Ochrana osobních údajů

Tohle je pracovní návrh, ne platné znění. Napsal ho implementační agent podle docs/superpowers/specs/2026-08-27-pravni-dokumenty-registrace.md §1 (inventura zpracování, čtená z kódu) a §5 (otázky na právníka). Není to právní stanovisko a nikde se netvrdí, že platforma je nebo není v souladu s předpisem. Otázky Q1, Q7, Q8, Q9, Q14–Q18 čekají na posouzení právníkem – tento text je jen podklad.

1. Koho se tenhle dokument týká

Rozlišujeme tři skupiny lidí, protože se k nim Webotron chová různě:

• zákazník – kdo si u nás založil účet a spravuje web,
• návštěvník – kdo prochází web zákazníka,
• uchazeč – kdo reaguje na inzerát zveřejněný přes kariérní modul webu.

U návštěvníka a uchazeče je správcem údajů zákazník, ne Webotron – on rozhodl, že chce mít web, formulář nebo inzerát. Webotron je v těchto případech zpracovatel, který zpracování provádí jménem zákazníka (podrobnosti a hranice v dokumentu Zpracování údajů). U vlastního účtu zákazníka a plateb je správcem Webotron.

Otevřeno (spec §5, Q7 a Q8): u analytiky návštěvnosti není role tak jednoznačná – rozsah měření i retenci určuje dnes Webotron, ne zákazník, a zákazník nemá možnost měření na svém webu vypnout (§3.4). Zda je Webotron u analytiky zpracovatel, nebo samostatný správce a zda má zákazník vypínač dostat, čeká na právní posouzení.

2. Co o zákazníkovi držíme a proč

• E-mail, heslo (hash), role a ověření účtu – k přihlášení a identitě účtu. Uloženo po dobu trvání účtu.
• Google/Apple ID, jen u toho, kdo se přihlašuje přes ně – k přihlášení bez hesla. Uloženo po dobu trvání účtu.
• Ukazatel na platební profil ve Stripu – k placenému předplatnému. Uloženo po dobu trvání účtu.
• Produktová analytika administrace – kterou obrazovku administrace zákazník otevřel a u průvodců administrací i to, na kterém kroku průvodce dokončil nebo opustil. Slouží ke zlepšování produktu. Uchovává se 35 dní jako jednotlivá událost, poté 1095 dní (3 roky) jen jako souhrnné denní číslo bez vazby na konkrétní účet.

Otevřeno (spec §1.1 bod 3, Q18): obrazovka pro smazání účtu dnes neexistuje. Do jejího vzniku probíhá výmaz na vyžádání ručně. Kanál pro uplatnění tohoto a dalších práv subjektu údajů: e-mailem na kontakt uvedený v patičce.

Produktová analytika administrace je odlišná od analytiky návštěvnosti popsané v §3 – měří, jak samotný zákazník používá administraci Webotronu, ne návštěvníky jeho webu. Nikdy neukládá IP adresu, User-Agent, obsah formulářového pole ani text – jen jméno otevřené obrazovky a u průvodců klíč kroku, na kterém uživatel skončil.

3. Co o návštěvníkovi zákaznického webu držíme

3.1 Měření návštěvnosti

Platformní analytika návštěvnosti je cookieless a běží na vlastních serverech Webotronu – žádné počítadlo třetí strany, žádná cookie, žádný identifikátor, který by návštěvníka spojil napříč weby nebo napříč návštěvami. Účel je jediný: ukázat majiteli webu v administraci přehled návštěvnosti jeho vlastního webu.

Zapisuje se právě tohle a nic víc:

• Navštívená stránka – cesta v rámci webu (/cenik). Bez domény a bez parametrů adresy.
• Jazyková mutace – kód jazyka, ve kterém se stránka zobrazila.
• Čas zobrazení.
• Zdroj návštěvy – buď „přímá návštěva", nebo samotný hostname odkazujícího webu bez www. (seznam.cz). Nikdy cesta ani parametry odkazující stránky a nikdy celá hlavička Referer – právě v té cestě bývá to, co ze zdroje dělá osobní údaj (vyhledávaný dotaz, jméno v adrese, jednorázový odkaz z e-mailu).
• Třída zařízení – jedna ze tří hodnot: mobil, tablet, počítač. Ne značka, model ani verze systému.
• Technická značka záznamu – jak záznam vznikl (obrázkový pixel, nebo sendBeacon) a jednorázové náhodné číslo, podle kterého se pozná dvakrát odeslaný týž záznam. To číslo se generuje znovu při každém zobrazení stránky, nikde v prohlížeči se neukládá a nespojuje tedy dvě návštěvy. Je to režie samotného počítadla, ne údaj o návštěvníkovi.

IP adresa se neukládá nikdy. Hlavičky Referer a User-Agent se čtou jen v okamžiku zobrazení stránky, aby se z nich odvodil zdroj a třída zařízení; do záznamu jde jen ten výsledek, samotné hlavičky se nikam neukládají. Návštěvy rozpoznané jako robot (vyhledávací a monitorovací roboti) se nezapisují vůbec.

3.2 Co se změnilo 27. 8. 2026

Toho dne se měření návštěvnosti změnilo ve dvou věcech naráz:

1. Měří se na všech webech, včetně těch na tarifu „Free". Do té doby se na webu bez placeného tarifu nezapisoval žádný záznam o zobrazení stránky.
2. Do záznamu přibyly dva údaje, a to na všech webech včetně placených: zdroj návštěvy a třída zařízení. Záznamy pořízené před tímto dnem je nemají a nikdy mít nebudou – hlavičky, ze kterých se odvozují, se neukládají, takže není z čeho je zpětně dopočítat.

Zároveň se změnila doba uchování, a to oběma směry: jednotlivý záznam o zobrazení se zkrátil z jednoho roku na 35 dní, ale nově z něj zbývá denní souhrn, který se drží 3 roky. Souhrn už neobsahuje jednotlivá zobrazení, jen počty za den; celkově tedy zůstává o webu dostupné něco déle než dřív, ale v hrubší podobě (§3.3).

Rozsah měřeného je od té doby na všech tarifech stejný (výčet v §3.1) – tarif neurčuje, co se zapisuje ani jak dlouho se to drží, ale jen to, jak hluboko do historie majitel webu vidí.

3.3 Jak dlouho se data drží

• Záznam o jednotlivém zobrazení stránky: 35 dní. Pak se z něj stane jen denní souhrn (počty za den) a samotný záznam se smaže.
• Denní souhrn: 3 roky. Stejně dlouho pro každý web bez ohledu na tarif.

Doba uchování tedy není funkcí tarifu. Tarif řídí jen to, jak hluboko do historie majitel webu vidí: na tarifu „Free" a „Na lehko" poslední 3 dny, na tarifu „Na každý den" a „Na maximum" celou tříletou historii. Přechod na vyšší tarif zpřístupní i tu část historie, která vznikla dřív. Vzniká tím rozdíl mezi tím, co je uložené, a tím, co je vidět – a tenhle odstavec je tu proto, aby ten rozdíl nikoho nepřekvapil.

3.4 Vypnutí měření

Měření dnes vypnout nejde, a to na žádném tarifu. Majitel webu nemá v administraci přepínač, kterým by počítadlo na svém webu zastavil. Existující zákazníky, kterým se rozsah měření změnil rozšířením z 27. 8. 2026, na to platforma upozorňuje oznámením v administraci – na nástěnce a nad přehledem návštěvnosti.

3.5 Cookie lišta a vložený obsah

Cookie lišta je volitelná – zákazník ji zapíná a vypíná v nastavení svého webu, u existujících webů zůstává ve výchozím stavu zapnutá. Je-li zapnutá, nabízí souhlas s kategorií „vložený obsah třetích stran" – teprve po souhlasu se prohlížeč spojí se serverem mapy, videa nebo jiného widgetu, který na stránku vložil její majitel. Web, který lištu nemá zapnutou, vložený obsah i případný vlastní kód vložený majitelem webu (typicky sledovací skript) načte bez čekání na souhlas – za tohle rozhodnutí i za obsah, který si do svého webu vloží, odpovídá zákazník jako správce (§1).

Měření návštěvnosti popsané v §3.1 na cookie lištu nečeká a není na ní závislé – neukládá cookie ani jiný identifikátor v prohlížeči, takže nemá co nabízet k souhlasu.

3.6 Odpovědi z formulářů

Odešle-li návštěvník formulář na webu (kontaktní formulář, poptávka), jeho odpovědi se ukládají u zpracovatele (Webotron) jménem zákazníka jako správce – včetně přesného znění souhlasu, který v tu chvíli formulář zobrazoval.

Otevřeno (spec §1.8, Q15): data z formulářů dnes nemají nastavenou retenci.

4. Co o uchazeči o zaměstnání držíme

Reaguje-li návštěvník na inzerát přes kariérní modul webu, ukládají se jméno, e-mail a odpovědi na pole formuláře reakce, případně životopis. Retenci životopisu (CV) si volí zákazník na svém webu; výchozí stav je bez retence, dokud si ji zákazník sám nezapne.

Otevřeno (spec §1.3, Q14): je otevřenou otázkou, zda je obhajitelné, že výchozí retence životopisů je vypnutá.

5. Komu údaje předáváme

Následující služby zpracovávají osobní údaje jménem Webotronu jako naši zpracovatelé (technická infrastruktura, ne obsah, který na web vkládá zákazník):

• DigitalOcean – hosting aplikace a úložiště souborů,
• Postmark – odesílání e-mailů,
• Stripe – platby a fakturační údaje,
• Fakturoid – vystavování daňových dokladů (jako jméno subjektu se posílá e-mail zákazníka, protože jméno nemáme),
• Cloudflare – provoz vlastních domén zákazníků,
• Sentry – hlášení chyb aplikace (bez IP adresy a identity přihlášeného uživatele – send_default_pii je vypnuté),
• YouTrack – zpracování hlášení zpětné vazby od uživatelů, včetně případného snímku obrazovky.

E-mailová adresa se nikdy neposílá do Slacku – provozní hlášení, která tam chodí, mají e-mail nahrazený konstantou.

Otevřeno (spec §5, Q9): přesný výčet zemí, do kterých u jednotlivých služeb osobní údaje odcházejí, čeká na právní posouzení a doplnění.

6. Umělá inteligence

Webotron sám žádný systém umělé inteligence neprovozuje. Nabízí rozhraní (MCP), přes které může s webem zákazníka pracovat AI nástroj, který si zákazník sám zvolil a připojil vlastním tokenem – za jeho použití odpovídá zákazník.

Otevřeno (spec §5, Q13): zda a v jakém rozsahu je i tak potřeba samostatné prohlášení podle nařízení (EU) 2024/1689, čeká na právní posouzení.

7. Práva subjektu údajů

Kanál pro uplatnění práv (přístup, oprava, výmaz, přenositelnost) je dnes ruční – přes kontakt v patičce. Samostatná obrazovka „moje osobní údaje" v administraci zatím neexistuje.