Aktualizováno 3. listopadu 2026

Ochrana osobních údajů

DMFlow pomáhá provozovateli profesionálního účtu Instagram odpovídat na vyžádané komentáře a zprávy pomocí oficiálního API Meta. Tento dokument vysvětluje zpracování osobních údajů podle GDPR. Správcem je výše uvedený provozovatel, který určuje účely a nastavení automatizací. DMFlow je název softwaru.

1. Účely a zdroje údajů

Údaje zpracováváme pro doručení vyžádaného obsahu, správu konverzací a kontaktů, kontrolu podmínek nastaveného scénáře, bezpečnost, prevenci opakovaných či nevyžádaných zpráv, souhrnné vyhodnocení odkazů, správu pracovního prostoru, vyřízení zpětné vazby a vašich práv. Zdrojem jsou vaše interakce na Instagramu předané Meta webhookem/API, údaje, které sami napíšete, a otevření měřeného odkazu.

2. Kategorie údajů

• Instagram-scoped ID (IGSID), username a identifikátory příspěvků, komentářů, zpráv a automatizací; časy a technický stav interakce.
• Dočasný text příchozí zprávy nebo komentáře pro vyhodnocení klíčových slov a dialogu; obsah odchozí zprávy v technické frontě.
• E-mail, který sami zašlete v e-mailovém kroku, kontakt a vazba na zvolenou automatizaci. Je-li zapnutá podmínka sledování, aktuální výsledek kontroly, zda sledujete daný profesionální účet.
• Šifrované OAuth přístupové tokeny připojeného provozovatele a údaje o jejich oprávněních/expiraci. Hesla k Instagramu nevyžadujeme.
• HMAC pseudonymní klíče pro deduplikaci a souhrnné počty kliknutí podle automatizace, obsahu, dne, hodiny a přibližné země/města.
• Text dobrovolně zadaný do formuláře zpětné vazby; minimální evidence měsíčního limitu a denní souhrnné počty sledujících. E-maily a role členů prostoru, stav pozvánek; při žádosti o výmaz potvrzovací kód a šifrovaný identifikátor z Meta callbacku.

Volitelné exporty a provozní upozornění

Vlastník může připojit Mailchimp nebo Ecomail a předat do vybraného seznamu e-maily dobrovolně získané v dialogu. Klíče integrací ukládáme šifrovaně. Samotné poskytnutí e-mailu pro doručení obsahu není souhlas s newsletterem. Integrace nezapíná kampaně ani automatické odpovědi a neobnovuje odhlášené odběry. Existující záznamy u poskytovatele zachováváme. Smazání kontaktu zastaví čekající přenosy; u potvrzeně vytvořených záznamů požádá o archivaci v Mailchimpu nebo odhlášení v Ecomailu. To není úplný výmaz u poskytovatele; nejasné výsledky a další výmaz musí vlastník ověřit také tam. Šifrovanou kopii adresy pro propojení držíme po dobu existence místního kontaktu; po jeho smazání ji nejpozději při údržbě po 7 dnech odstraníme i při nedokončené opravě. Technickou historii přenosů a souhrn ručních kontrol omezujeme přibližně na 390 dnů; odpojení či výměna klíče odstraní staré přihlašovací údaje a místní adresy daného propojení.

Volitelná provozní upozornění vlastníka odesílá Resend. Historie obsahuje typ, čas a bezpečný stav po dobu 90 dnů; dokončené tělo e-mailu z fronty odstraníme. Žádosti o přístup z veřejného formuláře obsahují šifrovaný e-mail, jméno a zprávu, pokud je zadáte, a stav posouzení; odstraníme je po 30 dnech. Samotná žádost nevytváří účet ani marketingový souhlas.

3. Právní základy

• Oprávněné zájmy – čl. 6 odst. 1 písm. f) GDPR: vyřízení vámi zahájené komunikace, bezpečné fungování účtu, prevence spamu a opakovaného odeslání a přiměřené souhrnné měření. Posuzujeme nezbytnost a rovnováhu s vašimi právy; můžete vznést námitku.
• Smlouva – čl. 6 odst. 1 písm. b): pouze tam, kde je konkrétní zpracování nezbytné pro smlouvu s vámi nebo kroky, o které jste před uzavřením smlouvy požádali, včetně sjednané správy pracovního prostoru.
• Právní povinnost – čl. 6 odst. 1 písm. c): vyřizování práv subjektů údajů a povinností stanovených zákonem.
• Souhlas – čl. 6 odst. 1 písm. a): jen pro samostatně a skutečně dobrovolně sjednané další použití, pokud jej zavedeme. Odeslání e-mailu ani OAuth oprávnění Meta samo o sobě není souhlas s newsletterem. Automatický marketingový odběr tato služba nezakládá.

Údaje nemusíte poskytnout. Bez příslušné interakce nelze vyžádanou automatickou odpověď doručit; bez adresy se zapnutý e-mailový krok nedokončí. Můžete místo toho kontaktovat správce. Neposílejte nám zbytečné citlivé údaje.

4. Příjemci, zabezpečení a zpracovatelé

K údajům mají přístup oprávnění členové pracovního prostoru podle role. Technickým zpracovatelem je Cloudflare: Workers pro běh aplikace, D1 pro databázi, KV pro šifrované tokeny/cache a Queues pro technická ID úloh. Přístup do dashboardu je chráněný přihlášením. Pro volitelné e-mailové pozvánky členů lze používat Resend; dostane adresu pozvaného člena a pozvánku, nikoli automatický export Instagram kontaktů. Meta zpracovává původní interakce také podle svých vlastních pravidel. Údaje neprodáváme.

Veřejné formuláře chrání Cloudflare Turnstile proti botům. Cloudflare při této kontrole zpracovává technické signály vašeho zařízení a prohlížeče. Podrobnosti naleznete v zásadách ochrany soukromí Cloudflare.

5. Mezinárodní přenosy

Cloudflare a případně Resend mohou zpracovávat údaje i mimo Evropský hospodářský prostor, zejména v USA. Neslibujeme výhradní uložení v EU. Pro příslušné přenosy používáme záruky podle kapitoly V GDPR v platných zpracovatelských smlouvách: rozhodnutí o odpovídající ochraně tam, kde platí, včetně EU–US Data Privacy Framework pro způsobilé příjemce, nebo standardní smluvní doložky a potřebná doplňující opatření. Informace o konkrétních zárukách si vyžádejte u správce.

Podklady: Cloudflare DPA, podzpracovatelé Cloudflare, Resend DPA.

6. Doby uchování

HMAC umožňuje při další interakci znovu rozpoznat stejný identifikátor. Proto nejde o anonymizaci a tato data nejsou obecně vyňata z práva na výmaz. Běžné smazání kontaktního řádku ponechá minimální prevenci opakovaného odeslání; platnou žádost o úplný výmaz vyřizujeme také pro spojitelné HMAC záznamy. Výjimka musí mít konkrétní zákonný důvod.

7. Kliknutí a IP adresy

DMFlow neukládá surové IP adresy návštěvníků z HTTP požadavků do vlastní databáze ani je nezapisuje do aplikačních logů. Ukládá souhrnné počty otevření a přibližnou zemi/město z údajů Cloudflare, bez přesné polohy a bez jedinečného profilu návštěvníka. Cloudflare však při doručování a zabezpečení provozu zpracovává technické údaje včetně IP adres podle své zásady ochrany soukromí. VPN, roboti a náhledy odkazů mohou statistiky ovlivnit.

8. Děti a automatizace

Služba není určená k cílenému oslovování dětí a vědomě nevyžadujeme jejich údaje v rozporu s právními a věkovými pravidly Meta. Věk příjemců automaticky neověřujeme. Máte-li jako dítě nebo zákonný zástupce obavu o zpracování, kontaktujte správce. Automaticky se vyhodnocují klíčová slova a zvolené kroky zprávy; neprovádíme rozhodování s právními nebo obdobně závažnými účinky podle čl. 22 GDPR.

9. Vaše práva a kontakt

Podle příslušných podmínek máte právo na přístup a kopii údajů, opravu, výmaz, omezení, přenositelnost a námitku proti zpracování na základě oprávněných zájmů. Případný souhlas lze kdykoli odvolat bez vlivu na zákonnost předchozího zpracování. Zvláštní právo námitky proti přímému marketingu zůstává zachované.

Pište na [email protected]. Postup je na stránce Výmaz údajů. Žádosti ověřujeme přiměřeně, bez vyžadování hesel.

Žádosti vyřizujeme bez zbytečného odkladu. Naše SLA je 30 kalendářních dnů od přijetí; pokud zákonná lhůta jednoho měsíce podle GDPR končí dříve, platí kratší lhůta. Jen v zákonem dovoleném složitém případě nebo při větším počtu žádostí lze lhůtu prodloužit nejvýše o další dva měsíce; o důvodech a prodloužení vás informujeme v původní lhůtě. Pokud žádosti nelze vyhovět, vysvětlíme důvody a možnost stížnosti.

Můžete podat stížnost k Úřadu pro ochranu osobních údajů (ÚOOÚ) nebo jinému příslušnému dozorovému úřadu.