Cookies a úložiště v zařízení

Krátká verze

Tenhle web, aplikace ani stránka pro objednávání klientek žádné cookies nenastavují. Cookies nastavuje jen přihlašovací a synchronizační server, a jsou tři — všechny technické: jedna tě provede přihlášením, jedna pozná tvoje zařízení, jedna předá přihlášení z prohlížeče do nainstalované aplikace. Žádná analytika, žádné reklamní ani sledovací cookies, žádné cookies třetích stran. Proto tu nenajdeš cookie lištu: na technicky nezbytné uložení se souhlas nevztahuje.

Cookies ale nejsou celý příběh a „nepoužíváme cookies“ by byla pravda vyprávěná moc nakrátko. Pár drobností si web a aplikace ukládají do tvého zařízení i bez cookies, a pár věcí odchází ven — ale vždy až tehdy, když sama klepneš. Obojí je popsané níž.

Tricho.app běží na čtyřech adresách

dev.tricho.app — tenhle web (úvodní stránka, ceník, blog, nápověda, právní stránky) a Můj účet. Nenastavuje žádné cookies.
app.dev.tricho.app — samotná aplikace. Nenastavuje žádné cookies; ukládá si data v prohlížeči (viz níže).
sync.dev.tricho.app — přihlašovací a synchronizační server. Nastavuje tři cookies, všechny nezbytné.
booking.dev.tricho.app — stránka pro objednávání, na které si klientka vybere volný termín (odkaz jí pošle tricholožka). Nenastavuje žádné cookies a nepoužívá ani localStorage či sessionStorage; krátkodobý přístupový token drží jen v paměti otevřené stránky, takže po zavření nebo obnovení stránky zmizí.

Tři cookies na `sync.dev.tricho.app`

Název	K čemu	Jak dlouho	Vlastnosti
`tricho_oauth`	Drží pohromadě jeden průchod přihlášením přes Google nebo Apple — aby se návrat od poskytovatele spároval se správným požadavkem a nešel podstrčit. Po dokončení přihlášení se hned maže.	10 minut	HttpOnly, Secure, SameSite=Lax (u přihlášení přes Apple SameSite=None, protože Apple posílá návrat z jiné domény)
`tricho_handoff`	Když se přihlásíš v prohlížeči (stránka „Začít“), cookie s jednorázovým lístkem umožní nainstalované aplikaci převzít přihlášení, aniž bys cokoli přepisovala. Obsahuje jen náhodný lístek, ne tebe ani tvoje data. Po převzetí se maže.	30 minut	HttpOnly, Secure, SameSite=Lax
`tricho_device`	Pozná tvoje zařízení, aby se ti při dalším přihlášení nezaložilo jako nové a neujídalo limit zařízení podle plánu. Neobsahuje nic o tobě ani o tvých datech — jen náhodný identifikátor zařízení. Při odhlášení se maže.	365 dní	HttpOnly, Secure, SameSite=Lax

Všechny jsou HttpOnly, takže je nepřečte žádný skript v prohlížeči, a Secure, takže se posílají jen po šifrovaném spojení. Správcovský nástroj (jen pro provozovatele) žádnou vlastní cookie nemá; jeho token žije jen v paměti karty. Ani připojení Google kalendáře žádnou cookie nepřidává.

Všechny tři jsou technicky nezbytné k poskytnutí služby, kterou sis vyžádala, a souhlas se na ně podle § 89 odst. 3 zákona č. 127/2005 Sb., o elektronických komunikacích, a podle evropských pravidel (ePrivacy) nevztahuje. U tricho_device to stojí na jednoduché úvaze: bez rozpoznání zařízení nejde vynutit limit zařízení podle plánu, který sis objednala, a ten je součástí služby. Rok je proto, že zařízení má zůstat „to samé“ i po měsících bez přihlášení; k ničemu jinému než k přihlášení a rozpoznání zařízení cookies neslouží.

Co si web ukládá v tvém zařízení

Ne cookies — localStorage a sessionStorage. Právně je to ale totéž: § 89 odst. 3 zákona č. 127/2005 Sb. mluví o „ukládání údajů do koncového zařízení“, ne o cookies. Tady je všechno, co tenhle web (apex) ukládá:

Klíč	Co v něm je	Kdy vznikne	Jak dlouho
`tricho-theme`	`light` / `dark` — vzhled, který sis zvolila přepínačem	Až přepneš vzhled. Bez toho se řídíme nastavením systému a neukládáme nic.	Dokud ji nesmažeš (vymazáním dat webu v prohlížeči)
`install-banner-dismissed`	`1` — schovalas lištu s návodem na instalaci	Až lištu zavřeš	Dokud ji nesmažeš
`tricho-account-jwt`, `tricho-account-handoff`, `tricho-account-return`, `tricho-account-intent`, `tricho-zacit-device` (`sessionStorage`)	Jen v Mém účtu a na stránce „Začít“: krátkodobý token přihlášení do účtu (platí hodinu), jednorázový lístek pro předání přihlášení do aplikace, kam ses chtěla vrátit, co jsi chtěla udělat a jak se jmenuje zařízení, které přihlašuješ. Tyto stránky se neindexují ani neukládají do mezipaměti.	Když se do Mého účtu přihlásíš nebo začneš přihlášení	Jen v téhle záložce — zavřením karty zmizí

První dvě jsou tvoje volby, uložené proto, aby se tě web neptal podruhé. Opíráme se o to, že předvolby rozhraní, které sis sama zvolila, jsou technicky nezbytné pro funkci, kterou sis vyžádala (viz stanovisko Pracovní skupiny WP29 č. 04/2012, WP 194, o výjimkách ze souhlasu u cookies). Žádná z nich neobsahuje identifikátor, nic neposílá na server a nedá se podle nich nikdo poznat. Údaje v záložce slouží jen k tomu, aby přihlášení přežilo cestu přes Google nebo Apple; žádné z nich nesouvisí s obsahem tvého sešitu.

Co se načítá odjinud

Na tomhle webu nic. Všechna písma servírujeme z vlastních adres; žádný požadavek na třetí stranu. Žádné vkládané mapy, videa ani skripty. Otevřená stránka tohoto webu nesáhne na jediný cizí server.

První výjimka je formulář „Dej mi vědět“ na konci úvodní stránky — políčko, kam můžeš nechat e-mail, ať se ti ozveme, až přibude něco podstatného. Odeslání jde napřímo z tvého prohlížeče na sibforms.com, což je Brevo (dříve Sendinblue), francouzská služba, ve které tu adresu vedeme. Žádný skript Brevo na stránce neběží a nic se nenačítá dopředu: požadavek odejde až ve chvíli, kdy sama klepneš na tlačítko. Spolu s e-mailem se k Brevu dostane i tvoje IP adresa, protože to jinak nejde. Právní základ je tvůj souhlas (čl. 6 odst. 1 písm. a GDPR) — dáváš ho tím odesláním a odvoláš odhlašovacím odkazem v každé zprávě. Víc v zásadách zpracování osobních údajů.

Druhá je stránka pro objednávání, kterou otevírá klientka. Tam se kvůli ochraně proti robotům načte kontrola Cloudflare Turnstile — skript a okénko z domény challenges.cloudflare.com. Je to jediná cizí adresa, kterou ta stránka smí oslovit, a vynucuje to hlavička Content-Security-Policy. Cloudflare při tom vidí IP adresu a údaje o prohlížeči. Vlastní cookies ani úložiště na straně stránky nepřidáváme.

Co si aplikace ukládá v zařízení

Aplikace na app.dev.tricho.app je jiný původ a jiný příběh. Ukládá si ve tvém zařízení data nutná k tomu, aby vůbec fungovala — i bez internetu. Nejsou to cookies; jsou to úložiště prohlížeče, která se nikam neposílají:

Tvoje zašifrovaná data (klientky, návštěvy, fotografie) v úložišti IndexedDB. Zůstávají v zařízení a jsou čitelná jen po odemčení.
Technické předvolby v localStorage: zvolený vzhled (světlý/tmavý), kód zvoleného plánu, vybraná kamera a to, že si kamera s mikrofonem u tebe fungují dohromady. Vzhled je uložený i v databázi aplikace a zrcadlený do localStorage, aby stránka při načtení neproblikla bílou.
Přihlašovací token pro volitelnou synchronizaci, pokud ji máš zapnutou — zašifrovaný stejným klíčem jako tvoje data a uložený jen v tomhle zařízení; na server se nereplikuje. Krátkodobý přístupový token žije jen v paměti a vypnutím aplikace zmizí.
Krátkodobé pomocné údaje: rozpracované přihlášení přes Google nebo Apple a počet chybných pokusů o PIN (sessionStorage, jen v té záložce), a po dobu deseti minut ověřovací údaj při přihlášení v prohlížeči (localStorage).
Kopie aplikace samotné (service worker a jeho mezipaměť), aby se spustila i bez signálu.

Nic z toho neslouží ke sledování a nic z toho se samo neodesílá. Smazáním dat webu v prohlížeči (nebo odinstalací aplikace) to zmizí — i tvoje nezálohovaná data, takže na to pozor.

S kým aplikace mluví

Aplikace smí oslovit jen několik adres a vynucuje to hlavička Content-Security-Policy, kterou za nás dodržuje prohlížeč:

vlastní synchronizační server (sync.dev.tricho.app) — jen zašifrovaná data a přihlášení;
servery Googlu (www.googleapis.com) — jen když sama připojíš Google kalendář; aplikace pak čte a zapisuje události a úkoly přímo ze zařízení;
servery Finanční správy (trzbyeet.gov.cz) — jen když sama zapneš evidenci tržeb a odešleš tržbu;
platba přes Stripe je přesměrování na jejich stránku, aplikace sama na Stripe nic neposílá.

Co tu není

Aby to bylo řečené i z druhé strany: žádná analytika (ani Google Analytics, ani Plausible, ani vlastní), žádný pixel, žádný reklamní skript, žádné vkládané mapy, videa ani písma odjinud. Cizí adresy, na které smí sáhnout tenhle web, jsou jen dvě: Brevo pro ten formulář a náš vlastní synchronizační server. Analytický skript by se sem nenačetl, ani kdybychom ho tam omylem dali.

Zbývá jedna věc, kterou nemůžeme jen slíbit: web i aplikaci doručuje Cloudflare Pages a Cloudflare si podle nastavení účtu umí přidat vlastní provozní cookie (typicky __cf_bm u ochrany proti botům). V našem účtu zapnutá není. Ověřeno 3. 9. 2026 na adresách dev.tricho.app, app.dev.tricho.app i sync.dev.tricho.app — odpověď serveru neobsahovala hlavičku set-cookie vůbec, tedy ani jednu cookie od Cloudflare.

Jak to zkontrolovat

Nemusíš nám věřit. Otevři v prohlížeči vývojářské nástroje (F12), záložku Application nebo Úložiště, a podívej se na cookies a úložiště pro každou z adres. Najdeš přesně to, co je napsané výše.

Otázky

Napiš na [email protected].

Verze 2026-10-31. Účinnost: 31. 10. 2026.