Kim są podprzetwarzający?
Podmioty przetwarzające to strony trzecie, które przetwarzają dane osobowe w imieniu Vytrix. Zgodnie z RODO jesteśmy zobowiązani je zidentyfikować, zawrzeć z nimi umowę powierzenia (DPA) i dokonać zmian w tym wykazie co najmniej 30 dni przed datą wejścia w życie ogłosić.
Czy sprzeciwiasz się nowemu podprzetwarzającemu ze względu na ochronę danych? Skontaktuj się z nami pod adresem privacy@vytrix.app przed datą wejścia w życie.
Obecni podwykonawcy przetwarzania (sierpień 2026)
| Podprocesor | Cel | Lokalizacja | Mechanizm przenoszenia |
|---|---|---|---|
| Supabase Spółka z ograniczoną odpowiedzialnością | Funkcje bazy danych, uwierzytelniania, przechowywania i backendu Edge | Główny region projektu dotyczący baz danych, uwierzytelniania i przechowywania: UE (Irlandia — AWS eu-west-1); inne przetwarzanie zgodnie z warunkami Supabase | DPA + SCC |
| Usługi internetowe Amazona (AWS) | Infrastruktura chmurowa (podprocesor Supabase) | Podstawowa infrastruktura projektu UE (Irlandia); wsparcie i inne przetwarzanie zgodnie z Supabase DPA | Za pośrednictwem Supabase DPA |
| Google Ireland Limited (Firebase Crashlytics + Wiadomości w chmurze) | Raportowanie awarii i powiadomienia push | UE + transgraniczne | UE-USA DPF+ Ochrona danych Google z SCC |
| RevenueCat Spółka z ograniczoną odpowiedzialnością | Zarządzanie subskrypcjami i uprawnieniami IAP | USA | UE-USA DPF+ RevenueCat Ochrona danych osobowych z SCC |
| Stripe Payments Europe, Ltd. | Przetwarzanie płatności (kasa internetowa i wypłaty partnerskie) | UE (Irlandia) / USA | UE-USA DPF+ Stripe Ochrona danych osobowych z SCC |
| Google Cloud (Vertex AI) | AI Coach (czat) i analiza zdjęć posiłków/produktów | UE wieloregionowa (eu) | Google Cloud DPA + skonfigurowane przetwarzanie UE |
| OpenAI | Czytanie etykiety z wartością odżywczą, składnikami i opcjonalnymi zdjęciami produktów w skanerze etykiet produktów | Przetwarzanie międzynarodowe | DPA + SCC, jeśli ma to zastosowanie |
| Apple Spółka z ograniczoną odpowiedzialnością (App Store, IAP, zaloguj się za pomocą Apple) | Dystrybucja aplikacji i uwierzytelnianie | USA/UE | DPF + Apple Umowa deweloperska |
| Google spółka z ograniczoną odpowiedzialnością (Google Play, Płatności w Play, Zaloguj się przez Google) | Dystrybucja aplikacji i uwierzytelnianie | USA/UE | DPF + Google Play Umowa dystrybucyjna dla programistów |
| Wyślij ponownie (Plus Five Five, Inc.) | Podwójne potwierdzenie zgody i dopiero po potwierdzeniu skalowanie aktualizacji produktów | USA (podstawowe przetwarzanie i przechowywanie) | Wyślij ponownie DPA + DPF UE-USA + SCC |
| Firma Vercel. | Hosting stron internetowych, Vercel Analytics i Speed Insights | UE + infrastruktura międzynarodowa | DPA + SCC, jeśli ma to zastosowanie |
| PostHog Inc. | Opcjonalna analiza produktów na stronie internetowej, tylko za wyraźną zgodą | Punkt końcowy w chmurze w UE + międzynarodowy dostawca usług | DPA + SCC, jeśli ma to zastosowanie |
W celu skalowania zainteresowania za pośrednictwem aplikacji lub strony internetowej Supabase przechowuje adres e-mail, indywidualny produkt, zamiar, źródło, lokalizację, opcjonalny kraj/region, wersję zgody oraz metadane potwierdzenia, rezygnacji z subskrypcji i akceptacji dostawcy. Funkcja Resend odbiera tylko to, co jest niezbędne dla odbiorcy, treści wiadomości e-mail i dostawy. Dane dotyczące treningu, zdrowia, odżywiania i cyklu nie są przesyłane do funkcji Wyślij ponownie. Tylko wypełnione rekordy typu double-opt-in, które nie zostały anulowane, będą mogły otrzymywać aktualizacje produktów w późniejszym terminie.
Jakie dane trafiają do którego podprocesora?
| Kategoria | Supabase | Baza ogniowa | RevenueCat | Vertex AI |
|---|---|---|---|---|
| Konto (imię i nazwisko, e-mail) | Tak | Tylko dowód osobisty, do push | Tylko dowód osobisty, uprawnienia | Nie |
| Terminy szkoleń | Tak | Nie | Nie | Nie |
| Daty żywienia | Tak | Nie | Nie | Tylko poprzez fotograficzną sztuczną inteligencję |
| Sen / ciało / tętno | Tak | Nie (wyłączone z kluczy Crashlytics) | Nie | Tylko jeśli użytkownik o to poprosi |
| Zdjęcia postępu | Tak (prywatny wiadro) | Nie | Nie | Nie |
| Zdjęcia posiłków / zdjęcia produktów Vertex | Nie (w pamięci krótkotrwałej) | Nie | Nie | Tak (krótkotrwałe, nie przechowywane - UE) |
| Cykl menstruacyjny | Tak (główny region projektu: Irlandia) | Nie | Nie | Nie |
| Treści społecznościowe | Tak | Nie | Nie | Nie |
| Dzienniki awarii (brak informacji umożliwiających identyfikację / brak stanu zdrowia) | Nie | Tak | Nie | Nie |
| Dane transakcyjne subskrypcji | Stan uprawnień | Nie | Tak | Nie |
Poza tą kompaktową matrycą skaner etykiet produktów może wysyłać do OpenAI zdjęcia etykiety, listę składników i przód opakowania, a także dowolny kod kreskowy i istniejącą nazwę produktu. Vercel przetwarza dane dotyczące ruchu na stronie internetowej i wydajności technicznej. PostHog przetwarza usunięte zdarzenia na stronie internetowej wyłącznie po uzyskaniu wyraźnej zgody; Zapytania i fragmenty adresów URL nie są uwzględniane, a strony prawne nie są uwzględniane.
Specjalne gwarancje na podwykonawcę przetwarzania
Supabase — art. 9 dane dotyczące zdrowia
- Vytrix uzyskał/zażądał pisemnego potwierdzenia, że przetwarzanie zgodnie z art. 9 dane dotyczące zdrowia mieszczą się w uzgodnionym zakresie
- Głównym regionem projektu dotyczącym baz danych, uwierzytelniania i przechowywania jest Irlandia (
eu-west-1). Kopie zapasowe, wsparcie i inne rodzaje przetwarzania podlegają aktualnym Supabase DPA i warunkom podmiotu podwykonawczego przetwarzania; nie jest to absolutna gwarancja obowiązująca wyłącznie w UE.
Firebase Crashlytics — wykluczenie danych o stanie zdrowia
- Zbieranie adresów IP jest wyłączone
- Zawierają niestandardowe klucze i dzienniki geen dane dotyczące treningu osobistego, zdrowia, odżywiania lub cyklu
- Tylko pola techniczne (wersja aplikacji, wersja systemu operacyjnego, model urządzenia) i pseudonimizowany user_id
RevenueCat — wyłączenie art. 9
- Organ ochrony danych RevenueCat zabrania stosowania art. Dane 9
- Wysyłamy tylko identyfikatory atrybutów i dane transakcyjne; brak linku do danych zdrowotnych lub danych dotyczących cyklu
Google Vertex AI — miejsce zamieszkania w UE + pasek metadanych
- Przetwarzanie za pośrednictwem wielu regionów UE
eu; Vertex AI nie używa podpowiedzi ani obrazów do uczenia modeli - Metadane EXIF są usuwane ze zdjęć przed przesłaniem
- Brak identyfikatorów kont i adresów e-mail w monitach
- Foto-AI ma flagę wyłącznika awaryjnego umożliwiającą globalne wyłączenie
OpenAI — skaner etykiet produktów
- Do tego skanu przesyłane są tylko zdjęcia produktów i niezbędny kontekst wybrany przez użytkownika (ewentualnie kod kreskowy i istniejąca nazwa produktu); brak identyfikatora konta i adresu e-mail.
- Przetwarzanie międzynarodowe podlega obowiązującym zabezpieczeniom zawartym w DPA i dalszym przekazywaniu danych.
Vercel i PostHog — strona internetowa
- Vercel zapewnia hosting stron internetowych i techniczne statystyki sieciowe bez plików cookie; Zapytania URL i fragmenty są usuwane.
- PostHog jest ładowany tylko po wyraźnym pozwoleniu. DNT i Globalna Kontrola Prywatności liczą się jako odmowa; strony prawne nie korzystają z PostHog.
Wyślij ponownie — minimalne daty poczty i przelew do USA
- Podstawowe przetwarzanie i przechowywanie odbywa się w USA; europejski region żeglugi nie zmienia miejsca przechowywania.
- Przelewy realizowane są na podstawie Resend DPA, DPF i SCC.
- Tylko rekordy, które nie subskrybują i potwierdziły podwójną zgodę, mogą otrzymywać aktualizacje. Każda aktualizacja zawiera osobisty link do rezygnacji z subskrypcji, który natychmiast cofa zgodę; Ponowna rejestracja wymaga nowej podwójnej zgody.
Jak radzimy sobie ze zmianami?
- Nowy podprocesor: publikacja na tej stronie z co najmniej 30 dni wcześniej + powiadomienie e-mailem dla zarejestrowanych użytkowników.
- Sprzeciw: via privacy@vytrix.app. W przypadku uzasadnionego sprzeciwu poszukamy alternatywy; Jeśli to nie pomoże, możesz zlikwidować konto i zwrócić przedpłacone opłaty abonamentowe.
- Zmiana lokalizacji lub mechanizmu transferu: publikacja + e-mail.
- Usunięcie podprocesora: publikacja; dane zostaną usunięte lub zwrócone przez podmiot przetwarzający w ciągu 90 dni.
Kontakt
Masz pytania dotyczące podwykonawców przetwarzania? privacy@vytrix.app