Podmioty przetwarzające i odbiorcy danych
Wersja z 29 września 2026 r.
1. Czego dotyczy wykaz
1.1. Wykaz prowadzi Radosław Fedorczuk, prowadzący działalność gospodarczą pod firmą ENSOMEDIA Radosław Fedorczuk, ul. Chorwacka 33/42, 51-107 Wrocław, NIP 8952195742, numer VAT UE PL8952195742, REGON 381626230, wpisany do Centralnej Ewidencji i Informacji o Działalności Gospodarczej (CEIDG), dalej „ENSOMEDIA” lub „my”.
1.2. Tabela 1 wymienia podprzetwarzających, czyli firmy, które przetwarzają dane powierzone nam przez klientów. Jest załącznikiem III do Umowy powierzenia przetwarzania danych. Tabele 2-4 pokazują, kto jeszcze otrzymuje dane i kiedy. Więcej wyjaśnia Polityka prywatności.
1.3. Pytania, a także prośby o kopię zabezpieczeń przekazania danych poza Europejski Obszar Gospodarczy (EOG), kieruj na support@shieldwave.io.
2. Jak śledzić zmiany
2.1. Każda zmiana oznacza nową wersję tej strony z nową datą i wpisem w historii zmian.
2.2. O nowym lub zastępowanym podprzetwarzającym z tabeli 1 piszemy do klientów, których wiąże umowa powierzenia, co najmniej 14 dni przed zmianą, na adres e-mail przypisany do konta. W tym czasie można zgłosić sprzeciw (punkt 7.3 umowy powierzenia).
2.3. Własnych podwykonawców naszych podprzetwarzających pokazują ich warunki przetwarzania, do których linki są w tabeli 1.
3. Podprzetwarzający dane klientów
3.1. Tabela 1: firmy, które przetwarzają dane ze sprawdzeń zleconych przez klientów.
| Podmiot i kraj | Co robi dla nas | Jakie dane | Gdzie przetwarza | Podstawa przekazania poza EOG | Warunki przetwarzania | Na liście od |
|---|---|---|---|---|---|---|
| Google Cloud EMEA Limited, Irlandia | Serwery aplikacji, baza danych, przechowywanie kluczy, logi | Wszystkie dane objęte umową powierzenia | Region europe-west1 (Belgia) | Dane przechowywane w UE. Przy dostępie spółek Google z USA: Data Privacy Framework i standardowe klauzule umowne | Cloud Data Processing Addendum | 29 września 2026 r. |
| Cloudflare, Inc., USA | Ochrona przed atakami, DNS, dostarczanie treści, szyfrowanie połączeń | Każde żądanie do shieldwave.io i odpowiedź, z adresem IP, w tym wyświetlane wyniki i raporty | USA i sieć centrów danych Cloudflare na świecie | Data Privacy Framework i standardowe klauzule umowne | Data Processing Addendum | 29 września 2026 r. |
| Groq UK Limited, Wielka Brytania (strona umowy) | Analiza AI ustaleń i druga opinia dla wtyczki | Domena, ustalenia techniczne z dowodem do 500 znaków, fragment strony głównej do 3000 znaków, fragment pliku z wtyczki do 6000 znaków | USA | Standardowe klauzule umowne (moduły 2 i 3) w umowie Groq; bez Data Privacy Framework | Customer Data Processing Addendum | luty 2026 r. (wtedy jako Groq, Inc.) |
| Hostido.pl Gałązka Spółka jawna, ul. Kartuska 5, 80-103 Gdańsk, Polska (KRS 0000872620) | Skrzynki pocztowe i wysyłka e-maili z usługi: wyniki sprawdzeń, alerty monitoringu, raporty na żądanie | Adres e-mail odbiorcy, domena, wyniki w treści wiadomości | Polska | Nie dotyczy | Regulaminy | 29 września 2026 r. |
3.2. Nasz dostawca AI ma umowny zakaz używania tych danych do trenowania modeli. Nie przechowuje ich, poza okresem do 30 dni, gdy bada problem z niezawodnością lub podejrzenie nadużycia. Nie korzystamy z innych dostawców AI. Nowy pojawi się najpierw w tym wykazie, z zapowiedzią według punktu 2.2.
3.3. Podczas sprawdzenia skaner pyta też publiczne źródła o sprawdzaną domenę: crt.sh (rejestry certyfikatów), publiczny DNS Google (dns.google), hstspreload.org, URLhaus (złośliwe adresy) i publiczne listy blokujące oparte na DNS. Otrzymują one tylko nazwę domeny, jak przy każdym publicznym zapytaniu, i nie przetwarzają danych na nasze zlecenie.
4. Usługi do naszych własnych celów
4.1. Tabela 2: tu jesteśmy administratorem danych. Szczegóły są w Polityce prywatności.
| Podmiot i kraj | Do czego | Jakie dane | Podstawa przekazania poza EOG | Warunki |
|---|---|---|---|---|
| Stripe Payments Europe, Limited, Irlandia | Płatności i subskrypcje. Stripe jest też odrębnym administratorem przy zapobieganiu oszustwom i własnych obowiązkach prawnych | Adres e-mail, nazwa użytkownika, identyfikator konta, dane płatności podane na stronach Stripe (numerów kart nie widzimy) | Stripe, LLC (USA): Data Privacy Framework i standardowe klauzule umowne | Umowa przetwarzania danych Stripe, Centrum prywatności Stripe |
| Google Ireland Limited, Irlandia | Google Tag Manager i Google Analytics 4 tylko po zgodzie na analitykę; tagi marketingowe z okna zgody tylko po zgodzie na marketing | Identyfikatory w plikach cookie, adres IP, odwiedzone strony, zdarzenia | Google LLC (USA): Data Privacy Framework i standardowe klauzule umowne | Google Ads Data Processing Terms |
| Hostido.pl Gałązka Spółka jawna, Gdańsk, Polska | Poczta firmowa: korespondencja z klientami | Adresy e-mail, treść korespondencji | Nie dotyczy | Regulaminy |
4.2. Dostawcy z tabeli 1 obsługują też dane, za które odpowiadamy sami, na przykład dane kont i logi bezpieczeństwa. Faktury trafiają do biura rachunkowego i do Krajowego Systemu e-Faktur (KSeF). Organom publicznym przekazujemy dane, gdy wymaga tego prawo.
5. Odbiorcy wybrani przez klienta
5.1. Tabela 3: dane trafiają tu tylko wtedy, gdy samodzielnie ustawisz integrację w koncie. Nie są to nasi podprzetwarzający: ich przetwarzanie reguluje Twoja umowa z danym dostawcą.
| Odbiorca | Co wysyłamy |
|---|---|
| Slack | Domena, ocena, waga i liczba problemów, z podpisem HMAC |
| Microsoft Teams | Jak wyżej |
| Discord | Jak wyżej |
| Twój własny webhook | Jak wyżej, na adres, który podasz |
6. Połączenia wtyczki WordPress
6.1. Tabela 4: wtyczka „Ensomedia Security powered by shieldwave.io” działa na Twoim serwerze i łączy się z innymi serwerami z Twojej strony, nie z naszej. E-maile wysyła pocztą Twojej strony.
| Dokąd | Kiedy | Co wysyła |
|---|---|---|
| WordPress.org (api.wordpress.org, downloads.wordpress.org; WordPress Foundation, infrastruktura Automattic) | Domyślnie, przy każdym skanowaniu | Wersję WordPressa i język, nazwy folderów i wersje wtyczek i motywów, aby pobrać sumy kontrolne. WordPress dodaje adres strony w identyfikatorze klienta (user agent) |
| ShieldWave: sprawdzanie znanych podatności, reguły ochrony, druga opinia AI | Tylko gdy administrator strony włączy te funkcje | Wersję WordPressa, nazwy folderów i wersje wtyczek i motywów; przy pobieraniu reguł (około co 3 godziny) wersję wtyczki; do drugiej opinii fragment pliku do 6000 znaków bez haseł, kluczy, adresów e-mail i nazwy hosta, skróty sha256 i md5, rozmiar, nazwę folderu, identyfikatory reguł, język, wersję wtyczki i solony skrót strony |
| ShieldWave: połączenie z kontem | Tylko po wklejeniu klucza API; sygnał co godzinę i synchronizacja po skanowaniu w planach Pro i Enterprise | Identyfikator, domenę i adres strony, wersje wtyczki, WordPressa i PHP, motyw, język, wynik, listę problemów (tytuł, opis, naprawa, ścieżka, adres, wiersz, CVE; opis może zawierać nazwę konta), wtyczki i motywy z wersjami |
6.2. Przy połączeniach z WordPress.org i z ShieldWave odbiorca widzi adres IP Twojego serwera. Dane z połączenia z kontem przetwarzamy w imieniu klienta na podstawie umowy powierzenia, a dla konsumenta jako administrator, w ramach umowy z nim.
Historia zmian
- 29 września 2026 r.: zastępuje wykaz z lutego 2026 r. Usunięte: DigitalOcean (nieużywany) i nieokreślony dostawca poczty. Dodane: Google Cloud, Cloudflare, Hostido.pl Gałązka Spółka jawna i połączenia wtyczki. Groq wskazujemy przez stronę umowy, Groq UK Limited. Slack i Microsoft Teams przeszły do odbiorców wybranych przez klienta, obok Discorda i własnych webhooków. Stripe i Google Analytics to usługi do naszych własnych celów.