Wykaz podmiotów podprzetwarzających
Data wejścia w życie: oczekuje na aktywację (nie ustalono; data zarezerwowana na wdrożenie).
Ostatnia aktualizacja: oczekuje na aktywację (nie ustalono; data zarezerwowana na wdrożenie).
Projekt przygotowano: 6 października 2026 r.
Projekt zaktualizowany: 7 października 2026 r. Dokument nadal oczekuje na aktywację.
Niewiążące streszczenie. Wskazane usługi są aktywne. Mają różne role: część przetwarza dane projektów, inne obsługują płatności, logowanie, pocztę lub pomiar. Przed upoważnieniem każdego podmiotu podprzetwarzającego dane Klienta trzeba uzupełnić dane umowne i informacje o przetwarzaniu. Streszczenie nie stanowi części wiążącego wykazu.
Przed wejściem wykazu w skład załącznika C należy uzupełnić faktyczne parametry wdrożenia.
1. Role dostawców
1.1. „Podmiot podprzetwarzający” oznacza odbiorcę wyznaczonego do przetwarzania danych osobowych kontrolowanych przez Klienta w imieniu OwlMeans według umowy powierzenia. Usługi kont/płatności mogą zamiast tego przetwarzać dane kontrolowane przez OwlMeans lub działać niezależnie; umieszczenie ich w wykazie nie czyni z nich podmiotów podprzetwarzających dla wszystkich klientów. Kontakt: Igor Tkachenko OwlMeans Software (działający pod skróconą firmą „OwlMeans Software, JDG”), NIP 6772507251, identyfikator VAT UE PL6772507251, REGON 527979906, ul. Ariańska 9/5, 31-505 Kraków, Polska; support@owlmeans.com; telefon +48 780 256 571.
| Usługa i wskazany operator | Obecny status, wykorzystanie i dane | Rola i status lokalizacji |
|---|---|---|
| Hetzner; opublikowany operator Hetzner Online GmbH, rzeczywista umowa usługi do potwierdzenia | Potwierdzony przez operatora jedyny dostawca infrastruktury: zadania, bazy danych, repozytoria i zapisy operacyjne; szczegóły usługi kopii zapasowych do ustalenia | Podmiot podprzetwarzający, gdy hostuje dane kontrolowane przez Klienta. Faktyczne kraje centrów danych, lokalizacje kopii zapasowych, umowa i okresy przechowywania nieustalone. |
| Mailgun; rzeczywisty podmiot Sinch Email wskazany w zamówieniu usługi do potwierdzenia | Potwierdzona przez operatora dostawa poczty elektronicznej: odbiorcy, OTP, powiadomienia usługowe/prawne i treści wiadomości | Rola podmiotu przetwarzającego zależy od wiadomości/danych. Endpoint EU SMTP potwierdzony w źródłach dla środowiska stage; faktyczny region konta, dalsze przetwarzanie i okresy przechowywania nieustalone. |
| Google Gmail; rzeczywisty podmiot Google będący stroną umowy i warunki konta lub usługi do weryfikacji | Skrzynka odbiorcza firmy potwierdzona przez operatora 7 października 2026 r.: zapytania, dowody kontaktu, kierowania i odbioru, korespondencja i wybrane załączniki | Obsługa skrzynki na rzecz OwlMeans jako administratora. Dane przekazane na potrzeby pomocy, kontrolowane przez Klienta i przetwarzane według jego instrukcji, wymagają uzupełnionych szczegółów powierzenia i podprzetwarzania. Rzeczywiste konto lub usługa, rola umowna, upoważniony dostęp, kraje, zasady przechowywania, umowa powierzenia i zabezpieczenia transferów nieustalone. |
| Google Tag Manager / Google Analytics; podmiot umowy do ustalenia | Potwierdzony przez operatora pomiar za zgodą: identyfikatory przeglądarki/sieci i skonfigurowane zdarzenia; bez Google Ads | Opcjonalny pomiar dla OwlMeans jako administratora, który nie obejmuje automatycznie przetwarzania treści wszystkich projektów. Faktyczne ustawienia konta, tagi pomiarowe, miejsca docelowe i okresy przechowywania nieustalone. |
| Sentry; opublikowany operator Functional Software, Inc. d/b/a Sentry, rzeczywista umowa konta do potwierdzenia | Potwierdzona przez operatora diagnostyka: błędy, żądania/kontekst i identyfikatory zgodnie z rzeczywistą konfiguracją | Podmiot podprzetwarzający, gdy treści diagnostyczne zawierają dane kontrolowane przez Klienta; w pozostałym zakresie przetwarzanie przez OwlMeans jako administratora. Zakres SDK, usuwanie lub maskowanie danych, odtwarzanie sesji, lokalizacje i okresy przechowywania nieustalone. |
| OpenAI; rzeczywisty podmiot umowy do potwierdzenia | Potwierdzone przez operatora aktywne wnioskowanie AI i tryb awaryjny: prompty, wybrany kontekst, dane żądania i wyniku dla wywołań tej usługi | Podmiot podprzetwarzający w zakresie przetwarzania danych osobowych Klienta zgodnie z instrukcjami; role usług dla administratora oceniane odrębnie. Faktyczne konto, regiony, okresy przechowywania i podstawa transferu nieustalone. |
| Anthropic; opublikowany kontrahent handlowy w EOG Anthropic Ireland, Limited; rzeczywiste konto do potwierdzenia | Potwierdzone przez operatora aktywne wnioskowanie AI: prompty, wybrany kontekst oraz dane żądania i wyniku | Podmiot podprzetwarzający w zakresie przetwarzania danych osobowych Klienta zgodnie z instrukcjami. Irlandzki podmiot umowy nie oznacza przetwarzania wyłącznie w UE; faktyczne konto, okresy przechowywania i dane transferu nieustalone. |
| OpenRouter; rzeczywisty podmiot umowy do potwierdzenia | Potwierdzone przez operatora aktywne kierowanie wywołań AI i dostęp do modeli: wybrane żądania wnioskowania i powiązane metadane | Trasa może dodać odbiorcę stanowiącego dostawcę modelu. Przed upoważnieniem do przetwarzania danych Klienta należy ustalić rzeczywistą trasę i dalszego odbiorcę; lokalizacje, okresy przechowywania i zabezpieczenia nieustalone. |
| Together AI; rzeczywisty podmiot umowy do potwierdzenia | Potwierdzona przez operatora aktywna usługa modeli/wnioskowania: wybrane żądania i powiązane dane | Podmiot podprzetwarzający w zakresie przetwarzania danych osobowych Klienta zgodnie z instrukcjami; rzeczywista usługa, podmiot konta, lokalizacje, okresy przechowywania i zabezpieczenia nieustalone. |
| Hugging Face; rzeczywisty podmiot umowy do potwierdzenia | Potwierdzony przez operatora aktywny dostęp do modeli/integracja; pobrania ujawniają metadane połączenia i żądania modelu, a hostowane wnioskowanie może otrzymywać wybrane prompty i kontekst | Należy rozróżniać dostęp wyłącznie przez pobieranie, modele wybrane przez Klienta/lokalne oraz hostowane wnioskowanie. Nie należy zakładać, że pobranie modelu przesyła dane projektu. Rzeczywisty produkt/endpoint, rola, lokalizacje i dane umowne nieustalone. |
| Cloudflare; rzeczywisty podmiot powiązany zawierający umowę do potwierdzenia | Potwierdzone przez operatora aktywne funkcje sieciowe, domenowe i bezpieczeństwa: dane połączeń/żądań i treści w zakresie przesyłanym przez skonfigurowaną usługę | Rola zależy od rzeczywistej usługi. Hetzner pozostaje potwierdzonym przez operatora dostawcą infrastruktury; aktywne użycie Cloudflare nie dowodzi odrębnego rozwiązania do przechowywania. Obsługa na brzegu sieci, logi, podmiot konta i szczegóły DPA nieustalone. |
| GitHub; rzeczywisty podmiot umowy do potwierdzenia | Potwierdzone przez operatora aktywne operacje repozytoriów/OAuth: upoważnione tożsamości, uprawnienia, tokeny i dane repozytoriów | Trzeba ustalić, czy połączenie podlega kontroli Klienta, czy OwlMeans działa jako podmiot przetwarzający; usługa nie jest automatycznie wyznaczana dla wszystkich projektów. Faktyczne konto, lokalizacje i zabezpieczenia nieustalone. |
| Stripe; rzeczywisty podmiot umowy do potwierdzenia | Potwierdzone przez operatora aktywne płatności: poświadczenia płatnicze, informacje transakcyjne, rozliczeniowe i przeciwdziałania oszustwom | Role dotyczące płatności i zachowane dowody zależą od rzeczywistych usług/umów; nie ustalono rutynowego odbioru treści projektów. Podmiot konta, lokalizacje i okresy przechowywania nieustalone. |
| Google reCAPTCHA; rzeczywisty podmiot zawierający umowę Google Cloud do zweryfikowania | Aktywna usługa potwierdzona przez operatora 7 października 2026 r.: zapobieganie działaniom botów, oszustwom i nadużyciom; sygnały połączenia, przeglądarki, urządzenia i zadań weryfikacyjnych, tokeny weryfikacji i wyniki ocen dostępne w ramach wybranej integracji | Google przetwarza dane klienta reCAPTCHA (reCAPTCHA Customer Data) jako podmiot przetwarzający na podstawie właściwych warunków Google Cloud. Dla bezpieczeństwa kont lub witryny OwlMeans jest to przetwarzanie na rzecz OwlMeans jako administratora; Google działa jako podmiot podprzetwarzający Klienta wyłącznie w odniesieniu do danych podlegających kontroli Klienta i przetwarzanych na podstawie instrukcji. Rzeczywisty podmiot, konfiguracja, lokalizacje, okresy przechowywania i zabezpieczenia transferów wymagają uzupełnienia. |
| Logowanie Google; podmiot konta/usługi do potwierdzenia | Potwierdzona przez operatora aktywna usługa tożsamości: upoważnione dane tożsamości/profilu do logowania i informacje uwierzytelniające | Usługa odrębna od pomiaru Google. Rzeczywiste pola i zakresy logowania, podmiot konta/usługi, lokalizacje i rola wymagają uzupełnienia. |
2. Wybrane trasy i warunki zatwierdzenia
2.1. Operator potwierdził obecne użycie wcześniej wymienionych usług podczas przeglądu dostawców 6 października 2026 r. i dodał Google reCAPTCHA 7 października 2026 r. Trasa może obejmować więcej niż jednego odbiorcę, a aktywna usługa nie jest wybierana dla każdego żądania. Wnioskowanie wybrane przez Klienta/lokalne i integracje wygenerowanych aplikacji wymagają indywidualnej oceny; obsługiwane adaptery same nie udzielają zgody na przetwarzanie. Konfiguracja wdrożenia i dane umowne pozostają odrębne od potwierdzenia używania usługi. Google Ads, profilowanie spersonalizowanego marketingu, marketing partnerów i niezależne ulepszanie/trenowanie są nieaktywnymi celami Platformy.
2.2. Dla każdego aktywnego podmiotu podprzetwarzającego wykaz wdrożenia wskaże rzeczywisty podmiot prawny, usługę, kategorie danych, kraje/regiony, okresy przechowywania, mechanizm z rozdziału V i ewentualne dodatkowe zabezpieczenia. Publiczne warunki dostawcy nie dowodzą zawarcia DPA lub SCC. Żaden nieustalony wpis nie upoważnia do transferu objętego ograniczeniami. Ponowne użycie wyników modeli do trenowania własnych modeli wymaga odrębnego potwierdzenia dozwolonego użycia według praw dostawcy; sama zgoda Klienta nie wystarcza.
2.3. Skonfigurowany przepływ zapytań w witrynie i na Platformie korzysta z infrastruktury Hetzner dla odrębnej bazy zapytań i kolejki doręczenia oraz z Mailgun do przekazania wiadomości, danych kontaktowych i danych służących kierowaniu zapytania oraz wybranych załączników do skrzynki Google Gmail OwlMeans. Gmail odbiera i przechowuje korespondencję i załączniki na potrzeby obsługi zapytań firmy. Google reCAPTCHA przetwarza sygnały bezpieczeństwa chronionego przepływu; pomiar Google za zgodą może otrzymać zdarzenie otwarcia i pola widżetu, tematu i sposobu wywołania, zamiast adresu e-mail, treści lub plików formularza. Rzeczywiste konto lub usługa Gmail, podmiot Google będący stroną umowy, rola umowna, upoważniony dostęp, kraje, zasady przechowywania, umowa powierzenia, zabezpieczenia transferów i dalsze przetwarzanie wymagają weryfikacji przed aktywacją, odrębnie od doręczenia Mailgun. Przykłady komunikatorów i wideo w formularzu nie ustanawiają aktywnych integracji ani upoważnionych odbiorców. OwlMeans jest administratorem zapytań w ramach własnej obsługi kontaktów; dane Klienta obsługiwane w ramach pomocy zgodnie z jego instrukcjami wymagają właściwych szczegółów powierzenia i podprzetwarzania. Usługa nie kieruje automatycznie treści zapytań do wymienionych dostawców AI ani opcjonalnych zbiorów ulepszania lub trenowania.
3. Zmiany i prawa regionalne
3.1. Umowa powierzenia reguluje uprzednie powiadomienie o zmianie dostawcy, sprzeciwy, równoważne obowiązki i odpowiedzialność OwlMeans. Aktualne informacje o odbiorcach i zabezpieczeniach można uzyskać przez pomoc. Usługi dla administratora i opcjonalne śledzenie podlegają prywatności i cookie. Zachowane są zasady transferów UE/EOG i mające zastosowanie zasady UK, role wynikające z przepisów stanowych USA i bezwzględnie obowiązujące prawa osób, których dane dotyczą. Nie deklaruje się powszechnego odpowiedniego stopnia ochrony ani przechowywania danych w UE.