Zásady ochrany súkromia

Verzia 2.8 · Posledná aktualizácia: 6. októbra 2026

Tieto Zásady ochrany súkromia (ďalej len „Zásady“) vysvetľujú, aké osobné údaje spracúva spoločnosť prevádzkujúca SaaS Systém Kiult (ďalej len „Prevádzkovateľ“ alebo „Kiult“), na aké účely, na akom právnom základe, ako dlho ich uchováva a aké práva máte ako dotknutá osoba. Zásady sú v súlade s Nariadením (EÚ) 2016/679 (GDPR), Nariadením o umelej inteligencii (AI Act), Nariadením o digitálnych službách (DSA) a zákonom č. 18/2018 Z. z. o ochrane osobných údajov.

1. Prevádzkovateľ a kontakt

Prevádzkovateľom osobných údajov v zmysle čl. 4 bod 7 GDPR je:

Quin.Online, s.r.o.
Sídlo: Cabanova 34, 841 02 Bratislava, Slovenská republika
IČO: 50 042 106
DIČ: 2120155444
IČ DPH: SK2120155444
Zápis: Obchodný register Mestského súdu Bratislava III, oddiel: Sro, vložka č. 107399/B
(ďalej len „Prevádzkovateľ“, „Spoločnosť“ alebo „Kiult“).

Vo veciach ochrany osobných údajov nás kontaktujte na adrese privacy@kiult.com. Ak máme určenú zodpovednú osobu (Data Protection Officer, DPO), je dostupná na tej istej adrese s predmetom „DPO“.

Dozorný orgán: Máte právo podať sťažnosť dozornému orgánu na ochranu osobných údajov. Na Slovensku je ním Úrad na ochranu osobných údajov Slovenskej republiky, Hraničná 12, 820 07 Bratislava 27, www.uoou.sk. Sťažnosť môžete podať aj dozornému orgánu v krajine svojho obvyklého pobytu, miesta výkonu práce alebo miesta údajného porušenia.

2. Aké údaje spracúvame

Spracúvame nasledovné kategórie osobných údajov:

• Údaje o účte: e-mailová adresa, meno (ak ho uvediete), stav overenia e-mailu, zvolený plán a stav predplatného, heslo (uchovávané výlučne ako kryptografický hash, nikdy v čitateľnej podobe).
• Vekové údaje: mesiac a rok narodenia (bez dňa — dátová minimalizácia) na overenie splnenia vekovej hranice 16 rokov. Deň narodenia nezbierame.
• Obsah, ktorý nahráte alebo vytvoríte: textové prompty, fotografie, audio a video, ktoré vložíte ako vstup, a obsah vygenerovaný AI. Spracovanie nahraných vstupov sa riadi režimom zero-retention podľa bodu 5.
• Hlas avatara: hlas avatara vytvára Systém strojovo zo slovného opisu (tón, tempo, prízvuk). Na pláne Pro a Max môžete namiesto toho vytvoriť vlastný hlas tak, že v aplikácii nahlas prečítate vetu, ktorú Vám Systém ukáže; nahrávka slúži výlučne ako predloha hlasu tohto avatara. Nahrať hotový zvukový súbor ako hlas Systém neumožňuje. Podrobnosti v bode 6.
• Platobné údaje: platby spracúvajú platobné brány tretích strán (Stripe, GoPay). Kiult neukladá čísla platobných kariet; prijímame len potvrdenie o platbe a identifikátory transakcií.
• Technické a prevádzkové údaje: IP adresa (a z nej odvodená krajina cez databázu IP Geolocation by DB-IP, licencia CC-BY-4.0, na účel výberu platobnej brány a sadzby DPH), typ zariadenia a prehliadača (user-agent), logy prístupu a bezpečnostné záznamy.
• Záznamy o činnosti (audit log): na bezpečnosť, prevenciu zneužitia a účtovné účely vedieme prevádzkový audit log vybraných akcií na účte — najmä prihlásenie a udalosti autentifikácie, spotreba renderu (minúty), pohyby kreditov (pripísanie/odpočet), udelené súhlasy so zdieľaním a kontakt s podporou. Ku každému záznamu sa ukladá čas, IP adresa a user-agent. Nevedieme marketingové profilovanie ani sledovanie vášho postupu tvorbou na reklamné účely.
• Kryptografický identifikátor pôvodu (metaseal): väzba medzi neviditeľným identifikátorom vloženým do vygenerovaného obsahu a účtom tvorcu — na prevenciu a vyšetrovanie zneužitia (pozri bod 8 a 10).
• Údaje oprávnených organizácií pre Detektor: pri organizáciách, ktorým sprístupňujeme Detektor bez denného limitu (Podmienky používania, Section 8B bod 7), spracúvame názov organizácie, meno a e-mail kontaktnej osoby, prihlasovacie meno, heslo (výlučne ako kryptografický hash) a záznamy o overeniach (čas, organizácia a výsledok po vrstvách označenia). Overované súbory neukladáme.

3. Účely a právny základ spracúvania (čl. 6 GDPR)

Každé spracovanie má určený právny základ:

• Plnenie zmluvy (čl. 6 ods. 1 písm. b): vytvorenie a správa účtu, poskytovanie generatívnych služieb, správa predplatného a platieb, doručovanie výstupov.
• Súhlas (čl. 6 ods. 1 písm. a): voliteľné cookies/analytika a zverejnenie obsahu v Sekcii Spoločných výtvorov. Súhlas môžete kedykoľvek odvolať bez vplyvu na zákonnosť spracovania pred odvolaním.
• Oprávnený záujem (čl. 6 ods. 1 písm. f): bezpečnosť SaaS Systému, prevencia zneužitia a podvodu, moderovanie obsahu, ochrana práv tretích osôb a súčinnosť s orgánmi. Proti spracovaniu na tomto základe máte právo namietať (bod 9).
• Plnenie zákonnej povinnosti (čl. 6 ods. 1 písm. c): účtovné a daňové povinnosti, povinnosti podľa AI Act, DSA a reakcia na zákonné žiadosti orgánov.

Vlastný hlas avatara (čl. 9 GDPR): Nahrávku vlastného hlasu podľa bodu 6 považujeme za biometrický údaj a spracúvame ju len na základe súhlasu podľa čl. 6 ods. 1 písm. a) a výslovného súhlasu podľa čl. 9 ods. 2 písm. a) GDPR, ktorý udeľujete potvrdením súhlasu a zároveň ho nahlas vyslovujete v prečítanej vete. Hlasy neporovnávame a nepoužívame ich na identifikáciu ani na overenie totožnosti osoby. Iné osobitné kategórie osobných údajov podľa čl. 9 GDPR nespracúvame. Automatizovaná kontrola veku podľa bodu 4 neextrahuje ani neukladá biometrické šablóny a neslúži na identifikáciu osoby.

Detektor pre oprávnené organizácie: Údaje kontaktných osôb oprávnených organizácií a záznamy o overeniach spracúvame na základe oprávneného záujmu (čl. 6 ods. 1 písm. f) GDPR), ktorým je sprístupniť detekciu strojového označenia obsahu vytvoreného AI tým, ktorí preverujú pôvod obsahu, a vedieť doložiť, kto overenie vykonal. Dotknutými osobami sú kontaktné osoby týchto organizácií.

Dôkazné bremeno udelenia súhlasu: V súlade s čl. 7 ods. 1 GDPR Prevádzkovateľ zaznamenáva a uchováva technické záznamy o udelení súhlasu (časová pečiatka, IP adresa v čase udelenia súhlasu a verzia podmienok/súhlasu) po celú dobu trvania súhlasu a 3 roky po jeho odvolaní, a to za účelom preukázania zákonnosti spracúvania vykonaného na základe súhlasu.

4. Vekový gate a ochrana maloletých

SaaS Systém je určený výhradne osobám od 16 rokov. Vek overujeme dátumom narodenia (mesiac + rok) zadaným pri registrácii. Nahrané fotografie a videá reálnych osôb sú do overenia nanajvýš v izolovanom dočasnom úložisku (karanténe) a automatizovanou kontrolou veku (GATE 0) prechádzajú v operačnej pamäti skôr, než sa dostanú do knižnice alebo k ďalšiemu spracovaniu; vstup vyhodnotený ako zobrazenie maloletej osoby sa okamžite a nenávratne odmietne a vymaže z karantény. Nespracúvame vedome osobné údaje osôb mladších ako 16 rokov bez overiteľného súhlasu zákonného zástupcu podľa čl. 8 GDPR.

Automatizovaná kontrola (GATE 0) prebieha výlučne v operačnej pamäti (RAM) v reálnom čase. Počas tohto procesu nedochádza k extrakcii, ukladaniu ani trvalému spracúvaniu biometrických údajov (napr. tvárových vektorov alebo biometrických šablón) na účely jedinečnej identifikácie v zmysle čl. 9 GDPR. Ak je vstup (fotografia alebo video) vyhodnotený ako zobrazenie maloletej osoby alebo neprípustný NSFW obsah, dochádza k jeho okamžitému a nenávratnému vymazaniu z karantény aj z RAM a do knižnice ani k ďalšiemu spracovaniu sa nedostane.

5. Nahraný obsah a zero-retention vstupov

Nahraný materiál (fotky, audio, video) spracúvame výlučne za účelom poskytnutia služby, ktorú požadujete. Vstupy, ktoré slúžia len ako podklad pre generovanie (napr. zdrojové video pri úprave tváre, referenčné fotografie), sa po dokončení generovania automaticky vymažú a neukladajú sa do vašej knižnice („Moje médiá“). Do knižnice sa ukladá výlučne vygenerovaný alebo vami zdieľaný obsah. Vstupy odmietnuté bezpečnostnou bránou sa okamžite vymažú z karantény a do knižnice sa nedostanú. Za zákonnosť a oprávnenosť nahraného materiálu zodpovedáte vy (pozri Podmienky používania); Kiult neoveruje práva ani súhlasy k nahranému materiálu. Z podkladu, ktorý pred generovaním prečíta vizuálny model, zostáva pri projekte iba jeho strojový opis záberu (kompozícia, svetlo, farby, prostredie); neurčuje totožnosť osôb a maže sa spolu s projektom. Fotky a snímky z videí, z ktorých opis vzniká, odosielame na spracovanie modelu Gemini (Google, bod 11) až po bezpečnostnej kontrole na našom serveri.

6. Hlas avatara — z opisu alebo Váš vlastný

Hlas avatara vzniká jedným z dvoch spôsobov:

• Z opisu (predvolene). Systém vytvorí hlas strojovo zo slovného opisu hlasu (tón, tempo, prízvuk), ktorý odvodí z Vášho textového zadania. Vygenerovaná vzorka nie je odvodená z hlasu žiadnej fyzickej osoby a nie je biometrickým údajom; spracúva sa na základe plnenia zmluvy (čl. 6 ods. 1 písm. b) GDPR) a uloží sa ako predloha, aby postava znela rovnako naprieč scénami.
• Vlastný hlas (plán Pro a Max). V aplikácii nahlas prečítate náhodnú vetu, ktorú Vám Systém ukáže, a potvrdíte súhlas. Hlas na nahrávke musí patriť Vám alebo osobe, ktorá vetu sama číta a súhlasí s tým. Nahrať hotový zvukový súbor ako hlas Systém neumožňuje.
• Čo s nahrávkou robíme: automatický prepis reči overí, že nahrávka obsahuje prečítanú vetu; potom slúži výlučne ako predloha hlasu tohto avatara pri generovaní jeho replík. Hlasy neporovnávame ani neidentifikujeme, nahrávku nepoužívame na žiadny iný účel ani na trénovanie modelov a neposkytujeme ju tretím stranám.
• Právny základ: súhlas a výslovný súhlas podľa čl. 6 ods. 1 písm. a) a čl. 9 ods. 2 písm. a) GDPR (bod 3). Súhlas môžete kedykoľvek odvolať zmazaním hlasu v detaile avatara; nahrávka sa tým natrvalo vymaže a avatar dostane hlas z opisu.
• Vodoznak: každý zvukový výstup, ktorý avatar vysloví — hlasom z opisu aj vlastným hlasom —, obsahuje nepočuteľný zvukový vodoznak (AudioSeal) označujúci pôvod z AI v súlade s čl. 50 ods. 2 Nariadenia (EÚ) 2024/1689 (AI Act). Samotná nahrávka sa ako výstup AI neoznačuje — je to Váš záznam.
• Mazanie: vygenerovanú vzorku aj nahrávku vlastného hlasu odstránime pri ich nahradení, pri zmazaní hlasu alebo avatara a najneskôr pri zmazaní účtu.

7. Cookies a sledovanie

Vlastné cookies a lokálne úložisko. Kiult neukladá vaše prihlásenie do vlastných cookies — prihlasovací token (JWT) sa uchováva v lokálnom úložisku prehliadača (localStorage) vášho zariadenia a slúži výlučne na udržanie prihlásenej relácie a bezpečnosť (právny základ: plnenie zmluvy / oprávnený záujem). Ide o technicky nevyhnutné spracovanie, ktoré nevyžaduje súhlas.

Cookies tretích strán (striktne nevyhnutné). Pri platbách a prihlasovaní sa môžu nasadiť technicky nevyhnutné cookies od našich partnerov priamo z ich domén: platobné brány Stripe a GoPay (napr. na prevenciu podvodov a spracovanie platby) a poskytovateľ prihlásenia cez Google (ak túto možnosť využijete). Tieto cookies spravujú príslušní poskytovatelia podľa vlastných zásad ochrany súkromia; sú nutné na fungovanie platby, resp. prihlásenia.

Ochrana Detektora (Google reCAPTCHA). Ak Detektor otvoríte bez prihlásenia, až vtedy sa načíta služba Google reCAPTCHA (Google Ireland Limited), ktorá rozlišuje ľudí od automatizovaných programov. Na tento účel spracúva technické údaje o vašom zariadení a prehliadači (napr. IP adresu, údaje o prehliadači a o interakcii so stránkou) a môže nastaviť vlastné cookies. Právnym základom je náš oprávnený záujem chrániť bezplatný Detektor pred automatizovaným zneužitím (čl. 6 ods. 1 písm. f) GDPR). Prihláseným používateľom ani v iných častiach Kiultu sa reCAPTCHA nenačítava. Google môže údaje spracúvať aj mimo EHP (v USA na základe rozhodnutia o primeranosti k rámcu EÚ – USA pre ochranu osobných údajov); podrobnosti uvádzajú zásady ochrany súkromia a zmluvné podmienky spoločnosti Google.

Žiadna analytika ani marketing. Kiult nepoužíva vlastné analytické ani marketingové cookies a nenasadzuje sledovacie nástroje tretích strán (napr. Google Analytics, Meta Pixel a podobné). Ak by sme v budúcnosti chceli zaviesť voliteľné analytické alebo marketingové cookies, urobíme tak výhradne na základe vášho súhlasu, ktorý budete môcť kedykoľvek odvolať; do zavedenia takejto funkcie takéto cookies nepoužívame. Nastavenia cookies (vrátane cookies tretích strán) môžete spravovať vo svojom prehliadači.

8. Transparentnosť AI a moderovanie (AI Act, DSA)

V súlade s AI Act sú všetky obrazové, video aj audio výstupy automaticky označené strojovo čitateľným neviditeľným vodoznakom identifikujúcim obsah ako dielo AI; pri audio výstupoch ide o zvukový vodoznak (AudioSeal, pozri bod 6). Obrazové a video výstupy sú navyše doplnené kryptografickým identifikátorom pôvodu (metaseal), ktorý umožňuje spätne určiť konkrétnu generáciu; pri audio výstupoch túto úlohu plní podpísaný manifest C2PA, keďže kapacita zvukového vodoznaku postačuje len na označenie AI pôvodu. Obsah moderujeme kombináciou automatizovaných nástrojov a ľudského dohľadu; závažné rozhodnutia a odvolania posudzuje človek. Automatizované rozhodovanie nemá voči vám právne účinky bez možnosti ľudského preskúmania — proti rozhodnutiu o odstránení obsahu alebo pozastavení tvorby sa môžete odvolať (pozri Podmienky používania, Section 8A).

Okrem strojového označenia Vám dávame aj voľbu označenia vnímateľného pre človeka. Pri ukladaní výstupu si vyberiete, či doň má SaaS Systém vypáliť viditeľný štítok „vygenerované AI" v jazyku Vášho nastavenia; bez tejto voľby výstup viditeľný štítok nenesie. Do súboru, ktorý sa prehráva v SaaS Systéme, sa štítok nevypaľuje nikdy — prehrávanie nie je zverejnenie. Médiá, ktoré ste nahrali sami, sa neoznačujú; označiť Váš vlastný záber ako vygenerovaný AI by bolo nepravdivé tvrdenie. Povinnosť viditeľne označiť obsah predstavujúci deepfake podľa čl. 50 ods. 4 Nariadenia (EÚ) 2024/1689 (AI Act) nesie nasadzovateľ, teda ten, kto obsah zverejní — ak výstup zverejňujete Vy, nesiete ju Vy a táto voľba Vám ju pomáha splniť. Ak štítok v súbore je, jeho odstránenie, orezanie alebo prekrytie je zakázané (pozri Podmienky používania, Section 8).

Pri videu so zvukom označujeme aj zvukovú stopu, a to v úsekoch, do ktorých vstúpila AI (napríklad vygenerovaná reč alebo hudba); Váš nezmenený zvuk sa neoznačuje. Viditeľný štítok je len v obraze — ak zvuk z videa použijete samostatne, štítok s ním nepôjde.

9. Vaše práva ako dotknutej osoby (čl. 15–22 GDPR)

Máte právo na: prístup k svojim údajom; opravu nesprávnych údajov; vymazanie („právo na zabudnutie“); obmedzenie spracovania; prenosnosť údajov v štruktúrovanom, strojovo čitateľnom formáte; namietať proti spracovaniu na základe oprávneného záujmu; a právo nebyť predmetom výlučne automatizovaného rozhodovania s právnymi účinkami. Kde je spracovanie založené na súhlase, máte právo súhlas kedykoľvek odvolať. Práva si uplatníte cez sekciu Podpora alebo na privacy@kiult.com; žiadosť vybavíme spravidla do jedného mesiaca. Máte tiež právo podať sťažnosť dozornému orgánu (bod 1).

10. Doba uchovávania (retencia)

Údaje uchovávame len po dobu nevyhnutnú na daný účel:

• Údaje o účte a obsah — počas existencie aktívneho účtu; po zmazaní účtu ich vymažeme, ak zákon nevyžaduje dlhšie uchovávanie.
• Nahrané vstupy (podklady) — zero-retention, mazané po generovaní (bod 5); strojový opis záberu zostáva pri projekte a maže sa s ním.
• Údaje odoslané modelu Gemini (bod 11) — Google ich nepoužíva na tréning svojich modelov a vyrovnávaciu pamäť (cache) máme vypnutú; Google si ich môže ponechať len vtedy, keď jeho automatická kontrola zistí podozrenie zo zneužitia služby, a to najviac 90 dní a v EÚ.
• Hlas avatara — vygenerovaná vzorka po dobu existencie avatara (pri pregenerovaní sa predošlá zmaže); nahrávka vlastného hlasu do zmazania hlasu, avatara alebo účtu (bod 6). Záznam o udelení súhlasu s vlastným hlasom — bez nahrávky a bez jej prepisu — uchovávame ako doklad o súhlase podľa bodu 3.
• Údaje oprávnených organizácií pre Detektor — po dobu trvania prístupu a 1 rok po jeho skončení; záznamy o overeniach ako bezpečnostné logy, spravidla najviac 3 roky.
• Účtovné a daňové doklady — po dobu vyžadovanú daňovými a účtovnými predpismi.
• Bezpečnostné logy (audit log) — po dobu nevyhnutnú na prevenciu a vyšetrovanie zneužitia a plnenie zákonných povinností, spravidla najviac 3 roky od vzniku záznamu, ak osobitný predpis nevyžaduje inak.
• Kryptografický identifikátor pôvodu (metaseal) a súvisiace logy — prepojenie medzi neviditeľným kódovým identifikátorom (metaseal) vo vygenerovanom obsahu a ID používateľského účtu uchovávame po dobu existencie účtu a následne po dobu 3 rokov od zmazania účtu alebo vygenerovania diela, a to na účely prevencie kriminality, ochrany autorských a duševných práv tretích osôb, uplatňovania právnych nárokov a plnenia povinností podľa Nariadenia o digitálnych službách (DSA).

11. Príjemcovia a sprostredkovatelia (tretie strany)

Na prevádzku využívame poskytovateľov (sprostredkovateľov), ktorým sprístupňujeme len údaje nevyhnutné na poskytnutie služby: platobné brány (Stripe, GoPay), poskytovateľa hostingu a AI/výpočtovej infraštruktúry a poskytovateľa e-mailových služieb. So sprostredkovateľmi máme uzatvorené zmluvy o spracúvaní údajov podľa čl. 28 GDPR. Osobné údaje nepredávame.

Google — model Gemini (Vertex AI). Scenár a scény videa, správy sprievodcu tvorby, opisy postáv, ich hlasu, prostredí a predmetov, texty piesní, udalosti v živom svete avatarov (Live) a strojové opisy podkladov píše model Gemini, ktorý pre nás ako sprostredkovateľ prevádzkuje spoločnosť Google Cloud EMEA Limited (Írsko) na základe zmluvy o spracúvaní údajov Google Cloud. Odosielame mu len to, čo na napísanie textu potrebuje: vaše zadanie a správy v sprievodcovi, opisy postáv a prostredí, jazyk a formát videa a fotky a snímky z videí, ktoré ste vložili ako podklad alebo prílohu do chatu tvorby — tie až po bezpečnostnej kontrole na našom serveri. Nahrávky hlasu ani platobné údaje mu neposielame. Spracovanie prebieha v dátových centrách v Európskej únii a Google tieto údaje nepoužíva na tréning svojich modelov.

Na účely určenia sadzby DPH, overenia krajiny rezidencie a výberu lokálne príslušnej platobnej brány využívame databázu IP Geolocation by DB-IP (poskytovanú podľa licencie CC-BY-4.0). Spracovanie IP adresy na tento účel prebieha automatizovane s cieľom určenia krajiny pripojenia, pričom IP adresa sa porovnáva voči tejto geolokačnej databáze na našej strane; samotná IP adresa nie je poskytovateľovi databázy (DB-IP) predávaná ani odosielaná a nevyužíva sa na iné účely ako geografické zaradenie transakcie.

12. Prenosy do tretích krajín

Údaje spracúvame prednostne v rámci Európskeho hospodárskeho priestoru (EHP). Ak by v konkrétnom prípade došlo k prenosu do tretej krajiny mimo EHP, zabezpečíme ho na základe primeraných záruk podľa čl. 46 GDPR (napr. štandardné zmluvné doložky Európskej komisie) alebo rozhodnutia o primeranosti. Údaje pre model Gemini (bod 11) spracúva Google v dátových centrách v Európskej únii. Ak by ich Google sprístupnil svojim subdodávateľom mimo EHP, prenos zabezpečuje zmluva o spracúvaní údajov Google Cloud na základe rozhodnutia o primeranosti alebo štandardných zmluvných doložiek.

13. Profilovanie a automatizované rozhodovanie

Automatizované systémy používame na bezpečnostné kontroly (GATE 0–3), moderovanie a prevenciu zneužitia. Nevykonávame profilovanie na marketingové účely, ktoré by malo voči vám právne účinky, bez možnosti ľudského preskúmania. Rozhodnutia s významným dopadom (odstránenie obsahu, pozastavenie tvorby) sú preskúmateľné človekom.

14. Zdieľanie a „Sharables“

Obsah, ktorý sa rozhodnete zdieľať, sprístupníme podľa zvoleného spôsobu zdieľania — buď priamo konkrétnemu registrovanému používateľovi cez unikátny prístupový token, alebo v internej Sekcii Spoločných výtvorov (Shared Creations). Médiá zdieľané cez funkciu „Sharables“ sa otvárajú len v rámci Kiult účtu príjemcu (interný uzavretý ekosystém) a nie sú dostupné na priame stiahnutie do zariadenia. Licenčné podmienky takéhoto zdieľania upravujú Podmienky používania (Section 4).

15. Zabezpečenie

Prijímame primerané technické a organizačné opatrenia na ochranu údajov (hashovanie hesiel, riadenie prístupov, oddelenie úložísk). Žiadny prenos cez internet však nie je úplne bezpečný a absolútnu bezpečnosť nevieme zaručiť.

16. Zmeny týchto Zásad

Tieto Zásady môžeme aktualizovať. O podstatných zmenách vás budeme informovať vhodným spôsobom (napr. e-mailom alebo oznámením v aplikácii). Aktuálne znenie je vždy dostupné v SaaS Systéme s uvedením dátumu poslednej aktualizácie.