Lista podprocesorów — Attestia.eu

Wersją wiążącą jest wersja polska. Wersja angielska ma charakter informacyjny.

Wersja / Version: 1.0 Data wejścia w życie / Effective date: 2026-04-22 Ostatnia aktualizacja / Last updated: 2026-04-22 Dokumenty powiązane:

• Regulamin § 10 + Załącznik nr 1 (DPA) — attestia.eu/terms
• Polityka Prywatności sekcja 6 — attestia.eu/privacy
• Bezpieczeństwo — attestia.eu/security

1. Czym jest lista podprocesorów

Na podstawie art. 28 ust. 2 i ust. 4 RODO oraz art. 5 DPA (Załącznik nr 1 do Regulaminu), Attestia jako podmiot przetwarzający udostępnia Organizacjom (administratorom danych) aktualną listę dalszych podmiotów przetwarzających (dalej: „podprocesorzy"), z których korzysta w związku ze świadczeniem Platformy.

Niniejsza strona jest jedynym wiążącym źródłem aktualnej listy podprocesorów. W przypadku rozbieżności między niniejszą listą a kopiami publikowanymi w innych miejscach (Polityka Prywatności, Regulamin), pierwszeństwo ma treść tej strony — z zastrzeżeniem, że Regulamin i Polityka Prywatności są aktualizowane równolegle.

Określenia pisane wielką literą mają znaczenie nadane im w Regulaminie.

2. Aktualna lista podprocesorów

Liczba aktywnych podprocesorów: 5.

3. Opcjonalne zewnętrzne narzędzia uwierzytelniania

Poniższe narzędzia są uruchamiane wyłącznie gdy Użytkownik zdecyduje się z nich skorzystać przy rejestracji lub logowaniu (metoda alternatywna do e-mail + hasło). Jeśli Użytkownik korzysta wyłącznie z logowania e-mail + hasło, jego dane nie są udostępniane tym podmiotom.

Zakres danych: identyfikator OAuth, adres e-mail (wyłącznie w zakresie niezbędnym do identyfikacji Konta). Scope ograniczony do email + profile.

4. Proces notyfikacji zmian listy

Zgodnie z art. 5 DPA (Załącznik nr 1 do Regulaminu):

1. Wyprzedzenie: o zamierzonym dodaniu lub zastąpieniu podprocesora Attestia poinformuje Organizacje z co najmniej 30-dniowym wyprzedzeniem przed datą planowanej zmiany.

2. Kanały powiadomień:

   • drogą elektroniczną na adres e-mail Właściciela Konta,
   • poprzez powiadomienie w panelu Platformy,
   • poprzez aktualizację niniejszej strony (wraz z datą publikacji).

3. Prawo sprzeciwu:

   • Organizacja, która ma uzasadnione zastrzeżenia wobec nowego podprocesora, może wnieść sprzeciw w terminie 30 dni od otrzymania powiadomienia.
   • Strony podejmują negocjacje w celu znalezienia rozwiązania.
   • Jeśli rozwiązanie nie zostanie osiągnięte w terminie 30 dni od wniesienia sprzeciwu, Organizacja ma prawo wypowiedzieć umowę ze skutkiem natychmiastowym, z zachowaniem prawa do proporcjonalnego zwrotu opłaty za niewykorzystany Okres Rozliczeniowy.

4. Forma wniesienia sprzeciwu: e-mail na adres privacy@attestia.eu z tematem [OBJECTION: SUB-PROCESSOR] i uzasadnieniem.

5. Obowiązki wobec nowego podprocesora: Attestia zapewnia, że na każdego nowego podprocesora nałożone zostaną te same obowiązki ochrony danych, jakie wynikają z DPA (Załącznik nr 1 do Regulaminu) — w szczególności obowiązki wynikające z art. 28 ust. 3 RODO i Załącznika A (Środki techniczne i organizacyjne).

5. Transfery poza EOG

Attestia NIE transferuje poza EOG:

• Danych Organizacji (opisów Systemów AI, odpowiedzi na kwestionariusze, plików dowodowych),
• wygenerowanych Dokumentów Compliance,
• danych przetwarzanych przez Azure OpenAI (region Sweden Central, w granicach UE).

6. Odbiorcy niebędący podprocesorami

Następujące podmioty mogą otrzymywać dane w określonym zakresie, ale nie są podprocesorami w rozumieniu art. 28 RODO:

7. Procedura weryfikacji podprocesorów

Każdy nowy podprocesor przed wprowadzeniem na listę jest oceniany pod kątem:

1. Zgodność z RODO — posiadanie DPA z Attestia zgodnego z art. 28 RODO, wraz z Załącznikiem środków technicznych i organizacyjnych (art. 32 RODO).
2. Lokalizacja danych — preferencja dla regionów EU/EOG; transfery poza EOG tylko z adekwatnym mechanizmem (SCC / DPF / decyzja o adekwatności).
3. Bezpieczeństwo — certyfikacje (ISO 27001, SOC 2), historia incydentów, postawa security.
4. Finansowa stabilność — minimalizacja ryzyka supply-chain wynikającego z upadłości/wycofania z rynku.
5. Interoperability — możliwość migracji do alternatywnego dostawcy bez utraty funkcjonalności compliance.

Wynik oceny jest dokumentowany w wewnętrznym rejestrze Attestia.

8. Historia zmian listy

Zmiany w liście są archiwizowane i udostępniane na żądanie kierowane na privacy@attestia.eu.

9. Zapis do notyfikacji

Organizacje otrzymują notyfikacje o zmianach listy automatycznie na adres e-mail Właściciela Konta. Dodatkowo każda osoba zainteresowana (np. DPO klienta, compliance officer) może zapisać się na dedykowany kanał notyfikacji kierując zgłoszenie na privacy@attestia.eu z tematem [SUBPROCESSOR UPDATES SUBSCRIPTION].

10. Kontakt