| Siedziba | 101 Townsend St, San Francisco, CA 94107, USA |
| Cel przetwarzania | Sieć CDN i WAF (ochrona przed atakami); Cloudflare Tunnel (bezpieczny tunel do VPS bez otwartych portów); Cloudflare R2 (object storage, region EU) — zarówno kopie zapasowe, jak i pliki dowodowe przesyłane przez Dzierżawcę; Cloudflare Pages (hosting strony marketingowej) |
| Kategorie danych | Adresy IP użytkowników, nagłówki HTTP, metadane żądań; zaszyfrowane kopertowo archiwa kopii zapasowych (bez dostępu do klucza); pliki dowodowe przesyłane przez Dzierżawcę — te ostatnie są szyfrowane wyłącznie po stronie dostawcy (AES-256 R2), więc Cloudflare technicznie może je odczytać. Zgodnie z §3–4 DPA są to dane pracowników, wykonawców i pełnomocników Dzierżawcy, osób trzecich oraz treści compliance — w zakresie, w jakim Dzierżawca umieści w dowodzie dane osobowe. Szyfrowanie po stronie klienta jest zaplanowane i jeszcze nie wdrożone. |
| Kraj przetwarzania | UE/EOG (dane kierowane przez EU PoP); siedziba US |
| Gwarancje transferu | Standardowe Klauzule Umowne (SCC, art. 46 ust. 2 lit. c RODO); Cloudflare DPA; ramy EU–US Data Privacy Framework |
| DPA z Cloudflare | cloudflare.com/cloudflare-customer-dpa |
| Polityka prywatności | cloudflare.com/privacypolicy |
| Siedziba | 500 Ben Franklin Ct, San Mateo, CA 94401, USA |
| Cel przetwarzania | Drugorzędne kopie zapasowe (Backblaze B2, region EU Amsterdam) w ramach polityki 3-2-1. Kopie są szyfrowane AES-256-GCM przed opuszczeniem VPS — Backblaze nie ma dostępu do klucza szyfrowania. |
| Kategorie danych | Zaszyfrowane bloki danych bazy danych i plików (brak dostępu Backblaze do treści) |
| Kraj przetwarzania | UE (Amsterdam); siedziba US |
| Gwarancje transferu | SCC; dane szyfrowane end-to-end (klucze tylko na VPS i w Vault) |
| Polityka prywatności | backblaze.com/company/privacy.html |
| Siedziba | One Microsoft Way, Redmond, WA 98052, USA |
| Cel przetwarzania | Wysyłanie powiadomień e-mail przez Microsoft Graph API (Microsoft 365 — Model A: jeden dzierżawca M365 dla całej platformy) |
| Kategorie danych | Adres e-mail odbiorcy, treść powiadomienia (bez danych uwierzytelniania); przy raportach zaplanowanych przez Dzierżawcę (eksport raportu niestandardowego albo raport KSC w PDF) i przy kwartalnym raporcie dla CISO, który Operator wysyła administratorom Dzierżawcy — sam plik raportu w załączniku, więc Microsoft przetwarza jego treść |
| Kraj przetwarzania | UE (centra danych EU dla klientów w UE); siedziba US |
| Gwarancje transferu | SCC; Microsoft DPA; Microsoft EU Data Boundary |
| DPA z Microsoft | Microsoft DPA |
| Siedziba | One Microsoft Way, Redmond, WA 98052, USA |
| Cel przetwarzania | Powiernictwo kluczy kryptograficznych. Azure Key Vault przechowuje (a) klucz prywatny RSA-4096 odpakowujący klucz AES-256-GCM każdej logicznej kopii zapasowej, (b) materiał klucza automatycznie otwierający HashiCorp Vault przy starcie oraz (c) pgbackrest-cipher-pass — symetryczne hasło repozytoriów odtworzenia do punktu w czasie. (a) i (b) są nieeksportowalne; (c) jest zwykłym sekretem i jest odczytywane przez maszynę przy każdym starcie. |
| Kategorie danych | Brak danych osobowych i żadnego archiwum kopii zapasowej. Granicę przekracza wyłącznie materiał klucza. |
| Kraj przetwarzania | Sejf utworzony w regionie UE. |
| Gwarancje transferu | SCC; Microsoft DPA; zobowiązanie do regionu UE dla sejfu. |
| Poziom bezpieczeństwa | ISO 27001, SOC 2 Type II, ISO 27018. Podmiot usługowy maszyny produkcyjnej ma odmowę uprawnienia unwrap, więc kompromitacja maszyny nie pozwala odszyfrować istniejących kopii logicznych; automatyczna kontrola weryfikuje tę odmowę. Granica jest jednak węższa, niż może się wydawać: ten sam podmiot usługowy może odczytać hasło pgBackRest, więc repozytoria PITR (około ośmiu dni) są w jego zasięgu. Hasło to może odczytać także odrębny podmiot usługowy testu odtworzenia — jedyna tożsamość uprawniona do odpakowania kluczy kopii logicznych — dostępny wyłącznie przez federację OpenID Connect z GitHub, bez zapisanego poświadczenia. |
| Aktywny | Tak — aktywny od przejścia na szyfrowanie kopertowe. |
| Klasyfikacja wg art. 28 | Ujęte zachowawczo. Azure Key Vault otrzymuje wyłącznie materiał klucza, nigdy dane osobowe — czy jest podwykonawcą przetwarzania, czy pomocniczą usługą kryptograficzną, jest kwestią dla przeglądu prawnego. Ujawniamy go, ponieważ przechowywany klucz jest nośny dla poufności kopii zapasowych Dzierżawcy. |
| Siedziba | OVH Sp. z o.o., Wrocław, Polska (polski podmiot grupy OVHcloud) |
| Cel przetwarzania | Hosting infrastruktury: serwer wirtualny (VPS), na którym działają aplikacja, baza danych PostgreSQL, Redis, HashiCorp Vault i procesy kopii zapasowych CyberZgodność EDU. OVH dostarcza maszynę wirtualną i centrum danych; nie ma konta w aplikacji i jej nie obsługuje. |
| Kategorie danych | Wszystkie kategorie danych przetwarzanych w Usłudze, jako ich host infrastruktury. Dyski serwera są zaszyfrowane LUKS. |
| Kraj przetwarzania | Polska — centrum danych Warszawa (OVH WAW2), UE |
| Gwarancje transferu | Brak transferu poza UE/EOG |
| Umowa powierzenia | To, czy z OVHcloud zawarto umowę powierzenia (art. 28 ust. 3 RODO), jest potwierdzane. [DO UZUPEŁNIENIA: potwierdzić i dodać link do DPA OVHcloud jeśli wymagane przez audytora] |
| Aktywny | Tak — od 2026-09-01 |
| Siedziba | netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, Niemcy |
| Cel przetwarzania | Hosting samodzielnie zarządzanego runnera GitHub Actions Operatora w Wiedniu (Austria). Raz na kwartał (oraz na żądanie) automatyczny test odtwarza na nim kopię produkcyjnej bazy danych z wybranego punktu w czasie, weryfikuje łańcuchy audytu i usuwa kopię. |
| Kategorie danych | Wszystkie kategorie danych z produkcyjnej bazy danych — przejściowo, na czas testu (zwykle najwyżej godzinę na markę), w woluminie usuwanym po jego zakończeniu. Hasło deszyfrujące jest pobierane z Azure Key Vault wyłącznie na dany przebieg i nie jest przechowywane na runnerze. Runner należy do samodzielnie zarządzanej puli współdzielonej w całej organizacji GitHub Operatora, której system plików przetrwa między zadaniami; odtworzenie trafia do nazwanego woluminu kontenera usuwanego po teście, ale jeśli host ulegnie awarii w trakcie testu, wolumin może pozostać do czasu ręcznego usunięcia. |
| Kraj przetwarzania | Austria (Wiedeń), UE |
| Gwarancje transferu | Brak transferu poza UE/EOG. To, czy z dostawcą zawarto umowę, o której mowa w art. 28 ust. 3 RODO, jest potwierdzane. |
| Aktywny | Tak — pierwszy przebieg według kwartalnego harmonogramu 2026-10-01 |
| Siedziba | 88 Colin P. Kelly Jr. Street, San Francisco, CA 94107, USA |
| Cel przetwarzania | Hosting kodu źródłowego i ciągła integracja; rejestr obrazów kontenerów (ghcr.io), z którego serwery produkcyjne pobierają kod i obrazy; orkiestracja kwartalnego testu odtworzenia; federacja tożsamości — GitHub wystawia token OpenID Connect, który przepływ testu wymienia na dostęp do Azure Key Vault, by odczytać pgbackrest-cipher-pass. |
| Kategorie danych | Żadne dane biznesowe Dzierżawców: kod i obrazy ich nie zawierają, a odtworzona baza pozostaje na runnerze. GitHub przechowuje logi przebiegu testu: wynik, identyfikatory (UUID) weryfikowanych łańcuchów Dzierżawców oraz — przy niepowodzeniu — log serwera PostgreSQL; hasło jest maskowane. |
| Kraj przetwarzania | USA (globalna infrastruktura GitHub) |
| Klasyfikacja wg art. 28 | Ujęte zachowawczo, jak Azure Key Vault: GitHub nie przechowuje danych Dzierżawców, ale jego federacja tożsamości może autoryzować odczyt hasła deszyfrującego kopie PITR. To, czy wymagana jest umowa z art. 28, jest kwestią dla przeglądu prawnego. |
| Aktywny | Tak |
HashiCorp Vault jest obsługiwany przez Operatora na VPS w UE (OVH, Warszawa, Polska — zob. wpis OVH powyżej) i nie jest dalszym podmiotem przetwarzającym w rozumieniu art. 28 RODO. Vault przechowuje ogólnoplatformowy klucz główny sekretów TOTP — wyłącznie w postaci opakowanej kluczem tranzytowym platform-iam — oraz poświadczenia usług; nigdy nie przechowuje danych Klientów. Od 2026-10-10 (P0-1, wydanie R2) silnik tranzytowy Vault przechowuje jeden klucz (KEK) na każdego Dzierżawcę, który opakowuje (szyfruje) DEK tego Dzierżawcy; DEK szyfruje pola poświadczeń Dzierżawcy. Od wydania R3b (2026-10-11) żadne poświadczenie Dzierżawcy, a od wydania kontraktu TOTP żaden sekret TOTP, nie jest szyfrowany kluczem odczytywanym z KV. Pliki dowodowe w magazynie Cloudflare R2 nie mają warstwy szyfrowania po stronie klienta (zaplanowanej na wersję v1.1, nie wdrożonej). Sam Vault otwiera się automatycznie przy starcie kluczem z Microsoft Azure Key Vault, ujawnionym jako podwykonawca powyżej.
| Podmiot | Planowany cel | Status |
|---|---|---|
| Atlassian (Jira Cloud) | Tworzenie zgłoszeń w Jira z incydentów (opcjonalna integracja per Dzierżawca) | Dostępna; wymaga aktywacji przez Dzierżawcę |
Zgodnie z §6 DPA Operator:
| Data | Zmiana | Powiadomienie wysyłane |
|---|---|---|
| 2026-10-22 | Microsoft (Graph API — Model A): opis kategorii danych mówi teraz, że raport zaplanowany przez Dzierżawcę (eksport raportu niestandardowego albo raport KSC w PDF) oraz kwartalny raport dla CISO wysyłany przez Operatora są wysyłane jako załączniki e-mail, więc Microsoft przetwarza ich treść. Nie dodano ani nie zastąpiono żadnego podwykonawcy. | Korekta — dokładniejszy opis przekazywanych danych |
| 2026-10-12 | Potwierdzono z faktury adres rejestrowy netcup GmbH: Emmy-Noether-Straße 10, 76131 Karlsruhe, Niemcy (wcześniej publikowano „siedziba do potwierdzenia”). | |
| 2026-10-11 | Ujawniono jako aktywnych: OVH Sp. z o.o. (hosting serwera produkcyjnego, Warszawa — dotąd błędnie opisany jako infrastruktura własna), netcup GmbH (runner CI w Wiedniu, Austria, kwartalny test odtworzenia) i GitHub, Inc. (kod, obrazy, federacja tożsamości testu). Skorygowano wpis Azure Key Vault (hasło PITR odczytuje także tożsamość testu). Usunięto Stripe z planowanych (odrzucony 2026-05-25). | Korekta — ujawnienie podmiotów już używanych |
| 2026-09-14 | Ujawniono Microsoft Azure Key Vault (powiernictwo kluczy dla kopert kopii zapasowych, auto-unseal Vault i hasło repozytoriów PITR). Skorygowano opis Vault: klucze szyfrowania pól są ogólnoplatformowe, a KEK/DEK per dzierżawca nie istnieją. | Korekta — opis istniejących mechanizmów |
| 2026-05-15 | Pierwotna lista (Cloudflare, Backblaze, Microsoft) | N/D — pierwsza publikacja |