Vaše data zůstávají vaše. Bez vašeho ano se nic nespustí.
Přístup k analytice je jen pro čtení. Kaen sahá na váš web jen kvůli testům, které jste schválili, a každý test můžete kdykoli zastavit. Šifrování při přenosu i v úložišti. Tady je přesně jak.
- GDPR · zveřejněná smlouva o zpracování
- Data uložená v EU
- Analytika jen pro čtení
- Žádné trénování na vašich datech
Co Kaen dělá. A co nikdy nedělá.
Co Kaen dělá
- Čte vaši analytiku, jen pro čtení
GA4 nebo PostHog připojíte přes OAuth pod vlastním účtem. Žádáme o nejužší rozsah, který stačí, a přístup můžete kdykoli odvolat v nastavení Googlu nebo PostHogu.
- Šifruje při přenosu i v úložišti
TLS na každém spojení, úložiště šifrované u našich dodavatelů. Zjištění, varianty, výsledky testů a poptávky leží v Supabase ve Frankfurtu.
- Ukládá zjištění, ne surová data
Ukládáme to, co z analýzy vzešlo, ne kopie vašich datasetů. Kde stačí agregovaná nebo pseudonymizovaná data, používáme ta.
- Zná jménem každého, kdo má přístup
Individuální pojmenované účty s dvoufázovým ověřením všude, kde ho nástroj podporuje. Přístupy logujeme, revidujeme a po skončení spolupráce odebíráme.
- Čeká na vaše schválení
Každá varianta čeká na vaše ano ve vašem týmovém chatu (Slack, Microsoft Teams nebo Basecamp), než se spustí. Běžící test lze kdykoli zastavit.
Co Kaen nikdy nedělá
- Netrénuje na vašich datech
Analýza běží na modelech od Anthropic a OpenAI za komerčních podmínek, které trénování na vstupech vylučují. Posíláme nejmenší výřez, který analýza potřebuje, a kontaktní údaje jen tam, kde bez nich analýza nejde.
- Nenasadí nic bez vašeho ano
Kaen spustí test na vašem webu, až když variantu schválíte, a to přes přístup, který mu udělíte zvlášť a kdykoli odeberete. Každý běžící test můžete kdykoli zastavit.
- Nesdílí data mezi klienty
Data a zjištění každého klienta jsou oddělená. Nic z jedné spolupráce se nepoužívá pro jinou.
- Nevidí vaši kartu
Platby jdou přes Stripe. Čísla karet se do našich systémů nikdy nedostanou.
- Nedrží data po skončení spolupráce
Po ukončení spolupráce přístupy odebereme a data, která držíme, do 30 dnů smažeme, nebo je na vaši žádost nejdřív vrátíme.
Jak používáme AI, bez obalu
Kaen je growth parťák postavený na AI. To vyvolává otázky, které tabulka nikdy nevyvolala, takže tady jsou odpovědi.
- Jaké modely
Velké jazykové modely od Anthropic (Claude) a OpenAI, podle typu úlohy. Každý poskytovatel, kterého používáme, je na našem veřejném seznamu subdodavatelů včetně umístění a záruk a každou změnu oznamujeme 30 dní dopředu.
- Žádné trénování na vstupech
Podle komerčních podmínek obou poskytovatelů se to, co posíláme, nepoužívá k trénování jejich modelů. Je to smluvní závazek, ne přepínač, u kterého doufáme, že zůstane zapnutý.
- Přihlašovací údaje mimo model
Přístupové tokeny žijí v našich systémech. Model dostává výsledky dotazů a zapisuje zjištění; vaše klíče nikdy nedrží a sám se nikam nepřipojí.
- Schválení před akcí
Model připravuje zjištění a varianty; bez vašeho schválení se nic nespustí. Test začne až poté, co ho schválí člověk na vaší straně, a vašim zákazníkům model nikdy nepíše.
Kam vaše data putují, krok za krokem
Smyčka, ve které Kaen pracuje, a co v každém kroku opouští vaše systémy.
- 01
Připojení
Udělíte přístup jen pro čtení ke GA4 nebo PostHogu přes OAuth pod vlastním účtem. Přihlašovací údaje zůstávají v našem backendu, model je nikdy nevidí.
- 02
Analýza
Kaen se dotazuje na váš funnel a modelu posílá jen minimum, které analýza potřebuje. Nejdřív agregovaná a pseudonymizovaná data, surové záznamy jen když nic jiného nestačí.
- 03
Uložení zjištění
Zjištění, varianty a výsledky testů se ukládají v Supabase v EU (Frankfurt), šifrované v úložišti. Aplikaci Kaen servíruje Vercel.
- 04
Schvalujete vy
Varianta přistane ve vašem kanálu ve Slacku, Teams nebo Basecampu a čeká na schválení. Kaen pak spustí test na vašem webu a změří ho; kdykoli ho můžete zastavit.
Našli jste zranitelnost?
Raději se to dozvíme od vás, než si o tom přečteme. Napište na hello@kaen.cz s předmětem „Security report".
Co spadá do rozsahu
- kaen.cz a jeho subdomény
- Aplikace Kaen
- Testovací skript Kaen na webech zákazníků
- Naše API endpointy
Co uděláme my
- Potvrdíme přijetí hlášení do 5 pracovních dnů
- Průběžně vás informujeme, dokud problém nevyřešíme
- Pokud budete chtít, po opravě vás veřejně uvedeme
Co žádáme od vás
- Nepřistupujte k datům, která nejsou vaše, neměňte je ani nemažte
- Žádné DoS útoky, sociální inženýrství ani fyzické pokusy
- Dejte nám přiměřený čas na opravu, než cokoli zveřejníte
Pokud tato pravidla v dobré víře dodržíte, nebudeme proti vám podnikat právní kroky. Placený bug bounty program neprovozujeme.
Poslat hlášeníSoulad s předpisy a infrastruktura
Co máme zavedené, co je zveřejněné a co netvrdíme.
- GDPR Zavedeno
- Smlouva o zpracování osobních údajů podle čl. 28 odst. 3 GDPR, přijatá používáním služby. Na požádání podepíšeme kopii.
- Smlouva o zpracování údajů
- Subdodavatelé Zveřejněno
- Veřejný seznam s účelem, umístěním a zárukami u každého dodavatele. Změny oznamujeme 30 dní dopředu s právem vznést námitku.
- Seznam subdodavatelů
- Umístění dat Zavedeno
- Databáze, autentizace a úložiště v EU (Supabase, Frankfurt). Produktová analytika a transakční e-maily v EU regionech. Dodavatele mimo EHP kryjí standardní smluvní doložky.
- Seznam subdodavatelů
- Oznámení incidentu Zavedeno
- Ozveme se bez zbytečného odkladu, nejpozději do 48 hodin od chvíle, kdy se o incidentu dozvíme, s informacemi, které máme.
- Smlouva o zpracování, čl. 6
- Výmaz Zavedeno
- Data na vaši žádost smažeme do 30 dnů, i během spolupráce. Po skončení spolupráce odebereme přístupy; data smažeme do 30 dnů, nebo je v té lhůtě na žádost vrátíme. Dodané výsledky zůstávají vám.
- Smlouva o zpracování, čl. 8
- Audit Zavedeno
- Jednou za kalendářní rok s 30denním předstihem; častěji po incidentu nebo na žádost dozorového úřadu.
- Smlouva o zpracování, čl. 9
- Platby Zavedeno
- Platby faktur kartou zpracovává Stripe, poskytovatel s certifikací PCI DSS Level 1. Data karet se do systémů Kaen nikdy nedostanou.
- Obchodní podmínky
- SOC 2 / ISO 27001 Bez certifikace
- Nemáme. Jsme malý tým a raději to řekneme, než abychom to naznačovali. Napište nám a projdeme s vámi opatření výše do detailu.
- hello@kaen.cz
Časté dotazy
Potřebuje Kaen k něčemu zápisový přístup?
Na analýzu ne: běží na přístupu jen pro čtení k vaší analytice, uděleném pod vaším vlastním účtem. Aby mohl spouštět testy, které schválíte, potřebuje přístup k vašemu webu; ten mu udělíte zvlášť a kdykoli ho můžete odebrat. Kaen ho používá jen k nastavení měření při úvodním nastavení a ke spuštění schválených testů a běžící test lze kdykoli zastavit.
Používají se naše data k trénování AI?
Ne. Analýza běží na modelech od Anthropic a OpenAI za komerčních podmínek, které trénování na vstupech vylučují. Posíláme jen výřez, který analýza potřebuje, a kde to jde, agregovaný nebo pseudonymizovaný.
Kde jsou naše data uložená?
Zjištění, varianty, výsledky testů a data účtu leží v Supabase ve Frankfurtu, šifrovaná v úložišti. Produktová analytika kaen.cz a aplikace Kaen běží na EU cloudu PostHogu. Úplný seznam dodavatelů včetně umístění je na stránce subdodavatelů.
Kdo v Kaen naše data vidí?
Jen konkrétní lidé, kteří na vaší spolupráci pracují, každý s vlastním účtem a dvoufázovým ověřením všude, kde ho nástroj podporuje. Přístupy logujeme, revidujeme a po skončení spolupráce odebíráme.
Můžeme přístup odvolat sami?
Ano. OAuth oprávnění žije ve vašem nastavení Googlu nebo PostHogu, takže ho můžete kdykoli odvolat, aniž byste se nás ptali. Stejně tak nám můžete odebrat přístup do kanálu ve Slacku, Microsoft Teams nebo Basecampu či do jiných nástrojů.
Co se stane, když spolupráci ukončíme?
Bez zbytečného odkladu odebereme své přístupy a data, která držíme, do 30 dnů smažeme, nebo je v té lhůtě na žádost nejdřív vrátíme. Už dodané výsledky zůstávají vám.
Podepíšete smlouvu o zpracování údajů?
Smlouva je zveřejněná a přijímá se používáním služby, podpis tedy není potřeba. Pokud váš proces vyžaduje podepsanou kopii, napište nám a podepíšeme ji.
Můžeme vám poslat bezpečnostní dotazník?
Ano. Certifikát SOC 2 ani ISO 27001 nemáme a v odpovědích to uvedeme. Opatření, která zavedená máme, popíšeme tak podrobně, jak potřebujete.
Co když se změní subdodavatel?
Aktualizujeme veřejný seznam a napíšeme vám nejméně 30 dní před změnou. Můžete vznést námitku z důvodu ochrany údajů, a pokud nenajdeme řešení, můžete dotčenou část služby ukončit bez sankce.