Lista sub-procesorów Mativate | Mativate

Poniższa lista przedstawia podmioty, którym Mativate powierza przetwarzanie danych osobowych w ramach świadczenia usług platformy, zgodnie z art. 28 RODO oraz §9 [Umowy Powierzenia Przetwarzania Danych (DPA)](/dpa).

Każda zmiana listy (dodanie nowego podmiotu, zastąpienie dotychczasowego) jest zgłaszana właścicielom kont klubów z minimum 30-dniowym wyprzedzeniem drogą e-mail oraz przez powiadomienie w panelu. Klub ma prawo zgłoszenia sprzeciwu zgodnie z procedurą opisaną w DPA.

A. Sub-procesorzy aktywni

A.1 Infrastruktura i hosting

| Podmiot | Funkcja | Lokalizacja | Transfer poza EOG | Podstawa |

| --- | --- | --- | --- | --- |

| Vercel Inc. | Hosting aplikacji web (Next.js / Vite), CDN, edge runtime | Regiony UE (m.in. fra1, cdg1); USA dla supportu | Sporadycznie (USA - support) | SCC 2021/914 + DPA |

| Railway (Railway Corp.) | Hostowana baza danych PostgreSQL | Region UE (zgodnie z konfiguracją projektu) | Nie (przetwarzanie w UE) | DPA dostawcy |

A.2 Uwierzytelnianie

| Podmiot | Funkcja | Lokalizacja | Transfer poza EOG | Podstawa |

| --- | --- | --- | --- | --- |

| Clerk Inc. | Uwierzytelnianie użytkowników (e-mail/hasło, OAuth), zarządzanie sesją | USA | Tak | SCC 2021/914 + DPA |

A.3 Komunikacja

| Podmiot | Funkcja | Lokalizacja | Transfer poza EOG | Podstawa |

| --- | --- | --- | --- | --- |

| EmailLabs (Vercom S.A.) | Transactional e-mail (powiadomienia od klubu, e-maile systemowe) - opcjonalne | Polska / UE | Nie | DPA dostawcy |

| Twilio Inc. | Wysyłka SMS (powiadomienia od klubu) - opcjonalne | USA | Tak | SCC 2021/914 + DPA |

| Expo (650 Industries, Inc.) | Push notifications dla aplikacji mobilnej (Expo Push Service) | USA | Tak | SCC 2021/914 + DPA |

| Apple Inc. (APNs) / Google LLC (FCM) | Dostarczanie powiadomień push do urządzeń iOS / Android (warstwa systemowa) | USA | Tak | SCC + warunki platform mobilnych |

A.4 Media (zdjęcia, pliki)

| Podmiot | Funkcja | Lokalizacja | Transfer poza EOG | Podstawa |

| --- | --- | --- | --- | --- |

| Cloudinary Ltd. | Przechowywanie i transformacja zdjęć (avatary, zdjęcia klubowe) - opcjonalne | UE / USA | Tak | SCC 2021/914 + DPA |

A.5 Płatności online (Espago)

| Podmiot | Funkcja | Lokalizacja | Transfer poza EOG | Podstawa |

| --- | --- | --- | --- | --- |

| Espago Sp. z o.o. | Bramka płatności online (składki członkowskie) - aktywna gdy klub podłączy konto Espago w panelu; klub jest merchant of record | Polska (UE) | Nie | Umowa z klubem + DPA Mativate-klub |

A.6 Monitoring błędów

| Podmiot | Funkcja | Lokalizacja | Transfer poza EOG | Podstawa |

| --- | --- | --- | --- | --- |

| Functional Software, Inc. (Sentry) | Monitoring błędów i wydajności aplikacji (raporty wyjątków; może zawierać ograniczone dane kontekstowe żądania, bez celowego gromadzenia pełnych treści formularzy) | USA | Tak | SCC 2021/914 + DPA |

A.7 Opcjonalne (aktywne tylko po wyborze użytkownika)

| Podmiot | Funkcja | Lokalizacja | Transfer poza EOG | Podstawa |

| --- | --- | --- | --- | --- |

| Google LLC | OAuth - logowanie kontem Google (opcjonalne) | USA | Tak | SCC + warunki Google |

| Apple Inc. | Sign in with Apple - logowanie kontem Apple (opcjonalne) | USA | Tak | SCC + warunki Apple |

| Meta Platforms, Inc. | OAuth - logowanie kontem Facebook (opcjonalne, jeżeli udostępnione) | USA | Tak | SCC + warunki Meta Business |

B. Sub-procesorzy nieaktywni

• Vercel Analytics - wbudowane narzędzie analityczne; obecnie wyłączone.
• Dostawca płatności SaaS Mativate - obecnie nieaktywny. Mativate nie pobiera własnego abonamentu; w razie uruchomienia płatnego modelu dostawca (np. Stripe Payments Europe Ltd.) zostanie dopisany do listy aktywnych sub-procesorów z wyprzedzeniem wynikającym z DPA.
• PostHog / Plausible / inne narzędzia analityki produktowej - obecnie nieaktywne.

Aktywacja któregokolwiek z powyższych podlega procedurze z §9 ust. 4 Umowy Powierzenia (30-dniowe wyprzedzenie).

C. Ocena transferów (skrócony Transfer Impact Assessment)

C.1 Ogólna ocena ryzyka. Stany Zjednoczone nie są uznane przez Komisję Europejską za zapewniające odpowiedni stopień ochrony w rozumieniu art. 45 RODO. W świetle wyroku TSUE w sprawie Schrems II (C-311/18) oraz późniejszej decyzji wykonawczej Komisji (UE) 2023/1795 (EU-U.S. Data Privacy Framework), oceny transferu dokonuje się indywidualnie dla każdego odbiorcy.

C.2 Zastosowane mechanizmy dla wybranych odbiorców:

• Clerk Inc. - Transfer niezbędny dla funkcji uwierzytelniania. Data minimization: wysyłane wyłącznie identyfikatory konta i metadane sesji. Clerk stosuje SCC oraz, w zakresie swojej certyfikacji, mechanizmy adekwatności (w tym EU-US Data Privacy Framework, o ile aktualnie objęty).
• Sentry (Functional Software, Inc.) - Transfer niezbędny dla diagnostyki błędów. Data minimization: identyfikatory techniczne, stack trace, ograniczone metadane żądania; bez celowego przesyłania haseł ani pełnych numerów kart.
• EmailLabs (Vercom S.A.) - Przetwarzanie w Polsce / UE; brak transferu treści e-mail do państw trzecich. Data minimization: wysyłane wyłącznie adres e-mail + zawartość wiadomości.
• Twilio Inc. - Transfer niezbędny dla wysyłki SMS (jeśli klub korzysta). Data minimization: wysyłane wyłącznie numer telefonu + treść SMS. SCC Moduł 3.
• Expo - Transfer niezbędny dla powiadomień push w aplikacji mobilnej. Data minimization: identyfikator push device + payload powiadomienia. SCC + warunki Expo.
• Meta / Google / Apple OAuth - Transfer opcjonalny, aktywny tylko przy wyborze logowania przez konto Facebook / Google / Apple. Zakres minimum: identyfikator OAuth + zweryfikowany e-mail.

C.3 Ocena ryzyka dostępu organów publicznych (FISA 702, Executive Order 12333). Dla przetwarzania w modelu SaaS dla klubów sportowych w Polsce oceniamy, że:

• ryzyko celowego targetowania przez amerykańskie organy jest niskie (dane nie dotyczą osób o znaczeniu dla bezpieczeństwa narodowego USA);
• ryzyko masowego dostępu ograniczane jest przez: pseudonimizację, data minimization, brak transferu danych zdrowotnych poza UE (jeżeli klub zdecyduje się je gromadzić - przetwarzanie pozostaje w warstwie aplikacji + baza w regionie UE).

C.4 Środki uzupełniające. Poza SCC wdrożono środki uzupełniające zgodnie z Rekomendacją EDPB 01/2020:

• Techniczne: szyfrowanie end-to-end w transporcie, szyfrowanie at-rest, pseudonimizacja;
• Organizacyjne: zobowiązania umowne dostawców do notyfikacji o żądaniach organów, polityki dostępu;
• Prawne: SCC, DPA, publiczne transparency reports głównych dostawców.

C.5 Prawo sprzeciwu Administratora. Jeżeli Administrator (Klub) uzna, że ryzyko transferu jest zbyt wysokie dla specyfiki jego działalności, może:

• zwrócić się o wyłączenie konkretnych funkcji Platformy opartych na transferze (np. OAuth);
• żądać rozwiązania umowy zgodnie z §16 [DPA](/dpa).

Kontakt

Pytania dotyczące listy sub-procesorów oraz zgłoszenia sprzeciwu: [contact@mativate.app](mailto:contact@mativate.app).

Powiązane dokumenty

• [Umowa Powierzenia Przetwarzania Danych (DPA)](/dpa)
• [Polityka Prywatności](/privacy)
• [Polityka Cookies](/cookies)
• [Informacja o RODO](/rodo)
• [Regulamin Platformy](/terms)