Lista subprocessorów
Podmioty trzecie, które przetwarzają dane w naszym imieniu — wymóg art. 28 RODO.
Aby świadczyć usługę, korzystamy z dostawców infrastruktury i narzędzi. Każdy z nich ma dostęp wyłącznie do ściśle określonego zakresu danych i jest związany z nami pisemną umową powierzenia przetwarzania (DPA).
Jeśli dodajemy nowego subprocessora — informujemy Cię z 30-dniowym wyprzedzeniem (e-mailem oraz komunikatem w panelu). Masz prawo zgłosić sprzeciw — w takim przypadku możesz rozwiązać umowę bez konsekwencji.
Aktualna lista (na dzień 14 lipca 2026)
| Dostawca | Cel | Lokalizacja przetwarzania | Kategorie danych |
|---|---|---|---|
| Resend resend.com | Wysyłka wiadomości e-mail (powiadomienia, potwierdzenia) | USA (EU SCC) | Adres e-mail, Treść wiadomości |
| OpenAI openai.com | Generowanie wizualizacji AI i analiza zapytań | USA (EU SCC) | Treści wprowadzane przez użytkownika, Zdjęcia referencyjne |
| Stripe stripe.com | Obsługa płatności subskrypcyjnych | Irlandia / USA (EU SCC) | Adres e-mail, Dane do płatności (Stripe nie udostępnia nam pełnych danych karty) |
| Cloudflare cloudflare.com | Ochrona anty-bot (Turnstile), CDN, DDoS protection | USA (EU SCC) | Adres IP, User-Agent, Token weryfikacji |
| OpenStreetMap / Nominatim www.openstreetmap.org | Geokodowanie adresów (zamiana adresu na współrzędne) | Wielka Brytania | Adres pocztowy (bez identyfikatora osoby) |
| OVHcloud www.ovhcloud.com | Hosting infrastruktury (serwery, baza danych, magazyn obiektowy) | Polska (Warszawa) / Francja | Wszystkie dane przechowywane w systemie (szyfrowane at rest) |
| Meta (Facebook Messenger Platform) www.facebook.com/privacy | Integracja z Messengerem (opcjonalna, włączana przez użytkownika) | Irlandia / USA | Identyfikatory stron FB, Tokeny dostępu, Wiadomości |
| Meta Platforms (Piksel Facebooka) www.facebook.com/privacy | Pomiar skuteczności reklam i remarketing na stronie marketingowej (tylko po zgodzie marketingowej) | Irlandia / USA (EU SCC, Data Privacy Framework) | Adres IP, User-Agent, Zdarzenia przeglądania (PageView), Identyfikatory cookies Meta (_fbp, _fbc) |
| Google (Google Analytics 4) policies.google.com/privacy | Statystyka ruchu i sposobu korzystania z Platformy (tylko po zgodzie analitycznej) | Irlandia / USA (EU SCC, Data Privacy Framework) | Adres IP (skracany), User-Agent, Zdarzenia przeglądania (page_view), Identyfikatory cookies Google (_ga, _ga_*) |
| Microsoft (Clarity) privacy.microsoft.com | Heatmapy i nagrania sesji na stronie marketingowej — analiza UX (tylko po zgodzie analitycznej) | USA / EOG (EU SCC, Data Privacy Framework) | Adres IP, User-Agent, Interakcje (ruch kursora, kliknięcia, scroll) — z maskowaniem treści, Identyfikatory cookies Microsoft (_clck, _clsk) |
Przekazywanie do USA
Część subprocessorów (Resend, OpenAI, Stripe, Cloudflare, Google, Microsoft) ma siedzibę poza Europejskim Obszarem Gospodarczym. Przekazanie odbywa się na podstawie:
- Standardowych Klauzul Umownych (SCC) Komisji Europejskiej (Decyzja Wykonawcza KE 2021/914)
- Decyzji EU-U.S. Data Privacy Framework (lipiec 2023) — dla dostawców z USA, którzy są na liście DPF
- Dodatkowych środków technicznych: szyfrowanie danych w transmisji i at-rest
Twoje prawa wobec subprocessorów
Wszystkie prawa wynikające z RODO (dostęp, sprostowanie, usunięcie itp.) realizujemy w jednym miejscu — nie musisz kontaktować się z każdym subprocessorem osobno. Wystarczy e-mail na rodo@auradeco.pl.
Powiadomienia o zmianach
Lista jest aktualizowana wraz z dodawaniem nowych dostawców. Zapisz się na powiadomienia mailowe wysyłając wiadomość na rodo@auradeco.pl z tematem „Subprocessor updates".