Podmioty podprzetwarzające
Usługodawca: STL EMBEDED CREATIONS SRL, Cluj-Napoca, Rumunia.
Niniejsza lista stanowi Załącznik III do Umowy powierzenia przetwarzania danych. Obejmuje ona dane osobowe, które Consentl przetwarza w imieniu swoich klientów w ramach obu usług:
- Consentl dla Shopify: aplikacja Shopify pod adresem
shopify.consentl.com; - Consentl dla stron internetowych: panel pod adresem
app.consentl.comi publiczne API pod adresemapi.consentl.com, z którego korzystają fragment kodu dla stron internetowych i wtyczki do platform.
Dane te to zapisy zgód, wnioski dotyczące danych osobowych i odstąpienia od umowy osób odwiedzających sklepy i strony internetowe oraz wysyłane do nich e-maile. Ci sami dostawcy przetwarzają również dane, dla których jesteśmy administratorem (konta klientów, rozliczenia, wsparcie, dzienniki); opisują to nasze polityki prywatności.
Wersja 3 · Obowiązuje od: 2026-10-23
To jest tłumaczenie. Dla klientów będących przedsiębiorcami rozstrzygająca jest wersja angielska. Dla konsumentów mających miejsce zwykłego pobytu w kraju, w którym język polski jest językiem urzędowym, niniejsza wersja jest na równi autentyczna z wersją angielską; jeżeli obie wersje się różnią, zastosowanie ma znaczenie korzystniejsze dla konsumenta. Dla pozostałych konsumentów rozstrzygająca jest wersja angielska, chyba że bezwzględnie obowiązujące przepisy o ochronie konsumentów w ich kraju stanowią inaczej.
Aktualne podmioty podprzetwarzające
| # | Podmiot podprzetwarzający (podmiot, siedziba) | Zastosowanie | Usługa i przetwarzanie | Dane, których dotyczy | Miejsce przetwarzania | Zabezpieczenie przekazywania |
|---|---|---|---|---|---|---|
| 1 | DigitalOcean, LLC, Nowy Jork, USA | Shopify i strony internetowe | Hosting: App Platform (aplikacje internetowe, proces roboczy skanera, zadania przed wdrożeniem), bazy danych Managed PostgreSQL, automatyczne kopie zapasowe baz danych, dzienniki środowiska wykonawczego | Wszystkie dane w bazach danych Consentl (Załącznik I do DPA) oraz metadane żądań w dziennikach | Frankfurt, Niemcy (region App Platform fra, klaster bazy danych w fra1) |
Dane w spoczynku w UE. Zdalny dostęp z państw trzecich (wsparcie, operacje) na podstawie umowy powierzenia przetwarzania danych DigitalOcean, która obejmuje standardowe klauzule umowne UE (2021/914) i UK Addendum. |
| 2 | Cloudflare, Inc., San Francisco, USA, zaangażowany przez DigitalOcean (podmiot podprzetwarzający DigitalOcean) | Shopify i strony internetowe | Warstwa brzegowa (edge) App Platform: terminacja TLS, dostarczanie treści, ochrona przed atakami DDoS i botami w odniesieniu do każdego żądania kierowanego do shopify.consentl.com, app.consentl.com, api.consentl.com, consentl.com i ich hostów testowych (staging). Może zapisywać na tych hostach plik cookie bezpieczeństwa __cf_bm (30 minut). Ustalanie państwa na potrzeby banera odbywa się na własnych serwerach Consentl (lokalna baza DB-IP Lite), a nie w Cloudflare. |
Adresy IP odwiedzających i klientów, metadane żądań, treść żądań w trakcie przesyłania (sygnały zgody, przesłane formularze) | Globalna sieć brzegowa (centrum danych najbliższe wysyłającemu żądanie); treść żądań nie jest przechowywana | Standardowe klauzule umowne zawierane przez DigitalOcean z Cloudflare na podstawie umowy powierzenia przetwarzania danych DigitalOcean. |
| 3 | Brevo SAS (dawniej Sendinblue SAS), 106 boulevard Haussmann, 75008 Paryż, Francja | Shopify i strony internetowe | E-maile transakcyjne za pośrednictwem API Brevo: weryfikacja i potwierdzanie wniosków dotyczących danych osobowych, potwierdzenia otrzymania odstąpień od umowy (do kupujących i odwiedzających); powiadomienia, raporty ze skanowania oraz e-maile dotyczące kont i rozliczeń (do klientów) | Adres e-mail i imię i nazwisko odbiorcy, treść e-maila (może zawierać numery zamówień, rodzaj wniosku i wiadomość wnioskodawcy), zdarzenia doręczenia, odbicia i skarg (śledzenie otwarć i kliknięć zanonimizowane) | Unia Europejska | Dostawca z UE; Consentl nie przekazuje danych do państw trzecich. Własne podmioty podprzetwarzające Brevo: zob. lista opublikowana przez Brevo. Śledzenie otwarć i kliknięć jest zanonimizowane: żadne dane o zaangażowaniu nie są powiązane z odbiorcą. |
| 4 | Proton AG, Route de la Galaise 32, 1228 Plan-les-Ouates, Genewa, Szwajcaria | Shopify i strony internetowe | Hosting poczty e-mail skrzynek domeny consentl.com: [email protected] (wsparcie) i [email protected] (ochrona danych; również nadawca naszych e-maili transakcyjnych): korespondencja w sprawach wsparcia i prywatności, wnioski przekazywane nam przez klientów, odpowiedzi, odbicia i automatyczne odpowiedzi na nasze e-maile | Adresy e-mail, imiona i nazwiska oraz wiadomości klientów, kupujących i odwiedzających, którzy odpowiadają na nasze e-maile, a także kupujących i odwiedzających, których wnioski przekazują nam klienci | Szwajcaria | Decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony w Szwajcarii (2000/518/WE). W użyciu od 2026-10-22 (obie skrzynki działają). |
Podmioty, które nie są podmiotami podprzetwarzającymi (dla przejrzystości)
| Podmiot | Zastosowanie | Dlaczego nie jest podmiotem podprzetwarzającym |
|---|---|---|
| Shopify (Shopify International Limited, Dublin, Irlandia; Shopify Inc., Ottawa, Kanada) | Shopify | Platforma, na której sprzedawca prowadzi sklep i instaluje aplikację. Shopify przetwarza dane sklepu na podstawie własnej umowy ze sprzedawcą, przekazuje żądania serwera proxy aplikacji (app proxy) i webhooki, hostuje skrypty sklepu w swojej sieci CDN i rozlicza aplikację. Na polecenie sprzedawcy przekazujemy dane do Shopify jako własnej platformy sprzedawcy (rezygnacje ze sprzedaży lub udostępniania, przekazane żądania usunięcia danych, opublikowana konfiguracja banera); nie powierzamy Shopify przetwarzania danych w naszym imieniu. |
| Platformy stron internetowych (WordPress, Shopware, PrestaShop, Magento, kreatory stron internetowych, Google Tag Manager) | Strony internetowe | Własna platforma klienta. Nasze wtyczki i szablony działają na niej i nie przechowują danych odwiedzających; nie powierzamy przetwarzania platformie. |
| Stripe (Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Dublin 2, Irlandia) | Strony internetowe (rozliczenia) | Przetwarza dla nas dane rozliczeniowe i płatnicze naszych klientów (adres e-mail konta, imię i nazwisko, dane płatnicze, adres rozliczeniowy, numer identyfikacji podatkowej), a w zakresie zapobiegania oszustwom i wykonywania obowiązków regulacyjnych — jako samodzielny administrator. Nie otrzymuje danych odwiedzających. Opisane w polityce prywatności dla stron internetowych. |
| DB-IP (db-ip.com) | Strony internetowe | Wydawca bazy krajów DB-IP Lite (CC BY 4.0). Kopia bazy jest wbudowana w nasze serwery, a ustalanie państwa odbywa się na nich, w pamięci operacyjnej; DB-IP nie otrzymuje od nas żadnych danych. |
| Google (Google Ireland Limited, Dublin, Irlandia; Google LLC, USA) | Wyłącznie nasza własna strona internetowa consentl.com | Google Analytics 4 działa wyłącznie na consentl.com i tylko po zaakceptowaniu przez odwiedzającego analitycznych plików cookie. Przetwarza dane odwiedzających naszą stronę internetową jako nasz podmiot przetwarzający; nigdy nie otrzymuje danych sklepów, stron internetowych ani odwiedzających naszych klientów. Opisane w informacji o prywatności strony internetowej. |
| GitHub, Inc., San Francisco, USA | Rozwój oprogramowania | Hostuje kod źródłowy i CI. W repozytorium, zgłoszeniach (issues), pull requestach, dziennikach CI, danych testowych ani zrzutach ekranu nie umieszcza się żadnych produkcyjnych danych osobowych. |
| Asystenci programowania oparci na AI (na przykład Claude firmy Anthropic PBC, USA) | Rozwój oprogramowania | Wykorzystywani przez nasz personel wyłącznie w odniesieniu do kodu źródłowego i danych testowych; nie otrzymują dostępu do produkcyjnych baz danych, produkcyjnych dzienników ani danych osobowych klientów. Jeżeli kiedykolwiek narzędzie AI otrzyma dostęp do danych produkcyjnych lub dzienników, jego dostawca zostanie dodany do powyższej tabeli po uprzednim zawiadomieniu z 30-dniowym wyprzedzeniem. |
Mechanizm zawiadamiania o zmianach
- Zawiadomienie z wyprzedzeniem. Co najmniej 30 dni przed rozpoczęciem przetwarzania danych
osobowych klientów przez nowy podmiot podprzetwarzający (lub wykorzystaniem istniejącego podmiotu w nowym
celu lub w nowej lokalizacji):
- dodajemy wpis do poniższego rejestru zmian z planowaną datą wejścia w życie;
- wysyłamy e-mail na Adres do zawiadomień każdego klienta: w przypadku Shopify — na kontakt w sprawach prywatności ustawiony przez sprzedawcę w aplikacji, a jeżeli go nie ma, na adres e-mail właściciela sklepu; w przypadku stron internetowych — na adres do zawiadomień ustawiony na stronie „Konto”, a jeżeli żaden nie został potwierdzony, do właścicieli i administratorów konta. Temat: „Consentl: planned sub-processor change” („Consentl: planowana zmiana podmiotu podprzetwarzającego”).
- Sprzeciw. W okresie zawiadomienia klient może zgłosić pisemny sprzeciw na adres [email protected], z uzasadnionych przyczyn dotyczących ochrony danych. Odpowiadamy w terminie 14 dni i staramy się rozpatrzyć sprzeciw (na przykład przez niekorzystanie z danego podmiotu podprzetwarzającego w odniesieniu do tego klienta). Jeżeli sprzeciw nie zostanie rozpatrzony w terminie 30 dni, klient może rozwiązać umowę, zanim zmiana zacznie go dotyczyć; opłaty uiszczone z góry za niewykorzystany okres są zwracane (pkt 6.3 i 6.4 DPA: za pośrednictwem Shopify jako zwrot lub środki w aplikacji albo za pośrednictwem Stripe).
- Pilna zmiana. Jeżeli podmiot podprzetwarzający musi zostać pilnie zastąpiony (incydent bezpieczeństwa, niewypłacalność, rozwiązanie umowy przez podmiot podprzetwarzający), możemy dokonać zmiany z krótszym wyprzedzeniem i poinformować o niej klientów jak najszybciej. Prawo do sprzeciwu nadal przysługuje, a zwrot jest obliczany od dnia zmiany.
- Inne adresy. Klienci, którzy chcą otrzymywać zawiadomienia na inny adres, mogą nas o tym poinformować pod adresem [email protected].
Rejestr zmian
| Data | Zmiana | Wysłane zawiadomienie | Data wejścia w życie |
|---|---|---|---|
| 2026-10-20 | Pierwsza lista (DigitalOcean, Cloudflare za pośrednictwem DigitalOcean, Brevo). | — (przed uruchomieniem) | z chwilą uruchomienia |
| 2026-10-21 | Wersja 2: lista obejmuje również Consentl dla stron internetowych; poprawiono wpis Cloudflare (rola, hosty, brak ustalania państwa); zaktualizowano nazwę podmiotu Brevo; dodano Proton AG w odniesieniu do skrzynek pocztowych consentl.com; Stripe, Google, platformy stron internetowych i asystentów programowania opartych na AI wymieniono jako podmioty niebędące podmiotami podprzetwarzającymi. | — (przed uruchomieniem) | z chwilą uruchomienia; Proton — od dnia uruchomienia jego skrzynek pocztowych |
| 2026-10-22 | Rozszerzono wpis Proton AG: hostuje oba adresy publiczne, [email protected] i [email protected], w tym korespondencję w sprawach wsparcia i wnioski przekazywane przez klientów. Nie korzystamy z żadnego innego dostawcy skrzynek pocztowych. | — (przed uruchomieniem) | 2026-10-22 (skrzynki działają) |
| 2026-10-22 | Przegląd przed publikacją: zaktualizowano wpis Cloudflare (ochrona przed botami i plik cookie __cf_bm, host consentl.com; ustalanie państwa odbywa się na naszych własnych serwerach z użyciem bazy DB-IP Lite); DB-IP wymieniono jako podmiot niebędący podmiotem podprzetwarzającym; Stripe w trybie produkcyjnym, podmiot zawierający umowę: Stripe Payments Europe, Limited; odbiorcy zawiadomień zgodnie z ustawieniami adresu do zawiadomień obu usług. |
— (przed uruchomieniem) | z chwilą uruchomienia |
| 2026-10-23 | Wersja 3, pierwsza opublikowana wersja: lista jak powyżej, z potwierdzeniami właściciela (asystenci programowania oparci na AI nigdy nie otrzymują danych produkcyjnych ani dzienników; Brevo ze zanonimizowanym śledzeniem otwarć i kliknięć). Brak nowego podmiotu podprzetwarzającego. | — (pierwsza publikacja) | 2026-10-23 |
Źródło: docs/legal/pl/SUBPROCESSORS.md w repozytorium Consentl.