Субобробники

Цей документ опубліковано кількома мовами. У разі будь-яких розбіжностей між мовними версіями обов’язковою є польська версія.

Версія 1.1 · Останнє оновлення: 22 жовтня 2026 року

Які треті особи отримують дані в formexposed, для якої мети, де й на якій підставі. Цей перелік є частиною Договору про обробку даних як Додаток 3. Дозволеними субобробниками в розумінні цього договору є лише перелічені в розділі 2; розділи 3–6 інформують про інших одержувачів і не становлять дозволу.

1. Коротка відповідь

Ми самостійно експлуатуємо сервери, базу даних і обчислювальні потужності, зокрема для мовної моделі, у Польщі. Жодного хостинг-, хмарного чи ШІ-постачальника не залучено. Субобробники в розумінні ст. 28(2) і (4) GDPR, тобто треті особи, які обробляють дані наших Клієнтів від нашого імені, існують лише для одного завдання: електронної пошти.

Крім того, є одержувачі, які не є субобробниками. Для повноти картини ми все ж перелічуємо їх тут, розділивши за причиною:

• одержувачі, які обробляють дані як незалежні контролери (розділ 3),
• одержувачі, яких вибирає Клієнт для надсилання їм сповіщень (розділ 4),
• запити до третіх осіб, які не містять персональних даних (розділ 5).

2. Субобробники

Одержувач і зареєстроване місцезнаходження	Мета	Дані	Місце обробки	Підстава передавання
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	Надсилання листів сервісу (підтвердження, сповіщення, звіти, щомісячні звіти підписникам клієнтського порталу); скринька перевірки доставки	Адреси електронної пошти одержувачів, тема й вміст листів. У скриньці перевірки доставки: копії листів із форм сайтів Клієнтів з усім, що відвідувачі вводять туди, до нашої обробки	Ще належить перевірити	Договір постачальника про обробку даних; чи надходять дані до третьої країни й на якій підставі, ще належить перевірити, див. розділ 7
Namecheap, Inc., Phoenix, Arizona, USA	Реєстрація доменів, DNS; до налаштування скриньки в Namecheap, Inc. (Private Email), Phoenix, Arizona, USA — пересилання загальних листів, адресованих на наш домен. Контрольні копії перевірки доставки не проходять через Namecheap; вони надходять безпосередньо до скриньки	Дані доменів; для пересилання — вміст і заголовки загальних листів до нас, без копій листів із форм	USA, підлягає перевірці	Додаток Namecheap про обробку даних; стандартні договірні положення або Data Privacy Framework — підлягає перевірці, див. розділ 7

Чи потрапляють узагалі до цих одержувачів дані, які ми обробляємо від імені Клієнта, залежить від його налаштувань: без перевірки доставки туди не надходять листи з форм; без клієнтського порталу листи не надходять його підписникам. На запит ми надамо контактний пункт із захисту даних кожного субобробника.

Не залучено: жодна третя особа не залучається до перевірок, знімків екрана, облікових даних для сканування захищеної входом частини сайту, браузерних сценаріїв або «Fix it for me». Мовна модель працює на нашому власному сервері. Країну IP-адреси ми визначаємо з локального файлу бази даних; жодна адреса не надходить до сервісу геолокації. Наш інтернет-провайдер лише пропускає трафік, переважно зашифрований, і не є субобробником.

3. Одержувачі, що діють як незалежні контролери

Одержувач і зареєстроване місцезнаходження	Мета	Дані	Місце	Підстава
Stripe Payments Europe, Ltd., Dublin, Ireland; для передавання до USA — Stripe, Inc.	Обробка платежів і рахунки для облікових записів клієнтів	Адреса електронної пошти, ім’я, платіжна адреса, номер платника ПДВ, платіжні дані (вводяться лише в Stripe, ніколи не надходять до нас); у нас лише ID клієнта й підписки та стан	EU / USA	Щодо платіжних даних Stripe переважно діє як незалежний контролер; точний розподіл ролей підлягає перевірці. Передавання до USA: Data Privacy Framework або стандартні договірні положення — підлягає перевірці
Google Ireland Limited, Dublin, Ireland; Google LLC, USA	Захист від ботів (reCAPTCHA) у наших власних формах: реєстрація, вхід, пароль, безкоштовна перевірка, інструмент заголовків, відмова від перевірок, підтримка й контакт	IP-адреса, дані браузера й пристрою, поведінка на сторінці, cookie Google. Скрипт завантажується лише під час надсилання. Він не працює на сайтах Клієнтів	EU / USA	Умови Google; Data Privacy Framework або стандартні договірні положення — підлягає перевірці

Ці одержувачі стосуються нашої власної обробки, а не даних, які ми обробляємо як обробник. Подробиці — у Політиці конфіденційності.

4. Одержувачі, вибрані Клієнтом

Сповіщення й зведення надходять туди, куди бажає Клієнт: електронною поштою (через постачальника поштових послуг у розділі 2), на адресу вебхука або до чат-сервісу. Наразі доступні такі варіанти:

• Slack, Discord, Microsoft Teams і Google Chat через адресу, яку Клієнт створює у своєму обліковому записі цього сервісу;
• Telegram: адресат, вибраний Клієнтом; ми надсилаємо повідомлення через нашого бота після того, як одержувач самостійно пов’язав чат із ботом;
• вебхуки на будь-яку публічну HTTPS-адресу на стандартному порту, за бажанням із підписом.

Дані: домен, подія, час і посилання в сервіс, для сповіщень про перевірку — на її звіт, який можна прочитати через це посилання без входу; для вебхуків — ті самі відомості в машиночитаній формі. Без вмісту листів із форм; сповіщення перевірки доставки може називати поштовий домен відправника, якщо він не належить сайту.

Роль: Slack, Discord, Microsoft Teams, Google Chat і одержувачі вебхуків не є нашими субобробниками. Передавання відбувається лише тому, що Клієнт налаштовує адресата; це вказівка Клієнта. Для Slack, Discord, Microsoft Teams, Google Chat і вебхуків договірні відносини з відповідним постачальником та будь-яка необхідна підстава для передавання до третьої країни покладаються на Клієнта. Для Telegram ми надсилаємо повідомлення через власного бота; тут також вибір адресата є прямою вказівкою Клієнта передавати туди сповіщення. Чи є Telegram у цій частині нашим субобробником і на якій підставі відбувається це передавання, ще остаточно не визначено й передано нашому юристу на перевірку. Якщо Telegram є субобробником, вибір Клієнтом цього адресата вважається спеціальним дозволом Клієнта за ст. 28(2) GDPR для цієї мети. Кілька з цих постачальників обробляють дані у США; Telegram розташований поза ЄС у країні без рішення про належний рівень захисту, а підставу за Главою V GDPR для передавання до Telegram ще остаточно не визначено. Той, хто цього не бажає, вибирає електронну пошту або іншого адресата.

5. Запити без персональних даних

Деякі функції надсилають запити третім особам. Назовні надходять лише доменні імена, адреси серверів, контрольні значення чи номери версій, без відомостей про Клієнтів або відвідувачів. Тому ці треті особи не є субобробниками.

Одержувач	Мета	Що передається
Сервіси RDAP реєстрів доменів, знайдені через каталог IANA; для перевірки віку домену в безкоштовній перевірці — через ретрансляційний сервіс rdap.org	Вік і закінчення строку домену	лише доменне ім’я
WPVulnerability (wpvulnerability.net)	Відомі вразливості безпеки у WordPress, розширеннях і темах WordPress	лише ідентифікатор розширення чи теми або номер версії WordPress
Сторінки стану постачальників, яких використовують Клієнти (як-от сервіси CAPTCHA й пошти)	Повідомлення про відмови цих постачальників	нічого, крім самого запиту
Служби позначок часу Certum (Asseco Data Systems S.A., Poland), альтернативно DigiCert, Inc. (USA)	Позначки часу для журналів доказів	лише контрольне значення (SHA-512) журналу, а не його вміст
DNS-списки блокування спаму: SpamCop, PSBL, Mailspike і SURBL (Spamhaus лише з власним доступом)	Перевірка наявності поштового сервера чи домену Клієнта у списках	домени й IP-адреси серверів (поштових серверів, вебсерверів), без персональних даних відвідувачів
Google Web Risk, лише якщо налаштовано	Перевірка головної сторінки Клієнта на наявність у списках через шкідливе програмне забезпечення чи фішинг	лише адреса головної сторінки
Telegram, експлуатаційні повідомлення	Сигнали оператору в разі відмов і нових звернень до підтримки	фіксовані тексти без відправника, вмісту чи адрес
Центр сертифікації для TLS	Видача сертифікатів для наших доменів	лише наші власні доменні імена

6. Підготовлено, наразі не використовується

Сервіс може додатково підтверджувати браузерні перевірки й запити форм із другої незалежної локації. Цю точку перевірки наразі не налаштовано. Якщо згодом нею керуватиме третя особа, вона буде субобробником, про якого заздалегідь повідомлять відповідно до розділу 8. Вона отримувала б домен, очищену конфігурацію браузерного сценарію та ID завдання, але жодних облікових даних чи відомостей від відвідувачів.

7. Що ще залишається відкритим

Цей перелік є передстартовою чернеткою. Ми відкрито зазначаємо те, що ще не врегульовано:

• Постачальник поштових послуг: заплановано Namecheap, Inc. (Private Email), Phoenix, Arizona, USA. Де постачальник обробляє дані та на якій підставі вони можуть надходити до третьої країни, ще належить перевірити. Ще потрібно задокументувати, чи прийнято договір постачальника про обробку даних для цього використання, де фактично розташовані поштові скриньки, яких подальших субобробників використовує постачальник і який модуль стандартних договірних положень застосовується. Сам по собі публічно доступний Додаток про обробку даних не доводить укладення договору. Доки це не задокументовано, через цього постачальника не передаються дані, які ми обробляємо як обробник; тому це потрібно врегулювати до запуску.
• Data Privacy Framework: для цієї версії ми не перевіряли, чи сертифіковані Namecheap, Stripe і Google за EU-U.S. Data Privacy Framework для відповідних послуг. Тому ми цього не стверджуємо; за відсутності сертифікації застосовуються стандартні договірні положення.
• Роль Stripe щодо окремих даних.
• Сповіщення Telegram: підстава передавання, коли Клієнт вибирає Telegram як адресата, а ми надсилаємо повідомлення через нашого бота.

8. Зміни цього переліку

Ми залучаємо субобробників на підставі загального дозволу в Договорі про обробку даних. Перед початком обробки новим субобробником або заміною наявного ми повідомляємо Клієнтів щонайменше за 30 днів електронною поштою на адресу власника облікового запису та оголошуємо зміну на цій сторінці й в огляді Зміни договірних документів. Повідомлення зазначає одержувача, зареєстроване місцезнаходження, мету, дані, місце й підставу передавання.

Протягом цього строку Клієнт може заперечити в текстовій формі з обґрунтованої причини захисту даних. Доки рішення не знайдено, ми не використовуватимемо нового субобробника для даних, які обробляємо від імені Клієнта, або призупинимо для Клієнта відповідну функцію. Якщо рішення неможливо знайти, Клієнт може припинити договір щодо сервісу або відповідної його складової; ми пропорційно повернемо всі передплачені кошти за період після припинення. Подробиці визначено в Договорі про обробку даних. Ми відповідаємо перед Клієнтом за субобробників як за власні дії.

Зміни в розділах 3–5, які не стосуються субобробників, ми публікуємо тут із новим номером версії без попереднього повідомлення.

9. Стан і версія

• Версія 1.1 · Останнє оновлення: 22 жовтня 2026 року · у разі розбіжностей між мовними версіями перевагу має польська версія замість німецької; інших змін немає.
• Версія 1.0 · Останнє оновлення: 11 жовтня 2026 року · перша версія як окрема сторінка; раніше Додаток 3 до Договору про обробку даних. Нове: розділення на субобробників, одержувачів як незалежних контролерів, адресатів, вибраних Клієнтом, і запити без персональних даних; відкриті питання названо прямо.
• У разі розбіжностей між мовними версіями перевагу має польська версія.