Soulad s GDPR
Jak Datrika zpracovává osobní údaje podle GDPR - vaše i vašich návštěvníků.
Kdo za co odpovídá
GDPR rozlišuje mezi správcem (stranou, která rozhoduje o účelu a způsobu zpracování osobních údajů) a zpracovatelem (stranou, která zpracovává údaje jménem správce podle jeho pokynů). Datrika zastává obě role v závislosti na tom, o čí údaje jde.
| Role | Kdo | Údaje |
|---|---|---|
| Správce | Vy, provozovatel webu | Veškerá analytická data shromážděná o návštěvnících vašeho webu |
| Zpracovatel | Datrika | Zpracovává data o návštěvnících vašeho webu výhradně za účelem poskytování analytiky, na základě naší Smlouvy o zpracování osobních údajů |
| Správce | Datrika | Vaše vlastní údaje k účtu Datrika - e-mail, přihlašovací relace, fakturace |
Protože Datrika vystupuje jako zpracovatel dat o návštěvnících vašeho webu, naše Smlouva o zpracování osobních údajů se uplatní automaticky, jakmile začnete službu používat - nic zvlášť podepisovat nemusíte.
Vaše práva k vašim údajům
Jako držitel účtu Datrika máte k vlastním údajům účtu následující práva:
| Právo | Co znamená | Jak ho uplatnit |
|---|---|---|
| Přístup | Získat kopii údajů k účtu, které o vás uchováváme. | E-mail na support@datrika.app |
| Oprava | Opravit nepřesné údaje k účtu. | E-mail na support@datrika.app |
| Výmaz | Smazat účet. Vaše weby a jejich analytická data budou odstraněna okamžitě a trvale. | Smažte účet v nastavení účtu, nebo nám napište |
| Přenositelnost | Získat vaše údaje v přenositelném formátu. | E-mail na support@datrika.app |
| Námitka | Vznést námitku proti zpracování na základě oprávněného zájmu (např. bezpečnostní záznamy o účtu). | E-mail na support@datrika.app |
U návštěvníků vašeho webu fungují tato práva jinak - viz Vyřizování žádostí návštěvníků níže.
Jste ve výchozím stavu v souladu s předpisy?
Datrika je navržena tak, aby její používání nezakládalo pro váš web žádné nové povinnosti podle GDPR. Zde je, co řešíme automaticky my, a co zůstává na vás:
| Řeší Datrika automaticky | Zůstává na vás |
|---|---|
| Žádné cookies - do prohlížeče se nic neukládá a měříme jen návštěvnost, takže kvůli Datrice cookie lištu nepotřebujete (podrobně níže). | Rozhodnutí o právním základu pro analytiku na vašem webu (doporučujeme oprávněný zájem - viz níže) a udržování vlastních zásad ochrany osobních údajů aktuálních. |
| IP adresy návštěvníků se nikdy neukládají - použijí se pouze k výpočtu denně se měnícího hashe a poté se zahodí. | Neposílat osobní údaje prostřednictvím vlastních událostí (jméno, e-mail, telefon atd.) - Datrika obsah událostí na osobní údaje nefiltruje. |
| Data hostovaná výhradně v EU (Frankfurt, Německo), nikdy nepřenášená mimo EU. | Řešení souhlasu pro jakékoli jiné nástroje na bázi cookies na vašem webu (chatovací widgety, reklamní pixely, jiné analytické nástroje) - ty jsou mimo rozsah Datriky. |
| Automatické smazání po 5 letech uchovávání. | Kontrola naší Smlouvy o zpracování osobních údajů a seznamu subzpracovatelů (viz stránku DPA), pokud to vyžaduje váš vlastní program compliance. |
Protože nikdy neukládáme IP adresy ani žádný jiný identifikátor, který by přetrval napříč dny, může se většina webů opřít o oprávněný zájem (čl. 6 odst. 1 písm. f) GDPR) jako právní základ pro používání Datriky, aniž by potřebovaly souhlas návštěvníků. Toto je obecné vodítko, nikoli právní poradenství pro vaši konkrétní situaci.
Kdy analytika nepotřebuje souhlas
Souhlas se neváže na slovo cookie. Váže se na to, jestli nástroj ukládá informace do zařízení návštěvníka nebo je z něj čte a skládá z nich identifikátor člověka. Evropský sbor pro ochranu osobních údajů to v pokynech 2/2023, přijatých 16. října 2024, rozvedl: pod stejné pravidlo spadá i otisk prohlížeče, měřicí pixel, měřicí odkaz a část případů, kdy se návštěvník rozpoznává jen podle IP adresy.
Samotná věta „neukládáme cookies“ tedy nestačí. Rozhoduje pět podmínek, za kterých je analytika považovaná za nezbytnou a souhlas nevyžaduje. Takhle je plníme:
| Podmínka | Jak ji plníme |
|---|---|
| Slouží výhradně k měření návštěvnosti webu | Analytika je náš jediný produkt. Nestavíme reklamní publika ani remarketingové seznamy a nemáme je komu předat. |
| Neumožňuje celkové sledování navigace osoby | Klíč, ze kterého identifikátor počítáme, se každý den zahazuje, a ID vašeho webu je jeho součástí. Stejného návštěvníka nespojíme napříč dny ani napříč weby - ani my sami. |
| Slouží pouze k produkci anonymních statistických dat | Podrobný průchod webem je řetěz událostí jedné návštěvy během jednoho dne, ne profil člověka. Zítra má tentýž návštěvník jiné číslo. |
| Sebrané údaje se nespojují s jinými zpracovávanými údaji | Data návštěvníků jsou oddělená od údajů majitele účtu. Společný klíč mezi nimi neexistuje. |
| Data se nezpřístupňují třetím stranám | Analytická data zůstávají na serverech ve Frankfurtu. Mimo EU neodesíláme nic, nikomu je neprodáváme a k reklamě je nepoužíváme. |
Je to naše posouzení, ne razítko od úřadu. Úřad pro ochranu osobních údajů jednotlivé nástroje neschvaluje a u každého případu vyžaduje samostatné posouzení. Popisujeme proto techniku tak podrobně, abyste si závěr mohli ověřit sami: co přesně náš skript čte z prohlížeče, najdete na stránce o zpracování dat. Odkud podmínky pocházejí a co k nim říká ÚOOÚ, rozebírá stránka kdy analytika nepotřebuje souhlas.
Pokud máte na webu i jiné nástroje, které do prohlížeče ukládají data - chat, vložené video, mapu, reklamní pixel - lišta na webu zůstává kvůli nim. Vypadne z ní jen položka analytika.
Vyřizování žádostí návštěvníků
Pokud vás jako provozovatele webu někdo požádá o přístup ke „svým“ údajům nebo o jejich smazání, přepošlete žádost na support@datrika.app, nebo ji vyřešte přímo ve svém dashboardu.
Protože Datrika nikdy neukládá IP adresy a denní sůl použitá v našem hashovacím vzorci se také neuchovává, nedokážeme určit, o kterého konkrétního návštěvníka jde - neexistuje způsob, jak na požádání vyhledat nebo smazat záznam jednoho konkrétního návštěvníka. V praxi se žádost o data návštěvníka vyřizuje smazáním analytiky daného webu, čímž se najednou odstraní všechny záznamy návštěvníků. Jde o záměrný kompromis: právě neukládání IP adres dělá Datriku primárně orientovanou na soukromí.
Co děláme pro dodržování předpisů
- Pseudonymizace od návrhu. Identita návštěvníka se počítá jako klíčovaný jednosměrný hash (HMAC-SHA256) ze zkrácené IP adresy, user agenta a ID webu, klíčem je náhodná sůl měnící se každých 24 hodin. Původní IP adresa a user agent se nikdy nezapisují na disk a stejného návštěvníka nelze propojit napříč různými dny.
- Hostování výhradně v EU. Veškerá analytická data jsou hostována na serverech ve Frankfurtu v Německu (Hetzner) a nikdy neopouštějí EU.
- Šifrování při přenosu. Veškerý provoz na náš kolektor a dashboard probíhá přes TLS/HTTPS.
- Minimální přístup. K produkčním databázím má přístup pouze provozovatel Datriky.
- Prověření subzpracovatelé. Používáme krátký seznam subzpracovatelů - Hetzner (hostování v EU), MaxMind (lokální vyhledávání GeoIP, žádná data o návštěvnících neopouštějí vaši infrastrukturu), Resend (transakční e-maily pro držitele účtů) a Stripe (fakturace) - každý z nich pokrytý standardními smluvními doložkami a/nebo certifikací EU-US Data Privacy Framework tam, kde údaje opouštějí EU.
- Okamžité, trvalé smazání. Když smažete web nebo účet, odpovídající analytická data se ihned vymažou - bez čekací doby a bez možnosti pozdější obnovy.
- Žádná reklamní technologie, žádný další prodej. Vaše data neprodáváme ani nesdílíme a nepoužíváme je k reklamě ani profilování jakéhokoli druhu.
Vaše odpovědnosti
Odpovědné používání Datriky podle GDPR se z velké části scvrkává na několik věcí na vaší straně:
- Neposílejte osobní údaje prostřednictvím vlastních událostí. Vlastní události přijímají libovolná metadata typu klíč/hodnota, která si sami definujete - Datrika jejich obsah nekontroluje, takže je na vás, abyste z nich vyloučili jména, e-maily, telefonní čísla a podobné osobní údaje.
- Potvrďte si vlastní právní základ. Domníváme se, že oprávněný zájem je pro většinu webů dostačující vzhledem k tomu, jak Datrika zpracovává data, ale je na vás, abyste si potvrdili, že je to pro váš případ použití správné.
- Udržujte své zásady ochrany osobních údajů aktuální. Pokud vaše vlastní zásady ochrany osobních údajů vyjmenovávají používané nástroje, uveďte Datriku jako svého zpracovatele analytiky.
- Řešte souhlas pro cokoli jiného. Pokud vedle Datriky provozujete jiné nástroje založené na cookies, jejich požadavky na souhlas jsou od těch našich oddělené.
Máte otázky?
S čímkoli ohledně souladu s GDPR, našich subzpracovatelů nebo žádosti o data se na nás obraťte na support@datrika.app. Technické podrobnosti o tom, co shromažďujeme a jak se to ukládá, najdete na naší stránce Zásady zpracování dat.