Plany Studio i Firma, zespół oraz Google Drive
Dla umów przyjmowanych z nową ofertą poniższy pakiet bazowy stosuje się wraz z suplementem planów. Suplement opisuje również dane zaproszonych osób, prywatność Google Drive i Lettermint oraz uzupełnienie powierzenia. Nie zmienia wstecz wcześniej zawartych umów.
Pobierz cały pakiet jako plik tekstowy UTF-8. Potwierdzenie indywidualnej umowy i zamówień otrzymasz w aplikacji.
Plany Studio i Firma, pracę zespołową i archiwum Google Drive opisuje suplement organizations-seats-2026-11-05: warunki planów i Google Drive. W zakresie oferty, ceny, próby, zmiany i odnowienia planu ma on pierwszeństwo przed tym dokumentem dla umów i zamówień przyjętych z tą wersją.
1. Status wykazu
Wykaz według stanu na 13 października 2026 r. jest załącznikiem umowy powierzenia. Określa funkcje i zakres danych rzeczywiście używanych usług oraz funkcje wyłączone. Umowy standardowe wskazanych dostawców obejmują ich warunki przetwarzania; operator prowadzi rejestr kont i właściwych wersji. Nie deklarujemy, że wszystkie dane pozostają w UE. Zmiany dotyczące powierzonych danych podlegają procedurze zawiadomienia i sprzeciwu z umowy powierzenia.
2. Hosting i przechowywanie
DigitalOcean, LLC — API przetwarzające dane robocze, procesor / dalszy procesor. Aplikacje mają region Frankfurt; administracja, wsparcie i właściwi podwykonawcy mogą działać poza EOG. Warunki standardowe włączają DPA z 6 lutego 2026 r.; transfery do objętego certyfikacją odbiorcy USA opierają się na DPF, z przewidzianymi w DPA mechanizmami zastępczymi. Usuwanie po dezaktywacji konta ma termin 30 dni z wyjątkami prawnymi i dla odizolowanych kopii; nie jest to obietnica usunięcia każdego logu po zamknięciu obszaru. Źródła: https://www.digitalocean.com/legal/data-processing-agreement i https://www.digitalocean.com/trust/subprocessors.
Neon/Databricks — PostgreSQL i odtwarzanie, procesor / dalszy procesor. Dostawcą według aktualnych warunków Neon z 5 sierpnia 2026 r. jest Databricks, Inc.; Neon, LLC może rozliczać usługę w jego imieniu. Obowiązuje pakiet MCSA/DPA wskazany w tych warunkach. Bazy mają region AWS Frankfurt i siedmiodniową historię. Administracja i wsparcie obejmują także inne państwa. Certyfikacja DPF Databricks obejmuje Neon, LLC. Samodzielne usuwanie i zwrot danych uzupełnia procedura po zakończeniu umowy i pisemnym żądaniu; termin 30 dni nie zastępuje odrębnego cyklu historii bazy. Źródła: https://neon.com/platform-terms, https://www.databricks.com/legal/dpa i https://www.databricks.com/legal/databricks-subprocessors.
Cloudflare, Inc. — Pages, DNS, sieć, kontrola dostępu, R2, Workers, Turnstile i obsługa poczty; procesor / dalszy procesor w odpowiednim zakresie. R2 ma prywatny dostęp i jurysdykcję UE; sieć, pomoc, routing i dane administracyjne mają zasięg globalny. Umowa samoobsługowa włącza DPA v6.4 z 3 kwietnia 2026 r. Rejestr DPF wskazywał 28 września aktywny udział z ponowną certyfikacją w trakcie przeglądu; nie oznaczamy przeglądu jako zakończonego. DPA reguluje transfery, dalszych odbiorców oraz zwrot/usunięcie po zakończeniu usługi z wyjątkami prawnymi. Rejestry dostępu bezpieczeństwa dostawcy mają odrębny okres 12 miesięcy. Źródła: https://www.cloudflare.com/cloudflare-customer-dpa/ i https://www.cloudflare.com/gdpr/subprocessors/cloudflare-services/.
3. Tożsamość i płatności
Clerk, Inc. — tożsamość, e-mail weryfikacyjny, identyfikatory logowania, sesji i bezpieczeństwa; procesor dla usługi tożsamości, nie magazyn faktur ani poświadczeń KSeF. Instancje testowa i produkcyjna są odrębne. Tożsamość jest przetwarzana w USA; dalsze usługi poczty i pomocy wynikają z wykazu dostawcy. Warunki standardowe obejmują DPA, a odbiorca USA ma aktywną certyfikację DPF. DPA przewiduje usuwanie i starania o usunięcie pozostałych kopii w ciągu 90 dni od zakończenia umowy z Clerk; zamknięcie obszaru nie jest zakończeniem tej umowy ani automatycznym usunięciem tożsamości. Weryfikacja e-mail i MFA nie dowodzi umocowania do reprezentacji firmy. Źródła: https://clerk.com/legal/dpa i https://trust.clerk.com/.
Stripe — zwykłe Checkout, Billing i portal klienta, bez Managed Payments. Otrzymuje dane nabywcy Studio, karty, transakcji i subskrypcji, nie treści faktur wystawianych przez klientów ani poświadczenia KSeF. Dla polskiego konta właściwe podmioty obejmują Stripe Payments Europe, Limited i, według usługi regulowanej, Stripe Technology Europe, Limited. Stripe jest także odrębnym administratorem dla własnych obowiązków finansowych i przeciwdziałania oszustwom. Warunki obejmują DPA/DTA; odbiorca Stripe, LLC w USA ma aktywną certyfikację DPF. Obowiązki prawne, przeciwdziałanie oszustwom i reguły płatnicze mogą wymagać zachowania danych po zakończeniu relacji. Konto obsługuje również inne usługi operatora i zachowuje ich globalne dane kontaktowe; informacje o zakupie Studio wskazują KSeF Canvas i support@ksefcanvas.pl. Źródła: https://stripe.com/en-pl/legal/ssa, https://stripe.com/legal/dpa, https://stripe.com/legal/service-providers i https://stripe.com/en-pl/privacy.
4. Korespondencja i funkcje warunkowe
Google Workspace — firmowa skrzynka support@ksefcanvas.pl w organizacji MDAB IT; korespondencja pomocy, prywatności, incydentów, reklamacji i odstąpienia obsługiwana przez właściciela. Dla polskiego adresu rozliczeniowego podmiotem umownym jest Google Cloud Poland Sp. z o.o. Warunki Workspace obejmują Cloud Data Processing Addendum; przetwarzanie przez Google i właściwych dalszych procesorów może odbywać się poza EOG. Zastosowanie mają mechanizmy transferowe określone w CDPA, w tym standardowe klauzule umowne tam, gdzie są wymagane, oraz właściwy mechanizm adekwatności dla objętych nim transferów. Nie deklarujemy wyłącznie europejskiej lokalizacji. Korespondencja przechodzi także przez Cloudflare. Usuwanie ze skrzynki i cykl kopii dostawcy są odrębne. Po usunięciu, którego klient nie może już cofnąć, CDPA przewiduje usunięcie z systemów Google tak szybko, jak to praktycznie możliwe, najpóźniej w ciągu 180 dni, z właściwymi wyjątkami prawnymi. Koniec umowy z Google ma odrębne reguły odzyskania i usunięcia. Operator wykonuje własną retencję według polityki i rejestru spraw. Nie przesyłaj pełnych faktur ani sekretów zwykłym e-mailem. Źródła: https://workspace.google.com/terms/premier_terms/, https://cloud.google.com/terms/data-processing-addendum, https://workspace.google.com/intl/en/terms/subprocessors/.
Lettermint B.V., Niderlandy — aktywne doręczanie wiadomości transakcyjnych aplikacji: zaproszeń oraz imiennych potwierdzeń umów i zamówień z załącznikiem PDF, w tym płatnych umów subskrypcji, odstąpienia, zgłoszeń zwrotu i rozstrzygnięć. Jako procesor lub dalszy procesor, odpowiednio do roli operatora, otrzymuje adresy nadawcy i odbiorcy, treść, nazwę firmy, link zaproszenia albo dane klienta, umowy i rozliczenia zawarte w potwierdzeniu, załącznik oraz zdarzenia doręczenia. Nie przekazujemy treści faktur klientów, poświadczeń KSeF ani tokenów Google. Dane wiadomości są obsługiwane w infrastrukturze UE; docelowa skrzynka odbiorcy może znajdować się poza EOG. Treść, załączniki, adresy odbiorców, metadane i zdarzenia w historii wiadomości są przechowywane przez 28 dni od utworzenia wiadomości; dla wiadomości zaplanowanej termin biegnie od zwolnienia do wysyłki, anulowania albo nieudanego zwolnienia. Analityka doręczeń ma odrębny termin: przed 8 listopada 2026 r. 28 dni, a od tego dnia 90 dni od zdarzenia; używa pseudonimowych identyfikatorów i domen zamiast adresów odbiorców. DPA przewiduje do 14 dni dla ograniczonych kopii po usunięciu z systemów aktywnych, z wyjątkami prawnymi. Usunięcie nie wycofuje kopii odbiorcy. Wymagamy TLS i wyłączamy śledzenie otwarć oraz kliknięć; nie wyłącza to analityki doręczeń dostawcy. Lettermint nie zastępuje skrzynki pomocy. Źródła: https://lettermint.co/dpa, https://lettermint.co/subprocessors, https://lettermint.co/docs/platform/emails/data-retention.
Google Ireland Limited — Google Analytics 4 i pomiar konwersji Google Ads wyłącznie na stronie ksefcanvas.pl, aktywne dopiero po zgodzie odwiedzającego w banerze strony (stan na 5 listopada 2026 r.). Nie jest dalszym procesorem danych powierzonych i nie otrzymuje danych z aplikacji, faktur, kontrahentów, poświadczeń KSeF ani treści formularza kontaktowego. Otrzymuje identyfikatory z plików cookies ustawionych tylko dla ksefcanvas.pl, adres i tytuł strony, stronę odsyłającą, identyfikator kliknięcia reklamy, zdarzenia oraz dane techniczne urządzenia i przeglądarki. W Google Analytics działa jako procesor operatora na podstawie Google Ads Data Processing Terms; dane o konwersjach udostępnione Google Ads przetwarza jako odrębny administrator na podstawie Google Ads Controller-Controller Data Protection Terms. Przetwarzanie może obejmować USA i inne państwa; transfery do Google LLC opierają się na DPF i standardowych klauzulach umownych. Dane zdarzeń w Google Analytics są przechowywane 2 miesiące; sygnały Google i personalizacja reklam są wyłączone, a dane Analytics trafiają do Google Ads wyłącznie jako konwersje. Źródła: https://business.safety.google/adsprocessorterms/, https://business.safety.google/adscontrollerterms/, https://business.safety.google/adsservices/ i https://support.google.com/analytics/answer/12017362.
Sentry nie jest aktywnym odbiorcą telemetryki aplikacji. Niezbędne zdarzenia tożsamości, bezpieczeństwa i płatności nadal są obsługiwane przez właściwych dostawców. Nowa analityka, śledzenie lub dodatkowa usługa wymaga osobnej oceny przed aktywacją.
5. Odbiorcy niebędący dalszymi procesorami
Minister Finansów / KSeF otrzymuje faktury na polecenie uprawnionego klienta w ramach przepisów podatkowych. GUS udostępnia dane rejestrowe przy wyszukiwaniu NIP. Google wybrany jako dostawca logowania i skrzynki wskazane przez klienta działają także na podstawie własnych relacji z użytkownikiem. Skrzynka odbiorcy może znajdować się poza EOG. Nie traktujemy organów publicznych ani dowolnej skrzynki odbiorcy jako podwykonawcy hostingu. O zmianie dalszych procesorów informujemy zgodnie z umową powierzenia.