LISTA PODMIOTÓW PRZETWARZAJĄCYCH I PODPRZETWARZAJĄCYCH

Stan na: wrzesień 2026

Niniejsze zestawienie wymienia usługodawców, którzy przetwarzają dane osobowe na nasze zlecenie (podmioty przetwarzające) lub są angażowani przez podmiot przetwarzający (podprzetwarzający). Publikacja następuje dobrowolnie, w celu zapewnienia przejrzystości. Administratorem w rozumieniu RODO jest wyłącznie ICOSO CONSULTING S.L. („Luna FemTech"); szczegóły w naszej Polityce prywatności (www.luna-femtech.com/data).

Zasada podstawowa: Twoje przechowywane wpisy dotyczące zdrowia są już na Twoim urządzeniu szyfrowane (AES-256-GCM), zanim zostaną zapisane lub objęte kopią zapasową; wyjątek stanowią niektóre dane na potrzeby przypomnień i synchronizacji, wymienione w sekcji 4 naszej Polityki prywatności. Inaczej jest w przypadku opcjonalnego coachingu AI: na jego potrzeby określone dane dotyczące zdrowia i teksty z czatu są przesyłane za pośrednictwem naszych serwerów obsługiwanych w Hetzner do AWS Bedrock i tam przetwarzane w czytelnej postaci. Szczegóły podano poniżej oraz w naszej Polityce prywatności.


A) PODMIOTY PRZETWARZAJĄCE (przetwarzanie na nasze zlecenie, art. 28 RODO)

• Hetzner Online GmbH (Niemcy, UE)
Cel: hosting serwerów aplikacji i bazy danych.
Dane: dane konta (np. adres e-mail), zaszyfrowane wpisy dotyczące zdrowia (szyfrogram; o wyjątkach zob. wyżej), protokoły techniczne, adresy IP (maks. 7 dni) oraz pseudonimizowany protokół kontrolny czatu AI (bez treści rozmowy). W przypadku korzystania z coachingu AI serwery te przekazują przesłane dane dotyczące zdrowia i teksty z czatu do AWS Bedrock, nie przechowując ich.
Miejsce: Finlandia (UE). Brak przekazywania do państwa trzeciego.

• Amazon Web Services EMEA SARL (region eu-central-1, Frankfurt, UE)
Cel: wspierany przez AI coaching żywieniowy i stylu życia („Sofía", tylko przy korzystaniu z opcjonalnych funkcji AI).
Dane: określone dane dotyczące zdrowia i profilu (kategorie, wartości zbiorcze i pojedyncze wyniki pomiarów, takie jak wartości hormonów) oraz, w czacie, Twoje wiadomości wraz z niedawnym przebiegiem rozmowy jako tekst dowolny, w którym filtr zastępuje w Twoich własnych wiadomościach określone wykryte adresy e-mail, numery telefonów i numery IBAN — bez imienia i nazwiska, adresu e-mail ani identyfikatora użytkownika Twojego konta. Modele: Claude (Anthropic).
Miejsce: UE (zapytania przez Frankfurt, przetwarzanie w regionach AWS na terenie UE). Brak przekazywania do USA.

• Scaleway SAS (Francja, UE)
Cel: wysyłka transakcyjnych wiadomości e-mail (np. kodów weryfikacyjnych i bezpieczeństwa) oraz przechowywanie zaszyfrowanych kopii zapasowych bazy danych.
Dane: adres e-mail, treść danej systemowej wiadomości e-mail; kopie zapasowe bazy danych, które są szyfrowane przed przesłaniem.
Miejsce: Francja (UE). Brak przekazywania do państwa trzeciego.

• Sentry (Functional Software, Inc.)
Cel: techniczna diagnostyka awarii i błędów (opcjonalna, możliwa do wyłączenia w Ustawieniach).
Dane: techniczne raporty o awariach; treści o charakterze osobowym są w dużej mierze usuwane przed wysłaniem (PII-scrubbing).
Miejsce: wyłącznie region UE (Frankfurt), zabezpieczone standardowymi klauzulami umownymi UE.


B) PODPRZETWARZAJĄCY Z ODNIESIENIEM DO PAŃSTWA TRZECIEGO (USA, zabezpieczone standardowymi klauzulami umownymi UE)

• OpenAI, L.L.C. (USA)
Cel: generowanie obrazów przepisów/potraw.
Dane: wyłącznie tekstowe hasło wyszukiwania lub nazwa przepisu — brak danych zdrowotnych, brak identyfikatora użytkownika.

• RevenueCat, Inc. (USA)
Cel: techniczne zarządzanie subskrypcjami (uzgadnianie zakupów, status subskrypcji).
Dane: pseudonimowy identyfikator subskrypcji (SHA-256) i status subskrypcji — brak imienia i nazwiska, brak danych zdrowotnych.


C) OBSŁUGA PŁATNOŚCI (każdy jako niezależny administrator)

• Apple (Apple Distribution International Ltd., Irlandia / Apple Inc.) — zakup i rozliczenie za pośrednictwem App Store.
• Google (Google Ireland Ltd. / Google LLC) — zakup i rozliczenie za pośrednictwem Google Play.
Obsługa płatności odbywa się w całości za pośrednictwem odpowiedniego sklepu; nie otrzymujemy żadnych danych bankowych, kartowych ani rozliczeniowych. Dodatkowo obowiązują ich własne postanowienia dotyczące ochrony danych.


D) TECHNICZNE USŁUGI WYSZUKIWANIA (zapytanie pośredniczone przez nasz serwer, bez danych osobowych)

• Open Food Facts (organizacja non-profit, Francja)
Cel: wyszukiwanie nazwy produktu na podstawie zeskanowanego kodu kreskowego.
Dane: wyłącznie zeskanowany numer kodu kreskowego (EAN) — brak odniesienia do osoby.

• OpenStreetMap / Nominatim (OpenStreetMap Foundation, UE)
Cel: propozycje przy wprowadzaniu miejsca (np. wyszukiwanie miasta).
Dane: wyłącznie wprowadzone hasło wyszukiwania — brak danych o lokalizacji lub danych GPS, brak odniesienia do osoby.


Aktualizujemy niniejszą listę, gdy zmieniają się usługodawcy. Każdorazowo obowiązująca wersja jest publikowana pod adresem www.luna-femtech.com/sub.