Niniejsza lista obejmuje wszystkie usługi podmiotów trzecich, do których dane osobowe pochodzące z kont Dzierżawców mogą być przekazywane. Operator nie sprzedaje, nie udostępnia ani nie przekazuje danych osobowych Dzierżawców osobom trzecim do ich własnych celów komercyjnych.
| Adres rejestrowy | 101 Townsend St, San Francisco, CA 94107, USA |
| Cel | (a) Sieć dostarczania treści (CDN) i zapora aplikacji internetowych (WAF): wszystkie przychodzące żądania HTTP/S przechodzą przez globalną sieć brzegowa Cloudflare. (b) Cloudflare Tunnel (cloudflared): VPS Operatora łączy się wychodzącym połączeniem mTLS — VPS nie ma publicznych portów wejściowych. (c) Magazyn obiektów Cloudflare R2: pliki dowodowe i zaszyfrowane archiwa kopii zapasowych. |
| Przekazywane dane | (CDN/WAF/Tunnel) Adresy IP i nagłówki żądań — Cloudflare nie otrzymuje odszyfrowanej treści na poziomie aplikacji. (R2) W R2 przechowywane są zaszyfrowane kopertowo (RSA-4096 + AES-256-GCM) archiwa kopii zapasowych oraz pliki dowodowe. Szyfrowanie po stronie klienta wrażliwych plików dowodowych przed przesłaniem jest zaplanowane i jeszcze nie wdrożone; obecnie Cloudflare otrzymuje pliki dowodowe chronione wyłącznie własnym szyfrowaniem po stronie dostawcy, do którego posiada klucz. |
| Region danych | Jurysdykcja zasobnika R2: EU. CDN/WAF edge: globalny. Cloudflare zobowiązało się, że dane R2 z jurysdykcją EU nie będą przekazywane poza UE/EOG. |
| Kategorie danych | Adresy IP i ciągi user-agent (CDN/WAF); zaszyfrowane treści plików dowodowych (R2); zaszyfrowane archiwa kopii zapasowych (R2). |
| Poziom bezpieczeństwa | Certyfikat ISO 27001; audyt SOC 2 Type II; dostawca PCI DSS Level 1. Zaakceptowany Aneks do Przetwarzania Danych Cloudflare. Dane R2 szyfrowane AES-256 po stronie dostawcy. Szyfrowanie po stronie klienta wrażliwych plików dowodowych przed przesłaniem jest zaplanowane i jeszcze nie wdrożone; obecnie Cloudflare otrzymuje pliki dowodowe chronione wyłącznie własnym szyfrowaniem po stronie dostawcy, do którego posiada klucz. |
| DPA / mechanizm transferu | Zaakceptowany Aneks DPA Cloudflare. Standardowe Klauzule Umowne (SCK — Moduł 2). Ocena Wpływu Transferu przeprowadzona. |
| Strona WWW | cloudflare.com |
| Aktywny | Tak — aktywny od uruchomienia Usługi. |
| Adres rejestrowy | 500 Ben Franklin Ct, San Mateo, CA 94401, USA |
| Cel | Zapasowy zaszyfrowany magazyn kopii zapasowych jako drugi dostawca w polityce 3-2-1. Cloudflare R2 jest podstawowym magazynem; Backblaze B2 jest zapasowym (poza siedzibą, inny dostawca). |
| Przekazywane dane | Archiwa plików zaszyfrowane kopertowo (RSA-4096 + AES-256-GCM) z bazy danych Postgres. Szyfrowanie stosowane na VPS przed transmisją. Backblaze otrzymuje wyłącznie zaszyfrowane dane i nie może ich odszyfrować. |
| Region danych | EU — region EU Backblaze (Amsterdam, Holandia). Archiwa kopii zapasowych przechowywane wyłącznie w regionie Amsterdam. |
| Kategorie danych | Wyłącznie zaszyfrowane archiwa kopii zapasowych. Backblaze nie może uzyskać dostępu do danych osobowych. |
| Poziom bezpieczeństwa | Audyt SOC 2 Type II. Dane szyfrowane przed transmisją. |
| DPA / mechanizm transferu | Zaakceptowana Umowa o Przetwarzaniu Danych Backblaze. SCK — Moduł 2. |
| Strona WWW | backblaze.com |
| Aktywny | Tak — aktywny od uruchomienia Usługi. |
| Adres rejestrowy | One Microsoft Way, Redmond, WA 98052, USA |
| Cel | Wychodzące transakcyjne powiadomienia e-mail. Operator utrzymuje jedną dzierżawę Microsoft 365 należącą do SaaS (Model A), z której wysyłane są wszystkie wiadomości generowane przez platformę: zatwierdzenia wyjątków, przypomnienia o terminach, alerty o zaległych zadaniach, e-maile z zaproszeniami i resetowania hasła, raporty zaplanowane przez Dzierżawcę oraz kwartalny raport dla CISO wysyłany przez Operatora administratorom Dzierżawcy (każdy z plikiem raportu w załączniku). |
| Przekazywane dane | Adres e-mail odbiorcy; imię i nazwisko lub nazwa wyświetlana; treść powiadomienia (tytuł wyjątku lub incydentu, wymagane działanie, termin, link). Treść nie zawiera zawartości dziennika audytu, plików dowodowych ani pełnych opisów wyjątków. Wyjątkiem są raporty: niektóre wiadomości zawierają plik raportu jako załącznik, więc Microsoft przetwarza jego treść. (1) Raport zaplanowany przez Dzierżawcę: eksport raportu niestandardowego (wiersze wyjątków, ryzyk, incydentów, aktywów lub dostawców) na adres wybrany przez Dzierżawcę albo raport KSC w PDF (zestawienia samoidentyfikacji, zadań, incydentów, ryzyk, dostawców, dokumentów SZBI i szkoleń oraz pieczęć dziennika audytu) do imiennie wybranych członków Dzierżawcy, każdemu w granicach jego uprawnień. (2) Kwartalny raport dla CISO, który harmonogram Operatora wysyła raz na kwartał aktywnym administratorom każdego aktywnego Dzierżawcy: PDF z otwartymi wyjątkami według kategorii, wyjątkami wygasającymi w ciągu 90 dni, wyjątkami przekraczającymi apetyt na ryzyko oraz pokryciem kontrolami. |
| Region danych | Dzierżawa M365 należąca do Operatora skonfigurowana w regionie EU. Przetwarzanie i przechowywanie poczty odbywa się w centrum danych EU Microsoft. |
| Kategorie danych | Adres e-mail odbiorcy; imię i nazwisko; treść powiadomienia jak opisano powyżej. |
| Poziom bezpieczeństwa | Certyfikat ISO 27001; SOC 2 Type II; ISO 27018 (Cloud Privacy). Aneks DPA Microsoft obejmuje to zastosowanie. |
| DPA / mechanizm transferu | Zaakceptowany Aneks DPA Microsoft Online Services. SCK — Moduł 2. Zobowiązanie do rezydencji danych EU. |
| Uwagi dot. Modelu B | Gdy Dzierżawca podłącza własną skrzynkę M365 (Model B — opcjonalna funkcja), e-mail jest wysyłany przez własną subskrypcję Microsoft Dzierżawcy; własna umowa Microsoft Dzierżawcy reguluje przetwarzanie. Model B: zbudowany, jeszcze niewłączony w produkcji; żaden Dzierżawca go nie podłączył. |
| Strona WWW | microsoft.com |
| Aktywny | Tak — Model A aktywny od uruchomienia Usługi. |
| Pole | Szczegóły |
|---|---|
| Adres rejestrowy | One Microsoft Way, Redmond, WA 98052, USA |
| Cel | Powiernictwo kluczy kryptograficznych. Azure Key Vault przechowuje (a) klucz prywatny RSA-4096 odpakowujący klucz AES-256-GCM chroniący każdą logiczną kopię zapasową, (b) materiał klucza automatycznie otwierający HashiCorp Vault przy starcie oraz (c) pgbackrest-cipher-pass — symetryczne hasło repozytoriów odtworzenia do punktu w czasie. (a) i (b) są nieeksportowalne; (c) jest zwykłym sekretem i jest odczytywane. |
| Przekazywane dane | Żadnych danych osobowych i żadnego archiwum kopii zapasowej: te są w Cloudflare R2 / Backblaze B2 i nigdy nie trafiają do Azure. Granicę przekracza materiał klucza — opakowany RSA-OAEP klucz AES wysyłany do odpakowania oraz hasło pgBackRest odczytywane przez każdy kontener Postgres przy starcie i przez kwartalny test odtworzenia. |
| Region danych / jurysdykcja | Sejf jest utworzony w regionie EU. |
| Kategorie danych osobowych | Brak bezpośrednio. Azure Key Vault przechowuje klucze chroniące dane osobowe przechowywane gdzie indziej; nie otrzymuje danych chronionych. |
| Poziom bezpieczeństwa | Certyfikaty ISO 27001, SOC 2 Type II, ISO 27018. Oba klucze opakowujące tworzone są jako nieeksportowalne. Podmiot usługowy maszyny produkcyjnej ma odmowę uprawnienia unwrap, więc skompromitowana maszyna może zapisywać nowe kopie logiczne, ale nie odszyfruje istniejących — a automatyczna kontrola weryfikuje tę odmowę. Granica jest celowo węższa, niż może się wydawać. Ten sam podmiot usługowy może odczytać pgbackrest-cipher-pass — musi, inaczej Postgres nie wystartuje — a repozytoria PITR są zaszyfrowane symetrycznie tym hasłem. Kompromitacja maszyny sięga więc około ośmiu dni danych PITR. Hasło pgbackrest-cipher-pass mogą odczytać dwie tożsamości, nie jedna. Oprócz podmiotu usługowego maszyny produkcyjnej odczytać je może odrębny podmiot usługowy testu odtworzenia, który jest też jedyną tożsamością uprawnioną do odpakowania kluczy kopii logicznych. Nie ma on zapisanego poświadczenia: dostęp do niego jest możliwy wyłącznie przez federację OpenID Connect z GitHub, z przepływu kwartalnego testu odtworzenia (wpisy 6 i 7). |
| Mechanizm transferu | Zaakceptowany Microsoft Online Services Data Processing Addendum. Standardowe Klauzule Umowne (SCK — Moduł 2). Zobowiązanie do regionu EU dla sejfu. |
| Klasyfikacja wg art. 28 | Ujęte tu zachowawczo. Azure Key Vault otrzymuje wyłącznie materiał klucza, nigdy dane osobowe i nigdy archiwum kopii zapasowej, więc to, czy jest podwykonawcą przetwarzania w rozumieniu art. 28(2)/28(4), jest kwestią dla przeglądu prawnego; ten wpis nie przesądza żadnej z interpretacji. Ujawniamy go, ponieważ przechowywany klucz jest nośny dla poufności kopii zapasowych Dzierżawcy. |
| Strona | azure.microsoft.com |
| Aktywny | Tak — aktywny od przejścia na szyfrowanie kopertowe. |
| Pole | Szczegóły |
|---|---|
| Adres rejestrowy | OVH Sp. z o.o., Wrocław, Polska (polski podmiot grupy OVHcloud) |
| Cel | Hosting infrastruktury. Oba serwery produkcyjne — jeden dla Exceptao, jeden dla paraKSCol i CyberZgodność EDU — to serwery wirtualne (VPS) obsługiwane przez OVH. Działają na nich aplikacja, baza danych PostgreSQL, Redis, samodzielnie hostowany HashiCorp Vault oraz procesy kopii zapasowych. |
| Przekazywane dane | Wszystkie dane Usługi są przechowywane i przetwarzane na tych serwerach. OVH dostarcza maszyny wirtualne i fizyczne centrum danych; nie ma konta w aplikacji i jej nie obsługuje. Dyski serwerów są zaszyfrowane LUKS. |
| Region danych / jurysdykcja | Warszawa, Polska (centrum danych OVH WAW2) — UE. |
| Kategorie przetwarzanych danych osobowych | Wszystkie kategorie przetwarzane w Usłudze (Załącznik I do DPA), jako ich host infrastruktury. |
| DPA / mechanizm transferu | Przetwarzanie pozostaje w UE/EOG; brak transferu do państw trzecich. To, czy z dostawcą zawarto umowę, o której mowa w art. 28 ust. 3 RODO, jest potwierdzane. |
| Strona | ovhcloud.com |
| Aktywny | Tak — hostuje oba serwery produkcyjne (Exceptao od 2026-08-29; paraKSCol i CyberZgodność EDU od 2026-09-01). |
| Pole | Szczegóły |
|---|---|
| Adres rejestrowy | netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, Niemcy |
| Cel | Hosting samodzielnie zarządzanego runnera GitHub Actions Operatora — serwera zlokalizowanego w Wiedniu (Austria). Raz na kwartał (oraz na żądanie) automatyczny test odtworzenia odtwarza na tym runnerze kopię produkcyjnej bazy danych każdej marki z wybranego punktu w czasie, weryfikuje jej łańcuchy audytu i usuwa kopię. |
| Przekazywane dane | Na czas testu odtworzenia (zwykle najwyżej godzinę na markę) na runnerze istnieje odszyfrowana kopia produkcyjnej bazy danych, w woluminie kontenera usuwanym po zakończeniu testu. Zaszyfrowane archiwa PITR są pobierane z Cloudflare R2 / Backblaze B2; hasło deszyfrujące jest pobierane z Azure Key Vault wyłącznie na dany przebieg i nie jest przechowywane na runnerze. Runner należy do samodzielnie zarządzanej puli współdzielonej w całej organizacji GitHub Operatora, której system plików przetrwa między zadaniami; odtworzenie trafia do nazwanego woluminu kontenera usuwanego po teście, ale jeśli host ulegnie awarii w trakcie testu, wolumin może pozostać do czasu ręcznego usunięcia. |
| Region danych / jurysdykcja | Wiedeń, Austria — UE. |
| Kategorie przetwarzanych danych osobowych | Wszystkie kategorie przechowywane w produkcyjnej bazie danych, przejściowo, podczas każdego testu odtworzenia. |
| DPA / mechanizm transferu | Przetwarzanie pozostaje w UE/EOG; brak transferu do państw trzecich. To, czy z dostawcą zawarto umowę, o której mowa w art. 28 ust. 3 RODO, jest potwierdzane. |
| Strona | netcup.de |
| Aktywny | Tak — pierwszy przebieg według kwartalnego harmonogramu odbył się 2026-10-01. |
| Pole | Szczegóły |
|---|---|
| Adres rejestrowy | 88 Colin P. Kelly Jr. Street, San Francisco, CA 94107, USA |
| Cel | (a) Hosting kodu źródłowego i ciągła integracja. (b) Rejestr obrazów kontenerów (ghcr.io): serwery produkcyjne pobierają kod i obrazy kontenerów aplikacji z GitHub. (c) Orkiestracja kwartalnego testu odtworzenia, uruchamianego na samodzielnie zarządzanym runnerze z wpisu 6. (d) Federacja tożsamości: GitHub wystawia token OpenID Connect, który przepływ testu odtworzenia wymienia na dostęp do Azure Key Vault i za jego pomocą odczytuje pgbackrest-cipher-pass. |
| Przekazywane dane | W GitHub nie są przechowywane żadne dane biznesowe Dzierżawców: kod i obrazy ich nie zawierają, a odtworzona baza danych pozostaje na samodzielnie zarządzanym runnerze. GitHub przechowuje logi przebiegu testu odtworzenia: wynik, identyfikatory (UUID) weryfikowanych łańcuchów Dzierżawców oraz — gdy krok się nie powiedzie — log serwera PostgreSQL; hasło jest maskowane. |
| Region danych / jurysdykcja | USA (globalna infrastruktura GitHub). |
| Kategorie przetwarzanych danych osobowych | Żadne dane biznesowe Dzierżawców; logi przebiegów zawierają identyfikatory Dzierżawców, a przy niepowodzeniu wiersze logu bazy danych. |
| Klasyfikacja wg art. 28 | Ujęte tu zachowawczo, podobnie jak Azure Key Vault. GitHub nie przechowuje danych Dzierżawców, ale jego federacja tożsamości może autoryzować odczyt hasła deszyfrującego kopie PITR, a sam GitHub dostarcza kod i obrazy uruchamiane na serwerach produkcyjnych; Administrator oceniający te ryzyka musi go widzieć. To, czy wymagana jest umowa z art. 28, jest kwestią dla przeglądu prawnego. |
| Strona | github.com |
| Aktywny | Tak — hosting kodu i obrazów od uruchomienia Usługi; federacja testu odtworzenia od automatyzacji testu PITR (pierwszy przebieg według harmonogramu 2026-10-01). |
| Cel | Zarządzanie sekretami. Magazyn KV Vault przechowuje poświadczenia usług platformy oraz ogólnoplatformowy klucz główny sekretów TOTP, wyłącznie w postaci opakowanej kluczem tranzytowym platform-iam. Aplikacja nie odczytuje już z Vault KV żadnego klucza szyfrowania pól; wycofany klucz Fernet dla TOTP nie jest używany; usunięto go z Vault 2026-10-11 i pozostaje jedynie w zaszyfrowanych migawkach Vault do czasu ich wygaśnięcia, około 2026-11-10. Od 2026-10-10 (P0-1, wydanie R2) silnik tranzytowy Vault przechowuje jeden klucz na każdego Dzierżawcę, który opakowuje (szyfruje) Klucz Szyfrowania Danych (DEK) tego Dzierżawcy; DEK Dzierżawcy szyfruje jego pola poświadczeń — sekrety klientów OIDC, tokeny OAuth Microsoft Graph i klucze API integracji. Same sekrety znajdują się w PostgreSQL jako tekst zaszyfrowany, a nie w Vault. Od wydania R3b (2026-10-11) żadne poświadczenie Dzierżawcy, a od wydania kontraktu TOTP żaden sekret TOTP, nie jest szyfrowany kluczem odczytywanym z KV. Pliki dowodowe w magazynie Cloudflare R2 nie mają warstwy szyfrowania po stronie klienta (zaplanowanej na wersję v1.1, nie wdrożonej). Kryptograficzne usuwanie poświadczeń Dzierżawcy (zniszczenie jego klucza tranzytowego) obowiązuje od 2026-10-11, w granicach opisanych w /legal/security §13.1. |
| Wdrożenie | Hostowany samodzielnie na tym samym VPS co aplikacja (OVHcloud, Warszawa, Polska). Żadne dane Vault nie opuszczają VPS Operatora poza dostępem administracyjnym przez Cloudflare Tunnel. |
| Dane osobowe | Vault przechowuje kryptograficzny materiał kluczowy — nie przechowuje bezpośrednio danych osobowych podmiotów danych. |
| Poziom bezpieczeństwa | Vault otwiera się automatycznie przy starcie nieeksportowalnym kluczem z Microsoft Azure Key Vault (podwykonawca 4 powyżej); w ścieżce restartu nie ma człowieka. Istniejące udziały Shamira to 3 udziały odzyskiwania z progiem 2 — autoryzują wygenerowanie tokenu root, rekey i migrację seala, a nie odszyfrowanie bariery — i są zdeponowane poza VPS, po najwyżej jednym na magazyn. Tokeny AppRole krótkotrwałe (TTL 1h, maksymalnie 4h); SecretID AppRole jest celowo niewygasający i rotowany udokumentowaną procedurą operatorską. |
| Klasyfikacja | Hostowany samodzielnie; nie jest podwykonawcą będącym podmiotem trzecim. |
Obecnie brak. Samoobsługowe płatności kartowe przez Stripe odrzucono 2026-05-25 i nie są używane. Nie jest używana żadna usługa śledzenia błędów ani telemetrii; jeśli kiedyś zostanie dodana, preferowany jest wariant hostowany samodzielnie, który nie tworzyłby podwykonawcy. O każdym przyszłym podwykonawcy Dzierżawcy zostaną powiadomieni co najmniej 30 dni kalendarzowych przed jego aktywacją, zgodnie z procesem powiadamiania o zmianach w §6.2 DPA.
| Data | Zmiana |
|---|---|
| 2026-10-22 | Microsoft (Graph API — Model A): opis przekazywanych danych mówi teraz, że raport zaplanowany przez Dzierżawcę (eksport raportu niestandardowego albo raport KSC w PDF) oraz kwartalny raport dla CISO wysyłany przez Operatora są wysyłane jako załączniki e-mail, więc Microsoft przetwarza ich treść; wcześniej podawano, że treść powiadomień nie zawiera wrażliwych danych compliance. Nie dodano ani nie zastąpiono żadnego podwykonawcy. |
| 2026-10-12 | Potwierdzono z faktury adres rejestrowy netcup GmbH: Emmy-Noether-Straße 10, 76131 Karlsruhe, Niemcy (wcześniej publikowano „siedziba do potwierdzenia”). |
| 2026-10-11 | Ujawniono jako aktywnych: OVH Sp. z o.o. (hosting obu serwerów produkcyjnych, Warszawa), netcup GmbH (runner CI w Wiedniu, Austria, używany do kwartalnego testu odtworzenia) i GitHub, Inc. (kod, obrazy kontenerów, federacja tożsamości testu odtworzenia); warunkowy wiersz „Polski dostawca VPS” zastąpiono wpisem OVH. Skorygowano wpis Azure Key Vault: hasło PITR może odczytać także tożsamość testu odtworzenia. Usunięto z listy planowanych wiersze Stripe (odrzucony 2026-05-25) i śledzenia błędów (żadna usługa nie jest używana). |
| 2026-09-14 | Ujawniono Microsoft Azure Key Vault (powiernictwo kluczy dla kopert kopii zapasowych i auto-unseal Vault). Skorygowano opis szyfrowania kopii zapasowych: archiwa są szyfrowane kopertowo RSA-4096 + AES-256-GCM, a nie GPG, a połowa prywatna klucza opakowującego jest nieeksportowalnym kluczem w Azure Key Vault. |
| 2026-05-15 | Opublikowano pełną wersję roboczą; Cloudflare, Backblaze, Microsoft (Graph API Model A) potwierdzone jako aktywni podwykonawcy. |
| 2026-05-14 | Opublikowano wstępny szkielet. |