# Kde jsou uložené údaje

Co draften ukládá, kde to leží a kdo to vidí.

## V databázi draftenu

| Co | Poznámka |
|---|---|
| organizace, lidé, role, přístupy | e-maily a jména členů |
| schránky a asistenti | adresy, nastavení, pokyny i se všemi verzemi |
| zdroje znalostí a přílohy | nahrané dokumenty včetně vytěženého textu, soubory příloh |
| zprávy | odesílatel, předmět, čas, jak je asistent roztřídil a proč, nalezené skryté texty |
| koncepty | text konceptu, verze po přepracování, rozdíl proti odeslané verzi, hodnocení |
| učení | poučení a opravy znalostí s ukázkami „před a po“ |
| zkušební sada | uložené zprávy i s textem a vláknem |
| průvodce novým asistentem | u každého běhu rozbor vybraných vláken (téma, druh, tón, doslovné citace z vašich odpovědí — pozdrav, rozloučení, omluva — a fakta, která v nich uvádíte, jako ceny, lhůty a kontakty), anonymizovaný popis vašeho stylu psaní, až deset vašich odpovědí se zkráceným dotazem (adresy maskované) a texty zkoušky: výňatek dotazu, vaše odpověď, koncept a hodnocení |
| záznamy | kontroly pošty, události, požadavky, historie změn |

Databáze tedy obsahuje i jména a obsah pošty zákazníků. U služby draften ji
spravuje provozovatel; u instalace na vlastním serveru je u vás a na
síti je dostupná jen uvnitř instalace.

## Co je šifrované

Tajemství jsou v databázi zašifrovaná (AES-256-GCM) klíčem `MASTER_KEY`,
který v databázi není:

- API klíče k modelům,
- přístupy ke schránkám (secrety registrací, klíče servisních účtů, tokeny
  připojených účtů, hesla IMAP),
- přístupové údaje k napojeným systémům (CRM),
- klienti pro přihlášení přes Microsoft a Google,
- heslo nebo API klíč odesílatele pošty.

Tajemství se v rozhraní po uložení už nikdy nezobrazí a nejsou ani v historii
změn. Hesla uživatelů se ukládají jen jako otisk (argon2id).

Na vlastní instalaci jde `MASTER_KEY` vyměnit bez výpadku; všechno uložené se
pak znovu zašifruje novým klíčem — viz [Zálohy a obnova](/cs/admin/backup-and-restore).

## Co se neukládá

- **Celé příchozí zprávy** se neukládají nikde — u zpráv je jen odesílatel,
  předmět a to, jak je asistent roztřídil, a průvodce si z vybraných vláken
  ukládá jen výňatky a vaše odpovědi popsané v tabulce výše; i ty se po době
  uchování dat smažou.
- **Data z napojených systémů** se neukládají — asistent je čte při psaní
  konceptu; v záznamech je jen název nástroje, ne koho se ptal.
- Odeslaná pošta se neukládá celá, jen text odeslané odpovědi kvůli porovnání
  s konceptem.

## Co odchází ven

K **poskytovateli jazykového modelu** (výchozí Anthropic) jde při třídění
a psaní obsah zprávy, vlákna, pokyny, zdroje znalostí a data z napojených
systémů. U OpenAI se posílá `store: false`, přesto si u citlivých dat ověřte
podmínky uchování u poskytovatele. S **lokálním modelem** na vlastním serveru
pošta server neopustí.

Nic dalšího draften nikam neposílá; e-maily odcházejí jen jako pozvánky
a oznámení přes nastaveného [odesílatele pošty](/cs/admin/outgoing-mail).

## Jak dlouho se údaje drží

Provozovatel nastavuje **dobu uchování dat** (Správa instalace → Instalace,
karta **Uchování dat**): výchozích 90 dní, 30 až 3 650 dní, nebo „Nemazat
nikdy“. Jednou denně se pak ve všech organizacích smaže, co je starší:

- zprávy (odesílatel, předmět, hlavičky),
- koncepty i s prvním textem, odeslanou odpovědí a rozdílem proti ní
  a jejich přepracování pokynem,
- záznamy o kontrolách pošty (kromě posledního úspěšného běhu asistenta),
  denní logy workera a text konceptu ve starých chybových událostech,
- z průvodce doslovné texty: vaše odpovědi pro psaní pokynů, texty zkoušky
  a citace a fakta z rozboru vláken.

Zůstává:

- poučení a opravy znalostí celé, i s ukázkami „před a po“,
- pokyny, zjištění a návrhy průvodce a popis vašeho stylu psaní,
- zkušební sada s výsledky, dokud ji nesmažete,
- události a úlohy (u přepracování pokyn, ne text konceptu) a náklady.

Hodnocení konceptů mizí s koncepty, takže přehledy nabízejí jen období, která
data ještě pokrývají. Zkrácení doby se potvrzuje, protože starší data se při
příštím úklidu nevratně smažou. Výpisy databáze ve složce `backups/` vlastní
instalace doba uchování nemění.

Po aktualizaci, která uchování dat přinese, proběhne první mazání až za 24 hodin:
provozovatel má den na to, aby dobu nastavil (nebo zvolil „Nemazat nikdy“), než
se cokoli smaže.

## Kdo co vidí

- Člen organizace vidí jen schránky, ke kterým má přístup.
- Provozovatel (superadmin) do obsahu organizací nevidí — zná jen jejich název,
  vazby, vlastníky a velikost.
- Záznam změn (kdo co změnil) čtou vlastník a správci organizace.

## Smazání

Organizaci maže provozovatel, a jen pozastavenou: zmizí se vším, co v ní je
(schránky, asistenti, zprávy, koncepty, klíče, nastavení, historie změn).
Uživatelské účty zůstávají.