Podwykonawcy przetwarzania

Niniejsze tłumaczenie udostępniono dla wygody. Wiążąca jest wyłącznie wersja angielska dostępna pod adresem /p/sub-processors.

1. Krótka odpowiedź

LW IT Solutions Company Lukas Wójcik, Łódź, Polska („Operator") prowadzi reactive.chat („Usługa") na własnym serwerze w swoich pomieszczeniach w Łodzi. Modele językowe działają na własnych komputerach Operatora w tej samej sieci lokalnej; nie uczestniczy w tym żadna zewnętrzna usługa AI. Niniejsza strona stanowi część Umowy powierzenia przetwarzania („Umowa powierzenia", pkt 8) oraz Środków technicznych i organizacyjnych. Pojęcia „Klient", „Odwiedzający" i „Dane Klienta" mają znaczenie nadane im w Umowie powierzenia.

Dwóch dostawców przetwarza Dane Klienta w imieniu Operatora i jest podwykonawcami przetwarzania w rozumieniu art. 28 ust. 4 RODO:

• Google Cloud Storage przechowuje poza siedzibą codzienną kopię serwera, zaszyfrowaną przed przesłaniem, w Warszawie (pkt 2.1).
• Namecheap zapewnia Operatorowi DNS i pocztę e-mail; wiadomości e-mail wysyłane przez Usługę mogą zawierać dane Odwiedzających (pkt 2.2).

Kolejny dostawca stanie się podwykonawcą przetwarzania dopiero wtedy, gdy zostanie włączona funkcja, która obecnie nie jest włączona (pkt 2.3).

Pkt 3 wymienia dostawców, z których Operator korzysta do własnych celów jako administrator (płatności, ochrona formularzy); nie otrzymują oni Danych Klienta w ramach Umowy powierzenia. Pkt 4 wyjaśnia, którzy odbiorcy i które elementy infrastruktury nie są podwykonawcami przetwarzania i dlaczego. Pkt 5 wymienia kanały i integracje, które Klient może włączyć przy użyciu własnych kont.

Sprostowanie w tej wersji. Do wersji 1.1 na tej stronie stwierdzano, że lista jest kompletna i że nie korzysta się z żadnego hiperskalera. Nie było to zgodne z prawdą: kopia zapasowa całego serwera jest od 20 sierpnia 2026 r. przesyłana do Google – do 4 września 2026 r. do Google Drive, od 5 września 2026 r. do Google Cloud Storage – i zawiera dane Usługi. Wersja 2.0 ją wymienia.

2. Podwykonawcy przetwarzania

2.1 Kopia zapasowa poza siedzibą – Google Cloud Storage

• Podmiot: Google Cloud EMEA Limited, 70 Sir John Rogerson's Quay, Dublin 2, Irlandia.
• Cel: przechowywanie poza siedzibą codziennej kopii serwera, aby Usługę można było przywrócić po utracie serwera.
• Dane: pełna kopia wszystkich baz danych serwera i katalogów WWW, obejmująca wszystkie Dane Klienta (rozmowy, dane Odwiedzających, dane kont, załączniki plików, pliki bazy wiedzy). Kopia jest szyfrowana na serwerze Operatora przed przesłaniem (rclone crypt), łącznie z nazwami plików i katalogów; klucze pozostają na serwerze Operatora. Google przechowuje bloki bez czytelnej treści. Szyfrowanie jest środkiem technicznym; nie zmienia roli Google jako podwykonawcy przetwarzania.
• Miejsce przetwarzania: zasobnik w regionie europe-central2 (Warszawa, Polska, UE).
• Okres przechowywania: kopie dzienne 7 dni, kopie tygodniowe (niedziela) 364 dni; od 10. dnia w chłodniejszej klasie przechowywania.
• Umowa i zabezpieczenie transferu: Google Cloud Data Processing Addendum. Dane są przechowywane w UE; jeżeli Google uzyskuje do nich dostęp spoza EOG, np. w celach wsparcia lub konserwacji, zastosowanie mają standardowe klauzule umowne Komisji Europejskiej zawarte w tym aneksie.
• W użyciu od: 5 września 2026 r. (na tej stronie od 11 października 2026 r.). Od 20 sierpnia do 4 września 2026 r. ta sama zaszyfrowana kopia była przesyłana do Google Drive; opisane wyżej automatyczne wygasanie nie obejmuje tych kopii.

2.2 DNS i poczta e-mail – Namecheap

• Podmiot: Namecheap, Inc., 4600 East Washington Street, Suite 305, Phoenix, AZ 85034, USA.
• Cel: (a) autorytatywny DNS dla reactive.chat; (b) przekazywanie wiadomości e-mail kierowanych na adresy @reactive.chat; (c) skrzynka Operatora contact@lukaswojcik.com (Namecheap Private Email), do której trafiają zapytania, sprzeciwy i żądania usunięcia danych; (d) doręczanie wiadomości e-mail wysyłanych przez Usługę.
• Dane: dla (b) i (c) nadawca, odbiorca i treść wiadomości e-mail docierających do Operatora, wśród których mogą być dane Odwiedzających przesłane Operatorowi przez Klienta lub Odwiedzającego. Dla (d) adres e-mail i imię i nazwisko odbiorcy oraz treść wiadomości: dla użytkowników konta Klienta potwierdzenia, resety hasła, zaproszenia i powiadomienia o rozmowach; dla Odwiedzających przebieg rozmowy, o który Odwiedzający poprosi e-mailem, a także odpowiedzi w kanale e-mail, jeżeli Klient nie wskazał własnego serwera poczty wychodzącej. W takim przypadku odpowiedź jest wysyłana z adresu no-reply@reactive.chat w imieniu „[projekt] via reactive.chat" z adresem Klienta jako adresem do odpowiedzi, a dostawca otrzymuje adres e-mail i imię i nazwisko Odwiedzającego, temat, treść odpowiedzi i odniesienia do wiadomości w wątku. Ta kategoria danych Odwiedzających powstaje wyłącznie wtedy, gdy Klient korzysta z kanału e-mail bez własnego serwera pocztowego.
• Dostawca dla (d): wiadomości e-mail Usługi są wysyłane za pośrednictwem usługi poczty e-mail Operatora. Namecheap jest przewidzianym do tego dostawcą i dostawcą używanym dla skrzynki Operatora. Jeżeli dla poczty wychodzącej zostanie wybrany inny dostawca, zostanie on zapowiedziany zgodnie z pkt 6 przed rozpoczęciem korzystania z niego.
• Miejsce przetwarzania: USA.
• Zabezpieczenie transferu: standardowe klauzule umowne Komisji Europejskiej jako część aneksu dotyczącego przetwarzania danych Namecheap.
• Na liście od: 2 września 2026 r.

2.3 Tylko po włączeniu: połączenie na kliknięcie – Twilio

• Podmiot: Twilio Ireland Limited, Dublin, Irlandia; Twilio Inc., San Francisco, USA.
• Cel: funkcja „Zadzwoń do mnie", w której Usługa za pośrednictwem własnego konta Twilio Operatora dzwoni do agenta i łączy go telefonicznie z Odwiedzającym.
• Dane: numery telefonów Odwiedzającego i agenta, czas i długość połączenia.
• Stan: funkcja nie jest włączona; konto Twilio Operatora nie jest skonfigurowane. Przed pierwszym użyciem Operator zapowie ją zgodnie z pkt 6. Wiadomości SMS, które Klient wysyła przez własne konto Twilio, nie są tu objęte, lecz należą do pkt 5.

3. Dostawcy wykorzystywani do własnych celów Operatora

Poniżsi dostawcy przetwarzają dane osobowe w celach, które Operator sam określa jako administrator. Nie przetwarzają Danych Klienta w imieniu Klienta i dlatego nie są podwykonawcami przetwarzania w rozumieniu Umowy powierzenia. Wymieniono ich tu dla przejrzystości; szczegóły zawiera Polityka prywatności.

3.1 Płatności i faktury – Stripe

• Podmiot: Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irlandia; dalsze przekazanie do Stripe, Inc., South San Francisco, USA.
• Cel: opłacanie subskrypcji, faktury, obliczanie podatku i weryfikacja numerów identyfikacji VAT.
• Dane: adres e-mail, imię i nazwisko lub nazwa firmy, adres rozliczeniowy, numer identyfikacji VAT, wewnętrzne identyfikatory konta i obszaru roboczego Operatora oraz wybrany plan. Dane kart i rachunków są wprowadzane na stronach Stripe i nigdy nie docierają do Operatora. Stripe nie otrzymuje z procesu płatności Operatora żadnych danych Odwiedzających.
• Rola: Stripe działa częściowo jako podmiot przetwarzający dla Operatora, a częściowo jako samodzielny administrator (np. w zakresie zapobiegania oszustwom i własnych obowiązków prawnych).
• Miejsce przetwarzania: Irlandia (UE) i USA.
• Zabezpieczenie transferu: EU-US Data Privacy Framework oraz standardowe klauzule umowne Komisji Europejskiej.
• Na liście od: 2 września 2026 r.

3.2 Ochrona formularzy konta i wsparcia – Google reCAPTCHA

• Podmiot: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlandia; Google LLC, Mountain View, USA.
• Cel: ochrona formularzy logowania, rejestracji, resetu hasła i wsparcia przed zautomatyzowanymi nadużyciami (reCAPTCHA v3).
• Dane: skrypt działa w przeglądarce osoby korzystającej z formularza i zbiera sygnały przeglądarki; serwer wysyła powstały token wraz z adresem IP tej osoby do Google w celu weryfikacji. reCAPTCHA nie jest używana w widżecie czatu i nigdy nie dotyczy Odwiedzających strony Klientów.
• Miejsce przetwarzania: UE i USA.
• Zabezpieczenie transferu: EU-US Data Privacy Framework oraz standardowe klauzule umowne Komisji Europejskiej.
• Na liście od: 2 września 2026 r.

4. Odbiorcy i infrastruktura, które nie są podwykonawcami przetwarzania

4.1 Serwer, węzły AI i sieć

• Serwer. Usługa działa na serwerze będącym własnością Operatora w jego pomieszczeniach w Łodzi. Nie uczestniczy w tym żaden dostawca hostingu ani operator centrum danych.
• Węzły AI. Modele językowe działają na komputerach będących własnością Operatora w tej samej sieci lokalnej. Zadania AI otrzymują wyłącznie węzły wpisane do rejestru Operatora. Żadna zewnętrzna usługa AI, również jako rozwiązanie zapasowe, nie otrzymuje Danych Klienta.
• Dostęp do internetu. Dostęp do internetu zapewnia Toya Sp. z o.o., Łódź. Jest ona wyłącznie pośrednikiem w przesyle: przenosi zaszyfrowane połączenia i nie ma dostępu do przechowywanych danych. Nie jest zatem podwykonawcą przetwarzania.
• cdn.reactive.chat. Skrypt widżetu jest dostarczany z hosta WWW na tym samym serwerze. Nie korzysta się z zewnętrznej sieci dostarczania treści.
• Geolokalizacja. Kraj Odwiedzającego jest ustalany na podstawie lokalnego pliku bazy danych (MaxMind GeoLite2) na serwerze i zapisywany wraz z sesją. Żaden adres IP nie jest wysyłany do żadnego dostawcy. Od 16 października 2026 r. serwer czasu rzeczywistego korzysta z tej bazy także na potrzeby funkcji działających na żywo, które zależą od kraju (lista odwiedzających, kampanie, wymóg zgody dla obszaru RODO): ustala na podstawie adresu IP Odwiedzającego wyłącznie kod kraju, nie zapisując w tym celu adresu, i pomija informacje o kraju przesyłane przez przeglądarkę; jeżeli kraju nie można ustalić, Odwiedzający jest traktowany jak osoba z obszaru RODO.

4.2 Powiadomienia push dla agentów

• Jeżeli agent zasubskrybuje powiadomienia push w przeglądarce, Usługa wysyła je za pośrednictwem usługi push producenta tej przeglądarki: Google (Firebase Cloud Messaging), Mozilla, Apple lub Microsoft.
• Treść jest szyfrowana end-to-end dla przeglądarki agenta (RFC 8291); usługa push nie może jej odczytać. Składa się wyłącznie z rodzaju zdarzenia (nowa rozmowa, nowa wiadomość, przekazanie, prośba o oddzwonienie), nazwy projektu, identyfikatorów projektu i rozmowy oraz odnośnika do pulpitu, nigdy z treści wiadomości. Usługa push widzi adres subskrypcji, czas, rozmiar, pilność i czas ważności wiadomości, identyfikator rozmowy (służący zastąpieniu starszego powiadomienia tej samej rozmowy) oraz adres IP serwera.
• Usługę push określa przeglądarka agenta, a nie wybiera jej Operator, i nie przetwarza ona żadnych treści w imieniu Operatora. Dlatego jest tu wymieniona jako odbiorca tych metadanych, a nie jako podwykonawca przetwarzania. Powiadomienia push są dobrowolne i każdy agent może je wyłączyć.

4.3 Powiadomienia dla Operatora – Telegram

• Podmiot: Telegram FZ-LLC, Dubaj, Zjednoczone Emiraty Arabskie.
• Operator otrzymuje powiadomienia przez bota Telegram: o nowym zgłoszeniu do wsparcia lub nowej opinii klienta oraz alerty eksploatacyjne (stan komponentów, dostępność węzłów AI, obciążenie, liczba błędów).
• Powiadomienia zawierają wyłącznie stałe teksty i dane eksploatacyjne: bez imion i nazwisk, adresów e-mail, adresów IP i treści wiadomości. Telegram widzi adres IP serwera. Ponieważ nie są przekazywane żadne dane osobowe Klientów ani Odwiedzających, Telegram nie jest podwykonawcą przetwarzania.

4.4 Certyfikaty TLS – Let's Encrypt

• Podmiot: Internet Security Research Group (ISRG), San Francisco, USA.
• Let's Encrypt wystawia certyfikaty TLS Usługi, a gdy Klient korzysta z własnej domeny dla czatu – certyfikat dla tej domeny. Otrzymuje wyłącznie nazwy domen, które są odnotowywane w publicznych dziennikach Certificate Transparency. Dane Odwiedzających nie są przekazywane.

4.5 Połączenia

• Połączenia wideo i głosowe łączą przeglądarki Odwiedzającego i agenta bezpośrednio ze sobą. Nie korzysta się z serwera pośredniczącego podmiotu trzeciego ani z publicznego serwera STUN, ponieważ taki serwer widziałby adres IP każdego Odwiedzającego. Jeżeli Operator uruchomi własny serwer przekaźnikowy (TURN), przekazuje on zaszyfrowany strumień bez możliwości jego odczytania; należy on do własnej infrastruktury Operatora. Bez serwera przekaźnikowego każda ze stron poznaje adres IP drugiej strony.
• Co-browsing i udostępnianie ekranu działają odpowiednio przez własne połączenie czasu rzeczywistego Usługi i przez bezpośrednie połączenie przeglądarek; nie uczestniczy w nich żaden podmiot trzeci. Co-browsing pokazuje agentowi etykiety przycisków, linków i nagłówków strony, a nie pola formularzy ani wpisywane dane.

4.6 MousePlayer i Answely

• MousePlayer (nagrywanie sesji) jest prowadzony przez ten sam podmiot, LW IT Solutions Company Lukas Wójcik, i dlatego nie jest odrębnym podmiotem przetwarzającym. Jest to odrębna usługa z odrębnymi warunkami, którą Klient aktywuje samodzielnie.
• Answely, które odpowiada na zapytania Smart Answer, jest również prowadzone przez ten sam podmiot na tym samym serwerze i dlatego nie jest odrębnym podmiotem przetwarzającym.

5. Kanały i integracje włączane przez Klienta

Usługa umożliwia Klientowi podłączanie kanałów i integracji. Każdy z nich włącza owner lub admin Klienta, przy użyciu własnego konta i własnych danych dostępowych Klienta u danego dostawcy, i wymienia dane wyłącznie na polecenie Klienta. Dostawcy ci są własnymi odbiorcami lub podmiotami przetwarzającymi Klienta, a nie podwykonawcami przetwarzania Operatora. Klient odpowiada za zawarcie umowy powierzenia z każdym dostawcą oraz za zgodność z prawem każdego transferu do państwa trzeciego. Każdy kanał i każdą integrację można w dowolnym momencie wyłączyć w panelu. Integracje wysyłają dane wyłącznie przy zdarzeniach wybranych przez Klienta (nowa rozmowa, nowa wiadomość, prośba o człowieka, ocena, a w przypadku niektórych integracji zgłoszenia błędów).

Dlaczego ci dostawcy nie są podwykonawcami przetwarzania. Podwykonawcę przetwarzania angażuje Operator, aby przetwarzał Dane Klienta w imieniu Operatora. W przypadku usług z tej sekcji to Klient wybiera dostawcę, zawiera z nim umowę i posiada u niego konto (własne konto Meta, bota Telegram, konto Twilio, skrzynkę pocztową, konto Google, konta Cal.com i Stripe, dostawcę tożsamości lub narzędzie AI), włącza połączenie i decyduje, jakie dane są przekazywane; Usługa przeprowadza wymianę na polecenie Klienta (pkt 3 umowy powierzenia). Operator nie ma z tymi dostawcami własnej umowy dotyczącej danych Klienta. Nie zmienia tego fakt, że do podłączenia Google Drive używana jest aplikacja OAuth Operatora: Google udostępnia Drive Klientowi na podstawie umowy Klienta, a Usługa odczytuje z niego dane na polecenie Klienta. Jeżeli natomiast Usługa sama wysyła dane za pośrednictwem dostawcy wybranego przez Operatora – wysyłka poczty, gdy Klient nie ma własnego serwera pocztowego – dostawca ten jest podwykonawcą przetwarzania (sekcja 2.2).

• Kanały komunikacji: WhatsApp Business, Facebook Messenger i Instagram Direct, w tym kampanie WhatsApp, bezpośrednio z Meta Platforms Ireland Limited, Dublin (Meta Graph API), z własnym kontem Meta Klienta i bez pośrednika – numer telefonu lub identyfikator profilu, imię i nazwisko, treść wiadomości, załączniki, szablony wiadomości; Telegram przez własnego bota Klienta – identyfikator czatu, imię i nazwisko lub nazwa użytkownika, wiadomości, zdjęcia i dokumenty; wiadomości w grupach i od innych botów są odrzucane; Telegram FZ-LLC ma siedzibę w Zjednoczonych Emiratach Arabskich, państwie trzecim bez decyzji stwierdzającej odpowiedni stopień ochrony, dlatego Klient musi ocenić ten transfer; SMS przez własne konto Twilio Klienta – numer telefonu i tekst (treść MMS nie jest pobierana); e-mail przez własne serwery IMAP i SMTP Klienta – adresy, imiona i nazwiska, tematy, wiadomości (odczytywana jest wyłącznie skrzynka odbiorcza).
• Powiadomienia zespołu: Slack (wątek dla każdej rozmowy, odpowiedzi ze Slacka), Microsoft Teams, Discord, Telegram, e-mail – fragmenty wiadomości do 400 znaków, imię i nazwisko Odwiedzającego, imię i nazwisko agenta.
• Przekazywanie zdarzeń: webhooki na adres wybrany przez Klienta (podpisane), Zapier, Make, n8n – dane wybranych zdarzeń.
• Zgłoszenia i zadania: Zendesk, Freshdesk, Jira, Linear – imię i nazwisko oraz adres e-mail Odwiedzającego, przebieg rozmowy, agent, odnośnik zwrotny; GitHub – zgłoszenia błędów z przeglądarek Odwiedzających (komunikat, plik, przeglądarka, strony, ślad stosu).
• Karty kontekstu w panelu: HubSpot, Pipedrive, Shopify, Shopware, WooCommerce, WordPress, Stripe (własne konto Klienta) – adres e-mail Odwiedzającego jest wysyłany jako klucz wyszukiwania; wynik widzi agent.
• Kontekst analityczny i błędów: Google Analytics 4, Plausible, Matomo, Sentry – adres strony, w przypadku Sentry odniesienie do sesji.
• Źródła wiedzy (przychodzące): Notion, Confluence, Google Drive – dane dostępowe Klienta trafiają do danego dostawcy, treści trafiają do bazy wiedzy. Google Drive jest podłączany za pośrednictwem aplikacji OAuth zarejestrowanej przez Operatora z dostępem tylko do odczytu (zakres drive.readonly), który Google przyznaje do całego Dysku zalogowanego konta; Usługa odczytuje wyłącznie foldery i pliki wybrane przez Klienta; Klient loguje się własnym kontem Google i udziela dostępu. Usługa przechowuje token dostępu w postaci zaszyfrowanej oraz adres e-mail konta Google, odczytuje wybrane elementy mniej więcej co sześć godzin i zachowuje wyodrębniony tekst, a nie pliki.
• Terminy i akcje bota: Cal.com (konto Klienta) – w przypadku wolnych terminów rodzaj spotkania i okres; w przypadku rezerwacji termin, rodzaj spotkania oraz imię i nazwisko, strefa czasowa i adres e-mail Odwiedzającego (wyłącznie adres podpisany przez stronę Klienta); Stripe (konto Klienta) – potwierdzony identyfikator użytkownika Odwiedzającego jako klucz wyszukiwania, nigdy adres e-mail; własne punkty końcowe HTTP Klienta – wyłącznie parametry określone w schemacie akcji oraz, przy potwierdzonej tożsamości Odwiedzającego, identyfikator użytkownika.
• Logowanie agentów: single sign-on przez dostawcę tożsamości Klienta (np. Microsoft Entra ID, Google Workspace, Okta, Keycloak) – wpisany adres e-mail jest wysyłany jako wskazówka logowania; dostawca zwraca token tożsamości z adresem e-mail, identyfikatorem i, jeżeli skonfigurowano, grupami agenta; Usługa zapisuje wyłącznie wystawcę i identyfikator.
• Narzędzia AI Klienta (MCP): narzędzie AI lub klient, które Klient podłącza do serwera MCP za pomocą swojego klucza – dane rozmów, dane Odwiedzających i wyniki z bazy wiedzy, o które zapyta; bez dodatkowego uprawnienia do danych Odwiedzających w postaci skróconej i przefiltrowanej, nigdy adres IP Odwiedzającego. Usługa niczego nie wysyła z własnej inicjatywy; za to, co narzędzie przekazuje własnemu dostawcy AI, odpowiada Klient.
• Migracja (przychodząca): import z Intercom, Crisp i Tidio za pomocą klucza Klienta, który trafia do dotychczasowego dostawcy (z Intercom i Tidio także z pliku eksportu), oraz z Zendesk wyłącznie z pliku eksportu przesłanego przez Klienta – rozmowy trafiają do Usługi.
• Dane sklepu: własny interfejs sklepu Klienta dla danych zamówień zalogowanych klientów końcowych – podpisany identyfikator klienta.
• Własny węzeł AI: węzeł prowadzony przez Klienta – żądania AI z treścią rozmów; Klient decyduje, z jakiego modelu korzysta węzeł, w tym z modeli podmiotów trzecich (np. Azure OpenAI).

6. Procedura zmian

1. Operator zapowiada każde zamierzone dodanie lub zastąpienie podwykonawcy przetwarzania wymienionego w pkt 2 na tej stronie oraz e-mailem na adres e-mail ownera każdego konta Klienta, co najmniej 30 dni przed wejściem zmiany w życie.
2. W ciągu tych 30 dni Klient może zgłosić sprzeciw z uzasadnionych przyczyn dotyczących ochrony danych, wysyłając e-mail na adres contact@lukaswojcik.com.
3. Jeżeli strony nie znajdą rozwiązania, Klient może wypowiedzieć umowę o świadczenie Usługi ze skutkiem na dzień wejścia zmiany w życie, zgodnie z pkt 8 Umowy powierzenia.
4. Usunięcie podwykonawcy przetwarzania oraz zmiany w pkt 3–5, które nie dotyczą Danych Klienta, są odnotowywane na tej stronie bez wcześniejszej zapowiedzi.

7. Stan i wersja

Pytania dotyczące tej listy: contact@lukaswojcik.com. Dalsze informacje: Polityka prywatności, Nota prawna; nasz rejestr czynności przetwarzania na żądanie.

Niniejszy dokument sporządzono w języku angielskim. Tłumaczenia na język niemiecki (/p/unterauftragsverarbeiter) i polski (/p/podwykonawcy-przetwarzania) udostępniono dla wygody; wersja angielska ma pierwszeństwo.

Wersja 2.0 zastępuje wersję 1.1 z 2 września 2026 r. Zmiany: dodano Google Cloud Storage jako podwykonawcę przetwarzania dla zaszyfrowanej kopii zapasowej; wycofano stwierdzenia „lista jest kompletna" i „nie korzysta się z hiperskalera"; opisano Namecheap wraz z DNS, przekazywaniem poczty, skrzynką i stanem poczty wychodzącej, w tym dane Odwiedzających w wiadomościach e-mail; Stripe i reCAPTCHA zaliczono do dostawców wykorzystywanych do własnych celów Operatora, reCAPTCHA z transferem do USA; Twilio (połączenie na kliknięcie) wymieniono warunkowo; wyjaśniono usługi push, Telegram (również alerty eksploatacyjne), Let's Encrypt, połączenia bezpośrednie, operatora sieci i lokalną geolokalizację; WhatsApp, Messenger i Instagram działają bezpośrednio z Meta, a nie przez Twilio; uzupełniono listę integracji.

Wersja 2.1 zastępuje wersję 2.0 z 11 października 2026 r. Zmiany: Namecheap z danymi Odwiedzających w odpowiedziach wysyłanych bez własnego serwera pocztowego Klienta (2.2); treść powiadomień push (4.2); brak publicznego serwera STUN, własny serwer przekaźnikowy, co-browsing i udostępnianie ekranu (4.5); uzasadnienie, dlaczego usługi z sekcji 5 nie są podwykonawcami przetwarzania; szczegóły Telegram, SMS i e-mail, Cal.com, Stripe i własne punkty końcowe dla akcji bota, Google Drive, single sign-on i narzędzia AI podłączone przez MCP (5).

Wersja 2.2 zastępuje wersję 2.1 z 11 października 2026 r. Poprawiono: kopia zapasowa jest przesyłana do Google od 20 sierpnia 2026 r., do 4 września do Google Drive (1, 2.1); treść i metadane powiadomień push (4.2); Answely (4.6); zakres dostępu do Google Drive i źródła migracji (5).

Wersja 2.3 zastępuje wersję 2.2 z 12 października 2026 r. Poprawiono: funkcje działające na żywo, które zależą od kraju, ustalają go na podstawie adresu IP za pomocą lokalnej bazy danych (4.1).

Wersja 2.4 zastępuje wersję 2.3 z 16 października 2026 r. Zmiany: rejestr czynności przetwarzania jest dostępny na żądanie zamiast linku (koniec dokumentu). Lista podwykonawców pozostaje bez zmian.

Wersja 2.4 – obowiązuje od 19 października 2026 r.