SUBPROCESSOR LIST

This is a bilingual disclosure; current provider contracts and mandatory law determine legal roles.

SERVED Subprocessor and Key Recipient List

Version: 1.2

Current at: 2026-10-01

What changed in 1.2: Google Ireland Limited and Google LLC are added for Google Analytics 4 on served.global. Google acts as our processor. No other provider changed.

Objections or questions: privacy+draft@served.global

This list identifies active production providers for the SERVED Platform. It distinguishes processors acting on SERVED instructions from independent recipients, particularly regulated Payment Providers. Listing a provider does not alter the role arising from law and the particular service.

1. Reading location information

“EU region” means the location selected for a main SERVED resource. It does not mean that all account metadata, support, security, global delivery or every downstream provider stays only in the EU. For access outside the EEA we use as appropriate:

• a European Commission adequacy decision, including the EU–US Data Privacy Framework only after checking current certification and scope; or
• Decision (EU) 2021/914 Standard Contractual Clauses, a transfer assessment and supplementary measures.

The exact mechanism and downstream list also follow the current accepted provider agreement. SERVED keeps copies in its vendor register.

2. Subprocessors used for Venue Data

Scroll the table sideways to see every column.

3. Public-data and map providers

Scroll the table sideways to see every column.

If a public-data provider receives Controller Personal Data on Venue instruction, it is treated as a Subprocessor for that scope and is subject to the DPA. Standard SERVED configuration does not send reservation content, health data or full Guest identifiers to these services.

4. Payment Providers and independent recipients

Scroll the table sideways to see every column.

The Venue is sole seller and party to the payment agreement. Guest funds settle directly to the Venue through its Payment Provider. SERVED does not hold those funds or receive full card details.

5. Inactive or future providers

The following are not active launch subprocessors and do not receive production data on that basis:

• Cloudflare;
• Sentry or another separate error-monitoring provider;
• separate file storage outside Supabase;
• an SMS or WhatsApp provider;
• Mollie Connect, Adyen for Platforms and Mangopay — possible future payment alternatives only.

Activation requires role, DPA, security, transfer and configuration review and advance list update where the provider is a Subprocessor.

6. Notice and objection

Venues receive at least 15 days' advance notice of a new or replacement Subprocessor by account-administrator email or the Platform.

Before the change date, a Venue may send a reasoned objection about a concrete data-protection risk to privacy+draft@served.global.

SERVED and the Venue will seek a measure, alternative or safeguard. If the risk cannot reasonably be resolved, the Venue may terminate the affected feature without penalty or, if inseparable, the agreement before processing begins.

A change in an independent Payment Provider selected and contracted by the Venue is also communicated in-product but is not a Subprocessor change where it acts directly for the Venue.

7. Change history

Scroll the table sideways to see every column.

SUBPROCESSOR LIST

This is a bilingual disclosure; current provider contracts and mandatory law determine legal roles.

Lista Podmiotów Przetwarzających i kluczowych odbiorców SERVED

Wersja: 1.2

Stan na: 2026-10-01

Co zmieniło się w wersji 1.2: dodano Google Ireland Limited i Google LLC na potrzeby Google Analytics 4 na served.global. Google działa jako nasz podmiot przetwarzający. Żaden inny dostawca się nie zmienił.

Kontakt do sprzeciwu lub pytań: privacy+draft@served.global

Ta lista wskazuje aktywnych dostawców produkcyjnych Platformy SERVED. Rozróżnia podmioty przetwarzające dane na polecenie SERVED od niezależnych odbiorców, w szczególności regulowanych Operatorów Płatności. Samo umieszczenie dostawcy na liście nie zmienia roli wynikającej z prawa i konkretnej usługi.

1. Jak rozumieć lokalizację

„Region UE” oznacza miejsce głównego zasobu wybrane przez SERVED. Nie oznacza, że wszystkie metadane konta, wsparcie, bezpieczeństwo, globalna dystrybucja lub każdy podwykonawca pozostają wyłącznie w UE. Dla dostępu spoza EOG stosujemy odpowiednio:

• decyzję Komisji Europejskiej o odpowiednim stopniu ochrony, w tym EU–US Data Privacy Framework wyłącznie po sprawdzeniu aktualnej certyfikacji i zakresu; albo
• Standardowe Klauzule Umowne z decyzji (UE) 2021/914, ocenę transferu i środki uzupełniające.

Dokładny mechanizm i lista dalszych podwykonawców wynikają również z aktualnej, zaakceptowanej umowy danego dostawcy. SERVED zachowuje ich kopie w rejestrze dostawców.

2. Podprocesorzy używani dla Danych Obiektu

Przewiń tabelę w bok, aby zobaczyć wszystkie kolumny.

3. Dostawcy publicznych danych i map

Przewiń tabelę w bok, aby zobaczyć wszystkie kolumny.

Jeżeli dostawca publicznych danych otrzymuje Dane Osobowe Administratora na polecenie Obiektu, jest traktowany jako Podprocesor w tym konkretnym zakresie i podlega DPA. Standardowa konfiguracja SERVED nie wysyła do tych usług treści rezerwacji, danych zdrowotnych ani pełnych identyfikatorów Gości.

4. Operatorzy Płatności i inni niezależni odbiorcy

Przewiń tabelę w bok, aby zobaczyć wszystkie kolumny.

Obiekt jest wyłącznym sprzedawcą i stroną umowy płatniczej. Środki Gościa trafiają bezpośrednio do rozliczenia Obiektu u Operatora Płatności. SERVED nie posiada tych środków i nie otrzymuje pełnych danych karty.

5. Nieaktywni lub przyszli dostawcy

Następujące podmioty nie są aktywnymi podprocesorami na starcie i nie otrzymują danych produkcyjnych na tej podstawie:

• Cloudflare;
• Sentry ani inny odrębny dostawca monitorowania błędów;
• odrębny dostawca przechowywania plików poza Supabase;
• dostawca SMS lub WhatsApp;
• Mollie Connect, Adyen for Platforms i Mangopay — to wyłącznie możliwe przyszłe alternatywy płatnicze.

Aktywacja wymaga oceny roli, DPA, bezpieczeństwa, transferu, konfiguracji i wcześniejszej aktualizacji tej listy tam, gdzie są Podprocesorem.

6. Zawiadomienie i sprzeciw

Obiekty otrzymają co najmniej 15 dni wcześniejszego zawiadomienia o nowym lub zastępowanym Podprocesorze na e-mail administratora konta albo przez Platformę.

Obiekt może przed datą zmiany przesłać na privacy+draft@served.global uzasadniony sprzeciw dotyczący konkretnego ryzyka ochrony danych.

SERVED i Obiekt poszukają środka, alternatywy lub dodatkowego zabezpieczenia. Jeśli ryzyka nie da się rozsądnie rozwiązać, Obiekt może bez kary zakończyć dotkniętą funkcję albo, gdy nie da się jej oddzielić, umowę przed rozpoczęciem przetwarzania przez nowy podmiot.

Zmiana niezależnego Operatora Płatności wybieranego i kontraktowanego przez Obiekt jest również komunikowana produktowo, ale nie stanowi zmiany Podprocesora w zakresie, w którym operator działa bezpośrednio dla Obiektu.

7. Historia zmian

Przewiń tabelę w bok, aby zobaczyć wszystkie kolumny.