Podizvršitelji obrade

Ovaj dokument objavljen je na više jezika. U slučaju bilo kakvog neslaganja između jezičnih verzija, poljska verzija je obvezujuća.

Verzija 1.1 · Posljednje ažuriranje: 22. listopada 2026.

Koje treće strane primaju podatke u usluzi formexposed, u koju svrhu, gdje i na kojoj osnovi. Ovaj popis čini dio Ugovora o obradi podataka kao Prilog 3. Odobreni podizvršitelji obrade u smislu tog ugovora samo su oni navedeni u odjeljku 2; odjeljci 3 do 6 pružaju informacije o dodatnim primateljima i ne predstavljaju odobrenje.

1. Kratak odgovor

Poslužiteljima, bazom podataka i računalnim kapacitetima, uključujući za jezični model, upravljamo sami u Poljskoj. Nije uključen nijedan pružatelj hostinga, oblaka ili umjetne inteligencije. Podizvršitelji obrade u smislu čl. 28(2) i (4) GDPR-a, odnosno treće strane koje u naše ime obrađuju podatke naših Korisnika, postoje samo za jedan zadatak: e-poštu.

Osim toga, postoje primatelji koji nisu podizvršitelji obrade. Ipak ih ovdje navodimo, odvojeno prema razlogu, kako bi slika bila potpuna:

• primatelji koji obrađuju podatke kao neovisni voditelji obrade (odjeljak 3),
• primatelji koje Korisnik odabire kada im šalje upozorenja (odjeljak 4),
• upiti trećim stranama koji ne sadrže osobne podatke (odjeljak 5).

2. Podizvršitelji obrade

Primatelj i sjedište	Svrha	Podaci	Mjesto obrade	Osnova prijenosa
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	Slanje e-pošte usluge (potvrde, upozorenja, izvješća, mjesečna izvješća pretplatnicima portala za klijente); poštanski sandučić za provjeru dostave	Adrese e-pošte primatelja, predmet i sadržaj poruka e-pošte. U poštanskom sandučiću za provjeru dostave: kopije e-pošte obrazaca s Korisnikovih web-stranica sa svime što posjetitelji ondje unesu, dok ih ne obradimo	Još treba provjeriti	Ugovor o obradi podataka pružatelja; odlaze li podaci u treću zemlju i na kojoj osnovi još treba provjeriti, vidjeti odjeljak 7
Namecheap, Inc., Phoenix, Arizona, SAD	Registracija domena, DNS; dok se ne postavi poštanski sandučić kod Namecheap, Inc. (Private Email), Phoenix, Arizona, USA, prosljeđivanje opće e-pošte na adrese na našoj domeni. Kontrolne kopije provjere dostave ne prolaze kroz Namecheap; idu izravno u poštanski sandučić	Podaci domene; za prosljeđivanje, sadržaj i zaglavlja opće e-pošte nama, bez kopija e-pošte obrazaca	SAD, treba provjeriti	Dodatak o obradi podataka tvrtke Namecheap; standardne ugovorne klauzule ili Okvir za privatnost podataka – treba provjeriti, vidjeti odjeljak 7

Dolaze li podaci koje obrađujemo u ime Korisnika uopće do tih primatelja ovisi o njegovim postavkama: bez provjere dostave tamo ne odlazi e-pošta obrazaca; bez portala za klijente ne šalje se e-pošta njegovim pretplatnicima. Na zahtjev ćemo dostaviti kontaktnu točku za zaštitu podataka svakog podizvršitelja obrade.

Nisu uključeni: Nijedna treća strana nije uključena u provjere, snimke zaslona, pristupne podatke za skeniranje iza prijave, tijekove u pregledniku ili „Fix it for me”. Jezični model radi na našem vlastitom poslužitelju. Državu IP adrese određujemo iz lokalne datoteke baze podataka; nijedna adresa ne šalje se usluzi geolokacije. Naš pružatelj internetskih usluga samo propušta promet, uglavnom šifriran, i nije podizvršitelj obrade.

3. Primatelji koji djeluju kao neovisni voditelji obrade

Primatelj i sjedište	Svrha	Podaci	Lokacija	Osnova
Stripe Payments Europe, Ltd., Dublin, Irska; za prijenose u SAD, Stripe, Inc.	Obrada plaćanja i računi za korisničke račune	Adresa e-pošte, ime, adresa za naplatu, PDV identifikacijski broj, podaci za plaćanje (unose se samo kod Stripea, nikada ne dolaze do nas); na našoj strani samo ID i status korisnika i pretplate	EU / SAD	Za podatke o plaćanju Stripe uglavnom djeluje kao neovisni voditelj obrade; točnu raspodjelu uloga treba provjeriti. Prijenos u SAD: Okvir za privatnost podataka ili standardne ugovorne klauzule – treba provjeriti
Google Ireland Limited, Dublin, Irska; Google LLC, SAD	Zaštita od botova (reCAPTCHA) na našim vlastitim obrascima: registracija, prijava, lozinka, besplatna provjera, alat za zaglavlja, isključenje, podrška i kontakt	IP adresa, podaci o pregledniku i uređaju, ponašanje na stranici, Googleovi kolačići. Skripta se učitava samo pri slanju. Ne radi na Korisnikovim web-stranicama	EU / SAD	Googleovi uvjeti; Okvir za privatnost podataka ili standardne ugovorne klauzule – treba provjeriti

Ti se primatelji odnose na našu vlastitu obradu, a ne na podatke koje obrađujemo kao izvršitelj obrade. Pojedinosti su u Pravilima privatnosti.

4. Primatelji koje odabire Korisnik

Upozorenja i sažeci odlaze kamo Korisnik želi: e-poštom (putem pružatelja e-pošte iz odjeljka 2), na webhook adresu ili usluzi za razgovor. Trenutačne mogućnosti su:

• Slack, Discord, Microsoft Teams i Google Chat putem adrese koju Korisnik izradi na svojem računu kod te usluge;
• Telegram: odredište koje odabire Korisnik; poruku šaljemo putem svojeg bota nakon što primatelj sam poveže razgovor s botom;
• webhookovi na bilo koju javnu HTTPS adresu na standardnom portu, potpisani na zahtjev.

Podaci: domena, događaj, vrijeme i poveznica na uslugu, za upozorenja o provjeri na njezino izvješće, koje se putem te poveznice može čitati bez prijave; za webhookove isti podaci u strojno čitljivom obliku. Bez sadržaja e-pošte obrazaca; upozorenje iz provjere dostave može navesti domenu e-pošte pošiljatelja ako ne pripada web-stranici.

Uloga: Slack, Discord, Microsoft Teams, Google Chat i primatelji webhookova nisu naši podizvršitelji obrade. Prijenos se događa samo zato što Korisnik postavlja odredište; to je Korisnikova uputa. Za Slack, Discord, Microsoft Teams, Google Chat i webhookove ugovorni odnos s odgovarajućim pružateljem i svaka osnova potrebna za prijenos u treću zemlju odgovornost su Korisnika. Za Telegram poruku šaljemo putem vlastitog bota; i ovdje je odabir odredišta Korisnikova izričita uputa da tamo prenesemo upozorenja. Je li Telegram u tom pogledu naš podizvršitelj obrade i na kojoj se osnovi taj prijenos provodi još nije konačno razjašnjeno te je kod našeg odvjetnika na provjeri. Ako je Telegram podizvršitelj obrade, Korisnikov odabir tog odredišta smatra se njegovim posebnim ovlaštenjem prema čl. 28(2) GDPR-a za tu svrhu. Više tih pružatelja obrađuje podatke u SAD-u; Telegram ima sjedište izvan EU-a u državi bez odluke o primjerenosti, a osnova prema poglavlju V GDPR-a na kojoj se provodi prijenos Telegramu još nije konačno razjašnjena. Svatko tko to ne želi odabire e-poštu ili drugo odredište.

5. Upiti bez osobnih podataka

Neke funkcije šalju upite trećim stranama. Odlaze samo nazivi domena, adrese poslužitelja, kontrolne vrijednosti ili brojevi verzija, bez pojedinosti o Korisnicima ili posjetiteljima. Te treće strane stoga nisu podizvršitelji obrade.

Primatelj	Svrha	Što se šalje
RDAP usluge registara domena, pronađene putem imenika IANA; za provjeru starosti domene u besplatnoj provjeri, putem posredničke usluge rdap.org	Starost i istek domene	samo naziv domene
WPVulnerability (wpvulnerability.net)	Poznate sigurnosne ranjivosti u WordPressu, proširenjima i temama za WordPress	samo identifikator proširenja ili teme ili broj verzije WordPressa
Statusne stranice pružatelja koje Korisnici koriste (kao što su usluge CAPTCHA i e-pošte)	Obavijest o prekidima rada tih pružatelja	ništa osim samog zahtjeva
Tijela za izdavanje vremenskih žigova Certum (Asseco Data Systems S.A., Poljska), alternativno DigiCert, Inc. (SAD)	Vremenski žigovi za evidencije dokaza	samo kontrolna vrijednost (SHA-512) evidencije, a ne njezin sadržaj
DNS popisi blokiranih adresa za neželjenu poštu: SpamCop, PSBL, Mailspike i SURBL (Spamhaus samo s vlastitim pristupom)	Provjera je li Korisnikov poslužitelj e-pošte ili domena na popisu	domene i IP adrese poslužitelja (poslužitelji e-pošte, web-poslužitelji), bez osobnih podataka posjetitelja
Google Web Risk, samo ako je postavljen	Provjera nalazi li se Korisnikova početna stranica na popisima zbog zlonamjernog softvera ili phishinga	samo adresa početne stranice
Telegram, operativne obavijesti	Signali operatoru u slučaju prekida rada i novih zahtjeva za podršku	unaprijed određeni tekstovi bez pošiljatelja, sadržaja ili adresa
Certifikacijsko tijelo za TLS	Izdavanje certifikata za naše domene	samo naši vlastiti nazivi domena

6. Pripremljeno, trenutačno se ne koristi

Usluga može zatražiti dodatnu potvrdu provjera u pregledniku i zahtjeva obrazaca s druge, neovisne lokacije. Ta kontrolna točka trenutačno nije postavljena. Ako njome kasnije bude upravljala treća strana, ta je strana podizvršitelj obrade i bit će unaprijed najavljena u skladu s odjeljkom 8. Primala bi domenu, pročišćenu konfiguraciju tijeka u pregledniku i ID zadatka, ali ne pristupne podatke ni pojedinosti o posjetiteljima.

7. Što je još otvoreno

Ovaj je popis nacrt prije pokretanja usluge. Otvoreno navodimo što još nije razjašnjeno:

• Pružatelj usluge e-pošte: Predviđen je Namecheap, Inc. (Private Email), Phoenix, Arizona, USA. Gdje pružatelj obrađuje podatke i na kojoj osnovi oni mogu otići u treću zemlju još treba provjeriti. Još treba dokumentirati je li pružateljev ugovor o obradi podataka prihvaćen za tu uporabu, gdje se poštanski sandučići doista nalaze, koje dodatne podizvršitelje obrade pružatelj koristi i koji se modul standardnih ugovornih klauzula primjenjuje. Sam javno dostupan dodatak o obradi podataka ne dokazuje da je ugovor sklopljen. Dok to nije dokumentirano, nijedan podatak koji obrađujemo kao izvršitelj obrade ne šalje se putem tog pružatelja; to se stoga mora razjasniti prije pokretanja.
• Okvir za privatnost podataka: Za ovu verziju nismo provjerili jesu li Namecheap, Stripe i Google certificirani prema Okviru EU-a i SAD-a za privatnost podataka za predmetne usluge. Stoga to ne tvrdimo; gdje certifikacija nedostaje, primjenjuju se standardne ugovorne klauzule.
• Uloga Stripea za pojedine podatke.
• Telegram upozorenja: osnova prijenosa kada Korisnik odabere Telegram kao odredište, a mi šaljemo poruku putem svojeg bota.

8. Promjene ovog popisa

Podizvršitelje obrade angažiramo na temelju općeg ovlaštenja iz Ugovora o obradi podataka. Prije nego što novi podizvršitelj obrade započne obradu ili postojeći bude zamijenjen, obavještavamo Korisnike najmanje 30 dana unaprijed e-poštom na adresu vlasnika računa i najavljujemo promjenu na ovoj stranici i u pregledu Promjene ugovornih dokumenata. Obavijest navodi primatelja, sjedište, svrhu, podatke, lokaciju i osnovu prijenosa.

Unutar tog roka Korisnik može prigovoriti u tekstualnom obliku iz opravdanog razloga zaštite podataka. Dok se ne pronađe rješenje, nećemo koristiti novog podizvršitelja obrade za podatke koje obrađujemo u ime Korisnika ili ćemo obustaviti pogođenu funkciju za Korisnika. Ako se ne može pronaći rješenje, Korisnik može raskinuti ugovor za uslugu ili pogođeni dio usluge; razmjerno ćemo vratiti sve unaprijed plaćene naknade za razdoblje nakon raskida. Pojedinosti su navedene u Ugovoru o obradi podataka. Korisniku odgovaramo za podizvršitelje obrade kao za vlastite radnje.

Promjene u odjeljcima 3 do 5 koje se ne odnose na podizvršitelje obrade objavljujemo ovdje s novim brojem verzije, bez prethodne obavijesti.

9. Stanje i verzija

• Verzija 1.1 · Posljednje ažuriranje: 22. listopada 2026. · u slučaju odstupanja između jezičnih verzija prednost ima poljska verzija umjesto njemačke; nema drugih promjena.
• Verzija 1.0 · Posljednje ažuriranje: 11. listopada 2026. · prva verzija kao zasebna stranica; prethodno Prilog 3 Ugovoru o obradi podataka. Novo: podjela na podizvršitelje obrade, primatelje koji djeluju kao neovisni voditelji obrade, odredišta koja odabire Korisnik i upite bez osobnih podataka; otvorena pitanja izričito navedena.
• U slučaju odstupanja između jezičnih verzija prednost ima poljska verzija.