Lista podprocesorów KROVARIQ

Usługodawcą i podmiotem przetwarzającym świadczącym platformę KROVARIQ jest Michał Królak prowadzący działalność gospodarczą pod marką KROVARIQ, NIP: 9472004607, ul. Hipoteczna 21/60, 91-324 Łódź, Polska.

Kontakt dotyczący ochrony danych: [email protected].

Podprocesorem jest zewnętrzny podmiot, któremu KROVARIQ może powierzyć wykonywanie określonych operacji na danych osobowych przetwarzanych w imieniu klienta.

KROVARIQ korzysta z podprocesorów wyłącznie w zakresie niezbędnym do świadczenia usług, utrzymania infrastruktury, realizacji aktywowanych funkcji lub zapewnienia bezpieczeństwa platformy.

Nie każdy dostawca wykorzystywany przez KROVARIQ automatycznie uzyskuje dostęp do wszystkich danych klienta.

Zakres danych zależy od wykorzystywanej usługi, konfiguracji workspace, aktywowanych integracji, rodzaju danych oraz funkcji uruchomionych przez klienta.

Nie każdy podprocesor wymieniony na niniejszej stronie bierze udział w przetwarzaniu danych każdego klienta.

• OpenAI uczestniczy w przetwarzaniu, jeżeli dana funkcja korzysta z AI;
• Gmail uczestniczy w przepływie danych, jeżeli klient połączy konto Google;
• określona usługa pocztowa uczestniczy w przetwarzaniu tylko w przypadku korzystania z tej integracji;
• Stripe uczestniczy w procesie płatności i rozliczeń;
• storage uczestniczy w przetwarzaniu plików, gdy dana funkcja zapisuje materiały w zewnętrznym magazynie obiektowym;
• Booksy uczestniczy w przepływie danych tylko wtedy, gdy klient połączy własne konto lub uzgodniony dostęp API.

KROVARIQ może integrować się z usługami Meta, w szczególności Facebook, Messenger, Instagram oraz Meta Lead Ads.

W ramach integracji mogą być przetwarzane m.in. identyfikatory użytkowników, dane leadów, komentarze, wiadomości, metadane komunikacji oraz informacje dotyczące kont, stron i profili połączonych przez klienta.

Meta nie zawsze powinna być automatycznie klasyfikowana jako podprocesor KROVARIQ. Jej rola może zależeć od konkretnego przepływu danych oraz warunków świadczenia usług Meta.

Dlatego Meta może występować jako niezależny administrator, odrębny administrator lub podmiot uczestniczący w przetwarzaniu na innej podstawie, zależnie od konkretnej integracji.

KROVARIQ może integrować się z Booksy w workspace klientów, którzy samodzielnie korzystają z tej usługi.

W ramach integracji mogą być przetwarzane m.in. dane klientów, terminy wizyt, statusy rezerwacji, metadane usług i informacje potrzebne do follow-upów.

Booksy nie jest kontem KROVARIQ. Klient podłącza własne konto lub uzgodniony dostęp API, a rola Booksy zależy od konkretnego przepływu danych oraz warunków świadczenia usług Booksy.

KROVARIQ ogranicza zakres udostępnianych danych do informacji potrzebnych do wykonania określonej usługi.

• dane identyfikacyjne i kontaktowe;
• dane klientów i leadów;
• treści wiadomości i dane CRM;
• dane zawarte w dokumentach i plikach;
• treści przekazywane do AI;
• dane techniczne, adresy IP i logi;
• dane związane z integracjami;
• dane dotyczące płatności i subskrypcji.

Poszczególni dostawcy KROVARIQ mogą korzystać z własnych podprocesorów.

Przykładowo Cloudflare publikuje własną listę podprocesorów, a jego DPA przewiduje obowiązek jej utrzymywania i informowania o odpowiednich zmianach.

OpenAI również reguluje dalsze powierzenie danych w swoim DPA.

Stripe publikuje aktualną listę dostawców i podprocesorów mogących uczestniczyć w przetwarzaniu danych związanych z usługami Stripe.

Zoho informuje, że konkretni podprocesorzy mogą różnić się w zależności od wykorzystywanej usługi i funkcji.

Niektórzy dostawcy mają globalną infrastrukturę, dlatego określone dane mogą być przetwarzane poza Europejskim Obszarem Gospodarczym.

W przypadku danych powierzonych KROVARIQ transfery odbywają się z wykorzystaniem odpowiedniego mechanizmu przewidzianego przez przepisy, stosownie do konkretnego dostawcy i sytuacji.

• decyzję Komisji Europejskiej stwierdzającą odpowiedni poziom ochrony;
• odpowiedni mechanizm Data Privacy Framework, jeżeli ma zastosowanie;
• standardowe klauzule umowne;
• dodatkowe środki ochrony, jeżeli są wymagane.

W zakresie, w którym dany dostawca działa jako podprocesor powierzonych danych, KROVARIQ wymaga stosowania odpowiednich zasad ochrony danych.

• dane były przetwarzane wyłącznie w odpowiednim zakresie;
• stosowane były odpowiednie środki techniczne i organizacyjne;
• osoby mające dostęp do danych podlegały obowiązkom poufności;
• dalsze powierzenie odbywało się zgodnie z RODO;
• istniały odpowiednie mechanizmy dotyczące naruszeń bezpieczeństwa;
• dane były odpowiednio chronione podczas transferów międzynarodowych;
• po zakończeniu świadczenia usług dane były odpowiednio usuwane lub zwracane zgodnie z obowiązującymi zasadami.

Na zasadach określonych w DPA klient udziela KROVARIQ ogólnej zgody na korzystanie z podprocesorów niezbędnych do świadczenia usług.

KROVARIQ nie może jednak traktować tej zgody jako nieograniczonego upoważnienia do przekazywania danych dowolnym podmiotom.

Każdy podprocesor musi mieć rzeczywistą funkcję związaną ze świadczeniem usługi.

KROVARIQ może zmieniać dostawców lub wprowadzać nowych podprocesorów m.in. w związku z rozwojem platformy, dodawaniem nowych funkcji, poprawą bezpieczeństwa, zmianą infrastruktury, zmianą technologii lub potrzebą zapewnienia ciągłości usług.

W przypadku dodania lub zastąpienia istotnego podprocesora, który będzie przetwarzał dane powierzone przez klientów, KROVARIQ poinformuje o zmianie zgodnie z zasadami określonymi w DPA.

Jeżeli DPA przewiduje ogólną zgodę na podprocesorów, klient może zgłosić uzasadniony sprzeciw wobec nowego podprocesora z przyczyn dotyczących ochrony danych.

Sprzeciw powinien zawierać uzasadnienie.

KROVARIQ i klient podejmą wówczas rozsądne działania w celu rozwiązania problemu, np. poprzez zmianę konfiguracji, wyłączenie określonej funkcji, zastosowanie alternatywnego rozwiązania, jeżeli jest dostępne, albo zakończenie odpowiedniej usługi, jeżeli nie istnieje rozsądne rozwiązanie alternatywne.

Lista podprocesorów jest dokumentem aktualizowanym wraz ze zmianami infrastruktury KROVARIQ.

Data ostatniej aktualizacji jest wskazana na początku dokumentu.

Zmiana drobnego dostawcy, który nie ma dostępu do powierzonych danych osobowych, nie musi oznaczać zmiany niniejszej listy.

Informacja o istotnej zmianie podprocesora może zostać przekazana klientowi poprzez wiadomość e-mail, komunikat w platformie, panel administracyjny albo inny uzgodniony kanał komunikacji.

KROVARIQ może również udostępnić klientom możliwość zapisania się do powiadomień o zmianach listy podprocesorów.

Pytania dotyczące podprocesorów, lokalizacji danych lub mechanizmów ochrony można kierować na: Michał Królak - KROVARIQ, ul. Hipoteczna 21/60, 91-324 Łódź, Polska, NIP: 9472004607, [email protected].