Jaké EU zástupce potřebuje US SaaS nebo aplikace?

• GDPR článek 27, NIS2, Data Act a AI Act mohou vyžadovat EU zástupce pro americké SaaS/aplikace.
• REP27 poskytuje všechny tyto role v jedné smlouvě s ověřitelnými certifikáty.
• Konkurenti často pokrývají jen GDPR nebo jednotlivé rámce; kombinované pokrytí je vzácné.
• Roční ceny se liší: REP27 od 290 €/rok (GDPR), 1 190 €/rok (NIS2), AI Act od 290 €/rok.
• Skryté poplatky, výpovědní lhůty a rozsah služeb se liší podle poskytovatele – viz podrobné srovnání.
• Ne všechny firmy potřebují všechny zástupce; požadavky závisí na aktivitě a zákaznické bázi.

Aktualizováno 1. listopadu 2026 · 8 ověřených zdrojů

Srovnání poskytovatelů

Ceny podle webu každého poskytovatele ke dni 1. listopadu 2026, bez DPH, pokud není uvedeno jinak. Každý řádek odkazuje na svůj zdroj.

Co zákon vyžaduje: čísla článků a rozsah

Americké SaaS nebo aplikace zaměřené na uživatele v EU čelí složitému regulatornímu prostředí. Několik evropských zákonů vyžaduje, aby ne-EU firmy jmenovaly místního zástupce nebo autorizovaný kontakt. Každý zákon cílí na jiné obchodní aktivity a má svá vlastní pravidla jmenování:

• GDPR článek 27: Každá ne-EU firma nabízející zboží nebo služby jednotlivcům v EU, nebo sledující jejich chování, musí jmenovat EU zástupce. Platí pro většinu SaaS a aplikací s uživateli v EU, ať už jsou služby zdarma nebo placené. Zástupce je hlavním kontaktem pro úřady na ochranu osobních údajů a jednotlivce (čl. 27 GDPR).
• Směrnice NIS2: Ne-EU poskytovatelé zásadních a důležitých služeb – jako cloud computing, online tržiště, DNS a CDN – musí jmenovat zástupce v členském státě EU, kde služby nabízejí. Platí pro SaaS a platformy s EU zákazníky, zejména pokud jsou služby považovány za kritickou infrastrukturu (NIS2 čl. 26).
• AI Act: Ne-EU poskytovatelé uvádějící na trh EU vysoce rizikové AI systémy musí před zpřístupněním systému jmenovat autorizovaného zástupce se sídlem v EU. Relevantní pro SaaS/aplikace nabízející AI řešení EU uživatelům (AI Act čl. 54).
• Data Act: Ne-EU výrobci připojených produktů a souvisejících služeb, které zpracovávají uživatelská data, musí jmenovat právního zástupce v EU. Týká se SaaS/aplikací, které komunikují s IoT zařízeními nebo zpracovávají data z připojených produktů (REP27 Data Act).

Každý rámec má své spouštěče a rozsah. Například GDPR platí, pokud sbíráte jakékoli osobní údaje od uživatelů v EU, i přes cookies nebo analytiku. NIS2 a Data Act jsou specifičtější podle typu služby a zpracování dat. AI Act se zaměřuje na vysoce rizikové AI systémy, definované regulací. Ne všechny SaaS/aplikace budou potřebovat všechny zástupce, ale většina alespoň jednoho.

Nejmenování správného zástupce může vést k vysokým sankcím, včetně pokut a zákazu vstupu na trh EU. Pochopení, které zákony se na vás vztahují, je prvním krokem k souladu.

Jak vybrat poskytovatele EU zástupce

Výběr správného poskytovatele EU zástupce je klíčový pro dodržení předpisů, provozní efektivitu a řízení rizik. Zde je návod, jak postupovat:

• Pokrytí požadovaných rámců: Ne všichni poskytovatelé pokrývají všechny relevantní zákony. Například REP27 nabízí zastoupení pro GDPR, NIS2, Data Act, AI Act a další v rámci jedné smlouvy, zatímco většina konkurentů se zaměřuje jen na GDPR nebo jiné rámce jako doplňky. Pokud potřebujete pokrytí více rámců, poskytovatel jako REP27 snižuje složitost.
• Jednoduchost smlouvy: Správa několika smluv pro různé rámce zvyšuje administrativní zátěž a riziko mezer. Jednosmluvní přístup REP27 zjednodušuje compliance pro firmy potřebující více zástupců. Konkurenti jako Lionheart Squared také nabízejí multi-rámcové služby, ale podrobnosti a ceny jsou často na vyžádání.
• Důkaz jmenování: Úřady a tržiště mohou vyžadovat jasný, ověřitelný důkaz. REP27 vydává certifikát s QR kódem a ověřovacím kódem pro každé jmenování, který lze online ověřit. EU Shield a rep4eu poskytují podepsaná jmenování, ale veřejná verifikace nemusí být vždy dostupná.
• Transparentnost cen: REP27, EU Shield a rep4eu zveřejňují ceny za GDPR zastoupení. Lionheart Squared a DataShield vyžadují přímý dotaz na cenu, což může komplikovat rozpočet.
• Podpora a doba odezvy: Rychlé jmenování je zásadní při auditu nebo urgentní požadavku na compliance. REP27 zpracovává soubory a podepisuje jmenování do 24 pracovních hodin. Ostatní poskytovatelé často neuvádějí dobu zpracování.

Praktická rada: Sepište si všechny EU zákony, které by se mohly vztahovat na váš SaaS/aplikaci, a ověřte, který poskytovatel je pokrývá všechny. Pokud potřebujete víc než GDPR, řešení od jednoho poskytovatele je obvykle efektivnější a snazší na správu.

Co cena skutečně zahrnuje (a skryté náklady)

Je důležité rozumět, co za své peníze dostanete a za co můžete platit navíc. Přehled na základě zveřejněných informací k říjnu 2026:

• REP27: Od 290 €/rok za GDPR nebo AI Act zastoupení, 1 190 €/rok za NIS2. Cena za Data Act na vyžádání. Cena zahrnuje podepsané jmenování, ověřitelný certifikát, veřejnou verifikaci a veškerou korespondenci s úřady. Právní poradenství a soudní spory nejsou zahrnuty.
• EU Shield: 490 €/rok za GDPR a GPSR. Zahrnuje jmenování, znění zásad ochrany soukromí, správu záznamů dle článku 30 a komunikaci s úřady. Nepokrývá NIS2, AI Act ani Data Act. Další služby mohou být zpoplatněny.
• rep4eu: 348 €/rok za GDPR. Doplněk pro DSA, NIS2, Data Act a e-Evidence na vyžádání, ceny nezveřejněny. Zahrnuje online rezervaci a podepsané jmenování pro GDPR.
• Lionheart Squared: Cena na vyžádání. Pokrývá GDPR, AI Act, DSA a NIS2 s přizpůsobenou podporou. Detaily o službách a poplatcích nejsou veřejné.
• DataShield: Cena na vyžádání. Pokrývá jen AI Act zastoupení včetně dokumentace, kontaktu s úřady a podpory registrace. Ostatní rámce nejsou zahrnuty.

Skryté náklady mohou zahrnovat:

• Poplatky za další rámce nebo služby mimo základní cenu.
• Poplatky za kontrolu dokumentů, komunikaci s úřady nebo urgentní požadavky.
• Výpovědní lhůty nebo minimální doby trvání smlouvy.
• Omezení odpovědnosti, která mohou ovlivnit vaše riziko.

Vždy si vyžádejte kompletní ceník a pečlivě si prostudujte smlouvu před podpisem. Pokud potřebujete více rámců, ověřte, zda dostanete jednu fakturu a certifikát, nebo více, což ovlivní náklady i správu compliance.

Jak probíhá jmenování: krok za krokem

Proces jmenování EU zástupce je jednoduchý, ale vyžaduje pečlivost. Praktický návod podle postupu REP27 a běžných standardů:

1. Určete právní povinnosti: Zjistěte, které EU zákony se na vás vztahují (GDPR, NIS2, AI Act, Data Act) podle uživatelské základny, typu služby a zpracování dat.
2. Vyberte poskytovatele: Zvolte poskytovatele pokrývající všechny požadované rámce. Pokud potřebujete pokrytí více zákonů, jeden poskytovatel jako REP27 usnadní compliance.
3. Připravte dokumentaci: Shromážděte informace o firmě – právní název, adresa, registrace, popis služeb a údaje o aktivitách v EU.
4. Odešlete podklady: Vyplňte onboardingový formulář nebo soubor u poskytovatele. REP27 provádí lidskou kontrolu obvykle do 24 pracovních hodin.
5. Kontrola a podpis: Poskytovatel zkontroluje úplnost a správnost. Pokud něco chybí, budete kontaktováni. Po schválení podepíše jmenování.
6. Obdržení certifikátu: Dostanete podepsaný dopis, certifikát s QR kódem a ověřovacím kódem a přesné znění pro zásady ochrany soukromí nebo dokumentaci. Certifikát REP27 lze veřejně ověřit online.
7. Aktualizace právních oznámení: Přidejte údaje zástupce do zásad ochrany soukromí, webu nebo dokumentace dle zákona.
8. Ověření: Úřady, tržiště nebo zákazníci mohou jmenování ověřit online pomocí certifikátu nebo kódu.

Seznam úkolů dnes:

1. Zhodnoťte, které EU zákony se vztahují na váš SaaS/aplikaci.
2. Shromážděte informace o firmě a službách.
3. Porovnejte poskytovatele a požádejte o nabídky.
4. Odešlete podklady a dokončete onboarding.
5. Aktualizujte dokumentaci s údaji zástupce.

Včasné jmenování je klíčové – zpoždění může vést k sankcím nebo ztrátě obchodních příležitostí, zvláště pokud tržiště či partneři vyžadují důkaz compliance.

Rizika a pokuty za nesoulad

Nedodržení požadavků na EU zástupce může mít pro SaaS a aplikace vážné důsledky:

• GDPR: Pokuty až do 20 milionů € nebo 4 % celosvětového obratu, podle toho, co je vyšší (čl. 83 GDPR). Nepřidělení zástupce je přímé porušení a může vyvolat šetření, sankce a poškození reputace.
• NIS2: Směrnice NIS2 ukládá správní pokuty a pravidelné sankce, jejichž výše je stanovena členskými státy. Nesoulad může vést k příkazům k ukončení činnosti v EU nebo omezení poskytování služeb (NIS2).
• AI Act: Pokuty od 40 do 50 milionů € nebo 2–4 % celosvětového obratu podle závažnosti porušení. U vysoce rizikových AI systémů může ne-jmenování zástupce znamenat zákaz vstupu na trh EU (AI Act).
• Data Act: Konkrétní pokuty stanovují členské státy, vymáhání může zahrnovat správní sankce a příkazy k zastavení zpracování dat nebo poskytování služeb v EU.

Další rizika zahrnují:

• Tržiště (např. Amazon, Shopify) mohou pozastavit vaše nabídky, pokud nedokážete doložit platného EU zástupce.
• Ztrátu obchodních příležitostí nebo partnerství kvůli nesouladu.
• Poškození reputace a ztrátu důvěry zákazníků.

Jmenování správného zástupce není jen formálním požadavkem – je to klíčový krok k ochraně vašeho podnikání před významnými finančními a provozními riziky.

Rozhodovací matice: kdo co potřebuje?

Použijte tuto matici pro určení, které zástupce vaše firma potřebuje podle obchodního modelu a aktivit:

Praktické doporučení:

• Zkontrolujte uživatelskou základnu a nabídku produktů/služeb, abyste určili platné povinnosti.
• Pokud zpracováváte osobní údaje EU osob, platí GDPR článek 27.
• Pokud nabízíte cloud, tržiště nebo kritické digitální služby v EU, ověřte aplikovatelnost NIS2.
• Pokud poskytujete vysoce rizikové AI systémy, je potřeba AI Act zástupce.
• Pokud vaše služby komunikují s připojenými zařízeními nebo zpracovávají IoT data, zkontrolujte požadavky Data Act.

V případě pochybností konzultujte oficiální texty nebo požádejte o compliance kontrolu u vybraného poskytovatele.

Co poskytovatelé obvykle neříkají

Existují důležité detaily a výjimky, které mnozí poskytovatelé nezmiňují na začátku:

• Omezení rámců: Mnoho poskytovatelů pokrývá pouze GDPR, nikoli NIS2, Data Act nebo AI Act. Pokud potřebujete více rámců, budete možná potřebovat několik smluv – pokud nepoužijete poskytovatele jako REP27.
• Výpovědní lhůty a smluvní podmínky: Výpovědní lhůty a minimální doby trvání smluv bývají skryty v drobném písmu. To může ovlivnit možnost změny poskytovatele nebo ukončení služby.
• Omezení odpovědnosti: Poskytovatelé mohou omezovat svou odpovědnost za nesoulad nebo rozsah své zodpovědnosti. Vždy si smlouvu pečlivě přečtěte.
• Poplatky za jednotlivé požadavky: Někteří poskytovatelé účtují navíc za komunikaci s úřady, kontrolu dokumentů nebo urgentní požadavky. Tyto poplatky nemusí být jasně uvedeny na webu.
• Důkaz jmenování: Ne všichni poskytovatelé nabízejí ověřitelný certifikát nebo veřejnou stránku pro verifikaci. To může být problém při jednání s úřady nebo tržišti, která vyžadují důkaz.
• Výjimky: Právní poradenství, soudní spory a hlubší compliance konzultace obvykle nejsou součástí standardních služeb zástupce. Pokud je potřebujete, očekávejte další náklady nebo zapojení samostatného právníka.

Před podpisem smlouvy si vždy vyžádejte kompletní dokumentaci, zeptejte se na všechny možné poplatky a ujasněte si rozsah služeb. Pro SaaS/aplikace s komplexními potřebami je transparentní a komplexní poskytovatel méně rizikový a administrativně jednodušší.

Realistické scénáře: které povinnosti platí?

• Scénář 1: US SaaS s uživateli v EU
  Americká SaaS firma nabízí nástroj pro řízení projektů EU firmám a jednotlivcům. Sbírá uživatelská data a poskytuje cloud hosting. Potřebuje GDPR článek 27 zástupce (pro zpracování dat), NIS2 zástupce (pro cloudové služby) a pokud nabízí AI funkce, AI Act zástupce. Pokud SaaS integruje IoT zařízení nebo zpracovává data z připojených produktů, je potřeba i Data Act zástupce. Nejjednodušší je jmenovat REP27, který pokrývá všechny tyto role v jedné smlouvě s jedním certifikátem a veřejnou verifikací.
• Scénář 2: Čínský prodejce na Amazonu
  Prodejce z Číny nabízí elektroniku na Amazon.de a sbírá data zákazníků v EU. Potřebuje GDPR zástupce (pro zpracování dat) a odpovědnou osobu GPSR (pro bezpečnost produktů). REP27 i EU Shield tyto služby nabízejí. Pokud cílí i na UK, REP27 zajistí i UK zástupce ve stejném procesu.
• Scénář 3: UK online obchod prodávající do EU
  Britský e-shop prodává kosmetiku spotřebitelům v EU po Brexitu. Potřebuje GDPR článek 27 zástupce (protože UK je mimo EU) a odpovědnou osobu pro kosmetiku. REP27 pokryje obě povinnosti pro EU i UK, vydá dva certifikáty a jednu fakturu.

Tyto scénáře ukazují, jak důležité je mapovat obchodní aktivity na relevantní EU povinnosti. Použití poskytovatele, který pokryje všechny požadované rámce, zjednodušuje compliance a snižuje administrativní zátěž.