Zásady ochrany osobních údajů

1. Správce osobních údajů

Společnost SNYFT s.r.o. (dále jen "SNYFT", "my", "nás") provozuje platformu SNYFT Security Platform, cloudový systém pro správu bezpečnostních informací a událostí (SIEM). Tyto Zásady ochrany osobních údajů popisují, jakým způsobem shromažďujeme, používáme, uchováváme a chráníme osobní údaje v souvislosti s naší platformou a marketingovými webovými stránkami (snyft.cz).

2. Kategorie shromažďovaných údajů

2.1 Údaje o účtu

Při registraci nebo používání platformy SNYFT shromažďujeme:

• Jméno a příjmení
• E-mailovou adresu
• Název společnosti a obchodní údaje
• Roli a pracovní pozici (pokud jsou poskytnuty)
• Heslo (ukládáno jako kryptografický hash; hesla v otevřené podobě nikdy neukládáme)

2.2 Bezpečnostní data z logů

Hlavní funkcí platformy SNYFT je příjem, analýza a korelace bezpečnostních událostí z Vaší cloudové infrastruktury. V závislosti na konfigurovaných integracích mohou být zpracovávány následující kategorie dat z logů:

• Události AWS CloudTrail (správa a datové události)
• VPC Flow Logs (metadata síťového provozu)
• Záznamy DNS dotazů
• Nálezy Amazon GuardDuty
• Autentizační události (pokusy o přihlášení, události MFA, data relací)
• IP adresy (zdrojové a cílové)
• AWS ARN identifikátory (Amazon Resource Names) identifikující prostředky a principály
• Uživatelská jména a identifikátory uživatelů
• Názvy hostitelů a doménová jména
• Identifikační řetězce prohlížeče (user agent)
• Časové značky a metadata událostí

2.3 Analytická data o používání

Shromažďujeme anonymizovaná data o používání za účelem zlepšení platformy:

• Zobrazení stránek a navigační vzory
• Frekvence používání funkcí
• Délka relací
• Typ prohlížeče a rozlišení obrazovky

Tato data jsou agregována a nelze je použít k identifikaci jednotlivých uživatelů.

2.4 Platební údaje

Zpracování plateb je plně zajišťováno společností Stripe, Inc. SNYFT neukládá, nezpracovává ani nemá přístup k číslům Vašich platebních karet, údajům o bankovních účtech či jiným platebním nástrojům. Přijímáme pouze:

• Potvrzení o stavu platby
• Informace o předplatném a fakturačním období
• Historii faktur a částky

3. Právní základ zpracování

Osobní údaje zpracováváme na následujících právních základech podle Obecného nařízení o ochraně osobních údajů (GDPR):

Pokud je zpracování založeno na souhlasu, můžete souhlas kdykoliv odvolat, aniž by byla dotčena zákonnost zpracování prováděného před odvoláním.

4. Informace o zpracování pomocí umělé inteligence

Platforma SNYFT využívá umělou inteligenci ke zlepšení bezpečnostní analýzy. Rozlišujeme dva režimy zpracování pomocí AI:

4.1 AI spravovaná platformou

SNYFT využívá službu Amazon Bedrock (provozovanou v regionu EU) pro následující automatizované zpracování:

• Analýza hrozeb — Automatizované třídění a hodnocení závažnosti bezpečnostních výstrah
• Narativy ve zprávách — Generování čitelných souhrnných zpráv a zpráv o souladu pro vedení
• Asistence při vyšetřování — Analýza vedená umělou inteligencí během vyšetřování bezpečnostních incidentů

Veškeré zpracování AI spravované platformou probíhá v rámci EU. Data zasílaná do Amazon Bedrock podléhají smlouvě o zpracování dat s AWS a nejsou společností AWS využívána k tréninku či zlepšování modelů AI.

4.2 AI konfigurovaná zákazníkem (BYOK)

Zákazníci mohou volitelně nakonfigurovat vlastního poskytovatele AI pro rozšířenou analýzu poskytnutím vlastního API klíče:

• OpenAI (pokud je nakonfigurováno zákazníkem)
• Anthropic (pokud je nakonfigurováno zákazníkem)

Pokud zákazník aktivuje BYOK AI, vybraná data (například souhrny výstrah nebo úryvky z logů) jsou zasílána poskytovateli zvolenému zákazníkem. SNYFT nekontroluje postupy zpracování dat těchto poskytovatelů třetích stran. Zákazníci jsou odpovědni za posouzení zásad ochrany osobních údajů a podmínek zpracování dat zvoleného BYOK poskytovatele.

4.3 Žádné automatizované rozhodování

Výstupy AI v rámci platformy SNYFT mají pouze poradní charakter. Na základě zpracování umělou inteligencí nejsou přijímána žádná automatizovaná rozhodnutí s právními nebo obdobně závažnými účinky ve smyslu článku 22 GDPR. Všechna kritická bezpečnostní rozhodnutí (eskalace výstrah, reakce na incidenty, odebrání přístupu) vyžadují lidské potvrzení.

5. Další zpracovatelé

SNYFT využívá následující další zpracovatele pro poskytování svých služeb:

6. Doba uchovávání dat

Doba uchovávání dat závisí na úrovni předplatného zákazníka:

7. Mezinárodní přenosy dat

7.1 Výchozí stav: Zpracování výhradně v EU

Ve výchozím nastavení jsou všechna zákaznická data zpracovávána a ukládána výhradně v rámci Evropské unie, konkrétně v regionu AWS eu-central-1 (Frankfurt, Německo). To zahrnuje výpočetní kapacity, databáze, úložiště i AI inference.

7.2 Zpracovatelé mimo EU (volitelné)

Určité volitelné integrace informací o hrozbách zahrnují přenosy dat do zemí mimo EU:

• HaveIBeenPwned (Velká Británie): Po Brexitu je Velká Británie pokryta rozhodnutím EU o přiměřenosti.
• AbuseIPDB (USA) a Shodan (USA): Přenosy jsou chráněny Standardními smluvními doložkami (SCC) a/nebo rámcem EU-USA pro ochranu soukromí (Data Privacy Framework), dle uplatnitelnosti.

Tyto integrace jsou volitelné a jsou aktivovány pouze tehdy, pokud je zákazník výslovně povolí.

7.3 Přenosy konfigurované zákazníkem

Pokud zákazník nakonfiguruje BYOK AI integrace (OpenAI, Anthropic) nebo nástroje třetích stran (Jira, Slack), mohou být data přenášena na místa určená konfigurací zákazníka. Tyto přenosy jsou iniciovány zákazníkem a spadají pod odpovědnost zákazníka jako správce údajů.

8. Bezpečnostní opatření

SNYFT uplatňuje komplexní technická a organizační opatření k ochraně osobních údajů, mimo jiné:

• Šifrování dat v klidu a při přenosu s využitím standardních kryptografických algoritmů (AES-256, TLS 1.2+)
• Logická izolace nájemců na úrovni databáze zajišťující striktní oddělení dat zákazníků
• Řízení přístupu na základě rolí (RBAC) s vícefaktorovou autentizací (MFA) dostupnou na všech úrovních předplatného
• Komplexní auditní protokolování všech administrativních úkonů a přístupů k datům
• Pravidelná bezpečnostní hodnocení včetně skenování zranitelností a revize kódu
• Postupy pro reakci na incidenty s definovanými eskalačními cestami a lhůtami pro oznámení
• Zásady minimalizace dat aplikované na všechny činnosti zpracování
• Bezpečný životní cyklus vývoje softwaru s automatizovaným bezpečnostním testováním

9. Práva subjektů údajů

Podle GDPR (články 15–22) máte následující práva týkající se Vašich osobních údajů:

Pro uplatnění kteréhokoliv z těchto práv kontaktujte našeho Pověřence pro ochranu osobních údajů na adrese dpo[at]snyft.cz (klikněte pro zobrazení).

Na Váš požadavek odpovíme do 30 dnů. Pokud budeme potřebovat více času (až dalších 60 dnů u složitých požadavků), budeme Vás o prodloužení a důvodech informovat během počáteční 30denní lhůty.

10. Soubory cookie

Platforma SNYFT používá pouze nezbytné soubory cookie vyžadované pro svůj provoz:

Nepoužíváme analytické soubory cookie, marketingové soubory cookie ani sledovací soubory cookie třetích stran. Souhlas se soubory cookie není vyžadován, protože používáme pouze nezbytné technické soubory cookie ve smyslu článku 5 odst. 3 směrnice o soukromí v elektronických komunikacích (2002/58/ES).

11. Změny těchto zásad

Tyto Zásady ochrany osobních údajů můžeme čas od času aktualizovat, aby odrážely změny v našich postupech, technologiích, právních požadavcích či jiných faktorech.

• Podstatné změny: O podstatných změnách vás budeme informovat s alespoň 30denním předstihem emailem na registrovanou emailovou adresu vlastníka účtu.
• Nepodstatné změny: Drobná upřesnění nebo formátovací změny mohou být provedeny bez předchozího upozornění.
• Historie verzí: Historie verzí těchto zásad je udržována a dostupná na požádání.

Doporučujeme vám tyto Zásady ochrany osobních údajů pravidelně kontrolovat. Pokračování v používání platformy SNYFT po datu účinnosti revidovaných zásad představuje souhlas se změnami.

12. Kontaktní údaje

V případě dotazů ohledně těchto Zásad ochrany osobních údajů nebo našich postupů zpracování dat:

Dozorový úřad:

Pokud se domníváte, že byla porušena Vaše práva na ochranu osobních údajů, máte právo podat stížnost u Úřadu pro ochranu osobních údajů:

Tyto Zásady ochrany osobních údajů jsou účinné od 21. března 2026.