Příloha 4 — Seznam dalších zpracovatelů

Seznam dalších zpracovatelů podle čl. 28 odst. 2 a 4 GDPR. Zveřejňuje se samostatně a je samostatně verzovaný; změna se oznamuje postupem podle čl. 5.3 smlouvy a dokumentu Postup změny dalšího zpracovatele.

#1. Jak seznam číst

1.1 Sloupce mají tento význam:

1.2 Údaje o dodavatelích — smluvní protistrana, umístění, mechanismus přenosu a smluvní režim — vycházejí z podmínek, které dodavatel veřejně vydává, ve znění ke dni 28. 9. 2026, a stav zápisu v rámci pro předávání údajů mezi Evropskou unií a Spojenými státy z jeho oficiálního seznamu k témuž dni. Provozovatel je nedoplňuje odhadem.

1.3 Vztah k jednotlivým dodavatelům je kryt podmínkami, které dodavatel veřejně vydává a které provozovatel přijal při založení účtu. Obsahují-li zpracovatelský dodatek, je jejich součástí a samostatný podpis nevyžaduje.

#2. Další zpracovatelé

2.1 Řádek 12 zůstává v seznamu, protože služba umí časové razítko vyžádat. Adresa služby není nastavena, k žádnému odeslání nedochází a pečeť nese čas serveru provozovatele; nastavení by bylo změnou tohoto seznamu podle čl. 6.

#3. Poznámky k jednotlivým řádkům

#3.1 Hosting (řádek 1)

3.1.1 Je to řádek s největší vahou v celém seznamu: hosting drží celou databázi včetně zdravotních záznamů dětí. Na témže serveru běží i aplikace, mezipaměť, fronty a server pro obousměrnou komunikaci prohlížeče — nejde tedy o dalšího dodavatele, ale o totéž místo.

#3.2 Cloudflare je v seznamu třikrát (řádky 2 až 4)

3.2.1 Jsou to tři odlišné role u jednoho subjektu a nelze je sloučit:

a) správa domény a certifikátů — dodavatel drží doménovou zónu a účastní se vydávání certifikátů; b) síť pro doručování obsahu — veškerý provoz na doménách provozovatele jí prochází, takže vidí i obsah odeslaných formulářů, a je u ní ukončeno šifrované spojení návštěvníka. To je důvod, proč je zde dodavatel dalším zpracovatelem, a ne infrastrukturou; c) objektové úložiště — tři oddělené prostory se samostatnými přístupovými údaji.

3.2.2 Provoz na vlastní doméně správce sítí podle písmene b) neprochází; míří přímo na server provozovatele.

3.2.3 Tvrzení, že údaje neopouštějí Evropskou unii, platí pouze pro obsah úložných prostorů podle písmene c), kde je nastaveno jurisdikční omezení. Pro provoz procházející sítí podle písmene b) neplatí.

#3.3 Odchozí pošta (řádek 5)

3.3.1 Zprávy nesoucí přihlašovací kód do portálu, ověření adresy a bezpečnostní upozornění odcházejí vždy touto cestou, i má-li správce nastaven vlastní odesílací server.

3.3.2 Zda příjemce zprávu otevřel nebo použil odkaz, služba nezaznamenává: sledování je u dodavatele vypnuté, a kdyby dodavatel takové události přesto hlásil, služba je potvrdí a nezapíše.

3.3.3 Region odesílání určuje jen, odkud zprávy odcházejí. Údaje o zprávách — adresáta, předmět, stav doručení a záznamy o volání rozhraní — dodavatel ukládá ve Spojených státech, a předání se proto posuzuje jako předání do třetí země v plném rozsahu.

#3.4 AI asistent a migrace dat (řádek 6)

3.4.1 Je to jediný řádek seznamu, u kterého mohou do třetí země odejít zvláštní kategorie údajů — údaje o zdravotním stavu dětí —, a to jen při čtení dokumentů v migraci dat na samostatný pokyn správce (čl. 3.4.4). Asistent je neodesílá: žádný jeho nástroj zdravotní údaje dětí nečte, ani jako počty, bez ohledu na oprávnění tazatele, a výsledek, který by zdravotní údaj nesl, se neodešle.

3.4.2 Asistent je součástí vyššího tarifu a zkušebního období. Správce jej může vypnout pro celou organizaci v nastavení organizace, v části o ochraně osobních údajů; vypnutím zmizí všem členům týmu bez ohledu na jejich oprávnění a k dodavateli přestanou odcházet jakákoli data. Zapnout jej zpět může tamtéž.

3.4.3 Podá-li správce proti tomuto dalšímu zpracovateli námitku podle čl. 5.4 smlouvy, může ji provést sám vypnutím podle předchozího odstavce; nepostačí-li mu to, zbývá výpověď smlouvy podle čl. 5.4.2 písm. b).

3.4.4 Při migraci dat odcházejí dokumenty tomuto dalšímu zpracovateli jen na výslovný pokyn, který správce udělí při jejím spuštění (čl. 2.3.1 smlouvy). Nechce-li správce, aby dokumenty odešly, nezaškrtne při spuštění migrace faktury a doklady ani dokumenty dětí; tabulky a prázdná přihláška se pak převedou tak, jak popisuje Příloha 1 čl. 7.3 a 7.4. Dokumenty o zdravotním stavu dětí odcházejí jen na druhý, samostatný pokyn, který služba nabízí nezaškrtnutý (Příloha 1 čl. 7.7); bez něj je zpracovatel neodešle, připojí je k přihláškám jako nepřečtené soubory a zdravotní profily nevyplní.

3.4.5 Popis přenosu, kterým dodavatel doplňuje standardní smluvní doložky, uvádí u zvláštních kategorií údajů „žádné". Samostatný pokyn podle čl. 3.4.4 proto služba nabízí s upozorněním, že jde o zvláštní kategorii údajů dětí, že údaje odcházejí do Spojených států a že zveřejněná smlouva dalšího zpracovatele předání takových údajů nepředpokládá; o předání rozhoduje správce.

#3.5 Fakturace předplatného (řádek 7)

3.5.1 Dodavatel v tomto řádku zpracovává údaje o správci, nikoli o zákonných zástupcích a dětech. Do seznamu patří proto, že správce — je-li fyzickou osobou podnikající — je sám subjektem údajů.

3.5.2 Tentýž dodavatel může vystupovat i jako platební brána, kterou si správce zapojí pro platby zákonných zástupců. V takovém případě není dalším zpracovatelem provozovatele — viz čl. 4.

#3.6 Nasazování (řádek 8)

3.6.1 Řádek je v seznamu proto, že držení přístupového klíče k produkčnímu serveru je přístupová cesta k údajům, i když jimi samo o sobě nedisponuje.

3.6.2 Úložiště kódu je neveřejné a vedené na osobním účtu, u něhož dodavatel podle svých podmínek vystupuje jako správce. Údaje správce ani zákonných zástupců mu neodcházejí; ochrana klíče je otázkou zabezpečení (Příloha 3), ne předání do třetí země.

#4. Příjemci, kteří dalšími zpracovateli provozovatele nejsou

4.1 Následující příjemci se do seznamu nezapisují, protože ve vztahu k nim není provozovatel tím, kdo je zapojuje:

4.2 U příjemců podle čl. 4.1 odpovídá za právní režim předání správce.

4.3 U platebních bran platí zvláštnost, kterou provozovatel uvádí výslovně. Není u obou bran stejná a rozhoduje o ní to, zda brána umožňuje propojit účet správce:

4.3.1 U brány, která propojení účtu umožňuje, správce svůj účet propojí a udělí tím provozovateli oprávnění vytvořit na tomto účtu platbu. Provozovatel nedrží žádný tajný přístupový klíč správce — uchovává pouze identifikátor jeho účtu a platbu skládá vlastním přístupovým klíčem s odkazem na tento účet. Oprávnění je odvolatelné: správce je zruší v nastavení služby nebo přímo u brány a provozovatel tím ztrácí možnost na účtu jednat.

4.3.2 U brány, která propojení účtu neumožňuje, vkládá správce do služby vlastní přístupové údaje a tajný přístupový klíč správce drží provozovatel v zašifrované podobě v nastavení organizace, aby jím mohl jménem správce vytvořit platbu. Nezakládá to postavení dalšího zpracovatele brány, ale zakládá to povinnost tento klíč chránit — Příloha 3 čl. 2.2.

4.3.3 Ani v jednom případě neprocházejí peněžní prostředky zákonných zástupců účtem provozovatele.

#5. Co provozovatel k poskytování služby nepoužívá

5.1 Ke dni účinnosti tohoto seznamu služba nepoužívá:

5.2 Zapojení kteréhokoli z nich by bylo změnou tohoto seznamu podle čl. 6.

#6. Změny seznamu

6.1 Zapojení nového dalšího zpracovatele nebo nahrazení stávajícího oznámí provozovatel správcům nejméně 30 dní předem e-mailem na kontaktní adresu vlastníka účtu. Nové znění tohoto seznamu zveřejní na této adrese dnem účinnosti změny.

6.2 Správce může podat námitku do 30 dnů; následky jsou v čl. 5.4 smlouvy. Podrobný postup je v dokumentu Postup změny dalšího zpracovatele.

6.3 Doplnění samostatně podepsané smlouvy o zpracování k některému z řádků není zapojením nového dalšího zpracovatele a neběží od něj lhůta podle čl. 6.1; mění se pouze sloupec Smluvní režim.