Zásady zpracování a uchování dat

Shrnutí

WebMeter kontroluje jen veřejně dostupné technické informace o webu (DNS záznamy, HTTP hlavičky, certifikát, úvodní stránku a nejvýše pět dalších veřejných stránek). Nepřihlašuje se, nezkouší hesla ani zranitelnosti a nevyplňuje formuláře. Výsledky kontrol i hotové reporty z webové aplikace (HTML a PDF, aby odkaz na report fungoval i později) se ukládají nejvýše 365 dní (PDF 30 dní) a pak se mažou. Majitel webu může kontroly zakázat v souboru robots.txt (User-agent: WebMeterBot, Disallow: /) nebo požádat o vyřazení domény a výmaz uložených dat na kontakt@webmeter.eu. Poptávka konzultace odeslaná formulářem (jméno, e-mail, nepovinný telefon a zpráva) slouží k vyřízení poptávky a k přípravě nabídky, o kterou žádáte. IP adresa se k ní neukládá. Poptávka se smaže nejpozději po 365 dnech, na požádání i dříve. Měření návštěvnosti spouštíme jen s vaším souhlasem.

Kdo údaje zpracovává

Správcem osobních údajů je Ondřej Novák, fyzická osoba podnikající podle živnostenského zákona, IČO 745 345 99, se sídlem Pod vysokou mezí 137/21, 154 00 Praha 5 – Holyně, zapsaný v živnostenském rejstříku vedeném Úřadem městské části Praha 5, který podniká pod obchodním označením ON Consulting & Advisory. Kontakt pro všechny dotazy a žádosti: kontakt@webmeter.eu. Pověřence pro ochranu osobních údajů jsme nejmenovali, protože nám to právní předpisy neukládají.

Co WebMeter při kontrole webu čte

WebMeter čte jen veřejně dostupné informace o kontrolovaném webu:

• DNS záznamy domény (dotazy jdou přes veřejný DNS resolver společnosti Google),
• HTTP hlavičky, certifikát a parametry šifrovaného spojení (TLS),
• úvodní stránku a nejvýše pět dalších veřejných stránek webu (například kontakt nebo obchodní podmínky) a soubory robots.txt, sitemap.xml, security.txt, llms.txt a MTA-STS.

Úvodní stránku navíc jednou načte ve skutečném prohlížeči, včetně obrázků, stylů a skriptů, které si stránka sama stáhne, a pořídí její snímek obrazovky před jakoukoli volbou v liště cookies.

Dále se ptá veřejných služeb: Google PageSpeed Insights (Google web 3× načte ze své infrastruktury), veřejných logů certifikátů (crt.sh, záložně služba Cert Spotter společnosti SSLMate, Inc., USA), registrů domén (RDAP), databáze RIPEstat, seznamu HSTS preload, vydavatelů certifikátů a registru ARES, pokud na webu najde IČO. Ověřuje také, zda existují podobně znějící domény (jen dotazem do DNS). Tyto služby dostávají jen údaje o kontrolovaném webu, nic o vás.

WebMeter se nepřihlašuje, nezkouší hesla ani zranitelnosti a nevyplňuje ani neodesílá formuláře. Kdo kontrolu spustil, do databáze ani do reportu neukládáme: report nenese žádný údaj o zadavateli kromě jazyka stránky. Jen v paměti serveru držíme kvůli limitu bezplatných kontrol IP adresu a domény webů, které z ní byly zkontrolovány (viz IP adresy a ochrana formulářů).

WebMeter z veřejných logů certifikátů zjišťuje i subdomény webu. Ve veřejném reportu jsou názvy subdomén, které mohou napovídat vnitřní služby, jen částečně zobrazené nebo uvedené počtem.

Proč a na jakém základě: kontrolu provádíme na žádost zadavatele, abychom mu ukázali technický stav webu z veřejně dostupných informací. Právním základem je oprávněný zájem náš a zadavatele (čl. 6 odst. 1 písm. f) GDPR). U webů podnikajících fyzických osob jde o osobní údaje (doména, údaje z ARES, e-mailové adresy v DNS). Údaje získáváme z webu samotného a z veřejných zdrojů uvedených výše. Proti kontrole se můžete bránit vyřazením webu (viz Výmaz a vyřazení webu).

Report a snímek obrazovky

Výsledek kontroly se uloží jako report na neuhodnutelném odkazu. Report otevře každý, kdo odkaz zná; kdo stejný web zkontroluje ve stejném jazyce do 10 minut, dostane stejný odkaz. Snímek obrazovky úvodní stránky slouží jen jako interní doklad k nálezům o cookies; v reportu se nezobrazuje a mažeme ho, jakmile je starší než 30 dní. Pokud web uvádí IČO, report ukáže i údaje o podnikateli z registru ARES (Administrativní registr ekonomických subjektů); u fyzických osob podnikajících jen jméno, právní formu, stav a plátcovství DPH, bez adresy a DIČ.

Poptávka konzultace

Když pod výsledkem odešlete poptávku, uložíme jméno, e-mail, telefon (pokud ho vyplníte), text zprávy, čas odeslání, jazyk stránky a vazbu na měření (doménu a odkaz na report). IP adresu k poptávce neukládáme. Upozornění s těmito údaji a se souhrnem výsledku měření dostane provozovatel e-mailem. Údaje použijeme k tomu, abychom se vám ozvali, domluvili konzultaci a připravili nabídku, o kterou žádáte (například nový web). Obchodní sdělení vám bez vašeho souhlasu posílat nebudeme.

Právní základ: jednání o smlouvě na vaši žádost (čl. 6 odst. 1 písm. b) GDPR); pokud píšete za firmu, náš oprávněný zájem vyřídit poptávku (písm. f). Bez jména, e-mailu a zprávy poptávku vyřídit nemůžeme; telefon je nepovinný.

Jednou týdně si posíláme interní přehled provozu; poptávky jsou v něm jen s číslem, doménou a časem přijetí.

IP adresy a ochrana formulářů

IP adresu návštěvníka aplikace neukládá na disk ani do databáze. V paměti serveru ji drží přibližně 24 hodin, aby mohla omezit počet kontrol a poptávek z jedné adresy. Z jedné IP adresy lze zdarma zkontrolovat 6 různých webů za 10 dní a ve srovnání s konkurencí zvlášť 12 různých webů konkurence za 10 dní. Aby z jedné adresy nešlo zdarma kontrolovat neomezený počet cizích webů, drží server v paměti také IP adresu (u IPv6 jen síť /64) spolu s doménami webů, které z ní byly zkontrolovány, nejvýše 10 dní od první kontroly každého webu. Do databáze, na disk, do záloh ani do logů se tyto údaje nezapisují a restart serveru je smaže.

Formuláře chrání služba Cloudflare Turnstile, která ověřuje, že je neodesílá robot. Načte se až při vyplňování formuláře a zpracovává IP adresu a technické údaje o prohlížeči; server jí IP adresu předává k ověření. Cloudflare může při bezpečnostní kontrole uložit technickou cookie (cf_clearance). Údaje z ověření Cloudflare používá i ke zlepšování své ochrany proti robotům; v tom je samostatným správcem (zásady Turnstile: cloudflare.com/turnstile-privacy-policy).

Právní základ u IP adres i ochrany formulářů: oprávněný zájem na ochraně služby před zneužitím (čl. 6 odst. 1 písm. f) GDPR). Ukládání údajů nezbytných pro zabezpečení nevyžaduje souhlas (§ 89 odst. 3 zákona č. 127/2005 Sb., o elektronických komunikacích).

Cookies a měření návštěvnosti

Bez souhlasu ukládáme do vašeho prohlížeče jen vaši volbu k cookies, aby se lišta neukazovala na každé stránce: záznam webmeter-consent v úložišti prohlížeče (localStorage) s verzí nastavení a časem volby. Záznam se nikam neodesílá a platí 6 měsíců; pak, nebo když změníme používané nástroje, se vás zeptáme znovu.

Jen s vaším souhlasem (kategorie „Analytické“) načteme Google Tag Manager a Google Analytics 4, abychom věděli, které stránky lidé čtou, jak se používá kontrola webu a co zlepšit. Google Analytics přitom zpracovává údaje o návštěvě: navštívené stránky, odkud návštěva přišla, typ zařízení a prohlížeče a přibližnou polohu podle IP adresy. Z kontroly webu dostává jen údaje o jejím průběhu a výsledku (například známku a pásmo skóre) a o tom, zda jste otevřeli report, stáhli PDF nebo odeslali poptávku; nikdy adresu kontrolovaného webu, odkaz na report ani obsah formulářů. Ukládá cookies _ga a _ga_<ID> s platností podle nastavení, nejvýše 2 roky; Google Tag Manager sám cookies neukládá. Podrobné záznamy o návštěvách se v Google Analytics mažou nejpozději po 14 měsících.

Zpracovatel: Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irsko. Údaje může zpracovávat i Google LLC v USA; předání do USA probíhá na základě rámce EU–US Data Privacy Framework (rozhodnutí Evropské komise o odpovídající ochraně), ke kterému se Google LLC připojila; smlouva o zpracování s Googlem navíc obsahuje standardní smluvní doložky.

Microsoft Clarity načteme přes Google Tag Manager také jen s vaším souhlasem v kategorii „Analytické“, abychom viděli, jak lidé stránky používají a kde jim něco nefunguje. Clarity z pohybů myši, kliknutí a posouvání vytváří heatmapy (souhrnné mapy kliknutí a posouvání) a nahrávky průchodu stránkami. Obsah formulářových polí nenahrává a části úvodní stránky s adresou kontrolovaného webu, výsledkem kontroly, srovnáním a poptávkou jsou pro ni skryté (maskované). Zpracovává přitom údaje o zařízení a prohlížeči a přibližnou polohu podle IP adresy a ukládá cookies _clck (nejvýše 1 rok) a _clsk (1 den); Microsoft může na svých doménách ukládat i vlastní cookies. Po odvolání souhlasu cookies _clck a _clsk smažeme, pokud to prohlížeč dovolí.

Nahrávky a heatmapy uchovává Microsoft podle svých podmínek: nahrávky zpravidla 30 dní, heatmapy a vybrané nahrávky nejvýše 9 měsíců. Poskytovatel: Microsoft Ireland Operations Ltd., One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irsko; u Clarity je Microsoft samostatným správcem údajů (prohlášení o ochraně osobních údajů: microsoft.com/privacy/privacystatement). Údaje může zpracovávat i Microsoft Corporation v USA; předání do USA probíhá na základě rámce EU–US Data Privacy Framework, ke kterému se Microsoft Corporation připojila, a standardních smluvních doložek.

Marketingové cookies zatím nepoužíváme. Kdybychom je nasadili, doplníme je sem a lišta se vás na souhlas zeptá znovu.

Změna a odvolání souhlasu: kdykoli přes „Nastavení cookies“ v patičce každé stránky. Po odvolání se měření přestane načítat a cookies Google Analytics v prohlížeči smažeme, pokud to prohlížeč dovolí; úplně se změna projeví po obnovení stránky.

Právní základ: váš souhlas (§ 89 odst. 3 zákona č. 127/2005 Sb., o elektronických komunikacích, a čl. 6 odst. 1 písm. a) GDPR). Odvolání souhlasu nemá vliv na zpracování před ním. Samotnou volbu v liště ukládáme bez souhlasu, protože bez ní by lišta nemohla fungovat.

Na stránkách reportů a v PDF se měřicí nástroje nenačítají nikdy.

Kde údaje jsou a kdo je pro nás zpracovává

• OVHcloud (smluvní strana OVH Hosting Inc., 1801 McGill College Avenue, Suite 800, Montréal (Québec) H3A 2N4, Kanada) – server v Německu (EU), na kterém jsou všechna data aplikace (kopie e-mailů s poptávkami jsou navíc ve schránce provozovatele, viz níže).
• Cloudflare, Inc. (USA) – DNS, šifrované spojení, ochrana před útoky, Turnstile a přeposílání e-mailů z adres @webmeter.eu do schránky provozovatele; vidí IP adresu a obsah požadavků včetně formulářů. Šifrované zálohy ukládá v úložišti Cloudflare R2 v EU; klíč k nim nemá.
• Websupport (ACTIVE 24, s.r.o., Praha) – odesílání e-mailu s upozorněním na poptávku a provozních přehledů (EU).
• Active24 (ACTIVE 24, s.r.o., Praha) – e-mailová schránka provozovatele (EU).
• Better Stack (Better Stack, Inc., USA; data ukládá v EU) – hlídání dostupnosti webu; osobní údaje návštěvníků nedostává.
• Google Ireland Ltd. / Google LLC — Google Analytics 4 a Google Tag Manager pro měření návštěvnosti webu, jen se souhlasem návštěvníka (viz Cookies a měření návštěvnosti); předání do USA podle rámce EU–US Data Privacy Framework.
• Microsoft Ireland Operations Ltd. / Microsoft Corporation — Microsoft Clarity (heatmapy a nahrávky používání webu), jen se souhlasem návštěvníka (viz Cookies a měření návštěvnosti); u Clarity je Microsoft samostatným správcem údajů; předání do USA podle rámce EU–US Data Privacy Framework.

Údaje o kontrolovaném webu dostávají také Google (PageSpeed Insights, veřejný DNS) jako samostatný správce a další veřejné služby uvedené v oddílu Co WebMeter při kontrole webu čte; dostávají jen adresu webu, IP adresu jeho hostingu nebo IČO.

Předání do USA: Cloudflare, Google a Better Stack jsou certifikovány v rámci EU–USA pro ochranu osobních údajů (Data Privacy Framework), pro který platí rozhodnutí Evropské komise o odpovídající ochraně; jejich smlouvy navíc obsahují standardní smluvní doložky pro případ, že by rámec přestal platit. V tomto rámci je certifikována i Microsoft Corporation (Microsoft Clarity).

Kanada: smlouvu o serveru máme s kanadskou společností OVH Hosting Inc., 1801 McGill College Avenue, Suite 800, Montréal (Québec) H3A 2N4; pro Kanadu platí rozhodnutí Evropské komise o odpovídající ochraně osobních údajů. Data aplikace jsou přitom uložená na serveru v Německu (EU).

Jak dlouho údaje uchováváme

Údaje smazané z databáze, ať už po uplynutí doby, nebo na vaši žádost, zůstávají v šifrovaných zálohách ještě přibližně 5 týdnů; poté je už nejde obnovit.

Výmaz a vyřazení webu

O výmaz uložených výsledků pro vaši doménu a o její vyřazení z dalších kontrol požádejte e-mailem na kontakt@webmeter.eu. Vyřazení platí pro celou doménu včetně všech subdomén; doménu si evidujeme trvale, jinak by vyřazení nešlo dodržet. Abychom nevyřadili nebo nesmazali cizí web, ověříme, že žádost podává majitel nebo správce webu: nejčastěji podle toho, že přišla z e-mailové adresy na dané doméně nebo z adresy uvedené na webu; jinak vás požádáme o jednoduché ověření, například záznamem v DNS.

Kontroly můžete zakázat i v souboru robots.txt (User-agent: WebMeterBot, Disallow: /). Zákaz zastaví další kontroly, uložená data ale nemaže; o jejich výmaz požádejte e-mailem. Postup popisuje stránka Jak vyřadit web z analýzy.

Vaše práva

Máte právo požadovat přístup ke svým údajům, jejich opravu nebo výmaz, omezení zpracování a přenositelnost údajů, které jste nám poskytli. Proti zpracování na základě oprávněného zájmu (kontrola webu, ochrana formulářů, limit bezplatných kontrol) můžete vznést námitku; u kontrol webu ji nejjednodušeji uplatníte vyřazením webu (viz Výmaz a vyřazení webu). Souhlas s měřením návštěvnosti můžete kdykoli odvolat v „Nastavení cookies“.

Žádosti posílejte na kontakt@webmeter.eu. Vyřídíme je do jednoho měsíce; při pochybnostech můžeme ověřit vaši totožnost.

Stížnost můžete podat u Úřadu pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, www.uoou.gov.cz, nebo u dozorového úřadu ve státě svého bydliště.

Skóre a známka hodnotí web, ne osoby. Automatizované rozhodování s právními účinky ani profilování neprovádíme.