1. Kdo jsme
Službu Kolbaba provozuje Jakub Šťastný, fyzická osoba podnikající v České republice (OSVČ), IČO 08542953, s místem podnikání Rečkova 1597/6, 130 00 Praha 3 – Žižkov (dále jen „Provozovatel“ nebo „my“). Provozovatel je správcem vašich osobních údajů podle obecného nařízení o ochraně osobních údajů (GDPR).
Ve všech záležitostech týkajících se osobních údajů nám pište na hello@kolbaba.app. Pověřence pro ochranu osobních údajů jsme nejmenovali, protože to pro nás není povinné; na této adrese se ozvete přímo tomu, kdo za zpracování odpovídá.
Tyto zásady platí pro web kolbaba.app a pro aplikaci Kolbaba na adrese app.kolbaba.app, ať ji používáte v prohlížeči, nebo jako aplikaci přidanou na plochu.
2. Ve zkratce
- Kopii vaší pošty ukládáme na našich serverech, aby byla Kolbaba rychlá na každém zařízení. Originál má dál váš poskytovatel schránky (Gmail, Seznam a další).
- Hesla a tokeny ke schránkám jsou šifrované. U passkeys ukládáme jen veřejný klíč.
- Žádné reklamy, žádný prodej ani pronájem dat, žádné analytické ani sledovací cookies a žádné trénování AI na vaší poště.
- Kolbaba nemá vestavěnou AI. Vaše pošta se k AI agentovi dostane, jen pokud nějakého připojíte, a jen ze schránek, které mu zpřístupníte.
- Sledování přečtení je ve výchozím stavu vypnuté. Když ho zapnete, nikdy neukládáme IP adresy ani polohu příjemců.
- Když schránku odpojíte, její kopii u nás smažeme. O smazání celého účtu můžete požádat kdykoli.
3. Jaké údaje zpracováváme
Váš účet
E-mailová adresa a jméno, profilová fotka, pokud se přihlašujete přes Google, vaše podpisy a nastavení (například hustota seznamu, barva aplikace, zda načítat vzdálené obrázky, doba pro vrácení odeslání a zda je sledování přečtení ve výchozím stavu zapnuté).
Přihlášení
- Passkeys: identifikátor a veřejný klíč přístupového klíče, počítadlo použití, údaj o tom, zda se klíč synchronizuje mezi zařízeními, popisek odvozený z prohlížeče (např. „iPhone“) a čas vytvoření a posledního použití. Soukromý klíč nikdy neopouští vaše zařízení ani správce hesel.
- Přihlášení přes Google: identifikátor vašeho účtu Google, e-mailová adresa, jméno a profilová fotka.
- Relace: u každého přihlášeného prohlížeče otisk (hash) tokenu relace, identifikace prohlížeče (user agent) a čas začátku, posledního použití a vypršení relace.
- Dokud je registrace jen na pozvánku, ověřujeme vaši e-mailovou adresu proti seznamu pozvaných adres.
Připojené schránky
Adresa schránky, poskytovatel a nastavení jeho serverů, heslo pro aplikace nebo tokeny OAuth (šifrovaně), stav synchronizace, název, barva a ikona, které si zvolíte, jméno odesílatele a údaj, zda je schránka zpřístupněná AI agentům.
Vaše pošta
Abychom mohli poštu zobrazovat, prohledávat a třídit, uchováváme kopii zpráv ze složek Doručená pošta, Odeslaná pošta a Archiv (u Gmailu všechnu poštu kromě spamu, koše a konceptů):
- odesílatele a příjemce (jména a adresy včetně kopie, skryté kopie a adresy pro odpověď), předmět, datum a technické hlavičky, podle kterých se zprávy řadí do konverzací;
- text zprávy (HTML i prostý text) a krátký náhled;
- názvy, typy a velikosti příloh;
- složky nebo štítky, stav přečtení a připnutí, odkaz pro odhlášení z newsletterů a doménu firmy odesílatele (pro zobrazení loga);
- vyhledávací index vytvořený z předmětu, odesílatele, náhledu a textu zprávy.
První import sahá 90 dní zpět; starší pošta zůstává jen u vašeho poskytovatele. Potom se průběžně přidává nově příchozí pošta. Soubory příloh na našich serverech neukládáme: stahujeme je z vaší schránky ve chvíli, kdy je otevřete nebo stáhnete.
Co v aplikaci Kolbaba vytvoříte
Koncepty, odchozí a naplánované zprávy (každé odeslání čeká ve frontě po dobu, kdy ho lze vrátit, nebo do naplánovaného času), odložené zprávy, připomenutí neodpovězených zpráv a připnutí. Návrhy příjemců se počítají z vaší nedávné pošty; samostatný adresář nevedeme.
Sledování přečtení, oznámení a AI agenti
- Sledování přečtení: viz článek 7.
- Push oznámení: u každého zařízení, kde je zapnete, adresa pro doručování přidělená push službou vašeho prohlížeče, její šifrovací klíče a identifikace prohlížeče.
- AI agenti: viz článek 6.
Technické údaje
Naši poskytovatelé hostingu zpracovávají u každého požadavku technické údaje (IP adresu, čas, požadovanou adresu a typ prohlížeče) a krátkodobě je uchovávají v záznamech (logech) kvůli provozu a bezpečnosti služby. V naší vlastní databázi žádné IP adresy neukládáme.
Ve vašem zařízení
Aby se Kolbaba otevřela okamžitě a fungovala i offline, ukládá aplikace do úložiště prohlížeče (IndexedDB) vaše nejnovější konverzace (nejvýše 400, včetně textu zpráv), schránky a koncepty a do místního úložiště několik nastavení zobrazení. Odhlášením se tato mezipaměť vymaže.
Když nás kontaktujete
Vaše e-mailová adresa a obsah toho, co nám napíšete.
Odkud údaje získáváme
Od vás; od společnosti Google, když se přihlásíte přes Google nebo připojíte Gmail; od poskytovatelů vašich schránek (vaše pošta); z aplikací AI agentů, které připojíte (jejich název, logo a technické údaje); a z poštovních aplikací lidí, kteří otevřou e-mail, u kterého jste zapnuli sledování. K založení účtu potřebujeme vaši e-mailovou adresu a k připojení schránky přístup k ní. Vše ostatní je dobrovolné.
4. Proč údaje zpracováváme a na jakém právním základě
- Poskytování služby Kolbaba (čl. 6 odst. 1 písm. b) GDPR, plnění smlouvy): váš účet a přihlášení; synchronizace, zobrazení, vyhledávání a třídění pošty; odesílání a plánování; odkládání, připomenutí a oznámení; sledování přečtení u e-mailů, které si zvolíte; přístup AI agentů, který nastavíte; a podpora.
- Oprávněný zájem (čl. 6 odst. 1 písm. f) GDPR): zabezpečení služby a vašich údajů, předcházení zneužití a podvodům, technické záznamy, oprava chyb a obhajoba právních nároků. Naším zájmem je provozovat bezpečnou a spolehlivou službu. Proti tomuto zpracování můžete vznést námitku (článek 14).
- Souhlas (čl. 6 odst. 1 písm. a) GDPR): předání vaší pošty AI agentovi, kterého připojíte (článek 6). Souhlas můžete kdykoli odvolat odpojením agenta; na zpracování před odvoláním to nemá vliv.
- Právní povinnost (čl. 6 odst. 1 písm. c) GDPR): vyřizování zákonných žádostí úřadů, vyřizování vašich žádostí podle GDPR a vedení účetních a daňových záznamů, pokud bude služba Kolbaba někdy placená.
Vaše údaje nepoužíváme k reklamě, marketingovému profilování ani k trénování AI a neprodáváme je.
5. Údaje z Googlu (Google user data)
Tento článek popisuje, jak služba Kolbaba nakládá s údaji, které získá z Google API: když se přihlásíte přes Google a když připojíte schránku Gmail nebo Google Workspace.
Služba Kolbaba bude při používání informací získaných z Google API a při jejich předávání do jakékoli jiné aplikace dodržovat zásady Google API Services User Data Policy, včetně požadavků na omezené použití (Limited Use).
K čemu máme přístup a proč
- Přihlášení přes Google (oprávnění openid, email, profile): identifikátor vašeho účtu Google, e-mailová adresa, jméno a profilová fotka. Používáme je jen k založení vašeho účtu a k přihlášení.
- Připojení Gmailu (oprávnění https://www.googleapis.com/auth/gmail.modify a k identifikaci schránky také openid, email a profile): čteme vaše zprávy včetně hlaviček, štítků a příloh; měníme štítky a stav, když vy nebo AI agent, kterého jste pověřili, zprávu archivujete, označíte jako přečtenou či nepřečtenou, připnete (označíte hvězdičkou), přesunete do spamu nebo do koše; odesíláme e-maily, které napíšete nebo naplánujete; a přihlašujeme se k odběru upozornění na změny v Gmailu, aby se nová pošta zobrazila hned. gmail.modify je nejužší jednotlivé oprávnění, které pokrývá čtení, třídění i odesílání. Neumožňuje trvalé mazání a Kolbaba vaši poštu nikdy trvale nemaže.
Jak údaje používáme
Výhradně k poskytování a zlepšování funkcí služby Kolbaba, které v aplikaci vidíte a používáte: zobrazení, vyhledávání a třídění pošty, odesílání a plánování, odkládání a připomenutí, oznámení, návrhy příjemců, sledování přečtení vámi odeslaných e-mailů a přístup AI agentů, které připojíte.
Co s nimi nikdy neděláme
- Nepoužíváme je k reklamě, včetně retargetingu a personalizované reklamy či reklamy podle zájmů.
- Neprodáváme je a nepředáváme je zprostředkovatelům dat, dalším prodejcům informací ani reklamním platformám.
- Nepoužíváme je k vývoji, zlepšování ani trénování obecných či nepersonalizovaných modelů AI nebo strojového učení. Kolbaba žádnou vestavěnou AI nemá.
- Nepoužíváme je k posuzování úvěruschopnosti ani pro účely poskytování úvěrů.
- Nikdo je nečte, ledaže nám k tomu u konkrétních zpráv dáte výslovné svolení (například při řešení vašeho dotazu na podporu), je to nutné z bezpečnostních důvodů, například při vyšetřování chyby nebo zneužití, je to nutné ke splnění právních předpisů, nebo jde o údaje agregované a anonymizované, použité pro interní provoz.
Kdy údaje opouštějí službu Kolbaba
Údaje z Googlu předáváme pouze:
- k poskytování funkcí, které používáte nebo výslovně zapnete. Především AI agent, kterého připojíte přes MCP, dostane poštu, o kterou požádá, ze schránek a v rozsahu oprávnění, které jste zvolili (článek 6). Když Kolbaba zobrazuje logo firmy odesílatele, vaše zařízení si od služby DuckDuckGo vyžádá ikonu domény odesílatele (článek 9);
- poskytovatelům, kteří pro nás službu Kolbaba hostují (článek 9), na základě smlouvy a jen za účelem jejího provozu;
- z bezpečnostních důvodů, například při vyšetřování zneužití;
- ke splnění právních předpisů;
- v rámci fúze, akvizice nebo prodeje majetku, a to až po získání vašeho předchozího výslovného souhlasu.
Uložení a ochrana
Tokeny Google ukládáme šifrovaně (AES-256-GCM, viz článek 12). Kopii vaší pošty z Gmailu uchováváme a mažeme tak, jak popisují články 3 a 11.
Odvolání přístupu a smazání údajů
- V aplikaci Kolbaba: odpojte schránku v Nastavení. Z naší databáze okamžitě smažeme její tokeny a veškerou poštu, koncepty, naplánované zprávy a údaje o sledování přečtení této schránky. Zálohy vyprší do 30 dnů.
- Ve vašem účtu Google: odeberte službu Kolbaba v části Zabezpečení → Vaše propojení s aplikacemi a službami třetích stran (myaccount.google.com/connections). Kolbaba pak už k vašemu Gmailu přístup nemá. Samo o sobě to ale nesmaže kopii, kterou u nás už máte, proto schránku odpojte i v aplikaci Kolbaba nebo nás požádejte o smazání účtu.
- Odpojením v aplikaci Kolbaba smažeme naše tokeny, služba Kolbaba ale zůstane v seznamu propojených aplikací ve vašem účtu Google; odebrat ji tam můžete také.
- O smazání účtu Kolbaba včetně údajů z přihlášení přes Google požádejte na hello@kolbaba.app.
6. AI agenti (MCP)
Kolbaba obsahuje MCP server (Model Context Protocol), přes který mohou s vaší poštou pracovat AI agenti, například Claude, ChatGPT nebo Cursor. Kolbaba sama žádnou vestavěnou AI nemá: vaše pošta se k poskytovateli AI dostane, jen pokud nějakého agenta připojíte.
Jak připojení probíhá
- Adresu MCP serveru služby Kolbaba zadáte v aplikaci agenta. Ta vás přesměruje na stránku pro udělení souhlasu (OAuth 2.1), kde uvidíte, která aplikace o přístup žádá.
- Zvolíte, které schránky zpřístupníte. Zpřístupněné schránky mají k dispozici všichni agenti, které jste připojili.
- Zvolíte úroveň oprávnění: Read only (hledání a čtení pošty), Organize & draft (navíc archivace, připínání, odkládání, označení jako přečtené a psaní konceptů, ale ne odesílání) nebo Full access (vše včetně odesílání a plánování e-mailů vaším jménem; nejdřív musíte potvrdit, že rozumíte rizikům).
Co agent dostane
To, o co v těchto mezích požádá, například výsledky hledání, celé konverzace jako text (odesílatele, příjemce, data, předměty, text zpráv a názvy příloh) a seznam zpřístupněných schránek. Tyto údaje předáváme na váš pokyn a na základě vašeho souhlasu.
Společnost, která agenta provozuje (například Anthropic u Clauda nebo OpenAI u ChatGPT), zpracovává to, co agent dostane, jako samostatný správce podle svých vlastních podmínek a zásad ochrany osobních údajů, případně i mimo EHP. Před připojením si je prosím přečtěte. Odpojením agenta zastavíte další přístup, údaje, které už dostal, se tím ale nesmažou; o to je potřeba požádat jeho poskytovatele.
Co uchováváme
- Registraci aplikace agenta (název, logo a adresy, které používá k přihlášení) a název a verzi, které agent uvádí.
- Vámi zvolenou úroveň oprávnění a údaj, zda je přístup pozastavený.
- Přístupové tokeny (platné 1 hodinu) a obnovovací tokeny (platné 60 dní), uložené jen jako otisk (hash).
- AI activity: záznam každé akce agenta: co udělal, kdy, v jaké schránce a konverzaci, krátký popis (může obsahovat předmět a jména příjemců) a údaje potřebné k vrácení akce (mohou obsahovat předchozí znění konceptu).
Kontrolu máte vy
- Na časové ose AI activity vidíte vše, co agenti udělali (aplikace zobrazuje posledních 14 dní).
- Vratné akce můžete vrátit: archivaci, stav přečtení, připnutí, odložení a koncepty, a také odeslání či naplánování, dokud e-mail čeká ve frontě.
- Kdykoli agent e-mail odešle nebo naplánuje, dostanete oznámení.
- Agenta můžete kdykoli pozastavit, změnit mu úroveň oprávnění nebo ho odpojit v AI activity → Manage. Odpojením se smažou jeho tokeny i historie jeho aktivity.
7. Sledování přečtení
Pokud Kolbabu používáte
Sledování přečtení je ve výchozím stavu vypnuté. Zapínáte ho u každého e-mailu zvlášť přepínačem Track a výchozí stav můžete změnit v Nastavení.
Když je zapnuté, vloží Kolbaba do e-mailu neviditelný obrázek 1×1 pixel s jedinečnou náhodnou adresou. Když ho poštovní aplikace příjemce načte, zaznamenáme čas, přibližný popis aplikace a zařízení (např. „iPhone · Gmail“) a to, zda požadavek přišel přes obrázkovou proxy Applu nebo Googlu. IP adresu požadavku zpracujeme jen v operační paměti, abychom poznali proxy Applu, a nikdy ji neukládáme. Polohu nikdy neukládáme ani neodvozujeme. Vaše vlastní zobrazení e-mailu v aplikaci Kolbaba se nezapočítávají.
Každý e-mail má jen jeden obrázek, takže u více příjemců nepoznáme, kdo z nich e-mail otevřel. Mnoho aplikací obrázky blokuje nebo je načítá předem (Apple Mail Privacy Protection to dělá u každého e-mailu), takže otevření je jen vodítko, ne důkaz. Otevření přes proxy Applu proto zobrazujeme jako „doručeno“, ne jako „otevřeno“.
Sledování je vaše volba. Údaje o otevření zpracováváme vaším jménem: odpovídáte za to, že k tomu máte právní důvod a že příjemce informujete, pokud to právo vyžaduje (viz Podmínky použití).
Pokud jste dostali sledovaný e-mail
Uživatel služby Kolbaba se rozhodl sledovat e-mail, který vám poslal. Zaznamenáváme jen to, co je popsané výše, zobrazujeme to jen tomuto odesílateli a nikdy nevytváříme profily napříč odesílateli. Pokud tomu chcete zabránit, zablokujte ve své poštovní aplikaci načítání vzdálených obrázků. S dotazy se obraťte na odesílatele, nebo nám napište na hello@kolbaba.app a vaši žádost mu předáme.
8. Lidé, se kterými si píšete
Vaše pošta obsahuje osobní údaje lidí, se kterými si píšete. Zpracováváme je jen proto, abychom vám mohli službu Kolbaba poskytovat: nekontaktujeme je, neprofilujeme je a jejich údaje k ničemu jinému nepoužíváme. Pokud Kolbabu používáte k práci nebo podnikání, o těchto údajích podle GDPR rozhodujete vy a my je zpracováváme vaším jménem. Pokud jste jedním z těchto lidí a máte dotaz, napište nám na hello@kolbaba.app.
10. Předávání mimo EHP
Někteří z výše uvedených poskytovatelů sídlí ve Spojených státech nebo tam údaje zpracovávají (zejména Vercel, Neon, Google, push služby prohlížečů a DuckDuckGo). Naše servery mohou běžet v EU i ve Spojených státech; uložení výhradně v EU neslibujeme.
Pokud údaje míří do země, o které Evropská komise nevydala rozhodnutí o odpovídající ochraně, opíráme se u certifikovaných poskytovatelů o rámec ochrany osobních údajů mezi EU a USA (EU–US Data Privacy Framework), jinak o standardní smluvní doložky schválené Evropskou komisí. Podrobnosti vám rádi pošleme. Poskytovatelé AI agentů, které si zvolíte, mohou rovněž sídlit mimo EHP; takové předání se děje na váš pokyn a podle jejich podmínek.
11. Jak dlouho údaje uchováváme
- Účet, nastavení a podpisy: po dobu existence vašeho účtu.
- Kopie vaší pošty: po dobu, kdy je schránka připojená. Zprávy smazané ve vaší schránce zmizí z naší kopie při příští synchronizaci. Když schránku odpojíte, z naší databáze okamžitě smažeme její heslo nebo tokeny a veškerou její poštu, koncepty, naplánované zprávy a údaje o sledování přečtení.
- Fronta odesílání: záznamy o odeslaných nebo zrušených e-mailech mažeme 30 dní po čase odeslání.
- Sledování přečtení: do odpojení schránky nebo smazání účtu.
- AI activity a údaje o agentech: do odpojení agenta nebo smazání účtu.
- Relace: relace vyprší 60 dní od posledního použití a odhlášením se smaže.
- Odběry push oznámení: dokud oznámení na daném zařízení nevypnete, dokud nám push služba nesdělí, že adresa už neplatí, nebo do smazání účtu.
- Ověřovací výzvy při přihlášení: 5 minut.
- Technické záznamy u poskytovatelů hostingu: krátkou dobu, zpravidla nejvýše 30 dní.
- Komunikace s námi: po dobu nutnou k vyřízení vaší žádosti a poté nejvýše 3 roky (obecná promlčecí lhůta podle českého práva) pro případ sporu.
- Účetní a daňové doklady, pokud bude služba Kolbaba někdy placená: po dobu stanovenou českými účetními a daňovými předpisy (až 10 let).
Smazání účtu: napište nám na hello@kolbaba.app z adresy, kterou ve službě Kolbaba používáte. Účet i vše, co obsahuje, smažeme do 30 dnů. Kopie v zálohách databáze vyprší do dalších 30 dnů. Vaše pošta zůstane ve vašich schránkách; Kolbaba ji tam při zrušení účtu nikdy nemaže.
12. Zabezpečení
- Veškerá spojení jsou šifrovaná: aplikace běží na HTTPS a u spojení s poštovními servery vyžadujeme TLS.
- Hesla ke schránkám a tokeny OAuth šifrujeme algoritmem AES-256-GCM, každé vlastním klíčem, který je dále zašifrovaný hlavním klíčem uloženým mimo databázi. Hlavní klíč lze obměňovat.
- Tokeny relací a tokeny AI agentů ukládáme jen jako otisk (hash), takže kopie databáze nestačí k přihlášení.
- U passkeys ukládáme jen veřejný klíč.
- Příchozí HTML čistíme na serveru a zobrazujeme v izolovaném rámu bez skriptů. Vzdálené obrázky jsou ve výchozím stavu blokované a známé sledovací pixely odstraňujeme.
- Každý záznam patří jednomu uživateli a každý dotaz do databáze je omezený na údaje tohoto uživatele.
Žádný systém není dokonale bezpečný. Pokud by porušení zabezpečení osobních údajů pravděpodobně ohrozilo vaše práva, oznámíme to vám i Úřadu pro ochranu osobních údajů tak, jak vyžaduje GDPR.
14. Vaše práva
Podle GDPR máte právo:
- na přístup ke svým osobním údajům a na jejich kopii;
- na opravu nepřesných údajů;
- na výmaz;
- na omezení zpracování;
- na přenositelnost údajů: získat údaje, které jste nám poskytli, ve strukturovaném, strojově čitelném formátu, nebo nechat je předat jinému poskytovateli;
- vznést námitku proti zpracování na základě oprávněného zájmu;
- kdykoli odvolat souhlas, aniž by tím bylo dotčeno dřívější zpracování.
Svá práva uplatníte e-mailem na hello@kolbaba.app, nejlépe z adresy, kterou ve službě Kolbaba používáte, abychom si mohli ověřit, že jde o vás. Je to zdarma a odpovíme do jednoho měsíce (ve složitých případech můžeme lhůtu prodloužit o další dva měsíce; v tom případě vám vysvětlíme proč).
Máte také právo podat stížnost u dozorového úřadu. V České republice je to Úřad pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, uoou.gov.cz. Obrátit se můžete i na dozorový úřad ve státě EU, kde žijete nebo pracujete.
15. Děti
Služba Kolbaba není určena osobám mladším 16 let a ty si nesmějí založit účet. Pokud zjistíme, že účet má někdo mladší 16 let, smažeme ho.
16. Automatizované rozhodování
Neděláme o vás rozhodnutí založená výhradně na automatizovaném zpracování, včetně profilování, která by pro vás měla právní nebo podobně významné účinky. Kolbaba poštu automaticky třídí pro zobrazení (například rozlišuje newslettery od osobní pošty), to je ale funkce pro vás, ne rozhodnutí o vás.
17. Změny těchto zásad
Když tyto zásady změníme, aktualizujeme datum v záhlaví. O podstatných změnách vás předem informujeme v aplikaci nebo e-mailem.
Toto znění je účinné od 9. října 2026.