Субобработчики

Этот документ опубликован на нескольких языках. В случае расхождений между языковыми версиями обязательной является польская версия.

Версия 1.1 · Последнее обновление: 22 октября 2026 г.

Какие третьи лица получают данные в formexposed, с какой целью, где и на каком основании. Этот перечень является частью Соглашения об обработке данных в качестве Приложения 3. Разрешёнными субобработчиками в смысле этого соглашения являются только лица, перечисленные в разделе 2; разделы 3–6 содержат информацию о других получателях и не являются разрешением.

1. Короткий ответ

Серверы, базу данных и вычислительные мощности, в том числе для языковой модели, мы эксплуатируем сами в Польше. Хостинг-, облачные или ИИ-провайдеры не привлекаются. Субобработчики в смысле ст. 28(2) и (4) GDPR, то есть третьи лица, которые обрабатывают данные наших Клиентов от нашего имени, существуют только для одной задачи: электронной почты.

Кроме того, есть получатели, которые не являются субобработчиками. Тем не менее мы перечисляем их здесь, разделяя по основанию, чтобы картина была полной:

• получатели, которые обрабатывают данные в качестве самостоятельных контролёров (раздел 3),
• получатели, которых выбирает Клиент, когда направляет туда оповещения (раздел 4),
• запросы к третьим лицам, которые не содержат персональных данных (раздел 5).

2. Субобработчики

Получатель и местонахождение	Цель	Данные	Место обработки	Основание для передачи
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	Отправка писем сервиса (подтверждения, оповещения, отчёты, ежемесячные отчёты подписчикам клиентского портала); почтовый ящик проверки доставки	Адреса электронной почты получателей, тема и содержимое писем. В почтовом ящике проверки доставки: копии писем из форм на сайтах Клиентов со всем, что вводят там посетители, до их обработки нами	Ещё подлежит проверке	Соглашение об обработке данных поставщика; передаются ли данные в третью страну и на каком основании, ещё подлежит проверке, см. раздел 7
Namecheap, Inc., Phoenix, Arizona, США	Регистрация доменов, DNS; до настройки почтового ящика у Namecheap, Inc. (Private Email), Phoenix, Arizona, USA — пересылка общих писем на адреса в нашем домене. Контрольные копии проверки доставки не проходят через Namecheap; они поступают напрямую в почтовый ящик	Данные доменов; при пересылке — содержимое и заголовки общих писем нам, без копий писем из форм	США, подлежит проверке	Data Processing Addendum компании Namecheap; стандартные договорные условия или Data Privacy Framework — подлежит проверке, см. раздел 7

Попадают ли данные Клиента, обрабатываемые по поручению, к этим получателям вообще, зависит от его настроек: без проверки доставки письма из форм туда не поступают; без клиентского портала письма его подписчикам не отправляются. Контактное лицо по защите данных каждого субобработчика мы сообщим по запросу.

Не привлекаются: в проверках, снимках экрана, учётных данных для сканирования за входом, браузерных сценариях и «Fix it for me» третьи лица не участвуют. Языковая модель работает на нашем собственном сервере. Страну IP-адреса мы определяем по локальному файлу базы данных; никакие адреса не передаются в службы геолокации. Наш интернет-провайдер лишь пропускает трафик, в основном зашифрованный, и не является субобработчиком.

3. Получатели — самостоятельные контролёры

Получатель и местонахождение	Цель	Данные	Местоположение	Основание
Stripe Payments Europe, Ltd., Дублин, Ирландия; для передачи в США — Stripe, Inc.	Обработка платежей и счета для клиентских учётных записей	Адрес электронной почты, имя, платёжный адрес, идентификационный номер плательщика НДС, платёжные реквизиты (вводятся только в Stripe и никогда не попадают к нам); у нас — только ID клиента и подписки и статус	ЕС / США	В отношении платёжных данных Stripe в основном действует как самостоятельный контролёр; точное распределение ролей подлежит проверке. Передача в США: Data Privacy Framework или стандартные договорные условия — подлежит проверке
Google Ireland Limited, Дублин, Ирландия; Google LLC, США	Защита от ботов (reCAPTCHA) на наших собственных формах: регистрация, вход, пароль, бесплатная проверка, инструмент проверки заголовков, opt-out, поддержка и контакты	IP-адрес, данные браузера и устройства, поведение на странице, cookie Google. Скрипт загружается только при отправке. На сайтах Клиентов он не работает	ЕС / США	Условия Google; Data Privacy Framework или стандартные договорные условия — подлежит проверке

Эти получатели касаются нашей собственной обработки, а не данных, обрабатываемых по поручению. Подробности — в Политике конфиденциальности.

4. Получатели, выбранные Клиентом

Оповещения и сводки отправляются туда, куда хочет Клиент: по электронной почте (через поставщика почтовых услуг из раздела 2), на адрес вебхука или в чат-сервис. Текущие варианты:

• Slack, Discord, Microsoft Teams и Google Chat — через адрес, который Клиент создаёт в своей учётной записи в соответствующем сервисе;
• Telegram: канал, выбранный Клиентом; мы отправляем сообщение через нашего бота после того, как получатель сам связал чат с ботом;
• вебхуки на любой публичный HTTPS-адрес на стандартном порту, по желанию с подписью.

Данные: домен, событие, время и ссылка в сервис, для оповещений о проверке — на её отчёт, который можно прочитать по этой ссылке без входа; для вебхуков — те же сведения в машиночитаемом виде. Никакого содержимого писем из форм; оповещение из проверки доставки может назвать почтовый домен отправителя, если он не относится к сайту.

Роль: Slack, Discord, Microsoft Teams, Google Chat и получатели вебхуков не являются нашими субобработчиками. Передача происходит только потому, что Клиент настраивает канал; это указание Клиента. Для Slack, Discord, Microsoft Teams, Google Chat и вебхуков договорные отношения с соответствующим поставщиком и любое основание, необходимое для передачи в третью страну, относятся к сфере Клиента. Для Telegram мы отправляем сообщение через нашего собственного бота; и здесь выбор канала является прямым указанием Клиента передавать туда оповещения. Является ли Telegram в этом отношении нашим субобработчиком и на каком основании осуществляется эта передача, пока окончательно не определено и находится на проверке у нашего юриста. Если Telegram окажется субобработчиком, выбор Клиентом этого канала считается конкретным разрешением Клиента согласно ст. 28(2) GDPR для этой цели. Ряд этих поставщиков обрабатывает данные в США; Telegram находится за пределами ЕС в стране без решения о достаточности защиты, а основание согласно главе V GDPR, на котором осуществляется передача в Telegram, пока окончательно не определено. Кто этого не хочет, выбирает электронную почту или другой канал.

5. Запросы без персональных данных

Некоторые функции обращаются к третьим лицам. При этом передаются только доменные имена, адреса серверов, контрольные значения или номера версий, без сведений о Клиентах или посетителях. Поэтому эти третьи лица не являются субобработчиками.

Получатель	Цель	Что передаётся
RDAP-сервисы доменных реестров, найденные через каталог IANA; для проверки возраста домена в бесплатной проверке — через ретранслятор rdap.org	Возраст и срок действия домена	только доменное имя
WPVulnerability (wpvulnerability.net)	Известные уязвимости в WordPress, расширениях и темах WordPress	только идентификатор расширения или темы либо номер версии WordPress
Страницы статуса поставщиков, которыми пользуются Клиенты (например, сервисов CAPTCHA и почты)	Сведения о сбоях у этих поставщиков	ничего, кроме самого запроса
Удостоверяющие центры меток времени Certum (Asseco Data Systems S.A., Польша), в качестве альтернативы DigiCert, Inc. (США)	Метки времени для журналов доказательств	только контрольное значение (SHA-512) журнала, а не его содержимое
DNS-списки блокировки спама: SpamCop, PSBL, Mailspike и SURBL (Spamhaus — только с собственным доступом)	Проверка того, внесён ли почтовый сервер или домен Клиента в список	домены и IP-адреса серверов (почтовых серверов, веб-серверов), без персональных данных посетителей
Google Web Risk, только если настроен	Проверка главной страницы Клиента на внесение в списки из-за вредоносного ПО или фишинга	только адрес главной страницы
Telegram, эксплуатационные уведомления	Сигналы оператору при сбоях и новых обращениях в поддержку	фиксированные тексты без отправителя, содержимого или адресов
Удостоверяющий центр для TLS	Выпуск сертификатов для наших доменов	только наши собственные доменные имена

6. Подготовлено, в настоящее время не используется

Сервис может дополнительно подтверждать браузерные проверки и запросы к формам из второго, независимого местоположения. Эта точка проверки в настоящее время не настроена. Если впоследствии её будет эксплуатировать третье лицо, оно станет субобработчиком и будет заранее объявлено в соответствии с разделом 8. Оно получало бы домен, очищенную конфигурацию браузерного сценария и ID задания, но никаких учётных данных и никаких сведений о посетителях.

7. Что ещё не решено

Этот перечень — проект, подготовленный до запуска. Мы открыто говорим, что ещё не урегулировано:

• Поставщик почтовых услуг: предполагается Namecheap, Inc. (Private Email), Phoenix, Arizona, USA. Где поставщик обрабатывает данные и на каком основании они могут передаваться в третью страну, ещё подлежит проверке. Принято ли соглашение поставщика об обработке данных для такого использования, где фактически находятся почтовые ящики, каких дальнейших субобработчиков использует поставщик и какой модуль стандартных договорных условий применяется, ещё предстоит задокументировать. Одно лишь общедоступное Data Processing Addendum не доказывает заключения договора. Пока это не задокументировано, никакие данные, обрабатываемые по поручению, через этого поставщика не передаются; поэтому вопрос должен быть решён до запуска.
• Data Privacy Framework: для этой версии мы не проверяли, сертифицированы ли Namecheap, Stripe и Google в рамках EU-U.S. Data Privacy Framework для соответствующих услуг. Поэтому мы этого не утверждаем; при отсутствии сертификации применяются стандартные договорные условия.
• Роль Stripe в отношении отдельных данных.
• Оповещения в Telegram: основание для передачи, когда Клиент выбирает Telegram в качестве канала и мы отправляем сообщение через нашего бота.

8. Изменения этого перечня

Мы привлекаем субобработчиков на основании общего разрешения, содержащегося в Соглашении об обработке данных. Прежде чем новый субобработчик начнёт обработку или существующий будет заменён, мы уведомляем Клиентов не менее чем за 30 дней по электронной почте на адрес владельца учётной записи и объявляем об изменении на этой странице и в обзоре Изменения договорных документов. В уведомлении указываются получатель, местонахождение, цель, данные, местоположение и основание для передачи.

В течение этого срока Клиент может возразить в текстовой форме по обоснованной причине, связанной с защитой данных. Пока решение не найдено, мы не будем использовать нового субобработчика для данных Клиента, обрабатываемых по поручению, или приостановим для Клиента затронутую функцию. Если решение найти не удаётся, Клиент может расторгнуть договор на сервис или на затронутую часть сервиса; уплаченные авансом сборы за период после расторжения мы вернём пропорционально. Подробности изложены в Соглашении об обработке данных. За субобработчиков мы отвечаем перед Клиентом, как за собственные действия.

Изменения в разделах 3–5, не касающиеся субобработчиков, мы публикуем здесь с новым номером версии без предварительного уведомления.

9. Статус и версия

• Версия 1.1 · Последнее обновление: 22 октября 2026 г. · в случае расхождений между языковыми версиями преимущественную силу имеет польская версия вместо немецкой; других изменений нет.
• Версия 1.0 · Последнее обновление: 11 октября 2026 г. · первая версия в виде отдельной страницы; ранее Приложение 3 к Соглашению об обработке данных. Новое: разделение на субобработчиков, получателей — самостоятельных контролёров, каналы, выбранные Клиентом, и запросы без персональных данных; открытые вопросы названы прямо.
• В случае расхождений между языковыми версиями преимущественную силу имеет польская версия.