Spracovatelia údajov & subdodávatelia

Zásady výberu našich poskytovateľov služieb

Poskytovateľov služieb vyberáme podľa troch kritérií: spracúvanie pokiaľ možno v EÚ, zmluva podľa článku 28 GDPR s zdokumentovanými technickými a organizačnými opatreniami a minimalizácia údajov – každá služba dostáva len údaje potrebné na svoju úlohu. Dôverný obsah zákazníkov je pred odovzdaním službám umelej inteligencie pseudonymizovaný alebo odstránený, pokiaľ nie je zmluvne dohodnuté inak.

Hosting a infraštruktúra

Hetzner Online GmbH, Gunzenhausen (Nemecko): prevádzka serverov pre webovú stránku a zákaznícky portál v nemeckých dátových centrách; uzavretá je zmluva o spracúvaní údajov podľa čl. 28 GDPR. Cloudflare Inc. (USA/EÚ): DNS, TLS terminácia a ochrana proti DDoS útokom; prenos sa uskutočňuje na základe štandardných zmluvných doložiek EÚ a rámca EÚ-USA pre ochranu údajov, ak údaje opúšťajú EÚ.

Poskytovatelia platobných služieb

Stripe Payments Europe Ltd. (Írsko), PayPal (Europe) S.à r.l. et Cie, S.C.A. (Luxembursko) a Mollie B.V. (Holandsko) spracúvajú platobné údaje vo vlastnej zodpovednosti za ochranu údajov; my neprijímame ani neuchovávame úplné údaje o karte. Výber platobnej metódy je na vás počas objednávkového procesu.

Nástroje umelej inteligencie pri poskytovaní služieb

Na strojový preklad používame nástroj DeepSeek, na generovanie obrázkov Magnific/Freepik. Odovzdávajú sa výhradne obsahy určené na preklad alebo obrázkovanie – bez údajov o zákazníkoch, bez prístupových údajov a pri dôverných projektoch po pseudonymizácii citlivých pasáží. Výsledky vždy prechádzajú ľudskou kontrolou, kým sa dostanú k zákazníkom.

Analytika a reklama (len po súhlase)

Spoločnosť Google Ireland Ltd. pre Google Analytics 4 a meranie Google Ads – výhradne po vašom súhlase prostredníctvom dialógu o cookies; podrobnosti v politike cookies. Na odosielanie prihlasovacích odkazov do zákazníckej sekcie používame vlastnú serverovú infraštruktúru.

Zmeny tohto zoznamu

Ak pribudne alebo ubudne poskytovateľ služieb, túto stránku aktualizujeme. Zákazníkov so zmluvou o spracúvaní údajov informujeme o podstatných zmenách vopred a poskytneme im zmluvne dohodnuté právo na námietku.

Praktický príklad krok za krokom

Predstavte si, že nás poveríte prekladom firemnej webovej stránky. Najprv obsah pripravíme: extrahujeme texty z vášho redakčného systému a odstránime dôverné údaje o zákazníkoch, ako sú mená alebo priame kontaktné údaje, ktoré nie sú predmetom prekladu. Textové bloky určené na preklad pseudonymizujeme, napríklad nahradením názvov firiem zástupnými znakmi, pokiaľ nie je zmluvne dohodnuté inak.

Následne upravený obsah odošleme spoločnosti DeepSeek, nášmu spracovateľovi strojového prekladu. DeepSeek získa výlučne samotné textové súbory – bez metadát vášho používateľského účtu, bez prístupových údajov a bez informácií o platobnom styku. Po strojovom preklade skontroluje výsledok ľudský redaktor z hľadiska správnosti a konzistentnosti. Až po tomto zabezpečení kvality vám preklad doručíme.

Paralelne možno na ilustrácie použiť Magnific alebo Freepik. Aj tu platí: prenášajú sa len obrázky, žiadne osobné údaje. Celý reťazec je zabezpečený zmluvami o spracúvaní údajov a technicko-organizačnými opatreniami. Ak uskutočníte platbu, transakciu vlastnou zodpovednosťou spracúvajú spoločnosti Stripe, PayPal alebo Mollie – my neukladáme úplné údaje o platobných kartách.

Časté nedorozumenia

Bežným nedorozumením je úloha spoločnosti Cloudflare: Mnohí sa domnievajú, že Cloudflare je spracovateľom údajov – je ním len pre infraštruktúrne služby, ako sú DNS a TLS. V skutočnosti Cloudflare ako poskytovateľ plnenia v rámci doručovania obsahu nespracúva osobné údaje nad rámec technického nadviazania spojenia. So spoločnosťou Cloudflare sme uzavreli štandardné zmluvné doložky a spracúvanie údajov sa obmedzuje na IP adresy a identifikátory prehliadača na zabezpečenie dostupnosti webovej stránky.

Ďalším nedorozumením je, že analytické nástroje ako Google Analytics 4 sú automaticky aktívne. Opak je pravdou: Nahrávajú sa až po vašom výslovnom súhlase prostredníctvom dialógového okna o cookies. Bez súhlasu nedochádza k prenosu údajov spoločnosti Google Ireland Ltd. na analytické alebo reklamné účely. Aj platobní poskytovatelia konajú na vlastnú zodpovednosť – neposkytujeme profily zákazníkov, iba údaje nevyhnutné na transakciu.

Napokon sa často predpokladá, že nástroje umelej inteligencie majú prístup k celému projektu zákazníka. V skutočnosti dostávajú len konkrétny obsah určený na spracovanie – a to v pseudonymizovanej forme, ak existujú zmluvné dohody o dôvernosti. K úplnému sprístupneniu obsahu projektu nedochádza.

Prepojenie s našimi ďalšími zásadami

Zoznam spracovateľov a subdodávateľov je kľúčovým dielikom našej koncepcie ochrany osobných údajov, ktorá je prepojená s ďalšími zásadami. V našom vyhlásení o ochrane osobných údajov sa dozviete, aké práva máte ako dotknutá osoba a ako ich uplatniť – napríklad právo na prístup, opravu alebo vymazanie vašich údajov. Nájdete tam aj kontaktné údaje nášho zodpovednej osoby za ochranu osobných údajov.

Naše zásady používania cookies dopĺňajú zoznam spracovateľov tým, že podrobne opisujú, ktoré služby sa na webovej stránke aktivujú po vašom súhlase – najmä Google Analytics 4 a Google Ads. Súhlas sa spravuje prostredníctvom dialógového okna o cookies a môžete ho kedykoľvek odvolať.

V zmluve o spracúvaní údajov (AVV), ktorú uzatvárame s našimi zákazníkmi, je stanovené, aké údaje a v akom rozsahu môžeme spracúvať. Tu uvedení subdodávatelia sú v nej buď priamo menovaní, alebo uvedení ako kategória (napr. „poskytovateľ hostingu“). Pri podstatných zmenách – napríklad pri pridaní alebo odstránení poskytovateľa – vás vopred informujeme a poskytneme vám zmluvne dohodnuté právo na námietku.

Takto zabezpečujeme, aby všetky zásady plynule nadväzovali a vy ste mali kedykoľvek možnosť overiť, kto aké údaje a na aký účel spracúva.

Praktický príklad krok za krokom

Predpokladajme, že nás poveríte prekladom vašej firemnej webovej stránky. Proces začína prípravou obsahu: extrahujeme texty z vášho systému na správu obsahu a odstránime dôverné údaje o zákazníkoch, ako sú mená alebo priame kontaktné údaje, ktoré nie sú predmetom prekladu. Následne pseudonymizujeme prekladané textové bloky, napríklad nahradením názvov spoločností zástupnými znakmi, pokiaľ nie je zmluvne dohodnuté inak. V tomto pripravenom stave odovzdáme obsah spoločnosti DeepSeek, nášmu sprostredkovateľovi spracovania pre strojový preklad. DeepSeek dostáva výlučne čisté textové súbory – bez metadát vášho používateľského konta, bez prístupových údajov a bez informácií o platobnom styku. Po strojovom preklade skontroluje výsledok ľudský redaktor z hľadiska správnosti a konzistentnosti. Až po tomto zabezpečení kvality vám preklad doručíme. Súbežne možno na ilustrácie použiť Magnific alebo Freepik. Aj tu platí: odovzdávajú sa iba motívy obrázkov, žiadne osobné údaje. Celý reťazec je zabezpečený zmluvami o spracovaní údajov a technicko-organizačnými opatreniami. Ak uskutočníte platbu, Stripe, PayPal alebo Mollie spracujú transakciu na vlastnú zodpovednosť – my neukladáme úplné údaje o karte. Tento konkrétny príklad ukazuje, ako sa minimalizácia údajov a naše zmluvné povinnosti uplatňujú už v bežnom priebehu projektu.

Časté nedorozumenia

Častým nedorozumením je predpoklad, že vaše obsahy bez ochrany odovzdávame tretím stranám. V skutočnosti vždy pripravujeme odovzdávané údaje tak, aby sa odovzdalo len nevyhnutné minimum: pri používaní nástrojov umelej inteligencie, ako je DeepSeek, tieto dostanú výlučne čisté textové bloky, nie však vaše prístupové údaje, údaje o zákazníkoch alebo platobné informácie. Rovnako treba poznamenať, že platobní poskytovatelia ako Stripe, PayPal a Mollie nekonajú ako naši sprostredkovatelia, ale ako samostatní zodpovední prevádzkovatelia – my neukladáme úplné údaje o karte. Ďalšie nedorozumenie sa týka miest uloženia: naše servery bežia u spoločnosti Hetzner v Nemecku, zatiaľ čo Cloudflare je zodpovedný za DNS a ochranu. Ak by údaje opustili EÚ, deje sa tak na základe štandardných zmluvných doložiek EÚ a rámca EÚ–USA pre ochranu údajov. Napokon nie každý vie, že analytické a reklamné služby ako Google Analytics sa používajú len po vašom súhlase prostredníctvom dialógu o cookies. Tieto objasnenia pomáhajú posilniť dôveru v spracovanie údajov u nás.

Čo to konkrétne znamená pre klientov

Tento zoznam našich sprostredkovateľov a subdodávateľov vám ako zákazníkom poskytuje transparentný prehľad o tom, ktorí poskytovatelia služieb spracúvajú osobné údaje vo vašom mene. Kedykoľvek môžete zistiť, kto získava vaše údaje, na aký účel a na akom právnom základe. Pre zákazníkov, ktorí s nami uzavreli zmluvu o spracúvaní údajov, táto stránka obsahuje kľúčové informácie potrebné na splnenie vašich vlastných povinností podľa článku 28 GDPR.

V praxi to znamená: Ak si u nás objednáte lokalizáciu svojej webovej stránky, viete, že potrebné texty budú odoslané spoločnosti DeepSeek na strojový preklad – avšak v pseudonymizovanej forme a len po uzavretí zmluvy o spracúvaní údajov. Môžete sa spoľahnúť, že váš obsah nebude použitý na iné účely. Ak dôjde k zmenám v zozname, včas vás informujeme, aby ste mohli v prípade potreby vzniesť námietku. Vaše práva na prístup, opravu a výmaz zostávajú spoluprácou s našimi poskytovateľmi nedotknuté.

Interný postup u nás

Predtým, ako začneme používať nového poskytovateľa služieb ako sprostredkovateľa, prechádza tento štandardizovaným procesom overovania. Najprv posúdime, či je spracovanie skutočne potrebné a či ho nemožno vykonať efektívnejšie alebo s lepšou ochranou údajov vlastnými prostriedkami. Následne od poskytovateľa služieb požadujeme podrobný opis jeho technických a organizačných opatrení (TOM). Na tomto základe overujeme, či bezpečnosť údajov zodpovedá stavu techniky a či sa údaje spracúvajú výlučne v EHP alebo v tretej krajine s primeranou úrovňou ochrany.

Po úspešnom overení uzavrieme zmluvu o spracúvaní údajov podľa článku 28 GDPR, ktorá stanovuje presné účely spracovania, kategórie osobných údajov, trvanie a povinnosti poskytovateľa služieb. Všetky zmluvy sú centrálne dokumentované a pravidelne kontrolované z hľadiska aktuálnosti. Pri podstatných zmenách – napríklad pri zmene miesta poskytovateľa služieb – informujeme našich zákazníkov so zmluvou o spracúvaní údajov vopred a poskytneme im právo vzniesť námietku. Celý výber a monitorovanie vykonáva naše oddelenie ochrany údajov v úzkej spolupráci s IT.

Pojmy zrozumiteľne vysvetlené

Spracovateľ: Poskytovateľ služieb, ktorý v našom mene spracúva osobné údaje, bez toho, aby ich využíval na vlastné účely. Napríklad Hetzner ako poskytovateľ hostingu spracúva vaše údaje na našich serveroch – ale len podľa našich pokynov. Právnym základom je zmluva podľa článku 28 GDPR.

Subdodávateľ: Spoločnosť poverená spracovateľom, ktorá následne preberá časti spracovania údajov. V našom reťazci v súčasnosti nie sú žiadni subdodávatelia; všetky uvedené služby sú priamo nami poverené.

Štandardné zmluvné doložky (SCC): Zmluvné doložky vydané Európskou komisiou, ktoré majú zabezpečiť primeranú úroveň ochrany pri prenose osobných údajov do tretích krajín. Používajú sa, ak neexistuje rozhodnutie o primeranosti.

Pseudonymizácia: Nahradenie identifikačných znakov pseudonymom, takže odkaz na dotknutú osobu je možný len s dodatočnými informáciami. V praxi pred odovzdaním službám umelej inteligencie nahrádzame mená alebo konkrétne názvy spoločností zástupnými symbolmi, aby sme minimalizovali množstvo údajov.

Technické a organizačné opatrenia (TOM): Bezpečnostné opatrenia ako šifrovanie, kontroly prístupu alebo firewall, ktoré sú zdokumentované v zmluvách o spracovaní údajov.

Časté nedorozumenia

Pri práci so spracovateľmi a subdodávateľmi sa opakovane stretávame s typickými mylnými predstavami. Častým nedorozumením je domnienka, že každý poskytovateľ služieb zapojený do poskytovania služby je automaticky spracovateľom. V skutočnosti GDPR rozlišuje medzi spracovateľmi (ktorí spracúvajú údaje podľa pokynov prevádzkovateľa) a samostatnými prevádzkovateľmi (napríklad platobní poskytovatelia, ktorí údaje využívajú na vlastné účely). Preto v našom zozname výslovne uvádzame, ak poskytovateľ koná na vlastnú zodpovednosť. Ďalšie nedorozumenie sa týka geografickej hranice spracovania údajov. Mnohí zákazníci sa domnievajú, že spracovanie mimo EÚ je všeobecne neprípustné. Správne je, že prenosy do tretích krajín sú povolené len za určitých záruk, napríklad prostredníctvom štandardných zmluvných doložiek alebo rozhodnutí o primeranosti. Tieto základy pre každého poskytovateľa transparentne dokumentujeme. Aj úloha umelej inteligencie je často nesprávne chápaná. Niektorí zákazníci sa obávajú, že nástroje AI ako DeepSeek automaticky získajú prístup ku všetkým zákazníckym údajom. V skutočnosti prenos striktne obmedzujeme na minimum nevyhnutné na poskytovanie služby a citlivý obsah vopred pseudonymizujeme. V neposlednom rade panuje neistota ohľadom doby trvania zmlúv o spracovaní údajov: Neplatia neobmedzene, ale končia sa ukončením hlavnej zmluvy alebo sa pravidelne aktualizujú. Tieto body objasňujeme pri uzavretí zmluvy a pri podstatných zmenách.

Čo to konkrétne znamená pre zákazníkov

Transparentné zobrazenie našich spracovateľov a subdodávateľov má pre vás ako zákazníka niekoľko praktických dôsledkov. Po prvé, kedykoľvek môžete sledovať, ktorí poskytovatelia služieb sa v akej úlohe podieľajú na poskytovaní našich služieb. To vám uľahčuje plnenie vlastných povinností v oblasti ochrany údajov, najmä ak musíte svojim koncovým zákazníkom poskytovať informácie o spracúvaní osobných údajov. Po druhé, existujúce zmluvy o spracúvaní údajov vám poskytujú právnu ochranu: Ak by u niektorého z našich poskytovateľov služieb došlo k porušeniu ochrany údajov, zodpovedáme my ako prevádzkovateľ – nie vy. Po tretie, profitujete zo zníženej expozície údajov: Tým, že subdodávateľom odovzdávame údaje iba pseudonymizované alebo obmedzené na nevyhnutné minimum, minimalizujeme riziko pre vaše dôverné informácie. Po štvrté, výber poskytovateľov služieb so sídlom v EÚ alebo s rovnocennými štandardmi ochrany údajov znamená, že pre vás nevzniká žiadna dodatočná byrokratická záťaž, napríklad potreba vlastných dodatočných dohôd. Po piate, pri uzatváraní zmluvy s nami môžete vyjadriť individuálne želania: Ak chcete vylúčiť určitých subdodávateľov, posúdime technickú a ekonomickú uskutočniteľnosť – v rámci existujúcich zmluvných ustanovení. Ak by bol subdodávateľ, ktorého si neželáte, nevyhnutne potrebný, prediskutujeme alternatívne riešenia. Celkovo tak vytvárame spoľahlivý základ pre vašu súlad s ochranou údajov.

Interný proces u nás

Zapojenie nového spracovateľa alebo subdodávateľa prechádza v spoločnosti Baduno GmbH stanoveným interným procesom. Najprv tím pre súlad posúdi potenciálneho poskytovateľa služieb podľa našich výberových kritérií: sídlo v EÚ alebo v tretej krajine s primeranou úrovňou ochrany údajov, dôkaz o technicko-organizačných opatreniach (TOMs) a ochota uzavrieť zmluvu o spracúvaní údajov podľa článku 28 GDPR. Následne sa vykoná posúdenie vplyvu na ochranu údajov (DPIA), ak spracúvanie pravdepodobne predstavuje vysoké riziko pre práva a slobody fyzických osôb – napríklad pri rozsiahlom spracúvaní osobitných kategórií údajov. Po kladnom výsledku posúdenia sa uzavrie zmluva o spracúvaní údajov, ktorá okrem iného upravuje viazanosť pokynmi, povinnosť mlčanlivosti a lehoty na výmaz. Súbežne naše IT oddelenie upraví technické rozhrania, aby sa zabezpečilo šetrné odovzdávanie údajov. Pred produktívnym nasadením otestujeme implementáciu v izolovanom prostredí. Ak je poskytovateľ služieb relevantný pre poskytovanie služieb zákazníkom, informujeme dotknutých zákazníkov s existujúcimi zmluvami o spracúvaní údajov vopred o plánovanom zapojení a prípadne im priznáme právo vzniesť námietku. Priebežný dohliad sa vykonáva pravidelnými auditmi a kontrolami TOMs, minimálne raz ročne alebo podľa potreby. Zmeny v zozname poskytovateľov služieb sú bezodkladne zdokumentované na našej stránke. Tento proces zaručuje, že každý subdodávateľ spĺňa rovnaké vysoké štandardy ochrany údajov, ktoré uplatňujeme aj interne.