Ochrana osobních údajů

Tohle je pracovní návrh, ne platné znění. Napsal ho implementační agent podle docs/superpowers/specs/2026-08-27-pravni-dokumenty-registrace.md §1 (inventura zpracování, čtená z kódu) a §5 (otázky na právníka). Není to právní stanovisko a nikde se netvrdí, že platforma je nebo není v souladu s předpisem. Otázky Q1, Q7, Q8, Q9, Q14–Q18 čekají na posouzení právníkem – tento text je jen podklad.

1. Koho se tenhle dokument týká

Rozlišujeme tři skupiny lidí, protože se k nim Webotron chová různě:

• zákazník – kdo si u nás založil účet a spravuje web,
• návštěvník – kdo prochází web zákazníka,
• uchazeč – kdo reaguje na inzerát zveřejněný přes kariérní modul webu.

U návštěvníka a uchazeče je správcem údajů zákazník, ne Webotron – on rozhodl, že chce mít web, formulář nebo inzerát. Webotron je v těchto případech zpracovatel, který zpracování provádí jménem zákazníka (podrobnosti a hranice v dokumentu Zpracování údajů). U vlastního účtu zákazníka a plateb je správcem Webotron.

Otevřeno (spec §5, Q7 a Q8): u analytiky návštěvnosti není role tak jednoznačná – rozsah měření i retenci určuje dál Webotron, ne zákazník. Samotnou existenci měření už ale určuje zákazník: od 3. 9. 2026 má v administraci vypínač, kterým měření na svém webu zastaví (§3.4). Zda je Webotron u analytiky zpracovatel, nebo samostatný správce, čeká i tak na právní posouzení – vypínač tu otázku posouvá, nezavírá.

2. Co o zákazníkovi držíme a proč

• E-mail, heslo (hash), role a ověření účtu – k přihlášení a identitě účtu. Uloženo po dobu trvání účtu.
• Google/Apple ID, jen u toho, kdo se přihlašuje přes ně – k přihlášení bez hesla. Uloženo po dobu trvání účtu.
• Ukazatel na platební profil ve Stripu – k placenému předplatnému. Uloženo po dobu trvání účtu.
• Produktová analytika administrace – kterou obrazovku administrace zákazník otevřel a u průvodců administrací i to, na kterém kroku průvodce dokončil nebo opustil. Slouží ke zlepšování produktu. Uchovává se 35 dní jako jednotlivá událost, poté 1095 dní (3 roky) jen jako souhrnné denní číslo bez vazby na konkrétní účet.

Otevřeno (spec §1.1 bod 3, Q18): obrazovka pro smazání účtu dnes neexistuje. Do jejího vzniku probíhá výmaz na vyžádání ručně. Kanál pro uplatnění tohoto a dalších práv subjektu údajů: e-mailem na kontakt uvedený v patičce.

Produktová analytika administrace je odlišná od analytiky návštěvnosti popsané v §3 – měří, jak samotný zákazník používá administraci Webotronu, ne návštěvníky jeho webu. Nikdy neukládá IP adresu, User-Agent, obsah formulářového pole ani text – jen jméno otevřené obrazovky a u průvodců klíč kroku, na kterém uživatel skončil.

3. Co o návštěvníkovi zákaznického webu držíme

3.1 Měření návštěvnosti

Platformní analytika návštěvnosti je cookieless a běží na vlastních serverech Webotronu – žádné počítadlo třetí strany, žádná cookie, žádný identifikátor, který by návštěvníka spojil napříč weby nebo napříč návštěvami. Účel je jediný: ukázat majiteli webu v administraci přehled návštěvnosti jeho vlastního webu.

Zapisuje se právě tohle a nic víc:

• Navštívená stránka – cesta v rámci webu (/cenik). Bez domény a bez parametrů adresy.
• Jazyková mutace – kód jazyka, ve kterém se stránka zobrazila.
• Čas zobrazení.
• Zdroj návštěvy – buď „přímá návštěva", nebo samotný hostname odkazujícího webu bez www. (seznam.cz). Nikdy cesta ani parametry odkazující stránky a nikdy celá hlavička Referer – právě v té cestě bývá to, co ze zdroje dělá osobní údaj (vyhledávaný dotaz, jméno v adrese, jednorázový odkaz z e-mailu).
• Třída zařízení – jedna ze tří hodnot: mobil, tablet, počítač. Ne značka, model ani verze systému.
• Technická značka záznamu – jak záznam vznikl (obrázkový pixel, nebo sendBeacon) a jednorázové náhodné číslo, podle kterého se pozná dvakrát odeslaný týž záznam. To číslo se generuje znovu při každém zobrazení stránky, nikde v prohlížeči se neukládá a nespojuje tedy dvě návštěvy. Je to režie samotného počítadla, ne údaj o návštěvníkovi.

IP adresa se neukládá nikdy. Hlavičky Referer a User-Agent se čtou jen v okamžiku zobrazení stránky, aby se z nich odvodil zdroj a třída zařízení; do záznamu jde jen ten výsledek, samotné hlavičky se nikam neukládají. Návštěvy rozpoznané jako robot (vyhledávací a monitorovací roboti) se nezapisují vůbec.

3.2 Co se změnilo 27. 8. 2026

Toho dne se měření návštěvnosti změnilo ve dvou věcech naráz:

1. Měří se na všech webech, včetně těch na tarifu „Free". Do té doby se na webu bez placeného tarifu nezapisoval žádný záznam o zobrazení stránky.
2. Do záznamu přibyly dva údaje, a to na všech webech včetně placených: zdroj návštěvy a třída zařízení. Záznamy pořízené před tímto dnem je nemají a nikdy mít nebudou – hlavičky, ze kterých se odvozují, se neukládají, takže není z čeho je zpětně dopočítat.

Zároveň se změnila doba uchování, a to oběma směry: jednotlivý záznam o zobrazení se zkrátil z jednoho roku na 35 dní, ale nově z něj zbývá denní souhrn, který se drží 3 roky. Souhrn už neobsahuje jednotlivá zobrazení, jen počty za den; celkově tedy zůstává o webu dostupné něco déle než dřív, ale v hrubší podobě (§3.3).

Rozsah měřeného je od té doby na všech tarifech stejný (výčet v §3.1) – tarif neurčuje, co se zapisuje ani jak dlouho se to drží, ale jen to, jak hluboko do historie majitel webu vidí.

3.3 Jak dlouho se data drží

• Záznam o jednotlivém zobrazení stránky: 35 dní. Pak se z něj stane jen denní souhrn (počty za den) a samotný záznam se smaže.
• Denní souhrn: 3 roky. Stejně dlouho pro každý web bez ohledu na tarif.

Doba uchování tedy není funkcí tarifu. Tarif řídí jen to, jak hluboko do historie majitel webu vidí: na tarifu „Free" a „Na lehko" poslední 3 dny, na tarifu „Na každý den" a „Na maximum" celou tříletou historii. Přechod na vyšší tarif zpřístupní i tu část historie, která vznikla dřív. Vzniká tím rozdíl mezi tím, co je uložené, a tím, co je vidět – a tenhle odstavec je tu proto, aby ten rozdíl nikoho nepřekvapil.

3.4 Vypnutí měření

Měření jde vypnout, a to na každém tarifu. Majitel webu má v administraci, v nastavení svého webu, přepínač „Měřit návštěvnost". Do 2. 9. 2026 včetně žádný takový přepínač neexistoval a měření vypnout nešlo; předchozí verze tohoto dokumentu proto tvrdily opak a od 3. 9. 2026 už neplatí.

Co vypnutí znamená přesně:

• Výchozí stav je zapnuto, u nových i u existujících webů. Zavedením přepínače se tedy nikomu měření samo nezastavilo – vypnout ho je volba majitele webu, ne náš krok.
• Vypnutý web nepošle žádný požadavek měření. Nejde o to, že by se údaje zahazovaly až na serveru: počítadlo se do stránky vůbec nevloží, takže prohlížeč návštěvníka se serverem měření nespojí. Nevznikne tedy ani ten technický záznam o spojení, který by jinak vznikl u zahozeného požadavku.
• Platí to na každém tarifu. Není to placená schopnost a nedá se koupit ani ztratit změnou tarifu.
• Už naměřené údaje se vypnutím nemažou. Doběhnou lhůtami z §3.3 (jednotlivý záznam 35 dní, denní souhrn 3 roky) a po tu dobu je majitel webu dál vidí. Chce-li je mít pryč dřív, může web smazat – smazání webu odstraní i jeho záznamy o návštěvnosti.
• Opětovné zapnutí měří dál, na starší data nemá vliv.

Existující zákazníky, kterým se rozsah měření změnil rozšířením z 27. 8. 2026, na to platforma upozorňuje oznámením v administraci – na nástěnce a nad přehledem návštěvnosti; totéž oznámení od 3. 9. 2026 odkazuje i na tenhle vypínač.

3.5 Cookie lišta a vložený obsah

Cookie lišta je volitelná – zákazník ji zapíná a vypíná v nastavení svého webu, u existujících webů zůstává ve výchozím stavu zapnutá. Je-li zapnutá, nabízí souhlas s kategorií „vložený obsah třetích stran" – teprve po souhlasu se prohlížeč spojí se serverem mapy, videa nebo jiného widgetu, který na stránku vložil její majitel. Web, který lištu nemá zapnutou, vložený obsah i případný vlastní kód vložený majitelem webu (typicky sledovací skript) načte bez čekání na souhlas – za tohle rozhodnutí i za obsah, který si do svého webu vloží, odpovídá zákazník jako správce (§1).

Měření návštěvnosti popsané v §3.1 na cookie lištu nečeká a není na ní závislé – neukládá cookie ani jiný identifikátor v prohlížeči, takže nemá co nabízet k souhlasu.

3.6 Odpovědi z formulářů

Odešle-li návštěvník formulář na webu (kontaktní formulář, poptávka), jeho odpovědi se ukládají u zpracovatele (Webotron) jménem zákazníka jako správce – včetně přesného znění souhlasu, který v tu chvíli formulář zobrazoval.

Otevřeno (spec §1.8, Q15): data z formulářů dnes nemají nastavenou retenci.

4. Co o uchazeči o zaměstnání držíme

Reaguje-li návštěvník na inzerát přes kariérní modul webu, ukládají se jméno, e-mail a odpovědi na pole formuláře reakce, případně životopis. Retenci životopisu (CV) si volí zákazník na svém webu; výchozí stav je bez retence, dokud si ji zákazník sám nezapne.

Otevřeno (spec §1.3, Q14): je otevřenou otázkou, zda je obhajitelné, že výchozí retence životopisů je vypnutá.

5. Komu údaje předáváme

Následující služby zpracovávají osobní údaje jménem Webotronu jako naši zpracovatelé (technická infrastruktura, ne obsah, který na web vkládá zákazník):

• DigitalOcean – hosting aplikace a úložiště souborů,
• Postmark – odesílání e-mailů,
• Stripe – platby a fakturační údaje,
• Fakturoid – vystavování daňových dokladů (jako jméno subjektu se posílá e-mail zákazníka, protože jméno nemáme),
• Cloudflare – provoz vlastních domén zákazníků,
• Sentry – hlášení chyb aplikace (bez IP adresy a identity přihlášeného uživatele – send_default_pii je vypnuté),
• YouTrack – zpracování hlášení zpětné vazby od uživatelů, včetně případného snímku obrazovky.

E-mailová adresa se nikdy neposílá do Slacku – provozní hlášení, která tam chodí, mají e-mail nahrazený konstantou.

Otevřeno (spec §5, Q9): přesný výčet zemí, do kterých u jednotlivých služeb osobní údaje odcházejí, čeká na právní posouzení a doplnění.

6. Umělá inteligence

Webotron sám žádný systém umělé inteligence neprovozuje. Nabízí rozhraní (MCP), přes které může s webem zákazníka pracovat AI nástroj, který si zákazník sám zvolil a připojil vlastním tokenem – za jeho použití odpovídá zákazník.

Otevřeno (spec §5, Q13): zda a v jakém rozsahu je i tak potřeba samostatné prohlášení podle nařízení (EU) 2024/1689, čeká na právní posouzení.

7. Práva subjektu údajů

Kanál pro uplatnění práv (přístup, oprava, výmaz, přenositelnost) je dnes ruční – přes kontakt v patičce. Samostatná obrazovka „moje osobní údaje" v administraci zatím neexistuje.