Skracacze URL przyjazne RODO - czego szukać w 2026 roku

Każde przekierowanie przez skracacz URL tworzy zdarzenie przetwarzania danych. Zdarzenie kliknięcia zawiera co najmniej adres IP, znacznik czasu i ciąg user-agent. Na podstawie Art. 4 ust. 1 RODO ta kombinacja może stanowić dane osobowe - TSUE potwierdził w sprawie Breyer (C-582/14, 2016), że dynamiczne adresy IP są danymi osobowymi, gdy organizacja ma realne środki identyfikacji stojącej za nimi osoby. Twój skracacz takie środki ma: kontroluje dziennik przekierowań.

Ten post to praktyczna lista kontrolna do oceny, czy skracacz URL jest naprawdę przyjazny RODO. Omówię, czego faktycznie wymaga rozporządzenie, gdzie popularne dostawcy zawodzą, czego szukać w zgodnym narzędziu i jakie kompromisy są zaangażowane. Odniesienia do artykułów dotyczą Rozporządzenia (UE) 2016/679, RODO ze zmianami.

Czego RODO wymaga od skracacza URL#

Skracacz URL siedzi w przepływie danych między Twoją kampanią a Twoim klientem. Gdy ktoś klika krótki link, skracacz widzi kliknięcie zanim widzi je strona docelowa. To czyni skracacz podmiotem przetwarzającym w rozumieniu Art. 4 ust. 8: przetwarza dane osobowe w Twoim imieniu. Ty jesteś administratorem; decydujesz o celu i środkach śledzenia. Skracacz wykonuje operację zgodnie z Twoimi instrukcjami.

Ten podział tworzy cztery konkretne obowiązki, które skracacz musi spełnić:

1. Pisemna umowa obejmująca Art. 28 ust. 3

Art. 28 ust. 3 wymienia osiem wymagań, które każda umowa z procesorem musi zawierać: przetwarzanie wyłącznie na podstawie udokumentowanych instrukcji, poufność, odpowiednie bezpieczeństwo, ujawnianie podprocesorów, pomoc przy prawach podmiotów danych, pomoc przy obowiązkach bezpieczeństwa i DPIA, usunięcie lub zwrot po rozwiązaniu oraz prawa do audytu. Skracacz bez Umowy o Przetwarzaniu Danych (DPA) adresującej każdy z tych punktów nie jest gotowy do zamówienia dla wdrożenia w UE.

2. Podstawa prawna dla warstwy śledzenia kliknięć

Sam przekierowanie - przyjęcie kliknięcia i przekierowanie do celu - jest prawdopodobnie konieczne do świadczenia usługi. Warstwa analityczna na szczycie tego przekierowania - rejestrowanie kliknięcia do atrybucji, pomiaru kampanii, retargetingu - to oddzielna operacja przetwarzania wymagająca własnej podstawy prawnej na podstawie Art. 6. Większość zespołów B2B opiera analitykę kampanii na uzasadnionym interesie na podstawie Art. 6 ust. 1 lit. f; jeśli skracacz wstrzykuje piksele retargetingowe stron trzecich w momencie przekierowania, podstawa zmienia się na zgodę na podstawie Art. 6 ust. 1 lit. a, co oznacza konieczność mechanizmu zgody przed pierwszym kliknięciem.

3. Minimalizacja danych

Art. 5 ust. 1 lit. c wymaga, żeby zbieranie danych było "adekwatne, stosowne i ograniczone do tego, co niezbędne". Dla skracacza ta zasada stosuje się bezpośrednio do schematu zdarzenia kliknięcia. Potrzebujesz geolokalizacji na poziomie kraju, kategorii urządzenia, znacznika czasu i identyfikatora kliknięcia. Nie potrzebujesz pełnego adresu IP po momencie przekierowania. Prawie na pewno nie potrzebujesz pełnego ciągu user-agent - przetworzona krotka device.type / device.os niesie sygnał atrybucji bez bycia wektorem fingerprintingu.

4. Zgodność przekazywania międzynarodowego

Jeśli skracacz przechowuje lub przetwarza zdarzenia kliknięć poza EOG, zastosowanie mają Art. 44 i Art. 46. Przekazania do USA wymagają albo Standardowych Klauzul Umownych (SCC) plus Oceny Skutków Przekazania, albo uczestnictwa w EU-US Data Privacy Framework, który sam jest przedmiotem toczącego się postępowania. Skracacz hostowany w UE całkowicie eliminuje ten problem.

Gdzie popularne skracacze zawodzą#

Bitly#

Główna płaszczyzna danych Bitly znajduje się w Stanach Zjednoczonych. Zgodnie z publiczną dokumentacją, przekazania danych z EOG do Stanów Zjednoczonych opierają się na Standardowych Klauzulach Umownych. DPA jest dostępna, ale nie jest wstępnie podpisana w standardowej umowie - klienci enterprise negocjują ją osobno, co wydłuża czas realizacji zamówienia. Rezydencja danych wyłącznie w UE nie jest standardową ofertą; to rozmowa na temat niestandardowej umowy.

Dwie mniej dyskutowane kwestie: dashboard analityczny Bitly integruje się z usługami atrybucji stron trzecich, a niektóre poziomy planów umożliwiają wstrzykiwanie pikselów retargetingowych w warstwie przekierowania. Jeśli piksele retargetingowe uruchamiają się zanim użytkownik wyraził zgodę, stanowi to dla Ciebie jako administratora problem z Art. 6. Skracacz jest procesorem, ale administrator ponosi główną odpowiedzialność za posiadanie właściwej podstawy prawnej.

Rebrandly#

Rebrandly ma siedzibę w Dublinie, co brzmi przyjaźnie dla UE, ale operacyjne pytanie dotyczy miejsca przetwarzania danych, a nie miejsca siedziby firmy. Zgodnie z ich DPA (dostęp maj 2026), przekazania danych z EOG do USA opierają się na SCC. Przetwarzanie wyłącznie w UE jest dostępne dla klientów enterprise na niestandardowych warunkach. Standardowa umowa nie wiąże danych z infrastrukturą UE. Dla zespołów potrzebujących kontraktowo egzekwowalnej klauzuli rezydencji od ręki, Rebrandly wymaga niestandardowych negocjacji.

Rebrandly natywnie obsługuje też piksele retargetingowe stron trzecich na większości planów. Wartość marketingowa jest realna; implikacja dla zgodności jest taka, że każdy piksel uruchamiający się w momencie przekierowania dla podmiotów z UE wymaga podstawy zgody, a nie uzasadnionego interesu, ponieważ profilowanie behawioralne do celów reklamowych wykracza poza granicę uzasadnionego interesu w większości interpretacji organów nadzorczych.

TinyURL#

TinyURL oferuje czysty darmowy plan i jest powszechnie używanym konsumenckim skracaczem. Nie publikuje listy podprocesorów. Standardowe warunki nie zawierają DPA spełniającej Art. 28 ust. 3. Warstwa analityczna jest prymitywna i hostowana w USA. Dla zespołów B2B lub marketingowych z podmiotami z UE wśród odbiorców, TinyURL nie jest gotowy do zamówienia.

Ogólny problem skracaczy hostowanych w USA#

Wielu dostawców działających głównie dla klientów z USA traktuje zgodność z RODO jako pole wyboru, a nie jako ograniczenie architektoniczne. Sygnały ostrzegawcze: odznaka "zgodny z RODO" na stronie cenowej bez linku do DPA, lista podprocesorów nie wymieniająca regionów hostingowych (tylko nazwy dużych platform bez regionów), proces usuwania przechodzący przez wsparcie zamiast udokumentowanego endpointu API i brak wzmianki o obcinaniu IP lub domyślnych ustawieniach minimalizacji danych.

"Zgodny z RODO" jako twierdzenie marketingowe nie znaczy nic bez DPA mapującej się do Art. 28 ust. 3, aktualnej i regionowo szczegółowej listy podprocesorów oraz dowodów, że domyślna postawa zbierania danych stosuje minimalizację, a nie wymaga od Ciebie rezygnacji z domyślnych ustawień.

Lista kontrolna dla skracacza przyjaznego RODO#

Oto dziesięć pytań do zadania na piśmie przed podpisaniem umowy ze skracaczem URL, który będzie przetwarzał dane kliknięć podmiotów z UE.

1. Gdzie są przetwarzane dane i czy to jest zobowiązanie kontraktowe?#

Zapytaj o region dostawcy chmury - nie tylko o nazwę chmury. "AWS" nie jest odpowiedzią; nazwany region UE, taki jak "AWS eu-central-1", jest. Co ważniejsze, zapytaj, czy ten region jest wiążącą klauzulą w standardowej umowie czy praktyką operacyjną, która może się zmienić bez Twojej zgody. Na podstawie Art. 44, przekazania poza EOG wymagają podstawy prawnej; chcesz, żeby zobowiązanie dotyczące rezydencji było w umowie, żebyś nie musiał powtarzać analizy za każdym razem, gdy dostawca aktualizuje swoją infrastrukturę.

2. Czy DPA jest wstępnie podpisana i czy w pełni obejmuje Art. 28 ust. 3?#

DPA dostarczana wstępnie podpisana w standardowej umowie sygnalizuje, że dostawca traktuje zgodność z RODO jako punkt bazowy, a nie negocjację. Przeczytaj DPA względem ośmiu podpunktów Art. 28 ust. 3. Każdy musi być zaadresowany. Zwróć szczególną uwagę na podpunkt (d) - angażowanie podprocesorów - i podpunkt (h) - prawa do audytu. Ogólny język jak "stosujemy standardowe w branży praktyki bezpieczeństwa" zamiast konkretnych obowiązków jest sygnałem ostrzegawczym.

3. Ile podprocesorów i czy są wymienieni z regionami?#

Każdy podprocesor to dodatkowe ogniwo w łańcuchu przekazywania. Krótka lista z nazwanymi regionami (dostawca obliczeniowy w UE w regionie UE, dostawca poczty w USA Wschód itp.) jest audytowalna w jednym przeglądzie. Długa lista z niejasno opisanymi dostawcami to obciążenie utrzymaniowe i ryzyko rezydencji. Na podstawie Art. 28 ust. 2, każdy podprocesor musi przyjąć te same obowiązki ochrony danych co procesor. Zapytaj, jaki jest okres powiadamiania o nowych podprocesorach i czy masz prawo sprzeciwu.

4. Czy skracacz obcina lub hashuje adresy IP przed ich przechowywaniem?#

Pełne przechowywanie adresów IP rzadko jest konieczne dla przypadków analitycznych obsługiwanych przez skracacz. Geolokalizacja na poziomie kraju i wykrywanie botów mogą być wykonywane w momencie przekierowania z pełnego IP, a wynik przechowywany; surowe IP może być wtedy odrzucone lub obcięte. Na podstawie Art. 5 ust. 1 lit. c, przechowywanie większej ilości danych niż wymaga cel jest naruszeniem zasady minimalizacji danych. Zapytaj, czy obcinanie lub hashowanie IP jest domyślne, czy musisz to włączyć. Domyślna minimalizacja to właściwa architektura; minimalizacja jako opcja przenosi ryzyko zgodności na Ciebie.

5. Czy przekierowanie wstrzykuje jakieś skrypty lub piksele stron trzecich?#

Niektóre skracacze oferują wstrzykiwanie pikseli retargetingowych jako funkcję: gdy odwiedzający kliknie Twój krótki link, skracacz ładuje Meta Pixel, tag Google lub podobny skrypt strony trzeciej przed lub podczas przekierowania. Dla podmiotów z UE, ładowanie skryptu śledzenia behawioralnego strony trzeciej bez uprzedniej zgody narusza Art. 6 i, zależnie od tego, czy ustawiane są cookies, Dyrektywę ePrivacy. Jeśli Twój skracacz oferuje wstrzykiwanie pikseli, ta funkcja musi być wyłączona lub uzależniona od zgody dla ruchu z UE. Jeśli dostawca nie może potwierdzić, że żadne skrypty stron trzecich nie ładują się w momencie przekierowania domyślnie, sprawdź to samodzielnie z otwartą zakładką Sieć.

6. Czy jest endpoint API dla żądań prawa do usunięcia?#

Art. 17 daje podmiotom danych prawo do usunięcia ich danych osobowych "bez zbędnej zwłoki", gdy spełnione są określone przesłanki. Gdy otrzymasz żądanie usunięcia dotyczące danych kliknięć przechowywanych przez skracacz, potrzebujesz mechanizmu do działania. Endpoint API przyjmujący identyfikator podmiotu i usuwający powiązane zdarzenia kliknięć to operacyjnie właściwa odpowiedź. Usuwanie przez ticket wsparcia nie jest "bez zbędnej zwłoki" w większości interpretacji organów nadzorczych i nie jest skalowalnym wzorcem przy żadnym znaczącym wolumenie kliknięć.

Komplikacja polega na tym, że zdarzenia kliknięć często żyją w append-only kolumnowej bazie danych analitycznych (na przykład BigQuery lub Snowflake). Dostawca przechowujący zdarzenia kliknięć w ten sposób musi wykazać, że usunięcie jest realne - DELETE względem odpowiedniej partycji - a nie tylko soft flag. Zapytaj o SLA Art. 17 dostawcy i mechanizm techniczny za nim.

7. Jakie jest SLA powiadamiania o naruszeniach?#

Art. 33 wymaga, żeby administrator powiadamiał swój organ nadzorczy o naruszeniu ochrony danych "bez zbędnej zwłoki i w miarę możliwości, nie później niż w ciągu 72 godzin po uzyskaniu o nim wiedzy". Żeby ten zegar działał, potrzebujesz, żeby Twój procesor powiadamiał Ciebie znacznie szybciej - norma branżowa to 24 godziny od świadomości do powiadomienia administratora. Twoja DPA powinna określać to SLA. "Powiadomimy Cię niezwłocznie" nie jest liczbą.

8. Czy skracacz domyślnie używa analityki cookieless, first-party?#

Wiele skracaczy buduje własne dashboardy analityczne na bazie zewnętrznego narzędzia analityki produktowej (Mixpanel, Amplitude, Segment) hostowanego w USA, które może ustawiać trwałe identyfikatory w cookies lub local storage. Dla własnej analityki produktowej skracacza (śledzenie Twojego korzystania z dashboardu) to osobna kwestia. Istotne pytanie dla śledzenia kliknięć jest, czy przepływ przekierowania ustawia jakiekolwiek cookies lub trwałe identyfikatory w przeglądarce odwiedzającego bez zgody.

Zdarzenie kliknięcia cookieless - takie, które wyprowadza kraj, urządzenie i referrer z nagłówków żądania bez ustawiania żadnego stanu po stronie klienta - nie wymaga mechanizmu zgody dla analityki first-party zgodnie z większością wytycznych organów nadzorczych, pod warunkiem że dane są przetwarzane na podstawie uzasadnionego interesu i polityka prywatności jest dostępna. Przekierowanie ustawiające trwały identyfikator lub ładujące tag strony trzeciej wymaga bramy zgody. Dowiedz się, którego używa Twój skracacz.

9. Czy jest informacja o przejrzystości dostępna dla odbiorców linków?#

Art. 13 wymaga, żeby osoby, których dane są zbierane, były informowane o przetwarzaniu w momencie zbierania, chyba że stosuje się wyjątek. Dla śledzenia kliknięć na krótkim linku, praktyczne pytanie brzmi: skąd osoba klikająca link wie, że jej kliknięcie jest śledzone i gdzie może o tym przeczytać?

Większość wdrożeń skracaczy spełnia to przez politykę prywatności administratora na stronie docelowej lub w banerze cookie na stronie kampanii. Skracacz jako procesor nie musi wyświetlać własnej informacji klikaczowi - ale Ty jako administrator potrzebujesz polityki prywatności obejmującej łańcuch przetwarzania przez śledzenie linków. Jeśli polityka prywatności skracacza jest jedynym dokumentem opisującym przetwarzanie i jest napisana z perspektywy dostawcy, a nie administratora, masz lukę.

10. Czy możesz pobrać i usunąć własne dane bez kontaktowania się z pomocą techniczną?#

To praktyczny test tego, czy dostawca faktycznie operacjonalizuje prawa podmiotów danych, które deklaruje. Powinieneś być w stanie: wyeksportować wszystkie zdarzenia kliknięć dla workspace'u w przenośnym formacie, usunąć poszczególne linki i powiązaną historię kliknięć oraz zamknąć konto z udokumentowanym usunięciem wszystkich danych osobowych. Jeśli cokolwiek z tego wymaga żądania wsparcia zamiast self-serve API lub działania w dashboardzie, zapytaj o SLA i zapisz to w umowie.

Zaangażowane kompromisy#

Architektura przyjazna RODO wiąże się z realnymi kompromisami, a bycie szczerym co do nich jest bardziej użyteczne niż udawanie, że ograniczenia zgodności nie mają kosztu.

Grubsza analityka. Skracacz obcinający IP do /24 i odrzucający pełny ciąg user-agent daje Ci kraj, rodzinę urządzeń i system operacyjny - ale nie targetowanie na poziomie miasta, nie indywidualny fingerprint przeglądarki i nie rozwiązywanie tożsamości cross-session, które umożliwiają dane pełnej rozdzielczości. Dla większości przypadków atrybucji kampanii ten poziom rozdzielczości jest wystarczający. Dla retargetingu na poziomie indywidualnym potrzebujesz innego podejścia - zazwyczaj przekazywania konwersji po stronie serwera względem identyfikatora first-party, który użytkownik już Ci udostępnił (adres e-mail, ID zalogowanego użytkownika), co nie wymaga od skracacza śledzenia osoby na warstwie przekierowania.

Mniejsza powierzchnia funkcji. Niektóre z najpotężniejszych funkcji skracaczy - wstrzykiwanie pikseli retargetingowych, śledzenie cross-domain, głęboka integracja z platformami reklamowymi stron trzecich - są zbudowane na praktykach zbierania danych trudnych do pogodzenia z minimalizacją danych. Skracacz przyjazny RODO zazwyczaj ma czystsze przekierowanie, które robi mniej na warstwie przekierowania i kieruje więcej do warstwy zdarzenia konwersji, gdzie administrator ma bezpośrednią relację z użytkownikiem i może oprzeć śledzenie na zgodzie.

Nakład zamówieniowy. Wybór skracacza hostowanego w UE z wstępnie podpisaną DPA skraca cykl zamówień w porównaniu z dostawcą hostowanym w USA wymagającym niestandardowej umowy dla rezydencji UE. Nie eliminuje cyklu. Nadal musisz przejrzeć DPA, sprawdzić listę podprocesorów, zwalidować SLA usuwania i potwierdzić, że domyślne ustawienia obcinania IP i cookie odpowiadają Twojej polityce prywatności. Oszacuj dwie do czterech godzin pracy zamówieniowej dla skracacza przyjaznego RODO w porównaniu z dwoma do ośmiu tygodniami dla dostawcy hostowanego w USA, gdzie rezydencja UE wymaga niestandardowych negocjacji kontraktowych.

Jak Elido do tego podchodzi#

Gdzie jest to istotne dla tej listy kontrolnej, oto jak wygląda standardowe wdrożenie Elido.

Rezydencja danych. Elido przetwarza zdarzenia kliknięć domyślnie na infrastrukturze UE w regionie UE. Rezydencja jest wiążącą klauzulą w standardowej umowie klienta, a nie praktyką operacyjną. Klienci Business+ mogą przypinać do innych regionów; domyślne nie przekazuje danych poza EOG.

Obcinanie IP. Zdarzenia kliknięć przechowywane w naszym magazynie analitycznym zawierają prefiks sieciowy /24 (IPv4) lub /48 (IPv6), a nie pełny adres IP. Geolokalizacja i wykrywanie botów uruchamiają się na pełnym IP w momencie przekierowania, a pełne IP jest odrzucane przed utrwaleniem zdarzenia. To jest domyślne; nie musisz tego konfigurować.

Piksele stron trzecich w momencie przekierowania. Płaszczyzna przekierowań nie ładuje żadnych skryptów stron trzecich. Przekazywanie konwersji po stronie serwera - wysyłanie danych atrybucji do Meta CAPI, GA4 lub podobnych - to opcjonalna, oddzielnie konfigurowana funkcja, która wykorzystuje dane zdarzenia first-party, które wysyłasz POST do API Elido, a nie piksel wstrzykiwany w momencie przekierowania. Są to architektonicznie różne rozwiązania: jedno uruchamia się bez wiedzy odwiedzającego z przekierowania, drugie to wywołanie server-to-server oparte na danych, które odwiedzający już Ci udostępnił.

DPA. DPA Elido jest wstępnie podpisana w standardowej umowie klienta. Adresuje wszystkie osiem podpunktów Art. 28 ust. 3. Podprocesory są wymienione na stronie zaufania z nazwanymi regionami. Strona legal/privacy obejmuje łańcuch przetwarzania widoczny dla odbiorców linków.

Prawo do usunięcia. Żądania usunięcia Art. 17 propagują się do magazynu zdarzeń kliknięć w ciągu 24 godzin. Usunięcie to operacja na poziomie partycji, a nie soft flag.

Analityka cookieless. Płaszczyzna przekierowań nie ustawia cookies. Zdarzenia kliknięć są tylko po stronie serwera. Dashboard analityczny, który Elido dostarcza wewnętrznie, używa Plausible w trybie cookieless dla telemetrii produktu; jest to oddzielne od rejestrowania zdarzeń kliknięć dla Twoich kampanii.

Czego Elido jeszcze nie ma: SOC 2 Type II (w toku, docelowo H2 2026), szablon DPIA self-serve dla klientów i w pełni zautomatyzowane API żądań dostępu podmiotów dla rzadszych scenariuszy prawa dostępu. Dla szczegółów dotyczących obecnych poświadczeń, sprawdź stronę zaufania.

Lista kontrolna migracji przy przejściu z non-EU skracacza#

Jeśli obecnie używasz skracacza hostowanego w USA i musisz przenieść się do skracacza hostowanego w UE, oto skompresowana operacyjna lista kontrolna.

Przed podpisaniem nowej umowy:

1. Przeczytaj DPA nowego dostawcy względem Art. 28 ust. 3. Potwierdź, że wszystkie osiem punktów jest explicite zaadresowanych.
2. Sprawdź listę podprocesorów. Potwierdź, że regiony hostingowe są wymienione, a nie tylko dostawcy chmury.
3. Potwierdź domyślne obcinanie IP. Poproś o pisemne potwierdzenie, jeśli nie jest to w dokumentacji produktu.
4. Potwierdź SLA Art. 17 i mechanizm techniczny.
5. Sprawdź, czy piksele retargetingowe uruchamiają się w momencie przekierowania. Jeśli tak, potwierdź, że mogą być całkowicie wyłączone lub są uzależnione od zgody.

Podczas migracji:

6. Wyeksportuj istniejące krótkie linki jako CSV. Sprawdź, że niestandardowe slagi są zachowane przez nową platformę, zanim dotkniesz DNS.
7. Udostępnij wszystkie linki na nowej platformie pod tą samą niestandardową domeną i slagami przed przepięciem CNAME.
8. Poczekaj 24–48 godzin na propagację DNS po przełączeniu CNAME. Obie platformy będą serwować prawidłowe odpowiedzi w tym oknie, jeśli slagi pasują.
9. Nie migruj historycznych danych kliknięć ze starej platformy - łańcuch pieczy dla starych zdarzeń kliknięć pozostaje ze starym procesorem, dopóki nie skorzystasz z praw do usunięcia.

Po migracji:

10. Wyślij żądanie usunięcia do starego dostawcy dla wszystkich danych osobowych powiązanych z Twoim workspace'em. Potwierdź odbiór i harmonogram usunięcia.
11. Zaktualizuj politykę prywatności, żeby odzwierciedlała nowego procesora, jego podprocesorów i nową rezydencję danych.
12. Przejrzyj wszelkie banery cookie lub mechanizmy zgody, które odwoływały się do funkcji śledzenia starego skracacza. Dostosuj zakres, jeśli domyślne zbieranie nowej platformy jest węższe.

Poradnik migracji z Bitly omawia szczegóły techniczne importu linków i przekazania DNS bardziej szczegółowo.

Co zweryfikować przed zaufaniem twierdzeniu o zgodności z RODO#

Każdy skracacz może umieścić "zgodny z RODO" na stronie cenowej. Twierdzenie nie jest regulowane i samo w sobie nie ma mocy prawnej. Artefakty, które mają znaczenie, to:

• DPA mapująca się do Art. 28 ust. 3 podpunkt po podpunkcie.
• Lista podprocesorów wymieniająca dostawców, regiony i udostępniane kategorie danych.
• Informacja o prywatności dostępna dla odbiorców linków opisująca łańcuch przetwarzania - spełnia to Art. 13.
• Udokumentowane postępowanie z IP potwierdzające obcinanie lub hashowanie przed utrwaleniem.
• SLA usunięcia Art. 17 z nazwanym mechanizmem technicznym.
• Niezależne poświadczenie (ISO 27001 to podłoga; SOC 2 Type II dodaje pewności dla zamówień z USA/zagranicy).

Jeśli dostawca nie może dostarczyć wszystkich tych dokumentów na piśmie w ciągu jednego dnia roboczego, twierdzenie "zgodny z RODO" to kopia marketingowa, a nie udokumentowana postawa zgodności.

---

Dla analizy prawnej na poziomie artykułów stojącej za tą listą kontrolną, cornerstone RODO dla skracaczy URL omawia Art. 3, 6, 28, 30, 32 i 35 szczegółowo z powołaniami organów nadzorczych. Artefakty skierowane do zamówień: polityka prywatności Elido, warunki korzystania z usługi i cennik - DPA jest dołączona do standardowej umowy na każdym płatnym planie.

Powiązane na blogu#

• Rezydencja danych UE dla narzędzi marketingowych: o co naprawdę pyta Twój DPO
• Schrems II i piksele śledzące: gdzie DPF zostawia Cię w 2026
• Atrybucja kliknięć po Safari ITP: co nadal działa w 2026
• SCIM i SSO dla narzędzi marketingowych: o co naprawdę pyta IT przedsiębiorstwa