Ochrana údajů

Tahle stránka popisuje, jak s daty nakládá Sondo, tedy web sondo.cz a aplikace na app.sondo.cz. Týká se vás jako návštěvníka a jako uživatele Sonda. Zpracování dat vašich zákazníků řeší samostatný dokument Zpracování osobních údajů.

Kdo je správce

• Kulatá kostka s.r.o., IČO 10731041
• Rudolfovská tř. 1965/29, České Budějovice 3, 370 01 České Budějovice
• Datová schránka 6a3hs7u
• Ve věcech ochrany údajů pište na info@sondo.cz.

Když si necháte poslat zprávu

Z formuláře na úvodní stránce ukládáme e-mail, adresu stránky a případné UTM parametry. Použijeme je jen k tomu, abychom se vám ozvali. Žádný newsletter, žádné přeprodávání adres.

Když máte účet

Ukládáme e-mail, jméno, pokud ho vyplníte, a technický záznam o tom, co jste v aplikaci dělali, abychom uměli poradit s podporou. Heslo neznáme, drží ho Supabase v podobě, ze které se zpět přečíst nedá.

Když připojíte Google Analytics

Sondo si vyžádá jediné oprávnění, analytics.readonly, tedy přístup jen ke čtení. Užší oprávnění pro čtení GA4 neexistuje.

• Co čteme: seznam vašich GA4 property, abyste si mohli vybrat tu správnou, a z vybrané property transakce za posledních 7 dní: číslo transakce, datum, zdroj, médium, kampaň a tržbu.
• K čemu to je: párujeme transakce s odpověďmi vašich zákazníků a ukazujeme vám, kolik objednávek analytika nevidí vůbec a u kolika se rozchází s tím, co řekl zákazník. K ničemu jinému.
• Kde to leží: v databázi v Irsku. Přístupový klíč k vaší property držíme zašifrovaný a nemá k němu přístup ani běžná role aplikace.
• Komu to předáváme: nikomu. Data z vaší Analytics nikomu nepředáváme ani neprodáváme a nezobrazujeme je nikomu kromě vás a lidí, které si sami pozvete ke svému webu.
• Jak to zmizí: přístup můžete kdykoli odebrat v Napojení GA4. Tím rovnou mažeme uložené klíče a Sondo se do vaší property víc nepodívá. Už stažené transakce zůstávají u vašeho webu, abyste nepřišli o dosavadní srovnání; mizí spolu s webem, a když je chcete pryč dřív, napište nám.
• Do vaší property nic nezapisujeme a nevoláme žádné jiné Google API.

Použití údajů z Google API se řídí zásadami Google API Services User Data Policy včetně požadavků na omezené použití (Limited Use). Konkrétně to znamená, že data z vaší Analytics používáme jen k tomu, abychom vám v Sondu ukázali srovnání vašich objednávek s tím, co o nich tvrdí analytika. Nepoužíváme je k reklamě ani k cílení, neprodáváme je a nepředáváme je nikomu dalšímu. Nepoužíváme je ani k vývoji nebo trénování modelů umělé inteligence. Sondo umí navrhnout znění dotazníku pomocí AI, ale ta dostává jen veřejně dostupné informace o vašem webu, nikdy data z vaší Analytics.

Člověk u nás se na data z vaší Analytics nepodívá, s výjimkou čtyř případů, které připouští i Google: když nám k tomu dáte souhlas (typicky při řešení podpory), kvůli bezpečnosti, kvůli zákonné povinnosti, nebo v souhrnné a anonymizované podobě pro vlastní provoz služby.

Jak vaše data chráníme

• Cestou k nám i zpátky jsou data šifrovaná. Sondo jede výhradně po HTTPS a prohlížeči to předem oznamuje, takže se o nešifrované spojení ani nepokusí.
• Přístupový klíč k vaší Analytics ukládáme zašifrovaný algoritmem AES-256-GCM. Šifrovací klíč v databázi vůbec není, drží ho zvlášť prostředí aplikace, takže ze samotné databáze se váš přístup do Analytics přečíst nedá. Sloupec s ním navíc nemá přidělené právo ke čtení pro roli, pod kterou běží přihlášený uživatel: ani chybně napsaný dotaz z aplikace se k němu nedostane.
• Uložená data jsou šifrovaná i na úrovni úložiště a databáze stojí v Irsku, tedy v Evropské unii.
• Kdo se k čemu dostane, rozhoduje databáze, ne aplikace. Nad každou tabulkou jsou pravidla na úrovni jednotlivých řádků, takže i chybně napsaný dotaz vrátí jen data webů, ke kterým patříte. Ověřují to automatické testy, které běží při každé změně a čtou data pod rolí běžného přihlášeného člověka, ne pod správcem databáze.
• Do ostrého prostředí se dostane jen ten, kdo Sondo provozuje, a jen tehdy, když je to potřeba k provozu nebo k vyřešení vaší podpory. Přístupové klíče ke službám leží v zabezpečeném úložišti proměnných u poskytovatele hostingu, nikdy v kódu ani ve zdrojovém repozitáři.
• Vaše heslo neznáme. Drží ho Supabase v podobě, ze které se zpět přečíst nedá, a nové heslo musí projít kontrolou délky i pestrosti. Pokusy o přihlášení jsou z jedné adresy omezené, aby heslo nešlo uhádnout opakovaným zkoušením.
• Sbíráme co nejmíň. Z děkovací stránky vašeho e-shopu umí widget přečíst jen dvě pole, číslo objednávky a částku, a hlídá to test, který neprojde, kdyby odešlo cokoli dalšího. Z Analytics si Sondo bere jen oprávnění ke čtení a z něj jen transakce za posledních sedm dní. IP adresy si u ochrany přihlašování ukládáme jen v podobě otisku, ne jako čitelnou adresu. Co nemáme, nemůže uniknout.
• Zálohy databáze pořizuje poskytovatel denně, aby se data dala obnovit i po chybě na naší straně.
• Kdyby se přesto něco stalo: bezpečnostní incident vám oznámíme bez zbytečného odkladu a nahlásíme ho Úřadu pro ochranu osobních údajů do 72 hodin, jak ukládá GDPR. Podezření na díru nám pište na info@sondo.cz.

Kdo data zpracovává

• Supabase - databáze, přihlašování a úložiště souboru widgetu, Irsko (Amazon Web Services, region eu-west-1)
• Vercel - provoz aplikace a rozhraní pro sběr; údaje jím procházejí, trvale je neukládá, výpočet v regionu Frankfurt nad Mohanem, Německo
• Resend - odesílání provozních e-mailů služby (potvrzení adresy, pozvánka, první odpověď, měsíční report, hlídač mlčícího widgetu); údaje jím procházejí, trvale je neukládá, doména založená v regionu Evropské unie (Irsko)
• Functional Software - hlášení chyb aplikace a serveru, Německo (evropský region dodavatele)
• Cloudflare - ochrana registračního formuláře (Turnstile) a správa domény sondo.cz, celosvětová síť dodavatele
• Stripe Payments Europe - platby za placené tarify, Irsko
• OpenRouter - zprostředkování jazykového modelu pro návrh dotazníku, jen když si o návrh uživatel sám řekne, Spojené státy americké
• Anthropic PBC - jazykový model claude-opus-5, dostupný přes OpenRouter; poddodavatel předchozí položky, Spojené státy americké
• Google Ireland Limited - měření návštěvnosti sondo.cz, jen se souhlasem návštěvníka, Evropská unie

Google není dalším zpracovatelem Sonda. Účet Google Analytics 4 provozuje správce a Google je jeho vlastním zpracovatelem. Sondo z tohoto účtu na základě pověření uděleného správcem pouze čte údaje podle bodu 5.4 přílohy č. 1 a nic do něj nezapisuje. Použití těchto údajů se řídí zásadami Google API Services User Data Policy včetně požadavků na omezené použití.

Cookies a měření

Aplikace používá přihlašovací cookie, bez které byste se neudrželi přihlášení. Ta je nezbytná a souhlas nepotřebuje.

Na sondo.cz měříme návštěvnost a vyhodnocujeme reklamu přes Google Tag Manager. Nespustí se, dokud nekliknete na souhlas: než odpovíte, jsou všechna měřicí oprávnění nastavená na „zamítnuto“ (Google Consent Mode v2) a žádná měřicí cookie nevzniká. Souhlas si pamatujeme v cookie cookie_consent a můžete ho kdykoli změnit nebo odvolat odkazem „Nastavení cookies“ v patičce.

Jak dlouho data držíme

• Klíče k vaší Analytics mažeme v tu chvíli, kdy GA4 odpojíte.
• Odpovědi, sondy a stažené transakce držíme, dokud máte v Sondu ten web, nejdéle ale 24 měsíců od objednávky. Potom u nich smažeme číslo objednávky a otisk IP adresy; zůstane samotná odpověď, která už se k nikomu přiřadit nedá. Dělá to denní úloha, nemusíte o to žádat. Když web smažete, mažeme všechno po 30 dnech; ta lhůta je schválně, abyste si to mohli rozmyslet a data si stihli vyexportovat.
• Doklad o tom, že jste odsouhlasili podmínky nebo zpracovatelskou smlouvu, držíme i po smazání účtu, a to tři roky. Zůstává z něj jen e-mail, který jste tehdy měli, verze dokumentu, čas a otisk adresy. Držíme ho proto, abychom uměli doložit, na základě čeho jsme data zpracovávali; po třech letech ho smažeme taky.
• Aktivace doplňku Sondo v administraci vašeho e-shopu: když si doplněk zapnete, pošle nám vaše platforma adresu obchodu a e-mailovou adresu majitele. Držíme ji jen proto, abychom vás poznali, až se u nás zaregistrujete, a aby vám nabídka na propojení e-shopu seděla. Pokud se nezaregistrujete, ten záznam do 90 dnů smažeme.
• E-mail z formuláře na úvodní stránce držíme, dokud ho potřebujeme k tomu, abychom se vám ozvali. Na požádání ho smažeme hned.
• Celý účet smažeme na požádání na info@sondo.cz. Není na to zatím tlačítko v aplikaci, děláme to ručně.

Vaše práva

Můžete chtít výpis svých údajů, opravu, smazání nebo přenesení. Napište na info@sondo.cz a ozveme se do několika dnů. Když si budete myslet, že s daty nakládáme špatně, můžete se obrátit na Úřad pro ochranu osobních údajů.