Seznam zpracovatelů (subprocessoři)
Verze 11. 9. 2026
Tato stránka obsahuje aktuální seznam dílčích zpracovatelů, které NemotiQ s.r.o. zapojuje do zpracování osobních údajů při poskytování služby NemotiQ. Seznam je nedílnou součástí Smlouvy o zpracování osobních údajů (DPA).
O změnách (přidání, nahrazení nebo odstranění zpracovatele) informujeme zákazníky minimálně 30 dní předem e-mailem a aktualizací této stránky.
Seznam zpracovatelů
Resend
Resend, Inc.
- Účel
- Odesílání transakčních e-mailů (verifikace, reset hesla, notifikace) a marketingových kampaní z modulu CRM iniciovaných Uživatelem.
- Kategorie údajů
- E-mail, jméno, obsah zprávy, metriky doručení (otevření, kliknutí, bounce).
- Jurisdikce
- USA
- Mechanismus přenosu
- DPA, Standardní smluvní doložky EU (SCC)
Signi
Digital factory s.r.o., IČO 06988377 (služba Signi)
- Účel
- Elektronický podpis dokumentů (pokročilý elektronický podpis dle nařízení eIDAS).
- Kategorie údajů
- Jméno, e-mail, telefon podepisujícího, IP adresa, otisk prohlížeče, časová razítka, podpisový obraz, podepisovaný dokument.
- Jurisdikce
- Česká republika
- Mechanismus přenosu
- DPA dle čl. 28 GDPR (interní EU)
Google Ireland Limited / Google LLC
- Účel
- Přihlášení přes Google (SSO – volitelné) a synchronizace kalendáře přes Google Calendar API (na základě OAuth souhlasu Uživatele; možno kdykoli odvolat).
- Kategorie údajů
- Při SSO: e-mailová adresa, jméno a profilová fotografie, identifikátor Google účtu. Při kalendáři: OAuth tokeny (access + refresh, šifrované AES-256-GCM v DB), ID kalendáře, název a popis událostí, účastníci.
- Jurisdikce
- Irsko / USA
- Mechanismus přenosu
- Standardní smluvní doložky EU (SCC) + EU-US Data Privacy Framework
Vercel
Vercel, Inc.
- Účel
- Hosting webové aplikace, edge funkce a plánované úlohy (cron). Web Analytics je nasazené od 25. 8. 2026, měří souhrnnou návštěvnost bez cookies a spouští se až po vašem souhlasu se statistickými cookies.
- Kategorie údajů
- IP adresa, user agent, žádosti o stránky.
- Jurisdikce
- EU (Frankfurt, fra1) / USA (poskytovatel)
- Mechanismus přenosu
- EU-US Data Privacy Framework (certifikace Vercel Inc. je v rejstříku aktivní)
Stripe
Stripe Payments Europe, Limited
- Účel
- Zpracování plateb Předplatného kartou. Uživatel zadává platební údaje přímo do hostovaného formuláře Stripe; NemotiQ údaje karty neukládá (přijímá jen webhook o stavu platby).
- Kategorie údajů
- Údaje karty, fakturační adresa, IČO/DIČ, identifikátor zákazníka a předplatného, status plateb.
- Jurisdikce
- Irsko / USA
- Mechanismus přenosu
- DPA, Standardní smluvní doložky EU (SCC) + EU-US Data Privacy Framework
Supabase
Supabase Inc.
- Účel
- Produkční databáze (PostgreSQL)
- Kategorie údajů
- Veškerá data uložená v databázi, včetně šifrovaných osobních údajů
- Jurisdikce
- EU (region Frankfurt, eu-central-1) / USA (podpora)
- Mechanismus přenosu
- Smlouva o zpracování (DPA) + Standardní smluvní doložky EU (SCC, 2021/914); primární zpracování probíhá v EU regionu
Cloudflare R2
Cloudflare, Inc.
- Účel
- Objektové úložiště souborů aplikace: dokumenty transakcí, osobní knihovna makléře (šifrovaná at-rest), profilové fotografie. Nově sem ukládáme také šifrovanou denní zálohu databáze (viz Zabezpečení § 10). Nejde o nového subprocesora, jen o širší rozsah u stávajícího: obsah zálohy je zašifrovaný naším klíčem, takže Cloudflare k němu nemá přístup.
- Kategorie údajů
- Nahrané soubory (PDF/DOCX dokumenty, obrázky), které mohou obsahovat osobní údaje smluvních stran; osobní DMS je navíc šifrovaný at-rest AES-256-GCM. Denní záloha databáze obsahuje tytéž kategorie údajů jako databáze sama, ale výhradně v zašifrované podobě.
- Jurisdikce
- EU / USA
- Mechanismus přenosu
- DPA, Standardní smluvní doložky EU (SCC); ukládání do EU regionu R2
Upstash
Upstash, Inc.
- Účel
- Perzistentní rate limiting (ochrana proti zneužití přihlašování a citlivých endpointů).
- Kategorie údajů
- Krátkodobé čítače podle identifikátoru odvozeného z uživatele/IP; bez obsahu zpráv.
- Jurisdikce
- EU / USA
- Mechanismus přenosu
- DPA, Standardní smluvní doložky EU (SCC) + EU-US Data Privacy Framework
Sentry
Functional Software, Inc. d/b/a Sentry
- Účel
- Sledování runtime chyb a výjimek. Session Replay je vypnutý úplně a výkonnostní tracing má výchozí vzorkování 0 %, takže se sbírají pouze chyby. Odesílání osobních údajů je vypnuté (sendDefaultPii=false).
- Kategorie údajů
- Stack trace chyby, identifikátor uživatele (UUID), kontext chyby. IP adresa, cookies ani request body s osobními údaji se do Sentry neposílají (sendDefaultPii=false).
- Jurisdikce
- USA
- Mechanismus přenosu
- DPA, Standardní smluvní doložky EU (SCC) + EU-US Data Privacy Framework
Veřejné registry a sankční seznamy
Aplikace čerpá data z níže uvedených veřejných registrů pro účely AML / KYC screeningu (z. č. 253/2008 Sb.). Z formálního pohledu GDPR se nejedná o zpracovatele (čl. 4 odst. 8 GDPR) – Provozovatel z těchto zdrojů pouze stahuje veřejné údaje, nepředává jim žádné osobní údaje Uživatele ani jeho klientů. Uvádíme je pro plnou transparentnost a možnost ověření.
OpenSanctions (agregátor)
OpenSanctions.org – open-source agregátor oficiálních sankčních seznamů a PEP databází. NemotiQ z něj denně stahuje 5 datasetů, proti kterým screeninguje: EU FSF, UN SC, OFAC SDN, český národní sankční seznam (zák. 1/2023 Sb.) a otevřenou PEP databázi.
- Účel
- Stabilní strojový endpoint pro AML screening dle § 9 z. č. 253/2008 Sb. Originální data pocházejí z oficiálních zdrojů (EU Council, UN SC, US Treasury); OpenSanctions je technický prostředník zajišťující dostupnost (oficiální feedy jsou nestabilní / autentizované).
- Jurisdikce
- EU (Berlín; provoz)
EU konsolidovaný sankční seznam (přes OpenSanctions)
EU Council Regulation lists / Consolidated Financial Sanctions File (FSF) – dataset `eu_fsf` v OpenSanctions
- Účel
- Screening klientů a skutečných majitelů dle AML zákona (§ 9 z. č. 253/2008 Sb.). ČR aplikuje EU sankce přímo dle zák. 69/2006 Sb.; český národní sankční seznam (zák. 1/2023 Sb.) se screeninguje samostatně.
- Jurisdikce
- EU
UN sankční seznam (přes OpenSanctions)
United Nations Security Council Consolidated List – dataset `un_sc_sanctions` v OpenSanctions
- Účel
- Screening dle rezolucí Rady bezpečnosti OSN.
- Jurisdikce
- OSN (mezinárodní)
OFAC SDN (přes OpenSanctions)
U.S. Treasury OFAC Specially Designated Nationals List – dataset `us_ofac_sdn` v OpenSanctions
- Účel
- Screening proti sankčním opatřením USA (extrateritoriální působnost).
- Jurisdikce
- USA
PEP database (přes OpenSanctions)
OpenSanctions PEP dataset – agregát oficiálních databází politicky exponovaných osob (EU Court of Auditors, US OGE, UK Parliament, regulatorní seznamy z 70+ zemí)
- Účel
- Screening politicky exponovaných osob (§ 4 odst. 5 z. č. 253/2008 Sb.).
- Jurisdikce
- EU + globální zdroje
ISIR (manuálně)
Ministerstvo spravedlnosti ČR – Insolvenční rejstřík. Veřejná webová služba ISIR_CUZK_WS je dostupná bez registrace; NemotiQ ji zatím nevyužívá a ověření provádí odpovědná osoba ručně na portálu.
- Účel
- Ověření případného insolvenčního řízení klienta pro AML kontrolu dle § 9 z. č. 253/2008 Sb.
- Jurisdikce
- Česká republika
CEE (manuálně)
Exekutorská komora ČR – Centrální evidence exekucí. Manuální výpis (placený lookup), zaznamenaný v systému odpovědnou osobou.
- Účel
- Ověření probíhajících exekucí klienta pro AML kontrolu dle § 9 z. č. 253/2008 Sb. Ověřuje odpovědná osoba ručně (paralelně k ISIR).
- Jurisdikce
- Česká republika
ARES
Ministerstvo financí ČR – Administrativní registr ekonomických subjektů
- Účel
- Doplnění veřejně dostupných údajů o PO podle IČO (jméno, sídlo, statutární orgán).
- Jurisdikce
- Česká republika
Řetězec zpracování (DPA chain)
NemotiQ je v B2B režimu zpracovatelem osobních údajů klientů, které makléř spravuje. Některé operace zapojují další subdodavatele (subprocesory). Schéma níže ukazuje, jakou roli má každý článek a jaké údaje jím procházejí.
Subjekt údajů
Klient makléře, účastník transakce nebo návštěvník webu.
Makléř nebo kancelář · správce osobních údajů (čl. 4 odst. 7 GDPR)
Uzavřel s NemotiQ zpracovatelskou smlouvu.
NemotiQ s.r.o. · zpracovatel (čl. 4 odst. 8 GDPR)
Provozuje aplikaci a ukládá data.
Subprocesoři · čl. 28 odst. 4 GDPR
- Resend: e-maily
- Signi: elektronický podpis
- Google: kalendář a přihlášení (volitelné)
- Vercel: hosting
- Supabase: databáze PostgreSQL
- Cloudflare R2: úložiště souborů
- Stripe: platby předplatného
- Upstash: omezení četnosti požadavků
- Sentry: chybové záznamy
Pro každý článek řetězce platí:
- Účel a rozsah jsou striktně omezené na to, co je uvedeno v tabulce výše (princip účelového omezení, čl. 5 odst. 1 b GDPR).
- Žádný subprocesor nesmí dále zpřístupnit data jinému bez naší předchozí písemné autorizace (čl. 28 odst. 2 GDPR).
- Datová mlčenlivost osob, které mají k údajům přístup, je zajištěna smluvně (čl. 28 odst. 3 b GDPR).
- Bezpečnostní opatření (čl. 32 GDPR) jsou stanovena ve smlouvách a auditovány nezávislým certifikátem (SOC 2 / ISO 27001 u většiny dodavatelů). Detail: Ochrana soukromí, oddíl Bezpečnost.
- Notifikace incidentu – pokud subprocesor objeví porušení zabezpečení, NemotiQ to oznámí makléři bez zbytečného odkladu, nejpozději do 48 hodin (dle DPA), a (přes makléře nebo přímo, dle dohody) i subjektu údajů (čl. 33–34 GDPR).
- Předávání mimo EU/EHP probíhá pouze na základě Standardních smluvních doložek EU (SCC) nebo EU-US Data Privacy Framework. Sloupec „Mechanismus přenosu“ výše uvádí konkrétní právní základ pro každý článek.
- Audit práva – makléř má jako správce právo provést audit u NemotiQ; NemotiQ stejné právo vykonává vůči subprocesorům. Detail v DPA, oddíl Audit a inspekce.
- Ukončení vztahu – při výpovědi DPA NemotiQ na žádost doručenou do 30 dní od skončení smluvního vztahu údaje navrátí ve strojově čitelném formátu; výmaz ze všech systémů včetně systémů subprocesorů a provozních záloh proběhne nejpozději do 90 dní po skončení smluvního vztahu (kromě údajů, na něž se vztahuje zákonná retence, viz Privacy notice, oddíl Retence).
Vznesení námitky proti změně
Pokud jako zákazník vznesete proti zařazení nového subprocessoru námitku, kontaktujte nás na info@nemotiq.cz do 30 dní od oznámení změny. Pokud nedosáhneme dohody, máte právo ukončit smluvní vztah bez výpovědní doby.
Související dokumenty: DPA · Ochrana soukromí.