# GDPR žádosti

> Jak vyřídit žádost o výmaz nebo export osobních údajů, jakou máte lhůtu, co výmaz smaže (i v rozhovorech s Agentem) a co musí ze zákona zůstat.

- Sekce: Objednávky a doklady
- Stránka: https://shopzi.cz/dokumentace/objednavky/gdpr-zadosti
- Popisuje v administraci: /administrace/gdpr-zadosti
- Ověřeno: 2026-10-20

---

**GDPR Žádosti** je fronta žádostí o **výmaz** a **export** osobních údajů podle
článků 15, 17 a 20 GDPR. V levém menu ji najdete ve skupině **Lidé**. Otevřou ji role **Manažer**
a **Vlastník**, tedy ti, kdo smějí spravovat zákazníky.

Správcem údajů vašich zákazníků jste vy, ne SHOPZI. O každé žádosti proto rozhoduje člověk z vašeho
týmu a nic se nemaže samo.

> **Máte 30 dnů a nikdo je za vás neohlídá** Žádost musíte vyřídit do 30 dnů od podání. Nic se nemaže automaticky: výmaz je vždycky vaše vědomé rozhodnutí. Po lhůtě ukáže detail žádosti červené upozornění „Pozor: Žádost je po lhůtě!“ s počtem dnů, ale jen dokud je žádost ve stavu Čeká. Ve stavu Zpracovává se upozornění nesvítí, lhůta přitom běží dál.

## Jak žádost vznikne [#jak-zadost-vznikne]

Žádost podává zákazník sám, v obchodě. V **GDPR Žádosti** ji založit nejde. Obě
cesty, kterými žádost o výmaz přichází, ověří, že ji podal vlastník e-mailové adresy:

* **Veřejná stránka Žádost o vymazání údajů** (`/zadost-o-vymazani-udaju`), na kterou odkazují
  zásady ochrany osobních údajů. Použije ji i host, který nakoupil bez registrace. Zákazník zadá
  e-mail a případně důvod a na adresu mu přijde odkaz **Potvrdit žádost o vymazání**, platný 24
  hodin. Do fronty se žádost dostane až po kliknutí na něj. Vám v tu chvíli přijde e-mail **Nová
  žádost o vymazání údajů** s adresou zákazníka, jeho důvodem, datem konce lhůty a tlačítkem
  **Zobrazit žádost**, a ve zvonku administrace upozornění **GDPR žádost o výmaz**. Zákazník dostane
  potvrzení, že žádost vyřídíte do 30 dnů.
* **Účet zákazníka v obchodě.** Přihlášený zákazník klikne na **Požádat o výmaz účtu** a potvrdí
  **Ano, požádat o výmaz**. Přihlášení je ověřením samo, takže žádost jde do fronty hned. Stejně
  jako u veřejné stránky vám přijde e-mail **Nová žádost o vymazání údajů** (s poznámkou, že ji
  podal přihlášený zákazník ze svého účtu) a ve zvonku upozornění **GDPR žádost o výmaz**. Zákazník
  dostane potvrzení, že žádost vyřídíte do 30 dnů. Druhé kliknutí, dokud žádost čeká, novou žádost
  nezaloží.

E-mail o nové žádosti chodí na hlavní adresu v poli **Kontaktní e-maily**
v **Nastavení → Obecné**. Když tam žádnou nemáte, přijde na e-mail, se kterým jste
obchod zakládali. Upozornění ve zvonku vypíná přepínač **GDPR žádost**
v **Nastavení → Notifikace**.

Důvod, který zákazník případně napsal do formuláře, najdete jen v tom e-mailu. Administrace ho
neukládá.

**Export údajů si zákazník vyřídí sám** a do fronty ho nezakládá. V účtu klikne na **Stáhnout moje
údaje**, nebo na veřejné stránce Export osobních údajů (`/export-udaju`) zadá e-mail a přijde mu
odkaz ke stažení. Vy u toho nemusíte dělat nic.

## Seznam žádostí [#seznam-zadosti]

**GDPR Žádosti** ukazuje nahoře čtyři čísla: **Čeká na zpracování**, **Zpracovává
se**, **Dokončeno** a **Zamítnuto**. Dokud nějaká žádost čeká, visí pod nimi upozornění „Pozor: Máte N
nevyřízených žádostí o výmaz údajů.“ s připomínkou třicetidenní lhůty.

*Snímek obrazovky: GDPR Žádosti: čtyři čísla podle stavu a pod nimi hledání a filtr stavu.*

Pod čísly je panel **Filtry**:

1. Do pole **Hledat podle emailu nebo jména...** napište část adresy nebo jména.
2. Ve výběru **Stav** zvolte **Všechny**, **Čeká**, **Zpracovává se**, **Dokončeno**, nebo
   **Zamítnuto**.
3. Klikněte na **Filtrovat**. Odkaz **Zrušit filtry** vrátí celý seznam.

Tabulka má sloupce **Žadatel** (jméno, pokud k adrese existuje zákaznický účet, a e-mail), **Typ**
(**Výmaz údajů**, nebo **Export dat**), **Stav**, **Podáno**, **Zpracováno** a **Akce** s tlačítkem
**Detail**. Nahoře jsou čekající žádosti, pak rozpracované a nakonec vyřízené, uvnitř vždy od
nejnovějších. Na stránku se vejde 25 žádostí.

## Stavy žádosti [#stavy-zadosti]

Stav žádosti v **GDPR Žádosti** ukazuje sloupec **Stav** v seznamu i odznak
v detailu:

| Stav          | Význam                                                                     |
| ------------- | -------------------------------------------------------------------------- |
| Čeká          | Žádost přišla a čeká na vás. V detailu se jmenuje **Čeká na zpracování**.  |
| Zpracovává se | Někdo z týmu na ní pracuje.                                                |
| Dokončeno     | Vyřízeno: údaje jsou smazané a anonymizované, nebo odešel odkaz na export. |
| Zamítnuto     | Odmítnuto, například kvůli zákonné povinnosti údaje uchovat.               |

Z Čeká se dá přejít do kteréhokoli dalšího stavu, ze Zpracovává se do Dokončeno nebo Zamítnuto.
**Zpracovává se** je nepovinný mezikrok: jen dává týmu najevo, že se žádosti už někdo ujal.

Dokončenou ani zamítnutou žádost už nelze otevřít znovu. Karta **Akce** u ní zmizí a zůstane jen
karta **Informace o zpracování** s datem, jménem toho, kdo žádost zpracoval, a s poznámkami.

## Vyřízení žádosti o výmaz [#vyrizeni-zadosti-o-vymaz]

Výmaz se dělá v detailu žádosti v **GDPR Žádosti**:

1. U žádosti klikněte na **Detail**. Nadpis zní **Žádost o výmaz údajů** a karta **Údaje žadatele**
   ukazuje **Email**, **Typ žádosti**, **Jméno** (má-li zákazník účet) a **Datum podání** i s počtem
   dní, které od podání uběhly.
2. Zkontrolujte, jestli nemáte právní důvod údaje ponechat, například nevyřízenou pohledávku nebo
   probíhající reklamaci. Vystavené daňové doklady řešit nemusíte, těch se výmaz nedotkne.
3. Volitelně klikněte na **Označit jako zpracovávané**, aby tým věděl, že se žádosti někdo ujal.
4. Do pole **Poznámka** si můžete zapsat, jak jste postupovali. U dokončené žádosti zůstane
   poznámka jen v administraci.
5. Klikněte na **Dokončit a smazat údaje**.
6. Dialog **Potvrdit výmaz údajů** vypíše, co se smaže. Potvrďte tlačítkem **Smazat údaje**, nebo se
   vraťte tlačítkem **Zrušit**.

Výmaz proběhne naráz a žádost přejde do stavu **Dokončeno**. Zákazníkovi odejde e-mail „Vaše žádost
o výmaz údajů byla vyřízena“ i s vysvětlením, proč vystavené doklady musíte uchovat. Co přesně se
smaže a co zůstane, rozebírá kapitola „Co výmaz smaže a co zůstane“.

## Co výmaz smaže a co zůstane [#co-vymaz-smaze-a-co-zustane]

Výmaz dokončený v **GDPR Žádosti** je **nevratný**. Týká se všeho, co obchod vede
pod e-mailem žadatele:

* **Smaže se:** uložené adresy, souhlasy v účtu, propojení s Googlem a Applem, oblíbené položky,
  přihlášení a relace, košíky a zprávy z kontaktního formuláře. U žádosti z veřejné stránky i záznam
  souhlasu s cookies z prohlížeče, ze kterého ji zákazník podal.
* **Anonymizuje se zákaznický účet:** zmizí jméno, telefon, firma, IČO, DIČ, heslo, štítky, důvod
  zamítnutí velkoobchodu a souhlasy s newsletterem i SMS. E-mail se přepíše na neexistující adresu
  a účet se přepne do anonymizovaného stavu, takže se do něj už nikdo nepřihlásí.
* **Anonymizují se objednávky:** e-mail, telefon, jméno a adresa odběratele i doručení, poznámka
  zákazníka a také **vaše interní poznámka k objednávce**. V Objednávkách pak místo jména uvidíte
  „\[GDPR výmaz]“. Zmizí i to, co objednávka uložila pro měření reklamy: IP adresa, prohlížeč,
  identifikátory Meta a TikToku a adresa stránky pokladny. Zůstane jen záznam, jestli zákazník dal
  souhlas s marketingovými cookies a jestli odmítl dotazník Heureky nebo žádost o recenzi.
* **Smažou se uložené štítky zásilek** k jeho objednávkám, protože nesou jméno a adresu. Číslo
  zásilky u objednávky zůstane.
* **Recenze zůstanou zveřejněné**, jen se u nich jako autor ukáže „\[smazaný uživatel]“. U vratek
  podaných z účtu zmizí poznámka zákazníka a v historii odeslaných e-mailů obsah zpráv i adresát.
* **Žádost o recenzi**, která ještě neodešla, se zruší, takže po výmazu už zákazníkovi nic
  nepřijde. Ze všech jeho žádostí o recenzi zmizí i adresa.
* **V rozhovorech s Agentem** se e-mail, telefon a celé jméno žadatele nahradí textem „\[GDPR výmaz]“,
  a to i v názvech rozhovorů. Rozhovory samotné zůstanou, jsou to vaše pracovní poznámky. Hledá se
  přesný zápis: jméno jen jako jméno s příjmením (samotné příjmení ne) a nic kratšího než osm
  znaků. Zmínku opsanou jinými slovy, třeba „ten pán z Brna“, automat nenajde.

> **Vystavené daňové doklady zůstávají vždy** § 35 zákona o DPH je vyžaduje 10 let od konce zdaňovacího období, ve kterém se plnění uskutečnilo. Výmaz se jich nedotkne, a to včetně údajů odběratele na nich: kdyby je odstranil, porušili byste jiný zákon. Zůstanou i finanční údaje objednávek (položky, částky, DPH).

Zůstane také samotná žádost, i s e-mailem, v seznamu GDPR žádostí. Je to váš doklad, že jste ji
vyřídili.

## Vyřízení žádosti o export [#vyrizeni-zadosti-o-export]

Žádost o export dnes zákazník do fronty nezakládá, export si stáhne sám. Když ale
v **GDPR Žádosti** najdete žádost typu **Export dat**, vyřídíte ji takto:

1. Otevřete ji tlačítkem **Detail**. Nadpis zní **Žádost o export údajů**.
2. Volitelně klikněte na **Označit jako zpracovávané**.
3. Klikněte na **Dokončit a odeslat export**.
4. Potvrďte dialog **Odeslat export údajů** tlačítkem **Odeslat export**.

Zákazníkovi odejde e-mail „Váš export osobních údajů je připraven“ s tlačítkem **Stáhnout data**.
Odkaz je **platný 24 hodin**. Nic se přitom nemaže: je to právo na přístup podle článku 15.

Stáhne se jeden čitelný dokument (`export-osobnich-udaju-<datum>.html`), který se otevře v prohlížeči
a dá se vytisknout do PDF. Je celý česky, včetně popisků polí; ano a ne stojí slovem, prázdné pole
jako „neuvedeno“ a částky jsou v korunách. Stejný dokument dostane i zákazník, který si o export řekne sám na
stránce Export osobních údajů. Obsahuje všechno, co o té adrese vedete:

* **profil** (jméno, e-mail, telefon, jazyk, firma, IČO, DIČ, stav velkoobchodního účtu, stav účtu,
  odběr newsletteru, datum založení),
* **uložené adresy** a **historii objednávek** i s položkami a částkami, a u objednávky také
  **údaje pro měření reklamy**, pokud je uložila (IP adresa, prohlížeč, identifikátory Meta
  a TikToku; ukládají se jen se souhlasem s marketingovými cookies),
* **souhlasy v účtu** a zvlášť **souhlasy s cookies** z lišty v prohlížeči, ze kterého žádost přišla
  (včetně verze, IP adresy a prohlížeče),
* **recenze**, které napsal, a jeho **vrácení a reklamace**,
* **oblíbené produkty**, **přihlášení a relace** a **propojené účty** (Google, Apple),
* **zprávy z kontaktního formuláře** odeslané z téhož e-mailu,
* **zmínky v rozhovorech s Agentem**: v kolika rozhovorech se jeho e-mail, telefon nebo jméno
  objevily a kdy poprvé a naposledy,
* **doby uchování údajů** a právní základ zpracování.

Text rozhovorů s Agentem se nevydává. Jsou v něm vaše pracovní poznámky a často i údaje jiných
zákazníků, jejichž práva čl. 15 odst. 4 GDPR chrání. Dokument to zákazníkovi vysvětlí sám.

Objednávky v exportu obchodníky často překvapí. Je to tak správně: jsou to osobní údaje zákazníka
a článek 15 se na ně vztahuje.

Soubor, který si přihlášený zákazník stáhne v účtu tlačítkem **Stáhnout moje údaje**
(`moje-udaje-<datum>.json`), je strojově čitelný a užší: profil, adresy, souhlasy, oblíbené položky,
přihlášení, propojené účty a zmínky v rozhovorech s Agentem. Historii objednávek v něm nenajde.
Když se na ni ptá, pošlete ho na stránku Export osobních údajů.

## Zamítnutí [#zamitnuti]

Zamítnutí se dělá v detailu žádosti v **GDPR Žádosti**:

1. Do pole **Poznámka** napište důvod zamítnutí. U zamítnutí je povinný: s prázdným polem obchod
   žádost nezamítne a napíše „Napište důvod zamítnutí do pole Poznámka. Zákazník ho dostane
   e-mailem.“.
2. Klikněte na **Zamítnout žádost**.
3. Potvrďte dialog **Zamítnout žádost** tlačítkem **Zamítnout**.

Zákazníkovi odejde e-mail „Informace o vaší žádosti (GDPR)“ a váš text v něm stojí jako **Důvod**.
E-mail mu zároveň řekne, že může podat stížnost u Úřadu pro ochranu osobních údajů nebo se obrátit
na soud. Obojí po vás při zamítnutí chce článek 12 odst. 4 GDPR.

> **Poznámku u zamítnutí čte zákazník** Text se vloží do e-mailu zákazníkovi jako důvod. Formulujte ho tak, aby ho mohl číst adresát.

## Rychlá fronta u zákazníků [#rychla-fronta-u-zakazniku]

Čekající a rozpracované žádosti se ukazují i v panelu **GDPR žádosti** na stránce
**Zákazníci**. Panel se objeví jen tehdy, když nějaká taková žádost existuje, a jen
roli, která smí spravovat zákazníky.

U každé žádosti vidíte e-mail, typ (**Výmaz**, nebo **Export dat**), stav a datum podání. U žádosti
je pole **Důvod zamítnutí (dostane ho zákazník)** a pod ním dvě tlačítka: **Smazat údaje**
(u výmazu), respektive **Odeslat export** (u exportu), a **Zamítnout**.

Každé tlačítko se před provedením ještě jednou zeptá, stejně jako v detailu žádosti:

* **Smazat údaje** dialogem **Smazat osobní údaje?** s výčtem toho, co se smaže, a s tlačítkem
  **Smazat údaje**,
* **Odeslat export** dialogem **Odeslat export údajů?**,
* **Zamítnout** dialogem **Zamítnout žádost?**. Bez vyplněného důvodu se dialog neotevře a u žádosti
  se objeví „Napište důvod zamítnutí. Zákazník ho dostane e-mailem.“.

## Časté potíže [#caste-potize]

**Žádost jsem dokončil omylem.** Vrátit ji nelze a smazané údaje nejdou obnovit. Proto se každé
dokončení, v detailu i ve frontě u Zákazníků, ještě jednou potvrzuje dialogem.

**Zákazník žádá výmaz, ale dluží mi.** Máte-li zákonný důvod údaje ponechat, žádost zamítněte
a důvod napište do poznámky: zákazník ho dostane e-mailem. Bez důvodu zamítnout nejde.

**Vidím žádost od někoho, koho neznám.** I tak platí lhůta. Žádost mohl podat host, který u vás
nakoupil bez registrace, nebo někdo, o kom nic nevedete. Výmaz, který nic nenajde, zákazníkovi jen
potvrdí vyřízení.

**O žádosti mi nepřišel e-mail.** Zkontrolujte hlavní kontaktní e-mail
v **Nastavení → Obecné**: bez něj chodí e-mail na adresu, se kterou jste obchod
zakládali. Žádost ve frontě GDPR Žádostí najdete vždycky, i když e-mail nedorazí.

**Tlačítka hlásí „Předplatné je pozastaveno“.** Pozastavený obchod žádosti vyřizovat nemůže. Obnovte
předplatné v **Nastavení → Předplatné**. Žádost na vás počká, lhůta ale běží.

**GDPR Žádosti nevidím v menu.** Modul otevře jen manažer a vlastník. Editor ani prohlížeč se
sem nedostanou a nevidí ani panel GDPR žádostí u Zákazníků.

**Zákazník tvrdí, že mu potvrzovací odkaz nebo odkaz na export nepřišel podruhé.** Veřejné
formuláře pošlou na jednu adresu nejvýš jeden e-mail za pět minut a nejvýš pět za den, aby je nikdo
nemohl zneužít k zasypání cizí schránky. Formulář přitom odpoví stejně jako po odeslání. Ať zákazník
použije odkaz z dřívějšího e-mailu (platí 24 hodin), nebo to zkusí za pár minut.

**Zákazník píše, že odkaz na export nefunguje.** Odkaz platí 24 hodin, pak hlásí „Platnost tokenu
vypršela. Požádejte o nový export.“. Nový si zákazník vyžádá sám na stránce Export osobních údajů.