Ochrana osobních údajů

Správcem osobních údajů je Nxtrum s.r.o., se sídlem K Pasekám 2984/45, 760 01 Zlín, IČO 29533783, zapsaná v obchodním rejstříku vedeném Krajským soudem v Brně, oddíl C, vložka 151755.

Ve věcech ochrany osobních údajů nás kontaktujte na podpora@tegmia.cz nebo na adrese sídla. Odpovídáme do jednoho měsíce od žádosti.

Pověřence pro ochranu osobních údajů jsme nejmenovali; povinnost podle čl. 37 GDPR nám nevzniká. Žádosti vyřizují jednatelé společnosti.

Správcem jsme pro údaje uživatelů aplikace, údaje organizace, auditní záznamy, údaje z kontaktního formuláře a pro technické údaje naměřené o kontrolovaných doménách. O účelu i prostředcích měření — co se kontroluje, jak a jak dlouho se výsledek drží — rozhodujeme my, takže pro ně nemůžeme být zpracovatelem.

Zpracovatelem jsme pro osobní údaje, které do služby vloží zákazník nad rámec naměřených údajů: označení a popisky aktiv, zařazení domény ke konkrétnímu klientovi zákazníka a kontaktní údaje, které zákazník do služby zadá. Tyto údaje zpracováváme podle pokynů zákazníka jako správce a platí pro ně zpracovatelská smlouva.

Typický případ dvojí role je agentura, která do služby zadá domény svých klientů: za údaje o svých klientech odpovídá jako správce agentura, my jsme v tom rozsahu zpracovatelem, a současně zůstáváme správcem pro provoz účtu a pro naměřená data.

Tyto údaje získáváme od vás při založení účtu a při používání služby. Jejich poskytnutí je nezbytné pro provoz účtu; bez nich službu poskytnout nelze.

Odešlete-li nám zprávu kontaktním formulářem, zpracujeme jméno, e-mail, nepovinný název firmy, obsah zprávy a IP adresu, ze které byla odeslána.

Jméno, e-mail a obsah zprávy zpracováváme za účelem odpovědi na váš dotaz a případných předsmluvních jednání (čl. 6 odst. 1 písm. b), případně náš oprávněný zájem na komunikaci s poptávajícím podle čl. 6 odst. 1 písm. f). Obsah zprávy se předává naší podpoře e-mailem a v databázi se neukládá.

IP adresu zpracováváme kvůli ochraně formuláře proti zneužití (oprávněný zájem, čl. 6 odst. 1 písm. f) — formulář má limit počtu odeslání z jedné adresy. V databázi zůstává auditní záznam o přijetí zprávy s e-mailem, názvem firmy, IP adresou a časem; uchováváme jej 36 měsíců jako doklad o přijaté komunikaci.

Marketingová sdělení na tyto adresy neposíláme. Pokud bychom je kdy posílat chtěli, vyžádáme si samostatný souhlas podle § 7 zákona č. 480/2004 Sb.; vyřízení dotazu na něm podmíněné není.

Kontrolujeme jen veřejně publikovanou technickou konfiguraci domény: záznamy DNS, metadata certifikátu, hlavičky HTTP a IP adresy, na které se doména přeloží. Obsah webových stránek, těla odpovědí, e-maily, hodnoty cookies ani data o návštěvnících webu zákazníka neukládáme.

Osobní údaj se v takovém záznamu objevit může, a to na třech místech: adresa v záznamu DMARC (parametr rua= bývá i osobní e-mail), jméno osoby v alternativním jménu (SAN) certifikátu u domén fyzických osob a samotný hostname u podnikající fyzické osoby. Zdrojem těchto údajů není subjekt, ale veřejný systém doménových jmen, veřejný certifikát a veřejná odpověď serveru.

Právním základem je náš oprávněný zájem podle čl. 6 odst. 1 písm. f) GDPR. Recitál 49 GDPR uvádí zpracování v rozsahu nezbytně nutném a přiměřeném pro zajištění bezpečnosti sítí a informací jako oprávněný zájem správce; naše zpracování se na tento rozsah omezuje: údaj se ukládá jen jako součást důkazu ke zjištění, neobohacuje se, nespojuje s jinými zdroji a nepoužívá se k žádnému dalšímu účelu. Písemný balanční test k tomuto zpracování vedeme a na žádost jej poskytneme.

Důkaz u zjištění vědomě neredigujeme — zjištění bez naměřených hodnot není doložené a nemá pro zákazníka cenu. Rizikem toho je právě uložený osobní údaj, a proto je omezená doba uchování: zjištění, běhy kontrol i jejich důkazy mažeme po 24 měsících.

Subjekty těchto údajů informujeme tímto dokumentem. Individuální informování by vyžadovalo nepřiměřené úsilí ve smyslu čl. 14 odst. 5 písm. b) GDPR — jediný kontaktní údaj, který máme, je ten z onoho záznamu, a jeho použití k rozesílání by samo bylo dalším zásahem. Námitku proti zpracování podle čl. 21 GDPR vyřídíme na kontaktní adrese; vedeme-li údaj jen jako součást důkazu, odstraníme jej spolu se zjištěním.

Aplikace nastavuje jedinou cookie, tegmia_session. Je technická: drží přihlášení k účtu. Obsahuje neprůhledný náhodný token, v databázi z něj máme jen HMAC. Je httpOnly, v produkci Secure, SameSite=Lax a platí 14 dní.

Žádnou analytickou, reklamní ani jinou sledovací cookie nenastavujeme a na web nevkládáme žádný skript třetí strany. Souhlas se u technické cookie nezbytné k poskytnutí služby, kterou jste si vyžádali, nevyžaduje; informování povinné je, a proto je zde a na stránce Cookies.

Údaje účtu: po dobu trvání účtu a 30 dní po jeho zrušení. Lhůta je tam pro případ omylem zrušeného účtu a pro vypořádání smlouvy.

Zjištění, běhy kontrol a jejich důkazy: 24 měsíců. Dvě roční období jsou nejkratší doba, ve které jde ukázat vývoj stavu domény proti stejnému období předchozího roku; kratší lhůta by tu hodnotu zničila, delší by zvětšovala objem neredigovaných důkazů bez užitku. Po 24 měsících se zjištění maže včetně důkazu.

Záznamy o potvrzení oprávnění k monitorování a auditní záznamy: 36 měsíců. Jsou dokladem o zákonnosti kontrol, takže je nemažeme spolu s účtem; po uplynutí doby se mažou.

Fakturační údaje a doklady: po dobu, kterou vyžadují daňové a účetní předpisy.

Na žádost smažeme údaje dříve, pokud nejde o údaje, které musíme podle právního předpisu nebo pro doložení zákonnosti kontrol uchovat.

Osobní údaje nepředáváme nikomu, kdo není uvedený na stránce Seznam subdodavatelů. Tam je u každého uvedený účel, umístění dat a stav zapojení; stránku udržujeme aktuální a o změně subdodavatele informujeme předem.

Žádnému poskytovateli jazykových modelů ani jiné služby umělé inteligence neposíláme nic.

Ke dni účinnosti této verze neprobíhá předávání osobních údajů do třetích zemí. Pokud u některého subdodavatele k předání dojde, uvedeme na stránce subdodavatelů i nástroj, kterým je zajištěno (rozhodnutí o odpovídající ochraně, nebo standardní smluvní klauzule), a to předtím, než jej zapojíme.

Údaje můžeme poskytnout orgánu veřejné moci, požádá-li o ně v rámci své působnosti, a dále advokátovi, účetnímu či auditorovi vázanému mlčenlivostí.

Nedochází k automatizovanému rozhodování ani k profilování ve smyslu čl. 22 GDPR. Závažnost a míru jistoty u zjištění přiřazuje pevný katalog pravidel podle naměřených technických hodnot domény; nevyhodnocujeme osoby, netvoříme jejich profily a žádné rozhodnutí s právním účinkem nebo podobně významným dopadem pro vás automaticky neděláme.

Máte právo na přístup ke svým údajům, na jejich opravu, na výmaz, na omezení zpracování, na přenositelnost údajů zpracovávaných na základě smlouvy nebo souhlasu a právo vznést námitku proti zpracování na základě oprávněného zájmu. Kde je základem souhlas, můžete jej kdykoli odvolat; zákonnost zpracování do odvolání to nedotkne.

Žádost pošlete na podpora@tegmia.cz. Vyřídíme ji do jednoho měsíce; ve složitém případě můžeme lhůtu prodloužit o dva měsíce a sdělíme vám to. Totožnost ověřujeme přes adresu spojenou s účtem, u ostatních žádostí si můžeme vyžádat doplnění, abychom údaje nevydali cizí osobě.

Žádosti dnes vyřizujeme ručně. Samoobslužný export a výmaz v aplikaci nejsou; píšeme to zde, protože je to stav, se kterým máte právo počítat, a ne něco, co bychom zamlčeli.

Pokud se domníváte, že zpracováním porušujeme právní předpisy, můžete podat stížnost u Úřadu pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7. Právo obrátit se na soud tím není dotčeno.

Dojde-li k narušení bezpečnosti osobních údajů s rizikem pro práva osob, ohlásíme je Úřadu pro ochranu osobních údajů do 72 hodin od okamžiku, kdy se o něm dozvíme, a dotčeným osobám bez zbytečného odkladu. Sdělíme, co se stalo, kterých údajů se to týká, jaký dopad to může mít a jaká opatření jsme přijali.

Je-li zákazník v postavení správce a my zpracovatele, ohlásíme narušení jemu bez zbytečného odkladu, nejpozději do 48 hodin od zjištění, aby mohl svou ohlašovací povinnost splnit.

Dokument vydáváme ve verzích s datem účinnosti. Změnu, která mění rozsah nebo účel zpracování, oznámíme předem e-mailem správcům organizace a zveřejníme novou verzi s novým datem účinnosti.