Ochrana osobních údajů

Kdo údaje zpracovává

Správcem je Shingen s.r.o., IČO 192 48 334, se sídlem Na Hřebenkách 3340/122, Smíchov, 150 00 Praha 5, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze, oddíl C, vložka 383648. Kontakt info@korzaro.com, telefon +420 603 402 154.

Jaké údaje zpracováváme

U registračního formuláře jde o e-mailovou adresu, čas a místo formuláře a o to, odkud návštěva přišla: označení kampaně v adrese stránky a název webu, který vás k nám poslal, nikdy celou jeho adresu. Při volbě hesla můžete nepovinně uvést, odkud o nás víte. V kontaktním formuláři zpracováváme vámi uvedené jméno, e-mailovou adresu a text zprávy, abychom vám mohli odpovědět. Když si objednáte placený tarif, zpracováváme také fakturační údaje (název, IČO, DIČ, adresu a e-mail) a údaje o předplatném a platbách, a to kvůli plnění smlouvy; doklady uchováváme po dobu stanovenou účetními a daňovými předpisy. Kartu zadáváte přímo platební bráně Stripe; její číslo neukládáme ani nevidíme. Po aktivaci účtu zpracováváme také jméno, přihlašovací údaje, jazyk, členství a roli v projektu, bezpečnostní a auditní záznamy a komunikaci s podporou. U připojených služeb evidujeme jejich nastavení a technické identifikátory; tajné přístupy ukládáme šifrovaně. V aplikaci měříme povolené názvy obrazovek, produktové milníky, souhrnnou dobu používání a poslední aktivitu. Produktová analytika běží bez cookies a nahrávání relací, ale její poskytovatel může při přenosu obdržet technické údaje, například IP adresu a informace o zařízení.

Proč a na jakém základě údaje používáme

Adresou vás pustíme dovnitř: založíme z ní účet a čtrnáctidenní zkušební projekt, rovnou vás do něj pustíme a pošleme vám e-mail s odkazem, kterým adresu potvrdíte a nastavíte si heslo. Data projekt čte jen ze služeb, které sami napojíte; web odvozený z adresy začne procházet až po jejím potvrzení odkazem nebo ověřeným přihlášením přes Google či Apple. Adresu používáme i k tomu, abychom vám dali vědět, když se zkušební doba blíží ke konci.

Účet, trial, podporu a servisní zprávy zpracováváme kvůli uzavření a plnění smlouvy. Zabezpečení, prevenci zneužití, nezbytné provozní záznamy a střídmé měření používání opíráme o oprávněný zájem na bezpečném provozu a zlepšování služby. Novinky o vlastních obdobných službách posíláme stávajícím uživatelům na základě oprávněného zájmu, pokud to zákon dovoluje; v ostatních případech jen se souhlasem. Proti marketingu lze kdykoli vznést námitku nebo souhlas odvolat. Údaje neprodáváme ani je neposkytujeme jiným subjektům pro jejich vlastní reklamu.

E-mail je nutný k založení účtu, ověření přístupu a servisní komunikaci; bez něj nelze trial ani účet poskytnout. Ostatní profilové údaje jsou dobrovolné, pokud je konkrétní funkce neoznačí jako potřebné.

Jak údaje chráníme

Osobní údaje i data získaná prostřednictvím Google API, včetně Google Analytics, Search Console, Google Ads, Merchant Center, YouTube Analytics a Firemního profilu Google, chráníme těmito opatřeními:

• Šifrovaný přenos: spojení mezi vaším prohlížečem a Korzarem i mezi Korzarem a Google API používá HTTPS/TLS.
• Šifrované přístupové údaje: uložené obnovovací tokeny Google OAuth a další přístupové údaje integrací jsou v databázi šifrované. Šifrovací klíč uchováváme odděleně v chráněné konfiguraci serveru.
• Omezený přístup: přístup k datům e-shopu v aplikaci ověřujeme podle členství v projektu a uživatelské role. Provozní přístup mají pouze oprávnění správci. Produkční databáze ani cache nejsou přímo přístupné z veřejného internetu.
• Chráněné zálohy: databázové zálohy šifrujeme ještě před odesláním do neveřejného záložního úložiště. Klíč k jejich dešifrování je uložen mimo produkční server.
• Ochrana účtu a provozu: hesla ukládáme jako hashe, omezujeme opakované pokusy o přihlášení a cookies přihlášení mají ochrany Secure a HttpOnly. Zaznamenáváme bezpečnostní a správcovské akce a z chybových hlášení filtrujeme citlivé údaje.

Jak dlouho je držíme

Nepoužitý zkušební projekt po čtrnácti dnech pozastavíme. Samostatnou registraci, u které nikdo neaktivoval účet, nepřidal přístupy ani nezačal sbírat data, automaticky odstraníme z provozní databáze Korzara při prvním denním úklidu po uplynutí 30 dní od pozastavení, nejdříve však 30 dní po konci zkoušky. Smažeme projekt i účet založený pouze pro něj. Používané či sdílené účty a projekty automatický úklid nemaže; po ukončení služby je odstraníme nebo předáme podle smlouvy a vašeho požadavku. Nejednoznačné případy včetně starších registrací bez úplné historie ponecháme k individuálnímu posouzení. O dřívější smazání nám můžete napsat na info@korzaro.com.

Toto smazání se týká provozní databáze. Starší kopie mohou zůstat v šifrovaných zálohách a v záznamech již odeslaných e-mailů; jejich odstranění neprobíhá stejným denním úklidem; šifrované denní zálohy zanikají nejpozději po 90 dnech. U ostatních adres pro zasílání novinek platí možnost kdykoli se odhlásit, nejdéle je držíme tři roky od posledního kontaktu.

Bezpečnostní, auditní a účetní záznamy držíme po dobu nutnou k ochraně služby, doložení provedených kroků a splnění zákonných povinností; pravidelně posuzujeme, zda je ještě potřebujeme. Údaje nutné pro právní nároky lze uchovat po dobu jejich uplatnění nebo obrany.

Kdo se k nim dostane

Primární databáze Korzara běží u Hetzneru v Evropské unii. Cloudflare chrání síťový provoz a drží předem šifrované zálohy v evropské jurisdikci. E-maily posíláme přes Resend a chyby diagnostikujeme přes Sentry s vypnutým výchozím sběrem osobních údajů a těl požadavků. Produktová analytika PostHog dostává jen povolené názvy obrazovek, milníky a technická data bez názvu e-shopu, adresy nebo obsahu. Anthropic přes komerční API formuluje některé výstupy až poté, co podklad projde kontrolou osobních údajů. Placení předplatného a vystavení dokladů zajišťuje Stripe Payments Europe, Ltd. (Irsko). Poskytovatele smluvně zavazujeme. Někteří jsou usazeni v USA nebo mohou data zpracovat i mimo EHP; takové předání chrání rozhodnutí o odpovídající ochraně nebo standardní smluvní doložky. Informaci o použitém mechanismu a možnosti získat jeho kopii poskytneme na požádání.

Propojení s AI asistenty

Když vlastník projektu propojí Korzaro s externím AI asistentem, například Claude nebo ChatGPT, vybere projekt a oblasti, které smí asistent číst. Korzaro předá poskytovateli zvoleného asistenta agregovanou odpověď vyžádanou v daném rozhovoru. Poskytovatel odpověď zpracuje v rámci uživatelova účtu podle vlastních podmínek a nastavení ochrany dat. Přihlášení asistenta ke Korzaru ověřuje WorkOS, který k tomu zpracuje e-mailovou adresu a identifikátor účtu. Vlastník může připojení v Korzaru změnit nebo odvolat. Korzaro kvůli bezpečnosti a podpoře eviduje metadata přístupu, ale obsah odpovědi neukládá do záznamu MCP přístupu. Ovládání popisuje návod k připojení.

Mobilní aplikace

Aplikace Korzaro pro iPhone a Android zobrazuje tentýž účet jako web a zpracovává stejné údaje. Navíc v ní evidujeme, kolik lidí aplikaci za den a měsíc otevřelo, zvlášť pro iOS a Android, a to bez vazby na konkrétní účet. Počty stažení přebíráme ze souhrnných přehledů App Store a Google Play. Účet smažete přímo v aplikaci v Můj účet → Smazat účet nebo na stránce smazání účtu.

Co s tím můžete udělat

Kdykoli se můžete odhlásit odkazem v každém e-mailu, nebo nám napsat na info@korzaro.com a adresu smažeme. Máte také právo na přístup k údajům, jejich opravu nebo výmaz, omezení zpracování, přenositelnost tam, kde se uplatní, a právo vznést námitku proti zpracování založenému na oprávněném zájmu. Souhlas lze kdykoli odvolat bez vlivu na zákonnost předchozího zpracování. Žádost je zdarma a odpovíme na ni zpravidla do jednoho měsíce. Stížnost lze podat u Úřadu pro ochranu osobních údajů. Pokud jednáte za e-shop a žádost se týká jeho zákaznických dat, obraťte se nejdřív na provozovatele e-shopu; Korzaro je u těchto údajů jeho zpracovatelem.

Odkud údaje máme a automatizované rozhodování

Údaje získáváme od vás, od provozovatele projektu, který vás pozval, a z připojených služeb podle oprávnění, která schválíte. Pokud údaje nezískáme přímo od vás, informaci vám zpřístupníme nejpozději při první komunikaci, ledaže ji už máte nebo platí zákonná výjimka. Nad uživateli účtu neděláme automatizované rozhodování s právním nebo obdobně významným účinkem.

Data zákazníků e-shopu

U těchto dat rozhoduje o účelu a rozsahu provozovatel e-shopu. Podrobnosti jsou ve zpracovatelských podmínkách a v bezpečnostní příloze.

Cookies a měření návštěvnosti webu

Návštěvnost webu korzaro.com a výsledky naší reklamy měříme na základě oprávněného zájmu na zlepšování a propagaci webu. Cloudflare Web Analytics nepoužívá cookies ani jiné úložiště v prohlížeči a návštěvníky neidentifikuje. Google Analytics 4 od společnosti Google Ireland Limited ukládá analytické cookies _ga a _ga_* s platností až dva roky, aby rozpoznal opakovanou návštěvu. Google přitom zpracovává pseudonymní identifikátor prohlížeče, zobrazené stránky, odkazující web, přibližnou polohu podle IP adresy a údaje o zařízení; údaje mohou být předány do USA v rámci EU-US Data Privacy Framework. Meta pixel od společnosti Meta Platforms Ireland Limited ukládá cookie _fbp s platností tři měsíce a předává Metě zobrazené stránky a založení zkušební verze, abychom mohli měřit a cílit reklamu na Facebooku a Instagramu; i tady mohou být údaje předány do USA. Když si po zkušební verzi předplatné zaplatíte, pošleme Googlu a Metě k týmž identifikátorům a typu prohlížeče ještě informaci o první platbě (číslo faktury a částku bez DPH), abychom věděli, která reklama přivedla platícího zákazníka; e-mail ani jméno nepředáváme. V přehledech vidíme jen souhrnná čísla. Cookies můžete odmítnout nebo smazat v nastavení prohlížeče.