Podmioty przetwarzające dalej

Niniejszy dokument jest publikowany w kilku wersjach językowych. W razie rozbieżności między wersjami językowymi wiążąca jest wersja polska.

Wersja 1.1 · Stan na: 22 października 2026 r.

Którzy odbiorcy zewnętrzni otrzymują dane w formexposed, w jakim celu, gdzie i na jakiej podstawie. Niniejsza lista stanowi załącznik nr 3 i integralną część umowy powierzenia przetwarzania danych. Dalszymi podmiotami przetwarzającymi, na które udzielono zgody w rozumieniu tej umowy, są wyłącznie podmioty wymienione w punkcie 2; punkty 3–6 informują o innych odbiorcach i nie stanowią udzielenia zgody.

1. Krótka odpowiedź

Serwery, bazę danych i moc obliczeniową, także dla modelu językowego, utrzymujemy sami w Polsce. Nie uczestniczy w tym żaden dostawca hostingu, chmury ani AI. Dalsze podmioty przetwarzające w rozumieniu art. 28 ust. 2 i 4 RODO, czyli podmioty trzecie, które przetwarzają dane naszych Klientów w naszym imieniu, występują tylko przy jednym zadaniu: poczcie e-mail.

Oprócz tego istnieją odbiorcy, którzy nie są dalszymi podmiotami przetwarzającymi. Mimo to wymieniamy ich tutaj, z podziałem według podstawy, aby obraz był pełny:

• odbiorcy, którzy przetwarzają dane jako odrębni administratorzy (punkt 3),
• odbiorcy, których Klient wybiera sam, gdy zleca wysyłanie tam alarmów (punkt 4),
• zapytania do podmiotów trzecich, które nie zawierają danych osobowych (punkt 5).

2. Dalsze podmioty przetwarzające

Odbiorca i siedziba	Cel	Dane	Miejsce przetwarzania	Podstawa przekazania
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	Wysyłka e-maili usługi (potwierdzenia, alarmy, raporty, raporty miesięczne dla subskrybentów portalu klienta); skrzynka kontroli doręczenia	Adresy e-mail odbiorców, temat i treść wiadomości. W skrzynce kontroli doręczenia: kopie wiadomości z formularzy na stronach Klientów ze wszystkim, co wpisali tam odwiedzający, do czasu ich przetworzenia przez nas	Do sprawdzenia	Umowa powierzenia przetwarzania danych dostawcy; czy i na jakiej podstawie dane trafiają do państwa trzeciego, pozostaje do sprawdzenia, zob. punkt 7
Namecheap, Inc., Phoenix, Arizona, USA	Rejestracja domen, DNS; do czasu uruchomienia skrzynki u Namecheap, Inc. (Private Email), Phoenix, Arizona, USA przekazywanie ogólnych e-maili wysyłanych na adresy w naszej domenie. Kopie kontrolne kontroli doręczenia nie przechodzą przez Namecheap, lecz trafiają bezpośrednio do skrzynki	Dane domen; przy przekazywaniu treść i nagłówki ogólnych wiadomości do nas, żadnych kopii wiadomości z formularzy	USA, do sprawdzenia	Data Processing Addendum Namecheap; standardowe klauzule umowne lub Data Privacy Framework – do sprawdzenia, zob. punkt 7

To, czy dane powierzone przez Klienta w ogóle trafiają do tych odbiorców, zależy od jego ustawień: bez kontroli doręczenia nie trafiają tam żadne wiadomości z formularzy; bez portalu klienta – żadne wiadomości do jego subskrybentów. Punkt kontaktowy w sprawach ochrony danych danego dalszego podmiotu przetwarzającego podajemy na żądanie.

Bez udziału podmiotów trzecich: W sprawdzeniach, zrzutach ekranu, danych dostępowych do skanu za logowaniem, ścieżkach formularzy i „Fix it for me” nie uczestniczy żaden podmiot trzeci. Model językowy działa na naszym własnym serwerze. Kraj adresu IP ustalamy na podstawie lokalnego pliku bazy danych; żaden adres nie trafia do usługi geolokalizacyjnej. Nasz dostawca internetu jedynie przesyła dane, w przeważającej części zaszyfrowane, i nie jest dalszym podmiotem przetwarzającym.

3. Odbiorcy jako odrębni administratorzy

Odbiorca i siedziba	Cel	Dane	Miejsce	Podstawa
Stripe Payments Europe, Ltd., Dublin, Irlandia; w zakresie przekazań do USA Stripe, Inc.	Obsługa płatności i faktur dla kont Klientów	Adres e-mail, imię i nazwisko, adres rozliczeniowy, numer VAT UE, dane płatnicze (wprowadzane wyłącznie w Stripe, nigdy do nas nie trafiają); u nas tylko identyfikator klienta i subskrypcji oraz status	UE / USA	W zakresie danych płatniczych Stripe działa w dużej mierze jako odrębny administrator; dokładny podział ról pozostaje do sprawdzenia. Przekazanie do USA: Data Privacy Framework lub standardowe klauzule umowne – do sprawdzenia
Google Ireland Limited, Dublin, Irlandia; Google LLC, USA	Ochrona przed botami (reCAPTCHA) w naszych własnych formularzach: rejestracja, logowanie, hasło, bezpłatne sprawdzenie, narzędzie do nagłówków, opt-out, wsparcie i kontakt	Adres IP, dane przeglądarki i urządzenia, zachowanie na stronie, pliki cookie Google. Skrypt jest ładowany dopiero przy wysyłaniu. Nie działa na stronach Klientów	UE / USA	Warunki Google; Data Privacy Framework lub standardowe klauzule umowne – do sprawdzenia

Ci odbiorcy dotyczą naszych własnych czynności przetwarzania, a nie danych powierzonych. Szczegóły zawiera Polityka prywatności.

4. Odbiorcy wybierani przez Klienta

Alarmy i powiadomienia zbiorcze trafiają tam, gdzie chce ich Klient: e-mailem (przez dostawcę poczty z punktu 2), na adres webhooka albo do komunikatora. Obecnie do wyboru są:

• Slack, Discord, Microsoft Teams i Google Chat przez adres, który Klient generuje na swoim koncie w danej usłudze;
• Telegram: cel wybrany przez Klienta; wiadomość wysyłamy przez naszego bota, po tym jak odbiorca sam połączy czat z botem;
• webhooki na dowolny publiczny adres HTTPS na porcie standardowym, na życzenie podpisywane.

Dane: domena, zdarzenie, czas i link do usługi, a przy alarmach dotyczących sprawdzenia – link do jego raportu, który można przez ten link odczytać bez logowania; w przypadku webhooków te same informacje w formie nadającej się do odczytu maszynowego. Żadnych treści wiadomości z formularzy; alarm kontroli doręczenia może wskazywać domenę e-mail nadawcy, jeżeli nie należy ona do strony internetowej.

Rola: Slack, Discord, Microsoft Teams, Google Chat i odbiorcy webhooków nie są naszymi dalszymi podmiotami przetwarzającymi. Przekazanie następuje wyłącznie dlatego, że Klient ustawia ten cel; jest to jego polecenie. W przypadku Slack, Discord, Microsoft Teams, Google Chat i webhooków stosunek umowny z danym dostawcą i ewentualnie wymagana podstawa przekazania do państwa trzeciego leżą po stronie Klienta. W przypadku Telegramu wysyłamy wiadomość przez naszego własnego bota; również tu wybór celu stanowi wyraźne polecenie Klienta, aby przekazywać tam powiadomienia. To, czy Telegram jest przy tym naszym dalszym podmiotem przetwarzającym i na jakiej podstawie następuje to przekazanie, nie zostało jeszcze ostatecznie wyjaśnione i jest przedmiotem analizy prawnika. Jeżeli Telegram okaże się dalszym podmiotem przetwarzającym, wybór tego celu przez Klienta uznaje się za jego odrębną zgodę w rozumieniu art. 28 ust. 2 RODO w tym celu. Kilku z tych dostawców przetwarza dane w USA; Telegram ma siedzibę poza UE, w państwie, wobec którego nie wydano decyzji stwierdzającej odpowiedni stopień ochrony, a podstawa przekazania danych do Telegramu na gruncie rozdziału V RODO nie została jeszcze ostatecznie wyjaśniona. Kto tego nie chce, wybiera e-mail lub inny cel.

5. Zapytania bez danych osobowych

Niektóre funkcje wysyłają zapytania do podmiotów trzecich. Wychodzą przy tym tylko nazwy domen, adresy serwerów, sumy kontrolne lub numery wersji, bez informacji o Klientach lub odwiedzających. Dlatego podmioty te nie są dalszymi podmiotami przetwarzającymi.

Odbiorca	Do czego	Co jest przekazywane
Usługi RDAP rejestrów domen, wyszukiwane przez katalog IANA; przy sprawdzaniu wieku domeny w ramach bezpłatnego sprawdzenia – przez usługę pośredniczącą rdap.org	Wiek i data wygaśnięcia domeny	tylko nazwa domeny
WPVulnerability (wpvulnerability.net)	Znane luki bezpieczeństwa w WordPressie, rozszerzeniach WordPress i motywach	tylko identyfikator rozszerzenia lub motywu albo numer wersji WordPressa
Strony statusu dostawców, z których korzystają Klienci (np. usługi CAPTCHA i pocztowe)	Informacja o zakłóceniach u tych dostawców	nic poza samym pobraniem
Dostawcy usług znakowania czasem Certum (Asseco Data Systems S.A., Polska), zastępczo DigiCert, Inc. (USA)	Znaczniki czasu dla protokołów weryfikacji	tylko suma kontrolna (SHA-512) protokołu, nie jego treść
Listy blokujące DNS dla spamu: SpamCop, PSBL, Mailspike i SURBL (Spamhaus tylko z własnym dostępem)	Sprawdzenie, czy serwer pocztowy lub domena Klienta są umieszczone na liście	domeny i adresy IP serwerów (serwery pocztowe, serwery WWW), żadnych danych osobowych odwiedzających
Google Web Risk, tylko jeśli zostało skonfigurowane	Sprawdzenie strony głównej Klienta pod kątem wpisów z powodu złośliwego oprogramowania lub phishingu	tylko adres strony głównej
Telegram, komunikaty eksploatacyjne	Sygnały dla Usługodawcy przy zakłóceniach i nowych zgłoszeniach do wsparcia	stałe teksty bez nadawcy, treści ani adresów
Urząd certyfikacji TLS	Wystawianie certyfikatów dla naszych domen	tylko nasze własne nazwy domen

6. Przygotowane, obecnie niewykorzystywane

Usługa może zlecać dodatkowe potwierdzanie sprawdzeń w przeglądarce i pobrań formularzy z drugiej, niezależnej lokalizacji. Ten punkt kontrolny nie jest obecnie uruchomiony. Jeżeli w przyszłości będzie go prowadził podmiot trzeci, stanie się on dalszym podmiotem przetwarzającym i zostanie zapowiedziany z wyprzedzeniem zgodnie z punktem 8. Otrzymywałby domenę, oczyszczoną konfigurację ścieżki formularza i identyfikator zlecenia, ale żadnych danych dostępowych ani danych odwiedzających.

7. Co jest jeszcze otwarte

Niniejsza lista jest projektem przed startem. Mówimy otwarcie, co nie zostało jeszcze ustalone:

• Dostawca poczty: Przewidziany jest Namecheap, Inc. (Private Email), Phoenix, Arizona, USA. Gdzie dostawca przetwarza dane i na jakiej podstawie trafiają one ewentualnie do państwa trzeciego, pozostaje do sprawdzenia. Nadal trzeba udokumentować, czy umowa powierzenia przetwarzania danych dostawcy została przyjęta dla tego zastosowania, gdzie faktycznie znajdują się skrzynki, z jakich dalszych podmiotów przetwarzających korzysta dostawca i który moduł standardowych klauzul umownych ma zastosowanie. Sam publicznie dostępny Data Processing Addendum nie dowodzi zawarcia umowy. Do czasu udokumentowania tych kwestii za pośrednictwem tego dostawcy nie są przekazywane żadne dane powierzone; dlatego muszą one zostać wyjaśnione przed uruchomieniem usługi.
• Data Privacy Framework: Na potrzeby tej wersji nie sprawdziliśmy, czy Namecheap, Stripe i Google są certyfikowani w ramach EU-U.S. Data Privacy Framework w zakresie danych usług. Dlatego tego nie twierdzimy; tam, gdzie certyfikacji brak, obowiązują standardowe klauzule umowne.
• Rola Stripe w odniesieniu do poszczególnych danych.
• Alarmy w Telegramie: podstawa przekazania, gdy Klient wybiera Telegram jako cel, a my wysyłamy wiadomość przez naszego bota.

8. Zmiany tej listy

Dalsze podmioty przetwarzające angażujemy na podstawie ogólnej zgody zawartej w umowie powierzenia przetwarzania danych. Zanim nowy dalszy podmiot przetwarzający rozpocznie przetwarzanie lub istniejący zostanie zastąpiony, informujemy Klientów co najmniej 30 dni wcześniej e-mailem wysłanym na adres właściciela konta i zapowiadamy zmianę na tej stronie oraz w zestawieniu Zmiany dokumentów umownych. Informacja wskazuje odbiorcę, siedzibę, cel, dane, miejsce i podstawę przekazania.

W tym terminie Klient może wnieść sprzeciw w formie dokumentowej z uzasadnionej przyczyny dotyczącej ochrony danych. Do czasu znalezienia rozwiązania nie korzystamy z nowego dalszego podmiotu przetwarzającego w odniesieniu do danych powierzonych przez Klienta albo zawieszamy dla niego daną funkcję. Jeżeli nie da się znaleźć rozwiązania, może wypowiedzieć umowę o świadczenie usługi lub dotkniętą zmianą usługę; wynagrodzenie zapłacone z góry za okres po rozwiązaniu zwracamy proporcjonalnie. Szczegóły reguluje umowa powierzenia przetwarzania danych. Za dalsze podmioty przetwarzające odpowiadamy wobec Klienta jak za własne działania.

Zmiany w punktach 3–5, które nie dotyczą dalszych podmiotów przetwarzających, publikujemy tutaj z nowym numerem wersji, bez wyprzedzenia.

9. Stan i wersja

• Wersja 1.1 · Stan na: 22 października 2026 r. · w razie rozbieżności między wersjami językowymi rozstrzyga wersja polska zamiast niemieckiej; poza tym bez zmian.
• Wersja 1.0 · Stan na: 11 października 2026 r. · pierwsza wersja jako odrębna strona; dotychczas załącznik nr 3 do umowy powierzenia przetwarzania danych. Nowość: podział na dalsze podmioty przetwarzające, odbiorców będących odrębnymi administratorami, cele wybierane przez Klienta i zapytania bez danych osobowych; wyraźnie wskazane kwestie otwarte.
• W razie rozbieżności między wersjami językowymi rozstrzyga wersja polska.