Zásady ochrany soukromí

Tyto zásady vysvětlují, jaké osobní údaje zpracováváme, když používáš Aplikaci Lussi Voice, účet Lussi, hlasovou asistentku Lussi a web lussivoice.com, proč to děláme a jaká máš práva.

Platné od 12. 11. 2026.

1. Kdo za zpracování odpovídá

Správcem osobních údajů je společnost everything 2 human s.r.o., IČO 03382435, se sídlem Světova 523/1, Libeň, 180 00 Praha 8, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze, oddíl C, vložka 230961 (dále „my“).

Dotazy k osobním údajům posílej na info@lussivoice.com. Pověřence pro ochranu osobních údajů jmenovaného nemáme.

2. Jak služba funguje

• Tvůj dům: centrála Lussi Voice a hlasová zařízení u tebe doma. Ovládají světla, hudbu, topení a další zařízení a zpracovávají povely pro Lussi. Doma se k nim aplikace připojuje přímo a šifrovaně.
• Lussi cloud: naše služba na adrese api.lussivoice.com. Drží účty, domácnosti a pozvánky, vydává přístup k domu a mimo domov předává spojení mezi aplikací a domem.
• Aplikace Lussi Voice v telefonu nebo počítači.

Povely, nastavení a stav domu zpracovává centrála ve tvé domácnosti. Do centrály přistupujeme jen tehdy, když nám to správce tvé domácnosti v aplikaci schválí (servisní přístup na omezenou dobu).

3. Ukázkový dům a Lussi Demo

Ukázkový dům (volba Vyzkoušet ukázkový dům na úvodní obrazovce Lussi Voice) i aplikace Lussi Demo z webu jsou bez účtu a bez skutečného domu. Nesbírají žádné osobní údaje a nic neposílají na internet. Všechno, co v ukázce změníš, zůstává jen v zařízení a smaže se tlačítkem „Obnovit demo“, „Ukončit demo“ nebo odinstalací.

4. Jaké údaje zpracováváme a proč

Účet Lussi

• Účet obsahuje e-mail, identifikátor účtu a jazyk aplikace, ve kterém přichází e-mail s kódem. Slouží k přihlášení bez hesla kódem z e-mailu nebo přístupovým klíčem a ke správě účtu.
• U přístupového klíče ukládáme jeho veřejnou část, název poskytovatele, datum přidání a datum posledního použití.
• Přihlašovací kód posílá e-mailem služba Amazon SES (Frankfurt, eu-central-1).

Zařízení

• Ukládáme název telefonu nebo počítače z jeho nastavení (může obsahovat křestní jméno), platformu, veřejné klíče zařízení a identifikátor zařízení.
• Slouží k ověření, že s domem mluví tvoje zařízení, a k odvolání zařízení po odhlášení.

Domácnost

• Ukládáme jména členů (zadává je správce při pozvání), role (správce, dospělý, dítě, host), místnosti, do kterých člen smí, konec přístupu hosta a pozvánky.
• Slouží k tomu, aby bylo jasné, kdo patří do domácnosti a co smí ovládat.

Záznam událostí v Lussi cloudu

• Kvůli zabezpečení účtu a domu a k vyšetření zneužití se zapisují jen metadata: čas, druh události (například přihlášení, přidání klíče, pozvánka), účet, člen, zařízení, výsledek, odkud (doma, na dálku), země a IP adresa zkrácená na /24.
• Text příkazů, nahrávky ani stavy zařízení se nezapisují. Provozní záznamy Lussi cloudu neobsahují IP adresy.

Spojení s domem mimo domov

• Mimo domov předává Lussi cloud mezi aplikací a domem povely, stav domu, psaní s Lussi, hlasový povel, hudbu, soubory k tisku a další obsah.
• Obsah se neukládá, je jen v paměti po dobu předání. Spojení do cloudu i z cloudu je šifrované, šifrování mezi aplikací a domem (end-to-end) ale není.
• Testovací varianta aplikace v pilotní domácnosti se mimo domov připojuje k domácímu serveru šifrovaným spojením přes Home Assistant Cloud od firmy Nabu Casa.

Upozornění do telefonu

• Upozornění z domu doručuje do telefonu s Androidem služba Firebase Cloud Messaging od firmy Google, i když aplikace neběží.
• Používá k tomu token Firebase, identifikátor instalace, název telefonu a verzi aplikace. Přes Firebase prochází i obsah upozornění.

Hlášení o pádu aplikace

• Když aplikace spadne, pošle přes tvůj dům hlášení s verzí, variantou, vláknem a technickou stopou, bez textů chyb, jmen, místností, adres a tokenů. Slouží k opravě chyb a eviduje se na GitHubu.
• Hlášení vypneš v Nastavení → Ochrana soukromí („Posílat hlášení o pádech“). Host hlášení neposílá.

Hlasová asistentka Lussi

• Lussi poslouchá až po oslovení. Do té doby se zvuk z domácnosti nikam neposílá.
• Hlas po oslovení i hlasový povel z aplikace převádí na text služba Soniox v EU. Aplikace zvuk neukládá a neposílá ho k rozpoznání společnosti Google.
• Zvuk se běžně nenahrává. Jen když ladění zapne správce, nahrávky se ukládají dočasně na centrále a po 7 dnech se smažou.
• Text dotazu zpracuje umělá inteligence Claude od firmy Anthropic, aby Lussi porozuměla a odpověděla. Posílá se jen to, co je k odpovědi potřeba. Anthropic podle svých obchodních podmínek nepoužívá data z API k trénování modelů.
• Text odpovědi převádí na řeč přes Lussi cloud služba Microsoft Azure Speech v EU (regiony Germany West Central a Sweden Central).
• V pilotní domácnosti zajišťuje hlas Lussi také Home Assistant Cloud od firmy Nabu Casa přes Microsoft Azure. Nabu Casa proto zpracovává i text odpovědí.
• Mimo domácnost jde jen to, co je potřeba k vyřízení konkrétního dotazu.
• Mikrofon lze kdykoli vypnout přepínačem na hlasovém satelitu.

Nahlášení odpovědi Lussi

• Když v aplikaci nahlásíš odpověď Lussi jako nevhodnou, pošle aplikace hlášení do Lussi cloudu. Hlášení vzniká jen tímto krokem v aplikaci, nikdy samo.
• Hlášení obsahuje text otázky (nejvýš 2000 znaků) a text odpovědi Lussi (nejvýš 4000 znaků), důvod (urážlivá, nebezpečná, nepravdivá, nevhodná pro děti, jiný), volitelný komentář (nejvýš 500 znaků), jazyk rozhovoru, verzi aplikace a čas odpovědi.
• K hlášení patří identifikátory účtu, člena, domácnosti a zařízení, ze kterých přišlo, ne e-mail ani jméno. Otázka, odpověď i komentář ale mohou obsahovat osobní údaje, které v nich zazněly, například jména nebo názvy místností.
• Hlášení slouží k posouzení nahlášené odpovědi a ke zlepšení Lussi, k ochraně před škodlivým obsahem, zejména u dětí, a ke splnění požadavku Google Play na aplikace s generativní umělou inteligencí.
• Hlášení je uložené v Lussi cloudu u Cloudflare v jurisdikci EU (databáze D1). O každém hlášení dostaneme e-mail s jeho textem, který odesílá Amazon SES (Frankfurt, eu-central-1). Schránka, do které e-mail přijde, nemusí být v EU.
• Do provozních záznamů jde jen identifikátor hlášení, důvod a čas, nikdy text.
• Přístup k hlášením máme jen my. Nikomu dalšímu je nepředáváme a nepoužíváme je k trénování modelů umělé inteligence.

Údaje v domě

Tyto údaje zpracovává centrála u tebe doma, ne Lussi cloud:

• povely a psaní s Lussi a hlasový povel z mikrofonu;
• vzkazy mezi členy domácnosti (dům je drží 7 dní), nákupní seznam, scény a přejmenování zařízení;
• dokumenty a fotky, které pošleš „Pošli to Lussi“, k tisku nebo na televizi, a události, které z nich zapíšeš do kalendáře domu;
• přihlášení hudební služby domu (zadává jen správce a jde jen do domu);
• záznam bezpečí domu: kdo, kdy a odkud ovládal vrata, zámky a alarm (drží se 90 dní).

Kalendář Google

• Když domácnost připojí rodinný kalendář Google, domácí server v něm čte a zapisuje události, aby Lussi mohla říct, co je v plánu, a přidat událost hlasem. Z účtu Google používáme jen Kalendář Google, nic jiného.
• Přístupový klíč ke kalendáři je uložený na domácím serveru. Když se na událost zeptáš, její text může být součástí dotazu, který zpracuje Claude.
• Údaje z kalendáře nepoužíváme k reklamě, neprodáváme je a nepoužíváme je k trénování modelů umělé inteligence.
• Používání a předávání údajů získaných z Google API se řídí pravidly Google API Services User Data Policy, včetně požadavků Limited Use.
• Přístup lze kdykoli odebrat v nastavení účtu Google nebo odpojením kalendáře v domácnosti.

Školní rozvrh

• Když domácnost připojí školní rozvrh, domácí server jen čte změny rozvrhu a akce školy ze školního systému Edookit.
• Data zůstávají na domácím serveru. Když se na rozvrh zeptáš, jeho text může být součástí dotazu, který zpracuje Claude.
• Školní rozvrh lze kdykoli odpojit.

Hudba a texty písní

• Jen ve verzi aplikace, která texty písní nabízí (ve verzi z obchodů zatím nejsou): když si v přehrávači otevřeš text písně, aplikace se zeptá veřejné služby LRCLIB (lrclib.net) na interpreta, název a délku skladby. Nic dalšího o tobě ani o telefonu neposílá.
• Když klepneš na „Pustit v telefonu“, aplikace předá skladbu aplikaci Spotify nebo YouTube Music v telefonu. Dál platí zásady té služby.
• Internetové rádio v telefonu hraje přímo ze serveru stanice, který vidí tvou IP adresu.

Web lussivoice.com

• Úvod, demo a několik dalších stránek webu jsou veřejné a prohlédne si je kdokoli bez přihlášení a bez cookie. Ostatní stránky jsou jen pro zvané.
• Po vstupu na osobní pozvánku prohlížeč uloží jednu nezbytnou cookie, která drží přihlášení nejvýš 30 dní. Neobsahuje jméno ani e-mail.
• U osobní pozvánky evidujeme jen její identifikátor, čas použití a počet zařízení, na kterých byla použita. Jméno ani e-mail k pozvánce neukládáme, kromě kontaktu, který uvedeš v dotazníku testovacího domu.
• Web nepoužívá analytické ani reklamní cookies a nevede záznam jednotlivých návštěv.
• Technické údaje nutné k doručení stránky a k ochraně před útoky, například IP adresu, zpracovává Cloudflare, na jehož síti web běží.
• Web sám IP adresu neukládá. Jen u dotazníku bez pozvánky z ní spočítá otisk proti zneužití, jak popisuje oddíl Dotazník testovacího domu.
• Volba jazyka, sbalení menu a ztlumení hlasu v demu se ukládají jen ve tvém prohlížeči.
• Aplikace ke stažení z lussivoice.com jsou uložené v Cloudflare R2 v EU.

Dotazník testovacího domu

• Dotazník o domě a jeho technice může vyplnit kdokoli, kdo zvažuje Lussi u sebe, na osobní pozvánku i bez ní. Odpovědi slouží jen k tomu, abychom spočítali, co bude dům potřebovat a kolik to bude stát, ozvali se s návrhem na míru a připravili návštěvu a napojení Lussi.
• Ukládáme odpovědi, kontakt pro domluvu (jméno a e-mail nebo telefon), jazyk a čas odeslání. Počet dospělých a dětí, kteří budou Lussi používat, je nepovinný a bez jmen.
• U dotazníku z pozvánky k nim patří identifikátor pozvánky. U dotazníku bez pozvánky je to náhodný identifikátor a označení, že dotazník přišel z veřejného webu.
• Odpovědi jsou uložené u Cloudflare, na jehož síti web běží, a přístup k nim má jen správce. Do provozních záznamů se zapíše jen identifikátor a čas odeslání, nikdy obsah odpovědí.
• Ochrana proti zneužití u dotazníku bez pozvánky: z IP adresy odesílatele se spočítá klíčovaný otisk (HMAC-SHA-256) a uloží se u Cloudflare nejvýš na 24 hodin, aby z jedné adresy šly odeslat nejvýš tři dotazníky za den. Samotná IP adresa se neukládá.
• O dotazníku z pozvánky dostane správce upozornění do telefonu jen s popisem pozvánky a časem a e-mail jen s identifikátorem pozvánky a odkazem, bez odpovědí.
• O dotazníku bez pozvánky dostane správce jen upozornění do telefonu s náhodným identifikátorem a časem. E-mail ani koncept návrhu z něj nevzniká, návrh připraví správce sám.
• Před odesláním zaškrtneš, že znáš tyto zásady. Vyplněním a odesláním žádáš o návrh na míru; právní základ popisuje oddíl 5.
• Rozpracované odpovědi zůstávají jen ve tvém prohlížeči, dokud je neodešleš.

Demo na webu lussivoice.com

• Demo je simulace bez připojení ke skutečné domácnosti.
• Připravené dotazy se vyřídí přímo ve tvém prohlížeči a nikam se neposílají.
• Volný povel, který demo nezná, zpracuje umělá inteligence Claude od firmy Anthropic. Web povel ani odpověď neukládá, eviduje jen počty povelů a náklady za den.
• Veřejné demo hraje jen připravené dotazy. Pole pro volný povel a mikrofon jsou v demu jen pro zvané.
• Mikrofon se zapne až po stisknutí tlačítka a prohlížeč si nejdřív vyžádá tvůj souhlas. Zvuk jde z prohlížeče přímo ke službě Soniox v EU, která ho převede na text. Web zvuk nepřijímá ani neukládá, u pozvánky eviduje jen počet nahrávek za den. Podle dokumentace Sonioxu se přepis v reálném čase neukládá.

E-mail

• Když napíšeš na info@lussivoice.com, zpracujeme zprávu a kontaktní údaje, abychom mohli odpovědět.

Co neděláme

Nezobrazujeme reklamy, neprodáváme údaje, nesledujeme tě napříč aplikacemi a weby, nezjišťujeme polohu telefonu (aplikace o ni nežádá) a nečteme kontakty, kalendář ani zprávy v telefonu.

5. Právní základ

• Plnění smlouvy a jednání o ní (čl. 6 odst. 1 písm. b) GDPR): účet, zařízení, domácnost, spojení s domem, upozornění, hlas Lussi, přístup na pozvánku, dotazník testovacího domu s pozvánkou i bez ní (vyplněním žádáš o návrh na míru) a odpovědi na e-maily.
• Oprávněný zájem (čl. 6 odst. 1 písm. f) GDPR): zabezpečení webu, účtu a domu včetně záznamu událostí, otisk adresy proti zneužití dotazníku bez pozvánky, posouzení nahlášených odpovědí Lussi a ochrana před škodlivým obsahem a oprava chyb z hlášení o pádu. Proti hlášení o pádech vzneseš námitku tím, že je v aplikaci vypneš.
• Souhlas (čl. 6 odst. 1 písm. a) GDPR): připojení kalendáře Google a školního rozvrhu. Souhlas lze kdykoli odvolat, také odpojením.

6. Kdo údaje dostává

Údaje zpracovávají tito zpracovatelé na základě smluvních podmínek zpracování osobních údajů, které poskytovatel nabízí:

Další příjemci jen na tvůj pokyn nebo podle zákona: Google Play a Microsoft Store zpracovávají údaje o stažení a nákupu podle svých zásad, služby z oddílu Hudba a texty písní dostanou jen to, co je tam popsané, a orgány veřejné moci jen to, co nám ukládá zákon.

7. Předávání mimo Evropskou unii

• Data Lussi cloudu (D1, Durable Objects a R2) jsou uložená u Cloudflare v jurisdikci EU. Požadavek ale zpracuje nejbližší datové centrum Cloudflare, takže při použití mimo EU může projít i mimo EU.
• Soniox zpracovává údaje v EU a mimo EU je nepředává.
• Ostatní zpracovatelé (Cloudflare, Anthropic, Microsoft, Amazon Web Services, Google, Nabu Casa a GitHub) jsou společnosti ze Spojených států nebo s nimi spojené. Pokud údaje opustí EU, děje se to na základě rozhodnutí Evropské komise o odpovídající ochraně (rámec EU–USA pro ochranu osobních údajů) nebo standardních smluvních doložek.

8. Jak dlouho údaje uchováváme

9. Jak údaje chráníme

• Všechna spojení jsou šifrovaná (HTTPS a WSS). Doma aplikace přijme jen certifikát centrály s otiskem, který zná z Lussi cloudu.
• Přihlášení je bez hesla. Klíče zařízení vznikají v zabezpečeném úložišti telefonu (Android Keystore) nebo počítače (úložiště klíčů Windows) a nedají se z něj vyexportovat. Přihlášení a tokeny jsou uložené šifrovaně.
• Otevření vrat, odemčení a vypnutí alarmu potvrzuješ otiskem prstu nebo obličejem. Kód ústředny alarmu se nikdy neukládá.
• Aplikaci můžeš zamknout otiskem prstu nebo obličejem (Zámek aplikace).
• Tokeny, hesla ani obsah dokumentů se nezapisují do záznamů aplikace ani do hlášení o pádu.

10. Děti

Aplikace je určená domácnostem a účet spravuje dospělý. Správce domácnosti může pozvat dítě v roli dítě: dítě pak ovládá jen svůj pokoj a nevidí bezpečí domu, scény celého domu ani nákupní seznam. O dítěti zpracováváme jméno, které zadal správce, místnosti a e-mail, kterým se dítě přihlašuje. Dítě mladší 15 let smí účet používat jen se souhlasem rodiče; ten souhlas dává správce, který dítě pozve.

11. Tvoje práva

Máš právo:

• na přístup ke svým údajům a jejich kopii;
• na opravu nepřesných údajů;
• na výmaz („být zapomenut“);
• na omezení zpracování;
• na přenositelnost údajů, které nám poskytneš;
• vznést námitku proti zpracování na základě oprávněného zájmu (hlášení o pádech vypneš přímo v aplikaci);
• odvolat souhlas, také odpojením kalendáře Google nebo školního rozvrhu.

Žádost pošli na info@lussivoice.com. Odpovíme nejpozději do jednoho měsíce.

Stížnost lze podat u Úřadu pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7.

12. Smazání účtu

• Odhlášení v aplikaci smaže přihlášení a klíče v zařízení a zařízení v Lussi cloudu odvolá. Účet ale zůstává.
• Smazání účtu přímo v aplikaci (Nastavení → Účet → Smazat účet) se teprve připravuje. Až bude v aplikaci, smaže se účet po novém ověření otiskem prstu, obličejem nebo přístupovým klíčem hned a na adresu účtu přijde potvrzení.
• Bez aplikace požádej o smazání e-mailem na info@lussivoice.com z adresy, se kterou se přihlašuješ. Postup popisuje stránka Smazání účtu. Žádost vyřídí provozovatel bez zbytečného odkladu, nejpozději do 30 dnů od ověření.
• Smažou se přihlašovací údaje (e-mail, propojení s Googlem), přístupové klíče, zařízení, členství v domácnostech, pozvánky a nahlášené odpovědi Lussi.
• Poslední správce domácnosti nejdřív předá roli jinému členovi, nebo požádá i o smazání domácnosti. Domácnost se pak smaže i s profily dětí bez vlastního účtu a centrála se odpojí.
• Záznam událostí domácnosti zůstane bez osobních údajů: smazaný účet je v něm jen jako „bývalý člen“ a záznam se drží 12 měsíců.
• Ze záloh Lussi cloudu (Cloudflare, EU) zmizí osobní údaje smazaného účtu nejpozději do 30 dnů.
• Údaje v domě (vzkazy, dokumenty, galerie, záznam bezpečí) jsou na centrále domácnosti. Rozhoduje o nich správce domácnosti a Lussi cloud je nemaže.
• Přístupový klíč zůstane ve správci hesel telefonu. Přihlásit se jím už nejde a smazat ho jde ve správci hesel.

13. Změny zásad

Zásady můžeme upravit, když se změní aplikace nebo zákon. Novou verzi zveřejníme na této stránce s datem platnosti; o podstatných změnách dáme vědět v aplikaci. Rozhodné je české znění.

14. Kontakt

everything 2 human s.r.o., Světova 523/1, Libeň, 180 00 Praha 8, info@lussivoice.com