Podwykonawcy
Wersja 1.2 · Data ostatniej aktualizacji: 2 września 2026 r.
Pełna lista podmiotów, z których usług korzystamy przy świadczeniu usługi i którym powierzamy przetwarzanie danych (podwykonawcy w rozumieniu art. 28 ust. 2 i 4 RODO) — wraz z siedzibą, rolą, regionem przetwarzania danych i mechanizmem legalizującym ewentualny transfer poza Europejski Obszar Gospodarczy. Wykaz obejmuje zarówno podwykonawców, którym powierzamy Dane Klienta, jak i podmioty przetwarzające dane, dla których administratorem jesteśmy my — rolę każdego z nich opisuje kolumna „Rola / zakres przetwarzania”.
| Podmiot | Siedziba | Rola / zakres przetwarzania | Region przetwarzania | Mechanizm transferu |
|---|---|---|---|---|
| Supabase, Inc. | USA (hosting danych: region UE) | baza danych, uwierzytelnianie użytkowników, magazyn plików (archiwa odpowiedzi) | UE (Irlandia); możliwy incydentalny dostęp wsparcia technicznego z USA | standardowe klauzule umowne (SCC) |
| Vercel, Inc. | USA | hosting aplikacji — funkcje uruchamiane w regionie fra1 | UE (Frankfurt, fra1); metadane platformy w USA | DPF + SCC |
| API Hero Ltd (Trigger.dev) | Wielka Brytania | orkiestracja zadań w tle (harmonogram monitoringu); do logów wykonań trafiają wyłącznie spseudonimizowane identyfikatory techniczne — bez treści promptów, odpowiedzi ani danych umożliwiających identyfikację przez dostawcę; klucz powiązania pozostaje wyłącznie w bazie w EOG | Wielka Brytania; logi: AWS us-east-1 (USA) | decyzja adekwatności KE dla Zjednoczonego Królestwa; dalsze podpowierzenie (AWS): SCC |
| OpenAI Ireland Ltd / OpenAI, L.L.C. | Irlandia / USA | zapytania monitorujące do silnika ChatGPT (API z wyszukiwaniem internetowym); API nie wykorzystuje danych do trenowania modeli | USA | DPF + SCC |
| Perplexity AI, Inc. | USA | zapytania monitorujące do silnika Perplexity (API sonar) | USA | standardowe klauzule umowne (SCC) |
| Google Ireland Ltd / Google LLC | Irlandia / USA | zapytania monitorujące do silnika Gemini — wyłącznie płatne API, które nie wykorzystuje danych do trenowania modeli | USA / UE | DPF + SCC |
| Anthropic Ireland, Limited / Anthropic, PBC | Irlandia (UE) / USA | zapytania monitorujące do silnika Claude (Messages API z wyszukiwaniem internetowym) oraz awaryjna ekstrakcja wzmianek z odpowiedzi, gdy zawiedzie dostawca podstawowy; warunki API wyłączają wykorzystanie danych klienta do trenowania modeli | USA | standardowe klauzule umowne (SCC) |
| DataForSEO OÜ | Estonia (UE) | pobieranie wyników Google AI Overviews (google.pl) | UE | nie dotyczy (podmiot w UE) |
| Brevo (Sendinblue SAS) | Francja (UE) | wysyłka e-maili transakcyjnych i powiadomień, a także raportów cyklicznych na adresy odbiorców wskazanych przez klienta — w tym osób, które nie mają konta w Aplikacji (nowy cel od 2 września 2026 r.; ten sam podmiot, bez zmiany dostawcy) | UE | nie dotyczy (podmiot w UE) |
| Fakturownia sp. z o.o. | Polska | wystawianie faktur VAT i przekazywanie faktur ustrukturyzowanych do KSeF | Polska | nie dotyczy |
| Cloudflare (Cloudflare, Inc.) | USA | DNS domeny oraz przekierowywanie przychodzącej korespondencji e-mail (pomoc@, kontakt@, rodo@, faktury@) | globalna sieć (spółka z USA) | DPF + SCC |
| Google Ireland Ltd / Google LLC | Irlandia / USA | obsługa i przechowywanie skrzynki odbiorczej przychodzącej korespondencji e-mail (pomoc@, kontakt@, rodo@, faktury@) | UE / USA | DPF + SCC |
| PostHog, Inc. | USA (hosting danych: region UE) | analityka produktowa w trybie bez plików cookies: zdarzenia korzystania z serwisu i Aplikacji (nazwa zdarzenia, adres podstrony pozbawiony parametrów, losowy identyfikator sesji pomiarowej, oznaczenie środowiska); bez danych przeglądarki, bez adresu IP i bez nagrywania sesji; nie trafiają tam Dane Klienta (treści promptów ani odpowiedzi silników AI). Przetwarza na naszą rzecz jako administratora; rozpoczęcie przetwarzania: 16 września 2026 r. | UE (Frankfurt); możliwy incydentalny dostęp wsparcia technicznego z USA | DPF + SCC |
| Functional Software, Inc. (Sentry) | USA (hosting danych: region UE) | monitorowanie błędów aplikacji: komunikat i ślad stosu awarii, adres podstrony oraz dane techniczne przeglądarki; nie przekazujemy identyfikatora konta ani organizacji — `beforeSend` usuwa dane użytkownika przed wysyłką; konfigurujemy narzędzie tak, aby nie trafiały do niego treści promptów ani odpowiedzi silników AI; rozpoczęcie przetwarzania: 16 września 2026 r. | UE (Frankfurt); możliwy incydentalny dostęp wsparcia technicznego z USA | DPF + SCC |
Odrębni administratorzy
Płatności (karty, BLIK) obsługuje Stripe — Stripe Payments Europe, Ltd. (Irlandia) oraz Stripe, Inc. (USA). W odniesieniu do danych płatniczych Stripe działa w przeważającej mierze jako odrębny administrator danych (m.in. zapobieganie oszustwom płatniczym i obowiązki z zakresu przeciwdziałania praniu pieniędzy) — nie jest podwykonawcą przetwarzania w rozumieniu art. 28 RODO; wskazujemy go tutaj dla pełnej przejrzystości. Transfery danych płatniczych do USA Stripe realizuje jako odrębny administrator na podstawie własnych mechanizmów (DPF/SCC — stripe.com/legal/dpa). Zasady przetwarzania: stripe.com/privacy.
Zmiany listy i prawo sprzeciwu
1. Lista może się zmieniać wraz z rozwojem usługi. O każdym planowanym dodaniu lub zastąpieniu podwykonawcy informujemy klientów aktywnie — e-mailem na adres konta — co najmniej 14 dni przed rozpoczęciem przetwarzania przez nowego podwykonawcę. Sam wpis na tej stronie nie zastępuje powiadomienia. 2. W przypadku uzasadnionego sprzeciwu wobec nowego podwykonawcy, którego nie da się rozwiązać w inny sposób, klientowi przysługuje prawo wypowiedzenia umowy bez kary, z proporcjonalnym zwrotem przedpłaconych opłat — na zasadach określonych w umowie powierzenia przetwarzania danych (superrank.pl/umowa-powierzenia); nie ogranicza to uprawnień ustawowych konsumentów i przedsiębiorców na prawach konsumenta. 3. W wyjątkowych przypadkach podyktowanych względami bezpieczeństwa (np. pilna wymiana dostawcy po incydencie) możemy zastąpić podwykonawcę z powiadomieniem niezwłocznym zamiast uprzedniego; pozostałe zasady, w tym prawo sprzeciwu, stosuje się odpowiednio.
Archiwum wersji
Archiwalne wersje niniejszego wykazu — z datami obowiązywania — udostępniamy poniżej oraz na żądanie (rodo@superrank.pl): — Wersja 1.2 — obowiązuje od 2 września 2026 r. (wersja bieżąca): dodanie podwykonawców PostHog (analityka produktowa) i Sentry (monitorowanie błędów) — zgodnie z §5 ust. 2 umowy powierzenia rozpoczną oni przetwarzanie nie wcześniej niż 16 września 2026 r., czyli po upływie 14 dni od zawiadomienia klientów; rozszerzenie zakresu wpisu Brevo o wysyłkę raportów cyklicznych na adresy odbiorców wskazane przez klienta (istniejący podwykonawca, nowy cel — bez zmiany podmiotu, więc bez 14-dniowego terminu). — Wersja 1.1 — obowiązywała od 31 sierpnia 2026 r. do 1 września 2026 r.: dodanie podwykonawcy Anthropic (silnik AI Claude). — Wersja 1.0 — obowiązywała od 28 lipca 2026 r. do 30 sierpnia 2026 r. Pytania dotyczące wykazu prosimy kierować na adres rodo@superrank.pl.