Podmioty przetwarzające i odbiorcy danych
Wersja z 6 listopada 2026 r.
1. Czego dotyczy wykaz
1.1. Wykaz prowadzi Radosław Fedorczuk, prowadzący działalność gospodarczą pod firmą ENSOMEDIA Radosław Fedorczuk, ul. Chorwacka 33/42, 51-107 Wrocław, NIP 8952195742, numer VAT UE PL8952195742, REGON 381626230, wpisany do Centralnej Ewidencji i Informacji o Działalności Gospodarczej (CEIDG), dalej „ENSOMEDIA” lub „my”.
1.2. Tabela 1 wymienia podprzetwarzających, czyli firmy, które przetwarzają dane powierzone nam przez klientów. Jest załącznikiem III do Umowy powierzenia przetwarzania danych. Tabele 2-4 pokazują, kto jeszcze otrzymuje dane i kiedy. Więcej wyjaśnia Polityka prywatności.
1.3. Pytania, a także prośby o kopię zabezpieczeń przekazania danych poza Europejski Obszar Gospodarczy (EOG), kieruj na support@shieldwave.io.
2. Jak śledzić zmiany
2.1. Każda zmiana oznacza nową wersję tej strony z nową datą i wpisem w historii zmian.
2.2. O nowym lub zastępowanym podprzetwarzającym z tabeli 1 piszemy do klientów, których wiąże umowa powierzenia, co najmniej 14 dni przed zmianą, na adres e-mail przypisany do konta. W tym czasie można zgłosić sprzeciw (punkt 7.3 umowy powierzenia).
2.3. Własnych podwykonawców naszych podprzetwarzających pokazują ich warunki przetwarzania, do których linki są w tabeli 1.
3. Podprzetwarzający dane klientów
3.1. Tabela 1: firmy, które przetwarzają dane ze sprawdzeń zleconych przez klientów.
| Podmiot i kraj | Co robi dla nas | Jakie dane | Gdzie przetwarza | Podstawa przekazania poza EOG | Warunki przetwarzania | Na liście od |
|---|---|---|---|---|---|---|
| Google Cloud EMEA Limited, Irlandia | Serwery aplikacji, baza danych, przechowywanie kluczy, logi | Wszystkie dane objęte umową powierzenia | Region europe-west1 (Belgia) | Dane przechowywane w UE. Przy dostępie spółek Google z USA: Data Privacy Framework i standardowe klauzule umowne | Cloud Data Processing Addendum | 29 września 2026 r. |
| Cloudflare, Inc., USA | DNS domeny shieldwave.io. Gdy skierujemy przez niego ruch: ochrona przed atakami, dostarczanie treści, szyfrowanie połączeń | Dziś żadne z danych objętych umową powierzenia: odpowiada na zapytania DNS o naszą domenę i nie widzi żądań do serwisu. Gdy ruch będzie przez niego przechodził: każde żądanie do shieldwave.io i odpowiedź, z adresem IP, w tym wyświetlane wyniki i raporty | USA i sieć centrów danych Cloudflare na świecie | Data Privacy Framework i standardowe klauzule umowne | Data Processing Addendum | 29 września 2026 r. |
| Groq UK Limited, Wielka Brytania (strona umowy) | Analiza AI ustaleń i druga opinia dla wtyczki | Domena, ustalenia techniczne z dowodem do 500 znaków, fragment strony głównej do 3000 znaków, fragment pliku z wtyczki do 6000 znaków | USA | Standardowe klauzule umowne (moduły 2 i 3) w umowie Groq; bez Data Privacy Framework | Customer Data Processing Addendum | luty 2026 r. (wtedy jako Groq, Inc.) |
| Hostido.pl Gałązka Spółka jawna, ul. Kartuska 5, 80-103 Gdańsk, Polska (KRS 0000872620) | Skrzynki pocztowe i wysyłka e-maili z usługi: wyniki sprawdzeń, alerty monitoringu, raporty na żądanie | Adres e-mail odbiorcy, domena, wyniki w treści wiadomości | Polska | Nie dotyczy | Regulaminy | 29 września 2026 r. |
3.2. Nasz dostawca AI ma umowny zakaz używania tych danych do trenowania modeli. Nie przechowuje ich, poza okresem do 30 dni, gdy bada problem z niezawodnością lub podejrzenie nadużycia. Nie korzystamy z innych dostawców AI. Nowy pojawi się najpierw w tym wykazie, z zapowiedzią według punktu 2.2.
3.3. Podczas sprawdzenia skaner pyta też publiczne źródła o sprawdzaną domenę: crt.sh (rejestry certyfikatów), publiczny DNS Google (dns.google), hstspreload.org i publiczne listy blokujące oparte na DNS; przy potwierdzonej domenie także publiczne przechowywanie plików w chmurze Amazon Web Services, Google Cloud, Microsoft Azure i DigitalOcean, czy nie jest otwarty magazyn nazwany tak jak domena. Otrzymują one tylko nazwę domeny albo nazwy z niej utworzone, jak przy każdym publicznym zapytaniu, i nie przetwarzają danych na nasze zlecenie. Serwis pobiera też publiczne dane o podatnościach (Wordfence Intelligence, katalog wtyczek WordPress.org, amerykańska baza National Vulnerability Database, OSV); te zapytania nie zawierają niczego, co wskazuje sprawdzaną stronę albo osobę.
4. Usługi do naszych własnych celów
4.1. Tabela 2: tu jesteśmy administratorem danych. Szczegóły są w Polityce prywatności.
| Podmiot i kraj | Do czego | Jakie dane | Podstawa przekazania poza EOG | Warunki |
|---|---|---|---|---|
| Stripe Payments Europe, Limited, Irlandia | Płatności i subskrypcje. Stripe jest też odrębnym administratorem przy zapobieganiu oszustwom i własnych obowiązkach prawnych | Adres e-mail, nazwa użytkownika, identyfikator konta, dane płatności podane na stronach Stripe (numerów kart nie widzimy) | Stripe, LLC (USA): Data Privacy Framework i standardowe klauzule umowne | Umowa przetwarzania danych Stripe, Centrum prywatności Stripe |
| Google Ireland Limited, Irlandia | Google Tag Manager i Google Analytics 4 tylko po zgodzie na analitykę; tagi marketingowe z okna zgody tylko po zgodzie na marketing | Identyfikatory w plikach cookie, adres IP, odwiedzone strony, zdarzenia | Google LLC (USA): Data Privacy Framework i standardowe klauzule umowne | Google Ads Data Processing Terms |
| Meta Platforms Ireland Limited, Irlandia | Piksel Meta: pomiar reklam, odsłon publicznych stron i zakupów, tylko po zgodzie na analitykę i marketing | Identyfikatory przeglądarki i kliknięć, adres IP, publiczny adres strony, kwota, waluta i identyfikator transakcji; bez sprawdzanych domen i wyników skanów | Przekazywanie poza EOG i jego zabezpieczenia opisują dokumenty Meta w następnej kolumnie | Polityka prywatności Meta, Meta EU Data Transfer Addendum |
| Hostido.pl Gałązka Spółka jawna, Gdańsk, Polska | Poczta firmowa: korespondencja z klientami | Adresy e-mail, treść korespondencji | Nie dotyczy | Regulaminy |
4.2. Dostawcy z tabeli 1 obsługują też dane, za które odpowiadamy sami, na przykład dane kont i logi bezpieczeństwa. Faktury trafiają do biura rachunkowego i do Krajowego Systemu e-Faktur (KSeF). Organom publicznym przekazujemy dane, gdy wymaga tego prawo.
5. Odbiorcy wybrani przez klienta
5.1. Tabela 3: dane trafiają tu tylko wtedy, gdy samodzielnie ustawisz integrację w koncie. Nie są to nasi podprzetwarzający: ich przetwarzanie reguluje Twoja umowa z danym dostawcą.
| Odbiorca | Co wysyłamy |
|---|---|
| Slack | Domena, ocena, waga i liczba problemów, z podpisem HMAC |
| Microsoft Teams | Jak wyżej |
| Discord | Jak wyżej |
| Twój własny webhook | Jak wyżej, na adres, który podasz |
6. Połączenia wtyczki WordPress
6.1. Tabela 4: wtyczka „Ensomedia Security powered by shieldwave.io” działa na Twoim serwerze i łączy się z innymi serwerami z Twojej strony, nie z naszej. E-maile wysyła pocztą Twojej strony.
| Dokąd | Kiedy | Co wysyła |
|---|---|---|
| WordPress.org (api.wordpress.org, downloads.wordpress.org; WordPress Foundation, infrastruktura Automattic) | Domyślnie, przy każdym skanowaniu | Wersję WordPressa i język, nazwy folderów i wersje wtyczek i motywów, aby pobrać sumy kontrolne. WordPress dodaje adres strony w identyfikatorze klienta (user agent) |
| ShieldWave: sprawdzanie znanych podatności, reguły ochrony, druga opinia AI | Tylko gdy administrator strony włączy te funkcje | Wersję WordPressa, nazwy folderów i wersje wtyczek i motywów; przy pobieraniu reguł (około raz na godzinę) wersję wtyczki; do drugiej opinii fragment pliku do 6000 znaków (od wersji 1.1.10 bez adresu strony, adresów e-mail i IP, ścieżek na serwerze, stałych i argumentów połączeń z bazą danych, haseł, kluczy, soli, sekretów i tokenów, jak opisuje sekcja 10.2 Polityki prywatności; starsze wersje usuwały tylko hasła, klucze, adresy e-mail i nazwę hosta), skróty sha256 i md5, rozmiar, nazwę folderu, identyfikatory reguł, język, wersję wtyczki i solony skrót strony |
| ShieldWave: połączenie z kontem | Tylko gdy administrator połączy stronę przyciskiem „Połącz z shieldwave.io” albo wklejonym kluczem API; potem sygnał co godzinę i wyniki po każdym skanowaniu, w każdym planie | Identyfikator, domenę i adres strony, wersje wtyczki, WordPressa i PHP, motyw, język, wynik, listę problemów, także zignorowanych w WordPressie (tytuł, opis, naprawa, ścieżka, adres, wiersz, CVE; od wersji 1.1.0 problemy dotyczące kont administratorów idą bez opisu, a od wersji 1.1.10 każdy problem, który wymienia konta użytkowników, idzie bez opisu i z identyfikatorem w postaci skrótu liczonego z tajnym kluczem strony, więc bez nazw logowania; starsze wersje mogą podawać nazwę logowania), wtyczki i motywy z wersjami; od wersji 1.1.21, gdy pułapka jest włączona, zapis każdego jej użycia z kodem obliczonym z adresu IP odwiedzającego zamiast samego adresu |
6.2. Przy połączeniach z WordPress.org i z ShieldWave odbiorca widzi adres IP Twojego serwera. Dane z połączenia z kontem przetwarzamy w imieniu klienta na podstawie umowy powierzenia, a dla konsumenta jako administrator, w ramach umowy z nim. Dopóki strona jest połączona, wtyczka pokazuje na stronie głównej znacznik meta shieldwave-, a nasz serwer odczytuje stronę główną, żeby potwierdzić domenę (sekcja 8.3 Polityki prywatności).
Historia zmian
- 6 listopada 2026 r.: punkt 3.3: usunięto URLhaus, skaner już go nie pyta.
- 22 października 2026 r.: tabela 4: w planie Free wyniki każdej połączonej strony.
- 19 października 2026 r.: tabela 4 opisuje wtyczkę WordPress 1.1.21: przy włączonych pułapkach zapisy każdego ich użycia z kodem zamiast adresu IP odwiedzającego; wyniki trzech stron w planie Free.
- 8 października 2026 r.: tabela 4 opisuje wtyczkę WordPress 1.1.10: reguły pobierane około raz na godzinę, dane usuwane z fragmentów do drugiej opinii AI i problemy wymieniające konta użytkowników wysyłane bez nazw logowania.
- 30 września 2026 r., poprawka: tabela 4 opisuje połączenie z kontem we wtyczce 1.1.0: połączenie jednym kliknięciem albo kluczem API, wyniki w każdym planie (w planie Free jedna strona), problemy zignorowane w WordPressie i brak nazw logowania od wersji 1.1.0; punkt 6.2 dopisuje znacznik weryfikacyjny na stronie głównej.
- 29 września 2026 r., poprawka tego samego dnia: Cloudflare odpowiada dziś tylko na zapytania DNS o shieldwave.io; tabela 1 podaje, co będzie przetwarzał, gdy ruch zacznie przez niego przechodzić. Punkt 3.3 dopisuje publiczne przechowywanie plików w chmurze, o które pytamy przy potwierdzonej domenie, i bazy podatności, które serwis pobiera.
- 29 września 2026 r.: zastępuje wykaz z lutego 2026 r. Usunięte: DigitalOcean (nieużywany) i nieokreślony dostawca poczty. Dodane: Google Cloud, Cloudflare, Hostido.pl Gałązka Spółka jawna i połączenia wtyczki. Groq wskazujemy przez stronę umowy, Groq UK Limited. Slack i Microsoft Teams przeszły do odbiorców wybranych przez klienta, obok Discorda i własnych webhooków. Stripe i Google Analytics to usługi do naszych własnych celów.
- 21 października 2026 r.: tabela 2 wskazuje Meta Pixel jako odbiorcę danych odwiedzających po zgodzie; nie zmienia listy podprzetwarzających dane klientów.