Zásady soukromí.

Provozovatelem a správcem osobních údajů webu upnext.cz (provozovaného pod značkou Upnext) je:

Adresa výše je sídlo zapsané v obchodním rejstříku. Poštu a žádosti podle GDPR posílejte na korespondenční adresu Michelská 403/13, Michle, 140 00 Praha 4, nebo rovnou na [email protected]. Tuto adresu používáme pro agendu ochrany osobních údajů ve všech našich dokumentech, včetně prohlášení o cookies.

Web představuje naše služby a zároveň obsahuje veřejný sandbox s drobnými browser-side nástroji, poznámkami a prototypy.

• IP adresa - používáme ji výhradně pro rate-limiting (omezení počtu dotazů na server, aby nikdo nemohl přetížit naše proxy služby pro ARES, VIES, ČNB a další). IP držíme v paměti maximálně 5 minut a nikam ji neukládáme.
• Cloudflare Turnstile cookie - pokud je Turnstile aktivován (ochrana proti botům), Cloudflare nastaví krátkodobou cookie. Spravuje ji Cloudflare, ne my. Cloudflare privacy policy.
• Data z měření návštěvnosti - sbíráme je až poté, co analytickou kategorii povolíte v cookie liště. Přes Google Tag Manager nasazujeme Google Analytics 4 (měření G-PQDM00986F) a self-hosted Rybbit, který běží na naší doméně pulse.upvote.cz. Google Analytics 4 se načte i bez souhlasu, ale do jeho udělení neukládá ani nečte cookies a odesílá jen anonymní ping popsaný níže; Rybbit se bez souhlasu nespustí vůbec. Rybbit ukládá do localStorage identifikátor návštěvníka a může pořizovat záznam relace (pohyb myši, scroll, kliknutí). Maskují se v něm vstupní pole včetně hesel a e-mailů - je to nastavení na straně Rybbitu, které máme zapnuté. Zbytek stránky se nahrává tak, jak ho vidíte, včetně výsledků, které vám naše nástroje vypíší z údajů, jež jste do nich zadali. Záznamy zůstávají výhradně na pulse.upvote.cz a nepředáváme je nikomu dalšímu.
• Data z měření reklamy - až poté, co marketingovou kategorii povolíte v cookie liště. Používáme Meta Pixel (Facebook a Instagram), Google Ads a Sklik (Seznam.cz). Konkrétní cookies, jejich dobu uložení a příjemce vypisuje prohlášení o cookies.
• Meta Conversions API - se stejným souhlasem posílá náš server vybrané události (zobrazení stránky, odeslání formuláře, použití nástroje) přímo do Meta. S událostí odchází IP adresa, user agent a cookies _fbp/_fbc. E-mail a telefon z poptávkového formuláře odesíláme výhradně jako SHA-256 otisk (hash), nikdy v čitelné podobě.
• Doklad o udělení souhlasu - jakmile v cookie liště rozhodnete, odešle se na cookies.upnext.cz (náš vlastní server, provozuje ho Fronde s.r.o.) záznam s pseudonymním identifikátorem upnext_pseudo_id, vaším rozhodnutím, povolenými kategoriemi, odvozenými signály Google Consent Mode a časem. Neposíláme s ním vaši IP adresu ani identifikaci prohlížeče; IP adresu tam používáme jen v paměti pro omezení počtu požadavků. Záznam je neměnný - slouží výhradně k tomu, abychom uměli souhlas doložit.
• Anonymní ping Google Consent Mode - než se rozhodnete, a také když měření odmítnete, načte se Google Analytics 4 a odešle do Googlu takzvaný anonymní ping. Neukládá ani nečte cookies a neobsahuje identifikátor spojující vás napříč návštěvami; obsahuje adresu a titulek stránky, rozlišení, jazyk, základní údaje o prohlížeči a IP adresu na úrovni spojení. Je to jediné měření návštěvnosti, které běží bez souhlasu, a děláme ho na základě oprávněného zájmu.

Co nezpracováváme: žádné uživatelské účty, žádné přihlašování návštěvníků. Soubory, které nahrajete do nástrojů (videa, obrázky, XML feedy), se zpracovávají v prohlížeči - server je nikdy nevidí.

Více o cookies najdete v zásadách používání cookies.

Pro rate-limiting je právním titulem oprávněný zájem podle čl. 6 odst. 1 písm. f) GDPR - zájem na zamezení zneužití veřejně přístupných nástrojů. Bez rate-limitu by jednotlivec mohl posílat tisíce dotazů za sekundu na ARES nebo ČNB skrze naše proxy a poškodit jejich i naši službu.

Pro měření návštěvnosti a marketing (Google Analytics 4, Rybbit, Meta Pixel, Meta Conversions API, Google Ads, Sklik) je právním titulem váš souhlas podle čl. 6 odst. 1 písm. a) GDPR, který udělujete v cookie liště a můžete ho kdykoli odvolat.

Pro anonymní ping Google Consent Mode, který běží i bez souhlasu, je právním titulem oprávněný zájem podle čl. 6 odst. 1 písm. f) GDPR na základním, neidentifikujícím přehledu o výkonu webu. Proti tomuto zpracování můžete podat námitku na naší e-mailové adrese.

Doklad o udělení souhlasu držíme proto, že podle čl. 7 odst. 1 GDPR musíme být schopni souhlas doložit. Právním titulem je splnění právní povinnosti podle čl. 6 odst. 1 písm. c) GDPR, takže tuto část nelze odmítnout samostatně - vzniká až tím, že se v liště rozhodnete.

Pro poptávkový formulář a rezervaci úvodního hovoru je právním titulem provedení opatření před uzavřením smlouvy podle čl. 6 odst. 1 písm. b) GDPR - bez vašich kontaktních údajů vám nemůžeme odpovědět ani se s vámi sejít.

IP adresy žijí v paměti našeho serveru jen po dobu klouzajícího okna 5 minut (rate-limiter), pak jsou automaticky smazány. Logy serveru, které mohou IP dočasně obsahovat, držíme do 30 dní.

Data z měření (Google Analytics 4, Rybbit, Meta, Google Ads, Sklik) se řídí retenčními pravidly daného nástroje. Souhlas platí 13 měsíců a můžete ho kdykoli odvolat plovoucí ikonou cookies nebo odkazem „Změnit nastavení cookies“ v patičce. Po odvolání měřicí nástroje zastavíme, smažeme cookies _ga, _ga_*, _fbp a _fbc a vymažeme položky Rybbitu z localStorage; cookie _gcl_au od Google Ads a cookie sid od Seznamu naše lišta nemaže a zůstávají ve vašem prohlížeči, dokud jim nevyprší platnost nebo dokud je sami nesmažete. Dál pak běží už jen anonymní ping Google Consent Mode popsaný výše. Údaje z poptávkového formuláře a rezervací držíme po dobu jednání o spolupráci a následně nejdéle 3 roky, abychom mohli navázat na předchozí kontakt.

Doklad o udělení souhlasu uchováváme po dobu platnosti souhlasu a poté ještě tak dlouho, dokud musíme být schopni souhlas doložit dozorovému úřadu. Obsahuje jen pseudonymní identifikátor, rozhodnutí, kategorie a čas - žádnou IP adresu ani identifikaci prohlížeče.

Některé nástroje předávají vaše vstupy veřejným službám, abychom se vyhnuli CORS restrikcím prohlížeče:

• IČO se posílá do ARES (Ministerstvo financí ČR).
• DIČ se posílá do VIES (Evropská komise).
• Datum se posílá do ČNB API (Česká národní banka).
• URL feedu / stránky se odesílá pouze na server, který ho stáhne a vrátí výsledky (Heureka feed validátor, SEO validátor). Nikam dál nepostupuje.
• Rezervaci úvodního hovoru vyřizuje Cal.com, Inc. (USA). Tlačítko „Pojďme se potkat“ je běžný odkaz - dokud na něj neklepnete, neodchází k Cal.com nic. Na jejich stránce zadáváte jméno, e-mail a termín, které Cal.com zpracovává jako náš zpracovatel na základě standardních smluvních doložek.

Když nám napíšete přes formulář na webu nebo si rezervujete úvodní hovor, zpracováváme jméno, e-mail, telefon (pokud ho vyplníte), adresu vašeho webu a to, co nám sami napíšete. Účelem je odpovědět vám a domluvit se na spolupráci; právním titulem je provedení opatření před uzavřením smlouvy podle čl. 6 odst. 1 písm. b) GDPR.

• CRM - poptávky vedeme v self-hosted CRM Twenty na naší vlastní infrastruktuře (Fronde s.r.o.).
• Ecomail.cz s.r.o. (ČR) - pokud jste si vyžádali výstup z analýzy nebo navazující e-maily, doručujeme je přes Ecomail.
• Cal.com, Inc. (USA) - rezervace termínů úvodních hovorů.
• Meta Conversions API - pokud jste povolili marketingovou kategorii, odchází k Metě událost o odeslání formuláře; e-mail a telefon výhradně jako SHA-256 otisk.

Údaje z poptávek nikdy neprodáváme a nepoužíváme je k profilování. Uchováváme je po dobu jednání a poté nejdéle 3 roky.

Pokud jste v cookie liště udělili souhlas:

• Google Ireland Limited a Google LLC - Google Analytics 4 (měření G-PQDM00986F) a Google Ads. Data mohou být zpracována v USA.
• Meta Platforms Ireland Limited - Meta Pixel a Meta Conversions API. Data mohou být zpracována v USA.
• Seznam.cz, a.s. - Sklik. Data zůstávají v EU.
• Rybbit provozujeme self-hosted na doméně pulse.upvote.cz, kterou spravuje Fronde s.r.o.. Statistiky návštěvnosti tedy nepředáváme žádné třetí straně. Rybbit ale není bezúložišťový: ukládá do localStorage identifikátor návštěvníka a může pořizovat záznam relace s maskováním vstupních polí.
• cookies.upnext.cz - server, na kterém běží naše cookie lišta a kam se ukládá doklad o udělení souhlasu. Provozuje ho Fronde s.r.o., tedy stejná společnost jako tento web, takže ani tato data nepředáváme žádné třetí straně.

Předání do USA se u Googlu i u Mety opírá o jejich certifikaci v rámci EU-US Data Privacy Framework.

Měřicí skripty spravujeme přes Google Tag Manager (Google Ireland Limited). Součástí tohoto kontejneru je i měření Google Analytics 4, takže Google není jen správcem skriptů, ale i příjemcem dat z měření - viz první odrážka výše. Samotnou cookie lištu naopak načítáme přímo ze stránky z cookies.upnext.cz, aby šel souhlas odvolat i tehdy, když je Tag Manager zablokovaný.

Nemáme uživatelské účty a mimo data z měření, z poptávek a doklad o udělení souhlasu nedržíme žádné identifikovatelné údaje déle než 5 minut. U dat z měření i z poptávek můžete uplatnit práva podle GDPR: přístup, opravu, výmaz, omezení zpracování, přenositelnost a námitku. Souhlas s měřením odvoláte kdykoli plovoucí ikonou cookies nebo odkazem „Změnit nastavení cookies“ v patičce. S dotazem nebo námitkou se ozvěte na [email protected]. Případnou stížnost můžete podat u Úřadu pro ochranu osobních údajů (ÚOOÚ), Pplk. Sochora 27, 170 00 Praha 7.

Tyto zásady můžeme čas od času upravit. Aktuální verzi vždy najdete na této stránce.