, přibližná poloha zaokrouhlená na zhruba 11 km a záznam činnosti aplikace (časová osa spuštění a přepínání aplikace, chyby a adresy mapových podkladů, které se nepodařilo stáhnout — z nich jde poznat výřez mapy, i okolí kotvy). Co přesně odejde, si můžeš před odesláním rozbalit a přečíst — náhled je týž text, který dorazí k nám. Hlášení chodí na [email protected]. Kopii dostaneš e-mailem na adresu svého účtu, aby sis mohl ověřit, že opravdu odešlo; obsahuje jen tvoji zprávu a číslo hlášení — snímek stavu ani záznam činnosti ti zpátky neposíláme. Když si do pole „Kam ti máme odpovědět“ napíšeš jinou adresu, kopie stejně odejde na adresu účtu — na cizí adresu potvrzení schválně neposíláme. Do hlášení se NIKDY nedává: posádka, obsah zpráv, deníku ani poznámek, MMSI, volací značka, vlajka lodi a poloha kotvy (v záznamu činnosti ale můžou být adresy mapových dlaždic z jejího okolí, viz výš). Přihlašovací údaje a tokeny se odfiltrují už při zápisu, než se cokoli uloží. To platí o tom, co appka do hlášení přidá SAMA. Snímek obrazovky, který přiložíš ty (nejvýš tři k jednomu hlášení), je výjimka: odchází přesně tak, jak ho vidíš — nic v něm nerozmazáváme a filtr hesel a tokenů do obrázku nevidí. Bývá na něm tvoje poloha, často jména z posádky nebo obsah zpráv, takže si ho před přiložením prohlédni. Snímky ukládáme do úložiště Cloudflare R2, vydávají se jen přes náš server po přihlášení a mažeme je po 90 dnech, stejně jako snímek stavu a záznam činnosti. NA TVÉ VYŽÁDÁNÍ SE MŮŽEME PODÍVAT DO TVÝCH DAT NA SERVERU. Když nám napíšeš, že ti nesedí lodní deník nebo export, potřebujeme k tomu vidět ta data — a samo hlášení je nenese (viz odstavec výš). Platí u toho čtyři podmínky najednou: podíváme se jen tehdy, když nám to písemně odsouhlasíš; jen k tvému konkrétnímu hlášení, ne k účtu obecně; jen dokud je hlášení otevřené (uzavřením přístup končí); a každé nahlédnutí se u nás zaznamenává — kdo se díval, kdy a ke kterému hlášení. Souhlas můžeš kdykoli odvolat, stačí napsat. Zpřístupní se tím lodní deník, přehled plaveb a body GPS stop. Nezpřístupní se poznámky, posádka, lodě ani trasy. Data získaná touhle cestou používáme VÝHRADNĚ k vyřešení tvého hlášení — ne k analýze toho, jak se aplikace chová obecně; na to bychom potřebovali tvůj samostatný souhlas nebo data bez vazby na tvoji osobu.

1.6 Technické údaje o aplikaci a zařízení

Aby šlo poznat, na které verzi aplikace zařízení běží, ukládá server u tvého zařízení pět údajů: číslo verze, razítko sestavení aplikace, kanál (beta nebo ostrá), jazyk aplikace (jen „cs“ nebo „en“) a den, kdy jsme zařízení naposledy viděli. Berou se z hlaviček běžného požadavku a zapisují se nejvýš jednou denně (po aktualizaci aplikace ještě jednou). Den posledního kontaktu se ukládá jen jako den — z uloženého stavu proto nejde zjistit, v kolik hodin jsi který den vyplouval; razítko sestavení nese čas, kdy jsme aplikaci sestavili, ne kdy ji používáš. K čemu to je: poslat varování cíleně jen na vadnou verzi místo všem, poznat, kdy je bezpečné starou verzi přestat podporovat, spočítat, kolik účtů ten den aplikaci otevřelo (provozní přehled, 1.2), a poslat bezpečnostní a tísňová upozornění v jazyce tvé aplikace; správce vidí v konzoli přehled zařízení podle verzí. Právním titulem je oprávněný zájem — provoz a bezpečnost služby. K reklamě ani profilování se tyhle údaje nepoužívají. U přihlášeného zařízení navíc ukládáme jeden technický OTISK, podle kterého poznáme, že jde o TOTÉŽ zařízení i po přeinstalaci aplikace nebo po aktualizaci Androidu. Není to čitelné číslo: bere se systémový identifikátor, který je na Androidu 8 a novějším jedinečný jen pro kombinaci naší aplikace, uživatele a zařízení (jiná aplikace dostane jiný), a ukládá se VÝHRADNĚ jeho nevratný otisk SHA-256, nikdy původní hodnota. Slouží jen k párování tvých vlastních přihlášení — bez něj by ti aplikace po aktualizaci systému hlásila „Příliš mnoho přihlášených zařízení“ a musel bys jedno ručně odhlašovat. Napříč účty se nespojuje a s nikým se nesdílí. Dál u přihlášeného zařízení ukládáme identifikátor instalace aplikace (náhodné číslo, které aplikace vytvoří při prvním spuštění), označení systému a jeho verzi (třeba „Android 14“), časy přihlášení a odhlášení i jeho důvod a token pro push notifikace (viz 6); zařízení vidíš v Menu → Nastavení a účet → Zařízení / Aktivní přihlášení. Do záznamu o zařízení se poloha ani IP adresa neukládají. Nevzniká deník používání: každý další kontakt starý záznam PŘEPÍŠE, takže v databázi je vždy jen poslední stav, ne řada dnů za sebou. Údaje o verzi mažeme po 90 dnech od poslední aktivity zařízení; záznam o zařízení (i odhlášeném) zůstává do smazání účtu, které ho odstraní hned.

2 Jak tvá data používáme

• K poskytování a vylepšování Služby CoveGuard, včetně navigačních pomůcek, integrace počasí a bezpečnostních funkcí.
• K personalizaci obsahu, výpočtů (palivo, slapy, proviant) a doporučení podle profilu tvé lodi.
• K odhalování a opravě chyb, pádů a výkonnostních potíží.
• K rozesílání transakčních e-mailů (např. reset hesla).
• K plnění zákonných povinností a vymáhání našich Podmínek služby.
• K vyřízení tvých dotazů na podporu.

Tvá data nepoužíváme k cílené reklamě a tvé osobní údaje neprodáváme žádné třetí straně.

3 Doba uchování dat

Po uplynutí doby uchování se data trvale smažou nebo nevratně anonymizují; výjimkou je souhrn nocí na kotvě, který zůstává natrvalo a plně anonymní není (1.2a), počty lodí pro vytížení míst, které zůstávají natrvalo a plně anonymní taky nejsou (1.2b), pozorování počasí, která po 90 dnech zůstávají bez účtu, ale s kotvištěm a časem (1.1), a hloubky z echolotu, které zůstávají natrvalo bez účtu, ale dají se spojit do úseků trasy (1.1). V zálohách může kopie přetrvat déle, nejvýš ale 168 dní: rotace drží 7 denních, 4 týdenní a 6 měsíčních sad, starší sady i archivy záloh mažeme podle data a do těch 168 dní se počítají i kopie u poskytovatele — denní záloha celého disku serveru, kterou Hetzner drží 7 dní, a denní snímky úložiště záloh, které drží 10 dní. Zálohy leží nešifrované na našem serveru a jejich šifrovaná kopie na úložišti Hetzner Storage Box; patří do nich i kopie souborů z úložiště Cloudflare R2 (fotky, snímky z hlášení, stopy) — soubor smazaný v R2 zmizí z kopie při nejbližší noční záloze a ve starších sadách dožije nejvýš těch 168 dní. Do denní zálohy disku u Hetzneru patří i paměťová databáze se živými polohami přítomnosti, takže i ty v ní můžou zůstat nejvýš 7 dní.

Jedna věc, kterou se snadno zamlčí: kopie tvého hlášení odešla E-MAILEM a leží ve schránce podpory u poskytovatele e-mailu. Když hlášení v naší databázi po 12 měsících zmizí — nebo když nás požádáš o výmaz dřív — TOHO E-MAILU SE TO NEDOTKNE. Ten se musí smazat ručně ve schránce. Když chceš pryč i ten, napiš na [email protected] a uveď číslo hlášení.

4 Sdílení a zpřístupnění dat

Tvé osobní údaje neprodáváme, nesměňujeme ani nepronajímáme. Data můžeme sdílet jen v těchto omezených případech:

• Ostatní jachtaři v CoveGuardu: se zapnutým sdílením přítomnosti — a to je zapnuté, dokud ho sám nevypneš — tě vidí každý přihlášený, kdo má tvoje okolí na mapě (do 50 námořních mil), a tví přátelé (jen ti, s nimiž jste se přidali navzájem) kdekoli: přezdívku a profilovou fotku, přibližnou polohu (zaokrouhlenou zhruba na 200 m) a jak je stará, kurz, směr přídě a rychlost, jméno a typ tvé lodi, pokud je sdílíš (délku, když si ji zapneš), a technické označení tvého účtu. Kartu s přezdívkou a lodí si přihlášený jachtař otevře i podle toho označení — třeba po vyhledání přezdívky — odkudkoli. Přesnou, nezaokrouhlenou souřadnici jim pošleme, když si sám zapneš „Přesnou polohu“, a v nouzi (tíseň, muž přes palubu, žádost o pomoc) VŽDY — i když máš přítomnost vypnutou nebo nastavenou na „Jen posádka“. Po zavření appky na vodě nebo do 50 m od ní tě uvidí ještě nejvýš 5 hodin jako „naposledy online“. Vypneš to v Menu → Profil → Přítomnost a sdílení.
• Poskytovatelé služeb: server i databáze běží u Hetzner Cloud v Norimberku (Německo), soubory (fotky, snímky z hlášení a zálohované GPS stopy) leží v úložišti Cloudflare R2 v jurisdikci EU, šifrovaná kopie záloh (na našem serveru jsou zálohy nešifrované) na úložišti Hetzner Storage Box a transakční e-maily odesíláme přes Seznam.cz. Podrobný seznam všeho, co odchází jinam, je hned pod těmito body.
• Zákonné požadavky: pokud to vyžaduje platný soudní příkaz, vládní nařízení, nebo kvůli ochraně práv a bezpečnosti uživatelů.
• Převod podnikání: v případě fúze nebo akvizice budou tvá data převedena s rovnocennou ochranou soukromí.

Kam data odcházejí

Něco z tvých dat nutně opouští náš server — bez toho by nedorazil alarm a nevykreslila by se mapa. Tady je poctivý seznam. Zjistili jsme ho měřením ve vlastním kódu, ne opsáním odjinud.

• Google (Firebase). Doručuje push notifikace a drží účty. Obsah notifikace vidí Google v čitelné podobě: u kotevního poplachu na tvá další zařízení jméno lodi a její přesnou polohu, u hlídky z pevniny poslední přesnou polohu lodi (bez jména), u žádosti o pomoc přesnou polohu, druh nouze a text toho, kdo o ni žádá (jde lodím v okolí), u bouřkové buňky z radaru její polohu a vzdálenost a směr od lodi (z toho jde poloha lodi dopočítat), u bóry a silného větru souřadnice tvé polohy, u změny počasí za plavby přesnou polohu lodi, u potvrzené bouřky místo hlášení, u dotazu „Je tam místo?“ jméno místa a odpověď i s poznámkou toho, kdo odpovídá, u zprávy od jiného jachtaře přezdívku odesílatele a začátek textu, u žádosti o přátelství a jejího přijetí přezdívku a u systémových zpráv jejich celý text. Při registraci mu jde tvůj e-mail, heslo a nepovinné jméno, při každém přihlášení e-mail a heslo. Když aplikace spadne nebo narazí na chybu, jde mu popis chyby (adresu mapové dlaždice z něj odstraníme). Ukládá se u něj i provozní log našeho serveru: jsou v něm souřadnice dotazů na počasí, dno a trasy a u jednotlivých událostí technický identifikátor účtu. Rozpoznání jména lodi, MMSI a volacího znaku z fotky dokladu běží přímo v telefonu přes Google ML Kit — fotka se nikam neposílá. Spustí se jen tvým krokem, naskenováním dokladu. ML Kit při tom posílá Googlu provozní údaje: výrobce, model a verzi systému telefonu, název a verzi aplikace, identifikátor instalace, rychlost a velikost zpracování a chybové kódy. Po klidné noci na kotvě nebo po plavbě tě aplikace nejvýš třikrát a s odstupem čtyř měsíců požádá o hodnocení v Obchodě Play. Okno zobrazuje Google; aplikace se nedozví, jestli a jak jsi hodnotil.
• Mapové podklady: Esri, OpenStreetMap, OpenSeaMap a EOX. Když se díváš na mapu, jde jim číslo dlaždice a tvoje IP adresa. Není to tvoje GPS poloha, ale výřez, na který koukáš — a ten bývá tam, kde jsi; při největším přiblížení stačí na určení mola. Když si stáhneš oblast pro offline plavbu, pozná se z těch dlaždic celá oblast, kterou plánuješ proplout.
• Overpass (OpenStreetMap). Vytahuje bóje, majáky a vraky v okolí. Posílá se mu obdélník kolem středu mapy zaokrouhlený na mřížku a tvoje IP adresa. Vypneš to spolu s vrstvou námořních značek.
• Wikimedia. Fotky míst. Jde jí jméno souboru — tedy nepřímo to, na jaké místo se díváš — a tvoje IP adresa.
• Telegram. Jen když si v Menu → Bezpečnost a tíseň → Telegram posádce spáruješ chat. Pak tam odejde zpráva při každém kotevním poplachu (se jménem lodi, když ho aplikace zná) a když hlídka ztratí spojení, vždy s odkazem na polohu lodi. Ten odkaz vede do Google Maps: kdo na něj klepne, pošle polohu lodi ještě jednou, Googlu, spolu se svojí IP adresou. Kopie odeslaných zpráv držíme 30 dní; u spárovaného chatu si pamatujeme jeho číselné označení (u soukromého chatu je to označení Telegram účtu toho člověka) a název, což bývá jméno člověka, se kterým ho máš.
• Open-Meteo a EMODnet. Počasí na moři a informace o dně. Jde jim souřadnice tvého dotazu.
• Cloudflare. Všechna komunikace aplikace s naším serverem jde přes něj a šifrované spojení (HTTPS) u něj končí: vidí obsah každého požadavku i odpovědi — i e-mail a heslo při přihlášení, zprávy, polohu a zálohu — a tvoji IP adresu; našemu serveru dotaz posílá znovu šifrovaně. U některých dotazů jsou souřadnice přímo v adrese. A leží u něj i soubory: v jeho úložišti R2 (v jurisdikci EU) máme fotky míst, fotky přiložené ke komunitním hlášením, profilové obrázky, snímky obrazovky přiložené k hlášení podpoře a zálohované GPS stopy plaveb; veřejné fotky drží Cloudflare navíc až 7 dní ve své mezipaměti. Server a databáze zůstávají u Hetzneru v Norimberku.

Ve kterých zemích to tyhle firmy zpracovávají, celé potvrzené nemám a nebudu ti nic namlouvat. Ověřené je tohle: náš server i databáze stojí v Norimberku v Německu, transakční e-maily jdou přes Seznam.cz a soubory (fotky, snímky a stopy) leží v úložišti Cloudflare R2 v jurisdikci EU — konkrétní datové centrum Cloudflare negarantuje a nebudu ho vymýšlet. U ostatních příjemců zemi doplním, až ji budu mít potvrzenou od nich — ne odhadnutou.

Z aplikace neodcházejí nikdy: skeny dokladů lodi a fotoalbum. Ty zůstávají jen v telefonu.

5 Tvá práva podle GDPR

Pokud se nacházíš v Evropském hospodářském prostoru, Spojeném království nebo Švýcarsku, máš tato práva:

• Právo na přístupVyžádat si kopii všech osobních údajů, které o tobě máme.
• Právo na opravuKdykoli opravit nepřesné nebo neúplné údaje v nastavení účtu.
• Právo na výmazVyžádat si smazání účtu a souvisejících dat. Spustíš to v Menu → Profil → Nastavení účtu → Nebezpečná zóna; účet a data vedená u něj zmizí okamžitě a nevratně — i záloha deníku a stop, zařízení, přátelé, žádosti o pomoc, komunitní hlášení na mapě (překážky, bouřka, palivo…), kredity za hloubky, hlášení tlakoměru, poznámky, tankování a souhrny plaveb a soukromé zprávy (celé vlákno, tedy i u protějšku); skupina, kterou jsi založil, zmizí i ostatním členům. Zůstane: fotky, recenze (bez údajů o lodi), komentáře, hlášení problémů u míst, návrhy míst a nahlášení chyb v Objevuj — bez tvého jména —, hlášení cen paliva a stavu u čerpacích stanic bez účtu (ceny do roka, stavy do 7 dnů od nahlášení), zprávy v chatech oblasti, skupin a žádostí o pomoc bez autora (do 180 dnů od odeslání), pozorování počasí bez účtu (polohu zhrubneme po 90 dnech od pozorování), hloubky z echolotu (účet nenesou), záznamy podle 1.2a–1.2d, které u účtu nevedeme, záznam o tom, že účet s daným technickým identifikátorem byl smazán, a kdy, e-maily s hlášením ve schránce podpory (smažeme je na požádání) a kopie v zálohách (nejvýš 168 dní). Stopa lodi z hlídky se smaže hned (kdyby se to nepovedlo, zmizí sama do 48 hodin), otisky nocí a stání dožijí nejvýš 8 dní, otisky plaveb pro mapu Kudy lodě jezdí nejvýš 15 dní a technické klíče s identifikátorem účtu, bez polohy, nejvýš 30 dní.
• Právo na přenositelnost datVyexportovat lodní deník a GPS stopy — v Menu → O aplikaci a právní → Data a soukromí → Exportovat má data; dostaneš jejich databázové soubory (SQLite). Uložené trasy vyexportuješ jako GPX v detailu trasy. Lodě a posádku export zatím nenabízí; když je máš zálohované na serveru, napiš si o ně na [email protected] a pošleme ti je.
• Právo na omezení zpracováníOmezit zpracování svých dat po dobu, kdy se prošetřuje tvá stížnost.
• Právo vznést námitkuVznést námitku proti zpracování založenému na oprávněných zájmech.
• Právo odvolat souhlasKde zpracování stojí na souhlasu (záloha deníku a tras, sdílení přítomnosti, nepovinné části hlášení podpoře), jde souhlas kdykoli odvolat v Menu — odvoláním se serverová kopie zálohy smaže (co zůstává, popisuje 1.1). Odvolání nemá vliv na zpracování, které proběhlo předtím.
• Právo podat stížnostObrátit se na dozorový úřad — v Česku je to Úřad pro ochranu osobních údajů (Pplk. Sochora 27, 170 00 Praha 7, uoou.gov.cz). Můžeš se na něj obrátit, i když nám nejdřív nenapíšeš.

Pro uplatnění kteréhokoli z těchto práv nám napiš na [email protected]. V aplikaci najdeš export a smazání účtu v Menu → O aplikaci a právní → Data a soukromí, sdílení přítomnosti v Menu → Profil → Přítomnost a sdílení, zálohu v Menu → Nastavení a účet → Zařízení / Aktivní přihlášení a přepínače pro souhrny nocí, stání a rozbory hlídky v Nastavení → Data a soukromí.

6 Místní úložiště a oprávnění zařízení

CoveGuard ukládá nastavení, dlaždice v mezipaměti a tvůj offline deník do místního úložiště zařízení. Nepoužíváme žádné sledovací cookies. Token zařízení pro push notifikace ukládáme u tvého účtu a posíláme ho i s kotevní hlídkou a polohou při plavbě, a to i když notifikace nepovolíš.

7 Zabezpečení

Aplikace s naším serverem mluví vždy šifrovaně (HTTPS/TLS). Šifrované spojení končí u Cloudflare, který dotaz našemu serveru posílá znovu šifrovaně (viz 4). Soukromá data jsou vázaná na tvůj účet: bez přihlášení se k nim přes naše rozhraní nikdo nedostane. Zveřejněný obsah — recenze (s přezdívkou, a když loď ukážeš, u kotviště a bóje s jejím ponorem, u místa na břehu s typem a délkou), fotky míst, komunitní hlášení, ceny paliva (s přezdívkou a dnem), stav u čerpacích stanic a profilové fotky — je čitelný i bez přihlášení. Webové provozní konzole vyžadují oddělený provozní účet s vlastním heslem a jednorázovým kódem z autentizátoru a jejich relace jde kdykoli odvolat. Část úkonů — přehled účtů s e-maily, hlášení podpoře včetně nahlédnutí do dat podle 1.5, moderace a blokování — ale umí i administrace v aplikaci; tam se přihlašuje běžný účet s příznakem správce, zatím bez druhého faktoru. Co naopak NETVRDÍME: data na serveru nešifrujeme — v databázi leží v čitelné podobě a chrání je přístupová práva serveru, ne šifra. Soubory (fotky, snímky, stopy) leží v úložišti Cloudflare R2; to chrání přístupové klíče, ne naše šifra, a soukromé soubory — GPS stopy a snímky z hlášení podpoře — se vydávají jen přes náš server po přihlášení. Neprovádíme pravidelné penetrační testy a nemáme oddělené role pro provozní přístup. Žádný systém nedokáže zaručit absolutní bezpečnost. Až se na tom něco změní, změníme i tento text; slibovat to dopředu nebudeme.

8 Soukromí dětí

CoveGuard není určen dětem mladším 16 let. Vědomě nesbíráme data od dětí. Pokud se domníváš, že nám dítě poskytlo osobní údaje, napiš na [email protected] a my je smažeme.

9 Změny těchto zásad

Tyto zásady ochrany soukromí můžeme čas od času aktualizovat. Podstatné změny oznámíme upozorněním v aplikaci nejméně 14 dní před tím, než vstoupí v platnost. Dalším používáním Služby po datu účinnosti vyjadřuješ souhlas s upravenými zásadami.

10 Kontakt