Ochrana osobných údajov v službe BoostBox
Vysvetľujeme tu, aké osobné údaje spracúvame v službe BoostBox a na webe boostbox.sk, prečo, ako dlho a aké máte práva. Pod „GDPR“ rozumieme nariadenie (EÚ) 2016/679.
1. Kto sme a ako nás kontaktovať
Službu BoostBox prevádzkuje Concinnity s.r.o., Valová 31/A, 921 01 Piešťany, IČO 51 404 753 (ďalej „my“). Ďalšie údaje o firme sú v Podmienkach používania.
Kontakt pre osobné údaje: support@boostbox.sk, kontaktný formulár, telefón +421 948 786 121 alebo pošta na adresu sídla s označením „Ochrana osobných údajov“.
Zodpovednú osobu (DPO) sme neurčili.
2. Čo BoostBox robí a koho sa zásady týkajú
BoostBox je nástroj pre firmy a agentúry. Sleduje posty na Facebook stránkach a Instagram účtoch klientov a podľa podmienok, ktoré nastaví človek, z nich vytvára reklamy v Meta Ads v reklamnom účte klienta.
Údaje z Mety používame len na prácu pre klienta, ktorému stránka a reklamný účet patria. Nepredávame ich a netrénujeme na nich modely umelej inteligencie (časť 5).
Zásady sa týkajú:
- návštevníkov webu boostbox.sk,
- ľudí, ktorí nás kontaktujú,
- používateľov BoostBoxu vrátane ľudí, ktorí sa zaregistrovali a čakajú na schválenie,
- ľudí, ktorých údaje sú v dátach klientov, napríklad človeka spomenutého v poste.
Ako spracúva údaje Meta vo Facebooku, Instagrame a Meta Ads, určujú zásady Mety.
3. Kedy sme prevádzkovateľ a kedy sprostredkovateľ
| Údaje | Naša rola |
|---|---|
| web vrátane merania návštevnosti a súhlasu s cookies, komunikácia s nami, účty používateľov a záznamy o prevádzke | prevádzkovateľ |
| dáta stránok, Instagram účtov a reklamných účtov klientov: posty, štatistiky, kampane a reklamy, aj ich kópie v zálohách | sprostredkovateľ klienta podľa čl. 28 GDPR |
O účele a právnom základe pri dátach klienta rozhoduje klient a BoostBox s nimi pracuje na jeho pokyn. Žiadosť o takých údajoch postúpime klientovi a pomôžeme mu ju vybaviť. Meta spracúva údaje ako samostatný prevádzkovateľ (časť 6).
4. Aké údaje spracúvame, prečo a ako dlho
Právne základy podľa čl. 6 ods. 1 GDPR: písm. a) súhlas, písm. b) zmluva alebo kroky pred jej uzavretím na vašu žiadosť, písm. c) zákonná povinnosť, písm. f) oprávnený záujem. Pri oprávnenom záujme uvádzame, o aký záujem ide.
| Údaje | Odkiaľ | Účel | Právny základ | Ako dlho |
|---|---|---|---|---|
| Správa z formulára, e-mailu alebo telefonátu: meno, e-mail, typ požiadavky, text, prípadne firma a telefón; naše poznámky a odpoveď. Hovory nenahrávame. | od vás | vybaviť požiadavku | pri záujme o službu kroky pred zmluvou; pri podpore k účtu zmluva; pri uplatnení práv zákonná povinnosť; inak oprávnený záujem odpovedať vám | na webovom serveri len do prevzatia do BoostBoxu, potom 24 mesiacov po vybavení |
| Ochrana formulára: odtlačok IP adresy vytvorený tajným kľúčom, čas zobrazenia formulára, odtlačok obsahu proti dvojitému odoslaniu, výsledok kontroly proti spamu | z prehliadača | ochrana pred spamom | oprávnený záujem chrániť službu pred zneužitím | odtlačok IP adresy len v pamäti servera, najviac 1 hodinu; odtlačok obsahu 24 hodín; ostatné ako správa; správy zachytené ako spam a neplatné správy 30 dní |
| Meranie návštevnosti webu cez Google Tag Manager a Google Analytics 4, kým nesúhlasíte s analytickými cookies: udalosti na webe (napríklad zobrazenie stránky a odoslanie kontaktného formulára), čas, odkiaľ ste prišli, údaje o prehliadači a rozlíšení obrazovky, stav súhlasu a náhodné číslo vytvorené pri každom načítaní stránky. Bez cookies a bez identifikátora uloženého v prehliadači. Google pri tom dostane aj IP adresu. Podľa Googlu IP adresy z EÚ v Google Analytics neukladá, odvodí z nich len približnú polohu. | z prehliadača | merať návštevnosť webu v súhrnných číslach | chýba: právny základ merania bez súhlasu | ako pri meraní so súhlasom |
Meranie návštevnosti webu po vašom súhlase s analytickými cookies: rovnaké údaje a navyše náhodný identifikátor prehliadača a údaje o relácii v cookies _ga a _ga_<ID>, podľa ktorých Google Analytics 4 rozozná opakovanú návštevu | z prehliadača cez cookies | merať návštevnosť webu v súhrnných číslach | súhlas, ktorý môžete kedykoľvek odvolať | údaje v Google Analytics 4: chýba: doba uchovania údajov v GA4; cookies najviac 2 roky |
Záznam o súhlase s cookies: vaša voľba v lište (kategórie a spôsob voľby) a verzia nastavení lišty, v prehliadači cookie cmp_consent s voľbou, jej časom a pri zázname aj s náhodným identifikátorom súhlasu | z prehliadača | preukázať, že ste súhlas udelili alebo odmietli | zákonná povinnosť vedieť súhlas preukázať (čl. 7 ods. 1 GDPR) | cookie podľa Zásad cookies; záznam počas platnosti súhlasu a potom, kým Google Analytics 4 uchováva podrobné údaje získané na základe súhlasu |
| Účet: meno, e-mail, heslo len ako odtlačok, stav účtu, rola správcu, časy vytvorenia, overenia e-mailu a posledného prihlásenia | od vás alebo od správcu | vedenie účtu | zmluva (Podmienky používania); pri účte od správcu oprávnený záujem umožniť našim ľuďom prácu v BoostBoxe | kým účet používate; zrušený alebo vypnutý účet a zamietnutú registráciu vymažeme do 30 dní; záznamy o nich v zázname činností a e-mail toho, kto rozhodol o návrhu reklamy, ostávajú podľa doby týchto záznamov |
| Prihlásenie: relácia (v databáze len odtlačok), pokusy o prihlásenie s e-mailom, IP adresou, časom a výsledkom; pri prístupe do administrácie aj e-mail, názov a IP adresa zariadenia u poskytovateľa zabezpečeného prístupu | pri prihlásení | udržať prihlásenie, chrániť účty pred skúšaním hesiel, pustiť do administrácie len schválené zariadenia | zmluva; pri pokusoch a prístupe oprávnený záujem chrániť účty a administráciu | relácia 14 dní, pokusy 30 dní, údaje zariadenia, kým má prístup |
| E-maily s odkazom alebo kódom (registrácia, prihlásenie, nové heslo): e-mail, IP adresa, čas a účel žiadosti; odtlačok odkazu a kódu; pri registrácii aj meno, odtlačok hesla a odtlačok cookie prehliadača | od vás | poslať a overiť odkaz, obmedziť počet e-mailov | zmluva; pri limite oprávnený záujem nezasielať e-maily na cudzie adresy | žiadosť 2 dni, odkaz 30 dní po skončení platnosti |
| Záznam činností: čas, e-mail toho, kto akciu urobil, akcia a jej cieľ, napríklad schválenie reklamy. Pri prihlásení, registrácii a úkonoch s heslom aj IP adresa, pri registrácii verzia prijatých Podmienok používania. | vlastná prevádzka | preukázať, kto čo schválil a zapísal do Mety; bezpečnosť účtov | oprávnený záujem obhájiť právne nároky a chrániť účty | schválenia a zamietnutia reklám, zápisy do Mety a zapnutie či vypnutie zápisu, kampaní a zdrojov počas spolupráce s klientom a 4 roky po nej; ostatné vrátane IP adries a verzie prijatých Podmienok 12 mesiacov |
| Záznam volaní rozhraní Mety: čas, adresa volania s identifikátormi, výsledok, kód chyby, trvanie; bez prístupových tokenov | vlastná prevádzka | sledovať chybovosť a riešiť chyby | oprávnený záujem na spoľahlivej prevádzke | 90 dní |
| Dáta stránok, Instagram účtov a reklamných účtov klientov | z Mety, časť nastavení zadá používateľ | vyhodnotiť posty a vytvoriť z nich reklamy | určuje klient, spracúvame ich na jeho pokyn | podľa časti 5 |
| Zálohy databáz a servera, aj kópie mimo servera | kópia údajov z tejto tabuľky | obnoviť službu po výpadku | oprávnený záujem obnoviť službu | zálohy mažeme po 29 dňoch, pri najbližšej ďalšej zálohe (približne raz denne), preto zmazané údaje v zálohách ostanú najviac 30 dní |
Pri bežnej návšteve webu IP adresu ani iné údaje o návšteve na našom serveri neukladáme. Web doručuje sieť Cloudflare, čo pri tom spracúva, je v časti 6. Meranie návštevnosti cez Google opisujú riadky o Google Analytics 4 vyššie a časť 10.
5. Údaje z Mety
BoostBox sa pripája k Facebooku, Instagramu a Meta Ads cez oficiálne rozhrania Mety. Prístup vznikne tak, že správca Business portfólia prevádzkovateľa pridelí stránku a reklamný účet systémovému používateľovi aplikácie BoostBox. BoostBox pracuje len so stránkami, Instagram účtami a reklamnými účtami, ku ktorým mu prevádzkovateľ pridelil prístup v Business portfóliu v Mete. Heslo k Facebooku BoostBox nežiada ani nevidí.
Čo čítame
- Stránky a Instagram účty: názov, identifikátor, počet sledovateľov a reklamný účet, z ktorého sa platí.
- Posty: identifikátor, dátum, typ, text, odkaz, náhľad a súhrnné počty (dosah, zobrazenia, interakcie, reakcie, komentáre, zdieľania, uloženia, kliky, pozretia videa).
- Kampane, ad sety a reklamy v reklamnom účte, aj od iných nástrojov: stav, cielenie (lokalita, vek, pohlavie, záujmy, publiká), rozpočet, v prospech koho sa reklama zobrazuje a kto za ňu platí, pri reklamách BoostBoxu aj súhrnné výsledky (útrata, zobrazenia, dosah, kliky, konverzie).
- Prístupové tokeny a identifikátory stránok, účtov, postov a reklám.
Oprávnenia a ich účel
| Oprávnenie | Na čo ho BoostBox používa |
|---|---|
pages_show_list | prístup k stránke pripojenej do BoostBoxu |
pages_read_engagement | posty stránky a počty interakcií |
pages_read_user_content | zoznam publikovaných postov, bez neho ho Meta nevydá. Komentáre a príspevky iných ľudí nečítame. |
read_insights | dosah a pozretia postov na Facebooku |
instagram_basic | Instagram účet a zoznam jeho príspevkov |
instagram_manage_insights | dosah a interakcie príspevkov na Instagrame |
pages_manage_ads | reklama z existujúceho postu stránky |
ads_management | vytvorenie a pozastavenie kampane, ad setu, kreatívy a reklamy |
ads_read | čítanie kampaní, ad setov, reklám a ich výsledkov |
business_management | Business portfóliá, do ktorých patria pripojené stránky a reklamné účty |
Oprávnenia ads_read a ads_management dávajú prístup k celému reklamnému účtu, preto BoostBox číta celý účet. Zapisuje však len do výslovne povolených reklamných účtov a mení len objekty, ktoré sám vytvoril.
Čo nečítame
Nečítame súkromné správy, obsah komentárov, mená ľudí, ktorí komentovali alebo reagovali, zoznam sledovateľov, údaje o ľuďoch, ktorí videli reklamu, ani príbehy (Stories) na Instagrame. Pri komentároch, reakciách a sledovateľoch čítame len počty. Obrázky a videá nesťahujeme, ukladáme len odkazy na ne.
Čo s údajmi z Mety nerobíme
- Nepredávame ich ani nelicencujeme.
- Nepoužívame ich na reklamu pre seba ani pre iných. Reklamy vytvárame len pre klienta, ktorému stránka patrí, a len z jeho postov.
- Nekombinujeme údaje rôznych klientov.
- Nevytvárame profily ľudí, nezisťujeme ich totožnosť a nerozhodujeme o nich.
- Nepoužívame ich na trénovanie ani zlepšovanie modelov umelej inteligencie a nedovolíme to ani našim dodávateľom.
- Neposkytujeme ich nikomu okrem Mety, príjemcov z časti 6 a klienta, ktorému patria, ak nám zákon neukladá inak.
Ako dlho ich uchovávame
| Údaje | Ako dlho |
|---|---|
| Prístupové tokeny | token systémového používateľa, kým BoostBox pracuje s Metou; tokeny stránok len v pamäti počas behu. Keď prevádzkovateľ systémovému používateľovi stránku alebo reklamný účet odoberie, token k nim prestane dávať prístup. |
| Pripojené stránky, Instagram účty a reklamné účty | kým sú pripojené, po odpojení 90 dní |
| Posty a ich štatistiky | najviac 13 mesiacov od publikovania postu, po odpojení zdroja najviac 90 dní. Dlhšie ostáva len post s rozpracovanou alebo bežiacou reklamou BoostBoxu a post, ktorý BoostBox podľa nastavenia kampane ešte sleduje. Z postu, z ktorého BoostBox reklamu navrhol alebo vytvoril, potom ostane len identifikátor, dátum, typ a orientácia, kým trvá záznam o reklame. Názov reklamy, ktorú BoostBox vytvoril, obsahuje predvolene prvých 40 znakov textu postu a ostáva so záznamom o reklame. |
| Kampane, reklamy, návrhy reklám a výsledky, ktoré vytvoril BoostBox | počas spolupráce s klientom a 30 dní po nej na export |
| Kampane a reklamy iných nástrojov | najviac 90 dní od načítania |
6. Komu údaje poskytujeme
So spracovateľmi uzatvárame zmluvu podľa čl. 28 GDPR.
| Príjemca | Krajina | Úloha |
|---|---|---|
| Hetzner Online GmbH | Nemecko (Falkenstein) | servery BoostBoxu a webu boostbox.sk a ich zálohy |
| Cloudflare, Inc. | USA, sieť dátových centier aj v EÚ | doručenie webu boostbox.sk: cez Cloudflare ide každá návšteva webu vrátane kontaktného formulára. Cloudflare pri tom spracúva IP adresu, údaje o prehliadači, adresu stránky a obsah požiadavky, stránku doručí šifrovane a chráni web pred útokmi. Cookies na webe nenastavuje. |
| Scaleway SAS | Francúzsko | zálohy databázy mimo servera |
| poskytovateľ e-mailovej schránky pre doménu boostbox.sk | Európska únia | e-maily podpory, správy z formulára, e-maily s odkazom na prihlásenie a overenie |
| Tailscale US Inc. | USA, spracúva aj v Kanade, Spojenom kráľovstve a Nemecku | zabezpečený prístup do administrácie BoostBoxu (firemný plán so zmluvou o spracúvaní): e-mail používateľa, názov a IP adresa zariadenia, časy pripojenia; obsah komunikácie nevidí |
| Google Ireland Limited | Írsko, možný prenos do USA | meranie návštevnosti webu (Google Analytics 4): údaje z riadkov o meraní v časti 4 |
| Google, pri Google Tag Manager chýba: zmluvná spoločnosť Google pri Google Tag Manager | možný prenos do USA | načítanie meracích značiek na webe (Google Tag Manager): pri každom otvorení stránky IP adresa, údaje o prehliadači a adresa webu. Podľa Googlu Tag Manager ukladá len súhrnné údaje o spúšťaní značiek bez IP adries a záznamy požiadaviek maže do 14 dní. |
| lišta CookieBox, chýba: prevádzkovateľ CookieBoxu | chýba: krajina spracúvania a prenos mimo EÚ pri CookieBoxe a Cloudflare | lišta súhlasu s cookies a záznam o súhlase. Skript lišty sa načítava zo servera cdn.cookiebox.sk cez sieť Cloudflare, ktorá pri tom dostane IP adresu a údaje o prehliadači. |
| Meta Platforms Ireland Limited | Írsko | zdroj údajov a príjemca pokynov na vytvorenie a zmenu kampaní a reklám vrátane cielenia; samostatný prevádzkovateľ |
Údaje môžu dostať aj naši právni, daňoví a účtovní poradcovia viazaní mlčanlivosťou, súdy a úrady, ak to vyžaduje zákon, a nadobúdateľ podniku pri jeho predaji alebo zlúčení za rovnakých podmienok ochrany.
Prenos mimo EÚ. Tailscale spracúva údaje v USA, v Kanade a v Spojenom kráľovstve. Pre Kanadu a Spojené kráľovstvo platí rozhodnutie Európskej komisie o primeranej úrovni ochrany (čl. 45 GDPR). Prenos do USA je založený na štandardných zmluvných doložkách Európskej komisie (čl. 46 ods. 2 písm. c) GDPR), ktoré sú súčasťou našej zmluvy o spracúvaní s Tailscale. Kópiu záruk vám pošleme na požiadanie. Google môže údaje z merania preniesť spoločnosti Google LLC v USA. Pri reklamných a analytických službách vrátane Google Analytics sa opiera o rozhodnutie Európskej komisie o primeranej úrovni ochrany v rámci EU-U.S. Data Privacy Framework (čl. 45 GDPR), v ostatných prípadoch o štandardné zmluvné doložky. Cloudflare, Inc. sídli v USA. Prenos k nemu sa opiera o EU-U.S. Data Privacy Framework (čl. 45 GDPR), pre prípady mimo neho obsahuje jeho zmluva o spracúvaní štandardné zmluvné doložky. Pri CookieBoxe a sieti Cloudflare, cez ktorú sa načítava skript lišty, je krajina uvedená v tabuľke. Ostatní príjemcovia spracúvajú údaje v EÚ. Ďalšie spracúvanie u Mety upravujú jej zásady.
7. Oprava, odpojenie a vymazanie
Podrobný postup je na stránke Vymazanie dát.
- E-mailom na support@boostbox.sk s predmetom „Vymazanie dát“ alebo „Oprava údajov“, prípadne cez kontaktný formulár. Uveďte, ktorej stránky alebo účtu sa žiadosť týka. Prijatie potvrdíme e-mailom a žiadosť vybavíme do 1 mesiaca.
- Klient môže prevádzkovateľovi odobrať prístup k stránke, Instagram účtu alebo reklamnému účtu v nastaveniach svojho Business portfólia v Mete. BoostBox tým k nim stratí prístup. Aby sme vymazali aj uložené údaje, pošlite nám e-mail.
Čo vymažeme: posty, štatistiky, kampane a reklamy BoostBoxu a ich históriu pri zdroji alebo účte zo žiadosti, pri žiadosti používateľa aj jeho účet. Zo záloh zmazané údaje zmiznú najneskôr po 30 dňoch.
Čo môžeme ponechať: záznam o vybavení vašej žiadosti (24 mesiacov) a záznamy o schváleniach, zápisoch do Mety a zapnutí či vypnutí zápisu, ak ich potrebujeme na obranu právnych nárokov. Povieme vám, čo sme ponechali a prečo.
Reklamy v Meta Ads sa vymazaním údajov v BoostBoxe nevymažú ani nezastavia. Pozastaviť ich môžete v Správcovi reklám. Ak nám napíšete skôr, ako BoostBoxu odoberiete prístup, bežiace reklamy BoostBoxu pred vymazaním pozastavíme.
Údaje vymažeme aj vtedy, keď o to požiada Meta alebo keď BoostBox prestaneme prevádzkovať.
8. Vaše práva
Máte právo na prístup k svojim údajom a ich kópiu, na opravu, na vymazanie a na obmedzenie spracúvania. Údaje, ktoré ste nám poskytli na základe zmluvy, vám pošleme v strojovo čitateľnom formáte (CSV alebo JSON). Súhlas s analytickými cookies môžete kedykoľvek odvolať cez odkaz Nastavenia cookies v päte stránky, bez vplyvu na spracúvanie pred odvolaním. Údaje v Google Analytics 4 vieme nájsť len podľa identifikátora z cookie _ga, postup je v Zásadách cookies.
Právo namietať. Proti spracúvaniu na základe oprávneného záujmu môžete kedykoľvek namietať z dôvodov, ktoré sa týkajú vašej situácie. Údaje potom ďalej nespracúvame, ak nepreukážeme závažné oprávnené dôvody, ktoré prevažujú nad vašimi záujmami, alebo ak ich nepotrebujeme na obranu právnych nárokov.
Ako práva uplatniť: napíšte na support@boostbox.sk alebo cez kontaktný formulár. Odpovieme bez zbytočného odkladu, najneskôr do 1 mesiaca. Pri zložitej žiadosti môžeme lehotu predĺžiť o 2 mesiace a dáme vám to vedieť. Vybavenie je bezplatné. Pri pochybnosti o totožnosti vás požiadame o overenie.
Sťažnosť. Môžete ju podať Úradu na ochranu osobných údajov Slovenskej republiky, Galvaniho Business Centrum II, Galvaniho 7/B, 821 04 Bratislava, https://dataprotection.gov.sk, alebo dozornému orgánu v štáte EÚ, kde máte obvyklý pobyt alebo pracujete, alebo kde došlo k porušeniu.
9. Ako údaje chránime
- Komunikácia s Metou, s webom aj s administráciou BoostBoxu je šifrovaná.
- Prístupové tokeny Mety nezapisujeme do databázy ani do záznamov a nezobrazujeme ich.
- Heslá, relácie a odkazy z e-mailov ukladáme len ako odtlačok.
- Administrácia BoostBoxu nie je verejne dostupná z internetu. Prístup majú len poverené osoby a schválení používatelia.
- Zápisy do Mety majú pevné stropy rozpočtu a počtu nových reklám a každé schválenie aj zápis sa zaznamená.
Porušenie ochrany údajov s rizikom oznámime Úradu na ochranu osobných údajov SR podľa možnosti do 72 hodín. Pri vysokom riziku informujeme aj vás, pri údajoch klienta klienta a pri údajoch z Mety aj Metu.
Bezpečnostnú chybu nám môžete nahlásiť podľa stránky Bezpečnosť.
10. Cookies, meranie návštevnosti a automatizované rozhodovanie
Na webe boostbox.sk beží Google Tag Manager, Google Analytics 4 a lišta súhlasu CookieBox. Google Analytics 4 používame v rozšírenom režime súhlasu (Google Consent Mode v2). Kým nesúhlasíte s analytickými cookies, neukladá ani nečíta cookies a Googlu posiela len údaje bez identifikátorov uložených v prehliadači. Po súhlase nastaví cookies _ga a _ga_<ID>. Po úspešnom odoslaní kontaktného formulára web pošle do Google Analytics 4 udalosť generate_lead, teda len informáciu, že formulár bol odoslaný. Meno, e-mail, telefón ani text správy do nej nedávame. Reklamné nástroje na webe nepoužívame. Podrobnosti, zoznam cookies a zmena súhlasu sú v Zásadách cookies.
Administrácia BoostBoxu meracie skripty nemá a používa len nevyhnutné cookies, na ktoré súhlas netreba: bb_relacia na prihlásenie (14 dní), bb_registracia pri registrácii (1 hodina), bb_hlaska na hlásenie po akcii (60 sekúnd), bb_formular a bb_csrf na ochranu formulárov (do zatvorenia prehliadača).
BoostBox vyhodnocuje posty podľa podmienok, ktoré nastavil človek. Predvolene vytvorí reklamu až po schválení človekom. Rozhoduje o postoch a reklamách, nie o ľuďoch. Automatizované rozhodnutia s právnymi alebo podobne závažnými účinkami podľa čl. 22 GDPR nerobíme.
11. Deti, povinné údaje a zmeny
BoostBox je nástroj pre firmy a nie je určený osobám mladším ako 18 rokov. Ak zistíme, že máme údaje dieťaťa, vymažeme ich.
Web si pozriete bez vyplnenia údajov a bez súhlasu s cookies. Vo formulári sú povinné meno, e-mail, typ požiadavky a text správy, bez nich vám nevieme odpovedať. Pri registrácii sú povinné meno, e-mail, heslo a prijatie Podmienok používania, inak účet nevznikne. Bez oprávnení v Mete BoostBox nemôže pracovať so stránkami a reklamnými účtami.
Aktuálne znenie je vždy na tejto stránke. O podstatnej zmene informujeme používateľov vopred e-mailom. O novom účele spracúvania vám povieme skôr, ako s ním začneme.