Seznam zpracovatelů osobních údajů

Co tato stránka obsahuje

Tato stránka je veřejný a živý dokument s aktuálním přehledem subdodavatelů (sub-processorů), kterým službu StorioMat svěřuje zpracování osobních údajů našich uživatelů.

Stránka je publikována jako součást plnění požadavků čl. 28 odst. 2 GDPR a v souladu s našimi Zásadami ochrany osobních údajů.

Změny v tomto seznamu (přidání nového subdodavatele, nahrazení stávajícího, změna jurisdikce) zveřejníme aktualizací tohoto seznamu a oznámíme:

• registrovaným uživatelům e-mailem nebo notifikací v rozhraní Služby bez zbytečného odkladu;
• B2B klientům (u nichž je klient správcem osobních údajů) s přiměřeným předstihem (zpravidla 14 dní) a s možností vznést námitku, prostřednictvím e-mailu Administrátora dle B2B Addenda a DPA.

Klíčová rozhodnutí o lokalizaci dat

• Perzistentní data (databáze, soubory komiksů, videí, avatary) jsou ukládána výhradně v EU regionech (Frankfurt, DE).
• Předávání mimo EU se uskutečňuje pouze v okamžiku zpracování API voláními k AI poskytovatelům. Platební zpracovatel (Creem / Armitage Labs OÜ) sídlí v EU, jeho zpracování tak probíhá v rámci EU.
• Přenosy do USA jsou u každého zpracovatele kryty buď certifikací v EU–U.S. Data Privacy Framework (rozhodnutí Komise 2023/1795 ve znění aktualizace 2025), nebo Standardními smluvními doložkami (SCC) dle čl. 46 GDPR. Konkrétní záruka je uvedena u každého zpracovatele v tabulkách níže.

1. Hosting a infrastruktura (data v EU)

2. AI poskytovatelé (data v USA)

Co AI poskytovatelům předáváme

• Vstupy do promptu — textový popis záměru, postav, scén, jména osob v popisech.
• (U avatarů a komiksů s avatary) referenční fotografie ke stylizovanému ztvárnění.

Co AI poskytovatelům NEpředáváme

• Hash hesla, autentizační tokeny.
• E-mail a údaje o platbě.
• Údaje o jiných uživatelích.

Retention u AI poskytovatelů

• Anthropic Claude API: vstupy a výstupy uchovávány max. 30 dní pro účely abuse prevention v případě API plánu, který využíváme.
• Google Gemini API: vstupy a výstupy uchovávány max. 24 hodin pro účely abuse prevention v případě API plánu, který využíváme.
• OpenAI API: vstupy a výstupy uchovávány max. 30 dní pro účely abuse prevention v případě API plánu, který využíváme. Při explicitním požadavku zákazníka lze nasadit Zero Data Retention (na vyžádání pro B2B).
• xAI Grok API: retention dle aktuálních podmínek xAI; ověřeno před nasazením a aktualizováno při změně.

3. Platební zpracovatel (data v EU)

Pozn.: Creem zpracovává platební údaje jako samostatný správce vůči koncovému uživateli (B2C). My obdržíme pouze potvrzení platby a metadata (ID transakce, částka, měna, datum). V B2B vztahu se Creem neuplatní — fakturujeme přímo z naší s.r.o. v ČR.

4. Účetní a daňové služby

Účetní a daňovou agendu může pro Provozovatele zajišťovat externí účetní firma se sídlem v České republice. V takovém případě jsou jí zpřístupněny pouze fakturační a daňové údaje nezbytné pro vedení účetnictví a daňové přiznání (zejména údaje institucionálních zákazníků z B2B fakturace), a to na základě smlouvy obsahující závazek mlčenlivosti a zpracovatelskou smlouvu dle čl. 28 GDPR.

Aktuální identifikaci konkrétní účetní firmy poskytne Provozovatel na vyžádání na adrese privacy@storiomat.cz.

5. Co děláme s vašimi daty

Souhrn datových toků

Uživatel (EU) ─┬─► storiomat.cz (Vercel EU) ─┬─► Supabase EU (databáze, soubory)
               │                              ├─► Cloudflare R2 EU (videa)
               │                              ├─► Resend EU (e-maily)
               │                              ├─► Anthropic USA (AI text)
               │                              ├─► Google Gemini USA (AI)
               │                              ├─► OpenAI USA (AI)
               │                              └─► xAI USA (AI)
               │
               └─► Creem EU (jen B2C — nákup kreditů)

Co zůstává trvale v EU

• Účet uživatele a jeho metadata.
• Generovaný obsah (komiksy, scénáře, videa, avatary).
• Záznamy souhlasů, fakturační údaje, logy.

Co opouští EU

• Pouze API volání k AI poskytovatelům v okamžiku generování. Žádná perzistentní kopie u nás v USA neexistuje.
• Údaje o platbě zpracovává Creem (jen B2C) v rámci EU — mimo EU neopouštějí.

6. Změny v tomto seznamu — log

7. Kontakt

Pro dotazy k subdodavatelům, k jejich auditu nebo k uplatnění práva na námitku proti přidání nového subdodavatele:

• E-mail: privacy@storiomat.cz
• Poštovní adresa: AppInteg s.r.o., Slavkov pod Hostýnem 198, 768 61 Slavkov pod Hostýnem

Související dokumenty:

• Zásady ochrany osobních údajů — kompletní popis zpracování
• Zásady použití cookies — kategorie cookies a Google Consent Mode
• DPA pro školy — pro institucionální zákazníky