Umowa powierzenia przetwarzania danych osobowych
Wersja 8 — obowiązuje od 3.10.2026.
§ 1. Strony i zawarcie Umowy
1. Niniejsza umowa powierzenia przetwarzania danych osobowych, dalej „Umowa Powierzenia", zostaje zawarta pomiędzy: 1. klientem korzystającym z Konta Firmowego, oznaczonym danymi podanymi w Koncie, działającym jako administrator danych osobowych, dalej „Administratorem"; a 2. Mirosławem Żuczkowskim, prowadzącym działalność nierejestrowaną na podstawie art. 5 ust. 1 ustawy — Prawo przedsiębiorców, adres: 50-323 Wrocław, ul. Kluczborska 12/4, e-mail: kontakt@skrzynek.pl, działającym pod marką SKRZYNEK.pl, dalej „Podmiotem Przetwarzającym". 2. Umowa Powierzenia stanowi część umowy o świadczenie Usługi SKRZYNEK.pl i zostaje zawarta w formie elektronicznej poprzez wyraźną akceptację przez osobę uprawnioną do działania w imieniu Administratora. 3. Osoba akceptująca Umowę Powierzenia oświadcza, że jest uprawniona do związania Administratora jej treścią. 4. W razie sprzeczności pomiędzy Umową Powierzenia a Regulaminem w zakresie ochrony danych osobowych powierzonych przez Administratora pierwszeństwo ma Umowa Powierzenia.
§ 2. Definicje
1. Pojęcia „dane osobowe", „przetwarzanie", „administrator", „podmiot przetwarzający", „naruszenie ochrony danych osobowych" i „organ nadzorczy" mają znaczenie nadane im w rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2016/679 („RODO"). 2. „Usługa" oznacza usługę SKRZYNEK.pl polegającą w szczególności na połączeniu ze skrzynką pocztową Administratora, pobieraniu nowych wiadomości, przygotowywaniu przy użyciu wybranego modelu AI propozycji odpowiedzi oraz umożliwieniu ich wysłania dopiero po ręcznym zatwierdzeniu przez uprawnionego użytkownika. 3. „Dalszy Podmiot Przetwarzający" oznacza podmiot zaangażowany przez Podmiot Przetwarzający do przetwarzania powierzonych danych osobowych w imieniu Administratora. 4. „Dokumentowane Polecenie" oznacza polecenie Administratora wynikające z umowy o świadczenie Usługi, ustawień Konta, czynności wykonanych w interfejsie Usługi, korespondencji ze zweryfikowanego adresu Administratora lub innej utrwalonej dyspozycji Administratora.
§ 3. Przedmiot i czas trwania przetwarzania
1. Administrator powierza Podmiotowi Przetwarzającemu przetwarzanie danych osobowych w zakresie niezbędnym do świadczenia Usługi. 2. Szczegółowy opis przedmiotu, charakteru, celu i zakresu przetwarzania, kategorii osób i rodzajów danych zawiera Załącznik nr 1. 3. Przetwarzanie trwa od chwili podłączenia skrzynki pocztowej lub przekazania pierwszych danych do Usługi do chwili zakończenia świadczenia Usługi i usunięcia albo zwrotu danych zgodnie z § 13. 4. Umowa Powierzenia wygasa po usunięciu lub zwrocie wszystkich powierzonych danych, z wyjątkiem danych, których dalsze przechowywanie wynika z prawa, oraz danych pozostających czasowo w prawidłowo zabezpieczonych kopiach zapasowych zgodnie z § 13.
§ 4. Polecenia Administratora
1. Podmiot Przetwarzający przetwarza dane wyłącznie na Dokumentowane Polecenie Administratora, w tym w zakresie przekazywania danych do państwa trzeciego lub organizacji międzynarodowej, chyba że obowiązek przetwarzania wynika z prawa Unii Europejskiej lub prawa polskiego. 2. Jeżeli obowiązek przetwarzania wynika z prawa, Podmiot Przetwarzający informuje Administratora o tym wymogu przed rozpoczęciem przetwarzania, o ile prawo nie zabrania przekazania takiej informacji ze względu na ważny interes publiczny. 3. Jeżeli zdaniem Podmiotu Przetwarzającego polecenie narusza RODO lub inne przepisy o ochronie danych, Podmiot Przetwarzający niezwłocznie informuje o tym Administratora i może wstrzymać wykonanie polecenia do czasu jego wyjaśnienia lub zmiany. 4. Podmiot Przetwarzający nie wykorzystuje powierzonych danych do własnych celów marketingowych ani do trenowania własnych modeli AI. 5. Podmiot Przetwarzający nie podejmuje w imieniu Administratora decyzji wywołujących skutki prawne lub podobnie istotnie wpływających na osoby fizyczne. Propozycje odpowiedzi są materiałem pomocniczym i wymagają ręcznego zatwierdzenia przez użytkownika.
§ 5. Obowiązki Administratora
1. Administrator odpowiada za zgodność z prawem przetwarzania danych w swojej skrzynce pocztowej, w szczególności za: 1. posiadanie właściwych podstaw prawnych przetwarzania; 2. wykonanie obowiązków informacyjnych wobec osób, których dane dotyczą; 3. zgodność poleceń wydawanych Podmiotowi Przetwarzającemu z prawem; 4. nadanie dostępu do Konta wyłącznie osobom uprawnionym; 5. ocenę, czy Usługa jest odpowiednia do kategorii i ryzyka przetwarzanych danych; 6. prawidłowe skonfigurowanie skrzynki, zakresu dostępu oraz — jeżeli korzysta z własnego klucza API — wyboru jego dostawcy. 2. Administrator nie będzie świadomie wykorzystywał Usługi do przetwarzania danych, dla których zastosowanie Usługi jest zabronione prawem albo wymaga zabezpieczeń, których Usługa zgodnie z jej dokumentacją nie zapewnia. 3. Administrator zachowuje odpowiedzialność za treść oraz wysłanie każdej odpowiedzi zatwierdzonej w Usłudze.
§ 6. Poufność i personel
1. Podmiot Przetwarzający zapewnia, aby osoby upoważnione do przetwarzania danych zobowiązały się do zachowania poufności albo podlegały odpowiedniemu ustawowemu obowiązkowi poufności. 2. Dostęp do powierzonych danych otrzymują wyłącznie osoby, dla których jest on niezbędny do świadczenia, zabezpieczenia lub wsparcia Usługi. 3. Podmiot Przetwarzający nadaje, zmienia i odbiera uprawnienia zgodnie z zasadą minimalnego niezbędnego dostępu. 4. Obowiązek poufności pozostaje w mocy po zakończeniu współpracy danej osoby z Podmiotem Przetwarzającym oraz po wygaśnięciu Umowy Powierzenia.
§ 7. Bezpieczeństwo przetwarzania
1. Uwzględniając stan wiedzy technicznej, koszt wdrażania, charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych, Podmiot Przetwarzający stosuje odpowiednie środki techniczne i organizacyjne wymagane przez art. 32 RODO. 2. Minimalny opis środków zawiera Załącznik nr 2. Załącznik może być aktualizowany, jeżeli zmiana nie obniża ogólnego poziomu bezpieczeństwa Usługi. 3. Dane uwierzytelniające do skrzynek pocztowych i klucze API są chronione kryptograficznie. Szczegółowy sposób ochrony nie jest ujawniany w zakresie, w jakim mogłoby to obniżyć bezpieczeństwo Usługi. 4. Podmiot Przetwarzający regularnie ocenia skuteczność istotnych zabezpieczeń oraz usuwa stwierdzone podatności proporcjonalnie do ich ryzyka. 5. Podmiot Przetwarzający nie gwarantuje bezwzględnego bezpieczeństwa systemów informatycznych, lecz zobowiązuje się utrzymywać zabezpieczenia adekwatne do ryzyka i reagować na incydenty.
§ 8. Dalsze powierzenie
1. Administrator udziela Podmiotowi Przetwarzającemu ogólnej zgody na korzystanie z Dalszych Podmiotów Przetwarzających wskazanych w aktualnej liście stanowiącej Załącznik nr 3. 2. Podmiot Przetwarzający poinformuje Administratora pocztą elektroniczną lub trwałym komunikatem w Koncie o planowanym dodaniu albo zastąpieniu Dalszego Podmiotu Przetwarzającego co najmniej 14 dni przed rozpoczęciem przez niego przetwarzania powierzonych danych. 3. Informacja będzie określała co najmniej nazwę podmiotu, zakres powierzanych czynności, kategorie danych, przewidywane miejsce przetwarzania oraz — gdy dotyczy — podstawę transferu poza EOG. 4. Administrator może w terminie 14 dni od otrzymania informacji zgłosić uzasadniony sprzeciw dotyczący ochrony danych na adres kontakt@skrzynek.pl. 5. Strony podejmą w dobrej wierze próbę usunięcia przyczyn sprzeciwu. Jeżeli nie będzie to możliwe, Podmiot Przetwarzający może: 1. nie korzystać z kwestionowanego podmiotu w odniesieniu do Administratora, jeżeli jest to technicznie i gospodarczo możliwe; 2. zaproponować rozwiązanie alternatywne; albo 3. umożliwić Administratorowi rozwiązanie umowy w zakresie usługi, której dotyczy sprzeciw, bez dodatkowej opłaty za wcześniejsze zakończenie. 6. Podmiot Przetwarzający nakłada na Dalszy Podmiot Przetwarzający, w drodze umowy lub innego wiążącego instrumentu, obowiązki ochrony danych co najmniej równoważne obowiązkom wynikającym z niniejszej Umowy Powierzenia w zakresie powierzonych mu czynności. 7. Podmiot Przetwarzający pozostaje odpowiedzialny wobec Administratora za wykonanie obowiązków ochrony danych przez Dalszego Podmiotu Przetwarzającego w zakresie wynikającym z RODO.
§ 9. Transfery poza Europejski Obszar Gospodarczy
1. Podmiot Przetwarzający może przekazywać powierzone dane poza EOG wyłącznie na Dokumentowane Polecenie Administratora oraz przy zapewnieniu podstawy wymaganej przez rozdział V RODO. 2. W zależności od odbiorcy podstawą transferu może być w szczególności: 1. decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony; 2. ważny certyfikat odbiorcy w ramach EU–US Data Privacy Framework, w zakresie objętym certyfikacją; 3. standardowe klauzule umowne przyjęte przez Komisję Europejską wraz z wymaganymi środkami uzupełniającymi; 4. inny mechanizm zgodny z art. 46–49 RODO. 3. Konkretna podstawa dla każdego Dalszego Podmiotu Przetwarzającego zostanie wskazana w Załączniku nr 3 po jej zweryfikowaniu. 4. Samo wskazanie siedziby dostawcy w EOG nie przesądza, że wszystkie czynności jego poddostawców odbywają się w EOG.
§ 10. Pomoc w realizacji praw osób
1. Uwzględniając charakter przetwarzania, Podmiot Przetwarzający w miarę możliwości pomaga Administratorowi poprzez odpowiednie środki techniczne i organizacyjne w realizacji obowiązków związanych z prawami osób, których dane dotyczą. 2. Jeżeli żądanie osoby dotyczące powierzonych danych wpłynie bezpośrednio do Podmiotu Przetwarzającego, przekaże on żądanie Administratorowi bez zbędnej zwłoki i nie udzieli merytorycznej odpowiedzi bez polecenia Administratora, chyba że obowiązek odpowiedzi wynika z prawa. 3. Administrator odpowiada za ocenę zasadności żądania i treść odpowiedzi. 4. Pomoc standardowo dostępna w funkcjach Usługi jest świadczona bez dodatkowej opłaty. Niestandardowa pomoc wymagająca znacznego nakładu pracy może być odpłatna po wcześniejszym uzgodnieniu, o ile potrzeba pomocy nie wynika z naruszenia obowiązków Podmiotu Przetwarzającego.
§ 11. Naruszenia ochrony danych
1. Podmiot Przetwarzający powiadomi Administratora o stwierdzonym naruszeniu ochrony powierzonych danych bez zbędnej zwłoki po uzyskaniu wiarygodnej informacji o naruszeniu. Przy ocenie, czy zawiadomienie nastąpiło bez zbędnej zwłoki, uwzględnia się czas niezbędny do wstępnej weryfikacji technicznej zdarzenia oraz okoliczność, że Usługa jest prowadzona przez jedną osobę. 2. Pierwsze zgłoszenie może mieć charakter wstępny. W miarę ustalania okoliczności informacje mogą być przekazywane etapami bez zbędnej zwłoki. 3. W zakresie dostępnym w danym momencie powiadomienie zawiera: 1. opis charakteru naruszenia, w tym możliwe kategorie i przybliżoną liczbę osób oraz rekordów; 2. znane lub prawdopodobne konsekwencje; 3. środki zastosowane lub proponowane w celu zaradzenia naruszeniu i ograniczenia jego skutków; 4. punkt kontaktowy do dalszych ustaleń. 4. Podmiot Przetwarzający dokumentuje naruszenie i współpracuje z Administratorem w zakresie niezbędnym do wykonania obowiązków z art. 33 i 34 RODO. 5. Administrator odpowiada za ocenę ryzyka oraz dokonanie zgłoszenia organowi nadzorczemu i zawiadomienie osób, chyba że prawo stanowi inaczej.
§ 12. Ocena skutków, konsultacje i zgodność
1. Uwzględniając charakter przetwarzania i dostępne informacje, Podmiot Przetwarzający pomaga Administratorowi w wywiązywaniu się z obowiązków z art. 32–36 RODO, w tym w przeprowadzeniu oceny skutków dla ochrony danych i uprzednich konsultacji. 2. Podmiot Przetwarzający udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO, z uwzględnieniem ochrony tajemnic, bezpieczeństwa innych klientów i integralności systemów.
§ 13. Zakończenie przetwarzania, usunięcie i zwrot danych
1. Po zakończeniu świadczenia Usługi Podmiot Przetwarzający — według wyboru Administratora wyrażonego przed usunięciem Konta — usuwa dane albo udostępnia ich zwrot w zakresie funkcji eksportu dostępnych w Usłudze, a następnie usuwa istniejące kopie, chyba że prawo wymaga dalszego przechowywania. 2. Usunięcie Konta powoduje niezwłoczne uruchomienie usuwania danych z aktywnej bazy danych zgodnie z mechanizmem aplikacji. Administrator powinien wykonać potrzebny eksport przed potwierdzeniem usunięcia Konta. 3. Plan Supabase używany obecnie przez Usługodawcę nie obejmuje automatycznych kopii zapasowych projektu. Usługodawca prowadzi zamiast tego ręczną, cotygodniową kopię zapasową (zrzut schematu i danych) przechowywaną lokalnie poza infrastrukturą Supabase. Usunięcie danych z aktywnej bazy nie powoduje automatycznego usunięcia ich z takiej ręcznej kopii wykonanej przed usunięciem — do czasu następnej rotacji kopii dane usunięte mogą tam pozostawać. Przechowywanych jest maksymalnie 8 najnowszych kopii tygodniowych (około 2 miesięcy wstecz) — starsze kopie są usuwane przy okazji wykonywania kolejnej cotygodniowej kopii. Kopie nie są przywracane do zwykłego użycia ani przetwarzane w innych celach niż odtworzenie systemu po awarii, zapewnienie bezpieczeństwa lub wykonanie obowiązku prawnego. 4. Po przywróceniu kopii zapasowej proces usunięcia danych wcześniej usuniętych z systemu aktywnego zostanie ponownie zastosowany. 5. Dane, które Podmiot Przetwarzający przetwarza jako odrębny administrator, w szczególności dokumentacja rozliczeniowa, dowody zawarcia umowy, logi bezpieczeństwa lub dane niezbędne do obrony roszczeń, nie podlegają niniejszemu paragrafowi i są przechowywane zgodnie z Polityką prywatności oraz prawem.
§ 14. Audyty
1. Administrator może nie częściej niż raz w roku żądać informacji lub przeprowadzenia audytu dotyczącego przetwarzania powierzonych danych, chyba że: 1. doszło do naruszenia dotyczącego jego danych; 2. organ nadzorczy nakazał audyt; albo 3. istnieją uzasadnione podstawy wskazujące na istotne naruszenie Umowy Powierzenia. 2. W pierwszej kolejności Podmiot Przetwarzający może przedstawić aktualną dokumentację bezpieczeństwa, wyniki audytów, certyfikaty lub odpowiedzi na kwestionariusz. 3. Audyt na miejscu wymaga co najmniej 14 dni wcześniejszego zawiadomienia, odbywa się w godzinach pracy, nie może zakłócać świadczenia Usługi ani naruszać poufności lub bezpieczeństwa innych klientów. 4. Audytor nie może być bezpośrednim konkurentem Podmiotu Przetwarzającego i musi podlegać obowiązkowi poufności. 5. Administrator ponosi uzasadnione koszty niestandardowego audytu, chyba że audyt wykaże istotne naruszenie przez Podmiot Przetwarzający obowiązków z Umowy Powierzenia. 6. Ograniczenia z niniejszego paragrafu nie naruszają uprawnień organu nadzorczego.
§ 15. Odpowiedzialność i postanowienia końcowe
1. Każda ze Stron odpowiada za własne obowiązki wynikające z RODO i Umowy Powierzenia. 2. Postanowienia Regulaminu dotyczące odpowiedzialności stosuje się w zakresie dozwolonym przez art. 82 RODO i bez ograniczania praw osób, których dane dotyczą, ani kompetencji organu nadzorczego. 3. Zmiana Umowy Powierzenia wymagająca akceptacji Administratora jest komunikowana na trwałym nośniku. Zmiany czysto redakcyjne, aktualizacja danych kontaktowych lub środków bezpieczeństwa nieobniżająca ich poziomu mogą być komunikowane zgodnie z Regulaminem. 4. Prawem właściwym jest prawo polskie, z uwzględnieniem bezwzględnie obowiązujących przepisów RODO i prawa Unii Europejskiej. 5. Kontakt w sprawach ochrony danych: kontakt@skrzynek.pl.
Załącznik nr 1 — opis przetwarzania
1. Przedmiot i cel
Zapewnienie działania Usługi, w szczególności: połączenie ze skrzynką pocztową przez IMAP/SMTP; pobieranie i analiza nowych wiadomości; przygotowanie propozycji odpowiedzi z wykorzystaniem wybranego modelu AI; wyświetlenie propozycji uprawnionemu użytkownikowi; wysłanie wiadomości dopiero po ręcznym zatwierdzeniu; bezpieczeństwo, diagnostyka i wsparcie Usługi.
2. Charakter operacji
Pozyskiwanie, utrwalanie, organizowanie, przechowywanie, przeglądanie, wykorzystywanie, przesyłanie, udostępnianie wybranym Dalszym Podmiotom Przetwarzającym, ograniczanie i usuwanie.
3. Kategorie osób
Użytkownicy i personel Administratora; klienci, potencjalni klienci, kontrahenci i ich personel; nadawcy i odbiorcy wiadomości; osoby wskazane w treści wiadomości i załączników; inne osoby, których dane Administrator umieszcza lub otrzymuje w skrzynce.
4. Rodzaje danych
Imiona, nazwiska, nazwy i stanowiska; adresy e-mail, numery telefonów, identyfikatory i dane kontaktowe; treść wiadomości, nagłówki, historia korespondencji i załączniki (obsługiwane: PDF/DOCX/XLSX przechowywane jako oryginalne pliki, dostępne do pobrania/otwarcia wyłącznie właścicielowi skrzynki, ich treść nie jest przekazywana do AI; JPG/PNG/WEBP pokazywane w podglądzie, również nie wysyłane do AI — zweryfikowane w kodzie, worker/src/zalaczniki.ts); dane dotyczące działalności, zamówień, wsparcia i relacji handlowych; adresy IP, identyfikatory urządzeń, logi operacyjne i bezpieczeństwa; dane dostępowe do skrzynki oraz klucze API — przechowywane w postaci zabezpieczonej kryptograficznie; inne dane zawarte przez Administratora lub osoby trzecie w korespondencji, potencjalnie również dane szczególnych kategorii i dane z art. 10 RODO.
5. Czas przetwarzania
Przez okres obowiązywania umowy o Usługę oraz okres usuwania i rotacji kopii zapasowych wskazany w § 13, z uwzględnieniem okresów wymaganych prawem dla danych przetwarzanych przez Podmiot Przetwarzający we własnej roli administratora.
Załącznik nr 2 — środki techniczne i organizacyjne
1. Szyfrowanie transmisji z użyciem aktualnych protokołów TLS, zapewniane na poziomie platformy hostingowej. 2. Szyfrowanie danych uwierzytelniających IMAP/SMTP i kluczy API z wykorzystaniem usługi zarządzania kluczami w chmurze (Google Cloud KMS, region europe-west1, Belgia). 3. Oddzielenie kluczy szyfrujących od zaszyfrowanych danych — klucz przechowywany w usłudze zarządzania kluczami, baza danych przechowuje wyłącznie szyfrogram. 4. Kontrola dostępu oparta na rolach i zasadzie minimalnego niezbędnego dostępu, w tym separacja logiczna danych poszczególnych klientów na poziomie bazy danych (row-level security) oraz ograniczone uprawnienia procesów technicznych Usługi. 5. Uwierzytelnianie wieloskładnikowe (MFA) na kontach administracyjnych dostawców infrastruktury wykorzystywanych do obsługi Usługi. 6. Rejestrowanie zdarzeń bezpieczeństwa bez celowego zapisywania haseł, kluczy API ani pełnej treści wiadomości. 7. Bieżące zarządzanie podatnościami i aktualizacjami zależności — automatyczne propozycje aktualizacji, każda zatwierdzana ręcznie przed wdrożeniem. 8. Kopie zapasowe — opisane szczegółowo w § 13 ust. 3. Odtworzenie z kopii zostało przetestowane 2026-10-03 w odizolowanym środowisku, z wynikiem pozytywnym (zgodność danych i uprawnień z systemem produkcyjnym); test jest powtarzany co najmniej raz na kwartał. 9. Kanał zgłaszania i eskalacji incydentów bezpieczeństwa (automatyczne alerty techniczne) oraz spisana wewnętrzna procedura obsługi incydentów bezpieczeństwa. 10. Automatyczne usuwanie danych i odbieranie dostępów po usunięciu Konta. 11. Ograniczenie danych przesyłanych do modeli AI do zakresu koniecznego do przygotowania odpowiedzi (nadawca, temat, treść wiadomości i kontekst firmy Administratora). 12. Zakaz używania powierzonych danych do trenowania modeli przez Podmiot Przetwarzający. Co do samych dostawców modeli (stan sprawdzony 2026-09-20, źródła: openai.com/policies/how-your-data-is-used-to-improve-model-performance, privacy.claude.com/articles/7996868, docs.mistral.ai/admin/security-access/privacy): - OpenAI (model "luna") — interfejs API (odróżniony od ChatGPT) domyślnie nie wykorzystuje danych wejścia/wyjścia do trenowania modeli. - Anthropic (model "haiku") — produkty komercyjne, w tym API, nie trenują na danych domyślnie; gwarancja kontraktowa zawarta w DPA Anthropic. - Google Gemini (model "flash") — konto Usługodawcy korzysta z płatnego poziomu API (Paid Services); dane z API nie są wykorzystywane do ulepszania ani trenowania modeli. - Mistral AI (model "small") — opcja wykorzystania wywołań API do trenowania modeli oraz modele Labs są wyłączone na koncie Usługodawcy. 13. Żaden z powyższych dostawców nie ma włączonego Zero Data Retention — standardowa retencja krótkoterminowa (rzędu ok. 30 dni, do monitorowania nadużyć) nadal obowiązuje u każdego z nich. Brak treningu na danych to osobna kwestia od przechowywania danych — nie należy przedstawiać danych jako w ogóle nieprzechowywanych przez tych dostawców. 14. Ręczne zatwierdzenie każdej odpowiedzi przed wysłaniem — brak automatycznego wysyłania.
Załącznik nr 3 — Dalsze Podmioty Przetwarzające
Lista jest aktualna na dzień wskazany przy każdym wpisie (mechanizmy transferu i linki do list poddostawców sprawdzone 2026-09-22). O zmianach tej listy Usługodawca informuje Administratora zgodnie z § 8. Poddostawcy zaangażowani bezpośrednio przez wymienione niżej podmioty podlegają ich własnym, publicznie dostępnym i na bieżąco aktualizowanym listom poddostawców wskazanym przy każdym wpisie.
Supabase Pte. Ltd. (Singapur, podmiot umowny w DPA Supabase, supabase.com/legal/dpa) — baza danych i usługi zaplecza — treść i metadane wiadomości, dane Konta, zaszyfrowane dane dostępowe — region eu-west-1, Irlandia. Transfer poza EOG: standardowe klauzule umowne (Moduł Drugi, administrator–podmiot przetwarzający) wraz z dodatkiem UK i szwajcarskim. Aktualna lista poddostawców: supabase.com/legal/customer-resources/subprocessor-list — obowiązkowy.
Cloudflare, Inc. (USA, podmiot umowny w DPA Cloudflare również dla klientów z UE) — uruchamianie aplikacji na Cloudflare Workers, transmisja i bezpieczeństwo — dane przetwarzane przez aplikację, potencjalnie treść wiadomości. Ograniczenie regionu wykonania Workers do UE ("Regional Services") jest dostępne wyłącznie w planie Enterprise Cloudflare, niedostępnym na obecnym planie Usługodawcy — aplikacja wykonuje się domyślnie na dowolnym węźle globalnej sieci Cloudflare. Transfer poza EOG: standardowe klauzule umowne UE (Moduł Drugi/Trzeci) oraz, w zakresie objętym certyfikacją, udział Cloudflare w EU–US Data Privacy Framework — obowiązkowy.
netcup GmbH, Emmy-Noether-Str. 10, 76131 Karlsruhe, Niemcy (część grupy Anexia) — serwer obsługujący pobieranie wiadomości z podłączonych skrzynek (worker/poller IMAP) — treść i metadane wiadomości w tranzycie, dane techniczne — Niemcy, EOG, bez przekazywania poza EOG. Treść wiadomości nie jest zapisywana trwale na tym serwerze — potwierdzone przeglądem kodu: proces pobierający pocztę nie wykonuje żadnego trwałego zapisu do pliku, dane przechodzą przez pamięć między pobraniem a przekazaniem do dalszego przetwarzania — obowiązkowy.
Google Cloud Poland Sp. z o.o., Rondo Daszyńskiego 2C, 00-843 Warszawa (podmiot umowny Google dla Google Cloud Platform przy polskim adresie rozliczeniowym, cloud.google.com/terms/google-entity) — usługa zarządzania kluczami (KMS), szyfrowanie i odszyfrowywanie danych dostępowych i kluczy — wyłącznie klucze i materiał kryptograficzny, bez treści wiadomości — europe-west1, Belgia. Transfer poza EOG: standardowe klauzule umowne Google Cloud oraz udział Google LLC w EU–US, Swiss–US Data Privacy Framework i brytyjskim rozszerzeniu DPF (cloud.google.com/terms/data-processing-addendum, policies.google.com/privacy/frameworks). Aktualna lista poddostawców: cloud.google.com/terms/subprocessors — obowiązkowy.
OpenAI Ireland Limited, 1st Floor, The Liffey Trust Centre, 117-126 Sheriff Street Upper, Dublin 1, D01 YC43, Irlandia (podmiot umowny DPA OpenAI dla klientów z EOG i Szwajcarii, openai.com/policies/data-processing-addendum) — API tekstowe (model "luna") — generowanie propozycji odpowiedzi — treść wiadomości i kontekst firmy. Transfer poza EOG: standardowe klauzule umowne Komisji Europejskiej z 4 czerwca 2021 r., uzupełnione UK International Data Transfer Addendum dla transferów z Wielkiej Brytanii. Retencja: dane przesłane przez API (odróżnione od ChatGPT) są przechowywane maksymalnie 30 dni, a następnie usuwane, poza przypadkami wymaganymi prawem; tryb Zero Data Retention jest dostępny wyłącznie po indywidualnym zatwierdzeniu przez OpenAI i obecnie nie jest wykorzystywany — obowiązkowy, używany zawsze, chyba że Administrator poda własny klucz API innego dostawcy (niezależnie od planu).
Anthropic PBC, 548 Market Street, PMB 90375, San Francisco, CA 94104, USA (podmiot umowny DPA Anthropic, trust.anthropic.com) — API (model "haiku") — generowanie propozycji odpowiedzi — treść wiadomości i kontekst firmy. Transfer poza EOG: standardowe klauzule umowne (Moduł Drugi/Trzeci) zgodnie z DPA Anthropic. Retencja podczas aktywnego korzystania z API — patrz ogólna uwaga w Załączniku nr 2 pkt 13 (krótkoterminowa retencja rzędu ok. 30 dni, do wykrywania nadużyć); po zakończeniu umowy Anthropic usuwa dane w ciągu 30 dni — opcjonalny, wyłącznie gdy Administrator poda własny klucz API tego dostawcy, niezależnie od planu.
Google Cloud Poland Sp. z o.o. (ten sam podmiot umowny co wyżej — płatny poziom Gemini Developer API / AI Studio jest przetwarzany na podstawie Google Cloud Data Processing Addendum) — Gemini Developer API / AI Studio (model "flash") — generowanie propozycji odpowiedzi — treść wiadomości i kontekst firmy. Transfer poza EOG i lista poddostawców: jak w pozycji Google Cloud/KMS wyżej (ai.google.dev/gemini-api/terms, cloud.google.com/terms/data-processing-addendum) — opcjonalny, wyłącznie gdy Administrator poda własny klucz API tego dostawcy, niezależnie od planu.
Mistral AI SAS, 117 Quai de Valmy, 75010 Paryż, Francja, nr rejestru handlowego (Trade register Paris) 952 418 325 (podmiot umowny DPA Mistral AI, legal.mistral.ai) — API "La Plateforme" (model "small") — generowanie propozycji odpowiedzi — treść wiadomości i kontekst firmy — Francja/UE. Transfer poza EOG: standardowe klauzule umowne, stosowane w zakresie, w jakim poddostawcy Mistral AI przetwarzają dane poza EOG. Aktualna lista poddostawców: trust.mistral.ai/subprocessors — opcjonalny, wyłącznie gdy Administrator poda własny klucz API tego dostawcy, niezależnie od planu.
Podmioty niewpisywane do tego załącznika bez dodatkowej przyczyny
Stripe — otrzymuje wyłącznie dane rozliczeniowe klienta, a nie dane powierzone ze skrzynki; opisany w Polityce prywatności według faktycznej roli, nie w wykazie podprocesorów treści skrzynki.
Resend — wysyła wiadomości e-mail Usługodawcy: potwierdzenia zawarcia umowy do Użytkowników (adres e-mail Użytkownika, nazwa i cena Planu lub Pakietu oraz załącznik z treścią Regulaminu) oraz wewnętrzne powiadomienia administracyjne (alerty); nie otrzymuje powierzonych danych ze skrzynki; opisany w Polityce prywatności, nie w tym załączniku.
Telegram FZ-LLC — wysyła wyłącznie wewnętrzne powiadomienia administracyjne Usługodawcy o zdarzeniach w Usłudze (np. nowa rejestracja, usunięcie konta, płatność); nie otrzymuje powierzonych danych ze skrzynki ani adresów e-mail Użytkowników, a jedynie techniczne identyfikatory (np. identyfikator klienta Stripe); opisany w Polityce prywatności, nie w tym załączniku.
VH.pl — obsługuje firmową pocztę Usługodawcy (kontakt@/pomoc@skrzynek.pl). Poczta na kontakt@ to korespondencja, w której Usługodawca jest administratorem we własnym imieniu (kontakt od klientów/zainteresowanych w sprawach obsługi, nie treść skrzynek pocztowych klientów Usługi). Skrzynka pomoc@skrzynek.pl jest dodatkowo podłączona do samej Usługi (jedno z kont aplikacji) — VH.pl jest więc dla niej dostawcą hostingu poczty źródłowej, z której Usługa pobiera wiadomości, nie podprocesorem skrzynek innych klientów Usługi.