Dokumenty prawne · Podmioty przetwarzające
Podmioty przetwarzające
Wszyscy zewnętrzni dostawcy, którzy przetwarzają dane osobowe w naszym imieniu: co robią i gdzie działają. Lista jest sprawdzana z kodem aplikacji i aktualizowana przy każdej zmianie.
§ 1. Czym jest podmiot przetwarzający
- Podmiotem przetwarzającym jest zewnętrzny dostawca, któremu Operator powierza przetwarzanie danych osobowych w swoim imieniu – infrastruktura, płatności, dostarczanie e-mail, monitoring błędów, analityka produktowa.
- Każdy podmiot przetwarzający jest związany pisemną umową powierzenia przenoszącą na niego obowiązki Operatora wynikające z rozporządzenia (UE) 2016/679 (RODO).
- Przed zaangażowaniem podmiotu przetwarzającego Operator sprawdza: a) jego podejście do bezpieczeństwa i dostępne certyfikaty (SOC 2 Type II, ISO 27001 lub równoważne); b) jego warunki przekazywania danych – standardowe klauzule umowne dla przepływów UE ↔ poza EOG; c) jego zobowiązania dotyczące zgłaszania naruszeń, które nie mogą być wolniejsze niż zobowiązania samego Operatora; d) stosowność dla usługi, z której korzystają również dzieci.
§ 2. Obecne podmioty przetwarzające
| Dostawca | Cel | Kategoria danych | Region | Status ochrony danych |
|---|---|---|---|---|
| Hetzner Online GmbH | Zarządzany hosting, PostgreSQL, pamięć plików po stronie serwera, kopie zapasowe | Dane konta, treści operacyjne, przesłane pliki, kopie zapasowe | Germany | Umowa powierzenia + standardowe klauzule umowne UE tam, gdzie mają zastosowanie |
| Cloudflare, Inc. (pamięć obiektowa R2) | Przechowywanie plików i wiadomości głosowych wysłanych na czacie; są krótkotrwałe i wygasają | Sam plik i jego nazwa, na czas jego życia | European Union | Cloudflare DPA + standardowe klauzule umowne |
| Stripe Payments Europe, Ltd. | Obsługa płatności (wyłącznie subskrypcje nauczycieli) | Metoda płatności, adres rozliczeniowy, NIP, metadane transakcji | Irlandia / UE | Stripe DPA + standardowe klauzule umowne |
| Google LLC (Calendar API, Drive API) | Synchronizacja kalendarza, odniesienia do plików, które nauczyciel przechowuje we własnym Drive | Tokeny OAuth, metadane wydarzeń kalendarzowych, identyfikatory i metadane plików Drive. Gdy ktoś otwiera udostępniony plik z Drive, jego treść przechodzi przez serwery Operatora, aby do niego trafić; kopia nie jest zachowywana | Region Google użytkownika | Google Workspace DPA obejmuje ten sposób użycia OAuth; SCC dla przekazań na serwery Google poza EOG |
| Resend, Inc. | Dostarczanie transakcyjnych wiadomości e-mail (logowanie, powiadomienia, faktury, alerty bezpieczeństwa) | Adres e-mail odbiorcy, treść wiadomości | UE (eu-central) |
Resend DPA + standardowe klauzule umowne |
| Sentry (Functional Software, Inc.) | Monitoring błędów i wydajności, wyłącznie po zgodzie użytkownika | Ślady stosu z kontekstem żądania, zamaskowane identyfikatory użytkownika | UE (region sentry.io w UE) |
Sentry DPA + standardowe klauzule umowne |
| PostHog Inc. | Anonimowa analityka produktowa, wyłącznie po zgodzie użytkownika | Pozbawione identyfikatorów zdarzenia sesji, odsłony stron, użycie funkcji | UE (eu.i.posthog.com) |
PostHog DPA + standardowe klauzule umowne |
§ 3. Oznaczenia
- DPA zawarte – z dostawcą podpisano umowę powierzenia zgodną z art. 28 RODO.
- SCC – standardowe klauzule umowne (decyzja wykonawcza (UE) 2021/914) stanowią część umowy z dostawcą i mają zastosowanie, gdy przetwarza on dane poza EOG.
- Tylko po zgodzie – domyślnie wyłączone; aktywowane tylko po przyjęciu odpowiedniej kategorii cookie lub włączeniu funkcji.
§ 4. Dostawcy, z których Operator świadomie nie korzysta
- Żadnych sieci reklamowych.
- Żadnych dostawców śledzenia międzywitrynowego – bez pikseli, bez skryptów rozpoznających urządzenie (fingerprinting), bez retargetingu.
- Żadnej zewnętrznej platformy zarządzania zgodami. Baner cookie jest obsługiwany przez własny frontend Operatora i wymienia wyłącznie faktycznie używanych dostawców.
§ 5. Zmiany na tej liście
- W razie dodania lub zastąpienia podmiotu przetwarzającego niniejsza strona jest aktualizowana, zanim ten podmiot przetwarzający rozpocznie przetwarzanie danych osobowych, tak aby Administrator miał możliwość wyrażenia sprzeciwu wymaganą przez art. 28 ust. 2 RODO.
- W razie usunięcia podmiotu przetwarzającego niniejsza strona jest aktualizowana po zakończeniu migracji.
- Niniejsza strona stanowi zawiadomienie. Nie ma odrębnej listy mailingowej ani zobowiązania do uprzedzenia z określonym z góry wyprzedzeniem – zobowiązanie tego rodzaju jest dotrzymywane przez człowieka, który o nim pamięta, i zawodzi niezauważalnie. Egzekwowana jest natomiast kompletność listy: budowanie aplikacji kończy się błędem, jeżeli dostawca przetwarza dane, nie występując na tej liście.
§ 6. Sprzeciw wobec podmiotu przetwarzającego
- Jeżeli podmiot przetwarzający jest istotnie niezgodny z wymaganiami ochrony danych Administratora, Administrator może zgłosić sprzeciw, pisząc na privacy@relentu.com.
- Operator w dobrej wierze poszukuje wspólnie z Administratorem konfiguracji alternatywnej, jeżeli taka istnieje, albo uzgadnia zamknięcie przestrzeni roboczej na rozsądnych warunkach, wraz ze zwrotem proporcjonalnym opłaconych z góry i niewykorzystanych opłat.
§ 7. Kontakt
- Pytania dotyczące któregokolwiek z podmiotów przetwarzających: privacy@relentu.com.
- Obowiązująca wersja niniejszej listy oraz data jej wejścia w życie są widoczne na tej stronie. Lista obowiązuje od 2026-10-15.