Zásady ochrany osobních údajů

Itnetic Technologies

Naposledy aktualizováno: 4. září 2026 Účinnost: 21. června 2026

1. Úvod

Tyto Zásady ochrany osobních údajů vysvětlují, jak Petr Chlíbek, podnikatel (OSVČ) se sídlem v České republice, IČO 21210756, podnikající pod značkou Itnetic Technologies („Itnetic", „my", „nás", „naše"), shromažďuje, používá, sdílí a chrání osobní údaje.

Provozujeme síť pro doručování obsahu (CDN), ochranu proti DDoS útokům na aplikační vrstvě (Layer-7), webový aplikační firewall (WAF), správu botů a související bezpečnostní a výkonnostní služby (společně „Služba"), dostupné na itnetic.com, dashboard.itnetic.com a souvisejících subdoménách.

Ochranu soukromí bereme vážně. Postupujeme v souladu s nařízením (EU) 2016/679 (obecné nařízení o ochraně osobních údajů, „GDPR"), českým zákonem č. 110/2019 Sb., o zpracování osobních údajů, pravidly EU o soukromí v elektronických komunikacích (ePrivacy) a — pro obyvatele Kalifornie — California Consumer Privacy Act ve znění CPRA („CCPA").

S dotazy se obraťte na chlibekbusiness@gmail.com.

2. Dvě role, ve kterých vystupujeme (přečtěte si nejprve)

Vzhledem k povaze Služby zpracováváme osobní údaje ve dvou velmi odlišných rolích. Pochopení, která se na vás vztahuje, je klíčem k těmto zásadám.

Pokud jste koncový uživatel / návštěvník webu chráněného Itnetic a máte dotazy ke svým údajům, vaším prvním kontaktem je provozovatel daného webu (náš zákazník), protože ten je správcem. Při odpovědi mu poskytneme součinnost.

3. Údaje zpracovávané jménem zákazníků (jsme zpracovatel)

Abychom poskytli CDN cache, ochranu proti DDoS, WAF a správu botů, je naše síť umístěna před weby našich zákazníků jako reverzní proxy. K tomu ukončujeme TLS a kontrolujeme provoz. Přitom zpracováváme osobní údaje návštěvníků webů našich zákazníků, zejména:

• Síťové identifikátory — IP adresa, přibližná geolokace z IP, ASN/síť, metadata připojení.
• Metadata požadavků — časové razítko, požadovaná URL/host, HTTP metoda, stavový kód, přenesené bajty, referrer, hlavičky požadavku a odpovědi.
• Signály zařízení/klienta — user-agent, otisk (fingerprint) TLS/HTTP a další signály k rozlišení lidí od automatizovaného provozu.
• Bezpečnostní signály a data výzev — skóre detekce botů, čítače rate-limitu, události WAF a krátkodobé cookies nebo tokeny, které nastavujeme v prohlížeči návštěvníka jako potvrzení úspěšného absolvování výzvy (viz oddíl 9).
• Obsah požadavku — protože je TLS ukončeno, těla požadavků a odpovědí procházejí našimi systémy a mohou být kontrolována automatizovanými bezpečnostními pravidly (např. k detekci útočných payloadů). Těla požadavků ani odpovědí neukládáme a tento obsah netěžíme pro vlastní účely.

Detekce botů napříč sítí. Náš model detekce botů se učí z provozu sítě jako celku — vzorec útoku poprvé viděný na webu jednoho zákazníka je přesně to, co je třeba rozpoznat u dalšího. Vstupem učení je pevná sada odvozených technických signálů o tvaru požadavku: které hlavičky jsou přítomny, tvar řetězce user-agent, zda se vrátily naše challenge cookies, verze TLS/HTTP, počet segmentů cesty a jejich bajtová entropie, počet parametrů dotazu a HTTP metoda. Neobsahuje žádnou IP adresu, žádnou URL, žádné hodnoty hlaviček, žádný obsah cookies ani těla požadavku a nic v ní neidentifikuje návštěvníka, zákazníka ani web. Výsledkem je sada číselných vah, které slouží výhradně k rozhodnutí, zda návštěvníkovi zobrazit bezpečnostní výzvu. Jde o součást poskytování a zabezpečení Služby a je to takto zaznamenáno v našem DPA (Příloha I).

Reputace TLS klientů napříč sítí. Ze stejného důvodu hodnotíme napříč sítí i klientský software. Každý TLS klient navazuje spojení s charakteristickým tvarem — verzemi, šiframi a rozšířeními, které nabízí — a my tento tvar redukujeme na krátký otisk (publikovaný formát JA4). Otisk popisuje software, nikoli osobu: každá instalace daného sestavení prohlížeče vytvoří tentýž otisk a neobsahuje žádnou IP adresu, žádnou URL, žádné hodnoty hlaviček, žádný obsah cookies ani těla požadavku. Počítáme, jak často se každý otisk vyskytuje spolu se signály automatizovaného provozu, které již logujeme, a odvozujeme z toho jedno reputační skóre.

Na rovinu k tomu, co se tím sdílí: skóre otisku je odvozeno z provozu na všechny chráněné weby a zákazník toto skóre vidí — spolu s počtem odlišných webů v síti, na kterých se otisk objevil — u otisků, které se vyskytují v jeho vlastním provozu. Nic dalšího se nesdílí. Žádný jiný zákazník není jmenován, žádný web není jmenován a není zpřístupněn žádný požadavek, návštěvník, IP adresa ani URL. Otisk musí být viděn na nejméně třech odlišných webech, než může být ohodnocen dost vysoko na to, aby se podle něj jednalo, a skóre se maže 30 dní po posledním pozorování otisku. Vysoké skóre v krajním případě znamená, že se návštěvníkovi před načtením stránky zobrazí bezpečnostní výzva — nikdy nikoho neblokuje. I toto je zaznamenáno v našem DPA (Příloha I).

Naše závazky v této roli:

• Tyto údaje zpracováváme výhradně k poskytování a zabezpečení Služby jménem zákazníka a podle jeho doložených pokynů.
• Neprodáváme je a nepoužíváme je k budování profilů pro vlastní marketing.
• Nepoužíváme je k trénování univerzálních modelů AI ani modelů třetích stran a nezpřístupňujeme je žádnému dodavateli AI.
• Každý zákazník jako správce odpovídá za to, že má právní základ pro směrování provozu svých návštěvníků přes nás a že své návštěvníky informuje.
• Naše povinnosti v této roli upravuje náš Dodatek o zpracování osobních údajů (DPA), který je součástí smlouvy s každým zákazníkem.

Zbytek těchto zásad (od oddílu 4) popisuje údaje, pro něž jsme správcem my.

4. Osobní údaje, které shromažďujeme jako správce

4.1 Údaje, které nám poskytnete

• Účet a identita: jméno, e-mail, heslo (uloženo jako hash), název firmy a — u placených/enterprise plánů — fakturační jméno a adresa, DIČ/daňové ID dle potřeby.
• Platební údaje: zpracovává náš poskytovatel plateb; obdržíme omezené fakturační údaje a poslední čtyřčíslí/typ karty, nikoli celá čísla karet (viz oddíl 8).
• Domény a konfigurace: domény, které chráníte, a vaše bezpečnostní/CDN nastavení.
• Komunikace: obsah tiketů podpory, e-mailů, obchodních dotazů a odpovědí v anketách/zpětné vazbě.

4.2 Údaje, které shromažďujeme automaticky

• Užívání dashboardu: přihlášení, IP adresa, údaje o prohlížeči/zařízení, použité stránky a funkce, diagnostické logy.
• Analytika webu: zobrazené stránky, referrer, přibližná lokalita z IP a typ prohlížeče/zařízení. Běží na naší vlastní instanci Umami; žádný třetí poskytovatel analytiky není zapojen. Nenastavuje cookies a neukládá nic do vašeho zařízení, proto se načítá při každé návštěvě našeho marketingového webu na základě našich oprávněných zájmů; kdykoli můžete vznést námitku (oddíl 12).
• Záznam relací v dashboardu: v zákaznickém dashboardu tatáž vlastní instance navíc zaznamenává vaši relaci — stránky, kliknutí, pohyb v rozhraní a interakce s ním — abychom mohli diagnostikovat chyby a Službu zlepšovat. Zákazníci s tím souhlasí přijetím Podmínek služby; na Koncové uživatele vámi chráněných webů se nikdy neuplatňuje a nesdílíme jej s žádnou třetí stranou.
• Cookies a podobné technologie na našich webech — viz oddíl 9.

4.3 Údaje od třetích stran

• Od našeho poskytovatele plateb (stav platby, signály podvodu).
• Z protipodvodných a bezpečnostních zdrojů k ochraně registrací a naší infrastruktury.
• Veřejně dostupné firemní údaje pro B2B/enterprise prodej (kde je to zákonné).

Jako správce záměrně neshromažďujeme zvláštní kategorie údajů (např. o zdraví, politických názorech) a žádáme vás, abyste nám je nezasílali.

5. Proč údaje používáme a náš právní základ

Tam, kde se opíráme o oprávněné zájmy, jsme je vyvážili s vašimi právy; můžete kdykoli vznést námitku (oddíl 12). Tam, kde se opíráme o souhlas, jej můžete kdykoli odvolat, aniž by to ovlivnilo předchozí zpracování.

6. Cookies a podobné technologie

Seznam cookies viz oddíl 9. Lištu souhlasu na našich webech nezobrazujeme, protože do vašeho zařízení neukládáme nic, co by souhlas vyžadovalo: naše analytika je bez cookies a nic neukládá. Nezbytně nutné cookies (včetně bezpečnostních/anti-bot cookies dle oddílu 3) souhlas nevyžadují, protože jsou nezbytné k poskytnutí vámi požadované služby nebo k jejímu zabezpečení.

7. S kým údaje sdílíme

Osobní údaje sdílíme jen v nezbytném rozsahu a s vhodnými zárukami:

• Další zpracovatelé / poskytovatelé, kteří pro nás hostují a provozují Službu — aktuální seznam viz Příloha A. Jednají podle našich pokynů na základě písemných smluv.
• Poskytovatel plateb pro fakturaci a prevenci podvodů.
• Odborní poradci (účetní, právníci, auditoři) za podmínek mlčenlivosti.
• Orgány / třetí strany, kde to vyžaduje zákon, k plnění právních procesů, vymáhání našich Podmínek nebo k ochraně práv, bezpečnosti a majetku Itnetic, našich zákazníků či veřejnosti — včetně reakce na zneužití, bezpečnostní incidenty a zákonné žádosti.
• Při převodu podniku (fúze, akvizice, reorganizace), za podmínek těchto zásad.

Vaše osobní údaje neprodáváme a nesdílíme je pro behaviorální reklamu napříč kontexty.

8. Platby

Platby kartou zpracovává náš poskytovatel plateb Stripe Payments Europe, Ltd., zpracovatel splňující PCI-DSS. Celá čísla karet v našich systémech neukládáme. Poskytovatel zpracovává vaše platební údaje jako samostatný správce dle vlastních zásad: https://stripe.com/privacy.

9. Seznam cookies

Všechny edge cookies jsou Secure a omezené na web, který právě navštěvujete. Čítače rate-limitu a zneužití držíme na našich serverech, nikoli v cookie ve vašem zařízení. Náš marketingový web nenastavuje žádné cookies — pouze dva uvedené klíče v úložišti prohlížeče.

Nepoužíváme Google Analytics, reklamní cookies ani sledování napříč weby. Naše analytika běží na naší vlastní infrastruktuře — žádný třetí poskytovatel analytiky vaše údaje nedostává.

10. Mezinárodní předávání údajů

Sídlíme v EU a preferujeme infrastrukturu v EU/EHP, náš edge ale není pouze v EU. Bod přítomnosti Frankfurt běží na Datalixu v Německu, body přítomnosti Beauharnois (Kanada) a Singapur běží na OVHcloud a objemovou mitigaci před Frankfurtem a Beauharnois zajišťuje X4B usazený v Austrálii. Provoz koncových uživatelů se tedy zpracovává v rámci EHP jen tehdy, obslouží-li jej Frankfurt: u provozu obslouženého z Beauharnois se opíráme o rozhodnutí Evropské komise o odpovídající ochraně pro Kanadu a u provozu obslouženého ze Singapuru — a u vrstvy objemové mitigace — o standardní smluvní doložky. Naše aplikace, dashboard, web i vlastní instance analytiky běží na Railway v jeho regionu EU, tato data jsou tedy uložena v rámci EHP. Railway Corp. je nicméně společnost registrovaná v USA a někteří další zpracovatelé (např. poskytovatel plateb a kontrola Turnstile na přihlašovacích formulářích) mohou zpracovávat údaje mimo EHP. Pro tyto přenosy — a pro případný přístup americké mateřské společnosti k datům uloženým v EU — se opíráme o vhodné záruky dle kapitoly V GDPR, zejména o standardní smluvní doložky (SCC) Evropské komise spolu s dodatečnými technickými a organizačními opatřeními. Kopii příslušných záruk si vyžádejte na chlibekbusiness@gmail.com.

11. Jak dlouho údaje uchováváme

V roli zpracovatele (oddíl 3) se uchování řídí pokyny zákazníka a naším DPA. Úplný přehled včetně toho, čím je každá lhůta vynucena, najdete v Zásadách uchovávání údajů.

12. Vaše práva (GDPR)

Pokud se nacházíte v EHP/UK, máte právo na:

• Přístup k osobním údajům, které o vás vedeme.
• Opravu nepřesných nebo neúplných údajů.
• Výmaz údajů („právo být zapomenut") za určitých okolností.
• Omezení zpracování za určitých okolností.
• Přenositelnost údajů — získat určité údaje ve strukturovaném, strojově čitelném formátu.
• Námitku proti zpracování na základě oprávněných zájmů a proti přímému marketingu kdykoli.
• Odvolání souhlasu kdykoli, je-li zpracování založeno na souhlasu.
• Nebýt předmětem výhradně automatizovaného rozhodování s právními či obdobně významnými účinky (viz oddíl 14).

K uplatnění práva pište na chlibekbusiness@gmail.com. Odpovíme do jednoho měsíce (lze prodloužit o další dva měsíce u složitých žádostí). Můžeme potřebovat ověřit vaši totožnost. Uplatnění práv je bezplatné, ledaže jsou žádosti zjevně nedůvodné nebo nepřiměřené.

Právo podat stížnost: Můžete podat stížnost u českého dozorového úřadu, kterým je Úřad pro ochranu osobních údajů (ÚOOÚ), Pplk. Sochora 27, 170 00 Praha 7 — www.uoou.cz — nebo u úřadu v zemi vašeho bydliště.

Jste-li koncový uživatel webu zákazníka, směrujte žádosti na provozovatele daného webu (správce); jemu jako zpracovatel poskytneme součinnost.

13. Zabezpečení

Zavádíme vhodná technická a organizační opatření k ochraně osobních údajů, včetně šifrování při přenosu (TLS), řízení přístupu podle zásady nejmenších oprávnění, segmentace sítě, logování a monitoringu a pravidelné revize našich poskytovatelů. Úplný výčet opatření je v našich Zásadách bezpečnosti a v Příloze II DPA. Žádný systém není dokonale bezpečný, ale usilovně vaše údaje chráníme a o porušení zabezpečení osobních údajů vás a/nebo příslušný úřad uvědomíme tam, kde to vyžaduje zákon — viz Zásady reakce na incidenty.

Zranitelnost nahlaste podle Zásad bezpečnosti nebo na https://itnetic.com/.well-known/security.txt.

14. Automatizované rozhodování a profilování

Naše Služba automaticky vyhodnocuje a může provoz vyzvat, omezit nebo zablokovat za účelem udržení dostupnosti a bezpečnosti webů (správa botů, ochrana proti DDoS, WAF). To je pro Službu nezbytné.

• Pro návštěvníky webů zákazníků toto filtrování konfiguruje zákazník (správce). Rozhodnutí na edge se obvykle týkají jednotlivého požadavku, nikoli rozhodnutí s právními účinky vůči osobě; je-li návštěvník opakovaně blokován, provozovatel webu může konfiguraci přezkoumat a upravit.
• Tyto signály nepoužíváme k rozhodnutím s právními či obdobně významnými účinky podle čl. 22 GDPR. Domníváte-li se, že automatizované rozhodnutí na vás významně dolehlo, kontaktujte nás (nebo příslušného provozovatele webu) k lidskému přezkumu.

15. Práva obyvatel Kalifornie (CCPA/CPRA)

Tento oddíl se vztahuje na obyvatele Kalifornie, jejichž údaje zpracováváme jako podnik (správce).

Kategorie osobních údajů shromážděné za posledních 12 měsíců: identifikátory (jméno, e-mail, IP); obchodní informace (plán, fakturace); aktivita na internetu/síti (užívání dashboardu, bezpečnostní/provozní logy); geolokace (přibližná, z IP); a odvození používaná pro bezpečnost/proti podvodům. Zdroje a účely jsou popsány v oddílech 4–5. Údaje sdílíme s příjemci dle oddílu 7.

• Osobní údaje jsme za předchozích 12 měsíců neprodali ani je nesdíleli pro behaviorální reklamu napříč kontexty.
• Vědomě neshromažďujeme osobní údaje osob mladších 16 let.

Vaše kalifornská práva: znát/přístup, výmaz, oprava, odhlášení z prodeje/sdílení (neuplatní se, neboť ani jedno neděláme) a omezení použití citlivých údajů (citlivé údaje k účelům spouštějícím toto právo nepoužíváme). Máte rovněž právo na nediskriminaci za výkon těchto práv.

K uplatnění pište na chlibekbusiness@gmail.com. Můžete využít pověřeného zástupce; můžeme vyžadovat ověření. Odpovíme ve lhůtách dle CCPA.

16. Děti

Služba je určena podnikům a není zaměřena na děti. Vědomě neshromažďujeme osobní údaje od osob mladších 16 let. Domníváte-li se, že nám dítě poskytlo údaje, kontaktujte nás a my je smažeme.

17. Změny těchto zásad

Tyto zásady můžeme čas od času aktualizovat. Novou verzi zveřejníme zde s upraveným datem „Naposledy aktualizováno" a u podstatných změn poskytneme přiměřené upozornění (např. e-mailem nebo v dashboardu). Pokračujícím užíváním po datu účinnosti vyjadřujete souhlas s aktualizovanými zásadami.

18. Kontakt

• Správce: Petr Chlíbek (podnikající pod značkou Itnetic Technologies), IČO 21210756, Česká republika
• Sídlo: Výletní 5258, Chomutov, Česká republika
• Dotazy k ochraně údajů / uplatnění práv: chlibekbusiness@gmail.com
• Hlášení zneužití / bezpečnosti: chlibekbusiness@gmail.com
• Obecné / právní: chlibekbusiness@gmail.com

Příloha A — Aktuální další zpracovatelé

Analytika webu (Umami) běží na vlastní infrastruktuře Itnetic na a.itnetic.com — žádný analytický dodavatel není dalším zpracovatelem. Tato instance běží na Railway v regionu EU, data analytiky tedy zůstávají v rámci EHP.

Nejsou dalšími zpracovateli. Pokud si zapnete volitelnou integraci a zadáte nám cíl — například Discord webhook pro upozornění na útoky nebo e-mailovou adresu pro alerty — jde o přenos, který řídíte vy, k příjemci, kterého jste si vybrali vy. My tyto příjemce nevybíráme a nejsou našimi dalšími zpracovateli. Upozornění obsahují název hostitele a agregované počty požadavků, nikdy IP adresy návštěvníků. Geolokace IP používá databáze DB-IP „lite", které stahujeme a dotazujeme na vlastních serverech — do DB-IP se žádná data návštěvníků neodesílají.

Seznam aktualizujeme při změně poskytovatelů. Závazný aktuální seznam je zveřejněn na itnetic.com/legal/subprocessors; podstatné změny oznamujeme zákazníkům dle DPA nejméně 30 dnů předem.