Zásady ochrany osobních údajů — weakestlink
Naposledy aktualizováno: 29. září 2026
Tyto zásady popisují, jak weakestlink zpracovává osobní údaje v případech, kdy jsme sami správcem údajů. Pokud váš zaměstnavatel používá weakestlink pro školení v oblasti bezpečnosti, je správcem údajů o zaměstnancích zaměstnavatel a weakestlink vystupuje jako zpracovatel – viz Příloha A.
1. Správce osobních údajů
Správcem osobních údajů zpracovávaných na weakestlink.io je společnost WEAKESTLINK ApS (CVR 46614011). Kontakt: info@weakestlink.io.
2. Jaké údaje zpracováváme, proč a na jakém právním základě
| Údaje | Účel | Právní základ (čl. 6 GDPR) | Výmaz |
|---|---|---|---|
| Kontaktní osoba u zákazníka (jméno, e-mail, pracovní pozice) | Zřízení a správa účtu organizace | Plnění smlouvy (čl. 6 odst. 1 písm. b) | Po ukončení smluvního vztahu |
| Fakturační údaje | Fakturace a účetnictví | Plnění právní povinnosti (čl. 6 odst. 1 písm. c) | 5 let dle dánského zákona o účetnictví |
| Serverové protokoly (IP adresa, čas) | Provoz a bezpečnost | Oprávněný zájem (čl. 6 odst. 1 písm. f) | 90 dní |
| E-mailová adresa, pokud se sami přihlásíte k odběru informací o připravovaném modulu (AI-Klar, deepfake) | Informovat vás, jakmile bude modul k dispozici | Souhlas (čl. 6 odst. 1 písm. a)) — můžete jej kdykoli odvolat e-mailem na naši adresu | Nejpozději 12 měsíců od přihlášení |
| Identifikátor kliknutí Google (klik-id), pokud k nám přicházíte z reklamy Google, čas kliknutí a informace, zda byl účet založen nebo začal platit | Měření reklam: zjištění, zda reklama u Googlu vedla k založení účtu | Oprávněný zájem (art. 6(1)(f)) — můžete vznést námitku, viz oddíl 7 | 90 dní po kliknutí. Pokud byla konverze nahlášena společnosti Google, smaže se 90 dní po nahlášení |
| Statistika návštěvnosti: zobrazení stránek a kliknutí na tlačítka, včetně typu prohlížeče, zařízení a země. Bez cookies a bez ukládání IP adresy | Zjistit, které stránky se používají, abychom je mohli vylepšovat. Statistika běží na našem vlastním serveru (Umami) a nesdílíme ji s žádnou třetí stranou | Oprávněný zájem (art. 6(1)(f)) | Uchovávají se jako souhrnné statistiky bez jména, e-mailu či IP adresy |
Nezpracováváme rodná čísla ani žádné citlivé údaje (čl. 9 GDPR).
3. Zpracování pomocí AI
AI (Claude od společnosti Anthropic) používáme k tvorbě školicího obsahu a šablon simulací — lekcí, kvízů a návnadových e-mailů — interně, ještě před jejich zveřejněním. Do AI služeb neposíláme žádná data zákazníků ani žádné osobní údaje o vašich zaměstnancích a v rámci provozu na vašich datech žádnou AI nespouštíme.
4. Zpracovatelé a subdodavatelé
Využíváme následující zpracovatele. U poskytovatelů mimo EU/EHP probíhá předání dat na základě rozhodnutí Evropské komise o odpovídající ochraně (EU-U.S. Data Privacy Framework) a/nebo standardních smluvních doložek (SCC):
| Poskytovatel | Služba | Země | Právní základ předání |
|---|---|---|---|
| Anthropic PBC | Tvorba školicího obsahu pomocí AI (offline) | USA | DPF/SCC |
| Brevo (Sendinblue SAS) | Odchozí transakční a notifikační e-maily (např. potvrzení e-mailu) | Frankrig | — |
| Cloudflare, Inc. | Síťová infrastruktura, TLS a ochrana proti DDoS | USA | DPF/SCC |
Hosting probíhá na vlastní infrastruktuře v Dánsku.
Pokud platíte kartou, jsou informace o kartě a platební údaje zpracovávány naší platební bránou QuickPay (QuickPay ApS, Dánsko) a příjemcem karetních plateb Clearhaus (Clearhaus A/S, Dánsko) jako samostatnými správci údajů podle platební legislativy — nikoli jako našimi zpracovateli. Vaše úplné číslo karty nikdy neobdržíme. Na toto zpracování se vztahují vlastní zásady ochrany osobních údajů společností QuickPay a Clearhaus.
5. Předávání údajů
Údaje předáváme dalším stranám pouze tehdy, je-li to nezbytné pro poskytování služby, vyžaduje-li to zákon, nebo s vaším souhlasem. Jedna výjimka: pokud jste k nám přišli z reklamy Google, předáváme společnosti Google Ireland Ltd. (Google Ads) klik-id reklamy, čas a informaci, zda byl účet založen nebo zaplacen, abychom viděli, které reklamy fungují. Jméno, e-mail ani IP adresu nepředáváme. Google může údaje předat společnosti Google LLC v USA. Podle společnosti Google se tak děje na základě rámce EU-U.S. Data Privacy Framework, v jehož rámci je Google LLC certifikována, a jinak na základě standardních smluvních doložek (SCC). Údaje nikdy neprodáváme.
6. Uchovávání a mazání údajů
Konkrétní lhůty jsou uvedeny v tabulce v oddíle 2. Účetní doklady se uchovávají po dobu 5 let od konce účetního období v souladu s dánským zákonem o účetnictví. Poté jsou údaje vymazány nebo anonymizovány.
7. Vaše práva
Máte právo na přístup, opravu, výmaz, omezení zpracování, přenositelnost údajů a právo vznést námitku (GDPR art. 15–21). Pokud jste udělili souhlas, můžete jej kdykoli odvolat s účinkem do budoucna. Napište nám na info@weakestlink.io — odpovíme nejpozději do jednoho měsíce od obdržení žádosti. Nepřejete-li si, abychom používali klik-id reklamy (oddíly 2 a 5), můžete vznést námitku (art. 21) na stejné adrese — klik-id pak smažeme a o vašem účtu společnosti Google nic neohlásíme. Jste-li zaměstnancem zákazníka, můžete se obrátit také na svého zaměstnavatele, který je správcem údajů (viz Příloha A).
8. Stížnost
Stížnost na naše zpracování osobních údajů můžeš podat u dánského Datatilsynet, Carl Jacobsens Vej 35, 2500 Valby, www.datatilsynet.dk. Stížnost můžeš podat také u Úřadu pro ochranu osobních údajů (ÚOOÚ), www.uoou.cz.
9. Soubory cookie
Používáme dva soubory cookie: session cookie, která slouží k přihlášení a zabezpečení, a — pokud si sami zvolíte jazyk v přepínači jazyků — cookie, která si vaši volbu zapamatuje. Pokud přicházíte z reklamy Google, uložíme klik-id reklamy do relace na našem serveru, abychom mohli společnosti Google sdělit, zda kliknutí vedlo k založení účtu (viz oddíl 5). Samotná cookie obsahuje pouze náhodné ID relace. Nepoužíváme žádné další sledovací cookies ani cookies třetích stran a statistika návštěvnosti (Umami) cookies nepoužívá.
10. Změny
O podstatných změnách těchto zásad vás budeme informovat na webu weakestlink.io a/nebo e-mailem.
Příloha A — rozdělení rolí při školení zaměstnanců
Když firma (tvůj zaměstnavatel) používá weakestlink pro bezpečnostní školení a phishingové simulace, je správcem osobních údajů zaměstnanců firma a weakestlink vystupuje jako zpracovatel. Zpracování probíhá na základě pokynů uvedených ve smlouvě o zpracování osobních údajů, která se uzavírá při zřízení účtu. Tato zásada se proto vztahuje pouze na údaje, za které jsme sami správcem (kontaktní a fakturační údaje zákazníka a údaje o provozu).
Phishingové simulace probíhají pouze na doloženém právním základě (souhlas organizace a schválené posouzení oprávněného zájmu). Přehledy jsou souhrnné a zobrazují čísla jen pro skupiny nejméně pěti lidí. Výsledky jednotlivého zaměstnance (rizikové skóre, průběh kurzů a události simulací) vidí jen administrátor organizace — a manažeři, pokud to organizace sama zapne. Cílem je cílené doplňkové školení, nikdy pranýřování ani sankce. Výsledky se uchovávají po dobu smluvního vztahu a po jeho skončení se mažou podle smlouvy o zpracování osobních údajů. Nikdy neukládáme, co zaměstnanec do simulace napsal, pouze to, že k události došlo.