Dalsze podmioty przetwarzające Mailistix
Ta strona wymienia osoby trzecie, które przetwarzają dane osobowe w naszym imieniu („dalsze podmioty przetwarzające”) w celu świadczenia Usługi Mailistix. Stanowi Załącznik 3 do naszej Umowy powierzenia przetwarzania danych i uzupełnia naszą Politykę prywatności. Ostatnia kolumna wskazuje, które dalsze podmioty przetwarzające przetwarzają Dane osobowe klienta, które przetwarzamy w imieniu Klientów biznesowych na podstawie Umowy powierzenia przetwarzania danych; pozostałe przetwarzają wyłącznie dane, których jesteśmy administratorem. Punkt 4 zawiera informacje wymagane na podstawie art. 28 ust. 1 aktu w sprawie danych.
Co nigdy nie trafia do dalszego podmiotu przetwarzającego: Państwa skrzynka pocztowa jest synchronizowana bezpośrednio między aplikacją Mailistix na Państwa urządzeniu a Państwa dostawcą skrzynki pocztowej (na przykład Google lub Microsoft). Państwa e-maile są przechowywane wyłącznie na Państwa urządzeniu, w zaszyfrowanej bazie danych. Treść e-maili trafia na nasze serwery i do wymienionych poniżej dostawców AI wyłącznie wtedy, gdy korzystają Państwo z Funkcji AI, i tylko na czas potrzebny do udzielenia odpowiedzi na to żądanie. Poza tym nasze serwery otrzymują jedynie dane techniczne o Państwa skrzynkach pocztowych (takie jak adres skrzynki pocztowej i powiadomienia o zmianach bez treści), kody logowania i tokeny skrzynki pocztowej w chwili jej łączenia (przekazywane dalej, ale nieprzechowywane), odnośnik do wypisania z newslettera, z którego Państwo się wypisują, oraz to, co zdecydują się Państwo przesłać nam w celu uzyskania pomocy technicznej.
1. Dalsze podmioty przetwarzające
| Dalszy podmiot przetwarzający | Usługa | Przetwarzane dane osobowe | Lokalizacja przetwarzania | Zabezpieczenie przekazywania danych | Dotyczy | Dalszy podmiot przetwarzający w rozumieniu DPA |
|---|---|---|---|---|---|---|
| Supabase Pte. Ltd. (Singapur; grupa Supabase, w tym Supabase, Inc., USA), hostowany w infrastrukturze Amazon Web Services | Baza danych, uwierzytelnianie, funkcje serwerowe (Edge Functions), przechowywanie plików (pliki przesyłane do pomocy technicznej, pliki aktualizacji aplikacji), przekazywanie powiadomień push o nowej poczcie | Dane Konta (adres e-mail, skrót hasła, ustawienia, Ustawienie regionu, zapisy zgód, zapisy akceptacji Warunków), zapisy dotyczące Planu i Kredytów, metadane użycia AI (bez treści), zdarzenia bezpieczeństwa, pseudonimowe odciski skrzynek pocztowych, metadane powiadomień push (adres skrzynki pocztowej i kursor zmian; identyfikatory subskrypcji i wiadomości Outlook), pliki przesłane do pomocy technicznej; przejściowe przekazywanie dalej żądań AI i Danych wyjściowych AI, tokenów OAuth oraz odnośników do wypisania jednym kliknięciem (nieprzechowywane) | Baza danych i przechowywanie plików: Frankfurt, Niemcy (Amazon Web Services). Funkcje serwerowe dla żądań AI: wyłącznie regiony UE (domyślnie Frankfurt). Pozostałe funkcje serwerowe: region brzegowy (edge) Supabase najbliższy wywołującemu, który w przypadku użytkowników spoza Europy może znajdować się poza UE | Standardowe klauzule umowne UE w DPA Supabase (Moduł 2 dla danych, których jesteśmy administratorem, Moduł 3 dla Danych osobowych klienta), z aneksami dla Zjednoczonego Królestwa i Szwajcarii; Singapur nie jest objęty unijną decyzją stwierdzającą odpowiedni stopień ochrony; Supabase nie posiada certyfikacji w ramach unijno-amerykańskich ram ochrony prywatności danych (EU-U.S. Data Privacy Framework) | Wszyscy użytkownicy | Tak |
| Microsoft Ireland Operations Limited / Microsoft Corporation (Azure OpenAI w Azure AI Foundry) | Przetwarzanie przez modele AI (wersje robocze, przeredagowania, podsumowania, Ask AI, w tym wyodrębnianie faktów, briefingi przed spotkaniami, styl pisania, nauka na podstawie Państwa poprawek) | Treść żądania AI (treść e-maila, wątek, Państwa instrukcje, Państwa imię i nazwisko, adres e-mail i strefa czasowa) oraz Dane wyjściowe AI | EU Data Zone (zasób w Sweden Central; żądania mogą być przetwarzane w dowolnym regionie Azure w ramach EU Data Zone). Przechowywanie odpowiedzi wyłączone | Microsoft Products and Services DPA; EU Data Boundary; EU-U.S. Data Privacy Framework (Microsoft Corporation) oraz standardowe klauzule umowne | Wszyscy użytkownicy korzystający z Funkcji AI | Tak |
| Google Cloud EMEA Limited / Google LLC (Vertex AI) | Przetwarzanie przez modele AI (modele Gemini) | Treść żądania AI i Dane wyjściowe AI | Użytkownicy w UE lub ci, którzy nie odpowiedzieli na pytanie o region: Vertex AI EU multi-region. Użytkownicy spoza UE: niektóre modele Gemini na globalnym punkcie końcowym Google (dowolny kraj, w którym działa Google); pozostałe w EU multi-region | Google Cloud Data Processing Addendum; EU-U.S. Data Privacy Framework (Google LLC) oraz standardowe klauzule umowne | Wszyscy użytkownicy korzystający z Funkcji AI | Tak |
| Google Cloud EMEA Limited / Google LLC (Cloud Pub/Sub) | Przekazywanie powiadomień o zmianach w Gmail do naszego serwera | Adres Gmail i nieprzezroczysty kursor zmian (bez treści e-maili), przechowywane do 1 godziny | Globalna infrastruktura Google, bez stałego regionu | jak wyżej | Użytkownicy z połączoną skrzynką pocztową Gmail | Tak |
| Microsoft Ireland Operations Limited / Microsoft Corporation (Microsoft 365) | Nasz system poczty e-mail, w tym legal@, doręczanie wiadomości z formularza kontaktowego na mailistix.com na legal@ wraz z potwierdzeniem bez ich treści dla nadawcy, doręczanie wpisów listy oczekujących na wersję beta do jednej z naszych skrzynek pocztowych wraz z potwierdzeniem dla osoby, która się zapisała, oraz wysyłanie e-maili dotyczących Konta (kody logowania i kody potwierdzające, potwierdzenia zmian adresu e-mail i inne powiadomienia o Koncie) | E-maile wysyłane do nas przez Państwa, wiadomości z formularza kontaktowego i nasze odpowiedzi: imię i nazwisko, adres e-mail, treść; wpisy listy oczekujących: adres e-mail, platforma, czas wyrażenia zgody; e-maile dotyczące Konta: adres e-mail, kod lub odnośnik, język | Unia Europejska (EU Data Boundary) | Microsoft Products and Services DPA; EU-U.S. Data Privacy Framework (Microsoft Corporation) oraz standardowe klauzule umowne | Wszyscy użytkownicy (e-maile dotyczące Konta); osoby, które piszą do nas e-mailem, korzystają z formularza kontaktowego lub zapisują się na listę oczekujących | Tak, jeżeli e-mail lub wiadomość z formularza kontaktowego zawiera Dane osobowe klienta |
| Microsoft Ireland Operations Limited / Microsoft Corporation (Azure Blob Storage) | Przechowywanie codziennych sum kontrolnych (niezmiennych przez 4 lata i 1 miesiąc) oraz 30-dniowej kopii zapasowej naszych zapisów akceptacji Warunków i DPA, jako dowodu | Wyłącznie sumy kontrolne (bez danych możliwych do odczytania); w kopii zapasowej: identyfikator użytkownika, skrót SHA-256 adresu e-mail, wersje zaakceptowane lub objęte sprzeciwem, czasy, sumy kontrolne dokumentów i brzmienia; bez treści e-maili | Niemcy (Germany West Central; kopia georedundantna w Germany North) | Microsoft Products and Services DPA; EU-U.S. Data Privacy Framework (Microsoft Corporation) oraz standardowe klauzule umowne | Wszyscy użytkownicy | Nie |
| Functional Software, Inc. (Sentry), USA | Monitorowanie błędów: (a) raporty o awariach i błędach z aplikacji – wyłącznie po wyrażeniu przez Państwa zgody (opt-in) i niewysyłane przez bieżącą wersję aplikacji; (b) błędy operacyjne naszych funkcji serwerowych | (a) Techniczne dane o błędach poddane pseudonimizacji, wersja aplikacji, system operacyjny; bez treści e-maili, bez identyfikatorów konta. (b) Kody błędów i nazwy funkcji; w przypadku alarmu o wstrzymanej odpowiedzi AI także skrót (hash) Państwa identyfikatora użytkownika; bez treści | Niemcy (region UE Sentry) | Sentry DPA; EU-U.S. Data Privacy Framework oraz standardowe klauzule umowne | (a) Wyłącznie za zgodą (opt-in); (b) wszyscy użytkownicy | Nie |
| PostHog, Inc. (USA) | Analityka produktowa – wyłącznie po wyrażeniu przez Państwa zgody (opt-in) | Pseudonimowy losowy identyfikator, zdarzenia użycia z listy dozwolonych (na przykład kroki wprowadzenia do aplikacji (onboarding), kategoria planu); bez treści e-maili ani wartości liczbowych pochodzących z Państwa skrzynki pocztowej, bez lokalizacji na podstawie adresu IP | Niemcy/UE (PostHog EU Cloud, Frankfurt) | PostHog DPA; EU-U.S. Data Privacy Framework oraz standardowe klauzule umowne | Wyłącznie za zgodą (opt-in) | Nie |
| Cloudflare, Inc. (USA) | DNS, dostarczanie treści i hosting strony internetowej mailistix.com (Cloudflare Pages), w tym funkcje serwerowe ochrony hasłem, formularza kontaktowego i listy oczekujących | Adres IP i dane żądań odwiedzających stronę; liczniki nadużyć formularza kontaktowego i listy oczekujących, które zawierają wyłącznie skróty (hashe) adresów IP i adresów e-mail; statystyki wyświetleń stron i czasu ładowania odwiedzających spoza UE (Cloudflare Web Analytics); treść wiadomości z formularza kontaktowego i wpisów listy oczekujących w trakcie przesyłania (nieprzechowywana) | Globalna sieć brzegowa (centrum danych najbliższe odwiedzającemu) | Cloudflare DPA; EU-U.S. Data Privacy Framework oraz standardowe klauzule umowne | Odwiedzający stronę internetową | Tak, jeżeli wiadomość z formularza kontaktowego zawiera Dane osobowe klienta (przekazywana dalej do Microsoft 365, nieprzechowywana) |
| Google Cloud EMEA Limited / Google LLC (reCAPTCHA) | Ochrona formularza kontaktowego i listy oczekujących na mailistix.com przed spamem, ładowana dopiero po wyrażeniu zgody przez odwiedzającego w oknie dialogowym formularza lub listy oczekujących | Adres IP, dane przeglądarki i urządzenia, interakcja ze stroną kontaktową lub z oknem dialogowym listy oczekujących, plik cookie reCAPTCHA | Globalna infrastruktura Google, w tym USA | Google Cloud Data Processing Addendum; EU-U.S. Data Privacy Framework (Google LLC) oraz standardowe klauzule umowne | Odwiedzający stronę, którzy zezwalają na reCAPTCHA | Nie |
Nasi dostawcy AI mogą przechowywać dane żądań przez ograniczony czas do celów operacyjnych i monitorowania nadużyć zgodnie ze swoimi warunkami: Google Vertex AI do 24 godzin w pamięci podręcznej (caching) i do 90 dni w przypadku promptów oznaczonych jako możliwe nadużycie, Microsoft Azure OpenAI do 30 dni; upoważnieni pracownicy dostawcy mogą przeglądać oznaczone żądania. Zob. Informację o funkcjach AI oraz Załącznik 1 do Umowy powierzenia przetwarzania danych. Każdy dalszy podmiot przetwarzający korzysta z własnych dalszych podmiotów przetwarzających (na przykład Supabase korzysta z Amazon Web Services), które wymienia we własnej dokumentacji.
2. Niezależni administratorzy (nie są dalszymi podmiotami przetwarzającymi)
Podmioty te otrzymują dane osobowe, ale same decydują o sposobie ich przetwarzania. Zastosowanie mają ich własne polityki prywatności.
| Podmiot | Rola | Dane |
|---|---|---|
| Polar Software, Inc. (USA) | Merchant of record (sprzedawca rejestrowy) i odsprzedawca płatnego Planu Pro; obsługuje proces zakupu, płatność, podatki, faktury, zwroty i obciążenia zwrotne (chargebacks), korzystając z własnych podmiotów obsługujących płatności | Gdy po raz pierwszy otwierają Państwo proces zakupu, tworzymy Państwa rekord klienta w Polar z Państwa adresem e-mail i identyfikatorem użytkownika Mailistix; następnie aktualizujemy jego adres e-mail. Jeżeli nigdy nie otworzą Państwo procesu zakupu, Polar nie otrzymuje żadnych informacji o Państwu. W procesie zakupu Polar otrzymuje także Państwa adres IP oraz zbiera Państwa imię i nazwisko, adres rozliczeniowy i dane płatnicze (nigdy nie widzimy pełnych danych karty). Polar przesyła nam status Państwa subskrypcji oraz imię i nazwisko i adres e-mail Państwa rekordu klienta. |
| Google i Microsoft jako Państwa dostawcy skrzynki pocztowej | Zapewniają skrzynkę pocztową, którą Państwo łączą, na podstawie Państwa własnej umowy z nimi, w tym usługi logowania (OAuth) i usługi tokenów, które Państwo autoryzują, a w przypadku Microsoft także powiadomienia o zmianach wysyłane do naszego serwera | Wszystko, co znajduje się w Państwa skrzynce pocztowej; widzą żądania API aplikacji |
| Nadawcy newsletterów, z których Państwo się wypisują | Otrzymują żądanie wypisania jednym kliknięciem, wysyłane z naszego serwera, aby nie widzieli Państwa adresu IP | Odnośnik do wypisania, który umieścili w swoim newsletterze |
| Apple, Microsoft (systemy operacyjne) | Magazyn kluczy (Keychain) / poświadczeń na Państwa urządzeniu, kontrole podpisu kodu | Obsługiwane na Państwa urządzeniu przez Państwa system operacyjny |
Polar ma siedzibę w Stanach Zjednoczonych i nie posiada certyfikacji w ramach unijno-amerykańskich ram ochrony prywatności danych (EU-U.S. Data Privacy Framework). Nasza umowa z Polar obejmuje aneks Polar dotyczący przetwarzania danych ze standardowymi klauzulami umownymi UE; jeżeli klauzule te nie obejmują danego przekazania danych, jest ono niezbędne do realizacji zamówionego zakupu (art. 49 ust. 1 lit. b RODO). Zob. pkt 9.5 Polityki prywatności.
3. Zmiany tej listy
Nowe dalsze podmioty przetwarzające ogłaszamy na tej stronie co najmniej 14 dni przed rozpoczęciem przez nie przetwarzania danych osobowych. Klienci biznesowi są ponadto informowani za pomocą powiadomienia wysyłanego na adresy e-mail Kont ich użytkowników lub wyświetlanego w Oprogramowaniu oraz e-mailem do ich osoby kontaktowej ds. ochrony danych, jeżeli ją nam wskazali (pkt 7.3 Umowy powierzenia przetwarzania danych). Klienci biznesowi mogą wnieść sprzeciw w sposób opisany w pkt 7 Umowy powierzenia przetwarzania danych. W sytuacji nagłej (na przykład aby zapewnić bezpieczeństwo lub dostępność Usługi) możemy powołać podmiot zastępczy wcześniej i poinformujemy Państwa o tym bez zbędnej zwłoki; tam, gdzie mają zastosowanie standardowe klauzule umowne UE, ich zasady powiadamiania mają pierwszeństwo.
4. Informacje wymagane na podstawie aktu w sprawie danych
Artykuł 28 ust. 1 aktu w sprawie danych (rozporządzenie (UE) 2023/2854) zobowiązuje dostawców usług przetwarzania danych do podania na swojej stronie internetowej jurysdykcji, której podlega infrastruktura ICT wykorzystywana do każdej z ich usług, oraz środków, które podejmują przeciwko międzynarodowemu dostępowi organów rządowych do danych przechowywanych w UE, który byłby sprzeczny z prawem UE lub prawem państwa członkowskiego. Przysługujące Państwu prawa dotyczące zmiany dostawcy usług i pobrania danych na podstawie aktu w sprawie danych określa pkt 15.10 naszych Warunków korzystania z usługi.
4.1 Infrastruktura i jurysdykcja
| Część Usługi | Infrastruktura | Lokalizacja | Operator i prawa, którym podlega |
|---|---|---|---|
| Aplikacja Mailistix i jej lokalna baza danych (Państwa e-maile, załączniki, wersje robocze, projekty i inne dane lokalne) | Państwa własne urządzenia | Gdziekolwiek z nich Państwo korzystają | Państwo; prawo miejsca, w którym znajdują się Państwa urządzenia |
| Baza danych, uwierzytelnianie i przechowywanie plików Usług chmurowych | Supabase na Amazon Web Services | Frankfurt, Niemcy | Supabase Pte. Ltd. (Singapur) i Amazon Web Services (USA): prawo niemieckie i unijne w danej lokalizacji; operatorzy podlegają też prawu Singapuru i Stanów Zjednoczonych |
| Funkcje serwerowe dla żądań AI | Supabase Edge Functions | Wyłącznie UE (domyślnie Frankfurt; alternatywnie Irlandia lub Paryż) | Jak wyżej |
| Pozostałe funkcje serwerowe (na przykład połączenie ze skrzynką pocztową, powiadomienia push, proces zakupu, eksport danych, wypisanie jednym kliknięciem) | Supabase Edge Functions | Region brzegowy Supabase najbliższy wywołującemu, który może znajdować się poza UE | Jak wyżej oraz prawo kraju tego regionu |
| Przetwarzanie AI przez Microsoft | Azure OpenAI | EU Data Zone (zasób w Sweden Central) | Microsoft Ireland Operations Limited (Irlandia) i Microsoft Corporation (USA): prawo UE w danej lokalizacji; także prawo USA |
| Przetwarzanie AI przez Google | Vertex AI | EU multi-region; dla użytkowników, którzy odpowiedzieli „Poza Europą”, niektóre modele na globalnym punkcie końcowym Google | Google Cloud EMEA Limited (Irlandia) i Google LLC (USA): prawo UE w danej lokalizacji lub prawo kraju, w którym globalny punkt końcowy przetwarza żądanie; także prawo USA |
| Powiadomienia o zmianach w Gmail | Google Cloud Pub/Sub | Globalna infrastruktura Google, bez stałego regionu | Google Cloud EMEA Limited i Google LLC: prawo danej lokalizacji; także prawo USA |
| Nasz system poczty e-mail (pomoc techniczna, formularz kontaktowy, lista oczekujących, e-maile dotyczące Konta) | Microsoft 365 | UE (EU Data Boundary) | Microsoft Ireland Operations Limited i Microsoft Corporation: prawo UE w danej lokalizacji; także prawo USA |
| Sumy kontrolne dowodowe i kopie zapasowe zapisów akceptacji | Microsoft Azure Blob Storage | Niemcy (Germany West Central, Germany North) | Microsoft Ireland Operations Limited i Microsoft Corporation: prawo niemieckie i unijne w danej lokalizacji; także prawo USA |
| Monitorowanie błędów i opcjonalna analityka | Sentry EU region; PostHog EU Cloud | Niemcy | Functional Software, Inc. i PostHog, Inc. (USA): prawo niemieckie i unijne w danej lokalizacji; także prawo USA |
| Strona internetowa mailistix.com | Cloudflare Pages | Globalna sieć Cloudflare | Cloudflare, Inc. (USA): prawo lokalizacji centrum danych; także prawo USA |
4.2 Środki przeciwko bezprawnemu dostępowi organów rządowych
- Techniczne: dane Państwa skrzynki pocztowej pozostają na Państwa urządzeniach, w zaszyfrowanej bazie danych, której klucz chroni Państwa system operacyjny; nie posiadamy ich kopii. Nie przechowujemy treści żądań AI ani Danych wyjściowych AI. Nasza baza danych i przechowywanie plików znajdują się we Frankfurcie, a nasze funkcje serwerowe dla żądań AI działają wyłącznie w lokalizacjach UE; odmawiają one obsługi żądań AI w jakimkolwiek innym regionie. Wszystkie połączenia są szyfrowane (TLS 1.2 lub 1.3), a nasza baza danych i przechowywanie plików są szyfrowane w spoczynku (obecnie nie przechowujemy kopii zapasowych bazy danych). Przechowujemy tylko dane, których potrzebuje Usługa, i usuwamy je według ustalonych harmonogramów (Załącznik 1, część H Umowy powierzenia przetwarzania danych).
- Organizacyjne: ujawniamy dane organowi publicznemu wyłącznie wtedy, gdy wiążący nakaz prawnie tego wymaga. Staramy się wówczas przekierować organ do klienta, powiadamiamy klienta, chyba że prawo tego zabrania, badamy nakaz i kwestionujemy go, jeżeli istnieją rozsądne podstawy, by uznać go za niezgodny z prawem, ujawniamy tylko minimum wymagane przez nakaz i dokumentujemy naszą reakcję (pkt 13 Umowy powierzenia przetwarzania danych). Nie wdrożyliśmy żadnych rozwiązań umożliwiających organom bezpośredni dostęp do danych.
- Umowne: nasi dostawcy są związani warunkami przetwarzania danych. Tam, gdzie mają zastosowanie standardowe klauzule umowne UE, ich klauzula 15 zobowiązuje dostawcę do powiadamiania nas o żądaniach organów publicznych, badania ich zgodności z prawem i kwestionowania ich, jeżeli istnieją ku temu podstawy. Microsoft i Google publikują również własne zobowiązania do kwestionowania żądań rządowych dotyczących danych klientów.