Ochrana osobních údajů a cookies

01

Správce a rozsah

Správcem osobních údajů popsaných v této politice je česká společnost Ganado. Tato politika se vztahuje na veřejný web, kontaktní a kalkulační formuláře a měření návštěvnosti na ganado.cz.

Obchodní firma: Ganado International s.r.o.
IČO: 19322119
Sídlo: Příčná 1892/4, Nové Město, 110 00 Praha 1
Kontakt pro soukromí: [email protected]

Samostatné aplikace nebo klientské služby mohou mít doplňující informace, pokud zpracovávají jiný rozsah údajů. V takovém případě se použijí společně s touto politikou.

02

Údaje, účely a právní základy

Rozsah se liší podle toho, zda pouze prohlížíte web, odešlete poptávku, necháte si poslat výsledek kalkulačky nebo se stanete klientem.

Přehled hlavních zpracování na veřejném webu Ganado
Činnost	Kategorie údajů	Účel a právní základ	Uchování
Kontaktní poptávka	Jméno, kontakt, zpráva, zvolená služba, obchodní situace, dokumenty, termín, jazyk a atribuční kontext.	Odpověď, posouzení rozsahu a nabídka: čl. 6 odst. 1 písm. b GDPR; u obecné komunikace a evidence návaznosti také oprávněný zájem podle písm. f.	Do uzavření poptávky a poté jen po dobu potřebnou pro návaznost, ochranu nároků nebo zákonnou povinnost; údaje pravidelně přehodnocujeme.
Výsledek kalkulačky	E-mail, jazyk, typ kalkulačky, zadané hodnoty, vypočtený výsledek a identifikátor odeslání.	Doručení vyžádaného výsledku: kroky na žádost před smlouvou podle čl. 6 odst. 1 písm. b. Jeden obchodní e-mail přibližně po 3 dnech odešleme jen po samostatném souhlasu podle písm. a; provozní ochrana se opírá o písm. f.	Podle stejného kritéria jako poptávka. Samostatná záloha doručení se automaticky maže po 30 dnech; důkaz volitelného souhlasu uchováváme s případem jen po dobu potřebnou k doložení zákonnosti komunikace.
Obchodní pipeline a klientský vztah	Kontakt, služba, stav případu, historie komunikace, podklady a údaje nutné k poskytování služby.	Řízení poptávky a smlouvy: čl. 6 odst. 1 písm. b; plnění účetních a daňových povinností podle písm. c; ochrana práv podle písm. f.	Po dobu aktivní poptávky nebo smlouvy a dále podle konkrétní zákonné povinnosti či promlčecího rizika; nepotřebný rozsah mažeme nebo omezujeme.
Bezpečnost a technický provoz	Čas a metadata požadavku, host, origin/referrer, IP adresa zpracovaná pro omezení zneužití, technické a chybové logy.	Dostupnost, prevence spamu, omezení požadavků, diagnostika a ochrana služby: oprávněný zájem podle čl. 6 odst. 1 písm. f.	Jen po omezenou dobu odpovídající bezpečnostnímu nebo diagnostickému účelu; delší uchování pouze při incidentu nebo právním nároku.
Volitelná analytika	Identifikátory, návštěvy, cesta webem, interakce, aktivní čas, scroll, zařízení, referrer, UTM a přibližná poloha.	Měření použitelnosti, zdrojů návštěv a výkonu obsahu bez reklamního profilování: výslovný souhlas podle čl. 6 odst. 1 písm. a.	Podle životnosti identifikátorů a aktuálního nastavení jednotlivých nástrojů; data omezujeme na dobu potřebnou pro trendovou analýzu.

03

Formuláře a obchodní komunikace

Kontaktní a kalkulační formuláře sbírají jen údaje potřebné k vyřízení konkrétního požadavku. Povinná pole jsou označena; bez kontaktu a minimálního kontextu nemusíme být schopni odpovědět.

Validovaná poptávka se uloží do obchodní pipeline v Supabase, doručí přes Resend a zároveň se vytvoří oddělená záloha doručení s automatickým 30denním výmazem. Záloha chrání před ztrátou poptávky při výpadku e-mailu; neslouží k marketingu.

Výsledek kalkulačky pošleme bez marketingového souhlasu. Nezaškrtnuté volitelné pole zvlášť umožňuje na základě souhlasu podle čl. 6 odst. 1 písm. a GDPR jeden obchodní e-mail přibližně po 3 dnech. Před odesláním jej lze jedním krokem zrušit bezpečným odkazem „Zrušit naplánovaný e-mail“ ve zprávě s výsledkem; bez opt-in follow-up neplánujeme.

Formulář může podle situace obsahovat

jméno, e-mail nebo telefon a preferovaný kanál odpovědi;
text zprávy, službu, typ klienta, naléhavost, dokumenty a termín;
obchodní kontext, například IČO/OSVČ, platformovou činnost, zahraniční služby nebo dřívější řešení DPH/IO;
u kalkulačky e-mail, vstupy, vypočtené souhrny, typ kalkulačky a rok;
u volitelného follow-upu volbu souhlasu, čas udělení, jazyk, zdroj formuláře a verzi textu souhlasu;
stránku a tlačítko, které vedly k formuláři, jazyk, referrer, UTM parametry a technický identifikátor odeslání.

Provozní metadata požadavku

Server zpracuje origin, referer, host a IP adresu pro ověření požadavku, omezení zneužití a rate limiting.
Podezřelé nebo škodlivé payloady můžeme automaticky odmítnout; platná poptávka se neposuzuje pro právní nebo obdobně významné rozhodnutí.

04

Cookies a analytika

Technologie dělíme na nezbytné a volitelné. Odmítnutí analytiky neomezuje obsah webu ani možnost odeslat poptávku.

Nezbytné technologie

Udržují bezpečnost, stav formuláře a volbu soukromí. Mohou používat cookies nebo webové úložiště, pokud je to nutné pro funkci, kterou požadujete. Právním základem souvisejícího zpracování je oprávněný zájem nebo plnění vyžádané služby.

Volitelná analytika

Po výslovném přijetí analytiky můžeme aktivovat následující nástroje. Nevyužíváme je pro cílenou reklamu ani pro prodej osobních údajů.

01

Google Analytics

Agregované měření návštěv, zdrojů návštěvnosti a výkonu stránek.

Doba: Cookie _ga nastavujeme nejvýše na 12 měsíců a bez prodlužování při další návštěvě. V aktuální GA4 property uchováváme událostní data 2 měsíce a uživatelská data 14 měsíců; doba uživatelských dat se při nové aktivitě obnovuje. Souhrnné standardní reporty tím nejsou dotčeny.

02

Microsoft Clarity

Diagnostika použitelnosti, heatmapy a záznam interakcí reprezentovaný jako relace; nepoužíváme jej k reklamnímu profilování.

Doba: Cookie _clck nejvýše 12 měsíců a _clsk 1 den. Záznam přehrání relace se standardně uchovává 30 dnů; agregovaná kliknutí, heatmapy a označené nebo oblíbené záznamy 9 měsíců.

03

Vercel Analytics a Speed Insights

Měření návštěvnosti, výkonu a webových metrik pro technické zlepšování webu.

Doba: Vercel Web Analytics nepoužívá cookies. Hash návštěvy používaný k deduplikaci se podle dokumentace poskytovatele zahazuje po 24 hodinách.

Měření návštěvnosti bez cookies (Ganado Track)

Návštěvnost webu měříme také vlastním nástrojem, který na vašem zařízení neukládá nic — žádné cookies, žádné webové úložiště. Klíč návštěvníka vzniká až na serveru jako solený otisk; sůl se každý den mění a stará se maže, takže návštěvy nelze propojit napříč dny.

navštívené stránky, čas strávený na stránce a hloubku scrollu;
kliknutí na prvky, které jsme k tomu označili; jejich text ani cíl odkazu se nečtou;
origin odkazujícího webu, tedy jen schéma a doménu, nikdy adresu stránky, a UTM parametry;
hrubou rodinu prohlížeče, například „Chrome / Android“.

Tyto záznamy se automaticky mažou po 10 letech. Neprodáváme je a nesdílíme je s reklamními sítěmi.

Z tohoto měření se můžete kdykoli odhlásit: otevřete libovolnou stránku webu s parametrem ?gnd_notrack=1 na konci adresy. Volbu si na 90 dnů zapamatuje náš server, takže se ani při odhlášení na vašem zařízení nic neuloží; parametrem ?gnd_notrack=0 se měření zase zapne.

05

Příjemci a předání mimo EHP

Přístup mají pouze osoby a dodavatelé, kteří jej potřebují pro uvedený účel. Dodavatelé jednají jako zpracovatelé nebo samostatní správci podle konkrétní služby.

Hlavní kategorie příjemců a poskytovatelů
Příjemce	Role	Údaje a účel	Místo / předání
Supabase	Databázová infrastruktura	Obchodní pipeline a 30denní záloha validovaných poptávek.	Podle zvoleného regionu a smluvního nastavení služby.
Resend	Doručování e-mailu	Kontakt, obsah zprávy a metadata nutná k doručení a řešení chyb. Resend uchovává data e-mailu 30 dnů; open/click tracking máme na doméně vypnutý.	Metadata e-mailů, logy a API záznamy se podle dokumentace poskytovatele ukládají v USA. Předání z EHP pokrývá DPA poskytovatele, EU standardní smluvní doložky a při použití také EU–US Data Privacy Framework.
Vercel	Hosting, bezpečnost a volitelná analytika	Webové požadavky, technické logy, výkon a po souhlasu analytické metriky.	Poskytovatel může využívat infrastrukturu mimo EHP.
Cloudflare	Síťová infrastruktura a zabezpečení	Síťové a technické údaje nutné k bezpečnému přenosu požadavků, ochraně služby a doručení volitelné analytické události na naši infrastrukturu.	Globální síť může zpracovat údaje mimo EHP; poskytovatel uvádí mechanismy podle GDPR, včetně Data Privacy Framework a standardních smluvních doložek tam, kde se použijí.
Google a Microsoft	Volitelní analytičtí poskytovatelé	Údaje o používání webu pouze po přijetí analytiky.	Může dojít k předání mimo EHP podle nastavení a mechanismu poskytovatele.
Orgány veřejné moci a odborní poradci	Zákonná povinnost nebo ochrana nároků	Pouze údaje nezbytné pro konkrétní povinnost, spor nebo bezpečnostní incident.	Podle příslušnosti a právního důvodu konkrétního případu.

Pokud poskytovatel zpracovává údaje mimo Evropský hospodářský prostor, vyžadujeme mechanismus podle kapitoly V GDPR. Podle příjemce může jít o rozhodnutí o odpovídající ochraně, včetně EU–US Data Privacy Framework u certifikovaného příjemce, nebo standardní smluvní doložky podle čl. 46 GDPR a přiměřená doplňující opatření.

Informaci o mechanismu použitém pro konkrétní předání a dostupnou kopii záruk si můžete vyžádat na kontaktním e-mailu správce.

06

Uchování a zabezpečení

Data neuchováváme déle, než vyžaduje účel. Při určení doby zohledňujeme stav poptávky nebo smlouvy, zákonné archivační povinnosti, možnost uplatnění nároku, bezpečnostní potřebu a nastavení poskytovatele.

samostatná záloha doručení formuláře: automatický výmaz po 30 dnech;
poptávka a obchodní pipeline: do uzavření případu a poté jen po dobu odůvodněnou návazností, nárokem nebo zákonnou povinností;
důkaz souhlasu s jedním obchodním follow-upem: s případem po dobu potřebnou k prokázání souhlasu a obraně nároků; samotný follow-up se bez souhlasu neplánuje;
volba cookies a analytiky v prohlížeči: nejvýše 12 měsíců; nová verze politiky vyžádá novou volbu;
klientská účetní a daňová dokumentace: podle doby vyžadované příslušnými právními předpisy a smluvním vztahem;
technické a bezpečnostní logy: omezená provozní doba, delší jen při incidentu nebo nároku;
volitelná analytika: podle popsaných identifikátorů a aktuálního retenčního nastavení, nejdéle po dobu potřebnou pro legitimní trendovou analýzu.

Zabezpečení a minimalizace

Používáme oddělení přístupů, serverové ověřování, omezení četnosti požadavků, ochranu proti spamu, šifrovaný přenos a omezené servisní role. Přístup k pipeline a zálohám není veřejný.

Žádné opatření nevylučuje všechna rizika. Při změně účelu, dodavatele nebo datového toku rozsah znovu posuzujeme a tuto politiku aktualizujeme.

07

Vaše práva

Za podmínek GDPR můžete uplatnit zejména tato práva:

přístup k údajům a informaci o jejich zpracování;
opravu nepřesných nebo doplnění neúplných údajů;
výmaz, pokud již není právní důvod údaje uchovávat;
omezení zpracování v případech stanovených GDPR;
přenositelnost u zpracování založeného na souhlasu nebo smlouvě, pokud je prováděno automatizovaně;
námitku proti zpracování založenému na oprávněném zájmu;
odvolání souhlasu pro budoucí volitelnou analytiku nebo dosud neodeslaný obchodní follow-up;
stížnost u dozorového úřadu a soudní ochranu.

Při námitce proti zpracování založenému na oprávněném zájmu zpracování ukončíme, pokud neprokážeme závažné oprávněné důvody nebo potřebu pro určení, výkon či obhajobu právních nároků.

Souhlas s analytikou lze odvolat v nastavení cookies. Souhlas s jedním obchodním follow-upem lze před jeho odesláním odvolat bezpečným odkazem „Zrušit naplánovaný e-mail“ ve zprávě s výsledkem; správce zároveň přijímá žádosti na kontaktním e-mailu. Odvolání nemá vliv na doručení vyžádaného výsledku ani na obsah webu.

Žádost pošlete na e-mail správce. Pro ochranu údajů můžeme přiměřeně ověřit totožnost; nebudeme požadovat více údajů, než je k ověření nezbytné.

Odpovíme bez zbytečného odkladu, zpravidla do jednoho měsíce. Ve složitých případech může GDPR umožnit prodloužení; o důvodu vás včas informujeme.

Dozorový úřad Úřad pro ochranu osobních údajů Pplk. Sochora 27, 170 00 Praha 7 Jak podat stížnost u ÚOOÚ

08

Automatizace a oficiální zdroje

Můžeme automaticky třídit poptávku podle tématu, zdroje, priority nebo technického rizika, aby se dostala ke správnému postupu. Neprovádíme rozhodování založené výhradně na automatizovaném zpracování, které by pro vás mělo právní nebo obdobně významné účinky.

Analytiku nepoužíváme k reklamnímu profilování. Tato politika je transparentní popis zpracování, nikoli certifikace souladu nebo individuální právní poradenství.

Pravidla a práva ověřujeme proti těmto oficiálním primárním zdrojům:

Při významné změně datového toku, poskytovatele nebo účelu vydáme novou verzi a tam, kde je to nutné, vyžádáme novou volbu souhlasu.

Jasně o tom, co zpracováváme.

Zásady v kostce

POPTÁVKY

ANALYTIKA

ŽÁDNÉ REKLAMNÍ PROFILY