Seznam podpracovatelů (subprocessors)

VERZE 2026-09-02 — 2.3. Účinné od 2. 9. 2026. Tento seznam je nedílnou součástí Smlouvy o zpracování osobních údajů (DPA) ve verzi uvedené v jejím záhlaví. O každé změně seznamu informuje Reputive vlastníky účtů nejméně 30 dnů předem e-mailem a v sekci Compliance v aplikaci.

Změny vůči verzi 2.2 (1. 9. 2026):

opraven region databáze Supabase: AWS eu-west-1 (Irsko, EU) namísto dříve uváděného německého regionu;

doplněn Google reCAPTCHA (ochrana formulářů přihlášení a registrace) a Zásilkovna s.r.o. (pouze e-shop na reputive.cz);

opraveny názvy subjektů: ThePay, a.s. (IČO 28135261) a Interactive Marketing, s.r.o. (IČO 24814075, provozovatel SmsManager.cz);

u Anthropic PBC, Upstash, Inc. a Functional Software, Inc. (Sentry) doplněn ověřený mechanismus předání (EU-US Data Privacy Framework, SCC jako záloha); odstraněny pracovní poznámky;

u Google opraven odkaz na smluvní dokumenty Gemini Developer API (Gemini API Additional Terms + Google Data Processing Addendum for Products Where Google is a Data Processor);

doplněn sloupec „Role“, který rozlišuje podpracovatele údajů zákazníků Správce (DPA) od zpracovatelů údajů samotných uživatelů Reputive a zákazníků e-shopu.

1. Tabulka podpracovatelů a zpracovatelů

Legenda sloupce Role: DPA = podpracovatel ve smyslu čl. 28 odst. 2 a 4 GDPR, který zpracovává osobní údaje zákazníků Správce; Reputive = zpracovatel pro údaje, u nichž je Digifox s.r.o. správcem (uživatelé aplikace, návštěvníci webu, zákazníci e-shopu).

#	Subjekt	Sídlo a kontakt	Účel zpracování	Kategorie údajů	Lokalita zpracování	Předání mimo EHP	Role	Smluvní dokument
1	Supabase Inc.	970 Toa Payoh North #07-04, Singapore 318992; privacy@supabase.io	Hostovaná databáze PostgreSQL, autentizace, úložiště souborů	Veškeré údaje uživatelů Reputive i zákazníků Správce	AWS eu-west-1 (Irsko, EU)	Nepoužívá se pro uložení dat (EU). Pro případný přístup podpory Supabase mimo EU: SCC 2021/914 v rámci Supabase DPA	DPA, Reputive	supabase.com/legal/dpa
2	Vercel Inc.	340 S Lemon Ave #4133, Walnut, CA 91789, USA; privacy@vercel.com	Hosting aplikace app.reputive.cz a webu reputive.cz, serverové funkce, CDN	Provozní logy požadavků (IP adresa, user-agent, URL), běhová paměť aplikace; bez trvalého uložení údajů zákazníků Správce	Serverové funkce aplikace v regionu EU „fra1“; CDN globálně; správa z USA	EU-US Data Privacy Framework (čl. 45 GDPR); SCC 2021/914 Modul 2 jako záloha	DPA, Reputive	vercel.com/legal/dpa
3	Resend, Inc.	2261 Market Street #4667, San Francisco, CA 94114, USA; privacy@resend.com	Doručování transakčních e-mailů a e-mailových žádostí o recenzi; metadata doručení (doručeno, otevřeno)	E-mail, jméno příjemce, předmět a obsah zprávy včetně proměnných vložených Správcem	Region EU nastavený na účtu Reputive; společnost sídlí v USA	EU-US Data Privacy Framework; SCC 2021/914 Modul 2 jako záloha	DPA, Reputive	resend.com/legal/dpa
4	Interactive Marketing, s.r.o. (SmsManager.cz)	Komunardů 1091/36, 170 00 Praha 7; IČO 24814075; info@smsmanager.cz	Odesílání SMS žádostí o recenzi, příjem doručenek	Telefonní číslo příjemce, text SMS, stav doručení	Česká republika	Nepoužívá se (EU)	DPA	Smlouva o zpracování na vyžádání u poskytovatele; podmínky na smsmanager.cz
5	Google LLC (zastoupena v EU Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4)	1600 Amphitheatre Parkway, Mountain View, CA 94043, USA; data-protection-office@google.com	(a) Google Business Profile API — čtení recenzí a publikace schválených odpovědí; (b) Gemini Developer API (placená úroveň) — generování návrhů textů; (c) Google reCAPTCHA v3 — ochrana formulářů přihlášení, registrace a obnovy hesla; (d) Google Analytics 4 — měření akvizičního funnelu pouze se souhlasem	(a) profil firmy Správce a obsah veřejných recenzí vč. jména autora; (b) text recenze, hodnocení, veřejné jméno autora recenze, název a obor firmy, nastavení tónu a ukázky stylu Správce; (c) IP adresa, user-agent a údaje o interakci se stránkou; (d) pseudonymní GA client ID a funnel události bez e-mailu a jména	(a), (b) globální infrastruktura Google, převážně USA; Gemini Developer API negarantuje zpracování v EU; (c), (d) EU/USA	EU-US Data Privacy Framework (Google LLC, participant ID 5780); SCC 2021/914 Modul 2 jako záloha	DPA, Reputive	Gemini API Additional Terms (placené služby — zákaz použití vstupů a výstupů k tréninku) + Google Data Processing Addendum for Products Where Google is a Data Processor; reCAPTCHA a GA4: policies.google.com/privacy
6	Anthropic PBC	548 Market St, PMB 90375, San Francisco, CA 94104, USA; privacy@anthropic.com	Claude API — záložní model pro generování návrhů odpovědí a kontrolní model kvality, použitý při nedostupnosti nebo přetížení primárního modelu Google	Text recenze, hodnocení, veřejné jméno autora recenze, název a obor firmy, nastavení tónu a ukázky stylu Správce	USA	EU-US Data Privacy Framework (Anthropic PBC je certifikovaným účastníkem — viz Anthropic Privacy Center); SCC 2021/914 Modul 2 jako záloha	DPA	anthropic.com/legal/data-processing-addendum + Commercial Terms (zákaz tréninku na zákaznickém obsahu)
7	Upstash, Inc.	USA; support@upstash.com	Redis — omezení počtu požadavků (rate limiting) a deduplikace upozornění	Krátkodobé čítače odvozené z IP adresy nebo identifikátoru účtu; bez trvalého uložení osobního obsahu	Region databáze nastavený na účtu Reputive; společnost sídlí v USA	EU-US Data Privacy Framework (Upstash, Inc. je certifikovaným účastníkem dle svého DPA); SCC 2021/914 Modul 2 jako záloha	DPA, Reputive	upstash.com/trust/dpa.pdf
8	Functional Software, Inc. (Sentry)	45 Fremont St, 8th Floor, San Francisco, CA 94105, USA; compliance@sentry.io	Sběr chybových a výkonových hlášení z prohlížeče i serveru	Technické údaje o chybě (stack trace, URL bez parametrů, user-agent, IP adresa); osobní údaje jen pokud jsou součástí kontextu chyby; bez nahrávání obrazovky	USA	EU-US Data Privacy Framework (Functional Software, Inc. je certifikovaným účastníkem); SCC 2021/914 Modul 2 jako záloha	DPA, Reputive	sentry.io/legal/dpa
9	ThePay, a.s.	Masarykovo nám. 102/65, 586 01 Jihlava; IČO 28135261; privacy@thepay.cz	Platební brána pro předplatné Reputive (platba kartou)	Identifikační a platební údaje uživatele Reputive; údaje zákazníků Správce se k ThePay nedostanou	Česká republika	Nepoužívá se (EU)	Reputive	thepay.cz — zpracování osobních údajů
10	Zásilkovna s.r.o.	Lihovarská 1060/12, 190 00 Praha 9; IČO 28408306	Doručení zboží objednaného v e-shopu na reputive.cz (NFC destičky)	Jméno, e-mail, telefon, doručovací adresa nebo výdejní místo kupujícího; údaje zákazníků Správce se k Zásilkovně nedostanou	Česká republika	Nepoužívá se (EU)	Reputive	Podmínky a informace o zpracování na zasilkovna.cz

Podpracovateli nejsou provozovatelé platforem, které si Správce sám připojí (Google Business Profile, Heureka, Zboží.cz, Trustpilot, Judge.me, Upgates, Base.com, WooCommerce, Zapier a další konektory uvedené v aplikaci). Vůči Správci vystupují jako samostatní správci nebo zpracovatelé podle svých vlastních podmínek; Reputive z nich na pokyn Správce čte a do nich zapisuje.

2. Předávání do třetích zemí

Primární databáze a hosting aplikace jsou v Evropské unii. Pro subjekty se sídlem v USA (#2, #3, #5, #6, #7, #8) se Reputive opírá primárně o prováděcí rozhodnutí Komise (EU) 2023/1795 (EU-US Data Privacy Framework, čl. 45 GDPR) a jako záložní nástroj o standardní smluvní doložky dle prováděcího rozhodnutí (EU) 2021/914, Modul 2, které jsou součástí smluv o zpracování uvedených subjektů. Stav DPF byl ověřen k 2. 9. 2026 (žaloba T-553/23 zamítnuta Tribunálem 3. 9. 2025; kasační opravný prostředek C-703/25 P u Soudního dvora EU nemá odkladný účinek). Reputive stav sleduje a při změně aktualizuje tento seznam a interní posouzení dopadů předání (TIA).

3. Sub-procesory podpracovatelů (onward transfers)

Každý podpracovatel udržuje vlastní seznam svých sub-procesorů a odpovídá za stejnou úroveň ochrany u nich (čl. 28 odst. 4 GDPR, DPF princip „Accountability for Onward Transfer“):

Google: cloud.google.com/terms/subprocessors
Resend: resend.com/legal/subprocessors
Sentry: sentry.io/legal/subprocessors
Supabase, Vercel, Anthropic, Upstash: seznam je součástí smlouvy o zpracování daného subjektu (odkazy ve sloupci „Smluvní dokument“ výše)
ThePay, Interactive Marketing, Zásilkovna: na vyžádání u daného subjektu

Souhrnný řetězec sub-procesorů relevantních pro konkrétní účet poskytne Reputive na žádost Správce do 30 dnů.

4. Co Reputive nepoužívá

Reklamní sítě ani remarketing v aplikaci app.reputive.cz. (Marketingový web reputive.cz má vlastní Zásady cookies, které popisují nástroje používané se souhlasem návštěvníka.)
Analytické trackery třetích stran v přihlášené části aplikace; Google Analytics 4 se načítá pouze na veřejných stránkách /register, /demo a /onboarding a pouze se souhlasem.
Jiné generativní modely než Google Gemini (primární) a Anthropic Claude (záložní), oba v placené konfiguraci se smluvním zákazem tréninku na vstupech a výstupech.
Datové brokery ani prodej údajů.

5. Postup před zapojením nového podpracovatele

Před zapojením nového podpracovatele Reputive přezkoumá jeho smlouvu o zpracování, ověří certifikaci DPF nebo dostupnost SCC, posoudí technická a organizační opatření a případného zástupce v EU dle čl. 27 GDPR. Záznam je součástí interního záznamu o činnostech zpracování (čl. 30 GDPR).

6. Oznamování změn a námitka

O zapojení nového nebo nahrazení stávajícího podpracovatele Reputive informuje vlastníky účtů e-mailem a v sekci Compliance v aplikaci nejméně 30 dnů před účinností změny; drobné změny (adresa, název subjektu, opravy) zveřejňuje bez oznámení v historii verzí.
Správce může do 14 dnů od oznámení vznést odůvodněnou námitku na info@reputive.app.
Nedojde-li k dohodě, může Správce smlouvu ukončit ke dni účinnosti změny; předplacenou a nevyčerpanou část poplatku Reputive vrátí.

7. Historie verzí

Datum	Verze	Změna
2026-05-17	1.1	Doplnění adres, DPF status (Vercel, Resend, Google), odkazy na DPA jednotlivých subjektů, onward transfers, zástupci v EU, sjednocení lhůt oznámení (30 dnů) a námitky (14 dnů).
2026-07-10	2.0	Finální znění; identifikační údaje Digifox s.r.o. ověřeny dle ARES.
2026-08-13	2.1	U Google doplněna souhlasem podmíněná analytika GA4 veřejného akvizičního funnelu.
2026-09-01	2.2	U Anthropic PBC doplněna informace o DPF certifikaci.
2026-09-02	2.3	Region Supabase opraven na eu-west-1 (Irsko). Doplněni Google reCAPTCHA a Zásilkovna s.r.o.; formálně zařazeni Anthropic PBC, Upstash, Inc., Functional Software, Inc. (Sentry) a Interactive Marketing, s.r.o., kteří byli v provozu od dřívějších verzí aplikace, ale chyběli v DPA §8. Opraveny názvy ThePay, a.s. a Interactive Marketing, s.r.o. Odstraněny pracovní poznámky; doplněn sloupec Role a opraven odkaz na smluvní dokumenty Gemini API.

Kontakt pro otázky a námitky: info@reputive.app · datová schránka pq4uk35.