Aktualizacja 2026-09-14

Rejestr subprocesorów

Lista zewnętrznych podmiotów przetwarzających dane osobowe w imieniu Polskiej Grupy Wierzytelności. Każda zmiana ogłaszana jest z 30-dniowym wyprzedzeniem (standard rynkowy, Stripe, Salesforce). W tym czasie klient korporacyjny może zgłosić sprzeciw — pisemnie, na adres kontaktowy podany w Polityce prywatności.

Subprocesorzy aktywni

Podmioty obecnie zaangażowane w przetwarzanie danych na środowisku produkcyjnym.

Supabase

Supabase Inc.

HIGH Aktywny, DPA podpisane

Usługa: Managed PostgreSQL (baza danych), Storage (skany dokumentów), Auth (logowanie). Środowisko produkcyjne platformy.
Zakres danych: Pełen zakres danych aplikacji: konta użytkowników, sprawy, dokumenty, korespondencja. Dane rzeczywiste klientów i dłużników.
Lokalizacja: Unia Europejska — region `eu-central-1` (Frankfurt, Niemcy); infrastruktura: Amazon Web Services jako dostawca Supabase
DPA / status formalny: DPA podpisane 2026-05-22 (erratum w toku). Docelowe przeniesienie bazy do Azure Poland Central, patrz „Planowane”.

Microsoft Azure Container Apps

Microsoft Corporation

HIGH Aktywny, DPA podpisane

Usługa: Hosting aplikacji (warstwa serwerowa i API). Przez tę warstwę przechodzi każde żądanie użytkownika; dane są przetwarzane w pamięci i w logach diagnostycznych.
Zakres danych: Dane przechodzące przez aplikację przy obsłudze żądań — przetwarzane w pamięci, BEZ trwałego przechowywania (baza i pliki pozostają u Supabase). Logi techniczne bez treści spraw (Azure Monitor / Log Analytics).
Lokalizacja: EU. Poland Central
DPA / status formalny: Objęte Microsoft DPA / Azure Online Services Terms.

Microsoft Azure Communication Services

Microsoft Corporation

HIGH Aktywny, DPA podpisane

Usługa: Wysyłka poczty wychodzącej platformy (powiadomienia, korespondencja do klientów i dłużników). To faktyczny nadawca techniczny wiadomości.
Zakres danych: Treść i adresaci wiadomości e-mail wysyłanych przez platformę.
Lokalizacja: EU
DPA / status formalny: Objęte Microsoft DPA / Azure Online Services Terms.

Obsługa księgowa (inFakt)

inFakt sp. z o.o., KRS 0000325203

HIGH Aktywny, DPA w toku

Usługa: Prowadzenie ksiąg, wystawianie i ewidencja faktur, rozliczenia podatkowe oraz obsługa listy płac.
Zakres danych: Dane z faktur wystawianych klientom (nazwa, adres, NIP, kwoty) oraz zapisy z rachunku bankowego, w tym wpłaty dłużników wraz z tytułem przelewu. Dane kadrowo-płacowe pracowników.
Lokalizacja: Polska — Kraków
DPA / status formalny: Umowa powierzenia — status do potwierdzenia.

Microsoft Azure OpenAI

Microsoft Corporation

HIGH Aktywny, DPA w toku

Usługa: Modele językowe (LLM) + embeddings dla asystenta prawnego, RAG w aktach i analizy dokumentów. Microsoft NIE używa danych klientów do trenowania modeli. Jedyny dostawca AI (brak modeli spoza Microsoft).
Zakres danych: Treść pytań i kontekst sprawy po anonimizacji: warstwa 1 regex (PESEL/NIP/IBAN/e-mail/telefon) + warstwa 2 NER (nazwiska/adresy/firmy).
Lokalizacja: EU. Poland Central (preferowany) / Sweden Central (fallback)
DPA / status formalny: DPA Azure OpenAI do podpisu (Microsoft Product Terms / DPA).

Microsoft Azure AI Language

Microsoft Corporation

HIGH Aktywny, DPA podpisane

Usługa: Rozpoznawanie i maskowanie danych osobowych (NER PII), druga warstwa anonimizacji przed wysłaniem do AI (nazwiska, adresy, nazwy firm). Fail-closed.
Zakres danych: Fragmenty tekstu kierowane do AI, w celu wykrycia i zamaskowania PII. Brak trwałego przechowywania.
Lokalizacja: EU. Sweden Central
DPA / status formalny: Objęte Microsoft DPA (Azure Cognitive Services).

Microsoft Azure Document Intelligence

Microsoft Corporation

HIGH Aktywny, DPA podpisane

Usługa: OCR dokumentów (faktury, umowy, pisma), ekstrakcja tekstu do dalszego przetwarzania.
Zakres danych: Treść wgranych dokumentów sprawy (skany). Wynik OCR zapisywany w naszej bazie.
Lokalizacja: EU. Sweden Central
DPA / status formalny: Objęte Microsoft DPA (Azure Cognitive Services).

Microsoft Azure Maps

Microsoft Corporation

MEDIUM Aktywny, DPA podpisane

Usługa: Geokodowanie i podpowiedzi adresów (countrySet=PL), wizualizacja na mapie. Klucz po stronie serwera (Managed Identity).
Zakres danych: Adresy (ulica, miasto, kod) przekazywane do geokodowania. Bez identyfikatorów osób.
Lokalizacja: EU (atlas.microsoft.com)
DPA / status formalny: Objęte Microsoft DPA (Azure Maps).

Planowane / warunkowe

Podmioty, które mogą zostać włączone w przyszłości po spełnieniu warunków (DPA + 30-dniowe wyprzedzenie).

Planowany

Microsoft Azure (PostgreSQL Flexible Server / Blob / Key Vault / Entra ID)

Przeniesienie bazy danych, magazynu plików i logowania z Supabase do Azure. Region Poland Central. Warstwa aplikacyjna działa na Azure już dziś, patrz „Aktywni”.

Część Azure Online Services Terms / Data Protection Addendum (Microsoft).

Planowany

Microsoft Graph (Microsoft 365)

Wysyłka i odczyt poczty ze skrzynki organizacyjnej. Obecnie wyłączone flagą — pocztę wychodzącą obsługuje Azure Communication Services.

Objęte Microsoft DPA / Online Services Terms. Aktywacja po konfiguracji App Registration.

Planowany

Microsoft Azure Cache for Redis

Rozproszony rate-limiter (zastąpienie Upstash), region Poland Central, w granicy Microsoft/UE.

Część Azure Online Services Terms / DPA.

Planowany

Autenti

Kwalifikowany e-podpis umów (brak odpowiednika w usługach Microsoft). Aktywacja warunkowa, obecnie wyłączona flagą.

Wymaga podpisanego DPA + weryfikacji przed aktywacją.

Co NIE jest subprocesorem

Świadomie wyłączone z rejestru, z uzasadnieniem.

Web Push (VAPID)

Self-hosted. Powiadomienia idą bezpośrednio z naszego serwera do przeglądarki. Payload jest generyczny, bez treści, bez danych osobowych.

Microsoft Entra ID

System tożsamości administratora (Insignis Polska). Nie przetwarza danych klientów PGW w rozumieniu RODO art. 28.

Masz pytanie o przetwarzanie danych?

Skontaktuj się z administratorem danych, odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca (RODO art. 12 ust. 3).

iod@e-pgw.pl Polityka prywatności

Aktualizacja 2026-09-14