Wykaz Podwykonawców (Podprocesorów) i Dostawców Usług

Zgodnie z art. 28 ust. 2 i ust. 4 RODO oraz § 5 Umowy Powierzenia Przetwarzania Danych (DPA), publikujemy aktualny, pełny wykaz podmiotów trzecich, z których usług korzystamy w celu zapewnienia sprawnego i bezpiecznego działania platformy FakturaProsto (https://fakturaprosto.pl).

Rozróżniamy dostawców uczestniczących w świadczeniu usług na danych powierzonych przez Klienta od dostawcy dobrowolnych statystyk publicznych stron. Google Analytics 4 służy wyłącznie statystykom Operatora po zgodzie odwiedzającego; nie jest odbiorcą danych księgowych powierzonych na podstawie DPA. Zakres usług i warunki przetwarzania każdego dostawcy wskazujemy poniżej.

Poniżej wskazujemy dostawców infrastruktury oraz odrębnie dostawcę opcjonalnych statystyk publicznych stron:

1. Baza danych w chmurze

• Podmiot: MongoDB Inc. (usługa MongoDB Atlas)

• Siedziba: Nowy Jork, Stany Zjednoczone (oddział w Irlandii: MongoDB Limited, Dublin)

• Zakres powierzonych danych: Wszystkie dane wprowadzane do bazy danych Serwisu (użytkownicy, firmy, kontrahenci, faktury, logi operacji).

• Lokalizacja danych: Region Unii Europejskiej (domyślnie klaster frankfurcki eu-central-1) / serwery w infrastrukturze AWS/GCP.

• Podstawa transferu poza EOG: Certyfikacja w ramach EU-US Data Privacy Framework (DPF) oraz Standardowe Klauzule Umowne (SCC).

• Zabezpieczenia: Szyfrowanie w spoczynku (AES-256), szyfrowanie w tranzycie (TLS), izolacja sieciowa VPC Peering.

2. Hosting aplikacji i serwery brzegowe

• Podmiot A: cyber_Folks S.A.

• Siedziba: ul. Roosevelta 22, 60-829 Poznań, Polska

• Zakres: Hosting aplikacji, środowisko uruchomieniowe Node.js, obsługa ruchu sieciowego w Polsce.

• Lokalizacja danych: Centra danych na terytorium Rzeczypospolitej Polskiej (Poznań/Warszawa).

• Transfer poza EOG: Nie występuje (dane przetwarzane w 100% w Polsce).

• Podmiot B: Netlify Inc.

• Siedziba: San Francisco, Stany Zjednoczone

• Zakres: Dostarczanie zasobów statycznych (CDN), serwery brzegowe (Edge routing), buforowanie.

• Lokalizacja danych: Unia Europejska oraz globalna sieć CDN.

• Podstawa transferu poza EOG: Standardowe Klauzule Umowne (SCC) oraz EU-US Data Privacy Framework (DPF).

3. Poczta transakcyjna (wysyłka faktur i powiadomień)

• Podmiot: Resend Inc. (lub dedykowana infrastruktura SMTP Operatora)

• Siedziba: San Francisco, Stany Zjednoczone

• Zakres: Przekazywanie wiadomości e-mail z fakturami w załączniku PDF, linków resetowania haseł i powiadomień.

• Lokalizacja danych: Region UE / USA.

• Podstawa transferu poza EOG: Standardowe Klauzule Umowne (SCC) oraz Data Privacy Framework.

4. Opcjonalne statystyki publicznych stron — Google Analytics 4

• Podmiot: Google Ireland Limited / Google LLC.

• Cel: Statystyki odsłon publicznych stron, źródeł odwiedzin i kliknięć prowadzących do rejestracji lub demo, wyłącznie po zgodzie analitycznej. Kliknięcia nie potwierdzają utworzenia konta ani zakupu. Operator jest administratorem tego pomiaru.

• Zakres: Pseudonimowe identyfikatory przeglądarki i sesji, publiczny adres bez parametrów i fragmentu, rodzaj kliknięcia, źródło odesłania ograniczone do protokołu i domeny oraz dane techniczne przetwarzane przez Google. Bez danych formularzy, faktur, kontrahentów, kont i płatności; bez odsłon panelu, logowania, ekranu rejestracji i stron prywatnych.

• Lokalizacja: Irlandia (UE) oraz infrastruktura Google, w tym USA.

• Warunki i transfery: Warunki przetwarzania danych: https://business.safety.google/adsprocessorterms/; mechanizmy transferu: https://policies.google.com/privacy/frameworks?hl=pl; polityka prywatności: https://policies.google.com/privacy?hl=pl. Google opisuje stosowanie DPF lub SCC, zależnie od podmiotu odbierającego i zakresu usługi.

• Relacja do DPA Klienta: Google w tej integracji nie przetwarza powierzonych danych księgowych Klienta. Rezygnacja z analityki nie ogranicza usług fakturowania.

Wskazujemy, że poniższe instytucje i systemy nie są naszymi podprocesorami, lecz niezależnymi organami publicznymi działającymi na podstawie przepisów prawa, z którymi Aplikacja komunikuje się na polecenie Użytkownika:

1. Ministerstwo Finansów — Krajowy System e-Faktur (KSeF):

• System teleinformatyczny prowadzony przez Szefa Krajowej Administracji Skarbowej.

• W przypadku wysyłki faktury do KSeF, plik XML FA(3) przekazywany jest bezpośrednio do infrastruktury Ministerstwa Finansów, która staje się odrębnym administratorem danych w rozumieniu przepisów podatkowych.

2. Główny Urząd Statystyczny (GUS — Baza Internetowa REGON BIR 1.1):

• Rejestr publiczny prowadzony przez Prezesa GUS. Zapytania po numerze NIP służą wyłącznie pobraniu jawnych danych rejestrowych podmiotu gospodarczego.

3. Narodowy Bank Polski (NBP):

• Publiczne API tabel kursów średnich walut NBP. W ramach integracji Serwis pobiera wyłącznie ogólnodostępne tabele kursowe (do NBP nie są przesyłane żadne dane osobowe ani dane o transakcjach).

1. O zamiarze zaangażowania nowego podwykonawcy lub zastąpienia dotychczasowego Operator informuje Klientów z wyprzedzeniem co najmniej 14 dni kalendarzowych.

2. Informacja przekazywana jest drogą elektroniczną (e-mail) lub poprzez publikację powiadomienia w Aplikacji.

3. Klient ma prawo wnieść umotywowany sprzeciw wobec zaangażowania nowego podwykonawcy ze względów związanych z ochroną danych osobowych przed upływem terminu 14 dni.

4. W razie wniesienia uzasadnionego sprzeciwu Strony podejmują próbę polubownego rozwiązania problemu, a w braku porozumienia Klient ma prawo rozwiązać umowę ze skutkiem natychmiastowym i bez ponoszenia dodatkowych kosztów.