Ochrana údajů

Tahle stránka popisuje, jak s daty nakládá Sondo, tedy web sondo.cz a aplikace na app.sondo.cz. Týká se vás jako návštěvníka a jako uživatele Sonda. Zpracování dat vašich zákazníků řeší samostatný dokument Zpracování osobních údajů.

Kdo je správce

• Kulatá kostka s.r.o., IČO 10731041
• Rudolfovská tř. 1965/29, České Budějovice 3, 370 01 České Budějovice
• Datová schránka 6a3hs7u
• Ve věcech ochrany údajů pište na info@sondo.cz.

Když nám napíšete

Z formuláře Napište nám na sondo.cz ukládáme jméno, pokud ho vyplníte, e-mail a text zprávy. Zprávu zároveň dostaneme e-mailem do schránky info@sondo.cz. Použijeme je jen k tomu, abychom vám odpověděli. Žádný newsletter, žádné přeprodávání adres. IP adresu ke zprávě neukládáme. Hodinu držíme jen její otisk, podle kterého počítáme pokusy, aby formulář nešlo zahltit; před roboty ho navíc chrání Cloudflare Turnstile.

Stejně nakládáme se zpětnou vazbou, kterou nám pošlete z aplikace. Ukládáme text zprávy, jeho druh (chyba, nápad nebo jiné), stránku, ze které jste ji poslali, a váš účet, abychom věděli, od koho zpráva je, a mohli vám odpovědět. Použijeme to jen k vyřízení vaší zprávy a ke zlepšování aplikace.

Když máte účet

Ukládáme e-mail, jméno, pokud ho vyplníte, a technický záznam o tom, co jste v aplikaci dělali, abychom uměli poradit s podporou. Heslo neznáme, drží ho Supabase v podobě, ze které se zpět přečíst nedá.

Hned po registraci vám nabídneme, že vám Sondo pomůžeme nastavit po telefonu. Jen když o to stojíte a číslo nám necháte, uložíme telefon a čas žádosti a pošleme si je e-mailem, abychom vám mohli zavolat. K ničemu jinému je nepoužijeme. Termín si pak vybíráte v rezervačním kalendáři Google, který je v aplikaci vložený; co do něj vyplníte, drží za nás Google v našem kalendáři. Týž kalendář je i za tlačítkem online ukázky na sondo.cz a platí pro něj totéž.

Když připojíte Google Analytics

Sondo si vyžádá jediné oprávnění, analytics.readonly, tedy přístup jen ke čtení. Užší oprávnění pro čtení GA4 neexistuje.

• Co čteme: seznam vašich služeb v GA4 (v anglické administraci Googlu „property“), abyste si mohli vybrat tu správnou, a z vybrané služby transakce za posledních 7 dní: číslo transakce, datum, zdroj, médium, kampaň a tržbu. U poptávek čteme místo transakcí počet události, kterou si sami vyberete (například odeslání formuláře), po dnech i po minutách, se stránkou, doménou, zdrojem, médiem a kampaní; adresu stránky ukládáme bez čísel a kódů. Za týchž 7 dní čteme i počet návštěv po dnech a ukládáme z něj jen poslední den, kdy nějaká návštěva byla. U každé nabízené služby si navíc přečteme počet návštěv za posledních 30 dnů, abyste tu svoji poznali. Když s tím při připojení souhlasíte, nebo v průvodci založením webu kliknete na „Vylepšit podle dat z GA4“, přečteme pro návrh dotazníku počet návštěv a objednávek (u poptávek vybrané události) podle kanálů a nejčastějších zdrojů za posledních 30 dní.
• K čemu to je: párujeme transakce a poptávky s odpověďmi vašich zákazníků a ukazujeme vám, kolik objednávek a poptávek analytika nevidí vůbec a u kolika se rozchází s tím, co řekl zákazník. Podle návštěv a objednávek poznáme, že měření běží, a když přestane, ozveme se. S vaším souhlasem navíc podle toho, odkud k vám lidé chodí, upravíme návrh dotazníku v průvodci i návrh lepšího dotazníku. K ničemu jinému.
• Kde to leží: v databázi v Irsku. Přístupový klíč k vaší službě držíme zašifrovaný a nemá k němu přístup ani běžná role aplikace.
• Komu to předáváme: nikomu, s jedinou výjimkou. Data z vaší Analytics nikomu neprodáváme a nezobrazujeme je nikomu kromě vás a lidí, které si sami pozvete ke svému webu. Výjimkou je návrh dotazníku pomocí AI (vylepšení návrhu v průvodci a návrh lepšího dotazníku): jen s vaším souhlasem dostane jazykový model podíly návštěv a objednávek podle kanálů a zdrojů v celých procentech, bez počtů. Poskytovatel AI tak dostane jen čísla, zdroje a podíly, nikdy konkrétní údaje o vašich zákaznících ani čísla objednávek. Souhlas dáváte větou u tlačítka pro připojení Google Analytics a zaznamenáme si, kdo a kdy ho dal a v jakém znění; u dřívějších připojení bez té věty je souhlasem kliknutí na „Vylepšit podle dat z GA4“.
• Jak to zmizí: přístup můžete kdykoli odebrat v Napojení GA4. Tím rovnou mažeme uložené klíče a Sondo se do vaší služby víc nepodívá. Už stažené transakce zůstávají u vašeho webu, abyste nepřišli o dosavadní srovnání; mizí spolu s webem, a když je chcete pryč dřív, napište nám.
• Do vaší služby nic nezapisujeme. Jiné Google API voláme jen tehdy, když si sami propojíte Google tabulku, a jen k tomu, co popisuje odstavec níž.

Když propojíte Google tabulku

Sondo si vyžádá jediné oprávnění, drive.file, tedy přístup jen k souborům, které samo vytvoří. K ostatním souborům na vašem Disku Google se nedostane.

• Co děláme: na vašem Disku vytvoříme jednu tabulku a zapisujeme do ní odpovědi vašeho webu, se stejnými sloupci jako export do CSV. Z Disku nic dalšího nečteme.
• Kde to leží: tabulka je vaše a leží na vašem Disku Google. U nás zůstává jen zašifrovaný přístupový klíč a označení tabulky, abychom do ní mohli zapisovat.
• Jak to zmizí: propojení můžete kdykoli zrušit v nastavení webu v části Google tabulka. Tím mažeme uložený klíč a do tabulky už nic nezapíšeme. Tabulka zůstane na vašem Disku, dokud ji sami nesmažete.

Použití údajů z Google API se řídí zásadami Google API Services User Data Policy včetně požadavků na omezené použití (Limited Use). Konkrétně to znamená, že data z vaší Analytics používáme jen k tomu, abychom vám v Sondu ukázali srovnání vašich objednávek s tím, co o nich tvrdí analytika, a když s tím při připojení nebo v průvodci založením webu souhlasíte, k návrhu úprav vašeho dotazníku. Nepoužíváme je k reklamě ani k cílení, neprodáváme je a nepředáváme je nikomu dalšímu kromě jazykového modelu u těchto návrhů. Nepoužíváme je ani k vývoji nebo trénování modelů umělé inteligence. Sondo používá AI k návrhům a úpravám dotazníku a k dalším funkcím aplikace, jako jsou překlady, shrnutí, přehledy a doporučení. Vedle veřejných informací o vašem webu a textu vašeho dotazníku dostává AI jen čísla, zdroje a podíly: souhrny odpovědí vašich zákazníků a, jen s vaším souhlasem, souhrny z vaší Analytics. Nikdy nedostane konkrétní údaje o vašich zákaznících: žádnou jednotlivou odpověď, objednávku ani číslo objednávky a žádný osobní údaj zákazníka. S vaším Diskem Google pracujeme jen s tabulkou, kterou Sondo samo vytvořilo, a jen do ní zapisujeme odpovědi vašeho webu; nic z ní nepoužíváme k reklamě ani k trénování modelů a nikomu to nepředáváme.

Člověk u nás se na data z vaší Analytics nepodívá, s výjimkou čtyř případů, které připouští i Google: když nám k tomu dáte souhlas (typicky při řešení podpory), kvůli bezpečnosti, kvůli zákonné povinnosti, nebo v souhrnné a anonymizované podobě pro vlastní provoz služby.

Jak vaše data chráníme

• Cestou k nám i zpátky jsou data šifrovaná. Sondo jede výhradně po HTTPS a prohlížeči to předem oznamuje, takže se o nešifrované spojení ani nepokusí.
• Přístupový klíč k vaší Analytics ukládáme zašifrovaný algoritmem AES-256-GCM. Šifrovací klíč v databázi vůbec není, drží ho zvlášť prostředí aplikace, takže ze samotné databáze se váš přístup do Analytics přečíst nedá. Tabulka s ním navíc nemá přidělené právo ke čtení pro roli, pod kterou běží přihlášený uživatel: ani chybně napsaný dotaz z aplikace se k němu nedostane.
• Uložená data jsou šifrovaná i na úrovni úložiště a databáze stojí v Irsku, tedy v Evropské unii.
• Kdo se k čemu dostane, rozhoduje databáze, ne aplikace. Nad každou tabulkou jsou pravidla na úrovni jednotlivých řádků, takže i chybně napsaný dotaz vrátí jen data webů, ke kterým patříte. Ověřují to automatické testy, které běží při každé změně a čtou data pod rolí běžného přihlášeného člověka, ne pod správcem databáze.
• Do ostrého prostředí se dostane jen ten, kdo Sondo provozuje, a jen tehdy, když je to potřeba k provozu nebo k vyřešení vaší podpory. Přístupové klíče ke službám leží v zabezpečeném úložišti proměnných u poskytovatele hostingu, nikdy v kódu ani ve zdrojovém repozitáři.
• Vaše heslo neznáme. Drží ho Supabase v podobě, ze které se zpět přečíst nedá, a nové heslo musí projít kontrolou délky i pestrosti. Pokusy o přihlášení jsou z jedné adresy omezené, aby heslo nešlo uhádnout opakovaným zkoušením.
• Sbíráme co nejmíň. Z děkovací stránky vašeho e-shopu umí widget přečíst jen dvě pole o objednávce, číslo objednávky a částku, a hlídá to test, který neprojde, kdyby odešel e-mail, telefon nebo adresa zákazníka. Vedle nich pošle jen jazyk stránky a cestu v její adrese, kterou ještě v prohlížeči očistí od čísel a kódů. Když máte dotazníků víc, přidá k cestě z parametrů adresy jen tři značky kampaně (utm_source, utm_medium a utm_campaign), podle kterých vybereme ten správný dotazník; ty jen porovnáme a neukládáme. Z Analytics si Sondo bere jen oprávnění ke čtení a z něj jen transakce a počty jedné vybrané události za posledních sedm dní, s vaším souhlasem i souhrn návštěv podle kanálů a zdrojů pro návrh dotazníku. IP adresy si u ochrany přihlašování ukládáme jen v podobě otisku, ne jako čitelnou adresu. Co nemáme, nemůže uniknout.
• Zálohy databáze pořizuje poskytovatel denně, aby se data dala obnovit i po chybě na naší straně.
• Kdyby se přesto něco stalo: bezpečnostní incident vám oznámíme bez zbytečného odkladu a nahlásíme ho Úřadu pro ochranu osobních údajů do 72 hodin, jak ukládá GDPR. Podezření na díru nám pište na info@sondo.cz.

Kdo data zpracovává

• Supabase - databáze, přihlašování a úložiště souboru widgetu, Irsko (Amazon Web Services, region eu-west-1)
• Vercel - provoz aplikace a rozhraní pro sběr; údaje jím procházejí, trvale je neukládá, výpočet v regionu Dublin, Irsko
• Resend - odesílání provozních e-mailů služby (potvrzení adresy, pozvánka, první odpověď, měsíční report, hlídač mlčícího widgetu); údaje jím procházejí, trvale je neukládá, doména založená v regionu Evropské unie (Irsko)
• Functional Software - hlášení chyb aplikace a serveru, Německo (evropský region dodavatele)
• Cloudflare - úložiště šifrované denní zálohy databáze (R2); dále ochrana registračního a kontaktního formuláře (Turnstile) a správa domény sondo.cz, záloha v Evropské unii (úložiště v jurisdikci EU); ochrana formulářů a domény v celosvětové síti dodavatele
• GitHub - běh denní zálohovací úlohy a měsíčního nácviku obnovy, každý na novém dočasném počítači; zálohu trvale neukládá, dočasné počítače v Microsoft Azure; místo běhu dodavatel neuvádí, mohou to být i Spojené státy americké
• Stripe Payments Europe - platby za placené tarify, Irsko
• OpenRouter - zprostředkování jazykového modelu pro funkce aplikace, které využívají umělou inteligenci (návrhy a úpravy dotazníku, překlady, shrnutí, přehledy a doporučení): první návrh dotazníku se připraví sám po založení webu, jeho vylepšení podle Google Analytics 4 samo se souhlasem daným při připojení Google Analytics 4, ostatní, když si o ně uživatel řekne, Spojené státy americké
• Anthropic PBC - jazykový model claude-opus-5, dostupný přes OpenRouter; poddodavatel předchozí položky, Spojené státy americké
• SideGuide Technologies - služba Firecrawl: přečtení veřejné úvodní stránky webu správce, její strojové shrnutí a rozpoznání hlavní barvy webu pro návrh dotazníku umělou inteligencí; poprvé samo po založení webu, dál jen když si o návrh uživatel řekne, Spojené státy americké
• Google Ireland Limited - měření návštěvnosti sondo.cz, jen se souhlasem návštěvníka, a rezervace termínu online ukázky nebo nastavení Sonda v Google Kalendáři, jen když si ji člověk sám vybere, Evropská unie
• Meta Platforms Ireland Limited - měření konverzí ze serveru (Conversions API) při registraci, žádosti o hovor s nastavením a zaplacení předplatného, bez ohledu na souhlas s cookies a s možností námitky v aplikaci

Google není dalším zpracovatelem Sonda. Účet Google Analytics 4 provozuje správce a Google je jeho vlastním zpracovatelem. Sondo z tohoto účtu na základě pověření uděleného správcem pouze čte údaje podle bodu 5.4 přílohy č. 1 a nic do něj nezapisuje. Totéž platí pro tabulku Google, propojí-li ji správce: leží na jeho Disku Google a Sondo do ní na jeho pokyn pouze zapisuje odpovědi podle odstavce 5.9 smlouvy. Použití těchto údajů se řídí zásadami Google API Services User Data Policy včetně požadavků na omezené použití.

Cookies a měření

Aplikace používá přihlašovací cookie, bez které byste se neudrželi přihlášení. Ta je nezbytná a souhlas nepotřebuje. Když jste přihlášení, zapíšeme vedle ní na sondo.cz ještě cookie sondo-signed-in s jedinou hodnotou „1“, aby vám hlavička webu místo přihlášení nabídla cestu do aplikace. Nic o vás v ní není a po odhlášení zmizí.

Na sondo.cz měříme návštěvnost a vyhodnocujeme reklamu přes Google Tag Manager. Nespustí se, dokud nekliknete na souhlas: než odpovíte, jsou všechna měřicí oprávnění nastavená na „zamítnuto“ (Google Consent Mode v2) a žádná měřicí cookie nevzniká. Souhlas si pamatujeme v cookie cookie_consent a můžete ho kdykoli změnit nebo odvolat odkazem „Nastavení cookies“ v patičce.

Vedle toho posíláme Metě (Facebook, Instagram) přímo ze serveru tři okamžiky: registraci, žádost o hovor s nastavením a zaplacení předplatného. Předáváme otisk vaší e-mailové adresy a řetězec prohlížeče, u registrace a žádosti o hovor i IP adresu, u platby její částku a měnu. Pokud jste povolili marketingové cookies, přidáme i identifikátory z cookies Mety. Děje se to nezávisle na souhlasu s cookies, na základě oprávněného zájmu na měření vlastní reklamy (čl. 6 odst. 1 písm. f) GDPR). Proti tomu můžete kdykoli vznést námitku jedním zaškrtnutím v aplikaci v sekci Můj účet, nebo na info@sondo.cz; od té chvíle o vás Metě nic neposíláme. Údaje vašich zákazníků, tedy odpovědi a objednávky z vašeho webu, se Metě nepředávají nikdy.

Jak dlouho data držíme

• Klíče k vaší Analytics mažeme v tu chvíli, kdy GA4 odpojíte. Když stejný účet Google používáte u víc svých webů, smaže se klíč s odpojením posledního z nich.
• Odpovědi, sondy a stažené transakce držíme, dokud máte v Sondu ten web, nejdéle ale 24 měsíců od objednávky. Potom u nich smažeme číslo objednávky; zůstane samotná odpověď, která už se k nikomu přiřadit nedá. Dělá to denní úloha, nemusíte o to žádat. Když web smažete, mažeme všechno po 30 dnech; ta lhůta je schválně, abyste si to mohli rozmyslet a data si stihli vyexportovat.
• Provozní záznamy o tom, že se widget ozval, držíme 90 dnů a pak je mažeme. Je to náš technický deník, podle kterého poznáme, že měření na vašem webu běží; není v něm nic o vašich zákaznících ani o objednávkách. U každého webu si necháváme napořád jen první a poslední takový záznam, abychom uměli říct, odkdy se u vás měří a kdy se to naposledy ozvalo.
• Váš účet zrušíte v sekci Můj účet. Smažeme ho po 30 dnech i s weby, které vlastníte, a s nimi všechna jejich data; do té doby ho jde obnovit a data webů si stáhnout. Máte-li zaplacené předplatné, smažeme účet až po konci zaplaceného období. Weby, kde jste jen pozvaný uživatel, zůstanou jejich vlastníkům.
• Doklad o tom, že jste odsouhlasili podmínky nebo zpracovatelskou smlouvu, držíme i po smazání účtu, a to tři roky. Zůstává z něj jen e-mail, který jste tehdy měli, verze dokumentu, čas a otisk adresy. Držíme ho proto, abychom uměli doložit, na základě čeho jsme data zpracovávali; po třech letech ho smažeme taky.
• Aktivace doplňku Sondo v administraci vašeho e-shopu: když si doplněk zapnete, pošle nám vaše platforma adresu obchodu a e-mailovou adresu majitele. Držíme ji jen proto, abychom vás poznali, až se u nás zaregistrujete, a aby vám nabídka na propojení e-shopu seděla. Pokud se nezaregistrujete, ten záznam do 90 dnů smažeme.
• Zprávy z formuláře Napište nám a zpětnou vazbu z aplikace držíme 12 měsíců od odeslání a pak je smaže denní úloha. Kopii v naší e-mailové schránce mažeme ručně; na požádání smažeme obojí hned.
• Telefon, který nám necháte kvůli nastavení Sonda, držíme, dokud máte účet, a smažeme ho s ním. Na požádání ho smažeme hned.
• Celý účet smažeme na požádání na info@sondo.cz. Není na to zatím tlačítko v aplikaci, děláme to ručně.

Vaše práva

Můžete chtít výpis svých údajů, opravu, smazání nebo přenesení. Napište na info@sondo.cz a ozveme se do několika dnů. Když si budete myslet, že s daty nakládáme špatně, můžete se obrátit na Úřad pro ochranu osobních údajů.