Další zpracovatelé (subdodavatelé)

Příloha C Smlouvy o zpracování osobních údajů (DPA) · verze seznamu 1.4 ze dne 9. listopadu 2026

Stav ke dni 9. listopadu 2026; účinnost ode dne uvedeného při zveřejnění na https://cfopanorama.com/legal/sub-processors a v oznámení podle článku 7.2 DPA. Tento seznam tvoří Přílohu C použitelného DPA. Aktuální seznam: https://cfopanorama.com/legal/sub-processors.

Volitelní další zpracovatelé (jen pokud Správce přijal část E dodatku AIC 2.0)

Tento další zpracovatel zpracovává Osobní údaje Správce jen pro Správce, který přijal část E („Claude od společnosti Anthropic“) dodatku o funkcích AI AIC 2.0, a jen po dobu, kdy je tato část přijata. Pro ostatní Správce dalším zpracovatelem není.

Nejsou Dalšími zpracovateli (nezpracovávají Osobní údaje Správce): GitHub (zdrojový kód), registrátor domén.

Klientské funkce umělé inteligence (pokud Správce přijal dodatek o funkcích AI AIC 2.0, část D): asistent na straně platformy, AI asistent mapování účtů, analytik tabulek a odpovědi v Boardroomu používají modely Google Cloud Vertex AI (včetně Anthropic Claude poskytovaného společností Google a Google Gemini) výhradně v regionu EU (nepřijal-li Správce část E, viz níže) podle již uvedeného Google Cloud Data Processing Addendum — jde o rozšíření účelu u společnosti Google, nikoli o nového dílčího zpracovatele. Tok dat: dotaz a čísla výkazů, názvy účtů a zkrácené texty účtování, které pro daný dotaz vrátí nástroje; žádné trénování ani dolaďování modelů na datech Správce; poskytovatel modelu podle svých podmínek nic neuchovává nad rámec dotazu. Samotný koncový bod v EU nezaručuje zpracování provozních a bezpečnostních metadat výhradně v EU. Správce může do 30 dnů vznést námitku podle článku 7.2; pro Správce, který část D nepřijal, zůstávají funkce vypnuté. Obecné AI nástroje pracovníci používají jen s fiktivními nebo demonstračními daty.

Zpracovatel doporučuje posílat účetní data výhradně nahráním do Služby, nikoli e-mailem.

Použitelné podmínky a omezení dodavatelů: Google Cloud oznamuje incidenty bez zbytečného odkladu a audit dokládá přednostně zprávami; Zpracovatel tím není zbaven povinností podle článků 11 a 12. Automatické zálohy databáze Služby se uchovávají 7 dní. Zbytkové kopie Google mohou být fyzicky odstraněny ve standardním cyklu až do 180 dní od zahájení příslušného výmazu u Google. Resend zpracovává údaje také v USA; region odesílání EU musí být skutečně nastaven. Microsoft EU Data Boundary obsahuje výjimky včetně určitých přístupů podpory a bezpečnostního zpracování. Resend oznamuje porušení zabezpečení bez zbytečného odkladu (čl. 8.6 DPA Resend); jeho čl. 8.8 vylučuje oznámení u porušení způsobených jednáním nebo opomenutím zákazníka, standardní smluvní doložky však mají podle čl. 10.1 DPA Resend přednost a Zpracovatel tím není zbaven povinností podle článku 11. Resend oznamuje změny svých subdodavatelů 14 dní předem; vůči Správci platí lhůty článku 7.
Konkrétní doby uchování: Resend – obsah zpráv a záznamy o doručení po dobu nastavenou v účtu Zpracovatele u Resend (omezený počet dní), nejpozději však výmaz do 90 dnů od ukončení účtu (DPA Resend, příloha A); Microsoft 365 – odstraněné zprávy lze obnovit 14 dní, poté je Microsoft odstraní ve svém cyklu (nejdéle 30 dní); schránky podpory nejsou v režimu zadržení (hold) ani archivace. Aktivní pracovní kopie podpory se mažou, jakmile nejsou potřebné; minimální korespondence k uzavřenému požadavku nejdéle do 90 dní, s výjimkami článku 14.5.
DPF lze použít jen při platné certifikaci příslušného příjemce pokrývající předání; jinak musí být před předáním sjednány použitelné standardní smluvní doložky a provedeno potřebné posouzení a doplňková opatření podle článku 8. Zpracovatel ověřuje použitelný mechanismus. Uvedení odlišností nezhojuje nesoulad dodavatelské smlouvy s článkem 28 GDPR a neomezuje odpovědnost podle článku 7.6. Změny se řídí článkem 7, nikoli automaticky kratší lhůtou dodavatele.