Lista dalszych podmiotów przetwarzających gabinet.one

Wersja 1.6 — obowiązuje od 19 września 2026 r.

1. Operator i zakres dokumentu

Operatorem Serwisu gabinet.one jest Radość Zmysłów Gabinet Terapeutyczny Karolina Szafrankiewicz, ul. Mariana Pelczara 14/1, 80-175 Gdańsk, e-mail: kontakt@mapaterapii.pl, dalej „Operator”.

W odniesieniu do danych klientów, pacjentów, dzieci, rodziców lub opiekunów, personelu oraz innych osób wprowadzanych do Serwisu przez Gabinet, właściwy Gabinet jest administratorem danych, a Operator działa jako podmiot przetwarzający na podstawie Umowy powierzenia przetwarzania danych osobowych.

Niniejsza lista obejmuje podmioty, którym Operator może podpowierzać przetwarzanie danych w zakresie niezbędnym do działania, zabezpieczenia, komunikacji, tworzenia kopii zapasowych i odtwarzania Serwisu.

Zakres danych przekazywanych danemu podmiotowi zależy od wykorzystywanej funkcji. Może obejmować dane identyfikacyjne i kontaktowe, dane kont, dane dzieci i opiekunów, dane dotyczące wizyt i rozliczeń, treść komunikacji, adresy IP, identyfikatory techniczne, a w przypadku funkcji dokumentacji terapeutycznej również dane dotyczące zdrowia.

2. Stali podprocesorzy infrastruktury produkcyjnej

2.1. Supabase, Inc. — baza danych, uwierzytelnianie i pliki

Podmiot: Supabase, Inc., Stany Zjednoczone
Usługa: Supabase
Rola: produkcyjna baza PostgreSQL, uwierzytelnianie, autoryzacja, interfejsy API, kolejki i Supabase Storage.
Kategorie danych: dane przechowywane w Serwisie, w tym dane kont, Gabinetów, personelu, klientów, dzieci i opiekunów, wizyt, rezerwacji, rozliczeń, zgód, dokumentacji terapeutycznej, informacji przekazanych przez gabinet, celów i załączników; metadane techniczne i logi.
Lokalizacja głównych danych projektu: region AWS eu-west-1 — Irlandia.
Transfery poza EOG: mogą występować w zakresie dostępu organizacyjnego, wsparcia lub dalszych podprocesorów Supabase; są zabezpieczane zgodnie z DPA Supabase, w tym odpowiednimi mechanizmami przewidzianymi w rozdziale V RODO.
Informacje: https://supabase.com/legal/customer-resources/data-processing-addendum oraz https://supabase.com/legal/customer-resources/subprocessor-list

2.2. Scalingo SAS — hosting aplikacji i runtime

Podmiot: Scalingo SAS, Francja
Usługa: Scalingo, aplikacja HDS
Rola: produkcyjny hosting aplikacji, wykonywanie kodu serwerowego, obsługa żądań HTTP, endpointów wewnętrznych, logów operacyjnych, kolejek i procesów technicznych.
Kategorie danych: dane przesyłane do i z Serwisu, dane sesji, identyfikatory kont i Gabinetów, adresy IP, nagłówki żądań, dane zawarte w obsługiwanych operacjach oraz ograniczone logi techniczne. Zakres może obejmować dane dotyczące zdrowia, gdy są przetwarzane przez funkcje Serwisu.
Lokalizacja: region osc-fr1, Francja. Aplikacja produkcyjna jest skonfigurowana jako aplikacja HDS.
Dalszy podprocesor infrastrukturalny: OUTSCALE, Francja, w zakresie centrów danych i usług infrastrukturalnych wskazanych w DPA Scalingo.
Transfery poza EOG: główne hostowanie danych odbywa się we Francji; ewentualne inne transfery następują wyłącznie zgodnie z DPA Scalingo i wykazem jego dalszych podprocesorów.
Informacje: https://scalingo.com/data-processing-agreement

2.3. Amazon Data Services European Sovereign Cloud GmbH — kopie zapasowe

Podmiot: Amazon Data Services European Sovereign Cloud GmbH, Niemcy
Usługa: AWS European Sovereign Cloud — Amazon S3 i AWS Key Management Service (KMS)
Rola: przechowywanie zweryfikowanych kopii zapasowych produkcyjnej bazy danych i plików z Supabase Storage, zarządzanie kluczem szyfrującym oraz zapewnienie możliwości odtworzenia danych.
Kategorie danych: szyfrowane kopie danych produkcyjnych, które mogą zawierać dane kont, Gabinetów, personelu, klientów, dzieci i opiekunów, wizyt, rozliczeń, zgód, informacji przekazanych przez gabinet, dokumentacji terapeutycznej i załączników; manifesty techniczne kopii.
Zabezpieczenia techniczne: szyfrowanie w transmisji i w spoczynku kluczem zarządzanym w AWS KMS (alias mapaterapii-backups), kontrola dostępu, weryfikacja integralności SHA-256, pełny odczyt kontrolny oraz S3 Object Lock w trybie GOVERNANCE przez co najmniej 60 dni.
Lokalizacja: region eusc-de-east-1, Niemcy, AWS European Sovereign Cloud.
Transfery poza EOG: dla standardowego przechowywania S3 i zarządzania kluczami KMS dane są przetwarzane w Niemczech. Jeżeli Operator z własnej inicjatywy przekaże dane w zgłoszeniu wsparcia, mogą uczestniczyć wskazane przez AWS podmioty wsparcia w EOG zgodnie z warunkami AWS.
Informacje: https://aws.amazon.com/compliance/sub-processors/

3. Podprocesorzy komunikacji i zabezpieczeń

3.1. Google Workspace Business Standard — poczta elektroniczna

Podmiot: Google LLC oraz właściwy podmiot Google obsługujący konto w Europejskim Obszarze Gospodarczym
Usługa: Google Workspace Business Standard / Gmail
Rola: wysyłanie wiadomości transakcyjnych i systemowych, w tym potwierdzeń konta, resetów hasła, zaproszeń, informacji o rezerwacjach, płatnościach i dokumentach.
Kategorie danych: adres e-mail odbiorcy i nadawcy, temat, treść wiadomości, techniczne nagłówki wiadomości oraz informacje niezbędne do doręczenia. Operator ogranicza treść wiadomości tak, aby nie przesyłać szczegółowej dokumentacji podlegającej szczególnym przepisom.
Transfery poza EOG: mogą występować zgodnie z warunkami i DPA Google właściwymi dla wykorzystywanego konta.

3.2. LINK Mobility Poland sp. z o.o. — SMSAPI

Podmiot: LINK Mobility Poland sp. z o.o., operator usługi SMSAPI
Usługa: SMSAPI
Rola: wysyłanie wiadomości SMS wyłącznie dla funkcji, dla których Gabinet włączył komunikację SMS.
Kategorie danych: numer telefonu, treść wiadomości, identyfikator nadawcy, status doręczenia i metadane techniczne. Treść może zawierać ograniczone informacje organizacyjne dotyczące wizyty lub płatności.
Lokalizacja i transfery: zgodnie z aktualnymi warunkami, DPA i listą podprocesorów SMSAPI/LINK Mobility.

3.3. Cloudflare, Inc. — Turnstile i ochrona formularzy

Podmiot: Cloudflare, Inc., Stany Zjednoczone
Usługa: Cloudflare Turnstile
Rola: ochrona formularzy publicznych i procesów uwierzytelniania przed automatycznymi nadużyciami, gdy mechanizm jest aktywny dla danej ścieżki.
Kategorie danych: adres IP, dane urządzenia i przeglądarki, identyfikatory techniczne, wynik weryfikacji oraz dane związane z bezpieczeństwem żądania.
Transfery poza EOG: mogą występować zgodnie z DPA Cloudflare i stosowanymi przez Cloudflare mechanizmami transferowymi.
Informacje: https://www.cloudflare.com/cloudflare-customer-dpa/

4. Dostawcy powiadomień web push

Jeżeli użytkownik dobrowolnie włączy powiadomienia przeglądarkowe, zaszyfrowane powiadomienia oraz identyfikator subskrypcji mogą być przekazywane dostawcy usługi push właściwemu dla przeglądarki lub systemu urządzenia, w szczególności:

• Google LLC — Firebase Cloud Messaging / usługi push przeglądarek Chromium;
• Apple Inc. — Apple Push Notification Service;
• Mozilla Corporation — Mozilla Push Service;
• Microsoft Corporation — usługi powiadomień przeglądarki i systemu Windows.

Dostawca zależy od urządzenia i przeglądarki użytkownika. Operator ogranicza treść push do informacji niezbędnych i nie umieszcza w niej szczegółowej dokumentacji terapeutycznej ani medycznej.

5. Usługi uruchamiane przez Gabinet

Poniższe usługi nie są automatycznie wykorzystywane przez każdy Gabinet. Jeżeli Gabinet sam zawiera umowę, wprowadza własne dane dostępowe albo samodzielnie decyduje o uruchomieniu integracji, jego relacja z dostawcą może mieć charakter odrębnego administratora lub podmiotu przetwarzającego wybranego bezpośrednio przez Gabinet:

5.1. PayU

Obsługa płatności internetowych. Zakres może obejmować dane płatnika, adres e-mail, kwotę, opis transakcji, adres IP, identyfikatory płatności i status transakcji. PayU działa zgodnie z własnymi obowiązkami prawnymi oraz warunkami usługi.

5.2. Fakturownia

Wystawianie dokumentów sprzedaży, jeżeli Gabinet aktywował integrację. Zakres może obejmować dane nabywcy, dane Gabinetu, pozycje dokumentu, kwoty i identyfikatory rozliczeń. Gabinet odpowiada za konfigurację zakresu przesyłanych danych.

Operator każdorazowo ocenia rzeczywistą rolę prawną dostawcy. Samo techniczne połączenie z Serwisem nie przesądza, że dany dostawca jest podprocesorem Operatora.

6. Podmioty niewykorzystywane do przetwarzania danych produkcyjnych

Vercel i Lovable nie są elementami aktualnej produkcyjnej infrastruktury gabinet.one i nie są upoważnione do przetwarzania powierzonych danych produkcyjnych. Historyczne środowiska lub projekty tych usług nie mogą posiadać aktualnych kluczy ani dostępu do produkcyjnego projektu Supabase.

7. Zasady podpowierzenia i zmiany listy

Gabinet udziela Operatorowi ogólnego upoważnienia do korzystania z dalszych podmiotów przetwarzających w zakresie określonym w Umowie powierzenia.

Operator:

1. wybiera podmioty zapewniające wystarczające gwarancje ochrony danych;
2. zawiera wymagane umowy powierzenia lub zapewnia obowiązywanie właściwych warunków przetwarzania;
3. ogranicza zakres danych do niezbędnego minimum;
4. odpowiada wobec Gabinetu za realizację obowiązków podprocesorów w zakresie wynikającym z art. 28 RODO;
5. prowadzi aktualny rejestr dostawców, ich ról, regionów i mechanizmów transferowych;
6. informuje Gabinety o planowanym dodaniu lub zastąpieniu podprocesora przed rozpoczęciem przez niego przetwarzania, z zachowaniem terminu na zgłoszenie uzasadnionego sprzeciwu określonego w Umowie powierzenia;
7. aktualizuje tę listę, gdy zmienia się rzeczywisty produkcyjny łańcuch przetwarzania.

8. Retencja danych powierzonych

Każdy Gabinet, jako administrator danych swoich pacjentów, klientów, dzieci i opiekunów, samodzielnie określa podstawy prawne oraz wymagane okresy przechowywania tych danych.

Operator nie ustala za Gabinet okresów retencji dokumentacji pacjentów. Operator realizuje udokumentowane instrukcje Gabinetu za pomocą funkcji Serwisu, z uwzględnieniem ograniczonego okresu technicznego usuwania danych z kopii zapasowych, zabezpieczeń Object Lock oraz obowiązków zachowania dowodów bezpieczeństwa i rozliczalności.

9. Kontakt

Pytania dotyczące podprocesorów, lokalizacji danych lub mechanizmów transferowych można kierować na adres: kontakt@mapaterapii.pl.