# Pokud si vytvoříte vlastní nástroj, který pracuje s platbami, kdo nese riziko spojené s dodržováním předpisů?

> Published: 2026-07-24
> Updated: 2026-07-25
> Author: Mathias Nielsen
> Category: POS
> Canonical: https://finalpos.com/cs/blog/pokud-si-vytvorite-vlastni-nastroj-ktery-se-dotyka-plateb-kdo-nese-riziko-spojene-s-dodrzovanim-predpisu

Certifikát PCI vašeho poskytovatele platebních služeb na vás nepřechází. Zde se dozvíte, kdo skutečně nese riziko spojené s dodržováním předpisů, když interně vyvinutý nástroj přichází do styku s platbami, a jaká architektura udržuje vlastní řešení mimo rozsah auditu.

Vy sami. Nikoli AI, která kód vygenerovala, nikoli váš poskytovatel hostingu a nikoli váš poskytovatel platebních služeb. V momentě, kdy nástroj, který jste vytvořili, přijde do styku s platbami, nese riziko spojené s dodržováním předpisů vaše firma – a to bez ohledu na to, kolik certifikovaných dodavatelů zapojíte. Co však můžete změnit, je velikost tohoto rizika. Rozdíl mezi dobře navrženým vlastním nástrojem a tím nedbalým je totiž obrovský.

## Proč padá riziko na vás, a ne na vaše dodavatele?

Přijímání karet funguje na základě řetězce smluv. Karetní asociace určují pravidla, vaše přijímací banka (acquirer, který pro vás zúčtovává karetní transakce) je vymáhá a vaše obchodní smlouva (merchant agreement) je přenáší na vás. Tímto souborem pravidel je [PCI DSS](https://www.pcisecuritystandards.org/standards/pci-dss), bezpečnostní standard pro odvětví platebních karet, který se vztahuje na každou firmu, jež ukládá, zpracovává nebo přenáší údaje o držitelích karet (čísla karet a doprovodné údaje). Aktuální verze je 4.0.1. (Čísla verzí a podrobnosti o programu jsou přesné k datu publikace; berte tyto specifické údaje jako momentální stav.)

Vaši dodavatelé mají povinnosti týkající se jejich vlastních systémů a certifikovaný poskytovatel platebních služeb vám výrazně usnadní práci. Avšak **nic z toho, co dodavatel dělá, na něj nepřenáší odpovědnost**. Rada pro bezpečnostní standardy PCI (PCI Security Standards Council) výslovně uvádí, že o tom, zda musíte shodu ověřovat, rozhodují karetní asociace a vaše přijímací banka. Jejich odpověď, zapsaná ve vaší obchodní smlouvě, zní ano. Každý rok někdo z vaší firmy podepisuje prohlášení o shodě (attestation of compliance) potvrzující, že vaše prostředí standard splňuje. Tento podpis je váš, nikoli vašeho dodavatele.

## Co se změní v momentě, kdy váš vlastní kód přijde do styku s údaji o kartách?

Rozsah (scope). Úsilí vynaložené na compliance se odvíjí od rozsahu: každý systém, který přichází do styku s údaji o držitelích karet, a vše, co je k němu připojeno, spadá pod tento standard.

Obchodník, jehož platby plně zpracovává certifikovaný poskytovatel a jeho certifikovaná zařízení, ověřuje shodu pomocí krátkého dotazníku pro sebehodnocení (roční kontrolní seznam) s několika desítkami otázek. Obchodník, jehož vlastní software zpracovává čísla karet, spadá do té nejpřísnější kategorie, která kopíruje většinu plného standardu: jde o více než dvě stě požadavků zahrnujících čtvrtletní skenování zranitelností, penetrační testování, řízení přístupu, protokolování (logging) a formální bezpečnostní směrnice[¹](https://www.pcisecuritystandards.org/document_library/).

Ten platební formulář, který pro vás AI napsala za jedno odpoledne? Pokud přijímá čísla karet, váš webový server, vaše databáze, váš administrátorský notebook i vaše firemní Wi-Fi mohou spadat do rozsahu auditu. A nemůžete jen tak potají vyplnit ten krátký dotazník. Výběr kategorie, pro kterou nesplňujete podmínky, vaše riziko nesníží; znamená to pouze, že vámi podepsaný dokument je nepravdivý, což obvykle vyjde najevo v ten nejhorší možný moment – hned po úniku dat.

![Obchodník procházející tlustý stoh auditních dokumentů, zátěž spojená se sebehodnocením, která doprovází riziko compliance u plateb](https://hy9joxwes0n0bta4.public.blob.vercel-storage.com/media/43399b6a-0d29-48b6-84dd-88ef01fcb193/generated/68cf8d70ebe2c939-pci-self-assessment-paperwork.png)

## Kolik vás chyby mohou skutečně stát?

Vymáhání je smluvní, takže se obvykle objeví na vašem výpisu poplatků za zpracování plateb. Mnoho zpracovatelů účtuje opakovaný poplatek za nedodržení předpisů (non-compliance fee) každý měsíc, dokud shodu neprokážete. Po úniku dat se náklady začnou hromadit: povinné forenzní vyšetřování, které platíte vy, náklady na znovuvydání karet a stupňující se pokuty přenesené přes vaši přijímací banku, které se běžně pohybují v rozmezí od 5 000 do 100 000 USD měsíčně (na základě sazebníků pokut zveřejněných auditory PCI compliance). V závažných případech může firma o možnost přijímat karty přijít úplně.

Pro malého obchodníka je největší náklad méně nápadný než jakákoli pokuta: provozování skutečného bezpečnostního programu vyžaduje čas, který jste plánovali věnovat samotnému podnikání.

## Jak stavět vlastní nástroje, aniž byste museli řešit rozsah pro karetní data?

Udržujte svůj kód mimo cestu, kterou putují data o kartě. Váš vlastní nástroj by měl prodej pouze organizovat: sestavit košík, uplatnit slevy, sečíst objednávku a odeslat částku k zaúčtování. Samotná karta by měla přijít do styku pouze s certifikovaným terminálem (platebním hardwarem schváleným pro zpracování karet) nebo s hostovanou platební stránkou vašeho poskytovatele. Obě tyto možnosti předávají data přímo zpracovateli plateb (společnosti, která převádí peníze). Váš nástroj obdrží zpět výsledek (schváleno, nebo zamítnuto) a token (referenční číslo, které je pro případného zloděje bezcenné).

Toto rozdělení je hlavním argumentem pro [headless POS architekturu](/blog/headless-pos-architecture-custom-frontends): vlastní obrazovky nahoře, certifikovaná platební infrastruktura vespod. To je také důvod, proč [AI generované pokladny](/blog/gemini-3-6-flash-no-code-pos) vypadají skvěle v demoverzi, ale selhávají v produkci, a proč je webový formulář špatnou odpovědí pro [debetní karty v přítomnosti držitele, jako je Interac](/blog/interac-debit-problem-web-app-checkouts): osobní platby patří na certifikovaný hardware, a to jak technicky, tak smluvně.

![Zákazník přikládající kartu k certifikovanému platebnímu terminálu, který je oddělený od vlastního pokladního tabletu obchodu](https://hy9joxwes0n0bta4.public.blob.vercel-storage.com/media/43399b6a-0d29-48b6-84dd-88ef01fcb193/generated/bccb5e0d11f6cdb1-certified-terminal-separate-checkout.jpg)

Final je postaven přesně na této hranici. Procesy (flows), které vytvoříte – ať už je zadáte sami, nebo [připojíte vlastní AI přes MCP](https://finalpos.com/help/connect-your-own-ai-mcp) –, ovládají obrazovky, košíky a katalogy. Údaje o kartách jdou z certifikovaného terminálového hardwaru do zpracovatele plateb přes Final Pay a nikdy nevstupují do procesu, který jste vytvořili. Vlastní řešení tam, kde je to bezpečné, standardizované tam, kde leží odpovědnost.

## Kdo tedy nese riziko spojené s dodržováním předpisů?

Vy sami, a vždycky to tak bude. Skutečným rozhodnutím je, jak velký rozsah (scope) na sebe vezmete, a to je otázka architektury, nikoli papírování. Než spustíte nástroj, který přichází do styku s platbami, položte si jednu otázku: **může můj kód někdy vidět číslo karty?** Pokud ano, musíte bezpečnostní program řídit vy sami. Pokud ne, zachováte si flexibilitu vlastního řešení se zlomkem starostí. Pokud o takovém řešení právě uvažujete, začněte článkem o [známkách toho, že jste přerostli své krabicové POS](/blog/signs-outgrown-off-the-shelf-pos).

## FAQ

**Q: Zajistí mi využívání poskytovatele plateb s certifikací PCI shodu s předpisy pro mé vlastní podnikání?**
A: Ne. Certifikovaný poskytovatel sice snižuje množství práce, kterou musíte odvést, ale vaše firma musí shodu s předpisy (compliance) každoročně prokazovat sama na základě smlouvy o přijímání karet. Odpovědnost na dodavatele nikdy nepřechází.

**Q: Jaký je rozdíl mezi dotazníky SAQ A a SAQ D?**
A: Oba jsou to dotazníky pro sebehodnocení (self-assessment questionnaires) v rámci standardu PCI DSS. Ty nejjednodušší úrovně se uplatňují v případě, že jsou platby plně outsourcovány certifikovanému poskytovateli a certifikovanému hardwaru. SAQ D se pak vztahuje na situace, kdy vaše vlastní systémy zpracovávají údaje o držitelích karet, a kopíruje většinu požadavků plného standardu, včetně skenů, testování a formálních směrnic.

**Q: Mění kód generovaný AI moje povinnosti ohledně PCI?**
A: Ne. Standard řeší, které systémy přicházejí do styku s údaji o držitelích karet, nikoli to, kdo nebo co kód napsalo. Pokladna generovaná AI, která přijímá čísla karet, staví vaše systémy plně do rozsahu shody, přesně tak, jako by šlo o ručně psaný kód.

**Q: Mohou být malé podniky skutečně penalizovány za nedodržení standardu PCI?**
A: Ano, i když obvykle spíše v podobě měsíčního poplatku za nedodržení shody od vašeho zpracovatele plateb než jako medializovaná pokuta. Velké sankce obvykle následují až po úniku dat, společně s náklady na forenzní vyšetřování a opětovné vydání karet.

**Q: Co je to tokenizace?**
A: Nahrazení čísla karty referenčním tokenem, který je mimo platební systém, jenž ho vydal, nepoužitelný. Vaše nástroje mohou tento token ukládat a používat pro vrácení peněz nebo opakované účtování, aniž byste kdy museli uchovávat skutečné údaje o kartě.