3.1. Údaje uživatelů Platformy

Při registraci a používání Platformy shromažďujeme:

• Identifikační údaje: jméno, příjmení, e-mailovou adresu
• Firemní údaje: název firmy, DIČ, adresu
• Přihlašovací údaje: heslo (uložené výhradně ve formě kryptografického otisku), tokeny relace
• Technické údaje: IP adresu, údaje o prohlížeči, operační systém
• Údaje o předplatném a platbách

3.2. Údaje z propojených e-commerce platforem

Z e-commerce systémů (WooCommerce, Magento, Shoper, Shopify, IdoSell, RedCart, PrestaShop, SkyShop):

• Transakční údaje: číslo objednávky, datum, stav, hodnota objednávky
• Produktové údaje: ID produktu, název, cena, kategorie, skladová zásoba, varianty
• Údaje koncových zákazníků v pseudonymizované podobě v rozsahu popsaném v bodě 3.6
• Informace o platebních a dopravních metodách (bez autentizačních údajů)
• Kódy slevových kupónů a informace o akcích

Z marketplace platforem:

• Údaje o nabídkách a produktech
• Transakční údaje a údaje o objednávkách
• Údaje o nákladech, poplatcích, provizích a bonusech
• Informace o kategoriích a cenách

3.3. Údaje z reklamních platforem

Google Ads:

• Statistiky kampaní: zobrazení, kliknutí, konverze
• Náklady na reklamu a údaje o výkonu kampaní
• Vyhledávací dotazy a údaje o reklamních sestavách

Podrobný popis údajů pocházejících ze služeb Google je uveden v oddílu 4 (Údaje uživatelů Google).

Meta Ads (Facebook, Instagram):

• Statistiky reklamních kampaní
• Údaje o interakcích a dosahu
• Náklady a výsledky konverzí

TikTok Ads:

• Údaje o reklamních kampaních
• Statistiky přehrání a interakcí
• Informace o nákladech a konverzích

Criteo a Tradetracker:

• Údaje o affiliate provizích
• Statistiky remarketingových kampaní

3.4. Údaje z Google Analytics

• Statistiky relací
• E-commerce události
• Navigační cesty a zdroje návštěvnosti

Úplný popis údajů pocházejících ze služeb Google je uveden v oddílu 4 (Údaje uživatelů Google).

3.5. Údaje, které Platforma NESHROMAŽĎUJE

E-mailovou adresu a telefonní číslo koncového zákazníka ukládáme výhradně ve formě kryptografického otisku (viz bod 3.6).

3.6. Údaje koncových zákazníků e-shopů (pověření ke zpracování)

Jménem Klienta jako zpracovatel zpracováváme tyto údaje přiřazené k objednávkám:

• identifikátor zákazníka přidělený e-shopovou platformou
• kryptografický otisk e-mailové adresy a telefonního čísla
• značky marketingových kampaní (např. UTM, gclid, fbclid)

Jde o osobní údaje v pseudonymizované podobě, zpracovávané výhradně za účelem poskytování analytické Služby Klientovi (např. analýzy nových a vracejících se zákazníků) za podmínek stanovených v § 9 Obchodních podmínek. Správcem těchto údajů je Klient.

4.1. Jaké údaje uživatelů Google získáváme

Po udělení vaší autorizace (OAuth 2.0) získáváme přístup výhradně v režimu pouze pro čtení (read-only) k následujícím údajům z vašich účtů Google:

• Google Ads: statistiky kampaní (zobrazení, kliknutí, konverze), náklady na reklamu, vyhledávací dotazy, údaje o reklamních sestavách a výkonu kampaní
• Google Analytics (GA4): údaje o relacích, e-commerce události, zdroje návštěvnosti a navigační cesty
• Google Merchant Center: údaje o produktech ve feedu, stav schválení nabídek, viditelnost a cenová konkurenceschopnost
• Google Search Console: údaje o výkonu ve vyhledávání (dotazy, stránky, kliknutí, zobrazení)

4.2. Jak využíváme údaje uživatelů Google

Údaje uživatelů Google využíváme výhradně k poskytování a zlepšování funkcí Platformy viditelných pro uživatele, tj. k analýze a vizualizaci marketingových a prodejních výsledků na vašich analytických přehledech v DataOrganizer.

4.3. Komu údaje uživatelů Google zpřístupňujeme, předáváme nebo sdělujeme

Údaje uživatelů Google mohou být zpřístupněny výhradně těmto kategoriím příjemců:

• Zpracovatelům (subzpracovatelům) nezbytným pro poskytování Služby, zejména poskytovateli cloudové infrastruktury Google Cloud Platform, na níž je Platforma hostována. Jednají výhradně na základě našich doložených pokynů a smluv o zpracování osobních údajů podle čl. 28 GDPR.
• Poskytovateli služeb AI: analytické funkce založené na umělé inteligenci jsou realizovány s využitím společnosti Anthropic (model Claude) jako zpracovatele, prostřednictvím Anthropic API, se zpracováním na serverech v USA na základě standardních smluvních doložek. Údaje předané tomuto poskytovateli, které mohou zahrnovat údaje pocházející ze služeb Google, se nepoužívají k trénování modelů AI.
• Státním orgánům, a to pouze tehdy, když to bezpodmínečně vyžadují platné právní předpisy nebo pravomocná žádost (např. orgánům činným v trestním řízení).
• Pověřeným spolupracovníkům v rámci naší organizace na principu omezeného přístupu („need to know“), kteří jsou vázáni mlčenlivostí.

4.4. Soulad s Google API Services User Data Policy (Limited Use)

V původním znění (en): DataOrganizer’s use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, včetně požadavků Limited Use.

4.5. Minimální rozsah přístupu (minimální rozsahy / OAuth scopes)

Žádáme výhradně o minimální rozsahy oprávnění (OAuth scopes) nezbytné pro fungování funkcí Platformy, a to pouze v režimu pro čtení (read-only). Nežádáme o přístup k údajům ani o oprávnění nad rámec toho, co je nezbytné pro analýzu marketingových a prodejních dat. Nežádáme o rozsahy „do zásoby“ ani pro dosud nezavedené funkce.

4.6. Ochrana údajů uživatelů Google

Na údaje uživatelů Google se vztahují stejná bezpečnostní opatření, jaká jsou popsána v oddílu 9, včetně šifrování při přenosu (TLS) a při ukládání (AES-256), řízení přístupu a zaznamenávání administrátorských operací. Přístupové tokeny (OAuth) jsou uloženy v zabezpečené databázi v infrastruktuře Google Cloud, šifrované v klidovém stavu.

4.7. Uchovávání a mazání údajů uživatelů Google

• Údaje uživatelů Google uchováváme pouze po dobu aktivní integrace.
• Po odpojení integrace (odvolání autorizace) nebo na vaši žádost jsou údaje smazány do 30 dnů, ze záložních kopií do 90 dnů.
• Autorizaci můžete kdykoli odvolat v nastavení účtu DataOrganizer nebo na stránce oprávnění účtu Google: myaccount.google.com/permissions.

4.8. Doplněk Google Workspace (Google Apps Script)

Doplněk DataOrganizer pro Google Workspace je postaven na Google Apps Script a využívá tyto rozsahy oprávnění:

• script.scriptapp: umožňuje doplňku jednat vaším jménem, včetně vytváření a obsluhy spouštěčů (např. automatické, pravidelné obnovování dat);
• script.container.ui: umožňuje zobrazovat rozhraní doplňku (boční panel, dialogová okna) uvnitř aplikace Google;
• script.external_request: umožňuje doplňku připojit se k externímu rozhraní API DataOrganizer, načíst Vaše analytická data a zpřístupnit je v doplňku.

Doplněk nečte žádné další Vaše soubory ani dokumenty Google nad rámec nezbytný pro fungování výše popsaných funkcí.

5.1. Poskytování analytické služby

Účel: Analýza a vizualizace e-commerce dat, aby uživatelé mohli sledovat obchodní výsledky.

Právní základ:

• Čl. 6 odst. 1 písm. b) GDPR: plnění smlouvy (poskytování služby DataOrganizer)
• Čl. 6 odst. 1 písm. f) GDPR: oprávněný zájem spočívající v zajištění funkčnosti Platformy

Údaje koncových zákazníků (bod 3.6) zpracováváme na pokyn Klienta jako správce, na základě smlouvy o zpracování osobních údajů (čl. 28 GDPR, § 9 Obchodních podmínek).

5.2. Správa uživatelského účtu

Účel: Vytvoření a správa uživatelského účtu, ověřování, komunikace.

Právní základ: Čl. 6 odst. 1 písm. b) GDPR: plnění smlouvy.

5.3. Vyúčtování a platby

Účel: Správa předplatného, fakturace, zpracování plateb.

Právní základ:

• Čl. 6 odst. 1 písm. b) GDPR: plnění smlouvy
• Čl. 6 odst. 1 písm. c) GDPR: právní povinnost (daňové a účetní předpisy)

5.4. Technická podpora

Účel: Poskytování technické pomoci, řešení problémů, komunikace s uživateli.

Právní základ: Čl. 6 odst. 1 písm. b) a f) GDPR.

5.5. Bezpečnost a odhalování zneužití

Účel: Zajištění bezpečnosti Platformy, odhalování zneužití a jeho předcházení.

Právní základ: Čl. 6 odst. 1 písm. f) GDPR: oprávněný zájem (bezpečnost systémů).

5.6. Analýza a zlepšování služby

Účel: Analýza způsobu používání Platformy, vývoj funkcí, optimalizace výkonu.

Právní základ: Čl. 6 odst. 1 písm. f) GDPR: oprávněný zájem.

5.7. Marketing (s Vaším souhlasem)

Účel: Zasílání newsletteru, informací o nových funkcích a propagačních nabídek.

Právní základ: Čl. 6 odst. 1 písm. a) GDPR: dobrovolný souhlas (který lze kdykoli odvolat).

Marketing provádíme výhradně na základě kontaktních údajů uživatelů Platformy. Pro marketingové aktivity nepoužíváme data uživatelů Google (viz oddíl 4.2).

6.1. Data uživatelů Platformy

Po dobu trvání smlouvy: Data jsou uchovávána po celou dobu používání Platformy.

Po ukončení smlouvy:

• Data nezbytná pro vyúčtování: 5 let (v souladu s daňovými předpisy)
• Data z komunikace s podporou: 3 roky
• Ostatní data: 30 dní od deaktivace účtu

6.2. Data z propojených platforem

• Během aktivní integrace: data se synchronizují jednou denně
• Po odpojení integrace nebo zrušení účtu: data jsou smazána do 30 dní
• Uživatel může požádat o dřívější smazání dat
• Zálohy: data jsou ze záloh odstraněna nejpozději do 90 dní

Podrobná pravidla uchovávání a mazání dat uživatelů Google jsou popsána v oddílu 4.7.

6.3. Interakce s funkcemi AI

Interakce s funkcemi AI (historie konverzací) se uchovávají za účelem poskytování služby a jejího rozvoje a zlepšování, nejdéle 12 měsíců od jejich vytvoření, poté jsou automaticky smazány. Dříve jsou smazány spolu s daty účtu po jeho zrušení.

7.1. Hlavní infrastruktura

Google Cloud Platform (GCP), region Evropa:

• Analytická data: region europe-west1 (Belgie)
• Data aplikace: region europe-central2 (Varšava)
• Zálohy: ve stejných regionech
• Část dat o používání Platformy může být uložena v multiregionu EU, výhradně na území Evropské unie

7.2. Soulad s požadavky GDPR

Všechna hlavní data jsou uložena na území Evropské unie v infrastruktuře s certifikacemi: ISO/IEC 27001, ISO/IEC 27017, ISO/IEC 27018, SOC 2/SOC 3.

7.3. Předávání dat mimo EHP

V omezeném rozsahu mohou být data předávána mimo Evropský hospodářský prostor:

• v rámci funkcí AI: společnosti Anthropic (USA), na základě standardních smluvních doložek schválených Evropskou komisí
• společností Google a jejími subdodavateli (např. v rámci technické podpory), na základě standardních smluvních doložek
• v rámci zpracování plateb: společnosti Stripe, Inc. (USA), na základě EU-US Data Privacy Framework a standardních smluvních doložek

Seznam zemí s rozhodnutím o odpovídající ochraně: commission.europa.eu

8.1. Zpracovatelé

• Poskytovatel cloudové infrastruktury: Google Cloud Platform
• Poskytovatel služeb AI: Anthropic (model Claude), pro analytické funkce založené na AI; poskytovateli se předává obsah dotazu a výsledky zpracovaných přehledů, ve kterých jsou koncoví zákazníci uvedeni pouze jako kryptografický otisk (hash); data se nepoužívají k trénování modelů
• Platební operátor: Stripe (v rozsahu nezbytném pro správu předplatného)
• Poskytovatel e-mailu a kancelářských nástrojů: Google Workspace
• Spolupracovníci DATADIARY vázaní dohodami o mlčenlivosti

Aktuální seznam dalších zpracovatelů tvoří přílohu č. 1 Obchodních podmínek.

8.2. Subjekty oprávněné ze zákona

Data mohou být zpřístupněna státním orgánům, pokud to vyžadují právní předpisy (např. finanční úřady, orgány činné v trestním řízení).

8.3. Žádný prodej a žádné předávání pro reklamní účely

8.4. Zdroje dat

8.5. Smlouvy o zpracování osobních údajů

Se všemi subjekty, které zpracovávají data naším jménem, uzavíráme smlouvy o zpracování osobních údajů v souladu s čl. 28 GDPR.

9.1. Technická opatření

Šifrování:

• Přenos dat: TLS
• Ukládání dat: AES-256
• Hesla uživatelů: uchovávána výhradně ve formě kryptografického otisku (hash) v zabezpečené ověřovací službě (hesla neukládáme v čitelné podobě)
• Přístupové tokeny k integracím: uloženy v zabezpečené databázi v infrastruktuře Google Cloud, šifrované v klidovém stavu

Řízení přístupu:

• Vynucené dvoufaktorové ověření (2FA) pro účty týmu DATADIARY s přístupem k infrastruktuře
• Dvoufaktorové ověření (2FA) pro uživatele Platformy: plánováno
• Dočasné zablokování přihlášení po několika neúspěšných pokusech
• Princip nejnižších oprávnění
• Přístupové logy a audit činností

Zabezpečení infrastruktury:

• Oddělení dat jednotlivých Klientů v samostatných databázích
• Spravovaná infrastruktura Google Cloud
• Automatická upozornění na chyby a nesrovnalosti ve fungování služby
• Automatické denní zálohy a pravidelné testy jejich obnovy

9.2. Organizační opatření

• Zásady bezpečnosti informací
• Závazek spolupracovníků dodržovat zásady bezpečnosti informací
• Postupy reakce na incidenty
• Omezený přístup k osobním údajům (na principu „need to know“)
• Dohody o mlčenlivosti se spolupracovníky

9.3. Certifikace a audity

Infrastruktura je postavena na Google Cloud Platform, která má certifikace: ISO/IEC 27001, ISO/IEC 27017, ISO/IEC 27018, SOC 2 Type II.

10.1. Právo na přístup (čl. 15 GDPR)

• Potvrzení, zda zpracováváme Vaše osobní údaje
• Kopie zpracovávaných osobních údajů
• Informace o účelech zpracování, kategoriích údajů a příjemcích

Jak právo uplatnit: contact@dataorganizer.io

10.2. Právo na opravu (čl. 16 GDPR)

Můžete požadovat opravu nesprávných nebo doplnění neúplných údajů přímo v nastavení účtu nebo e-mailem na contact@dataorganizer.io.

10.3. Právo na výmaz („právo být zapomenut“) (čl. 17 GDPR)

Můžete požádat o výmaz údajů, pokud: údaje již nejsou potřebné pro účely zpracování, byl odvolán souhlas, byla vznesena námitka nebo jsou údaje zpracovávány protiprávně.

10.4. Právo na omezení zpracování (čl. 18 GDPR)

Můžete požádat o omezení zpracování údajů v určitých situacích (např. během ověřování správnosti údajů).

10.5. Právo na přenositelnost údajů (čl. 20 GDPR)

Máte právo získat své údaje ve strukturovaném, běžně používaném formátu (CSV nebo Parquet), za podmínek stanovených v § 14 Obchodních podmínek.

10.6. Právo vznést námitku (čl. 21 GDPR)

Můžete vznést námitku proti zpracování údajů z důvodů týkajících se Vaší konkrétní situace nebo proti zpracování pro účely přímého marketingu (kdykoli a bez podmínek).

10.7. Právo odvolat souhlas (čl. 7 odst. 3 GDPR)

Pokud zpracování probíhá na základě souhlasu, můžete jej kdykoli odvolat, aniž by tím byla dotčena zákonnost předchozího zpracování. Autorizaci přístupu ke službám Google můžete zrušit v nastavení účtu DataOrganizer nebo na stránce myaccount.google.com/permissions.

10.8. Právo podat stížnost (čl. 77 GDPR)

10.9. Uplatnění práv

Lhůta pro vyřízení: Do 30 dní od obdržení žádosti (s možností prodloužení o dalších 60 dní, o kterém Vás informujeme). Uplatnění práv je zpravidla bezplatné.

10.10. Údaje koncových zákazníků e-shopů

Žádosti týkající se údajů koncových zákazníků e-shopů (bod 3.6) je třeba směřovat na provozovatele e-shopu jako správce těchto údajů. DATADIARY správci s jejich vyřízením pomáhá.

11.1. Co jsou soubory cookies?

Soubory cookies jsou malé textové soubory, které odesílá server a které se ukládají v zařízení uživatele. Umožňují rozpoznat prohlížeč při dalších návštěvách.

11.2. Jaké cookies používáme?

Nezbytné cookies (nevyžadují souhlas):

• Ověřování a správa relace
• Bezpečnost (ochrana CSRF)
• Základní funkce Platformy

Statistické cookies (vyžadují souhlas):

• Google Analytics (měření návštěvnosti, statistiky používání)
• Analýza výkonu Platformy

Preferenční cookies (vyžadují souhlas):

• Ukládání uživatelských nastavení
• Jazyk rozhraní, předvolby zobrazení

Marketingové cookies (vyžadují souhlas):

• Sledování konverzí z reklamních kampaní
• Remarketing, personalizace marketingového obsahu

11.3. Právní základ

• Nezbytné cookies: čl. 6 odst. 1 písm. f) GDPR (oprávněný zájem)
• Ostatní cookies: čl. 6 odst. 1 písm. a) GDPR (souhlas uživatele)

11.4. Správa cookies

Po vstupu na stránku se zobrazí panel, ve kterém můžete přijmout všechny cookies, odmítnout všechny (kromě nezbytných) nebo upravit nastavení pro jednotlivé kategorie. Nastavení lze kdykoli změnit kliknutím na ikonu v levém dolním rohu stránky.

11.5. Doba uložení

• Relační cookies: do zavření prohlížeče
• Trvalé cookies: podle data vypršení platnosti (maximálně 24 měsíců)

13.1. Integrace Shopify

Rozsah dat: data objednávek (hodnota, stav, datum), data produktů (ID, název, cena, varianty, kategorie), data koncových zákazníků výhradně v pseudonymizované podobě, v rozsahu popsaném v bodě 3.6.

Autorizace: OAuth 2.0 provedená vlastníkem obchodu. Smazání dat: po odinstalování aplikace nebo na žádost, a to do 30 dnů. Soulad: Shopify API Terms of Service a GDPR Requirements.

13.2. Integrace WooCommerce

Transakční a produktová data a data koncových zákazníků v pseudonymizované podobě (bod 3.6), získávaná prostřednictvím WooCommerce REST API. Autorizace: API klíče vygenerované vlastníkem obchodu v administraci WooCommerce.

13.3. Integrace Google Ads, Google Analytics, Google Merchant Center a Google Search Console

Data reklamních kampaní, statistiky návštěvnosti, data produktového feedu a výkon ve vyhledávači. Autorizace: OAuth 2.0 v režimu pouze pro čtení. Soulad s Google Ads API Terms, Google Analytics Terms of Service a Google API Services User Data Policy (včetně Limited Use). Úplný popis v oddílu 4.

13.4. Integrace Meta Ads

Statistiky kampaní na Facebooku a Instagramu. Autorizace: Facebook Business Manager OAuth. Soulad s Meta Platform Terms a Business Tools Terms.

13.5. Ostatní integrace

Obdobná pravidla platí pro integrace s: Magento, Shoper, IdoSell, RedCart, PrestaShop, SkyShop, marketplace, TikTok Ads, Criteo, Tradetracker.

14.1. Práva obyvatel Kalifornie (CCPA)

Pokud jste obyvateli Kalifornie, máte podle California Consumer Privacy Act další práva:

• Právo na informace o shromažďovaných datech
• Právo na výmaz dat
• Právo odmítnout „prodej“ dat (data neprodáváme)
• Právo na nediskriminaci

Kontakt: contact@dataorganizer.io s předmětem „CCPA Request“

14.2. Práva obyvatel Spojeného království (UK GDPR)

Uplatňujeme standardy ochrany dat v souladu s UK GDPR. Dozorový úřad: Information Commissioner’s Office (ICO), ico.org.uk.

16.1. Aktualizace

Vyhrazujeme si právo tyto Zásady ochrany osobních údajů aktualizovat, aby odrážely změny právních předpisů, funkcí Platformy nebo postupů zpracování dat. O každé změně způsobu využití dat uživatelů Google budeme uživatele informovat předem.

16.2. Oznámení

O podstatných změnách budeme informovat e-mailem (30 dní předem), oznámením v Platformě a aktualizovaným datem „Poslední aktualizace“ v horní části dokumentu. Předchozí verze Zásad zpřístupňujeme v archivu spolu s obdobím jejich platnosti.

16.3. Přijetí změn

Pokračování v používání Platformy po provedení změn znamená přijetí aktualizovaných Zásad. V případě podstatných změn můžeme vyžadovat nový souhlas.

18.1. Jazyk

Zásady ochrany osobních údajů jsou k dispozici v polském a anglickém jazyce. V případě rozporů je závazná polská verze.

18.2. Rozhodné právo

Tyto Zásady a veškeré záležitosti s nimi související se řídí polským právem.

18.3. Oddělitelnost ustanovení

Pokud bude kterékoli ustanovení Zásad shledáno neplatným nebo nevymahatelným, ostatní ustanovení zůstávají v plné platnosti.

18.4. Související dokumenty

Tyto Zásady ochrany osobních údajů je třeba číst společně s:

• Obchodními podmínkami Platformy DataOrganizer, zejména s § 9 (pověření zpracováním dat), § 13 (bezpečnost) a § 14 (export a smazání dat)
• Podmínkami poskytování služeb (Terms of Service)