Smlouva o zpracování osobních údajů
Naše smlouva o zpracování osobních údajů podle článku 28 GDPR, upravující naši roli zpracovatele při používání naší analytické služby.
Kdo za co odpovídá
Tato smlouva je uzavřena mezi vámi (správcem) - provozovatelem webu využívajícího analytiku Datriky - a Konstantinem Pankratovem, OSVČ, IČO 23231181, provozujícím Datriku (zpracovatelem).
Doplňuje naše Obchodní podmínky a uplatní se automaticky, jakmile se zaregistrujete a začnete Datriku používat - nic zvlášť podepisovat nemusíte.
Co děláme s vašimi daty
Osobní údaje návštěvníků vašeho webu zpracováváme výhradně za účelem poskytování webové analytiky. Trvá to po celou dobu platnosti vaší smlouvy s námi, plus jakoukoli dodatečnou dobu vyžadovanou našimi podmínkami uchovávání a mazání níže.
Proč vaše data zpracováváme
Účel je úzký a pevně daný: automatizovaný sběr a agregace technických metrik návštěv, abychom vám mohli poskytnout analytiku vašeho vlastního webu. Data vašich návštěvníků nepoužíváme pro vlastní účely a nepoužíváme je k poskytování žádné jiné služby.
S jakými daty pracujeme
| Kategorie | Podrobnosti |
|---|---|
| Pseudonymní ID návštěvníka | Klíčovaný jednosměrný hash (HMAC-SHA256) ze zkrácené IP adresy, user agenta a ID webu, klíčem je náhodná sůl měnící se každých 24 hodin. Samotná IP adresa ani user agent se nikdy neukládají. |
| Poloha | Země, region a město jako referenční ID - ne souřadnice. |
| Zařízení a prohlížeč | Prohlížeč, verze, operační systém, typ zařízení, rozlišení obrazovky, jazyk prohlížeče. |
| Zdroj návštěvnosti | Referrer a UTM parametry (source, medium, campaign, content, term). |
| Vlastní události | Jakékoli názvy událostí a metadata, které se rozhodnete odeslat ze svého webu. |
Jak se každý z těchto údajů počítá a ukládá, najdete na naší stránce Zásady zpracování dat.
Naše závazky vůči vám
- Zpracovávat osobní údaje pouze na základě vašich zdokumentovaných pokynů - včetně voleb, které učiníte v produktu, jako je výběr odesílaných vlastních událostí.
- Zavázat všechny osoby s přístupem k datům povinností mlčenlivosti.
- Uplatňovat bezpečnostní opatření popsaná v sekci „Jak zabezpečujeme vaše data“ níže.
- Zapojovat nové subzpracovatele pouze s vaším obecným souhlasem a vázat je stejnými standardy (viz „Naši partneři“).
- Pomáhat vám vyřizovat žádosti vašich návštěvníků, v mezích popsaných na naší stránce o GDPR.
- Asistovat vám s vlastními povinnostmi v oblasti zabezpečení, oznamování porušení a posuzování dopadů, v rozsahu, který naše data a role umožňují.
- Smazat nebo vrátit vaše data po ukončení našich služeb (viz „Když od nás odejdete“).
- Poskytnout vám informace potřebné k ověření, že plníme svou část dohody (viz „Kontrola nás“).
Vaše odpovědnosti
- O právním základu zpracování dat vašich návštěvníků rozhodujete vy. Vzhledem k tomu, jak Datrika funguje, se domníváme, že pro většinu webů dobře platí oprávněný zájem - viz naši stránku o GDPR - ale potvrzení, že je to pro váš web správné, je na vás.
- Neposílejte osobní údaje prostřednictvím vlastních událostí. Vlastní události přijímají libovolná metadata typu klíč/hodnota, která si definujete, a jejich obsah nekontrolujeme - naše limity jsou čistě technické (klíč do 100 znaků, hodnota do 2 000 znaků, až 20 párů na událost), nikoli obsahový filtr. Vylučte z nich jména, e-mailové adresy, telefonní čísla, fyzické adresy, platební údaje, čísla úředních dokladů a zvláštní kategorie údajů (zdravotní stav, náboženské či politické názory, sexuální orientace a podobně).
- Zajistěte, aby vaše vlastní používání Datriky bylo v souladu s právem na ochranu osobních údajů, které se vztahuje na váš web a vaše návštěvníky.
Jak zabezpečujeme vaše data
| Opatření | Co děláme |
|---|---|
| Pseudonymizace | IP adresy se nikdy neukládají a denní sůl použitá v našem hashovacím vzorci se také neuchovává - viz naše Zásady zpracování dat. |
| Šifrování při přenosu | TLS/HTTPS pro veškerý provoz na náš kolektor a dashboard. |
| Hostování | Servery umístěné ve Frankfurtu v Německu (Hetzner) - výhradně v rámci EU. |
| Řízení přístupu | K produkčním databázím má přístup pouze provozovatel Datriky. |
| Zálohy | V současné době neprovozujeme automatizovanou zálohovací službu - jde o reálné riziko dostupnosti, které raději zveřejňujeme, než abychom ho skrývali. |
| Bezpečnostní testování | Při naší současné velikosti neprobíhá formální, pravidelný penetrační test - bezpečnost řeší jediný provozovatel v maximální možné míře. |
Naši partneři
Udělujete nám obecné oprávnění využívat níže uvedené subzpracovatele. Pokud se tento seznam změní, dáme vám to vědět předem a poskytneme přiměřenou možnost vznést námitku.
| Subzpracovatel | Role | Umístění |
|---|---|---|
| Hetzner Online GmbH | Hostuje naši infrastrukturu a veškerá analytická data | EU (Německo) |
| MaxMind Inc. | Lokální vyhledávání GeoIP - databáze se stahuje a používá na našich vlastních serverech, data o návštěvnících se nikdy neodesílají k MaxMind | Databáze stažena z USA; žádná data o návštěvnících neopouštějí naši infrastrukturu |
| Resend | Transakční e-maily pro váš účet (např. přihlašovací kódy) - nikoli data o návštěvnících | USA, kryto standardními smluvními doložkami a certifikací EU-US Data Privacy Framework |
| Stripe | Fakturace pro váš účet - nikoli data o návštěvnících | Smluvní subjekt v EU (Stripe Payments Europe, Ltd.); zpracování může probíhat i v USA prostřednictvím Stripe, LLC, kryto standardními smluvními doložkami a certifikací Data Privacy Framework |
Když se něco pokazí
Vynakládáme přiměřené úsilí na prevenci a odhalování bezpečnostních incidentů, ale netvrdíme, že naše infrastruktura je bez zranitelností. Pokud se dozvíme o úniku dat, který ovlivňuje vaše data, oznámíme vám to bez zbytečného odkladu, abyste mohli splnit vlastní oznamovací povinnosti jako správce.
Pokud sami najdete bezpečnostní problém, nahlaste ho prosím na support@datrika.app dříve, než ho zveřejníte.
Odpovědnost podle této smlouvy se řídí stejnými limity jako naše Obchodní podmínky, s výjimkou případů, kdy samotné GDPR (zejména čl. 82) stanoví jinak.
Když od nás odejdete
Exportujte si data před smazáním účtu nebo webu - automatizovaný export zatím nemáme, takže nás předem kontaktujte na support@datrika.app.
Smazání - ať už zrušíte účet, přestanete platit, nebo službu ukončíme my - je okamžité a trvalé. Neexistuje čekací doba, a protože neprovozujeme automatizované zálohy, data poté nelze obnovit.
Jedinou výjimkou jsou platební záznamy, které musíme podle unijních účetních pravidel uchovávat po dobu 5-10 let. Jde o fakturační záznamy k vašemu účtu, nikoli o analytická data vašich návštěvníků, a tato smlouva se na ně nevztahuje.
Kontrola nás
Na přiměřenou žádost - nejvýše jednou ročně - poskytneme informace prokazující náš soulad s touto smlouvou. Úplné audity na místě jsou k dispozici po samostatné dohodě, přiměřené tomu, co dává smysl pro firmu vedenou jedinou osobou.
Máte otázky?
S čímkoli ohledně této smlouvy se na nás obraťte na support@datrika.app.