Subprosesor

Dokumen ini diterbitkan dalam beberapa bahasa. Jika terdapat perbedaan antara versi bahasa, versi bahasa Polandia yang mengikat.

Versi 1.1 · Terakhir diperbarui: 22 Oktober 2026

Pihak ketiga yang menerima data di formexposed, untuk tujuan apa, di mana, dan atas dasar apa. Daftar ini merupakan bagian dari Perjanjian Pemrosesan Data sebagai Lampiran 3. Subprosesor yang disetujui sebagaimana dimaksud dalam perjanjian tersebut hanya yang tercantum dalam bagian 2; bagian 3 hingga 6 memberikan informasi tentang penerima lainnya dan bukan merupakan persetujuan.

1. Jawaban singkat

Kami mengoperasikan sendiri server, basis data, dan daya komputasi, termasuk untuk model bahasa, di Polandia. Tidak ada penyedia hosting, cloud, atau AI yang terlibat. Subprosesor sebagaimana dimaksud dalam Pasal 28(2) dan (4) GDPR, yaitu pihak ketiga yang memproses data Pelanggan atas nama kami, hanya ada untuk satu tugas: e-mail.

Selain itu, terdapat penerima yang bukan subprosesor. Namun kami tetap mencantumkannya di sini, dipisahkan menurut alasannya, agar gambarannya lengkap:

• penerima yang memproses data sebagai pengendali independen (bagian 3),
• penerima yang dipilih Pelanggan untuk menerima peringatan (bagian 4),
• kueri kepada pihak ketiga yang tidak memuat data pribadi (bagian 5).

2. Subprosesor

Penerima dan kantor terdaftar	Tujuan	Data	Tempat pemrosesan	Dasar transfer
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	Pengiriman e-mail layanan (konfirmasi, peringatan, laporan, laporan bulanan kepada pelanggan laporan portal klien); kotak surat kontrol pengiriman	Alamat e-mail penerima, subjek dan isi e-mail. Dalam kotak surat kontrol pengiriman: salinan e-mail formulir dari situs web Pelanggan dengan semua yang dimasukkan pengunjung di sana, hingga kami memprosesnya	Masih harus diverifikasi	Perjanjian pemrosesan data penyedia; apakah data dikirim ke negara ketiga dan atas dasar apa masih harus diverifikasi, lihat bagian 7
Namecheap, Inc., Phoenix, Arizona, AS	Pendaftaran domain, DNS; hingga kotak surat di Namecheap, Inc. (Private Email), Phoenix, Arizona, USA disiapkan, penerusan e-mail umum ke alamat pada domain kami. Salinan kontrol pemeriksaan pengiriman tidak melalui Namecheap; salinan langsung masuk ke kotak surat	Data domain; untuk penerusan, isi dan header e-mail umum kepada kami, tanpa salinan e-mail formulir	AS, harus diverifikasi	Adendum Pemrosesan Data Namecheap; klausul kontrak standar atau Data Privacy Framework – harus diverifikasi, lihat bagian 7

Apakah data Pelanggan yang kami proses sebagai prosesor sampai kepada penerima ini bergantung pada pengaturannya: tanpa kontrol pengiriman, tidak ada e-mail formulir yang dikirim ke sana; tanpa portal klien, tidak ada e-mail yang dikirim kepada pelanggan laporannya. Kami memberikan titik kontak perlindungan data setiap subprosesor atas permintaan.

Tidak terlibat: Tidak ada pihak ketiga yang terlibat dalam pemeriksaan, tangkapan layar, kredensial pemindaian di balik halaman masuk, alur browser, atau “Fix it for me”. Model bahasa berjalan pada server kami sendiri. Kami menentukan negara suatu alamat IP dari berkas basis data lokal; tidak ada alamat yang dikirim ke layanan geolokasi. Penyedia layanan internet kami hanya meneruskan lalu lintas, sebagian besar terenkripsi, dan bukan subprosesor.

3. Penerima yang bertindak sebagai pengendali independen

Penerima dan kantor terdaftar	Tujuan	Data	Lokasi	Dasar
Stripe Payments Europe, Ltd., Dublin, Irlandia; untuk transfer ke AS, Stripe, Inc.	Pemrosesan pembayaran dan faktur untuk akun pelanggan	Alamat e-mail, nama, alamat penagihan, ID PPN, detail pembayaran (hanya dimasukkan di Stripe, tidak pernah sampai kepada kami); di pihak kami hanya ID pelanggan dan langganan serta statusnya	UE / AS	Untuk data pembayaran, Stripe sebagian besar bertindak sebagai pengendali independen; pembagian peran yang tepat harus diverifikasi. Transfer ke AS: Data Privacy Framework atau klausul kontrak standar – harus diverifikasi
Google Ireland Limited, Dublin, Irlandia; Google LLC, AS	Perlindungan bot (reCAPTCHA) pada formulir kami sendiri: pendaftaran, masuk, kata sandi, pemeriksaan gratis, alat header, opt-out, dukungan, dan kontak	Alamat IP, data browser dan perangkat, perilaku pada halaman, cookie Google. Skrip hanya dimuat saat pengiriman. Skrip tidak berjalan pada situs web Pelanggan	UE / AS	Ketentuan Google; Data Privacy Framework atau klausul kontrak standar – harus diverifikasi

Penerima ini berkaitan dengan pemrosesan kami sendiri, bukan data yang kami proses sebagai prosesor. Detail terdapat dalam Kebijakan Privasi.

4. Penerima yang dipilih Pelanggan

Peringatan dan ringkasan dikirim ke mana pun Pelanggan menginginkannya: melalui e-mail (lewat penyedia layanan e-mail dalam bagian 2), ke alamat webhook, atau ke layanan percakapan. Pilihan saat ini adalah:

• Slack, Discord, Microsoft Teams, dan Google Chat melalui alamat yang dibuat Pelanggan dalam akunnya pada layanan tersebut;
• Telegram: tujuan yang dipilih Pelanggan; kami mengirim pesan melalui bot kami setelah penerima sendiri menautkan percakapan ke bot;
• webhook ke alamat HTTPS publik mana pun pada port standar, ditandatangani atas permintaan.

Data: domain, peristiwa, waktu, dan tautan ke layanan, untuk peringatan tentang pemeriksaan ke laporannya yang dapat dibaca melalui tautan tersebut tanpa masuk; untuk webhook, detail yang sama dalam bentuk yang dapat dibaca mesin. Tanpa isi e-mail formulir; peringatan dari kontrol pengiriman dapat menyebut domain e-mail pengirim jika bukan milik situs web.

Peran: Slack, Discord, Microsoft Teams, Google Chat, dan penerima webhook bukan subprosesor kami. Transfer hanya terjadi karena Pelanggan menyiapkan tujuan; itulah instruksi Pelanggan. Untuk Slack, Discord, Microsoft Teams, Google Chat, dan webhook, hubungan kontraktual dengan penyedia terkait dan dasar apa pun yang diperlukan untuk transfer ke negara ketiga menjadi tanggung jawab Pelanggan. Untuk Telegram, kami mengirim pesan melalui bot kami sendiri; di sini pun, pemilihan tujuan merupakan instruksi tegas Pelanggan untuk mentransfer peringatan ke sana. Apakah Telegram merupakan subprosesor kami dalam hal ini dan atas dasar apa transfer berlangsung belum ditetapkan secara tuntas dan sedang ditinjau pengacara kami. Jika Telegram merupakan subprosesor, pilihan tujuan ini oleh Pelanggan dianggap sebagai izin khusus Pelanggan berdasarkan Pasal 28(2) GDPR untuk tujuan tersebut. Beberapa penyedia ini memproses data di AS; Telegram berkedudukan di luar UE pada negara tanpa keputusan kecukupan, dan dasar berdasarkan Bab V GDPR untuk transfer ke Telegram belum ditetapkan secara tuntas. Siapa pun yang tidak menginginkannya dapat memilih e-mail atau tujuan lain.

5. Kueri tanpa data pribadi

Beberapa fungsi mengirim kueri kepada pihak ketiga. Hanya nama domain, alamat server, nilai pemeriksaan, atau nomor versi yang dikirim, tanpa detail tentang Pelanggan atau pengunjung. Karena itu, pihak ketiga ini bukan subprosesor.

Penerima	Tujuan	Yang dikirim
Layanan RDAP registri domain, ditemukan melalui direktori IANA; untuk pemeriksaan usia domain dalam pemeriksaan gratis, melalui layanan relai rdap.org	Usia dan kedaluwarsa domain	hanya nama domain
WPVulnerability (wpvulnerability.net)	Kerentanan keamanan yang diketahui dalam WordPress, ekstensi dan tema WordPress	hanya pengenal ekstensi atau tema, atau nomor versi WordPress
Halaman status penyedia yang digunakan Pelanggan (seperti layanan CAPTCHA dan e-mail)	Pemberitahuan gangguan pada penyedia tersebut	tidak ada selain permintaan itu sendiri
Otoritas pemberi stempel waktu Certum (Asseco Data Systems S.A., Polandia), alternatifnya DigiCert, Inc. (AS)	Stempel waktu untuk log bukti	hanya nilai pemeriksaan (SHA-512) log, bukan isinya
Daftar blokir DNS untuk spam: SpamCop, PSBL, Mailspike, dan SURBL (Spamhaus hanya dengan akses tersendiri)	Pemeriksaan apakah server e-mail atau domain Pelanggan terdaftar	domain dan alamat IP server (server e-mail, server web), tanpa data pribadi pengunjung
Google Web Risk, hanya jika disiapkan	Pemeriksaan apakah halaman beranda Pelanggan terdaftar karena malware atau phishing	hanya alamat halaman beranda
Telegram, notifikasi operasional	Sinyal kepada pengelola jika terjadi gangguan dan permintaan dukungan baru	teks tetap tanpa pengirim, isi, atau alamat
Otoritas sertifikat untuk TLS	Penerbitan sertifikat untuk domain kami	hanya nama domain kami sendiri

6. Dipersiapkan, saat ini belum digunakan

Layanan dapat meminta konfirmasi tambahan atas pemeriksaan browser dan permintaan formulir dari lokasi kedua yang independen. Titik pemeriksaan ini saat ini belum disiapkan. Jika pihak ketiga mengoperasikannya kelak, pihak tersebut merupakan subprosesor dan akan diumumkan sebelumnya sesuai bagian 8. Pihak tersebut akan menerima domain, konfigurasi alur browser yang telah dibersihkan, dan ID tugas, tetapi tanpa kredensial atau detail pengunjung.

7. Hal yang masih terbuka

Daftar ini merupakan draf sebelum peluncuran. Kami menyatakan secara terbuka hal yang belum diselesaikan:

• Penyedia layanan e-mail: Namecheap, Inc. (Private Email), Phoenix, Arizona, USA direncanakan. Tempat penyedia memproses data dan atas dasar apa data boleh dikirim ke negara ketiga masih harus diverifikasi. Apakah perjanjian pemrosesan data penyedia telah diterima untuk penggunaan ini, tempat kotak surat sebenarnya berada, subprosesor lain yang digunakan penyedia, dan modul klausul kontrak standar yang berlaku masih harus didokumentasikan. Adendum Pemrosesan Data yang tersedia untuk umum saja tidak membuktikan bahwa kontrak telah dibuat. Hingga hal ini didokumentasikan, tidak ada data yang kami proses sebagai prosesor yang dikirim melalui penyedia ini; karena itu, hal ini harus diselesaikan sebelum peluncuran.
• Data Privacy Framework: Untuk versi ini, kami belum memeriksa apakah Namecheap, Stripe, dan Google tersertifikasi berdasarkan EU-U.S. Data Privacy Framework untuk layanan yang bersangkutan. Karena itu kami tidak mengklaimnya; jika tidak ada sertifikasi, klausul kontrak standar berlaku.
• Peran Stripe untuk data individual.
• Peringatan Telegram: dasar transfer ketika Pelanggan memilih Telegram sebagai tujuan dan kami mengirim pesan melalui bot kami.

8. Perubahan daftar ini

Kami menggunakan subprosesor berdasarkan izin umum dalam Perjanjian Pemrosesan Data. Sebelum subprosesor baru mulai memproses atau subprosesor yang ada diganti, kami memberi tahu Pelanggan setidaknya 30 hari sebelumnya melalui e-mail ke alamat pemegang akun dan mengumumkan perubahan pada halaman ini serta dalam ringkasan Perubahan Dokumen Kontrak. Pemberitahuan menyebutkan penerima, kantor terdaftar, tujuan, data, lokasi, dan dasar transfer.

Dalam periode ini, Pelanggan dapat mengajukan keberatan dalam bentuk teks karena alasan perlindungan data yang wajar. Hingga solusi ditemukan, kami tidak akan menggunakan subprosesor baru untuk data Pelanggan yang kami proses sebagai prosesor atau akan menangguhkan fungsi yang terdampak bagi Pelanggan. Jika solusi tidak dapat ditemukan, Pelanggan dapat mengakhiri kontrak layanan atau komponen layanan yang terdampak; kami akan mengembalikan secara proporsional biaya yang telah dibayar di muka untuk periode setelah pengakhiran. Detail diatur dalam Perjanjian Pemrosesan Data. Kami bertanggung jawab kepada Pelanggan atas subprosesor seperti atas tindakan kami sendiri.

Kami memublikasikan perubahan dalam bagian 3 hingga 5 yang tidak menyangkut subprosesor di sini dengan nomor versi baru, tanpa pemberitahuan sebelumnya.

9. Status dan versi

• Versi 1.1 · Terakhir diperbarui: 22 Oktober 2026 · jika terdapat perbedaan antara versi bahasa, versi bahasa Polandia yang berlaku menggantikan bahasa Jerman; tidak ada perubahan lain.
• Versi 1.0 · Terakhir diperbarui: 11 Oktober 2026 · versi pertama sebagai halaman terpisah; sebelumnya Lampiran 3 Perjanjian Pemrosesan Data. Baru: pemisahan menjadi subprosesor, penerima sebagai pengendali independen, tujuan pilihan Pelanggan, dan kueri tanpa data pribadi; hal yang masih terbuka disebut secara tegas.
• Jika terdapat perbedaan antara versi bahasa, versi bahasa Polandia yang berlaku.