Ten dokument zawiera pola, które przed publikacją należy uzupełnić danymi operatora. Skonfiguruj produkcyjny build zmiennymi VITE_LEGAL_*.Widoczne tylko do skonfigurowania tożsamości prawnej.
Dostawcy i podprocesorzy
Wykaz rozróżnia przetwarzanie danych projektu na polecenie klienta od obsługi własnych celów Operatora i odrębnych administratorów. Zakres konkretnego powierzenia zależy od uruchomionych usług. Do zatwierdzenia przed użyciem jako załącznik DPA: pełne podmioty umowne, państwa, regiony, mechanizmy transferu i aktywne warianty usług. Sama integracja w kodzie nie potwierdza konfiguracji produkcyjnej.
1. Infrastruktura
Cloudflare: obsługa ruchu, prywatny magazyn zdjęć i plików R2 oraz wykonywanie funkcji przetwarzania w Workers. Zależnie od operacji otrzymuje treści projektów, metadane i dane techniczne. Podprocesor dla danych powierzonych; dla własnych danych Operatora relację ustala właściwa umowa. Lokalizacja preferowana dla R2 nie jest gwarancją wyłącznego przetwarzania w UE. Regiony, dostęp wsparcia i logowanie treści w Workers wymagają potwierdzenia ustawień i umowy. Obecna ścieżka OpenAI w kodzie nie korzysta z AI Gateway. DPA Cloudflare.
Railway: hosting aplikacji, API i baz danych, w tym danych kont i projektów. Podprocesor dla danych powierzonych. Region usługi nie rozstrzyga o wszystkich miejscach dostępu i przetwarzania; odczyt ustawień produkcyjnych z 2 listopada 2026 r. potwierdza region Europe West (europe-west4-drams3a) dla aplikacji i baz oraz Amsterdam (ams) dla bucketów Railway. Nie potwierdza to wyłącznego przetwarzania w EOG. Mechanizm transferu należy przypisać do konkretnej umowy. DPA Railway.
2. Analiza AI
OpenAI: obecny dostawca analizy zdjęć, tekstu i kontekstu oraz generowania propozycji. Działa jako podprocesor powierzonych treści w zakresie usług API. Standardowy DPA wskazuje OpenAI Ireland Ltd. dla klientów z EOG i Szwajcarii; stronę i warunki właściwe dla konta Struvo należy potwierdzić w umowie. Kod bieżącej integracji wywołuje bezpośrednio OpenAI Responses API z Cloudflare Worker i wyłącza zapis odpowiedzi przez store: false. Nie potwierdza to europejskiej rezydencji ani zerowej retencji. Region projektu, ustawienia udostępniania danych, retencja i mechanizm transferu wymagają potwierdzenia. DPA OpenAI, AI i dane.
Google Gemini, Alibaba Qwen i OpenRouter nie są wskazywani jako obecni dostawcy AI. Ich ewentualne uruchomienie wymaga uprzedniej aktualizacji wykazu oraz spełnienia zasad zmiany podprocesora z DPA.
3. Wiadomości
Resend, usługa Plus Five Five, Inc.: dostarczanie wiadomości transakcyjnych, zaproszeń i powiadomień. Dane obejmują adresy odbiorców, treść wiadomości i metadane doręczeń; wiadomości projektowe mogą zawierać powierzone dane. W tym zakresie dostawca działa jako procesor/podprocesor. Dla domeny struvo.pl odczyt z 2 listopada 2026 r. potwierdza region wysyłki eu-west-1 oraz wyłączone śledzenie otwarć i kliknięć w Resend. Nie określa to wszystkich miejsc przetwarzania; retencję i podstawę transferu trzeba potwierdzić dla konta. Polityka Resend i DPA Resend.
4. Płatności
Stripe: obsługa subskrypcji i płatności, dane płatnika i rozliczeń oraz identyfikatory transakcji. Rola zależy od operacji: Stripe może działać jako procesor albo odrębny administrator dla własnych obowiązków płatniczych, regulacyjnych i przeciwdziałania nadużyciom. Nie kwalifikujemy całej usługi płatniczej jako podprocesora dokumentacji budowy. Właściwą spółkę, regiony i podstawy transferów należy potwierdzić w umowie konta. Prywatność Stripe, DPA Stripe.
5. Opcjonalna analityka
PostHog: statystyki korzystania z aplikacji webowej i diagnostyka błędów po zgodzie. Może otrzymywać zdarzenia, błędy, identyfikatory oraz imię, e-mail i rolę zalogowanego użytkownika. Nie są to wyłącznie anonimowe statystyki. Dla tej analityki Operator działa jako administrator; dostawca nie staje się przez to automatycznie podprocesorem wszystkich danych projektowych. Odczyt projektu powiązanego z www.struvo.pl i app.struvo.pl z 2 listopada 2026 r. potwierdza europejski endpoint przyjmowania danych. Retencja zdarzeń i błędów oraz obowiązująca umowa wymagają dalszego potwierdzenia; retencja nagrań jest odrębnym ustawieniem. Prywatność PostHog, DPA PostHog.
6. Zmiany i kontakt
Zmiany podprocesorów danych powierzonych podlegają zawiadomieniu i sprzeciwowi zgodnie z DPA. Informacje o zastosowanych zabezpieczeniach transferów można uzyskać przez privacy@struvo.pl. Nowa integracja nie może otrzymać danych wyłącznie dlatego, że jej kod znajduje się w repozytorium: wymaga kwalifikacji roli, umowy i właściwego wpisu w wykazie.