Suverenita
Google Workspace lze používat v rámci GDPR (obecné nařízení o ochraně osobních údajů). Stejně jako u Microsoft 365 se soulad ověřuje ve smlouvě, v regionu, který je skutečně pokryt, a ve schopnosti odpovídat subjektům údajů. Výrobce softwaru je americká společnost. Tato věta ověření otevírá. Neuzavírá ho.
U obsahu, který vaše organizace ukládá do Gmailu, Drive, Docs a Kalendáře, jste obvykle správcem vy a Google zpracovatelem. Google kromě toho popisuje zpracování, za která odpovídá jako správce, související s účtem, bezpečností a fungováním služby. Google Workspace Data Processing Amendment a přílohy k předávání jsou dokumenty, které je třeba archivovat spolu se záznamy o činnostech zpracování.
Proč. Role určuje, kdo informuje subjekty údajů, kdo jim odpovídá a kdo volí doby uložení. U obsahu jste to vy; Google jedná podle vašich pokynů v rámci článku 28 GDPR.
Jak ověřit. Ověřte, že dodatek pokrývá aktivované služby, včetně těch přidaných po původní objednávce. Komunikační agentura s 30 zaměstnanci, která začala s Gmailem a Drive a poté otevřela Chat, Sites a formuláře, má často zdokumentované jen první dvě.
Do záznamů. Jeden řádek pro každou službu, s rolí Googlu, datem aktivace a archivovanou verzí dodatku.
Častá chyba. Archivovat smlouvu podepsanou při založení účtu a už ji nikdy znovu nečíst.
Podle edice může administrátor zvolit ukládání pokrytých dat ve Spojených státech nebo v Evropě a omezit část zpracování na tento region. Google zveřejňuje seznam: pokrytý obsah v klidovém stavu pro Gmail, Kalendář, Drive, Chat, Docs, Sheets, Slides a další základní služby, pokryté zpracování pro část z nich. Dokumentace upřesňuje, že regionální politika se nevztahuje na data, která neuvádí, zejména na některé protokoly nebo obsah v mezipaměti.
Praktické důsledky.
Proč. „Region Evropa“ popisuje vyjmenovaný rozsah, ne celou službu. To, co vyjmenováno není, musí pokrýt vaše záznamy.
Jak ověřit. Požádejte administrátora o snímek obrazovky skutečného nastavení, ne o obchodní prospekt. Porovnejte ho s edicí, kterou má předplacenou každá skupina uživatelů. Malý či střední průmyslový podnik se dvěma provozovnami, z nichž jedna má skromnější edici, může mít regionální pravidlo, které se vztahuje jen na polovinu účtů.
Do záznamů. Edici, zvolený region, pokryté organizační jednotky, vyloučené kategorie (protokoly, mezipaměť), datum kontroly.
Častá chyba. Napsat „data uložená v Evropě“ bez zmínky o výjimkách zveřejněných Googlem.
Access Management umožňuje omezit personál Googlu, který pracuje s určitými daty podpory: například na personál nacházející se v EU nebo pracující přes virtuální kancelář umístěnou v EU. Tato funkce je vázána na určité edice a na možnost Assured Controls. Není výchozím nastavením všech nabídek Business.
Proč. Technik, který nahlíží do dat kvůli řešení incidentu, tato data zpracovává. Místo uložení nic neříká o místě, odkud k nim přistupuje.
Jak ověřit. Pokud vaše dokumentace souladu předpokládá „podporu výhradně z Unie“, ověřte, že je možnost zakoupena a aktivní, a uchovejte o tom doklad.
Šifrování na straně klienta, je-li pro vaši edici k dispozici, vám ponechává kontrolu nad klíči pro určitý rozsah obsahu. Mění to, co může Google číst. Mění také vyhledávání, ochranu proti zneužití a některé funkce pro spolupráci. Před oznámením odborným útvarům se testuje: pilotní provoz v jednom týmu se seznamem toho, co přestane fungovat, má větší cenu než obecné sdělení.
Do záznamů. Aktivní možnosti, jejich rozsah a to, co zůstává podpoře přístupné.
Častá chyba. Předpokládat, že možnost byla zahrnuta do obnovení smlouvy, protože o ní byla řeč při předprodeji.
Google je americká společnost. Jakmile přístup nebo kopie opustí Unii, musí mít předávání právní základ. K 5. října 2026 zůstává rozhodnutí o odpovídající ochraně (EU) 2023/1795 v platnosti pro certifikované americké organizace, přestože je napadeno. Podle komentáře advokátní kanceláře WilmerHale zamítl Tribunál Evropské unie dne 3. září 2025 žalobu na neplatnost a dne 31. října 2025 bylo k Soudnímu dvoru podáno odvolání. Kancelář DAC Beachcroft hovoří v názvu svého komentáře o stabilitě pro tuto chvíli a nejistotě poté.
Dalším obvyklým nástrojem zůstávají standardní smluvní doložky. Precedens z roku 2020 ukazuje, proč je třeba je znát: dne 16. července 2020 Soudní dvůr v rozsudku C-311/18 (tzv. Schrems II) zrušil Privacy Shield (rozhodnutí 2016/1250), mimo jiné kvůli rozsahu amerických programů sledování a absenci účinné právní ochrany. Standardní smluvní doložky zůstaly platné, s posouzením případ od případu.
Podrobnosti o CLOUD Act najdete na stránce ochrana firmy před CLOUD Act: evropský region nevyjímá Google z amerického práva, pokud Google data drží nebo kontroluje. Článek 48 GDPR naproti tomu stanoví, že rozhodnutí soudu nebo orgánu třetí země, které vyžaduje zpřístupnění osobních údajů, může být uznáno nebo vykonáno pouze tehdy, je-li založeno na mezinárodní dohodě, například smlouvě o vzájemné právní pomoci, platné mezi touto zemí a Unií nebo členským státem. Americký poskytovatel působící v Evropě se tak může ocitnout mezi dvěma pravidly. Článek 48 tuto kolizi popisuje; neřeší ji.
Do záznamů. Nástroj, který používá vaše smlouva, a záložní plán pro případ, že by rozhodnutí o odpovídající ochraně padlo.
Častá chyba. Myslet si, že datový region (bod 2) odpovídá na otázku předávání. Říká, kde jsou uložena určitá data, ne kdo k nim může přistupovat ani podle jakého práva.
Export přes nástroj pro stažení dat (Takeout) a nástroje pro správu, vyhledávání ve Vault, pokud ho máte, lhůta jednoho měsíce na odpověď, kterou nese správce.
Jak ověřit. Určete interní osobu, která umí vyexportovat schránku Gmail, Drive a Kalendář, a nechte ji provést zkoušku na testovacím účtu. Ověřte skupinové schránky a soubory, jejichž vlastník z firmy odešel: právě u těchto žádostí vznikají zpoždění.
Do záznamů. Postup, odpovědnou osobu, jejího zástupce a nástroj použitý podle edice.
Častá chyba. Smazat účet zaměstnance, který odešel, aniž by se vyřešil osud jeho sdílených souborů, a pak obdržet žádost, která se jich týká.
Zprávy a soubory se přenášejí poměrně dobře (IMAP, export z Drive). Historie Google Chat, Sites, Apps Script, formuláře napojené na automatizace a pravidla správy se do jiného balíku nepřenesou v nezměněné podobě. Stránka migrace z Google Workspace tyto rozdíly vyjmenovává.
Proč. Odchod je součástí souladu: podmiňuje přenositelnost, ukončení dob uložení a získání vašich dat zpět, pokud smlouva skončí.
Do záznamů. Soupis obsahu, který nelze exportovat v nezměněné podobě, a co byste s ním udělali.
Častá chyba. Objevit kritické automatizace v měsíci ukončení smlouvy.
Ne. Upravuje role, předávání a práva subjektů údajů. Nezakazuje výrobce softwaru kvůli jeho státní příslušnosti; požaduje, abyste popsali, co děláte a na jakém právním základě.
Ne. Region pokrývá data, která Google uvádí, podle vaší edice. Některé protokoly a obsah v mezipaměti do něj nespadají a region nemění státní příslušnost výrobce softwaru.
Mění to, co může Google číst v šifrovaném rozsahu. Nepokrývá všechno a mění vyhledávání a některé funkce pro spolupráci. Vyzkoušejte ho, než ho zavedete plošně.
Záznamy už musí počítat se záložním řešením, obvykle se standardními smluvními doložkami s posouzením případ od případu. Připravit toto posouzení předem znamená nemuset ho sepisovat ve spěchu.
Když týmy žijí v Docs a Drive, datový region vaší edice pokrývá obsah, na kterém vám záleží, a záznamy pokrývají protokoly a zbytkové přístupy. GDPR neukládá povinnost Google opustit. Ukládá povinnost popsat, co děláte.
Důvody zůstat jsou v tomto případě pádné. Souběžné úpravy v Docs a Sheets, vyhledávání v celém Drive a návyky týmů mají hodnotu, kterou je třeba změřit před odchodem. Špatně připravená migrace vytváří vlastní rizika pro data. Předplatit si edici, která zahrnuje regiony a kontroly podpory, může být přiměřenější než měnit balík. Zvažování podrobně popisuje článek zůstat u Google Workspace, nebo odejít.
Když chcete, aby soubory a e-maily držela evropská nebo švýcarská společnost, nebo když předplacená edice nezahrnuje regionální kontroly a kontroly podpory, které vaše analýza vyžaduje. Pokud rozdíl mezi současnou edicí a edicí, která by potřebu pokryla, váží stejně jako změna, stojí otázka za položení.
Změnou provozovatele se držitel dat ocitne pod právem své vlastní země, za předpokladu, že jeho zpracovatelé znovu nezavedou amerického poskytovatele. Neosvobozuje to od zpracovatelské smlouvy, od záznamů ani od postupu pro práva subjektů údajů. Infomaniak, Nextcloud provozovaný evropským poskytovatelem hostingu, OVHcloud nebo Klytic odpovídají na různé potřeby. Průvodce evropské alternativy k Microsoft 365 a stránka alternativy ke Google Workspace je od sebe odlišují. Tytéž kontroly na straně Microsoftu najdete v článku GDPR a Microsoft 365.
Klytic provozuje Dedicace Software, francouzská společnost. Pokrývá e-mailovou službu, dokumenty ve vyhrazené instanci Nextcloud pro každého zákazníka (sdílení, online úpravy samostatně i společně, historie verzí), videokonference, CRM a telefonii, které lze koupit samostatně. Nextcloud vyvíjí Nextcloud GmbH (Německo); e-mailová služba stojí na Zimbra, kterou vyvíjí Synacor (Spojené státy) a provozuje Klytic. Hosting probíhá v jakékoli geografické oblasti odpovídající rozhodné jurisdikci, s výhradou dostupnosti požadovaných služeb, například v Evropě nebo na Mauriciu, nebo na serverech zákazníka. Data drží zákazník, nebo Klytic jeho jménem, a jsou šifrována nativně nebo podle volby zákazníka; klíč drží zákazník nebo je uložen v jeho účtu a Klytic k němu nemá přístup. Kroky, v nichž šifrování spravuje Klytic, podrobně popisuje stránka ochrana firmy před CLOUD Act. Smlouva musí toto držení a toto šifrování popisovat. Online úpravy, samostatně i společně, probíhají v instanci; nejde o editor Google a Klytic nereplikuje beze změny jeho vyhledávání v celém fondu dokumentů. Nemá kvalifikaci SecNumCloud.
Tato stránka popisuje obecný rámec. Nepředstavuje právní poradenství.
Právní stav k 5. říjnu 2026. Tento text nenahrazuje analýzu smlouvy. Rozhodnutí o odpovídající ochraně EU–USA (EU) 2023/1795 je v platnosti. Je napadeno. Pro SecNumCloud je rozhodující katalog ANSSI.
Ověřeno v říjnu 2026.
E-mail, dokumenty, videokonference, CRM a telefonie, hostované v oblasti odpovídající vaší jurisdikci, například v Evropě nebo na Mauriciu, nebo u vás.
Uvítací nabídka
Zkušební nabídka bez závazků. Náš poradce vám zavolá, aby poznal vaše potřeby a připravil vaše prostředí Klytic.
