Právo a compliance

Acquirer je finanční instituce nebo platební poskytovatel, který obchodníkovi umožňuje přijímat karetní platby a předává transakce do karetních schémat. V online platbách stojí mezi platební bránou, vydavatelem karty a obchodníkem, zajišťuje autorizaci, zúčtování, vyplacení peněz a část řízení rizik.

AI etika je obor, který zkoumá, jaké dopady mají systémy umělé inteligence na lidi, a formuluje pravidla pro jejich návrh, trénink a provoz. Řeší zaujatost dat, transparentnost rozhodování, ochranu soukromí, odpovědnost za chybu i bezpečnost modelu. Ve firemní praxi se promítá do interních politik, dokumentace modelů a povinností podle regulace typu AI Act.

Archivace dokumentů je řízené ukládání dokumentů, které už nejsou běžně používány, ale musí zůstat čitelné, dohledatelné a prokazatelné po určenou dobu. V praxi spojuje pravidla retence, metadata, oprávnění, ochranu před změnou a postup pro bezpečné vyřazení po skončení právního nebo obchodního důvodu.

Autorské právo k software je právní ochrana počítačového programu jako autorského díla, zejména jeho zdrojového a objektového kódu. Nechrání samotné nápady, algoritmické principy ani funkce jako takové, ale konkrétní tvůrčí vyjádření programu. V praxi rozhoduje o tom, kdo smí software kopírovat, upravovat, šířit nebo licencovat.

Bankovní identita je způsob ověření totožnosti člověka na internetu pomocí přihlašovacích údajů do jeho internetového bankovnictví. Banka jako ověřený zdroj potvrdí poskytovateli služby jméno, datum narození, adresu či číslo dokladu klienta, který k tomu dal souhlas. V Česku funguje pod obchodní značkou Bank iD a je uznávaným prostředkem elektronické identifikace vůči státu.

Bankovní převod je bezhotovostní přesun peněz z účtu plátce na účet příjemce, který inicializuje plátce příkazem své bance. Banka částku odepíše, předá ji přes zúčtovací systém (v Česku CERTIS, přeshraničně SEPA nebo SWIFT) a banka příjemce ji připíše. Identifikátorem účtu je číslo účtu nebo IBAN, párování zajišťuje variabilní symbol nebo reference.

Bezpečnostní audit je systematické prověření toho, zda aplikace, infrastruktura, procesy a lidé chrání data před reálnými riziky. Výsledek obvykle obsahuje zjištění, důkazy, hodnocení závažnosti a doporučené kroky, podle kterých tým opravuje slabá místa a dokládá soulad s interními pravidly nebo regulací.

Bezpečnostní politika je závazný dokument organizace, který stanovuje pravidla, odpovědnosti a přijatelnou míru rizika při práci s informacemi a IT systémy. Určuje, kdo má k čemu přístup, jak se nakládá s hesly, daty a incidenty, a co se stane při porušení pravidel. Schvaluje ji vedení a doplňují ji navazující směrnice a technická opatření.

Chargeback je zpětné zúčtování karetní platby, při kterém držitel karty zpochybní transakci u své banky a obchodník může přijít o původně připsané peníze. Probíhá podle pravidel karetních schémat, často přes acquirera a platební bránu, a rozhoduje se podle důkazů o autorizaci, doručení, komunikaci a případném podvodu.

Cookie je malý údaj, který web uloží v prohlížeči a prohlížeč jej při dalších požadavcích posílá zpět příslušnému webu. Používá se pro přihlášení, nastavení, košík, analytiku i reklamu. Bezpečné použití závisí na atributech jako Secure, HttpOnly, SameSite, expirace a správném souhlasu uživatele.

Doprava zdarma je prodejní nabídka, při které e-shop nepřipočítává zákazníkovi cenu dopravy k objednávce, obvykle po splnění podmínky typu minimální hodnota košíku, zvolený dopravce nebo členství v programu. Náklady na přepravu tím nezmizí: obchodník je hradí z marže, rozpouští je v cenách zboží nebo je kompenzuje vyšší průměrnou hodnotou objednávky.

DPIA je písemné posouzení vlivu zamýšleného zpracování osobních údajů na práva a svobody lidí, které podle článku 35 GDPR musí správce provést dřív, než rizikové zpracování spustí. Popisuje účel, nutnost a přiměřenost zpracování, pojmenuje rizika a stanoví opatření, jimiž je správce sníží na přijatelnou úroveň.

Elektronický podpis je právní institut podle nařízení eIDAS: data v elektronické podobě připojená k dokumentu, kterými podepisující osoba vyjadřuje svou vůli dokument podepsat. Nařízení rozlišuje tři úrovně: prostý, zaručený a kvalifikovaný elektronický podpis. Kvalifikovaný podpis má v celé Evropské unii stejné právní účinky jako vlastnoruční podpis na papíře.

Escrow je dohoda nebo služba, při níž nezávislá třetí strana dočasně drží peníze, dokumenty, zdrojový kód nebo jiné plnění, dokud nejsou splněny předem dané podmínky. Používá se ke snížení rizika mezi stranami, které si ještě nemohou plně důvěřovat.

GDPR je evropské nařízení pro ochranu osobních údajů, které stanovuje, kdy a jak mohou organizace údaje lidí shromažďovat, používat, sdílet a mazat. Pro vývojáře znamená požadavky na minimalizaci dat, právní důvod zpracování, bezpečnost, auditovatelnost a podporu práv uživatelů, například přístupu k údajům nebo jejich výmazu.

Incident response je organizovaný postup, kterým firma detekuje bezpečnostní incident, omezí jeho dopad, odstraní příčinu, obnoví provoz a vyhodnotí, co selhalo. Zahrnuje předem připravený plán, definované role, komunikaci se zákazníky i regulátorem a sběr důkazů. Cílem není jen zastavit útok, ale zkrátit dobu, po kterou útočník zůstává v systému nepovšimnut.

Karetní schéma je organizace, která provozuje platební síť pro karty, stanovuje pravidla pro banky a obchodníky a směruje autorizace i zúčtování mezi vydavatelem karty a bankou obchodníka. Mezi karetní schémata patří Visa, Mastercard, American Express, Diners Club, JCB nebo UnionPay. Schéma samo obvykle karty nevydává ani neposkytuje úvěr.

Licence open source je právní ujednání, kterým autor softwaru dává komukoli právo program používat, studovat, upravovat a šířit dál včetně zdrojového kódu. Autorská práva zůstávají autorovi, licence pouze uděluje oprávnění, obvykle výměnou za povinnost zachovat text licence a uvedení autorství. Typickými zástupci jsou MIT, Apache 2.0 a GPL.

Mezibankovní poplatek je část karetní transakce, kterou banka obchodníka odvádí bance vydavatele karty za zpracování platby a související riziko. V e-commerce se obvykle skrývá uvnitř ceny platební brány nebo acquiringu, proto ovlivňuje marži obchodníka, i když zákazník vidí jen konečnou cenu nákupu.

Newsletter je pravidelně zasílaný e-mailový obsah, ke kterému se příjemce obvykle přihlásí, aby dostával novinky, články, nabídky nebo provozní informace od konkrétní značky či služby. V praxi spojuje redakční plán, správu kontaktů, souhlasy, šablonu e-mailu, doručitelnost a měření reakcí, například otevření, kliknutí nebo odhlášení.

Obchodní podmínky jsou smluvní pravidla, která doplňují konkrétní objednávku nebo smlouvu mezi prodávajícím a zákazníkem. Popisují zejména cenu, platbu, dodání, reklamace, odstoupení, užívání služby a odpovědnost stran. U webu nebo aplikace musí být dostupné včas, srozumitelné a nesmí odporovat zákonu ani individuálně sjednanému ujednání.

Odpovědnost za vady je právní povinnost prodávajícího nebo zhotovitele nést následky toho, že dodané zboží, dílo nebo software neodpovídá smlouvě. Zákazník z ní odvozuje práva z vadného plnění: opravu, doplnění, slevu z ceny nebo odstoupení od smlouvy. V českém právu ji upravuje občanský zákoník, u spotřebitelů s přísnějším režimem než mezi podnikateli.

Odstoupení od smlouvy je jednostranné právní jednání, kterým oprávněná strana ruší smluvní závazek a zpravidla se vrací již poskytnutá plnění. V e-commerce se nejčastěji řeší u spotřebitele, který při nákupu na dálku využije zákonnou lhůtu a vrací zboží bez udání důvodu.

Opakovaná platba je platební režim, při kterém zákazník předem souhlasí s tím, že obchodník může v budoucnu strhávat další částky podle sjednaných pravidel. Používá se pro předplatné, členství, splátky nebo automatické dobíjení kreditu. Technicky obvykle stojí na tokenu platební metody, ne na ukládání čísla karty.

Open source model je model strojového učení, jehož natrénované váhy si kdokoli může stáhnout, spustit na vlastním hardwaru, upravit a dál šířit podle podmínek přiložené licence. Na rozdíl od uzavřených modelů dostupných jen přes API tak uživatel drží samotné parametry sítě i kontrolu nad tím, kde běží inference.

Patch management je řízený proces vyhledávání, testování, nasazování a ověřování opravných balíčků softwaru napříč servery, aplikacemi, knihovnami i koncovými zařízeními. Zahrnuje evidenci majetku, hodnocení závažnosti zranitelností, stanovení lhůt pro nasazení, testovací prostředí, plán návratu zpět a doklad o tom, že oprava skutečně doběhla všude.

PCI DSS je bezpečnostní standard pro ochranu dat platebních karet, který vydává PCI Security Standards Council a vynucují ho karetní asociace jako Visa a Mastercard. Vztahuje se na každou organizaci, která údaje z karet přijímá, zpracovává, přenáší nebo ukládá, a definuje konkrétní technická i procesní pravidla včetně způsobu jejich doložení.

Platba na fakturu je způsob úhrady, při kterém obchodník dodá zboží nebo službu nejdřív a zákazník zaplatí až později bankovním převodem podle údajů na daňovém dokladu, obvykle do 7 až 30 dnů. Prodávající tím zákazníkovi poskytuje obchodní úvěr a nese riziko, že peníze nedorazí včas nebo vůbec.

Pověřenec pro ochranu údajů je nezávislá role podle GDPR, která dohlíží na zacházení s osobními údaji v organizaci, radí správci nebo zpracovateli a komunikuje s dozorovým úřadem. DPO nenese odpovědnost za každý soulad, ale pomáhá nastavovat procesy, dokumentaci a reakce na rizika.

Práva subjektu údajů je soubor oprávnění, která GDPR dává fyzické osobě vůči správci zpracovávajícímu její osobní údaje. Patří sem přístup ke kopii údajů, oprava, výmaz, omezení zpracování, přenositelnost, námitka a právo nebýt předmětem čistě automatizovaného rozhodování. Správce musí žádost vyřídit zpravidla do jednoho měsíce a bezplatně.

Právní titul zpracování je důvod uznaný nařízením GDPR, bez kterého správce nesmí osobní údaje vůbec zpracovávat. Článek 6 nabízí šest titulů: souhlas, plnění smlouvy, právní povinnost, ochrana životně důležitých zájmů, veřejný zájem a oprávněný zájem. Správce musí titul určit před zahájením zpracování a nemůže ho pak libovolně měnit.

Předávání údajů do třetích zemí je zpřístupnění osobních údajů příjemci mimo Evropský hospodářský prostor, které GDPR dovoluje jen na základě rozhodnutí o odpovídající ochraně, standardních smluvních doložek, závazných podnikových pravidel nebo výjimky. Za předání se považuje i pouhý vzdálený přístup správce, zpracovatele či supportu z takové země.

Přístupnost je vlastnost digitálního produktu, díky níž jej mohou používat lidé s různými schopnostmi, zařízeními a způsoby ovládání bez zbytečných překážek. Ve webu zahrnuje sémantické HTML, ovládání klávesnicí, dostatečný kontrast, textové alternativy, srozumitelné formuláře a kompatibilitu s asistivními technologiemi, například čtečkami obrazovky.

PSD2 je evropská směrnice pro platební služby, která zpřísnila bezpečnost elektronických plateb a otevřela bankovní účty regulovaným třetím stranám se souhlasem klienta. V praxi stojí za silným ověřením zákazníka, otevřeným bankovnictvím, bankovními API a novými rolemi fintechových poskytovatelů.

Recenze produktu je hodnocení zboží nebo služby napsané zákazníkem či redakcí, obvykle spojené s bodovou známkou a textovým komentářem. V e-shopu slouží jako sociální důkaz, snižuje nejistotu před nákupem a zároveň představuje strukturovaná data, která vyhledávače čtou a mohou zobrazit jako hvězdičky ve výsledcích hledání.

Refundace je vrácení již zúčtované platby zpět plátci, které iniciuje obchodník přes platební bránu nebo svou banku. Peníze putují stejnou cestou jako původní transakce, obvykle na tutéž kartu či účet. Refundace může být plná nebo částečná a na rozdíl od chargebacku jde o dobrovolný krok obchodníka, ne o spor.

Reklamace je formální uplatnění práva z vady zboží, digitálního obsahu nebo služby vůči prodávajícímu či poskytovateli. V e-commerce zahrnuje přijetí požadavku, ověření nákupu, posouzení vady, komunikaci se zákazníkem a výsledek, například opravu, výměnu, slevu, vrácení peněz nebo zamítnutí.

Remarketing je reklamní technika, která znovu oslovuje lidi podle jejich předchozí interakce s webem, aplikací, produktem nebo značkou. Typicky využívá publika vytvořená z měřicích značek, cookies, přihlášení nebo událostí v aplikaci. Cílem je připomenout nedokončený nákup, navázat na zájem nebo vyloučit uživatele, kteří už konvertovali.

SEPA platba je eurový bankovní převod nebo inkaso provedené podle pravidel jednotného evropského platebního prostoru. Umožňuje posílat a přijímat platby mezi účty v zapojených zemích s použitím IBAN, jednotných formátů zpráv a pravidel pro zpracování, poplatky a identifikaci transakcí.

Sociální inženýrství je způsob útoku, při kterém útočník zneužívá důvěru, stres, autoritu nebo nepozornost člověka k získání přístupu, peněz či informací. Místo prolomení systému manipuluje rozhodování oběti, například falešným e-mailem, telefonátem podpory, podvrženým formulářem nebo naléhavou žádostí nadřízeného v práci nebo doma.

Souhlas s cookies je prokazatelná volba návštěvníka webu, zda smí provozovatel ukládat nebo číst cookies a podobné identifikátory, které nejsou nezbytné pro poskytování služby. V praxi rozhoduje hlavně o analytice, personalizaci, reklamě a konkrétních návazných skriptech třetích stran na stránce.

Správce osobních údajů je podle GDPR ten, kdo určuje účel a prostředky zpracování osobních údajů, tedy rozhoduje proč a jak se s daty nakládá. Může jím být firma, spolek, úřad i podnikající fyzická osoba. Správce nese hlavní odpovědnost vůči subjektům údajů i dozorovému úřadu a odpovídá i za zpracovatele, které si najme.

Tokenizace karty je bezpečnostní postup, při kterém se číslo platební karty nahradí náhradním identifikátorem zvaným token. Obchodník pak může kartu použít pro platbu, vrácení peněz nebo opakované stržení, aniž by ukládal celé PAN. Skutečné číslo drží platební brána, acquirer nebo síťový tokenizační systém s přísnějšími pravidly zabezpečení.

Účel zpracování je konkrétní důvod, kvůli kterému správce osobních údajů shromažďuje, ukládá, používá nebo předává data. V GDPR určuje hranice přípustného nakládání s údaji, volbu právního základu, rozsah informování lidí i posouzení, zda pozdější použití dat zůstává slučitelné s původním záměrem.

Věrnostní program je systém odměn, který obchodník poskytuje opakovaně nakupujícím zákazníkům výměnou za identifikaci nákupu a souhlas se zpracováním údajů. Zákazník sbírá body, slevy nebo výhody vázané na účet, prodejce získává propojenou nákupní historii a nástroj pro cílené nabídky. Technicky jde o pravidla přepočtu, zůstatek bodů a jejich uplatnění v pokladně.

Zpracování osobních údajů je jakákoli práce s informací, která přímo nebo nepřímo souvisí s identifikovaným či identifikovatelným člověkem. Patří sem sběr, ukládání, třídění, předávání, úpravy i mazání údajů. V evropském právu vyžaduje právní základ, jasný účel, přiměřený rozsah a odpovědnost správce nebo zpracovatele.

Zpracovatelská smlouva je právní ujednání mezi správcem osobních údajů a zpracovatelem, které podle GDPR vymezuje, jak zpracovatel smí s údaji nakládat. Určuje účel, dobu, typy údajů, bezpečnostní povinnosti, zapojení dalších zpracovatelů i postup po skončení služby. V praxi brání tomu, aby externí dodavatel používal data volně nebo mimo pokyny správce.