分处理者与接收方
2026 年 11 月 6 日版本
1. 本清单涵盖的范围
1.1. 本清单由 Radosław Fedorczuk 维护，其经营名称为 ENSOMEDIA Radosław Fedorczuk，地址为 ul. Chorwacka 33/42, 51-107 Wrocław, Poland，税号 (NIP) 8952195742，欧盟增值税号 PL8952195742，企业登记号 (REGON) 381626230，登记于波兰经济活动中央登记与信息系统 (CEIDG)，下文称“ENSOMEDIA”或“我们”。
1.2. 表 1 列出了我们的分处理者，即处理我们的客户委托给我们的数据的公司。它是数据处理协议的附件 III。表 2 至表 4 显示还有谁接收数据以及何时接收。隐私政策作了更多说明。
1.3. 有关问题，以及索取向欧洲经济区 (EEA) 以外传输的保障措施副本的请求，请发送至 support@shieldwave.io。
2. 如何跟踪变更
2.1. 每一次变更都意味着本页面的新版本，附新的日期和变更历史中的一条记录。
2.2. 对于表 1 中新增或替换的分处理者，我们至少在变更前 14 天，通过电子邮件向受数据处理协议约束的客户公告，发送至其账户登记的地址。客户可以在该期限内提出反对（数据处理协议第 7.3 节）。
2.3. 表 1 中链接的处理条款显示了我们的分处理者自己使用的分包商。
3. 客户数据的分处理者
3.1. 表 1：处理来自我们的客户所委托检测的数据的公司。
| 实体和国家 | 为我们做什么 | 涉及哪些数据 | 处理地点 | 向欧洲经济区以外传输的依据 | 处理条款 | 列入清单的时间 |
|---|---|---|---|---|---|---|
| Google Cloud EMEA Limited，爱尔兰 | 应用服务器、数据库、密钥存储、日志 | 数据处理协议涵盖的所有数据 | europe-west1 区域（比利时） | 数据存储在欧盟境内。在美国的 Google 公司可访问的情况下：数据隐私框架和标准合同条款 | 云数据处理附录 | 2026 年 9 月 29 日 |
| Cloudflare, Inc.，美国 | shieldwave.io 的 DNS。当我们让流量经过它时：抵御攻击的保护、内容分发、连接加密 | 目前不涉及数据处理协议所涵盖的任何数据：它回答针对我们域名的 DNS 查询，看不到对服务的请求。当流量经过它时：对 shieldwave.io 的每个请求及其响应，含 IP 地址，包括所显示的结果和报告 | 美国以及 Cloudflare 遍布全球的数据中心网络 | 数据隐私框架和标准合同条款 | 数据处理附录 | 2026 年 9 月 29 日 |
| Groq UK Limited，英国（合同方） | 对检测发现的 AI 分析以及插件的第二意见 | 域名、附带最多 500 个字符证据的技术性检测发现、最多 3,000 个字符的首页摘录、最多 6,000 个字符的插件文件摘录 | 美国 | Groq 条款中的标准合同条款（第 2 和第 3 模块）；无数据隐私框架 | 客户数据处理附录 | 2026 年 2 月（当时为 Groq, Inc.） |
| Hostido.pl Gałązka Spółka jawna, ul. Kartuska 5, 80-103 Gdańsk, Poland (KRS 0000872620) | 邮箱和发送服务的电子邮件：检测结果、监测提醒、应要求提供的报告 | 收件人的电子邮件地址、域名、邮件中的结果 | 波兰 | 不适用 | 条款 | 2026 年 9 月 29 日 |
3.2. 我们的 AI 提供商在合同上被禁止使用这些数据训练模型。它不存储这些数据，但在调查可靠性问题或涉嫌滥用时最多保存 30 天。我们不使用其他 AI 提供商。新的提供商将首先出现在本清单上，并依据第 2.2 节公告。
3.3. 检测期间，扫描器还会就被检测的域名查询公共来源：crt.sh（证书日志）、Google 的公共 DNS (dns.google)、hstspreload.org 以及基于 DNS 的公共黑名单；对于已确认的域名，还会查询 Amazon Web Services、Google Cloud、Microsoft Azure 和 DigitalOcean 的公共云存储，查看是否存在以该域名命名且对外开放的存储。它们只收到域名或由域名派生的名称，如同任何公共查询，并且不代表我们处理数据。服务还会下载公开的漏洞数据（Wordfence Intelligence、WordPress.org 插件目录、美国国家漏洞数据库 National Vulnerability Database、OSV）；这些请求不包含任何可识别被检测站点或个人的信息。
4. 用于我们自身目的的服务
4.1. 表 2：这里我们是控制者。隐私政策给出了详细信息。
| 实体和国家 | 用途 | 涉及哪些数据 | 向欧洲经济区以外传输的依据 | 条款 |
|---|---|---|---|---|
| Stripe Payments Europe, Limited，爱尔兰 | 付款和订阅。Stripe 还就防欺诈及其自身的法定义务作为独立的控制者 | 电子邮件地址、用户名、账户标识符、在 Stripe 页面上输入的付款详细信息（我们从不查看银行卡号） | Stripe, LLC（美国）：数据隐私框架和标准合同条款 | Stripe 数据处理协议、Stripe 隐私中心 |
| Google Ireland Limited，爱尔兰 | 仅在同意分析后使用 Google Tag Manager 和 Google Analytics 4；仅在同意营销后使用同意窗口中列出的营销标签 | Cookie 中的标识符、IP 地址、访问的页面、事件 | Google LLC（美国）：数据隐私框架和标准合同条款 | Google Ads 数据处理条款 |
| Meta Platforms Ireland Limited，爱尔兰 | Meta Pixel：广告衡量、公开页面浏览和购买，仅在同时同意分析与营销后启用 | 浏览器和点击标识符、IP 地址、公开页面地址、购买金额、货币及交易标识符；不包含扫描域名或结果 | 下一列中的 Meta 文件说明向欧洲经济区以外传输及其保障措施 | Meta 隐私政策、Meta EU Data Transfer Addendum |
| Hostido.pl Gałązka Spółka jawna, Gdańsk, Poland | 业务邮箱：与客户的往来函件 | 电子邮件地址、往来函件的内容 | 不适用 | 条款 |
4.2. 表 1 中的提供商也处理由我们自己负责的数据，例如账户数据和安全日志。发票会送至我们的会计事务所和波兰国家电子发票系统 (KSeF)。在法律要求时，我们会向公共当局提供数据。
5. 客户选择的接收方
5.1. 表 3：只有当您自己在账户中设置集成时，数据才会发送到这里。这些不是我们的分处理者：其处理适用您与该提供商自己的合同。
| 接收方 | 我们发送什么 |
|---|---|
| Slack | 域名、评分、严重程度和问题数量，附 HMAC 签名 |
| Microsoft Teams | 同上 |
| Discord | 同上 |
| 您自己的 webhook | 同上，发送到您提供的地址 |
6. WordPress 插件的连接
6.1. 表 4：插件“Ensomedia Security powered by shieldwave.io”运行在您的服务器上，并从您的站点而非我们的站点连接到其他服务器。它通过您站点自己的邮件功能发送电子邮件。
| 发往何处 | 何时 | 发送什么 |
|---|---|---|
| WordPress.org（api.wordpress.org、downloads.wordpress.org；WordPress Foundation，Automattic 基础设施） | 默认情况下，每次扫描时 | WordPress 版本和语言、插件和主题的文件夹名称和版本，用于获取校验和。WordPress 会将站点的地址添加到其客户端标识 (user agent) 中 |
| ShieldWave：已知漏洞查询、防护规则、AI 第二意见 | 仅在站点管理员开启这些功能时 | WordPress 版本、插件和主题的文件夹名称和版本；获取规则时（约每小时一次）发送插件版本；对于第二意见，发送最多 6,000 个字符的文件摘录（从 1.1.10 版本起不含站点地址、电子邮件和 IP 地址、服务器路径、数据库常量和连接参数、密码、密钥、盐值、秘密和令牌，见隐私政策第 10.2 节；更早的版本只移除密码、密钥、电子邮件地址和主机名）、sha256 和 md5 指纹、大小、文件夹名称、规则标识符、语言、插件版本以及站点的加盐哈希值 |
| ShieldWave：账户连接 | 仅在管理员通过“使用 shieldwave.io 连接”或粘贴 API 密钥连接站点之后；之后在所有套餐上每小时发送信号，并在每次扫描后发送结果 | 站点标识符、域名和地址、插件、WordPress 和 PHP 的版本、主题、语言、评分、问题列表，包括在 WordPress 中被忽略的问题（标题、描述、修复方法、路径、地址、行号、CVE；从 1.1.0 版本起，与管理员账户相关的问题不附带描述发送，从 1.1.10 版本起，每个列出用户账户的问题都不附带描述发送，并以用站点自身秘密密钥计算的哈希值作为标识符，因此不含登录名；更早的版本可能包含登录名）、带版本的插件和主题；从 1.1.21 版本起，在诱饵开启期间，还有每次使用诱饵的记录，其中用由访问者 IP 地址计算出的代码代替该地址 |
6.2. 在每次连接到 WordPress.org 和 ShieldWave 时，接收方都会看到您服务器的 IP 地址。对于来自账户连接的数据，我们依据数据处理协议代表客户处理，对于消费者，则依据我们与其订立的合同作为控制者处理。 站点保持连接期间，插件会在首页显示一个 shieldwave- meta 标签，我们的服务器会读取首页以确认域名（隐私政策第 8.3 节）。
变更历史
- 2026 年 11 月 6 日：第 3.3 条：移除 URLhaus，扫描器不再查询该来源。
- 2026 年 10 月 22 日：表 4：在 Free 套餐上，每个已连接站点的结果。
- 2026 年 10 月 19 日：表 4 说明 WordPress 插件 1.1.21：诱饵开启时，每次使用诱饵的记录，其中用代码代替访问者的 IP 地址；在 Free 套餐上发送三个站点的结果。
- 2026 年 10 月 8 日：表 4 说明 WordPress 插件 1.1.10：约每小时获取一次规则、插件从 AI 第二意见的摘录中移除的内容，以及列出用户账户的问题发送时不含登录名。
- 2026 年 9 月 30 日，更正：表 4 描述了插件 1.1.0 的账户连接：一键连接或使用 API 密钥连接、所有套餐均发送结果（Free 套餐为一个站点）、在 WordPress 中被忽略的问题，以及从 1.1.0 版本起不发送登录名；第 6.2 节补充了首页上的验证标签。
- 2026 年 9 月 29 日，同日更正：Cloudflare 目前仅回答针对 shieldwave.io 的 DNS 查询；表 1 说明了流量经过它之后它将处理的内容。第 3.3 节补充了对已确认域名查询的公共云存储，以及服务下载的漏洞数据库。
- 2026 年 9 月 29 日：取代 2026 年 2 月的清单。已移除：DigitalOcean（未使用）和未具名的邮件提供商。已新增：Google Cloud、Cloudflare、Hostido.pl Gałązka Spółka jawna 以及插件的连接。Groq 以其合同方 Groq UK Limited 命名。Slack 和 Microsoft Teams 与 Discord 和自定义 webhook 一起，移至客户选择的接收方。Stripe 和 Google Analytics 是用于我们自身目的的服务。
- 2026年10月21日：表 2 列明 Meta Pixel 在获得同意后接收访客数据；客户数据子处理者列表不变。