Zásady ochrany osobních údajů

dashiox je produkt marketingové inteligence pro PPC specialisty a agentury: vyhodnocuje data z účtů, které připojíte, a dodává strukturované analýzy a nálezy. Tyto zásady popisují, jak služba dashiox (dále jen „služba“) zpracovává osobní údaje uživatelů, zájemců o přístup a dalších osob, které se na nás obracejí, a jak zachází s daty, ke kterým jí uživatel udělí přístup ve službách Google (integrace Meta a Sklik připravujeme). Řídíme se nařízením Evropského parlamentu a Rady (EU) 2016/679 (GDPR) a zákonem č. 110/2019 Sb., o zpracování osobních údajů.

Správce a kontakt

Správcem osobních údajů je provozovatel služby:

Pavel Hladný
Právní forma: fyzická osoba podnikající dle živnostenského zákona
IČO: 02645351
Sídlo: Nové sady 988/2, 602 00 Brno – Staré Brno, Česká republika
zapsaná v živnostenském rejstříku vedeném Živnostenským úřadem města Brna
E-mail pro ochranu osobních údajů:

Provozovatel není plátcem DPH.

Ve všech záležitostech ochrany osobních údajů, včetně uplatnění práv podle těchto zásad, nás kontaktujte na uvedeném e-mailu nebo přes kontaktní formulář. Bezpečnostní zranitelnosti hlaste podle stránky Zabezpečení.

Pověřenec pro ochranu osobních údajů

Provozovatel pověřence pro ochranu osobních údajů nejmenoval, protože mu tato povinnost podle čl. 37 GDPR nevzniká. Dotazy k ochraně osobních údajů vyřizuje přímo provozovatel na kontaktu uvedeném výše.

Jaké údaje zpracováváme

Údaje o účtu: e-mailová adresa, jméno (pokud ho uvedete), hash hesla (samotné heslo neukládáme), tajný klíč pro dvoufázové ověření (TOTP) v šifrované podobě, nastavení účtu (jazyk, barevný režim), údaje o pozvánce (kdo a kdy vás pozval, tarif, platnost); přihlašujete-li se přes Google, také identifikátor účtu Google (sub) — s existujícím účtem ho propojíme až po ověření propojení heslem a kódem z aplikace pro ověřovací kódy. Kvůli limitu, který Google uplatňuje u neověřených aplikací, vedeme evidenci souhlasů: jednosměrný otisk identifikátoru účtu Google vytvořený tajným klíčem (HMAC) s datem prvního a posledního přihlášení, a to i u pokusů o přihlášení bez pozvánky; otisk uchováváme i po zrušení účtu, nejdéle do uplynutí 12 měsíců po ověření aplikace Googlem (oprávněný zájem).
Údaje o přihlášení a relacích: identifikátor relace (v databázi jen jako hash), čas vytvoření a vypršení relace, IP adresa a označení prohlížeče u relace, záznamy o neúspěšných pokusech o přihlášení (pro ochranu proti zneužití).
Technické a bezpečnostní logy: čas a výsledek požadavků, chybová hlášení a auditní záznam důležitých akcí (přihlášení, připojení a odpojení platforem). Tokeny a hesla se v logech automaticky maskují.
Data z připojených platforem: data z účtů Google, ke kterým nám udělíte přístup (např. výkon kampaní, návštěvnost webu, výsledky ve vyhledávání, produktová data). Rozsah pro Google popisuje sekce Data uživatelů z Google; integrace Meta a Sklik připravujeme (viz Data z platformy Meta). Tato data mohou obsahovat osobní údaje vás nebo vašich klientů (např. e-mail přihlašovacího účtu, názvy účtů).
Kontext klienta: údaje o vašich klientech, které zadáte, aby se analýzy vyhodnotily v souvislostech – např. cíle, cílové CPA nebo ROAS, marže, brandové výrazy a poznámky.
Odvozená data: výsledky analýz a nálezy, které služba vytvoří z dat připojených platforem a kontextu klienta.
Žádost o přístup (waitlist): e-mail, volitelně jméno, firma a zpráva, jazyk, čas souhlasu a otisk IP adresy (jednosměrný hash, samotnou IP adresu neukládáme).
Kontaktní formulář: jméno, e-mail, text zprávy, jazyk, čas souhlasu a otisk IP adresy (jednosměrný hash).
Platební údaje: služba je v době uzavřené bety zdarma a platby nezpracovává. Po zavedení placených tarifů budou platby zpracovávat platební zprostředkovatelé uvedení v seznamu zpracovatelů; čísla platebních karet neukládáme.

Účely a právní základy zpracování

Účel	Údaje	Právní základ
Vytvoření a správa účtu na základě pozvánky, přihlášení, poskytování funkcí služby	údaje o účtu, přihlášení, data z připojených platforem	plnění smlouvy – čl. 6 odst. 1 písm. b) GDPR
Tvorba analýz a nálezů, jejich doručení vám do portálu a do AI klienta, kterého připojíte	data z připojených platforem, kontext klienta, odvozená data	plnění smlouvy – čl. 6 odst. 1 písm. b) GDPR
Zabezpečení služby, prevence zneužití, ochrana proti útokům, auditní záznam	přihlášení, technické a bezpečnostní logy	oprávněný zájem na bezpečném provozu – čl. 6 odst. 1 písm. f) GDPR
Vyřízení žádosti o přístup do bety a pozvání	údaje z waitlistu	souhlas – čl. 6 odst. 1 písm. a) GDPR a opatření před uzavřením smlouvy – čl. 6 odst. 1 písm. b) GDPR
Odpověď na dotaz z kontaktního formuláře nebo e-mailu	údaje z kontaktního formuláře	oprávněný zájem na vyřízení dotazu – čl. 6 odst. 1 písm. f) GDPR; u dotazů k uzavřené smlouvě čl. 6 odst. 1 písm. b) GDPR
Plnění zákonných povinností (účetnictví a daně po zavedení plateb, součinnost s orgány veřejné moci)	údaje o účtu, fakturační údaje	právní povinnost – čl. 6 odst. 1 písm. c) GDPR
Ochrana právních nároků provozovatele	nezbytné údaje o účtu a komunikaci	oprávněný zájem – čl. 6 odst. 1 písm. f) GDPR

Souhlas je právním základem jen tam, kde je to výslovně uvedeno; můžete ho kdykoli odvolat e-mailem na , odvolání nemá vliv na zákonnost zpracování před ním. Údaje nepoužíváme k marketingu ani k profilování a nezasíláme obchodní sdělení.

Data uživatelů z Google

Tato sekce popisuje, jak služba zachází s daty, která získá z Google API poté, co jí to výslovně povolíte na obrazovce souhlasu Google (OAuth). Každý uživatel připojuje Google s vlastním souhlasem; přístupy se mezi uživateli nikdy nesdílejí. dashiox přistupuje ke Google Ads prostřednictvím vlastního projektu Google Cloud; každý uživatel se přihlašuje svým vlastním účtem Google a přístup uděluje sám. Přístup udělujete pro každou službu Google zvlášť a jen v rozsahu, který potvrdíte. Získáváme: strukturu a výkon kampaní, vyhledávací dotazy a rozpočty z Google Ads; přehledy návštěvnosti, konverzí a e-commerce z Google Analytics 4; vyhledávací dotazy a výkon stránek ze Search Console; produktová data a stav produktů z Merchant Center; konfiguraci značek, spouštěčů a proměnných z Tag Manageru; obsah souborů Google Sheets, které sami vyberete; a e-mailovou adresu vašeho účtu Google.

Jaké přístupy (scopes) žádáme a proč

Oprávnění (scope)	Co služba díky němu dělá
`openid`, `email`	ověření vaší identity a e-mailové adresy účtu Google, kterým se přihlašujete nebo připojujete data
`https://www.googleapis.com/auth/adwords`	čtení struktury a výkonu kampaní v Google Ads jako vstupu analýz a nálezů (např. plýtvání na vyhledávacích dotazech, čerpání rozpočtu); provádění změn (např. přidání vylučujícího slova) připravujeme a bude možné jen po vašem výslovném schválení – během bety se nic nemění
`https://www.googleapis.com/auth/analytics.readonly`	čtení dat Google Analytics 4 (návštěvnost, konverze, e-commerce) pro analýzy a kontrolu měření; jen čtení
`https://www.googleapis.com/auth/webmasters.readonly`	čtení dat Google Search Console (dotazy, stránky, pokrytí indexu) pro SEO analýzy; jen čtení
`https://www.googleapis.com/auth/content`	čtení a kontrola produktových dat a stavu produktů v Google Merchant Center; změny připravujeme a budou možné jen po vašem výslovném schválení
`https://www.googleapis.com/auth/tagmanager.readonly`	čtení konfigurace Google Tag Manager (značky, spouštěče, proměnné) pro kontrolu měření; jen čtení
`https://www.googleapis.com/auth/drive.file` (volitelné)	přístup jen k jednotlivým souborům Google Sheets, které sami vyberete (např. mediální plán); k ostatním souborům na Disku Google přístup nemáme

Jak data používáme

Data z Google API používáme výhradně k poskytování funkcí, které si sami vyžádáte: služba je vyhodnotí (sjednocené definice metrik, pravidla, prahy, benchmarky a kontext vašeho klienta) a vytvoří analýzy a nálezy nad vašimi účty, které vám doručíme v portálu a v AI asistentovi, kterého jste sami připojili.
Analýzy běží na váš požadavek – z vašeho AI asistenta nebo v portálu. Na pozadí data nečteme k jiným účelům.
Změny v účtech (zápisy) připravujeme: během bety služba nic nemění. Jakmile to bude dostupné, změna se provede jen po vašem výslovném schválení konkrétního návrhu v portálu a každá provedená akce se zapíše do auditního záznamu.
Data nepoužíváme k reklamě, k profilování ani k vyhodnocování úvěruschopnosti.
dashiox nepoužívá data uživatelů z Google ani žádná data z nich agregovaná, anonymizovaná nebo odvozená k vývoji, zlepšování ani trénování obecných či nepersonalizovaných modelů umělé inteligence nebo strojového učení. K tomuto účelu nepoužívá ani data získaná z rozhraní Google Workspace API (Google Drive).
Lidé u provozovatele data uživatelů z Google nečtou, s výjimkou případů, které připouštějí požadavky Limited Use (viz Prohlášení o omezeném použití).

AI klient, kterého si připojíte: Pokud si připojíte AI asistenta (například Claude nebo ChatGPT), dashiox mu předává výsledky analýz odvozené z vašich dat z Google jen na váš požadavek a jen za účelem odpovědi na váš dotaz. dashiox toto předání neprovádí za účelem trénování modelů umělé inteligence. Jak poskytovatel AI s daty naloží, se řídí vaší smlouvou a nastavením u tohoto poskytovatele. AI klient je připojen přes protokol MCP; předáváme jen výsledek konkrétního požadavku, nikdy přístupové tokeny, surová data účtu ani celé účty. Přístup AI klienta můžete kdykoli odebrat odebráním konektoru v AI klientovi nebo e-mailem na nás (v portálu, jakmile to bude dostupné).
Nezbytní zpracovatelé: data dále zpřístupňujeme jen zpracovatelům, bez kterých službu nelze provozovat (zejména poskytovatel hostingu), a to v rozsahu nezbytném pro provoz; seznam je na stránce Zpracovatelé.
Nikomu jinému data z Google API nepředáváme, s výjimkou předání na váš pokyn popsaného výše a případů, kdy je to nezbytné z bezpečnostních důvodů (např. vyšetření zneužití) nebo k plnění právní povinnosti, anebo při fúzi, akvizici či prodeji majetku provozovatele – v tomto posledním případě jen s vaším předchozím výslovným souhlasem.

Ukládání a ochrana

Přístupové a obnovovací tokeny Google ukládáme výhradně šifrované (AES-256-GCM); v logech se automaticky maskují.
Veškerá komunikace se službou i s Google API probíhá šifrovaně (TLS).
Ukládáme: šifrované přístupové tokeny; data z Google API v krátkodobé mezipaměti nejdéle 24 hodin; výsledky analýz a nálezy z nich odvozené; a auditní záznam schválených akcí. Doby uchování jsou v sekci Doby uchování.
Data jsou uložena u poskytovatele hostingu Hetzner Online GmbH, umístění: Finsko (EU), datové centrum Helsinki.
Data jednotlivých uživatelů a pracovních prostorů jsou od sebe logicky oddělena a přístup k nim je kontrolován při každém požadavku.

Odvolání přístupu a smazání

Odpojení: kdykoli nás můžete požádat o odpojení účtu Google (e-mailem, nebo v portálu, jakmile tam bude správa připojení dostupná); tokeny u Google zneplatníme a připojení smažeme spolu se souvisejícími daty z mezipaměti a s výsledky analýz a nálezy odvozenými z tohoto zdroje.
Odebrání přístupu v účtu Google: přístup služby můžete kdykoli odebrat na stránce https://myaccount.google.com/permissions; služba se k datům poté nedostane.
Zrušení účtu: všechna data účtu smažeme podle stránky Smazání dat – žádost vyřídíme bez zbytečného odkladu, nejpozději do 1 měsíce, a data fyzicky smažeme nejpozději do 30 dnů od zrušení účtu.
Připojení nepoužívaná 90 dní plánujeme automaticky odpojovat (s předchozím upozorněním e-mailem); do té doby vám na požádání kdykoli smažeme jakékoli nepoužívané připojení.

Prohlášení o omezeném použití (Limited Use)

Používání informací získaných z Google API aplikací dashiox a jejich předávání jakékoli jiné aplikaci se budou řídit zásadami Google API Services User Data Policy, včetně požadavků Limited Use (omezeného použití). Používání a předávání informací získaných z Google API, včetně rozhraní Google Workspace API, aplikací dashiox se bude řídit zásadami Google API Services User Data Policy a Google Workspace API User Data and Developer Policy, včetně požadavků Limited Use (omezeného použití). Jinou aplikací je v tomto smyslu i AI klient, kterého si připojíte.

V souladu s těmito požadavky zejména:

data z Google API používáme jen k poskytování a zlepšování funkcí, které jsou viditelné v uživatelském rozhraní služby a které si sami vyžádáte;
data z Google API neprodáváme a nepředáváme je reklamním platformám, zprostředkovatelům dat (data brokerům) ani jiným překupníkům informací;
data z Google API nepoužíváme k zobrazování reklamy, včetně retargetingu a personalizované reklamy či reklamy založené na zájmech, ani k hodnocení úvěruschopnosti nebo pro účely poskytování úvěrů;
data získaná z rozhraní Google Workspace (ve službě jen volitelné oprávnění drive.file k souborům Google Sheets, které sami vyberete) nepoužíváme k vytváření, trénování ani zlepšování modelů strojového učení nebo umělé inteligence nad rámec modelu personalizovaného výhradně pro vás a funkci, kterou používáte;
lidé u provozovatele data z Google API nečtou, s výjimkou případů, kdy (a) nám k tomu u konkrétních dat předem udělíte výslovný souhlas (např. při řešení vašeho požadavku na podporu), (b) je to nezbytné z důvodu bezpečnosti (např. vyšetření chyby nebo zneužití), (c) je to nezbytné ke splnění právní povinnosti, nebo (d) jde o data agregovaná a anonymizovaná, používaná pro interní provoz v souladu s platnými právními předpisy.

Data z platformy Meta

Integraci Meta (reklamní účty na Facebooku a Instagramu přes Meta Marketing API) připravujeme a v betě není dostupná; služba zatím žádná data z Meta nezpracovává. Totéž platí pro Sklik (Seznam.cz). Tuto sekci doplníme o popis dat, účelů a mazání dříve, než bude integrace dostupná.

Kontaktní formulář a žádost o přístup

Žádost o přístup (waitlist): zpracováváme e-mail, jméno, případně firmu, adresu webu, typ žadatele (agentura, in-house marketing, freelancer, jiné), používané reklamní a analytické platformy, přibližný počet spravovaných účtů nebo klientů a zprávu, kterou nám napíšete, a také čas odeslání a udělení souhlasu. Údaje zpracováváme, abychom mohli posoudit žádost o přístup do uzavřené bety, vybrat pořadí pozvánek a poslat vám pozvánku; k žádosti si můžeme poznamenat interní poznámku o jejím vyřízení. Uchováváme je do odeslání pozvánky nebo zamítnutí žádosti, nejdéle 12 měsíců od odeslání. Poté je smažeme, pokud se nestanete uživatelem.
Kontaktní formulář: údaje zpracováváme, abychom mohli odpovědět na váš dotaz. Zprávu uchováváme po dobu jejího vyřízení a poté nejdéle 24 měsíců pro případ navazující komunikace nebo obrany právních nároků.
Z IP adresy odesílatele ukládáme jen jednosměrný otisk (hash) pro ochranu proti spamu; samotnou IP adresu neukládáme.
Odeslání formuláře je dobrovolné, bez vašich údajů však žádost ani dotaz nemůžeme vyřídit.

Příjemci a zpracovatelé

Osobní údaje zpřístupňujeme jen zpracovatelům, kteří pro nás zajišťují provoz služby (hosting; Google jako zpracovatel pro přihlášení účtem Google přes Google Sign-In / ověření identity OpenID a pro rozesílání transakčních e-mailů přes Google Workspace z adresy noreply; po zavedení plateb jejich zpracování), a to na základě smlouvy o zpracování osobních údajů podle čl. 28 GDPR. Aktuální seznam zpracovatelů je na stránce Zpracovatelé. Dalšími příjemci jsou poskytovatelé platforem (nyní Google; Meta a Sklik, jakmile budou jejich integrace dostupné), jejichž API služba volá na váš pokyn, a AI klient, kterého si sami připojíte. Orgánům veřejné moci údaje poskytneme jen tehdy, ukládá-li nám to zákon.

Předávání mimo EU/EHP

Údaje primárně zpracováváme v místě uvedeném v seznamu zpracovatelů. Pokud některý zpracovatel nebo příjemce zpracovává údaje mimo Evropský hospodářský prostor, děje se tak jen při zajištění odpovídajících záruk podle kapitoly V GDPR – na základě rozhodnutí Evropské komise o odpovídající ochraně (např. EU–US Data Privacy Framework u certifikovaných příjemců) nebo standardních smluvních doložek schválených Evropskou komisí. Poskytovatelé platforem (Google) a AI klienti, které si připojíte, zpracovávají data podle svých vlastních podmínek a mohou je zpracovávat i mimo EHP.

Doby uchování

Údaje	Doba uchování
Údaje o účtu	po dobu trvání účtu; po zrušení účtu znepřístupněny a fyzicky smazány nejpozději do 30 dnů
Relace přihlášení	do odhlášení nebo 7 dní nečinnosti
Tokeny připojených platforem	do odpojení nebo zrušení účtu
Mezipaměť dat z platforem	nejdéle 24 hodin
Výsledky analýz a nálezy	24 hodin; delší historie jen podle vašeho tarifu a do jejího smazání, odpojení zdroje, ze kterého pochází, nebo zrušení účtu
Kontext klienta (cíle, marže, brandové výrazy, poznámky)	do jeho smazání nebo zrušení účtu
Data z procházení webu (pokud používáte funkci procházení webu)	30 dní
Auditní záznam a bezpečnostní logy	90 dní
Žádost o přístup (waitlist)	do pozvání nebo zamítnutí, nejdéle 12 měsíců
Kontaktní zprávy	po dobu vyřízení, poté nejdéle 24 měsíců
Zálohy	smazaná data vymizí ze záloh nejpozději 30 dní po smazání z provozního systému
Účetní doklady (po zavedení plateb)	po dobu stanovenou zákonem (zpravidla 10 let)

Vaše práva

Podle GDPR máte právo:

na přístup k osobním údajům a na informace o jejich zpracování (čl. 15);
na opravu nepřesných údajů (čl. 16);
na výmaz („být zapomenut“, čl. 17) – postup je na stránce Smazání dat;
na omezení zpracování (čl. 18);
na přenositelnost údajů, které jste nám poskytli, ve strukturovaném strojově čitelném formátu (čl. 20);
vznést námitku proti zpracování založenému na oprávněném zájmu (čl. 21);
kdykoli odvolat souhlas, pokud je zpracování na souhlasu založeno (čl. 7 odst. 3).

Práva uplatníte e-mailem na . Žádosti vyřídíme bez zbytečného odkladu, nejpozději do 1 měsíce od jejich obdržení (čl. 12 odst. 3 GDPR); ve složitých případech lze lhůtu prodloužit o další dva měsíce, o čemž vás budeme informovat. Před vyřízením můžeme požádat o ověření totožnosti.

Právo podat stížnost

Pokud se domníváte, že zpracováním porušujeme předpisy, máte právo podat stížnost u dozorového úřadu: Úřad pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, https://uoou.gov.cz. Můžete se obrátit i na dozorový úřad členského státu svého bydliště nebo pracoviště. Budeme rádi, když se na nás nejdříve obrátíte přímo.