1. Základní fakta
Toto je kanonický seznam subprocesorů pro Nose for Horse (dále jen „Nose“). Zásady ochrany osobních údajů, DPA a stránka Bezpečnost a důvěra odkazují sem, místo aby tuto tabulku duplikovaly.
- Provozovatel / správce údajů (vlastní údaje): DF Daniel Fojcik, polská fyzická osoba – podnikatel (jednoosobowa działalność gospodarcza, JDG) registrovaná v CEIDG. NIP 6472592229 · DPH EU PL6472592229 · REGON 387798601. Hlavní místo podnikání: ul. Goplany 36a, 44-321 Marklowice, Polsko. Obchodování pod názvem Nose for Horse pro tento produkt.
- Kontakt na právní otázky / ochranu soukromí: support@nose.horse. Není určen žádný formální pověřenec pro ochranu osobních údajů; kontaktní osobou pro ochranu osobních údajů je sám podnikatel.
- Dozorový úřad: Předseda Úřadu pro ochranu osobních údajů (UODO), ul. Stawki 2, 00-193 Warszawa, Polsko — uodo.gov.pl.
- Dvě role (viz Zásady ochrany osobních údajů → „Kdo je odpovědný“ a DPA): správce — pro návštěvníky marketingových stránek, údaje o účtu a fakturaci správců stájí a instruktorů, produktovou analytiku a údaje o zabezpečení a prevenci zneužití; zpracovatel — pro provozní data, která stáj zadává o svých jezdcích a zákaznících (stáj je správce; řídí se DPA se zákazníkem).
- Postoj datové rezidence (čestný): Nose běží ve dvou datových regionech. Data zákazníků stájí v regionu USA jsou uložena ve Spojených státech. Služba je provozována, spravována a podporována z Evropské unie. Každá stáj mimo region USA je obsluhována z regionu EU, kde základní zpracování probíhá v EHP; malá skupina služeb sdílených oběma regiony — transakční e-maily, sledování chyb, analytika se souhlasem — zůstává v EHP a několik komponent běží v obou regionech mimo EHP. Tabulka níže je kanonickým záznamem: region každého poskytovatele zvlášť pro každý datový region a mechanismus přenosu, který jej pokrývá. Může se měnit, jak se rozšiřujeme nebo jak poskytovatel mění svou stopu; každá meziregionální trasa je pokryta vhodným mechanismem přenosu — rozhodnutím o přiměřenosti, EU-U.S. Data Privacy Framework (a jeho rozšířením pro Spojené království), standardními smluvními doložkami EU, dodatkem Spojeného království pro mezinárodní přenos dat nebo ekvivalentem, který vyžaduje přidaný region (viz sloupec „Přenosový mechanismus“).
- Uchovávání údajů: údaje jsou uchovávány po dobu životnosti aktivního účtu; při výmazu údajů jezdce (čl. 17) jsou přímé identifikátory odstraněny po 30denní lhůtě odkladu (pseudonymizace podle čl. 4 odst. 5 GDPR – řádky jízd a finanční řádky si ponechají ukazatel na odstraněný profil, který již nikam nevede, nejde tedy o úplnou anonymizaci podle bodu odůvodnění 26); při ukončení účtu stáje jsou data uchovávána max 90 dní v automatické, vratné lhůtě odkladu, exportována pouze na vyžádání a poté automaticky vymazána. Pětiletá povinnost uchovávat daňové doklady je povinností stáje (a Nose pouze pro její vlastní faktury za předplatné) — Nose neuchovává osobní údaje jezdců po dobu 5 let. Úplné podrobnosti v Zásadách ochrany osobních údajů → „Jak dlouho údaje uchováváme (uchovávání)“ a DPA → „Uchovávání, vracení a mazání vašich dat“.
- Platby: Nose není součástí toku peněz a nikdy nezpracovává údaje o kartě. Offline platby jezdců (hotovost / permanentka / dárkový poukaz / převod) zůstávají sledovacími štítky. Pokud stáj povolí online platby, jezdci platí kartou / peněženkou / (v Polsku) BLIK přes Stripe Connect přímo na vlastní účet Stripe stáje – stáj je obchodníkem a Stripe je zpracovatelem plateb; Nose pouze předává pokyn a peníze nikdy nedrží ani nepřijímá. Fakturace předplatného (předplatné stáje u Nose) funguje takto: polské stáje platí přes Stripe přímo v PLN (Nose vystavuje polskou fakturu). Dodo Payments je Merchant of Record pro všechny nepolské stáje (EUR/GBP/USD) – Dodo je právním prodejcem předplatného, vystavuje daňově vyhovující fakturu nebo účtenku a vypočítává a odvádí DPH či daň z prodeje v cílové jurisdikci. Oba poskytovatelé zpracovávají fakturační identifikační údaje správce stáje jménem Nose. Jako Merchant of Record je Dodo více než zpracovatel: pro samotnou transakci je nezávislým prodejcem a správcem. Budoucí změna poskytovatele fakturace se řídí mechanismem předchozího oznámení a námitek v DPA → „Důvěrnost, bezpečnost a dílčí zpracovatelé“.
2. Hlavní seznam dílčích zpracovatelů
Každý dílčí zpracovatel přijímá pouze data nezbytná k plnění jeho funkce. „Region“ je oblast zpracování dat; několik dodavatelů je registrováno v USA, ale nabízí datové regiony EU, takže zajištění DPA + SCC/DPF pokrývá jakýkoli náhodný přístup subjektu dodavatele. Nose běží ve dvou datových regionech; tam, kde je poskytovatel nasazen v obou, sloupec „Region“ uvádí jeho instanci v každém z nich a danou stáj obsluhuje výhradně instance jejího vlastního regionu.
| Dílčí zpracovatel | Účel | Kategorie osobních údajů | Region | Přenosový mechanismus |
|---|---|---|---|---|
| Supabase Inc. | Databáze aplikací, ověřování, ukládání souborů | Údaje o účtu + profilu; všechny provozní údaje stáje/jezdce | region EU — eu-central-1 (Frankfurt); region USA — us-east-1 (Spojené státy); data stáje se nacházejí pouze v jejím vlastním regionu, bez replikace mezi regiony | Region EU: oblast údajů v rámci EHP. Region USA: standardní smluvní doložky EU (a EU-U.S. Data Privacy Framework, je-li poskytovatel certifikován). DPA + SCC pokrývají náhodný přístup dodavatele v obou |
| Vercel Inc. | Hosting, výpočet bez serveru, cron | Protokoly požadavků, IP adresa | region EU — fra1; region USA — iad1 (Spojené státy); globální okrajová síť v obou | DPA + SCC (EU-U.S. Data Privacy Framework, je-li poskytovatel certifikován) |
| Brevo (Sendinblue SAS) | Transakční + magický e-mail | Jméno, emailová adresa, zpráva/odkazy | EU (Francie) | V rámci EHP |
| PostHog Inc. (analytika – se souhlasem) | Produktová analytika | Pseudonymní id, automaticky zaznamenané události, zobrazené stránky, zařízení/prohlížeč; přibližná země/město se zjistí z IP adresy před tím, než je samotná IP při příjmu zahozena (nastavení PostHog „Zahodit klientská IP data“). | EU Cloud (eu.posthog.com) | Oblast údajů v rámci EHP; DPA + SCC pro náhodný přístup dodavatele |
| Sentry (Functional Software, Inc.) | Sledování chyb | Stopy chyb; tagy: user UUID, stable id, locale, procedure (e-mail / telefon / tělo zprávy / poznámky / tokeny scrubbed před odesláním) | EU (region úložiště dat) | Nakonfigurováno pro svůj region EU; DPA + SCC jako záložní zdroj pro jakékoli náhodné zpracování mimo EHP |
| Upstash, Inc. | Počítadla rychlostních limitů + klíče idempotence | Klíče odvozené z IP (IP = osobní údaje) | region EU — databáze Regional v eu-central-1 (Frankfurt, AWS); region USA — databáze Regional v us-east-1 (Spojené státy, AWS); žádná replikace mezi regiony ani v jednom z nich | Region EU: nakonfigurována pro svůj region EU, s DPA + SCC jako záložním řešením pro jakékoli náhodné zpracování mimo EHP. Region USA: standardní smluvní doložky EU |
| Cloudflare, Inc. | Ochrana proti botům Turnstile, DNS, CDN edge | Metadata požadavku, IP adresa | Globální edge síť | DPF + SCC |
| Google LLC (Google OAuth – pouze volitelné přihlášení) | Vrátí trvalý identifikátor účtu při přihlášení Google | Identifikátor účtu OAuth | Spojené státy americké | EU-U.S. Záložní DPF + SCC |
| Stripe – Stripe Payments Europe, Ltd. (EU/Spojené království); Stripe, Inc. pro propojený účet stáje v USA (fakturace předplatného — Polsko; + online platby jezdcem přes Connect) | Účtování předplatného pro polské stáje (PLN; Nose je výstavcem faktur, faktura); a pro stáje, které umožňují online platby, zpracování těchto plateb kartou / peněženkou / (v Polsku) BLIK přes Stripe Connect do vlastního Stripe účtu stáje (stáj je obchodník — Nose není v toku prostředků) | Fakturační jméno, země, token karty držený Stripe, poslední 4; u online plateb jméno/kontakt plátce a záznam plateb Stripe na propojeném účtu stáje | EU + USA | Živé od 2026-07-01 — DPA prostřednictvím přijetí účtu + SCC |
| Dodo Payments (Merchant of Record – fakturace předplatného mimo Polsko) | Legální prodejce předplatného pro nepolské stáje (EUR/GBP/USD): vystaví daňově vyhovující fakturu/stvrzenku + vypočítá a odvede DPH/daň z obratu | Fakturační jméno, e-mail, fakturační země/adresa, token karty Dodo, poslední 4 | Globální (MoR) — entita Dodo + její vlastní dílčí zpracovatelé | Živě od 2026-07-01 — DPA prostřednictvím přijetí TOS + SCC / EU-U.S. DPF |
3. Změny tohoto seznamu
Závazek změny dílčího zpracovatele: když Nose přidá, nahradí nebo odebere dílčího zpracovatele, aktualizuje tento seznam a upozorní aktivní stáje — e-mailem na adresu účtu stáje nebo oznámením v aplikaci zobrazeným správcům stáje — nejméně 15 dní předem, než změna nabude účinnosti (dříve pouze tehdy, je-li to naléhavé z důvodu zabezpečení nebo kontinuity služby), s přiměřenou možností stáje vznést námitku z důvodu ochrany údajů. Mechanismus je stanoven v DPA → „Důvěrnost, bezpečnost a dílčí zpracovatelé“.
4. Registr DPA dílčích zpracovatelů
Každý výše uvedený dodavatel zveřejňuje standardní dodatek o zpracování údajů, který platí prostřednictvím jeho podmínek služby nebo přijetím v administrační konzoli; žádný z nich nepodepisuje dvoustrannou papírovou DPA a čl. 28 odst. 3 GDPR to nevyžaduje. Nose vede interní registr s URL DPA každého dodavatele, použitou verzí, způsobem přijetí a datem posledního ověření. Tento registr se liší od DPA se zákazníkem (stáj ↔ Nose).