Podmioty przetwarzające
Data wejścia w życie: 2026-07-20
YAStuning OÜ korzysta z wymienionych poniżej podmiotów podprzetwarzających w celu świadczenia usługi ShopToAI. Każdy z nich jest związany umową powierzenia zgodną z art. 28 RODO. Aktualizujemy tę listę przed dodaniem lub zmianą podmiotu podprzetwarzającego, zgodnie z naszą Umową powierzenia.
Obecne podmioty podprzetwarzające
| Podmiot | Cel | Przetwarzane dane | Lokalizacja / zabezpieczenie |
|---|---|---|---|
| Hetzner Online GmbH | Hosting w chmurze: serwery aplikacji, baza danych i przechowywanie | Wszystkie dane usługi, w tym identyfikatory konta i rozliczeń, zaszyfrowane dane dostępowe sklepu, migawki katalogu i logi | Niemcy (EOG) - dane pozostają w EOG, brak przekazywania do państw trzecich |
| Stripe | Obsługa płatności i zarządzanie subskrypcjami | Identyfikatory konta/rozliczeń, ID klienta i subskrypcji Stripe; dane karty wprowadzane bezpośrednio w Stripe | USA / UE - SCC; ramy ochrony danych UE-USA |
| Google (Gemini API / AI Studio) | Wzbogacanie tekstu katalogu przez AI; zapytania monitoringu widoczności w AI | Wzbogacanie: nazwa produktu, SKU, bieżąca marka/kategoria, pierwsze ~300 znaków opisu. Monitoring: Monitoring marki: nazwa Twojej marki i konfigurowane przez Ciebie zapytania kategorii. Widoczność produktów: nazwa produktu, kategoria (albo marka samego produktu, gdy jej nie ma, a gdy nie ma żadnej z nich - to pole nie jest wysyłane) i jedna wartość atrybutu, wraz z rynkiem i językiem. Bez cen, SKU, GTIN, opisów i zdjęć. Nazwa marki sama w sobie może być daną osobową - firma jednoosobowej działalności zwykle zawiera imię i nazwisko właściciela. | USA (Google LLC), płatny poziom Gemini API - Twoje zapytania i odpowiedzi nie są używane do trenowania modeli Google. SCC; ramy ochrony danych UE-USA, gdy obejmują wykorzystywaną usługę |
| OpenAI | Wyłącznie dodatek monitoringu widoczności w AI | Monitoring marki: nazwa Twojej marki i konfigurowane przez Ciebie zapytania kategorii. Widoczność produktów: nazwa produktu, kategoria (albo marka samego produktu, gdy jej nie ma, a gdy nie ma żadnej z nich - to pole nie jest wysyłane) i jedna wartość atrybutu, wraz z rynkiem i językiem. Bez cen, SKU, GTIN, opisów i zdjęć. Nazwa marki sama w sobie może być daną osobową - firma jednoosobowej działalności zwykle zawiera imię i nazwisko właściciela. | USA; stroną umowy dla EOG jest OpenAI Ireland Ltd - standardowe klauzule umowne (moduły 2 i 3). Bez trenowania na Twoich danych. Logi nadużyć przechowywane do 30 dni |
| Perplexity AI | Wyłącznie dodatek monitoringu widoczności w AI | Monitoring marki: nazwa Twojej marki i konfigurowane przez Ciebie zapytania kategorii. Widoczność produktów: nazwa produktu, kategoria (albo marka samego produktu, gdy jej nie ma, a gdy nie ma żadnej z nich - to pole nie jest wysyłane) i jedna wartość atrybutu, wraz z rynkiem i językiem. Bez cen, SKU, GTIN, opisów i zdjęć. Nazwa marki sama w sobie może być daną osobową - firma jednoosobowej działalności zwykle zawiera imię i nazwisko właściciela. | USA - SCC (moduły 2 i 3) oraz aneks brytyjski. Bez trenowania na Twoich danych. Zapytania i odpowiedzi przechowywane przez okres świadczenia usług plus 30 dni, bez usuwania pojedynczych rekordów dla danych z API. Perplexity może korzystać z własnych dostawców modeli jako dalszych podprzetwarzających |
| Cloudflare - Turnstile | Ochrona formularzy uwierzytelniania przed botami | Token wyzwania, adres IP | Globalny edge - SCC |
| Brevo (Sendinblue SAS) | Poczta transakcyjna | Adres e-mail odbiorcy, treść wiadomości (np. podsumowanie audytu) | France, EU - SCC, gdy dotyczy |
| Google Analytics (Google Ireland / Google LLC) | Analityka korzystania z witryny - tylko za Twoją zgodą na pliki cookie | Pseudonimowe zdarzenia użycia, identyfikatory cookie; adres IP nie jest przechowywany przez GA4 | USA (Google LLC) - ramy ochrony danych UE-USA; SCC |
NOTEOpenAI i Perplexity AI są zaangażowane wyłącznie na potrzeby opcjonalnego dodatku monitoringu widoczności w AI i dopiero po jego wyraźnym włączeniu przez Ciebie oraz wydaniu polecenia wysyłania danych wymienionych powyżej. Jeśli nie korzystasz z tego dodatku, żadne dane nie są do nich wysyłane. Polecenie możesz cofnąć w każdej chwili - ale dane już wysłane podlegają retencji każdego z dostawców opisanej powyżej, której nie możemy skrócić na żądanie.
NOTEGoogle Analytics ładuje się tylko jeśli zaakceptujesz pliki analityczne w banerze zgody (zob. Polityka cookie). Po odrzuceniu żadne dane nie są do niego wysyłane. Nie stosujemy trackerów reklamowych/marketingowych ani żadnego zewnętrznego dostawcy analityki/telemetrii (brak Segment, brak hostowanego Sentry itp.). Dla niezawodności prowadzimy własne śledzenie błędów na naszej infrastrukturze w EOG; służy ono diagnozie awarii, pozostaje u nas i nie jest udostępniane żadnemu zewnętrznemu dostawcy.
Przekazywanie międzynarodowe
Gdy podmiot podprzetwarzający przetwarza dane poza EOG, przekazywanie opiera się na odpowiednich zabezpieczeniach z rozdziału V RODO - przede wszystkim na standardowych klauzulach umownych Komisji Europejskiej, uzupełnionych o ramy ochrony danych UE-USA, gdy odbiorca posiada certyfikat. Kopie udostępniamy na żądanie pod adresem [email protected].
Powiadamianie o zmianach
O zmianach tej listy powiadamiamy klientów co najmniej 30 dni przed rozpoczęciem przetwarzania przez nowy podmiot, dając możliwość wniesienia sprzeciwu z uzasadnionych powodów ochrony danych (zob. DPA, pkt 6).