Dalsze podmioty przetwarzające

Niniejsza lista stanowi załącznik 3 do umowy powierzenia przetwarzania danych i jest częścią środków technicznych i organizacyjnych.

1. Krótka odpowiedź

W udzielaniu odpowiedzi na pytanie nie uczestniczy żadna osoba trzecia. Skrypt answely.js wysyła dane wyłącznie do własnej infrastruktury Answely, a model językowy działa na własnym sprzęcie w Łodzi w Polsce – AI działa wyłącznie na serwerach w UE i nic nie trafia do zewnętrznej usługi AI. Nie ma dostawcy hostingu ani usług chmurowych obsługującego działanie usługi.

Dane, które Answely przetwarza w imieniu swoich klientów, docierają do osób trzecich tylko w dwóch przypadkach:

Nocna kopia zewnętrzna wszystkich baz danych serwera jest przechowywana w Google Cloud Storage w Warszawie. Przed przesłaniem jest szyfrowana na własnym serwerze, łącznie z nazwami plików i katalogów; klucze posiada wyłącznie operator. Google nie może odczytać treści, pozostaje jednak dalszym podmiotem przetwarzającym – szyfrowanie odbiera Google dostęp do treści, ale nie rolę.
E-maile do klientów są wysyłane za pośrednictwem Namecheap Private Email w USA. Dane powierzone zawiera przede wszystkim miesięczny raport luk w wiedzy, który klienci mogą włączyć: zawiera on grupy zamaskowanych pytań. Wraz z tym raportem zamaskowane treści pytań opuszczają UE, na podstawie standardowych klauzul umownych UE. Bez raportu pytania i odpowiedzi z okienka odpowiedzi nie opuszczają UE.

Wszystkie pozostałe pozycje dotyczą konta klienta (płatności, e-maile) lub obsługi technicznej – nie danych odwiedzających strony internetowe naszych klientów.

2. Obecne dalsze podmioty przetwarzające i odbiorcy

Odbiorca	Cel	Kategorie danych	Miejsce	Podstawa
Google Ireland Limited (Google Cloud Storage)	Zewnętrzna kopia nocnej kopii zapasowej serwera	Pełna kopia wszystkich baz danych i katalogu WWW: konta, ustawienia i indeks stron, analizy okienka odpowiedzi, logotypy firm. Szyfrowana przed przesłaniem (rclone crypt, klucze wyłącznie u operatora), łącznie z nazwami plików i katalogów.	Polska (UE) – niepubliczna przestrzeń dyskowa w regionie europe-central2 (Warszawa), klasa przechowywania Standard	Powierzenie przetwarzania na podstawie warunków przetwarzania danych Google Cloud, zaakceptowanych dla projektu w chmurze.
Namecheap, Inc., Phoenix, Arizona, USA (Namecheap Private Email)	Wysyłka e-maili transakcyjnych do klientów i raportu luk w wiedzy; odbiór przychodzących e-maili na adresy w domenie @answely.com	Imię i nazwisko oraz adres e-mail odbiorcy, treść wiadomości: potwierdzenia, resetowanie hasła, ostrzeżenia o limitach, informacje o płatnościach, potwierdzenie usunięcia; w przypadku raportu luk w wiedzy grupy zamaskowanych pytań i logotyp firmy klienta; w przypadku wiadomości przychodzących ich treść	USA (państwo trzecie)	Data Processing Addendum Namecheap ze standardowymi klauzulami umownymi UE (art. 46 ust. 2 lit. c RODO), zaakceptowane w dniu 01.08.2026 dla konta podmiotu.
Stripe Payments Europe, Ltd.	Obsługa płatności, faktury, obliczanie podatku i portal klienta dla płatnych planów i pakietów dodatkowych	Wyłącznie dane konta klienta: adres e-mail, imię i nazwisko lub firma, adres w przypadku przedsiębiorców, kraj, rodzaj klienta, język, numer konta w Answely, zweryfikowany numer VAT UE. Dane kart i rachunków są wprowadzane po stronie Stripe i nigdy nie docierają do Answely. Nigdy dane odwiedzających.	Irlandia (UE); przekazywanie do Stripe, Inc., USA	Stripe Data Processing Agreement, zaakceptowane w dniu 01.08.2026 wraz z warunkami przy otwarciu konta; w odniesieniu do USA program ramowy UE-USA w zakresie ochrony danych (EU-US Data Privacy Framework), pomocniczo standardowe klauzule umowne.
Let's Encrypt (ISRG)	Wydawanie i odnawianie certyfikatów TLS	Wyłącznie nazwy domen; brak danych osobowych klientów lub odwiedzających	USA	Publiczny urząd certyfikacji; brak przetwarzania danych osobowych w imieniu administratora
Namecheap, Inc., Phoenix, Arizona, USA (rejestrator)	Rejestracja domeny answely.com i autorytatywny DNS	Wyłącznie dane domeny operatora; brak danych klientów lub odwiedzających. Poczta przychodząca nie przechodzi przez zarządzanie domeną, lecz przez Namecheap Private Email (wiersz powyżej).	USA	Umowa z rejestratorem; brak przetwarzania danych osobowych w imieniu administratora
Brak – działanie na własnym sprzęcie w Łodzi w Polsce, łącznie z komputerami z modelem językowym i modelem osadzeń	Obsługa strony internetowej, konta, usługi odpowiedzi, baz danych i AI	Wszystkie dane przetwarzane przez Answely	Polska (UE)	Nie dotyczy: brak przekazywania danych zewnętrznemu dostawcy hostingu. Łącze internetowe (Toya sp. z o.o., AS16342) służy wyłącznie do transmisji i jest w całości szyfrowane TLS; jego dostawca nie jest dalszym podmiotem przetwarzającym.

W zakresie przechowywania kopii zewnętrznych: kopie dzienne 7 dni, kopie tygodniowe 364 dni. Dane usunięte w działającym systemie mogą się w nich znajdować do czasu ich wygaśnięcia, w postaci zaszyfrowanej i wyłącznie na potrzeby odtworzenia po utracie danych; szczegóły w umowie powierzenia przetwarzania danych, sekcja 12.3.

Ściśle rzecz biorąc, Stripe nie jest w zakresie rozliczeń dalszym podmiotem przetwarzającym działającym w imieniu klientów, ponieważ za rozliczenia odpowiada sama Answely. Wiersz ten znajduje się tu mimo to, aby lista w pełni pokazywała, kto otrzymuje dane z otoczenia Answely.

3. Czego celowo nie ma na tej liście i dlaczego

Modele AI: Model językowy i model osadzeń działają na własnym sprzęcie w tej samej sieci wewnętrznej co serwer. Nie ma dostawcy AI, który otrzymywałby pytania, odpowiedzi lub treści.
Zapasowy dostawca modelu językowego: Dostawca z siedzibą i centrum danych we Francji jest przygotowany technicznie, ale nie jest używany; jego uruchomienie jest zablokowane. Zostałby wpisany na tę listę dopiero wtedy, gdy będzie przetwarzał dane wyłącznie w UE, umownie zobowiąże się do nietrenowania modeli i nieprzechowywania danych poza zakresem zapytania, a klienci zostaną poinformowani 30 dni wcześniej. Dostawcy spoza UE są wykluczeni.
reactive.chat: W przypadku stron z reactive.chat odpowiedzi pochodzą z jego bazy wiedzy. reactive.chat jest prowadzony przez ten sam podmiot prawny i dlatego nie jest osobą trzecią. Polityka prywatności, umowa powierzenia i wykaz dalszych podmiotów przetwarzających reactive.chat wyraźnie wskazują te odpowiedzi („Smart Answer”) jako usługę Answely.
consented.eu: Baner zgody na answely.com jest własnym produktem tego samego podmiotu prawnego. Na stronach internetowych klientów Answely odczytuje wyłącznie sygnał zgody w przeglądarce; do dostawcy narzędzia do zarządzania zgodami klienta nic nie jest wysyłane. consented.eu działa na tym samym serwerze w Łodzi co Answely.
formconfirmed: Ochrona formularzy publicznych na answely.com (logowanie, rejestracja, hasło, wsparcie, szybki test) to produkt formexposed należący do tego samego podmiotu i działający na tym samym serwerze w Łodzi co Answely. Dotyczy wyłącznie danych, za które sami odpowiadamy, a nie danych z okienka odpowiedzi na stronach klientów; szczegóły w punkcie 3.7 polityki prywatności.
Strony przeciwne wskazane przez samych klientów: instalacja WordPress, publiczne źródła danych na żywo, cele linków akcji i linków wsparcia, klienci AI korzystający z publicznego dostępu MCP oraz – po udostępnieniu – dostawcy logowania dla obszarów chronionych. Są one podłączane wyłącznie na polecenie klienta; stosunek umowny istnieje między klientem a danym operatorem.
Komisja Europejska (VIES): W przypadku przedsiębiorców Answely weryfikuje numer VAT UE w systemie VIES. Komisja jest przy tym samodzielnym administratorem, a nie podmiotem przetwarzającym.
Ustalanie lokalizacji: Kraj w statystykach strony answely.com jest ustalany na podstawie lokalnego pliku bazy danych na własnym serwerze. Żaden adres IP nie trafia do usługi geolokalizacji.
Telegram: W razie awarii oraz przy nowych zgłoszeniach do wsparcia na telefon operatora może zostać wysłany stały sygnał bez treści – bez nadawcy, tekstu wiadomości, pytania ani adresu IP. Ponieważ nie są przekazywane żadne dane osobowe, Telegram nie jest dalszym podmiotem przetwarzającym.
Google reCAPTCHA (Google Ireland Ltd., Dublin): Wyłącznie podczas awarii ochrony formularzy formconfirmed reCAPTCHA sprawdza zastępczo kolejne wysłanie danego formularza na answely.com (polityka prywatności 3.8). Google odpowiada samodzielnie za własne przetwarzanie i nie jest dalszym podmiotem przetwarzającym; dane odwiedzających strony naszych klientów nigdy nie trafiają w ten sposób do Google. Podobnych usług podmiotów trzecich nie stosujemy.

4. Zmiany niniejszej listy

Answely korzysta z usług dalszych podmiotów przetwarzających na podstawie ogólnego upoważnienia zawartego w umowie powierzenia przetwarzania danych. Zanim nowy dalszy podmiot przetwarzający rozpocznie przetwarzanie lub istniejący zostanie zastąpiony, Answely informuje klientów co najmniej 30 dni wcześniej e-mailem na adres konta. W tym terminie klient może wnieść sprzeciw z uzasadnionych przyczyn dotyczących ochrony danych; jeżeli sprzeciwu nie da się usunąć, może wypowiedzieć umowę w zakresie danej usługi.

Pozycje czysto techniczne bez powierzonych danych osobowych (na przykład urząd certyfikacji lub rejestrator) są aktualizowane bez wyprzedzenia i odnotowywane w tym miejscu.

5. Stan i wersja

Wersja 1.0, stan na 18.10.2026 – pierwsza opublikowana wersja; wersja 1.1, stan na 31.10.2026: dodano formconfirmed w punkcie 3.

W przypadku rozbieżności między wersjami językowymi wiążąca jest wersja angielska.