Bezpieczeństwo

Jak chronimy Twoje dane

Konkretnie: gdzie są dane, kto ma do nich dostęp i co dzieje się, gdy coś pójdzie nie tak. Bez certyfikatów, których nie mamy.

Dane w UE

Baza danych, logowanie i pliki we Frankfurcie (AWS eu-central-1)

Izolacja organizacji

Reguły dostępu w bazie danych dla każdej tabeli z danymi klientów

Szyfrowane połączenia

TLS 1.2+ z HSTS; dyski szyfrowane przez dostawcę infrastruktury

Dostęp z uzasadnieniem

Podgląd danych osobowych tylko z celem i powodem, zapisywany w dzienniku

Zabezpieczenia na każdej warstwie

To, co działa dziś — nie plany

Infrastruktura

  • Baza danych, logowanie i pliki w Supabase na AWS we Frankfurcie
  • Strona i aplikacja za Cloudflare: ochrona przed atakami DDoS i botami
  • Funkcje serwerowe strony w UE (Frankfurt)
  • Klucze API i hasła w sejfie (Vault), nigdy w kodzie
  • Automatyczny monitoring: ponad 70 kontroli stanu systemu z alertami e-mail

Ochrona danych

  • Izolacja danych organizacji wymuszana przez bazę danych (Row Level Security)
  • Dane osobowe maskowane w panelach administracyjnych
  • Nagrania audio usuwane po transkrypcji, najpóźniej po 72 godzinach
  • Adresy IP z formularzy zapisywane wyłącznie jako skrót (hash)
  • Dziennik aktywności kasowany po 180 dniach; dane organizacji usuwane w ciągu 30 dni od zakończenia umowy

Kontrola dostępu

  • Role: administrator organizacji, menedżer, użytkownik
  • Logowanie e-mailem albo przez Google lub Microsoft
  • Uwierzytelnianie dwuskładnikowe (aplikacja TOTP) w ustawieniach konta
  • Dostęp naszego zespołu do danych osobowych tylko z celem i powodem, na 15 minut, z alertem przy nietypowej liczbie odsłon
  • Dziennik działań administracyjnych

Bezpieczeństwo aplikacji

  • Walidacja danych wejściowych według schematów w publicznym API strony
  • Publiczne API strony zwraca wyłącznie dane z oficjalnych źródeł — nigdy dane klientów
  • Content Security Policy na stronie; HSTS na stronie i w aplikacji
  • Limity zapytań, honeypoty i Cloudflare Turnstile w formularzach
  • Regularne wewnętrzne audyty bezpieczeństwa z poprawkami sprawdzanymi end-to-end
Incydenty

Gdy coś pójdzie nie tak

Alerty o błędach i nietypowych zdarzeniach trafiają do zespołu automatycznie. Naruszenia ochrony danych obsługujemy zgodnie z RODO i informujemy o nich na czas.

  • Dziennik zdarzeń bezpieczeństwa przechowywany 180 dni
  • Ochrona przed botami i nadużyciami na brzegu sieci
  • Odpowiedzialne zgłaszanie podatności: [email protected]
72 h
Zgłoszenie naruszenia do UODO, gdy jesteśmy administratorem
Bez zwłoki
Informacja dla klienta o naruszeniu jego danych
Raport
Opis przyczyn i działań naprawczych po incydencie
EU
Przechowywanie danych aplikacji

Pytania o bezpieczeństwo?

Odpowiemy na kwestionariusz bezpieczeństwa i wyjaśnimy, jak przetwarzamy dane Twojej organizacji. Podatności zgłaszaj na [email protected].

Napisz na [email protected]