| Cel | Dostarczanie platformy GRC SaaS: tworzenie kont dzierżawców, zarządzanie uwierzytelnianiem i autoryzacją, realizacja logiki przepływów pracy, generowanie dzienników audytu, tworzenie raportów. |
| Podstawa prawna | Art. 6 ust. 1 lit. b RODO — niezbędne do wykonania umowy subskrypcyjnej. |
| Kategorie danych osobowych | Adres e-mail; imię i nazwisko (opcjonalne); skrót hasła (Argon2id); sekret TOTP (zaszyfrowany AES); identyfikator i klucz publiczny WebAuthn; tokeny sesji; adres IP przy logowaniu; user-agent; preferencje języka i strefy czasowej; przypisania ról; dane kontaktowe do subskrypcji i rozliczeń (NIP, e-mail rozliczeniowy). |
| Kategorie podmiotów danych | Pracownicy, wykonawcy i pełnomocnicy organizacji Dzierżawców zarejestrowani jako Użytkownicy; kontakty rozliczeniowe Dzierżawcy. |
| Odbiorcy | Pracownicy Operatora z dostępem do produkcji (MFA, dostęp rejestrowany, wiedza konieczna); Cloudflare, Inc. (CDN/WAF); Microsoft Corporation (powiadomienia e-mail). Pełna lista: /legal/subprocessors. |
| Miejsce i region | VPS w OVHcloud, Warszawa (Polska) dla Dzierżawców paraKSCol i CyberZgodność EDU — dane nie opuszczają UE i pozostają w Polsce; VPS EU (Frankfurt) dla Dzierżawców Exceptao. |
| Okres retencji | Dane konta: czas trwania subskrypcji + 30 dni po rozwiązaniu. Dane rozliczeniowe: 5 lat (Ustawa o rachunkowości, art. 74). Tokeny sesji: unieważniane przy wylogowaniu; rekordy serwera po 90 dniach. |
| Przekazywanie do państw trzecich | Brak dla danych biznesowych. SCK dla podwykonawców spoza UE/EOG. Szczegóły: /legal/subprocessors. |
| TOMs | Argon2id (pamięć ≥ 64 MiB, iteracje ≥ 3); szyfrowanie LUKS i Vault; TLS 1.3; obowiązkowe MFA; FORCE RLS PostgreSQL; cookie Secure; HttpOnly; SameSite=Lax. |
| Wymagana DPIA | Nie — standardowe zarządzanie kontami B2B SaaS; brak danych szczególnych kategorii. Weryfikacja corocznie. |
| Cel | Prowadzenie odpornego na manipulacje, append-only dziennika audytowego per Dzierżawca dla: (a) wspierania obowiązków compliance (NIS2, KSC, SOC 2, ISO 27001); (b) umożliwienia badania incydentów; (c) zapewnienia audytorom weryfikowalnych dowodów; (d) wypełnienia zobowiązania architektonicznego Operatora. |
| Podstawa prawna | Art. 6 ust. 1 lit. f RODO — uzasadniony interes. |
| Ocena uzasadnionego interesu (LIA) | Test celu: Operator i Dzierżawcy mają rzeczywisty interes w odpornym na manipulacje rejestrze. Test konieczności: dziennik z łańcuchem skrótów i atrybutami aktora jest minimum koniecznym. Test ważenia: podmioty danych to pracownicy w charakterze zawodowym — rozsądnie oczekiwaliby rejestrowania działań zawodowych; interes Operatora i Dzierżawców przewyższa interesy prywatności podmiotów. |
| Kategorie danych osobowych | Identyfikator Użytkownika; adres e-mail; adres IP; user-agent; kod działania; typ i identyfikator obiektu; podsumowania stanu; znacznik czasu; skrót SHA-256. |
| Kategorie podmiotów danych | Użytkownicy Usługi działający w charakterze zawodowym. |
| Odbiorcy | Własni użytkownicy Dzierżawcy z rolą auditor; super-admin Operatora (ograniczony dostęp, zalogowane uzasadnienie); organy nadzorcze na żądanie (art. 30 ust. 4 RODO). |
| Okres retencji | 35 dni krocących (Starter); 90 dni (Professional); negocjowane min. 90 dni (Enterprise). |
| Pseudonimizacja przy usuwaniu | Na żądanie (art. 17 RODO): pola e-mail i IP aktora → actor_tombstone_<uuid>; łańcuch skrótów zachowany. Zob. DPA §11 i Politykę Prywatności §2.2. |
| TOMs | Rola Postgres audit_writer tylko INSERT; CI weryfikuje uprawnienia. łańcuch SHA-256 (RFC 8785). Godzinne kotwice; sprawdzanie integralności przy uruchomieniu; GET /api/audit/verify. |
| Wymagana DPIA | Graniczna — zalecana przed uruchomieniem. Architektura łańcucha skrótów i zastrzeżenie pseudonimizacji przy usuwaniu powinny być udokumentowane w DPIA. |
| Cel | Fakturowanie Dzierżawców; śledzenie statusu subskrypcji; prowadzenie dokumentacji finansowej zgodnie z ustawą o rachunkowości. |
| Podstawa prawna | Art. 6 ust. 1 lit. b RODO — niezbędne do wykonania umowy; art. 6 ust. 1 lit. c RODO — obowiązek prawny (Ustawa o rachunkowości; ustawa o VAT). |
| Kategorie danych osobowych | Imię i nazwisko kontaktu rozliczeniowego; e-mail rozliczeniowy; nazwa firmy i dane rejestracyjne (NIP, KRS); korespondencja fakturowa; rekordy statusu płatności. |
| Kategorie podmiotów danych | Kontakty rozliczeniowe Dzierżawcy; gdzie Dzierżawca jest osobą fizyczną prowadzącą działalność — sam Dzierżawca. |
| Odbiorcy | Pracownicy finansowi Operatora; zewnętrzny księgowy lub audytor (jeśli dotyczy); Urząd Skarbowy na podstawie obowiązku prawnego; Stripe (jeśli i gdy aktywowane rozliczenie samoobsługowe — jeszcze nieaktywne). |
| Okres retencji | 5 lat od końca stosownego okresu rozliczeniowego (art. 74 ust. 2 Ustawy o rachunkowości). |
| Wymagana DPIA | Nie — standardowe fakturowanie i księgowość biznesowa. |
| Cel | Przyjmowanie i odpowiadanie na przychodzace zapytania sprzedażowe; demonstracje produktu; zarządzanie lejkiem sprzedaży. |
| Podstawa prawna | Art. 6 ust. 1 lit. f RODO — uzasadniony interes: rozwijanie relacji handlowych z organizacjami, które wyraziły zainteresowanie. |
| Kategorie danych osobowych | Imię i nazwisko; adres e-mail; stanowisko i seniority; nazwa organizacji i sektor; numer telefonu (jeśli podano); notatki z rozmów; aktywność konta próbnego. |
| Kategorie podmiotów danych | Osoby kontaktujące się przez formularz, e-mail, telefon, LinkedIn lub na wydarzeniach; osoby akceptujące okres próbny. |
| Odbiorcy | Pracownicy sprzedaży i marketingu Operatora; [DO UZUPEŁNIENIA: nazwa narzędzia CRM — po wyborze i potwierdzeniu]. |
| Okres retencji | 24 miesiące od ostatniego istotnego kontaktu. Po 18 miesiącach — potwierdzenie ponowne; w przypadku braku odpowiedzi w 30 dniach — usunięcie rekordu. |
| Wymagana DPIA | Nie — standardowe zaangażowanie sprzedaży B2B. |
| Cel | Wykrywanie, triage i reagowanie na incydenty bezpieczeństwa i nadużycia Usługi; ochrona Usługi i wszystkich Dzierżawców. |
| Podstawa prawna | Art. 6 ust. 1 lit. f RODO — uzasadniony interes: Operator ma nadrzędny interes w utrzymaniu bezpieczeństwa wielodzierżawczej platformy. |
| Kategorie danych osobowych | Adresy IP prób logowania; user-agenty; znaczniki czasu zdarzeń uwierzytelniania; rekordy nieudanych prób MFA; zdarzenia wyzwalaczy rate limiting; anomalie sesji; metadane zdarzeń kopii zapasowych. |
| Kategorie podmiotów danych | Wszyscy Użytkownicy Usługi, w tym uprawnieni Użytkownicy i osoby próbujące nieuprawnionego dostępu. |
| Odbiorcy | Zespół bezpieczeństwa Operatora (dyżurny); organy ścigania (wyłącznie na podstawie obowiązku prawnego); organy nadzorcze (UODO, UKE, CSIRT GOV/MON/NASK). |
| Okres retencji | 90 dni krocących. Rekordy incydentów związanych z potwierdzonym naruszeniem do 3 lat od zamknięcia. |
| TOMs | WAF Cloudflare; throttling logowania (5 niepowodzeń / konto lub IP → blokada 15 min; ciągłe ataki → alert + blokada konta); wykrywanie anomalii; Cloudflare Bot Management. |
| Wymagana DPIA | Nie. Jeżeli wdrożone zostanie punktowanie anomalii AI, DPIA wymagana przed aktywacją. |
| Cel | Wysyłanie transakcyjnych powiadomień (zatwierdzenia wyjątków, terminy incydentów, alerty); ogłoszeń o Usłudze; krytycznych powiadomień bezpieczeństwa; komunikacji marketingowej (za zgodą). |
| Podstawa prawna | Art. 6 ust. 1 lit. b RODO (transakcyjne); art. 6 ust. 1 lit. f (ogłoszenia i bezpieczeństwo); art. 6 ust. 1 lit. a (marketing — zgoda, wycofywalna w dowolnym momencie). |
| Kategorie danych osobowych | Adres e-mail odbiorcy; imię i nazwisko / nazwa wyświetlana; treść powiadomienia (tytuł wyjątku, wymagane działanie, termin, link; bez zawartości dziennika audytu, plików dowodowych, pełnych opisów wyjątków). |
| Kategorie podmiotów danych | Użytkownicy z włączonymi powiadomieniami; kontakty Administratora Dzierżawcy; kontakty z opt-in marketingowym. |
| Odbiorcy | Microsoft Corporation przez Graph API (Model A — dzierżawa M365 EU Operatora). Gdzie Dzierżawca podłączył własną skrzynkę (Model B), Microsoft przetwarza dane na podstawie własnej DPA Dzierżawcy. |
| Okres retencji | Rekordy statusu wysyłki: 90 dni. Rekordy zgody marketingowej: do wycofania + 3 lata. |
| TOMs | TLS dla dostarczania e-mail; SPF, DKIM i DMARC skonfigurowane; token OAuth Microsoft Graph zaszyfrowany w Vault; ograniczanie szybkości wysyłki. |
| Wymagana DPIA | Nie — standardowy e-mail transakcyjny i marketingowy. |
| Nr | Czynność | Podstawa prawna | Retencja | Wymagana DPIA |
|---|---|---|---|---|
| CZ-001 | Świadczenie platformy i zarządzanie użytkownikami | Umowa (art. 6(1)(b)) | Subskrypcja + 30 dni | Nie |
| CZ-002 | Integralność dziennika audytowego | Uzasadniony interes (art. 6(1)(f)) | 35–90+ dni | Zalecana |
| CZ-003 | Fakturowanie i subskrypcja | Umowa + obowiązek prawny | 5 lat | Nie |
| CZ-004 | Obsługa potencjalnych klientów | Uzasadniony interes (art. 6(1)(f)) | 24 miesiące | Nie |
| CZ-005 | Monitorowanie bezpieczeństwa | Uzasadniony interes (art. 6(1)(f)) | 90 dni | Nie (sprawdzić przy AI) |
| CZ-006 | Wychodząca poczta e-mail | Umowa / uzasadniony interes / zgoda | 90 dni (status); 24+ mies. (zgoda) | Nie |
Kontakt w sprawie niniejszego rejestru:
Inspektor Ochrony Danych lub kontakt ds. prywatności: iod@parakscol.pl
Organ nadzorczy: Urząd Ochrony Danych Osobowych (UODO) — uodo.gov.pl