DPA — ŚRODKI BEZPIECZEŃSTWA

Załącznik nr 2 do umowy powierzenia · Wersja 1.0

Dokument określa techniczne i organizacyjne środki ochrony danych powierzonych Offerandum. Stanowi część umowy powierzenia przetwarzania danych osobowych i opisuje zasady ochrony poufności, integralności, dostępności oraz odtwarzania danych.

ORGANIZACJA OCHRONY DANYCH

1. Za organizację ochrony danych odpowiada Damian Krychowski, prowadzący usługę Offerandum. W sprawach bezpieczeństwa i naruszeń można kontaktować się pod adresem kontakt@offerandum.com.
2. Środki ochrony dobieramy do charakteru danych, zakresu usługi, prawdopodobieństwa i skutków zagrożeń oraz stanu wiedzy technicznej. Ocena uwzględnia także omyłkowe ujawnienie, zmianę, usunięcie i utratę dostępności danych.
3. Prowadzimy dokumentację dostępów, obsługi żądań, naruszeń i kontroli bezpieczeństwa. Uprawnienia nadajemy wyłącznie w zakresie potrzebnym do wykonania zadań, a osoby mające dostęp obowiązuje poufność.
4. Formularze są przeznaczone do zwykłych danych kontaktowych i ofertowych. Nie służą do zbierania haseł, danych kart, dokumentów tożsamości ani szczególnych kategorii danych. Zakres pól jest ograniczany do potrzeb obsługi zapytania.

UWIERZYTELNIANIE I KONTROLA DOSTĘPU

1. Dostęp do panelu wymaga uwierzytelnienia jednorazowym kodem lub linkiem z wiadomości e-mail, kluczem dostępu (WebAuthn) lub przez Google. Kody i linki są ważne przez 15 minut; zapisujemy ich skróty i sprawdzamy jednorazowe użycie atomowo, a kod przyjmujemy wyłącznie z przeglądarki, która o niego poprosiła, i najwyżej po pięciu próbach. Klucz dostępu jest związany z domeną usługi, wymaga weryfikacji użytkownika na urządzeniu, a serwer przechowuje tylko klucz publiczny i sprawdza jednorazowe wyzwanie oraz licznik podpisów. Sesje są weryfikowane po stronie serwera, mają ograniczony czas ważności i bezczynności oraz podlegają unieważnieniu po wylogowaniu, blokadzie konta lub utracie uprawnień. Identyfikator sesji jest przekazywany w cookie HttpOnly i Secure, z ochroną żądań przed CSRF.
2. Operator potwierdza dostęp kodem z aplikacji uwierzytelniającej lub jednorazowym kodem odzyskiwania. Zastępuje je wyłącznie klucz dostępu związany z urządzeniem (niesynchronizowany) z weryfikacją użytkownika; logowanie Google, kod e-mail ani klucz synchronizowany tego potwierdzenia nie zastępują. Kody odzyskiwania są przechowywane jako skróty. Zmiana konfiguracji kończy dotychczasowe sesje.
3. Zapytania do zasobów są sprawdzane pod kątem uprawnień użytkownika i przypisania do firmy. Dane klientów są oddzielone logicznie; korzystanie ze wspólnej infrastruktury nie uprawnia użytkownika jednej firmy do odczytu danych innej.
4. Użytkownicy panelu firmy mają dostęp do danych tej firmy w zakresie przyznanej funkcji. Administrator odpowiada za wskazanie uprawnionych osób i zgłaszanie potrzeby odebrania im dostępu.
5. Dostęp administracyjny do infrastruktury, repozytorium i poczty chronimy uwierzytelnianiem wieloskładnikowym. Dostęp operatora do danych firm podlega dodatkowej ochronie oraz ewidencji rzeczywistej osoby i wykonywanych czynności.
6. Wsparcie techniczne korzysta z danych klienta tylko w niezbędnym zakresie, w związku ze zgłoszeniem, poleceniem lub udokumentowaną potrzebą zapewnienia bezpieczeństwa. Nie wykonujemy rutynowego przeglądania treści zapytań bez potrzeby związanej z usługą.

TRANSMISJA I PRZECHOWYWANIE DANYCH

1. Komunikacja z serwisem jest zabezpieczona HTTPS. Dostęp do prywatnych danych i dokumentów wymaga sprawdzenia uprawnień; pliki zapytań nie są udostępniane w publicznym katalogu.
2. Pełna treść zapytania, zapis zdarzeń formularza, jego zapisany stan oraz dokumenty PDF są przechowywane jako pliki w prywatnym magazynie Cloudflare R2. Dane listy zapytań, w tym kontakty, statusy i notatki, są przechowywane w bazie Cloudflare D1. Backend odczytuje te dane w celu obsługi panelu, przygotowania PDF i wysyłki.
3. Dostęp do sekretów usługi jest ograniczony. Sekretów nie umieszczamy w kodzie, publicznych repozytoriach ani logach aplikacji.
4. Wiadomość e-mail i dołączony PDF są czytelne dla adresata. Ochrona kopii w skrzynce firmy oraz dalsze przekazywanie dokumentów pozostają w zakresie odpowiedzialności jej administratora.

BEZPIECZEŃSTWO APLIKACJI I INFRASTRUKTURY

1. Kod formularzy jest wykonywany w odizolowanym środowisku z ograniczonymi uprawnieniami. Stosujemy politykę bezpieczeństwa treści i kontrolę komunikacji pomiędzy środowiskiem formularza a aplikacją.
2. Backend kontroluje uprawnienia, zakres i format danych wejściowych. Ograniczenia żądań i mechanizmy ochrony przed nadużyciami zabezpieczają logowanie, przyjmowanie zapytań i wysyłkę wiadomości.
3. Środowiska rozwojowe i produkcyjne są rozdzielone. Zwykłe testy wykonujemy na danych fikcyjnych. Wyjątkowa diagnostyka z użyciem rzeczywistych danych wymaga ograniczenia zakresu, udokumentowania potrzeby i usunięcia kopii po zakończeniu.
4. Aktualizacje i zmiany podlegają weryfikacji odpowiedniej do ich ryzyka. Zmiany mechanizmów dostępu, eksportu, usuwania i obsługi danych są sprawdzane również pod kątem izolacji firm.
5. Urządzenia wykorzystywane do administracji są chronione szyfrowaniem dysku, blokadą ekranu, kontrolą dostępu i aktualizacjami. Dostęp do kopii roboczych jest ograniczony, a kopie są usuwane po zakończeniu celu.

LOGI I WYKRYWANIE NIEPRAWIDŁOWOŚCI

Rejestrujemy zdarzenia potrzebne do ochrony usługi, diagnostyki i rozliczalności. Zakres logów jest ograniczony; nie zapisujemy w nich tokenów uwierzytelnienia ani pełnych treści zapytań. Dane diagnostyczne i dostęp do nich podlegają określonym okresom przechowywania i kontroli uprawnień.

Monitorujemy błędy istotnych zadań, w szczególności wysyłki, usuwania i kopii. Nieudane operacje są ponawiane lub kierowane do wyjaśnienia. Rejestr wykorzystania usługi jest odrębny od ewidencji dostępu operatora.

KOPIE BEZPIECZEŃSTWA I ODTWARZANIE

1. Kopie obejmują dane i pliki potrzebne do odtworzenia usługi oraz możliwość bezpiecznego odzyskania konfiguracji i sekretów. Mechanizm odtwarzania samej bazy nie zastępuje ochrony dokumentów i plików.
2. Kopie danych są wykonywane co najmniej raz na dobę i podlegają rotacji nie dłuższej niż 30 dni. Są odseparowane od bieżącej obsługi i dostępne wyłącznie osobom odpowiedzialnym za odzyskanie danych.
3. Odtworzenie sprawdzamy co najmniej raz na kwartał oraz po istotnej zmianie mechanizmu kopii. Test obejmuje kompletność danych i plików, izolację firm oraz ponowne zastosowanie dyspozycji usunięcia.
4. Przed udostępnieniem odtworzonej usługi wykonujemy wcześniejsze dyspozycje usunięcia, aby dane już usunięte nie wróciły do bieżącego użytku.

RETENCJA, EKSPORT I USUWANIE

Dane są przechowywane zgodnie z poleceniem Administratora i profilem określonym w DPA. Domyślny okres dla zapytań wynosi 12 miesięcy od ich otrzymania, z możliwością wcześniejszego usunięcia lub uzgodnienia innego uzasadnionego okresu.

Eksport obejmuje powierzone dane oraz dokumenty i informacje potrzebne do ich odczytu. Usuwanie obejmuje dane aktywne, powiązane pliki i zadania. Nie utożsamiamy usunięcia wpisu w panelu z zakończeniem usuwania wszystkich jego kopii.

Po zweryfikowanym poleceniu usunięcia dane aktywne są usuwane w ciągu 7 dni kalendarzowych, z uwzględnieniem krótszego terminu wynikającego ze sprawy. Pozostałe odizolowane kopie wygasają w ciągu kolejnych 30 dni. Szczegółowe zasady zwrotu danych i zakończenia współpracy określa DPA.

Operacje usuwania są kontrolowane i ponawiane w razie błędu. Rejestrujemy ich wykonanie oraz najpóźniejszy termin wygaśnięcia kopii. Pozostawienie określonych danych ze względu na obowiązek prawny wymaga wskazania podstawy, zakresu i czasu.

PRAWA OSÓB I NARUSZENIA

1. Pomagamy Administratorowi odnaleźć, udostępnić, sprostować, ograniczyć lub usunąć dane zgodnie ze zweryfikowanym poleceniem. Weryfikacja tożsamości jest proporcjonalna do charakteru sprawy.
2. Po stwierdzeniu naruszenia danych powierzonych informujemy Administratora bez zbędnej zwłoki, nie później niż w ciągu 24 godzin. Pierwsze powiadomienie może być uzupełniane w miarę ustalania faktów.
3. Zabezpieczamy dowody, ograniczamy skutki, dokumentujemy działania i współpracujemy przy ustaleniu zakresu zdarzenia. Decyzję o zgłoszeniu organowi nadzorczemu i powiadomieniu osób podejmuje właściwy Administrator, przy wsparciu Offerandum.
4. Administrator utrzymuje aktualne dane kontaktowe do obsługi incydentów. Szczegółowy zakres pomocy, powiadomień i terminów określa DPA.

PODPROCESORZY, PRZEGLĄDY I AUDYTY

Podprocesorów i zasady lokalizacji danych opisuje załącznik nr 1. Ocenę dostawców prowadzimy z uwzględnieniem ich zakresu przetwarzania, warunków umownych i ewentualnych transferów poza EOG.

Środki bezpieczeństwa podlegają przeglądowi co najmniej raz na kwartał, a także po istotnej zmianie lub incydencie. Wyniki kontroli i działania naprawcze są dokumentowane. Zmiana nie może jednostronnie obniżać uzgodnionego poziomu ochrony.

Administratorowi udostępniamy informacje i dowody potrzebne do weryfikacji obowiązków oraz umożliwiamy audyty na zasadach DPA, z ochroną sekretów i danych innych klientów. Certyfikaty dostawców infrastruktury nie stanowią certyfikatu Offerandum.