Sub-processors list

Tento zoznam tvorí Prílohu č. 2 Spracovateľskej zmluvy (DPA) uzavretej medzi Spracovateľom (FinAI s. r. o.) a Prevádzkovateľom v zmysle článku 28 GDPR a Uznesenia Predsedníctva Slovenskej advokátskej komory č. 12/4/2025 z 31. marca 2025 v znení Uznesenia č. 21/14/2025 zo 6. novembra 2025.

V súlade s Čl. 6.2 DPA je tento zoznam vždy verejne dostupný a aktualizovaný. Spracovateľ informuje Prevádzkovateľa o akejkoľvek zamýšľanej zmene ďalších spracovateľov (pridanie alebo nahradenie) najmenej 30 dní vopred prostredníctvom e-mailu alebo notifikácie v Službe, čím poskytne Prevádzkovateľovi možnosť vzniesť námietku (Čl. 6.3).

Aktuálni ďalší spracovatelia

Nástroje, ktoré nie sú ďalšími spracovateľmi (nie sú zaradené do zoznamu podľa čl. 28 GDPR; dôvod vylúčenia je uvedený pri každom nástroji samostatne): Langfuse beží self-hosted na infraštruktúre Spracovateľa (Contabo VPS, DE) — nejde o tretiu stranu ani o príjemcu údajov, dáta neopúšťajú kontrolu Spracovateľa. Systém pozorovateľnosti pritom spracúva obsah dopytov a nahratých dokumentov na účely diagnostiky a kvality služby; Anthropic (Claude) v internom vývoji sa používa ako nástroj (Claude Code) bez prístupu k údajom klientov; keď si advokát ako AI asistenta zvolí Claude.ai alebo Claude Desktop, ktorý cez MCP zavolá nástroj ask_lexomat, dopyt spracúva Anthropic na základe VLASTNEJ zmluvy s advokátom, nie na pokyn Spracovateľa — Spracovateľ preto nie je stranou tohto vzťahu a Anthropic nie je jeho ďalším spracovateľom podľa čl. 28 GDPR; toto posúdenie čaká na potvrdenie @citbaj a zodpovednej osoby (DPO).

História zmien

18. 10. 2026: : Oprava zverejneného umiestnenia pri **Google Vertex AI** proti skutočnej konfigurácii Služby (#12530, #9920): z „europe-west3/1/4, europe-north1“ na „EÚ multiregión `eu` (Gemini 3.x); europe-west1/west4/north1/central2 (Gemini 2.5)“. Modely Gemini 3.x volá Služba výlučne cez multiregionálny koncový bod Google pre EÚ („eu“, `aiplatform.eu.rep.googleapis.com`), v rámci ktorého presmerovanie medzi regiónmi EÚ riadi Google; modely Gemini 2.5 cez štyri jednotlivé regióny EÚ (Belgicko, Holandsko, Fínsko, Poľsko). Región europe-west3 (Frankfurt) Služba nepoužíva. Všetky uvedené lokácie ležia v EÚ; mechanizmus prenosu „EHP (EÚ región) + DPF/SCC“ sa nemení. Ide výlučne o **opravu zverejnenej hodnoty** pri existujúcom ďalšom spracovateľovi — nepribudol, neubudol ani sa nenahradil žiadny ďalší spracovateľ, preto sa neaktivuje 30-dňová oznamovacia lehota Čl. 6.3 DPA.

16. 10. 2026: : Oprava dvoch zverejnených údajov proti primárnym zdrojom poskytovateľov (#9920, #12530). **Resend** — umiestnenie z „eu-west-1 (Írsko, EÚ región)“ na „USA (všetky uložené údaje vrátane metadát e-mailov, logov a API záznamov); odosielanie z eu-west-1 (Írsko)“: podľa dokumentácie poskytovateľa výber regiónu určuje len to, odkiaľ sa e-maily odosielajú, zatiaľ čo všetky údaje účtu vrátane metadát e-mailov, logov a API záznamov sú uložené v USA bez ohľadu na zvolený región odosielania; mechanizmus prenosu „DPF + SCC“ sa nemení — zmluvnou stranou je Plus Five Five, Inc. (USA) s certifikáciou v EU–US Data Privacy Framework a so štandardnými zmluvnými doložkami inkorporovanými v DPA. **Google Vertex AI** — mechanizmus prenosu z „EHP“ na „EHP (EÚ región) + DPF/SCC“: údaje sú v pokoji uložené vo zvolených EÚ regiónoch podľa záväzku Google o umiestnení údajov (záväzok sa nevzťahuje na funkciu Grounding with Google Search, ktorú Spracovateľ používa pri všeobecných otázkach), Cloud Data Processing Addendum (čl. 10.1) však pripúšťa spracúvanie v ktorejkoľvek krajine, kde Google alebo jeho ďalší spracovatelia prevádzkujú zariadenia, a pre takéto prenosy stanovuje (príloha 3, čl. 4.1) alternatívne riešenie prenosu — certifikáciu Google LLC v EU–US Data Privacy Framework — a subsidiárne štandardné zmluvné doložky; „EHP“ v zmysle „žiadny prenos do tretej krajiny“ preto zmluva nepodporuje. Ide výlučne o **opravy zverejnených hodnôt** pri existujúcich ďalších spracovateľoch — nepribudol, neubudol ani sa nenahradil žiadny ďalší spracovateľ, preto sa neaktivuje 30-dňová oznamovacia lehota Čl. 6.3 DPA.

13. 9. 2026: : NVIDIA odstránená zo zoznamu nástrojov, ktoré nie sú ďalšími spracovateľmi — NVIDIA nikdy nebola ďalším spracovateľom (nachádzala sa len vo vylučovacom odseku, nikdy nie v tabuľke Aktuálni ďalší spracovatelia), ale jej hosťovaný BAAI/bge-m3 embedding endpoint bol trvale zrušený (dostupný už len na self-hosting), takže NVIDIA už nemôže slúžiť ani len ako záložný poskytovateľ embeddingov nad používateľskými dátami; podpora NVIDIA bola zároveň úplne odstránená z backend kódu Spracovateľa (#7168, #10598). Nejde o pridanie ani nahradenie ďalšieho spracovateľa — NVIDIA nikdy nebola ďalším spracovateľom — preto sa neaktivuje 30-dňová oznamovacia lehota Čl. 6.3 DPA.

11. 9. 2026: : Zjednotenie pravopisu skratky Európskej únie v celej prílohe — „EU región“ nahradené za „EÚ región“ v mechanizme prenosu (Supabase, Betterstack, Grafana Cloud, Zoho, PostHog) aj v umiestnení (Betterstack, Grafana Cloud, Resend). „EÚ“ je kodifikovaná slovenská skratka; ratifikované znenie zmluvy ju už používalo (čl. 7.4 a tabuľka Prílohy 2), zatiaľ čo zverejnená stránka uvádzala anglické „EU“ — tá istá skutočnosť pri tých istých poskytovateľoch bola písaná dvoma spôsobmi. **Ide výlučne o pravopisnú opravu**: nepribudol, neubudol ani sa nezmenil žiadny ďalší spracovateľ, mechanizmus prenosu, umiestnenie ani stav DPA, preto sa neaktivuje 30-dňová oznamovacia lehota Čl. 6.3 DPA. Pri Betterstacku sa zároveň vypúšťa nadbytočná zátvorka „(EU región)“ — po zjednotení pravopisu by hovorila to isté dvakrát; podľa vlastného záznamu poskytovateľa sú dáta v EÚ predvolene, výber konkrétneho regiónu je platená funkcia, ktorú nevyužívame. Staršie záznamy v tejto histórii zmien sa ponechávajú v pôvodnom znení ako súčasť záznamu — táto oprava sa vzťahuje aj na podobu „EU región“ v nich.

8. 9. 2026: : Overenie Prílohy č. 2 riadok po riadku proti primárnym zdrojom (#9933). Opravené: **Zoho** — mechanizmus prenosu z „EHP“ na „EHP (EU región) + SCC“ (podpísaná DPA §5.1(iii) predpokladá prenos mimo EHP a Schedule 2 uvádza prístup skupinových subjektov Zoho v Indii pre podporu; mechanizmom sú SCC medzi Zoho Netherlands a Zoho India), doplnená aj lokácia podpory; **PostHog** — doplnené SCC, ktoré §10.4 podpísanej DPA výslovne inkorporuje; **OVHCloud** — DPA vedená ako auto-inkorporovaná, keďže archivovaným inštrumentom sú nepodpísané štandardné podmienky; **Stripe** — doplnená India; **Hostcreators** — doplnené Nemecko (Hetzner) podľa čl. VII.2 zmluvy; **IONOS** — odstránená citácia „§2.3“ — v inštrumentoch, ktoré držíme, také ustanovenie nie je (zákaz tréningu je podložený dokumentáciou AI Model Hub); táto oprava sa vzťahuje aj na citáciu „§2.3“ v zázname zo 17. 7. 2026, ktorý sa ponecháva v pôvodnom znení ako súčasť histórie zmien. Doplnená chýbajúca vysvetlivka **„EHP (EU región) + SCC“** — tento mechanizmus bol na stránke uvádzaný pri viacerých ďalších spracovateľoch, ale vo vysvetlivkách nemal vlastné heslo; čitateľ si ho mohol zložiť len z hesla „EHP“, ktoré však znamená „žiadny prenos do tretej krajiny“, čo je s doložkami SCC v rozpore. Obe vysvetlivky „EHP (EU región) + SCC“ aj „EHP (EU región) + DPF/SCC“ zároveň pokrývajú aj poskytovateľa so sídlom v EHP, ktorého skupinové subjekty sídlia mimo EHP (#10382). Okrem týchto vysvetliviek ide výlučne o **opravy zverejnených hodnôt** proti podpísaným zmluvám — nepribudol ani neubudol žiadny ďalší spracovateľ, preto sa neaktivuje 30-dňová oznamovacia lehota Čl. 6.3 DPA.

5. 9. 2026: (DRAFT, čaká na @citbaj + DPO): Opravený dôvod vylúčenia Anthropicu zo zoznamu podľa čl. 28 (#10233) — pôvodné znenie „bez prístupu k údajom klientov" bolo neaktuálne odvtedy, čo môže Claude.ai/Claude Desktop od 13. 8. 2026 volať nástroj `ask_lexomat` cez MCP ako volajúci klient. Vylúčenie zostáva v platnosti, ale stojí na tom, že Anthropic v tomto toku spracúva dopyt na základe vlastnej zmluvy advokáta s Anthropicom, nie na pokyn Spracovateľa — nie na tvrdení, že Anthropic k údajom nemá prístup. Nejde o pridanie ani nahradenie ďalšieho spracovateľa (Google Vertex AI a Supabase už boli aktívnymi ďalšími spracovateľmi pred MCP), preto sa neaktivuje 30-dňová oznamovacia lehota Čl. 6.3 DPA.

4. 9. 2026: : ZeroEntropy vyradený zo zoznamu ďalších spracovateľov — poskytovateľ bol akvizovaný spoločnosťou Notion a jeho reranker zerank-2 ukončil prevádzku 4. 9. 2026. Rerankovanie zabezpečuje výhradne IONOS (AI Model Hub, Berlín/EHP), ktorý bol primárnym poskytovateľom už od #8438. Ide o **odobratie príjemcu** — nepribudol žiadny nový ďalší spracovateľ a nedošlo k prenosu údajov do novej jurisdikcie.

3. 8. 2026: : Opravený dôvod vylúčenia Langfuse zo zoznamu podľa čl. 28 — vylúčenie stojí na self-hostingu na infraštruktúre Spracovateľa, nie na neprítomnosti osobných údajov; doplnené, že pozorovateľnosť spracúva obsah dopytov a nahratých dokumentov (#8754).

17. 7. 2026: : IONOS Cloud (AI Model Hub) zaradený ako primárny poskytovateľ pre embeddingy (Berlín/EHP, zákaz tréningu §2.3; ratifikácia @citbaj, #7190); OVHCloud → záložný.

Posledná aktualizácia: 18. 10. 2026 · verzia 2026-10-18

Mechanizmus prenosu

• EHP — spracúvanie a uchovávanie údajov v rámci Európskeho hospodárskeho priestoru, žiadny prenos do tretej krajiny.
• DPF — EU–US Data Privacy Framework: rozhodnutie Európskej komisie o primeranosti pre kvalifikovaných amerických spracovateľov.
• SCC — Štandardné zmluvné doložky prijaté Európskou komisiou ako právny základ prenosu do tretej krajiny podľa článkov 46–49 GDPR.
• EHP (EÚ región) + SCC — dáta sú uložené v EÚ regióne poskytovateľa, ktorý je však právnickou osobou mimo EHP alebo ktorého skupinové subjekty sídlia mimo EHP; pre prípadný prístup materskej spoločnosti alebo skupinových subjektov slúžia ako záruka prenosu Štandardné zmluvné doložky (SCC).
• EHP (EÚ región) + DPF/SCC — dáta sú uložené v EÚ regióne poskytovateľa, ktorý je však právnickou osobou mimo EHP alebo ktorého skupinové subjekty sídlia mimo EHP a ktorý je zároveň certifikovaný v rámci EU–US Data Privacy Framework; pre prípadný prístup materskej spoločnosti alebo skupinových subjektov slúži ako záruka prenosu DPF a/alebo SCC.

Kópie príslušnej dokumentácie (DPA, SCC, certifikát DPF) poskytne Spracovateľ Prevádzkovateľovi na požiadanie v zmysle Čl. 7.4 DPA.

Kontakt

Otázky k tomuto zoznamu alebo námietky proti zaradeniu konkrétneho ďalšieho spracovateľa: [email protected]