# CyberBrain26 — PRICING_MODELS

**Datum:** 2. 10. 2026
**Stav:** návrh k posouzení. **Nestanovuje žádnou cenu.**
**Rozhodovací základ:** `DECISIONS_V7.md` — P1 `[PROPOSAL]`, **P2 `OPEN`**, **P3 `OPEN`**, P4 `[PROPOSAL]`.
**Značky:** podle `ROADMAP_V6.md` §1.2 + přidaná **[SIMULOVANÉ]** podle `ROADMAP_V7.md` §1.1.

> **Výslovné prohlášení:** žádný údaj v tomto dokumentu není výsledkem reálného výzkumu. F11 zůstává **OPEN**. Kódové návrhy 1–4 jsou **`NOT APPROVED`**, proto se **nic o kódu netvrží jako běžící kontrola**.

---

## 0. Vstupní fakta, na kterých stojí celé srovnání

| # | Fakt | Zdroj | Značka |
|---|---|---|---|
| 1 | **Licenční/entitlement kód neexistuje.** grep `licen[sc]e\|entitle\|premium\|trial\|subscription\|activation` v `src/` = 0 relevantních nálezů | read-only grep 2. 10. 2026 | [OVĚŘENO] |
| 2 | Jeden lokální operátor, **žádný síťový listener**, žádná multi-user izolace, žádná týmová správa / role / SSO | `SECURITY.md:39-41, 89` | [OVĚŘENO] |
| 3 | **Žádný git worktree, žádný review diffu, žádný merge step** — tedy jádro deklarované hodnoty v kódu není | `SECURITY.md:104-105` | [OVĚŘENO] |
| 4 | SQLite nešifrovaná; audit bez hash chainu a bez podpisu, vlastník souboru audit přepíše | `SECURITY.md:65-67, 96-97, 183-186` | [OVĚŘENO] |
| 5 | Sandbox = omezený Linux prototyp: žádný seccomp / LSM / cgroup / limit; `RLIMIT_*` kooperativní, výslovně „NOT approved as a general-purpose hostile-code sandbox“ | `SECURITY.md:81-87, 190-194` | [OVĚŘENO] |
| 6 | **Žádná nezávislá security review; CI nikdy neběželo** (prázdný remote) | `SECURITY.md:237-239`, `ROADMAP_V6.md:46` | [OVĚŘENO] |
| 7 | MCP server neexistuje (výstup F3, ne hotová věc); Kilo jako řídicí klient = **Node runtime navíc** | `ROADMAP_V6.md:341, 381-388` | [OVĚŘENO] |
| 8 | **D14:** Orchestrátor má `bash`/`edit` → kód běží na hostu **mimo `BubblewrapExecutionProvider`** | `DECISIONS_V7.md` | [OVĚŘENO] |
| 9 | F11 neblokuje F1–F10 a zůstává **OPEN** | `ROADMAP_V6.md:867` | [OVĚŘENO] |
| 10 | **Discovery nezačala: 0 rozhovorů, 0 známých respondentů** | `docs/product/V5_FIRST_SPRINT_REPORT.md:29` | [OVĚŘENO] |
| 11 | Ceny v `MARKET_AND_MONETIZATION_ANALYSIS_V5.md:141-172` jsou v repu výslovně **hypotézy k testu, ne ceník** | tam | [HYPOTÉZA] |
| 12 | Kurz **EUR/CZK není v repu uveden** | read-only hledání 2. 10. 2026 | [OVĚŘENO]; nesmí být vymyšlen |
| 13 | `PRODUCT_BRIEF_V5.md:1, 9` používají **název zakázaný D9** | tam | [OVĚŘENO]; nesmí se přenést sem |

### Náklady na obsluhu při BYOK a nulovém rozpočtu

Žádný cloudový výpočet v cestě spuštění → **variabilní náklad na běh = 0**, a zároveň **marže z přeprodávaného compute = 0** [`docs/SECURITY_ONE_PAGER.md:139-143`, [OVĚŘENO]].

Fixní náklad na zákazníka = **čas vlastníka**: Ubuntu 24.04 LTS + `bwrap`, u Kilo cesty navíc Node [`ROADMAP_V6.md:200, 381-388`, [OVĚŘENO]].

Výpočet nákladů na obsluhu je v repu zadaný jako **kritérium a není splněný** [`MARKET_AND_MONETIZATION_ANALYSIS_V5.md:214`, [OVĚŘENO]].

---

## 1. Mechanika tvarů

| Tvar | Kdo platí a za co | Hranice free vrstvy | Spouštěč upgradu |
|---|---|---|---|
| **(a) free base + placené add-ony + premium** | per user (seat) za add-on; per org za premium [NÁVRH] | free = jedna lokální instalace, CLI, SAFE policy, schválení + lokální audit; paywall = 2. agent, worktree/diff, centrální policy, audit export | akce vyžadující F8 (diff/worktree) nebo druhou agentní integraci |
| **(b) každý modul placený** | per modul × per org; repo má 13 adresářů balíčků | prakticky žádná — `security_plane` je jádro a nedá se vyjmout | není — produkt je buď celý, nebo nefunguje |
| **(c) free base + placený team tier** | per org s minimálním týmovým poplatkem; jednotka *zobrazená* per sedadlo | free = single-user lokálně; paywall = sdílená verzovaná policy, centrální přehled, role, audit export | první pokus o sdílenou policy nebo 2. člen týmu |
| **(d) časově omezená trial** | čas (dny/týdny) + instalace | free = celý produkt časově | vypršení času — jediný automatický trigger |
| **(e) roční licence per instalaci + placená integrace** *(kandidát)* | **per zařízení / instalace**, ročně, bez ohledu na počet sedadel; integrace jednorázově | není — software je celý placený; zdarma je jen nelicencovaná instalace k posouzení | není potřeba — plací se za to, co už běží |
| **(f) čistě projektové/servisní dodání, bez software licence** *(kandidát)* | engagement: pilot / workshop / integrace; placená je **práce**, ne funkce | celý software je zdarma pro každého | není |

---

## 2. Co tvar strukturálně NEMŮŽE při současném stavu produktu

**Nejdůležitější sloupec. Zde není optimismu.**

| Tvar | Strukturální překážka |
|---|---|
| **(a)** | Katalog add-onů by se prodával z většiny z **neexistujícího**: F8 (worktree/diff) je výstup, ne hotová věc; F7 hardening není hotový. Per-seat metrika **vyžaduje identitu a více uživatelů**, obojí je mimo scope. Entitlement kód neexistuje (fakt 1) → není co „zamknout“; a D15 vyžaduje fail-closed **se zaznamenaným odmítnutím** — dnes není co fail-closed. |
| **(b)** | **Prodej prázdných balíčků.** Část vrstev je prázdny stub (`core/`, `experience_layer/`, `governance_plane/`, `integration_layer/`, `personal_ai_layer/`); mrtvý kód: `control_plane/api` 450 řádků / 0 importů, `control_plane/registry` 246 řádků / 0 importérů. `security_plane` + `execution_plane` jsou **nedělitelný řetěz** identita→politika→oprávnění→kontroly→audit — vyjmout je znamená prodat věc, která nefunguje. To je **D9 konflikt**. |
| **(c)** | Team tier prodává **centrální správu**, která je výslovně mimo bezpečnostní rozsah a §3.2 `ROADMAP_V6.md:169` odmítá multi-tenant. Per-seat metrika není lokálně měřitelná: jediný „důkaz“ je lokální soubor, který si vlastník přepíše. D7 omezuje scope na jeden uživatelský scénář. |
| **(d)** | **Neexistuje co odemyknout.** Timer vyžaduje buď účet (není), nebo lokální hodiny — a **fail-closed časovač bez únikové cesty je přesně popsaný prodejní blokátor**: „fail-closed se ve 03:00 změní v DoS“ [`NOT APPROVED`]. Při open-core je trial navíc **neúčinný paywall** (kód je volně čitelný). |
| **(e)** | Entitlement je stále potřeba — i když nejjednodušší možný (podepsaný/offline soubor). **Žádný kód takový mechanismus nemá** a realizovatelnost offline licence bez sítě nikde ověřena. Tvar neřeší, co se prodává — hodnotu musí dodat F8/F7. Při nulovém rozpočtu je práce na enforcement neplacený náklad. |
| **(f)** | **Nefunguje jako podnikání, jen jako most k příjmům:** náklad = čas vlastníka, takže kapacita prodeje je tvrdě omezená; riziko „služby místo produktu“ je už v repu popsané. **Platba za práci neprokazuje ochotu platit za licenci.** Pro P4 (investiční deck) je to nejméně odpovídající tvar. |

### 2.1 Závislost na P3 (`OPEN`) — co zaniká

| Tvar | Při **uzavřeném** | Při **open-core** |
|---|---|---|
| (a) | čitelný, ale „premium“ bez hodnoty = prodej placebo | zaniká smysl „premium“ i dělení base/add-on; **pokud je open i `security_plane`, otevřená bezpečnostní vrstva musí být plně funkční**, jinak patchnutá chyba v core zničí důvěru k placené vrstvě |
| (b) | nejsilnější forma, ale prokazatelně neúplný balíček | **zaniká jako produkt**, pokud je open to, co tvoří hodnotu |
| (c) | nejlépe prodejné, ale vyžaduje dostavět týmovou vrstvu od nuly | zaniká kódová část; monetizuje se jen **služba** = de-facto tvar (f) |
| (d) | jediné, co jde udělat bez P3 | **zaniká jako paywall** — otevřený kód nelze „odemknout“ |
| (e) | plná licence, funguje | **zaniká** licence za samotné bezpečnostní jádro |
| (f) | **funguje identicky** | **funguje identicky** — jediný tvar nezávislý na P3 |

### 2.2 Cost to serve při BYOK a nulovém rozpočtu

| Tvar | Fixní náklad na zákazníka | Škála | Telemetrie |
|---|---|---|---|
| (a) | čas vlastníka + nová infrastruktura pro add-ony | nízká až střední | není možná (local-first, bez listeneru) |
| (b) | čas + **katalog balíčků, který je nutné průběžně udržovat** | velmi nízká | není možná |
| (c) | čas + metering per seat, který **neexistuje a není lokálně měřitelný** | střední | není možná |
| (d) | čas + licenční infrastruktura | vysoká relativně k výnosu | není možná |
| (e) | čas + offline licenční soubor; **žádná identita, žádný metering** | **nejlepší z placených** | není možná |
| (f) | čas, roste 1:1 se zákazníkem | **nejnižší** | ruční evidence |

---

## 3. Co by muselo být pravdivé, aby tvar fungoval

| Tvar | Podmínka | Stav dnes |
|---|---|---|
| **všechny** | Existuje kupující s rozpočtem | **NE** — 0 rozhovorů, F11 OPEN |
| **všechny** | Hodnota, kterou prodáváme, existuje v kódu | **ČÁSTEČNĚ NE** — chybí worktree/diff; F7/F8 jsou výstupy |
| **všechny** | Lze deklarovat cenu bez `[OVĚŘENO]` tvrzení o kódu | **NE** — návrhy 1–4 `NOT APPROVED` |
| (a)–(e) | Entitlement mechanismus existuje | **NE** — 0 nálezů v `src/` |
| (a)–(e) | Entitlement fail-closed nezablokuje zákazníka | **NE** — úniková cesta chybí |
| (a), (b), (c) | Existuje co odemyknout | **NE** — F7/F8 nehotové; 7/13 balíčků je stub |
| (a), (c) | Per-seat metrika měřitelná lokálně | **NE** — single-tenant, bez identity, audit přepisovatelný |
| (d) | Čas se dá lokálně ověřit spravedlivě | [NEOVĚŘENO] |
| (e), (f) | B2B kupující přijme offline / on-site dodání | [NEOVĚŘENO] |
| (f) | Vlastník má kapacitu obsluhy | [NEOVĚŘENO] |
| (a)–(e) | Konflikt signálů pro P3 rozhodnutý | **NE** — 7/20 psalo implementaci samo [SIMULOVANÉ], proti tomu nulový rozpočet |

---

## 4. Čitelnost pro všechny kandidátní segmenty

**P2 je `OPEN` → žádný tvar nesmí vyřadit segment.**

| Tvar | Samostatný vývojář | Malá firma 10–100 | Platforma/bezpečnost ve větší org. | Silně regulované | Poskytovatelé platforem/sandboxů |
|---|---|---|---|---|---|
| (a) | jen free base | čitelné | jen „premium“ | **nečitelné** | jen jako add-on |
| (b) | **nečitelné** | **nečitelné** | nečitelné | nečitelné | částečné |
| (c) | nečitelné | čitelné | čitelné | **nečitelné** | nečitelné |
| (d) | čitelné | čitelné | částečné | **nečitelné** | nečitelné |
| (e) | nečitelné (platí za zařízení) | čitelné | čitelné | jen s instalací | nečitelné |
| (f) | nečitelné | čitelné | čitelné | čitelné **bez bezpečnostního tvrzení** | částečné |

**Důsledek pro P2:** tvar musí být čitelný pro všechny segmenty současně → **(b) padá na čitelnosti**, bez ohledu na skóre. Řešení pro (a)/(c)/(e): **jednotka zobrazená (ceník) se může lišit od jednotky vynucené (technické)** — ceník může nabídnout i per-sedlo, aniž bychom dnes měřili sedla. [NÁVRH], odpovídá P1.

---

## 5. Skórovací tabulka

Škála 1–5, 5 = nejlepší; maximum 30.

| Tvar | Shoda s kódem | Škála při 0 rozpočtu | Riziko tvrzení (D9/scope) | Čitelnost pro všechny segmenty | Robustnost vůči P3 | **Neprodává neexistující funkci** | **Skóre** | Jedna věta |
|---|---|---|---|---|---|---|---|---|
| (a) | 2 | 3 | 3 | 3 | 1 | 1 | **13** | Katalog add-onů se skládá z věcí, které v kódu nejsou. |
| (b) | 1 | 2 | 1 | 2 | 2 | 1 | **9** | Prodej stub balíčků a prodej security plane bez security plane. |
| (c) | 2 | 3 | 3 | 3 | 2 | 2 | **15** | Prodává centrální správu, která je výslovně mimo scope. |
| (d) | 1 | 4 | 3 | 4 | 2 | 1 | **15** | Není co odemyknout a časovač bez únikové cesty je noční DoS. |
| (e) | 3 | 2 | 4 | 3 | 3 | 3 | **18** | Jediná placená jednotka odpovídající single-user architektuře. |
| (f) | 4 | 1 | 4 | 4 | **5** | 4 | **22** | Nejlépe obhajitelná, ale není to odpověď na investiční deck. |

**Pozor na to, co skóre neřeší:** (f) vyhraje o 4 body, ale P4 je investiční deck a prodej služeb místo produktu je nejslabší možný investiční příběh. **Skóre a fit k P4 míří proti sobě** — to je věc, kterou musí rozhodnout vlastník, ne tabulka.

---

## 6. Jedno doporučení

**Jako jediný cenový rámec zdokumentovat tvar (e) — roční licence per instalaci + placená integrace. Jako jediný okamžitý zdroj příjmů použít tvar (f) — placený engagement.**

Odůvodnění:

- **(e)** je jediná jednotka, která **nevyžaduje identitu ani metering uživatelů** — což je přesně to, co dnes repu umožňuje (single lokální operátor) — a jediná, která se neopírá o funkci, jež v kódu chybí.
- **(f)** jako první příjmová forma je jediný tvar **nezávislý na P3** a jediný, který lze prodat **bez jakéhokoli tvrzení o kódu**, což je v souladu s P4.

**Toto doporučení je podmíněné:** **P2 je `OPEN`** a **P3 je `OPEN`**. Dokud P2 není rozhodnuto, tvar musí zůstat čitelný pro všechny kandidátní segmenty. Dokud P3 není rozhodnuto, musí mít každý tvar uvedenou závislost na P3 (§2.1) a **doporučení se nesmí v prezentaci podávat jako schválené**.

---

## 7. Co toto doporučení NEŘEŠÍ

1. **P2** — neuzavírá, který segment je placený.
2. **P3** — neuzavírá open-core vs. uzavřené; při opačném rozhodnutí se (e) mění na licenci za placenou vrstvu, ne za bezpečnostní jádro.
3. **F11 zůstává OPEN** — 0 rozhovorů.
4. **Kódové návrhy 1–4 jsou `NOT APPROVED`** a do jejich vyřešení **nesmí být nic o kódu formulováno jako `[OVĚŘENO]`**:
   - zelený fail-closed běh **nebyl spuštěn**,
   - **audit hash chain / podpis chybí**,
   - **šifrování v klidu chybí**,
   - **úniková cesta pro lockout chybí** — proto je každý fail-closed entitlement v tomto dokumentu prodejní blokátor, ne feature.
5. **Bezpečnostní tvrzení** — sandbox je omezený Linux prototyp, **ne** ochrana proti hostile kódu; single-tenant; Neošifrovaný SQLite; audit přepisovatelný vlastníkem; žádná nezávislá revize; **CI nikdy neběželo**.
6. **Žádné ceny** — žádná čísla nejsou potvrzena.
7. **Kurz EUR/CZK** — v repu není; CZK hladina musí být rozhodnutí, ne přepočet.
8. **Drift bezpečnostní dokumentace vůči D14** — `SECURITY.md` a `docs/SECURITY_ONE_PAGER.md` popisují jen CLI cestu; D14 dovoluje hostový běh mimo Bubblewrap. **Tento dokument nesmí citovat bezpečnostní tvrzení z těchto dvou souborů jako pokrytí Kilo cesty.**
9. **`docs/product/PRICING_DISCOVERY_V7.md` (Q8)** — důkaz pro P3 musí být v repu, jinak je P3 bez podkladu.
10. **Nekonzistentní stavové údaje mezi dokumenty** — tři dokumenty uvádějí různé údaje o stavu repozitáře (`ROADMAP_V6.md` vs `docs/presentations/CYBERBRAIN26_VYVOJ_STAV_2026-10-02.md` vs `docs/SECURITY_ONE_PAGER.md`). Viz `ROADMAP_V7.md` §1.3.1. **Před uvedením jakéhokoli čísla do `PRESENTATION_V7.md` je nutná re-verifikace.**
11. **D9 drift ve zdrojích** — `PRODUCT_BRIEF_V5.md:1, 9` používají zakázaný název; nesmí být citovány sem.

---

## 8. Použité značky

**[OVĚŘENO]** čteno v kódu tohoto repozitáře 2. 10. 2026 · **[NÁVRH]** navržená změna · **[HYPOTÉZA]** domněnka bez důkazu · **[SIMULOVANÉ]** výstup fiktivního rozhovoru, respondenti neexistují · **[NEOVĚŘENO]** nebylo lze ověřit.

# Konec dokumentu