Sub-procesorzy Praxonii

1. Voluntary procurement choices (13)

Wybraliśmy te 13 sub-procesorów na podstawie 3 kryteriów: (1) jurysdykcja RODO-friendly (EU primary + USA SCC fallback gdzie konieczne), (2) DPA standardowo dostępne (NIE „on-request only"), (3) audit log + access control compliance. Każdy z nich można zastąpić — jeśli zgłosicie zastrzeżenia, mamy 30 dni na migrację lub opt-out per RODO Art. 28.

1.1 LLM + AI services (2)

1.2 Infrastructure + storage (3)

1.3 Payments + invoicing (1)

1.4 Communication + monitoring (4)

1.5 Operations + secrets (3)

Łącznie voluntary: 13 sub-procesorów (2 LLM + 3 infrastructure + 1 payments + 4 communication/monitoring + 3 operations). Macie 30-dniowy SLA na opt-out per sub-procesor — szczegóły w sekcji 3.

2. Mandatory polish law transfer (1 KSeF)

Jeden recipient danych jest mandatory per polskie prawo — Krajowy System e-Faktur (KSeF). NIE jest to nasza voluntary choice. Nie da się opt-out z KSeF jeśli prowadzicie działalność gospodarczą w Polsce po 1.07.2026.

Co Praxonia robi z KSeF: Wysyłamy w Waszym imieniu faktury Beta phase (1.07-31.10.2026, 30% rabat) + post-Beta production. KSeF kompatybilność testowana marzec-czerwiec 2026 z 3 sklepami pilotażowymi NDA. Każda wysłana faktura ma audit_log entry z timestamp + KSeF response code.

Token API auth Day 1, certyfikat migration Q4 2026 (per ADR 10b DI-16, przed MoF token deprecation timeline).

3. Workflow + 30-dniowy SLA opt-out

Jak Praxonia dodaje, zmienia, usuwa sub-procesora — i jak Wy macie wpływ na te decyzje.

3.1 Dodanie nowego voluntary sub-procesora

1. Internal review — Pawła + Krystyna (mec. legal LLM advisor) + Karinka (brand voice review) ocena: jurysdykcja RODO + DPA standardowo dostępne + audit log compliance + cap budget impact (per ADR 19 floor $200/m + 8% MRR Day 90+).
2. Sentry alert deploy — custom event sub_procesor_added_pending_30d_notification wysyła notyfikację do listy klientów email subscribed.
3. 30-dniowy notification SLA — klient ma 30 dni na: (a) zaakceptować cicho (default), (b) zgłosić zastrzeżenia → opt-out workflow (sekcja 3.3).
4. Trust Center update — sekcja 1 dodaje nowy sub-procesor entry + sekcja 4 changelog dopisuje datę dodania + audit log signoff.
5. Deploy live — po 30 dniach sub-procesor jest active w produkcji. Pre-30-day deployment = tylko staging environment (zero real klient data).

3.2 Zmiana lub usunięcie sub-procesora

1. Internal trigger — pricing change (>20% wzrost) lub DPA niezgodność z RODO update lub jurysdykcja change (np. EU SCC invalidation 2026+) lub klient critical mass opt-out signal.
2. Migration plan — wybór alternatywy + 30-dniowy migration window + data export protocol.
3. 30-dniowy notification — klient dostaje email z opisem zmiany + timeline migration + nowy DPA link (jeśli zmiana sub-procesora).
4. Trust Center update — sekcja 1 update + sekcja 4 changelog entry.

3.3 Opt-out workflow (klient initiative)

Jeśli macie zastrzeżenia do konkretnego voluntary sub-procesora (np. nie chcecie żeby Wasze dane były przetwarzane przez US-based provider):

1. Zgłoszenie opt-out — email do info@praxonia.pl z tematem „Opt-out sub-procesor: [nazwa]" + uzasadnienie (opcjonalne, ale pomaga nam improve workflow).
2. 30-dniowy SLA response — Pawła + Krystyna + Karinka ocena: czy alternative sub-procesor istnieje + czy migration możliwa + impact na pricing.
3. 3 outcome paths:
   • Migration accept — Praxonia migruje na alternative provider w 60-90 dniach + Wy zachowujecie pricing.
   • Service termination — jeśli sub-procesor jest critical i alternative NIE istnieje, ofertujemy zwrot proporcjonalnej części opłaty Beta phase + export Waszych danych w 14 dni (CSV + DB snapshot per RODO Art. 20 prawo do przenoszenia).
   • Custom enterprise tier — jeśli macie skalę >5000 zł/m revenue + critical compliance need, możemy ofertować custom infrastructure (self-hosted Supabase + Vercel Enterprise + zero US sub-procesorów) za premium pricing.

3.4 Sentry subscription dla sub-procesor updates

Każdy klient panel ma toggle subscribe_subprocessor_change_notifications (default ON dla Beta phase). Wyłączenie = nie dostajecie email 30-day advance notification (Karinka veto NIE rekomenduje wyłączać Day 1).

4. Changelog + Q3 2026 audit

Historyczny track wszystkich zmian sub-procesorów. Quarterly audit publish Q3 + Q4 2026 + Q1 2027 z Pawła + Krystyna review + cyfrowa Karinka brand voice signoff.

4.1 Changelog

4.2 Sub-procesor audit framework

Kwartalny audit sprawdza:

• Czy każdy sub-procesor jest faktycznie używany (NIE „dead provisioning")
• Czy DPA jest aktualne (sprawdzamy provider URLs + email signature DPO każdego provider)
• Czy lokalizacja danych nie zmieniła się retroactively (np. provider data center migration)
• Czy 30-dniowy SLA był respected dla wszystkich zmian w okresie audit
• Czy klient opt-out requests miały response w SLA window
• Czy cap budget security cost (<$200/m floor + 8% MRR Day 90+) preserved

Wyniki audit publikujemy w tej sekcji + email do listy klientów subscribed + Sentry custom event log + Karinka brand voice signoff w audit_log per ADR 36 D-36.4.