Lista podmiotów przetwarzających (subprocesorów) — Wrenwire / Subprocessor list

Kanoniczna lista subprocesorów usługi SaaS — konsumuje SUBPROCESSORS-DELTA.md i weryfikację przeciw kodowi (env/integracje) z 2026-07-16. Ten plik jest źródłem prawdy; privacy/page.tsx §6, DPA (załącznik 2) i ToS odwołują się do niego przez referencję. Wersja publikowana (/{locale}/legal/subprocessors) jest generowana z tego pliku przez marketing/scripts/sync-legal.mjs.

Konwencja: AKTYWNY = integracja w kodzie i używana na produkcie; PLANOWANY (S…) = wejdzie z daną sesją — publikować dopiero z wdrożeniem.

1. Subprocesorzy (my = procesor danych tenanta / administrator danych konta)

Podmiot	Rola / dane	Region i mechanizm transferu	Status
OVH (OVH SAS, Roubaix, FR)	hosting całej infrastruktury: baza danych, Redis, Meilisearch, aplikacja, backupy	UE (FR/PL) — brak transferu poza EOG	AKTYWNY
Resend (Resend Inc., US — region przetwarzania EU `eu-west-1`, via Amazon SES)	(a) mail transakcyjny (weryfikacja konta, powiadomienia); domena wysyłkowa `mailr.vicoop.com`; (b) od 2026-08-31 również newsletter produktowy do Użytkowników kont — u dostawcy przechowywany jest trwały rekord kontaktu: adres e-mail, flaga `unsubscribed` i przynależność do segmentu, bez imienia i nazwiska. Zakres i podstawy: ROPA §7a, Polityka prywatności §3c	dane maila przetwarzane w EU; podmiot amerykański → SCC w DPA Resend — potwierdzone jako wystarczające bez dodatkowego TIA: dane ograniczone do treści/adresów maili transakcyjnych (bez danych szczególnych kategorii), region przetwarzania UE, TLS w tranzycie. Wniosek obejmuje także cel (b): lista newslettera niesie mniej danych niż wiadomość transakcyjna (sam adres i flaga rezygnacji, bez treści i bez imienia), więc ocena nie zmienia się na niekorzyść	AKTYWNY
OpenRouter (OpenRouter Inc., US)	routing zapytań LLM — do promptów trafiają dane osobowe prospektów (imię, stanowisko, firma, treści publiczne) na potrzeby segmentacji, scoringu i personalizacji treści	US — SCC; onward transfer do dalszych dostawców modeli (Anthropic, Google, Meta i in. wg wybranego modelu) — wymaga jawnego zapisu w DPA i polityce	AKTYWNY
Anthropic (Anthropic PBC / Anthropic Ireland Ltd)	modele Claude do generacji treści. Bezpośrednia ścieżka `claude-cli` jest twardo zablokowana poza produkcją (`NODE_ENV !== 'production'` + opt-in per-user `aiProvider='claude_cli'` — `campaign_studio/lib/ai-service.ts:1632`); na produkcie generacja idzie wyłącznie przez OpenRouter	— (na produkcie brak bezpośredniego transferu)	NIE bezpośredni subprocesor — na produkcie Anthropic występuje tylko jako dostawca modelu za OpenRouterem (onward transfer — patrz wiersz OpenRouter). Zweryfikowane w kodzie 2026-07-19. Gdyby `claude-cli` kiedykolwiek włączono na produkcji dla tenantów → przenieść tu jako AKTYWNY subprocesor (US/IE, SCC) i powiadomić klientów (§4)
Outscraper (Outscraper LLC)	pozyskiwanie danych firm z Google Maps (nazwa, adres, telefon, WWW; sporadycznie dane osób)	klasyfikacja: podmiot US (Outscraper LLC), mechanizm transferu SCC zgodnie z ich DPA — dokładna siedziba rejestrowa/referencja DPA do potwierdzenia przy realnym podpisaniu umowy z Outscraper (nie zgadujemy adresu)	AKTYWNY
Stripe (Stripe Payments Europe Ltd, IE / Stripe Inc., US)	płatności, faktury, Stripe Tax (VAT OSS); dane rozliczeniowe klienta (email, karta — karta wyłącznie po stronie Stripe)	IE/US — SCC (Stripe DPA standardowo)	PLANOWANY (S12)
PostHog (PostHog Inc. — EU Cloud, Frankfurt)	analityka produktowa (zdarzenia użycia aplikacji przez użytkowników kont; bez danych prospektów)	dane w EU; podmiot US → SCC w DPA PostHog	PLANOWANY (S11)

Rozszerzenie celu u Resend (2026-08-31) — dlaczego NIE jest to zmiana listy w rozumieniu §4. Resend był już na liście jako AKTYWNY i nie zmienia się ani podmiot, ani region, ani mechanizm transferu — a więc nie zachodzi żadna z przesłanek z §4. Nie zachodzi też obowiązek powiadomienia z DPA §7: ten obowiązek dotyczy podprzetwarzania danych powierzonych przez Klienta (dane prospektów), a lista newslettera zbudowana jest wyłącznie z adresów naszych własnych Użytkowników, wobec których jesteśmy administratorem, nie procesorem. Zapis powstaje tu dla przejrzystości, nie z obowiązku.

Odnotowujemy jednak dwie rzeczy, żeby ten wniosek dał się później zweryfikować: (1) jest to nowy rodzaj przetwarzania u tego samego procesora — doręczenie wiadomości transakcyjnej jest przetwarzaniem przejściowym, natomiast lista odbiorców to trwały rekord kontaktu, który u dostawcy żyje niezależnie od jakiejkolwiek wysyłki i przeżywa rezygnację (flaga unsubscribed jest właśnie tym, co czyni rezygnację trwałą); (2) gdyby lista kiedykolwiek zaczęła być zasilana adresami pochodzącymi z danych Klienta (prospektami), przestałaby to być kwestia wyłącznie nasza i stałaby się zmianą podprzetwarzania z pełnym trybem §4 i DPA §7. Dziś tak nie jest: źródłem jest wyłącznie user_consents — rejestr zgód osób prowadzących konto.

2. Integracje kierowane przez klienta (NIE są naszymi subprocesorami)

Podmiot	Rola	Wyjaśnienie statusu
Snov.io (Snovio Inc.)	wysyłka sekwencji e-mail / baza kontaktów — BYO: klient podpina WŁASNE konto i klucz API	procesor klienta (customer-directed): to klient zawiera umowę i DPA ze Snov.io; my technicznie przekazujemy dane na jego polecenie. Ujawniamy w polityce + DPA jako „narzędzie kierowane przez klienta”. Dot. też ujawnienia afiliacji — Ujawnienie afiliacji Snov.io
Meta Platforms Ireland Ltd.	kampanie reklamowe (Meta Ads) na kontach reklamowych klienta	kwalifikacja: odrębny, niezależny administrator danych konta reklamowego i realizacji kampanii — nie procesor, nie współadministrator; to standardowa kwalifikacja stosowana przez integratorów ad-tech łączących się z własnym kontem reklamowym klienta; klient autoryzuje dostęp własnym loginem

3. Świadomie POZA listą

Podmiot	Powód
OpenAI (OpenAI, L.L.C. / OpenAI Ireland Ltd)	usunięty z listy 2026-09-17. Był wpisany wyłącznie jako dostawca embeddingów do indeksu wektorowego (wyszukiwanie). Od 2026-09-17 wyszukiwanie wektorowe jest wyłączone na produkcji, a klucz `OPENAI_API_KEY` usunięty ze środowiska, więc żadne dane nie są do OpenAI przekazywane. Ponowne włączenie = dodanie nowego subprocesora w trybie §4
Sentry	self-hosted na infrastrukturze Vicoop (`sentry.vicoop.com`, UE) — przetwarzanie in-house, nie podmiot trzeci; w polityce tylko kategoria „logi błędów, 90 dni”
New Relic	usunięty z aplikacji w S5 (2026-07-15) — nie występuje w kodzie
Apify (+ operatorzy aktorów)	sourcing LinkedIn za bramką prawną (APIFY-LINKEDIN-GATE.md); decyzja (f) 2026-07-15: wyłącznie prywatny prospecting Vicoop, nigdy tenanci SaaS → nie jest subprocesorem produktu. Wejście na listę wymagałoby zmiany decyzji zakresu + przejścia bramki
apimaestro	wykreślony z realnych runów (brak identyfikowalnego podmiotu) — patrz DPA-APIFY.md

4. Proces zmian listy

Nowy subprocesor: wpis tutaj (PLANOWANY) → DPA/SCC z podmiotem → publikacja na stronie listy z datą → powiadomienie klientów z wyprzedzeniem co najmniej 30 dni zgodnie z §7 DPA klienckiego (prawo sprzeciwu klienta) — wartość ujednolicona z DPA §7.2.
Zmiana regionu/mechanizmu transferu istniejącego subprocesora = traktowana jak zmiana listy.
Usunięcie subprocesora z listy nie wymaga uprzedniego powiadomienia: DPA §7 ust. 2 chroni prawo sprzeciwu wobec nowego lub zmienionego podprzetwarzania, a usunięcie zawęża krąg odbiorców. Odnotowuje się je na liście z datą (§3).
Rejestr powiadomień: docs/legal/evidence/.

English summary (informative translation)

Wrenwire uses the following subprocessors: OVH (EU hosting), Resend (transactional email and, from 2026-08-31, the product newsletter sent to our own account holders — EU region), OpenRouter (LLM routing — prospect personal data enters prompts; onward transfer to model providers), Outscraper (Google Maps company data), and — once live — Stripe (payments) and PostHog EU (product analytics). Snov.io is not our subprocessor: customers connect their own Snov.io account (customer-directed processor). Error monitoring (Sentry) is self-hosted on our own EU infrastructure and involves no third party. Transfers outside the EEA rely on the European Commission’s Standard Contractual Clauses. We will notify customers in advance of any change to this list, with a right to object, as set out in the customer DPA.