Wersja angielska tego dokumentu jest wersją autorytatywną. Niniejsze tłumaczenie ma charakter pomocniczy.
Lista Podpodmiotów Przetwarzających FaveCard
Czym jest ta strona
Niniejsza strona zawiera listę zewnętrznych podpodmiotów przetwarzających, z których usług FaveCard (Qualityc Łukasz Fryc, NIP 7372138804, EU VAT PL7372138804) korzysta w celu świadczenia Usługi. Podpodmioty przetwarzające to strony trzecie, które mogą przetwarzać dane osobowe w naszym imieniu. Są one częścią infrastruktury Usługi, a ich zaangażowanie jest autoryzowane przez Pana/Panią w momencie akceptacji naszej Umowy Powierzenia Przetwarzania Danych.
Niniejsza lista stanowi część Umowy Powierzenia Przetwarzania Danych i jest do niej włączona przez odniesienie. Spełnia ona również obowiązek transparentności, który spoczywa na nas wobec klientów biznesowych na mocy art. 28 ust. 2 i 4 RODO.
Ostatnia aktualizacja: 2026-10-22 Data wejścia w życie: 2026-04-21
Jak działają zmiany na tej liście
Możemy okresowo dodawać, zastępować lub usuwać podpodmioty przetwarzające w miarę rozwoju Usługi. W takim przypadku:
- W pierwszej kolejności aktualizujemy niniejszą stronę.
- Powiadamiamy subskrybowanych klientów biznesowych z co najmniej 30-dniowym wyprzedzeniem kalendarzowym przed rozpoczęciem przetwarzania danych przez nowy podpodmiot (z wyjątkiem nagłych zastępstw wymaganych ze względów bezpieczeństwa lub prawnych, które są realizowane tak szybko, jak to możliwe, wraz z powiadomieniem).
- Mają Państwo 10 dni kalendarzowych od otrzymania powiadomienia na zgłoszenie sprzeciwu z uzasadnionych przyczyn związanych z ochroną danych. Jeśli sprzeciw nie zostanie rozstrzygnięty, mogą Państwo wypowiedzieć umowę dotyczącą danej subskrypcji, otrzymując proporcjonalny zwrot wszelkich opłat uiszczonych z góry za okres po zakończeniu umowy.
Subskrypcja aktualizacji
Klienci biznesowi mogą zasubskrybować powiadomienia o zmianach podpodmiotów przetwarzających, wysyłając wiadomość e-mail na adres privacy@favecard.co z tematem „Subscribe sub-processor updates".
Obecne podpodmioty przetwarzające
Poniższa tabela przedstawia wszystkich podpodmiotów przetwarzających aktualnie zaangażowanych przez FaveCard, wraz z kategoriami danych osobowych, które mogą przetwarzać, regionem przetwarzania oraz mechanizmem prawnym, na którym opieramy się w przypadku międzynarodowego transferu danych osobowych do tych podmiotów.
| # | Podpodmiot przetwarzający | Cel | Kategorie danych osobowych | Region przetwarzania | Mechanizm transferu |
|---|---|---|---|---|---|
| 1 | Google Cloud Platform (Google Ireland Limited / Google LLC) | Hosting aplikacji, obliczenia bezserwerowe (Cloud Functions), baza danych (Firestore), przechowywanie plików (Cloud Storage), hosting statyczny (Firebase Hosting) | Dane konta klienta biznesowego, dane lojalnościowe klienta końcowego, tokeny uwierzytelniające, logi serwera | europe-west4 (Eemshaven, Holandia) dla Cloud Functions; wieloregion eur3 (Holandia + Belgia) dla Firestore | Przetwarzanie w UE (brak transferu); w przypadku, gdy dane są przekazywane do Google LLC w USA (np. dostęp z płaszczyzny kontrolnej), stosowane są Standardowe Klauzule Umowne UE z 2021 r. (Moduł 3) oraz Ramy Ochrony Danych UE–USA (DPF) |
| 2 | Apple Push Notification Service (Apple Inc. / Apple Distribution International Ltd.) | Dostarczanie aktualizacji kart w Portfelu Apple na urządzeniach klientów końcowych | Tokeny kart w Portfelu, zawartość aktualizacji kart (nazwa firmy, liczba pieczątek, tekst nagrody) | Stany Zjednoczone | Standardowe Klauzule Umowne UE z 2021 r. (Moduł 3) + DPF |
| 3 | Google Wallet API (Google LLC) | Generowanie kart w Portfelu Google dla klientów końcowych korzystających z systemu Android | Zawartość karty (nazwa firmy, liczba pieczątek, tekst nagrody, identyfikator karty), imię klienta końcowego | Stany Zjednoczone (z możliwością awaryjnego przetwarzania w UE) | Standardowe Klauzule Umowne UE z 2021 r. (Moduł 3) + DPF |
| 4 | Stripe Payments Europe, Limited (Irlandia) oraz Stripe, Inc. (Stany Zjednoczone) | Przetwarzanie płatności za subskrypcje od klientów biznesowych; fakturowanie; zapobieganie oszustwom | Dane identyfikacyjne do fakturowania klienta biznesowego, token metody płatności, historia faktur. Pełne numery kart i kody CVV są przetwarzane bezpośrednio przez Stripe i nigdy nie trafiają do FaveCard. | Głównie: Irlandia (UE); niektóre procesy związane z zapobieganiem oszustwom i zgodnością w USA | Standardowe Klauzule Umowne UE z 2021 r. (Moduł 1, C2C, ponieważ Stripe jest niezależnym administratorem w zakresie zapobiegania oszustwom) + DPF |
| 5 | Resend (Plus Five Five, Inc., działająca jako Resend, Stany Zjednoczone) | Dostarczanie transakcyjnych wiadomości e-mail (e-maile z gotową kartą, resetowanie hasła, paragony, onboarding) z notify.favecard.co | Adres e-mail odbiorcy, imię odbiorcy, treść wiadomości e-mail (która może zawierać treści specyficzne dla Wystawcy), status dostarczenia | Stany Zjednoczone | Standardowe Klauzule Umowne UE z 2021 r. (Moduł 3) + DPF |
| 6 | Loops (Astrodon Corporation, działająca jako Loops, Stany Zjednoczone) | Dostarczanie własnych marketingowych i produktowych wiadomości e-mail FaveCard do klientów biznesowych z hey.favecard.co | Adres e-mail klienta biznesowego, imię, preferencje marketingowe, zdarzenia zaangażowania (otwarcia, kliknięcia) | Stany Zjednoczone | Standardowe Klauzule Umowne UE z 2021 r. (Moduł 3) + DPF |
| 7 | Sentry (Functional Software, Inc., działająca jako Sentry, Stany Zjednoczone) | Monitorowanie błędów aplikacji i śledzenie wydajności | Ślady błędów, ślady stosu, user agent, adres IP (w miarę możliwości skracany), identyfikator użytkownika Firebase Auth | Region UE (Frankfurt, Niemcy) | Przetwarzanie w UE (brak transferu); w przypadku dostępu z płaszczyzny kontrolnej przez personel Sentry w USA, stosowane są Standardowe Klauzule Umowne UE z 2021 r. (Moduł 3) + DPF |
| 8 | PostHog (PostHog, Inc., Stany Zjednoczone / Hiberly Ltd., Wielka Brytania) | Analityka produktu i statystyki użytkowania pulpitu biznesowego oraz aplikacji Flutter | Identyfikator klienta biznesowego (pseudonimiczny), zdarzenia w pulpicie, informacje o urządzeniu i przeglądarce, przybliżona lokalizacja na podstawie adresu IP | Instancja UE — eu.posthog.com (Frankfurt, Niemcy) | Przetwarzanie w UE (brak transferu) |
| 9 | Vercel (Vercel Inc., Stany Zjednoczone) | Hosting publicznej strony biznesowej (business-page-next) i procesu rejestracji karty przez klienta końcowego | Logi żądań HTTP, adres IP, user agent, dane z formularzy w tranzycie | cdg1 (Paryż, Francja) dla sieci brzegowej i regionu głównego; procesy budowania i płaszczyzna kontrolna w Stanach Zjednoczonych | Przetwarzanie w UE dla środowiska wykonawczego; Standardowe Klauzule Umowne UE z 2021 r. (Moduł 3) + DPF dla dostępu z płaszczyzny kontrolnej w USA |
| 10 | Cloudflare (Cloudflare, Inc., Stany Zjednoczone) | Ochrona formularzy rejestracji i listy oczekujących FaveCard przed botami (Cloudflare Turnstile). Cloudflare wykorzystuje te sygnały także jako niezależny administrator, do ulepszania wykrywania botów (Turnstile Privacy Addendum) | Adres IP odwiedzającego, user agent i odcisk TLS przeglądarki, klucz witryny i adres strony formularza. Bez imienia, adresu e-mail ani treści formularza | Globalna sieć Cloudflare (centrum danych najbliższe odwiedzającemu), również poza EOG | DPF (Cloudflare, Inc. posiada certyfikację); Standardowe Klauzule Umowne UE z 2021 r. (Moduł 2) na podstawie Data Processing Addendum Cloudflare; wykorzystanie jako niezależny administrator opiera się na DPF |
| 11 | Trustpilot (Trustpilot A/S, Dania) | Zaproszenia do wystawienia opinii: po zakupie płatnego planu przez klienta biznesowego e-mail z podziękowaniem od naszego założyciela trafia także jako ukryta kopia (BCC) na adres zaproszeń Trustpilot, a Trustpilot zaprasza kupującego do wystawienia opinii o FaveCard | Adres e-mail, imię i nazwa firmy kupującego oraz język e-maila, w postaci zawartej w tym e-mailu. Bez danych klientów końcowych | EOG i Wielka Brytania (Trustpilot A/S ma siedzibę w Danii) | Poza EOG i Wielką Brytanię tylko z zabezpieczeniami wymaganymi przez przepisy o ochronie danych (umowa powierzenia Trustpilot) |
Uwagi do tabeli
- Kolumna Region przetwarzania odzwierciedla, gdzie dane są przechowywane i przetwarzane w stanie spoczynku dla głównej ścieżki. Niektóre podpodmioty replikują dane między regionami (na przykład wieloregion Firestore
eur3obejmuje Belgię i Holandię); repliki te pozostają w UE. - Kolumna Mechanizm transferu ma zastosowanie tylko w przypadkach, gdy dane osobowe są przekazywane poza Europejski Obszar Gospodarczy. Gdy obie strony znajdują się w UE, mechanizm transferu nie jest wymagany zgodnie z Rozdziałem V RODO.
- Odniesienia do „DPF" oznaczają decyzję stwierdzającą odpowiedni stopień ochrony w ramach Ram Ochrony Danych UE–USA (lipiec 2023 r.). Jeżeli dany podpodmiot przetwarzający z USA nie dokonał samocertyfikacji w ramach DPF, opieramy się wyłącznie na Standardowych Klauzulach Umownych UE z 2021 r. Zaktualizujemy tę stronę, jeśli DPF zostanie unieważniony.
- Odniesienia do „SKU" oznaczają Standardowe Klauzule Umowne przyjęte Decyzją Wykonawczą Komisji (UE) 2021/914 z dnia 4 czerwca 2021 r.
Dane szczegółowe podpodmiotów przetwarzających i Umowy Powierzenia Przetwarzania Danych
Dla każdego podpodmiotu przetwarzającego poniższy link prowadzi do jego własnych warunków przetwarzania danych, które stanowią podstawę naszej współpracy.
- Google Cloud Platform — Cloud Data Processing Addendum
- Apple Push Notification Service — podlega Umowie licencyjnej programu Apple Developer Program oraz Polityce prywatności Apple. Apple Privacy Governance
- Google Wallet API — Google API Services User Data Policy oraz Cloud Data Processing Addendum Google, jak powyżej
- Stripe — Stripe Data Processing Agreement
- Resend — Resend Data Processing Agreement
- Loops — Loops Data Processing Agreement
- Sentry — Sentry Data Processing Addendum
- PostHog — PostHog Data Processing Agreement
- Vercel — Vercel Data Processing Addendum
- Cloudflare — Cloudflare Data Processing Addendum oraz Turnstile Privacy Addendum
- Trustpilot — Trustpilot Data Processing Agreement
Kategorie danych osobowych według źródła
Aby ułatwić Państwu audyt przepływów danych:
Dane klienta biznesowego (gdy jest Pan/Pani podmiotem danych)
- Przetwarzane przez: Google Cloud, Stripe, Resend (transakcyjne), Loops (marketing, jeśli wyrażono zgodę), Sentry (ślady błędów), PostHog (analityka pulpitu), Vercel (strona logowania), Cloudflare (formularze rejestracji i listy oczekujących, zanim powstanie konto), Trustpilot (zaproszenie do wystawienia opinii po zakupie płatnego planu)
Dane klienta końcowego (gdy firma jest administratorem, a FaveCard jest podmiotem przetwarzającym w jej imieniu)
- Przetwarzane przez: Google Cloud, Apple APNs, Google Wallet API, Resend (e-mail z gotową kartą), Vercel (strona rejestracji karty)
- Nie są udostępniane: Loops (własna lista marketingowa FaveCard), PostHog (analityka ograniczona do pulpitu), Cloudflare (tylko formularze rejestracji i listy oczekujących), Trustpilot (tylko klienci biznesowi)
Techniczne dane operacyjne (logi, diagnostyka, metryki)
- Przetwarzane przez: Google Cloud (logi), Sentry (ślady błędów), PostHog (zachowanie w pulpicie), Vercel (logi brzegowe)
Co nie jest podpodmiotem przetwarzającym
Następujące strony trzecie wchodzą w interakcję z ekosystemem FaveCard, ale nie są podpodmiotami przetwarzającymi w rozumieniu art. 28 RODO, ponieważ nie przetwarzają danych osobowych w imieniu FaveCard:
- Aplikacje użytkownika końcowego Apple Wallet i Google Wallet — te aplikacje działają na urządzeniu klienta końcowego i otrzymują kartę po jej dostarczeniu; Apple i Google w charakterze platform portfeli są niezależnymi administratorami danych w tych aplikacjach. (Usługi Apple APNs i Google Wallet API, które są usługami nadrzędnymi, z których aktywnie korzysta FaveCard, są podpodmiotami przetwarzającymi — zobacz punkty 2 i 3.)
- Rejestrator domen i dostawca DNS (GoDaddy) — obsługuje wyłącznie rekordy DNS, nie przetwarza danych osobowych.
- Banki i sieci kart płatniczych (Visa, Mastercard itp.) — obsługują dane płatnicze jako niezależni administratorzy danych za pośrednictwem Stripe.
Historia zmian
Ta strona zawiera rejestr wszystkich dodanych, usuniętych i istotnych zmian na liście podpodmiotów przetwarzających, dla celów audytu przez klientów.
| Data | Zmiana | Uwagi |
|---|---|---|
| 2026-10-22 | Dodano Trustpilot A/S | Zaproszenia do wystawienia opinii po zakupie płatnego planu. Adres e-mail, imię i nazwa firmy kupującego oraz język e-maila; bez danych klientów końcowych. |
| 2026-10-19 | Dodano Cloudflare, Inc. (Turnstile) | Ochrona formularzy rejestracji i listy oczekujących przed botami. Bez danych klientów końcowych i bez danych istniejących kont. |
| 2026-04-21 | Pierwsza publikacja Listy Podpodmiotów Przetwarzających v1.0 | Wersja pierwsza |
Poprzednie wersje tej strony są archiwizowane pod adresem favecard.co/legal/subprocessors/archive.
Kontakt
W przypadku pytań dotyczących tej listy, chęci subskrypcji powiadomień o zmianach lub zgłoszenia sprzeciwu wobec konkretnego podpodmiotu przetwarzającego:
Qualityc Łukasz Fryc Kasinka Mała 472 34-734 Kasinka Mała Polska
NIP: 7372138804 EU VAT: PL7372138804 Email: privacy@favecard.co