Rola dostawcy zależy od kontekstu i włączonej funkcji. Rejestr nie przedstawia dalszych podprocesorów dostawcy hostowanej platformy jako podmiotów zakontraktowanych bezpośrednio przez Avantwerk. Pełna nazwa tego dostawcy, właściwe DPA i odsyłacz do jego aktualnego łańcucha znajdują się w Umowie Powierzenia, gdzie Klient udziela zgody na podpowierzenie.
1. Łańcuch danych CRM Klienta
| Warstwa | Organizacja | Kontekst i rola | Lokalizacja / transfer |
|---|---|---|---|
| Klient | Klient biznesowy | Zwykle administrator; jeżeli sam jest procesorem, role w łańcuchu przesuwają się odpowiednio | Określa Klient |
| Avantwerk | Bennovate sp. z o.o. | Procesor na polecenie Klienta | Polska / EOG; dostęp zgodny z zakresem usługi |
| Platforma | Dostawca hostowanej platformy wskazany imiennie w DPA | Bezpośredni podprocesor Avantwerk dla hostowanej platformy i włączonych funkcji | USA, Indie i inne lokalizacje ujawnione w DPA i rejestrze dostawcy; mechanizm zależny od odbiorcy |
Dostawca platformy utrzymuje aktualny dalszy rejestr pod adresem wskazanym w DPA. Na dzień weryfikacji 31 sierpnia 2026 r. rejestr obejmuje między innymi:
- infrastrukturę: Google Cloud Services i Amazon Web Services — przechowywanie, USA;
- usługi opcjonalne lub wspierające: Twilio, Mailgun, Chargebacks911, Pendo, ChartMogul, People Data Labs, Freshworks, Zapier, Stripe, Mozart Data i Persona — USA;
- funkcje AI: BotPress, RetellAI, Synthflow i OpenAI — USA;
- podmioty powiązane dostawcy w Indiach i USA.
To datowany opis informacyjny, nie wiążąca kopia utrzymywanego rejestru. Konkretny odbiorca i zakres zależą od włączonej funkcji. Cloudflare, Anthropic, Hetzner i Fakturownia nie figurują w tym rejestrze jako dalsi podprocesorzy dostawcy hostowanej platformy.
2. Bezpośredni podprocesorzy Avantwerk dla projektu Klienta
Do tej tabeli trafia wyłącznie dostawca lub wykonawca zakontraktowany przez Avantwerk, który faktycznie otrzymuje dostęp do danych CRM danego Klienta. Wpis wymaga pełnego podmiotu, usługi, danych, celu, transferu, DPA i aktywnego Zamówienia. Brak wypełnionego wpisu oznacza brak upoważnienia do przekazania danych.
| Podmiot i usługa | Projekt / funkcja | Dane i cel | Kraj / mechanizm | Status |
|---|---|---|---|---|
[uzupełnić albo: brak] |
[uzupełnić] |
[uzupełnić] |
[uzupełnić] |
[zatwierdzony / wyłączony] |
Osoba fizyczna lub firma wdrożeniowa z dostępem do danych musi być albo osobą działającą pod bezpośrednim upoważnieniem i poufnością Bennovate, albo podprocesorem związanym właściwą umową. Określenie „partner” nie rozstrzyga tej roli.
3. Dostawcy zakontraktowani bezpośrednio przez Klienta
Konto Klienta w systemie księgowym, analitycznym, reklamowym, komunikacyjnym lub innym nie staje się podprocesorem Avantwerk tylko dlatego, że Avantwerk konfiguruje integrację. Zamówienie musi wskazać właściciela konta, dostawcę i usługę, dane, cel, zakres dostępu Avantwerk oraz możliwość odebrania dostępu. Nazwa grupy, np. „Google”, bez wskazania konkretnej usługi i konta jest niewystarczająca.
4. Bezpośredni dostawcy Avantwerk w odrębnych kontekstach administratora
| Dostawca | Kontekst potwierdzony w stanie produktu | Rola / granica danych | Status przed publikacją |
|---|---|---|---|
| Stripe Payments Europe / grupa Stripe | Połączenie rozliczeniowe konta Avantwerk; publiczna ścieżka płatna nie jest jeszcze uruchomiona | Dostawca dla rozliczeń Avantwerk; nie baza kontaktów CRM przez sam fakt połączenia | potwierdzić podmiot umowny, przepływ i uruchomione płatności |
| Cloudflare, Inc. | DNS, dostarczanie i bezpieczeństwo publicznych stron Avantwerk | Avantwerk jako administrator strony; IP, żądania i telemetria | potwierdzić strefy, logi, retencję i podmiot umowny |
| Hetzner Online GmbH | Określone usługi hostowane bezpośrednio przez Bennovate | Podprocesor tylko wtedy, gdy Zamówienie kieruje tam dane CRM | wskazać usługę, dane i środowisko albo nie ujmować w łańcuchu CRM |
4.1. Narzędzia biurowe i AI wymagające klasyfikacji konta i przepływu
Poniższe narzędzia nie są automatycznie podprocesorami danych CRM. Stają się bezpośrednimi podprocesorami Avantwerk dla konkretnego projektu tylko wtedy, gdy Avantwerk, działając jako procesor, przekazuje im dane osobowe Klienta lub umożliwia im dostęp do takich danych. Do tego czasu są dostawcami w odrębnym kontekście administratora albo oprogramowaniem lokalnym.
| Usługa / oznaczenie | Prawidłowa klasyfikacja bazowa | Warunek użycia z danymi Klienta | Status dowodowy |
|---|---|---|---|
| Google Workspace (np. Gmail, Drive, Docs) | Dostawca biurowy Bennovate w kontekście administratora | Wpisać do tabeli 2, jeżeli dane projektu trafiają na konto Workspace Bennovate; potwierdzić podmiot umowny, region, DPA i retencję | użycie Workspace potwierdzone; zakres danych i umowa do potwierdzenia |
| Microsoft 365 (Outlook, OneDrive, aplikacje Office) | Dostawca biurowy Bennovate w kontekście administratora | Jak wyżej, jeżeli poczta lub pliki projektu zawierające dane Klienta trafiają do tenantu Bennovate | użycie zgłoszone przez operatora; tenant, licencja, podmiot i przepływ do potwierdzenia |
| OpenAI (ChatGPT Business i Codex) | Dostawca AI Bennovate na koncie biznesowym; odrębny od ewentualnego dostawcy tej samej technologii w dalszym łańcuchu platformy | Wpisać do tabeli 2 dla projektu, jeżeli Avantwerk przekazuje dane Klienta; określić cel, kategorie danych, ustawienia retencji i minimalizację | konto biznesowe potwierdzone przez operatora; podmiot umowny, DPA i konfiguracja do udokumentowania |
| Gemini w Google Workspace | Funkcja AI objęta firmowym środowiskiem Google Workspace, a nie konsumencka usługa Gemini | Wpisać do tabeli 2, jeżeli Avantwerk przekazuje dane Klienta; wskazać edycję Workspace, ustawienia, cel i retencję | konto Workspace potwierdzone przez operatora; edycja, podmiot umowny i konfiguracja do udokumentowania |
| Amazon Web Services — Amazon Bedrock, region obciążenia UE | Dostawca chmurowej usługi AI Bennovate; wybrany model i funkcja wpływają na właściwe warunki i przetwarzanie | Wpisać do tabeli 2, jeżeli projekt kieruje dane Klienta do Bedrock; wskazać konto, dokładny region, model, rejestrowanie/retencję, szyfrowanie i cel | firmowe użycie i region obciążenia UE potwierdzone przez operatora; konto, dokładny region, model i konfiguracja do udokumentowania |
| OpenClaw | Oprogramowanie / warstwa wykonawcza, nie samodzielny podmiot prawny ani automatyczny podprocesor | Rejestruje się faktycznych dostawców modeli, hostingu, komunikacji i pamięci skonfigurowanych w danym wdrożeniu | dostawcy runtime i przepływy do zinwentaryzowania |
| Blackflake | Własna marka / platforma w portfelu Bennovate, nie zewnętrzny dostawca z samej nazwy | Osobna relacja prawna lub infrastruktura wymaga wskazania podmiotu, roli i rzeczywistego przepływu; marka nie zastępuje tych danych | nie wpisywać jako podprocesora bez konkretnego przepływu |
Nazwa „CrowdFlow” nie została potwierdzona jako dostawca. Jeżeli chodzi o Cloudflare, jest już ujęty powyżej. Jeżeli chodzi o inną usługę, przed wpisaniem trzeba ustalić pełną nazwę prawną, konto i przepływ.
Fakturownia i Anthropic nie są przedstawiane jako aktualni bezpośredni dostawcy CRM bez dowodu umowy i rzeczywistego przepływu. Jeżeli przetwarzają wyłącznie dane, dla których Bennovate jest administratorem, należą do osobnego rejestru tego kontekstu.
5. Minimalne pola rekordu przed uruchomieniem
| Pole | Wymagane ustalenie |
|---|---|
| Pełny podmiot prawny i usługa | [uzupełnić] |
| Rola i kontekst | [uzupełnić] |
| Kategorie danych i osób | [uzupełnić] |
| Cel i opcjonalna funkcja uruchamiająca przepływ | [uzupełnić] |
| Kraj przetwarzania i mechanizm transferu | [uzupełnić] |
| DPA / informacja dostawcy | [uzupełnić] |
| Data dodania i ostatniej weryfikacji | [uzupełnić] |
6. Zmiany i sprzeciw
Avantwerk, gdy jest to rozsądnie możliwe, uprzedza co najmniej 30 dni przed nowym bezpośrednim podprocesorem danych CRM. Klient może sprzeciwić się z uzasadnionych przyczyn ochrony danych. Dla dalszego łańcucha dostawcy hostowanej platformy Avantwerk przekazuje otrzymane istotne powiadomienie bez zbędnej zwłoki i nie obiecuje dłuższego terminu niż dostawca faktycznie udostępnił.
Kanałem zawiadomień dotyczących zmian w podprocesorach i ochrony danych jest [email protected]. Jest to funkcjonalna skrzynka kontaktowa spółki.
