Smlouva o správě webu 2026 — vzor pro web agentury

Webové agentury obvykle nezačínají správou. Začínají vývojem — klient přijde, chce nový web, agentura ho vytvoří, předá a posune se k dalšímu projektu. Jenže web bez údržby je za půl roku bezpečnostní díra a za rok offline. Klient se ozve, agentura zareaguje a ze dne na den vzniká provozní vztah, který nikdo smluvně neošetřil.

Smlouva o správě webu (anglicky web maintenance agreement nebo service-level agreement) je dokument, který tento šedý prostor promění v předvídatelnou službu. Pro klienta znamená jistotu, že o jeho web se někdo stará. Pro agenturu znamená opakovatelný měsíční příjem, jasně definovaný rozsah a ochranu před požadavky stylu „a ještě nám pošli ten ceník do hodiny, protože tiskneme letáky“.

V tomto článku rozebereme, jak takovou smlouvu poskládat v roce 2026. Projdeme rozsah služeb, ceny v třech úrovních, SLA, vlastnictví domény i hostingu, povinnosti podle GDPR, bezpečnostní záplaty, zálohování a předání při ukončení spolupráce. Ke každé části najdeš konkrétní formulace, které můžeš použít.

Co je smlouva o správě webu

Smlouva o správě webu je v českém právu typicky inominátní smlouva podle § 1746 občanského zákoníku (zákon č. 89/2012 Sb.). Inominátní znamená, že zákon ji výslovně nepojmenovává — strany si obsah dohodnou v rámci principu smluvní svobody. V praxi se nejčastěji opírá o dva právní instituty:

• Příkazní (mandátní) smlouva podle § 2430 a násl. NOZ — agentura jedná jménem klienta při běžné správě (objednává obnovu domény, komunikuje s hostingem, řeší výpadek u poskytovatele). Je to obstaravatelská činnost.
• Smlouva o dílo podle § 2586 NOZ— když součástí správy je i tvorba nového obsahu, modulů nebo redesign. Tato část má hmotně-právní výstup, který se přejímá.

V realitě jde o hybrid: měsíční retainer pokrývá běžnou údržbu (mandátní), nadrámcové práce se účtují jako dílo (smlouva o dílo). Smlouva musí oba režimy odlišit, jinak vzniká spor, zda je nový bannerový slider „součástí správy“ nebo placená zakázka navíc.

Rozsah služeb — 9 položek, které musí být

Největší zdroj sporů ve správě webu je rozsah. Klient si představí cokoli, co se týká webu. Agentura má v hlavě konkrétní seznam. Když se to nepotká, končí to dobropisem nebo ztrátou klienta. Smlouva proto musí vyjmenovat jednotlivé činnosti a u každé jasně říct, co je a není zahrnuto v měsíčním paušálu.

1. Hosting a doména

Hosting znamená serverový prostor, kde web fyzicky běží. Doménu si lze představit jako adresu — registrovaná u CZ.NIC nebo zahraničního registrátora. Smlouva musí říct, kdo platí a komu, kdo má přístupy a kdo nese odpovědnost za výpadek na straně poskytovatele.

• Hosting: agentura zajišťuje, klient platí přefakturací nebo přímo (modely se liší — k tomu se dostaneme).
• Doména: registrována na klienta, agentura má technický kontakt.
• DNS: agentura spravuje (záznamy A, MX, TXT).
• SSL certifikát: zahrnut, automatická obnova.

2. Údržba CMS

WordPress, Drupal, Shopify, Joomla nebo headless CMS — všechny vydávají pravidelně bezpečnostní a funkční aktualizace. Údržba znamená, že někdo tyto aktualizace nasazuje, testuje a opravuje, když po update přestane fungovat plugin třetí strany.

• WordPress core: aktualizace každý měsíc (minor i major).
• Pluginy: kontinuální update, kritické záplaty do 48 h.
• Téma: aktualizace dle vydávání autorem.
• Testovací prostředí: staging před produkčním deploy.

3. Bezpečnostní záplaty

Bezpečnostní záplata (security patch) je oprava známé zranitelnosti — typicky publikovaná v CVE databázi. Agentura ji musí nasadit dřív, než ji zneužije útočník. Smlouva by měla mít garantovaný čas nasazení od zveřejnění (např. 72 h pro kritickou závažnost CVSS 9+).

4. Záloha dat

Záloha (backup) musí být automatická, externí (mimo hlavní server) a ověřená — pravidelný test obnovení. Smlouva definuje:

• Frekvence: denní inkrementální + týdenní full backup.
• Retention: minimálně 30 dnů, doporučeno 90 dnů.
• Lokace: jiný datacentr než hlavní hosting (S3, Backblaze, vlastní offsite).
• Restore SLA: garantovaný čas obnovy (např. plný restore do 4 h).

5. SSL certifikát + obnova

Letsencrypt certifikát se obnovuje automaticky každých 90 dnů. Komerční certifikát (např. EV pro e-shop) jednou ročně. Agentura hlídá expirace a obnovu, klient o tom nemusí vědět. SSL výpadek = web vidí prohlížeč jako nezabezpečený = klient ztrácí konverze.

6. Monitoring dostupnosti

Externí služba (UptimeRobot, Better Uptime, Pingdom) každou minutu kontroluje, zda web odpovídá. Při výpadku okamžitě upozornění — typicky přes Slack, e-mail nebo SMS. Smlouva uvádí:

• Kontrolní interval (1 min, 5 min).
• Notifikační kanál (e-mail, SMS, push).
• Eskalační procedura (kdo zasahuje po hodinách).

7. Reporting

Měsíční report posílaný klientovi obsahuje data z Google Analytics, Search Console a monitorovacích nástrojů. Standardní obsah:

• Návštěvnost (sessions, unique users, trend M/M).
• Top stránky a zdroje provozu.
• Uptime za měsíc (% dostupnosti).
• Provedené záplaty a aktualizace.
• Doporučení pro další měsíc.

8. Obsahová úprava

Klient pravidelně potřebuje měnit texty, fotky, ceníky, otevírací dobu. Tady se nejvíce skrývá scope creep. Smlouva musí říct, kolik hodin obsahové úpravy je v paušálu zahrnuto a kolik stojí hodina navíc.

Příklad ve smlouvě:

• V paušálu zahrnuto: 2 hodiny obsahových úprav měsíčně (textová změna, výměna fotky, úprava ceníku).
• Nadlimitní práce: 1 200 Kč/h, fakturace po 15 minutových blocích.
• Nezahrnuje: tvorba nového obsahu (články, copywriting), grafické úpravy fotek, nové funkce.

9. SEO podpora

Základní technické SEO (sitemap, schema markup, page speed, meta tagy nových stránek) může být součástí správy. Aktivní link-building, contentová strategie nebo audit klíčových slov už ne — to je samostatná služba.

Cena 2026 — tři standardní úrovně

Trh správy webu v Česku se v roce 2026 ustálil na třech cenových úrovních. Konkrétní částka záleží na regionu, segmentu klienta a komplexitě webu, ale následující rozpětí pokrývá většinu reálných nabídek.

SLA pro web — uptime a response time

Service Level Agreement (SLA) je závazek úrovně služby. U webu se měří dvěma hlavními metrikami: uptime (procento času, kdy je web dostupný) a response time (jak rychle agentura reaguje na hlášený problém).

Uptime — kolik procent reálně garantovat

Uptime 100 % je marketing, ne SLA. Reálné cíle:

• 99,5 %— dovoluje 3,6 h výpadku měsíčně. Standard pro běžné firemní weby.
• 99,9 %— 43 minut výpadku měsíčně. Pro e-shopy a weby s konverzí.
• 99,99 %— 4,3 minuty měsíčně. Vyžaduje redundantní infrastrukturu, vyplatí se jen velkým klientům.

Důležité: měřený čas se počítá bezplánovaného maintenance window. Smlouva by měla mít definované okno (typicky neděle 2:00–4:00) pro nasazování aktualizací.

Response time podle priority

Klient hlásí problém. Smlouva říká, jak rychle agentura odpoví (acknowledge) a jak rychle problém vyřeší (resolve). Standard je rozdělit incidenty podle závažnosti:

Vlastnictví — doména, hosting, kód

Otázka „čí je to“ je při ukončení spolupráce největším bojištěm. Smlouva musí jednoznačně určit, kdo vlastní jednotlivé komponenty webu — protože v hektické fázi rozchodu nikdo nestihne otevřít právníka.

Doména = klient (vždy)

Doménové jméno musí být registrováno na klienta jako držitele(registrant) u CZ.NIC nebo jiného registrátora. Agentura může být uvedena jako technický kontakt, ne držitel. Pokud agentura registruje doménu na sebe, klient ztrácí páku — agentura ji může v případě sporu odmítnout vydat.

Hosting — dva modely

Tady existují dvě praxe a každá má své pro a proti:

• Klient má vlastní účet u hostingu (Wedos, Forpsi, Active24). Agentura má přístupové údaje. Plus: při ukončení žádný spor o migraci. Minus: každý hosting má jinou administraci, agentura ztrácí standardizaci.
• Agentura má reselling účeta klient platí přefakturací. Plus: agentura zná infrastrukturu, jednoduchá správa. Minus: při ukončení musí agentura provést migraci a klient je technicky vázán.

Doporučená praxe: reselling pro běžné weby, vlastní účet klienta pro e-shopy a weby nad 10 000 Kč/měs hostingu.

Kód a CMS instalace

WordPress core, pluginy s GPL licencí a veřejné téma patří komukoli, kdo má kopii. Smlouva to nemusí řešit. Co řešit musí:

• Custom moduly a vlastní kód agentury— patří agentuře, klient má nevýhradní licenci k dalšímu užívání. Pokud klient zaplatí extra (typicky 30 000 až 150 000 Kč), může získat exkluzivní licenci nebo převod autorských práv.
• Komerční licence pluginů a témat (např. WPML, Elementor Pro) — agentura má licenci, při ukončení klient si musí pořídit vlastní. Smlouva by to měla říct předem.
• Obsah(texty, fotky, video) — patří klientovi, i když je vytvořila agentura (pokud nebyla samostatně ujednána licence).

GDPR, cookies a DPA

Pokud web sbírá osobní údaje návštěvníků (formulář, registrace, e-shop, analytics), agentura se v rámci správy stává zpracovatelemosobních údajů podle čl. 28 GDPR (nařízení EU 2016/679). Klient je správce, agentura zpracovatel. Mezi nimi musí být uzavřena smlouva o zpracování osobních údajů (DPA)— typicky jako dodatek smlouvy o správě.

Co musí obsahovat DPA

• Předmět a doba zpracování.
• Povaha a účel zpracování (správa webu).
• Kategorie osobních údajů (jména, e-maily, IP, cookies).
• Kategorie subjektů údajů (návštěvníci, zákazníci, registrovaní).
• Povinnosti zpracovatele (důvěrnost, technická bezpečnost, oznamování incidentů).
• Subzpracovatelé (hosting, CDN, e-mail služby) — seznam.
• Audit a součinnost při kontrole.

Cookies banner — povinný

Cookies banner je povinný podle GDPR i ePrivacy směrnice (zákon č. 127/2005 Sb. po novele 2022). Klient musí návštěvníkovi dát volbu — souhlas vyžadují všechny non-essential cookies (analytika, marketing, retargeting). Agentura zajišťuje technickou implementaci (Cookiebot, OneTrust, vlastní řešení) a klient dodává texty Zásad zpracování.

Hromadné e-maily a reklama

Pokud klient přes web posílá newsletter nebo reklamní e-maily, platí zákon o regulaci reklamy č. 40/1995 Sb. a § 7 zákona č. 480/2004 Sb. (o některých službách informační společnosti). Pro reklamní sdělení je nutný aktivní souhlas příjemce (opt-in), pro existující zákazníky lze využít oprávněný zájems možností opt-out v každém e-mailu. Agentura by měla v DPA upozornit, kdo nese odpovědnost — typicky klient jako odesílatel.

Bezpečnost a záplaty — proces

Bezpečnost není jednorázová instalace, ale proces. Smlouva by měla popsat, jak agentura k bezpečnosti přistupuje:

• Pravidelné audity — kvartální kontrola pluginů, uživatelských účtů, hesel, SSL.
• WAF (Web Application Firewall)— Cloudflare, Sucuri nebo Wordfence, v závislosti na tieru.
• Brute-force ochrana přihlašovacího formuláře (limit pokusů, 2FA pro admina).
• Malware skener — pravidelné skenování.
• Incident response plán — co se stane, když web spadne nebo bude napaden (kdo informuje, kdy obnovit ze zálohy, kdy hlásit ÚOOÚ).

Backup a restore SLA

Vrátíme se k zálohám podrobněji, protože tady se nejvíc ošulí levné nabídky. „Záloha denně“ zní hezky, ale pokud agentura neumí obnovit nebo to trvá týden, je to bezcenné. Smlouva by měla pokrýt:

• RPO (Recovery Point Objective)— maximální ztráta dat. Pokud je RPO 24 h, klient přijde maximálně o jeden den objednávek.
• RTO (Recovery Time Objective)— jak rychle je obnoveno. Typicky 4 h pro kritický incident.
• Periodický test obnovy— kvartálně agentura obnoví na staging a ověří integritu dat. Klient dostane certifikát.
• Offsite zálohování— minimálně jedna kopie v jiném regionu/poskytovateli (3-2-1 pravidlo: 3 kopie, 2 média, 1 offsite).

Ukončení spolupráce a předání

Konec spolupráce je moment, kdy se ukáže, jak je smlouva napsaná. Klient typicky odchází ke konkurenci a ta tlačí na rychlý převod. Agentura má zájem na hladkém předání (reference, portfolio, příští doporučení), ale taky na vyplacení posledních faktur. Smlouva by měla obojí ošetřit.

Výpovědní doba

Standardně 3 měsíce, počítáno od prvního dne následujícího měsíce po doručení výpovědi. Důvod: agentura má čas zajistit migraci, klient má čas najít nového dodavatele. Kratší výpovědní doba (1 měsíc) je možná, ale obvykle za cenu vyšší ceny paušálu nebo paušální fee za rychlé předání.

Co konkrétně předat

• Doménu — pokud byla na agentuře jako technický kontakt, předat klientovi (klient si změní kontakt).
• Hostingové přístupy — root účet, FTP, SSH, cPanel. Nebo migrace na nový hosting.
• Administrátorské účty CMS — vytvořit klientovi super-admin, zrušit účty agentury po předání.
• DNS záznamy— exportovat a předat (zone file).
• SSL certifikáty— pokud komerční, předat licenci nebo informace o obnově.
• Zálohy— poslední plný backup webu i databáze.
• Dokumentaci — seznam pluginů, verzí, custom úprav, externích integrací (analytics, CRM, e-mail).
• Hesla a klíče— k externím službám (API klíče, SMTP, platební bránu).

Vzor smlouvy — kostra

Tady je zkrácená kostra smlouvy o správě webu. Plnou verzi si můžeš sestavit z vlastní šablony — popsané klauzule jsou nutné, formulace přizpůsob své praxi.

1. Smluvní strany— identifikace agentury (IČO, DIČ, sídlo, jednatel) a klienta.
2. Předmět smlouvy — odkaz na § 1746 NOZ, stručný popis služby.
3. Rozsah služeb— odkaz na přílohu č. 1 (SoW), kde je detailní výčet (našich 9 položek).
4. Cena a platební podmínky— měsíční paušál, splatnost 14 dní, indexace o ČNB inflaci jednou ročně.
5. SLA— odkaz na přílohu č. 2 (uptime, response time, sankce).
6. Práva a povinnosti stran — agentura provádí, klient poskytuje součinnost.
7. Vlastnictví a licence — doména, hosting, kód, obsah.
8. Zpracování osobních údajů— odkaz na přílohu č. 3 (DPA).
9. Důvěrnost— vzájemné NDA, doba trvání 5 let po ukončení.
10. Odpovědnost a náhrada škody— omezení do výše ročního paušálu, výjimky pro úmysl a hrubou nedbalost.
11. Trvání a ukončení — výpovědní doba, okamžité ukončení při podstatném porušení.
12. Předání — povinnost součinnosti při ukončení, sazebník nadrámcových služeb.
13. Závěrečná ustanovení — rozhodné právo, rozhodčí doložka nebo soud, vyšší moc.
14. Přílohy — SoW, SLA, DPA, sazebník nadrámce.

Časté chyby, které vedou k problémům

1. Doména registrovaná na agenturu

Klasická chyba začínajících agentur. Agentura si registruje doménu pro klienta na sebe, „pro zjednodušení administrativy“. Při ukončení spolupráce vzniká právní spor — i když je morálně jasné, že doména patří klientovi, právní vlastnictví říká něco jiného. Vždy registruj doménu na klienta jako držitele.

2. Žádné SLA pro zálohy

Smlouva uvádí, že „zálohy se provádějí denně“. Klient se hacknul, chce obnovit zálohu z předevčerejšího dne. Zjistí se, že zálohy se ukládají na stejný server, který útočník napadl, a jsou pryč. Smlouva neporušena (zálohy se provádějí), ale klient přišel o rok dat. Bez RTO, RPO, offsite a test restore není záloha skutečnou zálohou.

3. Vágně definovaný rozsah

„Agentura zajišťuje běžnou údržbu webu“ — co to znamená? Když klient požádá o nový landing page, je to běžná údržba? A když chce o víkendu rychlou úpravu? Smlouva musí vyjmenovat, co je v rámci paušálu a co stojí extra, s konkrétními limity (hodiny, počty změn).

4. Žádná indexace ceny

Smlouva uzavřená na 5 let s pevnou cenou. Po třech letech inflace, dražší hosting, dražší pluginy — agentura prodělává. Vyjednávat se klientem o zvýšení uprostřed smlouvy je nepříjemné. Vlož doložku: „Cena se každoročně k 1. 1. upravuje o míru inflace dle ČSÚ za předchozí rok, maximálně však o 7 %.“

5. Chybějící DPA

Web má kontaktní formulář a Google Analytics. Smlouva o správě je podepsaná, DPA chybí. Při kontrole ÚOOÚ klient nemá dokument, který prokazuje, jak agentura s daty nakládá. Pokuta může jít do statisíců.

6. Žádná regresní klauzule

Agentura zapomene nasadit záplatu, klient se hackne, ÚOOÚ dá klientovi pokutu 500 000 Kč. Klient žaluje agenturu. Agentura argumentuje, že je v DPA jen jako zpracovatel. Bez jasné klauzule o regresu (kdo platí, když chyba je na straně agentury) jde o dlouhý soud. Smlouva by měla říct: „V případě, že pokuta ÚOOÚ nebo škoda subjektu údajů vznikla v důsledku porušení povinností zpracovatele, zpracovatel uhradí správci náhradu této škody do výše ročního paušálu.“

7. Chybí incident response plán

Web spadl v sobotu večer. Klient volá, agentura nezvedá. Nikdo neví, kdo má zasahovat mimo pracovní dobu, jaké jsou eskalační kontakty, co dělat při sériovém výpadku. Pokud má smlouva tier s 24/7 monitoringem, musí mít i jasně definovanou pohotovostní službu, eskalaci a kontakty na zástupy.

Závěr

Smlouva o správě webu není formalita, kterou se hodí do šuplíku. Je to provozní dokument, podle kterého obě strany každý měsíc fakticky pracují. Když je dobrá, agentura má stabilní příjem a klient má bezpečný web. Když je špatná, každý měsíc se řeší stejné spory o rozsah, cenu a odpovědnost.

Tři věci, které musíš mít před první vystavenou fakturou: rozsah služeb v samostatné příloze (SoW), SLA s jasnými uptime a response cíli, a DPA pokud web sbírá osobní údaje (což je dnes téměř každý web). Vše ostatní lze doladit za pochodu.