Wersja robocza, stan na 19 października 2026 r. Niniejsze tłumaczenie ma charakter wyłącznie informacyjny; wiążąca jest wersja niemiecka. Przed publikacją należy uzupełnić tekst i poddać go weryfikacji prawnej.
1. Eksploatacja i infrastruktura
KI.ordo działa na jednym serwerze zarządzanym przez nas [lokalizacja lub dostawca hostingu i kraj]. W planie Enterprise KI.ordo działa na serwerze klienta; za jego bezpieczeństwo fizyczne i system operacyjny odpowiada klient, o ile nie uzgodniono inaczej.
Wszystkie treści są przechowywane w bazie danych na tym serwerze. Z usług zewnętrznych korzystamy wyłącznie na potrzeby odpowiedzi AI oraz w celach wymienionych na stronie Podprocesorzy.
2. Szyfrowana transmisja
W naszej domenie KI.ordo jest dostępne wyłącznie przez HTTPS (TLS). Pliki cookie logowania są w związku z tym przesyłane wyłącznie przez szyfrowane połączenia. Połączenie z dostawcą AI jest zawsze szyfrowane.
3. Logowanie i dostęp
- Hasła przechowujemy wyłącznie w postaci skrótu, wykorzystując metodę scrypt z losową solą.
- Sesje korzystają z pliku cookie HttpOnly z ochroną SameSite. Na serwerze przechowujemy wyłącznie skrót klucza sesji. Sesja wygasa po 14 dniach lub po wylogowaniu.
- Klucze API również przechowujemy wyłącznie w postaci skrótu. Można je w każdej chwili unieważnić; widoczne jest ich ostatnie użycie.
- Role w obszarze roboczym: właściciel, administrator, edytor i przeglądający. Każda osoba widzi wyłącznie obszary robocze, których jest członkiem.
- Ważne zmiany są rejestrowane w dzienniku zmian obszaru roboczego.
4. Ochrona przed nadużyciami
- Publiczne punkty końcowe, takie jak logowanie, formularz kontaktowy, czat na stronie i webhooki, ograniczają liczbę zapytań na adres i minutę.
- Czat na stronie można ograniczyć do zatwierdzonych stron internetowych.
- Zapytania sieciowe z przepływów nie mogą docierać do wewnętrznych ani prywatnych adresów sieciowych.
- Miesięczny limit tokenów na obszar roboczy zapobiega nieoczekiwanym kosztom.
5. Kopie zapasowe
Kopia zapasowa bazy danych jest tworzona każdej nocy. Przechowujemy kopie zapasowe z ostatnich siedmiu dni. [Lokalizacja kopii zapasowych, np. dodatkowo w postaci zaszyfrowanej poza siedzibą]
6. Organizacja
Przed publikacją dostosować sekcje 6 i 7 do faktycznej praktyki.
- Dostęp do serwera ma wyłącznie [liczba / role] osób zobowiązanych do zachowania poufności.
- Uzyskujemy dostęp do treści klientów wyłącznie wtedy, gdy jest to niezbędne do wsparcia lub eksploatacji albo gdy klient o to poprosi.
- Urządzenia z dostępem do serwera są szyfrowane i zabezpieczone blokadą ekranu.
- Niepotrzebne już nośniki danych bezpiecznie kasujemy lub niszczymy.
7. Aktualizacje i testy
Na bieżąco aktualizujemy system operacyjny i pakiety oprogramowania, a nowe wersje KI.ordo przed wydaniem sprawdzamy za pomocą testów automatycznych. [Uzupełnić zewnętrzne audyty bezpieczeństwa lub certyfikaty, gdy będą dostępne]
8. Incydenty
Jeżeli stwierdzimy naruszenie ochrony danych osobowych, niezwłocznie informujemy o tym klientów, których to dotyczy, i wspieramy ich w wypełnianiu obowiązków zgłoszeniowych. Jeżeli sami jesteśmy administratorem, zgłaszamy incydent organowi nadzorczemu w ciągu 72 godzin (art. 33 RODO).
9. Zgłaszanie podatności
Znaleźli Państwo podatność? Prosimy o wiadomość na adres [email protected]. Prosimy dać nam czas na usunięcie problemu przed jego upublicznieniem i nie uzyskiwać dostępu do danych innych osób.