Podwykonawcy
Wersja 1.0 · Data ostatniej aktualizacji: 28 lipca 2026 r.
Pełna lista podmiotów, z których usług korzystamy przy świadczeniu usługi i którym powierzamy przetwarzanie danych (podwykonawcy w rozumieniu art. 28 ust. 2 i 4 RODO) — wraz z siedzibą, rolą, regionem przetwarzania danych i mechanizmem legalizującym ewentualny transfer poza Europejski Obszar Gospodarczy.
| Podmiot | Siedziba | Rola / zakres przetwarzania | Region przetwarzania | Mechanizm transferu |
|---|---|---|---|---|
| Supabase, Inc. | USA (hosting danych: region UE) | baza danych, uwierzytelnianie użytkowników, magazyn plików (archiwa odpowiedzi) | UE (Irlandia); możliwy incydentalny dostęp wsparcia technicznego z USA | standardowe klauzule umowne (SCC) |
| Vercel, Inc. | USA | hosting aplikacji — funkcje uruchamiane w regionie fra1 | UE (Frankfurt, fra1); metadane platformy w USA | DPF + SCC |
| API Hero Ltd (Trigger.dev) | Wielka Brytania | orkiestracja zadań w tle (harmonogram monitoringu); do logów wykonań trafiają wyłącznie spseudonimizowane identyfikatory techniczne — bez treści promptów, odpowiedzi ani danych umożliwiających identyfikację przez dostawcę; klucz powiązania pozostaje wyłącznie w bazie w EOG | Wielka Brytania; logi: AWS us-east-1 (USA) | decyzja adekwatności KE dla Zjednoczonego Królestwa; dalsze podpowierzenie (AWS): SCC |
| OpenAI Ireland Ltd / OpenAI, L.L.C. | Irlandia / USA | zapytania monitorujące do silnika ChatGPT (API z wyszukiwaniem internetowym); API nie wykorzystuje danych do trenowania modeli | USA | DPF + SCC |
| Perplexity AI, Inc. | USA | zapytania monitorujące do silnika Perplexity (API sonar) | USA | standardowe klauzule umowne (SCC) |
| Google Ireland Ltd / Google LLC | Irlandia / USA | zapytania monitorujące do silnika Gemini — wyłącznie płatne API, które nie wykorzystuje danych do trenowania modeli | USA / UE | DPF + SCC |
| DataForSEO OÜ | Estonia (UE) | pobieranie wyników Google AI Overviews (google.pl) | UE | nie dotyczy (podmiot w UE) |
| Brevo (Sendinblue SAS) | Francja (UE) | wysyłka e-maili transakcyjnych i powiadomień | UE | nie dotyczy (podmiot w UE) |
| Fakturownia sp. z o.o. | Polska | wystawianie faktur VAT i przekazywanie faktur ustrukturyzowanych do KSeF | Polska | nie dotyczy |
| Cloudflare (Cloudflare, Inc.) | USA | DNS domeny oraz przekierowywanie przychodzącej korespondencji e-mail (pomoc@, kontakt@, rodo@, faktury@) | globalna sieć (spółka z USA) | DPF + SCC |
| Google Ireland Ltd / Google LLC | Irlandia / USA | obsługa i przechowywanie skrzynki odbiorczej przychodzącej korespondencji e-mail (pomoc@, kontakt@, rodo@, faktury@) | UE / USA | DPF + SCC |
Odrębni administratorzy
Płatności (karty, BLIK) obsługuje Stripe — Stripe Payments Europe, Ltd. (Irlandia) oraz Stripe, Inc. (USA). W odniesieniu do danych płatniczych Stripe działa w przeważającej mierze jako odrębny administrator danych (m.in. zapobieganie oszustwom płatniczym i obowiązki z zakresu przeciwdziałania praniu pieniędzy) — nie jest podwykonawcą przetwarzania w rozumieniu art. 28 RODO; wskazujemy go tutaj dla pełnej przejrzystości. Transfery danych płatniczych do USA Stripe realizuje jako odrębny administrator na podstawie własnych mechanizmów (DPF/SCC — stripe.com/legal/dpa). Zasady przetwarzania: stripe.com/privacy.
Zmiany listy i prawo sprzeciwu
1. Lista może się zmieniać wraz z rozwojem usługi. O każdym planowanym dodaniu lub zastąpieniu podwykonawcy informujemy klientów aktywnie — e-mailem na adres konta — co najmniej 14 dni przed rozpoczęciem przetwarzania przez nowego podwykonawcę. Sam wpis na tej stronie nie zastępuje powiadomienia. 2. W przypadku uzasadnionego sprzeciwu wobec nowego podwykonawcy, którego nie da się rozwiązać w inny sposób, klientowi przysługuje prawo wypowiedzenia umowy bez kary, z proporcjonalnym zwrotem przedpłaconych opłat — na zasadach określonych w umowie powierzenia przetwarzania danych (superrank.pl/umowa-powierzenia); nie ogranicza to uprawnień ustawowych konsumentów i przedsiębiorców na prawach konsumenta. 3. W wyjątkowych przypadkach podyktowanych względami bezpieczeństwa (np. pilna wymiana dostawcy po incydencie) możemy zastąpić podwykonawcę z powiadomieniem niezwłocznym zamiast uprzedniego; pozostałe zasady, w tym prawo sprzeciwu, stosuje się odpowiednio.
Archiwum wersji
Archiwalne wersje niniejszego wykazu — z datami obowiązywania — udostępniamy poniżej oraz na żądanie (rodo@superrank.pl): — Wersja 1.0 — obowiązuje od 28 lipca 2026 r. (wersja bieżąca). Pytania dotyczące wykazu prosimy kierować na adres rodo@superrank.pl.