Security

1. Přehled

Kaiku zpracovává citlivá data o tvém zdraví: konverzace, náladu, zdravotní měření a úvahy o partnerském vztahu. Tato data chráníme ve více vrstvách tak, že i kdyby došlo k úniku z databáze, zašifrované zprávy zůstanou bez klíče nečitelné. Tato stránka popisuje konkrétní technické vrstvy ochrany, které průběžně udržujeme.

AES-256-GCM Encryption

Messages, memories and other sensitive content are encrypted using AES-256-GCM.

Automatic Anonymization

Summaries are anonymized. Real names never stored in titles.

Access Control

74 Row Level Security rules protect user data.

AI Security

Your messages are not used to train AI models.

You Are in Control

Download data, set auto-deletion, or delete everything.

7. Umístění dat — EU

Všechna data z databáze i analytiky se ukládají na serverech v EU. Poskytovatelé AI sídlí částečně v USA, ale přenosy probíhají přes Standardní smluvní doložky (rozhodnutí Komise EU 2021/914) a v případě potřeby přes EU-US Data Privacy Framework. Přesný seznam poskytovatelů: viz Zásady ochrany osobních údajů.

8. Jaká data sbíráme

Co nejméně — jen to, co je k fungování nezbytné. Sbíráme konverzace, uživatelská nastavení a zdravotní data, pokud připojíš náramek nebo chytré hodinky. Polohu nesbíráme, dokud sám/sama nesdílíš GPS trasu tréninku. Kontakty nesbíráme, dokud je sám/sama nepřidáš. Produktová analytika běží jen s tvým souhlasem a sbírá pseudonymní statistiky používání (zobrazení stránek, využití funkcí) — bez tvého jména a obsahu zpráv; viz Zásady cookies.

9. Soulad s předpisy

K čemu se zavazujeme:

• ✓Článek 9 GDPR — výslovný souhlas se zpracováním citlivých údajů
• ✓AES-256-GCM — šifrování v klidu
• ✓TLS 1.3 — šifrování při přenosu
• ✓Umístění dat v EU
• ✓DPIA — posouzení vlivu na ochranu osobních údajů provedeno
• ✓Omezení požadavků — ochrana proti DDoS
• ✓Auditní logy — přístupy se zaznamenávají
• ✓Trvalé smazání do 30 dnů od žádosti o smazání

10. Bezpečnostní incidenty

Pokud incident s osobními údaji pravděpodobně představuje riziko pro tvá práva, oznámíme to dozorovému úřadu bez zbytečného odkladu, pokud možno do 72 hodin od zjištění (čl. 33 GDPR), a tebe informujeme bez zbytečného odkladu, pokud incident pravděpodobně představuje vysoké riziko pro tvá práva (čl. 34) — srozumitelným jazykem. V oznámení popíšeme povahu incidentu, pravděpodobné následky, přijatá opatření a kontaktní osobu.