Zpracovatelé a poddodavatelé

Zásady výběru našich poskytovatelů služeb

Poskytovatele služeb vybíráme podle tří kritérií: zpracování pokud možno v EU, smlouva podle čl. 28 GDPR s doloženými technickými a organizačními opatřeními a minimalizace údajů – každá služba obdrží pouze údaje nezbytné pro její úkol. Důvěrný obsah zákazníků je před předáním službám AI pseudonymizován nebo odstraněn, pokud není smluvně dohodnuto jinak.

Hosting a infrastruktura

Hetzner Online GmbH, Gunzenhausen (Německo): provoz serverů pro webové stránky a zákaznickou zónu v německých datových centrech; existuje smlouva o zpracování údajů podle čl. 28 GDPR. Cloudflare Inc. (USA/EU): DNS, TLS ukončení a ochrana před DDoS útoky; přenos na základě standardních smluvních doložek EU a rámce EU-USA pro ochranu osobních údajů, pokud data opouštějí EU.

Poskytovatelé platebních služeb

Stripe Payments Europe Ltd. (Irsko), PayPal (Europe) S.à r.l. et Cie, S.C.A. (Lucembursko) a Mollie B.V. (Nizozemsko) zpracovávají platební údaje na vlastní odpovědnost v oblasti ochrany osobních údajů; my neobdržíme ani neukládáme kompletní údaje o kartě. Volba platební metody je na vás během objednávkového procesu.

Nástroje umělé inteligence při poskytování služeb

Pro strojový překlad používáme nástroj DeepSeek, pro generování obrázků Magnific/Freepik. Předávány jsou výhradně obsahy určené k překladu nebo zobrazení – bez zákaznických dat, bez přístupových údajů a u důvěrných projektů po pseudonymizaci citlivých pasáží. Výsledky vždy procházejí lidskou kontrolou, než se dostanou k zákazníkům.

Analýza a reklama (pouze po souhlasu)

Google Ireland Ltd. pro Google Analytics 4 a měření Google Ads – výhradně po vašem souhlasu prostřednictvím dialogu o cookies; podrobnosti v zásadách cookies. Pro zasílání přihlašovacích odkazů do zákaznické sekce e-mailem používáme vlastní serverovou infrastrukturu.

Změny tohoto seznamu

Pokud je přidán nebo odebrán poskytovatel služeb, aktualizujeme tuto stránku. Zákazníky se smlouvou o zpracování údajů informujeme o podstatných změnách předem a poskytujeme jim smluvně sjednaná práva na námitku.

Praktický příklad krok za krokem

Představte si, že nás pověříte překladem firemního webu. Nejprve připravíme obsah: extrahujeme texty z vašeho redakčního systému a odstraníme důvěrné údaje o zákaznících, jako jsou jména nebo přímé kontaktní údaje, které nejsou předmětem překladu. Překládané textové bloky pseudonymizujeme – například nahradíme názvy firem zástupnými znaky, pokud není smluvně stanoveno jinak.

Poté předáme upravený obsah společnosti DeepSeek, našemu zpracovateli pro strojový překlad. DeepSeek obdrží pouze samotné textové soubory – bez metadat vašeho uživatelského účtu, bez přihlašovacích údajů a bez informací o zpracování plateb. Po strojovém překladu zkontroluje lidský redaktor výsledek na správnost a konzistenci. Teprve po této kontrole kvality je překlad doručen vám.

Paralelně lze pro ilustraci použít Magnific nebo Freepik. I zde platí: předávají se pouze obrazové motivy, žádné osobní údaje. Celý řetězec je zabezpečen smlouvami o zpracování údajů a technickými a organizačními opatřeními. Pokud provedete platbu, transakci zpracovávají Stripe, PayPal nebo Mollie na vlastní odpovědnost – my neukládáme žádné úplné údaje o kartách.

Častá nedorozumění

Častým nedorozuměním je role Cloudflare: Mnozí se domnívají, že Cloudflare je zpracovatel údajů – ve skutečnosti je jím pouze pro infrastrukturní služby jako DNS a TLS. Cloudflare jako poskytovatel fulfillmentu v rámci doručování obsahu nezpracovává osobní údaje nad rámec technického navázání spojení. S Cloudflare jsme uzavřeli standardní smluvní doložky a zpracování údajů se omezuje na IP adresy a identifikátory prohlížeče za účelem zajištění dostupnosti webu.

Dalším nedorozuměním je, že analytické nástroje jako Google Analytics 4 jsou automaticky aktivní. Opak je pravdou: Načítají se až po vašem výslovném souhlasu prostřednictvím dialogu o cookies. Bez souhlasu nedochází k předávání údajů společnosti Google Ireland Ltd. pro analytické nebo reklamní účely. Platební poskytovatelé jednají na vlastní odpovědnost – nepředáváme profily zákazníků, pouze údaje nezbytné pro transakci.

Konečně se často předpokládá, že nástroje umělé inteligence mají přístup k celému projektu zákazníka. Ve skutečnosti získávají pouze konkrétní obsah ke zpracování – a to v pseudonymizované podobě, pokud existují smluvní dohody o důvěrnosti. K úplnému zpřístupnění projektových dat nedochází.

Součinnost s našimi dalšími směrnicemi

Seznam zpracovatelů a subzpracovatelů je klíčovou součástí našeho konceptu ochrany údajů, která je propojena s dalšími směrnicemi. V našem prohlášení o ochraně osobních údajů se dozvíte, jaká práva máte jako subjekt údajů a jak je uplatňovat – například právo na přístup, opravu nebo výmaz vašich dat. Jsou zde uvedeny také kontaktní údaje našeho pověřence pro ochranu osobních údajů.

Naše směrnice o cookies doplňuje seznam zpracovatelů tím, že podrobně popisuje, které služby se na webu aktivují po vašem souhlasu – zejména Google Analytics 4 a Google Ads. Souhlas je spravován prostřednictvím dialogu o cookies a můžete jej kdykoli odvolat.

Ve smlouvě o zpracování údajů (DPA), kterou uzavíráme s našimi zákazníky, je stanoveno, které údaje a v jakém rozsahu smíme zpracovávat. Zde uvedení subzpracovatelé jsou v ní buď již jmenováni, nebo uvedeni jako kategorie (např. „poskytovatel hostingu“). Při podstatných změnách – například přidání nebo ukončení služby poskytovatele – vás předem informujeme a poskytneme vám smluvně dohodnuté právo vznést námitku.

Tím zajišťujeme, že všechny směrnice plynule navazují a vy kdykoli můžete sledovat, kdo zpracovává jaké údaje za jakým účelem.

Praktický příklad krok za krokem

Předpokládejme, že nás pověříte překladem vašich firemních webových stránek. Proces začíná přípravou obsahu: extrahujeme texty z vašeho redakčního systému a odstraníme důvěrná data o zákaznících, jako jsou jména nebo přímé kontaktní údaje, které nejsou předmětem překladu. Následně pseudonymizujeme překládané textové bloky, například nahrazením názvů společností zástupnými symboly, pokud není smluvně stanoveno jinak. V tomto připraveném stavu předáme obsah společnosti DeepSeek, našemu zpracovateli pro strojový překlad. DeepSeek obdrží výhradně čisté textové soubory – bez metadat vašeho uživatelského účtu, bez přístupových údajů a bez informací o platebním styku. Po strojovém překladu zkontroluje lidský redaktor výsledek z hlediska správnosti a konzistence. Teprve po tomto zajištění kvality je překlad doručen vám. Souběžně lze pro ilustraci použít Magnific nebo Freepik. I zde platí: předávají se pouze obrazové motivy, žádné osobní údaje. Celý řetězec je zabezpečen smlouvami o zpracování údajů a technicko-organizačními opatřeními. Pokud provádíte platbu, Stripe, PayPal nebo Mollie zpracovávají transakci na vlastní odpovědnost – my neukládáme úplné údaje o kartě. Tento konkrétní příklad ukazuje, jak jsou minimalizace údajů a naše smluvní povinnosti uplatňovány již v běžném průběhu projektu.

Častá nedorozumění

Častým nedorozuměním je předpoklad, že vaše obsahy předáváme třetím stranám bez ochrany. Ve skutečnosti připravujeme předávaná data vždy tak, aby bylo předáno jen to nejnutnější: při použití nástrojů AI jako DeepSeek obdrží tyto nástroje výhradně čisté textové bloky, nikoli vaše přístupové údaje, data o zákaznících nebo platební informace. Stejně tak je třeba mít na paměti, že platební služby jako Stripe, PayPal a Mollie nejednají jako naši zpracovatelé, ale jako samostatní správci – my neukládáme úplné údaje o kartě. Další nedorozumění se týká míst uložení: naše servery běží u společnosti Hetzner v Německu, zatímco Cloudflare zajišťuje DNS a ochranu. Pokud data opustí EU, děje se tak na základě standardních smluvních doložek EU a rámce EU-U.S. Data Privacy Framework. Konečně ne každý ví, že analytické a reklamní služby jako Google Analytics se používají pouze s vaším souhlasem prostřednictvím dialogu o cookies. Tato vyjasnění pomáhají posílit důvěru ve zpracování dat u nás.

Co to konkrétně znamená pro zákazníky

Tento zveřejněný seznam našich zpracovatelů a subdodavatelů vám jako zákazníkům poskytuje transparentní přehled o tom, kteří poskytovatelé služeb zpracovávají osobní údaje na váš pokyn. Kdykoli můžete zjistit, kdo vaše údaje získává, za jakým účelem a na jakém právním základě. Pro zákazníky, kteří s námi uzavřeli smlouvu o zpracování osobních údajů, obsahuje tato stránka podstatné informace potřebné k plnění vašich vlastních dokumentačních povinností podle čl. 28 GDPR.

V praxi to znamená: Pokud nás pověříte lokalizací svých webových stránek, víte, že potřebné texty budou předány společnosti DeepSeek k automatickému překladu – avšak v pseudonymizované podobě a až po uzavření smlouvy o zpracování osobních údajů. Můžete se spolehnout, že vaše obsahy nebudou použity k jiným účelům. Dojde-li ke změnám v seznamu, včas vás informujeme, abyste případně mohli vznést námitku. Vaše práva na přístup, opravu a výmaz zůstávají spoluprací s našimi poskytovateli služeb nedotčena.

Interní postup u nás

Než začneme využívat nového poskytovatele služeb jako zpracovatele, prochází standardizovaným procesem prověření. Nejprve posoudíme, zda je zpracování skutečně nezbytné a zda jej nelze provést efektivněji nebo způsobem šetrnějším k ochraně údajů vlastními prostředky. Následně od poskytovatele vyžádáme podrobný popis jeho technických a organizačních opatření (TOM). Na tomto základě ověříme, zda bezpečnost údajů odpovídá stavu techniky a zda jsou údaje zpracovávány výhradně v EHP nebo ve třetí zemi s odpovídající úrovní ochrany.

Po úspěšném prověření uzavřeme smlouvu o zpracování osobních údajů podle čl. 28 GDPR, která stanoví přesné účely zpracování, kategorie osobních údajů, dobu trvání a povinnosti poskytovatele. Všechny smlouvy jsou centrálně dokumentovány a pravidelně kontrolovány z hlediska aktuálnosti. Při významných změnách – například při změně sídla poskytovatele – informujeme předem své zákazníky, kteří s námi mají smlouvu o zpracování, a poskytneme jim právo vznést námitku. Celý výběr a dohled provádí naše oddělení ochrany údajů v úzké spolupráci s IT.

Pojmy srozumitelně vysvětleny

Zpracovatel: poskytovatel služeb, který na náš pokyn zpracovává osobní údaje, aniž by je používal pro vlastní účely. Například Hetzner jako hostingový poskytovatel zpracovává vaše údaje na našich serverech – ale pouze podle našich pokynů. Právním základem je smlouva podle čl. 28 GDPR.

Podzpracovatel: společnost pověřená zpracovatelem, která přebírá části zpracování údajů. V našem řetězci v současné době nejsou žádní podzpracovatelé; všechny uvedené služby jsou naším přímým pověřením.

Standardní smluvní doložky (SCC): Smluvní doložky vydané Evropskou komisí, které mají zajistit odpovídající úroveň ochrany osobních údajů při předávání do třetích zemí. Používají se, pokud neexistuje rozhodnutí o odpovídající ochraně.

Pseudonymizace: Nahrazení identifikačních znaků pseudonymem, takže odkaz na dotčenou osobu je možný pouze s dodatečnými znalostmi. V praxi před předáním službám umělé inteligence nahrazujeme jména nebo konkrétní názvy společností zástupnými znaky, abychom minimalizovali množství údajů.

Technicko-organizační opatření (TOM): Bezpečnostní opatření, jako je šifrování, kontrola přístupu nebo firewally, která jsou dokumentována ve smlouvách o zpracování údajů.

Časté mylné představy

Při jednání se zpracovateli a podzpracovateli se setkáváme s typickými mylnými představami. Častým nedorozuměním je domněnka, že každý poskytovatel služeb zapojený do poskytování služeb je automaticky zpracovatelem. Ve skutečnosti GDPR rozlišuje mezi zpracovateli (kteří zpracovávají údaje podle pokynů správce) a samostatnými správci (jako jsou platební poskytovatelé, kteří používají údaje pro vlastní účely). V našem seznamu proto výslovně uvádíme, pokud poskytovatel jedná na vlastní odpovědnost. Další nedorozumění se týká geografické hranice zpracování údajů. Mnozí zákazníci se domnívají, že zpracování mimo EU je obecně nepřípustné. Správně je, že předávání do třetích zemí je povoleno pouze za určitých záruk, například prostřednictvím standardních smluvních doložek nebo rozhodnutí o odpovídající ochraně. Tyto základy transparentně dokumentujeme pro každého poskytovatele. Často je také nesprávně posuzována role umělé inteligence. Někteří zákazníci se obávají, že nástroje AI jako DeepSeek získají automatický přístup ke všem zákaznickým údajům. Ve skutečnosti předávání přísně omezujeme na minimum nezbytné pro službu a citlivý obsah předem pseudonymizujeme. V neposlední řadě panuje nejistota ohledně doby trvání smluv o zpracování: ty neplatí neomezeně, ale končí ukončením hlavní smlouvy nebo jsou pravidelně aktualizovány. Tyto body objasňujeme při uzavření smlouvy a při podstatných změnách.

Co to konkrétně znamená pro zákazníky

Transparentní zobrazení našich zpracovatelů a subdodavatelů má pro vás jako zákazníka několik praktických dopadů. Zaprvé, můžete kdykoli zjistit, kteří poskytovatelé služeb se podílejí na poskytování našich služeb a v jaké roli. To vám usnadňuje plnění vlastních povinností v oblasti ochrany údajů, zejména pokud musíte sami informovat své koncové zákazníky o zpracování osobních údajů. Zadruhé, jste právně chráněni stávajícími smlouvami o zpracování údajů: Pokud u některého z našich poskytovatelů služeb dojde k porušení ochrany údajů, odpovídáme my jako správce – nikoli vy. Zatřetí, těžíte ze snížené expozice údajů: Tím, že předáváme subdodavatelům pouze pseudonymizované nebo nezbytně nutné údaje, minimalizujeme riziko pro vaše důvěrné informace. Začtvrté, volba poskytovatelů se sídlem v EU nebo s rovnocennými standardy ochrany údajů znamená, že pro vás nevzniká žádná dodatečná administrativní zátěž, například nutnost vlastních dodatkových dohod. Zapáté, při uzavírání smlouvy s námi můžete vyjádřit individuální přání: Pokud chcete vyloučit určité subdodavatele, posoudíme technickou a ekonomickou proveditelnost – v rámci stávajících smluvních ujednání. Pokud by byl některý vámi nežádoucí poskytovatel nezbytně nutný, projednáme alternativní řešení. Celkově tak vytváříme spolehlivý základ pro vaši compliance v oblasti ochrany údajů.

Interní postup u nás

Zapojení nového zpracovatele nebo subdodavatele prochází ve společnosti Baduno GmbH stanoveným interním procesem. Nejprve tým pro compliance prověří potenciálního poskytovatele služeb podle našich výběrových kritérií: sídlo v EU nebo ve třetí zemi s odpovídající úrovní ochrany údajů, doložení technicko-organizačních opatření (TOM) a ochota uzavřít smlouvu o zpracování údajů podle čl. 28 GDPR. Následně se provede posouzení vlivu na ochranu údajů (DPIA), pokud zpracování pravděpodobně povede k vysokému riziku pro práva a svobody fyzických osob – například při rozsáhlém zpracování zvláštních kategorií údajů. Po pozitivním výsledku prověření se uzavře smlouva o zpracování údajů, která upravuje mimo jiné pokynovou vázanost, povinnost mlčenlivosti a lhůty pro výmaz. Souběžně naše IT oddělení upraví technická rozhraní, aby byl zajištěn datově úsporný přenos. Před nasazením do produkčního prostředí testujeme implementaci v izolovaném prostředí. Pokud je poskytovatel relevantní pro poskytování služeb zákazníkům, informujeme dotčené zákazníky s existujícími smlouvami o zpracování údajů předem o plánovaném zapojení a případně jim udělíme právo vznést námitku. Průběžný dohled probíhá prostřednictvím pravidelných auditů a kontrol TOM, minimálně jednou ročně nebo na základě konkrétního podnětu. Změny v seznamu poskytovatelů služeb jsou neprodleně dokumentovány na naší straně. Tento proces zajišťuje, že každý subdodavatel splňuje stejně vysoké standardy ochrany údajů, které uplatňujeme i interně.