Seznam příjemců a dalších zpracovatelů
Tento registr rozlišuje službu, která skutečně zpracovává živá data, od služby pouze připravené ve zdrojovém kódu. Položka se nesmí v účinném veřejném seznamu označit jako aktivní, dokud není uzavřena potřebná smlouva, ověřen region, přenosový mechanismus a produkční konfigurace.
| Poskytovatel | Účel | Kategorie údajů | Role | Zamýšlená lokalita | Stav |
|---|---|---|---|---|---|
| Vercel Inc. | Hosting webu, aplikace a API, CDN, ochrana a technické protokoly | Síťové a provozní údaje; data přenesená aplikací | Další zpracovatel | API a dashboard mají být v regionu fra1; hraniční síť je globální | Aktivní pro veřejný web/Preview; před produkcí ověřit DPA, subprocessory a předávání |
| Neon / Neon, Inc. | Spravovaný PostgreSQL | Účet, pracovní prostor, konfigurace, auditní a zákaznická data | Další zpracovatel | Samostatný EU projekt podle konečné produkční konfigurace | Pouze izolovaný Preview; produkce nepotvrzena |
| WorkOS, Inc. | B2B identita, ověření e-mailu, organizace a relace | Jméno, pracovní e-mail, identifikátor uživatele/organizace, role | Další zpracovatel pro identitu | Doplnit dle smlouvy a vybraného regionu | Vybráno, ale zákaznická cesta je vypnutá |
| Stripe | Hostovaný checkout, předplatné a platby | Fakturační kontakt, zákazník, plán, platba; úplná karta pouze u Stripe | Samostatný správce a/nebo zpracovatel podle operace | Doplnit dle smlouvy | Adaptér připraven, živé platby vypnuty |
| Amazon Web Services | Správa tajemství a privátní export | Šifrovaná tajemství; export zákaznických dat při aktivaci | Další zpracovatel | Zamýšleno eu-central-1 | Není zřízen produkční účet ani aktivní zpracování |
| Poskytovatel AI | Generování vyžádaného výstupu | Jen vybraný vstup a technická metadata | Další zpracovatel | Musí být zvolena EU lokalita nebo doloženo předání | Není vybrán; živá zákaznická data jsou blokována |
| Zákazníkem připojená Analytics, Search Console a případně Ads | Údaje ve zvoleném účtu a rozsahu OAuth | Příjemce / poskytovatel propojený na pokyn zákazníka | Dle nastavení Google zákazníka | Produkční účty nepřipojeny | |
| Buffer | Vytváření konceptů pro sociální sítě | Schválený koncept a minimální provozní reference | Další zpracovatel / připojený poskytovatel | Doplnit dle DPA | Vybráno pro budoucí pilot, nepřipojeno |
| Brevo | Vytváření konceptů e-mailových kampaní | Schválený koncept, odesílatel a zákazníkem určené seznamy | Další zpracovatel / připojený poskytovatel | EU dle konečné smlouvy a konfigurace | Vybráno pro budoucí pilot, nepřipojeno |
Před produkčním použitím každé položky
Musí být evidováno:
- přesný název smluvní společnosti a odkaz na účinnou DPA;
- účel, rozsah údajů, doba uchování a mazání u poskytovatele;
- země a právní režim infrastruktury a podpory;
- odpovídající ochrana, EU–US Data Privacy Framework nebo konkrétní modul SCC a posouzení předání;
- seznam vlastních dalších zpracovatelů a způsob oznámení změny;
- bezpečnostní dokumentace a proces incidentu;
- zákaz použití zákaznických dat k obecnému trénování, je-li relevantní;
- vlastník interního přezkumu a datum další kontroly.
O plánovaném přidání nebo nahrazení dalšího zpracovatele se zákazník informuje nejméně 15 dnů před zahájením zpracování, nevyžaduje-li naléhavé bezpečnostní nebo právní opatření kratší dobu.