Podmioty przetwarzające
Rachivo dostarcza Sevenlabs P.S.A. Wobec biur rachunkowych, które korzystają z panelu, jesteśmy podmiotem przetwarzającym: biuro decyduje, jakie dane swoich klientów wprowadza, a my przetwarzamy je wyłącznie na jego polecenie i w zakresie umowy z biurem. Wobec osób, które proszą o demo lub zakładają konto, jesteśmy administratorem ich danych kontaktowych i danych konta.
Do świadczenia usługi korzystamy z trzech dostawców infrastruktury. Każdy z nich ma dostęp do danych tylko w zakresie potrzebnym do swojej usługi i każdy jest związany umową powierzenia (DPA), do której prowadzi link w tabeli. Nie korzystamy z innych podmiotów przetwarzających.
Lista dostawców
| Podmiot | Usługa | Jakie dane | Gdzie | Podstawa przekazania |
|---|---|---|---|---|
| Vercel Vercel Inc., USA DPA dostawcy | Hosting aplikacji: uruchamianie kodu serwera, sieć brzegowa (CDN) i terminacja TLS, dzienniki żądań, magazyn plików Vercel Blob (dokumenty klientów i logotypy biur). | Wszystkie dane przetwarzane przez aplikację w chwili obsługi żądania; pliki dokumentów i logotypy w magazynie Blob; adresy IP i nagłówki żądań w dziennikach. | Frankfurt (region fra1) dla kodu serwera i magazynu plików; sieć brzegowa globalna (żądanie trafia do najbliższego punktu obecności). | Certyfikat EU-U.S. Data Privacy Framework (wraz z UK Extension i Swiss-U.S. DPF) według polityki prywatności dostawcy; dodatkowo standardowe klauzule umowne (moduły 1–3) w DPA dostawcy. |
| Neon Neon, LLC (spółka zależna Databricks, Inc.), USA DPA dostawcy | Baza danych PostgreSQL, w której aplikacja przechowuje wszystkie rekordy. | Wszystkie dane w bazie: konta użytkowników, dane klientów biur i ich reprezentantów, umowy, wiadomości, należności, dzienniki zdarzeń. | Frankfurt (AWS, region eu-central-1). | Certyfikat EU-U.S. Data Privacy Framework — Databricks wymienia Neon, LLC wśród podmiotów objętych certyfikatem; dodatkowo standardowe klauzule umowne (moduły 2 i 3) i UK Addendum w DPA Databricks. |
| Resend Plus Five Five, Inc., USA DPA dostawcy | Wysyłka wiadomości e-mail z adresu w domenie mail.tax-dms.sevenlabs.pl: zaproszenia, resety hasła, potwierdzenia adresu, przypomnienia o terminach, powiadomienia, prośby o demo. | Adres e-mail odbiorcy, temat i treść wiadomości (nazwa biura, linki do ustawienia hasła, tytuły powiadomień, kwoty i terminy w przypomnieniach), dane z formularza demo (imię, nazwa biura, e-mail, telefon). | USA (region us-east-1) — region wysyłki jest ustawiany dla domeny przy jej dodaniu i nie został jeszcze potwierdzony; do czasu potwierdzenia lub przeniesienia do regionu eu-west-1 (Irlandia) ujawniamy przetwarzanie w USA. | Standardowe klauzule umowne (moduły 1–3) w DPA dostawcy (§6.2); dostawca deklaruje w DPA (§11.1) zgodność z EU-U.S. Data Privacy Framework i UK Extension. |
Podstawę przekazania każdego dostawcy sprawdziliśmy na jego własnych stronach prawnych (DPA, polityka prywatności, lista podwykonawców) w dniu podanym niżej. Przy każdym wpisie podajemy nazwę podmiotu w brzmieniu z jego DPA.
Poza EOG
Wszyscy nasi dostawcy są spółkami ze Stanów Zjednoczonych. Dane w bazie i pliki dokumentów pozostają we Frankfurcie, ale sam fakt, że dostawca ma siedzibę poza EOG, oznacza, że jego personel może mieć do nich dostęp spoza EOG — na przykład w ramach wsparcia technicznego — a dzienniki sieci brzegowej Vercel powstają w punkcie obecności najbliższym osobie odwiedzającej serwis. Wysyłka e-mail przez Resend odbywa się dziś z regionu w USA, dopóki nie potwierdzimy lub nie przeniesiemy domeny do regionu w Irlandii.
Każdy z dostawców deklaruje na swoich stronach zgodność z EU-U.S. Data Privacy Framework, a każdy DPA zawiera standardowe klauzule umowne przyjęte przez Komisję Europejską jako mechanizm zapasowy. Kolumna „Podstawa przekazania" mówi, co dokładnie oferuje który dostawca.
Czego nie ma na liście
- GitHub przechowuje wyłącznie kod źródłowy aplikacji; nie trafiają tam żadne dane osobowe.
- Cloudflare obsługuje tylko DNS domeny tax-dms.sevenlabs.pl, bez proxy — ruch użytkowników nie przechodzi przez jego serwery.
- Sentry nie jest włączone na produkcji. Gdyby zostało, najpierw pojawi się na tej liście.
Zmiany
Ostatnia zmiana tej listy: . Data zmienia się przy każdym dodaniu, usunięciu lub zmianie wpisu. Zasady uprzedzania biur o zmianach i prawo sprzeciwu zostaną ustalone w umowie powierzenia z biurem; do tego czasu o zmianach informuje wyłącznie data na tej stronie.
Kontakt
Pytania: biuro@sevenlabs.pl