# Zpracovatelé a další zpracovatelé (subprocessors) — Aleatoria Verze 1.1, aktualizováno **2026‑10‑03**. Dokument je součástí zpracovatelské smlouvy () a odkazují na něj zásady ochrany osobních údajů ( / ). Změny oznamujeme **30 dní předem** (e‑mailem na fakturační adresu a v aplikaci). Správcem je **Cloudpeakify s.r.o.**, IČO 21041342, DIČ CZ21041342, se sídlem Jičínská 226/17, Žižkov, 130 00 Praha 3, Česká republika, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze, oddíl C, vložka 396064. Kontakt: **support@aleatoria.io**. *This page is bilingual: the table below is authoritative in Czech; an English summary follows each section.* --- ## 1. Sjednaní zpracovatelé Sloupec „co pro nás dělá“ říká, k čemu je zpracovatel sjednán; **jestli už reálně zpracovává**, říká poznámka u jeho jména. Dnes zpracovávají údaje **všichni čtyři**: P1 a P2, od 22. 9. 2026 také P3 (Resend) a P4 (Seznam). | # | zpracovatel | právnická osoba a sídlo | co pro nás dělá | jaké údaje | umístění zpracování | právní rámec | |---|---|---|---|---|---|---| | P1 | **Google Cloud** | Google Cloud EMEA Limited, 70 Sir John Rogerson's Quay, Dublin 2, Irsko | provoz aplikace (Cloud Run), databáze (Cloud SQL), úložiště audia (Cloud Storage), tajné klíče (Secret Manager), logy (Cloud Logging), registr kontejnerů (Artifact Registry), build (Cloud Build) | všechny údaje uložené ve službě (účet, zadání, audio, metriky, logy) | **EU** — `europe-west4` (NL), `europe-west1` (BE), zálohy v multiregionu `eu`. **Výjimka u logů:** Googlem spravované koše `_Required` a `_Default` jsou v multiregionu `global`, u kterého Google EU umístění nezaručuje. `_Required` (400 dní) vypnout nelze. Do `_Default` (30 dní) jde kopie provozních a auditních záznamů včetně request logů Cloud Run/load balanceru s úplnou IP klienta, **dokud je zapnutý výchozí sink `_Default`** — dnes zapnutý je; po jeho vypnutí tyto záznamy zůstanou jen v EU koši `aleatoria-eu-logs`. Viz `PRIVACY.*` §2 a §5, `DPA.md` §10 | [Cloud Data Processing Addendum](https://cloud.google.com/terms/data-processing-addendum), [seznam dalších zpracovatelů Googlu](https://cloud.google.com/terms/subprocessors), [certifikace](https://cloud.google.com/security/compliance) | | P2 | **Poskytovatel plateb — Stripe** *(**aktivní od 21. 9. 2026** — účet je v ostrém režimu, ceník i webhook jsou založeny a placené plány jsou v prodeji)* | Stripe Payments Europe, Limited, The One Building, 1 Grand Canal Street Lower, Dublin 2, Irsko | zpracování plateb, správa předplatného, daňové doklady, prevence podvodů | e‑mail, fakturační údaje, historie plateb, identifikátor zákazníka; **číslo karty zadáváte přímo Stripe, k nám se nedostane** | EU (Irsko); Stripe je součástí globální skupiny — přenosy kryje jeho DPA a SCC | [Stripe DPA](https://stripe.com/legal/dpa), [Stripe Privacy Center](https://stripe.com/privacy), [Stripe subprocessors](https://stripe.com/legal/service-providers) | | P3 | **Odesílatel transakčních e‑mailů — Resend** *(oznámen 21. 9. 2026, **zapnut 22. 9. 2026** — `ALEATORIA_EMAIL_PROVIDER` = `resend`; ke dni zapnutí neexistoval žádný stávající zákazník, kterému by třicetidenní lhůta podle §5 svědčila)* | Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA (obchoduje pod značkou Resend) | doručování transakčních e‑mailů: přihlašovací odkaz, ověření adresy, potvrzení objednávky podle čl. 8(7) směrnice 2011/83/EU a potvrzení odstoupení od smlouvy | **e‑mailová adresa příjemce, předmět a obsah zprávy** a doručovací metadata; u přihlašovacího odkazu je obsahem zprávy přihlašovací údaj | **USA.** Odesílání je nastavené přes region Irsko (`eu-west-1`; veřejné DNS: MX `send.aleatoria.io` → `feedback-smtp.eu-west-1.amazonses.com`, ověřeno 3. 10. 2026), ale podle vlastní dokumentace Resendu volba regionu „neřídí, kde jsou uložena zákaznická data“ — účet, metadata a logy zůstávají v USA **bez ohledu na zvolený region**. Předání do třetí země podle kapitoly V GDPR nastává vždy | [Resend DPA](https://resend.com/legal/dpa) — **modul 2 SCC** (správce → zpracovatel), doložky se řídí irským právem (§6.3.5); Resend v §11.1 DPA prohlašuje certifikaci podle **EU‑US Data Privacy Framework** a jeho UK rozšíření. Registrační záznam: , [regiony](https://resend.com/docs/dashboard/domains/regions) | | P4 | **Poštovní schránka podpory — Seznam Email Profi** *(od 22. 9. 2026)* | Seznam.cz, a.s., Radlická 3294/10, 150 00 Praha 5, Česká republika *(k právní revizi — ověřit aktuální sídlo v OR)* | příjem a odesílání pošty na `support@aleatoria.io`: dotazy, reklamace, odstoupení od smlouvy, žádosti podle GDPR, bezpečnostní hlášení | **e‑mailová adresa odesílatele, předmět a obsah zprávy** a přílohy, které nám zákazník sám pošle | **Česká republika (EU).** Žádné předání do třetí země | smluvní podmínky služby Email Profi; zpracovatelská smlouva podle čl. 28 GDPR *(k právní revizi — doplnit odkaz na DPA Seznamu)* | **Sjednaní zpracovatelé jsou dnes čtyři a všichni reálně zpracovávají údaje.** Stripe (P2) je od 21. 9. 2026 v **ostrém režimu**: ceník, webhook a zákaznický portál jsou založeny a placené plány jsou v prodeji, takže Stripe od té chvíle dostává údaje skutečných zákazníků. Do 21. 9. 2026 běžel účet v testovacím režimu a žádný údaj skutečného zákazníka se k němu nedostal; jediné, co tam z té doby je, nese testovací e‑mailovou adresu (`stripe-smoke@aleatoria.test`) ze skriptu `server/tools/stripe_smoke.py`. **Odesílatel transakčních e‑mailů (P3, Resend) je zapnutý od 22. 9. 2026** (`ALEATORIA_EMAIL_PROVIDER` = `resend`). Předáváme mu e‑mailovou adresu příjemce a obsah zprávy: přihlašovací a ověřovací odkazy, obnovu hesla, potvrzení objednávky a odstoupení a interní oznámení o odstoupení pro podporu. Doručení běží přes Amazon SES v Irsku (`eu-west-1`), účet a metadata Resendu jsou v USA, takže jde o předání do třetí země (SCC modul 2, EU‑US DPF). Pokus o odeslání se zároveň zapíše do Cloud Logging (adresa příjemce, předmět a značky) — do koše `aleatoria-eu-logs` v `europe-west4` a, **dokud je zapnutý výchozí sink `_Default`** (dnes ano), i do Googlem spravovaného koše `_Default` v multiregionu `global` (`PRIVACY.*` §5, `DPA.md` §10). **Oprava k verzi 1.0 (3. 10. 2026):** tento dokument a `PRIVACY.*` do 3. 10. 2026 v textu uváděly, že P3 „zatím NENÍ zapnutý“ a že registrace zůstává zavřená. To od 22. 9. 2026 neplatilo; tabulka výše zapnutí uváděla správně. P3 byl oznámen 21. 9. a zapnut 22. 9. 2026, tedy **před uplynutím 30denní lhůty podle §5**; zdůvodnění je u řádku P3 (ke dni zapnutí neexistoval žádný stávající zákazník, kterému by lhůta svědčila). **(k právní revizi)** **Pravidelná kontrola P3:** že registrační záznam Plus Five Five, Inc. v Data Privacy Frameworku je ve stavu **Active** — certifikace se obnovuje každoročně a její zánik mění právní základ předání. Odkaz je v tabulce; registr se vykresluje až v prohlížeči, takže to musí ověřit člověk. **P3 — varianty proměnné `ALEATORIA_EMAIL_PROVIDER`.** Změna varianty se musí promítnout do tohoto dokumentu i do `PRIVACY.*` §5 dřív, než se přepne: | `ALEATORIA_EMAIL_PROVIDER` | poskytovatel | umístění | co je třeba doplnit | |---|---|---|---| | `log` (**nastaveno do 22. 9. 2026**) | žádný — zpráva se jen zaloguje (adresa příjemce, předmět; tělo jen ve vývojovém režimu), nic se nedoručí | koš `aleatoria-eu-logs` v `europe-west4` a — dokud je zapnutý výchozí sink `_Default` (dnes ano) — **kopie v `_Default` (`global`)**, takže EU umístění dnes **není zaručeno**; po vypnutí sinku zůstane zápis jen v EU koši | nic; v tomto stavu **nesmí být otevřena registrace**, protože přihlašovací odkazy nikam nedojdou, a **nedoručí se ani potvrzení objednávky a odstoupení** | | `smtp` | vlastní relay **provozovaný v `europe-west4`** | **EU** | název a sídlo provozovatele relaye, je‑li to třetí strana; tvrzení „zpracování v EU“ v `PRIVACY.*` §5 zůstává pravdivé | | `resend` (**nastaveno od 22. 9. 2026**) | Resend, Inc., San Francisco, USA | **USA — předání do třetí země** | doplnit sídlo, odkaz na DPA a SCC, ověřit zařazení do EU‑US Data Privacy Framework a doplnit posouzení dopadu předání (TIA) | | `sendgrid` | Twilio Inc. (SendGrid), USA | **USA — předání do třetí země** | totéž | **Poznámka k roli Stripe:** ve vztahu k platebním údajům jedná Stripe **dvojjediné**: je naším **zpracovatelem** při provedení platby, kterou mu zadáme, a **samostatným správcem** pro prevenci podvodů, AML a plnění regulace platebních služeb. Rozdělení rolí popisuje Stripe DPA; zásady Stripe jako správce jsou na [stripe.com/privacy](https://stripe.com/privacy). **(k právní revizi)** **Poznámka ke Googlu jako poskytovateli přihlášení:** zvolí‑li uživatel „Přihlásit se Googlem“, komunikuje jeho prohlížeč přímo s Google Ireland Limited / Google LLC, které jsou ve vztahu k jeho účtu Google **samostatným správcem** (nikoli naším zpracovatelem). Získáváme od nich identifikátor `sub` a e‑mailovou adresu; rozsah je omezen na `openid` a `email`. *English: the controller is Cloudpeakify s.r.o., company ID (IČO) 21041342, VAT ID CZ21041342, registered seat Jičínská 226/17, Žižkov, 130 00 Prague 3, Czech Republic, registered in the Commercial Register kept by the Municipal Court in Prague, Section C, Insert 396064; contact support@aleatoria.io. Four processors are engaged and **all four process data today**: P1 Google Cloud EMEA (Ireland) hosts everything in EU regions; P2 Stripe Payments Europe (Ireland) processes payments in live mode since 21 September 2026 and acts partly as an independent controller for payment regulation; P3 Resend (Plus Five Five, Inc., USA) sends transactional e-mail since 22 September 2026 — recipient address and message content (sign-in and verification links, password resets, order and withdrawal confirmations), delivered through Amazon SES in Ireland, with Resend's account and metadata in the USA, a third-country transfer covered by SCCs (Module Two) and the EU-US DPF; P4 Seznam.cz (Czech Republic) hosts the support mailbox. Correction of version 1.0 (3 October 2026): the text until then said P3 was "not switched on yet" and that sign-up was closed; that was untrue from 22 September 2026, and P3 was switched on one day after its 21 September announcement, before the 30-day period of §5 had run (subject to legal review). Sending attempts are also written to Cloud Logging (recipient, subject, tags) — the EU `aleatoria-eu-logs` bucket and, while the default `_Default` sink is switched on (it is today), a copy in the Google-managed `_Default` bucket in the `global` multi-region (`PRIVACY.*` §5, `DPA.md` §10).* --- ## 2. Další příjemci, kteří nejsou zpracovateli | příjemce | důvod | |---|---| | Účetní / daňový poradce **(doplnit)** *(k právní revizi)* | zákonná povinnost vést účetnictví a odvádět DPH (česká sazba, bez OSS) | | Orgány veřejné moci (finanční správa, ÚOOÚ, soudy, policie) | plnění právní povinnosti nebo obrana právních nároků | | Advokátní kancelář **(doplnit)** *(k právní revizi)* | právní poradenství, vymáhání nároků | --- ## 3. Služby, které jsou **mimo** zpracování osobních údajů | služba | k čemu | proč nejde o zpracování osobních údajů | |---|---|---| | **Hugging Face** (Hugging Face, Inc., USA) | stažení vah neurálních modelů **při buildu image** (`HF_TOKEN`) | přenáší se jen náš přístupový token a modely; **žádná uživatelská data**. Za běhu může worker běžet zcela bez internetu (`worker_vpc_egress = ALL_TRAFFIC`, VPC nemá Cloud NAT) | | **GitHub** (GitHub, Inc., USA) | zdrojový kód, volitelný trigger buildu | repozitář neobsahuje produkční data | | **PyPI, npm, Docker Hub / registry Googlu** | závislosti a základní image | build‑time, bez osobních údajů | *English: Hugging Face, GitHub and package registries are build‑time dependencies only — no user data is sent to them, and the worker can run with no internet access at all in production.* --- ## 4. Co jsme vědomě nezvolili | kategorie | rozhodnutí | |---|---| | Analytika návštěvnosti (Google Analytics, Plausible, …) | **nepoužíváme** — žádné sledovací cookies, žádný přenos do třetí země | | Chybová telemetrie (Sentry apod.) | **nepoužíváme** — chyby jdou jen do Cloud Logging, tedy do koše `aleatoria-eu-logs` v `europe-west4` a, dokud je zapnutý výchozí sink `_Default` (dnes ano), i do kopie v Googlem spravovaném `_Default` (`global`); žádné třetí straně se nepředávají | | CDN třetí strany | **nepoužíváme** — SPA servíruje přímo naše API na Cloud Run v EU | | Marketingový e‑mailing / newsletter | **nepoužíváme** — posíláme výhradně transakční zprávy (ověření adresy, přihlašovací odkaz, obnova hesla, potvrzení objednávky a odstoupení), žádné obchodní sdělení. Odesílá je Resend (P3) — viz §1 | | Externí AI API (OpenAI, Anthropic, ElevenLabs…) | **nepoužíváme** — všechny modely běží na naší GPU v EU | *English: no third‑party analytics, error telemetry, CDN or marketing mailing. Transactional e‑mail is sent by Resend (P3, USA — see §1). No external AI API: every model runs on our own GPU inside the EU.* --- ## 5. Historie změn | datum | změna | |---|---| | 2026‑09‑07 | první vydání seznamu (Google Cloud EMEA; Stripe připraven pro spuštění plateb) | | 2026‑09‑07 | doplněn **P3 — odesílatel transakčních e‑mailů** (dosud nepoužit; aktivuje se s otevřením registrací) a upřesněna dvojí role Stripe. Oznamovací lhůta 30 dní běží ode dneška; poskytovatel smí být aktivován až po jejím uplynutí a po doplnění jeho identity do tabulky §1. | | 2026‑09‑10 | doplněny identifikační údaje správce a funkční kontaktní adresa. Řádek P3 **odstraněn ze seznamu aktivních zpracovatelů**: žádný odesílatel e‑mailů není sjednán (`ALEATORIA_EMAIL_PROVIDER = log`), takže nemá být uveden jako zpracovatel, kterému už předáváme údaje. Oznamovací lhůta 30 dní podle §1 poběží od data, kdy sem poskytovatele doplníme; v okamžiku vydání tohoto seznamu neexistuje subjekt údajů ani signatář DPA, kterého by bylo možné dřív vyrozumět, protože registrace jsou zavřené. **(k právní revizi — zda se lhůta uplatní i takto)** | | 2026‑09‑10 (oprava téhož dne) | **Stripe vrácen na „dosud neaktivní“.** Předchozí řádek ho označil za aktivního zpracovatele a tvrdil, že se placené plány právě spouštějí. V den vydání to nebyla pravda: účet je v režimu TEST, `signup_enabled = false`, živý klíč neexistuje a Stripe zatím nedostal žádné údaje zákazníka. Opraveno je i tvrzení, že se zpráva při `ALEATORIA_EMAIL_PROVIDER = log` zaloguje pouze v EU — zápis jde do koše `aleatoria-eu-logs` **a zároveň** do Googlem spravovaného koše `_Default` v multiregionu `global`. Stejnou opravu dostaly `docs/GDPR.md` §2, §3 (Z5, Z12), §5, §6, §9 a §11 a `docs/legal/DPA.md` §1, §4, Annex I a Annex II: dokument nesmí na stejnou otázku odpovídat na dvou místech různě. | | 2026‑09‑10 (třetí oprava téhož dne) | **Dvě tvrzení zpřesněna směrem k horší, ale pravdivé variantě.** (1) „Stripe zatím žádné **osobní** údaje nedostal“ nahrazeno „žádné údaje **zákazníka**“: integrace se v testovacím režimu ověřuje skriptem `server/tools/stripe_smoke.py`, který zakládá Checkout session s testovací e‑mailovou adresou, takže absolutní tvrzení nelze doložit. Táž oprava v `docs/legal/DPA.md` Annex I. (2) Všechna tvrzení o kopii záznamů v koši `_Default` jsou přepsána **podmíněně** („dokud je zapnutý výchozí sink `_Default`“), protože `docs/LAUNCH.md` §11 („Logy do EU“) nařizuje ten sink při spuštění vypnout; dokument tak platí před vypnutím i po něm. Týká se §1, §4 a řádku P1 zde, `PRIVACY.*` §2 a §5, `GDPR.md` §2, §4, §6, §11 a §12 a `DPA.md` §10 a Annex II. | | 2026‑10‑03 | **Verze 1.1 — oprava podle skutečnosti.** Text §1 a anglické shrnutí tvrdily, že P3 „zatím NENÍ zapnutý“, že registrace je zavřená a (v angličtině) že Stripe je v testovacím režimu a zpracovává jen P1. Od 22. 9. 2026 to neplatilo: P3 (Resend) i P4 (Seznam) zpracovávají údaje, Stripe běží v ostrém režimu, registrace je otevřená. Tabulka P3 to uváděla správně. Zapnutí P3 den po oznámení (před 30denní lhůtou §5) je přiznáno v §1 a předáno k právní revizi. |