Załącznik nr 1 do DPA — podprocesorzy

Wersja 1.3.0 (rew. 1) · Obowiązuje od 21 września 2026.

SHA-256: 3e2b630692cd…

3e2b630692cd6776cc0194a49846067cf600be4c92c8457514e73bc5e13c8516

Załącznik nr 1 do DPA - Lista podprocesorów Akta CRM

Wersja: 1.3.0 (rewizja 1)

Data aktualizacji: 4 września 2026 r.

Numeracja: podany wyżej numer wersji pochodzi z rejestru rewizji dokumentów prawnych i jest tym samym numerem, który wraz z sumą kontrolną SHA-256 zapisywany jest w potwierdzeniu prawnym Kancelarii. Wcześniejsze wydania tego dokumentu były dodatkowo oznaczane odrębną numeracją redakcyjną (ostatnio „1.7”); numeracja ta jest historyczna, nie jest numerem wersji dokumentu i nie jest dalej prowadzona.

Podmiot przetwarzający: Yaraslau Lahinouski, osoba fizyczna świadcząca usługę Akta CRM

Kontakt: [email protected]

Niniejszy dokument stanowi Załącznik nr 1 do Umowy powierzenia przetwarzania danych osobowych zawartej pomiędzy Yaraslau Lahinouski a Kancelarią. Jest doręczany elektronicznie przy zawarciu umowy i publikowany pod adresem aktacrm.com/dpa/annex-1.

1. Podprocesorzy

Podprocesor i adres siedziby	Usługa i cel	Zakres danych	Jurysdykcja podmiotu	Lokalizacja przetwarzania	Podstawa umowna i transferowa
Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513	Baza danych, uwierzytelnianie i komunikacja czasu rzeczywistego	Dane kont, klientów, pracodawców, spraw, zadań oraz metadane dokumentów i audytu; bez samych plików	Singapur — spółka będąca stroną umowy; polityka prywatności dostawcy wskazuje jednak jako administratora Supabase, Inc., spółkę stanu Delaware (Stany Zjednoczone). Zobacz uwagę pod tabelą	Sztokholm, Szwecja (eu-north-1)	DPA Supabase; standardowe klauzule umowne dla operacji poza EOG
Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, Stany Zjednoczone	Prywatne przechowywanie dokumentów i ich kopii zapasowych (R2)	Pliki PDF, JPG i PNG, dokumenty wygenerowane w systemie oraz techniczne identyfikatory obiektów	Stany Zjednoczone, stan Delaware	Jurysdykcja Unii Europejskiej dla zasobników produkcyjnych i zapasowych	Cloudflare Customer DPA; standardowe klauzule umowne dla operacji poza EOG
Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, Stany Zjednoczone	Ochrona publicznych formularzy przed automatami (Turnstile)	Adres IP, parametry przeglądarki i sygnały antybotowe; bez treści CRM i dokumentów	Stany Zjednoczone, stan Delaware	Globalna infrastruktura brzegowa Cloudflare	Cloudflare Customer DPA i właściwy mechanizm transferowy
Clever Cloud SAS, 4 rue Voltaire, 44000 Nantes, Francja	Hosting aplikacji i funkcji serwerowych oraz uruchamianie zadań zaplanowanych	Dane żądań, dane sesji i metadane techniczne; treści CRM mogą być przetwarzane przejściowo, w tym dane z art. 9 i 10 RODO	Francja	Warszawa, Polska (strefa wsw), na infrastrukturze OVHcloud jako sub-podprocesora	DPA Clever Cloud; przetwarzanie w EOG
Upstash, Inc., adres siedziby nieustalony	Ograniczanie liczby żądań i ochrona przed nadużyciami	Pseudonimizowane klucze limitów, identyfikatory techniczne i znaczniki czasu; bez treści spraw i dokumentów	Stany Zjednoczone, stan Delaware	Frankfurt, Niemcy (eu-central-1)	DPA Upstash; standardowe klauzule umowne dla operacji poza EOG
Plus Five Five, Inc. (Resend), 2261 Market Street #5039, San Francisco, CA 94114, Stany Zjednoczone	Poczta transakcyjna: zaproszenia, potwierdzenia prawne, wiadomości o terminach i bezpieczeństwie	Imię, nazwisko i adres e-mail odbiorcy, nazwa kancelarii, rola, jednorazowy link lub token, identyfikator wiadomości i metadane doręczenia; bez akt spraw, dokumentów i treści CRM	Stany Zjednoczone; stan inkorporacji nieustalony	Stany Zjednoczone	DPA Resend; standardowe klauzule umowne wzmocnione certyfikacją EU-U.S. Data Privacy Framework

Kolumna „Jurysdykcja podmiotu” wskazuje prawo, któremu podlega sam podprocesor jako spółka. Kolumna „Lokalizacja przetwarzania” wskazuje miejsce, w którym leżą powierzone mu dane. Są to dwie różne informacje i odpowiedź na jedną nie przesądza odpowiedzi na drugą: podprocesor podlegający prawu państwa trzeciego może otrzymać żądanie organu tego państwa również wtedy, gdy dane przetwarza wyłącznie w Europejskim Obszarze Gospodarczym. Kolumna nie zmienia żadnego stanu faktycznego ani żadnego zobowiązania Usługodawcy — ujawnia stan, żeby Kancelaria mogła go uwzględnić we własnej ocenie z art. 28 ust. 1 RODO. Adres podany przy nazwie podprocesora jest adresem jego siedziby i również nie wskazuje miejsca przetwarzania danych; podano go dlatego, że do identyfikacji podprocesora sama nazwa nie wystarcza.

Zakres zobowiązań podprocesorów wobec żądania organu władzy publicznej państwa trzeciego nie jest jednakowy — stwierdza to § 10a ust. 6 DPA, a niniejszy załącznik wskazuje, kogo to dotyczy, ponieważ to on opisuje skład podprocesorów. Stan podany niżej wynika z umów zawartych z poszczególnymi podprocesorami, w brzmieniu na dzień aktualizacji podany w nagłówku. Cloudflare, Inc. zobowiązał się w swojej umowie zawiadomić Usługodawcę o żądaniu niezwłocznie, chyba że zawiadomienie jest prawnie zabronione; zobowiązania tego nie stosuje się, gdy dostawca w dobrej wierze uzna żądanie za konieczne z uwagi na sytuację nagłą grożącą śmiercią lub poważnym uszczerbkiem na zdrowiu, i wtedy zawiadamia po ujawnieniu. Plus Five Five, Inc. (Resend) zobowiązał się, jeżeli zostanie zmuszony do ujawnienia danych organowi władzy publicznej, niezwłocznie zawiadomić Usługodawcę o żądaniu, chyba że prawo tego zabrania, oraz współdziałać z nim w rozsądnym zakresie, żeby mógł wystąpić o ochronę prawną; zobowiązanie to dotyczy przekazań poza EOG, a w tej usłudze one występują. Supabase Pte. Ltd. i Upstash, Inc. odrębnej klauzuli o żądaniu organu w swoich umowach nie zawarły; ich zobowiązanie do zawiadomienia wynika wyłącznie z klauzuli 15.1 lit. a) standardowych klauzul umownych wskazanych w kolumnie „Podstawa umowna i transferowa” i obejmuje wyłącznie dane przekazane na ich podstawie. Clever Cloud SAS podlega prawu francuskiemu i nie jest podmiotem państwa trzeciego, a jego umowa opiera się na klauzulach umownych między administratorem a podmiotem przetwarzającym, które klauzuli o dostępie organów nie zawierają. Stan przy dostawcy modelu opisano w sekcji 2 i jest on inny niż u każdego z powyższych. Żaden z tych zapisów nie oznacza, że dane zostaną albo nie zostaną ujawnione, ani że podprocesor odmówi wykonania żądania, zakwestionuje je albo je zaskarży; opisują one wyłącznie to, do czego podprocesor zobowiązał się wobec Usługodawcy. Co Usługodawca robi z zawiadomieniem, które sam otrzyma, określa § 10a ust. 4 DPA.

Przy Supabase podano oba fakty znane Usługodawcy, ponieważ nie rozstrzyga on ich za dostawcę. Stroną umowy jest Supabase Pte. Ltd., spółka singapurska — tak stanowi regulamin dostawcy. Polityka prywatności tego samego dostawcy nazywa natomiast administratorem danych Supabase, Inc., spółkę zarejestrowaną w stanie Delaware. Kancelaria potrzebuje obu tych faktów, a nie jednego z nich, żeby ocenić łańcuch przetwarzania bazy danych.

Dwie wartości oznaczono jako nieustalone zamiast je zgadywać. Stan inkorporacji Plus Five Five, Inc. nie jest wskazany w żadnym dokumencie prawnym tego dostawcy — ani w regulaminie, ani w warunkach dla klientów korporacyjnych, ani w polityce prywatności, ani w podpisanej umowie powierzenia; jedyny wymieniony tam stan, Kalifornia, jest prawem właściwym umowy, a nie stanem inkorporacji. Adres siedziby Upstash, Inc. nie jest wskazany, ponieważ regulamin tego dostawcy podaje do doręczeń wyłącznie adres poczty elektronicznej. Usługodawca uzupełni obie wartości, gdy uzyska je od dostawcy, i zrobi to w trybie zmiany niniejszego załącznika.

Dane spraw, klientów i dokumentów są przechowywane i przetwarzane w Europejskim Obszarze Gospodarczym: baza danych i metadane u Supabase w Sztokholmie, pliki dokumentów w zasobnikach Cloudflare R2 o jurysdykcji unijnej, aplikacja i zadania zaplanowane u Clever Cloud w Warszawie, a techniczne dane ograniczania liczby żądań u Upstash we Frankfurcie. Poza EOG wychodzą natomiast trzy rodzaje przekazań. Po pierwsze — dane kontaktowe odbiorcy niezbędne do wysłania wiadomości, przekazywane do Stanów Zjednoczonych (Resend). Po drugie — adres IP, parametry przeglądarki i sygnały antybotowe sprawdzane przy wysłaniu formularza publicznego, przetwarzane na globalnej infrastrukturze brzegowej Cloudflare (Turnstile); adres IP jest daną osobową, a infrastruktura ta nie jest ograniczona do EOG. Po trzecie — operacje poza EOG po stronie Supabase, Cloudflare i Upstash, dla których podstawą są standardowe klauzule umowne wskazane w kolumnie „Podstawa umowna i transferowa”; Załącznik wskazuje ich podstawę transferu, a nie twierdzi, że nie występują. Dwa pierwsze przekazania nie obejmują treści akt sprawy ani plików dokumentów, co wynika z kolumny „Zakres danych”. Ocena każdego przekazania poza EOG jest udostępniana Administratorowi na żądanie. Dla dostawców warunkowych z sekcji 2 lokalizację przetwarzania i podstawę transferu wskazano odrębnie w tej sekcji; przy włączonych funkcjach AI część podprocesorów dostawcy może przejściowo przetwarzać powierzone im dane poza EOG.

2. Dostawcy warunkowi

Poniższe usługi są używane wyłącznie po włączeniu odpowiedniej funkcji przez Kancelarię. Przed włączeniem Administrator otrzymuje informację o roli dostawcy, zakresie danych i mechanizmie transferu.

Dostawca i adres siedziby	Kiedy jest używany	Zakres danych	Rola i warunki
Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlandia, lub Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, Stany Zjednoczone	Logowanie personelu przez konto Google	Imię, nazwisko, adres e-mail i identyfikator konta Google	Warunki Google oraz DPA i standardowe klauzule umowne, jeżeli Google działa jako podmiot przetwarzający
Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlandia, lub Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, Stany Zjednoczone	Integracja skrzynki Gmail włączona przez Kancelarię	Treść i metadane wiadomości, adresaci, wątki i załączniki w zakresie autoryzowanym przez użytkownika	Kancelaria zachowuje własną relację z Google; Akta CRM przetwarza dane wyłącznie w zakresie udzielonej autoryzacji
Mistral AI (Mistral SAS), 15 rue des Halles, 75001 Paryż, Francja	Funkcje AI włączone przez Kancelarię — pięć przepływów danych do modelu dostawcy: (1) podsumowania spraw, klientów i pracodawców, czyli skrócony opis jednego rekordu; (2) czat z asystentem odpowiadającym na pytania o te dane; (3) projekt oceny w konsultacji wstępnej — robocze podsumowanie sytuacji klienta i rekomendacje oparte na liście ustaleń, przeznaczone do weryfikacji przez prawnika; (4) podpowiedź mapowania kolumn pliku importu, czyli dopasowanie nagłówków wczytywanego pliku do pól systemu; (5) odczyt obrazu strony dokumentu tożsamości, czyli przekazanie obrazu jednej strony wskazanej przez użytkownika po to, żeby model odczytał z niej tekst; przepływ (5) wymaga odrębnej zgody Kancelarii, niezależnej od włączenia pozostałych Funkcji AI, i domyślnie jest wyłączony	Zakres jest wyznaczony osobno dla każdego z pięciu przepływów. W przepływach (1)-(4), które przekazują pola rekordów, zakres nie obejmuje numeru PESEL, numerów dokumentów tożsamości, daty i miejsca urodzenia, danych adresowych rozumianych jako adres zamieszkania i korespondencyjny, danych z art. 9 i 10 RODO ani tytułu i celu pobytu sprawy. Przepływy (1) i (2): wąski, zminimalizowany zakres danych sprawy, klienta lub pracodawcy, w tym imię i nazwisko, dane kontaktowe klienta w postaci adresu e-mail i numeru telefonu oraz obywatelstwo, a także treść pytań zadanych asystentowi. Przepływ (3): te same dane klienta, etykieta typu sprawy, zamknięty zestaw sześciu pól ankiety wstępnej obejmujący podstawę pobytu, cel, zadeklarowanego pracodawcę, wcześniejszą odmowę, datę przyjazdu i termin pilny, oraz lista ustaleń złożona z nazw i kategorii pochodzących z katalogu wymagań Kancelarii i z etykiet statusu; pola opisowe konsultacji, opisy ustaleń i zaznaczenie wpisu w rejestrze karnym nie są przekazywane. Przepływ (4): wyłącznie nagłówki kolumn pliku importu i statystyki jego kształtu, to jest rodzaj wartości, zakres długości, maska znakowa, liczba wartości różnych, odsetek wypełnienia oraz odsetek wartości spełniających regułę sumy kontrolnej numeru PESEL, NIP albo REGON podany jako sam odsetek, bez żadnego z tych numerów; żadna wartość komórki pliku nie jest przekazywana. Przepływ (5): wyłącznie obraz jednej strony dokumentu, wskazanej przez użytkownika, przekazany w treści samego żądania, oraz numer tej strony i identyfikator modelu; nie jest przekazywane żadne pole kartoteki — ani imię, ani nazwisko, ani identyfikator klienta, sprawy, użytkownika czy Kancelarii. Pod względem pól rekordu jest to zakres węższy niż w przepływach (1)-(4), ponieważ nie obejmuje ich w ogóle. Nie jest to natomiast wyłączenie kategorii wymienionych wyżej: obraz nie jest filtrowany i zawiera to, co dokument na tej stronie drukuje — w tym numer dokumentu, datę i miejsce urodzenia, obywatelstwo, wizerunek twarzy i podpis, a na niektórych dokumentach numer PESEL; Usługodawca nie jest w stanie zapewnić, że na przekazanej stronie nie znajdzie się dana należąca do kategorii z art. 9 albo art. 10 RODO. Obraz jest przekazywany wyłącznie w treści żądania; Usługodawca nie korzysta u tego dostawcy z interfejsów przechowujących pliki — "Files", przetwarzania wsadowego, agentów, konwersacji ani bibliotek — które dostawca wyłącza spod zerowej retencji. Odczytany tekst nie jest u Usługodawcy zapisywany w żadnej kolumnie, pamięci podręcznej ani wpisie audytowym. Treść pytania zadanego asystentowi, treść pliku importu i obraz strony dokumentu pochodzą od Kancelarii i to Kancelaria decyduje, co w nich umieszcza	DPA Mistral. Dostawca potwierdził pisemnie 10 sierpnia 2026 r., że zapis "Special categories of personal data: None" w jego DPA nie stanowi zakazu przekazywania danych z art. 9 i 10 RODO, przy czym do tej kategorii stosuje wyłącznie swoje standardowe środki bezpieczeństwa, bez środków dodatkowych. Wnioskowanie odbywa się na regionalnym endpoincie unijnym dostawcy; dostawca wskazał jednocześnie, że część jego podprocesorów może przejściowo przetwarzać dane poza EOG na podstawie standardowych klauzul umownych. Umowa z tym dostawcą nie zawiera klauzuli o żądaniu organu władzy publicznej państwa trzeciego. Przewidziany w niej moduł czwarty standardowych klauzul umownych stosuje się wyłącznie wtedy, gdy klient dostawcy ma siedzibę w państwie leżącym poza Europejskim Obszarem Gospodarczym i nieobjętym decyzją Komisji Europejskiej stwierdzającą odpowiedni stopień ochrony; Usługodawca ma siedzibę w Polsce, więc warunek ten nie jest spełniony, a innego modułu ta umowa nie przewiduje. Niezależnie od tego w module czwartym podmiotem przekazującym jest dostawca, a odbierającym jego klient, więc obowiązki dotyczące dostępu organów obciążałyby w nim Usługodawcę, a nie dostawcę. Dostawca nie zobowiązał się zatem wobec Usługodawcy do zawiadomienia go o takim żądaniu i nie obowiązuje tu klauzula 15.1 lit. a) standardowych klauzul umownych. Standardowe klauzule umowne, o których mowa wyżej, wiążą dostawcę z jego własnymi podprocesorami, a nie dostawcę z Usługodawcą; wynikające z nich zawiadomienie trafiłoby do dostawcy, a nie do Usługodawcy ani do Kancelarii. Umowa zawiera natomiast ogólne zobowiązanie odpowiadające art. 28 ust. 3 lit. a) RODO: jeżeli dostawca będzie musiał przetwarzać dane poza poleceniem klienta z mocy prawa, któremu podlega, poinformuje klienta o tym wymogu prawnym, chyba że prawo tego zabrania albo sprzeciwiają się temu ważne względy interesu publicznego; nie jest to zobowiązanie do zawiadomienia o żądaniu organu ani do wskazania jego treści. Nie oznacza to, że dostawca o żądaniu nie zawiadomi — może to zrobić dobrowolnie; oznacza, że się do tego nie zobowiązał. Listę tych podprocesorów Usługodawca odczytał 5 września 2026 r. Dostawca prowadzi ją pod adresem trust.mistral.ai/subprocessors; strona ta wymaga przeglądarki, a wcześniejsze próby jej odczytania — automatyczna i ręczna — nie powiodły się, a treści listy dostawca nie przysłał mimo wyraźnej prośby, choć pisemnie potwierdził 10 sierpnia 2026 r., że lista jest aktualna. Lista liczy 24 wiersze i tyle ich odczytano. Niniejszy załącznik nie powtarza całej tej tabeli: jest ona dokumentem dostawcy i zmienia się bez udziału Usługodawcy, a niniejszy załącznik zmienia się rewizją z czternastodniowym zawiadomieniem, więc przepisana tutaj tabela byłaby nieaktualna wcześniej niż dokument, który ją nosi; podano zatem adres listy, datę jej odczytania i to, co dla oceny Kancelarii z art. 28 ust. 1 oraz z art. 44 i art. 46 RODO jest istotne, a aktualne brzmienie listy Kancelaria może odczytać sama pod podanym adresem. Odczytanie listy nie jest wyłącznie dobrą wiadomością i nie jest tu tak przedstawiane. Wśród 24 wierszy są podmioty podlegające prawu Stanów Zjednoczonych, trzy wiersze podają jako miejsce przetwarzania "Worldwide", a jeden wiersz — "Mistral AI Affiliates" — nie podaje miejsca przetwarzania w ogóle. Spośród wierszy, które dostawca oznaczył jako dotyczące wszystkich swoich produktów, a więc również usług wykorzystywanych przez Akta CRM, poza EOG albo bez wskazanego miejsca są cztery: Cloudflare Inc. — kierowanie ruchem i ochrona, "Worldwide" z zastrzeżeniem "Local to Customer"; CrowdStrike Inc. — bezpieczeństwo, "EEA, United States"; Twilio Inc. — weryfikacja numeru telefonu, "United States"; oraz wspomniany wiersz "Mistral AI Affiliates". Pozostałe wiersze z tej grupy wskazują miejsca w Europejskim Obszarze Gospodarczym. Wiersze wskazujące Stany Zjednoczone przy usługach, których Akta CRM nie wywołuje — generowanie obrazów, wyszukiwanie w sieci, interpreter kodu, płatności oraz amerykański endpoint interfejsu programistycznego — a także wiersze przypisane wyłącznie do produktu "Vibe Code Web", dotyczą funkcji, z których Usługodawca nie korzysta. Przypisanie wierszy do produktów jest jednak w tabeli dostawcy zgrubne, a na pytanie, którzy podprocesorzy obsługują konkretnie wywołania wykorzystywane przez Akta CRM, dostawca nie odpowiedział; Usługodawca nie twierdzi zatem, że wie, którzy z 24 podprocesorów uczestniczą w pojedynczym żądaniu. Tabela dostawcy podaje ponadto miejsce przetwarzania, a nie jurysdykcję podmiotu, więc na pytanie, któremu prawu podlega dany podprocesor, nie odpowiada — a nazwy części tych podmiotów wskazują na spółki prawa amerykańskiego mimo unijnego miejsca przetwarzania; różnicę między tymi dwoma pytaniami opisano pod tabelą w sekcji 1. Uzyskanie listy usunęło przeszkodę, która dotąd uniemożliwiała ocenę skutków przekazania dla poszczególnych państw trzecich, czyli krok 3 zaleceń EDPB 01/2020. Usługodawca przeprowadził tę ocenę na podstawie odczytanej listy w takim zakresie, w jakim lista na to pozwala; niniejszy załącznik jej nie zawiera i jej treści nie powtarza — jest ona zapisana w prowadzonej przez Usługodawcę ocenie przekazań, a informacje niezbędne do wykazania zgodności z art. 28 RODO Usługodawca udostępnia Administratorowi zgodnie z § 6 pkt 7 DPA, na zasadzie wskazanej wyżej w sekcji 1 dla oceny każdego przekazania poza EOG. Oceny tej nie da się dziś dokończyć z czterech powodów, które od Usługodawcy nie zależą: jeden wiersz listy obejmuje wszystkie produkty dostawcy i nie podaje kraju przetwarzania, więc dla niego oceny prawa państwa trzeciego nie da się nawet rozpocząć; dostawca nie wskazał, którzy podprocesorzy obsługują wywołania używane przez Akta CRM, więc przypisanie wierszy do tych wywołań jest wnioskiem Usługodawcy, a nie oświadczeniem dostawcy; lista podaje funkcję podprocesora, a nie zakres danych, do których ma on dostęp, więc przy wierszach dotyczących kierowania ruchem, bezpieczeństwa i obsługi błędów Usługodawca nie wie, czy widzą one treść żądania, w tym obraz przekazany w przepływie (5); a treść klauzul umownych między dostawcą a jego podprocesorami, czyli narzędzia, którego skuteczność krok 3 każe ocenić, nie jest Usługodawcy znana i Usługodawca nie ma uprawnienia, żeby jej zażądać. Usługodawca nie zapewnia, że lista pozostanie dostępna ani że dostawca uzupełni brakujące w niej wartości — zależy to od dostawcy, a nie od niego; uruchomił natomiast u dostawcy subskrypcję powiadomień o dodaniu lub zastąpieniu podprocesora. Jeżeli którykolwiek z tych czterech braków zostanie usunięty, Usługodawca uzupełni ocenę i wskaże to w kolejnej wersji niniejszego załącznika, w trybie zmiany opisanym w sekcji 4. Kancelaria, włączając Funkcje AI, podejmuje tę decyzję znając te cztery braki; jest to ujawnione tutaj po to, żeby mogła to uwzględnić. Okres i cel przechowywania danych u dostawcy modelu, do których odsyła § 13 ust. 6 DPA, są następujące. Domyślnie, to jest przy wyłączonej opcji zerowej retencji, dane wejściowe i wyjściowe są przechowywane u dostawcy przez 30 dni kroczących na potrzeby monitorowania nadużyć, zgodnie z sekcją 5 jego polityki prywatności, i okres ten dotyczy również danych objętych żądaniem usunięcia. Umowa powierzenia zawarta z tym dostawcą uzależnia jednak dwa jego własne uprawnienia od nastaw konta klienta: jej sekcja 2.3 dopuszcza przetwarzanie danych przez dostawcę jako administratora w celu automatycznej moderacji, w tym monitorowania nadużyć w interfejsach programistycznych, z zastrzeżeniem "except, in this last case, when zero data retention has been activated", oraz w celu trenowania jego modeli sztucznej inteligencji, z zastrzeżeniem "unless Customer is or has opted-out of training". W organizacji Usługodawcy u tego dostawcy zerowa retencja jest włączona, zgoda na wykorzystanie wywołań interfejsu programistycznego do trenowania modeli wyłączona, a modele "Labs" — których włączenie oznacza u tego dostawcy zgodę na trenowanie niezależnie od pozostałych ustawień — również wyłączone; Usługodawca sprawdził stan tych trzech nastaw w panelu dostawcy 6 września 2026 r. i to sprawdzenie jest jedyną podstawą niniejszego zdania. Dopóki nastawy pozostają w tym stanie, dostawca — według sekcji 5 swojej polityki prywatności i według obu zastrzeżeń z sekcji 2.3 swojej umowy — nie przechowuje danych wejściowych i wyjściowych na potrzeby monitorowania nadużyć i nie wykorzystuje ich do trenowania swoich modeli; 30-dniowy okres kroczący biegnie wtedy, gdy zerowa retencja jest wyłączona. Nie jest to zobowiązanie dostawcy ani gwarancja: nastawy są zmienialne w panelu przez samego Usługodawcę, dostawca może zmienić własne warunki i własną politykę prywatności, a jego umowa nie zobowiązuje go do utrzymania żadnej z tych nastaw ani do usunięcia danych na żądanie Kancelarii albo Usługodawcy w toku świadczenia usługi. Znaczenie tych nastaw jest natomiast takie, że umowa dostawcy sama czyni je warunkiem swojego uprawnienia: bez nich oba wymienione cele mieszczą się w tym, do czego dostawca zastrzegł sobie rolę administratora, a przy nich — nie. Po stronie Usługodawcy nic nie wykrywa przestawienia tych nastaw; są sprawdzane ręcznie. Jeżeli którakolwiek z nich przestanie obowiązywać, wraca stan domyślny opisany wyżej, a Usługodawca wskaże to w kolejnej wersji niniejszego załącznika, w trybie zmiany z sekcji 4. Ta sama sekcja 2.3 zawiera jeszcze jedno zastrzeżenie, niezależne od nastawy trenowania: jeżeli klient dostawcy przekaże mu ocenę odpowiedzi wbudowanymi przyciskami "thumbs up" albo "thumbs down", dostawca wykorzysta tę ocenę wraz z powiązanym wejściem i wyjściem do trenowania swoich modeli. Akta CRM nie ma funkcji oceniania odpowiedzi modelu i żadna taka ocena nie jest do dostawcy wysyłana, więc tą drogą wyłączenie trenowania nie jest uchylane. Odrębnie od powyższego umowa dostawcy stanowi w sekcji 10.1, że po zakończeniu świadczenia usług dostawca usunie albo zwróci klientowi dane osobowe przetwarzane w jego imieniu, zgodnie z własnymi zasadami usuwania, oraz że dane przestaną być dostępne po upływie trzydziestu dni od zakończenia dostępu klienta do produktów dostawcy. Funkcja nieaktywna do czasu jej włączenia przez Kancelarię

3. Odbiorcy, którzy nie otrzymują treści CRM

1. GitHub służy do przechowywania kodu, budowania i wdrażania aplikacji. Dane klientów ani dokumenty nie są tam umieszczane.

2. Google Analytics może działać na publicznej stronie wyłącznie po zgodzie użytkownika i nie otrzymuje treści formularzy CRM ani dokumentów klientów.

3. Publiczne rejestry firm mogą otrzymywać pojedyncze zapytania o NIP, KRS lub REGON. Ich status prawny wynika z właściwych przepisów i warunków danego rejestru; nie są podprocesorami Akta CRM.

4. Zasady zmian

1. Administrator udziela ogólnej zgody na podprocesorów wymienionych w sekcji 1.

2. O dodaniu lub zastąpieniu podprocesora Administrator zostanie poinformowany co najmniej 14 dni kalendarzowych wcześniej, na adres podany przy rejestracji. Wyjątkiem jest pilna zmiana wymagana dla bezpieczeństwa lub ciągłości działania; wówczas informacja zawiera uzasadnienie pilności.

3. Administrator może w tym terminie zgłosić uzasadniony sprzeciw dotyczący ochrony danych. Jeżeli Strony nie uzgodnią rozwiązania, Administrator może wyłączyć zależną funkcję albo zakończyć umowę.

4. Usługodawca nakłada na podprocesorów obowiązki odpowiadające art. 28 RODO i pozostaje odpowiedzialny wobec Administratora za prawidłowe wykonanie obowiązków podprocesora w zakresie wynikającym z art. 28 ust. 4 RODO.

5. Na uzasadnione żądanie Administrator może otrzymać kopię właściwych postanowień umowy z podprocesorem, z usunięciem informacji poufnych i handlowych.

6. Nowa wersja niniejszego załącznika zastępuje poprzednią bez ponownego zawierania DPA. Usługodawca przechowuje dowód doręczenia każdej wersji.

5. Retencja związana z infrastrukturą

Rodzaj danych	Maksymalny okres
Aktywne dane po zakończeniu współpracy	30 dni na eksport, zwrot albo usunięcie
Kopie zapasowe bazy danych	zgodnie z polityką dostawcy bazy danych
Kopie dokumentów w zasobniku zapasowym	90 dni od utworzenia kopii
Zminimalizowane zapisy bezpieczeństwa i dokumentacja incydentów, przetwarzane przez Usługodawcę jako odrębnego administratora	24 miesiące po zakończeniu współpracy, następnie usunięcie lub anonimizacja