Umowa o przetwarzaniu danych - GoTacho
艢rodki techniczne ochrony danych osobowych
Uwierzytelnianie i kontrola dost臋pu
- Wym贸g logowania przy u偶yciu bezpiecznych mechanizm贸w uwierzytelniania.
- Stosowanie kontroli dost臋pu opartej na rolach (RBAC) oraz zasadzie minimalnych uprawnie艅.
- Izolacja danych pomi臋dzy klientami w 艣rodowisku wielooddzia艂owym (multi-tenant).
Szyfrowanie transmisji danych
- Wymuszanie szyfrowania transmisji danych z wykorzystaniem protoko艂u TLS/HTTP.
- Automatyczne odnawianie certyfikat贸w pochodz膮cych od zaufanych dostawc贸w.
- Blokowanie nieszyfrowanych po艂膮cze艅.
Ochrona danych w spoczynku
- Ograniczenie dost臋pu do infrastruktury przechowuj膮cej dane wy艂膮cznie do uprawnionych os贸b.
- Zabezpieczenie serwer贸w w prywatnej podsieci oraz stosowanie zap贸r sieciowych (firewall).
- Regularne wykonywanie kopii danych zapasowych i przechowywanie ich w bezpiecznej lokalizacji.
Kopie zapasowe i ci膮g艂o艣膰 dzia艂ania
- Regularne tworzenie kopii zapasowych.
- Okresowe testowanie procedur przetwarzania danych.
- Zapewnienie mo偶liwo艣ci odtworzenia systemu w przypadku awarii.
Monitorowanie i rejestrowanie zdarze艅
- Rejestrowanie istotnych zdarze艅 bezpiecze艅stwa (np. logowania, zmiany uprawnie艅, dzia艂ania administracyjne).
- Monitorowanie dzia艂ania systemu w celu wykrywania nietypowej aktywno艣ci.
- Przechowywanie log贸w w bezpiecznym 艣rodowisku z ograniczonym dost臋pem.
Ochrona aplikacji i infrastruktury
- Wdro偶enie mechanizm贸w ochrony przed typowymi atakami sieciowymi (np. XSS, CSRF, SQL Injection).
- Stosowanie nag艂贸wk贸w bezpiecze艅stwa HTTP.
- Mechanizmy ochrony przed nadu偶yciami (np. weryfikacja CAPTCHA).
- Oddzielenie 艣rodowisk deweloperskich, testowych i produkcyjnych.
艢rodki organizacyjne ochrony danych osobowych
Polityki i procedury
- Opracowano i wdro偶ono polityk臋 ochrony danych osobowych dostosowan膮 do specyfiki dzia艂alno艣ci.
- Ustalono procedur臋 post臋powania w przypadku naruszenia ochrony danych, wraz z okre艣leniem odpowiedzialno艣ci i sposobu raportowania.
- Okre艣lono zasady przechowywania i usuwania danych, w tym maksymalne okresy retencji dla poszczeg贸lnych kategorii.
- Zdefiniowano proces nadawania, weryfikacji i odbierania uprawnie艅 dost臋powych.
Zarz膮dzanie personelem
- Zapewniono szkolenia z zakresu ochrony danych osobowych dla wszystkich os贸b przetwarzaj膮cych dane.
- Wprowadzono cykliczne dzia艂ania utrwalaj膮ce wiedz臋 z zakresu ochrony danych.
- Uzyskano pisemne upowa偶nienia do przetwarzania danych od wszystkich os贸b uprawnionych.
Kontrola dost臋pu
- Dost臋p do danych przyznawany jest wy艂膮cznie w zakresie niezb臋dnym do wykonywania obowi膮zk贸w s艂u偶bowych.
- Stosowane s膮 bezpieczne has艂a zgodne z przyj臋tymi standardami bezpiecze艅stwa.
- Dost臋p do system贸w i zasob贸w jest niezw艂ocznie blokowany w przypadku ustania potrzeby jego posiadania.
Zarz膮dzanie dokumentacj膮
- Dokumentacja w formie papierowej przechowywana jest w zabezpieczonych miejscach.
- Stosowana jest zasada utrzymywania stanowisk pracy w stanie uniemo偶liwiaj膮cym nieuprawniony dost臋p do danych.
- No艣niki danych s膮 zabezpieczone przed nieautoryzowanym dost臋pem poprzez szyfrowanie lub inne odpowiednie 艣rodki techniczne.
Bezpiecze艅stwo komunikacji
- Dane osobowe przesy艂ane s膮 wy艂膮cznie z zastosowaniem mechanizm贸w zapewniaj膮cych poufno艣膰.
Reagowanie na incydenty
- Funkcjonuje okre艣lony kana艂 zg艂aszania incydent贸w zwi膮zanych z ochron膮 danych.
- Prowadzony jest rejestr incydent贸w.
- Obowi膮zuje procedura zg艂aszania narusze艅 organowi nadzorczemu oraz osobom, kt贸rych dane dotycz膮, w przypadkach wymaganych przepisami prawa.
Weryfikacja podwykonawc贸w
- Dokonywana jest ocena wiarygodno艣ci i stosowanych przez podwykonawc贸w 艣rodk贸w ochrony danych przed rozpocz臋ciem wsp贸艂pracy.
- Zawierane s膮 umowy powierzenia przetwarzania danych zgodne z obowi膮zuj膮cymi przepisami.
- Prowadzony jest nadz贸r nad realizacj膮 obowi膮zk贸w przez podwykonawc贸w, w tym okresowa weryfikacja stosowanych 艣rodk贸w bezpiecze艅stwa.
Przegl膮dy i weryfikacja
- Przeprowadzane s膮 okresowe przegl膮dy procedur ochrony danych w celu oceny ich aktualno艣ci i skuteczno艣ci.
- Regularnie weryfikowana jest lista os贸b posiadaj膮cych uprawnienia do przetwarzania danych.