Podwykonawcy, odbiorcy i transfery

1. Zasada

KMW angażuje tylko podmioty potrzebne do infrastruktury lub funkcji wybranej przez klienta. Podmiot jest dalszym przetwarzającym tylko w zakresie, w którym przetwarza dane osobowe w imieniu KMW jako procesora. Organy publiczne i rejestry działające na podstawie prawa nie stają się przez to podwykonawcami KMW.

2. Kategorie używane w obecnym wydaniu

OVH Limited (Wielka Brytania), marka OVHcloud: infrastruktura serwerowa i sieciowa oraz zamówione funkcje kopii. Główny VPS znajduje się we Frankfurcie, Niemcy, region os-de2. Potwierdzono w koncie KMW przyjęte ogólne warunki w wersji 17.01.2025 z odniesieniem do DPA. Przetwarzanie obejmuje dane przechowywane w usłudze oraz niezbędne dane techniczne. Dodatkowo potwierdzono pocztowy przekaźnik marki OVH ssl0.ovh.net: aplikacja używa portu 465/TLS, Mailu portu 587 z wymaganym TLS. Operator obsługuje adresy, temat, treść, nagłówki i załączniki przekazywanych wiadomości; potwierdzenie hosta nie rozstrzyga samo przez się umownego przypisania każdej usługi pocztowej ani wszystkich jej krajów przetwarzania. Regionalnego ustalenia o VPS nie rozszerza się automatycznie na dalszą dostawę poczty.

Wybrany datacenter nie jest zapewnieniem, że wszelka obsługa odbywa się w EOG. UK DPA rozróżnia miejsce hostingu od zdalnego przetwarzania dla wsparcia i bezpieczeństwa. Właściwy dokument publiczny OVH Limited: https://contract.eu.ovhapis.com/1.0/pdf/OVH_Data_Protection_Agreement-gb.pdf (wersja 21.03.2022). Wykaz dalszych podmiotów: https://contract.eu.ovhapis.com/1.0/pdf/OVH_Sub_processors-gb.pdf (wersja 16.10.2025). Wykaz obejmuje dla zwykłych usług podmioty grupy w UE, Wielkiej Brytanii i Kanadzie; podmioty Asia-Pacific mają zakres warunkowy. Wymienienie lokalizacji dopuszczonej umownie nie jest stwierdzeniem, że dane danego klienta faktycznie przekazano do każdej z nich. Zakres zastosowania DPA i aktualnego wykazu jest utrwalany wraz z właściwym zamówieniem i obowiązującymi dokumentami KMW.

Google: opcjonalne potwierdzenie tożsamości obejmuje identyfikator, e-mail, dostępne pola profilu i dane techniczne połączenia. Zakres openid/email/profile nie daje dostępu do Gmail. Google prowadzi własną usługę konta na zasadach niezależnego administratora. Dla zwykłych kont użytkowników EOG i Szwajcarii standardowym dostawcą jest Google Ireland Limited, a dla pozostałych Google LLC; właściwy podmiot zależy od regionu konta użytkownika. Nie utożsamiamy tego logowania z Google Cloud ani nie przypisujemy mu automatycznie Cloud DPA. Przetwarzanie może odbywać się poza krajem użytkownika według warunków i polityki Google: https://policies.google.com/faq?hl=en oraz https://policies.google.com/privacy?hl=en .

Apple nie jest aktywnym odbiorcą tej funkcji w konfiguracji sprawdzonej 05.10.2026: klient logowania nie jest skonfigurowany. Sama obecność obsługi Apple w kodzie nie oznacza przesyłania danych; przyszłe włączenie wymaga aktualizacji wykazu i weryfikacji warunków.

OpenAI Ireland Ltd. — standardowa strona dla przyszłego korzystania z API przez KMW jako polskiego zamawiającego, z DPA włączonym do Services Agreement. Integracja rozpoznawania przekazuje pełny wybrany PDF lub obraz, język wyniku, a dla zamówień także ustawienia ekstrakcji i dane własnej firmy potrzebne do rozróżnienia stron. OpenAI jest dalszym procesorem w zakresie danych powierzonych objętych DPA. Projekt używany przez serwer ma ustawienia Global i Standard Retention; dobrowolne udostępnianie danych do ulepszania modeli jest wyłączone. Wywołania api.openai.com używają store:false. Nie oznacza to ZDR, MAM, braku wszelkich logów ani przetwarzania tylko w UE. Standardowe logi monitorowania nadużyć mogą zawierać treść do 30 dni; zastosowanie mają wyjątki i inne techniczne zasady retencji dostawcy. Zabezpieczenia transferów wynikają z właściwego DPA. Źródła: https://openai.com/policies/services-agreement/ , https://openai.com/policies/data-processing-addendum/ , https://developers.openai.com/api/docs/guides/your-data .

HERE Europe B.V. (Niderlandy) — standardowy dostawca według reguły kraju Poland w HERE Platform Terms, z zastrzeżeniem odmiennych indywidualnych warunków. W koncie potwierdzono Base Plan Self Serve v6.0 i odnośnik https://t.her.is/4gXxGZG . Przekazywane są zapytania geokodowania, punkty tras, parametry pojazdu i dane techniczne połączenia przeglądarki potrzebne do map, tras i opłat. Jest to identyfikacja według standardowych warunków kraju, a nie potwierdzenie osobnego podpisanego zamówienia lub indywidualnego zatwierdzenia scenariusza Meranti. HERE jest procesorem lub dalszym procesorem w zakresie objętym właściwym DPA i dokumentacją usługi; nie uznaje się automatycznie każdego żądania map lub tras za przetwarzanie wyłącznie na polecenie KMW. Odrębne działania administratora podlegają właściwej polityce prywatności HERE. Wyłącznie europejski region ani konkretny datacenter dla tych API nie zostały potwierdzone. Źródła: https://legal.here.com/us-en/terms/here-platform-terms , https://here-legal-files-prod.s3.amazonaws.com/files/HERE_Platform_Data_Processing_Agreement.pdf oraz https://legal.here.com/gb-en/privacy/policy . Dokładne role i mechanizm transferu należy odnieść do faktycznie używanych usług.

KSeF, VIES, NBP i inne rejestry publiczne: odbiorcy lub źródła danych zależnie od polecenia użytkownika i podstawy prawnej; ich rola nie jest automatycznie rolą procesora.

3. Zmiany i sprzeciw

Ostateczny wykaz zawiera nazwę prawną, funkcję, kategorie danych, miejsce przetwarzania oraz podstawę transferu. KMW informuje administratora o planowanym dodaniu lub zastąpieniu dalszego procesora co najmniej 14 dni wcześniej. Uzasadniony sprzeciw dotyczący ochrony danych może prowadzić do wyłączenia danej integracji albo zakończenia dotkniętej części usługi.

4. Transfery

Transfer poza EOG wymaga podstawy z rozdziału V RODO i, gdy jest potrzebna, oceny oraz dodatkowych zabezpieczeń. Zadeklarowany region głównego hostingu nie oznacza, że wszystkie usługi, wsparcie i integracje działają wyłącznie w EOG. Wersja nie może zostać oznaczona jako obowiązująca, dopóki aktualny region, dokładne podmioty umowne i transfery nie zostaną potwierdzone.