Soukromí a bezpečnost (technicky)

Tahle stránka popisuje technickou stránku. Právní text najdeš v Zásadách ochrany soukromí.

Kudy tečou data

• Pošta a kalendář jdou přímo mezi tvým zařízením a poskytovatelem (Gmail, Google Kalendář, tvůj IMAP/SMTP server). Náš server je nevidí.
• Synchronizace mezi zařízeními jde přes náš synchronizační server, ale zašifrovaná end-to-end (viz níže).
• AI běží buď v zařízení, nebo jde přímo k poskytovateli, kterého si vybereš a odsouhlasíš (viz AI).
• Agenti (MCP) se připojují jen lokálně na tvém počítači (viz Agenti a MCP).

Kromě toho se aplikace sama připojuje jen k několika službám: k databázi nastavení pošty Thunderbirdu při hledání nastavení schránky (posílá se jen doména), k Hugging Face při stažení lokálního AI modelu a k jsDelivr při stažení slovníků pro kontrolu pravopisu.

Co je uložené kde

Co	Kde
Pošta, události, úkoly, nastavení	lokální databáze (SQLite) ve složce dat aplikace, na Macu a iPhonu šifrovaná (SQLCipher s klíčem v klíčence systému)
Hesla ke schránkám, tokeny, API klíče pro AI	klíčenka systému (na Macu a iPhonu Keychain)
Synchronizační klíč	klíčenka systému; na serveru jen jeho zašifrovaná záloha
Zašifrované změny a přílohy úkolů	synchronizační server
Webová verze	data webového účtu (včetně stažené pošty) jsou na našem serveru, každý účet ve vlastní databázi

Šifrování synchronizace

• Každá dávka změn se v zařízení zašifruje algoritmem XChaCha20-Poly1305 s náhodnou hodnotou (nonce) pro každou dávku.
• Synchronizační klíč vznikne v zařízení a v čitelné podobě ho nikdy neopustí.
• Aby se nové zařízení dostalo ke klíči, server drží jeho zálohu zašifrovanou klíčem odvozeným z tvého hesla (Argon2id, počítá se jen v zařízení) a druhou zálohu zašifrovanou obnovovacím kódem.
• Heslo na server nikdy neodchází. Zařízení z něj odvodí přihlašovací tajemství (PBKDF2-HMAC-SHA256, 600 000 iterací, a HKDF) a server ho uloží ještě jednou zahashované (Argon2id).
• Přihlašovací údaje ke schránkám se mezi tvými zařízeními synchronizují jen uvnitř téhle zašifrované vrstvy.

Co vidí synchronizační server

Server vidí a ukládá: e-mail tvého účtu, hash přihlašovacího tajemství, seznam zařízení, plán a pozvánky, zašifrované dávky změn, zašifrovanou zálohu klíče a zašifrované přílohy úkolů (každá nejvýš 25 MB; větší zůstanou jen v zařízení). U každého iPhonu navíc drží adresu pro upozornění od Applu (APNs token), aby mohl poslat tichý signál „něco je nového“ bez jakéhokoli obsahu (viz Synchronizace). Token se smaže při odhlášení, odebrání zařízení nebo smazání účtu.

Server nevidí obsah úkolů, nastavení ani přihlašovací údaje (jsou zašifrované). V desktopové a iPhone aplikaci nedostává ani tvoji poštu, události ani obsah pro AI. Výjimky: webová verze (zatím nedostupná), kde jsou stažená data účtu uložena na našem serveru, a funkce, které sám(sama) zapneš: e-mailová oznámení, zpětná vazba z aplikace a uložení hesla k poště či API klíče na serveru Letos (výslovný souhlas).

Přihlášení k účtu

Účet chrání heslo. Navíc můžeš zapnout dvoufázové ověření a přístupové klíče, obojí v Nastavení → Účet Letos na počítači i na iPhonu. Opakované neúspěšné pokusy server zpomalí a dočasně zablokuje.

Oba druhé kroky chrání přihlášení k účtu, ne šifrování dat: data se dál odvozují jen z hesla (a kódu pro obnovu), takže při zapomenutém hesle i kódu pro obnovu je nikdo neobnoví.

Dvoufázové ověření

• Zapnutí: Zapnout dvoufázové ověření a zadej heslo k účtu. Naskenuj QR kód v aplikaci s autentikátorem (když to nejde, Zkopírovat klíč a vlož ho ručně), zadej Kód z aplikace a potvrď Zapnout.
• Záložní kódy: Letos ukáže Záložní kódy. Každý jde použít jen jednou a ukážou se jen teď, tak si je ulož (Kopírovat nebo Uložit do souboru) a potvrď Záložní kódy mám uložené. Nové vytvoříš tlačítkem Vygenerovat nové záložní kódy, staré pak přestanou platit.
• Přihlášení: na novém zařízení potřebuješ kód z aplikace s autentikátorem, nebo jeden ze záložních kódů.
• Vypnutí: Vypnout dvoufázové ověření, znovu po zadání hesla. Účet je pak chráněný jen heslem.

Přístupové klíče

• Přidání: Přidat přístupový klíč. Přidání proběhne v prohlížeči: otevře se stránka Letos, kde klíč pojmenuješ a potvrdíš otiskem prstu, obličejem nebo PINem.
• Přihlášení: přístupový klíč se použije místo opisování kódu. Přístupový klíč a kód z aplikace jsou rovnocenné: u druhého kroku stačí jedno z nich.
• Doména: klíče jsou vázané na doménu synchronizačního serveru, Letos ji ukáže u seznamu klíčů.
• Správa: u každého klíče uvidíš, kdy byl naposledy použit, a můžeš ho Odebrat. Poslední přístupový klíč jde odebrat, až když máš zapnuté dvoufázové ověření kódem.

Logy

• Aplikace zapisuje technický log letos.log do systémové složky logů. Otevřeš ji v Nastavení → Diagnostika → Otevřít složku s logy. Log se při startu zkrátí, když přesáhne 2 MB.
• Před zápisem se z logu odstraňují citlivé údaje: hesla, tokeny a hlavičky Authorization, cesty a parametry z URL adres (zůstane jen doména), domovská složka v cestách a názvy souborů (zůstane jen přípona).
• Log může obsahovat e-mailové adresy a předměty zpráv. Nikam se sám neodesílá.
• Aplikace nemá telemetrii ani automatické hlášení pádů.

Smazání dat

• Odhlášení na počítači a iPhonu smaže z daného zařízení úkoly, poštu, kalendáře, přílohy, připojené účty a jejich hesla, API klíče pro AI i log aplikace. Ponechá vzhled a rozložení. Na serveru ani u poskytovatele pošty se nic nemaže.
• Smazání účtu smaže na serveru účet, zařízení, zašifrovaná data a přílohy, odhlásí zařízení a smaže z něj i lokální data.
• Mazání v zařízení je odolné proti pádu: když se přeruší, dokončí se při dalším spuštění.

Podrobně v Synchronizace a zařízení.

Souhlas s odesíláním (Nastavení → Soukromí)

Kdykoli by data poprvé odešla mimo zařízení ke třetí straně, Letos se zeptá jedním společným dialogem: kam (služba a adresa), co přesně se odešle, proč, a že data opustí zařízení. Povolit / Odmítnout; zavření (Esc) není rozhodnutí. Odmítnutí platí trvale a znovu se neptá.

Týká se to AI poskytovatelů (Claude, OpenAI, vlastní endpoint, Claude CLI, Codex CLI), místních agentů (MCP), upozornění e-mailem, log odesílatelů a ve webové verzi uložení API klíče nebo hesla k poště na serveru Letos. Loga odesílatelů se ptají nenápadným pruhem, ne dialogem; dokud nepovolíš, ukazují se iniciály.

Nastavení → Soukromí (na iPhonu v Nastavení dole) ukazuje všechna místa, kudy mohou data odejít, ve třech skupinách — obsah třetí straně, síťové požadavky, server Letos — se stavem Povoleno / Zakázáno / Nerozhodnuto / Čeká na rozhodnutí. Povolení vždy otevře souhlas; odvolání platí hned (AI: volitelně i se smazáním API klíče; upozornění e-mailem: zruší se naplánované e-maily; agenti: server se zastaví).

Rozhodnutí o AI přes API, upozorněních e-mailem a logech odesílatelů se end-to-end šifrovaně synchronizuje na tvoje další zařízení; souhlas s agenty a CLI platí jen pro dané zařízení.

U zjištění nastavení pošty (databáze Mozilla ISPDB), stahování modelů a slovníků a kontroly aktualizací se neptá — u funkce je jen krátká poznámka, kam požadavek jde. Obrázky v e-mailech jsou dál blokované, dokud je nenačteš.

Agenti (MCP)

Lokální MCP server poslouchá jen na 127.0.0.1, běží až po tvém souhlasu, každý agent má vlastní token s oprávněním, odmítá požadavky z prohlížeče a každé volání zapisuje do záznamu aktivity. Více v Agenti a MCP.