Wersja 1.2. Data ostatniej zmiany: 2026-11-01.
1. Podmioty przetwarzające dane na nasze polecenie
| podmiot | usługa | dane | kraj przetwarzania | podstawa przekazania poza EOG | zobowiązania i różnice wobec Umowy powierzenia |
|---|
| Cloudflare, Inc., 101 Townsend St, San Francisco, USA (umowa i DPA: cloudflare.com/cloudflare-customer-dpa; lista dalszych podmiotów: cloudflare.com/gdpr/subprocessors) | przekazywanie ruchu do naszego serwera i ochrona przed botami (Turnstile) | adres IP, dane techniczne wysyłane razem z zapytaniami, cechy przeglądarki; treść zapytań w drodze | sieć globalna, UE i USA | EU-U.S. Data Privacy Framework; gdyby certyfikacja wygasła, standardowe klauzule umowne (moduł 2) z DPA Cloudflare | Naruszenia „bez zbędnej zwłoki”; zmiany dalszych podmiotów ogłaszane na jego liście |
|---|
| Anthropic Ireland, Limited, Dublin (strona umowy dla klientów z EOG); warunki: anthropic.com/legal/commercial-terms, DPA: anthropic.com/legal/data-processing-addendum, lista dalszych podmiotów: anthropic.com/subprocessors | model językowy do generowania projektów planów, dokumentów i list akceptacji | tekst wskazany do generowania (materiał źródłowy, prompt, dokumenty planu) oraz pola szablonu projektu, w tym nazwa Organizacji i nazwa projektu; bez adresów e-mail i identyfikatorów kont | Irlandia (umowa); USA i kraje dalszych podmiotów Anthropic (przetwarzanie przez Anthropic, PBC) | od nas brak przekazania poza EOG: umowa z Anthropic Ireland, Limited; dalsze przekazanie do Anthropic, PBC (USA, nie figuruje na liście DPF) wykonuje i zabezpiecza Anthropic Ireland standardowymi klauzulami umownymi (DPA sekcja C i I) i odpowiada za nie wobec nas | nie trenuje modeli na danych klientów (warunki komercyjne, sekcja B); usuwa wejścia i wyjścia w 30 dni, poza treścią oznaczoną jako naruszenie zasad użycia (do 2 lat; wyniki klasyfikacji do 7 lat) i danymi wymaganymi prawem; nowe dalsze podmioty: zawiadomienie i 15 dni na sprzeciw (DPA C.3), krócej niż nasze 30 dni; po końcu umowy featureloom z Anthropic usuwa dane w 30 dni z wyjątkami z DPA H.1 |
|---|
| Stripe Payments Europe, Limited, Dublin (dla EOG) i Stripe, LLC, USA; umowa powierzenia Stripe: stripe.com/legal/dpa | obsługa kasy, subskrypcji i zdarzeń płatności dla danych, które wysyłamy | identyfikator Organizacji i zakupu, to, co klient kupuje albo zmienia, waluta, kwota zwrotu, język kasy, identyfikator klienta Stripe | Irlandia, USA | EU-U.S. Data Privacy Framework oraz standardowe klauzule umowne w DPA Stripe | DPA Stripe pkt 2 i następne |
|---|
2. Odbiorcy, którzy nie są naszymi podmiotami przetwarzającymi
| podmiot | kiedy | dane | rola |
|---|
| Sold through Link, LLC („Link”) i Stripe, LLC, USA; stripe.com/privacy, link.com/terms | zakup abonamentu albo doładowanie salda | dane karty, adres rozliczeniowy i podatkowy, e-mail i nazwa podane w kasie; historia płatności | odrębny administrator; dane zakupu udostępnia nam w panelu (Polityka prywatności pkt 3) |
|---|
| Google Ireland Limited, Irlandia; policies.google.com/privacy | logowanie przez Google, gdy je wybierzesz | identyfikator Google, adres e-mail, potwierdzenie adresu, domena Workspace | odrębny administrator (dostawca tożsamości) |
|---|
| Cloudflare, Inc., USA; cloudflare.com/turnstile-privacy-policy | sprawdzenie Turnstile i sprawdzanie dla części ruchu, czy odwiedzający jest człowiekiem | dane z tych sprawdzeń (adres IP, odcisk TLS, przeglądarka) | odrębny administrator w celu ulepszania wykrywania botów |
|---|
| Slack Technologies Limited, Irlandia (dla obszarów roboczych spoza USA i Kanady) albo Slack Technologies, LLC, USA; slack.com/trust/privacy | tylko gdy Organizacja włączy integrację | nazwy planów i projektów, fragmenty pytań do 300 znaków, nazwa wyświetlana osoby | podmiot przetwarzający Organizacji, na jej koncie Slack |
|---|
| dostawca modelu agenta osoby i każdy program łączący się przez MCP, który osoba albo Organizacja podłączy konsolą albo kluczem automatu | tylko gdy osoba albo Organizacja podłączy agenta | dokumenty planów, promptów i epików, projekty, notatki, pytania i odpowiedzi, nazwy osób i Organizacji, które agent pobiera przez MCP albo API | odbiorca wybrany przez osobę albo Organizację, na jej własnej umowie z dostawcą agenta |
|---|