Jak chronimy zgłoszenia i dane
Sprawdź zabezpieczenia systemu i pobierz dokumenty potrzebne przed jego wyborem. Znajdziesz tu informacje dla osób odpowiedzialnych za ochronę danych, IT i zakupy.
- Poufność zgłoszeń Treść sprawy jest dostępna dla upoważnionych osób w Twojej organizacji.
- Oddzielna ochrona tożsamości Dane zgłaszającego przechowujemy osobno od treści sprawy, z odrębnymi uprawnieniami.
- Szyfrowanie Szyfrujemy treść zgłoszeń, załączniki i kopie zapasowe. Każda organizacja ma własny klucz.
Zabezpieczenia systemu
Zobacz, jak chronimy dane, ograniczamy dostęp i obsługujemy zdarzenia związane z bezpieczeństwem.
Kto za co odpowiada
Twoja organizacja decyduje, kto obsługuje zgłoszenia i jak prowadzi sprawy. My odpowiadamy za działanie systemu i ochronę powierzonych danych. Zakres współpracy opisuje umowa powierzenia danych (DPA).
Pobierz DPA i dokumenty bezpieczeństwaOddzielenie danych
Dane poszczególnych organizacji są rozdzielone. Tożsamość zgłaszającego trafia do osobnej bazy — Sejfu Tożsamości. Dostęp do sprawy nie daje automatycznie dostępu do danych jej autora.
Miejsce przechowywania danych
Główna lokalizacja danych to OVH w Warszawie. Kopie zapasowe przechowujemy w GRA (Gravelines) oraz Paris 3-AZ we Francji. Obie lokalizacje kopii znajdują się w Europejskim Obszarze Gospodarczym (EOG).
Szyfrowanie
Szyfrowanie chroni dane podczas przesyłania i przechowywania. Każda organizacja ma osobny klucz, a Sejf Tożsamości korzysta z odrębnych kluczy.
Logowanie i uprawnienia
Użytkownik otrzymuje tylko przyznane mu uprawnienia. Logowanie można zabezpieczyć kluczem dostępu lub kodem z aplikacji. Dostęp do tożsamości i eksport wymagają dodatkowego potwierdzenia.
Portal bez śledzenia
W portalu zgłoszeń nie ma analityki reklamowej ani nagrywania sesji. Czcionki i pozostałe zasoby są ładowane lokalnie.
Kopie zapasowe
Kopie zapasowe przechowujemy w postaci zaszyfrowanej. Przy odtwarzaniu po awarii priorytet mają portal zgłoszeń i skrzynki spraw.
Sprawdzanie zmian w systemie
Automatyczne testy sprawdzają kod, uprawnienia i oddzielenie danych organizacji. Zmiany dotyczące szczególnie wrażliwych operacji przechodzą przegląd bezpieczeństwa.
Testy i audyty
Zewnętrzny test penetracyjny jest zaplanowany na IV kwartał 2026. Po zakończeniu udostępnimy podsumowanie, a pełny raport po podpisaniu umowy poufności.
Reagowanie na incydenty
O naruszeniu danych informujemy bez zbędnej zwłoki, najpóźniej w ciągu 24 godzin od jego stwierdzenia. Ten termin obowiązuje również w nocy i w weekendy.
Dostawcy usług
Publikujemy listę dostawców z opisem ich usług i dostępu do danych. O zmianach dostawców obsługujących treść spraw powiadamiamy z wyprzedzeniem.
Poznaj dostawców usług| Dostawca | Usługa | Region | Zakres | Dostęp do treści |
|---|---|---|---|---|
| MTRZK SOLUTIONS P.S.A. (Polska) | Hosting, administracja, utrzymanie i kopie | Polska: OVH Warszawa; kopie: GRA i Paris 3-AZ (Francja) | Infrastruktura | Ograniczony |
| OVH sp. z o.o. | Infrastruktura, dyski/obiekty i kopie | Polska (Warszawa); kopie: GRA i Paris 3-AZ (Francja) | Infrastruktura | Ograniczony |
| Vercom S.A. (EmailLabs) | Transakcyjne neutralne alerty e-mail | EOG — deklaracja dostawcy | Portal zgłoszeń | Nie |
| Vercom S.A. (EmailLabs) | Transakcyjne neutralne alerty e-mail | EOG — deklaracja dostawcy | Panel organizacji | Nie |
| Vercom S.A. (EmailLabs) | Wysyłka materiału, potwierdzenia adresu i newslettera po zgodzie | EOG — deklaracja dostawcy | Strona i marketing | Nie |
Przechowywanie i usuwanie danych
System pomaga pilnować terminów przechowywania dokumentacji. Dane objęte blokadą prawną pozostają zachowane. Zasady przekazania kopii i usunięcia danych po zakończeniu usługi opisują regulamin i umowa powierzenia.
Zgłoś problem z bezpieczeństwem
Napisz na security@strefasygnalisty.pl. Potwierdzimy odbiór w ciągu dwóch dni roboczych. Przed rozpoczęciem testów zapoznaj się z zasadami zgłaszania podatności w dokumentach bezpieczeństwa.
Dokumenty dla Twojej organizacji
Najczęściej zadawane pytania o bezpieczeństwo
Gdzie przechowujecie dane i kopie zapasowe?
W Europejskim Obszarze Gospodarczym. Dostawców i zakres ich usług znajdziesz w wykazie podprocesorów.
Czy Wasz personel może odczytać treść zgłoszenia?
Nie w trybie zwykłym. Dostęp techniczny wymaga Twojej zgody, jest ograniczony czasowo i w całości zapisywany w dzienniku audytu.
Czym różni się szyfrowanie treści od szyfrowania Sejfu Tożsamości?
To osobne klucze, osobna baza danych i osobne role dostępu — przejęcie jednej warstwy nie daje dostępu do drugiej.
Co dzieje się z danymi po zakończeniu umowy?
Skontaktuj się z nami w sprawie przekazania kopii dokumentacji. Zasady eksportu i usuwania danych opisują regulamin i umowa powierzenia.
Czy klient może użyć własnego klucza (BYOK)?
Tak, w planie Enterprise — możliwy jest import własnego klucza do sejfu.
Jak oddzielacie dane różnych klientów?
Dostęp jest ograniczony do konkretnej organizacji zarówno w aplikacji, jak i w bazie danych. Sprawdzamy to testami uprawnień.
Czy udostępniacie raport z testu penetracyjnego?
Test jest zaplanowany na IV kwartał 2026. Po jego zakończeniu udostępnimy podsumowanie, a pełny raport po podpisaniu umowy poufności.
Jak szybko poinformujecie nas o naruszeniu?
Bez zbędnej zwłoki, najpóźniej w 24 godziny od stwierdzenia naruszenia, bez ujawniania szczegółów konkretnej sprawy.
Czy portal śledzi osoby zgłaszające?
Portal nie korzysta z analityki reklamowej, nagrywania sesji ani zewnętrznych skryptów śledzących.
Czy przekazujecie treść zgłoszeń do zewnętrznych narzędzi AI?
Nie. Jeśli korzystasz z transkrypcji nagrań, jest ona wykonywana lokalnie.
Kto jest administratorem danych osób zgłaszających?
Twoja organizacja. My jesteśmy podmiotem przetwarzającym — poza stroną marketingową, gdzie administratorem jesteśmy my.
Czy mogę sprzeciwić się zmianie dostawcy przetwarzającego dane?
Tak. Sposób i termin zgłoszenia sprzeciwu opisuje umowa powierzenia danych (DPA).