Lista podmiotów przetwarzających i źródeł danych
Obowiązuje od
To lista, o której mowa w § 5 Uzgodnień współadministratorów i w sekcji 5 Polityki prywatności. Ma dwie części: podmioty przetwarzające dane w naszym imieniu oraz źródła danych — podmioty, które udostępniają nam publiczne treści i robią to we własnej roli, nie na nasze zlecenie. O każdej zmianie informujemy klientów e-mailem 30 dni wcześniej. Dane, których nie ma w żadnym wierszu, nie opuszczają naszych serwerów.
Spis treści
Hetzner Online GmbH
Rola: hosting serwerów, bazy danych i kopie zapasowe — wszystkie dane serwisu.
Kraj: Niemcy (EOG). Umowa powierzenia zawarta online u dostawcy.
Stripe Payments Europe, Ltd.
Rola: obsługa płatności kartą, subskrypcje, faktury — dane rozliczeniowe klientów, adresy e-mail, kwoty i historia płatności. Danych karty nie otrzymujemy.
Kraj: Irlandia (EOG). Stripe przekazuje część danych do Stripe, Inc. w USA na podstawie EU-U.S. Data Privacy Framework i standardowych klauzul umownych. W zakresie zapobiegania oszustwom i wymogów regulacyjnych Stripe jest samodzielnym administratorem.
Plus Five Five, Inc. (Resend)
Rola: wysyłka wiadomości e-mail — adresy odbiorców, treść wiadomości, w tym powiadomień o leadach (imię i nazwisko autora oraz fragment wpisu).
Kraj: Stany Zjednoczone. Podstawa przekazania: EU-U.S. Data Privacy Framework oraz standardowe klauzule umowne w umowie powierzenia dostawcy.
SMSAPI sp. z o.o.
Rola: wysyłka powiadomień SMS — numery telefonu wskazane przez klienta i treść powiadomienia.
Kraj: Polska (EOG).
Functional Software, Inc. (Sentry)
Rola: monitorowanie błędów aplikacji — zdarzenia techniczne z usuniętymi danymi osobowymi, identyfikatory techniczne.
Kraj: zdarzenia przechowywane w regionie UE (Frankfurt); dane konta w USA. Podstawa przekazania: EU-U.S. Data Privacy Framework oraz standardowe klauzule umowne. Retencja 90 dni.
PostHog, Inc.
Rola: analityka produktowa panelu — zdarzenia przypisane do identyfikatora organizacji, bez plików cookie, z odrzucaniem adresu IP.
Kraj: przetwarzanie w regionie UE (eu.i.posthog.com). Podstawa ewentualnego dostępu z USA: standardowe klauzule umowne.
Calendly LLC
Rola: kalendarz do umawiania rozmowy wdrożeniowej, osadzony na stronie /wdrozenie i ładowany dopiero po Twojej zgodzie. Widzi to, co sam podasz przy rezerwacji — imię, adres e-mail i wybrany termin — oraz stawia własne pliki cookie w Twojej przeglądarce.
Kraj: Stany Zjednoczone (Calendly LLC). Podstawa przekazania: standardowe klauzule umowne. Bez zgody kalendarz się nie ładuje i żadne dane do Calendly nie trafiają.
IPRoyal (IPRoyal Services FZE LLC)
Rola: infrastruktura proxy, przez którą odczytujemy publiczne strony Facebooka. Widzi adresy odwiedzanych stron i wolumen ruchu; połączenia są szyfrowane, więc nie widzi treści wpisów ani danych klientów.
Kraj: Zjednoczone Emiraty Arabskie (podmiot umowny), infrastruktura rozproszona. Podstawa: standardowe klauzule umowne w umowie powierzenia dostawcy.
Redditapis (operator serwisu redditapis.com) — źródło danych
Rola: źródło publicznych treści serwisu Reddit. Wysyłamy nazwy subredditów i frazy wyszukiwania, otrzymujemy publiczne wpisy, komentarze i profile ich autorów. Nie otrzymuje danych klientów ani treści spoza publicznego Reddita.
Nie jest podmiotem przetwarzającym. Dostawca sam ustala sposób zbierania treści i pisze o sobie, że administratorem danych serwisu redditapis.com jest jego zespół; nie zawieramy z nim umowy powierzenia z art. 28 RODO, bo nie działa na nasze zlecenie. Do 6 września 2026 r. lista opisywała go jako podmiot przetwarzający — to była pomyłka co do jego roli i tak ją prostujemy.
Podmiot umowny i kraj: poza EOG, zgodnie z regulaminem dostawcy. Podstawy przekazania nie podajemy, bo danych osobowych tam nie wysyłamy — wysyłamy nazwę subreddita albo frazę wyszukiwania, a dane autorów płyną w drugą stronę. Odebranie danych ze źródła spoza EOG jest zebraniem, nie przekazaniem w rozumieniu rozdziału V RODO. Ocena legalności tego źródła jest w opracowaniu; do czasu jej sporządzenia korzystamy z niego, przyjmując to ryzyko świadomie.
Twitterapis (operator serwisu twitterapis.com) — źródło danych
Rola: źródło publicznych wpisów serwisu X (Twitter). Wysyłamy frazy wyszukiwania i nazwy obserwowanych kont, otrzymujemy publiczne wpisy, odpowiedzi i profile ich autorów. Nie otrzymuje danych klientów.
Nie jest podmiotem przetwarzającym — z tych samych powodów co Redditapis i z tą samą korektą wobec wersji z 4 września 2026 r.
Podmiot umowny i kraj: poza EOG, zgodnie z regulaminem dostawcy. Kierunek przepływu jak przy Redditapis, z jednym wyjątkiem: gdy klient monitoruje konkretne publiczne konto, jego nazwa opuszcza EOG i może identyfikować osobę. Nazwa jest publiczna, wysyłamy ją tylko po to, żeby odczytać publiczne wpisy tego konta, i nie łączymy jej z niczym innym; kwalifikacja tego jednego przepływu jest przedmiotem konsultacji prawnej. Ocena legalności źródła jest w opracowaniu.
Fakturownia sp. z o.o.
Rola: wystawianie i archiwizacja faktur VAT — nazwa firmy, NIP, adres, adres e-mail do faktur, kwoty.
Kraj: Polska (EOG).
OpenAI Ireland Ltd (OpenAI)
Rola: model językowy oceniający treść wpisu w trybie AI (model gpt-5.6-luna). Treść wpisu jest przed wysłaniem pozbawiana imion i nazwisk, adresów e-mail, numerów telefonu i odnośników do profili.
Kraj umowy: Irlandia (EOG), podmiot umowny dla klientów z EOG. Kraj przetwarzania: Stany Zjednoczone. Przekazanie poza EOG: standardowe klauzule umowne. Zapytania są przetwarzane na serwerach OpenAI w Stanach Zjednoczonych. Podstawą przekazania są standardowe klauzule umowne Komisji Europejskiej włączone do umowy powierzenia OpenAI (Data Processing Addendum). Treść przekazana przez API nie służy do trenowania modeli, a logi nadużyć są usuwane po 30 dniach.
Historia zmian
7 września 2026 r. — Redditapis i Twitterapis przeniesione z podmiotów przetwarzających do źródeł danych, razem z opisem kierunku przepływu: wysyłamy zapytanie, odbieramy publiczne treści.
4 września 2026 r. — dodano Redditapis i Twitterapis (dostęp do publicznych treści Reddita i X).
2 września 2026 r. — pierwsza wersja listy.