Cookies a podobné technologie

Cookies jsou malé technické údaje ukládané prohlížečem. Web může využívat také místní úložiště localStorage, dočasné sessionStorage a další obdobné mechanismy.

Tyto technologie mohou sloužit k:

• udržení zabezpečeného přihlášení;
• zapamatování nastavení;
• správě editačního oprávnění;
• uchování rozpracované práce;
• zajištění bezpečnosti služby.

Plán na výlet používá technické cookies a funkční úložiště potřebná pro fungování, zabezpečení nebo uživatelem vyžádanou funkci. Jediný nepovinný browserový mechanismus slouží k prvnímu započtení otevření sdíleného výletu a aktivuje se až po souhlasu s analytickou kategorií.

Nepoužíváme:

• reklamní cookies;
• marketingové cookies;
• cookies pro sledování návštěvníků mezi různými weby;
• cookies Meta Pixel;
• Google Analytics;
• Google Tag Manager;
• Vercel Analytics;
• Vercel Speed Insights.

Před volbou uživatele ani po odmítnutí se analytické úložiště nevytváří a událost otevření sdíleného výletu se neodesílá.

Po vytvoření nového výletu může server nastavit technickou cookie, která prohlížeči umožní prokázat oprávnění k úpravě konkrétního výletu.

Cookie:

• neobsahuje veřejně čitelný raw editační token;
• není dostupná JavaScriptu;
• je nastavena jako HttpOnly;
• je v produkci nastavena jako Secure;
• používá SameSite=Strict;
• je omezena na vlastní host;
• má maximální platnost 180 dní;
• může být odstraněna při trvalém smazání výletu nebo odvolání oprávnění.

Název cookie je technicky odvozen od bezpečného kontextu výletu a neobsahuje raw token.

Ochrana anonymního podání ke zveřejnění:

Pokud nepřihlášený uživatel vědomě odešle svůj výlet jako kandidáta ke zveřejnění, server může nastavit cookie planpack_share_actor. Cookie se nenastavuje při běžném otevření webu, vytvoření odkazu ani při volbě Pozvat přátele.

• obsahuje náhodný technický token a není dostupná JavaScriptu;
• server ukládá pouze jeho jednosměrný HMAC otisk;
• slouží k ochraně zveřejňování před zneužitím a k uplatnění případného omezení této funkce;
• používá HttpOnly, SameSite=Lax a v produkci Secure;
• má maximální platnost 365 dní.

Starší výlety mohly mít editační token uložený v místním úložišti prohlížeče.

Při otevření takového výletu může služba:

• token jednorázově poslat na vlastní server;
• ověřit oprávnění;
• nastavit novou HttpOnly cookie;
• po úspěšném převodu odstranit původní token z localStorage.

Při neúspěšném převodu může původní token dočasně zůstat zachován, aby uživatel nepřišel o poslední možnost upravit svůj výlet.

Počet pokusů o převod je z bezpečnostních důvodů omezen.

Neveřejná administrace editorů a superadmina používá autentizační cookies Supabase.

Obdobné nezbytné technické cookies se používají také pro registraci, přihlášení, ochranu relace a přístup do Můj účet, Editoru a Administrace podle oprávnění účtu.

Tyto cookies slouží k:

• ověření přihlášené relace;
• bezpečnému obnovení relace;
• ochraně účtu;
• přístupu k funkcím podle uživatelské role.

Jejich přesný technický název a délka relace mohou záviset na aktuální konfiguraci autentizační služby.

Při obnově hesla se navíc používají vlastní krátkodobé HttpOnly cookies planpack-recovery-session nejvýše 15 minut aplanpack-recovery-success nejvýše 5 minut. Slouží pouze k bezpečnému dokončení příslušného kroku obnovy účtu.

Služba může v localStorage uchovávat:

• nejvýše tři nedávné anonymní výlety a lokální údaje potřebné pro navázání na vytvořený výlet;
• poslední nastavení generátoru a nejvýše pět stavů generátoru svázaných s konkrétními výlety;
• vlastní lokální itinerář a rozpracovanou zpětnou vazbu k výletu;
• osobní připomenutí bodů výletu;
• preferovanou externí navigaci;
• rozpracovaný návrh nového místa;
• rozpracované editorské a administrační formuláře na přihlášeném zařízení;
• starší editační token pouze do jeho bezpečného převodu;
• další čistě lokální stav potřebný pro zvolenou funkci.

Osobní připomenutí jsou uložena pouze v daném prohlížeči a zařízení. Nejsou součástí veřejně sdíleného výletu a jiný návštěvník stejného odkazu je neuvidí.

Pokud konkrétní funkce údaj sama neodstraní po dokončení, zůstává do jeho smazání uživatelem nebo do vymazání dat webu v prohlížeči.

SessionStorage může být použito pro dočasný stav aktuální návštěvy, například:

• jednorázové předvyplnění a stav generátoru pro úpravu konkrétního výletu;
• dočasnou adresu vytvořeného odkazu ke sdílení;
• ochranu před opakovaným započtením otevření stejného sdíleného odkazu v jedné záložce;
• jednorázový token k přihlášení anonymního návrhu místa k účtu;
• návratovou navigaci a stav rozbalení či výběru v administraci.

Obsah sessionStorage je obvykle odstraněn po ukončení příslušné relace prohlížeče.

Technické cookies a podobná úložiště používáme pouze v rozsahu potřebném pro požadovanou funkci, zabezpečení nebo zapamatování uživatelského nastavení.

Jejich zablokování může způsobit například:

• ztrátu možnosti upravit vlastní výlet;
• odhlášení z administrace;
• ztrátu seznamu nedávných výletů;
• ztrátu lokálních připomenutí;
• nezapamatování zvolené navigace;
• nefunkčnost některých bezpečnostních mechanismů.

Některé údaje se čtou při načtení stránky, aby bylo možné zobrazit nedávné výlety nebo obnovit uživatelem uložené nastavení. Jiné se vytvářejí až po volbě konkrétní funkce, například přihlášení, připomenutí, úpravy, sdílení nebo podání výletu ke zveřejnění.

IndexedDB ani samostatné úložiště service workeru aplikace nepoužívá.

Cookies a místní údaje lze odstranit:

• pomocí příslušné funkce ve službě;
• trvalým smazáním výletu, pokud se vztahují pouze k němu;
• odhlášením;
• vymazáním cookies a dat webu v nastavení prohlížeče;
• použitím anonymního režimu prohlížeče.

Vymazání dat prohlížeče může způsobit nevratnou ztrátu přístupu k úpravě anonymního výletu, pokud výlet nebyl přiřazen k uživatelskému účtu.

Podle otevřené stránky nebo zvolené funkce může prohlížeč komunikovat s:

• Supabase při registraci, přihlášení a nahrávání souborů;
• Mapy.com při zobrazení mapových podkladů;
• Open-Meteo a Overpass při vyžádaném zobrazení počasí, geokódování nebo hledání míst;
• Cloudflare Turnstile na přihlašovacích a obnovovacích formulářích, pokud je tato bezpečnostní ochrana nakonfigurována.

Tyto služby obdrží běžné technické údaje síťového požadavku a podle funkce také dotaz, souřadnice nebo bezpečnostní signály prohlížeče. Nejsou načítány jako reklamní nebo marketingové nástroje. Cloudflare Turnstile se používá k ochraně formulářů před automatizovanými útoky; projekt nezapíná jeho režim pre-clearance.

Vlastní produktové události o vytvoření, sdílení a návazných krocích se zapisují na serveru jako výsledek použité funkce. Započtení otevření sdíleného odkazu navíc používá dočasný klíč v sessionStorage pro zamezení duplicitě v jedné záložce. Tento analytický krok se spustí pouze po souhlasu a nevytváří obecný sledovací profil zařízení.

Při otevření externí navigace, rezervační služby, sociální sítě nebo jiného externího webu mohou cookies používat tyto samostatné služby podle vlastních pravidel.

Plán na výlet neřídí cookies uložené až po přechodu na web jiného provozovatele.

Volba se ukládá pod klíčem planpack:privacy-consent:v1 v localStorage. Obsahuje pouze verzi nastavení, povolení analytické kategorie a čas volby; neobsahuje identifikaci osoby. Platí nejvýše 12 měsíců.

• Přijmout vše zapne jedinou současnou analytickou kategorii;
• Přijmout nezbytné nebo Odmítnout vše ji ponechá vypnutou;
• Nastavení cookies v patičce umožní zvolit analytickou kategorii samostatně;
• odkaz Nastavení cookies v patičce umožní volbu kdykoli změnit;
• odmítnutí neomezuje základní ani přihlášené funkce služby.

Při odvolání souhlasu se další analytická měření zastaví a dočasný klíč pro otevření konkrétního sdíleného odkazu se odstraní. Pokud se účely nebo kategorie změní, zvýší se verze nastavení a služba vyžádá novou volbu.