| Cel | Dostarczanie platformy GRC SaaS: tworzenie kont dzierżawców, zarządzanie uwierzytelnianiem i autoryzacją, realizacja logiki przepływów pracy, generowanie dzienników audytu, tworzenie raportów. |
| Podstawa prawna | Art. 6 ust. 1 lit. b RODO — niezbędne do wykonania umowy subskrypcyjnej. |
| Kategorie danych osobowych | Adres e-mail; imię i nazwisko (opcjonalne); skrót hasła (Argon2id); sekret TOTP (zaszyfrowany AES); identyfikator i klucz publiczny WebAuthn; tokeny sesji; adres IP przy logowaniu; user-agent; preferencje języka i strefy czasowej; przypisania ról; dane kontaktowe do subskrypcji i rozliczeń (NIP, e-mail rozliczeniowy). |
| Kategorie podmiotów danych | Pracownicy, wykonawcy i pełnomocnicy organizacji Dzierżawców zarejestrowani jako Użytkownicy; kontakty rozliczeniowe Dzierżawcy. |
| Rekordy szkoleń importowane z Irenly (paraKSCol) | Gdy Operator skonfigurował połączenie platformy z Irenly (jedno ustawienie całej platformy, IRENLY_API_TOKEN; import jest uruchamiany wyłącznie we wdrożeniu paraKSCol), codzienne zadanie pobiera z platformy szkoleniowej Irenly rekordy ukończenia kursów przez pracowników i zapisuje każdy u Dzierżawcy-szkoły o REGON-ie wskazanym w rekordzie: imię i nazwisko oraz adres e-mail uczestnika, kurs, czas ukończenia, wynik i link do certyfikatu. Obejmuje to także pracowników, którzy nigdy się nie logują; uczestnik jest wiązany z Użytkownikiem po adresie e-mail, jeśli taki istnieje. Rekordy z REGON-em bez Dzierżawcy są pomijane. Podstawa prawna: w analizie prawnej. |
| Odbiorcy | Pracownicy Operatora z dostępem do produkcji (MFA, dostęp rejestrowany, wiedza konieczna); Cloudflare, Inc. (CDN/WAF); Microsoft Corporation (powiadomienia e-mail); OVH Sp. z o.o. (hosting serwerów); netcup GmbH (runner CI kwartalnego testu odtworzenia). Pełna lista: /legal/subprocessors. |
| Miejsce i region | VPS w OVHcloud, Warszawa (Polska), OVH WAW2 — dla wszystkich Dzierżawców, w tym paraKSCol i CyberZgodność EDU. Dane są przechowywane w UE; produkcja działa w Polsce. Kwartalny test odtworzenia odtwarza kopię bazy danych na runnerze CI w Wiedniu (Austria, UE; netcup GmbH) i usuwa ją po teście. Exceptao działa na odrębnym VPS w tej samej lokalizacji. |
| Okres retencji | Dane konta: czas trwania subskrypcji + 30 dni po rozwiązaniu. Dane rozliczeniowe: 5 lat (Ustawa o rachunkowości, art. 74). Dane sesji: w Redis, nie w bazie danych; sesja kończy się przy wylogowaniu, po 15 minutach bez żądania (domyślnie; Dzierżawca ustawia 5–480 minut) albo 8 godzin od zalogowania, a rekord wygasa w Redis najpóźniej po tych 8 godzinach. |
| Przekazywanie do państw trzecich | Brak dla danych biznesowych. SCK dla podwykonawców spoza UE/EOG. Szczegóły: /legal/subprocessors. |
| TOMs | Argon2id (pamięć ≥ 64 MiB, iteracje ≥ 3); szyfrowanie LUKS i Vault; TLS 1.3; obowiązkowe MFA dla kont z hasłem (konta SSO podlegają dostawcy tożsamości Administratora); FORCE RLS PostgreSQL; cookie Secure; HttpOnly; SameSite=Lax. |
| Wymagana DPIA | Nie — standardowe zarządzanie kontami B2B SaaS; brak danych szczególnych kategorii. Weryfikacja corocznie. |
| Cel | Prowadzenie wykrywającego manipulacje, append-only dziennika audytowego per Dzierżawca dla: (a) wspierania obowiązków compliance (NIS2, KSC, SOC 2, ISO 27001); (b) umożliwienia badania incydentów; (c) zapewnienia audytorom weryfikowalnych dowodów; (d) wypełnienia zobowiązania architektonicznego Operatora. |
| Podstawa prawna | Art. 6 ust. 1 lit. f RODO — uzasadniony interes. |
| Ocena uzasadnionego interesu (LIA) | Test celu: Operator i Dzierżawcy mają rzeczywisty interes w wykrywającym manipulacje rejestrze. Test konieczności: dziennik z łańcuchem skrótów i atrybutami aktora jest minimum koniecznym. Test ważenia: podmioty danych to pracownicy w charakterze zawodowym — rozsądnie oczekiwaliby rejestrowania działań zawodowych; interes Operatora i Dzierżawców przewyższa interesy prywatności podmiotów. |
| Kategorie danych osobowych | Identyfikator Użytkownika; adres e-mail; adres IP; user-agent; kod działania; typ i identyfikator obiektu; podsumowania stanu; znacznik czasu; skrót SHA-256. |
| Kategorie podmiotów danych | Użytkownicy Usługi działający w charakterze zawodowym. |
| Odbiorcy | Własni użytkownicy Dzierżawcy z rolą auditor; super-admin Operatora (ograniczony dostęp, zalogowane uzasadnienie); organy nadzorcze na żądanie (art. 30 ust. 4 RODO). |
| Okres retencji | Cały okres istnienia konta Dzierżawcy. Rekordy audytu są tylko-do-dopisu i zabezpieczone łańcuchem skrótów, więc nie są usuwane w oknie kroczącym. |
| Pseudonimizacja przy usuwaniu | Na żądanie (art. 17 RODO): Rekord użytkownika otrzymuje znacznik (deleted-<uuid>@tombstone.invalid); wiersze audytu odwołują się do użytkownika wyłącznie przez wewnętrzny identyfikator, więc żaden wiersz audytu nie jest zmieniany, a łańcuch skrótów jest zachowany z samej konstrukcji. Adres IP i user agent aktora nie są pseudonimizowane i są przechowywane przez cały okres istnienia konta Dzierżawcy. Wiersze audytu zapisane przed wdrożeniem produkcyjnym z 2026-10-12 przy czynnościach wymienionych w dokumencie Bezpieczeństwo §5.5, a także tekst swobodny dowolnego wiersza zapisanego przed tą datą, mogą ponadto zawierać adresy e-mail; pozostają one przez cały okres istnienia konta Dzierżawcy na tej samej podstawie prawnej co adres IP aktora. Od tego dnia w treści ani w polu obiektu docelowego wiersza audytu nie jest zapisywany żaden tekst w postaci adresu (użytkownik — wewnętrznym identyfikatorem, inny adres — skrótem kluczowanym, który jest pseudonimem i pozostaje daną osobową); inne dane osobowe wpisane w tekst swobodny są zapisywane tak, jak je wpisano. Do poprawki z 2026-10-13 obowiązywał jeden wyjątek: gdy adresy lub domeny były połączone znakiem @ bez niczego pomiędzy (x@a.com@b.org), w wierszu zostawał skrót, po nim @ i nazwa domeny — nigdy cały adres; wiersze zapisane od wdrożenia produkcyjnego z 2026-10-12 do wdrożenia tej poprawki mogą zawierać taki fragment i są ujawniane, a nie usuwane. Drugi wyjątek obowiązywał do poprawki z 2026-10-14: adres zawierający łączące znaki diakrytyczne (tekst w postaci Unicode NFD albo pismo takie jak dewanagari lub tajskie, albo niewidoczny łącznik (ZWNJ/ZWJ)) nie był rozpoznawany i mógł zostać zapisany jawnym tekstem, w całości lub w części; wiersze zapisane przed wdrożeniem tej poprawki mogą taki adres zawierać i są ujawniane, a nie usuwane. Nie obejmuje to ciągu user-agent sesji wykonującej czynność: jest on zapisywany tak, jak go przesłał klient, a niektórzy klienci, zwłaszcza roboty indeksujące, umieszczają w nim adres kontaktowy. Zob. DPA §11. |
| TOMs | Rola Postgres audit_writer tylko INSERT; CI weryfikuje uprawnienia. łańcuch SHA-256 (RFC 8785). Dzienne kotwice ze znacznikiem czasu RFC 3161 (freetsa.org); token nowej kotwicy weryfikowany przy najbliższym codziennym uruchomieniu, wcześniejsze — na żądanie; codzienne przejście łańcucha z alertem e-mail przy przerwaniu; GET /api/audit/verify. |
| Wymagana DPIA | Graniczna — zalecana przed uruchomieniem. Architektura łańcucha skrótów i zastrzeżenie pseudonimizacji przy usuwaniu powinny być udokumentowane w DPIA. |
| Cel | Fakturowanie Dzierżawców; śledzenie statusu subskrypcji; prowadzenie dokumentacji finansowej zgodnie z ustawą o rachunkowości. |
| Podstawa prawna | Art. 6 ust. 1 lit. b RODO — niezbędne do wykonania umowy; art. 6 ust. 1 lit. c RODO — obowiązek prawny (Ustawa o rachunkowości; ustawa o VAT). |
| Kategorie danych osobowych | Imię i nazwisko kontaktu rozliczeniowego; e-mail rozliczeniowy; nazwa firmy i dane rejestracyjne (NIP, KRS); korespondencja fakturowa; rekordy statusu płatności. |
| Kategorie podmiotów danych | Kontakty rozliczeniowe Dzierżawcy; gdzie Dzierżawca jest osobą fizyczną prowadzącą działalność — sam Dzierżawca. |
| Odbiorcy | Pracownicy finansowi Operatora; zewnętrzny księgowy lub audytor (jeśli dotyczy); Urząd Skarbowy na podstawie obowiązku prawnego. Brak operatora płatności: opłaty są fakturowane i płatne przelewem. |
| Okres retencji | 5 lat od końca stosownego okresu rozliczeniowego (art. 74 ust. 2 Ustawy o rachunkowości). |
| Wymagana DPIA | Nie — standardowe fakturowanie i księgowość biznesowa. |
| Cel | Przyjmowanie i odpowiadanie na przychodzące zapytania sprzedażowe; demonstracje produktu; zarządzanie lejkiem sprzedaży. |
| Podstawa prawna | Art. 6 ust. 1 lit. f RODO — uzasadniony interes: rozwijanie relacji handlowych z organizacjami, które wyraziły zainteresowanie. |
| Kategorie danych osobowych | Imię i nazwisko; adres e-mail; stanowisko i seniority; nazwa organizacji i sektor; numer telefonu (jeśli podano); notatki z rozmów; aktywność konta próbnego. |
| Kategorie podmiotów danych | Osoby kontaktujące się przez formularz, e-mail, telefon, LinkedIn lub na wydarzeniach; osoby akceptujące okres próbny. |
| Odbiorcy | Pracownicy sprzedaży i marketingu Operatora. Operator nie korzysta z żadnego narzędzia CRM. Dane potencjalnych klientów nie są ujawniane podmiotom trzecim do ich własnych celów marketingowych. |
| Miejsce przechowywania i region | Poza platformą: Operator nie korzysta z żadnego narzędzia CRM, a w Usłudze nie są przechowywane rekordy potencjalnych klientów. |
| Okres retencji | 24 miesiące od ostatniego istotnego kontaktu. Po 18 miesiącach — potwierdzenie ponowne; w przypadku braku odpowiedzi w 30 dniach — usunięcie rekordu. |
| Przekazywanie do państw trzecich | Brak przekazywania związanego z narzędziem CRM, ponieważ żadne nie jest używane. |
| Wymagana DPIA | Nie — standardowe zaangażowanie sprzedaży B2B. |
| Cel | Wykrywanie, triage i reagowanie na incydenty bezpieczeństwa i nadużycia Usługi; ochrona Usługi i wszystkich Dzierżawców. |
| Podstawa prawna | Art. 6 ust. 1 lit. f RODO — uzasadniony interes: Operator ma nadrzędny interes w utrzymaniu bezpieczeństwa wielodzierżawczej platformy. |
| Kategorie danych osobowych | Adresy IP prób logowania; user-agenty; znaczniki czasu zdarzeń uwierzytelniania; rekordy nieudanych prób MFA; zdarzenia wyzwalaczy rate limiting; ustalenia godzinnych detektorów anomalii w dzienniku audytu (odwołujące się do użytkowników przez wewnętrzny identyfikator); metadane zdarzeń kopii zapasowych; rekordy ograniczania prób logowania (identyfikator podany przy logowaniu, zwykle adres e-mail, z adresem IP (dla klienta IPv6 adresem sieci /64, nie dokładnym adresem) i user-agentem każdego logowania i nieudanej próby) |
| Kategorie podmiotów danych | Wszyscy Użytkownicy Usługi, w tym uprawnieni Użytkownicy i osoby próbujące nieuprawnionego dostępu. |
| Odbiorcy | Personel bezpieczeństwa Operatora; Użytkownicy Dzierżawcy z uprawnieniem odczytu audytu (ustalenia anomalii dotyczące ich Dzierżawcy) oraz administratorzy Dzierżawcy (powiadomienie e-mail o każdym nowym ustaleniu); organy ścigania (wyłącznie na podstawie obowiązku prawnego); organy nadzorcze (UODO, UKE, CSIRT GOV/MON/NASK). |
| Okres retencji | Cały okres istnienia konta Dzierżawcy; rekordy zdarzeń bezpieczeństwa korzystają z magazynu audytowego tylko-do-dopisu i nie są usuwane w oknie kroczącym; nie istnieje automatyczne usuwanie. Logi kontenerów na serwerze są rotowane według rozmiaru zgodnie z konfiguracją serwera (trzy pliki po 10 MB na kontener), więc są nadpisywane, a nie przechowywane przez określony czas; nie stosuje się do nich limitu czasowego. Rekordy incydentów związanych z potwierdzonym naruszeniem przechowywane są co najmniej do zamknięcia sprawy. Rekordy ograniczania prób logowania są przechowywane poza magazynem audytowym i usuwane 30 dni po próbie (codzienne usuwanie), a niezwłocznie przy usunięciu konta; 30 dni odpowiada okresowi przechowywania zaszyfrowanych kopii zapasowych, w których i tak pozostają przez ten czas. |
| TOMs | Brzeg Cloudflare (ochrona DDoS i WAF w konfiguracji wynikającej z planu Cloudflare); throttling logowania (5 niepowodzeń na konto lub 30 na adres IP w ciągu 15 minut → blokada na 15 minut (udane logowanie czyści licznik tego konta), rejestrowana w audycie; poza nią brak automatycznego alertu i bana IP); cogodzinne wykrywanie anomalii w aktywności audytowej (cztery heurystyczne detektory; ustalenia zapisywane na stronie audytu Dzierżawcy i w dzienniku audytu; każde nowe ustalenie jest jednorazowo wysyłane e-mailem do administratorów Dzierżawcy i Operatora, bez adresów e-mail ani IP osób; nikt nie jest wzywany dyżurnie). |
| Wymagana DPIA | Nie. Jeżeli wdrożone zostanie punktowanie anomalii AI, DPIA wymagana przed aktywacją. |
| Cel | Wysyłanie transakcyjnych powiadomień (zatwierdzenia wyjątków, terminy incydentów, alerty, raporty zaplanowane przez Dzierżawcę, kwartalny raport dla CISO); ogłoszeń o Usłudze; krytycznych powiadomień bezpieczeństwa; komunikacji marketingowej (za zgodą). |
| Podstawa prawna | Art. 6 ust. 1 lit. b RODO (transakcyjne); art. 6 ust. 1 lit. f (ogłoszenia i bezpieczeństwo); art. 6 ust. 1 lit. a (marketing — zgoda, wycofywalna w dowolnym momencie). |
| Kategorie danych osobowych | Adres e-mail odbiorcy; imię i nazwisko / nazwa wyświetlana; treść powiadomienia (tytuł wyjątku, wymagane działanie, termin, link; bez zawartości dziennika audytu, plików dowodowych, pełnych opisów wyjątków); przy raporcie zaplanowanym przez Dzierżawcę — plik raportu w załączniku (eksport raportu niestandardowego na adres wybrany przez Dzierżawcę albo raport KSC w PDF do imiennie wybranych członków Dzierżawcy, każdemu w granicach jego uprawnień; przy kwartalnym raporcie dla CISO, wysyłanym przez Operatora aktywnym administratorom Dzierżawcy — PDF w załączniku). |
| Kategorie podmiotów danych | Użytkownicy z włączonymi powiadomieniami; kontakty Administratora Dzierżawcy; kontakty z opt-in marketingowym. |
| Odbiorcy | Microsoft Corporation przez Graph API (Model A — dzierżawa M365 EU Operatora). Gdzie Dzierżawca podłączył własną skrzynkę (Model B — zbudowany, jeszcze niewłączony w produkcji; żaden Dzierżawca go nie podłączył), Microsoft przetwarza dane na podstawie własnej DPA Dzierżawcy. |
| Miejsce przechowywania i region | Treść wiadomości jest generowana na serwerze w UE w chwili wysyłki i przekazywana do Microsoft Graph. Platforma nie przechowuje kopii wysłanych wiadomości e-mail — nie istnieje tabela powiadomień, więc po wysyłce nie jest zachowywana ani treść, ani adres odbiorcy — z wyjątkiem harmonogramu raportu niestandardowego, który przechowuje adres docelowy (ScheduledReport.delivery_target), dopóki harmonogram istnieje. Wiele wysyłek jest odnotowywanych w dzienniku audytu Dzierżawcy — identyfikatorem użytkownika odbiorcy albo, dla adresu bez konta, kluczowanym odnośnikiem pseudonimowym (HMAC), nigdy adresem ani treścią — np. przypomnienia o wygasających wyjątkach i terminach przypisanych wymagań, powiadomienia dla oceniających dostawców, przypomnienia o terminach incydentów, kwartalny raport dla CISO (report.quarterly_dispatched) oraz każde doręczenie zaplanowanego raportu KSC (report.ksc_schedule.delivered). Te wiersze są przechowywane tak jak dziennik audytu. Microsoft jako dostawca poczty prowadzi własne logi dostarczania na własnych warunkach. |
| Okres retencji | Wysłane wiadomości: platforma nie przechowuje ich kopii; wiersze dziennika audytu odnotowujące wysyłki są przechowywane jak dziennik audytu; logi dostarczania Microsoft są przechowywane na warunkach Microsoft. Rekordy zgody marketingowej: do wycofania + 3 lata. |
| TOMs | TLS (HTTPS) do API Microsoft Graph, które jest drogą dostarczania poczty; w produkcji nie ma ścieżki wysyłki przez SMTP: zaproszenie dostawcy do samooceny, gdy Graph nie jest skonfigurowany, trafia do backendu pocztowego Django, którym w produkcji jest backend konsolowy — wiadomość, łącznie z podpisanym linkiem, jest zapisywana w logu aplikacji i nie jest wysyłana. SPF, DKIM i DMARC skonfigurowane. Poświadczenie platformy do Graph (GRAPH_CLIENT_SECRET, Model A) przechowywane w magazynie KV Vault; tokeny OAuth własnego połączenia Graph Dzierżawcy (Model B, jeszcze niewłączony w produkcji) zaszyfrowane w bazie danych kluczem DEK tego Dzierżawcy, opakowanym kluczem tranzytowym Vault. Ograniczanie szybkości wysyłki nie jest zaimplementowane. |
| Wymagana DPIA | Nie — standardowy e-mail transakcyjny i marketingowy. |
| Nr | Czynność | Podstawa prawna | Retencja | Wymagana DPIA |
|---|---|---|---|---|
| CZ-001 | Świadczenie platformy i zarządzanie użytkownikami | Umowa (art. 6(1)(b)) | Subskrypcja + 30 dni | Nie |
| CZ-002 | Integralność dziennika audytowego | Uzasadniony interes (art. 6(1)(f)) | Cały okres istnienia konta Dzierżawcy | Zalecana |
| CZ-003 | Fakturowanie i subskrypcja | Umowa + obowiązek prawny | 5 lat | Nie |
| CZ-004 | Obsługa potencjalnych klientów | Uzasadniony interes (art. 6(1)(f)) | 24 miesiące | Nie |
| CZ-005 | Monitorowanie bezpieczeństwa | Uzasadniony interes (art. 6(1)(f)) | Cały okres istnienia konta Dzierżawcy (magazyn audytowy); logi kontenerów rotowane według rozmiaru | Nie (sprawdzić przy AI) |
| CZ-006 | Wychodząca poczta e-mail | Umowa / uzasadniony interes / zgoda | Brak kopii wysłanych wiadomości; wiersze dziennika audytu odnotowujące wysyłki — jak dziennik audytu; zgody do wycofania + 3 lata | Nie |
Kontakt w sprawie niniejszego rejestru:
Inspektor Ochrony Danych lub kontakt ds. prywatności: iod@parakscol.pl
Organ nadzorczy: Urząd Ochrony Danych Osobowych (UODO) — uodo.gov.pl