Ochrana osobních údajů

Tohle je pracovní návrh, ne platné znění. Napsal ho implementační agent podle docs/superpowers/specs/2026-08-27-pravni-dokumenty-registrace.md §1 (inventura zpracování, čtená z kódu) a §5 (otázky na právníka). Není to právní stanovisko a nikde se netvrdí, že platforma je nebo není v souladu s předpisem. Otázky Q1, Q7, Q8, Q9, Q13, Q14–Q18 čekají na posouzení právníkem – tento text je jen podklad.

Oproti verzi 2026-09-03 se mění §6 a s ním §3.7 a §5. Předchozí znění tvrdilo, že „Webotron sám žádný systém umělé inteligence neprovozuje". Od 30. 8. 2026 to není pravda: platforma sama volá jazykový model ve dvou funkcích (AI chat pro návštěvníky webu a generování obsahu v průvodci založením webu) a od 31. 8. 2026 i ve třetí (návrh vzhledu v témže průvodci). Tahle verze to opravuje.

1. Koho se tenhle dokument týká

Rozlišujeme tři skupiny lidí, protože se k nim Webotron chová různě:

• zákazník – kdo si u nás založil účet a spravuje web,
• návštěvník – kdo prochází web zákazníka,
• uchazeč – kdo reaguje na inzerát zveřejněný přes kariérní modul webu.

U návštěvníka a uchazeče je správcem údajů zákazník, ne Webotron – on rozhodl, že chce mít web, formulář nebo inzerát. Webotron je v těchto případech zpracovatel, který zpracování provádí jménem zákazníka (podrobnosti a hranice v dokumentu Zpracování údajů). U vlastního účtu zákazníka a plateb je správcem Webotron.

Otevřeno (spec §5, Q7 a Q8): u analytiky návštěvnosti není role tak jednoznačná – rozsah měření i retenci určuje dál Webotron, ne zákazník. Samotnou existenci měření už ale určuje zákazník: od 3. 9. 2026 má v administraci vypínač, kterým měření na svém webu zastaví (§3.4). Zda je Webotron u analytiky zpracovatel, nebo samostatný správce, čeká i tak na právní posouzení – vypínač tu otázku posouvá, nezavírá.

2. Co o zákazníkovi držíme a proč

• E-mail, heslo (hash), role a ověření účtu – k přihlášení a identitě účtu. Uloženo po dobu trvání účtu.
• Google/Apple ID, jen u toho, kdo se přihlašuje přes ně – k přihlášení bez hesla. Uloženo po dobu trvání účtu.
• Ukazatel na platební profil ve Stripu – k placenému předplatnému. Uloženo po dobu trvání účtu.
• Produktová analytika administrace – kterou obrazovku administrace zákazník otevřel a u průvodců administrací i to, na kterém kroku průvodce dokončil nebo opustil. Slouží ke zlepšování produktu. Uchovává se 35 dní jako jednotlivá událost, poté 1095 dní (3 roky) jen jako souhrnné denní číslo bez vazby na konkrétní účet.

Otevřeno (spec §1.1 bod 3, Q18): obrazovka pro smazání účtu dnes neexistuje. Do jejího vzniku probíhá výmaz na vyžádání ručně. Kanál pro uplatnění tohoto a dalších práv subjektu údajů: e-mailem na kontakt uvedený v patičce.

Produktová analytika administrace je odlišná od analytiky návštěvnosti popsané v §3 – měří, jak samotný zákazník používá administraci Webotronu, ne návštěvníky jeho webu. Nikdy neukládá IP adresu, User-Agent, obsah formulářového pole ani text – jen jméno otevřené obrazovky a u průvodců klíč kroku, na kterém uživatel skončil.

3. Co o návštěvníkovi zákaznického webu držíme

3.1 Měření návštěvnosti

Platformní analytika návštěvnosti je cookieless a běží na vlastních serverech Webotronu – žádné počítadlo třetí strany, žádná cookie, žádný identifikátor, který by návštěvníka spojil napříč weby nebo napříč návštěvami. Účel je jediný: ukázat majiteli webu v administraci přehled návštěvnosti jeho vlastního webu.

Zapisuje se právě tohle a nic víc:

• Navštívená stránka – cesta v rámci webu (/cenik). Bez domény a bez parametrů adresy.
• Jazyková mutace – kód jazyka, ve kterém se stránka zobrazila.
• Čas zobrazení.
• Zdroj návštěvy – buď „přímá návštěva", nebo samotný hostname odkazujícího webu bez www. (seznam.cz). Nikdy cesta ani parametry odkazující stránky a nikdy celá hlavička Referer – právě v té cestě bývá to, co ze zdroje dělá osobní údaj (vyhledávaný dotaz, jméno v adrese, jednorázový odkaz z e-mailu).
• Třída zařízení – jedna ze tří hodnot: mobil, tablet, počítač. Ne značka, model ani verze systému.
• Technická značka záznamu – jak záznam vznikl (obrázkový pixel, nebo sendBeacon) a jednorázové náhodné číslo, podle kterého se pozná dvakrát odeslaný týž záznam. To číslo se generuje znovu při každém zobrazení stránky, nikde v prohlížeči se neukládá a nespojuje tedy dvě návštěvy. Je to režie samotného počítadla, ne údaj o návštěvníkovi.

IP adresa se neukládá nikdy. Hlavičky Referer a User-Agent se čtou jen v okamžiku zobrazení stránky, aby se z nich odvodil zdroj a třída zařízení; do záznamu jde jen ten výsledek, samotné hlavičky se nikam neukládají. Návštěvy rozpoznané jako robot (vyhledávací a monitorovací roboti) se nezapisují vůbec.

3.2 Co se změnilo 27. 8. 2026

Toho dne se měření návštěvnosti změnilo ve dvou věcech naráz:

1. Měří se na všech webech, včetně těch na tarifu „Free". Do té doby se na webu bez placeného tarifu nezapisoval žádný záznam o zobrazení stránky.
2. Do záznamu přibyly dva údaje, a to na všech webech včetně placených: zdroj návštěvy a třída zařízení. Záznamy pořízené před tímto dnem je nemají a nikdy mít nebudou – hlavičky, ze kterých se odvozují, se neukládají, takže není z čeho je zpětně dopočítat.

Zároveň se změnila doba uchování, a to oběma směry: jednotlivý záznam o zobrazení se zkrátil z jednoho roku na 35 dní, ale nově z něj zbývá denní souhrn, který se drží 3 roky. Souhrn už neobsahuje jednotlivá zobrazení, jen počty za den; celkově tedy zůstává o webu dostupné něco déle než dřív, ale v hrubší podobě (§3.3).

Rozsah měřeného je od té doby na všech tarifech stejný (výčet v §3.1) – tarif neurčuje, co se zapisuje ani jak dlouho se to drží, ale jen to, jak hluboko do historie majitel webu vidí.

3.3 Jak dlouho se data drží

• Záznam o jednotlivém zobrazení stránky: 35 dní. Pak se z něj stane jen denní souhrn (počty za den) a samotný záznam se smaže.
• Denní souhrn: 3 roky. Stejně dlouho pro každý web bez ohledu na tarif.

Doba uchování tedy není funkcí tarifu. Tarif řídí jen to, jak hluboko do historie majitel webu vidí: na tarifu „Free" a „Na lehko" poslední 3 dny, na tarifu „Na každý den" a „Na maximum" celou tříletou historii. Přechod na vyšší tarif zpřístupní i tu část historie, která vznikla dřív. Vzniká tím rozdíl mezi tím, co je uložené, a tím, co je vidět – a tenhle odstavec je tu proto, aby ten rozdíl nikoho nepřekvapil.

3.4 Vypnutí měření

Měření jde vypnout, a to na každém tarifu. Majitel webu má v administraci, v nastavení svého webu, přepínač „Měřit návštěvnost". Do 2. 9. 2026 včetně žádný takový přepínač neexistoval a měření vypnout nešlo; předchozí verze tohoto dokumentu proto tvrdily opak a od 3. 9. 2026 už neplatí.

Co vypnutí znamená přesně:

• Výchozí stav je zapnuto, u nových i u existujících webů. Zavedením přepínače se tedy nikomu měření samo nezastavilo – vypnout ho je volba majitele webu, ne náš krok.
• Vypnutý web nepošle žádný požadavek měření. Nejde o to, že by se údaje zahazovaly až na serveru: počítadlo se do stránky vůbec nevloží, takže prohlížeč návštěvníka se serverem měření nespojí. Nevznikne tedy ani ten technický záznam o spojení, který by jinak vznikl u zahozeného požadavku.
• Platí to na každém tarifu. Není to placená schopnost a nedá se koupit ani ztratit změnou tarifu.
• Už naměřené údaje se vypnutím nemažou. Doběhnou lhůtami z §3.3 (jednotlivý záznam 35 dní, denní souhrn 3 roky) a po tu dobu je majitel webu dál vidí. Chce-li je mít pryč dřív, může web smazat – smazání webu odstraní i jeho záznamy o návštěvnosti.
• Opětovné zapnutí měří dál, na starší data nemá vliv.

Existující zákazníky, kterým se rozsah měření změnil rozšířením z 27. 8. 2026, na to platforma upozorňuje oznámením v administraci – na nástěnce a nad přehledem návštěvnosti; totéž oznámení od 3. 9. 2026 odkazuje i na tenhle vypínač.

3.5 Cookie lišta a vložený obsah

Cookie lišta je volitelná – zákazník ji zapíná a vypíná v nastavení svého webu, u existujících webů zůstává ve výchozím stavu zapnutá. Je-li zapnutá, nabízí souhlas s kategorií „vložený obsah třetích stran" – teprve po souhlasu se prohlížeč spojí se serverem mapy, videa nebo jiného widgetu, který na stránku vložil její majitel. Web, který lištu nemá zapnutou, vložený obsah i případný vlastní kód vložený majitelem webu (typicky sledovací skript) načte bez čekání na souhlas – za tohle rozhodnutí i za obsah, který si do svého webu vloží, odpovídá zákazník jako správce (§1).

Měření návštěvnosti popsané v §3.1 na cookie lištu nečeká a není na ní závislé – neukládá cookie ani jiný identifikátor v prohlížeči, takže nemá co nabízet k souhlasu.

3.6 Odpovědi z formulářů

Odešle-li návštěvník formulář na webu (kontaktní formulář, poptávka), jeho odpovědi se ukládají u zpracovatele (Webotron) jménem zákazníka jako správce – včetně přesného znění souhlasu, který v tu chvíli formulář zobrazoval.

Otevřeno (spec §1.8, Q15): data z formulářů dnes nemají nastavenou retenci.

3.7 Konverzace s AI chatem

Má-li web zapnutý doplněk AI chat (§6), ukládá se text, který návštěvník napíše do chatovacího okna, a odpověď, kterou mu vygeneroval jazykový model. Je to samostatná kategorie údajů návštěvníka a širší než odpovědi z formuláře: pole formuláře nastavil majitel webu, kdežto do chatu může návštěvník napsat cokoli. Správcem je zákazník, Webotron je zpracovatel (§1).

Rozsah ukládání volí majitel webu v nastavení doplňku, ze tří možností:

• celá konverzace – otázky návštěvníka i odpovědi asistenta; výchozí stav,
• jen otázky – ukládají se dotazy návštěvníků, odpovědi ne,
• neukládat nic – nevznikne záznam o konverzaci vůbec, zůstanou jen počítadla odpovědí a spotřeby.

Dobu uchování volí rovněž majitel webu; výchozí je 90 dní. Starší konverzace maže každonoční úklidová úloha, a to bez ohledu na to, jestli je doplněk zrovna zapnutý.

Tahle volba se ale netýká technické vyrovnávací paměti odpovědí, a je poctivé to říct. Aby se za tutéž otázku nad týmž obsahem webu neplatilo dvakrát, ukládá si platforma vygenerovanou odpověď do své vyrovnávací paměti, pod klíčem složeným z otisku obsahu webu a otázky. Platí u toho tři věci:

• Otázka návštěvníka se tam neukládá, jen její otisk – ze samotného klíče ji nelze přečíst zpátky.
• Text odpovědi tam zůstává i v režimu „neukládat nic" a nemá nastavenou dobu vypršení; zmizí až se změnou obsahu webu (ta klíč zneplatní) nebo s vyprázdněním vyrovnávací paměti. Je to text, který napsal model o obsahu webu, ne text návštěvníka – ale je to úložiště, o kterém by čtenář měl vědět, když volbu „neukládat nic" čte jako „nic nezbude".
• Volba majitele webu tedy určuje, co se ukládá jako konverzace, ne co drží technická vyrovnávací paměť.

IP adresa návštěvníka se u chatu neukládá nikdy. Identifikátor okna konverzace, který si prohlížeč drží, aby na sebe zprávy navazovaly, se ukládá jen jako otisk (sha256), nikdy syrový. Majitel webu vidí v administraci přehled toho, na co se lidé ptají – sdružený podle otázky, aby z něj mohl doplnit časté dotazy do FAQ na webu.

Požádá-li návštěvník přímo v chatu o předání člověku, uloží se jeho e-mail a zpráva jako odpověď z formuláře (§3.6) a majiteli webu o tom odejde e-mail; platí pro ni totéž včetně dnes chybějící retence.

4. Co o uchazeči o zaměstnání držíme

Reaguje-li návštěvník na inzerát přes kariérní modul webu, ukládají se jméno, e-mail a odpovědi na pole formuláře reakce, případně životopis. Retenci životopisu (CV) si volí zákazník na svém webu; výchozí stav je bez retence, dokud si ji zákazník sám nezapne.

Otevřeno (spec §1.3, Q14): je otevřenou otázkou, zda je obhajitelné, že výchozí retence životopisů je vypnutá.

5. Komu údaje předáváme

Následující služby zpracovávají osobní údaje jménem Webotronu jako naši zpracovatelé (technická infrastruktura, ne obsah, který na web vkládá zákazník):

• DigitalOcean – hosting aplikace a úložiště souborů,
• Postmark – odesílání e-mailů,
• Stripe – platby a fakturační údaje,
• Fakturoid – vystavování daňových dokladů (jako jméno subjektu se posílá e-mail zákazníka, protože jméno nemáme),
• Cloudflare – provoz vlastních domén zákazníků,
• Sentry – hlášení chyb aplikace (bez IP adresy a identity přihlášeného uživatele – send_default_pii je vypnuté),
• YouTrack – zpracování hlášení zpětné vazby od uživatelů, včetně případného snímku obrazovky,
• OpenAI – zpracování dotazů jazykovým modelem u AI funkcí vyjmenovaných v §6. Odchází tam jen to, co je pro jeden dotaz potřeba: u chatu text otázky návštěvníka a obsah veřejných stránek daného webu, u průvodce obor podnikání, popis účelu webu a jeho název. Nikdy se neposílá IP adresa návštěvníka, jeho identifikátor konverzace ani identita přihlášeného zákazníka.

E-mailová adresa se nikdy neposílá do Slacku – provozní hlášení, která tam chodí, mají e-mail nahrazený konstantou.

Otevřeno (spec §5, Q9): přesný výčet zemí, do kterých u jednotlivých služeb osobní údaje odcházejí, čeká na právní posouzení a doplnění.

6. Umělá inteligence

Do 29. 8. 2026 včetně platilo, že Webotron sám žádný systém umělé inteligence neprovozuje, a předchozí verze tohoto dokumentu to tak psaly. Od 30. 8. 2026 to neplatí: platforma sama volá jazykový model. Následující výčet je úplný a je psaný z kódu, ne z plánu.

Poskytovatelem modelu je u všech tří funkcí OpenAI a jde o tentýž mechanismus: jedno volání modelu na jedno zadání, bez nástrojů, kterými by model sám sahal na data platformy. Model si Webotron nevyrábí ani netrénuje – nakupuje ho jako službu, takže OpenAI je u těchhle funkcí náš zpracovatel (§5). Co s odeslaným obsahem dělá dál sám poskytovatel, se v tomhle dokumentu netvrdí: vychází to z jeho smluvních podmínek, které zatím nikdo neposoudil.

6.1 AI chat pro návštěvníky webu

Doplněk, který si majitel webu musí sám zapnout (vydán 30. 8. 2026). Chatovací okno odpovídá návštěvníkům výhradně z obsahu daného webu a když odpověď nezná, řekne to. Modelu se posílá text otázky a obsah veřejných stránek toho webu; nic o samotném návštěvníkovi, tedy ani jeho IP adresa, ani identifikátor jeho okna konverzace.

Že návštěvník mluví s automatickým asistentem, je vidět na třech místech widgetu – na spouštěcím tlačítku, v trvalém řádku v hlavičce panelu a v úvodní zprávě. Všechna tři vykresluje server, takže informace nezmizí ani při vypnutém JavaScriptu. Dvě z nich jsou napevno v šabloně a majitel webu je vypnout ani přepsat nemůže: popisek spouštěcího tlačítka a řádek v hlavičce panelu.

Třetí místo, úvodní zpráva, je vlastní text majitele webu. Nechá-li pole prázdné, vyplní se platformním textem, který o automatickém asistentovi mluví sám. Napíše-li si tam ale vlastní znění, žádná kontrola po něm zmínku o AI nevyžaduje – informaci pak nesou jen ta dvě napevno daná místa.

Co se z konverzace ukládá, jak dlouho a co vidí majitel webu, je v §3.7.

6.2 Generování obsahu v průvodci založením webu

Zakládá-li si zákazník web, může zaškrtnout nepovinnou volbu „Vygenerovat obsah webu pomocí AI" (vydáno 30. 8. 2026). Modelu se pak pošle obor podnikání, nepovinné upřesnění oboru, nepovinný popis toho, co má web nabízet a komu, a název webu; vrátí se návrh textů domovské stránky a stránek „O nás" a „Kontakt". Volba je předem nezaškrtnutá a bez ní se žádný obsah negeneruje; nepovede-li se model zavolat, web vznikne i tak, jen s prázdným obsahem.

Vygenerovaný text se stává běžným obsahem stránky – zákazník ho může kdykoli upravit nebo smazat. Upřesnění oboru ani popis účelu webu se nikde neukládají: jsou to jednorázové vstupy jednoho dotazu na model, do databáze z formuláře jde jen vybraná kategorie oboru, název webu a kontaktní údaje do patičky.

6.3 Návrh vzhledu v průvodci založením webu

V témže průvodci je tlačítko, kterým si zákazník nechá navrhnout vzhled webu (vydáno 31. 8. 2026): šablonu, dvojici písem, hlavní barvu a tvarosloví. Modelu jde stejné zadání jako v §6.2, zpět přijdou jen názvy voleb z pevného seznamu, kterými se formulář předvyplní. Zákazník je před uložením vidí a může je změnit; žádná z nich se nezapíše bez odeslání formuláře.

6.4 Cizí AI nástroj zákazníka (MCP)

Mimo tyhle tři funkce Webotron dál nabízí rozhraní (MCP), přes které může s webem zákazníka pracovat AI nástroj, který si zákazník sám zvolil a připojil vlastním tokenem – za jeho použití odpovídá zákazník. Tohle je jediná AI cesta, kde Webotron sám žádný model nevolá, a jediná, které se týkalo původní znění téhle sekce.

Otevřeno (spec §5, Q13, rozšířeno): zda a v jakém rozsahu je potřeba samostatné prohlášení podle nařízení (EU) 2024/1689 (akt o umělé inteligenci, čl. 50), čeká na právní posouzení. Otázka ve specu vznikla dřív, než tyhle tři funkce existovaly, a počítala s tím, že se bude řešit „až přijde AI chat". Teď už jde o funkce, které Webotron doopravdy provozuje, a u chatu navíc o systém, který přímo komunikuje s třetí osobou (návštěvníkem). Informace „mluvíte s automatickým asistentem" ve widgetu je návrh implementátora, ne potvrzení, že to právně stačí. Neposouzené zůstává i to, kdo je u které funkce poskytovatel a kdo provozovatel systému AI.

K posouzení patří i konkrétní mezera popsaná v §6.1: vlastní úvodní zpráva majitele webu zmínku o AI obsahovat nemusí. Nese ji pak jen popisek spouštěcího tlačítka a řádek v hlavičce panelu. Jestli to stačí, nebo má platforma zmínku v úvodní zprávě vynucovat, je otázka na právníka, ne rozhodnutí implementace.

7. Práva subjektu údajů

Kanál pro uplatnění práv (přístup, oprava, výmaz, přenositelnost) je dnes ruční – přes kontakt v patičce. Samostatná obrazovka „moje osobní údaje" v administraci zatím neexistuje.