Umowa powierzenia przetwarzania danych osobowych (DPA)

Preambuła

Niniejsza Umowa powierzenia przetwarzania danych osobowych („DPA”) stanowi integralną część Regulaminu świadczenia usług CookieOfficer („Regulamin”) i zostaje zawarta w momencie założenia Konta w Serwisie. Określa zasady przetwarzania danych osobowych przez Procesora na rzecz Administratora w związku ze świadczeniem Usługi.

DPA zawierane jest pomiędzy: Administratorem - podmiotem, który założył Konto w Serwisie CookieOfficer i jest wskazany jako właściciel Konta, a Procesorem - Wojciech Bednarski DataWolves, ul. Fabryczna 3/9, 97-545 Wojciechów, NIP 7722307415, REGON 382702660.

W przypadku sprzeczności między DPA a Regulaminem, w zakresie ochrony danych osobowych rozstrzygające znaczenie ma DPA.

Klienci korporacyjni mogą zawrzeć DPA w formie odrębnego, podpisanego dokumentu. W tej sprawie należy napisać na adres kontakt@cookieofficer.pl.

§1. Definicje

• RODO - rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r.
• Dane osobowe - dane osobowe w rozumieniu art. 4 pkt 1 RODO, powierzone Procesorowi przez Administratora w związku ze świadczeniem Usługi.
• Przetwarzanie, Administrator, Podmiot przetwarzający, Naruszenie ochrony danych - pojęcia o znaczeniu nadanym w art. 4 RODO.
• Usługa - platforma zarządzania plikami cookies CookieOfficer, obejmująca: skaner plików cookies i mechanizmów śledzących, generator deklaracji cookies, edytor banera zgody, rejestr zgód.
• Podprocesor - dalszy podmiot przetwarzający, z którego usług Procesor korzysta przy przetwarzaniu Danych osobowych.
• Odwiedzający - osoba fizyczna odwiedzająca stronę internetową Administratora, na której działa Usługa.
• Rejestr zgód - prowadzona w ramach Usługi ewidencja decyzji Odwiedzających dotyczących zgód na cookies i technologie pokrewne.

§2. Przedmiot, charakter i cel przetwarzania

Procesor przetwarza Dane osobowe wyłącznie w celu świadczenia Usługi na rzecz Administratora, zgodnie z Regulaminem i udokumentowanymi poleceniami Administratora.

Charakter i cel przetwarzania, kategorie danych oraz kategorie osób, których dane dotyczą, określa Załącznik nr 1.

Przetwarzanie trwa przez okres obowiązywania Regulaminu, powiększony o okresy wskazane w §11.

Administrator oświadcza, że jest uprawniony do powierzenia Danych osobowych i że dysponuje podstawą prawną ich przetwarzania, w szczególności do wyświetlania banera zgody i prowadzenia Rejestru zgód na wskazanych przez siebie domenach.

§3. Polecenia Administratora

Procesor przetwarza Dane osobowe wyłącznie na udokumentowane polecenie Administratora, w tym w zakresie przekazywania danych do państwa trzeciego, chyba że obowiązek taki nakłada na niego prawo Unii lub prawo państwa członkowskiego. W takim przypadku Procesor informuje Administratora o tym obowiązku przed rozpoczęciem przetwarzania, o ile prawo tego nie zakazuje.

Za udokumentowane polecenie uznaje się:

• Regulamin,
• niniejsze DPA,
• konfigurację dokonaną przez Administratora w panelu Usługi,
• polecenia przekazane na piśmie lub pocztą elektroniczną z adresu przypisanego do Konta.

Procesor niezwłocznie informuje Administratora, jeżeli jego zdaniem polecenie stanowi naruszenie RODO lub innych przepisów o ochronie danych (art. 28 ust. 3 zd. 2 RODO).

3.1. Polecenie w zakresie danych zagregowanych i zanonimizowanych

Administrator poleca Procesorowi agregowanie i nieodwracalne anonimizowanie Danych osobowych w celu:

• rozwoju, testowania i doskonalenia Usługi,
• prowadzenia statystyk zbiorczych dotyczących rozpowszechnienia mechanizmów śledzących i platform zarządzania plikami cookies,
• wykrywania nadużyć i zapewnienia bezpieczeństwa Usługi.

Anonimizacja następuje przed wykorzystaniem danych do wskazanych celów i jest nieodwracalna. Po jej przeprowadzeniu dane nie stanowią już danych osobowych i nie podlegają RODO ani niniejszemu DPA. Procesor nie wykorzystuje Danych osobowych w postaci umożliwiającej identyfikację do żadnego z celów wskazanych w tym ustępie.

Administrator może cofnąć to polecenie w każdym czasie, przesyłając oświadczenie na adres: kontakt@cookieofficer.pl.

§4. Obowiązki Procesora

Procesor zobowiązuje się do:

• przetwarzania Danych osobowych wyłącznie w zakresie i celu określonym w DPA;
• zapewnienia, by osoby upoważnione do przetwarzania Danych osobowych zobowiązały się do zachowania poufności lub podlegały ustawowemu obowiązkowi zachowania tajemnicy (art. 28 ust. 3 lit. b RODO);
• wdrożenia środków technicznych i organizacyjnych, o których mowa w §5;
• przestrzegania warunków korzystania z Podprocesorów określonych w §6;
• udzielania Administratorowi pomocy, o której mowa w §7 i §8;
• usunięcia lub zwrotu Danych osobowych zgodnie z §11;
• udostępniania Administratorowi informacji i umożliwienia audytu zgodnie z §12;
• prowadzenia rejestru kategorii czynności przetwarzania dokonywanych w imieniu Administratora (art. 30 ust. 2 RODO).

§5. Bezpieczeństwo przetwarzania

Procesor wdraża środki techniczne i organizacyjne odpowiadające ryzyku, o których mowa w art. 32 RODO. Aktualny wykaz środków stanowi Załącznik nr 2.

Procesor może zmieniać środki bezpieczeństwa, pod warunkiem że nie obniży to poziomu ochrony Danych osobowych.

Wartości plików cookies i wpisów w magazynach przeglądarki Odwiedzających Procesor zapisuje wyłącznie jako fragment przykładowy, po to żeby deklaracja cookies pokazywała format danych. Wartość, która wygląda na identyfikator, token albo adres e-mail, jest maskowana. W Rejestrze zgód Procesor nie przechowuje pełnych adresów IP Odwiedzających, a jedynie ich formę skróconą. Jest to zobowiązanie umowne, a nie wyłącznie deklaracja techniczna.

§6. Podprocesorzy

Administrator udziela Procesorowi ogólnej zgody na korzystanie z Podprocesorów (art. 28 ust. 2 zd. 2 RODO).

Aktualny wykaz Podprocesorów stanowi Załącznik nr 3 do DPA.

Procesor informuje o zamierzonej zmianie Podprocesora, dodaniu nowego lub zastąpieniu dotychczasowego, z wyprzedzeniem co najmniej 30 dni przed rozpoczęciem przetwarzania przez nowy podmiot. Informacja przekazywana jest pocztą elektroniczną na adres przypisany do Konta Administratora oraz przez aktualizację Załącznika nr 3.

Administrator może wnieść uzasadniony sprzeciw wobec nowego Podprocesora w terminie 30 dni od otrzymania informacji. Strony podejmą w dobrej wierze próbę uzgodnienia rozwiązania. Jeżeli w terminie 30 dni od sprzeciwu rozwiązanie nie zostanie uzgodnione, Administratorowi przysługuje prawo wypowiedzenia Regulaminu w zakresie usług objętych sprzeciwem.

Procesor nakłada na każdego Podprocesora, w drodze umowy, obowiązki ochrony danych odpowiadające tym z niniejszego DPA i pozostaje wobec Administratora w pełni odpowiedzialny za wykonanie obowiązków przez Podprocesora (art. 28 ust. 4 RODO).

Procesor informuje, że dostawca poczty transakcyjnej korzysta z własnych dalszych podwykonawców z siedzibą w Stanach Zjednoczonych, w tym dostawców usług sztucznej inteligencji. Wykaz publikuje ten dostawca. Przez ten łańcuch przechodzą adresy e-mail i treść wiadomości systemowych kierowanych do użytkowników Konta Administratora. Administrator przyjmuje to do wiadomości, zawierając DPA.

§7. Pomoc w realizacji praw osób, których dane dotyczą

Procesor, uwzględniając charakter przetwarzania, pomaga Administratorowi poprzez odpowiednie środki techniczne i organizacyjne wywiązać się z obowiązku odpowiadania na żądania osób, których dane dotyczą (rozdział III RODO).

Usługa udostępnia Administratorowi w panelu narzędzia pozwalające samodzielnie:

• wyszukać rekord zgody po identyfikatorze zgody,
• wyeksportować Rejestr zgód.

W planie Free (bezpłatnym), w którym eksport nie jest dostępny w panelu, Procesor wykonuje go na żądanie Administratora, bez dodatkowej opłaty. Okres przechowywania rekordów wynika z planu i nie podlega konfiguracji przez Administratora (§10).

Jeżeli osoba, której dane dotyczą, zwróci się bezpośrednio do Procesora, Procesor nie odpowiada merytorycznie, lecz niezwłocznie przekazuje żądanie Administratorowi, o ile jest w stanie zidentyfikować właściwego Administratora, i informuje o tym osobę zgłaszającą.

Pomoc, o której mowa powyżej, świadczona jest bez dodatkowej opłaty w zakresie funkcji dostępnych w panelu. Za czynności wykraczające poza funkcje dostępne w panelu Procesor może pobrać uzasadnioną opłatę. O jej wysokości informuje przed wykonaniem czynności.

§8. Naruszenia ochrony danych, DPIA i konsultacje

Procesor zawiadamia Administratora o stwierdzonym Naruszeniu ochrony Danych osobowych bez zbędnej zwłoki (art. 33 ust. 2 RODO).

Zawiadomienie zawiera co najmniej:

• opis charakteru naruszenia,
• kategorie i przybliżoną liczbę osób oraz rekordów, których dotyczy naruszenie,
• prawdopodobne konsekwencje,
• podjęte lub proponowane środki zaradcze,
• dane kontaktowe do dalszych informacji.

Jeżeli nie jest możliwe przekazanie wszystkich informacji jednocześnie, Procesor przekazuje je sukcesywnie.

Procesor nie zawiadamia organu nadzorczego ani osób, których dane dotyczą, w imieniu Administratora, chyba że Administrator wyraźnie go do tego upoważni. Obowiązki z art. 33 i 34 RODO spoczywają na Administratorze.

Procesor pomaga Administratorowi w wywiązaniu się z obowiązków określonych w art. 32-36 RODO, w tym w przeprowadzeniu oceny skutków dla ochrony danych (DPIA) i uprzednich konsultacji, w zakresie odpowiadającym charakterowi przetwarzania i informacjom dostępnym Procesorowi.

§9. Przekazywanie danych poza EOG

Procesor przechowuje Rejestr zgód i wyniki skanów na terytorium Rzeczypospolitej Polskiej. Ruch do Usługi przechodzi przez sieć CDN wskazaną w Załączniku nr 3, także poza EOG. Szyfrowane kopie zapasowe tych danych powierza spółce z siedzibą w Stanach Zjednoczonych, z lokalizacją przechowywania ustawioną na Unię Europejską. Powierzenie to stanowi przekazanie w rozumieniu rozdziału V RODO i opiera się na standardowych klauzulach umownych.

Pozostałe elementy Usługi, w szczególności panel klienta, uwierzytelnianie, baza kont i poczta transakcyjna, działają u dostawców, którzy przekazują dane do państw trzecich. Wykaz i podstawy transferu zawiera Załącznik nr 3.

Każdy transfer poza EOG opiera się na:

• decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (art. 45 RODO), w tym na programie Data Privacy Framework (DPF),
• albo standardowych klauzulach umownych (SCC, art. 46 ust. 2 lit. c RODO), uzupełnionych o dodatkowe środki wynikające z oceny skutków transferu.

Do przekazań, w których Procesor występuje jako podmiot przetwarzający, a odbiorca jako dalszy podmiot przetwarzający, zastosowanie ma moduł 3 standardowych klauzul umownych.

Jeżeli podstawa transferu przestanie obowiązywać lub zostanie unieważniona, Procesor niezwłocznie wdroży alternatywny mechanizm albo, jeżeli to niemożliwe, zaprzestanie transferu i poinformuje Administratora.

§10. Rejestr zgód, postanowienia szczególne

Rejestr zgód służy wykazaniu, że zgoda została zebrana prawidłowo (art. 5 ust. 2 i art. 7 ust. 1 RODO). Administratorem danych w Rejestrze zgód jest Administrator; Procesor prowadzi go na jego polecenie.

Okres przechowywania rekordu zgody wynika z planu wykupionego u Procesora:

• Plan Free - 3 miesiące
• Plan Basic - 12 miesięcy
• Plan Pro - 36 miesięcy
• Plan Enterprise - 60 miesięcy

Administrator jako podmiot decydujący o celach przetwarzania odpowiada za wybór planu dopasowanego do celu, w jakim zbiera zgody.

W razie zmiany decyzji przez Odwiedzającego, w tym wycofania zgody, obok rekordu pierwotnego zapisywany jest nowy rekord z aktualną decyzją: znacznik czasu, zakres i domena. Rekordy Rejestru zgód są wyłącznie dopisywane i nie są zmieniane po zapisie, więc rekord pierwotny zostaje w rejestrze jako dowód wcześniejszej decyzji.

Oba rekordy przechowywane są przez okres wynikający z planu, liczony osobno dla każdego z nich od daty jego zapisu. Procesor nie przechowuje rekordów zgody bezterminowo.

Zakres danych zapisywanych w Rejestrze zgód określa Załącznik nr 1.

§11. Usunięcie lub zwrot danych

Po zakończeniu świadczenia Usługi Procesor, zależnie od decyzji Administratora, zwraca albo usuwa Dane osobowe oraz usuwa ich istniejące kopie, chyba że prawo Unii lub prawo krajowe nakazuje ich dalsze przechowywanie (art. 28 ust. 3 lit. g RODO).

Administrator ma 30 dni od zakończenia świadczenia Usługi na uzyskanie kopii danych, w tym Rejestru zgód. W tym okresie Procesor wydaje kopię na żądanie Administratora, bez dodatkowej opłaty. Administrator może też wykonać eksport samodzielnie w panelu przed zakończeniem świadczenia Usługi.

Po upływie terminu, o którym mowa powyżej, Procesor usuwa Dane osobowe w ciągu kolejnych 30 dni. Z kopii zapasowych dane znikają wraz z wygaśnięciem samej kopii, nie później niż po 6 miesiącach, a po odtworzeniu kopii Procesor ponownie usuwa z niej dane wcześniej skasowane.

Rekordy Rejestru zgód usuwane są w terminach określonych w §10, liczonych osobno dla każdego rekordu od daty jego zapisu. Dotyczy to także okresu po zakończeniu świadczenia Usługi, ponieważ rekord zgody jest dowodem, którym Administrator posługuje się wobec organu nadzorczego.

Na żądanie Administratora Procesor wydaje pisemne potwierdzenie usunięcia danych.

§12. Audyt i informacje

Procesor udostępnia Administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO (art. 28 ust. 3 lit. h RODO).

Obowiązek ten Procesor realizuje w pierwszej kolejności przez udostępnienie dokumentacji środków bezpieczeństwa oraz odpowiedzi na kwestionariusz bezpieczeństwa Administratora, nie później niż w terminie 30 dni od żądania.

Jeżeli te informacje okażą się niewystarczające, Administratorowi przysługuje prawo audytu lub inspekcji, w tym przez upoważnionego audytora zewnętrznego, na następujących warunkach:

• zawiadomienie z co najmniej 30-dniowym wyprzedzeniem,
• nie częściej niż raz w roku kalendarzowym (chyba że audyt następuje po Naruszeniu ochrony danych lub na żądanie organu nadzorczego),
• w godzinach pracy,
• bez zakłócania działalności Procesora,
• z zachowaniem poufności i bez dostępu do danych innych klientów Procesora.

Koszty audytu ponosi Administrator, chyba że audyt wykaże istotne naruszenie obowiązków Procesora, wówczas koszty ponosi Procesor.

§13. Postanowienia dotyczące kalifornijskiej ustawy CCPA

W zakresie, w jakim Procesor przetwarza dane osobowe konsumentów podlegające kalifornijskiej ustawie CCPA w brzmieniu zmienionym przez CPRA, Administrator występuje w roli business, a Procesor w roli service provider.

Procesor oświadcza, że:

• nie sprzedaje ani nie udostępnia (sell / share) tych danych;
• nie zatrzymuje, nie wykorzystuje ani nie ujawnia ich w celu innym niż wykonanie usług określonych w umowie, ani poza bezpośrednią relacją biznesową z Administratorem;
• nie łączy ich z danymi osobowymi otrzymanymi z innych źródeł, poza przypadkami dozwolonymi przez CCPA;
• rozumie powyższe ograniczenia i zobowiązuje się ich przestrzegać;
• zobowiązuje się przestrzegać obowiązków, które CCPA nakłada na service providera;
• przyznaje Administratorowi prawo do podjęcia rozsądnych kroków w celu powstrzymania i naprawienia nieuprawnionego wykorzystania danych;
• niezwłocznie zawiadomi Administratora, jeżeli stwierdzi, że nie jest w stanie ich dotrzymać.

§14. Odpowiedzialność

Odpowiedzialność Stron wynikającą z niniejszego DPA reguluje §14 Regulaminu, z zastrzeżeniem wyjątków wskazanych poniżej.

Ograniczenia odpowiedzialności nie mają zastosowania do:

• odpowiedzialności wobec osób, których dane dotyczą, na podstawie art. 82 RODO,
• administracyjnych kar pieniężnych nałożonych na Stronę z jej wyłącznej winy,
• szkody wyrządzonej umyślnie.

Limit określony w §14 Regulaminu jest wspólny dla roszczeń z Regulaminu i z niniejszego DPA, nie sumuje się.

§15. Postanowienia końcowe

DPA wchodzi w życie z chwilą założenia Konta i obowiązuje przez okres obowiązywania Regulaminu.

Procesor może zmienić DPA, jeżeli wymagają tego zmiany przepisów, orzecznictwa lub wytycznych organów nadzorczych albo zmiany w Usłudze. O zmianie istotnej informuje z co najmniej 30-dniowym wyprzedzeniem; Administratorowi przysługuje wówczas prawo wypowiedzenia Regulaminu.

Do DPA stosuje się prawo polskie. Spory rozstrzyga sąd właściwy zgodnie z Regulaminem.

Jeżeli którekolwiek postanowienie DPA okaże się nieważne, pozostałe zachowują moc, a Strony zastąpią je postanowieniem najbliższym celowi gospodarczemu.

Załącznik nr 1. Opis przetwarzania

A. Kategorie osób, których dane dotyczą

Powierzenie obejmuje dane Odwiedzających strony internetowe Administratora, na których działa baner zgody CookieOfficer.

Dane użytkowników Konta Administratora (pracowników, współpracowników, członków zespołu) Procesor przetwarza jako odrębny administrator, a nie na podstawie powierzenia. Zasady tego przetwarzania opisuje Polityka prywatności.

B. Kategorie danych osobowych

Rejestr zgód

Rejestr zgód obejmuje następujące dane: pseudonimowy identyfikator zgody zapisany w przeglądarce Odwiedzającego, znacznik czasu decyzji, zakres zgody (kategorie zaakceptowane i odrzucone), wersję i język banera, wersję deklaracji cookies, sposób wyrażenia zgody, informację o przeglądarce (nagłówek User-Agent), skrócony adres IP oraz kraj, a także domenę, na której zgoda została zebrana.

Zapisy w przeglądarce Odwiedzającego

Silnik CMP zapisuje w przeglądarce Odwiedzającego wyłącznie poniższe informacje. Żadna z nich nie zawiera imienia i nazwiska ani adresu e-mail Odwiedzającego.

Skaner cookies

Skaner cookies obejmuje następujące dane: nazwę, domenę i ścieżkę wykrytego mechanizmu śledzącego, typ, czas życia, atrybuty (HttpOnly, Secure, SameSite), sposób ustawienia wraz z adresem skryptu, który go ustawił, fazę zgody, kategorię i dostawcę, a także zamaskowany fragment przykładowej wartości.

Konfiguracja Usługi

Konfiguracja Usługi obejmuje następujące dane: konfigurację banera oraz listę domen Administratora.

Imię i nazwisko, służbowy adres e-mail, rola w organizacji, logi aktywności w panelu oraz historia logowań wraz z adresem IP i informacją o przeglądarce dotyczą użytkowników Konta. Procesor przetwarza je jako odrębny administrator, poza powierzeniem, na zasadach opisanych w Polityce prywatności.

Procesor nie przetwarza następujących danych: pełnych adresów IP Odwiedzających w Rejestrze zgód, imion, nazwisk i adresów e-mail Odwiedzających, szczególnych kategorii danych z art. 9 RODO oraz danych z art. 10 RODO. Zakres wartości plików cookies i wpisów w magazynach przeglądarki, które Procesor zapisuje, określa §5.

C. Charakter i cel przetwarzania

Przetwarzanie obejmuje zbieranie, zapisywanie, przechowywanie, porządkowanie, przeglądanie i udostępnianie Administratorowi w panelu danych, a także ich usuwanie. Celem przetwarzania jest wykrywanie mechanizmów śledzących na wskazanych domenach, generowanie deklaracji cookies, wyświetlanie banera zgody oraz rejestrowanie decyzji Odwiedzających.

D. Czas przetwarzania

Dane są przetwarzane przez okres obowiązywania Regulaminu, powiększony o okresy określone w §11 DPA. Rejestr zgód jest przetwarzany zgodnie z §10 DPA.

Załącznik nr 2. Środki techniczne i organizacyjne (art. 32 RODO)

Wykaz odpowiada stanowi faktycznemu na dzień wejścia w życie DPA. Zmiany środków bezpieczeństwa reguluje §5 DPA.

Pseudonimizacja i minimalizacja

Procesor stosuje następujące środki pseudonimizacji i minimalizacji:

• Wartości plików cookies i wpisów w magazynach przeglądarki Odwiedzających zapisuje wyłącznie jako fragment przykładowy, po to żeby deklaracja cookies pokazywała format danych. Wartość, która wygląda na identyfikator, token albo adres e-mail, jest maskowana.
• W Rejestrze zgód nie przechowuje pełnych adresów IP Odwiedzających, a jedynie ich formę skróconą. Tak zapisany adres pozostaje daną osobową i podlega niniejszemu DPA.
• Używa pseudonimowego identyfikatora zgody, który nie jest powiązany z tożsamością Odwiedzającego. Jeżeli Administrator włączy współdzielenie zgody w grupie domen, ten sam identyfikator jest przenoszony między domenami tej grupy, po to żeby Odwiedzający nie odpowiadał na baner osobno na każdej z nich. Poza taką grupą identyfikatory nie są łączone.
• Nie przechowuje pełnych danych kart płatniczych.

Poufność i integralność

Procesor stosuje następujące środki zapewniające poufność i integralność danych:

• Wszystkie połączenia z Usługą i silnikiem CMP są szyfrowane protokołem TLS 1.2 lub nowszym.
• Hasła użytkowników są przechowywane wyłącznie jako skróty kryptograficzne. Uwierzytelnianie realizuje Firebase Auth, a Procesor nie ma dostępu do haseł w postaci jawnej.
• Środowiska produkcyjne i testowe są od siebie oddzielone, a dane produkcyjne nie są używane w testach.
• Wszystkie osoby mające dostęp do danych są zobowiązane do zachowania poufności.

Lokalizacja i dostępność

Procesor zapewnia następujące środki lokalizacji i dostępności danych:

• Rejestr zgód i wyniki skanów są przechowywane na terytorium Rzeczypospolitej Polskiej, zgodnie z warunkami i zastrzeżeniami opisanymi w §9 DPA.
• Szyfrowane kopie zapasowe są przechowywane u dostawcy z lokalizacją przechowywania danych w Unii Europejskiej. Dane znikają z kopii wraz z wygaśnięciem samej kopii, nie później niż po 6 miesiącach (§11 DPA).
• Usługa jest chroniona przed atakami wolumetrycznymi na warstwie CDN/WAF.

Rozliczalność

Procesor zapewnia rozliczalność przetwarzania danych poprzez:

• Prowadzenie rejestru kategorii czynności przetwarzania (art. 30 ust. 2 RODO).
• Wdrożenie procedury obsługi naruszeń ochrony danych.

Procesor wdraża i dokumentuje opisane środki techniczne i organizacyjne. Dokumentację udostępnia Administratorowi na zasadach określonych w §12 DPA.

Załącznik nr 3. Wykaz Podprocesorów

Stan na dzień wejścia w życie DPA. O zmianach w wykazie Procesor informuje na zasadach określonych w §6 DPA.

1. Podprocesor: OVH sp. z o.o., ul. Swobodna 1, 50-088 Wrocław, KRS 0000220286
   • Zakres: hosting silnika CMP, Rejestr zgód, wyniki skanów, rejestr zgłoszeń, skrzynka kontaktowa
   • Lokalizacja przetwarzania: Warszawa, Polska
   • Podstawa transferu: brak transferu
2. Podprocesor: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4
   • Zakres: hosting panelu, uwierzytelnianie, baza kont
   • Lokalizacja przetwarzania: Irlandia; transfer do Google LLC w USA
   • Podstawa transferu: decyzja o odpowiednim stopniu ochrony (Data Privacy Framework, DPF), posiłkowo standardowe klauzule umowne (SCC, art. 46 ust. 2 lit. c RODO)
3. Podprocesor: Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA
   • Zakres: CDN, DNS, WAF, szyfrowane kopie zapasowe z lokalizacją przechowywania w Unii Europejskiej. Przez sieć CDN przechodzą adresy IP osób odwiedzających strony Administratora
   • Lokalizacja przetwarzania: USA
   • Podstawa transferu: standardowe klauzule umowne (SCC, art. 46 ust. 2 lit. c RODO)
4. Podprocesor: Plus Five Five, Inc. (Resend), 2261 Market Street #5039, San Francisco, CA 94114, USA
   • Zakres: poczta transakcyjna
   • Lokalizacja przetwarzania: USA
   • Podstawa transferu: standardowe klauzule umowne (SCC, art. 46 ust. 2 lit. c RODO)
5. Podprocesor: Stripe Payments Europe, Limited, One Wilton Park, Wilton Place, Dublin 2, D02 FX04, CRO 513174
   • Zakres: realizacja płatności na polecenie Procesora
   • Lokalizacja przetwarzania: Irlandia; transfer do Stripe, LLC w USA
   • Podstawa transferu: decyzja o odpowiednim stopniu ochrony (Data Privacy Framework, DPF), posiłkowo standardowe klauzule umowne (SCC, art. 46 ust. 2 lit. c RODO)

Uwaga: Stripe pełni wobec części przetwarzania rolę odrębnego administratora (przeciwdziałanie oszustwom, obowiązki AML/KYC). W tym zakresie nie jest Podprocesorem i nie podlega niniejszemu DPA.