Lista podmiotów podprzetwarzających ZAJMIJ.TO
Lista podmiotów podprzetwarzających ZAJMIJ.TO - rozwinięcie Załącznika 2 do DPA
Wersja podprzetwarzajacy-1.0. Usługę świadczy ZAJMIJTO (ZAJMIJ.TO). Lista nie wymaga akceptacji: zmiany przebiegają w trybie części C.
Część A. Podprzetwarzający
| # | Kategoria | Podmiot | Zakres przetwarzania | Kategorie danych | Lokalizacja | Podstawa przekazania | Stan |
|---|---|---|---|---|---|---|---|
| A1 | Hosting / serwery (VPS) | OVHcloud - OVH Sp. z o.o., Wrocław | serwer aplikacji i baz danych (jeden VPS): odrębna baza każdego Zamawiającego, baza platformy (landlord), pamięć podręczna i kolejki (Redis), pliki Zamawiającego (zdjęcia, dokumenty, załączniki), zaszyfrowane archiwa Zamawiających po zakończeniu Umowy, eksporty danych | wszystkie dane powierzone w DPA § 4 | Polska (Warszawa) | EOG, bez przekazania do państw trzecich | planowany |
| A2 | Magazyn kopii zapasowych | OVHcloud Object Storage - ten sam podmiot co A1 | szyfrowane kopie bazy i plików każdego Zamawiającego (osobne repozytorium na Zamawiającego, restic), kopie dziennika binarnego bazy; każda kopia usuwana z repozytorium najpóźniej 90 dni od wykonania, jej zaszyfrowane dane z magazynu najpóźniej 31 dni później (DPA § 12 ust. 5) |
wszystkie dane powierzone (zaszyfrowane po stronie ZAJMIJ.TO, klucz poza magazynem) | Niemcy (Frankfurt) | EOG | planowany |
| A3 | Wysyłka poczty e-mail (SMTP) | EmailLabs - Vercom S.A. (Poznań) | wysyłka powiadomień do mieszkańców i pracowników Zamawiającego (potwierdzenia rezerwacji, przypomnienia, kody jednorazowe logowania, linki ustawienia hasła, linki eksportu) oraz maili platformy do administratorów Zamawiającego (cykl życia konta, helpdesk) | adres e-mail, imię i nazwisko, treść powiadomienia (np. nazwa obiektu, termin, kwota) | Polska (EOG) | EOG, bez przekazania do państw trzecich | planowany |
| A5 | Skrzynka poczty wsparcia | Zoho Corporation B.V. (Beneluxlaan 4B, 3527 HT Utrecht, Holandia) | odbiór i przechowywanie korespondencji na adresy wsparcia, reklamacji i naruszeń ZAJMIJ.TO; Zamawiający może w niej przekazać dane mieszkańców (np. zrzut ekranu z rezerwacją) | dane, które Zamawiający zawrze w korespondencji (adresy pomoc@, bezpieczenstwo@, dane@, biuro@zajmij.to) |
UE (EOG) | EOG | planowany (umowa powierzenia) |
Uwagi do części A:
- Helpdesk (zgłoszenia „Pomoc ZAJMIJ.TO”) działa w bazie platformy na serwerach z pozycji A1 - nie korzysta z zewnętrznego narzędzia. Maile o zgłoszeniach wychodzą przez A3.
- Monitoring błędów i dzienniki (dziennik aktywności, błędy aplikacji, dziennik audytu operatorów) są przechowywane na serwerach z pozycji A1; ZAJMIJ.TO nie używa zewnętrznego serwisu śledzenia błędów. Dodanie takiego serwisu wymaga trybu z części C.
- Pozycji A4 nie ma: dostępność mierzy zewnętrzna sonda (updown.io, Francja), która odpytuje tylko adresy kontrolne Usługi i nie przetwarza danych osobowych. Kolejne pozycje zachowują dotychczasowe numery.
- Serwer z pozycji A1 ZAJMIJ.TO utrzymuje bezpośrednio albo za pośrednictwem dostawcy infrastruktury, z którym ma umowę z dalszym powierzeniem przetwarzania spełniającą wymogi DPA (art. 28 ust. 4 RODO); na żądanie Zamawiającego ZAJMIJ.TO udostępnia tę umowę w trybie DPA § 13.
Część B. Podmioty, które nie są podprzetwarzającymi ZAJMIJ.TO
| Podmiot | Dlaczego nie jest na liście A | Uwagi |
|---|---|---|
| Przelewy24 (PayPro S.A.) - płatności mieszkańców | Umowę o obsługę płatności mieszkańców zawiera bezpośrednio Zamawiający lub jego jednostka organizacyjna (DPA § 8 ust. 5). Przelewy24 przetwarza dane płatników na podstawie umowy z Zamawiającym - jako jego podmiot przetwarzający albo odrębny administrator (np. w zakresie obowiązków z przepisów o usługach płatniczych i AML). ZAJMIJ.TO tylko przekazuje do Przelewy24 dane transakcji na polecenie Zamawiającego, kluczami Zamawiającego. | Przekazanie danych transakcji do Przelewy24 jest udostępnieniem odbiorcy wskazanemu przez Zamawiającego, a nie dalszym powierzeniem przez ZAJMIJ.TO. Klauzula informacyjna Zamawiającego wymienia Przelewy24 jako odbiorcę danych. |
| Przelewy24 (PayPro S.A.) - płatności Zamawiającego za Usługę | Płatności za Abonament, Pakiety dodatkowe i Wdrożenie obsługuje Przelewy24 na podstawie umowy z ZAJMIJ.TO. Dotyczą danych Zamawiającego jako klienta ZAJMIJ.TO i osoby, która rozpoczyna płatność - ich administratorem jest ZAJMIJ.TO, a nie są to dane powierzone w DPA. | Odbiorca danych ZAJMIJ.TO jako administratora (polityka prywatności, część B). |
| Krajowy System e-Faktur (Minister Finansów, Szef KAS) | Organ publiczny prowadzący system ustawowy; nie działa na zlecenie ZAJMIJ.TO. ZAJMIJ.TO wystawia w KSeF faktury za Usługę z danymi Zamawiającego jako nabywcy i odbiorcy. | Gdy Usługa zacznie wysyłać do KSeF faktury Zamawiającego z rezerwacji, ZAJMIJ.TO zrobi to jako jego podmiot przetwarzający, na jego polecenie i jego uprawnieniami w KSeF. |
| Hosting strony zajmij.to (OVH Sp. z o.o., Wrocław) | Strona WWW ZAJMIJ.TO (formularze, katalog ofert) działa na serwerze z pozycji A1; sama strona nie przetwarza danych z Kont Zamawiających. Katalog ofert zawiera wyłącznie publiczne informacje o obiektach, zajęciach i wydarzeniach, bez danych osobowych. | Podmiot przetwarzający ZAJMIJ.TO jako administratora (polityka prywatności pkt 3 i 9). |
| GUS (rejestr REGON, BIR) i rejestr TERYT | Rejestry publiczne, z których ZAJMIJ.TO pobiera dane Zamawiającego przy zgłoszeniu i dane adresowe. | Źródło danych publicznych. |
| Operatorzy kart - systemy Kart Mieszkańca, Karta Dużej Rodziny (mKDR) | Usługa nie łączy się z systemami operatorów kart. Numer i datę ważności karty wpisuje pracownik Zamawiającego, który sam sprawdza kartę albo dokument; ZAJMIJ.TO nie przekazuje operatorom kart żadnych danych. | Numer karty jest danymi powierzonymi przez Zamawiającego (DPA § 4); podstawą jego przetwarzania są przepisy i uchwały, na podstawie których Zamawiający udziela ulg. |
Let's Encrypt (ISRG) i dostawca DNS domeny zajmij.to |
Wydawca certyfikatów TLS i usługa DNS - przetwarzają tylko nazwy domen, bez danych osobowych użytkowników. | Informacyjnie. |
Coolify (self-hosted) i GitHub (repozytorium kodu, rejestr obrazów ghcr.io) |
Coolify to oprogramowanie uruchomione na serwerze z pozycji A1, a nie usługa zewnętrzna; GitHub przechowuje kod i obrazy aplikacji bez danych Zamawiających. | Informacyjnie; gdyby wybrano Coolify Cloud, Coolify przechodzi do części A w trybie części C. |
Część C. Zmiany listy - zawiadomienie i sprzeciw
- Ogólna zgoda. Zawierając DPA, Zamawiający udziela ogólnej zgody na podprzetwarzających z części A w wersji obowiązującej w dniu zawarcia DPA (DPA § 8 ust. 1).
- Zawiadomienie. O zamiarze dodania lub zastąpienia podprzetwarzającego ZAJMIJ.TO informuje Zamawiającego e-mailem co najmniej 30 dni przed zmianą (DPA § 8 ust. 2). Zawiadomienie trafia do:
- administratorów Konta Zamawiającego,
- inspektora ochrony danych Zamawiającego, jeżeli Zamawiający podał jego adres w Panelu (adres przechowywany w danych platformy, poza bazą Zamawiającego).
- Treść zawiadomienia: nazwa i siedziba podmiotu, zakres i kategorie danych, lokalizacja przetwarzania, podstawa przekazania poza EOG (jeżeli dotyczy), data planowanej zmiany, przyczyna, termin i adres do wniesienia sprzeciwu.
- Sprzeciw. Zamawiający może wnieść sprzeciw w formie dokumentowej w ciągu 30 dni od zawiadomienia, z uzasadnieniem (np. lokalizacja danych, brak gwarancji). ZAJMIJ.TO odpowiada w ciągu 14 dni i proponuje rozwiązanie.
- Brak porozumienia. Zamawiający może zakończyć Abonament ze skutkiem na dzień zmiany; ZAJMIJ.TO zwraca część Abonamentu zapłaconą za okres po tym dniu, proporcjonalnie do liczby dni (Umowa subskrypcji § 5 ust. 5). W Okresie testowym Zamawiający może zakończyć Okres testowy (Regulamin § 4 ust. 8).
- Zmiana nagła. Jeżeli podprzetwarzający przestaje świadczyć usługę albo zagraża bezpieczeństwu danych (np. upadłość, naruszenie), ZAJMIJ.TO może go zastąpić przed upływem 30 dni, informując Zamawiającego niezwłocznie, nie później niż w dniu zmiany. Prawo sprzeciwu i wypowiedzenia z ust. 4-5 stosuje się odpowiednio, licząc od dnia zawiadomienia.
- Zmiany bez zawiadomienia. Zmiana nazwy lub danych rejestrowych podprzetwarzającego, jego przekształcenie w ramach tej samej grupy bez zmiany lokalizacji i zakresu oraz usunięcie podprzetwarzającego z listy - ZAJMIJ.TO aktualizuje listę i informuje Zamawiającego w najbliższym zawiadomieniu zbiorczym, bez prawa sprzeciwu.
- Obowiązki podprzetwarzającego. ZAJMIJ.TO zawiera z każdym podprzetwarzającym umowę nakładającą obowiązki ochrony danych co najmniej takie jak w DPA (art. 28 ust. 4 RODO) i odpowiada wobec Zamawiającego za jego działania jak za własne (DPA § 8 ust. 3-4). Na żądanie Zamawiającego ZAJMIJ.TO udostępnia istotne postanowienia tych umów, z pominięciem tajemnicy handlowej dostawcy.
- Historia wersji. Każda wersja listy ma identyfikator, datę wejścia w życie i opis zmiany w rejestrze zmian; poprzednie wersje pozostają dostępne.