Załącznik B do Umowy powierzenia przetwarzania danych osobowych, wersja 1.2.
Załącznik B — Podprocesorzy i inni odbiorcy danych
I. Podprocesorzy Usługodawcy (ogólna zgoda z § 6 ust. 1)
| Podmiot | Siedziba / lokalizacja danych | Zakres przetwarzania | Kategorie danych | Podstawa przekazania poza EOG |
|---|---|---|---|---|
| OVH sp. z o.o., ul. Powstańców Śląskich 9, 53-332 Wrocław | centrum danych w Warszawie, Polska | hosting serwera Aplikacji, bazy danych i kopii zapasowych | wszystkie Dane Gości | nie dotyczy (EOG) |
| Cloudflare, Inc. | Stany Zjednoczone; sieć serwerów brzegowych m.in. w UE | obsługa domen (DNS), ochrona i pośredniczenie w ruchu sieciowym do Aplikacji (dane w tranzycie, zaszyfrowane), logi techniczne; przechowywanie plików Widgetu w pamięci podręcznej sieci brzegowej (pliki serwuje serwer Aplikacji w OVH) | dane przesyłane między Widgetem, Panelem Gościa, Panelem a serwerem; adresy IP | decyzja Komisji (UE) o Data Privacy Framework (Cloudflare jest certyfikowany) oraz standardowe klauzule umowne w umowie powierzenia Cloudflare |
| Beds24 GmbH, Berlin, Niemcy | Unia Europejska | kanał sprzedaży (channel manager): przekazywanie dostępności, cen i rezerwacji między Aplikacją a Portalami — wyłącznie dla Jednostek, dla których Administrator włączył kanał sprzedaży Beds24 | dane rezerwacji i Gości z rezerwacji przekazywanych przez kanał | nie dotyczy (EOG) |
| Plus Five Five, Inc. (Resend) | Stany Zjednoczone; dane przechowywane w USA | wysyłka wiadomości e-mail do Gości w imieniu Administratora, logi doręczeń | adres e-mail, imię i nazwisko, treść wiadomości (szczegóły rezerwacji, kwoty, odnośnik do Panelu Gościa) | decyzja Komisji (UE) o Data Privacy Framework (Resend uczestniczy w DPF) oraz standardowe klauzule umowne w umowie powierzenia Resend |
Nie korzystamy z podprocesorów do Danych Gości poza wymienionymi. W szczególności dostawcy modeli sztucznej inteligencji (Anthropic) nie otrzymują od Usługodawcy Danych Gości — Serwis ogłoszeń przetwarza wyłącznie treści Obiektu przekazane przez Administratora (Regulamin § 14), a Kinde Australia Pty Ltd obsługuje wyłącznie logowanie Administratora i Personelu (adres e-mail, imię, identyfikator konta; Kinde nie otrzymuje Danych Gości), natomiast Google — pliki Administratora z jego Dysku Google (dane, dla których Usługodawca lub Administrator są administratorami — Polityka prywatności). Gdy Administrator lub osoba z Personelu loguje się kontem Google albo Facebook, dane konta przekazuje także ten serwis, jako odrębny administrator. Asystentów AI łączonych przez Administratora lub Personel opisuje część II.
II. Odbiorcy danych na polecenie Administratora (nie są podprocesorami Usługodawcy)
| Podmiot | Rola | Dane | Kiedy |
|---|---|---|---|
| Stripe Payments Europe, Limited (Irlandia) i inne spółki grupy Stripe, w tym Stripe, Inc. (USA, certyfikowany w DPF) | podmiot przetwarzający Administratora na podstawie Umowy konta połączonego Stripe; administrator w zakresie przeciwdziałania oszustwom i własnych obowiązków regulacyjnych | imię i nazwisko, e-mail, kwota i opis płatności, dane karty podane przez Gościa bezpośrednio Stripe | gdy Administrator włączył płatności online |
| inFakt Sp. z o.o., ul. Szlak 49, 31-153 Kraków | podmiot przetwarzający Administratora na podstawie jego umowy z inFakt | dane nabywcy faktury, pozycje faktury, e-mail Gościa (wysyłka faktury) | gdy Administrator podłączył konto inFakt |
| Portale (Booking.com, Airbnb, noclegi.pl i inne) | samodzielni administratorzy | przez kalendarz iCal wyłącznie zajęte terminy Jednostek — bez danych Gości | gdy Administrator podłączył kalendarz |
| Dostawca asystenta AI wybrany przez osobę z zespołu Administratora (np. Anthropic, PBC — Claude; OpenAI — ChatGPT) | odbiorca danych na polecenie Administratora, na podstawie umowy Administratora albo osoby z jego Personelu z dostawcą; nie jest podprocesorem Usługodawcy | dane Konta dostępne dla osoby łączącej w jej roli; Dane Gości (imiona, nazwiska, e-maile, telefony, uwagi) tylko w wariancie „z danymi osobowymi gości”; nigdy: kody dostępu do Obiektu, notatki dla Gości, link do Panelu Gościa, linki i sekrety płatności, dane kart, adresy kalendarzy Portali, klucze dostawców, wartości własnych pól wiadomości, księga gości, lista zespołu z adresami e-mail (Regulamin § 14a ust. 3) | od połączenia do odłączenia asystenta (Regulamin § 14a) |
Dostawcy danych gospodarzy i personelu (nie dotyczy Danych Gości)
Poza Danymi Gości Zamelduj jest administratorem danych gospodarzy i ich personelu (Polityka prywatności). W tym zakresie korzystamy z poniższego dostawcy; nie jest on podprocesorem Danych Gości.
| Podmiot | Siedziba / lokalizacja danych | Zakres przetwarzania | Kategorie danych |
|---|---|---|---|
| Kinde Australia Pty Ltd (Australia) | dane przechowywane w regionie UE (Dublin, Irlandia); możliwy dostęp z Australii na podstawie standardowych klauzul umownych | logowanie gospodarzy i personelu do aplikacji i demo (Google, Facebook albo kod wysłany na e-mail), zakładanie kont logowania | adres e-mail, imię, identyfikator konta |