Niniejsza strona stanowi rejestr podmiotów, którym VENTABE BHP (operator portalu SafeDesk.pl) powierza przetwarzanie danych osobowych w zakresie niezbędnym do świadczenia usługi — zgodnie z art. 28 RODO oraz postanowieniami umowy powierzenia (DPA) zawartej z Klientem.

Charakter przetwarzania

W kontekście danych pracowników Klienta wprowadzanych do portalu (rejestr pracowników, szkoleń BHP, wydań sprzętu) Klient pozostaje administratorem, a SafeDesk.pl działa jako podmiot przetwarzający. Wszystkie podmioty wymienione poniżej działają jako sub-processors.

Aktualna lista podmiotów

Podmiot	Cel	Kategorie danych	Lokalizacja	Podstawa transferu
Supabase Inc.	Hosting bazy danych (PostgreSQL), uwierzytelnianie użytkowników, storage plików	Dane konta (email, hash hasła), dane firmy, dane pracowników klienta, dane operacyjne portalu	Unia Europejska (Irlandia, region AWS eu-west-1)	Brak transferu poza EOG — region UE
Stripe Payments Europe, Ltd.	Obsługa płatności subskrypcji i ich rozliczanie	Email, NIP, dane karty (tokenizowane po stronie Stripe — SafeDesk.pl nie ma dostępu do PAN), historia transakcji	Irlandia (siedziba UE), centra danych w UE	DPA Stripe + standardowe klauzule umowne (SCC) w przypadku ewentualnego transferu do USA
OVH SAS	Hosting aplikacji SafeDesk.pl (serwer, na którym działa aplikacja)	Wszystkie dane przetwarzane przez aplikację w trakcie obsługi żądań (dane konta, firmy i pracowników klienta), logi serwera	Polska (Warszawa)	Brak transferu poza EOG
OVH SAS	Wysyłka transakcyjnych wiadomości e-mail (SMTP, adres [email protected])	Adresy email odbiorców, treść powiadomień transakcyjnych	Francja (UE)	Brak transferu poza EOG
inFakt Sp. z o.o.	Wystawianie faktur pro forma i faktur VAT za zamówienia	Dane firmy (NIP, adres), dane do faktury, adres email osoby kontaktowej	Polska	Brak transferu poza EOG
Functional Software, Inc. (Sentry)	Monitoring błędów i wydajności aplikacji (error tracking, performance)	Metadane sesji (URL, user agent, stack trace). Dane osobowe są filtrowane (sendDefaultPii=false); ID użytkownika nie jest przesyłane	USA	Data Processing Addendum Sentry + standardowe klauzule umowne (SCC). Minimalizacja danych — sesje PII nie są wysyłane.
Anthropic, PBC	Funkcje AI w magazynie: odczyt pozycji i ilości z faktury lub dokumentu dostawy przy przyjęciu (na żądanie użytkownika) oraz podpowiedź produktu dla nieznanego kodu EAN	Treść przesłanego dokumentu (nazwy towarów, ilości, dane sprzedawcy i nabywcy widoczne na fakturze) albo sam numer kodu kreskowego. SafeDesk.pl nie zapisuje przesłanego pliku; dane nie są używane do trenowania modeli	USA	Umowa powierzenia (DPA) Anthropic + standardowe klauzule umowne (SCC). Minimalizacja danych — przesyłany jest wyłącznie dokument wskazany przez użytkownika
Cloudflare, Inc.	Pośrednictwo w ruchu do aplikacji: DNS, CDN, ochrona przed atakami, terminacja TLS; Turnstile — ochrona formularzy przed botami	Adres IP i metadane żądań HTTP. Jako pośrednik (terminacja TLS) technicznie przetwarza przesyłane dane w locie — nie przechowuje ich treści	Globalna sieć (anycast), centra UE	Cloudflare DPA + standardowe klauzule umowne (SCC); UE Data Subject Request Portal
Google Ireland Ltd.	Pomiar konwersji reklam (Google Ads) i opcjonalnie statystyki ruchu (Google Analytics 4) — wyłącznie po zgodzie na cookies marketingowe	Identyfikatory cookies, adres IP, zdarzenia na stronie. Do czasu zgody Consent Mode v2 utrzymuje denied (dane modelowane anonimowo, bez ciasteczek)	Irlandia (UE), infrastruktura Google globalnie	Google Ads/Analytics DPA + standardowe klauzule umowne (SCC) + Data Privacy Framework dla transferu do USA
VENTABE BHP (operator Portalu)	Operator portalu SafeDesk.pl — odpowiada za bezpieczeństwo i organizację przetwarzania	Wszystkie kategorie danych powierzone przez klienta	Polska (ul. Zielona 24b, 42-140 Panki, NIP: PL 5742073669)	Administrator/procesor

Usługi zewnętrzne bez dostępu do danych powierzonych

GUS — baza REGON (BIR) i Wykaz podatników VAT Ministerstwa Finansów — przy rejestracji wyszukujemy dane firmy po numerze NIP w rejestrach publicznych.
Have I Been Pwned (Pwned Passwords) — przy ustawianiu hasła sprawdzamy, czy nie występuje w znanych wyciekach. Wysyłany jest wyłącznie 5-znakowy fragment skrótu hasła (k-anonimowość) — ani hasło, ani adres e-mail nie opuszczają Portalu.

Umowa powierzenia (DPA)

Z chwilą utworzenia konta w SafeDesk.pl Klient zawiera z VENTABE BHP umowę powierzenia przetwarzania danych osobowych. Klient akceptuje, że VENTABE BHP może korzystać z subprocessorów wymienionych powyżej do wykonywania umowy.

Pełny tekst umowy powierzenia (DPA) dostępny jest na stronie Umowa powierzenia oraz na żądanie pod adresem [email protected].

Zmiana subprocessora

VENTABE BHP informuje Klienta o zamiarze dodania lub zmiany subprocessora z 30-dniowym wyprzedzeniem — poprzez aktualizację niniejszej strony oraz wiadomość email do osoby kontaktowej konta. Klient ma prawo wnieść uzasadniony sprzeciw; w razie braku porozumienia może rozwiązać umowę bez zachowania okresu wypowiedzenia.

Transfer poza EOG

Baza danych Portalu znajduje się w UE (Irlandia). W przypadku subprocessorów spoza EOG lub z możliwym transferem poza EOG (Stripe — możliwy transfer do USA; Sentry — USA; Anthropic — USA; Cloudflare — globalna sieć; Google — USA) transfer odbywa się na podstawie standardowych klauzul umownych (SCC) zatwierdzonych decyzją Komisji Europejskiej 2021/914, uzupełnionych technicznymi i organizacyjnymi środkami ochrony (szyfrowanie w tranzycie i w spoczynku, minimalizacja danych, kontrola dostępu).

Kontakt

Pytania dotyczące przetwarzania danych lub żądanie kopii DPA: [email protected].

Powiązane dokumenty: Polityka prywatności, Regulamin