Základní informace o shromažďování a zpracování osobních údajů

(platné od 2. 10. 2026)

I. Odpovědný subjekt

Subjektem odpovědným za zpracování vašich osobních údajů je společnost Medevio s.r.o., IČO: 096 75 400, se sídlem Thámova 289/13, Karlín, 186 00 Praha 8, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze pod sp. zn. C 340224 (dále jen „Medevio" nebo „my").

Postavení Medevio při zpracování osobních údajů se liší podle povahy konkrétního zpracování a nelze je popsat jednotně pro celou Aplikaci ani pro celý web:

Medevio jako správce – ve vztahu k provozu internetových stránek, registraci a správě uživatelských účtů, marketingovým aktivitám, cookies, a dále ve vztahu k údajům pacienta, u nichž neexistuje poskytovatel zdravotních služeb, jehož jménem by Medevio jednalo, nebo které pacient poskytovateli aktivně nesdílí (viz část A).
Medevio jako zpracovatel – ve vztahu k osobním údajům pacientů, které Medevio zpracovává prostřednictvím platformy jménem poskytovatelů zdravotních služeb podle čl. 28 GDPR (viz část B).

Toto rozlišení se uplatní i tehdy, pokud pacient zadává údaje přímo do rozhraní Aplikace. Rozhodující přitom není technický kanál zadání, ale to, zda jsou údaje zpracovávány pro vlastní účely Medevio, nebo jménem konkrétního poskytovatele zdravotních služeb, kterému byly zpřístupněny.

A. Medevio jako správce osobních údajů

A.1 Kdy Medevio vystupuje jako správce

Medevio vystupuje jako samostatný správce osobních údajů zejména v těchto případech:

provoz internetových stránek medevio.cz a přihlašovacího/registračního rozhraní Aplikace my.medevio.cz,
založení a správa uživatelského účtu pacienta,
marketingová komunikace a reklama,
používání cookies a obdobných technologií,
zpracování osobních (příp. zdravotních) údajů pacienta, u kterého v Aplikaci není přiřazen žádný poskytovatel zdravotních služeb (viz A.4), a
zpracování osobních (příp. zdravotních) údajů, které pacient do Aplikace vloží, ale aktivně je nesdílí s žádným poskytovatelem zdravotních služeb (viz A.5).

Medevio (Provozovatel) v postavení správce dodržuje veškeré povinnosti stanovené příslušnými právními předpisy, zejména nařízením Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů; dále jen „GDPR"), jakož i souvisejícími právními předpisy Evropské unie a České republiky.

A.2 Právní základy zpracování

Na základě souhlasu (čl. 6 odst. 1 písm. a) GDPR) – pokud jste nám udělili souhlas se zpracováním osobních údajů pro konkrétní účel, je tento souhlas právním základem zpracování. Souhlas lze kdykoli odvolat; odvoláním není dotčena zákonnost zpracování provedeného do okamžiku odvolání.

Za účelem splnění smlouvy (čl. 6 odst. 1 písm. b) GDPR) – ke zpracování dochází i za účelem plnění smlouvy uzavřené s vámi (typicky smlouvy o užívání Aplikace) nebo přijetí opatření před jejím uzavřením. Podrobnosti naleznete v Podmínkách použití webové aplikace Medevio.

V rámci zvážení oprávněných zájmů (čl. 6 odst. 1 písm. f) GDPR) – pokud je to nezbytné a nepřevažují nad tím vaše zájmy nebo základní práva a svobody, zpracováváme údaje pro účely oprávněných zájmů Medevio nebo třetích osob, např. pro účely přiměřené obchodní komunikace nebo pro nezbytné cookies. Pro analytické, reklamní a marketingové cookies, které nejsou nezbytné pro fungování služby, je právním základem výhradně souhlas podle čl. 6 odst. 1 písm. a) GDPR – pouhý oprávněný zájem zde nepostačuje (viz část E).

Na základě výslovného souhlasu se zpracováním zvláštních kategorií údajů (čl. 9 odst. 2 písm. a) GDPR) – tam, kde Medevio v postavení správce zpracovává údaje o zdravotním stavu (např. u dat podle A.5), je vedle právního titulu podle čl. 6 GDPR nezbytný i některý z důvodů podle čl. 9 odst. 2 GDPR. Medevio v těchto případech vychází z vašeho výslovného souhlasu.

A.3 Účely a kategorie zpracování na webu a v rámci uživatelského účtu

Pokud Medevio zpracovává vaše osobní údaje jako správce v souvislosti s webem a účtem, jde zejména o tyto účely:

vyřízení dotazu zaslaného přes kontaktní formulář (jméno, e-mail, telefonní číslo a obsah dotazu),
zasílání newsletterů a obchodních sdělení,
statistická analýza používání internetových stránek a Aplikace,
založení a správa uživatelského účtu (přihlašovací a identifikační údaje),
pořizování technického identifikátoru relace nebo zařízení (nejde o osobní číslo pojištěnce ani obdobný zdravotnický identifikátor) na základě používání cookies,
technické zajištění funkčnosti internetových stránek a Aplikace a jejich sledování.

Pokud nám v rámci kontaktního formuláře poskytnete údaje třetí osoby, odpovídáte za to, že jste k jejich poskytnutí oprávněni a že tím neporušujete práva této osoby.

A.4 Pacient bez přiřazeného poskytovatele zdravotních služeb

Pokud v Aplikaci používáte pacientský účet, ale nemáte v ní přiřazeného žádného poskytovatele zdravotních služeb, neexistuje ve vztahu k vašim údajům žádný poskytovatel, jehož jménem by Medevio jednalo. V takovém případě je Medevio ve vztahu k těmto údajům (identifikační a kontaktní údaje, obsah účtu, případně zdravotní údaje, které do Aplikace vložíte) samostatným správcem, a to po celou dobu, po kterou nemáte přiřazeného poskytovatele zdravotních služeb. Právním základem je plnění smlouvy o užívání Aplikace (čl. 6 odst. 1 písm. b) GDPR), u zvláštní kategorie údajů ve spojení s vaším výslovným souhlasem (čl. 9 odst. 2 písm. a) GDPR).

Jakmile si zvolíte poskytovatele zdravotních služeb a údaje mu nasdílíte, mění se od okamžiku nasdílení právní režim u takto zpřístupněných údajů – Medevio je od tohoto okamžiku ve vztahu ke sdíleným údajům zpracovává jako zpracovatel jménem tohoto poskytovatele (viz část B).

A.5 Údaje, které lékaři aktivně nesdílíte (vlastní pacientský záznam)

Aplikace umožňuje uložit i údaje, které nejsou automaticky zpřístupněny žádnému poskytovateli zdravotních služeb, dokud je sami aktivně nesdílíte – typicky rodinná anamnéza vedená pro vaši vlastní potřebu nebo údaje importované ze služby Health Connect. Dokud tyto údaje nesdílíte s konkrétním poskytovatelem, nemá k nim žádný poskytovatel zdravotních služeb přístup ani k nim nemá žádný vlastní účel zpracování, a Medevio je proto ve vztahu k nim samostatným správcem – obdobně jako v případě uvedeném v článku A.4.

Právním základem tohoto zpracování je plnění smlouvy o užívání Aplikace, tj. poskytnutí úložiště pro váš vlastní zdravotní záznam (čl. 6 odst. 1 písm. b) GDPR), ve spojení s vaším výslovným souhlasem se zpracováním údajů o zdravotním stavu (čl. 9 odst. 2 písm. a) GDPR). Tyto údaje Medevio nepoužívá k žádnému jinému účelu (zejména ne k marketingu ani k profilaci); tím není dotčeno oprávnění Medevio vytvářet na základě těchto údajů agregované statistické sestavy, které obsahují pouze anonymní data o nejméně 10 osobách (neumožňující žádným způsobem zpětnou identifikaci konkrétních fyzických osob) a tyto využívat pro další analytické anebo obchodní účely. Medevio tyto údaje uchovává po dobu trvání vašeho uživatelského účtu; po zrušení účtu jsou vymazány, nestanoví-li právní předpisy jinak.

A.6 Reklama

Medevio v postavení správce provozuje reklamní systém, jehož prostřednictvím se v Aplikaci mohou zobrazovat reklamy třetích stran (viz technický popis v článku C.2 – Google Ad Manager). Základní (netargetovaná) reklama se zobrazuje na základě plnění podmínek použití Aplikace, bez nutnosti samostatného souhlasu. Zobrazení reklamy cílené na základě profilu uživatele je podmíněno předchozím souhlasem uděleným prostřednictvím správce souhlasů (CMP) – viz část E.

Za účelem zobrazení relevantních reklam může být reklamnímu systému předáno: typ uživatelského účtu (přihlášený/anonymní), role v platformě (pacient), věková skupina (odvozená z data narození – sdílena pouze kategorie, nikoli přesné datum), pohlaví, PSČ zdravotnického zařízení vašeho lékaře, typ zdravotnického zařízení a jazykové nastavení Aplikace. Tyto údaje jsou předávány ve formě agregovaných nebo omezených segmentovaných údajů a nejsou propojeny se zdravotnickou dokumentací ani s konkrétními diagnózami nebo zdravotními požadavky.

A.7 Marketingová komunikace a doba uchování

Osobní údaje v rozsahu základních identifikačních a kontaktních údajů může Medevio zpracovávat pro účely přiměřené komunikace o svých službách po dobu nejvýše 2 let od posledního relevantního kontaktu, je-li k tomu dána právní opora, případně kratší dobu, vznesete-li námitku dříve. Zasílání obchodních sdělení můžete kdykoli jednoduše odmítnout, a to i v rámci každé jednotlivé zprávy.

A.8 Testovací a demonstrační ordinace

Testovací/demo ordinace v Aplikaci neposkytují zdravotní služby a nejsou určeny k vkládání reálných osobních ani zdravotních údajů. Pokud přesto dojde k odeslání požadavku obsahujícího reálné osobní údaje do testovací/demo ordinace, nejde o zpracování jménem žádného poskytovatele zdravotních služeb; do doby výmazu je Medevio ve vztahu k takto vloženým údajům samostatným správcem a takové údaje bez zbytečného odkladu vymaže v souladu se zásadou minimalizace údajů.

B. Medevio jako zpracovatel osobních údajů

B.1 Rozsah role zpracovatele

Pokud si v Aplikaci zvolíte konkrétního poskytovatele zdravotních služeb a nasdílíte mu své osobní (příp. zdravotní) údaje, zpracovává Medevio tyto údaje jako zpracovatel podle čl. 28 GDPR, a to jménem a na pokyn tohoto poskytovatele jako správce. Týká se to zejména: pacientských požadavků a s nimi souvisejících zdravotních údajů, komunikace mezi vámi a poskytovatelem, telefonních hovorů a hlasových zpráv v rámci telefonních funkcí platformy a zpracování prostřednictvím AI funkcí platformy (viz B.2–B.3).

V roli zpracovatele Medevio neurčuje účely ani prostředky tohoto zpracování – ty určuje poskytovatel zdravotních služeb jako správce. Podrobná úprava vzájemných práv a povinností je uvedena v Obchodních podmínkách aplikace Medevio pro poskytovatele zdravotních služeb, včetně smlouvy o zpracování osobních údajů (DPA) podle čl. 28 GDPR.

B.2 AI funkce platformy

Pokud má váš poskytovatel zdravotních služeb v Aplikaci aktivované AI funkce, mohou být hlasové nahrávky hovorů či hlasových zpráv přepisovány do textové podoby a mohou být zprávy zasílané do systému zpracovávány AI nástroji za účelem administrativní podpory poskytovatele při vyřizování vaší komunikace. AI funkce slouží výhradně jako administrativní podpora – nepřijímají automatizovaná rozhodnutí o pacientech ani neposkytují diagnostická či terapeutická doporučení; veškeré výstupy podléhají kontrole poskytovatele zdravotních služeb nebo jím pověřeného zdravotnického personálu. Konkrétní poskytovatelé AI nástrojů, kteří v této souvislosti vystupují jako podzpracovatelé, jsou uvedeni v části C.3.

B.3 Telefonní funkce platformy

Pro poskytování telefonních služeb platformy (směrování hovorů, zpracování telefonních čísel, uchování hlasových nahrávek a souvisejících metadat) využívá Medevio jako zpracovatel poddodavatele uvedeného v části C.3. Zpracovávané údaje mohou zahrnovat telefonní čísla, datum a čas hovoru, délku hovoru, směrovací údaje, hlasový obsah, nahrávky, hlasové zprávy, přepisy a technické logy.

B.4 Informační povinnost poskytovatele zdravotních služeb

Informační povinnost vůči pacientům v souvislosti s využíváním telefonních a AI funkcí platformy plní poskytovatel zdravotních služeb jako správce osobních údajů; Medevio mu k tomu poskytuje potřebné podklady. Medevio nicméně pacientům samo poskytuje základní transparentní informace o svém zapojení a o významných poskytovatelích technických služeb v rozsahu, v jakém s pacientem vstupuje do přímého technického nebo smluvního vztahu (viz část C).

C. Podzpracovatelé a předávání osobních údajů mimo EHP

C.1 Obecně

Pokud dochází k předání osobních údajů mimo Evropský hospodářský prostor (EHP), probíhá takové předání výhradně při splnění podmínek kapitoly V GDPR, zejména na základě standardních smluvních doložek schválených Evropskou komisí, rozhodnutí o odpovídající ochraně (např. v rámci EU–US Data Privacy Framework) nebo jiného odpovídajícího mechanismu. Medevio vede interní evidenci předání osobních údajů mimo EHP a posouzení přiměřenosti použitých záruk; kopii použitých záruk poskytneme na vyžádání.

Aktuální seznam významných poskytovatelů technických služeb a podzpracovatelů může Medevio průběžně aktualizovat podle provozních potřeb platformy. Seznam je verzován a Medevio uchovává historii jeho změn po dobu nezbytnou k doložení splnění povinností podle GDPR. Aktuální verze seznamu je zveřejněna na této stránce.

C.2 Poskytovatelé pro provoz webu, účtu a marketing

Google Ad Manager (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irsko) – reklamní systém, jehož prostřednictvím se zobrazují reklamy třetích stran (viz A.6). Google Ad Manager může ukládat soubory cookie třetích stran (zejm. z domény doubleclick.net) a zpracovávat data v souladu se zásadami ochrany soukromí Google. Data mohou být předávána do USA společnosti Google LLC na základě standardních smluvních doložek schválených Evropskou komisí a v rámci EU–US Data Privacy Framework.

Google Tag Manager (Google Ireland Limited) – technická vrstva pro správu analytických a reklamních skriptů; sám o sobě nesbírá osobní údaje, pouze načítá skripty třetích stran popsané v této části.

Google Analytics (Google Ireland Ltd.) k měření návštěvnosti a analýze způsobu užívání webových stránek. Zpracovávány jsou zejména údaje o zařízení a prohlížeči, datum a čas návštěvy, navštívené stránky a zdroj návštěvy; ve službě Google Analytics nejsou IP adresy zaznamenávány ani ukládány. Do služby Google Analytics nejsou předávány identifikační ani kontaktní údaje pacienta, údaje o zdravotním stavu, obsah pacientských požadavků ani zdravotnická dokumentace.

Plausible Analytics (Plausible Insights OÜ, Västriku tn 2, 50403 Tartu, Estonsko) – nástroj pro anonymní měření návštěvnosti my.medevio.cz. Plausible nepracuje se soubory cookie, nezpracovává IP adresy v identifikovatelné podobě a nevytváří individuální profily uživatelů; veškerá data jsou agregovaná a anonymizovaná. Servery jsou umístěny v EU.

C.3 Poskytovatelé pro telefonní a AI funkce platformy

Google Gemini (Google Ireland Limited / Google LLC) – pokud má poskytovatel zdravotních služeb aktivované AI funkce, mohou být hlasové nahrávky hovorů či hlasových zpráv přepisovány do textové podoby pomocí AI nástroje Google Gemini. Hlasová nahrávka je po dokončení přepisu trvale smazána do 48 hodin; výsledný textový přepis je zpracováván jako součást komunikace s poskytovatelem. Medevio má u Google Workspace aktivováno nastavení EU data residency, které omezuje ukládání a zpracování obsahových dat v rámci EU/EHP. I přesto však může v některých případech docházet k omezenému předání souvisejících technických metadat (např. diagnostických záznamů, systémových logů) mimo EU/EHP, a to na základě standardních smluvních doložek schválených Evropskou komisí.

ElevenLabs (ElevenLabs, Inc., USA) – přepis hlasových nahrávek do textové podoby, je-li tato AI funkce aktivována. Nahrávka je poskytovateli služby zpřístupněna pouze za účelem vytvoření přepisu; doba uchování se řídí smluvním a technickým nastavením sjednaným s Medevio. Medevio zajišťuje, aby nahrávky nebyly používány pro trénování modelů ElevenLabs, odpovídá-li to sjednanému režimu služby. Data jsou předávána do USA na základě standardních smluvních doložek schválených Evropskou komisí; ElevenLabs poskytuje zpracování v EU pouze v rámci enterprise režimu služby.

OpenAI (OpenAI Ireland Ltd, Dublin, Irsko) – AI podpora zpracování zpráv zaslaných poskytovateli zdravotních služeb v rámci AI funkcí platformy; zprávy mohou obsahovat údaje o zdravotním stavu potřebné k vyřízení požadavku. Data nejsou používána pro trénování modelů OpenAI. Předání dat do USA probíhá na základě standardních smluvních doložek schválených Evropskou komisí a smluvní dokumentace pro business/API služby OpenAI, včetně Data Processing Addendum, je-li OpenAI využívána jako zpracovatel nebo podzpracovatel.

Langfuse (Langfuse GmbH, Německo) – technické záznamy o průběhu AI zpracování pro účely zajištění kvality, bezpečnosti a správného fungování AI funkcí. Tyto záznamy mohou obsahovat i texty pacientských zpráv nebo jejich části v rozsahu nezbytném pro technické monitorování AI funkcí. Medevio zavádí a využívá technická opatření ke snížení rozsahu zpracovávaných osobních údajů tam, kde je to technicky možné; není-li to možné, jsou údaje zpracovávány pouze v rozsahu nezbytném pro zajištění řádného fungování AI funkcí. Záznamy jsou uchovávány nejdéle po dobu 90 dnů, ledaže Medevio dobu uchování zkrátí.

Twilio (Twilio Inc., USA) – směrování telefonních hovorů, zpracování telefonních čísel, uchování hlasových nahrávek a souvisejících metadat nezbytných pro provoz telefonních funkcí platformy. Zpracovávané údaje mohou zahrnovat telefonní čísla, datum a čas hovoru, délku hovoru, směrovací údaje, hlasový obsah, nahrávky, hlasové zprávy, přepisy a technické logy.

D. Práva subjektů údajů

V souvislosti se zpracováním osobních údajů popsaným v tomto dokumentu máte práva stanovená GDPR, zejména:

právo na přístup ke svým osobním údajům,
právo na opravu nebo doplnění nepřesných či neúplných údajů,
právo na výmaz osobních údajů, jsou-li splněny podmínky stanovené GDPR,
právo na omezení zpracování,
právo na přenositelnost údajů,
právo vznést námitku proti zpracování založenému na oprávněném zájmu, včetně přímého marketingu,
právo podat stížnost u Úřadu pro ochranu osobních údajů (https://www.uoou.cz), domníváte-li se, že zpracováním vašich osobních údajů dochází k porušení GDPR.

Týká-li se vaše žádost údajů zpracovávaných Medeviem jako zpracovatelem jménem konkrétního poskytovatele zdravotních služeb (viz část B), může Medevio žádost tomuto poskytovateli jako správci předat, nebo vás na něj jako na příslušného správce odkázat.

E. Cookies

E.1 Co jsou cookies

Při návštěvě internetových stránek nebo používání Aplikace využíváme ve vašem prohlížeči technologie pro shromažďování údajů (soubory cookie, tagy, pixely, beacony a další – dále souhrnně „cookies"), abychom mohli pořizovat informace o aktuální relaci vašeho prohlížeče a po určitou dobu ukládat vaše preference (např. přihlašovací údaje, jazyk, velikost písma), abyste je při příští návštěvě nemuseli znovu zadávat.

E.2 Kategorie cookies a právní základ

Nezbytné cookies – funkčnost a správa internetových stránek a Aplikace; ukládá se také technický identifikátor relace nebo zařízení pro účely správy a identifikace. Bez těchto cookies nelze internetové stránky ani Aplikaci zobrazit v plném rozsahu. Právním základem je oprávněný zájem, resp. nezbytnost pro poskytnutí služby, kterou jste si vyžádali (čl. 6 odst. 1 písm. f), resp. b) GDPR).

Funkční cookies – zlepšování výkonu stránek (analýza chování na webu, měření účinnosti reklamy formou míry prokliku, správa chyb, A/B testování designu). Právním základem je souhlas (čl. 6 odst. 1 písm. a) GDPR), ledaže jde o funkci nezbytnou pro poskytnutí služby.

Reklamní cookies – cookies reklamních partnerů umožňující zobrazení cílené reklamy ve správný čas, omezení opakovaného zobrazení a měření efektivity kampaní; obsahují charakteristiku umožňující přiřadit chování při procházení stránek jednotlivým uživatelům. Právním základem je výhradně souhlas (čl. 6 odst. 1 písm. a) GDPR).

E.3 Správa souhlasu

Souhlas s používáním nikoliv nezbytných cookies udělujete prostřednictvím lišty/správce souhlasů (CMP) a můžete jej kdykoli odvolat v nastavení svého účtu nebo prostřednictvím správce cookies. Personalizaci reklam Google lze spravovat také na adrese https://adssettings.google.com.

F. Kontakt a DPO

Tyto zásady zpracování osobních údajů může Medevio podle potřeby aktualizovat, zejména v návaznosti na změny právních předpisů nebo na změny v rozsahu poskytovaných služeb a využívaných podzpracovatelů.

Jakékoli dotazy týkající se ochrany osobních údajů nebo žádosti týkající se výkonu práv subjektu údajů lze adresovat pověřenci pro ochranu osobních údajů (DPO) Medevio, a to na adrese Sudoměřská 1413/2, 130 00 Praha 3, nebo e-mailem na DPO@medevio.cz.

Tyto Základní informace o shromažďování a zpracování osobních údajů jsou platné a účinné od 2.10.2026.