Polityka Prywatności

RODO Art. 13 / 14  ·  Administrator: METAMORFOZIS GLETSCHMANN SPÓŁKA JAWNA  ·  Ostatnia aktualizacja: 2026-10-14  ·  Wersja: 1.0

1. Administrator danych

2. Jakie dane zbieramy i skąd

2.1. Dane przekazane bezpośrednio przez użytkownika

2.2. Dane zbierane automatycznie

2.3. Dane szkoleniowe z platformy Irenly

Gdy Operator skonfigurował połączenie platformy z platformą szkoleniową Irenly, codzienne zadanie pobiera z Irenly rekordy ukończenia kursów przez pracowników i zapisuje każdy u Dzierżawcy-szkoły o REGON-ie wskazanym w rekordzie: imię i nazwisko oraz adres e-mail uczestnika, kurs, czas ukończenia, wynik i link do certyfikatu. Obejmuje to także pracowników, którzy nigdy nie logują się do Usługi. Podstawa prawna tego przepływu jest w analizie prawnej.

3. Podstawy prawne przetwarzania (art. 6 RODO)

4. Jak długo przechowujemy dane

5. Odbiorcy danych

Dane osobowe są udostępniane wyłącznie:

• Pracownicy Operatora — w zakresie niezbędnym do obsługi technicznej, na zasadach wiedzy koniecznej z obowiązkowym MFA;
• Podwykonawcy — wymienieni w Liście podwykonawców; dla każdego z nich lista opisuje podstawę powierzenia, w tym przypadki, w których zawarcie umowy z art. 28 ust. 3 RODO jest jeszcze potwierdzane;
• Organy publiczne — wyłącznie na podstawie prawnego żądania (nakaz sądu, wniosek UODO, CSIRT).

Dane nie są sprzedawane ani udostępniane w celach reklamowych.

6. Przekazywanie do państw trzecich

Dane biznesowe Dzierżawców są przechowywane na serwerach w UE/EOG. Niektórzy podwykonawcy (Cloudflare, Microsoft, GitHub) mogą przetwarzać metadane poza UE (GitHub: logi testu odtworzenia z identyfikatorami UUID łańcuchów Dzierżawców; ujęty zachowawczo, status wg art. 28 w przeglądzie prawnym) — szczegóły i gwarancje (SCC, adequacy decision) opisano w Liście podwykonawców.

7. Zautomatyzowane podejmowanie decyzji

Platforma nie podejmuje zautomatyzowanych decyzji mających skutki prawne dla podmiotów danych w rozumieniu art. 22 RODO. Kreator samoidentyfikacji NIS2/KSC generuje sugestie kategorii, jednak ostateczna decyzja należy do Dzierżawcy.

8. Prawa podmiotów danych

9. Bezpieczeństwo danych

Stosowane środki techniczne i organizacyjne (TOM) opisano szczegółowo w Białej Księdze Bezpieczeństwa. Kluczowe elementy:

• Szyfrowanie haseł Argon2id (pamięć ≥ 64 MiB, iteracje ≥ 3);
• Obowiązkowe MFA (TOTP lub WebAuthn) dla wszystkich kont z hasłem; konta SSO podlegają dostawcy tożsamości Administratora;
• Izolacja Dzierżawców przez FORCE RLS PostgreSQL;
• TLS 1.3 dla całej komunikacji sieciowej;
• Kopie zapasowe 3-2-1 (Cloudflare R2 + Backblaze B2, oba EU), szyfrowane.

10. Pliki cookie

Platforma używa wyłącznie plików cookie niezbędnych do działania (sesja, CSRF, ochrona Cloudflare). Brak cookie analitycznych ani reklamowych. Szczegóły: Informacja o plikach cookie.

11. Pseudonimizacja przy prawie do usunięcia

Jeżeli podmiot danych zażąda usunięcia danych, Operator stosuje pseudonimizację. Rekord użytkownika otrzymuje znacznik (deleted-<uuid>@tombstone.invalid); wiersze audytu odwołują się do użytkownika wyłącznie przez wewnętrzny identyfikator, więc żaden wiersz audytu nie jest zmieniany, a łańcuch skrótów jest zachowany z samej konstrukcji. Adres IP i user agent aktora nie są pseudonimizowane i są przechowywane przez cały okres istnienia konta Dzierżawcy. Wiersze dziennika audytu zapisane przed wdrożeniem produkcyjnym z 2026-10-12 mogą ponadto zawierać w samym wierszu adresy e-mail: przy czynnościach (logowanie, blokada konta i reset hasła; zakładanie kont przez SSO; nadawanie uprawnień administratora platformy; zakładanie, zawieszanie i przywracanie Dzierżawców; dostęp wsparcia Operatora i wyszukiwanie w dzienniku przez Operatora; deklaracje nieciągłości łańcucha i raporty z ćwiczeń odtwarzania; delegowanie zadań przez JST; powiadomienia i przypomnienia; ocena dostawców; profil organizacji; podłączenie poczty Microsoft 365; kontrola ścieżki e-mail) — użytkownika wykonującego lub objętego czynnością, odbiorcy powiadomienia lub osoby kontaktowej Dzierżawcy albo identyfikator wpisany w formularzu logowania lub resetu hasła — a przy dowolnej czynności w tekście swobodnym, np. w komunikacie błędu lub w tekście wpisanym przez użytkownika. Pozostają one przez cały okres istnienia konta Dzierżawcy (w łańcuchu warstwy sterującej platformy — przez cały okres istnienia platformy), na tej samej podstawie prawnej co adres IP aktora: uzasadniony interes w zakresie integralności audytu (art. 6 ust. 1 lit. f RODO). Od wdrożenia produkcyjnego z 2026-10-12 w treści ani w polu obiektu docelowego wiersza audytu nie jest zapisywany żaden tekst w postaci adresu e-mail: użytkownicy są identyfikowani wewnętrznym identyfikatorem, a każdy inny adres — także w tekście swobodnym — skrótem kluczowanym (HMAC), z którego adresu nie da się odczytać. Do poprawki z 2026-10-13 obowiązywał jeden wyjątek: gdy adresy lub domeny były połączone znakiem @ bez niczego pomiędzy (x@a.com@b.org), w wierszu zostawał skrót, po nim @ i nazwa domeny — nigdy cały adres. Wiersze zapisane od wdrożenia produkcyjnego z 2026-10-12 do wdrożenia tej poprawki mogą zawierać taki fragment; są przechowywane na tej samej podstawie i ujawniane, a nie usuwane. Drugą lukę usunęła poprawka z 2026-10-14: adres zawierający łączące znaki diakrytyczne — literę z akcentem zapisaną jako litera podstawowa i osobny znak (Unicode NFD, powstający w niektórych systemach i przy kopiowaniu z niektórych dokumentów) albo pismo, w którym samogłoski zapisuje się takimi znakami, np. dewanagari lub tajskie, albo niewidoczny łącznik (ZWNJ/ZWJ) używany w nazwach perskich i indyjskich — nie był rozpoznawany i był zapisywany tak, jak go wpisano, w całości lub w części. Wiersze zapisane przed wdrożeniem tej poprawki mogą zawierać taki adres jawnym tekstem; są przechowywane na tej samej podstawie i ujawniane, a nie usuwane. Taki skrót jest pseudonimem i pozostaje daną osobową: każdy, kto może spowodować zapisanie przez platformę wybranego adresu, albo kto posiada klucz, może potwierdzić odgadnięty adres. Inne dane osobowe wpisane w pola tekstowe, np. imię i nazwisko lub numer telefonu, są zapisywane tak, jak je wpisano. Nie obejmuje to ciągu user-agent sesji wykonującej czynność: jest on zapisywany tak, jak go przesłał klient, a niektórzy klienci, zwłaszcza roboty indeksujące, umieszczają w nim adres kontaktowy. Jednocześnie usuwane są rekordy ograniczania prób logowania zapisane pod adresem e-mail konta (identyfikator, adres IP i user-agent jego logowań i nieudanych prób logowania); rekordy konta usuniętego wcześniej są usuwane, gdy mają 30 dni.

12. Kontakt w sprawach prywatności