Subencarregats del tractament

Aquest document es publica en diverses llengües. En cas de discrepància entre les versions lingüístiques, la versió polonesa és la vinculant.

Versió 1.1 · Última actualització: 22 d'octubre de 2026

Quins tercers reben dades a formexposed, amb quina finalitat, on i sobre quina base. Aquesta llista forma part de l'Acord d'encàrrec del tractament com a annex 3. Només són subencarregats aprovats en el sentit d'aquest acord els enumerats a la secció 2; les seccions 3 a 6 informen sobre altres destinataris i no constitueixen una aprovació.

1. La resposta breu

Fem funcionar nosaltres mateixos els servidors, la base de dades i la capacitat de càlcul, també per al model de llenguatge, a Polònia. No hi intervé cap proveïdor d'allotjament, núvol o IA. Només hi ha subencarregats del tractament en el sentit de l'art. 28(2) i (4) RGPD, és a dir, tercers que tracten les dades dels nostres Clients per compte nostre, per a una única tasca: el correu electrònic.

A més, hi ha destinataris que no són subencarregats del tractament. Tot i així, els enumerem aquí, separats segons el motiu, perquè la visió sigui completa:

• destinataris que tracten dades com a responsables independents del tractament (secció 3),
• destinataris que el Client tria quan hi fa enviar avisos (secció 4),
• consultes a tercers que no contenen cap dada personal (secció 5).

2. Subencarregats del tractament

Destinatari i domicili social	Finalitat	Dades	Lloc del tractament	Base de la transferència
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	Enviament dels correus electrònics del servei (confirmacions, avisos, informes, informes mensuals als subscriptors d'un portal de clients); bústia de la comprovació del lliurament	Adreces de correu electrònic dels destinataris, assumpte i contingut dels correus electrònics. A la bústia de la comprovació del lliurament: còpies dels correus electrònics de formularis dels llocs web dels Clients amb tot el que hi introdueixen els visitants, fins que les tractem	Encara pendent de verificar	L'acord d'encàrrec del tractament del proveïdor; si s'envien dades a un tercer país i sobre quina base és una qüestió encara pendent de verificar; vegi la secció 7
Namecheap, Inc., Phoenix, Arizona, USA	Registre dels dominis, DNS; fins que es configura la bústia a Namecheap, Inc. (Private Email), Phoenix, Arizona, USA, reenviament de correus electrònics generals adreçats al nostre domini. Les còpies de control de la comprovació del lliurament no passen per Namecheap; van directament a la bústia	Dades dels dominis; per al reenviament, contingut i capçaleres de correus electrònics generals dirigits a nosaltres, sense còpies dels correus electrònics de formularis	EUA, pendent de verificar	Addenda de tractament de dades de Namecheap; clàusules contractuals tipus o Marc de Privacitat de Dades — pendent de verificar; vegi la secció 7

Que les dades d'un Client tractades com a encarregat arribin a aquests destinataris depèn de la seva configuració: sense la comprovació del lliurament, no s'hi envien correus electrònics de formularis; sense un portal de clients, no s'envien correus electrònics als seus subscriptors. Facilitarem el punt de contacte de protecció de dades de cada subencarregat a petició.

No hi intervenen: No hi intervé cap tercer en les comprovacions, les captures de pantalla, les credencials per a l'escaneig que requereix iniciar sessió, els recorreguts al navegador ni «Fix it for me». El model de llenguatge s'executa al nostre propi servidor. Determinem el país d'una adreça IP a partir d'un fitxer de base de dades local; no s'envia cap adreça a cap servei de geolocalització. El nostre proveïdor d'accés a internet només transmet el trànsit, majoritàriament xifrat, i no és un subencarregat del tractament.

3. Destinataris que actuen com a responsables independents del tractament

Destinatari i domicili social	Finalitat	Dades	Ubicació	Base
Stripe Payments Europe, Ltd., Dublin, Ireland; per a transferències als EUA, Stripe, Inc.	Processament de pagaments i factures per a comptes de client	Adreça de correu electrònic, nom, adreça de facturació, número d'IVA, dades de pagament (introduïdes només a Stripe, no ens arriben mai); per part nostra, només els identificadors del client i de la subscripció i l'estat	UE / EUA	Per a les dades de pagament, Stripe actua en gran part com a responsable independent del tractament; la distribució exacta dels rols està pendent de verificar. Transferència als EUA: Marc de Privacitat de Dades o clàusules contractuals tipus — pendent de verificar
Google Ireland Limited, Dublin, Ireland; Google LLC, USA	Protecció contra bots (reCAPTCHA) als nostres propis formularis: registre, inici de sessió, contrasenya, comprovació gratuïta, eina de capçaleres, exclusió voluntària, suport i contacte	Adreça IP, dades del navegador i del dispositiu, comportament a la pàgina, galetes de Google. L'script només es carrega en enviar el formulari. No s'executa als llocs web dels Clients	UE / EUA	Condicions de Google; Marc de Privacitat de Dades o clàusules contractuals tipus — pendent de verificar

Aquests destinataris es refereixen al nostre propi tractament, no a les dades tractades com a encarregat. La Política de privacitat en proporciona els detalls.

4. Destinataris triats pel Client

Els avisos i els resums s'envien on vol el Client: per correu electrònic (mitjançant el proveïdor de serveis de correu de la secció 2), a una adreça de webhook o a un servei de xat. Les opcions actuals són:

• Slack, Discord, Microsoft Teams i Google Chat mitjançant una adreça que el Client crea al seu compte d'aquest servei;
• Telegram: una destinació triada pel Client; enviem el missatge a través del nostre bot després que el mateix destinatari hagi vinculat el xat al bot;
• webhooks a qualsevol adreça HTTPS pública al port estàndard, signats a petició.

Dades: domini, esdeveniment, moment i un enllaç al servei; per a els avisos sobre una comprovació, al seu informe, que es pot llegir mitjançant aquest enllaç sense iniciar sessió; per als webhooks, les mateixes dades en format llegible per màquina. Cap contingut dels correus electrònics dels formularis; un avís de la comprovació del lliurament pot esmentar el domini del correu electrònic del remitent si no pertany al lloc web.

Rol: Slack, Discord, Microsoft Teams, Google Chat i els destinataris dels webhooks no són els nostres subencarregats del tractament. La transferència només es fa perquè el Client configura la destinació; això constitueix la instrucció del Client. Per a Slack, Discord, Microsoft Teams, Google Chat i els webhooks, la relació contractual amb el proveïdor corresponent i qualsevol base necessària per a una transferència a un tercer país corresponen al Client. Per a Telegram, enviem el missatge a través del nostre propi bot; també en aquest cas, triar la destinació és la instrucció expressa del Client de transferir-hi els avisos. La qüestió de si Telegram és el nostre subencarregat del tractament en aquest aspecte i de quina és la base d'aquesta transferència encara no s'ha resolt de manera concloent i l'està revisant el nostre advocat. Si Telegram fos un subencarregat del tractament, la tria d'aquesta destinació pel Client es considera la seva autorització específica segons l'art. 28(2) RGPD amb aquesta finalitat. Diversos d'aquests proveïdors tracten dades als EUA; Telegram està establert fora de la UE en un país sense decisió d'adequació i la base del capítol V RGPD sobre la qual es fa la transferència a Telegram encara no s'ha resolt de manera concloent. Qui no ho vulgui tria el correu electrònic o una altra destinació.

5. Consultes sense dades personals

Algunes funcions fan consultes a tercers. Només se n'envien noms de domini, adreces de servidors, valors de comprovació o números de versió, sense dades sobre Clients ni visitants. Per tant, aquests tercers no són subencarregats del tractament.

Destinatari	Finalitat	Què s'envia
Serveis RDAP dels registres de dominis, localitzats mitjançant el directori de la IANA; per comprovar l'antiguitat del domini a la comprovació gratuïta, mitjançant el servei intermediari rdap.org	Antiguitat i caducitat d'un domini	només el nom del domini
WPVulnerability (wpvulnerability.net)	Vulnerabilitats de seguretat conegudes de WordPress, de les extensions de WordPress i dels temes	només l'identificador d'una extensió o d'un tema, o el número de versió de WordPress
Pàgines d'estat dels proveïdors que utilitzen els Clients (com ara serveis de CAPTCHA i de correu)	Avís d'interrupcions d'aquests proveïdors	res més que la sol·licitud mateixa
Autoritats de segellament de temps Certum (Asseco Data Systems S.A., Polònia) o, alternativament, DigiCert, Inc. (EUA)	Segells de temps per als registres de proves	només un valor de comprovació (SHA-512) del registre, no el seu contingut
Llistes de bloqueig DNS per correu brossa: SpamCop, PSBL, Mailspike i SURBL (Spamhaus només amb accés propi)	Comprovació de si un servidor de correu o un domini del Client figura a la llista	dominis i adreces IP de servidors (servidors de correu, servidors web), sense dades personals dels visitants
Google Web Risk, només si està configurat	Comprovació de si la pàgina d'inici d'un Client figura en llistes per programari maliciós o pesca de credencials	només l'adreça de la pàgina d'inici
Telegram, notificacions operatives	Senyals a l'operador en cas d'interrupcions i de sol·licituds de suport noves	textos fixos sense remitent, contingut ni adreces
Autoritat de certificació per a TLS	Emissió dels certificats per als nostres dominis	només els nostres propis noms de domini

6. Preparat, actualment no s'utilitza

El servei pot fer confirmar addicionalment les comprovacions al navegador i les sol·licituds dels formularis des d'una segona ubicació independent. Actualment aquest punt de comprovació no està configurat. Si més endavant l'opera un tercer, aquest serà un subencarregat del tractament i s'anunciarà prèviament d'acord amb la secció 8. Rebria el domini, la configuració sanejada del recorregut al navegador i un identificador de tasca, però cap credencial ni dada dels visitants.

7. Què continua pendent

Aquesta llista és un esborrany previ al llançament. Diem obertament el que encara no s'ha resolt:

• Proveïdor de serveis de correu: està previst Namecheap, Inc. (Private Email), Phoenix, Arizona, USA. Encara s'ha de verificar on tracta les dades el proveïdor i sobre quina base es poden enviar a un tercer país. Encara s'ha de documentar si s'ha acceptat l'acord d'encàrrec del tractament del proveïdor per a aquest ús, on són realment les bústies, quins altres subencarregats utilitza el proveïdor i quin mòdul de les clàusules contractuals tipus s'aplica. L'addenda de tractament de dades disponible públicament no demostra per si sola que s'hagi formalitzat un contracte. Fins que això s'hagi documentat, no s'envien dades tractades com a encarregat a través d'aquest proveïdor; per tant, s'ha de resoldre abans del llançament.
• Marc de Privacitat de Dades: Per a aquesta versió no hem comprovat si Namecheap, Stripe i Google estan certificats segons el Marc de Privacitat de Dades UE-EUA per als serveis afectats. Per tant, no ho afirmem; quan falta certificació, s'apliquen les clàusules contractuals tipus.
• Rol de Stripe per a les dades individuals.
• Avisos de Telegram: la base de la transferència quan un Client tria Telegram com a destinació i enviem el missatge a través del nostre bot.

8. Canvis d'aquesta llista

Contractem subencarregats del tractament sobre la base de l'autorització general de l'Acord d'encàrrec del tractament. Abans que un subencarregat nou comenci el tractament o que se substitueixi un d'existent, informem els Clients amb un mínim de 30 dies d'antelació per correu electrònic a l'adreça del titular del compte i anunciem el canvi en aquesta pàgina i a la visió general Canvis als documents contractuals. L'avís indica el destinatari, el domicili social, la finalitat, les dades, la ubicació i la base de la transferència.

Dins d'aquest termini, el Client s'hi pot oposar en forma textual per un motiu raonable de protecció de dades. Fins que s'hagi trobat una solució, no utilitzarem el subencarregat nou per a les dades del Client tractades com a encarregat o suspendrem la funció afectada per al Client. Si no es pot trobar cap solució, el Client pot posar fi al contracte del servei o del component de servei afectat; reemborsarem proporcionalment les tarifes pagades per endavant per al període posterior a l'extinció. Els detalls s'exposen a l'Acord d'encàrrec del tractament. Responem davant del Client pels subencarregats com pels nostres propis actes.

Publiquem aquí els canvis de les seccions 3 a 5 que no afecten subencarregats amb un número de versió nou, sense preavís.

9. Estat i versió

• Versió 1.1 · Última actualització: 22 d'octubre de 2026 · en cas de discrepàncies entre les versions lingüístiques, preval la versió polonesa en lloc de l'alemanya; cap altre canvi.
• Versió 1.0 · Última actualització: 11 d'octubre de 2026 · primera versió com a pàgina separada; abans, annex 3 de l'Acord d'encàrrec del tractament. Novetat: separació entre subencarregats del tractament, destinataris que actuen com a responsables independents, destinacions triades pel Client i consultes sense dades personals; punts pendents esmentats expressament.
• En cas de discrepàncies entre les versions lingüístiques, preval la versió polonesa.